企业安全评估

October2006NSFOCUS咨询设计部*****@nsfocusProfessional

SecuritySolutionProvider**平安风险评估技术交流提纲**科技简介如何选择平安效劳提供商风险评估是平安体系建设的前提和根底**科技主要案例介绍**科技简介公司概况**科技是国内最早提出专业平安效劳的公司，国家级应急响应效劳提供单位目前为止，在全国共有员工340人全国各地设立23个运营机构，各机构的技术力量都能满足本地化的技术支持客户中包括了电信、移动、金融、政府、能源、企业以及涉密等多个行业参与了多项国内平安标准的制定和国家平安研究课题的工作机构分布总部与研发中心：北京分公司：上海广州

沈阳成都办事处

深圳海口福州长沙南京贵阳海口西安昆明重庆兰州南宁新疆济南杭州长春哈尔滨武汉公司资质、荣誉效劳资质2001年首批平安效劳试点企业2002年首批平安效劳一级资质企业2004年首批平安效劳二级资质企业2004年首批国家级平安紧急响应效劳单位2005年通过CVE兼容性最高认证ISO9001：2000国际国内双认证用户认可连续四年最值得信赖的平安效劳品牌连续获得三年电子政务百强称号荣获中关村最正确客户效劳奖专业资质荣誉证书公司稳定开展的历程研发和专业效劳技术人员占总人数的2/3以上，到达280人的技术力量**科技以平安效劳为公司成长的基点，以技术研究为公司开展源动力，使公司稳步向前开展6年来，公司业务规模持续稳定增长，在多个行业积累了丰富的行业经验，获得了行业客户的广泛认可拥有顶级平安专家组成的独立平安研究机构发现包括Microsoft、HP、CISCO、SUN、Juniper等多家厂商的31个严重平安漏洞六年来一直维护国内最大最权威的中文平安漏洞库NSBL，数目已经到达9265条。同时漏洞库已经成为同行业重要的参考依据和标准入侵检测规那么库从2002年起出口到美国市场，底层技术获得国际的广泛认可多年来的研究成果，奠定了**科技在国际平安界的地位，同时为国家信息平安研究和开展做出了重大奉献06年7月12日，又独立发现了MSOFFICE3个最为严重的漏洞雄厚的技术实力强大的研发创新能力保持每年一款新产品的推出原有产品每六个月进行一次升级2000年2001年2002年2003年2004年2005年2006年V5.0V4.0V4.0V1.5V5.0V1.0国内主流平安厂商中，唯一的全部产品线完全自主研发。**科技平安产品网络入侵检测系统漏洞扫描系统抗拒绝效劳系统内网平安管理系统网络入侵保护系统网络流量管理系统专业平安效劳NSPS工程经验专业团队效劳方法论工程组织经过5年专业平安效劳的执着实践，形成了国内最完善的专业平安效劳体系和完善的专业平安效劳方法论。丰富的行业效劳实践经验。具有大规模的丰富的平安产品实施经验。紧急响应小组(NSIRT)屡次为用户解决不同层次的平安问题具备国际一流的根底研究能力**科技平安小组(NSFOCUSSecurityTeam)效劳部门拥有多位CISSP、CISP、CCIE、CIW、PMP等国际认证专家。DIEM工程实施模型通过严格的二级效劳资质评审经过ISO9001认证的效劳过程形成积累总结培养**科技NSPS专业平安效劳体系专业平安效劳体系构成局部效劳用户中国电信中国移动中国联通银河证券华泰证券山东通信国家民政部国家质检总局山东通信TOM.COM所获荣誉2003值得信赖的效劳品牌2003中关村最正确客户效劳奖2004值得信赖的效劳品牌2005值得信赖的效劳品牌NSPS平安咨询日常平安咨询平安架构设计平安体系设计平安管理平安问题通告平安加固补丁管理紧急响应平安评估全面风险评估技术脆弱性评估应用平安评估渗透测试平安培训初级平安培训中级平安培训高级平安培训平安外包集中监控**科技技术实力总结面向全球提供具备核心竞争力的平安解决方案公司效劳资质国家平安效劳资质〔二级〕国家级公共互联网应急处理试点单位ISO9001质量管理体系国际国内双认证公司产品资质产品入围情况入侵检测产品EAL3认证中国国家信息平安产品测评认证中心认证中国国家公安部认证中国人民解放军平安产品测评中心认证国家保密局认证2003－2005年蝉联“中国信息平安值得信赖的平安效劳品牌〞2003—2005年度“中关村最具开展潜力的十佳中小高新技术企业〞2004—2005年赛迪评测〞年度IDS千兆产品精品大奖“和〞年度IDS产品工程师推荐奖“2004—2005年度中国计算机报“编辑选择奖〞定位获奖情况证书资质情况中国人民银行中国农业银行中国建设银行

中国移动测评第一名金财工程入围第一名如何选择平安效劳提供商如何选择平安效劳提供商国家认可的平安效劳资质同类行业实施工程数量及经验企业从事平安效劳的专业人员数量企业开展战略规划及成长方向本地化技术支持从业人员要求企业资质要求丰富的平安效劳工程经验精湛的底层技术的研究能力精深的平安标准掌握能力准确的把握国家政策导向专业的行业知识及其领域标准风险评估是平安体系建设的前提和根底子提纲－风险评估介绍概念和术语目的和作用评估的内容如何进行评估评估的效果操作模式风险评估的概念和术语信息资产脆弱性威胁风险风险评估风险管理信息资产是一个完整信息系统的组成局部，是风险评估的对象。一个信息系统的资产包括：物理资产，包括效劳器设备，终端设备，网络设备及其它设备等；软件资产，包括系统软件，业务应用软件，办公自动化软件及其它应用软件等；数据资产，包括系统数据，业务数据，办公数据，技术文档数据及其它数据等；其他资产，包括公司人力、声誉等。风险评估的概念和术语信息资产脆弱性威胁风险风险评估风险管理脆弱性是指资产或资产组中能被威胁利用的弱点。弱点可能位于包括物理环境、组织机构、业务流程、人员、管理、硬件、软件及通讯设施等各个方面。资产的脆弱性是资产所特有的，只能通过某种平安措施降低其脆弱程度，但它不可能完全被消灭。风险评估的概念和术语信息资产脆弱性威胁风险风险评估风险管理威胁是指可能对资产或组织造成损害事故的潜在原因。它包括五类：逻辑的威胁通信的威胁技术故障的威胁人员错误的威胁物理和环境的威胁威胁是客观存在的，不可能被消灭或改变。更确切地说某一特定资产必然面对某些特定的威胁风险评估的概念和术语信息资产脆弱性威胁风险风险评估风险管理信息系统的平安风险，是指由于系统存在的脆弱性，人为或自然的威胁导致平安事件发生的可能性及其造成的影响。风险只能预防、防止、降低、转移和接受，但不可能完全被消灭。风险评估的概念和术语信息资产脆弱性威胁风险风险评估风险管理是指依据国际、国家有关信息技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等平安属性进行科学识别和评价的过程。风险评估要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据平安事件发生的可能性和负面影响的程度来识别信息系统的平安风险。风险评估的概念和术语信息资产脆弱性威胁风险风险评估风险管理风险管理是基于风险评估的平安管理方法。它是以可以接受的代价识别、控制、最小化或者防止影响信息系统平安的风险的过程。风险评估分析风险控制一个完整的风险评估过程实际上就是一个风险管理过程。子提纲－风险评估介绍概念和术语目的和作用评估的内容如何进行评估评估的效果操作模式风险评估目的与作用发现问题找出方法提出建议提供方案人员平安意识人员平安知识平安管理制度平安管理策略资产平安属性环境平安现状业务运行现状……风险评估目的与作用发现问题找出方法提出建议提供方案风险评估安全目标安全策略方案与培训安全监控灾难恢复信息资产安全风险评估安全目标安全策略方案与培训安全监控灾难恢复信息资产安全

信息安全生命周期模型风险评估目的与作用发现问题找出方法提出建议提供方案如何提高平安意识如何提高平安知识如何执行平安制度如何完善平安策略如何保障资产平安如何保障环境平安如何保障业务运行……风险评估目的与作用发现问题找出方法提出建议提供方案提出培训方案平安规划方案平安建设方案应急响应预案……子提纲－风险评估介绍概念和术语目的和作用评估的内容如何进行评估评估的效果操作模式风险评估内容找出弱点发现威胁评估风险主要内容平安意识平安知识信息资产运行环境物理环境……找出弱点发现威胁评估风险主要内容内部平安威胁外部平安威胁第三方厂商平安威胁风险评估内容找出弱点发现威胁评估风险主要内容安全风险发现增加具有增加增加降低满足利用措施威胁抗击安全需求资产价值影响资产系统漏洞暴露产生风险评估内容找出弱点发现威胁评估风险主要内容按层次分：物理层：机房、设备、办公、线路、环境网络层：架构平安、设备漏洞、设备配置缺陷系统层：系统漏洞、配置缺陷应用层：软件漏洞、平安功能缺陷管理层：组织、策略、技术管理风险评估内容找出弱点发现威胁评估风险主要内容按模块分：业务状况网络结构物理环境管理状况人员状况系统平安平安产品和技术应用状况业务系统平安应急响应能力风险评估内容找出弱点发现威胁评估风险主要内容业务状况网络结构物理环境管理状况人员状况系统平安平安产品与技术应用状况业务平安应急响应能力业务类型数据处理流程数据完整性〔输入、处理、传输〕数据保密性〔认证、授权、加密〕业务可用性〔时间、可靠性〕业务事故案例业务拓展状况风险评估内容网络拓扑设备冗余链路冗余网络流量与拥塞控制VLAN划分网络接口网络可用性找出弱点发现威胁评估风险主要内容业务状况网络结构物理环境管理状况人员状况系统平安平安产品与技术应用状况业务平安应急响应能力风险评估内容防火、防盗、防静电防自然灾害访问控制〔人为控制、电子控制〕布线合理性电力保障找出弱点发现威胁评估风险主要内容业务状况网络结构物理环境管理状况人员状况系统平安平安产品与技术应用状况业务平安应急响应能力风险评估内容平安策略平安方案平安目标平安组织平安制度平安约束管理风险找出弱点发现威胁评估风险主要内容业务状况网络结构物理环境管理状况人员状况系统平安平安产品与技术应用状况业务平安应急响应能力风险评估内容平安意识平安技能平安培训平安约束平安状况的了解程度和满意程度企业满意度和忠诚度找出弱点发现威胁评估风险主要内容业务状况网络结构物理环境管理状况人员状况系统平安平安产品与技术应用状况业务平安应急响应能力风险评估内容操作系统数据库系统应用软件和应用系统路由器、交换机OS系统找出弱点发现威胁评估风险主要内容业务状况网络结构物理环境管理状况人员状况系统平安平安产品与技术应用状况业务平安应急响应能力风险评估内容平安技术和产品应用前后的效果平安功能的欠缺平安技术和产品需求找出弱点发现威胁评估风险主要内容业务状况网络结构物理环境管理状况人员状况系统平安平安产品与技术应用状况业务平安应急响应能力风险评估内容业务系统平安流程审核应急响应能力是否有相关处理流程人员是否清楚流程是否具备执行流程的能力流程是否经过演练风险评估可选择内容IDS动态数据嗅探分析人工渗透测试分析找出弱点发现威胁评估风险主要内容业务状况网络结构物理环境管理状况人员状况系统平安平安产品与技术应用状况业务平安应急响应能力风险评估内容子提纲－风险评估介绍概念和术语目的和作用评估的内容如何进行评估评估的效果操作模式如何进行风险评估风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程工程过程控制工程质量控制信息平安管理标准BS7799信息平安管理指南ISO13335信息平安通用准那么ISO15408〔GB/T18336〕系统平安工程能力成熟模型SSE-CMM其他相关标准〔AS/NZS4360，GAO/AIMD-00-33，GAO/AIMD-98-68，BSIPD3000，GB/T17859，IATF〕相关法规和政策行业管理规定如何进行风险评估风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程工程过程控制工程质量控制符合性原那么综合考虑IP网络的重要性、涉密程度和面临的信息平安风险等因素，进行相应等级的平安建设和管理规划。标准性原那么平安管理标准：ISO17799、ISO13335、ISO7498技术工程标准：SSE-CMM、ISO15408事实标准：CVE平安漏洞库、PMI工程管理标准性原那么NISF平安体系架构模型DIEM平安工程过程NSPS平安效劳标准可控性原那么人员可控工具可控工程过程可控如何进行风险评估风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程工程过程控制工程质量控制保密性原那么参与人员签署保密协议使用加密工具保护评估数据评估资料设置生命周期整体性原那么评估范围、深度的选择，防止遗漏平安隐患，保证结果具有整体性和全面性最小影响原那么评估前做好备份及应急响应准备评估方法、时间段的选择把对系统和网络的影响降到最低如何进行风险评估风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程工程过程控制工程质量控制先外后内策略数据流与业务流并行策略数据流与业务流关联策略如何进行风险评估风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程工程过程控制工程质量控制调查问卷人工访谈调研勘查平安扫描在线分析人工审计渗透测试管理审计策略评估如何进行风险评估系统层平安：该层的平安问题来自网络运行的操作系统：UNIX系列、Linux系列、WindowsNT系列以及专用操作系统等。平安性问题表现在两方面：一是操作系统本身的不平安因素，主要包括身份认证、访问控制、系统漏洞等；二是操作系统的平安配置存在问题。网络层平安：该层的平安问题主要指网络信息的平安性，包括网络层身份认证，网络资源的访问控制，数据传输的保密与完整性、远程接入、域名系统、路由系统的平安，入侵检测的手段等。应用层平安：该层的平安考虑网络对用户提供效劳所采用的应用软件和数据的平安性，包括：数据库软件、Web效劳、电子邮件系统、域名系统、交换与路由系统、防火墙及应用网管系统、业务应用软件以及其它网络效劳系统等。风险评估标准风险评估原那么风险评估策略风险评估方法平安扫描人工审计渗透测试调查问卷访谈调研风险评估工具风险评估过程工程过程控制工程质量控制如何进行风险评估网络接口之间、重要的网段之间是否实现了必要的访问控制措施；网络内部是否最优的划分了VLAN和不同的网段，保证了每个用户的最小权限原那么；路由器、交换机等网络设备的配置是否最优，是否配置了平安参数；主机系统的平安配置策略是否最优，是否进行了平安增强；平安设备的接入方式是否正确，是否最大化的利用了其平安功能而又占系统资源最小，是否影响业务和系统的正常运行。风险评估标准风险评估原那么风险评估策略风险评估方法平安扫描人工审计渗透测试调查问卷访谈调研风险评估工具风险评估过程工程过程控制工程质量控制如何进行风险评估在实际开始评估扫描同时，在被评估方的授权下，根据客户要求的重点IP，进行渗透测试，完全模拟黑客可能使用的攻击技术和漏洞发现技术，对目标系统的平安作深入的探测，发现系统最脆弱的环节。对这些重点IP做到尽可能的准确全面的测试，一旦发现危害性严重的漏洞，及时修补，以免后患。根据用户需求决定是否采用。风险评估标准风险评估原那么风险评估策略风险评估方法平安扫描人工审计渗透测试调查问卷访谈调研风险评估工具风险评估过程工程过程控制工程质量控制如何进行风险评估调查对象网络系统管理员、平安管理员、技术负责人等调查内容业务、资产、威胁、脆弱性〔管理方面〕设计原那么完整性、具体性、简洁性、一致性风险评估标准风险评估原那么风险评估策略风险评估方法平安扫描人工审计渗透测试调查问卷访谈调研风险评估工具风险评估过程工程过程控制工程质量控制如何进行风险评估访谈对象平安管理员、技术负责人、网络系统管理员等访谈内容确认问卷调查结果详细获取管理执行现状听取用户想法和意见风险评估标准风险评估原那么风险评估策略风险评估方法平安扫描人工审计渗透测试调查问卷人工访谈调研勘查风险评估工具风险评估过程工程过程控制工程质量控制如何进行风险评估调研勘查目的校验调查问卷以及人工访谈时，因为被调查对象逆反心理而造成的事实偏差调研勘查内容校核问卷调查结果校核管理执行现状校核用户想法和意见风险评估标准风险评估原那么风险评估策略风险评估方法平安扫描人工审计渗透测试调查问卷人工访谈调研勘查风险评估工具风险评估过程工程过程控制工程质量控制如何进行风险评估风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程工程过程控制工程质量控制“极光〞远程风险评估系统〔AURORA)“冰之眼〞网络入侵检测系统〔ICEYE〕**科技平安本地评估套件〔LSAS〕微软基准平安分析器〔MBSA〕如何进行风险评估风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程资产调查评估要素等级划分评估流程工程过程控制工程质量控制管理标准属性：编号、业务组、使用人、管理人、域名、IP地址、Mac地址、应用说明等物理资产的属性：型号、模块型号、价格等软件资产的属性：系统类型、版本、补丁情况等数据资产的属性：价值、应用等如何进行风险评估脆弱性威胁风险业务流与数据流两条评估主线业务管理员〔C，I，A〕，权重**科技工程人员〔C，I，A〕，权重风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程资产调查评估要素等级划分评估流程工程过程控制工程质量控制如何进行风险评估评估范围确定与业务调查资产识别与等级划分安全威胁识别与等级划分数据校核、分析与风险计算制定风险控制策略建立风险评估报告安全现状分析报告资产评估报告威胁评估报告安全风险评估报告风险控制策略报告风险分析报告策略脆弱性评估报告管理脆弱性评估报告技术脆弱性评估报告一、确定评估范围阶段二、资产识别与等级划分阶段四、安全威胁评估阶段三、脆弱性评估阶段五、风险分析阶段六、风险管理阶段安全工具扫描人工审计渗透测试BS7799安全制度审计安全策略评估风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程资产调查评估要素等级划分评估流程工程过程控制工程质量控制如何进行风险评估条理清晰，防止偏离工程范围和目标任务分解彻底，防止过程任务疏漏便于协调双方资源，并能合理分配利用资源保证过程各环节的封闭性和可追溯性风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程工程过程控制过程控制目的过程控制方法过程里程碑工程质量控制如何进行风险评估开工申请实施方案工作申请方案变更文件接收工作确认工作汇报数据校核过程关闭风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程工程过程控制过程控制目的过程控制方法过程里程碑工程质量控制如何进行风险评估工程启动会工程协调会工程阶段总结会工程阶段评审会工程总结评审会工程初验工程终验工程关闭风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程工程过程控制过程控制目的过程控制方法过程里程碑工程质量控制如何进行风险评估保证过程各环节的有效性、可验证性提供过程的可追溯性与数据准确性保证成果的可靠性和可信性风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程工程过程控制工程质量控制质量控制目的质量控制方法如何进行风险评估成立质控小组或有质控部门负责质控人员参加工程实施过程质控人员职责明确具备专业素养和技能质控流程清晰合理、过程严格风险评估标准风险评估原那么风险评估策略风险评估方法风险评估工具风险评估过程工程过程控制工程质量控制质量控制目的质量控制方法子提纲－风险评估介绍概念和术语目的和作用评估的内容如何进行评估评估的效果操作模式风险评估的效果发现平安问题提出解决方案指导平安规划完善平安体系保障平安运行信息资产、网络环境、物理环境、管理制度、平安策略、人员……脆弱性威胁风险风险评估的效果发现平安问题提出解决方案指导平安规划完善平安体系保障平安运行脆弱性分析威胁分析风险分析系统增强加固网络环境优化第三方产品补充平安策略修订完善平安制度加强人员平安培训风险评估的效果发现平安问题提出解决方案指导平安规划完善平安体系保障平安运行平衡建设与投资全局统筹，宏观掌控分期分批解决问题第一期平安建设第二期平安建设第三期平安建设风险评估的效果发现平安问题提出解决方案指导平安规划完善平安体系保障平安运行建立全方位、多层面平安防护体系建立动态与静态防护相结合平安体系确定不同级别防御平安域为等级化保护打下坚实根底风险评估的效果发现平安问题提出解决方案指导平安规划完善平安体系保障平安运行运行与生产是平安防护的重点风险评估不会影响平安运行与生产平安体系建设保障平安运行与生产子提纲－风险评估介绍概念和术语目的和作用评估的内容如何进行评估评估的效果操作模式平安风险评估模式评估模式分类方法自评估自评估特点检查评估检查评估特点委托评估委托评估特点复合模式评估复合模式评估特点评估模式国内外现用的风险评估模式，大体分自评估、检查评估与委托评估三种类型。分类依据主要根据评估方与被评估方的关系，以及评估方与被评估方和其信息资产的关系。评估模式特点在现阶段，不同模式各有优点和缺陷。平安风险评估模式定义自评估是信息系统拥有单位，依靠自身力量，对自有的信息系统进行的风险评估活动。信息系统的风险，不仅仅来自信息系统技术平台的共性，还来自于特定的应用效劳。由于具体单位的信息系统应用效劳各具特性，这些个性化的过程和要求往往是敏感的，是没有长期接触该单位所属行业和部门的人难于在短期内熟悉和掌握的。而且只有拥有者对威胁及其后果的体会最深切。评估模式分类方法自评估自评估特点检查评估检查评估特点委托评估委托评估特点复合模式评估复合模式评估特点平安风险评估模式优点:有利于保密；有利于发挥行业和部门内的人员的业务特长；有利于降低风险评估的费用；有利于提高本单位的风险评估能力与信息平安知识缺点:如果没有统一的标准和要求，在缺乏信息系统平安风险评估专业人才的情况下，自评估的结果可能不深入，不标准，不到位自评估中，也可能会存在某些不利的干预，从而影响风险评估结果的客观性降低评估结果的置信度某些时候，即使自评估的结果比较客观，但也可能不会被管理层所接受改进方法:可以用发挥专家的指导作用或委托专业评估组织参与局部工作的方式加以解决评估模式分类方法自评估自评估特点检查评估检查评估特点委托评估委托评估特点复合模式评估复合模式评估特点平安风险评估模式定义检查评估是由信息平安主管机关或业务主管机关发起，旨在依据已经公布的法规或标准，检查被评估单位是否满足了这些法规或标准这种评估具有强制性，是一种纯粹意义上的他评估，单位需要配合评估工作的开展。此外，检查评估必须以明确的法规或标准为根底。这是通过行政手段加强信息平安的重要措施评估模式分类方法自评估自评估特点检查评估检查评估特点委托评估委托评估特点复合模式评估复合模式评估特点平安风险评估模式优点:这种模式最具权威缺点:通常间隔时间较长一般是抽样进行不能贯穿于一个部门的信息系统的生命周期的全过程评估模式分类方法自评估自评估特点检查评估检查评估特点委托评估委托评估特点复合模式评估复合模式评估特点平安风险评估模式定义委托评估指信息系统使用单位委托具有风险评估能力的专业评估机构〔平安效劳企业〕实施的评估活动它既有自评估的特点〔由单位自身发起，且本单位对风险评估过程的影响可以很大〕，也有他评估的特点〔由独立与本单位的另外一方实施评估〕评估模式分类方法自评估自评估特点检查评估检查评估特点委托评估委托评估特点复合模式评估复合模式评估特点平安风险评估模式优点:在委托评估中，接受委托的评估机构一般拥有风险评估的专业人才风险评估的经验比较丰富对IT技术风险的共性了解得比较深入评估过程较为标准，评估结果的客观性比较好，置信度比较高缺点:评估费用可能会较高可能会难以