第八章计算机系统安全风险评估

第8章计算机系统

平安风险评价2/4/20241电子科技大学成都学院计算机系主要内容计算机系统平安风险评价的目的和意义平安风险评价途径平安风险评价根本方法平安风险评价工具平安风险评价的根据和过程2/4/20242电子科技大学成都学院计算机系8.1计算机系统平安风险评价的目的和意义1.平安风险评价是科学分析并确定风险的过程任何系统的平安性都可以经过风险的大小来衡量。风险评价——人们为了找出答案，分析确定系统风险及风险大小，进而决议采取什么措施去减少、转移、防止风险，把风险控制在可以容忍的范围内，这一过程即为风险评价。2/4/20243电子科技大学成都学院计算机系信息平安风险评价——从风险管理的角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的要挟及其存在的脆弱性，评价平安事件一旦发生能够呵斥的危害程度，提出有针对性的抵御要挟的防护对策和整改措施，并为防备和化解信息平安风险，将风险控制在可接受程度，最大程度地保证计算机网络信息系统平安提供科学根据。2/4/20244电子科技大学成都学院计算机系2.信息平安风险评价是信息平安建立的起点和根底信息平安风险评价是风险评价实际和方法在信息系统平安中的运用，是科学地分析了解信息和信息系统在性、完好性、可用性等方面所面临的风险，并在风险的预防、控制、转移、补偿以及分散等之间作出决策的过程。2/4/20245电子科技大学成都学院计算机系3.信息平安风险评价是需求主导和突出重点原那么的详细表达假设说信息平安建立必需从实践出发，坚持需求主导、突出重点、那么风险评价(需求分析)就是这一原那么在实践任务中的重要表达。从实际上讲风险总是客观存在的，平安是平安风险和平安建立管理代价的综合平衡。2/4/20246电子科技大学成都学院计算机系4.注重风险评价是信息化比较兴隆的国家的根本阅历20世纪70年代，美国政府就公布了<自动化数据处置风险评价指南>，其后公布的信息平安根本政策文件<联邦信息资源平安>明确提出了信息平安风险评价的要求——要求联邦政府部门根据信息和信息系统所面临的风险，根据信息丧失、滥用、泄露、未授权访问等呵斥损失的大小，制定、实施信息平安方案，以保证信息和信息系统应有的平安。2/4/20247电子科技大学成都学院计算机系8.2平安风险评价途径基线评价(BaselineRiskAssessment)详细评价组合评价风险评价途径是指规定风险评价应该遵照的操作过程和方式。2/4/20248电子科技大学成都学院计算机系基线评价(BaselineRiskAssessment)平安基线——在诸多规范规范中规定的一组平安控制措施或者惯例，这些措施和惯例适用于特定环境下的一切系统，可以满足根本的平安需求，能使系统到达一定的平安防护程度。采用基线风险评价，组织根据本人的实践情况，对信息系统进展平安基线检查，即拿现有的平安措施与平安基线规定的措施进展比较，找出其中的差距，得出根本的平安需求，经过选择并实施规范的平安措施来消减和控制风险。2/4/20249电子科技大学成都学院计算机系优点所需资源少、周期短、操作简单，对于环境类似且平安需求相当的诸多组织，基线评价显然是最经济有效地风险评价途径。缺陷基线程度的高低难以设定。假设过高，能够导致资源浪费和限制过度；假设过低，能够难以到达充分的平安。在管理平安相关的变化方面，基线评价比较困难。2/4/202410电子科技大学成都学院计算机系详细评价要求对资产进展详细识别和评价，对能够引起风险的要挟和脆弱点进展评价，根据风险评价的结果来识别和选择平安措施。这种评价途径集中表达了风险管理的思想，即识别资产的风险并将风险降到可接受的程度，以此证明管理者采用的平安控制措施是恰当的。优点：经过此途径可以对信息平安风险有一个准确的认识，并且准确定义出组织目前的平安程度和平安需求。缺陷：非常耗费资源，包括时间、精神、技术等。2/4/202411电子科技大学成都学院计算机系组合评价——将前面二者相结合！优点：既节省评价所耗费的资源，又能确保获得一个全面系统的评价结果。组织的资源和资金可以运用到最能发扬作用的地方，具有高风险的信息系统可以被预先关注。缺陷：假设初步的高级风险评价不够准确，某些本来需求详细评价的系统也会被忽略，最终导致结果失准。2/4/202412电子科技大学成都学院计算机系8.3平安风险评价根本方法目的——找出组织信息资产面临的风险及其影响基于知识的评价方法基于模型的评价方法定量评价方法定性分析方法定性与定量相结合的综合评价方法2/4/202413电子科技大学成都学院计算机系基于知识的评价方法又称为阅历法，采用这种方法，组织不需求付出很多精神、时间和资源，只需经过多种途径采集相关信息，识别组织的风险所在和当前的平安措施，与特定的规范或最正确惯例进展比较，从中找出不符合的地方，并按照规范或最正确惯例的引荐选择平安措施，最终到达消减和控制风险的目的。信息源包括：会议讨论；对当前的信息平安战略和相关文档进展复查；制造问卷，进展调查；对相关人员进展访谈；进展实地调查。2/4/202414电子科技大学成都学院计算机系基于模型的评价方法CORAS——平安危急系统的风险分析平台，2001年1月，由希腊、德国、英国、挪威等国的多家商业公司和研讨机构共同组织开发。目的：开发一个机遇面向对象建模，特别是UML技术的风险评价框架。评价对象：对平安要求很高的普通性系统，特别是IT系统的平安。2/4/202415电子科技大学成都学院计算机系优点提高了对平安相关特性描画的准确性，改善了分析结果的质量；图形化的建模机制便于沟通，减少了了解上的偏向；加强了不同评价方法互操作的效率。2/4/202416电子科技大学成都学院计算机系定量评价方法指运用数量目的来对风险进展评价，即对构成风险的各个要素和潜在损失的程度赋予数值或货币金额，当度量风险的一切要素都被赋值，如资产价值、要挟频率、弱点利用程度、平安措施的效率和本钱等，风险评价的整个过程和结果就都可以被量化了。2/4/202417电子科技大学成都学院计算机系优点用直观的数据来表述评价的结果，可以对平安风险进展准确的分级，但这有个前提，即可供参考的数据目的是准确的。缺陷：定量分析所依赖的数据的可靠性很难保证；为了量化，经常将本来比较复杂的事物简单化、模糊化了，有的风险要素被量化后还能够被误解和曲解。2/4/202418电子科技大学成都学院计算机系几个概念暴露因子EF：特定要挟对特定资产呵斥损失的百分比，即损失的程度。单一损失期望SLE：即特定要挟能够呵斥的潜在损失总量。年度发生率ARO：在一年内估计会发生要挟的频率。年度损失期望ALE：表示特定资产在一年内蒙受损失的预期值。2/4/202419电子科技大学成都学院计算机系定量分析的过程识别资产并为资产赋值；经过要挟和弱点评价，评价特定要挟作用于特定资产所呵斥的影响，即EF〔0%——100%〕；计算特定要挟发生的频率ARO；计算资产的SLE：SLE=总资产*EF计算资产的ALE：ALE=SLE*ARO对定量分析来说，有两个目的最为关键：EF和ARO2/4/202420电子科技大学成都学院计算机系定性分析方法主要根据评价者的知识、阅历、历史教训、政策走向及特殊情况等非量化资料，对系统风险情况作出判别的过程。操作方法有：小组讨论、检查列表、问卷、人员访谈、调查等。在此根底上，经过一个实际推导演绎的分析框架作出调查结论。优点：防止了定量方法的缺陷，可发掘出一些蕴藏很深的思想，使评价的结论更全面、深化。缺陷：客观性很强，往往需求凭仗分析者的阅历和直觉，或是业界的规范和惯例，为风险管理主要素的大小或高低程度定性分级。2/4/202421电子科技大学成都学院计算机系定量分析与定性分析比较：定性分析的准确度不够，定量分析那么比价准确，但前期建立风险模型较困难；定性分析没有定量分析那么繁多的计算负担，但要求分析者有一定的阅历和才干；定性分析不依赖于大量的统计数据，而定量分析那么不同；定性分析较为客观，定量分析基于客观；定性分析的结果很难有一致的解释，但是定量分析的结果很直观，恣意了解。2/4/202422电子科技大学成都学院计算机系定性与定量相结合的综合评价方法定量分析是定性分析的根底和前提，定性分析应建立在定量分析的根底上才干提示客观事物的内在规律。所以在复杂的信息系统风险评价过程中，应该将这两种方法交融起来。2/4/202423电子科技大学成都学院计算机系8.4平安风险评价工具风险评价工具是风险评价的辅助手段，是保证风险评价结果可信度的重要要素。它的运用不仅在一定程度上处理了手动评价的局限性，最主要的是它可以将专家知识进展集中，使专家阅历知识被广泛运用。2/4/202424电子科技大学成都学院计算机系1．风险评价与管理工具——一套集成了风险评价各类知识和判据的管理信息系统，以规范风险评价的过程和操作方法；或者是用于搜集评价所需求的数据和资料，基于专家阅历、对输入输出进展模型分析。分类1〕基于信息平安规范的风险评价与管理工具。2〕基于知识的风险评价与管理工具。3〕基于模型的风险评价与管理工具。2/4/202425电子科技大学成都学院计算机系2．系统根底平台风险评价工具系统根底平台风险评价工具包括脆弱性扫描工具和浸透性测试工具。脆弱性扫描工具主要用于对信息系统的主要部件〔如操作系统、数据库系统、网络设备等〕的脆弱性进展分析。2/4/202426电子科技大学成都学院计算机系目前常见的脆弱性扫描工具有以下几种类型。1〕基于网络的扫描器。在网络中运转，可以检测如防火墙错误配置或衔接到网络上的易受攻击的网络效力器的关键破绽。2〕基于主机的扫描器。发现主机的操作系统、特殊效力和配置的细节，发现潜在的用户行为风险，如密码强度不够，也可实施对文件系统的检查。2/4/202427电子科技大学成都学院计算机系3〕分布式网络扫描器。由远程扫描代理、对这些代理的即插即用更新机制、中心管理点三部分构成，用于企业级网络的脆弱性评价，分布和位于不同的位置、城市甚至不同的国家。4〕数据库脆弱性扫描器。对数据库的授权、认证和完好性进展详细的分析，也可以识别数据库系统中潜在的脆弱性。2/4/202428电子科技大学成都学院计算机系浸透性测试工具是根据脆弱性扫描工具扫描的结果进展模拟攻击测试，判别被非法访问者利用的能够性。这类工具通常包括黑客工具、脚本文件。浸透性测试的目的是检测已发现的脆弱性能否真正会给系统或网络带来影响。通常浸透性工具与脆弱性扫描工具一同运用，并能够会对被评价系统的运转带来一定影响。2/4/202429电子科技大学成都学院计算机系3．风险评价辅助工具风险评价需求大量的实际和阅历数据的支持，这些数据的积累是风险评价科学性的根底。风险评价辅助工具可以实现对数据的采集、现状分析和趋势分析等单项功能，为风险评价各要素的赋值、定级提供根据。2/4/202430电子科技大学成都学院计算机系常用的辅助工具有：检查列表—基于特定规范或基线建立的，对特定系统进展审查的工程条款。入侵检测系统—经过部署检测引擎，搜集、处置整个网络中的通讯信息，以获取能够对网络或主机呵斥危害的入侵攻击事件；协助检测各种攻击试探和误操作；也可以作为警报器以提示管理员。2/4/202431电子科技大学成都学院计算机系平安审计工具—用于记录网络行为，分析系统或网络平安现状；其审计记录可作为风险评价中的平安现状数据，并可用于判别被评价对象要挟信息的来源。拓扑发现工具—主要是完成网络硬件设备的识别、发现功能。经过接入点接入被评价网络，完成被评价网络中的资产发现功能，并提供网络资产的相关信息，包括操作系统版本、型号等。2/4/202432电子科技大学成都学院计算机系资产信息搜集系统—经过提供调查表方式，完成被评价信息系统数据、管理、人员等资产信息的搜集功能，了解到组织的主要业务、重要资产、要挟、管理缺陷、控制措施和平安战略的执行情况。其他—如用于评价过程参考的评价目的库、知识库、破绽库、算法库、模型库等。一些公用的自动化的风险评价工具：COBRA、CRAMM、ASSET、CORA、CCtools2/4/202433电子科技大学成都学院计算机系8.5平安风险评价的根据和过程8.5.1风险评价根据——风险评价应该根据国家政策法规、技术规范与管理要求、行业规范或国际规范进展。1〕政策法规。2〕国际规范。3〕国家规范。4〕行业通用规范。5〕其他。2/4/202434电子科技大学成都学院计算机系8.5.2风险要素2/4/202435电子科技大学成都学院计算机系8.5.3风险评价过程2/4/202436电子科技大学成都学院计算机系1．风险评价预备风险评价预备是整个风险评价过程有效性的保证。在正式进展风险评价之前，阻止应该制定一个有效的风险评价方案，确定平安风险评价的目的、范围，建立相关的组织机构，并选择系统性的平安风险评价方法来搜集风险评价所需的信息和数据。2/4/202437电子科技大学成都学院计算机系详细主要包括以下内容。1〕确定风险评价的目的。2〕确定风险评价的范围。3〕组建适当的评价管理与实施团队。4〕进展系统调研。5〕确定评价根据和方法。6〕制定风险评价方案。7〕获得最高管理者对风险评价任务的支持。2/4/202438电子科技大学成都学院计算机系2．资产识别在这一过程中确定信息系统的资产，并明确资产的价值。资产是组织(企业、机构)赋予了价值因此需求维护的东西。资产确实认该当从关键业务开场，最终覆盖一切的关键资产。在确定资产时一定要防止脱漏，划入风险评价范围的每一项资产都应该被确认和评价。1〕资产分类——数据、软件、硬件、效力、文档、人员、其它等。2〕资产赋值——三个平安属性：严密性、完好性、可用性。2/4/202439电子科技大学成都学院计算机系3．要挟识别在这一步骤中，组织应该识别每项(类)资产能够面临的要挟。平安要挟是一种对组织及其资产构成潜在破坏的能够性要素或者事件。无论对于多么平安的信息系统，平安要挟时一个客观存在的现实，它是风险评价的重要要素之一。1〕要挟分类。要挟来源——引发要挟的人或事物，可分为环境要素和人为要素。2〕要挟赋值——对要挟出现的频率进展评价。在评价中对出现的频率进展等级划分，等级数值越大，要挟出现的频率越高。2/4/202440电子科技大学成都学院计算机系4．脆弱性识别光有要挟还构不成风险，要挟只需利用了特定的弱点才能够对资产呵斥影响，所以，组织应该针对每一项需求维护的信息资产，找到可被要挟利用的脆弱点，并对脆弱性的严重程度进展评价，即对脆弱性被要挟利用的能够性进展评价，最终为其赋予相对等级值。2/4/202441电子科技大学成都学院计算机系1〕脆弱性识别内容数据来源——资产的一切者、运用者、相关业务领域和软硬件方面的专业人员等。采用方法——问卷调查法、工具检测法、人工核对法、文档查阅法、浸透性测试等。脆弱性识别主要从技术和管理两个方面进展。管理脆弱性又分为技术管理脆弱性和组织管理脆弱性。2〕脆弱性赋值——根据脆弱性对资产的暴露程度、技术实现的难易程度、流行程度等，采用等级划分对已识别的脆弱性的严重程度进展赋值。2/4/202442电子科技大学成都学院计算机系5．已有平安控制措施确认在影响要挟发生的外部条件中，除了资产的错弱点外，另一个就是组织现有的平安措施。识别已有的(或已方案的)平安控制措施，分析平安措施的效能，确定要挟利用弱点的实践能够性，一方面可以指出当前平安措施的缺乏，另一方面也可以防止反复投资。