OCTAVEProcess4

阶段4：创建威胁统计阶段4：创建威胁统计Process 4: Create Threat Profiles描述Description目的Purpose:根据阶段13明确企业的关键资产，描述关键资产的安全需求，标识关键资产面临的威胁。人员Whos Involved:风险评估组数据流程图Data Flow Diagram阶段4：创建威胁统计输入Inputs评估组现有知识通常的威胁统计阶段1的结果阶段2的结果阶段3的结果输出Outputs整理过的信息 资产 安全需求 关心的范围关键资产关键资产的安全需求关键资产面临的威胁调查表Worksheets资产分类调查表 (W4.1)安全需求分类调查表(W4.2)关心的范围分类调查表 (W4.3)资产轮廓手册(WK)阶段指南Process Guidelines阶段4：创建威胁统计Process 4: Create Threat Profiles时间3 hr 4 hr目标Workshop Objectives 整理资产信息 整理安全需求 整理关心的范围 选择关键资产 描述关键资产的安全需求 标识关键资产面临的威胁风险评估组职责Analysis Team Roles项目负责人应使所有成员明确实施的步骤，负责协调需增加的专家并使其明确所承担的任务。同时应负责推动项目的实施。书记员完成所有信息的录入工作。项目组其他成员负责协助项目负责人完成所有实施步骤。所需资料Materials Required 调查表worksheets for Process 4- 资产分类调查表 (W4.1)- 安全需求分类调查表 (W4.2)- 关心的范围分类调查表 (W4.3)- 每个关键资产的资产轮廓手册 (WK) 阶段13的结果实施结果Summary of Workshop Outputs 资产分类 (O4.1) 安全需求分类 (O4.2) 关心的范围分类 (O4.3) 关键资产(O4.4) 关键资产的安全需求 (O4.5) 关键资产的威胁(O4.6) 关键资产关心的范围(O4.7)实施前步骤Before the Workshop步骤Activity描述Description调查表WorksheetsD4.1资产分类将阶段13调查得到的资产进行分类 资产分类调查表 (W4.1)D4.2安全需求分类将阶段13调查得到的安全需求进行分类资产分类调查表(W4.1)安全需求分类调查表(W4.2)D4.3关心的范围分类将阶段13调查得到的关心的范围进行分类资产分类调查表(W4.1)关心的范围调查表 (W4.3)工程实施During the Workshop步骤Activity描述Description调查表Worksheets工程介绍项目负责人明确个人职责，检查准备工作是否完成。-A4.1选择关键资产项目组根据负面影响的大小选取关键资产。资产分类调查表(W4.1)安全需求分类调查表 (W4.2)关心的范围调查表 (W4.3)A4.2提取关键资产的安全需求提取关键资产的安全需求。安全需求分类调查表 (W4.2)关心的范围调查表 (W4.3)A4.3标识关键资产的威胁标识关键资产的威胁关心的范围调查表 (W4.3)工程总结进行第四阶段工作总结。-工程实施后工作After the Workshop步骤Activity描述Description调查表WorksheetsX4.1在资产轮廓手册中加入关心的范围在资产轮廓手册中加入关心的范围关心的范围调查表 (W4.3)资产轮廓手册（WK）工程前D4.1数据准备: 以机构水平对资产分类活动中使用的工作表活动的输出Activity Time 资产分类调查表 (W4.1) 资产分类 (O4.1)-基本指南资产分类调查表 (W4.1)为每个机构水平记录了下面内容： 重要资产 参与者认为资产重要的基本原理 其它确定的资产在适当的机构级别下将第1、2和3阶段的资产加入工作表在活动结束的时候，你会有一个在前面工程中确定的资产的列表，以机构级别分类。 D4.2数据准备: 以机构水平和资产将安全需求分类活动中使用的工作表Outputs of this ActivityActivity Time 资产分类工作表 (W4.1) 安全需求分类工作表 (W4.2) 安全需求分类 (O4.2)-Basic Guidance安全需求分类工作表 (W4.2)有多页，每一种资产有几页。你可以在工作表中为每种在第1、2和3阶段确定的重要资产增加安全需求。资产分类工作表(W4.1)列出了所有机构级别的重要资产。1. 选择一种重要资产在适当的机构级别下为其增加安全需求。注意一个资产可能被超过一个工作组选中为重要，因此每种资产可能会有一种以上的安全需求。2. 确定你能指出被工作组认为其安全需求最重要的资产D4.3数据准备：关心的范围分类活动中使用的工作表活动的输出活动时间 资产分类工作表(W4.1) 关心的范围分类工作表(W4.3) 安全需求分类 (O4.3)-基本指南关心的范围分类工作表(W4.3) 有多页，每一种资产有几页。你可以在工作表中为每种在第1、2和3阶段确定的重要资产增加安全需求。资产分类工作表(W4.1)列出了所有机构级别的重要资产。选择一种重要资产在适当的机构级别下为其增加安全需求。注意一个资产可能被超过一个工作组选中为重要。阶段4 工程介绍活动中使用的工作表活动的输出活动时间-15 分钟基本指南本工程的参与者是核心分析组成员以及补充的人员。 在工程开始阶段，领导者确定每个人知道他（她）们的角色。此外，领导者要确保所有需要的资源已经收集并准备使用。在本工程中，你将得到下面内容： 一组关键资产 关键资产的安全需求 对关键资产的威胁A4.1选择关键资产活动中使用的工作表活动的输出活动时间 资产分类工作表 (W4.1) 安全需求分类工作表 (W4.2) 关注范围分类工作表(W4.3) 每个关键资产的资产轮廓手册(WK) 关键资产 (O4.4)30-45 分钟基本指南你们将作为小组进行工作，选择五种关键资产。关键资产是确信对机构最重要的资产。1. 在选择关键资产时考虑下面的问题： 哪些资产如果暴露给未授权的人会对机构造成不利影响？ 哪些资产如果被未授权的人修改会对机构造成不利影响？ 哪些资产如果丢失或损坏会对机构造成不利影响？ 哪些资产如果访问中断会对机构造成不利影响？2. 当你考虑这些问题时，回顾下面工作表的信息： 资产分类工作表 (W4.1) 安全需求分类工作表 (W4.2) 关注范围分类工作表(W4.3)Basic Guidance (cont.)3. 应该讨论这些问题，当达成一致选择一种关键资产时，抄写员开始着手于每个关键资产的资产轮廓手册，致力于每个资产统计手册的关键资产信息。 4. 选择关键资产时你还必须记录你的选择原则，为此你需要明白资产的哪些方面是重要的，特别是对于那些具有多种特征的复杂资产（系统）。回答下面的问题可能有助于你名足额资产的重要方面： 为什么该资产对你的机构的任务很重要？当你们达成一致意见，抄写员应该记录下资产统计手册中的每种关键资产的信息选择的基本原理。 5. 在你们讨论每种关键资产时考虑下面的问题： 谁控制该资产? 谁对该资产负责? 谁使用该资产? 该资产怎样使用?在讨论这些问题后，为每种关键资产建立简要的描述，其中应该包括由上述问题得出的信息。当你们达成一致意见，抄写员应该在为每种关键资产增加简要描述。 额外的指南注意你并没有限制选择五种关键资产，如果需要你可以选择少于或多于五种的资产。通常你选择的资产是在第1、2、3阶段认为重要的，但是如果在本阶段你认为还有其它资产重要也可以把它作为关键资产，将你的判断的基本原理加入到资产统计手册中。 A4.2为关键资产提炼安全需求活动中需要的工作表活动的输出活动时间 安全需求分类工作表(W4.2) 关注的范围分类工作表 (W4.3) 每种资产的资产统计工作手册(WK) 每种资产的安全需求(O4.5)30-45 分钟基本指南安全需求描述了很重要需要保护的资产的特征，这有助于保护策略的基本形成。回忆在OCTAVE中的下列的安全需求： 机密性 完整性 可用性 1. 选择一种关键资产，转到资产统计工作手册(WK)中的每种资产的安全需求段，回顾下列工作表中的该资产的信息： 安全需求分类工作表(W4.2) 关注的范围分类工作表 (W4.3)如果在早期工程中你没有选择一种资产作为关键资产，那么在上面的工作表中就没有关注的范围以及安全需求信息。你必须建立安全需求 基本指南（续）2. 在你为该资产考虑安全需求时，考虑下面的问题： 该资产是私有敏感的吗？它是授权的的个人信息吗？它应该不能被未授权的人查看吗？如果所有的回答都是“是”，详细的机密性需求是什么？ 资产的真实、正确和完全性重要吗？如果是，详细的完整性需求是什么？ 资产的可用性重要吗？如果是，详细的可用性需求是什么？ 有其它对资产重要的安全需求吗？是什么？当达成一致时，由抄写员在资产统计工作手册(WK)中的每种资产的安全需求段的适当位置写下安全需求信息。 3. 下一步，需要确定每种资产最重要的安全需求，在达成一致时由抄写员在资产统计工作手册(WK)中的每种资产的安全需求段的适当位置记录该信息。4. 继续到下一种关键资产，直到为每一种关键资产描述了安全需求。额外的指南通常，在为每种资产描述安全需求时需要理解改资产哪些方面是重要的，特别对于复杂的资产（系统） 对信息资产，安全需求集中在信息的机密性、完整性和可用性。额外的指南（续）系统资产通常是信息、软件和硬件的集合，如果信息的存储、处理和传送是最重要的方面，那下面的例子就描述了安全需求： 系统XYZ的信息不被未授权的人查看（机密性） 系统XYZ的信息只能被授权的人修改（完整性） 系统XYZ的信息在任何需要的时候可用，在每24小时只有15分钟的停工期（可用性）如果系统提供的服务是最重要的方面，下面的例子描述了安全需求： 系统XYZ提供的服务必须完整和正确（完整性） 系统XYZ提供的服务在任何需要的时候可用，在每24小时只有15分钟的停工期（可用性）注意这里没有列出机密性，机密性依靠正在提供的服务，很多情况下，服务是标准的，并不需要机密性。对于软件资产，应该关注软件应用和服，而不是信息的存储、处理和传送。如果是可用的商业或自由软件，就不必提供机密性，如果是你的机构私有的软件就需要机密性。下面是私有软件资产的安全需求： 应用程序ABC不被未授权的人查看（机密性） 应用程序ABC只能被授权的人修改（完整性） 应用程序ABC在正常工作时间可用（可用性）对于硬件资产，应该关注于物理硬件，对于物理硬件没有应用机密性，对硬件的修改集中在增加或移除硬件，可用性集中在该资产是否物理上可用以及可访问，下面是例子： 硬件只能被授权的人修改（完整性） 硬件在正常工作时可用（可用性）额外的指南（续）对人的资产，应该只关注可用性需求，下面是对人的资产的指南： IT职员必须提供正在进行的系统和网络管理服务（可用性）当人被确定为资产时，应该确定是否有相关的资产，例如他们使用的关键的系统或是了解的信息。详细指南安全需求的列表（在基本指南中描述）是在OCTAVE处理中使用的基本集合，这些列表必须顺序定义来执行有意义的评估，可以被修改满足你的机构的需求通常安全需求的分类应该尽量完整，具有适当长度，不要保留副本。A4.3确定关键资产的威胁活动中使用的工作表Outputs of this ActivityActivity Time 带有前面工程数据的关注的范围分类工作表(W4.3) 每种关键资产的资产统计工作手册(WK) 对关键资产的威胁 (O4.6)1小时30分钟 -2 小时基本指南本活动中你可以使用任何有助于作出决定的物资，下面列出了一些建议： 资产统计工作手册(WK)中的每种资产的安全需求部分 关注的范围分类工作表(W4.3)威胁统计定义了影响资产的威胁的范围，包括根据来源分类的种类，下面列出了威胁种类： 使用网络访问的人类参与者 对关键资产的基于网络的威胁，可能是有意或无意的威胁。 使用物理访问的人类参与者 对关键资产的物理威胁，可能是有意或无意的威胁。 系统问题 你的IT系统的问题，例如包括硬件、软件弱点，相关系统的不可用、病毒、有害代码和其它与系统有关的问题。 其它问题 在你控制之外的问题，可能包括自然灾害（例如洪水和地震）、其它机构维护的系统的不可用等。基本指南（续）此外每个威胁包括下面详细内容： 资产 对机构有价值得东西 参与者 违反资产安全需求的人或事 动机（可选） 访问（可选） 资产怎么被参与者访问的 结果 妨害资产安全需求的立即的输出注意动机和访问是可选的，仅仅针对人类参与者。威胁可以用树形结构来表示。 在树形结构之外还有一个区域 冲击，风险就是威胁加上冲击的结果。冲击在后来的工程中将被关注。1. 选择一种关键资产，转到资产统计工作手册的该资产的威胁和风险统计部分 回顾影响关键资产的关注的范围（来自于关注范围分类工作表），对每一个关注的范围，决定应用那个威胁树，然后决定哪些分支应该被标记。当达成一致时，抄写员应该在工作表中进行相应的分支的标记。2. 下面需要注意未标记的分支，考虑下面的问题： 哪些保留的分支对资产的威胁可能忽略不计？ (在威胁和风险统计中标记这些分支) 哪些保留的分支对资产的威胁不能忽略不计？ (在威胁和风险统计中不标记这些分支)当达成一致时，抄写员应该在工作手册中标记威胁树的适当分支。3. 继续下一个关键资产，直到完成资产统计工作手册所有关键资产威胁树的标记。4. 完成所有威胁树后，在威胁统计中看结果，与前面已有的进行比较（更多信息见额外的指南）额外的指南在完成威胁树的关注范围时，应该考虑关注的范围代表的威胁内容，例如，考虑下面的关注范围：1. 意外的向系统XYZ加入错误的数据2. 洪水或者其它外部事件可能导致系统XYZ的拒绝服务3. 某些人为了私人利益使用系统XYZ的信息注意此例中，系统XYZ的信息是其重要的方面。下面是对第一关注范围应用的威胁内容： 资产 系统XYZ信息 访问 网络(进入一个系统的数据) 参与者 内部人员 动机 意外 结果 修改 第一关注范围映射了人类参与者使用网络访问的威胁树，下面是威胁的图形：系统XYZ 信息网络闯入者意外的修改 系统 XYZ 信息网络内部故意的暴露外部故意的暴露系统 XYZ 信息自然灾害中断额外的指南（续）下面是应用于第二关注范围的威胁内容： 资产 资产XYZ信息 参与者 自然灾害 结果 中断第二关注范围映射了其它问题的威胁树，下面是这种威胁的图：下面是应用于第三关注范围的威胁内容： 资产 系统XYZ信息 访问 网络 (参与者从系统得到信息) 参与者 内部人员和外部人员 动机 故意的 结果 暴露(参与者查看到了不应该看到的信息)第三关注范围映射使用网络访问的人类参与者威胁树，下面是该威胁的图：注意第三关注范围实际上代表了两种威胁，一种可能在树上映射多种路径记住增加关于树的记录。系统问题和其它问题的威胁树包括有前后关系的威胁参与者，在资产统计工作手册中提供没有威胁参与者的额外的树。此外，直接向工作手册的系统问题和其它问题威胁树增加额外的威胁参与者。当进行威胁树和安全需求的比较时，必须理解结果和安全需求的关系，下面的表显示了这种关系：安全需求相关结果机密性暴露完整性修改可用性遗失、损坏、中断例如，如果你有机密性的安全需求，但没有作为结果的暴露的威胁，你需要解释这种情况的意义，应该考虑下面可能： 机密性不是安全需求 你可能躲过了导致关键资产暴露的威胁 有可以忽略或不可忽略的导致关键资产暴露的威胁 安全需求可能由法律或规则驱动，而不是威胁因此，用安全需求和威胁树的比较来检查一致性和完整性。应该注意资产的种类规定了哪些种类的资产应该为关键资产考虑，下面信息可作为帮助你的方针： 信息资产，需要确定资产是否以电子形式、物理形式或都有的方式表示，对于电子信息，下面的威胁种类应用：人类参与者使用网络访问、人类参与者使用物理访问，信息问题，以及其它问题。你应该为这些种类完成威胁树。 对于以物理形式表示的信息，下面的威胁种类应用：人类参与者使用物理访问和其它问题，应该为这些种类完成威胁树。 信息、软件和硬件资产形式表示的信息资产。下面的威胁种类应用于系统资产：人类参与者使用网络访问、物理访问，系统问题和其他问题。你应该为这些种类完成威胁树。 软件资产集中在软件应用程序或者服务，下面的威胁种类应用于软件资产：人类参与者使用网络访问、物理访问，系统问题和其它问题。你应该为这些种类完成威胁树。 硬件资产仅仅关注于信息技术硬件，下面的威胁种类应用于硬件资产：人类参与者使用物理访问以及其它问题，应该为这些种类完成威胁树。 人的资源集中在人具有的特殊技能或者提供的服务，下面的威胁种类应用于人的资产：其它问题。应该为这种完成这些威胁种类。详细指南威胁统计（资产统计工作手册中的）是覆盖了关键资产范围的基本统计，必须顺序定义来执行有意义的评估，可以修改符合机构的需要。 例如，如果恐怖分子或者间谍对你的机构具有威胁，你可以在适当的树上修改人类参与者的定义；如果自然灾