風(fēng)險(xiǎn)評估方案

風(fēng)險(xiǎn)評估方案目錄TOC\o"1-5"\h\z\o"CurrentDocument"一、任務(wù)描述 3\o"CurrentDocument"二、檢測原則 3\o"CurrentDocument"三、檢測依據(jù) 3\o"CurrentDocument"四、評估范圍 4\o"CurrentDocument"五、評估內(nèi)容 4\o"CurrentDocument"六、項(xiàng)目組成員 5\o"CurrentDocument"七、評估計(jì)劃安排 5\o"CurrentDocument"八、評估工具 5\o"CurrentDocument"九、評估過程 7信息安全風(fēng)險(xiǎn)評估 7\o"CurrentDocument"十、評估方法 10\o"CurrentDocument"遠(yuǎn)程安全評估 10本地安全評估 11\o"CurrentDocument"十一、風(fēng)險(xiǎn)評價(jià)原則 18\o"CurrentDocument"十二、風(fēng)險(xiǎn)評估模型 25\o"CurrentDocument"十三、風(fēng)險(xiǎn)分析與計(jì)算方法 31、任務(wù)描述受公司委托，科技有限公司從2019年對醫(yī)療系統(tǒng)開展了安全防護(hù)檢測工作。本次安全防護(hù)檢測涉及的設(shè)備資產(chǎn)包括11臺服務(wù)器、1臺防火墻、1臺交換機(jī)、1臺IPS。本次檢測工作主要采用人員訪談、資料查閱、技術(shù)檢測等方法，檢測范圍涉及網(wǎng)絡(luò)架構(gòu)、網(wǎng)絡(luò)設(shè)備、安全配置、安全防護(hù)設(shè)施、業(yè)務(wù)系統(tǒng)、操作系統(tǒng)和其他相關(guān)系統(tǒng)等。二、 檢測原則為保障現(xiàn)場檢測工作能夠順利有效開展，現(xiàn)場檢測過程將嚴(yán)格遵循以下工作原則：標(biāo)準(zhǔn)化原則。嚴(yán)格遵守國家和行業(yè)的相關(guān)法律法規(guī)、標(biāo)準(zhǔn)，并參考國際的標(biāo)準(zhǔn)來實(shí)施。規(guī)范性原則。根據(jù)本項(xiàng)目工作方案，在實(shí)施過程中對人員、質(zhì)量、時(shí)間進(jìn)度進(jìn)行嚴(yán)格管控。整體性原則。包括測試內(nèi)容完整性、測試流程整體性和完整性。保密性原則。在進(jìn)行信息安全測試過程中，嚴(yán)格遵守保密原則，確保所涉及到的任何用戶保密信息，不會(huì)泄露給第三方單位和個(gè)人。交互性原則。在進(jìn)行信息安全測試過程中，保持與被檢測單位相關(guān)負(fù)責(zé)人進(jìn)行溝通交流，共同挖掘系統(tǒng)存在的安全漏洞和管理漏洞，從而保證項(xiàng)目執(zhí)行的效果并提高被檢測單位的安全技能和安全意識。最小影響原則。將從項(xiàng)目管理和技術(shù)應(yīng)用的層面，與被檢測單位進(jìn)行充分溝通，考慮測試對目標(biāo)系統(tǒng)的正常運(yùn)行可能產(chǎn)生的不利影響，將風(fēng)險(xiǎn)降到最低，在不影響目標(biāo)系統(tǒng)正常運(yùn)行的情況下同時(shí)保證項(xiàng)目實(shí)施的有效性。三、 檢測依據(jù)（1） 《通信網(wǎng)絡(luò)安全防護(hù)管理辦法》（工業(yè)和信息化部第11號令）（2） 《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評估規(guī)范》（3） 《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評估實(shí)施指南》（4） 《電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)管理指南》（5） 《電信網(wǎng)和互聯(lián)網(wǎng)安全服務(wù)實(shí)施要求》（6） 《電信網(wǎng)和互聯(lián)網(wǎng)安全風(fēng)險(xiǎn)評估實(shí)施指南》（7） 《電信網(wǎng)和互聯(lián)網(wǎng)災(zāi)難備份及恢復(fù)實(shí)施指南》（8） 《電信網(wǎng)和互聯(lián)網(wǎng)物理環(huán)境安全等級保護(hù)要求》（9） 《電信網(wǎng)和互聯(lián)網(wǎng)物理環(huán)境安全等級保護(hù)檢測要求》（10） 《電信網(wǎng)和互聯(lián)物理安全等級保護(hù)要求》（11） 《電信網(wǎng)和互聯(lián)物理安全等級保護(hù)檢測要求》（12） 《電信網(wǎng)和互聯(lián)網(wǎng)安全等級保護(hù)實(shí)施指南》（13） 《電信網(wǎng)和互聯(lián)網(wǎng)信息服務(wù)業(yè)務(wù)系統(tǒng)安全防護(hù)要求》（14） 《電信網(wǎng)和互聯(lián)網(wǎng)信息服務(wù)業(yè)務(wù)系統(tǒng)安全防護(hù)檢測要求》（15） 《電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)基線配置要求及檢測要求網(wǎng)絡(luò)設(shè)備》（16） 《電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)基線配置要求及檢測要求安全設(shè)備》（17） 《電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)基線配置要求及檢測要求操作系統(tǒng)》（18） 《電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)基線配置要求及檢測要求數(shù)據(jù)庫》（19） 《電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)基線配置要求及檢測要求中間件》（20） 《電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)基線配置要求及檢測要求web應(yīng)用系統(tǒng)》四、評估范圍本次安全防護(hù)檢測的對象是智慧醫(yī)療系統(tǒng)，具體包括網(wǎng)絡(luò)設(shè)備、安全防護(hù)設(shè)備、服務(wù)器、終端設(shè)備以及相關(guān)業(yè)務(wù)系統(tǒng)等。該系統(tǒng)由計(jì)算機(jī)及其相關(guān)的配套設(shè)備、設(shè)施構(gòu)成，系統(tǒng)位于電信IDC機(jī)房內(nèi)，信息系統(tǒng)的網(wǎng)絡(luò)邊界由防火墻設(shè)備管理整個(gè)系統(tǒng)出口安全，出口防火墻型號NGFW4000-UF-TG-5238,IBMX3850X6X3650M4服務(wù)器負(fù)責(zé)系統(tǒng)運(yùn)行與數(shù)據(jù)庫管理，華為S5700-24TP-SI-AC負(fù)責(zé)業(yè)務(wù)交換，操作系統(tǒng)版本W(wǎng)IN2008SERVER該系統(tǒng)提供目錄服務(wù)。五、評估內(nèi)容本次安全防護(hù)檢測主要從網(wǎng)絡(luò)架構(gòu)分析入手,全面分析查找淮南智慧醫(yī)療系統(tǒng)現(xiàn)網(wǎng)配置的不安全因素（包括物理環(huán)境、安全配置、系統(tǒng)安全措施、網(wǎng)絡(luò)接入、業(yè)務(wù)系統(tǒng)等）。查驗(yàn)系統(tǒng)是否存在中高危安全漏洞、弱口令，以及可能導(dǎo)致用戶信息泄露、重要設(shè)備受控、業(yè)務(wù)中斷、網(wǎng)絡(luò)中斷等重大網(wǎng)絡(luò)安全事件的隱患；以求及時(shí)排除安全隱患，保障網(wǎng)絡(luò)安全暢通。六、項(xiàng)目組成員姓名職務(wù)職責(zé)王軍組長總體協(xié)調(diào)、檢查進(jìn)度組員滲透測試組員漏洞掃描組長人員訪談七、評估計(jì)劃安排＞階段步驟/信息收集：對滲透測試的目標(biāo)網(wǎng)絡(luò)環(huán)境進(jìn)行網(wǎng)絡(luò)構(gòu)架分析，工程師需要向乙方講解滲透測試目標(biāo)的網(wǎng)絡(luò)結(jié)構(gòu)。對滲透測試目標(biāo)及網(wǎng)絡(luò)架構(gòu)進(jìn)行信息收集；/端口掃描：對滲透測試目標(biāo)主機(jī)或域名進(jìn)行端口掃描，判斷操作系統(tǒng)類型以及每個(gè)端口的服務(wù)類型；/漏洞掃描：針對滲透目標(biāo)進(jìn)行有針對性的漏洞掃描，主要針對以下三個(gè)方面:系統(tǒng)方面、信息系統(tǒng)應(yīng)用方面、數(shù)據(jù)庫及其它應(yīng)用方面等。/應(yīng)用分析：對信息系統(tǒng)服務(wù)器進(jìn)行安全掃描，對掃描器掃描出來的結(jié)果按風(fēng)險(xiǎn)風(fēng)險(xiǎn)可測試每一個(gè)風(fēng)險(xiǎn)漏洞，重點(diǎn)對高、中等風(fēng)險(xiǎn)級別的安全漏洞進(jìn)行驗(yàn)證測試；/漏洞驗(yàn)證：對掃描發(fā)現(xiàn)的安全漏洞進(jìn)行驗(yàn)證，驗(yàn)證各安全漏洞是否可以利用;/獲取權(quán)限：獲取主機(jī)系統(tǒng)或應(yīng)用系統(tǒng)的權(quán)限，對獲取權(quán)限的結(jié)果進(jìn)行記錄；/提升權(quán)限：通過已獲取基本權(quán)限修改系統(tǒng)配置信息后，進(jìn)一步提升信息系統(tǒng)管理權(quán)限；/控制系統(tǒng)：提升權(quán)限后，具備對主機(jī)系統(tǒng)或數(shù)據(jù)庫系統(tǒng)進(jìn)行控制，與用戶進(jìn)行結(jié)果確認(rèn)；/滲透收尾：對滲透結(jié)果及過程進(jìn)行記錄保存；退出目標(biāo)應(yīng)用系統(tǒng)的控制；/生成記錄：執(zhí)行滲透測試后，同時(shí)完成《滲透測試實(shí)施記錄》，實(shí)施記錄為在滲透測試過程中發(fā)現(xiàn)的安全隱患記錄結(jié)果保存；/問題討論：對滲透測試過程中發(fā)現(xiàn)的問題對進(jìn)行講解，確定滲透測試的準(zhǔn)確性及有效性。/實(shí)施報(bào)告編寫：對檢測實(shí)施記錄進(jìn)行分析整理，提高報(bào)告的準(zhǔn)確性及可讀性,同時(shí)提供問題針對性的安全解決措施；/實(shí)施結(jié)果匯報(bào)：向提交檢測結(jié)果報(bào)告同時(shí)，可以詳細(xì)為講解檢測過程及結(jié)果,對每個(gè)安全問題提出解決建議或整改措施；/項(xiàng)目實(shí)施驗(yàn)收：提交檢測成果《信息系統(tǒng)風(fēng)險(xiǎn)評估報(bào)告》及項(xiàng)目驗(yàn)收報(bào)告；經(jīng)雙方對項(xiàng)目過程及成果達(dá)成一致認(rèn)可，同意對項(xiàng)目進(jìn)行驗(yàn)收，向方提交所有最終成果，簽署驗(yàn)收文檔，完成子項(xiàng)工作驗(yàn)收。八、評估工具工具名稱檢測工具介紹特點(diǎn)資源占用nessus目前世界上公認(rèn)最為全面的漏洞掃描工具插件更新快，可及進(jìn)發(fā)現(xiàn)最新漏洞，掃描全面，但速度較慢帶寬：〈70KBpsCPU：〈2%wvs針對WEB應(yīng)用的專業(yè)漏洞掃描工具速度快、可全面發(fā)現(xiàn)SQL注入、XSS跨站及其它WEB代碼編寫問題及弱項(xiàng)帶寬：<120KBpsCPU：<5%hscan基礎(chǔ)服務(wù)快速掃描工具可針對設(shè)備開啟的基本服務(wù)進(jìn)行快速全面的掃描帶寬：〈90KBpsCPU：<5%wlanscan針對局域網(wǎng)的掃描工具可快速發(fā)現(xiàn)同一網(wǎng)段內(nèi)的簡單的數(shù)據(jù)安全問題帶寬：〈lOOKBpsCPU：<3%nmap端口掃描工具可根據(jù)需要定義多種掃描方式，可逃避IDS偵測帶寬：〈lOKBpsCPU：<1%cain內(nèi)網(wǎng)ARP利用工具ARP欺騙，多種密碼截獲，中間人攻擊等帶寬：〈120KBpsCPU：<5%PangolinSQL注入工具支持mssql,mysql,oracle等數(shù)據(jù)庫，可進(jìn)行g(shù)et,post,cookie等多種注入帶寬：〈90KBpsCPU：<5%

nc網(wǎng)絡(luò)偵聽工具靈活的網(wǎng)絡(luò)偵聽，可上傳，下載，執(zhí)行命令等帶寬：〈lOOKBpsCPU：〈5%lex端口轉(zhuǎn)發(fā)工具可針對防火墻等進(jìn)行端口轉(zhuǎn)發(fā)，以逃避安全攔截帶寬：〈lOKBpsCPU：<1%sqlmapSQL注入工具支持各類注入攻擊，可過WAF等WEB應(yīng)用防火墻設(shè)備帶寬：<120KBpsCPU：<5%burpsuitWEB應(yīng)用代理工具可對WEB數(shù)據(jù)傳輸進(jìn)行代理、分析、修改，協(xié)助WEB攻擊帶寬：〈90KBpsCPU：<5%metasploit綜合的滲透測試工具可進(jìn)行漏洞利用，加載攻擊載荷等多種攻擊，是較為全面的滲透測試平臺帶寬：〈lOOKBpsCPU：<5%九、評估過程信息安全風(fēng)險(xiǎn)評估此次風(fēng)險(xiǎn)評估主要是通過工具檢查和人工檢查相結(jié)合的方式識別將被評估信息系統(tǒng)的薄弱環(huán)節(jié)和安全隱患，分析信息系統(tǒng)可能面臨的安全風(fēng)險(xiǎn)，為制定信息安全解決方案提供依據(jù)。

風(fēng)險(xiǎn)評估流程風(fēng)險(xiǎn)評估準(zhǔn)備階段本階段是開展現(xiàn)場安全風(fēng)險(xiǎn)評估工作的前提和基礎(chǔ)，是整個(gè)安全評估過程有效性的保證。評估準(zhǔn)備工作是否充分直接關(guān)系到現(xiàn)場評估工作能否順利開展。本階段的主要工作是了解系統(tǒng)的總體情況，為實(shí)施現(xiàn)場安全評估做好文檔及測試工具等幾個(gè)方面的準(zhǔn)備。評估準(zhǔn)備階段主要完成啟動(dòng)評估項(xiàng)目，組建評估項(xiàng)目組；通過收集和分析被評估系統(tǒng)相關(guān)資料信息，掌握系統(tǒng)的大體情況；并通過編制評估方案以及準(zhǔn)備安全評估工具和文檔等任務(wù)，為順利實(shí)施現(xiàn)場評估工作打下良好基礎(chǔ)。風(fēng)險(xiǎn)評估工作啟動(dòng)此次風(fēng)險(xiǎn)評估工作啟動(dòng)過程主要是組建評估工作組，從資料、人員、計(jì)劃安排等方面為整個(gè)評估工作的開展做好準(zhǔn)備。首先與甲方單位簽署《保密協(xié)議》，之后了解被評估信息系統(tǒng)的主要業(yè)務(wù)、范圍、規(guī)模、安全保護(hù)等級等情況，明確雙方的責(zé)任和義務(wù)等。然后，根據(jù)具體的工作期限和技術(shù)能力等要求，組建安全評估工作項(xiàng)目組，從人員方面做好準(zhǔn)備，正式啟動(dòng)安全風(fēng)險(xiǎn)評估工作。信息收集和分析系統(tǒng)調(diào)研是確定政府信息系統(tǒng)被評估對象的過程，安全評估小組需進(jìn)行充分的系統(tǒng)調(diào)研調(diào)研內(nèi)容至少應(yīng)包括：主要的業(yè)務(wù)功能和要求；網(wǎng)絡(luò)結(jié)構(gòu)與網(wǎng)絡(luò)環(huán)境，包括內(nèi)部連接和外部連接；系統(tǒng)邊界；主要的硬件、軟件；數(shù)據(jù)和信息；系統(tǒng)和數(shù)據(jù)的敏感性；支持和使用系統(tǒng)的人員。安全風(fēng)險(xiǎn)識別階段風(fēng)險(xiǎn)識別階段是開展評估工作的關(guān)鍵階段。本階段的主要工作是依據(jù)國家標(biāo)準(zhǔn)，按照此次項(xiàng)目的總體要求，分步實(shí)施評估工作，包括資產(chǎn)識別與評估、威脅識別、脆弱性識別和已有安全措施識別四個(gè)方面，以了解系統(tǒng)的真實(shí)保護(hù)情況，獲取足夠證據(jù)，發(fā)現(xiàn)系統(tǒng)存在的安全問題。風(fēng)險(xiǎn)識別階段的主要活動(dòng)包括：資源協(xié)調(diào)、現(xiàn)場評估和結(jié)果記錄、結(jié)果確認(rèn)和資料歸還。資產(chǎn)識別威脅識別脆弱性識別已有安全措施識別現(xiàn)場評估和結(jié)果記錄■結(jié)果確認(rèn)和資料歸還十、評估方法遠(yuǎn)程安全評估遠(yuǎn)程安全測試，將采取兩種技術(shù)手段：工具掃描測試，人工滲透測試。工具掃描測試根據(jù)業(yè)主的系統(tǒng)現(xiàn)狀，主要業(yè)務(wù)系統(tǒng)采用B/S架構(gòu)，此次項(xiàng)目中我們將選用國內(nèi)先進(jìn)的WEB漏洞掃描工具。深度掃描：以web漏洞風(fēng)險(xiǎn)為導(dǎo)向，通過對web應(yīng)用（包括WEB2.0、JAVAScript、FLASH等）進(jìn)行深度遍歷,以安全風(fēng)險(xiǎn)管理為基礎(chǔ)，支持各類web應(yīng)用程序的掃描。WEB漏洞檢測：提供有豐富的策略包，針對各種WEB應(yīng)用系統(tǒng)以及各種典型的應(yīng)用漏洞進(jìn)行檢測（如SQL注入、Cookie注入、XPath注入、LDAP注入、跨站腳本、代碼注入、表單繞過、弱口令、敏感文件和目錄、管理后臺、敏感數(shù)據(jù)等）。網(wǎng)頁木馬檢測：對各種掛馬方式的網(wǎng)頁木馬進(jìn)行全自動(dòng)、高性能、智能化分析，并對網(wǎng)頁木馬傳播的病毒類型做出準(zhǔn)確剖析和網(wǎng)頁木馬宿主做出精確定位。配置審計(jì)：通過當(dāng)前弱點(diǎn)獲取數(shù)據(jù)庫的相關(guān)敏感信息，對后臺數(shù)據(jù)庫進(jìn)行配置審計(jì)，如弱口令、弱配置等。?智能測試：通過當(dāng)前弱點(diǎn)，模擬黑客使用的漏洞發(fā)現(xiàn)技術(shù)和攻擊手段，對目標(biāo)WEB應(yīng)用的安全性做出深入分析，并實(shí)施無害攻擊，取得系統(tǒng)安全威脅的直接證據(jù)。工具測試準(zhǔn)備遠(yuǎn)程工具測試環(huán)境由測試方負(fù)責(zé)搭建，測試工具軟件由測試方提供。業(yè)主方需準(zhǔn)備：確認(rèn)掃描測試時(shí)段；提供正確的外部網(wǎng)絡(luò)地址（IP）與域名；正式的掃描測試授權(quán)。人工滲透測試測試內(nèi)容我們將配備經(jīng)驗(yàn)豐富的信息安全工程師模擬惡意黑客的攻擊方法，通過外部網(wǎng)絡(luò)來評估計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全。這個(gè)過程包括對系統(tǒng)的任何弱點(diǎn)、技術(shù)缺陷或漏洞的主動(dòng)分析，這個(gè)分析是從一個(gè)攻擊者可能存在的位置來進(jìn)行的，并且從這個(gè)位置有條件主動(dòng)利用安全漏洞。測試準(zhǔn)備滲透測試開始前需與業(yè)主方商議并確認(rèn)滲透測試的實(shí)施時(shí)間段，滲透測試的深度等細(xì)節(jié)測試方需要獲得業(yè)主方書面授權(quán)。業(yè)主方需確實(shí)滲透測試的時(shí)間段，并書面授權(quán)測試方進(jìn)行測試。為保證滲透測試的效果與深度，必要情況下需要業(yè)主提供應(yīng)用系統(tǒng)的具備一般權(quán)限的帳戶信息。本地安全評估評估方法本地安全評估指的是對目標(biāo)系統(tǒng)進(jìn)行現(xiàn)場的安全風(fēng)險(xiǎn)分析和評估。本地安全評估實(shí)施手段為調(diào)查問卷、人員訪談、工具掃描測試與人工上機(jī)驗(yàn)證測試。評估內(nèi)容1.安全技術(shù)評估安全技術(shù)方面的安全檢查主要針對物理安全、網(wǎng)絡(luò)安全、主機(jī)安全，應(yīng)用安全和數(shù)據(jù)安全及備份恢復(fù)五個(gè)方面的安全技術(shù)進(jìn)行安全檢查。物理安全檢查項(xiàng)檢查實(shí)施手段物理位置的選擇訪談物理安全負(fù)責(zé)人，詢問機(jī)房場地是否符合選址要求。物理訪問控制訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否部署訪問控制系統(tǒng)，系統(tǒng)是否處于運(yùn)行狀態(tài)，是否專人值守，訪問記錄是否保管妥當(dāng)防盜竊和防破壞訪談物理安全負(fù)責(zé)人，采取了哪些防止設(shè)備、介質(zhì)等丟失的保護(hù)措施，

主要設(shè)備與介質(zhì)是否進(jìn)行標(biāo)識記錄防雷擊訪談物理安全負(fù)責(zé)人，詢問為防止雷擊事件采取了哪些防護(hù)措施，機(jī)房建筑是否設(shè)置了避雷裝置，現(xiàn)場勘查使用情況防火訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否設(shè)置了滅火設(shè)備，是否設(shè)置了自動(dòng)檢測火情、自動(dòng)報(bào)警、自動(dòng)滅火的自動(dòng)消防系統(tǒng)，檢查防火材料是否符合相關(guān)技術(shù)標(biāo)準(zhǔn)防水和防潮訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否部署了防水防潮措施，檢查相關(guān)設(shè)施使用情況防靜電應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房主要設(shè)備是否采取必要的防靜電措施，現(xiàn)場檢查防靜電設(shè)施使用情況溫濕度控制應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否配備了溫濕度自動(dòng)調(diào)節(jié)設(shè)施，檢查設(shè)備是否正常運(yùn)轉(zhuǎn)，查看運(yùn)行記錄電力供應(yīng)訪談物理安全負(fù)責(zé)人，詢問計(jì)算機(jī)系統(tǒng)供電線路上是否設(shè)置了穩(wěn)壓器和過電壓防護(hù)設(shè)備；是否設(shè)置了短期備用電源設(shè)備，供電時(shí)間是否滿足系統(tǒng)最低電力供應(yīng)需求是否建立備用供電系統(tǒng)電磁防護(hù)訪談物理安全負(fù)責(zé)人，詢問是否有防止外界電磁干擾和設(shè)備寄生耦合干擾的措施（包括設(shè)備外殼有良好的接地，電源線和通信線纜隔離等）；是否對處理秘密級信息的設(shè)備和磁介質(zhì)采取了防止電磁泄漏的措施網(wǎng)絡(luò)安全檢查項(xiàng)檢查實(shí)施手段結(jié)構(gòu)安全訪談網(wǎng)絡(luò)管理員網(wǎng)絡(luò)設(shè)備性能，流量峰值，網(wǎng)絡(luò)劃分，網(wǎng)段間路由策略與隔離措施等，檢查結(jié)構(gòu)保護(hù)策略的實(shí)施情況訪問控制訪談安全管理員，訪問控制策略，檢查網(wǎng)絡(luò)訪問控制設(shè)備使用與配置情況，此項(xiàng)會(huì)有詳細(xì)的網(wǎng)絡(luò)邊界檢查，訪問權(quán)限劃分與訪問控制粒度檢查安全審計(jì)訪談安全申計(jì)員，對申計(jì)記錄的處理方式有哪些；檢查申計(jì)設(shè)備使用情況與審計(jì)粒度邊界完整性檢查訪談安全管理員，詢問是否對內(nèi)部用戶私自連接到外部網(wǎng)絡(luò)的行為以及非授權(quán)設(shè)備私自接入到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行監(jiān)控，檢查設(shè)備使用情況，檢測網(wǎng)絡(luò)邊界完整性。

入侵防范訪談安全管理員，詢問網(wǎng)絡(luò)入侵防范措施有哪些，檢查入侵防范設(shè)備具體功能，規(guī)則庫，檢測策略，報(bào)警策略惡意代碼防范訪談安全管理員，詢問網(wǎng)絡(luò)惡意代碼防范措施是什么；詢問惡意代碼庫的更新策略，檢查各系統(tǒng)，網(wǎng)絡(luò)邊界處的惡意代碼防范設(shè)備運(yùn)行情況網(wǎng)絡(luò)設(shè)備防護(hù)訪談網(wǎng)絡(luò)管理員，詢問網(wǎng)絡(luò)設(shè)備的口令策略，檢查網(wǎng)絡(luò)設(shè)備的登錄鑒別方式與權(quán)限劃分主機(jī)安全檢査項(xiàng)檢査實(shí)施手段身份鑒別訪談系統(tǒng)管理員和數(shù)據(jù)庫管理員，詢問操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的身份標(biāo)識與鑒別機(jī)制采取何種措施實(shí)現(xiàn)，現(xiàn)場檢查權(quán)限劃分，帳號分配和密碼策略訪問控制檢查主要服務(wù)器操作系統(tǒng)的訪問控制策略，訪問權(quán)限，是否采用最小授權(quán)原則安全審計(jì)訪談安全審計(jì)員，詢問主機(jī)操作系統(tǒng)，數(shù)據(jù)庫系統(tǒng)等終端安全審計(jì)朿略，檢查申計(jì)系統(tǒng)運(yùn)行狀態(tài)和申計(jì)記錄是否付合安全申計(jì)朿略剩余信息保護(hù)檢查主要操作系統(tǒng)和主要數(shù)據(jù)庫管理系統(tǒng)是否明確用戶的鑒別信息存儲(chǔ)空間被釋放或再分配給其他用戶前的處理方法和過程；是否明確文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲(chǔ)空間被釋放或重新分配給其他用戶前的處理方法和過程入侵防范訪談系統(tǒng)管理員，詢問是否采取入侵防范措施，檢查防范系統(tǒng)運(yùn)行情況，檢查主要系統(tǒng)的補(bǔ)丁更新惡意代碼防范訪談系統(tǒng)安全管理員，詢問主機(jī)系統(tǒng)是否采取惡意代碼實(shí)時(shí)檢測與查殺措施，部署范圍，運(yùn)行情況，規(guī)則庫更新情況資源控制檢查主要服務(wù)器操作系統(tǒng)，查看是否配置了主機(jī)資源使用控制策略。檢查運(yùn)行資源消耗狀態(tài)應(yīng)用安全檢査項(xiàng)檢査實(shí)施手段身份鑒別訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否采取身份標(biāo)識和鑒別措施，具體措施有哪些；系統(tǒng)采取何種措施防止身份鑒別信息被冒用檢查主要應(yīng)用系統(tǒng)的身份鑒別力度與過程。訪問控制訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否提供訪問控制措施，檢查訪問控制策略與控制粒度。安全審計(jì)訪談安全審計(jì)員，詢問應(yīng)用系統(tǒng)是否有安全審計(jì)功能，對事件進(jìn)行審計(jì)的策略是什么，檢查審計(jì)記錄，查看審計(jì)覆蓋范圍。

剩余信息保護(hù)訪談應(yīng)用系統(tǒng)管理員，詢問系統(tǒng)是否采取措施保證對存儲(chǔ)介質(zhì)中的殘余信息進(jìn)行刪除，檢查測試清除功能。通信完整性訪談安全管理員，詢問應(yīng)用系統(tǒng)是否具有在數(shù)據(jù)傳輸過程中保護(hù)其完整性的措施，具體措施是什么；檢查是否采用密碼加密技術(shù)。通信保密性訪談安全管理員，詢問應(yīng)用系統(tǒng)數(shù)據(jù)在通信過程中是否米取保密措施，具體措施有哪些，檢查系統(tǒng)在通信過程中，對整個(gè)報(bào)文或會(huì)話過程進(jìn)行加密的功能是否有效。抗抵賴應(yīng)訪談安全員，詢問系統(tǒng)是否具有抗抵賴的措施，具體措施有哪些；查看是否提供數(shù)據(jù)收發(fā)證據(jù)的功能。軟件容錯(cuò)訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否具有保證軟件容錯(cuò)能力的措施，具體措施有哪些；通過人機(jī)接口檢查是否檢查數(shù)據(jù)有效性，是否提供故障恢復(fù)功能。資源控制訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否有資源控制具體措施，檢查資源控制水平與控制粒度數(shù)據(jù)備份與恢復(fù)檢查項(xiàng)檢查實(shí)施手段數(shù)據(jù)完整性訪談安全管理員，詢問應(yīng)用系統(tǒng)數(shù)據(jù)在存儲(chǔ)和傳輸過程中是否有完整性保證措施，檢查具體措施和保護(hù)措施的有效性數(shù)據(jù)保密性訪談網(wǎng)絡(luò)管理員，系統(tǒng)管理員，安全管理員，數(shù)據(jù)庫管理員，詢問主要網(wǎng)絡(luò)設(shè)備，終端及主機(jī)，安全設(shè)備，是否采用了加密技術(shù)保證傳輸和存儲(chǔ)數(shù)據(jù)的機(jī)密性，檢查其加密措施的有效性。備份和恢復(fù)訪談網(wǎng)絡(luò)管理員，數(shù)據(jù)庫管理員、系統(tǒng)管理員和安全管理員，是否制定備份策略，檢查主要設(shè)備的關(guān)鍵數(shù)據(jù)的備份情況，備份頻率與完整性。2.安全管理評估安全管理方面的檢查主要針對安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理五個(gè)方面的安全管理內(nèi)容進(jìn)行安全評估。安全管理制度

檢査項(xiàng)檢査實(shí)施手段管理制度訪談安全主管，詢問機(jī)構(gòu)是否形成全面的信息安全管理制度體系，檢查管理制度的安全方針，策略，制度內(nèi)容，相關(guān)操作規(guī)程與維護(hù)手冊，檢查其覆蓋范圍。制定和發(fā)布訪談安全主管，詢問是否有專門的部門或人員負(fù)責(zé)制定安全管理制度，檢查其評審發(fā)布過程，格式統(tǒng)一與版本控制。檢查相關(guān)文檔是否經(jīng)管理層授權(quán)與簽章。評審和修訂訪談安全主管，管理制度的制定，評審與檢查是否是動(dòng)態(tài)的，檢查制度評審周期。安全管理機(jī)構(gòu)檢査項(xiàng)檢査實(shí)施手段崗位設(shè)置訪談安全主管，詢問是否設(shè)立指導(dǎo)和管理信息安全的專職部門，檢查其安全管理部門的主管人員是否得到管理層授權(quán)，其職責(zé)劃分是否明確清晰。人員配備訪談安全主管，詢問各個(gè)安全管理崗位人員的配備情況，檢查關(guān)鍵崗位人員是否是專職，特別重要的崗位是否達(dá)到2人或以上共同管理。授權(quán)和審批訪談安全主管，檢查審批人員，部門職責(zé)，審批周期，審批職能是否得到管理層授權(quán)，審批與授權(quán)文件是否有簽章。溝通和合作訪談安全主管，詢問是否建立與外單位（公安機(jī)關(guān)、電信公司、兄弟單位、供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織等）的溝通、合作機(jī)制。檢查其會(huì)議記錄，合作協(xié)議等。審核和檢查訪談安全主管，詢問是否組織人員定期對信息系統(tǒng)進(jìn)行全面安全檢查，檢查其檢查周期，內(nèi)容，方式，人員。人員安全管理檢査項(xiàng)檢査實(shí)施手段人員錄用訪談安全主管，詢問是否有專門的部門或人員負(fù)責(zé)人員的錄用工作，檢查其人事錄用文檔，人事入職材料，技能考核方案，以及相關(guān)崗位的保密協(xié)議。

人員離崗訪談安全主管，詢問對即將離崗人員有哪些控制方法，檢查調(diào)崗離崗記錄，交接手續(xù)，軟硬件變更清單。人員考核訪談安全主管，詢問是否有人負(fù)責(zé)定期對各個(gè)崗位人員進(jìn)行安全技能及安全知識的考核，查看考核內(nèi)容與考核周期。安全意識教育和培訓(xùn)訪談安全主管，詢問是否制定培訓(xùn)計(jì)劃，檢查培訓(xùn)內(nèi)容，培訓(xùn)計(jì)劃文檔，是否制定懲戒措施。外部人員訪問管理訪談安全管理員，詢問對外部人員訪問重要區(qū)域采取了哪些安全措施，檢查訪問記錄，訪問申請審批文檔。系統(tǒng)建設(shè)管理檢査項(xiàng)檢査實(shí)施手段系統(tǒng)定級應(yīng)訪談安全主管，詢問確定信息系統(tǒng)安全保護(hù)等級的方法是否參照定級指南的指導(dǎo)，定級過程是否有書面扌田述，查看定級備案文檔，檢查專家論證文檔，查看是否有專家對定級結(jié)果的論證意見。安全方案設(shè)計(jì)訪談安全主管，詢問是否授權(quán)專門的部門對信息系統(tǒng)的安全建設(shè)進(jìn)行總體規(guī)劃，檢查其建設(shè)方案是否符合總體安全策略，是否獲得管理層批準(zhǔn)。產(chǎn)品采購和使用訪談安全主管，詢問是否有專門的部門負(fù)責(zé)產(chǎn)品的米購，檢查其米購清單審核記錄，密碼產(chǎn)品是否符合國家密碼相關(guān)使用和管理規(guī)定。自行軟件開發(fā)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問是否進(jìn)行自主開發(fā)軟件，檢查其開發(fā)文檔，測試記錄，操作指南，檢查其安全編碼規(guī)范。外包軟件開發(fā)應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問軟件交付前是否依據(jù)開發(fā)要求的技術(shù)指標(biāo)對軟件功能和性能等進(jìn)行驗(yàn)收測試，軟件安裝之前是否檢測軟件中的惡意代碼。檢查其需求分析說明書、軟件設(shè)計(jì)說明書、軟件操作手冊、軟件源代碼文檔等軟件開發(fā)文檔和使用指南工程實(shí)施應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問是否有專門部門或人員負(fù)責(zé)工程實(shí)施管理工作，檢查其階段性工程文檔。測試驗(yàn)收訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問是否有專門的部門負(fù)責(zé)測試驗(yàn)收工作，檢查驗(yàn)收過程文檔，是否有第三方評審機(jī)構(gòu)人員的簽章。

系統(tǒng)父付訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問是否有專門的部門負(fù)責(zé)系統(tǒng)父接工作，檢查父付文檔，檢查培訓(xùn)記錄。系統(tǒng)備案訪談安全主管，詢問是否有專門的部門或人員負(fù)責(zé)管理系統(tǒng)定級的相關(guān)文檔，由何部門/何人負(fù)責(zé)；檢查備案材料與主管部門備案文檔。系統(tǒng)運(yùn)維管理檢查項(xiàng)檢查實(shí)施手段環(huán)境管理訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問是否有專門的部門或人員對機(jī)房基礎(chǔ)設(shè)施進(jìn)行定期維護(hù)，檢查維護(hù)記錄，工單。資產(chǎn)管理訪談安全主管，詢問是否有資產(chǎn)管理的責(zé)任人員或部門，檢查資產(chǎn)清單與資產(chǎn)管理制度。介質(zhì)管理應(yīng)訪談資產(chǎn)管理員，詢問介質(zhì)的存放環(huán)境是否米取保護(hù)措施防止介質(zhì)被盜、被毀、介質(zhì)內(nèi)存儲(chǔ)信息被未授權(quán)修改以及非法泄漏等，是否有專人管理，檢查定期檢查記錄，介質(zhì)標(biāo)識，使用記錄。設(shè)備管理訪談資產(chǎn)管理員，詢問是否有專門的部門或人員對各種設(shè)備、線路進(jìn)行定期維護(hù)，對各類測試工具進(jìn)行有效性檢查，檢查維護(hù)工單，日志記錄，審批記錄。監(jiān)控管理和安全管理中心訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問是否建立安全管理中心，檢查檢測范圍覆蓋，檢查檢測記錄，處理措施，分析報(bào)告。網(wǎng)絡(luò)安全管理訪談安全主管，詢問是否指定專人負(fù)責(zé)維護(hù)網(wǎng)絡(luò)運(yùn)行日志、監(jiān)控記錄和分析處理報(bào)警信息等網(wǎng)絡(luò)安全管理工作，檢查漏洞掃描周期，掃描記錄，網(wǎng)絡(luò)設(shè)備口令強(qiáng)度，更新周期，補(bǔ)丁更新狀態(tài)，審計(jì)日^志。系統(tǒng)安全管理訪談安全主管，詢問是否指定專人對系統(tǒng)進(jìn)行管理，對系統(tǒng)管理員用戶是否進(jìn)行分類，明確各個(gè)角色的權(quán)限、責(zé)任和風(fēng)險(xiǎn)，權(quán)限設(shè)定是否遵循最小授權(quán)原則，檢查漏洞掃描記錄，掃描周期，漏洞處理記錄，日志審計(jì)記錄。惡意代碼防范管理訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問是否對員工進(jìn)行基本惡意代碼防范意識教育，檢查惡意代碼庫升級情況。密碼管理應(yīng)訪談安全管理員，詢問密碼技術(shù)和產(chǎn)品的使用是否遵照國家密碼管理規(guī)定，檢查是否具有密碼使用管理制度。變更管理訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問是否制定變更方案指導(dǎo)系統(tǒng)執(zhí)行變更，檢查變更記錄，變更審批記錄。備份與恢復(fù)管理應(yīng)訪談系統(tǒng)管理員、數(shù)據(jù)庫管理員和網(wǎng)絡(luò)管理員，詢問是否識別出需要定期備份的業(yè)務(wù)信息，檢查其備份范圍，備份周期備份方式。安全事件處置訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問是否告知用戶在發(fā)現(xiàn)安全弱點(diǎn)和可疑事件時(shí)應(yīng)及時(shí)報(bào)告，檢查安全事件記錄，分析文檔，處置文檔，等級劃分文檔等。應(yīng)急預(yù)案管理訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問是否制定不同事件的應(yīng)急預(yù)案，資金來源是否能夠保障，是否對系統(tǒng)相關(guān)人員進(jìn)行應(yīng)急預(yù)案培訓(xùn)，檢查培訓(xùn)內(nèi)容，是否定期進(jìn)行應(yīng)急演練，查看應(yīng)急預(yù)案文檔。一、風(fēng)險(xiǎn)評價(jià)原則評估工作必須在充分保證被評估系統(tǒng)的業(yè)務(wù)可持續(xù)性，數(shù)據(jù)機(jī)密性與完整性的前提下進(jìn)行，不對被評估系統(tǒng)內(nèi)任何主機(jī)，服務(wù)器，網(wǎng)絡(luò)設(shè)備和信息安全設(shè)備在結(jié)構(gòu)，承載的數(shù)據(jù)內(nèi)容和配置上的任何未授權(quán)更改。（評估過程中系統(tǒng)自動(dòng)生成的日志記錄等除外）。風(fēng)險(xiǎn)描述與分析對于檢查工作中可能會(huì)產(chǎn)生的風(fēng)險(xiǎn)被歸結(jié)為以下三類：人工上機(jī)測試對系統(tǒng)正常運(yùn)行的影響?工具掃描測試對系統(tǒng)正常運(yùn)行的影響實(shí)施過程中敏感信息的泄漏人工上機(jī)測試對系統(tǒng)正常運(yùn)行的影響人工上機(jī)測試主要是根據(jù)實(shí)施方案中要求的評估內(nèi)容，對待測系統(tǒng)進(jìn)行現(xiàn)場的檢查測試，測試過程中前期主要采用訪談方式獲取系統(tǒng)現(xiàn)狀信息，之后結(jié)合訪談結(jié)果采用實(shí)地查看與人工上機(jī)測試進(jìn)行符合性檢查。具體信息系統(tǒng)資產(chǎn)映射到安全技術(shù)方面的檢查中，主要表現(xiàn)為以下一些軟硬件。主機(jī)與服務(wù)器網(wǎng)絡(luò)與安全設(shè)備物理環(huán)境辦公PC路由與父換設(shè)備訪問控制配置管理終端調(diào)制解調(diào)設(shè)備防雷防靜電應(yīng)用服務(wù)器訪問控制與隔離設(shè)備電磁防護(hù)設(shè)備數(shù)據(jù)庫服務(wù)器入侵檢測與防范溫濕度控制系統(tǒng)漏洞掃描UPS設(shè)備主機(jī)與服務(wù)器人工上機(jī)測試中的風(fēng)險(xiǎn)與控制主機(jī)與服務(wù)機(jī)在進(jìn)行人工上機(jī)測試中，對于WINDOWS與類UNIX操作系統(tǒng)采用不同的測試方式，如具有GUI界面的采用鼠標(biāo)點(diǎn)擊（個(gè)別需查看內(nèi)容無GUI接口的需進(jìn)入后臺利用鍵盤輸入查看命令）但在檢查內(nèi)容上，主要是進(jìn)行如系統(tǒng)配置，安裝程序列表，安全項(xiàng)配置等項(xiàng)目的查看性操作。例如進(jìn)入程序列表查看是否安裝防病毒查殺軟件，軟件是否運(yùn)行，該軟件的版本號與最后更新時(shí)間。系統(tǒng)配置方面例如，查看主機(jī)系統(tǒng)是否與各可能與之通信的網(wǎng)元設(shè)備間是否采用邏輯地址與物理地址綁定。以下例舉一些檢查過程中使用到的典型的查看方式：例：WINDOWS系統(tǒng)中SYSTEM_CMD下：ARP-A查看IP與MAC地址表是否為靜態(tài)Netuser/localgroup查看用戶列表與本地組圖形界面下進(jìn)入管理菜單查看帳戶與組權(quán)限，進(jìn)入注冊表查看各帳戶名下的SID值等。類UNIX系統(tǒng)中Shell下：（對于不同廠家與版本的類UNIX系統(tǒng)會(huì)存在命令格式的不同）：cd/ls/進(jìn)各目錄下查看已安裝或編譯進(jìn)系統(tǒng)的各文件與權(quán)限vi/cat/mor/less查看文本文件（如軟件配置文件文本）獲取必要信息，如內(nèi)核版本號等。對于命令行界面下的類UNIX系統(tǒng)中只執(zhí)行查看命令，對于系統(tǒng)返回打印的信息采用外部人工記錄。風(fēng)險(xiǎn)分析：對于主機(jī)及和服務(wù)器進(jìn)行上機(jī)測試中，主要是進(jìn)行一些系統(tǒng)信息的查看操作，對于不同類型的操作系統(tǒng)下查看命令都會(huì)消耗本地的運(yùn)算與存儲(chǔ)資源。我們大部分的命令都是內(nèi)部命令，通過人機(jī)接口輸入后，由操作系統(tǒng)內(nèi)核直接處理，之后將返回結(jié)果呈現(xiàn)在顯示設(shè)備上。此處我們將產(chǎn)生系統(tǒng)資源占用上升，系統(tǒng)性能下降等風(fēng)險(xiǎn)，直接表現(xiàn)在操作場景中，在自身系統(tǒng)負(fù)載較高的情況下，可能會(huì)導(dǎo)致主機(jī)直接死機(jī)或者假死，系統(tǒng)中的某個(gè)應(yīng)用進(jìn)程或者系統(tǒng)進(jìn)程假死或異常終止，在系統(tǒng)性能冗余較大的情況下，此種負(fù)載的增加一般不會(huì)對系統(tǒng)持續(xù)性業(yè)務(wù)造成影響。風(fēng)險(xiǎn)控制：檢查過程中查看內(nèi)容均國家相關(guān)技術(shù)標(biāo)準(zhǔn)與實(shí)施規(guī)范合理制定，我司安全工程師均有豐富的政府行業(yè)信息系統(tǒng)風(fēng)險(xiǎn)評估經(jīng)驗(yàn)，實(shí)際操作中嚴(yán)格按照相關(guān)要求中描述的各類型命令執(zhí)行操作。為了控制此種風(fēng)險(xiǎn)，進(jìn)行此類檢查操作前，系統(tǒng)管理員應(yīng)預(yù)先備份相關(guān)系統(tǒng)啟動(dòng)必須的配置文件，主機(jī)宕機(jī)或應(yīng)用程序異常終止時(shí)及時(shí)恢復(fù)。根據(jù)主機(jī)硬件配置的不同，對于單點(diǎn)主機(jī)的重新啟動(dòng)與功能恢復(fù)在5分鐘以內(nèi)。（包含某些系統(tǒng)的應(yīng)用支撐服務(wù)沒有配置為自啟動(dòng)的）網(wǎng)絡(luò)與安全設(shè)備人工上機(jī)測試中的風(fēng)險(xiǎn)與控制網(wǎng)絡(luò)與安全設(shè)備進(jìn)行人工驗(yàn)證性檢查中，根據(jù)前期獲取的網(wǎng)絡(luò)拓?fù)渑c相關(guān)設(shè)備的功能描述進(jìn)行人工驗(yàn)證檢查，對于產(chǎn)品部署中已配置邏輯地址的網(wǎng)絡(luò)與安全設(shè)備將采用遠(yuǎn)程管理終端進(jìn)行遠(yuǎn)程查看，檢查是否與前期訪談內(nèi)容一致，是否滿足相關(guān)檢查指標(biāo)的基本要求。例如對交換機(jī)進(jìn)行特權(quán)模式下登錄，查看交換機(jī)的相關(guān)配置信息，對防火墻遠(yuǎn)程使用安全管理員登錄，查看防火前自身訪問控制項(xiàng)，配置信息，與訪問控制策略描述信息。對所有待測網(wǎng)絡(luò)與安全設(shè)備的人工驗(yàn)證檢測中均為信息查看操作，不采取任何功能配置上的任何未授權(quán)更改。下面例舉一些主流設(shè)備的典型查看命令：例：思科網(wǎng)絡(luò)設(shè)備SHOW系列命令showrunning-config;showiparp…華為網(wǎng)絡(luò)設(shè)備DISPLAY系列命令displayaclconfigall；displayipsec…對于防火墻等安全設(shè)備的配置信息查看，采用遠(yuǎn)程登錄方式，在圖形界面進(jìn)行各項(xiàng)檢查。風(fēng)險(xiǎn)分析：在對于網(wǎng)絡(luò)與安全設(shè)備的人工操作中，主要是通過執(zhí)行一些配置查看命令以完成檢查，因主流品牌的交換路由設(shè)備技術(shù)成熟，內(nèi)置OS與專用芯片運(yùn)算能力較高，在此類操作中極少出現(xiàn)因此造成的宕機(jī)或者終端服務(wù)。此過程中存在的風(fēng)險(xiǎn)主要來自于檢查人員的誤操作（誤操作和意外觸碰造成的不明斷路或者虛接）。風(fēng)險(xiǎn)控制：在對網(wǎng)絡(luò)與安全設(shè)備的人工檢查中，因?yàn)橹髁骶W(wǎng)絡(luò)設(shè)備的查詢命令與配置命令語法區(qū)別明顯，一般出現(xiàn)未授權(quán)配置更改的幾率極低。在對網(wǎng)絡(luò)與安全設(shè)備的人工檢查過程中，由于設(shè)備持續(xù)運(yùn)行長，或者架設(shè)后各物理接口長時(shí)間無更改或者維護(hù)，虛接現(xiàn)象普遍的存在，一定幾率會(huì)出現(xiàn)觸碰導(dǎo)致的意外中斷。為了有效控制此類風(fēng)險(xiǎn)，避免網(wǎng)絡(luò)設(shè)備出現(xiàn)通信中斷或者未經(jīng)授權(quán)的配置更改，網(wǎng)絡(luò)管理員在檢查工作開展前應(yīng)該嚴(yán)格查看各線路與接口的接駁狀態(tài)，對于由于虛接常常出現(xiàn)意外觸碰導(dǎo)致中斷的網(wǎng)絡(luò)設(shè)備，應(yīng)該及時(shí)在人工測試前更換接頭或線纜。檢查工作開展前，網(wǎng)絡(luò)管理員與安全管理員應(yīng)備份網(wǎng)絡(luò)設(shè)備的所有配置文件，在檢查過程中應(yīng)實(shí)時(shí)陪同，以便在當(dāng)檢查人員出現(xiàn)誤操作時(shí)及時(shí)糾正，或在未經(jīng)授權(quán)的配置更改后及時(shí)恢復(fù)。對于可以配置遠(yuǎn)程IP進(jìn)行遠(yuǎn)程查看的設(shè)備，盡可能使用遠(yuǎn)程終端進(jìn)行檢查操作。設(shè)備如遇恢復(fù)重啟，意外停機(jī)重啟，此過程根據(jù)具體網(wǎng)絡(luò)與安全設(shè)備配置不同，一般啟動(dòng)恢復(fù)時(shí)間在5分鐘以內(nèi)。物理環(huán)境人工檢查中的風(fēng)險(xiǎn)與控制在對物理環(huán)境進(jìn)行人工驗(yàn)證性檢查中，根據(jù)前期訪談獲取的相關(guān)設(shè)備與部署描述信息進(jìn)行人工驗(yàn)證檢查，主要采用現(xiàn)場勘查方式進(jìn)行檢查。例如對于防火系統(tǒng)，門禁系統(tǒng)，接地設(shè)施，溫濕度控制儀表，UPS設(shè)備的現(xiàn)場查看。技術(shù)方案中無對待測控制項(xiàng)的性能和功能上實(shí)驗(yàn)性測試內(nèi)容。對于檢查過程中獲取的相關(guān)信息采用人工記錄的方式。風(fēng)險(xiǎn)分析：在對物理環(huán)境的人工驗(yàn)證檢查中，因?yàn)閱我坏默F(xiàn)場勘查方式，所以實(shí)施過程中僅會(huì)出現(xiàn)未授權(quán)操作導(dǎo)致可用性暫時(shí)喪失，或臨時(shí)中斷。風(fēng)險(xiǎn)控制：為了對上述風(fēng)險(xiǎn)進(jìn)行有效控制，現(xiàn)場勘查實(shí)施過程中，要求相關(guān)安全管理人員實(shí)時(shí)陪同，嚴(yán)禁實(shí)施人員對物理環(huán)境中承載的各項(xiàng)設(shè)施設(shè)備進(jìn)行未授權(quán)的任何操作。工具測試對系統(tǒng)正常運(yùn)行的影響風(fēng)險(xiǎn)評估過程中，風(fēng)險(xiǎn)識別階段的輸出結(jié)果是后期進(jìn)行風(fēng)險(xiǎn)分析的主要依據(jù)，根據(jù)國內(nèi)各機(jī)構(gòu)與主管部門的實(shí)施指南中，也將通過工具掃描以識別系統(tǒng)脆弱性作為主要的一種技術(shù)手段。現(xiàn)有工具掃描主要通過內(nèi)部和外部兩種途徑進(jìn)行，內(nèi)部掃描根據(jù)掃描范圍大小一般為2小時(shí)內(nèi)，外部掃描過程會(huì)持續(xù)5-20小時(shí)。實(shí)施掃描過程中會(huì)對系統(tǒng)正常運(yùn)行造成影響，根據(jù)我司采用的掃描工具功能特點(diǎn)，具體會(huì)造成的影響的包括：訪問控制設(shè)備路由交換設(shè)備主機(jī)與服務(wù)器訪問控制設(shè)備工具測試中的風(fēng)險(xiǎn)與控制訪問控制設(shè)備的安全風(fēng)險(xiǎn)，主要在外部工具測試過程中，外部測試使用的掃描器主要針對所有應(yīng)用系統(tǒng)在公共網(wǎng)絡(luò)地址上監(jiān)聽的服務(wù)。掃描器按照其功能主要有兩類；對應(yīng)用層數(shù)據(jù)進(jìn)行基于安全特征庫的安全掃描器與基與會(huì)話連接處理能力的性能壓力測試。風(fēng)險(xiǎn)分析：在對應(yīng)用系統(tǒng)進(jìn)行外部掃描的過程中，因?yàn)樗袛?shù)據(jù)包都將通過防火墻處理后送達(dá)內(nèi)部服務(wù)器，所有防火墻在此段時(shí)間內(nèi)的系統(tǒng)負(fù)載將增大。對于不同硬件架構(gòu)的防火墻系統(tǒng)，其處理能力會(huì)有比較大的差異。根據(jù)防火墻自身安全策略的設(shè)置不同，反映在業(yè)務(wù)連續(xù)性上的表現(xiàn)也將不同。百兆防火墻設(shè)備，一般都采用X86硬件架構(gòu)，軟硬結(jié)合的系統(tǒng)結(jié)構(gòu)，當(dāng)掃描器只對系統(tǒng)的應(yīng)用數(shù)據(jù)進(jìn)行安全掃描時(shí)，對于防火墻處理能力要求不高，防火墻只會(huì)出現(xiàn)一段時(shí)間內(nèi)負(fù)載提升，對與部署了安全管理中心的信息系統(tǒng)，管理中心會(huì)出現(xiàn)安全報(bào)警。當(dāng)掃描器開啟壓力測試功能的情況下，掃描端將發(fā)送大量偽造的合法連接請求，如果防火墻開啟了包狀態(tài)檢測功能，防火墻處理字段長度將增加，內(nèi)存連接隊(duì)列中將出現(xiàn)大量待維護(hù)連接oX86芯片在處理運(yùn)算的過程中會(huì)出現(xiàn)內(nèi)存與運(yùn)算資源占用率大幅度提升，最終會(huì)導(dǎo)致防火墻中斷服務(wù)應(yīng)用系統(tǒng)外部服務(wù)中斷。對于部署了防火墻雙機(jī)熱備的網(wǎng)絡(luò)，中斷防火墻會(huì)自動(dòng)旁路，備用防火墻啟動(dòng)。當(dāng)出現(xiàn)中斷情況，根據(jù)防火墻硬件配置與部署方式重新啟動(dòng)一般在5-10分鐘內(nèi)完成。千兆防火墻設(shè)備，一般采用專用網(wǎng)絡(luò)處理器和專用集成電路的硬件架構(gòu)，理論上可以承受掃描器的應(yīng)用掃描與性能壓力測試。但根據(jù)防火墻具體功能設(shè)置與安全性設(shè)置，例如一些類型防火墻系統(tǒng)也加入了基于知名端口的應(yīng)用層數(shù)據(jù)檢測功能，對此應(yīng)用層傳輸數(shù)據(jù)的深度檢測會(huì)加大千兆防火墻的系統(tǒng)負(fù)載，可能會(huì)導(dǎo)致防火墻的中斷，或自動(dòng)旁路。當(dāng)出現(xiàn)中斷情況，根據(jù)防火墻硬件配置與部署方式重新啟動(dòng)一般在5分鐘內(nèi)完成。風(fēng)險(xiǎn)控制：對業(yè)務(wù)連續(xù)性要求較高的應(yīng)用系統(tǒng)，外部掃描測試過程中，禁止使用帶有壓力性能測試功能的掃描器，在外部測試前，檢查測試人員需獲得組織管理層的書面許可。測試應(yīng)在安排在應(yīng)用系統(tǒng)訪問量稀少，網(wǎng)絡(luò)冗余較大的時(shí)間段內(nèi)，測試只允許在組織批準(zhǔn)的的時(shí)間段內(nèi)系統(tǒng)管理員與安全管理員測試前備份訪問控制設(shè)備的配置文件與安全策略。要求管理員在測試時(shí)段內(nèi)實(shí)時(shí)監(jiān)控設(shè)備性能，在出現(xiàn)或即將出現(xiàn)中斷的情況下，實(shí)時(shí)與外部測試人員溝通停止或調(diào)整測試方式。出現(xiàn)因訪問控制中斷而導(dǎo)致的業(yè)務(wù)應(yīng)用中斷時(shí)，應(yīng)由管理員及時(shí)恢復(fù)。路由交換設(shè)備工具測試中的風(fēng)險(xiǎn)與控制路由與交換設(shè)備的安全風(fēng)險(xiǎn)，主要是內(nèi)部測試階段。漏洞掃描器基于漏洞特征的掃描方式會(huì)對待測網(wǎng)絡(luò)設(shè)備發(fā)起會(huì)話，由掃描器構(gòu)造特殊數(shù)據(jù)包進(jìn)行掃描，但此種掃描僅處于信息獲取階段，例如SNMP查詢包，弱口令試探，網(wǎng)絡(luò)設(shè)備自身系統(tǒng)的版本號與常見漏洞等。此類掃描過程中網(wǎng)絡(luò)設(shè)備會(huì)面臨處理性能下降方面的風(fēng)險(xiǎn)。風(fēng)險(xiǎn)分析：漏洞掃描工具對網(wǎng)絡(luò)設(shè)備傳輸?shù)臄?shù)據(jù)都是極小的，并且此類數(shù)據(jù)掃描都是不具備特權(quán)權(quán)限的，不會(huì)造成未授權(quán)的配置更改。系統(tǒng)建設(shè)中也對于網(wǎng)絡(luò)設(shè)備的選擇上性能都會(huì)留有冗余。掃描過程中對網(wǎng)絡(luò)設(shè)備的資源占用率極低。掃描中網(wǎng)絡(luò)設(shè)備發(fā)生中斷的幾率極低。風(fēng)險(xiǎn)控制：掃描前網(wǎng)絡(luò)管理員應(yīng)備份配置數(shù)據(jù)，掃描過程中，要求網(wǎng)絡(luò)管理員實(shí)時(shí)監(jiān)測網(wǎng)絡(luò)負(fù)載，網(wǎng)絡(luò)中出現(xiàn)異常后，工程師及時(shí)停止掃描。出現(xiàn)網(wǎng)絡(luò)中斷情況管理員及時(shí)恢復(fù)，在配置無變更的前提下，現(xiàn)有主流的網(wǎng)絡(luò)設(shè)備通過重新啟動(dòng)，一般會(huì)在五分鐘內(nèi)恢復(fù)。主機(jī)與服務(wù)器工具測試中的風(fēng)險(xiǎn)與控制由于外部工具測試主要針對對外提供服務(wù)的應(yīng)用的服務(wù)器，例如郵件服務(wù)器，WEB應(yīng)用系統(tǒng)，F(xiàn)TP服務(wù)器等，在外部工具測試時(shí)，由于會(huì)對服務(wù)端發(fā)起大量連接請求，應(yīng)用系統(tǒng)性能冗余較低時(shí)，會(huì)面臨突然服務(wù)器宕機(jī)，或者重要應(yīng)用程序進(jìn)程僵死的風(fēng)險(xiǎn)。風(fēng)險(xiǎn)分析：外部檢測工具主要使用針對WEB應(yīng)用的掃描工具,掃描主機(jī)會(huì)對WEB應(yīng)用服務(wù)器的監(jiān)聽端口發(fā)起大量連接請求，并對域內(nèi)所有URL進(jìn)行輪詢方式的深度掃描，此類掃描會(huì)造成服務(wù)器負(fù)載大幅提升，會(huì)使中間件處理進(jìn)程僵死，表現(xiàn)在外部為無法訪問或出現(xiàn)延遲。內(nèi)部使用漏洞掃描工具掃描主要為收集待測系統(tǒng)的常見漏洞信息，其原理是根據(jù)漏洞特征庫發(fā)起模擬滲透攻擊，如IPC$空會(huì)話，portscan掃描，其構(gòu)造的攻擊包不具備破壞其可用性的功能。對系統(tǒng)負(fù)載增加極低。（但部署了入侵檢測系統(tǒng)（IDS）的網(wǎng)絡(luò)，IDS主機(jī)會(huì)報(bào)風(fēng)險(xiǎn)控制：外部掃描工具的強(qiáng)度是可以配置調(diào)整的，例如限制掃描線程數(shù)量。使用的檢查掃描工具都為國內(nèi)外先進(jìn)產(chǎn)品，經(jīng)過大量的評估工作實(shí)踐。為了控制應(yīng)用系統(tǒng)中斷的安全風(fēng)險(xiǎn)，必須限制掃描工具強(qiáng)度，協(xié)調(diào)安排掃描時(shí)間，要求網(wǎng)絡(luò)管理員與系統(tǒng)管理進(jìn)行實(shí)時(shí)監(jiān)控，對重要數(shù)據(jù)提前備份。對于特別重要的應(yīng)用系統(tǒng)，要求集成商與外包廠家的工程師在現(xiàn)場參與實(shí)時(shí)監(jiān)測。當(dāng)遇到宕機(jī)，或中間件進(jìn)程僵死系統(tǒng)無法訪問時(shí)，應(yīng)立即通知評測工程師停止掃描工作，由各管理員迅速重新啟動(dòng)主機(jī)或立即重新啟動(dòng)相關(guān)程序進(jìn)程。根據(jù)應(yīng)用系統(tǒng)部署情況不同，中斷至恢復(fù)應(yīng)保證在1小時(shí)候內(nèi)。內(nèi)部漏洞掃描工具掃描時(shí)，應(yīng)暫時(shí)關(guān)閉IDS設(shè)備，避免在部署了安全管理平臺的網(wǎng)絡(luò)中,控制中心根據(jù)IDS上報(bào)的報(bào)警信息進(jìn)行網(wǎng)絡(luò)結(jié)構(gòu)調(diào)整與訪問限制。實(shí)施過程中敏感信息的泄漏風(fēng)險(xiǎn)分析：項(xiàng)目實(shí)施過程中，對于安全管理的評估占很大部分，其中大都為對于組織信息安全管理方針與策略相關(guān)文檔的合規(guī)性檢查。其中不可避免的涉及到如重要系統(tǒng)的帳戶，口令，有機(jī)密性要求的應(yīng)用數(shù)據(jù)等敏感信息。風(fēng)險(xiǎn)控制：單位信息系統(tǒng)主管部門在項(xiàng)目實(shí)施前，要求簽訂保密協(xié)議。系統(tǒng)管理員、網(wǎng)絡(luò)管理員安全管理員對所有評測實(shí)施過程中用過的帳戶口令做集中管理，項(xiàng)目實(shí)施結(jié)束后，集中修改口令與安全訪問策略。十二、風(fēng)險(xiǎn)評估模型賦值方法機(jī)密性賦值方法：根據(jù)資產(chǎn)機(jī)密性屬性的不同，將它分為5個(gè)不同的等級，分別對應(yīng)資產(chǎn)在機(jī)密性方面的價(jià)值或者在機(jī)密性方面受到損失時(shí)影響。資產(chǎn)機(jī)密性賦值表賦值標(biāo)識定義

賦值標(biāo)識定義5很高指組織最重要的機(jī)密，關(guān)系組織未來發(fā)展的前途命運(yùn)，對組織根本利益有著決定性的影響，如果泄露會(huì)造成災(zāi)難性的影響4高是指包含組織的重要秘密，其泄露會(huì)使組織的安全和利益遭受嚴(yán)重?fù)p害3中等是指包含組織一般性秘密，其泄露會(huì)使組織的安全和利益受到損害2低指僅在組織內(nèi)部或在組織某一部門內(nèi)部公開，向外擴(kuò)散有可能對組織的利益造成損害1很低對社會(huì)公開的信息，公用的信息處理設(shè)備和系統(tǒng)資源等信息資產(chǎn)完整性賦值方法：根據(jù)資產(chǎn)完整性屬性的不同，將它分為5個(gè)不同的等級，分別對應(yīng)資產(chǎn)在完整性方面的價(jià)值或者在完整性方面受到損失時(shí)對整個(gè)評估的影響。資產(chǎn)完整性賦值表賦值標(biāo)識定義5極高完整性價(jià)值非常關(guān)鍵，未經(jīng)授權(quán)的修改或破壞會(huì)對評估體造成重大的或無法接受，特別不愿接受的影響，對業(yè)務(wù)沖擊重大，并可能造成嚴(yán)重的業(yè)務(wù)中斷，難以彌補(bǔ)4高完整性價(jià)值較高，未經(jīng)授權(quán)的修改或破壞會(huì)對評估體造成重大影響，對業(yè)務(wù)沖擊嚴(yán)重，比較難以彌補(bǔ)3中等完整性價(jià)值中等，未經(jīng)授權(quán)的修改或破壞會(huì)對評估體造成影響，對業(yè)務(wù)沖擊明顯，但可以彌補(bǔ)2低完整性價(jià)值較低，未經(jīng)授權(quán)的修改或破壞會(huì)對評估體造成輕微影響，可以忍受，對業(yè)務(wù)沖擊輕微，容易彌補(bǔ)1可忽略完整性價(jià)值非常低，未經(jīng)授權(quán)的修改或破壞會(huì)對評估體造成的影響可以忽略，對業(yè)務(wù)沖擊可以忽略

可用性賦值方法：根據(jù)資產(chǎn)可用性屬性的不同，將它分為5個(gè)不同的等級，分別對應(yīng)資產(chǎn)在可用性方面的價(jià)值或者在可用性方面受到損失時(shí)的影響。資產(chǎn)可用性賦值表賦值標(biāo)識定義5極咼可用性價(jià)值非常關(guān)鍵，合法使用者對信息系統(tǒng)及資源的可用度達(dá)到年度99%以上，一般不容許出現(xiàn)服務(wù)中斷的情況，否則將對生產(chǎn)經(jīng)營造成重大的影響或損失4高可用性價(jià)值較高，合法使用者對信息系統(tǒng)及資源的可用度達(dá)到工作時(shí)間95%以上，一般不容許出現(xiàn)服務(wù)中斷的影響，否則對生產(chǎn)經(jīng)營造成定的影響或損失3中等可用性價(jià)值中等，合法使用者對信息系統(tǒng)及資源的可用度在工作時(shí)間75%以上，容忍出現(xiàn)偶爾和較短時(shí)間的服務(wù)中斷，且對企業(yè)造成的影響不大2低可用性價(jià)值較低，合法使用者對信息系統(tǒng)及資源的可用度在正常上班時(shí)間達(dá)到35%到75%1可忽略可用性價(jià)值或潛在影響可以忽略，完整性價(jià)值較低，合法使用者對資源的可用度在正常上班時(shí)間低于35%威脅識別威脅識別主要包括以下具體活動(dòng)。威脅識別威脅是指可能對資產(chǎn)或組織造成損害事故的潛在原因。作為安全風(fēng)險(xiǎn)評估的重要因素威脅是一個(gè)客觀存在的事物，無論對于多么安全的信息系統(tǒng)而言，它總是一定存在。威脅可能源于對系統(tǒng)直接或間接的攻擊，例如：信息泄露、篡改、刪除等，破壞了信息的機(jī)密性完整性或可用性。威脅可能源于意外的，或有預(yù)謀的事件。一般來說，威脅總是要利用系統(tǒng)、應(yīng)用或服務(wù)的弱點(diǎn)才可能成功地對資產(chǎn)造成傷害。從宏觀上講，威脅按照安全事件的性質(zhì)可以分為人為錯(cuò)誤、非授權(quán)蓄意行為、不可抗力、以及設(shè)施/設(shè)備錯(cuò)誤等；按照威脅的主體可以分為系統(tǒng)合法用戶、系統(tǒng)非法用戶、系統(tǒng)組件和物理環(huán)境四種類型。威脅分類識別對上述實(shí)際發(fā)生過的和潛在的威脅進(jìn)行分類。與資產(chǎn)分類的目的類似，對威脅進(jìn)行分類可以簡化后續(xù)分析、賦值和計(jì)算等活動(dòng)的工作量。我們首先識別出各個(gè)信息系統(tǒng)需要保護(hù)的每一項(xiàng)關(guān)鍵資產(chǎn)的主要威脅，即根據(jù)資產(chǎn)所處的環(huán)境條件和資產(chǎn)以前遭受威脅損害的情況進(jìn)行判斷。一項(xiàng)資產(chǎn)可能面臨著多個(gè)威脅，同樣一個(gè)威脅可能對不同的資產(chǎn)有不同的表現(xiàn)形式，也就可能造成不同程度的影響。識別主要是找出威脅由誰或什么事物引發(fā)以及威脅影響的資產(chǎn)是什么，即確定威脅的主體和客體。其次對每種威脅的屬性（即威脅的嚴(yán)重程度和威脅發(fā)生的可能性）進(jìn)行調(diào)查和分析，最終通過為各屬性賦相對值的方式為其估價(jià)。本次評估項(xiàng)目中，確定威脅的屬性是威脅評估的重要環(huán)節(jié)，本次評估將著重考慮以下列表中的安全威脅。威脅的主體包括：內(nèi)部人為威脅、系統(tǒng)合法用戶、系統(tǒng)非法用戶、系統(tǒng)組件和物理環(huán)境。系統(tǒng)的安全威脅分析著重于重要資產(chǎn)進(jìn)行威脅識別，分析其威脅來源和種類。構(gòu)建威脅場景為了避免孤立的評價(jià)威脅導(dǎo)致風(fēng)險(xiǎn)分析／計(jì)算結(jié)果出現(xiàn)偏差，評估活動(dòng)的主體就需要將各類威脅置于被評估組織的實(shí)際環(huán)境中進(jìn)行分析，并且本著“具體問題，具體分析”的原則，理清“資產(chǎn)-威脅-脆弱性-已有安全控制措施”之間的內(nèi)在聯(lián)系，這樣才能保證風(fēng)險(xiǎn)分析／計(jì)算結(jié)果的客觀性?，F(xiàn)模仿OCTAVE中提供的方法一一“構(gòu)建威脅場景”實(shí)現(xiàn)。威脅場景實(shí)質(zhì)上是：為每個(gè)關(guān)鍵資產(chǎn)或關(guān)鍵資產(chǎn)類別與其所面臨的實(shí)際和潛在威脅建立對應(yīng)關(guān)系。這樣做可以獲得以下兩個(gè)方面的益處：首先，排除掉那些不可能存在的“關(guān)鍵資產(chǎn)-威脅”對，避免在后續(xù)的風(fēng)險(xiǎn)分析／計(jì)算活動(dòng)中，浪費(fèi)時(shí)間和人力；其次，威脅場景除了建立起關(guān)鍵資產(chǎn)與其面臨威脅之間的對應(yīng)關(guān)系外，還明確了威脅的來源、途徑和結(jié)果，有助于后續(xù)風(fēng)險(xiǎn)分析階段結(jié)合脆弱性和已有的安全控制措施進(jìn)行影響和可能性分析。一旦威脅突破了已有的安全控制措施，利用了資產(chǎn)(或其相關(guān)資產(chǎn))的脆弱性，就會(huì)對該資產(chǎn)安全的某個(gè)或某些安全屬性造成破壞，從而導(dǎo)致以下不期望的結(jié)果發(fā)生：?泄露一—機(jī)密性(C)遭破壞，主要針對數(shù)據(jù)類的資產(chǎn)?篡改—完整性(I)遭破壞，主要針對數(shù)據(jù)類或軟件類的資產(chǎn)?中斷一一可用性遭破壞(A),主要指網(wǎng)絡(luò)通訊和服務(wù)?損失或破壞一一可用性遭破壞(A),主要指數(shù)據(jù)、軟件和物理形式的資產(chǎn)威脅賦值威脅的評估主要是對威脅的可能性的評估，兩者取值均為相對等級1－5，5為最可能。威脅的可能性是考慮威脅發(fā)生的概率，比較難以判斷，我們在評估威脅發(fā)生的可能性時(shí)主要考慮如下因素的影響：資產(chǎn)的吸引力資產(chǎn)轉(zhuǎn)化成報(bào)酬的容易程度威脅的技術(shù)力量和成熟手段脆弱性被利用的難易程度其他綜合因素各屬性評估準(zhǔn)則參照如下列表：威脅可能性賦值參考表等級標(biāo)識威脅可能性定義5很高威脅發(fā)生的可能性很高，在大多數(shù)情況下幾乎不可避免或者可以證實(shí)發(fā)生過的頻率較咼4高威脅發(fā)生的可能性較咼，在大多數(shù)情況下很有可能會(huì)發(fā)生或者可以證實(shí)曾發(fā)生過3中等威脅發(fā)生的可能性中等，在某種情況下可能會(huì)發(fā)生但未被證實(shí)發(fā)生過2低威脅發(fā)生的可能性較小，一般不太可能發(fā)生，也沒有被證實(shí)發(fā)生過1很低威脅幾乎不可能發(fā)生，僅可能在非常罕見和例外的情況下發(fā)生威脅可能性屬性非常難以度量，它依賴于具體的資產(chǎn)、弱點(diǎn)。而影響也依賴于具體資產(chǎn)的價(jià)值、分類屬性，并且這兩個(gè)屬性都和時(shí)間有關(guān)系，也就是說，具體的威脅評估結(jié)果會(huì)隨著時(shí)間的變動(dòng)而需要重新審核。在威脅評估過程中，用戶與評估者的經(jīng)驗(yàn)非常重要。脆弱性識別各類技術(shù)脆弱性的存在，勢必會(huì)大大增加安全事件發(fā)生的可能性，從而加大信息系統(tǒng)整體的安全風(fēng)險(xiǎn)。因此，需要對信息系統(tǒng)中當(dāng)前的脆弱性進(jìn)行識別，脆弱性識別包括以下活動(dòng)。脆弱性識別通過掃描工具或人工等不同方式，識別當(dāng)前系統(tǒng)中存在的脆弱性。識別結(jié)果整理與展示在脆弱性識別階段，將脆弱性識別結(jié)果以合理的方式展現(xiàn)給業(yè)主。脆弱性賦值某些具體的風(fēng)險(xiǎn)分析、計(jì)算方法，需要對脆弱性賦值，方能完成后續(xù)的風(fēng)險(xiǎn)計(jì)算活動(dòng)。選用上述類型的風(fēng)險(xiǎn)分析、計(jì)算方法，應(yīng)根據(jù)一定的賦值準(zhǔn)則，對被識別的脆弱性進(jìn)行賦值脆弱性賦值方法：脆弱性嚴(yán)重程度可以進(jìn)行等級化處理，不同等級分別代表資產(chǎn)脆弱性嚴(yán)重程度的高低。等級數(shù)值越大，脆弱性嚴(yán)重程度越高。下表是根據(jù)國家標(biāo)準(zhǔn)本次評估所采用的脆弱性嚴(yán)重程度的賦值方法：賦值標(biāo)識定義5很高如果被威脅利用，將對資產(chǎn)或業(yè)務(wù)造成完全損害4高如果被威脅利用，將對資產(chǎn)或業(yè)務(wù)造成重大損害3中等如果被威脅利用，將對資產(chǎn)或業(yè)務(wù)造成一般損害2低如果被威脅利用，將對資產(chǎn)或業(yè)務(wù)造成較小損害1很低如果被威脅利用，對資產(chǎn)或業(yè)務(wù)造成的損害可以忽略結(jié)果確認(rèn)及資料歸還評估人員在現(xiàn)場實(shí)施完成之后，先對現(xiàn)場評估的核查記錄進(jìn)行匯總，查漏補(bǔ)缺，并對發(fā)現(xiàn)的問題進(jìn)行現(xiàn)場確認(rèn)，然后歸還所有的資料文檔，現(xiàn)場評估工作結(jié)束。十二、風(fēng)險(xiǎn)分析與計(jì)算方法在完成了資產(chǎn)識別、威脅識別、脆弱性識別，以及已有安全措施確認(rèn)后，將采用適當(dāng)?shù)姆椒ㄅc工具確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性。綜合安全事件所作用的資產(chǎn)價(jià)值及脆弱性的嚴(yán)重程度，判斷安全事件造成的損失對組織的影響，即安全風(fēng)險(xiǎn)。本次風(fēng)險(xiǎn)評估依據(jù)國標(biāo)《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評估規(guī)范》中給出的風(fēng)險(xiǎn)計(jì)算原理進(jìn)行分析，如下面的范式形式：風(fēng)險(xiǎn)值=R(A,T,V)=R(L(T,V),F(Ia,Va))。其中，R表示安全風(fēng)險(xiǎn)計(jì)算函數(shù)；A表示資產(chǎn)；T表示威脅；V