2 风险分析.ppt

1、第二章风险分析，刘玉玲，湖南大学计算机与通信学院，本章的要点，资产的有效保护，各种攻击的类型，什么是风险，如何识别风险和如何度量风险，2.1资产保护，2.1.1资产类型，物理资源，知识资源，时间资源，声誉(感觉)资源，2.1.2潜在的攻击源包括：内部系统，从办公室访问，通过广域网访问业务伙伴，通过互联网访问，通过调制解调器访问等。2.1.3有效保护资产，两种类型的损失，即时损失，长期恢复成本，以及网络安全最终是一个折衷的解决方案。应考虑以下因素：网络的现有环境、近期和远期网络发展变化趋势、先进安全架构的使用和系统安全平台用户的便利性、复杂性管理对现有系统的影响、不同平台的支持、安全强度和安全成

2、本之间的折衷、2.2攻击、2.2.1攻击类型阻塞攻击拦截攻击篡改攻击伪造攻击、2.2攻击、各种安全威胁、 2.2.2主动攻击和被动攻击从攻击方法来看，攻击类型可以分为：被动攻击，主动攻击，主动和被动安全威胁，2.2.3访问攻击-访问攻击可能发生的地方，2.2.3访问攻击有三种常见的攻击(1)窥探(2)窃听(如图所示)(3)拦截(如图所示)，窃听，拦截，使用错误的名称转换被拦截的信息， 2.2.4篡改攻击针对信息完整性有三种常见的篡改攻击：(1)更改(2)插入(3) 2.2.5拒绝服务攻击主要针对计算机和网络系统，拒绝合法用户使用系统、信息和功能等各种资源，可分为以下四种类型：(1)拒绝访问信息

3、(2)拒绝访问应用程序(3)拒绝访问系统(4)拒绝访问通信， 2.2.6针对信息可审计性的拒绝攻击包括两种类型：(1)伪造(2)安全是风险管理，2.1风险概念风险是构成安全基础的基本概念风险是需要保护的资产损失的可能性漏洞和威胁是衡量风险的两个组成部分，漏洞和威胁的关系，1。 漏洞漏洞是攻击的可能途径漏洞可能存在于计算机系统和网络中，也可能存在于管理过程中具有高价值的漏洞、低价值的漏洞或低价值的漏洞。威胁是一种可能破坏信息系统环境安全的行为或事件。它由三个部分组成：目标代理(攻击主体):访问、知识、动机事件(攻击行为)和3。威胁脆弱性风险是威胁和脆弱性的综合结果，可分为三个层次：低级风险是指脆

4、弱性使组织的风险达到一定程度，但中级风险不一定发生。漏洞使组织的信息系统或来源达到相当高的水平，并且存在发生事件的现实可能性。高风险是漏洞已经对组织的信息、系统或站点的机密性、完整性、可用性和可审计性造成了真正的损害。2.3.2风险识别组织风险评估的组成。1.识别漏洞，找到组织中系统和信息的所有访问点，并确定如何通过门户访问这些信息和系统。2.识别真正的威胁。真正的目标威胁通常不会暴露。目标威胁是让已知的代理为已知的目标服务。识别所有目标威胁非常耗时且困难。3。检查对策和预防措施如果确实存在漏洞，相应环境所采取的对策和预防措施应该对组织中的每个接入点都有相应的预防措施。4.识别风险，给出用现有预防措施识别的接入点，以及可能进入组织的接入点。首先确定每个接入点的可能威胁或一般威胁，并检查通过每个接入点的可能目标。风险度量风险度量必须确定组织在受到攻击后需要支付的成本。认识到组织的风险成