风险评价方案.docx

风险评估准备：确定评估范围、组织评估小组、评估目标、评估工具和评估方法.二、风险因素识别：资产识别、威胁识别、脆弱点识别三、风险评估方法：采用的方法主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等.资产评估资产识别:硬件资产应用系统资产名称资产编号维护人型号配置购机年限整体负荷重要性程度网络系统资产名称资产编号维护人型号配置购机年限整体负荷重要性程度文档和数据资产名称责任人备份形式存储形式重要性程度备注人力资产识别岗位岗位描述姓名备注业务应资产名设计容系统负厂商重要用称量荷效劳水平性程度物理环资产名适用范适用年整体重要境称围描述限负荷性程度资产赋值:硬件资p'/l应用系统资产名称机密性完整性可用性重要性程度备注网络系统资产名称机密性完整性可用性重要性程度备注文档和数据资产名称机密性完整性可用性重要性程度备注软件资产名称机密性完整性可用性重要性程度备注物理环境资产名称机密性完整性可用性重要性程备注度资产评估机密性、完整性、可用性的赋值通过调查问卷来实现机密性是否能够容纳具有不同密钥长度的各种加密机制？是否保证SOAP消息级的机密性？加密签名数据时,其摘要值是否被加密？(如果没有加密攻击者可以借此推测明文,使得加密数据被破坏)？是否保证网络传输层的机密性？完整性是否为加密后的数据再采用签名以保证初始化矢量的完整性不被破坏？(加密算法中使用的初始化矢量虽然可以解决为给定密钥和数据创立相同密文的平安问题,但初始化矢量本身也可能被修改,使上述问题再次出现.)是否采用的多种签名格式？可用性加密的工具对递归深度或请求使用资源数量是否做限制？选择采用的适宜的预防举措以免受任何潜在的拒绝效劳的攻击.(3)重要性程度的赋值：应用头脑风暴法,即根据风险预测和风险识别的目的和要求,组成专家组,通过会议形式让大家畅所欲言,而后对各位专家的意见进行汇总、综合，以得出最后的结论.资产评估值二ROUndlog22机密性+2完整性+2可用性机密性£(),完整性£(),可用性£(),资产评估值£()威胁评估威胁确实定：1.通过对应用系统、网络系统、文档和数据、软件、物理环境设计调查问卷，根据答案的汇总进行确定如：网络平安要素层次身自标强数安数数可抗网份主记制据全据据信抵络鉴访访流审7兀保路赖安别问问控计整密径全控控制性性监制制控网络平安功能根本要求:身份鉴别：用户识别1、在SSF实施所要求的动作之前,是否对提出该动作要求的用户进行标识？2、所标识用户在信息系统生存周期内是否具有唯性？3、对用户标识信息的治理、维护是否可被非授权地访问、修改或删除？用户鉴别1、在SSF实施所要求的动作之前,是否对提出该动作要求的用户进行鉴别？2、是否检测并预防使用伪造或复制的鉴别数据3、能否提供一次性使用鉴别数据操作的鉴别机制？4、能否提供不同的鉴别机制？根据所描述的多种鉴别机制如何提供鉴别的规那么？5、能否规定需要重新鉴别用户的事件？用户-主体绑定对一个已识别和鉴别的用户，是否通过用户-主体绑定将该用户与该主体相关联？自主访问限制:访问限制策略1、是否按确定的自主访问限制平安策略实现主体与客体建操作的限制？2、是否有多个自主访问限制平安策略,且多个策略独立命名？访问限制功能1、能否在平安属性或命名的平安属性组的客体上执行访问限制SFP?2、在基于平安属性的允许主体对客体访问的规那么的根底上,能否允许主体对客体的访问？3、在基于平安属性的拒绝主体对客体访问的规那么的根底上,能否拒绝主体对客体的访问？访问限制范围1、每个确定的自主访问限制,SSF是否覆盖网络系统中所定义的主体、客体及其之间的操作？2、每个确定的自主访问限制,SSF是否覆盖网络系统中所有的主体、客体及其之间的操作？访问限制粒度1、网络系统中自主访问限制粒度为粗粒度/中粒度/细粒度？标记:主体标记1、是否为强制访问限制的主体指定敏感标记？客体标记2、是否为强制访问限制的客体指定敏感标记？标记完整性敏感标记能否准确表示特定主体或客体的访问限制属性？有标记信息的输出1、将一客体信息输出到一个具有多级平安的I/O设备时,与客体有关的敏感标记也可输出？2、对于单级平安设备,授权用户能否可靠地实现指定的平安级的信息通信？强制访问限制访问限制策略2、是否为强制访问限制的主体指定敏感标记？客体标记2、是否为强制访问限制的客体指定敏感标记？标记完整性敏感标记能否准确表示特定主体或客体的访问限制属性？有标记信息的输出3、将一客体信息输出到一个具有多级平安的I/O设备时,与客体有关的敏感标记也可输出？4、对于单级平安设备,授权用户能否可靠地实现指定的平安级的信息通信？用户数据完整性存储数据的完整性1、是否对基于用户属性的所有客体,对用户数据进行完整性检测？2、当检测到完整性错误时，能否采取必要的恢复、审计或报警举措？传输数据的完整性1、是否对被传输的用户数据进行检测？2、数据交换恢境假设没有可恢复复件,能否向源可信11系统提供反应信息？处理数据的完整性对信息系统处理中的数据,能否通过“回退”进行完整性保护？用户数据保密性存储数据的保密性1、是否对存储在SSC内的用户数据进行保密性保护？传输数据的保密性1、是否对在SSC内的用户数据进行保密性保护？客体平安重用1、将平安限制范围之内的某个子集的客体资源分配给某一用户或进程时,是否会泄露该客体中的原有信息？2、将平安限制范南之内的所有客体资源分配给某一用户或进程时,是否会泄露该客体中的原有信息？如:调查问卷题目认证是否提供注册效劳机制？只提供点到点的认证效劳还是提供端到端的认证效劳？是否更新现有的身份识别以符合最新Web效劳平安标准？授权对访问资源提供大粒度的访问限制还是小粒度的访问限制？是否更新现有接入限制平安策略以满足效劳平安标准？认证成功之后，是否在运行时根据资源访问权限列表来检查效劳请求者的访问级别？审计性治理员是否可以在生命周期的不同时刻追踪并找出效劳请求？哪些技术提供了不可否认性的一个关键元素？不可否认性是否支持不可否认性？（不可否认性使得用户能够证实事务是在拥有合法证书的情况下进行的.）是否包含时间戳、序列号、有效期、消息相关等元素,并进行签名从而保证消息的唯一性（当缓存这些信息时,可以检测出重放攻击）？2.通过工具进行扫描（1）收费威胁扫描工具（内网威胁发现解决方案）核心技术包括：病毒扫描、变种和加壳恶意程序扫描、恶意程序行为分析引擎、网络蠕虫病毒扫描、网页信誉效劳能解决的问题：恶意程序实时分析系统、恶意程序的深度分析、恶意程序的处置建议可得出的结论：总体风险等级、感染源统计、威胁统计、潜在风险免费扫描工具：1. Nmap网络平安诊断和扫描工具,进行端口扫描,是一款开放源代码的网络探测和平安审核的工具,它的设计目标是快速地扫描大型网络.2. NiktoWeb效劳器漏洞扫描工具,Nikto是一款开源的（GPL）网页效劳器扫描器,它可以对网页效劳器进行全面的多种扫描.扫描项和插件可以自动更新.基于WhiskerZlibwhisker完成其底层功能.这是一款非常棒的工具,但其软件本身并不经常更新,最新和最危险的可能检测不到.3. X-scan>ISS、Nessus漏洞扫描工具说明:众多的自动化扫描工具当中,Nessus是最值得称赞的.它基于C/S架构、插件结构的自动化扫描工具,可以免费使用,在线升级并随时获取国内外平安高手编写的最新漏洞的扫描插件.目前NeSSUS的插件个数已经超过14000个,而且这个数量正在急速上升，由于几乎全世界的平安人员都在使用这个工具，其中有很多黑客会向Nessus提供自己编写的插件.因此,使用Nessus进行扫描就像是全世界的顶尖平安人员都在用他们的技术在帮助我们检查网络中的缺陷.可得出的结论：漏洞信息摘要、漏洞的详细描述、解决方案、风险系数(3)免费风险评估系统ASSET是美国国家标准及时协会NIST发布的一个可用于平安风险自我评估的软件工具,采用典型的基于知识的分析方法,通过问卷形式自动完成信息技术系统的自我平安评估，由此了解系统的平安现状，并提出相对的对策.ASSET下载地址：其他常用风险评估系统:名称RISKASSETBDSSCORACOBRACRAMMRA/SYSRiskWatch体系结构单机单机单机单机C/S单机单机单机所用专家基于知专过程专家过程过程专家系方法系统识家式算系统式算式算统系法法法统定性定量定性/定定定量定性定性/定量定性/定量结合性/定定量定量结量定量结结合合量合结合数据调查调查问调调查调查过程过程调查文采集文件卷查文件文件件方式问卷输出决策提供控安决策结果结果风险风险分结果支持制目标全支持报报告、等级、析综合信息和建议防信息告、风险限制报告护风险等级举措措等级施列表风险等级划分:风险值三900极高54900)风险值三700高43700)风险值三500中32500)风险值三300低21300)风险值极低10脆弱性评估文档审计手动进行审计和分析(1)日志的检查和分析通过对日志的查询和