信息安全風(fēng)險評估報告0003

1、1111單位:1111系統(tǒng)安全項目信息安全風(fēng)險評估報告我們單位名日期1.3評估范圍61.4基本信息7報告編寫人:日期 ：批準(zhǔn)人 ：日期 ：終板目錄版本號 ：第一版本日期第二 版本日期1概述項目背景1.2工作方法2業(yè)務(wù)系統(tǒng)分析.5.1脆弱性分析概述145.2技術(shù)脆弱性分析15資產(chǎn)分析3.1信息資產(chǎn)分析3.1.1信息資產(chǎn)識別概述3.1.2信息資產(chǎn)識別威脅分析脆弱性分析.2.1業(yè)務(wù)系統(tǒng)職能2.2網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)2.3邊界數(shù)據(jù)流向104.1威脅分析概述104.2威脅分類114.3威脅主體124.4威脅識別13145.1脆弱性分析概述145.2技術(shù)脆弱性分析155.2.1網(wǎng)絡(luò)平臺脆弱性分析157.1管理類建

2、議267.2技術(shù)類建議275.2.2操作系統(tǒng)脆弱性分析5.2.3脆弱性掃描結(jié)果分析7系統(tǒng)安全加固建議.16掃描資產(chǎn)列表高危漏洞分析系統(tǒng)帳戶分析應(yīng)用帳戶分析185.3管理脆弱性分析185.4脆弱性識別236風(fēng)險分析246.1風(fēng)險分析概述246.2資產(chǎn)風(fēng)險分布256.3資產(chǎn)風(fēng)險列表25267.1管理類建議267.2技術(shù)類建議277.2.1安全措施277.2.2網(wǎng)絡(luò)平臺277.2.3操作系統(tǒng)288制定及確認(rèn).錯 誤 ! 未定義書簽。9附錄A:脆弱性編號規(guī)則301概述1.1項目背景為了切實提高各系統(tǒng)的安全保障水平，更好地促進(jìn)各系統(tǒng)

3、的安全建設(shè)工作,提升奧運保障能力，需要增強對于網(wǎng)運中心各系統(tǒng)的安全風(fēng)險控制， 發(fā)現(xiàn)系統(tǒng)安全風(fēng)險并及時糾正。根據(jù)網(wǎng)絡(luò)與信息安全建設(shè)規(guī)劃，為了提高各系統(tǒng)的安全保障和運營水平，現(xiàn)提出系統(tǒng)安全加固與服務(wù)項目。1.2工作方法在本次安全風(fēng)險評測中將主要采用的評測方法包括:?人工評測;?工具評測;?調(diào)查問卷;?顧問訪談。1.3評估范圍此次系統(tǒng)測評的范圍主要針對該業(yè)務(wù)系統(tǒng)所涉及的服務(wù)器、應(yīng)用、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、終端等資產(chǎn)。主要涉及以下方面:1）業(yè)務(wù)系統(tǒng)的應(yīng)用環(huán)境，；2）網(wǎng)絡(luò)及其主要基礎(chǔ)設(shè)施，例如路由器、交換機等;3）安全保護措施和設(shè)備，例如防火墻、IDS等;4）信息安全管理體系（ISMS1.4基本信

4、息被評估系統(tǒng)名稱XX系統(tǒng)業(yè)務(wù)系統(tǒng)負(fù)責(zé)人評估工作配合人員2業(yè)務(wù)系統(tǒng)分析圖表1業(yè)務(wù)系統(tǒng)拓?fù)浣Y(jié)構(gòu)圖編號邊界名稱邊界類型路徑系統(tǒng)發(fā)起方數(shù)據(jù)流向現(xiàn)有安全措施2. 1業(yè)務(wù)系統(tǒng)職能2.2網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)2. 3邊界數(shù)據(jù)流向1.MDN系統(tǒng)類MDN本系統(tǒng)/對端系統(tǒng)雙向系統(tǒng)架構(gòu)隔離3資產(chǎn)分析3.1信息資產(chǎn)分析3. 1. 1信息資產(chǎn)識別概述資產(chǎn)是風(fēng)險評估的最終評估對象。在一個全面的風(fēng)險評估中，風(fēng)險的所有重要因素都緊緊圍繞著資產(chǎn)為中心，威脅、脆弱性以及風(fēng)險都是針對資產(chǎn)而客觀存在的。威脅利用資產(chǎn)自身的脆弱性使得安全事件的發(fā)生成為可能，從而形成了風(fēng)險。這些安全事件一旦發(fā)生，將對資產(chǎn)甚至是整個系統(tǒng)都將造成一定的影響。資產(chǎn)被定義

5、為對組織具有價值的信息或資源，資產(chǎn)識別的目標(biāo)就是識別出資產(chǎn)的價值，風(fēng)險評估中資產(chǎn)的價值不是以資產(chǎn)的經(jīng)濟價值來衡量，而是由資產(chǎn)在其安全屬性一一機密性、完整性和可用性上的達(dá)成程度或者其安全屬性未達(dá)成時所造成的影響程度來決定的。資產(chǎn)估價等級賦值高3中2低13. 1.2信息資產(chǎn)識別資產(chǎn)分類資產(chǎn)組IP地址/名稱資產(chǎn)組號資產(chǎn)編號具體資產(chǎn)估價等級物 理資 產(chǎn)服務(wù)器1.H001sun ultra60中H002sun ultra60中H003sun ultra60高H004sun ultra60高網(wǎng)絡(luò)設(shè)備2.N001華為3680E中N002華為3680E中N003華為S2016中軟件 資產(chǎn)操作系 統(tǒng)、數(shù)據(jù)庫和應(yīng)

6、用軟件3.H001Solaris高H002Solaris高H003Solaris高H004Solaris高4.D001Sybase高1)資產(chǎn)的吸引力；2)資產(chǎn)轉(zhuǎn)化成報酬的容易程度；3)威脅的技術(shù)力量；4威脅分 析4. 1威脅分析 概述威脅是指可能對資產(chǎn)或組織造成損害事故的潛在原因。 作為風(fēng)險評估的重要 因素，威脅是一個客觀存在的事物，無論對于多么安全的信息系統(tǒng)都存在。威脅可能源于對系統(tǒng)直接或間接的攻擊，例如信息泄漏、篡改、刪除等，在 機密性、完整性或可用性等方面造成損害； 威脅也可能源于偶發(fā)的、 或蓄意的事 件。按照威脅產(chǎn)生的來源，可以分為外部威脅和內(nèi)部威脅：1）外部威脅：來自不可控網(wǎng)絡(luò)的外部

7、攻擊，主要指移動的CMNE、T其它電信運營商的Internet互聯(lián)網(wǎng)，以及第三方的攻擊，其中互聯(lián)網(wǎng)的威脅主要是黑 客攻擊、蠕蟲病毒等，而第三方的威脅主要是越權(quán)或濫用、泄密、篡改、惡意代 碼或病毒等。2）內(nèi)部威脅：主要來自內(nèi)部人員的惡意攻擊、無作為或操作失誤、越權(quán)或濫用、泄密、篡改等。另外，由于管理不規(guī)范導(dǎo)致各支撐系統(tǒng)之間的終端混用， 也帶來病毒泛濫的潛在威脅。對每種威脅發(fā)生的可能性進(jìn)行分析，最終為其賦一個相對等級值，將根據(jù)經(jīng) 驗、有關(guān)的統(tǒng)計數(shù)據(jù)來判斷威脅發(fā)生的頻率或者概率。 威脅發(fā)生的可能性受下列因素影響：4）脆弱性被利用的難易程度。F面是威脅標(biāo)識對應(yīng)表:威脅等級賦值可能帶來的威脅可控性發(fā)生頻

8、度高3黑客攻擊、惡意代碼和病毒等完全不可控出現(xiàn)的頻率較咼 （或1次/月） ；或在大多數(shù)情況 下很有可能會發(fā)生；或可 以證實多次發(fā)生過。中2物理攻擊、內(nèi)部人員的操作失誤、惡意代碼和病毒等一定的可控性出現(xiàn)的頻率中等（或 1次/半年）;或在某種情況 下可能會發(fā)生；或被證實 曾經(jīng)發(fā)生過。低1內(nèi)部人員的操作失誤、惡意代碼和病毒等較大的可控性出現(xiàn)的頻率較?。换蛞话?不太可能發(fā)生；或沒有被 證實發(fā)生過。4.2威脅分類F面是針對威脅分類對威脅途徑的描述，其中不包括物理威脅:威脅種類威脅途徑操作錯誤合法用戶工作失誤或疏忽的可能性濫用授權(quán)合法用戶利用自己的權(quán)限故意或非故意破壞系統(tǒng)的可能性行為抵賴合法用戶對自己操作

9、行為否認(rèn)的可能性身份假冒非法用戶冒充合法用戶進(jìn)行操作的可能性密碼分析非法用戶對系統(tǒng)密碼分析的可能性安全漏洞非法用戶利用系統(tǒng)漏洞侵入系統(tǒng)的可能性拒絕服務(wù)非法用戶利用拒絕服務(wù)手段攻擊系統(tǒng)的可能性惡意代碼病毒、特洛伊木馬、蠕蟲、邏輯炸彈等感染的可能性竊聽數(shù)據(jù)非法用戶通過竊聽等手段盜取重要數(shù)據(jù)的可能性社會工程非法用戶利用社交等手段獲取重要信息的可能性意外故障系統(tǒng)的組件發(fā)生意外故障的可能性通信中斷數(shù)據(jù)通信傳輸過程中發(fā)生意外中斷的可能性4.3威脅主體F面對威脅來源從威脅主體的角度進(jìn)行了威脅等級分析:面臨的威脅威脅主體操作錯誤系統(tǒng)合法用戶濫用授權(quán)（系統(tǒng)管理員和其他授權(quán)用戶）行為抵賴身份假冒密碼分析安全漏洞系

10、統(tǒng)非法用戶拒絕服務(wù)（權(quán)限較低用戶和外部攻擊者）惡意代碼竊聽數(shù)據(jù)社會工程 意外故障系統(tǒng)組件通信中斷4.4威脅識別序資產(chǎn)編號操濫行身密安拒惡竊社丿意通號作用為份碼全絕意聽會外信錯授抵假分漏服代數(shù)工故中誤權(quán)賴冒析洞務(wù)碼據(jù)程障斷1.N0011222313122112.N0021222313122113.N0031222313122114.H0011121113112115.H0021121113112116.H0031121113112117.H0041121113112118.D0011122213112115脆弱性分析5.1脆弱性分析概述脆弱性是指資產(chǎn)或資產(chǎn)組中能被威脅所利用的弱點，它包括物理環(huán)境

11、、組織機構(gòu)、業(yè)務(wù)流程、人員、管理、硬件、軟件及通訊設(shè)施等各個方面，這些都可能被各種安全威脅利用來侵害一個組織機構(gòu)內(nèi)的有關(guān)資產(chǎn)及這些資產(chǎn)所支持的業(yè)務(wù)系統(tǒng)。各種安全薄弱環(huán)節(jié)自身并不會造成什么危害， 只有在被各種安全威脅利用后才可能造成相應(yīng)的危害。需要注意的是不正確的、起不到應(yīng)有作用的或沒有正確實施的安全保護措施本身就可能是一個安全薄弱環(huán)節(jié)。這里將對脆弱性被威脅利用的可能性進(jìn)行評估，最終為其賦相對等級值。脆弱性等級賦值描述高3很容易被攻擊者利用，會對系統(tǒng)造成極大損害；中2脆弱項雖然對系統(tǒng)安全有一疋影響，但其被利用需要一定難度；低1脆弱項被利用后會對系統(tǒng)產(chǎn)生有限影響；在脆弱性評估時的數(shù)據(jù)來源應(yīng)該是資產(chǎn)

12、的擁有者或使用者，相關(guān)業(yè)務(wù)領(lǐng)域的 專家以及軟硬件信息系統(tǒng)方面的專業(yè)人員。在本次評估中將從技術(shù)、管理兩個方面進(jìn)行脆弱性評估。其中在技術(shù)方面主 要是通過遠(yuǎn)程和本地兩種方式進(jìn)行工具掃描、手動檢查等方式進(jìn)行評估，以保證 脆弱性評估的全面性和有效性；管理脆弱性評估方面主要是對現(xiàn)有的安全管理制 度的制定和執(zhí)行情況進(jìn)行檢查，發(fā)現(xiàn)其中的管理漏洞和不足。5.2技術(shù)脆弱性分析5.2.1網(wǎng)絡(luò)平臺脆弱性分析華為交換機、路由器設(shè)備脆弱性分析，下面按照嚴(yán)重程度高、中、低的順序 排列:脆弱性嚴(yán)重脆弱性名稱受影響的資產(chǎn)編號程度V30001.未對sup er密碼加密高V30002.未進(jìn)行用戶權(quán)限設(shè)置高V30003.未對VTY的

13、訪問限制中V30004.未進(jìn)行登陸超時設(shè)置中V30005.未禁用FTP服務(wù)中V30006.未進(jìn)行日志審計中V30007.未對VTY的數(shù)量限制低5. 2. 2操作系統(tǒng)脆弱性分析Solaris操作系統(tǒng)脆弱性分析，下面按照嚴(yán)重程度高、中、低的順序排列:脆弱性編號脆弱性名稱受影響的資產(chǎn)嚴(yán)重 程 度V22001.存在可能無用的組中V22002.存在沒有所有者的文件低V22003.不記錄登錄失敗事件低5. 2.3脆弱性掃描結(jié)果分析523.1掃描資產(chǎn)列表序號設(shè)備/系統(tǒng)名稱IP地址掃描策略是否掃描1.網(wǎng)絡(luò)設(shè)備與防火墻是2.網(wǎng)絡(luò)設(shè)備與防火墻是3.Solaris系統(tǒng)、Solaris應(yīng)用是4.solaris系統(tǒng)、s

14、olaris應(yīng)用是5.solaris系統(tǒng)、solaris應(yīng)用是6.solaris系統(tǒng)、solaris應(yīng)用是7.win dows終端win dows系統(tǒng)是8.win dows終端win dows系統(tǒng)是9.win dows終端win dows系統(tǒng)是523.2高危漏洞分析Solaris操作系統(tǒng)高危漏洞如下:脆弱性編號脆弱性名稱受影響的資產(chǎn)嚴(yán)重程度V22004.Open SSH S/Key遠(yuǎn)程信息泄露漏洞中V22005.Open SSH GSSA P信號處理程序內(nèi)存兩次釋放漏洞中V22006.Open SSH復(fù)制塊遠(yuǎn)程拒絕服務(wù)漏洞中系統(tǒng)帳戶分析本次掃描未發(fā)現(xiàn)系統(tǒng)帳戶信息。應(yīng)

15、用帳戶分析本次掃描未發(fā)現(xiàn)應(yīng)用帳戶信息。5.3管理脆弱性分析項目子項檢查結(jié)果可能危害資產(chǎn)分類資產(chǎn)清單和描述有無資產(chǎn)分類按業(yè)務(wù)角度進(jìn)行分類無崗位和資源工作職責(zé)有無崗位劃分劃分明確無能力要求有，對人員基本能力有明確的技術(shù)要求無保密協(xié)議簽訂保密協(xié)議無培訓(xùn)定期培訓(xùn)公司定期培訓(xùn)，無針對本系統(tǒng)的培訓(xùn)不能完全適 合該業(yè)務(wù)系 統(tǒng)的實際情 況，缺少針 對性安全意識員工安全意識比較強無事故處理事故報告制度有事件報告機制，有明確規(guī)定無資產(chǎn)分類與控人員安項目子項檢查結(jié)果可能危害事故事后分析有無糾正機制有糾正機制無通訊與運行管理操作規(guī)程和職責(zé)操作規(guī)程文件有明確的操作規(guī)程文件及文檔指南無安全事故管理責(zé)任有完整流程，并作相應(yīng)

16、記錄無內(nèi)務(wù)處理信息備份有詳細(xì)的備份計劃無保持操作記錄有完善的操作記錄無故障記錄有無系統(tǒng)訪問控制網(wǎng)絡(luò)訪問控制外聯(lián)用戶控制有防火墻無網(wǎng)絡(luò)路由控制有，統(tǒng)一做的無網(wǎng)絡(luò)連接控制有無網(wǎng)絡(luò)隔離控制劃分vian無項目子項檢查結(jié)果可能危害應(yīng)用系 統(tǒng)訪問 控制用戶認(rèn)證用戶名和密碼簡單認(rèn)證模式未授權(quán)用戶威脅系統(tǒng)安全口令管理有無文件共享無無數(shù)據(jù)庫系統(tǒng)訪冋控制用戶權(quán)限控制有無訪問權(quán)限控制有無口令控制有無日常維護業(yè)務(wù)系統(tǒng)監(jiān)控有，并且有記錄無網(wǎng)絡(luò)監(jiān)控有，統(tǒng)一部署的無維護文檔更新有無系統(tǒng)日志有無業(yè)務(wù)連續(xù)性管理容災(zāi)備份核心服務(wù)器冗余核心服務(wù)器數(shù)據(jù)庫有備份無關(guān)鍵鏈路冗余有無數(shù)據(jù)庫備份有數(shù)據(jù)備份無項目技術(shù)支持安全策術(shù)子項檢查結(jié)果可

17、能危害安全機構(gòu)支持有無集成商的技術(shù)服務(wù)和支持華為無證據(jù)收集沒有采取收集證據(jù)的方式來維護自己的利益自身利益可能受到損失安全策略信息系統(tǒng)有安全 策略并經(jīng)常被審 查，集團下發(fā)的一 些東西無技術(shù)符合性檢驗有，定期進(jìn)行技術(shù) 審查以確保符合 安全實現(xiàn)標(biāo)準(zhǔn)無略和技5.4脆弱性識別序資產(chǎn)編號操濫行身密安拒惡竊社丿意通號作用為份碼全絕意聽會外信錯授抵假分漏服代數(shù)工故中誤權(quán)賴冒析洞務(wù)碼據(jù)程障斷1.N0011212313111112.N0021212313111113.N0031212313111114.H0011121112111115.H0021121112111116.H0031121112111117.H0

18、041121112111118.D0011121112111116風(fēng)險分析6.1風(fēng)險分析概述風(fēng)險是指特定的威脅利用資產(chǎn)的一種或一組脆弱性，導(dǎo)致資產(chǎn)的丟失或損害的潛在可能性，即特定威脅事件發(fā)生的可能性與后果的結(jié)合。風(fēng)險只能預(yù)防、避免、降低、轉(zhuǎn)移和接受，但不可能完全被消火。在這個過程中，將根據(jù)上面評估的結(jié)果，選擇適當(dāng)?shù)娘L(fēng)險計算方法或工具確定風(fēng)險的大小與風(fēng)險等級，即對每業(yè)務(wù)系統(tǒng)的資產(chǎn)因遭受泄露、修改、不可用和破壞所帶來的任何影響做出一個風(fēng)險測量的列表，以便識別與選擇適當(dāng)和正確的風(fēng)險控制策略，這也將是策劃信息安全體系架構(gòu)的重要步驟。圖表2資產(chǎn)風(fēng)險分布圖6.3資產(chǎn)風(fēng)險列表根據(jù)風(fēng)險的計算公式函數(shù)：R=f(

19、A，T,V)=f(aL(Va,T)，其中R代表風(fēng)險,A代表資產(chǎn)的估價，T代表威脅，V代表脆弱性。我們得出下表:序號資產(chǎn)編號操作 錯誤濫 用授 權(quán)行 為抵 賴身 份假 冒密 碼分 析安 全漏 洞拒絕 服務(wù)惡 意代 碼竊 聽數(shù) 據(jù)社會 工程丿意外 故障通 信中 斷1.N00131261227327663332.N00231261227327663336.2資產(chǎn)風(fēng)險分布資產(chǎn)風(fēng)險分布中鳳&33.N00331261227327663334.H001331233318363335.H002331233318363336.H003331233318363337.H004331233318363338.D00

20、1331266318336337系統(tǒng)安全加固建議7.1管理類建議編號脆弱性描述安全加固建議1.缺少明確的復(fù)核制度在安全體系中完善復(fù)核制度，明確執(zhí)行 方法2.與外部安全機構(gòu)的合作較少，對最新 的安全動態(tài)和系統(tǒng)現(xiàn)狀的了解不足， 不能及時響應(yīng)最新的安全問題加強與安全服務(wù)商的合作，定期開展培訓(xùn)和系統(tǒng)風(fēng)險評估與加固工作3.在對設(shè)備和系統(tǒng)的維護管理中缺少強采用SSH等非明文傳輸?shù)墓芾砉ぞ撸⒅剖褂蒙矸菡J(rèn)證和通訊加密的要求啟用認(rèn)證系統(tǒng)7.2技術(shù)類建議7.2. 1安全措施編號脆弱性描述安全加固建議1.系統(tǒng)邊界缺少安全防護措施出口鏈路中增加防火墻進(jìn)行訪問控制和安全隔離2.系統(tǒng)邊界出口缺少冗余措施出口鏈路中增加鏈路冗余，減少發(fā)生通訊故障的風(fēng)險?；蛘邔﹃P(guān)鍵設(shè)備做冷備3.內(nèi)部骨干鏈路與核心設(shè)備之間缺少冗余措施骨干鏈路中增加鏈路冗余，減少發(fā)生通訊故障的風(fēng)險?；蛘邔﹃P(guān)鍵設(shè)備做冷備4.系統(tǒng)的內(nèi)部網(wǎng)絡(luò)中缺少入侵檢測技術(shù)手段在內(nèi)部核心交換處部署IDS設(shè)備5.系統(tǒng)中缺少對流量做監(jiān)控的技術(shù)手段在關(guān)鍵鏈路或核心交換處增加流量監(jiān)控設(shè)備7. 2. 2網(wǎng)絡(luò)平臺華為交換機、路由器設(shè)備加固建議:脆弱性編號脆弱性描述安全加固建議加固風(fēng)險/條件V30001.未對sup er密碼加密對super密碼進(jìn)行加密低風(fēng)險V30002.未進(jìn)行用戶權(quán)限設(shè)置