XX信息系統(tǒng)安全風(fēng)險分析與評估報告模板(公開)

說明文字：大致內(nèi)容如此，依據(jù)詳細(xì)狀況增刪XXXX信息系統(tǒng)平安風(fēng)險評估報告二〇一五年七月目錄1 評估工作概述 31.1評估目標(biāo) 31.2評估組織 31.3評估對象 3業(yè)務(wù)職能與組織結(jié)構(gòu) 3系統(tǒng)定級 6物理環(huán)境 6網(wǎng)絡(luò)結(jié)構(gòu) 9平安保密措施 12重要XX部門、部位 132 評估依據(jù)和標(biāo)準(zhǔn) 133 評估方案 144 資產(chǎn)識別 154.1資產(chǎn)重要性等級定義 154.2資產(chǎn)分類 16服務(wù)器狀況列表 16交換機(jī)狀況列表 19用戶終端和XX單機(jī) 19特種設(shè)備 20軟件平臺 20平安保密設(shè)備 20應(yīng)用系統(tǒng)狀況列表 28試運(yùn)行應(yīng)用系統(tǒng)狀況列表 295 威逼識別 305.1威逼分類 305.2威逼賦值 316 脆弱性識別 336.1脆弱性識別內(nèi)容 336.2脆弱性賦值 336.3脆弱性專向檢測 34病毒木馬專項檢查 34網(wǎng)絡(luò)掃描專項測試 347 風(fēng)險分析 448 風(fēng)險統(tǒng)計 489 評估結(jié)論 4810 整改建議 48評估工作概述2015年7月7-9日，由XX部門組織相關(guān)人員對XX信息系統(tǒng)進(jìn)行了平安風(fēng)險評估。本報告的評估結(jié)論僅針對xx廠XX信息系統(tǒng)本次平安風(fēng)險評估時的狀況。1.1評估目標(biāo)本次評估工作依據(jù)有關(guān)信息平安技術(shù)與管理標(biāo)準(zhǔn)，對xx廠XX信息系統(tǒng)及由其處理、傳輸和存儲的信息的平安屬性進(jìn)行評估，分析該XX信息系統(tǒng)內(nèi)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、用戶終端及支撐平臺等資產(chǎn)在日常運(yùn)行、管理過程中面臨的威逼、存在的脆弱性以及由此帶來的平安風(fēng)險，為將平安風(fēng)險限制在可接受的水平，最大限度地保障該XX信息系統(tǒng)的信息平安保密供應(yīng)指導(dǎo)依據(jù)。1.2評估組織本次風(fēng)險評估由XX信息系統(tǒng)管理領(lǐng)導(dǎo)小組負(fù)責(zé)組織。由xx部門現(xiàn)場開展本次評估工作，XX業(yè)務(wù)部門相關(guān)人員進(jìn)行協(xié)作。1.3評估對象業(yè)務(wù)職能與組織結(jié)構(gòu)Xx系統(tǒng)定級Xx廠XX信息系統(tǒng)經(jīng)xx批準(zhǔn)同意，依據(jù)所處理XX信息的最高密級定為機(jī)密級，采納增加愛護(hù)要求進(jìn)行愛護(hù)。物理環(huán)境XX網(wǎng)絡(luò)結(jié)構(gòu)圖1、組織機(jī)構(gòu)圖圖2周邊物理環(huán)境圖3、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖1.3.5平安保密措施XX廠XX信息系統(tǒng)配備了防火墻、網(wǎng)絡(luò)入侵檢測系統(tǒng)、漏洞掃描系統(tǒng)、主機(jī)監(jiān)控與審計系統(tǒng)、XX計算機(jī)及移動存儲介質(zhì)保密管理系統(tǒng)（“三合一”系統(tǒng)）、中孚信息消退工具、打印平安監(jiān)控與審計系統(tǒng)、平安郵件、網(wǎng)間文件交換系統(tǒng)、防計算機(jī)病毒軟件、線路傳導(dǎo)干擾器、一級電磁干擾器、紅黑電源濾波隔離插座等平安保密產(chǎn)品。身份鑒別口令認(rèn)證，困難度，密碼長度等符合要求否？XX便攜式計算機(jī)、XX單機(jī)和XX數(shù)據(jù)中轉(zhuǎn)單機(jī)采納用戶名與口令相結(jié)合的方式進(jìn)行身份鑒別。重要XX部門、部位XX廠XX信息系統(tǒng)保密要害部門為2個，保密要害部位為5個，詳細(xì)狀況如下表所示。序號名稱位置所屬部門部位性質(zhì)防護(hù)措施監(jiān)控門控紅外報警評估依據(jù)和標(biāo)準(zhǔn)《武器裝備科研生產(chǎn)單位三級保密資格評分標(biāo)準(zhǔn)》評估方案本次風(fēng)險評估采納文檔批閱、人員問詢、脆弱性掃描和現(xiàn)場查驗等風(fēng)險評估方法。（1）文檔批閱：了解XX信息系統(tǒng)的基本狀況、2015年上半年發(fā)生的改變，問題項的整改狀況，確定后續(xù)查驗的重點(diǎn)。批閱的文檔材料主要包括：平安審計報告與審計報告、例行檢查記錄、工作和審批記錄。（2）人員問詢：對XX信息系統(tǒng)管理人員和部分用戶（包括行政管理人員和技術(shù)人員）進(jìn)行了問詢，評估XX信息系統(tǒng)的管理者和運(yùn)用者對自身保密職責(zé)的知悉狀況，以及理解相關(guān)制度和標(biāo)準(zhǔn)并落實到日常工作中的狀況。（3）脆弱性掃描：通過運(yùn)用中科網(wǎng)威網(wǎng)絡(luò)漏洞掃描系統(tǒng)對XX廠XX信息系統(tǒng)進(jìn)行脆弱性掃描，收集服務(wù)器、用戶終端、網(wǎng)絡(luò)設(shè)備和數(shù)據(jù)庫的平安漏洞。（4）現(xiàn)場查驗：評估規(guī)章制度的建設(shè)和執(zhí)行狀況；評估部分服務(wù)器、用戶終端、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)和平安保密設(shè)備的平安保密防護(hù)狀況；評估系統(tǒng)的物理平安和電磁泄漏放射防護(hù)狀況。資產(chǎn)識別資產(chǎn)是對組織具有價值的信息或資源。機(jī)密性、完整性和可用性是評價資產(chǎn)的三個平安屬性。風(fēng)險評估中資產(chǎn)的價值不是以資產(chǎn)的經(jīng)濟(jì)價值來衡量，而是由資產(chǎn)在這三個平安屬性上的達(dá)成程度或者其平安屬性未達(dá)成時所造成的影響程度來確定的。平安屬性達(dá)成程度的不同將使資產(chǎn)具有不同的價值，而資產(chǎn)面臨的威逼、存在的脆弱性、以及已采納的平安措施都將對資產(chǎn)平安屬性的達(dá)成程度產(chǎn)生影響。為此，必需對XX廠XX信息系統(tǒng)內(nèi)的資產(chǎn)進(jìn)行識別。4.1資產(chǎn)重要性等級定義資產(chǎn)的重要性等級依據(jù)資產(chǎn)在保密性、完整性和可用性上的賦值等級綜合評定后得出。本次評估將XX廠XX信息系統(tǒng)內(nèi)的資產(chǎn)劃分為五級，級別越高表示資產(chǎn)越重要。不同等級的資產(chǎn)重要性的綜合描述如下表所示。等級標(biāo)識描述5很高特別重要，其平安屬性破壞后可能對組織造成特別嚴(yán)峻的損失4高重要，其平安屬性破壞后可能對組織造成比較嚴(yán)峻的損失3中等比較重要，其平安屬性破壞后可能對組織造成中等程度的損失2低不太重要，其平安屬性破壞后可能對組織造成較低的損失1很低不重要，其平安屬性破壞后可能對組織造成很小的損失，甚至忽視不計4.2資產(chǎn)分類依據(jù)XX廠資產(chǎn)的表現(xiàn)形式，首先將資產(chǎn)分為服務(wù)器、交換機(jī)、用戶終端（含網(wǎng)絡(luò)打印機(jī)）和XX單機(jī)（含XX筆記本電腦）、特種設(shè)備、軟件平臺、平安保密設(shè)備和應(yīng)用系統(tǒng)七個大類。然后，依據(jù)4.1節(jié)的定義，對不同資產(chǎn)的重要性等級進(jìn)行賦值。4.2.1服務(wù)器狀況列表序號類型品牌型號用途IP地址IP地址類型資產(chǎn)重要性等級服務(wù)器服務(wù)器服務(wù)器4.2.2交換機(jī)狀況列表序號類型交換機(jī)型號數(shù)量用途資產(chǎn)重要性等級1交換機(jī)2交換機(jī)3交換機(jī)交換機(jī)4.2.3用戶終端和XX單機(jī)序號類型廠家、型號數(shù)量用途資產(chǎn)重要性等級1用戶終端22中間轉(zhuǎn)換機(jī)33XX筆記本電腦34.2.4特種設(shè)備序號類型廠家、型號數(shù)量用途資產(chǎn)重要性等級1數(shù)控機(jī)床24考勤設(shè)備14.2.5軟件平臺序號軟件名稱廠家、版本運(yùn)行該軟件的設(shè)備用途安裝位置資產(chǎn)重要性等級——3Windows2003Server——Windows2008Server——6SQLServer數(shù)據(jù)庫——7Oracle數(shù)據(jù)庫——OSCAR數(shù)據(jù)庫——4.2.6平安保密設(shè)備序號設(shè)備名稱廠家和型號用途安裝位置和數(shù)量策略設(shè)置證書1防火墻2防病毒軟件3防病毒軟件4防病毒軟件5入侵檢測系統(tǒng)6漏洞掃描系統(tǒng)7USB移動存儲介質(zhì)運(yùn)用管理系統(tǒng)8主機(jī)監(jiān)控與審計9微機(jī)視頻信息愛護(hù)系統(tǒng)10紅黑電源隔離插座11線路傳導(dǎo)干擾器4.2.7應(yīng)用系統(tǒng)狀況列表序號系統(tǒng)名稱密級安裝位置用途用戶范圍訪問權(quán)限設(shè)置狀況資產(chǎn)重要性等級1OA系統(tǒng)54.2.8試運(yùn)行應(yīng)用系統(tǒng)狀況列表序號系統(tǒng)名稱密級安裝位置用途用戶范圍訪問權(quán)限設(shè)置狀況資產(chǎn)重要性等級1525325324威逼識別5.1威逼分類威逼是可能導(dǎo)致對系統(tǒng)或組織危害的不希望事故的潛在起因。威逼可以通過威逼主體、資源、動機(jī)和途徑等多種屬性來描述。造成威逼的因素可分為人為因素和環(huán)境因素。威逼作用形式可以是對信息系統(tǒng)干脆或間接的攻擊，在保密性、完整性和可用性等方面造成損害；也可能是偶發(fā)的或蓄意的事務(wù)。下表為本次評估可能涉及到的威逼分類。種類描述威逼子類軟硬件故障對業(yè)務(wù)實施或系統(tǒng)運(yùn)行產(chǎn)生影響的設(shè)備硬件故障、通訊鏈路中斷、系統(tǒng)本身或軟件缺陷等問題設(shè)備硬件故障、傳輸設(shè)備故障、存儲媒體故障、系統(tǒng)軟件故障、應(yīng)用軟件故障、數(shù)據(jù)庫軟件故障、開發(fā)環(huán)境故障等物理環(huán)境影響對信息系統(tǒng)正常運(yùn)行造成影響的物理環(huán)境問題和自然災(zāi)難斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲害、電磁干擾、洪災(zāi)、火災(zāi)、地震等無作為或操作失誤應(yīng)當(dāng)執(zhí)行而沒有執(zhí)行相應(yīng)的操作，或無意執(zhí)行了錯誤的操作維護(hù)錯誤、操作失誤等管理不到位平安管理無法落實或不到位，從而破壞信息系統(tǒng)正常有序運(yùn)行管理制度和策略不完善、管理流程缺失、職責(zé)不明確、監(jiān)督控管機(jī)制不健全等惡意代碼有意在計算機(jī)系統(tǒng)上執(zhí)行惡意任務(wù)的程序代碼病毒、木馬、蠕蟲、惡意程序、間諜軟件、竊聽軟件等越權(quán)或濫用通過采納一些措施，超越自己的權(quán)限訪問了原來無權(quán)訪問的資源，或者濫用自己的權(quán)限，做出破壞信息系統(tǒng)的行為非授權(quán)訪問網(wǎng)絡(luò)資源、非授權(quán)訪問系統(tǒng)資源、濫用權(quán)限非正常修改系統(tǒng)配置或數(shù)據(jù)、濫用權(quán)限泄漏XX信息等網(wǎng)絡(luò)攻擊利用工具和技術(shù)通過網(wǎng)絡(luò)對信息系統(tǒng)進(jìn)行攻擊和入侵網(wǎng)絡(luò)探測和信息采集、漏洞探測、嗅探（賬號、口令、權(quán)限等）、用戶身份偽造和欺瞞、用戶或業(yè)務(wù)數(shù)據(jù)的竊取和破壞、系統(tǒng)運(yùn)行的限制和破壞等物理攻擊通過物理接觸造成對軟件、硬件和數(shù)據(jù)的破壞物理接觸、物理破壞、盜竊等泄密信息泄露給不應(yīng)了解的他人內(nèi)部信息泄漏、外部信息泄漏等篡改非法修改信息，破壞信息的完整性使系統(tǒng)的平安性降低或信息不行用篡改網(wǎng)絡(luò)配置信息、篡改系統(tǒng)配置信息、篡改平安配置信息、篡改用戶身份信息或業(yè)務(wù)數(shù)據(jù)信息等抵賴不承認(rèn)受到的信息和所作的操作和交易原發(fā)抵賴、接收抵賴、第三方抵賴等5.2威逼賦值推斷威逼出現(xiàn)的頻率是威逼賦值的重要內(nèi)容。本次評估綜合考慮了以下三個方面，以形成在評估環(huán)境中各種威逼出現(xiàn)的頻率。以往《月度運(yùn)行報告》中出現(xiàn)過的威逼及其頻率；實際環(huán)境中通過檢測工具以及各種日志發(fā)覺的威逼及其頻率；這里對威逼出現(xiàn)的頻率進(jìn)行等級化處理，不同等級分別代表威逼出現(xiàn)的頻率的凹凸。等級數(shù)值越大，威逼出現(xiàn)的頻率越高。等級標(biāo)識定義5很高出現(xiàn)的頻率很高(≧1次/周)；或在大多數(shù)狀況下幾乎不行避開；或可以證明常常發(fā)生4高出現(xiàn)的頻率較高(≧1次/月)；或在大多數(shù)狀況下很有可能發(fā)生；或可以證明多次發(fā)生過3中等出現(xiàn)的頻率中等(≧1次/半年)；或在某種狀況下可能會發(fā)生；或被證明曾經(jīng)發(fā)生過2低出現(xiàn)的頻率較低；或一般不太可能發(fā)生；或沒有被證明發(fā)生過1很低威逼幾乎不行能發(fā)生；僅可能在特別罕見和例外的狀況下發(fā)生脆弱性識別6.1脆弱性識別內(nèi)容脆弱性是可能被威逼所利用的資產(chǎn)或若干資產(chǎn)的薄弱環(huán)節(jié)，即脆弱性是資產(chǎn)本身存在的，假如沒有被相應(yīng)的威逼利用，單純的脆弱性本身不會對資產(chǎn)造成損害。而且假如系統(tǒng)足夠強(qiáng)健，嚴(yán)峻的威逼也不會導(dǎo)致平安事務(wù)的發(fā)生，并造成損失。威逼總是要利用資產(chǎn)的脆弱性才可能造成危害。本次評估以XX為標(biāo)準(zhǔn)，從技術(shù)和管理兩個方面對XX廠XX信息系統(tǒng)內(nèi)的資產(chǎn)對象進(jìn)行脆弱性識別。脆弱性依據(jù)標(biāo)準(zhǔn)中的測評項進(jìn)行分類。6.2脆弱性賦值這里依據(jù)脆弱性對資產(chǎn)的暴露程度、技術(shù)實現(xiàn)的難易程度、流行程度等，采納等級方式對已識別的脆弱性的嚴(yán)峻程度進(jìn)行賦值。脆弱性賦值是以等級進(jìn)行劃分的，不同的等級代表資產(chǎn)脆弱性嚴(yán)峻程度的凹凸。等級數(shù)值越大，脆弱性嚴(yán)峻程度越高。等級標(biāo)識定義5很高假如被威逼利用，將對資產(chǎn)造成完全損害4高假如被威逼利用，將對資產(chǎn)造成重大損害3中等假如被威逼利用，將對資產(chǎn)造成一般損害2低假如被威逼利用，將對資產(chǎn)造成較小損害1很低假如被威逼利用，將對資產(chǎn)造成的損害可以忽視6.3脆弱性專向檢測6.3.1病毒木馬專項檢查通過查看瑞星管理限制臺，了解系統(tǒng)內(nèi)病毒木馬爆發(fā)的狀況。其中，2015年5月和6月的爆發(fā)狀況如下表所示。時間段感染次數(shù)（次）受感染主機(jī)數(shù)（臺）2015年5月26891192015年6月26741176.3.2網(wǎng)絡(luò)掃描專項測試運(yùn)用中科網(wǎng)威漏洞掃描系統(tǒng)，對XX廠XX信息系統(tǒng)內(nèi)的服務(wù)器、用戶終端、網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程平安評估。服務(wù)器掃描結(jié)果服務(wù)器區(qū)網(wǎng)段共掃描主機(jī)27臺，其中高度危急主機(jī)14臺，七臺存有緊急漏洞，比較危急主機(jī)13臺，比較平安主機(jī)0臺，特別平安主機(jī)0臺。IP地址操作系統(tǒng)所在域漏洞數(shù)高危數(shù)危急等級危急值本次遠(yuǎn)程評估共掃描到的前五漏洞，如下表所示。編號漏洞名稱危急等級出現(xiàn)次數(shù)1MicrosoftIISWebDAV遠(yuǎn)程認(rèn)證繞過漏洞緊急32Oracletnslsnr未設(shè)置口令高級43ICMP時間戳檢測中級244DCE服務(wù)器列舉低級235開放的tcp端口檢測信息27用戶終端掃描結(jié)果用戶終端和部分設(shè)備共掃描了主機(jī)數(shù)567臺，其中高度危急主機(jī)5臺，比較平安主機(jī)562臺，部分結(jié)果見下表。IP地址操作系統(tǒng)所在域漏洞數(shù)高危數(shù)危急等級危急值本次掃描到的前五漏洞，如下表所示。編號漏洞名稱危急等級出現(xiàn)次數(shù)1MicrosoftWindowsSMB存在多個漏洞允許遠(yuǎn)程執(zhí)行代碼緊急22MySQL5.x未指明的緩沖區(qū)溢出漏洞高級23PHP存在多個緩沖區(qū)溢出漏洞高級14OracleMySQL'TEMPORARYInnoDB'數(shù)據(jù)表拒絕服務(wù)漏洞中級25MySQL存在多個漏洞中級2風(fēng)險分析序號資產(chǎn)對象脆弱性類型脆弱性描述威逼風(fēng)險標(biāo)識電源隔離防護(hù)裝置電磁泄漏放射防護(hù)個別用戶終端與黑設(shè)備共用紅黑電源濾波隔離插座，部分XX網(wǎng)絡(luò)線路與技防、電話線路間隔距離不足存在電磁泄漏的風(fēng)險中等高中高服務(wù)器操作系統(tǒng)平安、數(shù)據(jù)庫平安部分XX服務(wù)器應(yīng)用程序、數(shù)據(jù)庫補(bǔ)丁程序未安裝完全，存在高風(fēng)險漏洞黑客可利用系統(tǒng)漏洞入侵、限制服務(wù)器，獲得重要信息高設(shè)備平安、介質(zhì)平安、平安審計、設(shè)備數(shù)據(jù)接口、違規(guī)外聯(lián)監(jiān)控部分服務(wù)器未安裝主機(jī)監(jiān)控與審計系統(tǒng)、移動存儲介質(zhì)運(yùn)用管理系統(tǒng)和違規(guī)外聯(lián)監(jiān)控系統(tǒng)服務(wù)器管理員可非授權(quán)運(yùn)用設(shè)備數(shù)據(jù)接口、未注冊介質(zhì)、非法外部連接高用戶終端（含網(wǎng)絡(luò)打印機(jī)）計算機(jī)病毒與惡意代碼防護(hù)部分XX用戶終端存在病毒、木馬事務(wù)報告病毒、木馬可導(dǎo)致系統(tǒng)、網(wǎng)絡(luò)癱瘓，竊取用戶數(shù)據(jù)中低操作系統(tǒng)平安、數(shù)據(jù)庫平安部分用戶終端和網(wǎng)絡(luò)打印機(jī)操作系統(tǒng)、應(yīng)用程序、數(shù)據(jù)庫補(bǔ)丁未安裝完全，有高風(fēng)險漏洞；個別用戶終端開放多余服務(wù)攻擊者可利用系統(tǒng)漏洞入侵、限制用戶終端，獲得重要信息中等防火墻日志服務(wù)器日志審計日志服務(wù)器運(yùn)行不穩(wěn)定，日志不全無法查看防火墻日志，無法進(jìn)行審計中等打印機(jī)輸出限制部分用戶未按文件密級進(jìn)行打印輸出，存在高密低打現(xiàn)象存在輸出文件失控的風(fēng)險中等打印機(jī)輸出限制部分打印機(jī)與安裝部門屬同一地址段，且開放SNMP服務(wù)存在非審批打印的風(fēng)險中等中等XX筆記本電腦設(shè)備數(shù)據(jù)接口XX筆記本電腦無法審計打印和光盤刻錄事務(wù)存在非授權(quán)導(dǎo)出XX信息的風(fēng)險中低顯示輸出保密要害部門中的個別XX單機(jī)對窗擺放，且未采納其他防護(hù)措施（如拉窗簾），不能防止顯示輸出內(nèi)容被非授權(quán)獲得存在顯示輸出內(nèi)容被非授權(quán)獲得的風(fēng)險低中等風(fēng)險統(tǒng)計XX廠XX信息系統(tǒng)平安風(fēng)險評估共識別出平安風(fēng)險13個，其中：高風(fēng)險2個，中高風(fēng)險1個，中等風(fēng)險3個，中低風(fēng)險3個，低風(fēng)險4個。評估結(jié)論經(jīng)過各方面的評估XX廠XX信息系統(tǒng)基本上是平安的，基本符合分級愛護(hù)國家保密標(biāo)準(zhǔn)的要求。但依舊存在部分風(fēng)險，需從組織、管理和技術(shù)等多方面進(jìn)行補(bǔ)充和完善，并加強(qiáng)教化培訓(xùn)，提高人員意識和相關(guān)技能，規(guī)范其行為，從根本上確保信息平安。整改建議個別用戶終端視頻干擾儀、紅黑電源濾波隔離插座運(yùn)用不符合要求。問題描述： 個別用戶終端與黑設(shè)備（非XX計算機(jī)、飲水機(jī)等）共用紅黑電源濾波隔離插座，存在電磁泄漏的風(fēng)險。整改建議：對問題部門提出警告，加強(qiáng)對紅黑電源濾波隔離插座運(yùn)用的監(jiān)管力度。個別XX單機(jī)對窗擺放，且未采納其他防護(hù)措施問題描述保密要害部門中的個別XX單機(jī)對窗擺放，且未采納其他防護(hù)措施（如拉窗簾），存在顯示輸出內(nèi)容被非授權(quán)獲得的風(fēng)險。整改建議對窗和對玻璃墻擺放的用戶終端加裝防護(hù)措施，并加強(qiáng)教化培訓(xùn)，提高人員保密意識。部分服務(wù)器應(yīng)用程序、數(shù)據(jù)庫補(bǔ)丁程序未安裝完全，存在高風(fēng)險漏洞問題描述XX等服務(wù)器的ORACLE數(shù)據(jù)庫補(bǔ)丁程序未安裝完全，存在高風(fēng)險漏洞；整改建議剛好安裝補(bǔ)丁程序；加強(qiáng)服務(wù)器的平安配置。部分服務(wù)器未安裝主機(jī)監(jiān)控與審計系統(tǒng)和“三合