【正文】 . 階段目標技術脆弱性主要是采用工具掃描、人工檢查（checklist） 、滲透測試、訪談等方式對物理環(huán)境、網(wǎng)絡結構、 、應用軟件、業(yè)務流程等進行脆弱性識別并賦值。? 分發(fā)攻擊威脅與風險：在設備制造、安裝、維護過程中，在設備上設置隱藏的后門或攻擊途徑、? 內部攻擊威脅與風險：惡意修改數(shù)據(jù)和安全機制配置參數(shù)、惡意建立未授權連接、惡意的物理損壞和破壞、無意的數(shù)據(jù)損壞和破壞。? 主動攻擊威脅與風險：掃描目標主機、拒絕服務攻擊、利用協(xié)議、軟件、系統(tǒng)故障、漏洞插入或執(zhí)行惡意代碼（如：特洛依木馬、病毒、后門等） 、越權訪問、篡改數(shù)據(jù)、偽裝、重放所截獲的數(shù)據(jù)等。對威脅進行賦值并確定威脅等級。.. . . ..學習參考. 階段方法表格 3 威脅調查評估項目名稱 威脅調查評估簡要描述 使用技術手段分析信息系統(tǒng)可能面臨的所有安全威脅和風險。. 階段步驟威脅識別采用人工審計、安全策略文檔審閱、人員面談、入侵檢測系統(tǒng)收集的信息和人工分析。為全面、準確地了解系統(tǒng)所面臨的各種威脅，需采用威脅分析方法。. 階段輸出本階段完成后輸出文檔如下：? 《資產(chǎn)詳細清單》? 《資產(chǎn)賦值列表》. 階段 3：威脅評估威脅是指可能對資產(chǎn)或組織造成損害事故的潛在原因。工作結果 資產(chǎn)類別、資產(chǎn)重要級別。.. . . ..學習參考? 與高級主管、業(yè)務人員、網(wǎng)絡管理員（系統(tǒng)管理員）等進行交流。? 交流。? 填表式調查。主要內容? 采集資產(chǎn)信息，獲取資產(chǎn)清單；? 進行資產(chǎn)分類劃分；? 確定資產(chǎn)的重要級別，對資產(chǎn)進行賦值。階段二：進行資產(chǎn)識別，分類并賦值。明確各類資產(chǎn)具備的保護價值和需要的保護層次，從而使企業(yè)能夠更合理的利用現(xiàn)有資產(chǎn)，更有效地進行資產(chǎn)管理，更有針對性的進行資產(chǎn)保護，最具策略性的進行新的資產(chǎn)投入。要做好這項工作，首先需要詳細了解資產(chǎn)分類與管理的詳細情況。步驟三：確定各個細節(jié)后，項目啟動完成，進入項目實施階段。步驟一：項目組織，確定雙方項目組織結構及人員分工。. 階段步驟評估項目啟動階段，是整個項目過程中，對項目的有效性的一種保證。階 段 1 ： 服 務 啟 動 階 段 2 ： 資 產(chǎn) 評 估 階 段 3 ： 威 脅 評 估 階 段 4 ： 脆 弱 性 評 估 階 段 5 ： 風 險 分 析 階 段 6 ： 處 置 計 劃 階 段 7 ： 服 務 驗 收項 目 實 施 風 險 及 規(guī) 避 措 施服 務 管 理 （ 服 務 組 織 結 構 、 實 施 計 劃 、 質 量 管 理 、 保 密 控 制 ）資 產(chǎn) 識 別資 產(chǎn) 分 類資 產(chǎn) 清 單資 產(chǎn) 分 析資 產(chǎn) 賦 值威 脅 識 別威 脅 分 類范 圍 確 定系 統(tǒng) 調 研制 定 計 劃報 告 提 交成 果 匯 報服 務 驗 收威 脅 分 析威 脅 賦 值獲 得 支 持技 術 脆 弱 識 別管 理 脆 弱 識 別控 制 措 施 識 別脆 弱 性 分 析脆 弱 性 賦 值《 資 產(chǎn) 評 估 報 告 》《 服 務 實 施 計 劃 》 《 威 脅 評 估 報 告 》 《 脆 弱 性 評 估 報 告 》 《 風 險 評 估 報 告 》 《 風 險 處 置 計 劃 》 《 服 務 驗 收 報 告 》風 險 綜 合 識 別風 險 模 型 計 算風 險 接 收 準 則風 險 綜 合 評 價安 全 目 標 確 定安 全 措 施 選 擇實 施 內 容 安 排制 定 處 置 計 劃圖 3 項目實施流程圖. 階段 1：項目啟動階段此階段是項目的啟動和計劃階段，是項目實施階段的開始，對項目整個過程的實施工作與項目管理工作都非常重要。網(wǎng)絡漏洞掃描工具Nessus世界范圍內廣泛使用的免費網(wǎng)絡端口掃描、系統(tǒng)類型鑒別和漏洞掃描工具入侵檢測工具天闐網(wǎng)絡入侵檢測系統(tǒng)入侵檢測系統(tǒng)作為實時的檢測工具，是安全威脅信息收集過程中的一種重要手段，分析網(wǎng)絡的安全運行狀況，發(fā)覺配置和運行中的隱患，其數(shù)據(jù)是網(wǎng)絡整體安全的重要參考依據(jù)Solaris（TM）Security ToolkitSun公司官方提供的本地控制臺審計工具包Linux Security Audit Tools（LSAT）Linux系統(tǒng)的本地控制臺審計工具包Win 系統(tǒng)安全審計工具包啟明星辰收集整理的多種針對性的Win 系統(tǒng)安全審計工具的集合Check Rootkits多種unix和類unix平臺的后門檢測工具本地控制臺安全審計工具路由交換防火墻安全審計工具包啟明星辰整理定制的工具包，通過SNMP、Tel、HTTP、CDP、RIP等協(xié)議對網(wǎng)絡設備進行安全審計.. . . ..學習參考第 4 章 風險評估實施流程我們將整個項目的實施內容分為 7 個階段。. 風險評估采用方法風險評估常用方法如下：? 調查訪談物理安全訪談表、人員安全訪談表、網(wǎng)絡安全訪談表、系統(tǒng)安全訪談表等等；? 工具掃描網(wǎng)絡安全掃描、應用安全掃描、系統(tǒng)安全掃描等等；? 人工檢查操作系統(tǒng) checklist、數(shù)據(jù)庫 checklist、網(wǎng)絡設備 checklist 等等；? 滲透測試由專業(yè)滲透測試工程師模擬黑客攻擊方式對網(wǎng)絡與信息系統(tǒng)進行非破壞性漏泀驗證性測試；? 文檔查閱管理制度查閱、管理策略查閱、安全指導方針查閱等等。每個要素有各自的屬性，資產(chǎn)的屬性是資產(chǎn)價值；威脅的屬性可以是威脅主體、影響對象、出現(xiàn)頻率、動機等；脆弱性的屬性是資產(chǎn)弱點的嚴重程度。. 風險分析方法模型在安全風險分析方法模型中提供了風險計算的方法，通過兩個因素：威脅級別、威脅發(fā)生的概率，通過風險評估矩陣得出安全風險。通常安防措施只是降低了安全風險而并未完全杜絕風險，而且風險降低得越多，所需的成本就越高。安全措施主要體現(xiàn)在檢測、阻止、防護、限制、修正、恢復和監(jiān)視等多方面。資產(chǎn)、威脅、弱點及保護的任何變化都可能帶來較大的風險，因此，為了降低安全風險，應對環(huán)境或系統(tǒng)的變化進行檢測以便及時采取有效措施加以控制或防范。安全風險是環(huán)境中的威脅利用弱點造成資產(chǎn)毀壞或損失的潛在可能性。一般來說，威脅總是要利用組織網(wǎng)絡中的系統(tǒng)、應用或服務的弱點才可能成功地對資產(chǎn)造成傷害。威脅是引起不期望事件從而對資產(chǎn)造成損害的潛在可能性。弱點是物理布局、組織、規(guī)程、人員、管理、硬件、軟件或信息中存在的缺陷與不足，它們不直接對資產(chǎn)造成危害，但弱點可能被環(huán)境中的威脅所利用從而危害資產(chǎn)的安全。圖 1 風險關系模型圖在上述關系圖中：資產(chǎn)指組織要保護的資產(chǎn)，是構成整個系統(tǒng)的各種元素的組合，它直接的表現(xiàn)了這個系統(tǒng)的業(yè)務或任務的重要性，這種重要性進而轉化為資產(chǎn)應具有的保護價值。. 標準依據(jù)表格 2 相關標準標準類型 參考標準國際標準? ISO15408 信息技術安全評估準則? ISO/IEC TR 13335 信息和通信技術安全管理? ISO/TR 13569 銀行和相關金融服務信息安全指南? ISO/IEC 27000 信息安全管理體系系列標準? AS/NZS 4360 風險管理? NIST SP 80030 IT系統(tǒng)風險管理指南國內標準? GB17859計算機信息系統(tǒng)安全保護等級劃分準則? GBT 20984信息安全風險評估規(guī)范? GBT 22239信息安全技術信息系統(tǒng)安全等級保護基本要求? GBZ 20985信息技術安全技術信息安全事件管理指南? GBZ 20986信息安全技術信息安全事件分類分級指南? 各組織或行業(yè)內相關要求.. . . ..學習參考. 方法模型本方案中提供的風險評估與管理模型參考了多個國際風險評估標準，建立安全風險關系模型和安全風險分析方法模型。 2022 年? 為保障十七大，在國家基礎信息網(wǎng)絡和重要信息系統(tǒng)范圍內，全面展開了自評估工作。.. . . ..學習參考2022 年? 由國家網(wǎng)絡與信息安全協(xié)調小組討論通過的《關于開展信息安全風險評估工作的意見》 （國信辦[2022]5 號） ，文件要求三年內在國家基礎信息網(wǎng)絡和重要行業(yè)信息系統(tǒng)中普遍推行信息安全風險評估工作。2022 年? 為貫徹落實 27 號文件精神，原國信辦組織有關單位和專家編寫了《信息安全風險評估指南》 。. 設計依據(jù)本方案設計主要參照以下政策和標準進行設計。5. 保密原則項目的所有階段，將嚴格遵循保密原則，服務過程中涉及到的任何用戶信息均屬保密信息，不得泄露給第三方單位或個人，不得利用這些信息損害用戶利益。3. 完整性原則項目方案要充分考慮項目所有環(huán)節(jié)，做到統(tǒng)籌兼顧，細節(jié)清楚。. 設計原則1. 標準性原則.. . . ..學習參考遵循國家、行業(yè)和組織相關標準開展風險評估工作。風險評估采用專業(yè)工具掃描、人工評估、滲透測試三種相結合的方式，對各種操作系統(tǒng)進行評估，包括：帳戶與口令安全、網(wǎng)絡服務安全、內核參數(shù)安全、文件系統(tǒng)安全、日志安全等；從應用系統(tǒng)相關硬件、軟件和數(shù)據(jù)等方面來審核應用所處環(huán)境下存在哪些威脅，根據(jù)應用系統(tǒng)所存在的威脅，來確定需要達到哪些系統(tǒng)安全目標才能保證應用系統(tǒng)能夠抵擋預期的安全威脅。. 項目目標安全評估的目的通常包括以下幾個方面：? 確定可能對信息系統(tǒng)造成危害的威脅? 通過歷史資料和專家的經(jīng)驗確定威脅實施的可能性? 對可能受到威脅影響的信息資產(chǎn)確定其價值、敏感性和嚴重性? 對各類信息資產(chǎn)，確定一旦威脅發(fā)生其潛在的損失或破壞針對本次的安全評估，主要包括以下目的：? 準確了解企業(yè)的網(wǎng)絡和系統(tǒng)安全現(xiàn)狀.. . . ..學習參考? 明晰企業(yè)的安全需求? 制定企業(yè)網(wǎng)絡和系統(tǒng)的安全策略? 制定企業(yè)網(wǎng)絡和系統(tǒng)的安全解決方案? 指導企業(yè)未來的安全建設和投入? 指導企業(yè)建立信息安全框架. 項目范圍此次信息安全評估服務范圍涵蓋由項目組雙方溝通確認，推薦主管信息化部門、系統(tǒng)建設和運維部門、業(yè)務部門都參與本次項目。當企業(yè)經(jīng)營數(shù)據(jù)、生產(chǎn)過程控制及信息交換完成信息化的大集中后，信息系統(tǒng)的安全一旦受到破壞將產(chǎn)生嚴重的、不可估量的后果。在油氣儲運工藝、管道完整性管理、管道化學添加劑、管道規(guī)劃、信息與經(jīng)濟等研究領域整體處于國內領先水平。公司下轄大慶、長春等 26 個輸油（氣）單位以及管道工程項目經(jīng)理部、管道科技中心等單位，所屬單位和人員分布在全國 17 個?。ㄗ灾螀^(qū)、直轄市） 。.. . . ..學習參考____________________________某單位 信息安全風險評估投標書技術部分____________________________北京啟明星辰信息安全技術有限公司.. . . ..學習參考目 錄第 1 章項目概述 ........................................5. 項目背景 ..............................................................5. 項目目標 ..............................................................5. 項目范圍 ..............................................................6. 項目內容 ..............................................................6第 2 章 項目需求理解 ........................................7第 3 章 項目方案設計 ........................................7. 設計目標 .................