风险评估技术方案

风险评估技术方案一、资产识别与分析保护资产免受安全威胁时本项目实施的根本目标。要做好这项工作，首先需要详细了解资产分类与管理的详细情况。1.阶段目标资产识别的目的就是要对系统的相矢资产做潜在的价值分析，了解其资产利用、维护和管理现状。明确各类资产具备的保护价值和需要的保护层次，从而使企业能够更合理的利用现有资产，更有效地进行资产管理，更有针对性的进行资产保护，最具有策略性的进行新的资产投入。2.阶段步骤阶段一：根据项目范围进行资产分裂与识别，包括主机设备网络设备＞数据库系统・应用系统・文档资产＞人员阶段二：进行资产识别，分类并赋值3.阶段方法资产评估方法项目名称资产分类调查简要描述米集资产信息，进行资产分类，划分资产重要级别及赋值。项目名称威胁调查评估项目名称威胁调查评估米、/集产信丿息，^进行产分/类人V分产^重^要^级别及赋值；进一步明确评估的范围和重点。主要内容米集资产信息，获取资产清单；进行资产分类划分；确定资产的重要级别，对资产进行赋值。实现方式调查。填表式调查。《资产调查表》，包含计算机设备、通讯设备、存储及保障设备、信息、软件等。父流。审阅已有的针对资产的安全管理规章制度、制度。与咼级主管、业务人员、网络管理员（系统管理员）等进行父流。工作条件电源和网络环境，单位人员和资配合。工作结果资产类别、资产重要级别4.阶段输出本阶段完成后输出文档如下《资产详细清单》、《资产赋值列表》二、威胁识别与分析威胁是指可能对资产或组织造成损害事故的潜在原因。作为风险评估的重要因素，威胁时一个客观存在的事物，无论对于多么安全的信息系统，它都存在。为全面、准确地了解系统所面临的各种威胁，需采用威胁分析方法。1.阶段目标通过威胁分析，找出系统目前存在的潜在风险因素，并进行统计，赋值，以便于列出风险。2.阶段步骤威胁识别采用人工审计、安全策略文档审阅、人员面谈、入侵检测系统收集的信息和人工分析。步骤一：把已经发现的威胁进行分裂；步骤二：把发现的威胁事件进行分析。3.阶段方法威胁调查评估

简要描述达成目标使用技术手段分析系统可能面临简要描述达成目标的所有安全威胁和风险。全面了解掌握信息系统可能面临的所有安全威胁和风险。对威胁进彳丁赋值并确定威胁等级。王要内容被动攻击的威胁与风险：网络通信数据被监听、口令等敏感信息被王要内容被动攻击的威胁与风险：网络通信数据被监听、口令等敏感信息被主动攻击威胁与风险：扫描目标主机、拒绝服务攻击、利用协议、软件、系统故障、漏洞插入或执行恶意代码（如：特洛伊木马、病毒、后门等）、越权访问、篡改数据、伪装、重放所截获数据等。邻近攻击威胁风险：损坏设备和线路、窃取存储介质、头盔口令等。分发攻击威胁与风险：在设备制造、安装、维护过程中，在设备设置影藏的后门或攻击途径。内部攻击威胁与风险：恶意修改数据和安全机制配置参数、恶意建立未授权连接、恶意的

物理损坏和破坏、无意的数据损坏和破坏。实现方式调查交流工具检测人工检测工作条件电源和网络环境，单位人员和资料配合。工作结果根据分析结果列出系统所面临的威胁，对威胁赋值并确定威胁级别。参加人员4.阶段输出网络管理员、系统管理员本阶段完成主要输出文档如下《威胁调查表》《威胁赋值列表》、脆弱性识别与分析脆弱性是对一个或多个资产脆弱点的总称，脆務性评估是对技术脆弱性和管理脆弱性识别和赋值的过程。1.阶段目标技术脆弱性主要采用工具扫描、人工检查、渗透测试、访谈等方式对物理环境、网络结构、应用软件、业务流程等进行脆弱性识别并赋值管理脆弱性主要通过管理访谈、文档查阅等方式对安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理等进行脆弱性识别并赋值。2.实施步骤脆弱性识别步骤主要通过技术脆弱性和管理脆務性来进行识别。2.1技术脆弱性•物理环境评估物理安全时一切系统安全的基础。对物理安全的评估将从机房选址、建设、员工、外来访问者进入机房的权限控制，机房的报警、电子监控以及防火、防水、防静电、防雷击、防鼠害、防辐射、防盗窃、火灾报警及消防措施、内部装修、供电系统等方面进行。物理安全评估项目名称物理安全评估项目名称物理安全评估简要描述分析物理安全中的安全隐患，提出安全建议。主要内容评估环境安全：机房选址、建设、主要内容评估环境安全：机房选址、建设、防火、防静电、防雷击、防鼠害、防辐射、防盗窃、火灾报警及消防措施、内部装

修、供配电系统是否满足相尖国家标准；内部及外来人员对机房的访问权限控制；安全审查及管理制度。评估设备安全：门控系统、网络专用设备和主机设备。评估介质安全：软盘、硬盘、光盘、磁带等媒体的管理，信息媒体的维修将保证所存储的信息不被泄露，不再需要的媒体，将按规定及时安全地予以销毁。实现方式^询现场检查资料收集工作条件单位人员和资料配合工作结果依据相矢的物理安全标准，结合某单位的实际需求，协助某单位改进安全措施。

参加人员设备管理员、维护人员参加人员2.2技术脆弱性•网络架构评估网络结构分析是风险评估中对业务系统安全性全面了解的基础个业务系统的网络结构是整个业务系统的承载基础，及时返现网络结构存在的安全性、网络负载问题，网络设备存在的安全性，抗攻击的问题是整个业务系统评估的重要环节。网络结构分析能做到：改善网络性能和利用率，使之满足业务系统需要，提供网络有矢扩充图、增加IT投资和提高网络稳定性，确保网络系统的安全运行，对网络环境、性能、故障和配置进行检查。在评估过程中，主要针对网络拓扑、访问控制策略与措施、网络设备配置、安全设备配置、网络性能与业务负载几个方面进行调查与分析。(1)网络拓扑威胁分析项目名称简要描述网络拓扑威胁分析项目名称简要描述分析整体的网络拓扑结构安全隐患，分析某单位网络内部网面临的外部和内部威胁达成目标准确把握网络拓扑上的安全隐患,重点是网络边界面临的安全隐患

主要内容设备确疋，基本的朿略状况外联链路或接□确定路由确定备份方式确认拨号接入确认业务和网络的矢系网络等级确认实现方式问询检查资料收集工作条件电脑和网络环境，单位人员和资料配合工作结果形成某单位的内部网络拓扌卜结构图参加人员网络管理员、业务维护员(2)访问控制策略与措施项目名称访问控制策略与措施评估简要描述评估单位网络内部网的访问控制朿略与措施的安全状况达成目标评估单位网络内部网的访问控制策略与措施的安全状况，协助某单位网络进行访问控制策略和措施的优化改进

主要内容网络设备的访问控制策略177/火k墙的7访问J策、—略操作系统访问控制策略其它访问控制策略5如认证等实现方式调查交流控制台安全审计工具测试工作条件电脑和网络环境，单位人员和资料配合工作结果针对某单位网络内部网络的访问控制策略和措施现状，提出改进优化建议所需时间1个工作日参加人员网络管理员、业务维护员(3)网络设备策略与配置项目名称网络设备策略与配置评估丄厶4」rVr/亠工ITI氏H仪7:八Az工口而二1简要描述评估单位现有网络设备和配置使用情况，考察网络设备的有效性、安全性达成目标协助某单位网络改进网络设备的安全配置，优化其服务性能

主要内容网络设备策略配置1网—络^设备H安^全漏漏洞J—J描测VLAN划分设备与链路冗余状况实现方式调查交流控制台女全审计工具漏洞扫描工作条件电脑和网络环境，单位人员和资料配合上［.V/—L1—［AAA7寸［1/舟i-l—t~ya7wl1/舟AAt工作结果针对某单位网络内部网络的策略配置状况，提出改进优化建议参加人员网络管理员、业务维护员(4)安全策略设备配置

主要内容种类：防火墙策略、管理配置效用实现方式调查实地察看工作条件电脑和网络环境，单位人员和资料配合_L4tn-htXAzyzr>/r>宀人、fl々砧兴Qm工作结果协助单位优化女全设备的效用，生成新的安全技木和设备的配置需求参加人员2.3:支术脆弱性应用安全系统评估技术人员应用评估概述针对企业矢键应用的安全性能进行的评估，分析某单位应用程序体系结构、设计思想和功能模块，从中可能发现的安全隐患。全面的了解应用系统在网络上的“表现”，将有助于对应用系统的维护与支持工作。了解单位应用系统的现状，发现存在的弱点和风险，作为后期改造的需求。在进行评估的时候，引入了威胁建模的方法，这一方法是一种基于安全的分析，有助于我们确定应用系统造成的安全风险，2.4管理脆弱性(1)安全管理策略项目名称安全管理策略评估简要描述达成目标评估单位现有安全管理策略的完善程度、合理程度；依据风险管理的相尖国内国际标准；贴近单位网络内部网的实际业务与应用状况；主要内容结合单位的实际需求，协助单位改进安全管理措施人员组织安全管理实现方式安全规章制度安全策略方针调查分析广泛交流工作条件电脑和网络环境，单位人员和资料配合工作结果丄SOI7799理标准，结合实际需求，协助安全管理措施参加人员参加人员业务和技术负责人参円丿人＞、业/务’［和术/人(2)应急安全管理项目名称简要描述应急安全管理评估单位网络的应急安全管理现状，包括应急流程、步骤、能力和管理制度等达成目标准确评估某单位网络应急安全管理状况；协助单位网络提高应急安全能力。主要内容应急案例应急安全流程应急安全步骤应急安全能力应急管理制度实现方式工作条件工作结果调查交流电脑和网络环境，单位人员和资料配合依据IS017799的信息安全管—理标准、结合实际需求，协助常规安全管理措施1有安全措施确认在脆弱性识别中，发现已经实施的安全脆弱性防护手段，进行整理。1.阶段输出本阶段完成后主要输出文档如下：《脆弱性赋值列表》《已有安全措施列表》五•综合风险评估风险是一种潜在可能性，是指某个威胁利用弱点引起某项资产或一组资产的损害，从而直街地或间接地引起企业或机构的损害。因此，分先和具体资产、其价值、威胁等级以及相矢的弱点直街相尖。从上述的定义可以看出，风险评估的策略是首先选定某项资产、评估资产价值、挖掘并评估资产面临的威胁、挖掘并评估存在的弱点、评估该资产风险、进而得出整个评估目标的风险。1.阶段目标本阶段目标是对目前存在的安全风险进行分析，包括风险计算、风险处置和风险的安全控制措施选择。根据计算出的风险值，对风险进行排序，并与单位共同选择风险的处置方式和风险的安全控制措施。2.阶段步骤步骤一：风险计算完成了资产识别、威胁识别、脆弱性识别后，将采用适当的方法确定威胁利用脆弱性导致安全事件发生的可能性，综合资产价值及脆弱性的严重程度来判断安全事件一旦发生造成的损失，最终得到风险识另IJ资产价(H.安全事件的可能性"存在的脆羯性威胁出现的频率对风险计算原理可采用下面的范式形式化加以说明:安全巾：识另IJ资产价(H.安全事件的可能性"存在的脆羯性威胁出现的频率对风险计算原理可采用下面的范式形式化加以说明:安全巾：「件威胁识别呃駅性资产识别脆弱性的严重程度值，风险计算原理如图所示：其中，R表示安全风险计算函数，A表示资产，T表示威胁，V表示脆弱性，Ta表示威胁出现的频率，la表示安全事件所用的资产价Va表示脆弱性严重程度，Vb表示存凤险值在的脆弱性，L表示威胁利用资产存在的脆弱性导致安全事件发生的可能性，F表示安全事件发生后产生的损失。有以下三个矢键计算环节:计算安全事件发生的可能性风险值=R(A,T,V)=R(L(Ta,Vb),F(la,Va))安全事件发生的可能性(威胁出现频率，脆弱性)计算安全事件的损失计算安全事件的损失=F(资产价值，脆弱性严重程度)=F(Ia,Va)(3)计算风险值风险值=R(安全事件发生的可能性，安全事件的损失)=R(L(Ta,Vb),F(Ia,Va))步骤二：进行风险结果判定确定风险数值的大小不是组织风险评估的最终目的，重要的是明确不同威胁对资产产生的风险的相对值，即要确定不同风险的优先次序或等级，对于风险级别高的资产应被优先分配资源进行保护。步骤三：选择控制措施根据风险分析的结果，综合考虑单位信息系统的实际情况、成本因素等选择相应的管理或技术控制手段，并结合已经发现的业务系统风险，给出整改建议。步骤四：残余风险处置对于不可接受范围内的风险，应在选择适当的控制措施后，对残余风险进行评价，判定风险是否已经降低到可以接受的水平，为风险管理提供输入。残余风险的评价可以依据组织风险评估的准则进行，考虑选择的控制措施和已有的控制措施对于威胁发生的可能性降低。某些风险可能在选择了适当控制措施后仍处于不可接受此类风险或增加控制措施。为确保所选控制措施的有效性，必要时可进行再评估，以判断实施控制措施后的残余风险是否是可被接受的。3.阶段输出本阶段完成后主要输出文档如下:《风险计算列表》《风险处置计划方案》《风险综合评估报告》六.风险评估结论1.成果交付风险评估完成后将提交以下文档：(1)《风险评估综合报告》主体报告，描述被评估信息系统得信息安全现状，对评估范围内的业务资产进行了分析，明确出威胁源采用何种威胁方法，利用了哪些脆弱性，对范围内的哪些资产产生了什么影响，采取何种对策进行防范威胁，减少脆弱性，并对风险评估做出总结，总结出哪些问题需要解决，哪些问题可以分部分期解决。《资产赋值列表》综合报告的子报告，描述了资产识别后，对资产进行分类整理，并依据其所受破坏后所造成的影响，分析出其影响权值及其重要性。《威胁赋值列表》综合报告的子报告，描述总结出评估范围内业务资产所面临的威胁源，以及其所采用的方法。（4）《脆弱性赋值列表》（包含《脆弱性扫描分析报告》）综合报告的子报告，描述出通过安全管理调查、工具扫描、手工检查进行专业分析后，总结出评估范围内业务资产存在的脆弱性。（5）《风险处置计划》综合报告后的辅助报告，通过综合分析，了解了当前安全现状，提出了针对当前问题的信息系统总体安全解决方案。成果验收对风险评估成果目标进行验收，在评估过程中及评估完成后，我方提供对因评估操作引起的设备、系统故障的应急响应服务。在用户方提出服务要求后5在1小时内给出有效的解决方案，2小时内解决问题；对重大故障，在8小时内予以解决。我方将提供额外的信息安全技术服务，不额夕卜收取费用。七.服务标准我方将按照GB/T20984-2007《信息安全技术信息安全风险评估规范》要求，对全市一体化在线政务服务平台系统开展风险评估服务。评估内容如下：1.《全市一体化在线政务服务系统信息安全风险评估报告》，报告至少包括以下内容：资产识别与分析；威胁识别与分析；脆弱性识别与分析；已有安全措施确认；综合风险评估；评估结论；2.评估内容（包括但不限于以下内容）：信息及信息载体：包括信息（数据）资产、应用资产、系统资产、硬件资产等。信息环境：包括硬件环境、软件环境等。根据风险评估有矢技术要求，对被评估信息系统进行评估分析，提出优化改进建议，最终形成风险评估报告。报告内容包括：评估概述、评估对象情况、资产识别与分析、威胁识别与分析、脆弱性识别与分