中海信托信息安全風(fēng)險評估及整改綜合項目關(guān)鍵技術(shù)專項方案

目錄TOC\o"1-2"\h\z\u1 概述 351.1 項目背景 351.2 項目目標(biāo) 351.3 項目內(nèi)容 361.4 項目設(shè)計標(biāo)準(zhǔn) 371.5 項目范圍 381.6 文件和法律法規(guī) 382 天融信對本項目標(biāo)了解 392.1 對項目目標(biāo)了解 392.2 對項目特點了解 393 項目總體方法和步驟 413.1 概述 413.2 天融信風(fēng)險評定方法 443.3 本項目采取安全風(fēng)險評定方法 453.4 技術(shù)難點和關(guān)鍵突破 484 信息資產(chǎn)調(diào)查和賦值 504.1 信息資產(chǎn)概述 504.2 信息資產(chǎn)分類 504.3 保護(hù)對象框架 564.4 資產(chǎn)識別過程 584.5 信息資產(chǎn)賦值 594.6 賦值工作操作方法指南 645 IT設(shè)備評定 665.1 評定過程 665.2 評定方法 685.3 評定內(nèi)容 705.4 評定風(fēng)險和應(yīng)對 726 網(wǎng)絡(luò)設(shè)備安全風(fēng)險評定 736.1 評定過程描述 746.2 評定方法 776.3 評定內(nèi)容 786.4 評定風(fēng)險和應(yīng)對 817 應(yīng)用系統(tǒng)和管理安全風(fēng)險評定 817.1 評定過程描述 847.2 評定方法 467.3 評定內(nèi)容 477.4 風(fēng)險及應(yīng)對方法 608 安全增強和加固 618.1 安全加固內(nèi)容 628.2 安全加固步驟 649 應(yīng)急響應(yīng)服務(wù) 659.1 服務(wù)目標(biāo)： 659.2 服務(wù)特點： 669.3 通常實施步驟： 669.4 步驟說明： 6610 安全處理方案 6810.1 處理方案設(shè)計概述 6810.2 安全需求分析 6810.3 安全處理方案設(shè)計 6911 項目組織結(jié)構(gòu) 7111.1 現(xiàn)場實施階段，項目組織結(jié)構(gòu) 7111.2 項目角色和責(zé)任 7112 項目進(jìn)度計劃 7412.1 項目關(guān)鍵過程時間安排 7413 項目開啟和準(zhǔn)備階段 7513.1 概述 7513.2 參與人員 7513.3 過程描述 7513.4 需要中海信托配合工作 7513.5 輸出 7614 現(xiàn)場實施階段 7614.1 資產(chǎn)調(diào)查 7614.2 安全評定（包含漏洞掃描、人工檢驗等） 7714.3 滲透測試 7914.4 安全加固 8014.5 應(yīng)急響應(yīng)服務(wù) 8115 數(shù)據(jù)分析及匯報階段 8315.1 概述 8315.2 過程描述 8315.3 需要中海信托配合工作 8415.4 輸出 8416 項目收尾階段 8416.1 概述 8416.2 過程描述 8516.3 需要中海信托配合工作 8516.4 輸出 8517 售后服務(wù) 8517.1 安全服務(wù)技術(shù)支持服務(wù) 8517.2 安全服務(wù)跟蹤服務(wù) 8517.3 天融信安全服務(wù)業(yè)務(wù)關(guān)鍵能力 8618 項目管理及溝通措施 8718.1 天融信工程項目管理方法 8718.2 天融信項目管理遵照標(biāo)準(zhǔn) 8818.3 項目溝通措施 8819 項目風(fēng)險管理及保密控制 9219.1 項目風(fēng)險分析及規(guī)避方法 9219.2 項目標(biāo)保密控制 9420 天融信信息安全服務(wù)業(yè)務(wù)介紹 9520.1 安全服務(wù)組織結(jié)構(gòu)圖 9520.2 安全服務(wù)業(yè)務(wù)范圍 9621 項目實施質(zhì)量確保 9821.1 項目實施人員質(zhì)量職責(zé) 9821.2 天融信安全服務(wù)質(zhì)量確保體系嚴(yán)格落實以下過程 9822 項目驗收方法 10122.1 驗收方法確定 10222.2 驗收程序 10322.3 版本控制 10522.4 交付件歸檔措施 10623 項目分項報價表 107概述項目背景多年來，伴隨信息化技術(shù)越來越深入和廣泛應(yīng)用，信息安全風(fēng)險日益加大，國家和各行業(yè)主管機構(gòu)全部對防范信息安全風(fēng)險很重視。國家信息化領(lǐng)導(dǎo)小組頒發(fā)《信息安全等級化保障體系》系列標(biāo)準(zhǔn)文件對中國信息安全保障工作做出標(biāo)準(zhǔn)性戰(zhàn)略性要求，要求堅持主動防御、綜合防范方針，全方面提升信息安全防護(hù)能力，關(guān)鍵保障基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)鍵信息系統(tǒng)安全，經(jīng)過五年左右努力，基礎(chǔ)形成國家信息安全保障體系。起，銀監(jiān)會公布了《商業(yè)銀行內(nèi)部控制指導(dǎo)》，并深入發(fā)出了相關(guān)信托投資企業(yè)加強內(nèi)部控制和風(fēng)險控制要求。7月，國家財政部和證監(jiān)會、銀監(jiān)會、保監(jiān)會等聯(lián)合公布了《企業(yè)內(nèi)部控制基礎(chǔ)規(guī)范》，對企業(yè)內(nèi)部控制提出了較為具體要求。為深入保障銀聯(lián)網(wǎng)絡(luò)邊界安全，降低信息安全風(fēng)險，中海信托投資擬于在業(yè)界著名互聯(lián)網(wǎng)安全服務(wù)企業(yè)幫助下，對中海信托信息系統(tǒng)實施安全風(fēng)險管理服務(wù)（包含安全技術(shù)和管理評定、互聯(lián)網(wǎng)應(yīng)用滲透測試、安全體系建設(shè)咨詢、安全加固服務(wù)、緊急安全事件響應(yīng)等服務(wù)），為中海信托關(guān)鍵業(yè)務(wù)系統(tǒng)穩(wěn)定運行提供安全保障。項目目標(biāo)經(jīng)過實施整體信息安全風(fēng)險評定服務(wù)（包含安全技術(shù)和管理評定、互聯(lián)網(wǎng)應(yīng)用滲透測試、安全體系建設(shè)咨詢、安全加固服務(wù)、緊急安全事件響應(yīng)等服務(wù)）提升中海信托信息系統(tǒng)安全性和可靠性，并在緊急情況下對提供緊急安全事件響應(yīng)支持，控制并降低來自于互聯(lián)網(wǎng)安全風(fēng)險。經(jīng)過此次對中海信托網(wǎng)絡(luò)安全服務(wù)項目，能夠達(dá)成以下關(guān)鍵目標(biāo)：經(jīng)過安全風(fēng)險評定，得到中海信托整體安全現(xiàn)實狀況；經(jīng)過滲透測試和安全技術(shù)評定，分析中海信托信息系統(tǒng)存在各類技術(shù)性安全缺點，并進(jìn)行整改；經(jīng)過管理體系評定，發(fā)覺中海信托在風(fēng)險管理、安全策略和內(nèi)部控制等方面存在問題并加以改善；經(jīng)過安全加固和策略體系改善，全方位提升中海信托信息安全管理水平。項目內(nèi)容此次整體信息安全風(fēng)險評定項目標(biāo)內(nèi)容能夠分為多個部分：信息安全風(fēng)險評定信息資產(chǎn)調(diào)查調(diào)查和統(tǒng)計中海信托信息系統(tǒng)所包含信息資產(chǎn)（包含物理環(huán)境、終端、網(wǎng)絡(luò)設(shè)備、主機、應(yīng)用軟件、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)、人員、標(biāo)準(zhǔn)步驟等），明確其現(xiàn)有情況、配置情況和管理情況。如主機系統(tǒng)，需要明確其平臺、版本、補丁等基礎(chǔ)情況外，還需明確開放端口、服務(wù)和進(jìn)程等配置管理信息。并對全部信息資產(chǎn)根據(jù)一定標(biāo)準(zhǔn)進(jìn)行資產(chǎn)賦值?，F(xiàn)有安全系統(tǒng)調(diào)查工作包含明確現(xiàn)有安全設(shè)備(包含防火墻、防病毒系統(tǒng)、入侵檢測系統(tǒng)、安全掃描系統(tǒng)、帳號口令集中管理系統(tǒng)、域控制服務(wù)器等)布署情況和使用情況；同時了解在建網(wǎng)絡(luò)和信息安全建設(shè)項目，使之服從統(tǒng)一布署標(biāo)準(zhǔn)。安全風(fēng)險評定依據(jù)中海信托現(xiàn)有安全標(biāo)準(zhǔn)規(guī)范和業(yè)務(wù)對安全要求，分析主機、網(wǎng)絡(luò)及安全設(shè)備面臨威脅，評定現(xiàn)有系統(tǒng)存在弱點，明確全部信息系統(tǒng)面臨安全風(fēng)險和隱患。應(yīng)用系統(tǒng)滲透測試經(jīng)過黑客或白客方法對指定Internet業(yè)務(wù)系統(tǒng)進(jìn)行滲透攻擊，發(fā)覺該系統(tǒng)存在安全隱患，并提出處理方法。信息系統(tǒng)安全加固安全加固和優(yōu)化服務(wù)是實現(xiàn)用戶信息系統(tǒng)安全關(guān)鍵步驟。經(jīng)過使用該項服務(wù)，將在中海信托信息系統(tǒng)網(wǎng)絡(luò)層、主機層和應(yīng)用層等層次建立符合中海信托安全需求安全狀態(tài)，并以此作為確保中海信托信息系統(tǒng)安全起點。安全策略體系整改經(jīng)過對現(xiàn)有安全體系策略制度審閱、解讀和差距性分析，對現(xiàn)有安全管理制度和內(nèi)控制度進(jìn)行改善，使之能夠完全符合目前中國相關(guān)控制標(biāo)準(zhǔn)要求，并向相關(guān)國際化標(biāo)準(zhǔn)看齊。項目設(shè)計標(biāo)準(zhǔn)符合性標(biāo)準(zhǔn)：符合國家等級化保護(hù)體系指出主動防御、綜合防范方針和等級保護(hù)標(biāo)準(zhǔn)。標(biāo)準(zhǔn)性標(biāo)準(zhǔn)：服務(wù)方案設(shè)計和實施應(yīng)依據(jù)中國或國際相關(guān)標(biāo)準(zhǔn)進(jìn)行；規(guī)范性標(biāo)準(zhǔn)：服務(wù)工作中過程和文檔，含有很好規(guī)范性，可方便于項目標(biāo)跟蹤和控制；可控性標(biāo)準(zhǔn)：方法和過程在雙方認(rèn)可范圍之內(nèi)，安全服務(wù)進(jìn)度要根據(jù)進(jìn)度表進(jìn)度安排，確保甲方對于服務(wù)工作可控性；整體性標(biāo)準(zhǔn)：安全服務(wù)范圍和內(nèi)容整體全方面，包含安全包含各個層面（應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)、管理制度、人員等），避免因為遺漏造成未來安全隱患；最小影響標(biāo)準(zhǔn)：安全服務(wù)中工作盡可能小影響系統(tǒng)和網(wǎng)絡(luò)正常運行，不能對現(xiàn)網(wǎng)運行和業(yè)務(wù)正常提供產(chǎn)生顯著影響；保密性標(biāo)準(zhǔn)：對過程數(shù)據(jù)和結(jié)果數(shù)據(jù)嚴(yán)格保密，未經(jīng)授權(quán)不得泄露給任何單位和個人，不得利用此數(shù)據(jù)進(jìn)行任何侵害甲方行為，不然甲方有權(quán)追究乙方責(zé)任。甲方有權(quán)要求乙方在服務(wù)結(jié)束以后銷毀全部和本項目相關(guān)數(shù)據(jù)和文檔。項目范圍本項目選擇中海信托關(guān)鍵業(yè)務(wù)系統(tǒng)作為服務(wù)對象。文件和法律法規(guī)中國政策和標(biāo)準(zhǔn)：《國家信息化領(lǐng)導(dǎo)小組相關(guān)加強信息安全保障工作意見》（中辦發(fā)[]27號）；《相關(guān)開展信息安全風(fēng)險評定工作意見》1月國家網(wǎng)絡(luò)和信息安全協(xié)調(diào)小組；《相關(guān)印發(fā)《信息安全風(fēng)險評定指南》通知》2月國信辦（國信辦綜[]9號）；《商業(yè)銀行內(nèi)部控制指導(dǎo)》12月銀監(jiān)會《企業(yè)內(nèi)部控制基礎(chǔ)規(guī)范》7月財政部、證監(jiān)會、審計署、銀監(jiān)會、保監(jiān)會國際政策和標(biāo)準(zhǔn)：ISO/IEC27001信息安全管理體系標(biāo)準(zhǔn)COSO/COBIT內(nèi)控和信息技術(shù)控制框架ISO/IECTR13335Series,GuidelinesforthemanagementofITSecurity(CMITS)，1996-NISTSP800Series,ComputerSecuritySpecialPublications，1991-天融信對本項目標(biāo)了解對項目目標(biāo)了解安全風(fēng)險評定工作是中海信托信息安全體系運作體系中風(fēng)險管理關(guān)鍵組成部分，經(jīng)過周期性安全風(fēng)險評定工作發(fā)覺企業(yè)安全現(xiàn)實狀況，為企業(yè)安全建設(shè)和安全加固提供數(shù)據(jù)基礎(chǔ)。總而言之，本期項目標(biāo)目標(biāo)是：經(jīng)過安全評定技術(shù)手段，盡可能發(fā)覺和定位中海信托各信息系統(tǒng)存在安全風(fēng)險，為安全加固、系統(tǒng)整改及應(yīng)急響應(yīng)提供依據(jù)和技術(shù)指導(dǎo)，降低中海信托整體安全風(fēng)險。對項目特點了解經(jīng)過上面對本項目目標(biāo)分析，本期深度安全風(fēng)險評定工作存在以下特點：要求高：因為中海信托業(yè)務(wù)快速增加，對信息安全要求越來越高，所以要比以前采取愈加規(guī)范項目管理要求；此次評定技術(shù)深度和廣度，全部要強于以前項目及同行業(yè)要求（多個系統(tǒng)應(yīng)用分析）；采取技術(shù)標(biāo)準(zhǔn)，是目前最新、最立即，相比歷史評定工作和同行業(yè)類似工作技術(shù)要求是最高；技術(shù)和管理并重：因為面臨外部威脅壓力和影響力比以往要大很多，所以此次項目愈加側(cè)重于經(jīng)過外部滲透測試方法，發(fā)覺從外部威脅和影響（尤其是從外部Internet進(jìn)行滲透測試）；此次項目滲透測試包含系統(tǒng)范圍更廣，而且更深地分析經(jīng)過“信任關(guān)系”發(fā)生滲透，從而發(fā)覺“木桶原理”中“最短那塊板”；愈加側(cè)重于應(yīng)用系統(tǒng)本身特點安全評定：綜合分析業(yè)務(wù)和管理層（數(shù)據(jù)流，角色權(quán)限…）；應(yīng)用層（數(shù)據(jù)庫，中間件）；系統(tǒng)層（主機操作系統(tǒng)）；網(wǎng)絡(luò)層（網(wǎng)絡(luò)架構(gòu)，網(wǎng)絡(luò)設(shè)備），提出安全風(fēng)險愈加有針對性；中海信托各應(yīng)用系統(tǒng)有不一樣特點，在此次項目中要結(jié)合不一樣部門、不一樣系統(tǒng)特點進(jìn)行對應(yīng)應(yīng)用系統(tǒng)安全評定；愈加考慮安全加固和應(yīng)急響應(yīng)體系建設(shè)可行性：此次項目在實施過程中安排了時間，對發(fā)覺問題進(jìn)行立即地講解和答疑；對發(fā)覺問題提出處理方案，和系統(tǒng)管理員立即溝通，并幫助進(jìn)行講解和培訓(xùn)，對不能直接處理，提出綜合處理、降低風(fēng)險方案。項目總體方法和步驟概述風(fēng)險管理（RiskManagement）意在對潛在機會和不利影響進(jìn)行有效管理文化、程序和結(jié)構(gòu)。風(fēng)險管理是良好管理一個組成部分，它用一個將損失減小到最低程度而使商業(yè)機會達(dá)成最大程度方法，對和機構(gòu)任何活動、功效和過程相關(guān)風(fēng)險進(jìn)行環(huán)境建立、判定、分析、評價、處理、監(jiān)控和信息交流。風(fēng)險管理過程（RiskManagementProcess）是指系統(tǒng)地將管理方針、程序和結(jié)構(gòu)應(yīng)用于風(fēng)險環(huán)境建立、判定、分析、評價、處理、監(jiān)控和信息交流等過程任務(wù)。在信息安全領(lǐng)域，一樣適適用于風(fēng)險管理理念和方法論。在目前信息技術(shù)得到普遍應(yīng)用，而且很多成為關(guān)鍵業(yè)務(wù)系統(tǒng)環(huán)境下，企業(yè)或組織信息安全風(fēng)險很大，而且普遍缺乏有效控制和管理，但過分風(fēng)險管理，無疑會造成大量金錢和人力花費、和工作效率嚴(yán)重降低。所以，怎樣適度和有效地進(jìn)行信息安全風(fēng)險管理和控制，成為了一項迫切和關(guān)鍵任務(wù)。下面描述即是說明風(fēng)險評定過程理念和方法論，以作為天融信安全服務(wù)標(biāo)準(zhǔn)方法論和理論基礎(chǔ)，指導(dǎo)和規(guī)范天融信安全風(fēng)險安全服務(wù)工作。安全模型參考在澳大利亞和新西蘭國家標(biāo)準(zhǔn)《風(fēng)險管理RiskManagement》（AS/NZS4360:1999）中描述了風(fēng)險管理過程，以下圖所表示：在國際標(biāo)準(zhǔn)ISO13335中，安全模型以下圖所表示，特點是以風(fēng)險為關(guān)鍵。在國際標(biāo)準(zhǔn)中，安全模型以下圖所表示，其特點是強調(diào)了模型對抗性和動態(tài)性。能夠看出，安全模型中關(guān)鍵要素全部是資產(chǎn)、弱點、威脅、風(fēng)險、安全方法等，各要素之間關(guān)系也基礎(chǔ)類似，只是描述和關(guān)注角度不一樣。風(fēng)險評定標(biāo)準(zhǔn)風(fēng)險評定過程中關(guān)鍵選擇規(guī)范和標(biāo)準(zhǔn)包含：中海信托技術(shù)規(guī)范和標(biāo)準(zhǔn)：中國政策和標(biāo)準(zhǔn)：《國家信息化領(lǐng)導(dǎo)小組相關(guān)加強信息安全保障工作意見》（中辦發(fā)[]27號）；《相關(guān)開展信息安全風(fēng)險評定工作意見》1月國家網(wǎng)絡(luò)和信息安全協(xié)調(diào)小組；《相關(guān)印發(fā)《信息安全風(fēng)險評定指南》通知》2月國信辦（國信辦綜[]9號）；國際政策和標(biāo)準(zhǔn)：ISO/IEC27001ISO/IECTR13335Series,GuidelinesforthemanagementofITSecurity(CMITS)，1996-NISTSP800Series,ComputerSecuritySpecialPublications，1991-ISO/IEC15408-1999“信息技術(shù)安全技術(shù)信息技術(shù)安全性評定準(zhǔn)則”（簡稱CC）天融信風(fēng)險評定方法風(fēng)險評定模型在安全評定服務(wù)中，天融信參考上述兩個安全模型，依據(jù)自己工程實踐，建立了自己風(fēng)險評定模型，描述以下：在天融信風(fēng)險評定模型中，關(guān)鍵包含信息資產(chǎn)，弱點/脆弱性、威脅和風(fēng)險四個要素。每個要素有各自屬性，信息資產(chǎn)屬性是資產(chǎn)價值，弱點屬性是弱點被威脅利用后對資產(chǎn)帶來影響嚴(yán)重程度，威脅屬性是威脅發(fā)生可能性，風(fēng)險屬性是風(fēng)險發(fā)生路徑。所以，天融信風(fēng)險評定過程是：對信息資產(chǎn)進(jìn)行識別，并對資產(chǎn)賦值；識別信息資產(chǎn)脆弱性（弱點/漏洞），并對弱點嚴(yán)重程度賦值；對威脅進(jìn)行分析，并對威脅發(fā)生可能性賦值；綜合分析資產(chǎn)價值、資產(chǎn)脆弱性和威脅發(fā)生可能性，得到信息資產(chǎn)風(fēng)險發(fā)生路徑和等級，并對風(fēng)險進(jìn)行處理，選擇適宜控制方法。總體工作步驟圖依據(jù)安全風(fēng)險評定模型，天融信安全風(fēng)險評定總體工作步驟以下圖：在評定過程中首先要進(jìn)行全網(wǎng)資產(chǎn)調(diào)查，識別內(nèi)容包含：“信息設(shè)備、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)環(huán)境、組織結(jié)構(gòu)及物理環(huán)境；然后進(jìn)行應(yīng)用系統(tǒng)安全目標(biāo)識別和分析；和經(jīng)過安全評定“業(yè)務(wù)系統(tǒng)評定”、“滲透測試”、“網(wǎng)絡(luò)架構(gòu)評定”、“IT設(shè)備弱點評定”、“應(yīng)用安全評定”、“安全管理評定”、“物理安全評定”各項內(nèi)容獲取“安全現(xiàn)實狀況”(包含：安全威脅)、“安全弱點”。最終經(jīng)過各系統(tǒng)、子系統(tǒng)安全目標(biāo)和其“安全現(xiàn)實狀況”、“安全弱點”對比分析，得到安全現(xiàn)實狀況和處理方案。本項目采取安全風(fēng)險評定方法此次項目因為側(cè)關(guān)鍵于技術(shù)問題發(fā)覺，并指導(dǎo)以后安全加固和系統(tǒng)技術(shù)整改等技術(shù)工作；依據(jù)此次項目標(biāo)特點，準(zhǔn)備采取以下三種安全風(fēng)險評定方法，關(guān)鍵針對非關(guān)鍵系統(tǒng)、關(guān)鍵系統(tǒng)網(wǎng)絡(luò)類、關(guān)鍵系統(tǒng)計算類；非關(guān)鍵系統(tǒng)IT設(shè)備弱點評定以下圖所表示：本評定關(guān)鍵目標(biāo)是為IT設(shè)備弱點提供安全加固指導(dǎo)和依據(jù)，關(guān)鍵包含“主機系統(tǒng)弱點評定”；“網(wǎng)絡(luò)設(shè)備弱點評定”；“安全設(shè)備弱點評定”。主機系統(tǒng)弱點評定采取人工現(xiàn)場檢驗和工具掃描兩種方法；網(wǎng)絡(luò)設(shè)備弱點評定和安全設(shè)備弱點評定，對能夠?qū)С雠渲眯畔ⅰ⒉⑴渲眯畔⒖勺R別分析，采取后臺人工分析方法；對不能導(dǎo)出配置信息、或配置信息不可識別分析，采取人工現(xiàn)場檢驗方法。評定結(jié)果，是表現(xiàn)各單點資產(chǎn)弱點情況，和綜合統(tǒng)計分析匯報，關(guān)鍵為指導(dǎo)單點設(shè)備安全加固工作。網(wǎng)絡(luò)類關(guān)鍵系統(tǒng)安全評定以下圖所表示：網(wǎng)絡(luò)類關(guān)鍵系統(tǒng)是企業(yè)關(guān)鍵承載各業(yè)務(wù)基礎(chǔ)平臺，其評定目標(biāo)不僅是發(fā)覺現(xiàn)存系統(tǒng)問題，指導(dǎo)安全加固和系統(tǒng)整改工作和依據(jù)；而且還要依據(jù)業(yè)務(wù)發(fā)展需要，為網(wǎng)絡(luò)建設(shè)提供安全保障計劃依據(jù)。本安全評定包含：“IT設(shè)備弱點評定；網(wǎng)絡(luò)架構(gòu)安全評定和滲透測試”，其中IT設(shè)備弱點評定和前面一致。網(wǎng)絡(luò)架構(gòu)安全評定包含：網(wǎng)絡(luò)現(xiàn)實狀況安全合理性分析和隨業(yè)務(wù)發(fā)展需要網(wǎng)絡(luò)安全需求分析，關(guān)鍵采取方法是：后臺分析（對網(wǎng)絡(luò)拓?fù)?、相關(guān)技術(shù)文檔、訪問控制等配置信息分析）、現(xiàn)場設(shè)備檢驗（對網(wǎng)絡(luò)設(shè)備或網(wǎng)管系統(tǒng)安全情況查看）、系統(tǒng)管理員顧問訪談（網(wǎng)絡(luò)現(xiàn)實狀況存在問題、網(wǎng)絡(luò)安全事件、業(yè)務(wù)發(fā)展對網(wǎng)絡(luò)影響及假設(shè)）、主管領(lǐng)導(dǎo)顧問訪談（業(yè)務(wù)發(fā)展對網(wǎng)絡(luò)安全要求）；滲透測試，關(guān)鍵采取嗅探及入侵手法，分析從外部越權(quán)進(jìn)入本系統(tǒng)路徑和可能性，和可越權(quán)訪問接入本網(wǎng)絡(luò)系統(tǒng)系統(tǒng)范圍和影響。注：如無特殊需要，不采取DOS等惡意攻擊手段。本評定結(jié)果，除表現(xiàn)單個資產(chǎn)弱點情況，指導(dǎo)安全加固外；還可為系統(tǒng)整改，劃分安全域和未來網(wǎng)絡(luò)計劃提供參考；同時因為企業(yè)包含網(wǎng)絡(luò)類系統(tǒng)之間是有強關(guān)聯(lián)，最終要綜合分析各網(wǎng)絡(luò)類系統(tǒng)和應(yīng)用系統(tǒng)關(guān)聯(lián)性，設(shè)計全網(wǎng)網(wǎng)絡(luò)安全處理方案提議。應(yīng)用計算類關(guān)鍵系統(tǒng)安全評定以下圖所表示：應(yīng)用計算類關(guān)鍵系統(tǒng)是企業(yè)各獨立業(yè)務(wù)單元，包含完整主機、網(wǎng)絡(luò)、應(yīng)用各項內(nèi)容；其評定目標(biāo)是從深度上（業(yè)務(wù)管理層<數(shù)據(jù)流，用戶角色權(quán)限…>；應(yīng)用層<數(shù)據(jù)庫，中間件>）；到廣度上系統(tǒng)層（主機操作系統(tǒng)）；網(wǎng)絡(luò)層（網(wǎng)絡(luò)架構(gòu)，網(wǎng)絡(luò)設(shè)備），提出全方面安全風(fēng)險分析匯報。本安全評定包含：“IT設(shè)備弱點評定；網(wǎng)絡(luò)架構(gòu)安全評定；應(yīng)用系統(tǒng)安全評定和滲透測試”，其中IT設(shè)備弱點評定和前面一致。網(wǎng)絡(luò)架構(gòu)安全評定關(guān)鍵從網(wǎng)絡(luò)結(jié)構(gòu)上分析其應(yīng)用系統(tǒng)安全域劃分合理性及訪問控制策略符合性，具體方法和前面一致。應(yīng)用系統(tǒng)安全評定，關(guān)鍵包含：對業(yè)務(wù)邏輯和數(shù)據(jù)流安全分析；對應(yīng)用平臺安全分析。關(guān)鍵方法是：后臺分析（對業(yè)務(wù)系統(tǒng)設(shè)計、運行相關(guān)技術(shù)文檔）、現(xiàn)場設(shè)備檢驗（對應(yīng)用平臺和數(shù)據(jù)庫進(jìn)行安全情況查看）、源代碼評定（對部分關(guān)鍵步驟代碼進(jìn)行分析）、系統(tǒng)管理員顧問訪談（現(xiàn)實狀況存在問題、安全事件、業(yè)務(wù)發(fā)展影響及假設(shè)）。滲透測試，關(guān)鍵采取入侵和角色提升手法，分析從外部越權(quán)侵入本系統(tǒng)路徑和可能性；和模擬不一樣用戶角色提升權(quán)限，進(jìn)行數(shù)據(jù)篡改或越權(quán)訪問可能性分析。本評定結(jié)果，除表現(xiàn)單個資產(chǎn)弱點情況，指導(dǎo)安全加固外；關(guān)鍵為系統(tǒng)整改，安全域劃分和系統(tǒng)開發(fā)提供參考。技術(shù)難點和關(guān)鍵突破在對中海信托進(jìn)行安全風(fēng)險評定過程中，因為其規(guī)模龐大，信息系統(tǒng)復(fù)雜，業(yè)務(wù)系統(tǒng)特征和安全屬性存在巨大差異，所以對于評定標(biāo)準(zhǔn)選擇，和評定結(jié)果適用性全部提出了巨大挑戰(zhàn)。評定指標(biāo)定制面臨困難：安全沒有定制化適用安全指標(biāo)，造成評定結(jié)果不可信通常在安全評定時，評定服務(wù)提供者因為在評定前并不熟悉和了解被評定方業(yè)務(wù)特征和安全特征，所以不能定制很適用評定標(biāo)準(zhǔn)指標(biāo)，也就是說沒有很適用，反應(yīng)被評定對象特征評定標(biāo)準(zhǔn)，通常全部采取國際或國家標(biāo)準(zhǔn)。即使國際或國家標(biāo)準(zhǔn)適適用于全部信息系統(tǒng)，但其適用廣泛性原因，評定標(biāo)準(zhǔn)比較籠統(tǒng)，不反應(yīng)行業(yè)特征和企業(yè)特征。這么，因為缺乏適用評定標(biāo)準(zhǔn)，造成評定結(jié)果可用性差，也缺乏針對性，不能反應(yīng)業(yè)務(wù)特征和行業(yè)特征。尤其是假如服務(wù)提供者對用戶首次評定，存在評定質(zhì)量較低風(fēng)險，這是評定服務(wù)業(yè)務(wù)一個多年存在難題，極難處理。通常情況下，評定質(zhì)量取決于評定服務(wù)提供者和評定顧問經(jīng)驗是否豐富，是否很熟悉被評定者業(yè)務(wù)特征和行業(yè)特征。處理方法：在評定前設(shè)計行業(yè)安全評定指標(biāo)，并在評定開始階段盡可能定制能否正確定制行業(yè)安全評定指標(biāo)，即行業(yè)評定標(biāo)準(zhǔn)是評定項目能否成功關(guān)鍵步驟之一，它對評定結(jié)果適用性和真實性起著關(guān)鍵作用。在作評定前，我們依據(jù)多年對不一樣行業(yè)豐富評定經(jīng)驗和深刻了解，依據(jù)不一樣行業(yè)業(yè)務(wù)特征和安全要求特征了解，總結(jié)出反應(yīng)行業(yè)特征安全要求，設(shè)計出針對不一樣行業(yè)安全對策指標(biāo)體系，再細(xì)化成不一樣行業(yè)安全評定指標(biāo)。強調(diào)評定結(jié)果適用性面臨困難：評定結(jié)果和提議難以實施，技術(shù)和管理難以有效融合，缺乏抗打擊能力和可控性信息安全問題包含管理方面問題、技術(shù)方面問題和二者交叉，它歷來全部不是靜態(tài)，伴隨組織策略、組織架構(gòu)、業(yè)務(wù)步驟和操作步驟改變而改變。中海信托現(xiàn)有安全防護(hù)方法大多屬于靜態(tài)單點技術(shù)防護(hù)，單純布署安全產(chǎn)品是一個靜態(tài)處理措施，單純防范黑客入侵和病毒感染更是是片面。一旦單點防護(hù)方法被突破、繞過或失效，整個安全保障將會失效，威脅將影響到整個信息系統(tǒng)。評定結(jié)果中處理方案在設(shè)計過程中需要系統(tǒng)化全方面考慮，避免單點考慮，形成系統(tǒng)化方法。處理方案：強調(diào)多重深度保障和抗打擊能力，強調(diào)評定結(jié)果可用性27號文件提出“堅持主動防御、綜合防范方針”，《美國國家安全戰(zhàn)略》中指出，國家關(guān)鍵基礎(chǔ)設(shè)施“這些關(guān)鍵功效遭到任何破壞或操縱必需控制在歷時短、頻率小、可控、地域上可隔離和對利益損害最小這么一個規(guī)模上”。二者全部強調(diào)了抗打擊能力和可控性，這就要求采取多層保護(hù)深度防御策略，實現(xiàn)安全管理和安全技術(shù)緊密結(jié)合，預(yù)防單點突破。天融信在輸出評定結(jié)果時，會將管理手段和安全技術(shù)緊密結(jié)合，充足吸收業(yè)務(wù)特征，建立一個適用性強、可行性強并含有多重深度保障手段防護(hù)網(wǎng)絡(luò)。信息資產(chǎn)調(diào)查和賦值信息資產(chǎn)概述資產(chǎn)是企業(yè)、機構(gòu)直接給予了價值所以需要保護(hù)東西。它可能是以多個形式存在，有沒有形、有有形，有硬件、有軟件，有文檔、代碼，也有服務(wù)、企業(yè)形象等。它們分別含有不一樣價值屬性和存在特點，存在弱點、面臨威脅、需要進(jìn)行保護(hù)和安全控制全部各不相同。為此，有必需對企業(yè)、機構(gòu)中信息資產(chǎn)進(jìn)行科學(xué)識別，方便于進(jìn)行后期信息資產(chǎn)抽樣、制訂風(fēng)險評定策略、分析安全功效需求等活動。即使信息資產(chǎn)含有很廣泛含義，但這里將信息資產(chǎn)定義以下：信息資產(chǎn)是指組織信息系統(tǒng)、其提供服務(wù)和處理數(shù)據(jù)。信息資產(chǎn)分類參考ISO27001對信息資產(chǎn)描述和定義，結(jié)合安全評定經(jīng)驗，將信息資產(chǎn)根據(jù)下面方法進(jìn)行分類：類別解釋/示例網(wǎng)絡(luò)設(shè)備一臺或一組互備網(wǎng)絡(luò)設(shè)備，包含網(wǎng)絡(luò)設(shè)備中硬件，IOS，配置文件數(shù)據(jù)及其提供網(wǎng)絡(luò)服務(wù)。包含路由器、交換機、RAS等，防火墻、IDS等安全設(shè)備除外。服務(wù)器一臺或一組服務(wù)器，包含服務(wù)器硬件、運行于其上OS、通用應(yīng)用、服務(wù)，數(shù)據(jù)庫、磁盤陣列等。工作站用戶端用機、個人用機等。安全設(shè)備作為安全用途硬件和軟件,如:防火墻、IDS、AV等。存放設(shè)備提供存放用途硬件和軟件，如：磁盤陣列等。業(yè)務(wù)系統(tǒng)指組織為其應(yīng)用而開發(fā)或購置各類應(yīng)用軟件及其提供業(yè)務(wù)服務(wù)。應(yīng)用平臺軟件關(guān)鍵是指提供通用服務(wù)多種平臺系統(tǒng)，包含：數(shù)據(jù)庫WWW、Mail、FTP、DNS、和專有中間件產(chǎn)品等；數(shù)據(jù)及文檔關(guān)鍵指存在于電子媒介或紙制多種數(shù)據(jù)和資料，包含數(shù)據(jù)庫數(shù)據(jù)、存放于硬盤上文件、代碼；財務(wù)數(shù)據(jù)及書面匯報等。組織和人員指和安全相關(guān)組織和人員，包含各級安全組織，安全人員、各級管理人員，網(wǎng)管員，系統(tǒng)管理員，業(yè)務(wù)操作人員，第三方人員等物理環(huán)境指支持IT系統(tǒng)運行基礎(chǔ)物理設(shè)施，如：機房、空調(diào)、UPS、監(jiān)控器等。網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備是指組成信息系統(tǒng)網(wǎng)絡(luò)傳輸環(huán)境設(shè)備，軟件和介質(zhì)。包含路由器、交換機、通信終端和網(wǎng)關(guān)和網(wǎng)絡(luò)設(shè)備控制臺等硬件設(shè)施和軟件系統(tǒng)，為了更清楚地域分資產(chǎn)安全屬性，網(wǎng)絡(luò)設(shè)備類資產(chǎn)不包含防火墻、VPN、網(wǎng)絡(luò)入侵檢測等網(wǎng)絡(luò)安全產(chǎn)品。服務(wù)器服務(wù)器是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)和軟件計算環(huán)境。包含大型機、小型機、Unix服務(wù)器、Windows服務(wù)器、移動計算設(shè)備、應(yīng)用加密機和磁盤陣列等計算設(shè)備硬件及其操作系統(tǒng)、數(shù)據(jù)庫。除此之外，行業(yè)特殊設(shè)備，比如銀行ATM等，也屬于主機系統(tǒng)。同一臺主機系統(tǒng)，安裝兩種或以上操作系統(tǒng)（關(guān)鍵針對工作站、移動計算設(shè)備），并均能接入到網(wǎng)絡(luò)中，應(yīng)視為多項主機系統(tǒng)信息資產(chǎn)。工作站工作站是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)軟件用戶端軟件計算環(huán)境和OA系統(tǒng)中個人用機。同一臺主機系統(tǒng)，安裝兩種或以上操作系統(tǒng)（關(guān)鍵針對工作站、移動計算設(shè)備），并均能接入到網(wǎng)絡(luò)中，應(yīng)視為多項主機系統(tǒng)信息資產(chǎn)。安全設(shè)備安全設(shè)備關(guān)鍵指在信息系統(tǒng)中用作網(wǎng)絡(luò)安全保護(hù)用途硬件設(shè)施和軟件系統(tǒng)，包含：防火墻、VPN、網(wǎng)絡(luò)入侵檢測、網(wǎng)閘、防病毒系統(tǒng)和相關(guān)系統(tǒng)控制臺軟硬件設(shè)施。存放設(shè)備存放設(shè)備關(guān)鍵指在信息系統(tǒng)中用作數(shù)據(jù)存放用途硬件設(shè)施和軟件系統(tǒng)，并均能接入到網(wǎng)絡(luò)中信息資產(chǎn)。包含：DAS、NAS、SAN等軟硬件設(shè)施。業(yè)務(wù)系統(tǒng)業(yè)務(wù)系統(tǒng)關(guān)鍵指為業(yè)務(wù)生產(chǎn)、管理支撐及辦公等業(yè)務(wù)需求提供服務(wù)軟件系統(tǒng)，這類資產(chǎn)在信息資產(chǎn)中占有很關(guān)鍵地位。本項目所指業(yè)務(wù)系統(tǒng)是指獨立應(yīng)用、運作系統(tǒng)，比如短消息業(yè)務(wù)系統(tǒng)、MISC系統(tǒng)、辦公自動化系統(tǒng)、管理信息系統(tǒng)等，網(wǎng)管系統(tǒng)等。業(yè)務(wù)系統(tǒng)屬于需要關(guān)鍵評定、保護(hù)對象。業(yè)務(wù)系統(tǒng)作為獨立資產(chǎn)存在同時，對于其它資產(chǎn)又存在以下關(guān)系：作為“網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存放設(shè)備”資產(chǎn)屬性之一列出。在其資產(chǎn)賦值時，作為考慮原因。應(yīng)用平臺軟件關(guān)鍵是指提供通用服務(wù)多種平臺系統(tǒng)，包含：數(shù)據(jù)庫WWW、Mail、FTP、DNS、和專有中間件產(chǎn)品等；通常將其所代表安全屬性落實到以下部分來表現(xiàn)：應(yīng)用平臺軟件作為“服務(wù)器、工作站、安全設(shè)備、存放設(shè)備”資產(chǎn)屬性之一列出，在進(jìn)行資產(chǎn)賦值和弱點時候，作為考慮原因。數(shù)據(jù)及文檔數(shù)據(jù)及文檔關(guān)鍵指存在于電子媒介或紙制多種數(shù)據(jù)和資料，包含源代碼、數(shù)據(jù)庫數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、用戶數(shù)據(jù)、多種數(shù)據(jù)資料、系統(tǒng)文檔、運行管理規(guī)程、計劃、匯報、用戶手冊等。數(shù)據(jù)及文檔資產(chǎn)在信息資產(chǎn)中占有很關(guān)鍵地位，通常作為企業(yè)知識產(chǎn)權(quán)、競爭優(yōu)勢、商業(yè)秘密載體。屬于需要關(guān)鍵評定、保護(hù)對象。通常，數(shù)據(jù)及文檔類資產(chǎn)需要保護(hù)安全屬性是機密性。比如，企業(yè)財務(wù)信息和薪酬數(shù)據(jù)就是屬于高度機密性數(shù)據(jù)。不過，完整性關(guān)鍵性會伴隨機密性提升而提升。企業(yè)內(nèi)部對于數(shù)據(jù)類資產(chǎn)分類方法通常依據(jù)數(shù)據(jù)敏感性（Sensitivity）來進(jìn)行，和機密性很類似。比如，下表是常見一個數(shù)據(jù)分類方法：簡稱解釋/舉例公開Public不需要任何保密機制和方法，能夠公開使用（比如產(chǎn)品發(fā)表新聞等）。內(nèi)部Internal企業(yè)內(nèi)部職員或文檔所屬部門使用，或文檔包含企業(yè)使用（比如合相同）秘密Private由和項目相關(guān)企業(yè)和用戶企業(yè)組員使用機密Confidential只有在文檔中指定人員可使用，文檔保管要在要求時間內(nèi)受到控制絕密Secret非文檔擬訂者或文檔全部者及管理者，其它指定人員在使用文檔后快速按要求銷毀不過，因為數(shù)據(jù)及文檔數(shù)量巨大，且對其分類存在巨大偏差和困難，通常將其所代表安全屬性落實到以下部分來表現(xiàn)：作為“服務(wù)器、工作站、存放設(shè)備”資產(chǎn)屬性之一列出。在進(jìn)行資產(chǎn)賦值和弱點及威脅分析時候，作為考慮原因。作為“組織和人員”資產(chǎn)屬性之一列出。在進(jìn)行弱點及威脅分析時候，作為考慮原因。組織和人員關(guān)鍵指企業(yè)和信息相關(guān)人員和組織，包含各級安全組織，安全人員、各級管理人員，網(wǎng)管員，系統(tǒng)管理員，業(yè)務(wù)操作人員，第三方人員等和被評定信息系統(tǒng)相關(guān)人員和組織。組織和人員作為獨立資產(chǎn)存在進(jìn)行識別，但不對其進(jìn)行資產(chǎn)賦值，對其安全性原因考慮以下：作為“業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存放設(shè)備”資產(chǎn)屬性之一列出。物理環(huán)境關(guān)鍵指支持信息系統(tǒng)運行環(huán)境非IT類設(shè)備，關(guān)鍵包含機房、UPS、空調(diào)、保險柜、文件柜、門禁、消防設(shè)施等。此處通常屬于物理安全問題，關(guān)鍵設(shè)備通常集中在機房內(nèi)，所以評定時應(yīng)關(guān)鍵考慮機房提供環(huán)境安全。物理環(huán)境和其它資產(chǎn)存在以下關(guān)系：物理位置作為“業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存放設(shè)備”資產(chǎn)屬性之一列出。在其弱點及威脅評定時，作為考慮原因。信息資產(chǎn)分類整體圖網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備服務(wù)器工作站安全設(shè)備存放設(shè)備組織和人員業(yè)務(wù)系統(tǒng)信息資產(chǎn)調(diào)查表屬性描述資產(chǎn)名稱在一個業(yè)務(wù)系統(tǒng)中不能重名資產(chǎn)編號全局唯一資產(chǎn)類型資產(chǎn)類別屬性包含服務(wù)器、工作站、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等資產(chǎn)子類型子類型是對類型深入說明，比如網(wǎng)絡(luò)設(shè)備中路由器、交換機等操作系統(tǒng)類型設(shè)備所承載系統(tǒng)類型，比如包含windows,windows,hp-unix,aix,solaris等操作系統(tǒng)版本號各類操作系統(tǒng)版本，比如solaris2.8，8.0等操作系統(tǒng)補丁各類操作系統(tǒng)安全補丁信息應(yīng)用軟件平臺應(yīng)用系統(tǒng)所需應(yīng)用軟件，比如WEB、J2EE等應(yīng)用平臺軟件版本應(yīng)用軟件所對應(yīng)對應(yīng)版本。應(yīng)用平臺軟件補丁應(yīng)用軟件廠商公布安全補丁。設(shè)備型號網(wǎng)絡(luò)、服務(wù)器、工作站等硬件設(shè)備型號設(shè)備工作方法硬件、系統(tǒng)之間工作方法，比如熱備、冷備、負(fù)載均衡等用途信息資產(chǎn)關(guān)鍵功效。資產(chǎn)所在地理位置信息資產(chǎn)所處地域、機房和機柜等資產(chǎn)所在業(yè)務(wù)系統(tǒng)和部門信息資產(chǎn)所屬業(yè)務(wù)系統(tǒng)名稱和業(yè)務(wù)系統(tǒng)所屬部門名稱資產(chǎn)責(zé)任人信息資產(chǎn)在登記過程中責(zé)任人。資產(chǎn)維護(hù)人維護(hù)信息資產(chǎn)人員名稱資產(chǎn)安全三性安全屬性，機密性、完整性和可用性資產(chǎn)創(chuàng)建時間信息資產(chǎn)入網(wǎng)時間資產(chǎn)最終修改時間信息資產(chǎn)功效修改、人員變換等信息更換最終時間資產(chǎn)最終修改人信息資產(chǎn)功效修改、人員變換等信息更換修改人員名稱保護(hù)對象框架通常來說，信息系統(tǒng)資產(chǎn)數(shù)量十分龐大，為了愈加好研究其計算機安全問題，還需要從龐大信息資產(chǎn)中提煉出保護(hù)對象。保護(hù)對象框架是指以結(jié)構(gòu)化方法表示信息系統(tǒng)框架模型。所謂結(jié)構(gòu)化是指經(jīng)過特定結(jié)構(gòu)將問題拆分成子問題迭代方法。比如“魚刺圖”或“問題樹”。結(jié)構(gòu)化方法包含以下幾條基礎(chǔ)標(biāo)準(zhǔn)：充足覆蓋全部子問題總和必需覆蓋原問題。假如不能充足覆蓋，那么處理問題方法就可能出現(xiàn)遺漏，嚴(yán)重影響本方法可行性?；ゲ恢睾先孔訂栴}全部不許可出現(xiàn)反復(fù)，類似以下情況不應(yīng)出現(xiàn)在一個框架中：兩個不一樣子問題其實是同一個子問題兩種表述；某一個子問題其實是另外兩個問題或多個問題合并；不可再細(xì)分全部子問題全部必需細(xì)分到不能再被細(xì)分。當(dāng)一個問題經(jīng)過框架分析后，全部不可再細(xì)分子問題組成了一個“框架”。保護(hù)對象關(guān)鍵作用為：有利于信息資產(chǎn)識別全方面性。在列舉信息資產(chǎn)時，保護(hù)對象框架有利于識別者系統(tǒng)進(jìn)行思索；從資產(chǎn)安全估價到區(qū)域安全性賦值，有利于降低風(fēng)險分析難度，同時確保風(fēng)險分析有效性。保護(hù)對象框架內(nèi)容保護(hù)對象框架關(guān)鍵包含計算區(qū)域、網(wǎng)絡(luò)及基礎(chǔ)設(shè)施、邊界、支撐性基礎(chǔ)設(shè)施四部分；計算區(qū)域還可作為下一級保護(hù)對象，向下細(xì)分為下一級計算區(qū)域、網(wǎng)絡(luò)及基礎(chǔ)設(shè)施、邊界、支撐性基礎(chǔ)設(shè)施。1）計算區(qū)域計算區(qū)域是指由相同功效集合在一起，安全價值相近，且面臨相同威脅起源一組信息系統(tǒng)組成。同一計算區(qū)域內(nèi)信息資產(chǎn)在安全性上含有較強同質(zhì)性。計算區(qū)域還能夠根據(jù)安全性能深入細(xì)分，直至到安全性完全同質(zhì)。2）網(wǎng)絡(luò)及基礎(chǔ)設(shè)施網(wǎng)絡(luò)及基礎(chǔ)設(shè)施是指相同功效集合在一起，安全價值相近，且面臨相同威脅起源一組網(wǎng)絡(luò)系統(tǒng)組成。通常包含路由器，交換機和防火墻等提供網(wǎng)路服務(wù)局域網(wǎng)和廣域網(wǎng)。3）邊界邊界是指兩個區(qū)域或兩組區(qū)域之間隔離功效集。邊界是一組功效集合，包含訪問控制，身份認(rèn)證等。4）支撐性基礎(chǔ)設(shè)施支撐性基礎(chǔ)設(shè)施是指在區(qū)域內(nèi)提供安全保障功效功效集。支撐性基礎(chǔ)設(shè)施是一組功效集合，包含入侵檢測、審計及計算機病毒防護(hù)等。保護(hù)對象和信息資產(chǎn)保護(hù)對象框架就是信息系統(tǒng)真實模型，計算區(qū)域、網(wǎng)絡(luò)和基礎(chǔ)設(shè)施作為保護(hù)對象框架兩類基礎(chǔ)元素，分別對應(yīng)了不一樣信息資產(chǎn)集合。計算區(qū)域：對應(yīng)信息資產(chǎn)，通常包含：工作站、存放設(shè)備，服務(wù)器，安全設(shè)備（不含有訪問控制及邊界隔離功效）；當(dāng)計算區(qū)域作為一級保護(hù)對象框架時，應(yīng)根據(jù)保護(hù)對象框架思緒向下繼續(xù)分解。網(wǎng)絡(luò)和基礎(chǔ)設(shè)施：對應(yīng)信息資產(chǎn)，通常包含：網(wǎng)絡(luò)設(shè)備，安全設(shè)備（含有訪問控制及邊界隔離功效）。邊界：對應(yīng)信息資產(chǎn)，通常包含:網(wǎng)絡(luò)設(shè)備(含有訪問控制及邊界隔離功效模塊)，安全設(shè)備（含有訪問控制及邊界隔離功效）。支撐性基礎(chǔ)設(shè)施：對應(yīng)信息資產(chǎn)，通常包含：安全設(shè)備（不含有訪問控制及邊界隔離功效）如上信息資產(chǎn)和保護(hù)對象框架關(guān)系，全部為各類信息資產(chǎn)一個或多個屬性。對于業(yè)務(wù)系統(tǒng)資產(chǎn)來說，在確立保護(hù)對象框架時，能夠?qū)⑵渥鳛橐粋€獨立保護(hù)對象來看待。對于組織和人員資產(chǎn)，經(jīng)過業(yè)務(wù)系統(tǒng)屬性和對應(yīng)保護(hù)對象框架相關(guān)聯(lián)。資產(chǎn)識別過程繪制拓?fù)鋱D資產(chǎn)識別首要步驟是繪制拓?fù)鋱D。在拓?fù)鋱D中盡可能真實地描繪拓?fù)鋱D。通常來說，拓?fù)鋱D越具體，資產(chǎn)識別精度也就越高。假如系統(tǒng)很復(fù)雜，一張拓?fù)鋱D極難描述清楚，則應(yīng)采取多張拓?fù)鋱D。在安全咨詢項目中，顧問應(yīng)要求用戶首先提供用戶事先拓?fù)鋱D。并以此為基礎(chǔ)改成標(biāo)準(zhǔn)化拓?fù)鋱D。確定業(yè)務(wù)系統(tǒng)繪制拓?fù)鋱D以后，經(jīng)過訪談等方法，確定業(yè)務(wù)系統(tǒng)，且識別業(yè)務(wù)系統(tǒng)功效類型。確定第一層保護(hù)對象框架依據(jù)業(yè)務(wù)系統(tǒng)各服務(wù)功效，對劃分出第一層保護(hù)對象框架，劃分標(biāo)準(zhǔn)：依據(jù)業(yè)務(wù)類型：比如是生產(chǎn)業(yè)務(wù)，管理支撐業(yè)務(wù)，還是辦公業(yè)務(wù)等。依據(jù)業(yè)務(wù)關(guān)鍵性：比如關(guān)鍵區(qū)域，非關(guān)鍵區(qū)域等。劃分出存在哪些外部區(qū)域確定第二層保護(hù)對象框架第二層保護(hù)對象框架在第一層區(qū)域內(nèi)劃分，劃分標(biāo)準(zhǔn)：通常依據(jù)業(yè)務(wù)系統(tǒng)及其提供功效特征次序識別資產(chǎn)識別出系統(tǒng)級保護(hù)對象框架后，才真正開始進(jìn)行資產(chǎn)識別。在這一階段，依據(jù)信息資產(chǎn)種類來進(jìn)行識別。并將其歸屬入對應(yīng)保護(hù)對象框架，或在過程中創(chuàng)建下一級保護(hù)對象框架。信息資產(chǎn)賦值信息資產(chǎn)識別完成后，形成了一個信息資產(chǎn)清單，但對于大型組織來說，信息資產(chǎn)數(shù)目十分龐大，所以需要確定資產(chǎn)價值和關(guān)鍵性，關(guān)鍵保護(hù)關(guān)鍵、關(guān)鍵資產(chǎn)，并便于深入考察資產(chǎn)相關(guān)弱點、威脅和風(fēng)險屬性，并進(jìn)行量化，所以需要對資產(chǎn)進(jìn)行估價。安全風(fēng)險評定中所指信息資產(chǎn)價值有別于資產(chǎn)帳面價值和重置價值，而是指資產(chǎn)在安全方面相對價值。本文中所指信息資產(chǎn)價值全部全部表示相對價值。在本文中，信息資產(chǎn)安全價值關(guān)鍵是指其機密性、完整性和可用性。資產(chǎn)安全價值含有很強時間特征，所以應(yīng)該依據(jù)時間改變頻度制訂資產(chǎn)相關(guān)評定和安全策略頻度。比如，某企業(yè)關(guān)鍵市場活動策劃方案（數(shù)據(jù)資產(chǎn)），在活動開始之前，為達(dá)成市場目標(biāo)，需要對該數(shù)據(jù)資產(chǎn)進(jìn)行機密性、完整性和可用性方面保護(hù)。不過在該活動以后，策劃已經(jīng)基礎(chǔ)上全部傳達(dá)給了大眾，所以資產(chǎn)價值已經(jīng)大部分消失，相關(guān)安全屬性也失去保護(hù)意義。信息資產(chǎn)估價方法信息資產(chǎn)估價方法有定性、半定量、定量三種，鑒于定量估價巨大工作量和技術(shù)難度，所以采取定性估價方法。信息資產(chǎn)分別含有不一樣安全屬性，機密性、完整性和可用性分別反應(yīng)了資產(chǎn)在三個不一樣方面特征。安全屬性不一樣通常也意味著安全控制、保護(hù)功效需求不一樣。經(jīng)過考察三種不一樣安全屬性，能夠得出一個能夠基礎(chǔ)反應(yīng)資產(chǎn)價值定性數(shù)值。在信息資產(chǎn)估價時，關(guān)鍵對資產(chǎn)這三個安全屬性分別給予價值，以此反應(yīng)出信息資產(chǎn)價值。機密性、完整性和可用性定義以下：保密性：確保只有經(jīng)過授權(quán)人才能訪問信息；完整性：保護(hù)信息和信息處理方法正確而完整；可用性：確保經(jīng)過授權(quán)用戶在需要時能夠訪問信息并使用相關(guān)信息資產(chǎn)。對安全屬性賦值時關(guān)鍵考慮是對整個評定體影響和損害，然后根據(jù)下面賦值標(biāo)準(zhǔn)來衡量。這里整個評定體是指此次評定主體，包含此次評定范圍內(nèi)全部信息資產(chǎn)。下面描述信息資產(chǎn)賦值時采取標(biāo)準(zhǔn)。要求顧問在評定工作中，嚴(yán)格依據(jù)賦值標(biāo)準(zhǔn)進(jìn)行賦值，而且全部顧問對賦值標(biāo)準(zhǔn)了解應(yīng)該達(dá)成一致，以避免賦值隨意性和不一致性，從而避免降低評定工作質(zhì)量。半定量化資產(chǎn)賦值在分析資產(chǎn)安全性價值時，分析其真實數(shù)值很困難，所以在本項目中我們采取半定量化方法，即資產(chǎn)價值等級劃分。在本項目中，我們對于全部資產(chǎn)機密性、完整性和可用性價值，均劃分為5級。其中5代表資產(chǎn)安全性價值最高，1代表資產(chǎn)性價值最低。采取這種方法，使得資產(chǎn)賦值簡便易行，同時也表現(xiàn)了不一樣資產(chǎn)之間安全價值差距。其缺點是因為缺乏統(tǒng)一準(zhǔn)則，對于每項資產(chǎn)，其機密性、完整性和可用性三者之間價值是不可比。也就是說，假如一項資產(chǎn)機密性和可用性賦值全部是4，并不意味該資產(chǎn)機密性和可用性價值相同。資產(chǎn)賦值方法采取5級標(biāo)準(zhǔn)，很好地反應(yīng)了資產(chǎn)價值差異，但對于用戶和顧問來說，在為某一項資產(chǎn)機密性、完整性或可用性價值賦值時，仍然極難在相鄰兩個數(shù)值之間作出選擇。為此，本項目中提出了一套方法，經(jīng)過將機密性、完整性和可用性每個值分解為兩個相乘指標(biāo)，而每個指標(biāo)均分為三級。從而得出五級安全價值。V={Vc,Vi,Va} 資產(chǎn)安全價值由機密性價值、完整性價值和可用性價值三者組成。Vc=Xc*YcVi=Xi*YiVa=Xa*Ya 將三個安全性價值分別分解為兩個相乘指標(biāo)。VX=3X=2X=1Y=3543Y=2432Y=1321 分別為兩個指標(biāo)（三級）賦值，然后查上表得出價值（五級）。機密性賦值Vc（資產(chǎn)機密性價值）是指該資產(chǎn)被暴露時對組織造成損害，所以資產(chǎn)機密性價值可分解為以下兩個指標(biāo)：Xc=資產(chǎn)被暴露時和所造成最嚴(yán)重后果之間關(guān)系；Yc＝后果對組織最嚴(yán)重?fù)p害程度；Vc=Xc*YcXc（資產(chǎn)被暴露時和造成后果之間關(guān)系）可分為下述三級：直接產(chǎn)生后果：即當(dāng)資產(chǎn)被暴露時，后果既已發(fā)生。比如，組織商業(yè)秘密，要求密級涉密信息，這些信息一旦被暴露，后果隨之發(fā)生，無法挽回。輕易產(chǎn)生后果：當(dāng)資產(chǎn)被暴露時，后果很輕易發(fā)生。比如當(dāng)操作系統(tǒng)超級用戶口令失密時，假如獲知者無惡意，后果可能不會發(fā)生，不過假如獲知者含有惡意，那么后果很輕易發(fā)生?？赡墚a(chǎn)生后果：當(dāng)資產(chǎn)被暴露時，后果有可能會發(fā)生，但離后果發(fā)生仍存在一定距離。比如某用戶端軟件被盜用，在沒有得到服務(wù)器驗證口令之前，后果仍未造成。Yc（后果對組織損害程度）包含下述三種情況：嚴(yán)重?fù)p害：比如引發(fā)法律糾份、造成聲譽下降或帶來嚴(yán)重經(jīng)濟(jì)損失；中等損害：比如局部范圍內(nèi)聲譽下降或顯著經(jīng)濟(jì)損失；輕度損害：比如輕微經(jīng)濟(jì)損失。完整性賦值Vi（資產(chǎn)完整性價值）是指該資產(chǎn)不處于正確，完整或可依靠狀態(tài)時對組織造成損害，所以資產(chǎn)完整性價值可分解為以下兩個指標(biāo)：Xi=資產(chǎn)不處于正確，完整或可依靠狀態(tài)時和所造成最嚴(yán)重后果之間關(guān)系；Yi＝后果對組織最嚴(yán)重?fù)p害程度；Vi=Xi*YiXi（資產(chǎn)不處于正確，完整或可依靠狀態(tài)時和造成后果之間關(guān)系）可分為下述三級：直接產(chǎn)生后果：即當(dāng)資產(chǎn)不正確或被篡改時，后果既已發(fā)生。比如，數(shù)據(jù)庫中交易統(tǒng)計。輕易產(chǎn)生后果：當(dāng)資產(chǎn)不正確或被篡改時，后果很輕易發(fā)生。比如當(dāng)應(yīng)用軟件步驟被篡改。可能產(chǎn)生后果：當(dāng)資產(chǎn)被暴露時，后果有可能會發(fā)生，比如操作系統(tǒng)被種入木馬等。Yc（后果對組織損害程度）包含下述三種情況：嚴(yán)重?fù)p害：比如引發(fā)法律糾份、造成聲譽下降或帶來嚴(yán)重經(jīng)濟(jì)損失；中等損害：比如局部范圍內(nèi)聲譽下降或顯著經(jīng)濟(jì)損失；輕度損害：比如輕微經(jīng)濟(jì)損失?？捎眯再x值Va（資產(chǎn)可用性價值）是指當(dāng)某一項資產(chǎn)完全不可用時對業(yè)務(wù)系統(tǒng)所造成后果。它可被分解為以下兩個指標(biāo)：Xa＝資產(chǎn)不可用時對某個業(yè)務(wù)影響Ya＝該業(yè)務(wù)系統(tǒng)關(guān)鍵性程度Va=Xa*YaXa（資產(chǎn)不可用時對某個業(yè)務(wù)影響）可分為下述三級：整體不可用：當(dāng)資產(chǎn)不可用時，業(yè)務(wù)系統(tǒng)即不可用。比如，服務(wù)器當(dāng)機，主干網(wǎng)絡(luò)癱瘓等。局部不可用：當(dāng)資產(chǎn)不可用時，業(yè)務(wù)系統(tǒng)局部不可用。比如局部網(wǎng)絡(luò)癱瘓，網(wǎng)絡(luò)阻塞等。個體不可用：當(dāng)資產(chǎn)不可用時，業(yè)務(wù)系統(tǒng)某個或某多個用戶不可用，比如終端故障，用戶機當(dāng)機等。Ya（該業(yè)務(wù)系統(tǒng)關(guān)鍵性程度）包含下述三種情況：關(guān)鍵業(yè)務(wù)系統(tǒng)；關(guān)鍵業(yè)務(wù)系統(tǒng)；通常業(yè)務(wù)系統(tǒng)。采取5級標(biāo)準(zhǔn)，很好地反應(yīng)了資產(chǎn)價值差異，但對于用戶和顧問來說，在為某一項資產(chǎn)機密性、完整性或可用性價值賦值時，仍然極難在相鄰兩個數(shù)值之間作出選擇。為此，本項目中提出了一套方法，經(jīng)過將機密性、完整性和可用性每個值分解為兩個相乘指標(biāo)，而每個指標(biāo)均分為三級。從而得出五級安全價值。V={Vc,Vi,Va} 資產(chǎn)安全價值由機密性價值、完整性價值和可用性價值三者組成。Vc=Xc*YcVi=Xi*YiVa=Xa*Ya 將三個安全性價值分別分解為兩個相乘指標(biāo)。VX=3X=2X=1Y=3543Y=2432Y=1321 分別為兩個指標(biāo)（三級）賦值，然后查上表得出價值（五級）。賦值工作操作方法指南首先對各資產(chǎn)賦值經(jīng)過對各資產(chǎn)賦值，我們能夠取得在同一個區(qū)域內(nèi)關(guān)鍵資產(chǎn)。對保護(hù)對象框架賦值在資產(chǎn)識別和賦值過程中，最大障礙在于資產(chǎn)數(shù)量過多、過雜，得不到全局、宏觀分析。經(jīng)過對保護(hù)對象框架進(jìn)行賦值，能夠同一層保護(hù)對象框架內(nèi)關(guān)鍵保護(hù)對象框架。保護(hù)對象框架賦值除了要考慮其所屬資產(chǎn)價值，還要綜合考慮到其框架內(nèi)業(yè)務(wù)系統(tǒng)、數(shù)據(jù)及文檔、組織和人員、物理環(huán)境等原因。業(yè)務(wù)系統(tǒng)資產(chǎn)賦值和其映射保護(hù)對象一致。賦值標(biāo)準(zhǔn)了解資產(chǎn)賦值時，賦值標(biāo)準(zhǔn)是這個資產(chǎn)或資產(chǎn)組在某個安全屬性方面價值或在安全屬性方面受到損失和破壞時對整個評定體影響和損害，安全屬性指機密性、完整性和可用性。了解賦值標(biāo)按時，這個安全屬性價值很關(guān)鍵，對整個評定體含有致命性潛在影響或無法接收、尤其不愿接收影響和損害，符合這么描述時表明這個安全屬性值為4，其它類推。這里整個評定體是指此次評定主體，可能是評定范圍內(nèi)全部信息資產(chǎn)組成系統(tǒng)，如ERP信息系統(tǒng)；也可能是一個部門，如IT部門；也可能時整個企業(yè)或組織。賦值時考慮是對整個評定體影響，注意不要擴(kuò)大到整個企業(yè)或集團(tuán)，也不要縮小到部門。顧問在工作中，開始通常不要直接問用戶應(yīng)該賦值為幾，應(yīng)該是問用戶這個安全屬性完全損害或破壞時，對企業(yè)影響怎樣，對關(guān)鍵業(yè)務(wù)影響怎樣，企業(yè)接收程度怎樣，然后依據(jù)影響程度根據(jù)賦值標(biāo)準(zhǔn)自己來判定應(yīng)該賦值為幾。當(dāng)然，伴隨賦值工作進(jìn)行，當(dāng)用戶完全了解賦值標(biāo)準(zhǔn)后能夠由用戶進(jìn)行判定，顧問如有疑問進(jìn)行具體問詢和修正。獨立資產(chǎn)根據(jù)賦值標(biāo)準(zhǔn)來了解，對資產(chǎn)組需要考慮組中全部資產(chǎn)安全屬性，然后綜合起來作為一個整體概念來賦值。選擇訪談對象標(biāo)準(zhǔn)賦值時，選擇訪談對象標(biāo)準(zhǔn)是找含有企業(yè)整體概念，又清楚各個具體資產(chǎn)情況人。能夠找一個知道全部情況人，也能夠找多個人。人員選擇時通常選擇中層干部，含有一定企業(yè)整體概念，又熟悉具體工作。假如選擇多人，通常資產(chǎn)能夠找安全主管或網(wǎng)管主管，業(yè)務(wù)系統(tǒng)資產(chǎn)找業(yè)務(wù)部門主管或維護(hù)主管。對于一個資產(chǎn)價值，可能不一樣人了解會不一樣，賦出來也不一樣，因為這個資產(chǎn)對不一樣人含有不一樣意義，但從效率來講，一個資產(chǎn)賦值最好找一個人來訪談，不推薦找一組不一樣性質(zhì)和等級人來訪談，再把結(jié)果綜合，所以選擇訪談對象要比較謹(jǐn)慎，盡可能根據(jù)上述標(biāo)準(zhǔn)找到適宜人。賦值原來就是個定性分析，許可存在一個粒度誤差，但假如顧問認(rèn)為有顯著疑問或較大誤差，也能夠找其它人來核實。在只找一個人來訪談時，為了避免太大誤差和顯著錯誤，影響整個項目標(biāo)質(zhì)量，通常最終賦值結(jié)束后，要把結(jié)果向?qū)Ψ巾椖拷?jīng)理核實，需要對方確定。此步工作不能省略。賦值訪談時應(yīng)向?qū)Ψ秸f明，考慮影響出發(fā)點應(yīng)是對整個評定體，使之站在對整個評定體高度來。IT設(shè)備評定IT設(shè)備評定是全部系統(tǒng)全部要進(jìn)行，也是非關(guān)鍵系統(tǒng)安全評定關(guān)鍵內(nèi)容，業(yè)務(wù)系統(tǒng)正常運行不僅僅需要高效網(wǎng)絡(luò)傳輸和交換，還需要主機、服務(wù)器良好運轉(zhuǎn)，也需要足夠安全確保。經(jīng)過IT設(shè)備安全評定，發(fā)覺系統(tǒng)風(fēng)險點和脆弱性，為設(shè)備安全加固提供指導(dǎo)和依據(jù)，從而提升系統(tǒng)安全情況，保障業(yè)務(wù)系統(tǒng)高性能、高可靠性、高可用性、高效率運行。IT設(shè)備評定內(nèi)容包含：主機操作系統(tǒng)弱點評定、網(wǎng)絡(luò)設(shè)備弱點評定、安全設(shè)備弱點評定。評定過程IT設(shè)備評定評定過程，依據(jù)內(nèi)容和方法分為兩種：現(xiàn)場操作評定過程；后臺分析評定過程?，F(xiàn)場操作評定過程現(xiàn)場操作評定過程，關(guān)鍵針對：主機操作系統(tǒng)人工評定、工具掃描、網(wǎng)絡(luò)及安全設(shè)備需要現(xiàn)場評定工作，下圖是“現(xiàn)場操作評定過程步驟圖”：安全顧問依據(jù)信息資產(chǎn)調(diào)查結(jié)果，提前一周確定評定申請表，并提交給相關(guān)部門安全管理員和該系統(tǒng)管理員，評定申請表內(nèi)容包含：評定設(shè)備具體范圍、評定內(nèi)容、相關(guān)管理人員，和風(fēng)險規(guī)避方法提議等。部門安全管理員和包含系統(tǒng)管理員最終確定具體評定時間，并做好評定準(zhǔn)備工作。評定時間通知項目責(zé)任人，如有必需正式發(fā)文。安全顧問進(jìn)行現(xiàn)場實施評定，如有必需，在現(xiàn)場之間和相關(guān)人員溝通評定發(fā)覺問題；現(xiàn)場全部評定工作完成后，確定該現(xiàn)場評定工作結(jié)束（如有必需，系統(tǒng)管理員可立即檢驗系統(tǒng)可用性是否存在問題）。現(xiàn)場評定后，安全顧問進(jìn)行后臺數(shù)據(jù)分析，完成評定分析匯報，提交給各部門安全管理員和該系統(tǒng)管理員，并進(jìn)行溝通和講解工作；最終，由該項目責(zé)任人確定評定匯報，評定結(jié)束。后臺分析評定過程后臺分析評定過程，關(guān)鍵針對：網(wǎng)絡(luò)及安全設(shè)備配置信息能夠后臺進(jìn)行分析評定工作，下圖是“后臺分析評定過程步驟圖”：安全顧問依據(jù)信息資產(chǎn)調(diào)查結(jié)果，提前一周確定評定申請表，并提交給相關(guān)部門安全管理員和該系統(tǒng)管理員，評定申請表內(nèi)容包含：評定設(shè)備具體范圍、評定內(nèi)容、相關(guān)管理人員等。部門安全管理員和包含系統(tǒng)管理員在一周內(nèi)提交申請評定設(shè)備配置信息給安全顧問。安全顧問進(jìn)行后臺配置分析，如有必需，和相關(guān)人員溝通評定發(fā)覺問題；如有必需，進(jìn)行現(xiàn)場評定設(shè)備檢驗。安全顧問完成評定分析匯報，提交給各部門安全管理員和該系統(tǒng)管理員，并進(jìn)行溝通和講解工作；最終，由該項目責(zé)任人確定評定匯報，評定結(jié)束。評定方法此次安全評定關(guān)鍵是依靠天融信含有多年豐富經(jīng)驗安全教授來進(jìn)行。我們依據(jù)天融信企業(yè)經(jīng)多年實踐檢驗而積累下來，在業(yè)內(nèi)領(lǐng)先安全檢驗方案，在得到中海信托相關(guān)工作人員授權(quán)并在相關(guān)人員監(jiān)督下實施。評定將依據(jù)被評定系統(tǒng)不一樣情況，選擇以下多個方法進(jìn)行：主機系統(tǒng)評定方法工具掃描方法：使用中海信托提供ISSInternetScanner安全漏洞掃描工具對主機進(jìn)行掃描，掃描評定關(guān)鍵是依據(jù)已經(jīng)有安全漏洞知識庫，模擬黑客攻擊方法，檢測網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)服務(wù)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)等多種信息資產(chǎn)所存在安全隱患和漏洞。工具掃描關(guān)鍵依靠帶有安全漏洞知識庫網(wǎng)絡(luò)安全掃描工具對信息資產(chǎn)進(jìn)行基于網(wǎng)絡(luò)層面安全掃描，其特點是能對被評定目標(biāo)進(jìn)行覆蓋面廣泛安全漏洞查找，而且評定環(huán)境和被評定對象在線運行環(huán)境完全一致，能較真實地反應(yīng)主機系統(tǒng)所存在安全問題。教授評定（安全基線分析）方法：依據(jù)天融信對主機平臺標(biāo)準(zhǔn)化安全審計列表（安全基線），檢驗和分析主機系統(tǒng)平臺存在安全問題。依據(jù)天融信最新安全檢驗查對表內(nèi)容，逐項檢驗系統(tǒng)各項配置和運行狀態(tài)。查對表內(nèi)容依據(jù)最新漏洞發(fā)覺、用戶不一樣系統(tǒng)和運行環(huán)境、和教授經(jīng)驗知識而制訂，它關(guān)鍵包含有以下多個方面：安全配置檢驗：系統(tǒng)管理和維護(hù)正常配置，合理配置，及優(yōu)化配置。比如系統(tǒng)目錄權(quán)限，帳號管理策略，文件系統(tǒng)配置，進(jìn)程通信管理等。安全機制檢驗：安全機制使用和正常配置，合理配置，及優(yōu)化配置。比如日志及審計、備份和恢復(fù)，署名和校驗，加密和通信，特殊授權(quán)及訪問控制等。入侵追查及事后取證：檢驗和發(fā)覺系統(tǒng)入侵，攻擊或其它危害，盡可能追查及取證。比如日志被毀壞篡改或刪除，計費數(shù)據(jù)被刪除，遭受DOS攻擊，系統(tǒng)被監(jiān)聽，控制或安裝后門等。網(wǎng)絡(luò)及安全設(shè)備評定方法教授評定（安全基線分析）方法：依據(jù)天融信對網(wǎng)絡(luò)和安全設(shè)備標(biāo)準(zhǔn)化安全審計列表（安全基線），檢驗和分析網(wǎng)絡(luò)及安全設(shè)備存在安全問題。依據(jù)天融信最新安全檢驗查對表內(nèi)容，逐項檢驗系統(tǒng)各項配置和運行狀態(tài)。查對表內(nèi)容依據(jù)最新漏洞發(fā)覺、用戶不一樣系統(tǒng)和運行環(huán)境、和教授經(jīng)驗知識而制訂；可采取后臺配置檢驗或現(xiàn)場登錄設(shè)備配置查看兩種方法。顧問訪談顧問訪談在安全顧問咨詢服務(wù)中處于不可替換關(guān)鍵地位，現(xiàn)在尚沒有成型工具、模型、算法等能夠?qū)⒔淌诮?jīng)驗完全表現(xiàn)出來，經(jīng)過進(jìn)行面對面或電話訪談，顧問會將自己經(jīng)驗表現(xiàn)于網(wǎng)絡(luò)安全脆弱性評定中。評定內(nèi)容主機系統(tǒng)評定關(guān)鍵內(nèi)容主機系統(tǒng)安全目標(biāo)是保障主機平臺系統(tǒng)高效、優(yōu)質(zhì)運行，滿足業(yè)務(wù)系統(tǒng)需求，預(yù)防主機和系統(tǒng)遭受外部和內(nèi)部破壞和濫用，避免和降低因為主機和系統(tǒng)問題對業(yè)務(wù)系統(tǒng)損害；幫助應(yīng)用進(jìn)行訪問控制和安全審計。主機系統(tǒng)安全評定關(guān)鍵包含以下內(nèi)容：系統(tǒng)安全管理：嚴(yán)格管理系統(tǒng)帳戶、有效控制系統(tǒng)服務(wù)，優(yōu)化系統(tǒng)安全配置，啟用系統(tǒng)必需安全控制方法,避免系統(tǒng)發(fā)生故障或遭受攻擊；系統(tǒng)資源控制：系統(tǒng)補丁管理、文件和目錄管理等安全配置；系統(tǒng)冗余：依據(jù)業(yè)務(wù)需要對系統(tǒng)進(jìn)行冗余設(shè)計；系統(tǒng)訪問控制和審計：對系統(tǒng)進(jìn)行有效訪問控制和日志審計。主機系統(tǒng)安全評定將進(jìn)行以下多個方面檢驗：系統(tǒng)補丁系統(tǒng)賬號文件系統(tǒng)網(wǎng)絡(luò)及服務(wù)系統(tǒng)配置文件NFS或其它文件系統(tǒng)共享審計及日志系統(tǒng)備份及恢復(fù)應(yīng)用系統(tǒng)其它網(wǎng)絡(luò)及安全設(shè)備評定關(guān)鍵內(nèi)容網(wǎng)絡(luò)及安全設(shè)備評定目標(biāo)是發(fā)覺網(wǎng)絡(luò)設(shè)備或安全設(shè)備存在弱點，預(yù)防網(wǎng)絡(luò)和通信系統(tǒng)遭受外部和內(nèi)部攻擊和濫用。關(guān)鍵檢驗設(shè)備是否存在已知漏洞，設(shè)備安全配置是否正確。網(wǎng)絡(luò)及安全設(shè)備評定將關(guān)鍵包含到以下多個方面內(nèi)容：關(guān)閉無須要服務(wù)嚴(yán)禁CDP(CiscoDiscoveryProtocol)嚴(yán)禁TCP、UDPSmall服務(wù)嚴(yán)禁Finger服務(wù)嚴(yán)禁NTP服務(wù)嚴(yán)禁BOOTp服務(wù)（路由器適用）嚴(yán)禁IPSourceRouting嚴(yán)禁IPDirectedBroadcast（路由器和三層交換機適用）啟用servicepassword-encryption關(guān)閉WINS和DNS服務(wù)關(guān)閉ARP-Proxy服務(wù)登錄要求和帳號管理采取enablesecret設(shè)置密碼采取認(rèn)證設(shè)置exec-timeout（5分鐘及以內(nèi)）采取訪問控制方法，限制可登錄源地址關(guān)閉HTTP服務(wù)遠(yuǎn)程登錄采取加密傳輸（SSH）采取多用戶分權(quán)管理SNMP協(xié)議設(shè)置和日志審計設(shè)置SNMP讀寫密碼更改SNMP協(xié)議端口限制SNMP提議連接源地址開啟日志審計功效其它安全要求嚴(yán)禁從網(wǎng)絡(luò)開啟和自動從網(wǎng)絡(luò)下載初始配置文件。嚴(yán)禁未使用或空閑端口符合banner設(shè)置要求符合設(shè)備提醒符設(shè)置要求啟用源地址路由檢驗（路由器適用）VTP設(shè)置密碼（交換機適用）評定風(fēng)險和應(yīng)對工具掃描風(fēng)險分析采取ISSInternetScanner作為掃描工具，ISSInternetScanner是業(yè)界上最優(yōu)異網(wǎng)絡(luò)掃描器，經(jīng)過掃描引擎發(fā)送掃描探測數(shù)據(jù)包，獲取遠(yuǎn)程主機設(shè)備安全漏洞。發(fā)送數(shù)據(jù)包會占用網(wǎng)絡(luò)資源，通常百兆網(wǎng)絡(luò)占用3－5%帶寬資源，目標(biāo)主機設(shè)備因為需要響應(yīng)探測數(shù)據(jù)包，會占用目標(biāo)主機設(shè)備資源，比如CPU和內(nèi)存資源。尤其是，InternetScanner能夠發(fā)送DOS攻擊探測數(shù)據(jù)包，假如目標(biāo)主機設(shè)備存在該漏洞，掃描過程中可能會宕機。主機人工評定風(fēng)險分析人工評定采取安全檢驗列表，評定過程中，對目標(biāo)主機設(shè)備逐一根據(jù)安全檢驗列表進(jìn)行檢驗。人工評定只是查看目標(biāo)主機設(shè)備配置信息，不會對目標(biāo)主機設(shè)備進(jìn)行修改操作，關(guān)鍵存在安全風(fēng)險是檢驗操作帶來安全風(fēng)險，比如運行命令、操作界面帶來安全風(fēng)險。主機系統(tǒng)弱點評定工具掃描過程，盡可能避免使用含有拒絕服務(wù)類型掃描方法，而關(guān)鍵采取人工檢驗方法來發(fā)覺系統(tǒng)可能存在拒絕服務(wù)漏洞。在掃描過程中假如出現(xiàn)被評定系統(tǒng)沒有響應(yīng)情況，應(yīng)該立即停止掃描工作，和配合工作人員一起分析情況，在確定原因后，并正確恢復(fù)系統(tǒng)，采取必需預(yù)防方法（比如調(diào)整掃描策略等）后，才能夠繼續(xù)進(jìn)行。網(wǎng)絡(luò)設(shè)備配置檢驗和網(wǎng)絡(luò)拓?fù)浞治鲋粚Ρ辉u定對象進(jìn)行運行狀態(tài)和配置檢驗，所以不會對現(xiàn)有信息系統(tǒng)上其它設(shè)備和資源帶來任何影響。評定組員會和中海信托系統(tǒng)管理員保持良好溝通，隨時協(xié)商處理出現(xiàn)多種難題。而且在評定完成時，由相關(guān)管理人員對被評定主機系統(tǒng)狀態(tài)進(jìn)行確定，確保評定后系統(tǒng)運行正常。網(wǎng)絡(luò)設(shè)備安全風(fēng)險評定經(jīng)過有針對性安全評定，發(fā)覺現(xiàn)存網(wǎng)絡(luò)類系統(tǒng)安全風(fēng)險點和脆弱性，預(yù)防網(wǎng)絡(luò)和通信系統(tǒng)遭受外部和內(nèi)部攻擊和濫用，避免和降低因為網(wǎng)絡(luò)和通信系統(tǒng)問題對業(yè)務(wù)系統(tǒng)造成損害風(fēng)險；同時，也要從業(yè)務(wù)發(fā)展角度分析網(wǎng)絡(luò)類系統(tǒng)及企業(yè)整個網(wǎng)絡(luò)建設(shè)安全計劃提議；從而提升網(wǎng)絡(luò)系統(tǒng)健壯指數(shù)和安全指數(shù)。評定過程描述網(wǎng)絡(luò)類關(guān)鍵系統(tǒng)評定過程，包含“后臺安全評定階段”、“現(xiàn)場安全評定階段”、“匯報階段”；下圖是“網(wǎng)絡(luò)類系統(tǒng)安全風(fēng)險評定過程步驟圖”：安全顧問依據(jù)信息資產(chǎn)調(diào)查結(jié)果，提前一周確定評定申請表，并提交給相關(guān)部門安全管理員和該系統(tǒng)管理員，評定申請表內(nèi)容包含：評定設(shè)備具體范圍、評定內(nèi)容、相關(guān)管理人員等。部門安全管理員和包含系統(tǒng)管理員在一周內(nèi)提交申請所需網(wǎng)絡(luò)配置文件和網(wǎng)絡(luò)拓?fù)鋱D等文件給安全顧問。安全顧問進(jìn)行后臺配置分析，并依據(jù)初步分析結(jié)果，提出“現(xiàn)場評定、滲透測試、安全訪談”申請，并實施對應(yīng)現(xiàn)場工作。最終，綜合前面評定數(shù)據(jù)信息，分析提出該網(wǎng)絡(luò)類系統(tǒng)風(fēng)險評定匯報和處理方案；結(jié)合和統(tǒng)管理員和主管領(lǐng)導(dǎo)訪談業(yè)務(wù)發(fā)展，從網(wǎng)絡(luò)架構(gòu)合理性、網(wǎng)絡(luò)設(shè)備安全策略配置等方面提出企業(yè)整體網(wǎng)絡(luò)安全處理方案。評定步驟說明步驟名稱網(wǎng)絡(luò)類系統(tǒng)風(fēng)險評定步驟步驟編碼步驟責(zé)任人網(wǎng)絡(luò)類系統(tǒng)評定組步驟起點：評定對象/范圍/方法確實定步驟目標(biāo)：對網(wǎng)絡(luò)類系統(tǒng)存在風(fēng)險進(jìn)行評定步驟終點：整體評定匯報提交編號階段步驟操作描述操作人員1開啟階段安全要求設(shè)計網(wǎng)絡(luò)類系統(tǒng)評定組，明確提出提交《網(wǎng)絡(luò)類系統(tǒng)評定對象及范圍說明》《網(wǎng)絡(luò)類系統(tǒng)評定方法說明》；《網(wǎng)絡(luò)類系統(tǒng)評定對象及范圍說明》《網(wǎng)絡(luò)類系統(tǒng)評定方法說明》；是指導(dǎo)整個評定過程關(guān)鍵文檔，必需經(jīng)過系統(tǒng)管理員和主管領(lǐng)導(dǎo)確實定。網(wǎng)絡(luò)類系統(tǒng)評定組系統(tǒng)管理員主管領(lǐng)導(dǎo)2準(zhǔn)備階段資料提交網(wǎng)絡(luò)設(shè)備配置和網(wǎng)絡(luò)拓?fù)涫蔷W(wǎng)絡(luò)類系統(tǒng)評定組進(jìn)行綜合安全分析基礎(chǔ)條件之一如網(wǎng)絡(luò)設(shè)備配置和網(wǎng)絡(luò)拓?fù)湮茨軡M足綜合安全分析要求，系統(tǒng)管理員負(fù)責(zé)提交其它補充材料。網(wǎng)絡(luò)類系統(tǒng)評定組系統(tǒng)管理員3實施階段配置檢驗滲透測試配置檢驗以人工檢驗為主，對關(guān)鍵配置條目整理后提交教授評定進(jìn)行要求進(jìn)行；滲透測試中由網(wǎng)絡(luò)骨干中正當(dāng)IP提議，采取掃描、嗅探、人工侵入等多個手段，關(guān)鍵考察和網(wǎng)絡(luò)類系統(tǒng)連接各系統(tǒng)健壯度。網(wǎng)絡(luò)類系統(tǒng)評定組系統(tǒng)管理員4收尾階段人工訪談以實施階段對網(wǎng)絡(luò)現(xiàn)實狀況相關(guān)評定結(jié)果為基礎(chǔ)，從網(wǎng)絡(luò)架構(gòu)合理性、網(wǎng)絡(luò)設(shè)備安全配置思緒等角度進(jìn)行系統(tǒng)管理員人工訪談；以相關(guān)評定結(jié)果為基礎(chǔ)，結(jié)合系統(tǒng)未來發(fā)展態(tài)勢，針對現(xiàn)有系統(tǒng)容量、帶寬、冗余度等多個參考指標(biāo)進(jìn)行主管領(lǐng)導(dǎo)人工訪談。了解系統(tǒng)發(fā)展建設(shè)方向和目標(biāo)，對系統(tǒng)未來可能存在安全問題進(jìn)行訪談和討論。網(wǎng)絡(luò)類系統(tǒng)評定組系統(tǒng)管理員主管領(lǐng)導(dǎo)

輸入輸出說明輸入、輸出步驟編號輸入人員輸入內(nèi)容輸出內(nèi)容接收人員1網(wǎng)絡(luò)類系統(tǒng)評定組《網(wǎng)絡(luò)類系統(tǒng)評定對象及范圍說明》《網(wǎng)絡(luò)類系統(tǒng)評定方法說明》《網(wǎng)絡(luò)類系統(tǒng)評定對象及范圍說明》《網(wǎng)絡(luò)類系統(tǒng)評定方法說明》確定表系統(tǒng)管理員主管領(lǐng)導(dǎo)2系統(tǒng)管理員《系統(tǒng)網(wǎng)絡(luò)設(shè)備配置》；《系統(tǒng)網(wǎng)絡(luò)拓?fù)洹?；《設(shè)備配置評定匯報》《網(wǎng)絡(luò)拓?fù)浒踩u定意見》網(wǎng)絡(luò)類系統(tǒng)評定組3網(wǎng)絡(luò)類系統(tǒng)評定組系統(tǒng)管理員《設(shè)備檢驗申請》，《滲透測試方案》；方案評審意見系統(tǒng)管理員4網(wǎng)絡(luò)類系統(tǒng)評定組《設(shè)備配置評定匯報》《網(wǎng)絡(luò)拓?fù)浒踩u定意見》《設(shè)備配置人工檢驗結(jié)果》《滲透測試結(jié)果分析匯報》其它相關(guān)評定結(jié)果網(wǎng)絡(luò)類系統(tǒng)整體評定匯報系統(tǒng)管理員主管領(lǐng)導(dǎo)評定方法此次安全評定關(guān)鍵是依靠天融信含有多年豐富經(jīng)驗安全教授來進(jìn)行。我們依據(jù)天融信企業(yè)經(jīng)多年實踐檢驗而積累下來，在業(yè)內(nèi)領(lǐng)先安全檢驗方案，在得到中海信托相關(guān)工作人員授權(quán)并在相關(guān)人員監(jiān)督下實施。評定將依據(jù)被評定系統(tǒng)不一樣情況，選擇以下多個方法進(jìn)行：IT設(shè)備安全評定方法具體參見“IT設(shè)備評定”中“評定方法”，關(guān)鍵包含：工具掃描主機系統(tǒng)教授評定（安全基線分析）網(wǎng)絡(luò)和安全設(shè)備教授評定安全訪談網(wǎng)絡(luò)架構(gòu)安全評定方法教授分析方法：依據(jù)天融信對網(wǎng)絡(luò)架構(gòu)成熟度安全審計列表（安全基線），檢驗和分析網(wǎng)絡(luò)架構(gòu)存在安全問題，但網(wǎng)絡(luò)架構(gòu)安全評定，愈加側(cè)重顧問個人經(jīng)驗，現(xiàn)在尚沒有成型工具、模型、算法等能夠?qū)⒔淌诮?jīng)驗完全量化，所以存在一定個人主觀判定偏差。顧問訪談顧問訪談在安全顧問咨詢服務(wù)中處于不可替換關(guān)鍵地位，現(xiàn)在尚沒有成型工具、模型、算法等能夠?qū)⒔淌诮?jīng)驗完全表現(xiàn)出來，經(jīng)過進(jìn)行面對面或電話訪談，顧問會將自己經(jīng)驗表現(xiàn)于網(wǎng)絡(luò)安全脆弱性評定中，顧問訪談包含針對系統(tǒng)管理員訪談及其業(yè)務(wù)主管訪談。滲透測試評定方法關(guān)鍵依據(jù)已經(jīng)發(fā)覺安全漏洞，模擬入侵者攻擊方法對系統(tǒng)和網(wǎng)絡(luò)進(jìn)行非破壞性質(zhì)攻擊性測試；以人工滲透為主，輔助以攻擊工具使用，這么確保了整個滲透測試過程全部在能夠控制和調(diào)整范圍之內(nèi)；滲透測試需要投入人力資源較大、對測試者專業(yè)技能要求很高（滲透測試匯報價值直接依靠于測試者專業(yè)機能），不過很正確，能夠發(fā)覺邏輯性更強、更深層次弱點評定內(nèi)容IT設(shè)備安全關(guān)鍵內(nèi)容具體參見“IT設(shè)備評定”中“評定內(nèi)容”，關(guān)鍵包含：主機系統(tǒng)評定網(wǎng)絡(luò)及安全設(shè)備評定網(wǎng)絡(luò)架構(gòu)安全評定關(guān)鍵內(nèi)容網(wǎng)絡(luò)安全目標(biāo)是保障網(wǎng)絡(luò)和通信系統(tǒng)高效、優(yōu)質(zhì)運行，滿足業(yè)務(wù)系統(tǒng)需求；預(yù)防網(wǎng)絡(luò)和通信系統(tǒng)遭受外部和內(nèi)部攻擊和濫用，避免和降低因為網(wǎng)絡(luò)和通信系統(tǒng)問題對業(yè)務(wù)系統(tǒng)造成損害風(fēng)險；屏蔽系統(tǒng)和應(yīng)用安全弱點；幫助系統(tǒng)和應(yīng)用進(jìn)行訪問控制和安全審計。網(wǎng)絡(luò)評定關(guān)鍵評定標(biāo)準(zhǔn)以下：基礎(chǔ)網(wǎng)絡(luò)架構(gòu)評定標(biāo)準(zhǔn)：網(wǎng)絡(luò)整體拓?fù)浣Y(jié)構(gòu)設(shè)計合理；安全區(qū)域劃分符合業(yè)務(wù)系統(tǒng)要求；選擇安全路由方法；對周圍網(wǎng)絡(luò)接入進(jìn)行安全控制和冗余設(shè)計；對網(wǎng)絡(luò)流量進(jìn)行監(jiān)控和管理；對網(wǎng)絡(luò)設(shè)備和鏈路進(jìn)行冗余設(shè)計。網(wǎng)絡(luò)傳輸加密評定標(biāo)準(zhǔn)：依據(jù)業(yè)務(wù)系統(tǒng)特點選擇對業(yè)務(wù)數(shù)據(jù)是否進(jìn)行傳輸加密；對于網(wǎng)絡(luò)設(shè)備認(rèn)證過程中敏感信息進(jìn)行加密。訪問控制和網(wǎng)絡(luò)審計評定標(biāo)準(zhǔn)：對網(wǎng)絡(luò)內(nèi)部及外部邊界進(jìn)行有效訪問控制；對網(wǎng)絡(luò)實施漏洞評定；進(jìn)行網(wǎng)絡(luò)日志審計并統(tǒng)一日志時間基準(zhǔn)線。網(wǎng)絡(luò)安全管理評定標(biāo)準(zhǔn)：采取安全網(wǎng)絡(luò)管理協(xié)議；建立網(wǎng)絡(luò)安全事件響應(yīng)體系；對網(wǎng)絡(luò)設(shè)備進(jìn)行安全管理。網(wǎng)絡(luò)及安全設(shè)備評定將關(guān)鍵包含到以下多個方面內(nèi)容：網(wǎng)絡(luò)拓?fù)渫負(fù)浣Y(jié)構(gòu)合理性分析、可擴(kuò)展性分析。路由協(xié)議對網(wǎng)絡(luò)設(shè)備現(xiàn)在所采取路由協(xié)議評價，是否存在配置漏洞，冗余路由配置情況，路由協(xié)議信任關(guān)系問題。接入方法對周圍接入全方面了解，對多種接入情況進(jìn)行安全風(fēng)險評定，和非信任網(wǎng)絡(luò)間互訪安全管理，提出改善方案。協(xié)議選擇對網(wǎng)絡(luò)管理相關(guān)協(xié)議分析整理；對業(yè)務(wù)應(yīng)用相關(guān)協(xié)議分析整理。對承載業(yè)務(wù)系統(tǒng)本身業(yè)務(wù)服務(wù)所采取相關(guān)協(xié)議，和由此而帶來相關(guān)網(wǎng)絡(luò)支撐設(shè)備。流量分析流量管理目標(biāo)，服務(wù)品質(zhì)保障（QoS）方法評價。系統(tǒng)bug檢驗處理機制。系統(tǒng)管理人員接收到或發(fā)覺相關(guān)業(yè)務(wù)系統(tǒng)產(chǎn)生BUG時候，是否有一個步驟能夠處理。安全事件緊急響應(yīng)方法：網(wǎng)絡(luò)防黑常見配置資料整理、分類和準(zhǔn)備；網(wǎng)絡(luò)故障分析手段資料整理、分類和準(zhǔn)備。安全審計制度和實施情況調(diào)查針對網(wǎng)絡(luò)架構(gòu)中可能出現(xiàn)安全問題，和其中是否被正確實施審計情況。密碼和身份認(rèn)證手段調(diào)查和評定網(wǎng)絡(luò)服務(wù)本身提供密碼和身份認(rèn)證手段，系統(tǒng)是否還要其它密碼和身份認(rèn)證體系。數(shù)據(jù)加密傳輸可能造成信息泄漏地方是否有敏感數(shù)據(jù)加密方法。訪問控制情況調(diào)查在相關(guān)網(wǎng)絡(luò)隔離點，是否有合適訪問控制規(guī)則設(shè)置，是否被有效實施。漏洞評定和入侵檢測機制是否有漏洞定時評定機制和入侵檢測和統(tǒng)計系統(tǒng)機制。安全策略和安全制度分析系統(tǒng)安全策略是否存在，和是否和業(yè)務(wù)系統(tǒng)相互吻合，有沒有合理安全制度作為保障。安全配置均衡性分析（弱點分析）安全配置本身是否含有不合理配置或弱點存在。接入/連接方法安全性各個接入節(jié)點部分是否含有安全方法保障，是否被正確配置和實施。信任網(wǎng)絡(luò)之間安全性信任網(wǎng)絡(luò)或不信任網(wǎng)絡(luò)之間是否有控制，控制本身帶來安全程度和是否有能夠繞過控制路徑。網(wǎng)絡(luò)節(jié)點安全性各個獨立網(wǎng)絡(luò)節(jié)點是否有良好安全控制，是否被正確配置和使用。網(wǎng)絡(luò)架構(gòu)管理網(wǎng)絡(luò)體系架構(gòu)是怎樣進(jìn)行管理，是否有良好機制和制度保障網(wǎng)絡(luò)架構(gòu)本身不被改變，沒有非法不符合安全策略架構(gòu)改變。網(wǎng)絡(luò)設(shè)備認(rèn)證管理是否有集中設(shè)備認(rèn)證管理機制，是否被正確配置和實施。網(wǎng)絡(luò)高可用性和可靠性網(wǎng)絡(luò)建設(shè)中是否良好考慮了網(wǎng)絡(luò)高可用性和可靠性問題，是否被正確使用和良好配置，是否有機制保障不被修改。評定風(fēng)險和應(yīng)對網(wǎng)絡(luò)設(shè)備配置檢驗和網(wǎng)絡(luò)拓?fù)浞治鲋粚Ρ辉u定對象進(jìn)行運行狀態(tài)和配置檢驗，所以不會對現(xiàn)有信息系統(tǒng)上其它設(shè)備和資源帶來任何影響。滲透測試過程最大風(fēng)險在于測試過程中對業(yè)務(wù)產(chǎn)生影響，為此我們在本項目采取以下方法來減小風(fēng)險：在滲透測試中不使用含有拒絕服務(wù)測試策略；滲透測試時間盡可能安排在業(yè)務(wù)量不大時段或晚上；在滲透測試過程中假如出現(xiàn)被評定系統(tǒng)沒有響應(yīng)情況，應(yīng)該立即停止測試工作，和中海信托工作人員一起分析情況，在確定原因后，并待正確恢復(fù)系統(tǒng)，采取必需預(yù)防方法（比如調(diào)整測試策略等）以后，才能夠繼續(xù)進(jìn)行。天融信網(wǎng)絡(luò)系統(tǒng)評定組組員會和中海信托系統(tǒng)管理員保持良好溝通。隨時協(xié)商處理出現(xiàn)多種難題。而且在評定完成時，由相關(guān)管理人員對被評定主機系統(tǒng)狀態(tài)進(jìn)行確定，確保評定后主機系統(tǒng)運行正常。應(yīng)用系統(tǒng)和管理安全風(fēng)險評定對于關(guān)鍵業(yè)務(wù)系統(tǒng)安全風(fēng)險評定是本項目中工作關(guān)鍵，所使用評定方法及評定深度均要比非關(guān)鍵業(yè)務(wù)系統(tǒng)愈加深入和全方面。中海信托關(guān)鍵應(yīng)用系統(tǒng)是需要高性能、高可靠和高可用性，而一項網(wǎng)絡(luò)數(shù)據(jù)業(yè)務(wù)正常運行，不僅僅需要高效網(wǎng)絡(luò)傳輸和交換，還需要主機、服務(wù)器立即處理和數(shù)據(jù)庫系統(tǒng)良好運轉(zhuǎn)，也需要足夠安全確保。針對關(guān)鍵應(yīng)用系統(tǒng)安全評定是確保網(wǎng)絡(luò)高性能、高可靠性、高可用性、高效率運轉(zhuǎn)基礎(chǔ)手段。關(guān)鍵應(yīng)用系統(tǒng)健壯指數(shù)和安全指數(shù)越大說明它生命力就越強，它所能夠承載信息量就越大。一個健壯、安全應(yīng)用系統(tǒng)是確保業(yè)務(wù)運行和應(yīng)用必需前提。在整個應(yīng)用系統(tǒng)中，網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)傳輸、網(wǎng)絡(luò)交換、業(yè)務(wù)應(yīng)用、數(shù)據(jù)交換、數(shù)據(jù)庫運行、應(yīng)用程序運行、安全方法、備份方法、管理方法、主機/服務(wù)器處理、用戶端處理等等，這一系列元素全部是相互關(guān)聯(lián)和相互影響，這些元素之間關(guān)系往往是比較復(fù)雜，“牽一發(fā)而動全身”，每一項元素性能下降或受到安全威脅，全部將對整個應(yīng)用系統(tǒng)造成影響，尤其是對于那些處于關(guān)鍵地位元素更是不許可性能下降和存在安全隱患。所以，肯定造成應(yīng)用系統(tǒng)需要進(jìn)行全方面安全評定。然而因為關(guān)鍵應(yīng)用系統(tǒng)復(fù)雜性，使用傳統(tǒng)風(fēng)險評定方法已經(jīng)無法正確、清楚地描述和評定業(yè)務(wù)系統(tǒng)風(fēng)險，所以我們引入了UML來描述應(yīng)用系統(tǒng)威脅場景和業(yè)務(wù)系統(tǒng)信息流，引入了故障樹來分析多種威脅場景所能夠造成后果。下面是一個網(wǎng)上支付系統(tǒng)基礎(chǔ)認(rèn)證過程，和其相關(guān)威脅場景。正常情況下網(wǎng)絡(luò)支付場景網(wǎng)絡(luò)支付威脅場景將上述網(wǎng)絡(luò)支付過程正常支付場景和威脅場景相結(jié)合，就能夠得到整個支付過程所面臨真實安全情況。評定過程描述應(yīng)用類關(guān)鍵系統(tǒng)評定，關(guān)鍵工作包含以下多個方面：識別安全目標(biāo)IT設(shè)備弱點評定網(wǎng)絡(luò)架構(gòu)安全評定應(yīng)用系統(tǒng)安全評定滲透測試依據(jù)以上工作內(nèi)容，其具體工作步驟以下圖所表示：應(yīng)用系統(tǒng)評定步驟圖安全顧問依據(jù)信息資產(chǎn)調(diào)查結(jié)果，提前一周確定評定申請表，并提交給相關(guān)部門安全管理員和該系統(tǒng)管理員，評定申請表內(nèi)容包含：評定設(shè)備具體范圍、評定內(nèi)容、相關(guān)管理人員等。部門安全管理員和包含系統(tǒng)管理員在一周內(nèi)對評定申請進(jìn)行確定。安全顧問提出“現(xiàn)場評定、滲透測試、安全訪談、業(yè)務(wù)系統(tǒng)材料”等現(xiàn)場工作申請。部門安全管理員和包含系統(tǒng)管理員在確定現(xiàn)場工作申請后，由包含系統(tǒng)管理員確定現(xiàn)場計劃，并準(zhǔn)備業(yè)務(wù)系統(tǒng)相關(guān)資料。安全顧問依據(jù)計劃實施現(xiàn)場評定及安全訪談。最終，綜合前面評定數(shù)據(jù)信息，分析提出該業(yè)務(wù)系統(tǒng)風(fēng)險評定匯報和處理方案；結(jié)合和管理員和主管領(lǐng)導(dǎo)訪談業(yè)務(wù)發(fā)展，從IT設(shè)備安全配置、網(wǎng)絡(luò)架構(gòu)合理性、應(yīng)用系統(tǒng)安全情況等方面提出業(yè)務(wù)系統(tǒng)整體網(wǎng)絡(luò)安全處理方案。評定步驟說明針對應(yīng)用計算類關(guān)鍵系統(tǒng)安全評定步驟，各階段工作以下表：步驟名稱應(yīng)用計算類系統(tǒng)風(fēng)險評定步驟步驟編碼步驟責(zé)任人應(yīng)用計算類系統(tǒng)評定組步驟起點：評定對象/范圍/方法確實定步驟目標(biāo)：對應(yīng)用計算類系統(tǒng)存在風(fēng)險進(jìn)行評定步驟終點：整體評定匯報提交編號階段操作描述操作人員1準(zhǔn)備階段應(yīng)用計算類系統(tǒng)評定組，明確提出提交《應(yīng)用計算類系統(tǒng)評定對象及范圍說明》《應(yīng)用計算類系統(tǒng)評定方法說明》；《應(yīng)用計算類系統(tǒng)評定對象及范圍說明》《應(yīng)用計算類系統(tǒng)評定方法說明》是指導(dǎo)整個評定過程關(guān)鍵文檔，必需經(jīng)過安全管理員及系統(tǒng)管理員確實定。應(yīng)用計算類系統(tǒng)評定組部門安全管理員系統(tǒng)管理員2現(xiàn)場實施申請階段提交《現(xiàn)場評定申請表》《滲透測試申請表》《安全訪談申請表》《業(yè)務(wù)系統(tǒng)材料申請表》部門安全管理員對各項申請進(jìn)行確定系統(tǒng)管理員確定現(xiàn)場實施計劃后，進(jìn)行相關(guān)實施準(zhǔn)備。和準(zhǔn)備業(yè)務(wù)系統(tǒng)相關(guān)材料天融信項目組收到申請確定后，通知中海信托項目責(zé)任人依據(jù)實際情況，由中海信托項目責(zé)任人進(jìn)行正式發(fā)文，以開啟現(xiàn)場實施應(yīng)用計算類系統(tǒng)評定組部門安全管理員系統(tǒng)管理員中海信托項目責(zé)任人3現(xiàn)場實施階段天融信項目組開始現(xiàn)場實施工作，評定IT系統(tǒng)、網(wǎng)絡(luò)架構(gòu)、業(yè)務(wù)系統(tǒng)、安全訪談和滲透測試依據(jù)實際情況，各項工作可能并行進(jìn)行現(xiàn)場工作實施完成后，由系統(tǒng)管理員對現(xiàn)場評定工作進(jìn)行確定，由業(yè)務(wù)主管對相關(guān)業(yè)務(wù)訪談內(nèi)容進(jìn)行確定應(yīng)用計算類系統(tǒng)評定組系統(tǒng)管理員業(yè)務(wù)主管4匯報階段天融信項目組進(jìn)行綜合分析，形成針對該業(yè)務(wù)系統(tǒng)安全評定匯報應(yīng)用計算類系統(tǒng)評定組5再培訓(xùn)階段針對安全評定結(jié)果，天融信項目組針對安全管理員及業(yè)務(wù)系統(tǒng)管理員進(jìn)行答疑天融信提交最終安全評定匯報給中海信托項目責(zé)任人，由其確定后輸出最終安全評定結(jié)果應(yīng)用計算類系統(tǒng)評定組部門安全管理員系統(tǒng)管理員中海信托項目責(zé)任人輸入輸出說明輸入、輸出步驟編號輸入人員輸入內(nèi)容輸出內(nèi)容接收人員1應(yīng)用計算類系統(tǒng)評定組《應(yīng)用計算類系統(tǒng)評定對象及范圍說明》《應(yīng)用計算類系統(tǒng)評定方法說明》《網(wǎng)絡(luò)類系統(tǒng)評定對象及范圍說明》《網(wǎng)絡(luò)類系統(tǒng)評定方法說明》確定表系統(tǒng)管理員安全管理員2應(yīng)用計算類系統(tǒng)評定組《現(xiàn)場評定申請表》《滲透測試申請表》《安全訪談申請表》《業(yè)務(wù)系統(tǒng)材料申請表》《現(xiàn)場評定申請表》《滲透測試申請表》《安全訪談申請表》《業(yè)務(wù)系統(tǒng)材料申請表》確定表網(wǎng)絡(luò)類系統(tǒng)評定組3應(yīng)用計算類系統(tǒng)評定組系統(tǒng)管理員《設(shè)備評定量劃》，《安全訪談計劃》，《業(yè)務(wù)評定量劃》，《滲透測試方案》；《現(xiàn)場評定工作確定表》《安全訪談確定表》系統(tǒng)管理員安全管理員業(yè)務(wù)主管4應(yīng)用計算類系統(tǒng)評定組《設(shè)備配置評定匯報》《網(wǎng)絡(luò)拓?fù)浒踩u定意見》《業(yè)務(wù)系統(tǒng)評定匯報》《滲透測試結(jié)果分析匯報》安全訪談結(jié)果其它相關(guān)評定結(jié)果《系統(tǒng)整體評定匯報》系統(tǒng)管理員安全管理員中海信托項目責(zé)任人5應(yīng)用計算類系統(tǒng)評定組《系統(tǒng)整體評定匯報》初稿《系統(tǒng)整體評定匯報》終稿系統(tǒng)管理員安全管理員中海信托項目責(zé)任人評定方法此次安全評定關(guān)鍵是依靠天融信含有多年豐富經(jīng)驗安全教授來進(jìn)行。我們依據(jù)天融信企業(yè)經(jīng)多年實踐檢驗而積累下來，在業(yè)內(nèi)領(lǐng)先安全檢驗方案，在得到中海信托相關(guān)工作人員授權(quán)并在相關(guān)人員監(jiān)督下實施。評定將依據(jù)被評定系統(tǒng)不一樣情況，選擇以下多個方法進(jìn)行：IT支撐設(shè)備弱點評定IT支撐設(shè)備弱點評定方法具體參見“IT設(shè)備評定”中“評定方法”，關(guān)鍵包含：工具掃描主機系統(tǒng)教授評定（安全基線分析）網(wǎng)絡(luò)和安全設(shè)備教授評定安全訪談網(wǎng)絡(luò)架構(gòu)安全評定方法網(wǎng)絡(luò)架構(gòu)安全評定方