【正文】 件時盡量選用成熟的通用產(chǎn)品和最新版本；委托第三方開發(fā)軟件時，其按信息系統(tǒng)安全等級和軟件項目的進行模塊化設(shè)計，避免必要的功能冗余以及軟件過長過大，切實作好系統(tǒng)測試和試用，減少軟件設(shè)計中的疏忽可能留下安全漏洞和系統(tǒng)內(nèi)部邏輯混亂；系統(tǒng)投入運行后，及時更新補丁。應(yīng)用平臺軟件處于中間層次，它是在操作平臺支撐下運行的支持和管理應(yīng)用業(yè)務(wù)的軟件，一方面應(yīng)用平臺軟件可能受到來自操作平臺軟件風(fēng)險的影響，另一方面，應(yīng)用平臺軟件的任何風(fēng)險可直接危及或傳遞給應(yīng)用業(yè)務(wù)軟件，因此應(yīng)用平臺軟件的安全特性至關(guān)重要，在提供自身安全保護的同時，應(yīng)用平臺軟件還為應(yīng)用業(yè)務(wù)軟件提供必要的安全服務(wù)功能。這三類軟件以層次結(jié)構(gòu)構(gòu)成軟件組件體系。操作系統(tǒng)的安全是網(wǎng)絡(luò)系統(tǒng)信息安全的基礎(chǔ)，應(yīng)用系統(tǒng)要獲得運行的高可靠性和保證信息的完整性、機密性、可用性和可控性，依賴于安全操作系統(tǒng)提供的系統(tǒng)軟件基礎(chǔ)。另一方面，系統(tǒng)管理員或使用人員對復(fù)雜的操作系統(tǒng)和其自身的安全機制了解不夠，配置不當(dāng)，計算機病毒等也會造成的安全隱患。l 系統(tǒng)層安全威脅系統(tǒng)層的安全威脅主要從操作系統(tǒng)平臺的安全威脅進行分析。此外，網(wǎng)絡(luò)層的安全威脅還包括核心設(shè)備如路由器、三層交換機等都有可能存在使用確口令或使用相同口令的安全隱患；每個管理員使用相同的口令；動態(tài)路由協(xié)議存在的安全漏洞；針對路由器的拒絕服務(wù)攻擊或分布式拒絕服務(wù)攻擊；發(fā)布假路由，路由欺騙，導(dǎo)致整個網(wǎng)絡(luò)的路由混亂。根據(jù)評估范圍和層次劃分，可將威脅評估列為以下矩陣：傳輸數(shù)據(jù)…其他網(wǎng)絡(luò)層系統(tǒng)層（主機、數(shù)據(jù)庫）應(yīng)用層管理層（策略、制度）l 網(wǎng)絡(luò)層安全威脅網(wǎng)絡(luò)層是網(wǎng)絡(luò)入侵者進攻信息系統(tǒng)的渠道和通路，許多安全問題都集中體現(xiàn)在網(wǎng)絡(luò)的安全方面。但是有相當(dāng)一部分威脅發(fā)生時，由于未能造成后果，或者沒有意識到，而被安全管理人員忽略。一般來說，威脅總是要利用網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用或數(shù)據(jù)的弱點才可能成功地對資產(chǎn)造成傷害。威脅可能是對信息系統(tǒng)直接或間接的攻擊，例如非授權(quán)的泄露、篡改、刪除等，在機密性、完整性或可用性等方面造成損害。人為因素包括有意因素和無意因素。 威脅評估安全威脅是一種對系統(tǒng)、組織及其資產(chǎn)構(gòu)成潛在破壞的可能性因素或者事件。上述算式表達的背后含義是：三個屬性值每相差一，則影響相差兩倍，以此來體現(xiàn)最高賦值屬性的主導(dǎo)作用。換而言之，整體安全屬性的賦值并不隨著三個屬性值的增加而線性增加，較高的屬性值具有較大的權(quán)重。根據(jù)資產(chǎn)可用性屬性的不同，將它分為5個不同的等級，分別對應(yīng)資產(chǎn)在可用性方面的價值或者在可用性方面受到損失時對資產(chǎn)價值的影響：賦值含義解釋4Very High可用性價值非常關(guān)鍵，具有致命性的潛在影響3High可用性價值較高，潛在影響嚴重，企業(yè)將蒙受嚴重損失，難以彌補2Medium可用性價值中等，潛在影響重大，但可以彌補1Low可用性價值較低，潛在影響可以忍受，較容易彌補0Negligible可用性價值或潛在影響可以忽略l 資產(chǎn)價值（Asset Value）資產(chǎn)價值用于反映某個資產(chǎn)作為一個整體的價值，綜合了機密性、完整性和可用性三個屬性。一個具有可用性的網(wǎng)絡(luò)信息服務(wù)系統(tǒng)應(yīng)當(dāng)能夠在攻擊發(fā)生后及時正確地恢復(fù)。通常采用加密函數(shù)和散列函數(shù)來保證數(shù)據(jù)的完整性。賦值方法參照下表：賦值含義解釋4Very High機密性價值非常關(guān)鍵，具有致命性的潛在影響3High機密性價值較高，潛在影響嚴重，企業(yè)將蒙受嚴重損失，難以彌補2Medium機密性價值中等，潛在影響重大，但可以彌補1Low機密性價值較低，潛在影響可以忍受，較容易彌補0Negligible機密性價值或潛在影響可以忽略l 完整性（Integrity）完整性是指信息不被非法修改、刪除、插入虛假信息，以及防止非法生成消息或重發(fā)，用于對抗破壞通信和重發(fā)的威脅。通常是通過加密技術(shù)（cryptography）來實現(xiàn)保密性。對信息資產(chǎn)進行賦值的目的是為了更好地反映資產(chǎn)的價值，以便于進一步考察資產(chǎn)相關(guān)的弱點、威脅和風(fēng)險屬性，并進行量化。安全屬性的不同通常也意味著安全控制、保護功能求的不同。一般情況下，軟件資產(chǎn)與所在媒體的硬件的價值，也不依賴于媒體而存在，而是經(jīng)常體現(xiàn)在軟件本身的許可證、序列號、軟件伴隨的服務(wù)等無形資產(chǎn)上面。內(nèi)部Internal公司內(nèi)部員工或文檔所屬部門使用，或文檔涉及的公司使用（例如合同等）秘密Private由和數(shù)據(jù)局網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施顧問服務(wù)項目相關(guān)的公司和數(shù)據(jù)局成員使用機密Confidential只有在文檔中指定的人員可使用，文檔的保管要在規(guī)定的時間內(nèi)受到控制絕密Secret非文檔的擬訂者或文檔的所有者及管理者，其他指定人員在使用文檔后迅速的按銷毀但是，這樣的分類并不能反映在數(shù)據(jù)資產(chǎn)的全部安全屬性，所以在本次安全服務(wù)項目中，將采取對數(shù)據(jù)類資產(chǎn)直接賦值的方法來進行。企業(yè)內(nèi)部對于數(shù)據(jù)類資產(chǎn)的分類方法通常根據(jù)數(shù)據(jù)的敏感性（Sensitiv ity）來進行，與機密性非常類似。例如，公司的財務(wù)信息和薪酬數(shù)據(jù)就是屬于高度機密性的數(shù)據(jù)。屬于要重點評估、保護的對象。安全服務(wù) SEC 為保護自身和其它信息資產(chǎn)而建立的保護措施，例如防火墻訪問控制服務(wù)、入侵檢測服務(wù)、認證、審計、顧問等。如果該系統(tǒng)建立在Domino基礎(chǔ)之上，則將其歸為Domino服務(wù)子類。Domino服務(wù)DominoLotus Domino Notes系統(tǒng)是一種群件應(yīng)用，它綜合了數(shù)據(jù)庫、各種應(yīng)用于一身，專門分類，包括Domino郵件服務(wù)、Domino WWW服務(wù)、Domino名字服務(wù)、以及在Domino之上開發(fā)的其它安全服務(wù)。Unix操作系統(tǒng)Unix包括各種Unix版本，例如Solaris，AIX，HPUX，Linux，F(xiàn)reeBSD等，提供公眾計算環(huán)境和應(yīng)用運行平臺。例如，著名安全軟件TCPWrapper作者的站點被入侵，軟件被植入木馬程序后被廣泛下載使用，造成非常重大的影響和損失。但是，完整性也同樣重要，門戶站點的主頁被修改，造成的損失也可能是災(zāi)難性的。但是，對于某些服務(wù)資產(chǎn)，完整性和機密性也可能成為重要的保護對象。屬于要重點評估、保護的對象。 資產(chǎn)分類參照BS7799對信息資產(chǎn)的描述和定義，將信息相關(guān)資產(chǎn)按照下面的分類方法：類別簡稱解釋/示例服務(wù)ServiceWWW、SMTP、POPFTP、MRPII、DNS、呼叫中心、內(nèi)部文件服務(wù)、內(nèi)部BBS、網(wǎng)絡(luò)連接等數(shù)據(jù)（電子媒介）Data源代碼、各種數(shù)據(jù)資料、運行管理規(guī)程、計劃、報告、用戶手冊等軟件Software應(yīng)用軟件、系統(tǒng)軟件、開發(fā)工具和資源庫等硬件Hardware計算機硬件、路由器、交換機、程控交換機、布線等文檔（紙質(zhì)）Document文件、傳真、電報、財務(wù)報告、發(fā)展計劃設(shè)備Facility電源、空調(diào)、食品柜、文件柜等人員HR各級雇員和雇主、合同方雇員其它Other企業(yè)形象，客戶關(guān)系等下面重點描述服務(wù)、數(shù)據(jù)和軟件等三種與網(wǎng)絡(luò)安全最為直接相關(guān)的信息資產(chǎn)類別。因此在本方案定義的評估工作內(nèi)容，其中信息資產(chǎn)（Information Assets）的界定和賦值是整個階段（現(xiàn)場測試和評估階段）的前提，是信息資產(chǎn)抽樣的基礎(chǔ)和重要依據(jù)。例如，某公司重要的市場活動策劃方案（數(shù)據(jù)資產(chǎn)），在活動開始之前，為達成市場目標，要對該數(shù)據(jù)資產(chǎn)進行機密性、完整性和可用性方面的保護。為此，有必要對企業(yè)、機構(gòu)中的信息資產(chǎn)進行科學(xué)分類，以便于進行后期的信息資產(chǎn)抽樣、制定風(fēng)險評估策略、分析安全功能求等活動。它可能是以多種形式存在，有無形的、有有形的，有硬件、有軟件，有文檔、代碼，也有服務(wù)、企業(yè)形象等。 《物理環(huán)境調(diào)查表》216。 《設(shè)備調(diào)查表》 216。 《安全管理調(diào)查表》216。 數(shù)據(jù)庫存系統(tǒng)調(diào)查216。 應(yīng)用系統(tǒng)調(diào)查216。 硬件和網(wǎng)絡(luò)系統(tǒng)調(diào)查216。 業(yè)務(wù)連續(xù)性管理 216。 訪問控制 216。 物理的和環(huán)境的安全 216。 資產(chǎn)分類和管理216。 安全策略 216。 調(diào)查方式采用非現(xiàn)場問卷調(diào)查方式和現(xiàn)場勘查相結(jié)合的方式進行。l 備份管理員調(diào)查系統(tǒng)備份情況，能夠獨立操作系統(tǒng)備份工作，其中包括備份時所采用的備份方式、備份介質(zhì)、備份策略、備份設(shè)備、備份時間、備份所使用的軟件情況以及備份的存放等情況。其中包括網(wǎng)絡(luò)設(shè)備的配置情況、使用情況、維護情況、用戶情況、遠程控制情況、服務(wù)開啟情況、管理控制情況、路由情況、訪問控制列表情況以及交換機的端口配置情況等信息。l 機房管理人員調(diào)查機房物理環(huán)境，其中涵蓋了該機房的物理分布圖、安全區(qū)域的設(shè)置、訪問控制設(shè)備情況、授權(quán)和驗證情況、機房內(nèi)物體堆放情況、防火安全設(shè)施、電力保障系統(tǒng)、應(yīng)急照明設(shè)施、溫濕度監(jiān)測與控制情況、電磁屏蔽系統(tǒng)等。安全評估服務(wù)將針對用戶環(huán)境中的網(wǎng)絡(luò)系統(tǒng)、服務(wù)器系統(tǒng)、應(yīng)用系統(tǒng)以及數(shù)據(jù)系統(tǒng)等進行安全審計和操作、修復(fù)工作，因此用戶求調(diào)查也針對這些方面進行。在澳大利亞和新西蘭國家標準《風(fēng)險管理Risk Management》（AS/NZS 4360:1999）中描述了風(fēng)險管理過程，如下圖所示： 安全風(fēng)險評估方案 資產(chǎn)調(diào)查與賦值 求調(diào)查求調(diào)查是整個安全評估服務(wù)的基礎(chǔ)。在國際標準ISO15408中，安全模型如下圖所示，其特點是強調(diào)了模型的對抗性和動態(tài)性。本文下面的描述即是闡明風(fēng)險評估過程的理念和方法論，以作為安全服務(wù)的標準方法論和理論基礎(chǔ)，指導(dǎo)和規(guī)范的安全風(fēng)險安全服務(wù)工作。經(jīng)過精細的資產(chǎn)評估和風(fēng)險評估，企業(yè)就可以在投資提升安全降低風(fēng)險、承受風(fēng)險、轉(zhuǎn)移風(fēng)險等做出正確的選擇。一般來說，安全風(fēng)險的降低（即安全水平的提升）和相應(yīng)的開銷不是線性的關(guān)系，如圖所示。如圖所示。在信息安全的領(lǐng)域，同樣適用于風(fēng)險管理的理念和方法論。風(fēng)險管理既是為了發(fā)現(xiàn)商業(yè)機會，同樣也是為了避免或減輕損失。 基礎(chǔ)設(shè)備安全評估解決方案 安全風(fēng)險評估方法論 概述風(fēng)險管理（Risk Management）旨在對潛在機會和不利影響進行有效管理的文化、程序和結(jié)構(gòu)。提高團隊審計效率。 高度自動化審計任務(wù)自動服務(wù)版本管理（SubVersion、TFS）、SMTP郵件服務(wù)器和Windows賬戶管理，實現(xiàn)自動審計代碼更新、自動審計、自動報警和自動郵件通知等。 服務(wù)獨立，全面的團隊審計支持作為服務(wù)器運行。 攻擊路徑的可視化，并以3D形式展現(xiàn)每一個安全漏洞的攻擊模式和路徑完全呈現(xiàn)出來，以3D圖形的方式顯示，便于安全問題調(diào)查和分析。分析代碼邏輯和架構(gòu)特有的安全風(fēng)險，并最后定義規(guī)則精確查找這些風(fēng)險。能快速實現(xiàn)組織軟件安全策略。 審計性能10萬行代碼審計時間在10~30分鐘不等，視代碼復(fù)雜度和硬件配置而不同。能快速實現(xiàn)組織軟件安全策略。而不是給用戶一個黑匣子，用戶無法了解工具的細節(jié)和缺陷，無法在代碼審計過程中規(guī)避工具的風(fēng)險（比如漏報和誤報），比如利用人工或者其它手段查找工具不能定位的問題。 安全查詢規(guī)則清晰且完全公開實現(xiàn)規(guī)則定義清晰，并完全公開所有規(guī)則的定義和實現(xiàn)讓用戶清楚知道工具如何去定義風(fēng)險、如何去查找風(fēng)險，透明各種語言風(fēng)險。 安全漏洞覆蓋面廣且全面 (低漏報)數(shù)以百計的安全漏洞檢查適合任于何組織，支持最新的OWASP 、CWE、SANS、PCI、SOX等國際權(quán)威組織對軟件安全漏洞的定義。準確的分析結(jié)果，驗證可能的風(fēng)險是否真正導(dǎo)致安全問題，自動排除噪音信息，審計結(jié)果幾乎就是最終的分析結(jié)果，其誤報率（False Positive）幾乎為零。因為該服務(wù)只要提供源代碼即可審計，并給出精確的審計結(jié)果。安裝一次，即可審計Java代碼、C/C++代碼、.NET代碼JSP、JavaSript、VBSript、 .、C 、 、 VBASP 、Perl、Apex VisualForce,Android、OWASP ESAPI、MISRA、和ObjectiveC (iOS)…等各種語言代碼，并且不管這些代碼是在windows平臺、Linux平臺或者其它平臺的。 編譯器獨立、開發(fā)環(huán)境獨立，搭建測試環(huán)境簡單快速且統(tǒng)一由于采用了獨特的虛擬編譯器技術(shù)，代碼審計不要依賴編譯器和開發(fā)環(huán)境，無為每種開發(fā)語言的代碼安裝編譯器和測試環(huán)境，只要通過客戶端、瀏覽器、開發(fā)環(huán)境服務(wù)插件登錄到管理應(yīng)用 Application服務(wù)器，提供本地代碼審計代碼的目錄、遠程代碼目錄、和版本管理代碼目錄（Subversion、CVS，ClearCase即可，審計代碼無通過編譯過程。 代碼審計工具功能及特性 操作系統(tǒng)獨立代碼審計不依賴于特定操作系統(tǒng)，只在在企業(yè)范圍內(nèi)部署一臺審計服務(wù)器，就可以審計其它操作系統(tǒng)開發(fā)環(huán)境下的代碼，包括但不限于如下操作系統(tǒng)Windows、Linux、AIX，HPUnix, Mac OS, Solaris,無在每種平臺安裝相應(yīng)的版本,節(jié)約相關(guān)平臺的軟硬件成本。至今，改代碼審計產(chǎn)品的客戶量數(shù)目龐大，其中包括涉及電信、金融銀行、保險、汽車、媒體娛樂、軟件、服務(wù)和軍事等行業(yè)的財富1000的企業(yè)。其無與倫比的準確性和方便的企業(yè)部署和實施的特性贏得了全球眾多客戶的青睞。 代碼審計產(chǎn)品簡介選用的靜態(tài)源代碼安全漏洞審計和管理方案是業(yè)界最全面的、綜合的源代碼安全審計和管理方案，該方案提供用戶、角色和團隊管理、權(quán)限管理、審計結(jié)果管理、審計調(diào)度和自動化管理、審計資源管理、查詢規(guī)則管理、審計策略管理、更新管理、報表管理等多種企業(yè)環(huán)境下實施源代碼安全審計和管理功能?！　≡谛×康拇a前提下，簡單的代碼將不是問題，也是可以接受的。因此目前許多靜態(tài)工具只是把感染的路徑找到，但不計算和不作比較，要借助人工去分辨所有可能的情況，這就是誤報率非常高的原因。要人工去分辨出其中的真假，主要存在的問題：– False positive（誤報）– False negative（漏報）出現(xiàn)上述問題的原因是：在作靜態(tài)分析時，要先描繪出代碼所有的路徑，然后去對每種路徑上的變量作計算，并比較。在靜態(tài)源代碼審計技術(shù)上，現(xiàn)在被普遍應(yīng)用的是第一代和第二代