信息安全系统风险评估报告材料

1111单位:1111系统安全项目信息安全风险评估报告我们单位名日期报告编写人:日期：批准人：日期：版本号：第一版本日期第二版本日期终板目录TOC\o"1-5"\h\z\o"CurrentDocument"1 概述 5\o"CurrentDocument"1.1 项目背景 5\o"CurrentDocument"1.2 工作方法 5\o"CurrentDocument"1.3 评估范围 5\o"CurrentDocument"1.4 基本信息 5\o"CurrentDocument"2 业务系统分析 62.1 业务系统职能 62.2 网络拓扑结构 62.3 边界数据流向 6\o"CurrentDocument"3 资产分析 63.1 信息资产分析 6信息资产识别概述 6.信息资产识别 7\o"CurrentDocument"4 威胁分析 74.1 威胁分析概述 7\o"CurrentDocument"4.2 威胁分类 8\o"CurrentDocument"4.3 威胁主体 8\o"CurrentDocument"4.4 威胁识别 9\o"CurrentDocument"5 脆弱性分析 9\o"CurrentDocument"5.1 脆弱性分析概述 9\o"CurrentDocument"5.2 技术脆弱性分析 10网络平台脆弱性分析 1.0操作系统脆弱性分析 1.0脆弱性扫描结果分析 1.1扫描资产列表 1.1高危漏洞分析 1.1系统帐户分析 1.1应用帐户分析 1.2

\o"CurrentDocument"5.3 管理脆弱性分析 12\o"CurrentDocument"5.4 脆弱性识别 14\o"CurrentDocument"6 风险分析 146.1 风险分析概述 146.2 资产风险分布 15\o"CurrentDocument"6.3 资产风险列表 15\o"CurrentDocument"7 系统安全加固建议 16\o"CurrentDocument"7.1 管理类建议 16\o"CurrentDocument"7.2 技术类建议 167.2.1 安全措施 1.6.网络平台 1.6.操作系统 1.7.8制定及确认 错误！未定义书签。98制定及确认 错误！未定义书签。9附录A：脆弱性编号规则 18概述项目背景发现系统安为了提高各系统的安全保障发现系统安为了提高各系统的安全保障全风险并及时纠正。 根据网络与信息安全建设规划，和运营水平，现提出系统安全加固与服务项目。工作方法在本次安全风险评测中将主要采用的评测方法包括：人工评测；工具评测；调查问卷；□□□□□评估范围此次系统测评的范围主要针对该业务系统所涉及的服务器、应用、数据库、网络设备、安全设备、终端等资产。主要涉及以下方面：业务系统的应用环境，；网络及其主要基础设施，例如路由器、交换机等；□□□□□□□□□,□□□□□□ IDS等；信息安全管理体系( ISMS)基本信息□□□□□□□XX系统□□□□□□□□□□□□□□□业务系统分析业务系统职能网络拓扑结构图表1业务系统拓扑结构图边界数据流向编号边界名称边界类型路径系统□□方数据流向□□□□□□1.MDN系统类MDN本系统/对端系统双向□□□□□□资产分析信息资产分析信息资产识别概述资产是风险评估的最终评估对象。在一个全面的风险评估中，风险的所有重要因素都紧紧围绕着资产为中心，威胁、脆弱性以及风险都是针对资产而客观存在的。威胁利用资产自身的脆弱性使得安全事件的发生成为可能，从而形成了风险。这些安全事件一旦发生，将对资产甚至是整个系统都将造成一定的影响。资产被定义为对组织具有价值的信息或资源， 资产识别的目标就是识别出资产的价值， 风险评估中资产的价值不是以资产的经济价值来衡量， 而是由资产在其安全属性—— 机密性、 完整性和可用性 上的达成程度或者其安全属性未达成时信息资产识别资产分类资产组IP地址/名称资产估价等级组号资产编号具体资产物理资产服务器1.H001sunultra60中H002sunultra60中H003sunultra60高H004sunultra60高网络设备2.N001华为3680E中N002华为3680E中N003华为S2016中软件资产操作系统、数据库和应用软件3.H001Solaris高H002Solaris高H003Solaris高H004Solaris高4.D001Sybase高威胁分析威胁分析概述威胁是指可能对资产或组织造成损害事故的潜在原因。作为风险评估的重要因素，威胁是一个客观存在的事物，无论对于多么安全的信息系统都存在。威胁可能源于对系统直接或间接的攻击，例如信息泄漏、篡改、删除等，在机密性、完整性或可用性等方面造成损害；威胁也可能源于偶发的、或蓄意的事件。按照威胁产生的来源，可以分为外部威胁和内部威胁：1□□部CMNET、其它电信运营商的 Internet互联网，以及第三方的攻击，其中互联网的威胁主要是黑客攻击、蠕虫病毒等，而第三方的威胁主要是越权或滥用、泄密、篡改、恶意代码或病毒等。2)内部威胁：主要来自内部人员的恶意攻击、无作为或操作失误、越权或滥用、 泄密、篡改等。 另外， 由于管理不规范导致各支撑系统之间的终端混用，也带来病毒泛滥的潜在威胁。对每种威胁发生的可能性进行分析，最终为其赋一个相对等级值，将根据经验、有关的统计数据来判断威胁发生的频率或者概率。 威胁发生的可能性受下列因素影响：1)资产的吸引力；

2)资产转化成报酬的容易程度；威胁的技术力量；脆弱性被利用的难易程度。下面是威胁标识对应表：威胁等级赋值可能带来的威胁可控性发生频度高3□□□□□□□□□□□□等□□□□□□□□□□□□□□□1次/□□；□□□□□□□□□□□□□□□；□可□□□□□□□□□中2□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□>1□/□□□；□□□□□□□□□□□□；□□□□□□□□□□低1□□□□□□□□□□ 恶意□□□□□□□□□□□□□□□□□□□；□□般□□□□□□；□□□□□□□□□□威胁分类下面是针对威胁分类对威胁途径的描述，其中不包括物理威胁：威胁种类威胁途径操作错误□□□□□□□□□□□□□□□滥用授权□□□□□□□□□□□□□□□□□□□□□□□□性行为抵赖□□□□□□□□□□□□□□□□□身份假冒□□□□□□□□□□□□□□□□□□密码分析□□□□□□□□□□□□□□□安全漏洞□□□□□□□□□□□□□□□□□□拒绝服务□□□□□□□□□□□□□□□□□□□□恶意代码□□□□□□□□□□□□□□□□□□□□□□□窃听数据□□□□□□□□□□□□□□□□□□□□□社会工程□□□□□□□□□□□□□□□□□□□□□意外故障□□□□□□□□□□□□□□□通信中断□□□□□□□□□□□□□□□□□□□威胁主体下面对威胁来源从威胁主体的角度进行了威胁等级分析：

威胁主体□□□□□□□□□□□□□□□□□□□□□□□□□操作错误滥用授权行为抵赖□□□□□□□□□□□□□□□□□□□□身份假冒密码分析安全漏洞拒绝服务恶意代码窃听数据社会工程系统组件意外故障通信中断威胁识别序号资产编号操作错误滥用授权行为抵赖身份假冒密码分析安全漏洞拒绝服务恶意代码窃听数据社会工程意外故障通信中断1.N0011222313122112.N0021222313122113.N0031222313122114.H0011121113112115.H0021121113112116.H0031121113112117.H0041121113112118.D001112221311211脆弱性分析脆弱性分析概述只有在被各种安全威胁利起不到应有作用的或没有只有在被各种安全威胁利起不到应有作用的或没有用后才可能造成相应的危害。 需要注意的是不正确的、正确实施的安全保护措施本身就可能是一个安全薄弱环节。这里将对脆弱性被威胁利用的可能性进行评估，最终为其赋相对等级值。

□□□□□赋值描述高3□□□□□□□□□,□□□□□□□□□□；中2□□□□□□□□□□□□□□□,□□□□□□□□定难度；低1□□□□□□□□□□□□□□□□□；在脆弱性评估时的数据来源应该是资产的拥有者或使用者，相关业务领域的专家以及软硬件信息系统方面的专业人员。在本次评估中将从技术、管理两个方面进行脆弱性评估。其中在技术方面主要是通过远程和本地两种方式进行工具扫描、手动检查等方式进行评估，以保证脆弱性评估的全面性和有效性；管理脆弱性评估方面主要是对现有的安全管理制度的制定和执行情况进行检查，发现其中的管理漏洞和不足。技术脆弱性分析网络平台脆弱性分析华为交换机、路由器设备脆弱性分析，下面按照严重程度高、中、低的顺序排列：□□性编号□□□□□□□□□□□严重程度V30001.未对 super密码加密高V30002.□□□□□□□□□高V30003.未对VTY的访问限制中V30004.□□□□□□□□□中V30005.□□用 FTP服务中V30006.□□□□□□□中V30007.未对VTY的数量限制低操作系统脆弱性分析Solaris□□□□□□□□□,□□□□□□□□□□□□□□□□□□：脆弱性编号□□□□□□□□□□□严重程度V22001.□□□□□□□□中V22002.□□□□□□□□□□低V22003.□□□□□□□□□低

脆弱性扫描结果分析扫描资产列表序号设备/系□□称IP地址扫描策略是否扫描1.□□□□□□□□是2.□□□□□□□□是3.solaris□□□用solaris□是4.solaris□□□用solaris□是5.solaris□□□用solaris□是6.solaris□□□用solaris□是7.windows终端windows系统是8.windows终端windows系统是9.windows终端windows系统是高危漏洞分析Solaris操作系统高危漏洞如下：□□性编号□□□□□□□□□□□严重程度V22004.OpenSSHS/Key□□□□□□□洞中V22005.OpenSSHGSSAPI信号处理□□□□□□□□□□中V22006.OpenSSH制块远程拒绝服□□洞中系统帐户分析本次扫描未发现系统帐户信息。

应用帐户分析本次扫描未发现应用帐户信息。5.3管理脆弱性分析项目子项检查结果可能危害安全策信息安全策略是否有针对业务系统的安全策略有无是否传达到相关员工有无是否有复核制度无明确的复核制度安全策略与现状不符合，贯彻不力安全组基础组织保障部门职责分配有无与外部安全机构的合作合作较少对最新的安全动态和系统现状的了解不足，不能及时响应最新的安全问题第三方访问安全访问控制外来人员参观机房需要有信息中心专人陪无保密合同有无资产分类与控资产分类资产清单和描述有无资产分类按业务角度进行分类无人员安岗位和资工作职责有无岗位划分划分明确无能力要求有，对人员基本能力有明确的技术要求无保密协议签订保密协议无培训定期培训公司定期培训，无针对本系统的培训不能完全适合该业务系统的实际情况，缺少针对性安全意识员工安全意识比较强无事故处理事故报告制度有事件报告机制，有明确规定无事故事后分析有无纠正机制有纠正机制无通讯与运行管操作规程和职责操作规程文件有明确的操作规程文件及文档指南无

项目子项检查结果可能危害理安全事故管理责任有完整流程，并作相应记录无内务处理信息备份有详细的备份计划无保持操作记录有完善的操作记录无故障记录有无系统访问控制网络访问控制外联用户控制有防火墙无网络路由控制有，统一做的无网络连接控制有无网络隔离控制划分vlan无应用系统访问控制用户认证用户名和密码简单认证模式未授权用户威胁系统安全口令管理有无文件共享无无数据库系统访问控用户权限控制有无访问权限控制有无口令控制有无日常维护业务系统监控有，并且有记录无网络监控有，统一部署的无维护文档更新有无系统日志有无业务连续性管容灾备份核心服务器冗余核心服务器数据库有备份无关键链路冗余有无数据库备份有数据备份无技术支持安全机构支持有无集成商的技术服务和支持华为无证据收集没有采取收集证据的方式来维护自己的利自身利益可能受到损失安全策略和技术安全策略信息系统有安全策略并经常被审查，集团下发的一些东西无技术符合性检验有，定期进行技术审查以确保符合安全实现标准无

脆弱性识别序号资产编号操作错误滥用授权行为抵赖身份假冒密码分析安全漏洞拒绝服务恶意代码窃听数据社会工程意外故障通信中断1.N0011212313111112.N0021212313111113.N0031212313111114.H0011121112111115.H0021121112111116.H0031121112111117.H0041121112111118.D001112111211111风险分析风险分析概述导致资产的丢失或损害风险只能预防、避导致资产的丢失或损害风险只能预防、避即对每一业务系统的资产因遭受泄露、修改、不可用和破坏所带来的任何影响做出一个风业务系统的资产因遭受泄露、修改、不可用和破坏所带来的任何影响做出一个风这也将是策划信息险测量的列表， 以便识别与选择适当和正确的风险控制策略，这也将是策划信息安全体系架构的重要步骤。

资产风险分布6.3资产风险列表□□□□□□□□□□□： R=f(A,T,V)二f(la,L(Va,T)),其中R代表风险，A代表资产的估价， T代表威胁， V代表脆弱性。我们得出下表：序号资产编号操作错误滥用授权行为抵赖身份假冒密码分析安全漏洞拒绝服务恶意代码窃听数据社会工程意外故障通信中断1.N00131261227327663332.N00231261227327663333.N00331261227327663334.H001331233318363335.H002331233318363336.H003331233318363337.H004331233318363338.D00133126631833633

系统安全加固建议7.1管理类建议编号□□□□□□□□□□□1.□□□□□□□□□□□□□□□□□□□□□,□□□行方法2.□□□□□□□□□□□□,□□新□□□□□□□□□□□□□□□,□□□□□□□□□□□□□□□□□□□□□□□□,□□□□□□□□□□□□□□□□□□3.在对设备和系统的维护管理中缺少强采用 SSH□□□□□□□□□□□,□□□□□□□□□□□□□□□□□□□□□□技术类建议安全措施编号□□□□□□□□□□□1.□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□2.□□□□□□□□□□□□□□□□□□□□□□□,□□□□□□□□□□□□□□□□□□□□□□3.□□□□□□□□□□□□□□□□□□施□□□□□□□□□□□,□□□□□□□□□□□□□□□□□□□□□□4.系统的内部网络中缺少入侵检测技术手段□□□□□□□□□□ IDS设备5.□□□□□□□□□□□□□□□□在关键链路或核心交换处增加流量监控设备网络平台华为交换机、路由器设备加固建议：□□性编号□□□□□□□□□□□加固风险 /□件V30001未对 super