風險評估方案

1、評估方法。二、風險因素識別：資產識別、威脅識別、脆弱點識別三、風險評估方法：采用的方法主要有：問卷調查、工具檢測、人工核查、 文檔查閱、滲透性測試等。資產評估（1）資產識別:硬件資產應用系統(tǒng)資產名稱資產編號維護人型號配置購機年限整體負荷重要性程度網(wǎng)絡系統(tǒng)資產名稱資產編號維護人型號配置購機年限整體負荷重要性程度文檔和數(shù)據(jù)資產名稱責任人備份形式存儲形式重要性程度備注人力資產識別岡位崗位描述姓名備注業(yè)務應資產名設計容系統(tǒng)負廠商重要用稱量荷服務 能力性程度物理環(huán)境資產名稱適用范圍描述適用年限整體負荷重要性程度(2)資產賦值:硬件資產應用系統(tǒng)資產名稱機密性完整性可用性重要性程度備注網(wǎng)絡系統(tǒng)資產名稱機密性

2、完整性可用性重要性程度備注文檔和數(shù)據(jù)資產名稱機密性完整性可用性重要性程度備注軟件資產名稱機密性完整性可用性重要性程度備注物理環(huán)境資產名稱機密性完整性可用性重要性程備注度資產評估機密性、完整性、可用性的賦值通過調查問卷來實現(xiàn)機密性是否能夠容納具有不同密鑰長度的各種加密機制？是否保證SOAP消息級的機密性？加密簽名數(shù)據(jù)時，其摘要值是否被加密？(如果沒有加密攻擊者可以借此推測 明文，使得加密數(shù)據(jù)被破壞)？是否保證網(wǎng)絡傳輸層的機密性？完整性是否為加密后的數(shù)據(jù)再采用簽名以確保初始化矢量的完整性不被破壞？(加密算法中使用的初始化矢量雖然可以解決為給定密鑰和數(shù)據(jù)創(chuàng)建相同密文的 安全問題，但初始化矢量本身也可

3、能被修改，使上述問題再次出現(xiàn)。)是否采用的多種簽名格式？可用性加密的工具對遞歸深度或請求使用資源數(shù)量是否做限制？選擇采用的合適的預防措施以免受任何潛在的拒絕服務的攻擊。(3)重要性程度的賦值：應用頭腦風暴法，即根據(jù)風險預測和風險識別的目的和要求，組成專家組，通過會議形式讓大家暢所欲言，而后對各位專家的意見進行匯總、綜合，以得出最后的結論。資產評估值二Roundlog 2 2 機密性+2完整性+2可用性機密性()，完整性()，可用性()，資產評估值E()威脅評估威脅的確定：通過對應用系統(tǒng)、網(wǎng)絡系統(tǒng)、文檔和數(shù)據(jù)、軟件、物理環(huán)境設計調查問卷，根據(jù)答案的匯總進行確定如：網(wǎng)絡安全要素層次身自標強數(shù)安數(shù)數(shù)

4、可抗網(wǎng)份主記制據(jù)全據(jù)據(jù)信抵絡鑒訪訪流審兀保路賴安別問問控計整密徑全控控制性性監(jiān)制制控網(wǎng)絡安全功能基本要求:身份鑒別：用戶識別1、在SSF實施所要求的動作之前，是否對提出該動作要求的用戶進行標識？2、所標識用戶在信息系統(tǒng)生存周期內是否具有唯一性？3、對用戶標識信息的管理、維護是否可被非授權地訪問、修改或刪除？用戶鑒別1、在SSF實施所要求的動作之前，是否對提出該動作要求的用戶進行鑒別？2、是否檢測并防止使用偽造或復制的鑒別數(shù)據(jù)3、能否提供一次性使用鑒別數(shù)據(jù)操作的鑒別機制？4、能否提供不同的鑒別機制？根據(jù)所描述的多種鑒別機制如何提供鑒別的規(guī)則？5、能否規(guī)定需要重新鑒別用戶的事件？用戶-主體綁定對一

5、個巳識別和鑒別的用戶，是否通過用戶-主體綁定將該用戶與該主體相關聯(lián)？自主訪問控制:訪問控制策略1、是否按確定的自主訪問控制安全策略實現(xiàn)主體與客體建操作的控制？2、是否有多個自主訪問控制安全策略，且多個策略獨立命名？訪問控制功能1、能否在安全屬性或命名的安全屬性組的客體上執(zhí)行訪問控制SFP？2、在基于安全屬性的允許主體對客體訪問的規(guī)則的基礎上，能否允許主體對客體的訪 問？3、在基于安全屬性的拒絕主體對客體訪問的規(guī)則的基礎上，能否拒絕主體對客體的訪 問？訪問控制范圍1、每個確定的自主訪問控制，SSF是否覆蓋網(wǎng)絡系統(tǒng)中所定義的主體、客體及其之間 的操作？2、每個確定的自主訪問控制，SSF是否覆蓋網(wǎng)絡

6、系統(tǒng)中所有的主體、客體及其之間的 操作？訪問控制粒度1、網(wǎng)絡系統(tǒng)中自主訪問控制粒度為粗粒度/中粒度/細粒度？標記:主體標記1、是否為強制訪問控制的主體指定敏感標記？客體標記2、是否為強制訪問控制的客體指定敏感標記？標記完整性敏感標記能否準確表示特定主體或客體的訪問控制屬性？有標記信息 的輸出1、將一客體信息輸出到一個具有多級安全的I/O設備時，與客體有關的敏感標記也可 輸出？2、對于單級安全設備，授權用戶能否可靠地實現(xiàn)指定的安全級的信息通信？強制訪問控制訪問控制策略2、是否為強制訪問控制的主體指定敏感標記？客體標記2、是否為強制訪問控制的客體指定敏感標記？標記完整性敏感標記能否準確表示特定主體

7、或客體的訪問控制屬性？有標記信息 的輸出3、將一客體信息輸出到一個具有多級安全的I/O設備時，與客體有關的敏感標記也可 輸出？4、對于單級安全設備，授權用戶能否可靠地實現(xiàn)指定的安全級的信息通信？用戶數(shù)據(jù)完整性存儲數(shù)據(jù)的完整性1、是否對基于用戶屬性的所有客體，對用戶數(shù)據(jù)進行完整性檢測？2、當檢測到完整性錯誤時，能否采取必要的恢復、審計或報警措施？傳輸數(shù)據(jù)的完整性1、是否對被傳輸?shù)挠脩魯?shù)據(jù)進行檢測？2、數(shù)據(jù)交換恢復若沒有可恢復復件，能否向源可信IT系統(tǒng)提供反饋信息？處理數(shù)據(jù)的完整性對信息系統(tǒng)處理中的數(shù)據(jù)，能否通過“回退”進行完整性保護？用戶數(shù)據(jù)保密性存儲數(shù)據(jù)的保密性1、是否對存儲在SSC內的用戶數(shù)

8、據(jù)進行保密性保護？傳輸數(shù)據(jù)的保密性1、是否對在SSC內的用戶數(shù)據(jù)進行保密性保護？客體安全重用1、將安全控制范圍之內的某個子集的客體資源分配給某一用戶或進程時，是否會泄 露該客體中的原有信息？2、將安全控制范圍之內的所有客體資源分配給某一用戶或進程時，是否會泄露該客 體中的原有信息？如:調查問卷題目認證是否提供注冊服務機制？只提供點到點的認證服務還是提供端到端的認證服務?是否更新現(xiàn)有的身份識別以符合最新Web服務安全規(guī)范?授權對訪問資源提供大粒度的訪問控制還是小粒度的訪問控制？是否更新現(xiàn)有接入控制安全策略以滿足服務安全規(guī)范？認證成功之后，是否在運行時根據(jù)資源訪問權限列表來檢查服務請求者的訪問級

9、別？審計性管理員是否可以在生命周期的不同時刻追蹤并找出服務請求？哪些技術提供了不可否認性的一個關鍵元素？不可否認性是否支持不可否認性？（不可否認性使得用戶能夠證明事務是在擁有合法證書的情況下進行的。）是否包含時間戳、序列號、有效期、消息相關等元素，并進行簽名從而保證消息的唯 一性（當緩存這些信息時，可以檢測出重放攻擊）？通過工具進行掃描（1）收費威脅掃描工具（內網(wǎng)威脅發(fā)現(xiàn)解決方案）核心技術包括：已知病毒掃描、變種和加殼惡意程序掃描、惡意程序行為分析引擎、網(wǎng)絡蠕蟲病毒掃描、網(wǎng)頁信 譽服務能解決的問題：惡意程序實時分析系統(tǒng)、惡意程序的深度分析、惡意程序的處置建議可得出的結論：總體風險等級、感染源統(tǒng)

10、計、威脅統(tǒng)計、潛在風險（2）免費掃描工具：Nmap網(wǎng)絡安全診斷和掃描工具，進行端口掃描，是一款開放源代碼的網(wǎng)絡探測和安全審核的工具，它的設計目標是快速地掃描大型網(wǎng)絡。Nikto Web服務器漏洞掃描工具，Nikto是一款開源的（GPL） 網(wǎng)頁服務器掃描器，它可以對網(wǎng)頁服務器進行全面的多種掃描。掃 描項和插件可以自動更新。基于Whisker/libwhisker完成其底層功 能。這是一款非常棒的工具，但其軟件本身并不經常更新，最新和 最危險的可能檢測不到。X-scan、ISS、Nessus 漏洞掃描工具說明：眾多的自動化掃描工具當中，Nessus是最值得稱贊的。它基 于C/S架構、插件結構的自動

11、化掃描工具，可以免費使用，在線 升級并隨時獲取國內外安全高手編寫的最新漏洞的掃描插件。目 前Nessus的插件個數(shù)已經超過14000個，而且這個數(shù)量正在急速 上升，因為幾乎全世界的安全人員都在使用這個工具，其中有很 多黑客會向Nessus提供自己編寫的插件。因此，使用Nessus進 行掃描就像是全世界的頂尖安全人員都在用他們的技術在幫助我 們檢查網(wǎng)絡中的缺陷?？傻贸龅慕Y論：漏洞信息摘要、漏洞的詳細描述、解決方案、風險系 數(shù)（3）免費風險評估系統(tǒng)ASSET是美國國家標準及時協(xié)會NIST發(fā)布的一個可用于安全風險自 我評估的軟件工具，采用典型的基于知識的分析方法，通過問卷形式 自動完成信息技術系統(tǒng)的

12、自我安全評估，由此了解系統(tǒng)的安全現(xiàn)狀， 并提出相對的對策。ASSET 下載地址：其他常用風險評估系統(tǒng):名稱RISKASSETBDSSCORACOBRACRAMMRA/SYSRiskWa tch體系結構單機單機單機單機C/S單機單機單機所用專家基于知專過程專家過程過程專家系方法系統(tǒng)識家式算系統(tǒng)式算式算統(tǒng)系法法法統(tǒng)定性定量定性/定定定量定性定性/定量定性/定量結合性/定定量定量結量定量結結合合量合結合數(shù)據(jù)調查調查問調調查調查過程過程調查文采集文件卷查文件文件件方式問卷輸出決策提供控安決策結果結果風險風險分結果支持制目標全支持報報告、等級、析綜合信息和建議防信息告、風險控制報告護風險等級措施措等級施

13、列表風險等級劃分:風險值N900極高54900風險值N700高43700風險值N500中32500風險值N300低21300風險值極低10脆弱性評估文檔審計手動進行審計和分析日志的檢查和分析通過對日志的查詢和分析，快速對潛在的系統(tǒng)入侵做出記錄和預測， 對發(fā)生的安全問題進行及時總結。關鍵網(wǎng)絡、安全和服務器日志進行備份定期對關鍵網(wǎng)絡、安全設備和服務器日志進行檢查和分析，形成記 錄權限和口令管理對關鍵設備按最新安全訪問原則設置訪問控制權限，并及時清理冗余系統(tǒng)用戶，正確分配用戶權限建立口令管理制度，定期修改操作系統(tǒng)、數(shù)據(jù)庫及應用系統(tǒng)管理員 口令，并有相關記錄登錄口令修改頻率不低于每月一次登錄口令長度的

14、限制，并采用數(shù)字、字母、符號混排的方式。采取限制IP登錄的管理措施。（3）實時監(jiān)控記錄對服務器、主干網(wǎng)絡設備的性能，進行24小時實時監(jiān)控的記錄 進行檢查。對服務器、主干網(wǎng)絡設備的運行情況，對實時監(jiān)控的記錄進行 檢查。對網(wǎng)絡流量、網(wǎng)站內容進行實時監(jiān)控，對實時監(jiān)控的記錄進行 檢查。利用安全審計和文檔安全工具綠盟、天融信均有安全審計查閱工具?？蓪崿F(xiàn)的功能：1、審計查閱：提供從審計記錄中讀取信息的能力2、有限審計查閱：審計查閱工具應禁止具有讀訪問權限以外的 用戶讀取審計信息3、可選審計查閱：審計查閱工具應具有根據(jù)準則來選擇要查閱 的審計數(shù)據(jù)的功能，并根據(jù)某種邏輯關系的標準提供對審計數(shù)據(jù) 進行搜索、分類、排序的能力。模