信息安全風險評估報告(模板)

1、.安全風險評估報告系統(tǒng)名稱： xxxxxxxxxxx評估單位 ： xxxxxxxxxxxxxxxxxxxx評估時間：年月日word 完美格式.目錄報告聲明.錯誤！未定義書簽。委托方信息 .錯誤！未定義書簽。受托方信息 .錯誤！未定義書簽。風險評估報告單 .錯誤！未定義書簽。1.風險評估項目概述 .錯誤！未定義書簽。1.1.建設(shè)項目基本信息 .錯誤！未定義書簽。1.2.風險評估實施單位基本情況 .錯誤！未定義書簽。1.3.風險評估活動概述 .錯誤！未定義書簽。1.3.1.風險評估工作組織過程 .錯誤！未定義書簽。1.3.2.風險評估技術(shù)路線 .錯誤！未定義書簽。1.3.3.依據(jù)的技術(shù)標準及相關(guān)法

2、規(guī)文件. 錯誤！未定義書簽。2.評估對象構(gòu)成 .錯誤！未定義書簽。2.1.評估對象描述 .錯誤！未定義書簽。2.2.網(wǎng)絡(luò)拓撲結(jié)構(gòu) .錯誤！未定義書簽。2.3.網(wǎng)絡(luò)邊界描述 .錯誤！未定義書簽。2.4.業(yè)務(wù)應(yīng)用描述 .錯誤！未定義書簽。2.5.子系統(tǒng)構(gòu)成及定級 .錯誤！未定義書簽。3.資產(chǎn)調(diào)查 .錯誤！未定義書簽。3.1.資產(chǎn)賦值 .錯誤！未定義書簽。word 完美格式.3.2.關(guān)鍵資產(chǎn)說明 .錯誤！未定義書簽。4.威脅識別與分析 .44.1.關(guān)鍵資產(chǎn)安全需求 .44.2.關(guān)鍵資產(chǎn)威脅概要 .94.3.威脅描述匯總 .264.4.威脅賦值 .305.脆弱性識別與分析 .335.1.常規(guī)脆弱性描述

3、 .335.1.1.管理脆弱性 .335.1.2.網(wǎng)絡(luò)脆弱性 .335.1.3.系統(tǒng)脆弱性 .335.1.4.應(yīng)用脆弱性 .335.1.5.數(shù)據(jù)處理和存儲脆弱性 .335.1.6.災(zāi)備與應(yīng)急響應(yīng)脆弱性 .335.1.7.物理脆弱性 .335.2.脆弱性專項檢查 .345.2.1.木馬病毒專項檢查 .345.2.2.服務(wù)器漏洞掃描專項檢測 .345.2.3.安全設(shè)備漏洞掃描專項檢測 .495.3.脆弱性綜合列表 .516.風險分析 .61word 完美格式.6.1.關(guān)鍵資產(chǎn)的風險計算結(jié)果 .616.2.關(guān)鍵資產(chǎn)的風險等級 .676.2.1.風險等級列表 .676.2.2.風險等級統(tǒng)計 .686.

4、2.3.基于脆弱性的風險排名 .686.2.4.風險結(jié)果分析 .707.綜合分析與評價 .717.1.綜合風險評價 .717.2.風險控制角度需要解決的問題 .728.整改意見 .739.注意事項 .錯誤！未定義書簽。word 完美格式.威脅識別與分析1.1.關(guān)鍵資產(chǎn)安全需求重要性程度資產(chǎn)資產(chǎn)重要性重要資產(chǎn)名稱（重要等安全需求類別說明級）可用性 -系統(tǒng)可用性是必需的，價值非常高；保證各項系統(tǒng)數(shù)據(jù)正常傳輸?shù)酱疟P陣列。完整性 -完整性價值非常關(guān)鍵，除管理員外其保證 xxxx 系統(tǒng)他任何用戶不能修改光纖交換機非常重要數(shù)據(jù)正常傳輸?shù)綌?shù)據(jù)。Brocade 300（ 5）磁 盤 陣 列 的 設(shè)保密性 -包

5、含組織的重備。要秘密，泄露將會造成嚴重損害。完整性 -完整性價值非常關(guān)鍵，除管理員外其他任何用戶不能修改數(shù)據(jù)。word 完美格式.重要性程度資產(chǎn)資產(chǎn)重要性重要資產(chǎn)名稱（重要等安全需求類別說明級）保密性 -包含組織的重要秘密，泄露將會造成嚴重損害。保密性 -包含組織的重要秘密，泄露將會造成嚴重損害。保密性 -包含組織的重要秘密，泄露將會造成嚴重損害。保密性 -包含組織的重要秘密，泄露將會造成嚴重損害。可用性 -系統(tǒng)可用性是存儲磁盤陣列非常重要xxxx 系統(tǒng)數(shù)據(jù)存必需的，價值非常高；設(shè)備HP EVA4400（ 5）儲設(shè)備。保證 xxxx 系統(tǒng)數(shù)據(jù)存儲功能持續(xù)正常運行。word 完美格式.重要性程度

6、資產(chǎn)資產(chǎn)重要性重要資產(chǎn)名稱（重要等類別說明級）UPS電源保障機房電力保障的SANTAK 3C3重要（ 4）設(shè)備重要設(shè)備。EX 30KS安全需求完整性 -完整性價值非常關(guān)鍵，除管理員外其他任何用戶不能修改數(shù)據(jù)。保密性 -包含組織的重要秘密，泄露將會造成嚴重損害。可用性 -系統(tǒng)可用性價值較高；保證xxxx 系統(tǒng)供電工作正常。完整性 -完整性價值較高；除授權(quán)人員外其他任何用戶不能修改數(shù)據(jù)。保密性 -包含組織內(nèi)部可公開的信息，泄露將會造成輕微損害。word 完美格式.重要性程度資產(chǎn)資產(chǎn)重要性重要資產(chǎn)名稱（重要等安全需求類別說明級）完整性 -完整性價值較高，除授權(quán)人員外其他任何用戶不能修改數(shù)據(jù)。保密性

7、-包含組織的重要秘密，泄露將會造成嚴重損害?？捎眯?-系統(tǒng)可用性價值較高；保證xxxx 數(shù)據(jù)正常采集。完整性 -完整性價值較金農(nóng)一期業(yè)務(wù)部署在應(yīng)用服務(wù)高，除授權(quán)人員外其他4（高）系統(tǒng)器上。任何用戶不能修改數(shù)據(jù)。保密性 -包含組織的重要秘密，泄露將會造成嚴重損害。word 完美格式.重要性程度資產(chǎn)資產(chǎn)重要性重要資產(chǎn)名稱（重要等類別說明級）備份管理軟件xxxx 系統(tǒng)數(shù)據(jù)備Symantec重要（ 4）份管理軟件。Backup內(nèi)容管理軟件WCM-MUL-V6重要（ 4）用戶數(shù)據(jù)采編。0網(wǎng)站群版安全需求可用性 -系統(tǒng)可用性價值較高；保證xxxx 系統(tǒng)數(shù)據(jù)備份管理功能正常運行。完整性 -完整性價值較高，除

8、授權(quán)人員外其他任何用戶不能修改數(shù)據(jù)。保密性 -包含組織的重要秘密，泄露將會造成嚴重損害。可用性 -系統(tǒng)可用性價值較高；保證xxxx 系統(tǒng)數(shù)據(jù)的采編。完整性 -完整性價值較高，除授權(quán)人員外其他任何用戶不能修改數(shù)據(jù)。word 完美格式.重要性程度資產(chǎn)資產(chǎn)重要性重要資產(chǎn)名稱（重要等安全需求類別說明級）保密性 -包含組織的重要秘密，泄露將會造成嚴重損害?？捎眯?-系統(tǒng)可用性是必需的，價值非常高；保證 xxxx 系統(tǒng)的核心數(shù)據(jù)能夠正常讀取及使用。xxxx 系統(tǒng)數(shù)據(jù)非常重要xxxx 系統(tǒng)的核心完整性 -完整性價值非數(shù)據(jù)（ 5）數(shù)據(jù)。常關(guān)鍵，除管理員外其他任何用戶不能修改數(shù)據(jù)。保密性 -包含組織的重要秘密，

9、泄露將會造成嚴重損害。1.2.關(guān)鍵資產(chǎn)威脅概要威脅是一種客觀存在的， 對組織及其資產(chǎn)構(gòu)成潛在破壞的可能性因素，通過對“ xxxxxxxxxxxxxxxxxxxx信息系統(tǒng)”關(guān)鍵資產(chǎn)進行調(diào)查，對威脅來源（內(nèi)部/word 完美格式.外部；主觀 / 不可抗力等）、威脅方式、發(fā)生的可能性等進行分析，如下表所示：關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍維護人員操作不當， 導致交操作失誤（維護錯誤、操作失換機服務(wù)異常或中斷， 導致誤）金農(nóng)一期系統(tǒng)無法正常使用。流行的免費下載軟件中捆綁流氓軟件、免費音樂中包社會工程（社會工程學破解）含病毒、網(wǎng)絡(luò)釣魚、垃圾電子郵件中包括間諜軟件等，引起系統(tǒng)安全問題。核心交換機物理斷電導致關(guān)

10、鍵設(shè)備停Quidway S3300物理破壞（斷電、消防、盜竊止工作，服務(wù)中斷。Series和破壞）火災(zāi)隱患威脅系統(tǒng)正常運行。管理地址未與特定主機進濫用授權(quán)（非授權(quán)訪問網(wǎng)絡(luò)資行綁定，可導致非授權(quán)人員源、濫用權(quán)限非正常修改系統(tǒng)訪問核心交換機， 修改系統(tǒng)配置或數(shù)據(jù)）配置或數(shù)據(jù)，造成網(wǎng)絡(luò)中斷。意外故障（設(shè)備硬件故障、傳硬件故障、傳輸設(shè)備故障，輸設(shè)備故障）可能導致整個中心機房網(wǎng)word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍絡(luò)中斷，造成業(yè)務(wù)應(yīng)用無法正常運行。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）維護人員

11、操作不當， 導致交操作失誤（維護錯誤、操作失換機服務(wù)異?；蛑袛?， 導致誤）金農(nóng)一期數(shù)據(jù)無法正常保存到磁盤陣列。物理斷電導致關(guān)鍵設(shè)備停物理破壞（斷電、消防、盜竊止工作，服務(wù)中斷。和破壞）火災(zāi)隱患威脅系統(tǒng)正常運光纖交換機行。Brocade 300濫用授權(quán)（非授權(quán)訪問網(wǎng)絡(luò)資管理地址未與特定主機進源、濫用權(quán)限非正常修改系統(tǒng)行綁定，可導致非授權(quán)人員配置或數(shù)據(jù)）訪問光纖交換機， 修改系統(tǒng)配置或數(shù)據(jù)，造成數(shù)據(jù)存儲任務(wù)失敗。意外故障（設(shè)備硬件故障、傳硬件故障、傳輸設(shè)備故障，輸設(shè)備故障）可能導致磁盤陣列無法連word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍接到網(wǎng)絡(luò)，造成數(shù)據(jù)存儲失敗。管理不到位（管理制度和策略安

12、全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）維護人員操作不當， 導致交操作失誤（維護錯誤、操作失換機服務(wù)異?；蛑袛啵?導致誤）金農(nóng)一期系統(tǒng)無法通過互聯(lián)網(wǎng)訪問。物理斷電導致關(guān)鍵設(shè)備停物理破壞（斷電、消防、盜竊止工作，服務(wù)中斷。電信接入交換機和破壞）火災(zāi)隱患威脅系統(tǒng)正常運Quidway S3300行。Series管理地址未與特定主機進濫用授權(quán)（非授權(quán)訪問網(wǎng)絡(luò)資行綁定，可導致非授權(quán)人員源、濫用權(quán)限非正常修改系統(tǒng)訪問電信接入交換機， 修改配置或數(shù)據(jù)）系統(tǒng)配置或數(shù)據(jù)， 造成網(wǎng)絡(luò)中斷。意外故障（設(shè)備硬件故障、傳設(shè)備硬件故障、 傳輸設(shè)備故輸

13、設(shè)備故障）障，可能導致所有終端的網(wǎng)word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍絡(luò)傳輸中斷，影響各辦公室用戶接入網(wǎng)絡(luò)。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）維護人員操作不當， 導致出操作失誤（維護錯誤、操作失口路由器服務(wù)異?；蛑袛?，誤）影響地市州訪問金農(nóng)一期系統(tǒng)。物理斷電導致關(guān)鍵設(shè)備停物理破壞（斷電、消防、盜竊止工作，服務(wù)中斷。和破壞）火災(zāi)隱患威脅系統(tǒng)正常運電信出口路由器行。管理地址未與特定主機進濫用授權(quán)（非授權(quán)訪問網(wǎng)絡(luò)資行綁定，可導致非授權(quán)人員源、濫用權(quán)限非正常修改系統(tǒng)訪問電信出口路由器，

14、 修改配置或數(shù)據(jù)）系統(tǒng)配置或數(shù)據(jù)， 造成互聯(lián)網(wǎng)通信線路中斷。意外故障（設(shè)備硬件故障、傳設(shè)備硬件故障、 傳輸設(shè)備故輸設(shè)備故障）障，可能導致所有終端的網(wǎng)word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍絡(luò)無法接入互聯(lián)網(wǎng)。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）非法入侵者利用漏洞侵入系統(tǒng)篡改或破壞， 可能導致漏洞利用（利用漏洞竊取信數(shù)據(jù)不可用或完整性丟失。息、利用漏洞破壞信息、利用系統(tǒng)漏洞導致信息丟失、 信漏洞破壞系統(tǒng)）息破壞、系統(tǒng)破壞，服務(wù)不可用。系統(tǒng)可能受到病毒、木馬、惡意代碼（病毒、木馬、間諜間諜

15、軟件、竊聽軟件的影數(shù)據(jù)庫服務(wù)器軟件、竊聽軟件）響。物理斷電導致關(guān)鍵設(shè)備停物理破壞（斷電、消防、盜竊止工作，服務(wù)中斷。和破壞）火災(zāi)隱患威脅系統(tǒng)正常運行。硬件及系統(tǒng)故障導致系統(tǒng)意外故障（設(shè)備硬件故障）不可用，服務(wù)中斷。管理不到位（管理制度和策略安全管理制度不完善， 策略word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）非法入侵者利用漏洞侵入漏洞利用（利用漏洞竊取信系統(tǒng)篡改或破壞， 可能導致息、利用漏洞破壞信息、利用備份數(shù)據(jù)不可用或完整性漏洞破壞系統(tǒng)）丟失。系統(tǒng)可能受到病毒、木馬、惡意代碼（病毒、木馬、間諜間諜軟件

16、、竊聽軟件的影軟件、竊聽軟件）響。物理斷電導致關(guān)鍵設(shè)備停止工作，數(shù)據(jù)備份服務(wù)中數(shù)據(jù)庫備份服務(wù)器物理破壞（斷電、消防、盜竊斷。和破壞）火災(zāi)隱患威脅系統(tǒng)正常運行。服務(wù)器系統(tǒng)本身軟硬件故意外故障（設(shè)備硬件故障）障導致數(shù)據(jù)備份不可用。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍非法入侵者利用漏洞侵入漏洞利用（利用漏洞竊取信系統(tǒng)篡改或破壞， 可能導致息、利用漏洞破壞信息、利用系統(tǒng)業(yè)務(wù)中斷。漏洞破壞系統(tǒng)）入侵者利用系統(tǒng)漏洞攻擊系統(tǒng)，導致服務(wù)中斷。系統(tǒng)可能受到病毒、

17、木馬、惡意代碼（病毒、木馬、間諜間諜軟件、竊聽軟件的影軟件、竊聽軟件）響。物理斷電導致關(guān)鍵設(shè)備停物理破壞（斷電、消防、盜竊止工作，服務(wù)中斷。業(yè)務(wù)應(yīng)用服務(wù)器和破壞）火災(zāi)隱患威脅系統(tǒng)正常運行。硬件及系統(tǒng)故障導致系統(tǒng)意外故障（設(shè)備硬件故障、應(yīng)不可用，服務(wù)中斷。用軟件故障）應(yīng)用軟件故障導致服務(wù)中斷。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）部級下發(fā)服務(wù)器漏洞利用（利用漏洞竊取信非法入侵者利用漏洞侵入word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍息、利用漏洞破壞信息、利用系統(tǒng)篡改或破壞， 可能導致漏洞破壞

18、系統(tǒng)）下發(fā)數(shù)據(jù)丟失。入侵者利用系統(tǒng)漏洞攻擊系統(tǒng)，導致部級數(shù)據(jù)無法接收。系統(tǒng)可能受到病毒、木馬、惡意代碼（病毒、木馬、間諜間諜軟件、竊聽軟件的影軟件、竊聽軟件）響。物理斷電導致關(guān)鍵設(shè)備停止工作，部級數(shù)據(jù)無法接物理破壞（斷電、消防、盜竊收。和破壞）火災(zāi)隱患威脅系統(tǒng)正常運行。硬件及系統(tǒng)故障導致系統(tǒng)不可用，部級數(shù)據(jù)無法接意外故障（設(shè)備硬件故障、應(yīng)收。用軟件故障）應(yīng)用軟件故障導致部級數(shù)據(jù)無法接收。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍全）非法入侵者利用漏洞侵入

19、漏洞利用（利用漏洞竊取信系統(tǒng)篡改或破壞， 可能導致息、利用漏洞破壞信息、利用數(shù)據(jù)不可用或完整性丟失。漏洞破壞系統(tǒng)）系統(tǒng)來賓帳號密碼為空， 具有一定安全風險。系統(tǒng)可能受到病毒、木馬、惡意代碼（病毒、木馬、間諜間諜軟件、竊聽軟件的影軟件、竊聽軟件）響。物理斷電導致關(guān)鍵設(shè)備停物理破壞（斷電、消防、盜竊止工作，服務(wù)中斷。數(shù)據(jù)采集前置機和破壞）火災(zāi)隱患威脅系統(tǒng)正常運行。硬件及系統(tǒng)故障導致系統(tǒng)意外故障（設(shè)備硬件故障、應(yīng)不可用，服務(wù)中斷。用軟件故障）應(yīng)用軟件故障導致服務(wù)不可用。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺

20、失。全）word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍非法入侵者利用漏洞侵入漏洞利用（利用漏洞竊取信系統(tǒng)篡改或破壞， 可能導致息、利用漏洞破壞信息、利用數(shù)據(jù)不可用或完整性丟失。漏洞破壞系統(tǒng)）入侵者利用系統(tǒng)漏洞攻擊系統(tǒng)，導致服務(wù)中斷。系統(tǒng)可能受到病毒、木馬、惡意代碼（病毒、木馬、間諜間諜軟件、竊聽軟件的影軟件、竊聽軟件）響。物理斷電導致關(guān)鍵設(shè)備停物理破壞（斷電、消防、盜竊止工作，服務(wù)中斷。應(yīng)用支撐平臺和破壞）火災(zāi)隱患威脅系統(tǒng)正常運服務(wù)器行。硬件及系統(tǒng)故障導致系統(tǒng)意外故障（設(shè)備硬件故障、應(yīng)不可用，服務(wù)中斷。用軟件故障）應(yīng)用軟件故障導致服務(wù)中斷。管理不到位（管理制度和策略安全管理制度不完善， 策略

21、不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）管理不到位（管理制度和策略安全管理制度不完善， 策略word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）物理斷電導致關(guān)鍵設(shè)備停物理破壞（斷電、消防、盜竊止工作，服務(wù)中斷。和破壞）火災(zāi)隱患威脅系統(tǒng)正常運行。硬件故障，可能導致征金農(nóng)磁盤陣列意外故障（設(shè)備硬件故障、存一期業(yè)務(wù)數(shù)據(jù)的錯誤、異HP EVA4400儲媒體故障）常、丟失，進而導致所有業(yè)務(wù)中斷。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)

22、行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）UPS 若損壞，該設(shè)備功能失操作失誤（無作為）效。UPS 電源 SANTAK電源中斷導致 UPS 停止工電源中斷（備用電源中斷）3C3 EX 30KS作，無法正常儲備電源。硬件故障，遇到機房供電問意外故障（設(shè)備硬件故障）題，導致應(yīng)用服務(wù)中斷。word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍安全管理制度不完善， 策略管理不到位（管理制度和策略執(zhí)行無序，造成安全監(jiān)管漏不完善、管理規(guī)程遺失、職責洞。不明確、監(jiān)督控管機制不健UPS 無專人對其定期進行全）充放電操作，可導致UPS能效降低。千兆防火墻配置管理由外包公司維護，當系統(tǒng)發(fā)生故操作失誤（

23、操作失誤）障時，系統(tǒng)恢復不可控，易引發(fā)操作失誤。流行的免費下載軟件中捆綁流氓軟件、免費音樂中包千兆防火墻社會工程（社會工程學破解）含病毒、網(wǎng)絡(luò)釣魚、垃圾電綠盟子郵件中包括間諜軟件等，SG1200Series引起系統(tǒng)安全問題。物理斷電導致設(shè)備停止工物理破壞（斷電、消防、盜竊作。和破壞）火災(zāi)隱患威脅系統(tǒng)正常運行。濫用授權(quán)（非授權(quán)訪問網(wǎng)絡(luò)資管理地址未與特定主機進源、濫用權(quán)限非正常修改系統(tǒng)行綁定，可導致非授權(quán)人員word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍配置或數(shù)據(jù)）訪問防火墻。管理地址未與特定主機進行綁定，可導致非授權(quán)人員修改系統(tǒng)配置或數(shù)據(jù)， 造成網(wǎng)絡(luò)中斷。硬件故障、傳輸故障，可能導致中心機房與

24、互聯(lián)網(wǎng)的通信中斷，或中心機房與電意外故障（設(shè)備硬件故障、傳子政務(wù)外網(wǎng)的通信中斷， 或輸設(shè)備故障）網(wǎng)絡(luò)邊界安全防護服務(wù)功能喪失，造成中心機房各服務(wù)器和業(yè)務(wù)數(shù)據(jù)的安全威脅。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）設(shè)備管理由外包公司維護，IDS 入侵檢測系統(tǒng)操作失誤（維護錯誤、操作失當系統(tǒng)發(fā)生故障時， 系統(tǒng)恢綠盟誤）復不可控，易引發(fā)操作失NIDS1200Series誤。word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍物理斷電導致設(shè)備停止工物理破壞（斷電、消防、盜竊作。和破壞）火災(zāi)隱患威脅系統(tǒng)正常運行。

25、管理地址未與特定主機進行綁定，可導致非授權(quán)人員濫用授權(quán)（非授權(quán)訪問網(wǎng)絡(luò)資訪問 IDS。源、濫用權(quán)限非正常修改系統(tǒng)管理地址未與特定主機進配置或數(shù)據(jù)）行綁定，可導致非授權(quán)人員修改系統(tǒng)配置或數(shù)據(jù)。硬件故障，可能導致 IDS 無意外故障（設(shè)備硬件故障）法正常使用，無法監(jiān)控網(wǎng)絡(luò)中的入侵和攻擊行為。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）設(shè)備管理由外包公司維護，入侵防護系統(tǒng)當系統(tǒng)發(fā)生故障時， 系統(tǒng)恢綠盟 NIPS 1000操作失誤（操作失誤）復不可控，易引發(fā)操作失Series誤。word 完美格式.關(guān)鍵資產(chǎn)

26、名稱威脅類型關(guān)注范圍物理斷電導致設(shè)備停止工物理破壞（斷電、消防、盜竊作。和破壞）火災(zāi)隱患威脅系統(tǒng)正常運行。管理地址未與特定主機進行綁定，可導致非授權(quán)人員濫用授權(quán)（非授權(quán)訪問網(wǎng)絡(luò)資訪問應(yīng)用安全管理系統(tǒng)。源、濫用權(quán)限非正常修改系統(tǒng)管理地址未與特定主機進配置或數(shù)據(jù)）行綁定，可導致非授權(quán)人員修改系統(tǒng)配置或數(shù)據(jù)。硬件故障，可能導致入侵防意外故障（設(shè)備硬件故障）護系統(tǒng)無法正常使用， 無法防御網(wǎng)絡(luò)入侵。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）數(shù)據(jù)庫管理由外包公司維SQL Server2008護，當系統(tǒng)發(fā)生故障

27、時，系操作失誤（操作失誤）標準版統(tǒng)恢復不可控， 易引發(fā)操作失誤。word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍數(shù)據(jù)庫軟件故障， 可導致系意外故障（數(shù)據(jù)庫軟件故障）統(tǒng)的核心數(shù)據(jù)嚴重損失。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）系統(tǒng)具備數(shù)據(jù)備份與恢復機制，但應(yīng)加強管理，以備恢復使用。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，造成安全監(jiān)管漏不明確、監(jiān)督控管機制不健洞和缺失。全）操作失誤（維護錯誤、操作失系統(tǒng)軟件可能在維護中出誤）現(xiàn)錯誤。身份假冒（用戶身份

28、偽裝和欺身份被冒用，產(chǎn)生欺騙行金農(nóng)一期應(yīng)用系統(tǒng)騙）為。對互聯(lián)網(wǎng)用戶發(fā)布， 可能遭口令攻擊（嗅探口令、暴力破到口令攻擊，如口令嗅探和解）暴力破解。word 完美格式.關(guān)鍵資產(chǎn)名稱威脅類型關(guān)注范圍流行的免費下載軟件中捆綁流氓軟件、免費音樂中包社會工程（社會工程學破解）含病毒、網(wǎng)絡(luò)釣魚、垃圾電子郵件中包括間諜軟件等，引起系統(tǒng)安全問題。軟件故障，可能導致xxxx意外故障（應(yīng)用軟件故障）業(yè)務(wù)無法正常使用。管理不到位（管理制度和策略安全管理制度不完善， 策略不完善、管理規(guī)程遺失、職責執(zhí)行無序，無相關(guān)記錄，造不明確、監(jiān)督控管機制不健成安全監(jiān)管漏洞和缺失。全）1.3.威脅描述匯總威脅發(fā)影響生頻率威（完整性修（

29、很高脅威脅存在的威脅改、機密性5/ 高 4/作用對象種子類描述暴露、可用中 3/低類性遺失描2/很低述）1 ）word 完美格式.威脅發(fā)影響生頻率威（完整性修（很高脅威脅存在的威脅改、機密性5/ 高 4/作用對象種子類描述暴露、可用中 3/低類性遺失描2/很低述）1 ）數(shù)據(jù)庫遭受數(shù)據(jù)庫服務(wù)器、數(shù)據(jù)庫備利用網(wǎng)絡(luò)攻擊，系統(tǒng) 數(shù)據(jù) 易份服務(wù)器、業(yè)務(wù)應(yīng)用服務(wù)漏洞如數(shù)據(jù)完整通過 漏洞 被4（高）器、部級下發(fā)服務(wù)器、數(shù)破壞性被修改，破壞。據(jù)采集前置機、應(yīng)用支撐信息可能會發(fā)生平臺服務(wù)器。安全事件。word 完美格式.威脅發(fā)影響生頻率威（完整性修（很高脅威脅存在的威脅改、機密性5/ 高 4/作用對象種子類描述

30、暴露、可用中 3/低類性遺失描2/很低述）1 ）服務(wù)器遭受網(wǎng)絡(luò)攻擊，可能使內(nèi)部網(wǎng)絡(luò)、服務(wù)數(shù)據(jù)庫服務(wù)器、數(shù)據(jù)庫備利用系統(tǒng) 數(shù)據(jù) 易器設(shè)施的因份服務(wù)器、業(yè)務(wù)應(yīng)用服務(wù)漏洞通過 漏洞 被攻擊而產(chǎn)生4（高）器、部級下發(fā)服務(wù)器、數(shù)破壞破壞。通信中斷故據(jù)采集前置機、應(yīng)用支撐系統(tǒng)障或安全服平臺服務(wù)器。務(wù)中斷，從而導致可用性遺失。管理規(guī)程存管理管理規(guī)程缺在缺陷，可規(guī)程失，易造成安3（中）所有資產(chǎn)能導致針對缺失全監(jiān)管漏洞。關(guān)鍵資產(chǎn)的word 完美格式.威脅發(fā)影響生頻率威（完整性修（很高脅威脅存在的威脅改、機密性5/ 高 4/作用對象種子類描述暴露、可用中 3/低類性遺失描2/很低述）1 ）日常運維管理方面出現(xiàn)漏洞

31、。職責不明職責職責不明確，確，可導致不明易造成安全3（中）所有資產(chǎn)安全監(jiān)管漏確監(jiān)管漏洞。洞。監(jiān)督控管機監(jiān)督監(jiān)督控管機制等方面存控管制不健全，易在缺陷，導機制3（中）所有資產(chǎn)造成安全監(jiān)致完整性或不健管漏洞?？捎眯缘倪z全失。word 完美格式.1.4.威脅賦值威脅管操濫行身口密漏拒惡竊物社意通數(shù)電越理資產(chǎn)名稱作用 為份令碼洞絕意取理會外信 據(jù)源災(zāi)權(quán)不失授抵假攻分利服代數(shù)破工故中受中害使到誤權(quán)賴冒擊析用務(wù)碼據(jù)壞程障斷損斷用位核心交換機242443光纖交換機24243電信接入交換機24243電信出口路由器24243數(shù)據(jù)庫服務(wù)器42243數(shù)據(jù)庫備份42243服務(wù)器業(yè)務(wù)應(yīng)用42243服務(wù)器部級下發(fā)4224

32、3服務(wù)器數(shù)據(jù)采集前置機42243應(yīng)用支撐平臺服42243務(wù)器word 完美格式.威脅管操濫行身口密漏拒惡竊物社意通數(shù)電越理資產(chǎn)名稱作用 為份令碼 洞絕意取理會外信 據(jù)源災(zāi)權(quán)不失授抵假攻分利服代數(shù)破工故中受中害使到誤權(quán)賴冒擊析用務(wù)碼據(jù)壞程障斷損斷用位磁盤陣列243UPS電源2423千兆防火墻242443IDS 入侵檢測系24243統(tǒng)入侵防護24243系統(tǒng)SQL223Server2008備份管理223軟件內(nèi)容管理軟件WCM-MUL-V60223網(wǎng)站群版xxxx 系統(tǒng)數(shù)據(jù)423word 完美格式.威脅管操濫行身口密漏拒惡竊物社意通數(shù)電越理資產(chǎn)名稱作用為份令碼洞絕意取理會外信據(jù)源災(zāi)權(quán)不失授抵假攻分利服

33、代數(shù)破工故中受中害使到誤權(quán)賴冒擊析用務(wù)碼據(jù)壞程障斷損斷用位金農(nóng)一期業(yè)務(wù)系434433統(tǒng)word 完美格式.脆弱性識別與分析2.1.常規(guī)脆弱性描述2.1.1.管理脆弱性.2.1.2.網(wǎng)絡(luò)脆弱性.2.1.3.系統(tǒng)脆弱性.2.1.4.應(yīng)用脆弱性.2.1.5.數(shù)據(jù)處理和存儲脆弱性.2.1.6.運行維護脆弱性.2.1.7.災(zāi)備與應(yīng)急響應(yīng)脆弱性2.1.8.物理脆弱性word 完美格式.2.2.脆弱性專項檢查2.2.1.木馬病毒專項檢查信息系統(tǒng)配置異常流量監(jiān)控系統(tǒng)、入侵防護、入侵檢測、防病毒網(wǎng)關(guān)，均通過聯(lián)網(wǎng)升級；系統(tǒng)安裝瑞星殺毒軟件， 程序版本號 23.00.48.42 ，升級設(shè)置為 “即時升級”，殺毒引擎

34、級別設(shè)置為中。2.2.2.服務(wù)器漏洞掃描專項檢測主機掃描統(tǒng)計列表高危險中危險低危險服務(wù)用戶風險序號IP 地址漏洞總數(shù)安全狀態(tài)漏洞漏洞漏洞總數(shù)總數(shù)分值word 完美格式.漏洞統(tǒng)計序號漏洞名稱危險級別漏洞類別發(fā)現(xiàn)主機遠程主機正1.在運行終端低信息收集類服務(wù)匿名 IPC$ 連2.低NT 口令類接檢查可以通過NetBios 獲3.低信息收集類取操作系統(tǒng)信息ICMP 時間4.低信息收集類戳獲取遠程主機HTTP/WWW5.低信息收集類服務(wù)正在運行WWW Web6.服務(wù)器版本低信息收集類檢查word 完美格式.序號漏洞名稱危險級別漏洞類別發(fā)現(xiàn)主機SNMP 使用7.高SNMP 類默認團體名SNMP 泄露8.中

35、SNMP 類Wins 用戶名SNMP 不能通知9.中SNMP 類management stations服務(wù)統(tǒng)計序號 服務(wù)名稱端口協(xié)議描述發(fā)現(xiàn)主機word 完美格式.序號 服務(wù)名稱端口協(xié)議描述發(fā)現(xiàn)主機ms-term-1services3389TCPMicrosoftMicrosoft-2445TCP-dsDSLocation3loc-srv135TCPServiceNETBIOS會4會話服務(wù)139TCP話服務(wù)compaqCompaq5-2381TCPHTTPShttpsCompaqremotecompaqdiagnosti62301TCPdiagcmanagementword 完美格式.序號 服

36、務(wù)名稱端口協(xié)議描述發(fā)現(xiàn)主機NetworkData7ndmp10000TCPManagementProtocolWorld超文本傳Wide Web880TCP輸協(xié)議（WWW ）服務(wù)器Microsoft-9ms-sql-s1433TCPSQL-Server10未知端口8087TCP漏洞掃描詳細列表 SNMP 使用默認團體名發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別高影響平臺SNMPword 完美格式.Windows的SimpleNetworkManagementProtocol(SNMP) 使用默 認的public團體 名。攻 擊者可 以利 用Simple詳細描述NetworkManagementPr

37、otocol(SNMP)取得有關(guān)機器的有用信息，例如網(wǎng)絡(luò)設(shè)備的信息，有那些打開的連接等等。 Apache Tomcat Transfer-Encoding頭處理拒絕服務(wù)和信息泄露漏洞發(fā)現(xiàn)主機1漏洞分類CGI 類危險級別中Apache Tomcat5.5.0 through 5.5.29影響平臺6.0.0 through 6.0.27,and 7.0.0 betaApache Tomcat是一個流行的開放源碼的JSP 應(yīng)用服務(wù)器程序。Apache Tomcat服務(wù)器在處理 HTTP請求中的 Transfer-Encoding詳細描述頭時存在多個錯誤，導致無法循環(huán)使用緩沖區(qū)。遠程攻擊者可以利用這個

38、漏洞導致之后的請求失敗，或在請求之間泄露信息。SNMP 不能通知 management stations發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別中影響平臺SNMPword 完美格式.很多 SNMPagents 可以被配置在收到認證不合格的SNMP 消息后發(fā) 送SNMPtrap或 通 知 到 管 理 臺 。 如 果 可 以 寫 入詳細描述snmpEnableAuthenTrapsobject，這些通知便可以不發(fā)，從而阻止 agent發(fā)送通知。SNMP 泄露 Wins 用戶名發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別中影響平臺Windows NT 、Windows 2000詳細描述該漏洞表明通過SNMP

39、 可以暴露 Windows NT上的所有用戶名。 SNMP 服務(wù)正在運行發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別低影響平臺SNMPSNMP 服務(wù)被檢測到正在運行 ,當 SNMP 使用了默認的團體名public或 private時,攻擊者可以利用SimpleNetworkManagement詳細描述Protocol(SNMP)取得有關(guān)機器的有用信息。 不設(shè)置團體名更加危險，因為這意味著任意團體名都可以訪問。 SNMP 代理泄露網(wǎng)絡(luò)接口的信息發(fā)現(xiàn)主機2word 完美格式.漏洞分類SNMP 類危險級別低影響平臺SNMP所有 SNMPagents都支持標準的 MIB-IIifTable 。這個表含有機器

40、詳細描述所支持的每個接口的IP 地址及網(wǎng)絡(luò)掩碼。這些信息暴露了網(wǎng)絡(luò)連接和網(wǎng)絡(luò)設(shè)備的信息。 SNMP 提供遠程監(jiān)控信息發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別低影響平臺SNMP一個活動的RemoteMonitoring(RMON)探測可以遠程監(jiān)控詳細描述應(yīng)用程序、網(wǎng)絡(luò)流量及用戶。 SNMP 提供遠程路由信息發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別低影響平臺SNMP很多 SNMPagents都支持 MIB-II 標準的 ipRouteTable。這個表詳細描述包括了IP 地址及網(wǎng)絡(luò)掩碼 ,協(xié)議類型（prototype）等信息。這些信息暴露了網(wǎng)絡(luò)連接和網(wǎng)絡(luò)設(shè)備的信息。word 完美格式. SSH信息獲取

41、發(fā)現(xiàn)主機2漏洞分類信息收集類危險級別低影響平臺SSH通過與目標主機SSH守護進程通訊， 可獲得以下詢配置信息， 包括：詳細描述SSH版本、通訊公鑰、認證方法 ICMP 時間戳獲取2,1,7,0,發(fā)現(xiàn)主機0,1漏洞分類信息收集類危險級別低影響平臺所有系統(tǒng)ICMP 協(xié)議提供查詢遠端目標主機當前系統(tǒng)時間的操作。因此攻擊者詳細描述利用 ICMP 協(xié)議支持的功能獲得目標主機的系統(tǒng)時間，可以用來攻擊基于時間認證的協(xié)議。 WWW Web服務(wù)器版本檢查發(fā)現(xiàn)主機2,1,0漏洞分類信息收集類危險級別低影響平臺所有系統(tǒng)word 完美格式.檢查是否目標主機正在運行最新的web服務(wù)器軟件。攻擊者利用詳細描述web服務(wù)器

42、的版本信息斷定系統(tǒng)有沒有已知的漏洞。 遠程主機運行MSSQL 服務(wù)發(fā)現(xiàn)主機2漏洞分類信息收集類危險級別低影響平臺MSSQL詳細描述遠程主機運行 MSSQL 服務(wù) 匿名 IPC$ 連接檢查0,1,4,3,發(fā)現(xiàn)主機2,5,6,7漏洞分類NT 口令類危險級別低影響平臺Windows匿名 IPC$ 連接是 Windows系統(tǒng)的默認設(shè)置。檢測出可以與系統(tǒng)建詳細描述立匿名 IPC$ 連接，攻擊者就可以通過匿名IPC$ 連接獲取很多的系統(tǒng)信息。 Apache Tomcat設(shè)計錯誤漏洞發(fā)現(xiàn)主機1漏洞分類Apache類危險級別低word 完美格式.影響平臺Apache Tomcat 7.0.0 through

43、7.0.3,6.0.x and 5.5.xApacheTomcat是一款由 ApacheFoundation維護的免費開放源代碼的 Java Servlet和 JSP 服務(wù)程序。詳細描述當在 SecurityManager中運行時，Apache Tomcat 7.0.0至 7.0.3版本，6.0.x ，以及 5.5.x 版本沒有將 ServletContext屬性設(shè)為只讀。本地 web 應(yīng)用程序可以利用該漏洞讀或?qū)戭A設(shè)工作目錄外的文件。 遠程主機正在運行終端服務(wù)2,7,5,0,1,發(fā)現(xiàn)主機6,4,3漏洞分類信息收集類危險級別低影響平臺Windows終端服務(wù)是 windows主機具有的遠程桌面連

44、接服務(wù)(3389 端口 ) ，使用遠程桌面服務(wù)，可以將終端延伸至任何可訪問服務(wù)所在主機網(wǎng)絡(luò)詳細描述節(jié)點。在不是必須的情況下，應(yīng)當停止此服務(wù)，以免攻擊者通過遠程破解等手段完全控制遠程主機。 Apache TomcatMemoryUserDatabase信息泄露漏洞發(fā)現(xiàn)主機1漏洞分類Apache類危險級別低word 完美格式.Apache Tomcat 5.5.0 through 5.5.33影響平臺Apache Tomcat 6.0.0 through 6.0.32Apache Tomcat 7.0.0 through 7.0.16Apache Tomcat是一款由 Apache Foundat

45、ion維護的免費開放源代碼的 Java Servlet和 JSP 服務(wù)程序。詳細描述Apache Tomcat在 MemoryUserDatabase的實現(xiàn)上存在信息泄露漏洞，遠程攻擊者可利用此漏洞獲取更多信息。 可以通過NetBios獲取操作系統(tǒng)信息2,7,5,0,發(fā)現(xiàn)主機1,6漏洞分類信息收集類危險級別低影響平臺Windows詳細描述通過 NetBios 可以獲取遠程主機的操作系統(tǒng)信息。 通過 SNMP 獲得系統(tǒng)TCP 端口列表發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別低影響平臺SNMP通過 SNMP 獲得系統(tǒng) TCP 端口列表，導致系統(tǒng)敏感信息泄漏，給攻詳細描述擊者提供更多信息word 完美

46、格式. 通過 SNMP 獲得系統(tǒng)UDP 端口列表發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別低影響平臺SNMP通過 SNMP 獲得系統(tǒng) UDP 端口列表，導致系統(tǒng)敏感信息泄漏， 給攻詳細描述擊者提供更多信息 通過 SNMP 獲得系統(tǒng)進程列表發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別低影響平臺SNMP通過 SNMP 獲得系統(tǒng)進程列表，導致系統(tǒng)敏感信息泄漏，給攻擊者詳細描述提供更多信息 通過 SNMP 獲得系統(tǒng)服務(wù)列表發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別低影響平臺SNMP通過 SNMP 獲得系統(tǒng)服務(wù)列表，導致系統(tǒng)敏感信息泄漏，給攻擊者詳細描述提供更多信息word 完美格式. 通過 SNMP 獲得系統(tǒng)信息發(fā)

47、現(xiàn)主機2漏洞分類SNMP 類危險級別低影響平臺SNMP通過 SNMP 獲得系統(tǒng)信息，攻擊者可以通過這些信息判斷對方操作詳細描述系統(tǒng)或者設(shè)備類型 通過 SNMP 獲得系統(tǒng)安裝軟件列表發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別低影響平臺SNMP通過 SNMP 獲得系統(tǒng)安裝軟件列表，導致敏感信息泄露，給攻擊者詳細描述提供更多信息。 通過 SNMP 獲得系統(tǒng)存儲設(shè)備列表發(fā)現(xiàn)主機2漏洞分類SNMP 類危險級別低影響平臺SNMP通過 SNMP 獲得系統(tǒng)存儲設(shè)備列表，導致敏感信息泄露，給攻擊者詳細描述提供更多信息。word 完美格式. ssh_檢測類型和版本發(fā)現(xiàn)主機2漏洞分類守護進程類危險級別低影響平臺任何使用

48、 ssh 服務(wù)的系統(tǒng)遠程攻擊者可以連接ssh 服務(wù)器并處理接收緩存便可以檢測到ssh 的詳細描述版本和類型等敏感信息，為進一步的攻擊做準備。ssh_ 協(xié)議版本發(fā)現(xiàn)主機2漏洞分類守護進程類危險級別低影響平臺任何使用 ssh 服務(wù)的系統(tǒng)詳細描述判斷遠程 ssh 服務(wù)支持 ssh 協(xié)議是什么版本。 遠程 SSH 服務(wù)器允許使用低版本SSH 協(xié)議發(fā)現(xiàn)主機2漏洞分類守護進程類危險級別低影響平臺所有 SSH服務(wù)器遠程 SSH 服務(wù)器允許使用1.33 或者 1.5 版的 SSH 協(xié)議進行通信。詳細描述這些協(xié)議并不足夠安全，建議停止使用這些版本的協(xié)議。 遠程主機HTTP/WWW 服務(wù)正在運行word 完美格式

49、.發(fā)現(xiàn)主機2,1,0漏洞分類信息收集類危險級別低影響平臺HTTP詳細描述遠程主機 HTTP/WWW 服務(wù)正在運行2.2.3.安全設(shè)備漏洞掃描專項檢測主機掃描統(tǒng)計列表漏洞高危險 中危險 低危險服務(wù)用戶風險序號IP 地址安全狀態(tài)總數(shù)漏洞漏洞漏洞總數(shù)總數(shù)分值11001201比較安全20000100比較安全31001201比較安全41001201比較安全51001201比較安全61001201比較安全71001201比較安全漏洞統(tǒng)計word 完美格式.發(fā)現(xiàn)主機,漏洞名稱ICMP 時間戳獲取漏洞分類信息收集類危險級別低服務(wù)統(tǒng)計word 完美格式.序號服務(wù)名稱端口協(xié)議描述發(fā)現(xiàn)主機是 http ，通過 ,1

50、1https443TCPTLS/SSL 交談,BorderGatew,12bgp179TCPay Protocol,3安全 shell22TCP安全 shell終端仿真協(xié)議/4telnet23TCP實用程序漏洞掃描詳細列表 ICMP 時間戳獲取發(fā)現(xiàn)主機,漏洞分類信息收集類危險級別低影響平臺所有系統(tǒng)ICMP 協(xié)議提供查詢遠端目標主機當前系統(tǒng)時間的操作。因此攻擊者詳細描述利用 ICMP 協(xié)議支持的功能獲得目標主機的系統(tǒng)時間，可以用來攻擊基于時間認證的協(xié)議。2.3.脆弱性綜合列表編檢測賦檢測項脆弱性作用對象潛在影響號子項值word 完美格式.編檢測賦檢測項脆弱性作用對象潛在影響號子項值1、 未定期開

51、展安全人員安全管理的意識培訓；不足，可能導致2、 未制定第三方人管理人員安全意人員員訪問管理制識的松懈，可能1.安全所有資產(chǎn)3度；導致對外來人員管理3、 未嚴格填寫外來管理的疏忽，造人員記錄，記錄成系統(tǒng)各資產(chǎn)的內(nèi)容不夠詳細。損失。管理制度和策管理脆略、管理規(guī)程、弱性監(jiān)督控管機制等方面存在缺陷，1、 管理制度內(nèi)容仍可能導致安全策安全需完善修改；略的執(zhí)行方面存2.管理2、 未明確管理制度所有資產(chǎn)3在不足，可能導制度發(fā)布和修訂的流致針對關(guān)鍵資產(chǎn)程。的日常運維管理方面出現(xiàn)漏洞，導致完整性或可用性的遺失。word 完美格式.編檢測賦檢測項脆弱性作用對象潛在影響號子項值未采用發(fā)文或制度信息安全管理機安全的

52、形式明確劃分系構(gòu)的不明確，可3.管理統(tǒng)管理員、網(wǎng)絡(luò)管理所有資產(chǎn)3能導致安全工作機構(gòu)員、安全專員等角的缺位和失誤。色。1、 資產(chǎn)管理方面，未根據(jù)資產(chǎn)的重要程度對資產(chǎn)落實相應(yīng)的管理措系統(tǒng)運維管理存施，介質(zhì)和設(shè)備在不足，可能導的使用、保修未致管理不到位出系統(tǒng)進行詳細的登記現(xiàn)安全事故，可4.運維管理；所有資產(chǎn)3 能導致安全事件管理2、 未開展信息系統(tǒng)無法及時發(fā)現(xiàn)，安全審計和定期可能導致安全事巡檢工作，對系件出現(xiàn)后無法及統(tǒng)安全漏洞，服時解決。務(wù)器和軟件的補丁修補工作未進行詳細登記。word 完美格式.編檢測賦檢測項脆弱性作用對象潛在影響號子項值網(wǎng)絡(luò)設(shè)備和安全網(wǎng)絡(luò)設(shè)備和安全設(shè)設(shè)備未定期開展網(wǎng) 絡(luò) 設(shè)備未定

53、期開展安全巡檢可能導致設(shè)5.備、安全3運行巡檢，形成檢查備出現(xiàn)故障或異網(wǎng)絡(luò)設(shè)備記錄和分析報告。常后無法及時發(fā)設(shè)備現(xiàn)進行解決。故障1.核心交換機沒有交換機硬件配置做設(shè)備冗余；上的不足可能影6.交換機32.電信接入交換機響 xxxx 業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)脆容量較小。正常使用。弱性網(wǎng)絡(luò)中無 VLAN網(wǎng)絡(luò)網(wǎng)絡(luò)中無 VLAN 劃防火墻、劃分不利于網(wǎng)絡(luò)7.訪問3分；交換機通信控制和網(wǎng)絡(luò)控制安全管理。網(wǎng)絡(luò)和安全設(shè)備自身防護的不網(wǎng)絡(luò)網(wǎng)絡(luò)設(shè)備和安全設(shè)網(wǎng) 絡(luò) 設(shè)足，可能導致網(wǎng)8.設(shè)備備訪問未使用 MAC備、安全3絡(luò)和安全設(shè)備遭防護地址和 IP 地址綁定。 設(shè)備到攻擊，以至造成整個網(wǎng)絡(luò)的癱word 完美格式.編檢測賦檢測項

54、脆弱性作用對象潛在影響號子項值瘓。1、 各服務(wù)器主機存服務(wù)器存在安全在不同程度的安漏洞，服務(wù)器未全漏洞；定期開展安全巡2、 服務(wù)器未定期開檢，可能導致主展安全巡檢工機系統(tǒng)遭到病毒作；或木馬的威脅。惡意系統(tǒng)脆1、 未設(shè)定終端接入9.代碼各服務(wù)器5未對終端訪問做弱性方式、網(wǎng)絡(luò)地址防范限制和未對來賓范圍，限制終端帳號進行設(shè)置，登錄；可能造成非法用2、 數(shù)據(jù)前置機中存戶進入系統(tǒng)，影在來賓賬號，且響服務(wù)器的正常該帳號密碼為運行?？?。有一其他單位信息若該系統(tǒng)出現(xiàn)異應(yīng)用脆資源xxxx 一期10.系統(tǒng)借用機房內(nèi)業(yè)4常，可能導致弱性控制信息數(shù)據(jù)務(wù)應(yīng)用服務(wù)器搭建。xxxx 系統(tǒng)承擔額word 完美格式.編檢測賦檢

55、測項脆弱性作用對象潛在影響號子項值外風險。1、 用戶登錄沒有做單點限制，可在不同終端使用同一用戶登錄；信息系統(tǒng)身份鑒2、 部分用戶登錄密別措施存在不身份碼設(shè)置過于簡11.xxxx 數(shù)據(jù)4足，可能引起口鑒別單，未做口令長令猜測、身份冒度和復雜度要用等安全事故。求；3、 關(guān)鍵用戶未啟用密碼定期更改策略；應(yīng)用系統(tǒng)中無安全可能導致安全事安全審計的相關(guān)內(nèi)容， 日金農(nóng)一期12.1件發(fā)生后，無可審計志只能通過查看中業(yè)務(wù)系統(tǒng)跟蹤分析信息。間件的日志。13.數(shù)據(jù)數(shù)據(jù)存儲設(shè)備缺乏巡檢，磁盤陣列3存儲設(shè)備出現(xiàn)故word 完美格式.編檢測賦檢測項脆弱性作用對象潛在影響號子項值處理完整在出現(xiàn)故障的情況障，因系統(tǒng)無冗和存

56、儲性下，無法及時進行維余或備品配件，脆弱性修和恢復?？赡軐е聼o法及時維修恢復，影響系統(tǒng)業(yè)務(wù)存儲工作中斷。數(shù)據(jù)成員單位與中心機數(shù)據(jù)傳輸中斷，傳輸房之間的數(shù)據(jù)傳輸，xxxx 一期可能導致 xxxx 一14.3安全偶爾因網(wǎng)絡(luò)問題導信息數(shù)據(jù)期信息數(shù)據(jù)無法性致中斷。及時更新。備份管理軟件系統(tǒng)出現(xiàn)故障，可備份備份管理軟件未定備份管理能導致無法進行15.和期進行巡檢并形成3軟件數(shù)據(jù)的正常備份恢復檢查記錄。和恢復，造成數(shù)據(jù)損失。word 完美格式.編檢測賦檢測項脆弱性作用對象潛在影響號子項值運行維護管理工作的不足，可能系統(tǒng)漏洞管理制度系統(tǒng)導致系統(tǒng)出現(xiàn)問16.不夠完善，未定期開所有資產(chǎn)3運行維安全題無法及時發(fā)現(xiàn)

57、展。護脆弱并解決，造成系性統(tǒng)中斷。系統(tǒng)密碼管理保存密碼管理不足，系統(tǒng)17.方式存在不足， 密碼所有資產(chǎn)3 可能導致安全事維護未定期更換。故的發(fā)生。未建立異地災(zāi)難災(zāi)備與建立備份系統(tǒng)，可能應(yīng)急災(zāi)難未建立異地災(zāi)難備在本地系統(tǒng)出現(xiàn)18.所有資產(chǎn)2響應(yīng)備份份系統(tǒng)。故障、數(shù)據(jù)遺失脆弱性系統(tǒng)后無法進行恢復。word 完美格式.編檢測賦檢測項脆弱性作用對象潛在影響號子項值建立災(zāi)難恢復已建立應(yīng)急響應(yīng)預應(yīng)急預案工作的19.和應(yīng)案，預案流程和工作不足，可能導致急響分工仍需細化。安全事件一旦發(fā)應(yīng)生無法及時解決預案所有資產(chǎn)3并保障數(shù)據(jù)安檢查全，可能導致數(shù)應(yīng)急據(jù)遺失后無法恢預案未定期開展應(yīng)急預20.復。的演案演練工作。練

58、情況防火措施的不機房內(nèi)具備煙感、 溫足，可能導致無物理機房內(nèi)所21.防火感報警器，但報警器4 法及時發(fā)現(xiàn)火災(zāi)脆弱性有資產(chǎn)只處于通電狀態(tài)。并進行及時撲救。word 完美格式.編檢測賦檢測項脆弱性作用對象潛在影響號子項值UPS 電源負載較低，機房 UPS 電源未且只覆蓋機房內(nèi)弱機房內(nèi)所覆蓋機房所有設(shè)電力電設(shè)備；日常維護不22.有電子設(shè)5備，可能導致斷供應(yīng)夠，未定期進行充放備資產(chǎn)電時系統(tǒng)收到較電，無日常維護記大影響。錄。word 完美格式.風險分析3.1.關(guān)鍵資產(chǎn)的風險計算結(jié)果根據(jù) GB/T 20984-2007信息安全技術(shù)信息安全風險評估規(guī)范要求，通過選取關(guān)鍵資產(chǎn)的資產(chǎn)賦值、威脅賦值、脆弱性賦值，

59、采用乘法計算風險值，得到了如下風險結(jié)果：資產(chǎn)風險值資產(chǎn)名稱15（操作失誤 -網(wǎng)絡(luò)脆弱性 維護錯誤、操作失誤 ）13（社會工程 -運行維護脆弱性 社會工程學破解 ）13（物理破壞 -物理脆弱性 防盜竊和防破壞、防火 ）18 （濫用授權(quán) - 網(wǎng)絡(luò)脆弱性 網(wǎng)絡(luò)訪問控制、網(wǎng)絡(luò)設(shè)備核心交換機防護 ）Quidway S3300 Series9（意外故障 -網(wǎng)絡(luò)脆弱性 網(wǎng)絡(luò)設(shè)備故障 ）12（管理不到位 -管理脆弱性、運行維護脆弱性、災(zāi)備與應(yīng)急響應(yīng)脆弱性）15（操作失誤 -網(wǎng)絡(luò)脆弱性 維護錯誤、操作失誤 ）13（物理破壞 -物理脆弱性 防盜竊和防破壞、防火 ）15 （意外故障 - 網(wǎng)絡(luò)脆弱性 網(wǎng)絡(luò)設(shè)備防護、網(wǎng)

60、絡(luò)設(shè)備光纖交換機故障 ）Brocade 30012（管理不到位 -管理脆弱性、運行維護脆弱性、災(zāi)備與應(yīng)急響應(yīng)脆弱性）word 完美格式.資產(chǎn)風險值資產(chǎn)名稱15（操作失誤 -網(wǎng)絡(luò)脆弱性 維護錯誤、操作失誤 ）13（物理破壞 -物理脆弱性 防盜竊和防破壞、防火 ）18 （濫用授權(quán) - 網(wǎng)絡(luò)脆弱性 網(wǎng)絡(luò)訪問控制、網(wǎng)絡(luò)設(shè)備電信接入交換機防護 ）Quidway S3300 Series9（意外故障 -網(wǎng)絡(luò)脆弱性 網(wǎng)絡(luò)設(shè)備故障 ）12（管理不到位 -管理脆弱性、運行維護脆弱性、災(zāi)備與應(yīng)急響應(yīng)脆弱性）15（操作失誤 -網(wǎng)絡(luò)脆弱性 維護錯誤、操作失誤 ）13（物理破壞 -物理脆弱性 防盜竊和防破壞、防火 ）1