信息安全風(fēng)險(xiǎn)評(píng)估實(shí)例-在線瀏覽
2025-04-01 18:06本頁面
【正文】 析，為相關(guān)部門提供決策和管理支持，向社會(huì)提供公益服務(wù)。 管理特性 現(xiàn)有的規(guī)章制度原則性要求較多，可操作性較低，在信息安全管理方面偏重于技術(shù)。 1 U U P S C h a m p i n ( 2 0 K W )服 務(wù) 器 區(qū)空 調(diào)I n t e r n e tP CP C防 火 墻 3S e c g a t e 3 6 0 0 F 3交 換 機(jī) 3C I S C O 2 9 5 0專 網(wǎng)交 換 機(jī) 2C I S C O 3 7 4 5內(nèi) 部 網(wǎng) 絡(luò)網(wǎng) 絡(luò) 管 理交 換 機(jī) 1C A T A L Y S T 4 0 0 0防 火 墻 1S u p e r V 5 3 1 8路 由 器 1C I S C O 3 6 4 0路 由 器 2華 為 N E 4 0防 火 墻 2U T M 4 1 8 DP C 1 P C 2數(shù) 據(jù)服 務(wù) 器H P D L 3 8 0應(yīng) 用 程 序服 務(wù) 器H P D L 3 8 0防 病 毒服 務(wù) 器M A C F E E 圖 81 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖 評(píng)估依據(jù) 評(píng)估所遵循的依據(jù)如下： 1.《 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范 》 （ GB/T 209842023） 2.《 信息技術(shù) 信息技術(shù)安全管理指南 》 （ GB/T 197152023） 3.《 信息技術(shù) 信息安全管理實(shí)用規(guī)則 》 （ GB/T 197162023） 2.《 信息安全等級(jí)保護(hù)管理辦法 》 （公通字 [2023]43號(hào)） 3.《 信息安全技術(shù) 信息系統(tǒng)安全管理要求 》 （ GB/T 202692023） 信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施方案 項(xiàng)目組織機(jī)構(gòu) 項(xiàng)目實(shí)施的組織機(jī)構(gòu)如下 : 項(xiàng)目工程領(lǐng)導(dǎo)小組由受測(cè)機(jī)構(gòu)主管信息安全的領(lǐng)導(dǎo)和評(píng)估機(jī)構(gòu)領(lǐng)導(dǎo)共同組成。 項(xiàng)目工程管理小組由評(píng)估雙方的項(xiàng)目負(fù)責(zé)人組成。 項(xiàng)目實(shí)施組由評(píng)估專家、評(píng)估工程師及受測(cè)機(jī)構(gòu)的安全管理員、網(wǎng)絡(luò)管理員和應(yīng)用系統(tǒng)分析員組成。 質(zhì)量控制組由質(zhì)量控制人員組成。 外聘專家組由有經(jīng)驗(yàn)的專家組成。 項(xiàng)目階段劃分 本次風(fēng)險(xiǎn)評(píng)估項(xiàng)目分項(xiàng)目準(zhǔn)備、現(xiàn)狀調(diào)研、檢查與測(cè)試、分析評(píng)估及編制評(píng)估報(bào)告六個(gè)階段，各階段工作定義說明如下： 項(xiàng)目準(zhǔn)備：項(xiàng)目實(shí)施前期工作，包括成立項(xiàng)目組，確定評(píng)估范圍，制定項(xiàng)目實(shí)施計(jì)劃，收集整理開發(fā)各種評(píng)估工具等。工作成果： 《 項(xiàng)目組成員信息表 》 、《 評(píng)估范圍說明 》 、 《 評(píng)估實(shí)施計(jì)劃 》 。工作方式：訪談、問卷調(diào)查。 檢查與測(cè)試：手工或工具檢查及測(cè)試。工作方式：訪談、問卷調(diào)查、測(cè)試、研討會(huì)。 ID 任務(wù)名稱 開始時(shí)間 完成時(shí)間 持續(xù)時(shí)間 2023年 5月 2023年 6月 56 513 520 527 63 610 617 624 1 項(xiàng)目準(zhǔn)備 58 517 10d 2 現(xiàn)狀調(diào)研 518 527 11d 3 檢查與測(cè)試 528 68 12d 4 分析評(píng)估 69 617 9d 5 編制評(píng)估報(bào)告 618 628 11d 分析評(píng)估：根據(jù)相關(guān)標(biāo)準(zhǔn)或?qū)嵺`經(jīng)驗(yàn)確定安全風(fēng)險(xiǎn)，并給出整改措施。工作成果： 《 安全風(fēng)險(xiǎn)分析說明 》 。工作方式：研討會(huì)。 表 81 信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估實(shí)施進(jìn)度表 獲得最高管理者對(duì)信息安全風(fēng)險(xiǎn)評(píng)估工作的支持 上述所有內(nèi)容得到了相關(guān)管理者的批準(zhǔn)，并對(duì)管理層和員工進(jìn)行了傳達(dá)。 識(shí)別資產(chǎn) 根據(jù) 對(duì) 信息系 統(tǒng) 的 調(diào)查 分析， 并結(jié) 合 業(yè)務(wù) 特點(diǎn)和系 統(tǒng)的安全要求，確定了系 統(tǒng) 需要保 護(hù) 的 資產(chǎn) ， 見 表 82。 資產(chǎn)編號(hào) 資產(chǎn)名稱 型號(hào) 保密性 完整性 可用性 A01 路由器 1 CISCO3640 0 0 0 A02 路由器 2 華為 NE40 1 3 2 A03 交換機(jī) 1 CATALYST4000 1 3 3 A04 交換機(jī) 2 CISCO3745 1 3 3 A05 交換機(jī) 3 CISCO2950 2 4 4 A06 防火墻 1 聯(lián)想網(wǎng)域 SuperV5318 1 3 4 A07 防火墻 2 聯(lián)想網(wǎng)域 UTM418D 1 2 4 A08 防火墻 3 網(wǎng)神 Secgate 3600F3 1 2 4 A09 防病毒服務(wù)器 MACFEE 1 3 4 A11 數(shù)據(jù)服務(wù)器 HP DL380 2 4 4 A12 應(yīng)用服務(wù)器 HP DL380 2 4 4 A14 PC1 HP X8620 1 4 4 A15 PC2 HP X8620 1 4 4 A16 UPS Champin(20KW) 1 4 5 A18 空調(diào) 美的 1 2 4 表 83 資產(chǎn) CIA三性等級(jí)表 資產(chǎn)價(jià)值 根據(jù)資產(chǎn)保密性、完整性和可用性的不同等級(jí)對(duì)其賦值進(jìn)行加權(quán)計(jì)算得到資產(chǎn)的最終賦值結(jié)果。資產(chǎn)價(jià)值如表 84所示。威脅的收集主要是通過問卷調(diào)查、人員訪談、現(xiàn)場(chǎng)考察、查看系統(tǒng)工作日志以及安全事件報(bào)告或記錄等方式進(jìn)行，同時(shí)使用綠盟 1200D02，收集整個(gè)系統(tǒng)所發(fā)生的入侵檢測(cè)記錄。 威脅編號(hào) 威脅類別 描述 T01 硬件故障 由于設(shè)備硬件故障導(dǎo)致對(duì)業(yè)務(wù)高效穩(wěn)定運(yùn)行的影響。 T03 漏洞利用 利用操作系統(tǒng)本身的漏洞導(dǎo)致的威脅。 T05 木馬后門攻擊 木馬后門攻擊 T06 惡意代碼和病毒 具有復(fù)制、自我傳播能力，對(duì)信息系統(tǒng)構(gòu)成破壞的程序代碼。 T08 權(quán)限濫用 濫用自己的職權(quán)，做出泄露或破壞。 T10 數(shù)據(jù)篡改 通過惡意攻擊非授權(quán)修改信息，破壞信息的完整性。 技術(shù)脆弱性主要是通過使用 極光遠(yuǎn)程安全評(píng)估系統(tǒng) 進(jìn)行系統(tǒng)掃描 。 在進(jìn)行工具掃描之后 ， 結(jié)合威脅分析的內(nèi)容 ， 根據(jù)得出的原始記錄 ， 進(jìn)行整體分析 。 表 86 技術(shù)脆弱性評(píng)估結(jié)果 資產(chǎn)名稱 脆弱性 ID 脆弱性名稱 脆弱性描述 路由器 1 VULN01 Cisco未設(shè)置密碼 Cisco路由器未設(shè)置密碼， 將允許攻擊者獲得網(wǎng)絡(luò)的 更多信息 VULN02 CISCO IOS界面被 IPv4 數(shù)據(jù)包阻塞 通過發(fā)送不規(guī)則 IPv4數(shù)據(jù) 包可以阻塞遠(yuǎn)程路由器。表 87給 出了 5個(gè)級(jí)別 定 義 的描述。 等級(jí) 嚴(yán)重程度 描述 5 很高 可引起系統(tǒng)持續(xù)中斷或永久關(guān)閉。 在本項(xiàng)目中，采用 風(fēng)險(xiǎn)計(jì)算。根據(jù)安全事件發(fā)生損失矩陣表 723，計(jì)算安全事件的損失，再根據(jù)安全事件損失等級(jí)劃分表 724，計(jì)
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1