-信息系统威胁评价报告

密级：内部文档编号：2007002-009项目编号：2007002XX市地税局信息系统威胁评估报告XX市地税局信息系统威胁评估报告TOC\o"1-5"\h\z\o"CurrentDocument"1 概述 3\o"CurrentDocument"2威胁获取方法 3\o"CurrentDocument"3 威胁来源及性质划分 4\o"CurrentDocument"威胁来源 4\o"CurrentDocument"根据安全威胁产生的来源划分 6\o"CurrentDocument"威胁属性 7\o"CurrentDocument"威胁可能性赋值 9\o"CurrentDocument"威胁影响性赋值 11\o"CurrentDocument"威胁最终赋值 14第1页共15页第2页共15页XX市地税局信息系统威胁评估报告XX市地税局信息系统威胁评估报告1概述根据《XX省人民政府信息化工作办公室关于印发〈信息安全风险评估试点工作实施方案〉的通知》文件精神，XX省信息安全测评中心承担了XX市地税局〃征管信息系统〃的风险评估工作。我中心以建立符合我省情况的风险评估方法、积累风险评估工作经验、培养队伍、协助XX市地税局更深入地了解其信息系统安全现状为目标，通过文档分析、现场访谈、问卷调查、技术评估等方法，对XX市地税局〃征管信息系统〃进行了全面的信息安全风险评估。安全威胁是一种对系统、组织及其资产构成潜在破坏能力的可能性因素或者事件。产生安全威胁的主要因素可以分为人为因素和环境因素。人为因素包括有意的和无意的因素。环境因素包括自然界的不可抗力因素和其它物理因素。威胁可能源于对信息系统直接或间接的攻击，例如非授权的泄露、篡改、删除等，在机密性、完整性或可用性等方面造成损害。威胁也可能源于偶发的、或蓄意的事件。一般来说，威胁总是要利用网络中的系统、应用或服务的弱点才可能成功地对资产造成伤害。威胁是对组织的资产引起不期望事件而造成的损害的潜在可能性。在安全风险评估方法论中，威胁评估采用了威胁的可能性值。2威胁获取方法安全威胁获取的方法有：白客渗透测试(PenetrationTesting)、安全策略文档审阅、人员面谈、入侵检测系统收集的信息和人工分析等。联想顾问可以根据具体的评估对象、评估目的选择具体的安全威胁获取方式。经过研究，本项目采取了顾问访谈、安全策略文档审阅、人工分析和模拟攻击测试相结合的方法来获取资产存在的安全威胁，并根据专家经验进行赋值。原拟采用的利用入侵监测系第3页共15页XX市地税局信息系统威胁评估报告统收集威胁信息由于使用时间不足而不采用。威胁发现方法列表如下:编号发现方式描述1顾问访谈通过和安全管理人员进行访谈来获得威胁信息。2人工分析根据专家经验，从已知的数据中进行分析。3模拟攻击测试通过黑客攻击的测试方法来测试弱点，证实威胁。4安全策略文档分析安全策略文档分析。3威胁来源及性质划分威胁可以通过威胁主体、资源、动机、途径等多种属性来描述。造成威胁的因素可分为人为因素和环境因素。根据威胁的动机，人为因素又可分为恶意和非恶意两种。环境因素包括自然界不可抗的因素和其它物理因素。威胁作用形式可以是对信息系统直接或间接的攻击，在保密性、完整性或可用性等方面造成损害；也可能是偶发的、或蓄意的事件。在对威胁进行分类前，应考虑威胁的来源。表提供了一种威胁来源的分类方法。3.1威胁来源威赫源列表威胁来源名称威胁来源描述^项目重要程度分类内外部威胁设备故障软件、硬件、数据、通讯线路方面的故障4非人为威胁外部第4页共15页

XX市地税局信息系统威胁评估报告粗心、好奇或培训不足的雇员由于缺乏责任心，或者由于不关心和不专注而导致信息系统威胁的用户，由于缺乏培训，专业技能不足,不具备岗位技能要求而导致信息系统威胁的用户，属于内部威胁来源4人为非恶意内部内部人员犯罪内部雇员以犯罪为目的，采取自主或内外勾结的方式进行犯罪4人为恶意内部环境因素断电、静电、灰尘、火灾、电磁干扰等环境因素，洪灾、火灾、地震等自然灾害3非人为威胁外部不满的雇员当前被雇佣和对系统具有访问权的条件,有潜力对信息系统施加破坏的愤怒和不满的人。3人为恶意内部外部计算机犯罪主要指外部的计算机犯罪分子，包括有组织犯罪行为，有组织和财政资助。也包括个人的，没有很好的加入组织和接受援助3人为恶意外部外部黑客攻击网络和系统，企图探求操作系统的脆弱性3人为恶意外部或其它缺陷的人包括电信、税务等合作伙伴，和开发商、集成商、服务商等3人为恶意外部恶意第二方不可抗力战争、政变、瘟疫等等1非人为威胁外部竞争对手在竞争市场中营运的公司，以商业间谍的形式非法收集情报0人为恶意外部恐怖分子国内外代表各种恐怖分子或极端势力的个人或0人为恶意外部第5页共15页XX市地税局信息系统威胁评估报告团体，采取计算机犯罪方式。国家国家经营，组织精良并得到很好的财政资助，从敌对国家或具有经济、军事或政治优势的国家收集机密或关键信息0人为恶意外部经过访谈和分析，确认下述为XX市地税局的重点威胁来源，在整个评估项目中将重点考虑如下威胁来源。在接下来的威胁分析中将进一步详细分析，并确认其主要的威胁方式和赋值。设备故障粗心、好奇或培训不足的雇员内部人员犯罪恶意第三方环境因素不满的雇员3.2根据安全威胁产生的来源划分参照国家风险评估相关规范中的定义对安全威胁的产生来源和原因进行划分，可以分为以下几个方面：IDThreatByDescription1非授权故意行为Deliberateunauthorizedactionsbypeople2人为错误Errorsbypeople3软件、设备、线路故Software/equipment/linefailure第6页共15页

XX市地税局信息系统威胁评估报告IDThreatByDescription障4不可抗力ActsofGod4威胁赋值威胁属性威胁具有两个属性：可能性（Likelihood）、影响（Influence）。进一步，可能性和损失可以被赋予一个数值，来表示该属性。参照下表。可雌属性参考表可雌属性参考表等级标识定义5很高出现的频率很高（或三1次/周）；或在大多数情况下几乎不可避免；或可以证实经常发生过。4高出现的频率较高（或三1次/月）；或在大多数情况下很有可能会发生；或可以证实多次发生过。3中出现的频率中等（或〉1次/半年）；或在某种情况下可能会发生；或被证实曾经发生过。2低出现的频率较小；或一般不太可能发生；或没有被证实发生过。1很低威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生。简称说明5VH资产全部损失，或资产已不可用（＞75%）4H资产遭受重大损失（50%〜75%）第7页共15页

XX市地税局信息系统威胁评估报告3M资产遭受明显损失（25%〜50%）2L损失可忍受（＜25%）1N损失可忽略（〜0%）可能性属性非常难以度量，它依赖于具体的资产、弱点和影响。该属性还和时间有关系。最终表现出来的威胁是两个属性的共同作用；另外，在威胁评估中，评估者的专家经验非常重要。在本项目中，可以参照下面的矩阵进行威胁最终定值:\影响可忽略1可忍受2明显损失3重大损失4全部损失5不可避免512345非常可能412344可能312233可能性很小211222不可能111112第8页共15页XX市地税局信息系统威胁评估报告威胁可能性赋值判断威胁出现的频率是威胁赋值的重要内容，评估者应根据经验和有关的统计数据来进行判断。在评估中，需要综合考虑以下三个方面，以形成在某种评估环境中各种威胁出现的频率：以往安全事件报告中出现过的威胁及其频率的统计；实际环境中通过检测工具以及各种日志发现的威胁及其频率的统计；近一两年来国际组织发布的对于整个社会或特定行业的威胁及其频率统计，以及发布的威胁预警；可以对威胁出现的频率进行等级化处理，不同等级分别代表威胁出现的频率的高低。等级数值越大，威胁出现的频率越高；表提供了威胁出现频率的一种赋值方法。在实际的评估中，威胁频率的判断依据应在评估准备阶段根据历史统计或行业判断予以确定，并得到被评估方的认可。威胁来源名称威胁来源描述可能性软硬件故障由于设备硬件故障、通讯链路中断、系统本身或软件缺陷造成对业务实施、系统稳定运行的影响。4物理环境断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境问题或自然灾害。3无作为或操作失误由于应该执行而没有执行相应的操作，或无意地执行了错误2第9页共15页

XX市地税局信息系统威胁评估报告的操作，对系统造成的影响。管理不到位安全管理尢法落实，不到位，造成安全管理不规范，或者管理混乱，从而破坏信息系统正常有序运行。2恶意代码和病毒具有自我复制、自我传播能力，对信息系统构成破坏的程序代码。4越权或滥用通过采用一些措施，超越自己的权限访问了本来无权访问的资源，或者滥用自己的职权，做出破坏信息系统的行为。2网络攻击利用工具和技术，如侦察、密码破译、安装后门、嗅探、伪造和欺骗、拒绝服务等手段，对信息系统进行攻击和入侵。2物理攻击通过物理的接触造成对软件、硬件、数据的破坏。2泄密信息泄露给不应了解的他人。2篡改非法修改信息，破坏信息的完整性使系统的安全性降低或信息不可用。2抵赖不承认收到的信息和所作的操作和交易。2粗心、好奇或培训不足的雇员由于缺乏责任心，或者由于不关心和不专注而导致信息系统威胁的用户，由于缺乏培训，专业技能不足不具备岗位技能要求而导致信息系统威胁的用户，属于内部威胁来源2内部人员犯罪内部雇员以犯罪为目的，采取自主或内外勾结的方式进行犯罪2第10页共15页

XX市地税局信息系统威胁评估报告恶意第二方包括电信、税务等合作伙伴，和开发商、集成商、服务商等2不满的雇员当前被雇佣和对系统具有访问权的条件,有潜力对信息系统施加破坏的愤怒和不满的人。2外部计算机犯罪主要指外部的计算机犯罪分子，包括有组织犯罪行为，有组织和财政资助。也包括个人的，没有很好的加入组织和接受援助1外部黑客攻击网络和系统，企图探求操作系统的脆弱性或其它缺陷的人1不可抗力战争、政变、瘟疫等等1竞争对手在竞争市场中营运的公司，以商业间谍的形式非法收集情报1恐怖分子国内外代表各种恐怖分子或极端势力的个人或团体，采取计算机犯罪方式。1国家国家经营，组织精良并得到很好的财政资助从敌对国家或具有经济、军事或政治优势的国家收集机密或关键信息1威胁影响性赋值威胁来^名称影响资产影响值软硬件故障主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据4物理环境主机、网络设备、安全设备、通讯线路、保障设备4无作为或操作失误主机、网络设备、安全设备、通讯线路、保障设备、应用系3第11页共15页

XX市地税局信息系统威胁评估报告统、数据、文档资料、人员管理不到位主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员3恶意代码和病毒主机、网络设备、安全设备、通讯线路、应用系统、数据3越权或滥用主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料3网络攻击主机、网络设备、安全设备、通讯线路、应用系统3物理攻击主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、3泄密主机、网络设备、应用系统、数据、文档资料3篡改数据、文档资料、应用系统3抵赖数据、文档资料、应用系统3粗心、好奇或培训不足的雇员主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员3内部人员犯罪主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员3恶意第二方主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员2不满的雇员主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员2第12页共15页

XX市地税局信息系统威胁评估报告外部计算机犯罪主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员2外部黑客主机、网络设备、安全设备、通讯线路、应用系统、数据、文档资料、人员2不可抗力主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员1竞争对手主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员1恐怖分子主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员1国家主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员1第13页共15页

XX市地税局信息系统威胁评估报告威胁最终赋值威胁来源