系統(tǒng)程序漏洞掃描安全評估方案

1、目錄 TOC o 1-5 h z HYPERLINK l bookmark2 o Current Document 一、項目概述 3 HYPERLINK l bookmark4 o Current Document 評估圍 3 HYPERLINK l bookmark6 o Current Document 評估層次 3 HYPERLINK l bookmark8 o Current Document 評估方法 3 HYPERLINK l bookmark10 o Current Document 評估結(jié)果 4 HYPERLINK l bookmark12 o Current Document

2、 風險評估手段 4 HYPERLINK l bookmark14 o Current Document 基于知識的分析方法 4 HYPERLINK l bookmark16 o Current Document 基于模型的分析方法 5 HYPERLINK l bookmark18 o Current Document 定量分析 6定性分析 7評估標準 7二、網(wǎng)拓撲評估 8拓撲合理性分析 8可擴展性分析 8三、網(wǎng)絡安全管理機制評估 8調(diào)研訪談及數(shù)據(jù)采集 8網(wǎng)絡安全管理機制健全性檢查 9網(wǎng)絡安全管理機制合理性檢查 10網(wǎng)絡管理協(xié)議分析 11四、脆弱性嚴重程度評估 11安全漏洞掃描 12人工安全檢查

3、 14安全策略評估 15脆弱性識別 16五、網(wǎng)絡威脅響應機制評估 17遠程滲透測試 17六、網(wǎng)絡安全配置均衡性風險評估 19設備配置收集 19檢查各項 HA 配置 22設備日志分析 24七、風險級別認定 24八、項目實施規(guī)劃 25九、項目階段 26十、交付的文檔及報告 27中間評估文檔 29最終報告 29十一、安全評估具體實施容 29網(wǎng)絡架構(gòu)安全狀況評估 29容描述 2.9. TOC o 1-5 h z 過程任務 3.0.輸入指導 3.1.輸出成果 3.1.系統(tǒng)安全狀態(tài)評估 31容描述 3.1.過程任務 3.5.輸入指導 3.7.輸出成果 3.7.策略文件安全評估 37容描述 3.7.過程任務

4、 3.8.輸入指導 3.9.輸出成果 3.9.最終評估結(jié)果 39一、項目概述評估圍針對網(wǎng)絡、應用、服務器系統(tǒng)進行全面的風險評估。評估層次評估層次包括網(wǎng)絡系統(tǒng)、 主機系統(tǒng)、 終端系統(tǒng)相關(guān)的安全措施， 網(wǎng)絡業(yè)務路由分配安全， 管理策略與制度。其中網(wǎng)絡系統(tǒng)包含路由器、交換機、防火墻、接入服務器、網(wǎng)絡出口設備 及相關(guān)網(wǎng)絡配置信息和技術(shù)文件；主機系統(tǒng)包括各類UNIX 、Windows 等應用服務器；終端系統(tǒng)設備。評估方法安全評估工作容：? 管理體系審核；? 安全策略評估；? 顧問訪談；? 安全掃描；? 人工檢查；遠程滲透測試；? 遵循性分析；評估結(jié)果通過對管理制度、網(wǎng)絡與通訊、 主機和桌面系統(tǒng)、 業(yè)務系

5、統(tǒng)等方面的全面安全評估，形 成安全評估報告， 其中應包含評估圍息系統(tǒng)環(huán)境的安全現(xiàn)狀、 存在安全問題、 潛在威脅和改 進措施。協(xié)助對列出的安全問題進行改進或調(diào)整，提供指導性的建設方案：安全現(xiàn)狀分析報告安全解決方案風險評估手段在風險評估過程中，可以采用多種操作方法，包括基于知識( Knowledge-based )的 分析方法、基于模型( Model-based )的分析方法、定性( Qualitative )分析和定量 ( Quantitative )分析，無論何種方法，共同的目標都是找出組織信息資產(chǎn)面臨的風險及其 影響，以及目前安全水平與組織安全需求之間的差距?；谥R的分析方法在基線風險評估

6、時， 組織可以采用基于知識的分析方法來找出目前的安全狀況和基線安 全標準之間的差距?；谥R的分析方法又稱作經(jīng)驗方法， 它牽涉到對來自類似組織 (包括規(guī)模、 商務目標 和市場等) 的“最佳慣例” 的重用， 適合一般性的信息安全社團。 采用基于知識的分析方法， 組織不需要付出很多精力、 時間和資源， 只要通過多種途徑采集相關(guān)信息， 識別組織的風險 所在和當前的安全措施， 與特定的標準或最佳慣例進行比較， 從中找出不符合的地方， 并按 照標準或最佳慣例的推薦選擇安全措施，最終達到消減和控制風險的目的?；谥R的分析方法，最重要的還在于評估信息的采集，信息源包括：會議討論； 對當前的信息安全策略和相

7、關(guān)文檔進行復查；制作問卷，進行調(diào)查；對相關(guān)人員進行訪談；進行實地考察；為了簡化評估工作， 組織可以采用一些輔助性的自動化工具， 這些工具可以幫助組織擬 訂符合特定標準要求的問卷， 然后對解答結(jié)果進行綜合分析， 在與特定標準比較之后給出最 終的推薦報告?；谀Ｐ偷姆治龇椒?001 年 1 月，由希臘、德國、英國、挪威等國的多家商業(yè)公司和研究機構(gòu)共同組織 開發(fā)了一個名為 CORAS 的項目，即 Platform for Risk Analysis of Security Critical Systems 。該項目的目的是開發(fā)一個基于面向?qū)ο蠼Ｌ貏e是 UML 技術(shù)的風險評估框架， 它的評估對象是對

8、安全要求很高的一般性的系統(tǒng)，特別是 IT 系統(tǒng)的安全。 CORAS 考慮到 技術(shù)、人員以及所有與組織安全相關(guān)的方面，通過 CORAS 風險評估，組織可以定義、獲 取并維護 IT 系統(tǒng)的性、完整性、可用性、抗抵賴性、可追溯性、真實性和可靠性。與傳統(tǒng)的定性和定量分析類似， CORAS 風險評估沿用了識別風險、 分析風險、 評價并 處理風險這樣的過程， 但其度量風險的方法則完全不同， 所有的分析過程都是基于面向?qū)ο?的模型來進行的。 CORAS 的優(yōu)點在于： 提高了對安全相關(guān)特性描述的精確性， 改善了分析 結(jié)果的質(zhì)量； 圖形化的建模機制便于溝通， 減少了理解上的偏差； 加強了不同評估方法互操作的效率

9、；等等。定量分析進行詳細風險分析時， 除了可以使用基于知識的評估方法外， 最傳統(tǒng)的還是定量和定性 分析的方法。定量分析方法的思想很明確： 對構(gòu)成風險的各個要素和潛在損失的水平賦予數(shù)值或貨幣 金額，當度量風險的所有要素(資產(chǎn)價值、威脅頻率、弱點利用程度、安全措施的效率和成 本等)都被賦值，風險評估的整個過程和結(jié)果就都可以被量化了。 簡單說， 定量分析就是試 圖從數(shù)字上對安全風險進行分析評估的一種方法。定量風險分析中有幾個重要的概念：暴露因子( Exposure Factor ， EF) 特定威脅對特定資產(chǎn)造成損失的百分比， 或者說損失的程度。單一損失期望( Single Loss Expectancy ， SLE) 或者稱作 SOC( SingleOccuranceCosts )，即特定威脅可能造成的潛在損失總量。年度發(fā)生率( Annualized Rate of Occurrence，ARO ) 即威脅在一年估計會發(fā)生的頻率。年度損失期望( Annualized Loss Expectancy， ALE ) 或者稱作 EAC( EstimatedAnnual Cost)，表示特定資產(chǎn)在一年遭受損失的預期值