东升需求分析报告.doc

.案卷号日期东升网络有限公司网络安全解决方案需求分析报告作 者：陶杰 雷丹 王浩骅完成日期：2016年6月19日签 收 人：签收日期： 修改情况记录：版本号修改批准人修改人安装日期签收人1.01.1目录 1 引言11.1 编写目的11.2 背景说明11.3 定义11.4 参考资料22 公司网络方案分析22.1 公司网络现状分析22.1.1 公司背景22.1.2 公司网络的主要安全隐患22.1.3 公司网络的安全误区32.2 公司原网络拓扑图42.3 网络拓扑说明43 需求分析53.1 公司网络安全需求53.2 需求分析54 业务功能概要描述64.1 业务描述64.2 公司部门划分65 风险评估75.1 评估工作概述75.1.1 评估范围75.1.2 评估阻止75.2 评估依据和标准85.3 资产识别95.3.1 资产识别内容和方法95.3.2 重要资产的确定及三性赋值125.4 威胁识别155.5 脆弱性识别215.5.1 脆弱性识别内容及方法215.5.2 脆弱性识别结果226 综合风险分析256.1 风险分析方法256.2 风险等级划分276.3 不可接收风险划分276.4 风险分析结果287 风险统计338 不可接收风险处理计划35精选word范本！.1 引言1.1 编写目的 这是1.0版本，预期读者是用户、项目经理、需求工程师、售前工程师、售后工程师等，主要是让他们熟悉公司背景以及透彻的了解公司现状，这样才好分析出漏洞并设计解决方案。1.2 背景说明随着IT产业规模的不断扩大，专业门类的日益齐全，技术水平的显着提升，如今我国已经成为了全球主要的电子信息产品生产消费和出口大国。东升公司了解到，就发展现状来看，我国目前的信息产业呈现出发展迅速、规模庞大、竞争激烈、产业集中度高、信息化程度高、国际化趋势显着等特点。由于企业在行业中的地位，所以企业面临的竞争环境也是相当恶劣的。在这样的竞争环境中，企业的各种数据资料的安全尤为重要（尤其是研发以及销售数据）。1.3 定义安全评估：利用系统工程原理和方法对拟建或已有工程、系统可能存在的危险性及其可能产生的后果进行综合评价和预测，并根据可能导致的事故风险的大小，提出相应的安全对策措施，以达到工程、系统安全的过程。网络拓扑：传输介质互连各种设备的物理布局。指构成网络的成员间特定的物理的即真实的、或者逻辑的即虚拟的排列方式。资产识别:由企业拥有或者控制的能够为企业带来未来经济利益的资源。我们主要识别的是各种与业务相关的IT物理设备或使用的硬件设施，用于安装已识别的软件、存放有已识别的数据资产或对部门业务有支持作用。包括主机设备、存储设备、网络设备、安全设备、计算机外设、可移动设备、移动存储介质、布线系统等。边界保护：为整个公司网络周围建立一个边界保护，就像在城堡周边围绕一条护城河来控制谁能进入。1.4 参考资料a 网络安全解决方案设计.ppt；b 网络风险评估.ppt；c 信息安全风险评估规范.pdf；d 风险评估案例.pdf。2 公司网络方案分析2.1 公司网络现状分析2.1.1 公司背景东升网络有限公司是一家有100名员工的中小型网络公司，主要以手机应用开发为主营项目的软件企业。公司有一个局域网，约100台计算机，服务器的操作系统是 Linux,客户机的操作系统是 Windows XP，在工作组的模式下一人一机办公。公司对网络的依赖性很强，主要业务都要涉及互联网以及内部网络。随着公司的发展现有的网络安全已经不能满足公司的需要，因此构建健全的网络安全体系是当前的重中之重。2.1.2 公司网络的主要安全隐患现在网络安全系统所要防范的不再仅是病毒感染，更多的是基于网络的非法入侵、攻击和访问，同时公司网络安全隐患的来源有内、外网之分，很多情况下内部网络安全威胁要远远大于外部网络，因为内部中实施入侵和攻击更加容易，公司网络安全威胁的主要来源主要包括：（1） 病毒、木马和恶意软件的入侵。（2）网络黑客的攻击。（3）重要文件或邮件的非法窃取、访问与操作。（4）关键部门的非法访问和敏感信息外泄。（5）外网的非法入侵。（6）备份数据和存储媒体的损坏、丢失。针对这些安全隐患，所采取的安全策略可以通过安装专业的网络版病毒防护系统，同时也要加强内部网络的安全管理，配置好防火墙过滤策略和系统本身的各项安全措施，及时安装系统安全补丁，有条件的还可以在内、外网之间安装网络扫描检测、网络嗅探器、IDS、IPS系统，甚至配置网络安全隔离系统，对内、外网络进行安全隔离；加强内部网络的安全管理，严格实行“最小权限”原则，为各个用户配置好恰当的用户权限；同时对一些敏感数据进行加密保护，对数据还可以进行数字签名措施；根据企业实际需要配置好相应的数据策略，并按策略认真执行。2.1.3 公司网络的安全误区许多人对于自己的数据和网络目前有一种虚假的安全感：在边界安装了防火墙、在桌面上安装了防病毒和防间谍软件工具、安装了微软及各大安全公司不断增强安全工具和补丁程序或者使用加密技术发送和保存数据等。以下是有关安全的六大误解：（1） 安装防火墙就安全了防火墙主要用来执行 两个网络之间的访问控制策略，它能限制被保护的网络与互联网络之间，或者 与其他网络之间进行的信息存取、传递操作。防火墙是一种隔离控制技术，可 以作为不同网络或网络安全域之间信息的出入口。防火墙主要工作都是控制存取与过滤封包，所以对DoS攻击、非法存取与篡改封包等攻击模式的防范极为有效，可以提供网络周边的安全防护。但如果攻击行为不经过防火墙，或是将应用层的攻击程序隐藏在正常的封包内，便力不从心了，许多防火墙只是工作在网络层。防火墙的原理是“防外不防内”，对内部网络的访问不进行任何阻挠，而事实上，企业网络安全事件绝大部分还是源于企业内部。（2）安装了最新的杀毒软件就不怕病毒了安装杀毒软件的目的是为了预防病毒的入侵和查杀系统中已感染的计算机病毒，但这并不能保证就没有病毒入侵了，因为杀毒软件查杀某一病毒的能力总是滞后于该病毒的出现。（3）在每台计算机上安装单机版杀毒软件和网络版杀毒软件等效网络版杀毒软件核心就是集中的网络防毒系统管理。网络版杀毒软件可以在一台服务器上通过安全中心控制整个网络的客户端杀毒软件同步病毒查杀、监控整个网络的病毒。同时对于整个网络，管理非常方便，对于单机版是不可能做到的。（4）只要不上网就不会中毒虽然不少病毒是通过网页传播的，但像QQ聊天接发邮件同样是病毒传播的主要途径，而且盗版光盘以及U盘等也会存在着病毒。所以只要计算机开着，就要防范病毒。（5）文件设置只读就可以避免感染病毒设置只读只是调用系统的几个命令，而病毒或黑客程序也可以做到这一点，设置只读并不能有效防毒，不过在局域网中为了共享安全，放置误删除，还是比较有用的。（6）网络安全主要来自外部基于内部的网络攻击更加容易，不需要借助于其他的网络连接方式，就可以直接在内部网络中实施攻击。所以，加强内部网络安全管理，特别是用户帐户管理，如帐户密码、临时帐户、过期帐户和权限等方面的管理非常必要了。2.3 公司原网络拓扑图图2.1公司原网络拓扑图2.4 网络拓扑图说明由于东升网络公司是直接从电信接入IP为2 ，直接经由防火墙分为DMZ区域和普通区域。防火墙上做NAT转换，分别给客户机端的地址为 。防火墙接客户区端口地址为 。DMZ内主要有各类的服务器，地址分配为 。防火墙DMZ区的接口地址为 。内网主要由3层交换机作为核心交换机，下面有两台2层交换机做接入。3 需求分析3.1 公司网络安全需求东升网络有限公司根据业务发展需求，建设一个小型的企业网，有Web、Mail等服务器和办公区客户机。企业分为财务部门和业务部门，需要他们之间相互隔离。同时由于考虑到Inteneter的安全性，以及网络安全等一些因素，如DDoS、ARP等。因此本企业的网络安全构架要求如下：（1） 根据公司现有的网络设备组网规划（2） 保护网络系统的可用性（3） 保护网络系统服务的连续性（4） 防范网络资源的非法访问及非授权访问（5） 防范入侵者的恶意攻击与破坏（6） 保护企业信息通过网上传输过程中的机密性、完整性（7） 防范病毒的侵害（8）实现网络的安全管理。3.2 需求分析通过了解东升网络公司的需求与现状，为实现东升网络公司的网络安全建设实施网络系统改造，提高企业网络系统运行的稳定性，保证企业各种设计信息的安全性，避免图纸、文档的丢失和外泄。通过软件或安全手段对客户端的计算机加以保护，记录用户对客户端计算机中关键目录和文件的操作，使企业有手段对用户在客户端计算机的使用情况进行追踪，防范外来计算机的侵入而造成破坏。通过网络的改造，使管理者更加便于对网络中的服务器、客户端、登陆用户的权限以及应用软件的安装进行全面的监控和管理。因此需要：（1）构建良好的环境确保企业物理设备的安全（2）划分VLAN控制内网安全（3）安装防火墙体系（4）建立VPN(虚拟专用网络)确保数据安全（5）安装防病毒服务器（6）加强企业对网络资源的管理4 业务功能概要描述4.1 业务描述n 研发部门业务：是构建网络结构的主要人员，负责网络结构的管理和维护，风险评估也是由研发部门的人员负责。n 销售部门业务：协助研发部门的人员完成风险评估工作。n 财务部门业务：协助研发部门的人员完成风险评估工作。n 人力资源部门业务：协助研发部门的人员完成风险评估工作。4.2 公司部门划分东升网络有限公司研发部门财务部门销售部门人力资源部门总经理5 风险评估5.1 评估工作概述我公司于2016年6月开展了网络安全解决方案工作，本次风险评估工作主要依托于研发部门的技术人员开展，销售部门、财务部门、人力资源部门、公司老总参与了该项工作。5.1.1 评估范围本次评估为我公司的网络结构。该网络结构是在公司成立初期建立的，建设目标是便于公司成员进行内部交流和与外界进行通信，并且管理部门能方便的进行管理。使用该网络结构的部门包括研发部门、销售部门、财务部门、人力资源部门和公司老总，日常用户数为100人左右；管理该网络结构的部门主要为研发部门和公司老总，其中研发部门主要负责网络结构的搭建和维护，公司老总主要负责网络结构的管理。5.1.2 评估组织我公司专门成立了自评估工作小组负责开展本次评估工作，自评估工作小组组长（最高管理者代表）由陶杰担任，评估项目负责人由雷丹担任，工作小组下设资产识别小组、脆弱性识别小组、风险分析小组和应急响应小组，人员组成情况如下：表5.1 人员组成表组名小组组长成员资产识别小组陶杰王浩骅脆弱性识别小组雷丹陶杰威胁识别小组王浩骅雷丹风险分析小组陶杰王浩骅应急响应小组雷丹陶杰5.2 评估依据和标准1) 信息安全技术 信息安全风险评估规范（GB/T20984-2007） 2) 信息技术安全技术信息技术安全性评估准则（GB/T18336-2001） 3) 电子计算机场地通用规范（GB/T2887-2000） 4) 计算机场地安全要求（GB9361-1989） 5) 信息技术 安全技术 信息技术安全性评估准则 （GB/T 18336-2001） 6) 信息技术 信息技术安全管理指南 （GB/T 19715.1-2005） 7) 信息技术 信息安全管理实用规则（GB/T 19716-2005） 8) 信息安全技术 操作系统安全评估准则（GB/T 20008-2005）9) 信息安全技术 包过滤防火墙评估准则（GB/T 20010-2005）10) 信息安全技术 路由器安全评估准则（GB/T 20011-2005） 11) 信息安全技术 信息系统安全管理要求（GB/T 20269-2006） 12) 信息安全技术 网络基础安全技术要求（GB/T 20270-2006） 13) 信息安全技术 信息系统通用安全技术要求（GB/T 20271-2006） 14) 信息安全技术 操作系统安全技术要求（GB/T 20272-2006） 15) 信息安全技术 数据库管理系统安全技术要求（GB/T 20273-2006） 16) 信息安全技术 网络和终端设备隔离部件测试评价方法（GB/T 20277-2006）17) 信息安全技术 网络和终端设备隔离部件安全技术要求（GB/T 20279-2006）18) 信息安全技术 防火墙技术要求和测试评价方法（GB/T 20281-2006）19) 信息安全技术 信息系统安全工程管理要求（GB/T 20282-2006） 20) 信息安全技术 路由器安全技术要求（GB/T 18018-2007） 21) 信息安全技术 信息系统安全审计产品技术要求和评价方法（GB/T20945-2007） 22) 信息技术 安全技术 信息安全事件管理指南（GB/Z 20985-2007） 23) 信息安全技术 信息安全事件分类分级指南（GB/Z 20986-2007） 24) 信息安全技术 服务器安全技术要求（GB/T 21028-2007） 25) 信息安全技术 网络交换机安全技术要求（GB/T 21050-2007） 26) 信息技术信息安全管理实施细则（ISO/IEC 17799:2000） 27) 信息技术信息安全管理实施规范（ISO/IEC 27001:2005）28) 各种检查机构运作的一般规则（ISO-IEC 17020-2004） 5.3 资产识别5.3.1 资产识别内容和方法资产识别小组召集财务部、销售部、人力资源部、研发部和公司老总等网络结构的使用部门以及网络结构的管理部门研发部的主要工作人员对评估范围内的资产进行了逐项分析，比对财务资产清单，结合系统运行现状，识别出评估范围内的信息资产，形成了资产识别表；参考资产重要性程度判断准则为每个资产进行了重要性程度赋值。资产识别和赋值结果记录在资产识别表中。表5.2 硬件资产识别表资产识别表 - 硬件资产序号资产名称资产编号责任人应用描述重要性程度备注部门1核心路由器S001张三核心路由5Cisco 7206研发部2核心交换机S002张三核心交换机5Cisco 6509研发部3数据中心交换机S003张三交换机5Nexus 7000研发部4汇聚交换机S004张三交换机2Cisco3560研发部5接入交换机S005张三交换机2Cisco2960研发部6无线APS006张三无线接入点3Cisco AIR系列研发部7服务器S007张三服务器5浪潮天梭研发部8个人PCS008张三PC3联想扬天研发部9磁盘阵列S009张三磁盘组5华为OceanStor研发部10移动硬盘S010张三移动硬盘3希捷Backup研发部11U盘S011张三U盘2研发部12光纤S012张三光纤1研发部13双绞线S013张三双绞线1研发部14UPSS014张三UPS4研发部15PDU电源分配器S015张三PDU电源分配器4研发部16精密空调S016张三精密空调3研发部17打印机S017张三打印机2研发部18投影仪S018张三投影仪1研发部19液晶显示器S019张三液晶显示器1研发部20防火墙S020张三连接各分部3研发部表5.3 软件资产识别表资产识别表 - 软件资产序号资产名称描述重要性程度备注部门1Windows系统2003、XP2研发部2Linux系统5研发部3MySQL数据库5研发部4Vmware虚拟化软件74研发部5Apache软件5研发部6Squid代理服务器软件2研发部7Cacti监控软件3研发部8WPS office2研发部9福昕PDF2研发部10Eclipse2研发部11Memcached缓存服务器2研发部12Maven项目管理工具4研发部13Svn版本管理工具4研发部表5.4 服务资产识别表资产识别表 - 服务资产序号资产名称描述重要性程度备注部门1DNS服务3研发部2DHCP服务2研发部3FTP服务2研发部4HTTP服务2研发部5SNMP服务2研发部6NFS服务2研发部7VPN服务3研发部8邮件服务3研发部9ERP企业资源计划系统2SA研发部10HR系统2用友研发部11CRM客户关系管理系统2金蝶研发部12OA办公自动化系统5研发部表5.5 文档和数据资产识别表资产识别表 - 文档和数据序号资产名称责任人应用描述存储形式备份形式重要性程度备注部门1网络结构相关技术资料张三资料纸版、电子版电子备份5研发部表5.6 人力资产识别表资产识别表 - 人力资源序号岗位岗位描述姓名重要性程度备注部门1网络管理员网络管理员张三5研发部2网络管理员网络管理员李四5研发部表5.7 物理环境资产识别表资产识别表 - 物理环境序号资产名称使用范围描述重要性程度备注部门1总机房主要设备的机房4研发部5.3.2 重要资产的确定及三性赋值资产识别小组组织研发部工作人员，依据资产对主要业务、运作及声誉影响程度设定本单位重要资产的判定标准为：资产重要性程度值大于等于3。根据这个标准形成了系统重要资产清单。资产识别小组依据信息安全技术 信息安全风险评估规范（GB/T20984-2007）对于保密性、可用性、完整性的定义及资产赋值表，对重要资产进行了赋值制作重要资产赋值表。表5.8 硬件重要资产赋值表重要资产赋值表 - 硬件资产序号资产名称责任人应用描述机密性等级完整性等级可用性等级重要性程度部门1核心路由器张三核心路由5455研发部2核心交换机张三核心交换机5455研发部3数据中心交换机张三交换机5555研发部4无线AP张三无线接入点2233研发部5病毒服务器张三病毒服务器5555研发部6OA服务器张三OA服务器5555研发部7VPN服务器张三VPN服务器5555研发部8邮件服务器张三邮件服务器5555研发部9DNS服务器张三DNS服务器5555研发部10个人PC张三PC3333研发部11磁盘阵列张三磁盘组5555研发部12移动硬盘张三移动硬盘3323研发部13防火墙张三连接各分部3243研发部表5.9 软件重要资产赋值表重要资产赋值表 - 软件资产序号资产名称责任人应用描述机密性等级完整性等级可用性等级重要性程度部门1Linux系统张三4455研发部2MySQL数据库张三4455研发部3Vmware虚拟化软件张三4354研发部4Apache软件张三4455研发部5Cacti监控软件张三3333研发部6Maven项目管理工具张三4444研发部7Svn版本管理工具张三4444研发部表5.10 服务重要资产赋值表重要资产赋值表 - 服务资产序号资产名称责任人应用描述机密性等级完整性等级可用性等级重要性程度部门1DNS服务张三1343研发部2VPN服务张三3333研发部3邮件服务张三4433研发部4病毒服务张三5555研发部5OA办公自动化系统张三3333研发部表5.11 文档和数据重要资产赋值表重要资产赋值表 - 文档和数据序号资产名称责任人应用描述机密性等级完整性等级可用性等级重要性程度部门1网络结构相关技术资料张三网络结构相关技术资料5445研发部表5.12人力资源重要资产赋值表重要资产赋值表 - 人力资源序号资产名称姓名应用描述机密性等级完整性等级可用性等级重要性程度部门1网络管理员张三网络管理员3444研发部2网络管理员李四网络管理员3444研发部表5.13 物理环境重要资产赋值表重要资产赋值表 - 物理环境序号资产名称使用范围描述机密性等级完整性等级可用性等级重要性程度部门1机房机房3233研发部5.4 威胁识别威胁识别小组通过召集关技术人员召开会议，查阅安全设备日志和以往的安全事件记录，分析本系统在物理环境、网络、人员、设备故障、恶意代码及病毒等方面可能出现的情况，经项目负责人批准确认形成了威胁识别表：表5.14 重要硬件资产威胁识别表重要资产威胁识别表 - 硬件资产序号资产名称威胁类部门1防火墙操作失误研发部访问控制策略管理不当未授权访问资源原发抵赖2DNS服务器操作失误研发部木马后门攻击设备硬件故障网络病毒传播维护错误未授权访问系统资源系统负载过载3邮件服务器操作失误研发部滥用权限木马后门攻击社会工程威胁网络病毒传播维护错误未授权访问系统资源未授权访问资源4VPN服务器操作失误研发部滥用权限木马后门攻击社会工程威胁网络病毒传播维护错误未授权访问系统资源未授权访问资源5OA服务器操作失误研发部滥用权限木马后门攻击社会工程威胁网络病毒传播维护错误未授权访问系统资源未授权访问资源6磁盘阵列维护错误研发部7核心路由操作失误研发部维护错误未授权访问网络资源嗅探系统安全配置数据如账户、口令、权限等原发抵赖8病毒服务器操作失误研发部木马后门攻击设备硬件故障网络病毒传播维护错误未授权访问系统资源系统负载过载原发抵赖9核心交换机操作失误研发部维护错误原发抵赖10数据中心交换机操作失误研发部维护错误原发抵赖11无线AP操作失误研发部维护错误未授权访问网络资源嗅探系统安全配置数据如账户、口令、权限等原发抵赖12个人PC操作失误研发部维护错误未授权访问网络资源嗅探系统安全配置数据如账户、口令、权限等原发抵赖13移动硬盘操作失误研发部维护错误 表5.15 重要软件资产威胁识别表重要资产威胁识别表 - 软件资产序号资产名称威胁类部门1Linux系统系统软件故障研发部应用软件故障操作失误维护错误越权或滥用篡改2MySQL数据库数据库软件故障研发部操作失误维护错误越权或滥用篡改3Vmware虚拟化软件应用软件故障研发部操作失误维护错误越权或滥用篡改4Apache软件应用软件故障研发部操作失误维护错误越权或滥用篡改5Cacti监控软件应用软件故障研发部操作失误维护错误6Maven项目管理工具应用软件故障研发部操作失误维护错误7Svn版本管理工具应用软件故障研发部操作失误维护错误表5.16 重要服务资产威胁识别表重要资产威胁识别表 - 服务资产序号资产名称威胁类部门1DNS服务滥用权限泄漏秘密信息研发部数据篡改探测窃密未授权访问未授权访问系统资源用户或业务数据的窃取2VPN服务篡改用户或业务数据信息研发部控制和破坏用户或业务数据滥用权限泄漏秘密信息数据篡改探测窃密未授权访问3邮件服务篡改用户或业务数据信息研发部控制和破坏用户或业务数据滥用权限泄漏秘密信息数据篡改探测窃密未授权访问未授权访问系统资源用户或业务数据的窃取4病毒服务篡改用户或业务数据信息研发部控制和破坏用户或业务数据滥用权限泄漏秘密信息数据篡改探测窃密未授权访问未授权访问系统资源5OA办公自动化系统篡改用户或业务数据信息研发部控制和破坏用户或业务数据滥用权限泄漏秘密信息数据篡改探测窃密未授权访问未授权访问系统资源用户或业务数据的窃取表5.17 重要数据和文档资产威胁识别表重要资产威胁识别表 - 数据和文档序号资产名称威胁类部门1网络结构相关技术资料滥用权限研发部未授权访问资源表5.18 重要人力资源资产威胁识别表重要资产威胁识别表 - 人力资源序号资产名称威胁类部门1网络管理员（张三）社会工程威胁 研发部2网络管理员（李四）社会工程威胁研发部表5.19 重要物理环境资产威胁识别表重要资产威胁识别表 - 物理环境序号资产名称威胁类部门1总机房电磁干扰研发部访问控制策略管理不当5.5 脆弱性识别5.5.1 脆弱性识别内容和方法脆弱性识别小组针对不同类型的重要资产分组进行脆弱性分析，对网络设备、主机、数据库、应用程序进行了扫描，对网络设备、主机、数据库进行了配置核查，对安全管理进行了现场走访，发放了调查问卷，脆弱性识别小组最后进行汇总并确认，报项目负责人批准形成资产脆弱性汇总表。 在脆弱性识别过程中我们使用的扫描工具包括A公司的B型漏洞扫描器、应用层漏洞扫描器。 5.5.2 脆弱性识别结果表5.20 重要资产脆弱性汇总表序号资产名称脆弱性名称1防火墙安全保障设备的其它配置不当安装与维护缺乏管理缺少操作规程和职责管理未启用日志功能2DNS服务器安装与维护缺乏管理操作系统补丁未安装操作系统的口令策略没有启用操作系统的账户锁定策略没有启用操作系统开放多余服务缺少操作规程和职责管理未启用日志功能3邮件服务器安装与维护缺乏管理操作系统补丁未安装操作系统的口令策略没有启用操作系统的帐户锁定策略没有启用操作系统开放多余服务缺少操作规程和职责管理4VPN服务器安装与维护缺乏管理操作系统补丁未安装操作系统的口令策略没有启用操作系统的帐户锁定策略没有启用操作系统开放多余服务缺少操作规程和职责管理5OA服务器安装与维护缺乏管理操作系统补丁未安装操作系统的口令策略没有启用操作系统的帐户锁定策略没有启用操作系统开放多余服务缺少操作规程和职责管理6磁盘阵列缺少操作规程和职责管理7核心路由安装与维护缺乏管理没有制定访问控制策略日志及管理功能未启用未备份配置文件或存放不当8病毒服务器安装与维护缺乏管理操作系统补丁未安装操作系统的口令策略没有启用操作系统的账户锁定策略没有启用操作系统开放多余服务缺少操作规程和职责管理未启用日志功能9核心交换机安装与维护缺乏管理日志及管理功能未启用未备份配置文件或存放不当10数据中心交换机安装与维护缺乏管理日志及管理功能未启用未备份配置文件或存放不当11无线AP安装与维护缺乏管理日志及管理功能未启用未备份配置文件或存放不当12个人PC安装与维护缺乏管理日志及管理功能未启用未备份配置文件或存放不当13移动硬盘安装与维护缺乏管理14Linux系统安装与维护缺乏管理未备份配置文件或存放不当日志及管理功能未启用操作系统补丁未安装操作系统的口令策略没有启用操作系统的帐户锁定策略没有启用操作系统开放多余服务缺少操作规程和职责管理15MySQL数据库安装与维护缺乏管理缺少操作规程和职责管理16Vmware虚拟化软件安装与维护缺乏管理缺少操作规程和职责管理17Apache软件安装与维护缺乏管理缺少操作规程和职责管理18Cacti监控软件安装与维护缺乏管理缺少操作规程和职责管理19Maven项目管理工具安装与维护缺乏管理缺少操作规程和职责管理20Svn版本管理工具安装与维护缺乏管理缺少操作规程和职责管理21DNS服务未设置用户登录失败门限与超过门限后的处理措施无法保证用户使用的口令达到一定的质量要求无法检测存储的重要信息、数据是否出现完整性21VPN服务未设置用户登录失败门限与超过门限后的处理措施无法保证用户使用的口令达到一定的质量要求无法检测存储的重要信息、数据是否出现完整性22邮件服务未设置用户登录失败门限与超过门限后的处理措施无法保证用户使用的口令达到一定的质量要求无法检测存储的重要信息、数据是否出现完整性23病毒服务未设置用户登录失败门限与超过门限后的处理措施无法保证用户使用的口令达到一定的质量要求无法检测存储的重要信息、数据是否出现完整性24OA办公自动化系统未设置用户登录失败门限与超过门限后的处理措施无法保证用户使用的口令达到一定的质量要求无法检测存储的重要信息、数据是否出现完整性25网络结构相关技术资料没有访问控制策略或未实施信息资产没有清晰的分类标志26网络管理员 （张三）没有适当的奖惩规则没有正式的保密协议27网络管理员 （李四）没有适当的奖惩规则没有正式的保密协议28总机房机房出入、安全管理中心缺少出入防护机房缺少电磁防护6 综合风险分析6.1 风险分析方法风险分析小组采用矩阵法计算出威胁风险值，按照信息安全技术 信息安全风险评估规范中“威胁风险值 = R(A, T, V) = R(L(T, V), F(Ia, Va)”、“资产风险值资产重要性程度值威胁风险值”的公式，计算资产风险值，经项目负责人批准确认形成资产风险值表。威胁风险值计算步骤是：1 由威胁和脆弱性确定安全事件发生的可能性；2 由资产和脆弱性确定安全事件的损失；3 由安全事件发生的可能性和安全事件的损失确定风险值。表6.1 安全事件可能性矩阵威胁发生频率脆弱性严重程度123451247111423610131735912162047111418225812172025表6.2 安全事件可能性等级划分安全事件发生可能性值15611121617212225发生可能性等级12345表6.3 安全事件损失矩阵资产价值脆弱性严重程度1234512461013235912163471115204581419225610162125表6.4 安全事件损失等级划分安全事件损失值15610111516202125安全事件损失等级12345表6.5 风险矩阵损失等级可能性123451369121625811151836913172147111620235914202325表6.6 风险等级划分安全事件损失值16712131819232425安全事件损失等级123456.2 风险等级划分经风险分析小组确定并经项目负责人批准，我们设定资产风险值大于等于55为极高风险，小于55但大于等于40的为高风险，小于40但大于等于30的为中风险，小于30但大于等于20的为低风险，其余为极低风险。6.3 不可接收风险划分经风险分析小组确定并经项目负责人批准，我们设定威胁风险值大于等11或资产威胁风险值大于等于55的风险都属于不可接受风险。 6.4 风险分析结果根据6.2、6.3的划分准则，我们得到重要资产的风险值表： 表6.2 资产风险值表资产风险值表 - 全部资产序号资产名称资产重要程度威胁威胁发生频率脆弱性影响程度威胁风险值资产风险值是否可接受风险风险等级1防火墙3操作失误22824是低访问控制策略管理不当22824是低维护错误22824是低未授权访问资源22824是低原发抵赖331339否中2DNS服务器5操作失误22840是高木马后门攻击231155否极高设备硬件故障131155否极高网络病毒传播331680否极高维护错误22840是高未授权访问系统资源231155否极高系统负载过载12525是低3邮件服务器5操作失误22840是高滥用权限231155否极高木马后门攻击331680否极高社会工程威胁22840是高网络病毒传播331680否极高维护错误22840是高未授权访问系统资源231155否极高未授权访问资源231155否极高4VPN服务器5操作失误22840是高滥用权限231155否极高木马后门攻击331680否极高社会工程威胁22840是高网络病毒传播331680否极高维护错误22840是高未授权访问系统资源231155否极高未授权访问资源231155否极高5OA服务器5操作失误22840是高滥用权限231155否极高木马后门攻击331680否极高社会工程威胁22840是高网络病毒传播331680否极高维护错误22840是高未授权访问系统资源231155否极高未授权访问资源231155否极高6磁盘阵列5维护错误12525是低7核心路由5操作失误131155否极高维护错误131155否极高未授权访问网络资源22840是高嗅探系统安全配置数据如账户、口令、权限等231155否极高原发抵赖32840是高8病毒服务器5操作失误22840是高木马后门攻击231155否极高设备硬件故障131155否极高网络病毒传播331680否极高维护错误22840是高未授权访问系统资源231155否极高系统负载过载12525是低原发抵赖32840是高9核心交换机5操作失误12525是低维护错误12525是低原发抵赖12525是低10数据中心交换机5操作失误12