網絡安全風險評價報告

1、網絡安全風險評估報告XXX有限公司20XX年X月X日目錄一、概述31.1 工作方法31.2 評估依據31.3 評估范圍31.4 評估方法31.5 基本信息4二、資產分析4.2.1 信息資產識別概述42.2 信息資產識別4三、評估說明5.3.1 無線網絡安全檢查項目評估53.2 無線網絡與系統安全評估53.3 ip管理與補丁管理5.3.4 防火墻6四、威脅細類分析64.1 威脅分析概述64.2 威脅分類74.3 威脅主體7五、安全加固與優(yōu)化85.1 加固流程85.2 加固措施對照表9六、評估結論10一、概述XXX有限公司通過自評估的方式對網絡安全進行檢查，發(fā)現系統當前面臨的主要安全問題，邊檢查邊

2、整改，確保信息網絡和重要信息系統的安全。1.1 工作方法在本次網絡安全風險評測中將主要采用的評測方法包括：人工評測、工具評測。1.2 評估依據根據國務院信息化工作辦公室關于對國家基礎信息網絡和重要信息系統開展安全檢查的通知（信安通200615號）、國家電力監(jiān)管委員會關于對電力行業(yè)有關單位重要信息系統開展安全檢查的通知（辦信息200648號）以及公司文件、檢查方案要求，開展XXX有限公司網絡安全評估。1.3 評估范圍此次系統測評的范圍主要針對該業(yè)務系統所涉及的服務器、應用、數據庫、網絡設備、安全設備、終端等資產。主要涉及以下方面：業(yè)務系統的應用環(huán)境；網絡及其主要基礎設施，例如路由器、交換機等；安

3、全保護措施和設備，例如防火墻、IDS等；信息安全管理體系。1.4 評估方法采用自評估方法1.5 基本信息被評估系統名稱業(yè)務系統負責人評估工作配合人員、資產分析2.1 信息資產識別概述資產被定義為對組織具有價值的信息或資源，資產識別的目標就是識別出資產的價值，風險評估中資產的價值不是以資產的經濟價值來衡量，而是由資產在其安全屬性一一機密性、完整性和可用性上的達成程度或者其安全屬性未達成時所造成的影響程度來決定的。風險評估是對本司范圍內的重要系統、重要網絡設備、重要服務器及其安全屬性受破壞后的影響進行識別，將一旦停止運行影響面大的系統、關鍵網絡節(jié)點設備和安全設備、承載敏感數據和業(yè)務的服務器進行登記

4、匯總。2.2 信息資產識別資產分類資產組IP地址/名稱資產估價等級資產型號具體資產物理資產服務器網絡設備軟件資產操作系統、數據庫和應用軟件三、評估說明3.1 無線網絡安全檢查項目評估無線網絡信息安全組織機構包括領導機構、工作機構。崗位要求應包括：專職網絡管理人員、專職應用系統管理人員和專職系統管理人員；專責的工作職責與工作范圍應有制度明確進行界定；崗位實行主、副崗備用制度。病毒管理包括計算機病毒防治管理制度、定期升級的安全策略、病毒預警和報告機制、病毒掃描策略（1周內至少進行一次掃描）。3.2 無線網絡與系統安全評估無線局域網核心交換設備、城域網核心路由設備應采取設備冗余或準備備用設備，不允許

5、外聯鏈路繞過防火墻，具有當前準確的網絡拓撲結構圖。無線網絡設備配置有備份，網絡關鍵點設備采用雙電源，關閉網絡設備HTTP、FTP、TFTP等服務，SNMP社區(qū)串、本地用戶口令強?。?字符，數字、字母混雜）。3.3 ip管理與補丁管理有無線ip地址管理系統，無線ip地址管理有規(guī)劃方案和分配策略，無線ip地址分配有記錄。有補丁管理的手段或補丁管理制度，Windows系統主機補丁安裝齊全，有補丁安裝的測試記錄。3.4 防火墻無線網絡中的防火墻位置部署合理，防火墻規(guī)則配置符合安全要求，防火墻規(guī)則配置的建立、更改有規(guī)范申請、審核、審批流程，對防火墻日志進行存儲、備份。四、威脅細類分析4.1 威脅分析概述

6、4.1.1 外部威脅來自不可控網絡的外部攻擊，主要指移動的CMNET、其它電信運營商的Internet互聯網，以及第三方的攻擊，其中互聯網的威脅主要是黑客攻擊、蠕蟲病毒等，而第三方的威脅主要是越權或濫用、泄密、篡改、惡意代碼或病毒等。4.1.2 內部威脅主要來自內部人員的惡意攻擊、無作為或操作失誤、越權或濫用、泄密、篡改等。另外，由于管理不規(guī)范導致各支撐系統之間的終端混用，也帶來病毒泛濫的潛在威脅。對每種威脅發(fā)生的可能性進行分析，最終為其賦一個相對等級值，將根據經驗、有關的統計數據來判斷威脅發(fā)生的頻率或者概率。威脅發(fā)生的可能性受下列因素影響：資產的吸引力；資產轉化成報酬的容易程度；威脅的技術力

7、量等。卜面是威脅標識對應表:威脅等級可能帶來的威脅可控性發(fā)生頻度高黑客攻擊、惡意代碼和病毒等完全不可控出現的頻率較局（或A1次/月）；或在大多數情況下很有可能會發(fā)生；或可以證實多次發(fā)生過。中物理攻擊、內部人員的操作失一定的可控性出現的頻率中等（或1次/誤、惡意代碼和病毒等半年）；或在某種情況下可能會發(fā)生；或被證實曾經發(fā)生過。低內部人員的操作失誤、惡意代碼和病毒等較大的可控性出現的頻率較??；或一般不太可能發(fā)生；或沒有被證實發(fā)生過。4.2 威脅分類卜面是針對威脅分類對威脅途徑的描述，其中不包括物理威脅：威脅種類威脅途徑操作錯誤合法用戶工作失誤或疏忽的可能性濫用授權合法用戶利用自己的權限故意或非故意

8、破壞系統的可能性行為抵賴合法用戶對自己操作行為否認的可能性身份假冒非法用戶冒充合法用戶進行操作的可能性密碼分析非法用戶對系統密碼分析的可能性安全漏洞非法用戶利用系統漏洞侵入系統的可能性拒絕服務非法用戶利用拒絕服務手段攻擊系統的可能性惡意代碼病毒、特洛伊木馬、蠕蟲、邏輯炸彈等感染的可能性竊聽數據非法用戶通過竊聽等手段盜取重要數據的可能性社會工程非法用戶利用社交等手段獲取重要信息的可能性意外故障系統的組件發(fā)生意外故障的可能性通信中斷數據通信傳輸過程中發(fā)生意外中斷的可能性4.3 威脅主體卜面對威脅來源從威脅主體的角度進行了威脅等級分析:威脅主體面臨的威脅系統合法用戶（系統管理員和其他授權用戶）操作錯

9、誤濫用授權行為抵賴系統非法用戶（權限較低用戶和外部攻擊者）身份假冒密碼分析安全漏洞拒絕服務惡意代碼竊聽數據社會工程友徐夕目M意外故障系就組件通信中斷簽字驗收5.2加固措施對照表項目可能的影響和方式等級安全加固措施備注資產評估資產信息泄露高合同、協議、規(guī)章、制度、法律、法規(guī)安全管理評估安全管理信息泄露高合同、協議、規(guī)章、制度、法律、法規(guī)應急安全評估系統切換測試導致部分業(yè)務中斷、部分數據遺失高做好系統備份和恢復措施；通知相關業(yè)務人員在相應時間段注意保護數據，并檢查提交的數據是否在測試后完整可選網絡威脅收集網絡流里低控制中心與探測引擎直接連接。不占用網絡流里網絡/安全設備評估誤操作引起設備崩潰或數據

10、丟失、損壞高規(guī)范審計流程；嚴格選擇審計人員；用戶進行全程監(jiān)控；制定可能的恢復計劃。網絡/安全設備資源占有低避開業(yè)務高峰；控制掃描策略（線程數量、強度）漏洞掃描網絡流里低避開業(yè)務高峰；控制掃描策略（線程數量、強度）主機資源占用低避開業(yè)務高峰；控制掃描策略（線程數量、強度）控制臺審計誤操作引起設備崩潰或數據丟失、損壞高規(guī)范審計流程；嚴格選擇審計人員；用戶進行全程監(jiān)控；制定可能的恢復計劃。網絡流量和主機資源占用低做好系統備份和恢復措施應用平臺產生非法數據，只是系統/、能正常工作中做好系統備份和恢復措施異常輸入（畸形數據、極限測試）導致系統崩潰高做好系統備份和恢復措施六、評估結論公司依據國家、地方、行業(yè)相關安全法規(guī)、規(guī)范及標準，運用安全系統工程的理論及方法，對項目建設內容及安全管理，全面進行了現場查驗、查證及綜合性安全評價，總的來