集团风险评估项目策划技术建议书

1、65/71_XXXX集团风险评估项目技术建议书_二一四年八月目 录 TOC 1-3 hzu HYPERLIK l _Tc39699479第章项目方案设计 PGREF _Toc39699479 h1HYPERINK_Toc396994801.1设计目标 AGEREF _Tc396999 h 1 HYPELIl _Tc396994811.设计原则 PAGERToc39999481 h 1 HYPENK l_T396942 1.3.设计依据PAGEREF _Toc39992 h 2 YERLNK l _Toc369948 1.1政策依据GRF_oc369993h HYERLINK l _To3994

2、4 1.标准依据PAGRE _oc369944 3 YPERLINl _oc396999485 .方法模型AGEREF_Toc396999485 h 3 PINK l _T39699486 1.4.1.风险关系模型 AEEFc39699486 3 HYPELIK _oc369987 1.风险分析方法模型 PAGEREF_Toc3969948 h HYPERLINK _T3699948 .5.工具方法 PAEEF _o396994 h6 HYPERLINK l _Toc39699491.5.1.风险评估采纳方法 PAE_To3699489 h 6 HPERLINKl_Toc39999 1.5.2

3、.风险评估使用工具PAERE _96999490 h6 HPERLINKl Tc39699991 第章项目实施流程 PAGEF_oc969994 7HPERIK l _oc3969992 2.1.时期1：项目启动时期PEEF o36999492 h 7 HYPERLIN l_To9943 11时期目标 PAGRE _Toc999993 h HYERINK l_To396999494 2.1.2.时期步骤 EREF _Toc969494 8 ERLINK l _Toc39995 2.1.3.时期输出 PAGEF_Toc39999495 h HYERLIK l _c399949 2.1.时期2:资

4、产评估时期 PGEREF _Toc39699946 h 9 HYLNK _oc9699 2.1.时期目标 PAGRFT3699497 h 9HYPERLINK l _Toc39699982.1.时期步骤 AGERF _T39949 h9 HYPERLINKl_Toc999492.1.3.时期方法 PAG_Tc39999 9 HYPELI l Toc3969990.1.时期输出 PAGEREFTo396950 h1 HYPERLIN l _Toc39699501 .2时期：威胁评估 PE _Tc39699501 h0PERLINK l _To3969950222.1.时期目标 PAEREF _T

5、oc36999502 h 1 HYPRLINK l _oc36999503 2.22时期步骤PAGERF _Tc39699503 1 YPERNKl_Toc3999954 .2.3.时期方法 PAEE _Toc354 h HYPERLIK _Toc999505 2.2.4.时期输出 PEF _oc69955 h 12 YPEIl To969950 2.时期4：脆弱性评估 PAGREF _To396996 12 HYERN l _Tc3999950723.1时期目标 PAER _Toc699957 h 2HYPRLI _Toc399958 2.3.实施步骤 AGER_To396908 h 1 H

6、YPERLINl To3969999 23.3.已有安全措施识不 PAGEEF _oc3999509 2 YPERLINKl _Toc3699102.时期输出 PAEF _T39995h YPRLINK l Toc699911 4.时期：风险综合分析 AGEEF_o9699511h 28 HYPEIN l _Toc699912.1.时期目标 PAGREF _o96999512h 28HYPRLNK l _Toc96995132.2.时期步骤 AEREF_Toc396913 PERLNK l _Toc396954 2.4.3.时期输出 PERF _To9699514h 3 HYPERLIN l

7、_Toc3969995125.时期6:风险处置打算AGRE_Toc3969915 31 YPRLI To3699516 26.时期7:项目交付 PAGEEF _oc399516 h32 YPERLINKl _c3969957.6.成果交付PARE oc6997 h HYPELINKo3969995182.6.项目验收 AGREF_c96958 h 33 HYPEINK l_Toc96999519 第章项目治理 ARF _To969919 h 33 PLINK l_Tc3999520 .组织治理 AGEEF _Toc969950 h HYPRNKl _oc39699951 3.范围治理 AGER

8、EFToc9951 h34 HERLINKl _To39999522 3.范围定义PEREF _o3969952 35 HYPERLINK l _To399523 3.2范围变更操纵 PAEREF _oc39699523 h 35 HYPLINKToc399952433.进度治理 PEREF_Tc369924 h 6 HYPERINK _Toc399525 3.4.风险治理 PERF_oc969525 36 HYPRLINKl _Tc99995 3.5.质量治理 PAGEF To3699956 h HYPERLI lToc3969952 3.5.项目实施负责人质量操纵 PAERF_oc3969

9、9527 h 7 YPELINK l _To369992 3.5.2.项目经理质量操纵 PEE _Toc399952 h 37 HYPERINK l_Tc3952 3.质量治理质量操纵 PAEFoc999529 h 37HYPRINK l _Toc369530.6.沟通治理 PAGRE To9699950 h 8HYPELIK l_oc369995 .1协调沟通机制差不多准则 PAREF_Toc3699531 h38 HYRLINK l _Toc36999532 36.2.沟通打算 PGR _oc99952 h38 HEINK _Toc396999533 37会议治理 PAGEEF _To99

10、99533h 39 HYPELIN oc39699534 .8.文档治理 PAGEREFoc39699953 39 HYPERLIN l _To39653 3.保密治理 PAGERF_To39699535 h4 HYPELKl_oc999936 第4章人员安排 PAGERF 99536 40HYPERIN_oc39537 第章项目打算PGERF _c39699537h 44YPERLIKl Toc9699538 5.总体打算 PAGERF _Toc3969953 4HPELINK Toc6999539 第章客户收益 PAEREF Toc3969939 4 YLNK l To369990第7章成

11、果交付一览表 PGEREF _Tc3999954 46 HYPELIN l_Toc396954第章成功案例PAGEREF c3969954 46 YERIN l _To9699942 8.1.重点案例列表 PAGEREF _c369942 h 6 HYERLIK _oc3999953 8.2.重点案例简介 GRE _To399543 h 47 HPELK _To969544 8.2.金融案例 AGRE_oc39999544 47 HYPERLNK l _Tc39955 .2.2.电信案例 PAGERE _Tc39699954 h 8 HYPRLINK l _Toc396999546 8.能源案

12、例 PAREF _Tc39699546 h 8 YPERI l _Toc3699547 .24.政府案例 AEREF _oc36547 h49 YERLINK loc399948第9章公司优势 PAGREF _Toc39699548 h 9 HPERLI l _oc369995499.1.公司简介PERE _Toc399954h 4HYPERLNK l _Toc96999550 92.公司资质 GERF _To3969955h 5项目方案设计设计目标本次风险评估的安全服务项目要紧目标是：通过风险评估,得到XXX集团的整体安全现状;通过资产评估,得到XXX集团的网络信息安全资产状况，并录入资产库

13、,进行资产梳理；通过威胁评估,得到XXX集团存在的安全威胁情况;通过脆弱性评估，得到XXXX集团当前业务系统存在的脆弱性；对各个业务系统进行综合风险分析,得到风险情况，提出分系统的安全解决方案；提出各个系统的风险处置解决方案。设计原则1标准性原则遵循国家、行业和组织相关标准开展风险评估工作。2.可控性原则在项目建设与实施过程中，应保证参与实施的人员、使用的技术和工具、过程差不多上可控的。3完整性原则项目方案要充分考虑项目所有环节，做到统筹兼顾，细节清晰。4.最小阻碍原则项目的所有时期，保证项目实施过程工作对系统正常运行的可能阻碍降低到最低限度,可不能对客户目前的业务系统运行造成明显的阻碍。5.

14、保密原则项目的所有时期，将严格遵循保密原则,服务过程中涉及到的任何用户信息均属保密信息，不得泄露给第三方单位或个人,不得利用这些信息损害用户利益。并与XXX集团签订保密协议，承诺未经同意不向其他任何第三方泄露有关信息系统的信息。设计依据本方案设计要紧参照以下政策和标准进行设计。政策依据表格SQ 表格*ARABIC 1 相关策略时刻相关政策文件0年国家信息化领导小组关于加强信息安全保障工作的意见(中办发27号文),提出“要重视信息安全风险评估工作，对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估”。200年为贯彻落实2号文件精神，原国信办组织有关单位和专家编写了信息安全风险评估指

15、南。2005年国务院信息化工作办公室关于印发信息安全风险评估试点工作方案的通知(国信办【005】号)，组织在北京、上海、黑龙江、云南等地点以及银行、税务、电力等重要行业开展信息安全风险评估试点工作。200年由国家网络与信息安全协调小组讨论通过的关于开展信息安全风险评估工作的意见(国信办205号)，文件要求三年内在国家基础信息网络和重要行业信息系统中普遍推行信息安全风险评估工作。中共中央办公厅国务院办公厅关于印发00622年国家信息化进展战略的通知（中办2611号文)提出加强信息安全风险评估工作。 0年为保障十七大,在国家基础信息网络和重要信息系统范围内，全面展开了自评估工作。(中国移动、电力、

16、税务、证券)2008年关于加强国家电子政务工程建设项目信息安全风险评估工作的通知（发改高技082071号），明确“加强和规范国家电子政务工程建设项目信息安全风险评估工作”。标准依据表格 SEQ 表格 * AAB2 相关标准标准类型参考标准国际标准IO108 信息技术安全评估准则IO/E TR 135信息和通信技术安全治理ISO/TR569银行和相关金融服务信息安全指南ISO/IEC 200 信息安全治理体系系列标准SNZ4360风险治理NIST S 800-0 I系统风险治理指南国内标准B9计算机信息系统安全爱护等级划分准则G 20984信息安全风险评估规范GBT 22239信息安全技术信息系

17、统安全等级爱护差不多要求GBZ 2085信息技术安全技术信息安全事件治理指南GB 20信息安全技术信息安全事件分类分级指南G/T2230信息安全技术信息系统安全等级爱护差不多要求G/T 22240-208信息安全技术信息系统安全爱护等级定级指南各组织或行业内相关要求方法模型本方案中提供的风险评估与治理模型参考了多个国际风险评估标准，建立安全风险关系模型和安全风险分析方法模型。风险关系模型风险关系模型从安全风险的所有要素:资产、阻碍、威胁、弱点、安全操纵、安全需求、安全风险等方面形象地描述的他们各自之间的关系和阻碍，风险关系模型如下图所示。图 SEQ 图 * ARABIC 1风险关系模型图在上述

18、关系图中：资产指组织要爱护的资产,是构成整个系统的各种元素的组合,它直接的表现了那个系统的业务或任务的重要性，这种重要性进而转化为资产应具有的爱护价值。它包括计算机硬件、通信设备、物理线路、数据、软件、服务能力、人员及知识等等。弱点是物理布局、组织、规程、人员、治理、硬件、软件或信息中存在的缺陷与不足,它们不直接对资产造成危害,但弱点可能被环境中的威胁所利用从而危害资产的安全。弱点也称为“脆弱性”或“漏洞”。威胁是引起不期望事件从而对资产造成损害的潜在可能性。威胁可能源于对组织信息直接或间接的攻击,例如非授权的泄露、篡改、删除等,在机密性、完整性或可用性等方面造成损害；威胁也可能源于偶发的、或

19、蓄意的事件。一般来讲,威胁总是要利用组织网络中的系统、应用或服务的弱点才可能成功地对资产造成损害。从宏观上讲，威胁按照产生的来源能够分为非授权蓄意行为、不可抗力、人为错误、以及设施设备错误等。安全风险是环境中的威胁利用弱点造成资产毁坏或损失的潜在可能性。风险的大小要紧表现在两个方面:事故发生的可能性及事故造成阻碍的大小。资产、威胁、弱点及爱护的任何变化都可能带来较大的风险,因此，为了降低安全风险,应对环境或系统的变化进行检测以便及时采取有效措施加以操纵或防范。安防措施是阻止威胁、降低风险、操纵事故阻碍、检测事故及实施恢复的一系列实践、程序或机制。安全措施要紧体现在检测、阻止、防护、限制、修正、

20、恢复和监视等多方面。完整的安全爱护体系应协调建立于物理环境、技术环境、人员和治理等四个领域。通常安防措施只是降低了安全风险而并未完全杜绝风险，而且风险降低得越多，所需的成本就越高。因此,在系统中就总是有残余风险(R）的存在，如此,系统安全需求的确定实际上也是对余留风险及其同意程度的确定。风险分析方法模型在安全风险分析方法模型中提供了风险计算的方法,通过两个因素:威胁级不、威胁发生的概率，通过风险评估矩阵得出安全风险。图 SEQ 图* AAIC风险分析原理图风险分析中要涉及资产、威胁、脆弱性三个差不多要素。每个要素有各自的属性,资产的属性是资产价值;威胁的属性能够是威胁主体、阻碍对象、出现频率、

21、动机等；脆弱性的属性是资产弱点的严峻程度。风险分析的要紧内容为：) 对资产进行识不，并对资产的价值进行赋值；b) 对威胁进行识不,描述威胁的属性,并对威胁出现的频率赋值；） 对脆弱性进行识不，并对具体资产的脆弱性的严峻程度赋值；d)依照威胁及威胁利用脆弱性的难易程度推断安全事件发生的可能性;） 依照脆弱性的严峻程度及安全事件所作用的资产的价值计算安全事件造成的损失；f） 依照安全事件发生的可能性以及安全事件出现后的损失,计算安全事件一旦发生对组织的阻碍，即风险值。工具方法风险评估采纳方法风险评估常用方法如下：调查访谈物理安全访谈表、人员安全访谈表、网络安全访谈表、系统安全访谈表等等;工具扫描网

22、络安全扫描、应用安全扫描、系统安全扫描等等;人工检查操作系统hekist、数据库checkist、网络设备cekls等等;渗透测试由专业渗透测试工程师模拟黑客攻击方式对网络与信息系统进行非破坏性漏泀验证性测试；文档查阅治理制度查阅、治理策略查阅、安全指导方针查阅等等。风险评估使用工具风险评估常用工具要紧有以下几大类:资产发觉类工具端口服务检测类漏洞扫描检测类网络嗅探分析类安全审计分析类系统验证测试类合规遵循检查类各种定制脚本类 各种专项检测类项目实施流程我们将整个项目的实施内容分为7个时期。从项目启动时期到项目验收整个项目实施过程，我们用WBS图中完整地描述了整个项目实施过程的重要工作任务。图

23、 Q 图 * ABIC项目实施流程图时期1:项目启动时期现在期是项目的启动和打算时期，是项目实施时期的开始,对项目整个过程的实施工作与项目治理工作都特不重要。时期目标在现在期的要紧工作目标是召开评估项目启动会议,并就项目组的工作方式、日常流程、工作打算、交付件蓝图进行沟通和确认。时期步骤评估项目启动时期,是整个项目过程中，对项目的有效性的一种保证。实施风险评估是一种战略性的考虑,其结果将受到组织的业务战略、业务流程、安全需求、系统规模和结构等方面的阻碍。步骤一：项目组织，确定双项目组织结构及人员分工。步骤二:召开项目启动会，包括项目中需要落实内容：获得支持和配合;确定项目的目标;确定项目的内容

24、;组建项目服务团队;对项目的对象、范围进行调研并确认；宣贯风险评估方法和评估思想;建立项目组的工作场所和环境;确定项目组的工作流程,包括文档交付流程、项目更改流程等；确定项目组的工作方式，包括指定接口人,保密方式,资料保管和备份方式等。步骤三:确定各个细节后,项目启动完成，进入项目实施时期。时期输出本时期完成后输出如下文件：项目实施打算项目启动会议纪要项目蓝图保密协议书项目组织结构和人员职责项目范围确认书培训打算（针对风险评估知识宣贯实施方法)时期2:资产评估时期爱护资产免受安全威胁是本项目实施的全然目标。要做好这项工作，首先需要详细了解资产分类与治理的详细情况。时期目标资产识不的目的确实是要

25、系统的相关资产做潜在价值分析,了解其资产利用、维护和治理现状。明确各类资产具备的爱护价值和需要的爱护层次，从而使企业能够更合理的利用现有资产，更有效地进行资产治理，更有针对性的进行资产爱护,最具策略性的进行新的资产投入。时期步骤时期一：依照项目范围进行资产分类与识不,包括主机设备、网络设备、数据库系统、应用系统、文档资产、人员资产等等。时期二：进行资产识不，分类并赋值。时期方法表格SQ 表格 * ARBIC3资产评估方法项目名称资产分类调查简要描述采集资产信息，进行资产分类，划分资产重要级不及赋值;达成目标采集资产信息，进行资产分类,划分资产重要级不及赋值；进一步明确评估的范围和重点。要紧内容

26、采集资产信息，猎取资产清单；进行资产分类划分;确定资产的重要级不,对资产进行赋值。实现方式调查。填表式调查。资产调查表,包含计算机设备、通讯设备、存储及保障设备、信息、软件等。交流。批阅已有的针对资产的安全治理规章、制度。与高级主管、业务人员、网络治理员(系统治理员）等进行交流。工作条件-3人工作环境,2台笔记本，电源和网络环境，客户人员和资料配合。工作结果资产类不、资产重要级不。参加人员依据现场状况，启明星辰全体评估人员在业务系统相关技术和治理人员的配合下进行资产分类调查。时期输出本时期完成后输出文档如下：资产详细清单资产赋值列表时期:威胁评估威胁是指可能对资产或组织造成损害事故的潜在缘故。

27、作为风险评估的重要因素，威胁是一个客观存在的事物，不管关于多么安全的信息系统,它都存在。为全面、准确地了解系统所面临的各种威胁，需采纳威胁分析方法。 时期目标通过威胁分析，找出系统目前存在的潜在风险因素，并进行统计，赋值，以便于列出风险。时期步骤威胁识不采纳人工审计、安全策略文档批阅、人员面谈、入侵检测系统收集的信息和人工分析。步骤一:把差不多发觉的威胁进行分类;步骤二:把发觉的威胁事件进行分析。时期方法表格 SQ 表格 ARAIC 威胁调查评估项目名称威胁调查评估简要描述使用技术手段分析信息系统可能面临的所有安全威胁和风险。达成目标全面了解掌握信息系统可能面临的所有安全威胁和风险。对威胁进行

28、赋值并确定威胁等级。要紧内容被动攻击威胁与风险：网络通信数据被监听、口令等敏感信息被截获等。主动攻击威胁与风险:扫描目标主机、拒绝服务攻击、利用协议、软件、系统故障、漏洞插入或执行恶意代码(如:特洛依木马、病毒、后门等）、越权访问、篡改数据、伪装、重放所截获的数据等。邻近攻击威胁与风险:毁坏设备和线路、窃取存储介质、偷窥口令等。分发攻击威胁与风险:在设备制造、安装、维护过程中,在设备上设置隐藏的后门或攻击途径、内部攻击威胁与风险：恶意修改数据和安全机制配置参数、恶意建立未授权连接、恶意的物理损坏和破坏、无意的数据损坏和破坏。实现方式调查交流工具检测人工检测工作条件2-3人工作环境，2台笔记本，

29、电源和网络环境，客户人员和资料配合工作结果依照分析结果列出系统所面临的威胁,对威胁赋值并确定威胁级不参加人员启明星辰评估小组，网络治理人员、系统治理人员时期输出本时期完成要紧输出文档如下：威胁调查表威胁赋值列表时期：脆弱性评估脆弱性是对一个或多个资产弱点的总称，脆弱性评估是对技术脆弱性和治理脆性进行识不和赋值的过程。时期目标技术脆弱性要紧是采纳工具扫描、人工检查（checklist）、渗透测试、访谈等方式对物理环境、网络结构、系统软件、应用软件、业务流程等进行脆弱性识不并赋值。治理脆弱性要紧是通过治理访谈、文档查阅等方式对安全治理制度、安全治理机构、人员安全治理、安全建设治理、安全运维治理等进

30、行脆弱性识不并赋值。实施步骤脆弱性识不步骤要紧是通过技术脆弱性和治理脆弱性来进行识不。技术脆弱性物理环境物理安全是一切系统安全的基础。对物理安全的评估将从机房选址、建设;职员、外来访问者进入机房的权限操纵；机房的报警、电子监控以及防火、防水、防静电、防雷击、防鼠害、防辐射、防盗窃、火灾报警及消防措施、内部装修、供配电系统等方面进行。表格 EQ表格ARABI 5物理安全评估项目名称物理安全评估简要描述分析物理安全是否满足相关的安全标准。达成目标准确把握物理安全中的安全隐患，提出安全建议。要紧内容评估环境安全：机房选址、建设、防火、防水、防静电、防雷击、防鼠害、防辐射、防盗窃、火灾报警及消防措施、

31、内部装修、供配电系统是否满足相关国家标准;内部及外来人员对机房的访问权限操纵；安全审查及治理制度。评估设备安全:门控系统、网络专用设备（路由器，交换机等)和主机设备(终端计算机，打印机、服务器等）。设备安全要紧包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源爱护、维修、报废等;设备冗余备份。评估介质安全：软盘、硬盘、光盘、磁带等媒体的治理,信息媒体的维修将保证所存储的信息不被泄漏，不再需要的媒体，将按规定及时安全地予以销毁。实现方式问询现场检查资料收集工作条件客户人员和资料配合工作结果依据相关的物理安全标准，结合客户的实际需求,协助客户改进安全措施参加人员客户机房、设备

32、治理员、维护人员，启明星辰评估小组网络结构从网络结构设计、边界爱护、外部访问操纵策略、内部访问操纵策略、网络设备安全配置等方面进行识不。网络结构分析是风险评估中对业务系统安全性进行全面了解的基础,一个业务系统的网络结构是整个业务系统的承载基础,及时发觉网络结构存在的安全性、网络负载问题,网络设备存在的安全性，抗攻击的问题是整个业务系统评估的重要环节。对评估对象的物理网络结构，逻辑网络结构及网络的关键设备进行评估（差不多信息包括网络带宽、协议、硬件、Intrn接入、地理分布方式和网络治理。)，发觉存在的安全性，合理性，使用效率等方面的问题。结合业务体系、系统体系等结构的检查逻辑网络,由什么物理网

33、络组成以及网络的关键设备的位置所在关于保持网络的安全是特不重要的。另外,鉴定关键网络拓扑，关于成功地一个实施基于网络的风险治理方案是专门关键的。网络结构分析能够做到:改善网络性能和利用率,使之满足业务系统需要提供有关扩充网络、增加IT投资和提高网络稳定性的信息关心用户降低风险,改善网络运行效率,提高网络的稳定性确保网络系统的安全运行对网络环境、性能、故障和配置进行检查在本项目安全工程中，网络体系既起着支撑正常业务的作用,本身也作为提供给用户使用的信息基础设施的一部分。在评估过程中,要紧针对网络拓扑、访问操纵策略与措施、网络设备配置、安全设备配置、网络性能与业务负载几个方面进行调查与分析。系统软

34、件系统软件指对操作系统、数据库系统等采纳访谈、heklist、漏洞扫描工具等方式对用户帐号、口令策略、资源共享、访问操纵、新系统配置(初始化)、网络安全等脆弱性方面进行识不,并赋值。应用软件应用软件是指应用系统本身或者中间平台，进行脆弱性分析要紧包括身份签不、访问操纵策略、通信、鉴不机制、密码爱护等方面进行。业务流程依据业务过程的数据流程评估客户的业务流程，从信息产生到信息消亡整个过程所涉及的业务系统。目的是了解客户业务流程的安全隐患,协助客户进行业务流程的安全防护。表格 E表格 ARABIC 6业务流程评估项目名称业务流程评估（数据流程）简要描述依据业务过程的数据流程评估客户的业务流程达成目

35、标了解客户业务流程的安全隐患，协助河北移动治理信息系统进行业务流程的优化要紧内容业务数据流向，输入、传输、存储、输出策略:业务要求、使用范围、安全等级业务实现方式业务安全要求各时段业务负载量业务流程优化建议授权和认证、审计、加密、完整性、不可否认性等实现方式调查检查工作结果数据流图、业务关系图、报告参加人员启明星辰评估人员,客户相关主管和业务人员治理脆弱性安全治理制度项目中的安全治理制度要从安全治理制度的安全要求、安全治理制度的制定和公布、安全治理制度的评审和修订三部分依照等级爱护的具体内容来进行治理部分的脆弱性识不。安全治理机构安全治理机构的脆弱性识不要从岗位设置、人员配备、授权和审批、沟通

36、和合作、审核和检查五个方面,依照等级爱护的安全要求的具体内容来进行安全治理机构的脆弱性发觉。人员安全治理人员安全治理的脆弱性识不是按照人员录用、人员离岗、人员考核、人员的安全意识教育和培训、外部人员的治理这五个部分内容,依照等级爱护级不和各个类不的安全要求来进行脆弱性发觉。安全建设治理安全建设治理要紧是从安全边界和定级、安全方案设计、安全产品采购和使用、自主研发环境安全、外包软件研发环境安全、工程实施安全、测试验收、交付、安全服务商的选择、安全网络定级备案安全10个方面来进行安全建设的脆弱性发觉识不。安全运维治理安全运维治理是从环境治理、资产治理、介质治理、设备治理、网络安全治理、系统安全治理

37、、恶意代码防范治理、密码治理、变更治理、备份与恢复治理、安全事件处置、应急预案治理等1个方面发觉在日常安全运维中存在的安全脆弱性。已有安全措施识不在脆弱性识不中，发觉差不多实施的安全脆弱性防护手段,进行整理。时期输出本时期完成后要紧输出文档如下：脆弱性赋值列表已有安全措施列表时期：渗透测试方案通过各种安全扫描工具、手工检查、网络架构分析、渗透性测试等技术手段识不信息系统的各项脆弱点，分析可能存在的系统漏洞,评估系统防入侵、拒绝恶意攻击、抗风险的能力。渗透测试方法渗透测试完全模拟黑客的入侵思路与技术手段，黑客的攻击入侵需要利用目标网络的安全弱点，渗透测试也是同样的道理。以人工渗透为主,辅助以攻击

38、工具的使用，如此保证了整个渗透测试过程都在能够操纵和调整的范围之内。针对各应用系统的渗透测试方法包括以下方法但不局限于以下方法:测试类型测试描述信息收集信息收集是渗透攻击的前提,通过信息收集能够有针对性地制定模拟攻击测试打算，提高模拟攻击的成功率，同时能够有效的降低攻击测试对系统正常运行造成的不利阻碍。信息收集的方法包括端口扫描、操作系统指纹判不、应用判不、账号扫描、配置判不等。端口扫描通过对目标地址的TCP/UDP端口扫描,确定其所开放的服务的数量和类型，这是所有渗透测试的基础。通过端口扫描，能够差不多确定一个系统的差不多信息，结合安全工程师的经验能够确定其可能存在以及被利用的安全弱点,为进

39、行深层次的渗透提供依据。口令推测本时期将对暴露在公网的所有登陆口进行口令猜解的测试,找出各个系统可能存在的弱口令或易被猜解的口令。猜解成功后将接着对系统进行渗透测试,挖掘嵌套在登录口背后的漏洞、查找新的突破口以及可能泄漏的敏感信息，并评估相应的危害性。猜解的对象包括:WB登录口、FTP端口、数据库端口、远程治理端口等。远程溢出这是当前出现的频率最高、威胁最严峻，同时又是最容易实现的一种渗透方法，一个具有一般网络知识的入侵者就能够在专门短的时刻内利用现成的工具实现远程溢出攻击。关于在防火墙内的系统存在同样的风险，只要对跨接防火墙内外的一台主机攻击成功，那么通过这台主机对防火墙内的主机进行攻击就易

40、如反掌。本地溢出本地溢出是指在拥有了一个一般用户的账号之后,通过一段专门的指令代码获得治理员权限的方法。使用本地溢出的前提是首先要获得一个一般用户的密码。也确实是讲由于导致本地溢出的一个关键条件是设置不当的密码策略。多年的实践证明,在通过前期的口令推测时期猎取的一般账号登录系统之后,对系统实施本地溢出攻击,就能猎取不进行主动安全防备的系统的操纵治理权限。脚本测试脚本测试专门针对We服务器进行。依照最新的技术统计，脚本安全弱点为当前系统尤其存在动态内容的Web系统存在的要紧比较严峻的安全弱点之一。利用脚本相关弱点轻则能够猎取系统其他目录的访问权限,重则将有可能取得系统的操纵权限。因此关于含有动态

41、页面的W系统，脚本测试将是必不可少的一个环节。权限猎取通过初步信息收集分析，存在两种可能性，一种是目标系统存在重大的安全弱点,测试能够直接操纵目标系统；另一种是目标系统没有远程重大的安全弱点，然而能够获得一般用户权限，这时能够通过该一般用户权限进一步收集目标系统信息。接下来尽最大努力取得超级用户权限、收集目标主机资料信息,寻求本地权限提升的机会。如此不停的进行信息收集分析、权限提升的结果形成了整个的渗透测试过程。渗透测试流程渗透测试流程严格依照下图执行，采纳可操纵的、非破坏性质的渗透测试,并在执行过程中把握好每一个步骤的信息输入/输出,操纵好风险，确保对网络不造成破坏性的损害,保证渗透测试前后

42、信息系统的可用性、可靠性保持一致。图 EQ图表 * ARIC 1渗透测试流程渗透测试工具工具类型测试工具名称信息收集工具搜索引擎:Google、百度、ng等NS工具:Nsop、DG、DNSmap等信息探究工具：matigo在线网络数据库：I、Ripe、ui、Netcrft等漏洞扫描工具天镜6、Nmap、SpeScn、Ness等口令推测工具Hydra溢出测试工具MetaSplot工具集脚本测试工具天镜6.0、JbFuz等网银客户端安全测试工具1、钩子工具，有RIN3钩子、ING0钩子;2、客户端修改程序工具:LCCypto.zip3、内存读取测试工具：Winx;4、屏幕截图和屏幕录像工具；5、截

43、取发包测试工具：Winsockpet、逆向测试工具：Ollb渗透测试内容通过可控的安全测试技术对限定范围内的应用系统进行渗透测试，同时结合业界闻名的OSTMM与OWASP测试框架组合成最佳实践进行操作。本次渗透测试将参考OSM测试框架中的以下技术方法：信息收集和状态评估网络节点枚举和探测系统服务和端口扫描验证应用层测试漏洞挖掘与验证本次渗透测试将参考OWASP 2013最新公布的十大Wb应用漏洞排名,并使用测试框架中相应的技术方法:SQ注入跨站脚本(XS）恶意文件执行不安全的直接对象引用跨站请求伪造(CSF)信息泄漏和错误处理不当认证和会话治理失效不安全的加密存储不安全的通讯UR访问失效渗透测

44、试试用例库为保证渗透测试内容的全面性以及测试漏洞的深入挖掘，启明星辰总结了多年的渗透测试经验与丰富的渗透测试用例，以下是启明星辰用于Web应用层渗透测试的用例库,测试条目涵盖了全面/最新的Web应用层漏洞与测试方法,将依照不同应用系统的特性进行有针对性的匹配测试。测试类型 测试条目测试描述信息收集目录爬行遍历那个时期将通过扫瞄、目录爬行的方式捕获收集应用的资源。搜索引擎侦测搜索引擎,比如Gool，能够用来发觉公开公布的网页应用结构或者错误页面等相关问题。应用程序入口探测枚举应用入口和攻击途径是入侵发生之前的预警。这部分枚举完成后，将关心测试人员找出在应用里面应该重点关注的领域。Web应用程序指

45、纹探测应用指纹是信息收集的第一步。猎取运行网页服务器的版本，让测试人员明白哪些是已知弱点及在测试时使用何种方法恰当。应用程序发觉本项测试发觉以e服务器的网页应用作为目标。本项测试关于发觉细节/查找突破尤为有效,比如发觉用于治理的应用脚本，或旧版本的文件/控件,在测试、开发或维护过程中产生的已不用的脚本。分析错误代码信息泄漏在渗透性测试过程中,网页应用可能泄露原本不想被用户看见的信息。错误码等信息能让测试者了解应用程序使用的有关技术和产品。专门多情况下,由于异常处理和程序代码的不合理，甚至不需要任何专门技术或工具,都专门容易触发产生错误代码的条件从而产生错误代码导致被攻击者利用。配置治理测试SS

46、/TLS测试SSL和TS是两个以加密的方式为传输的信息提供安全隧道的协议，具有爱护、加密和身份认证的功能。这些安全组件在应用中特不关键,因此确保高强度的加密算法和正确的执行特不重要。本项测试的模块为：SSL版本、算法、密钥长度、数字证书、有效期。数据库监听器（DB Listne）测试许多数据库治理员在配置数据库服务器时，没有充分考虑到数据库侦听器组件的安全。假如没有进行安全的配置而使用手动或自动的技术进行侦听，侦听器就可能泄露敏感数据以及配置信息或正在运行的数据库实例信息。泄露的信息对测试者来讲通常是有用的,他能将此应用到后续更深入的测试中去。基础配置信息测试Web应用基础架构由于其内在的复杂

47、性和关联性，一个微小的漏洞就可能对同一服务器上的另一个应用程序产生严峻的威胁,甚至破坏整个架构的安全。为了解决这些问题，对配置的治理和已知安全问题进行深入审查尤为重要。应用程序配置信息测试通常在应用程序开发和配置中会产生一些没有考虑到的信息，而这些信息临时被公布后的eb应用程序所隐藏。这些信息可能从源代码、日志文件或We服务器的默认错误代码中泄露。文件扩展名处理测试通过W服务器或Web应用程序上的文件扩展名能够识不出目标应用程序使用的技术,例如扩展名SP与ASP。文件扩展名也可能暴露与该应用程序相连接的其它系统。旧文件、备份文件、未引用文件测试eb服务器上存在多余的、可读、可下载的文件,同时用

48、于备份的文件，是信息泄漏的一大源头。因为它们可能包含应用程序和或数据库的部分源代码，安装路径以及密码等敏感信息。本项测试验证这些文件是否存在于公布的eb应用系统上。应用程序治理接口测试许多应用程序的治理接口通常使用一个公用路径,路径猎取后可能面临推测或暴力破解治理密码的风险。此项测试目的是找到治理接口，并检测是否能够利用它来猎取治理员权限。HTTP请求方法与ST测试Wb服务器能够配置为多种请求方式，如Gt、ost、ete等,此项测试将鉴定Web服务器是否同意具有潜在危险性的HTTP请求方法,同时鉴定是否存在跨网站追踪攻击（XST）。认证测试证书加密通道传输安全性测试本项测试试图分析用户输入We

49、b表单中的数据，如为了登录网站而输入的登录凭据是否使用了安全的传输协议,以免受到攻击。用户枚举测试本项测试为了验证是否可能通过与应用程序的认证机制交互(提示信息),收集有效的用户。这项测试好于暴力破解，一旦猎取有效的用户名后,就可针对性的进行密码攻击。字典猜解测试本项测试鉴定应用系统是否存在默认的用户帐户或可推测的用户名密码组合（遍历测试)。口令暴力猜解测试当遍历攻击失败，测试者可尝试使用暴力破解的方式进行验证。暴力破解测试肯能可能碰到锁定用户或IP等限制。验证绕过测试本项测试尝试以特不规的方式企图绕过身份认证机制,使得应用程序资源失去正常的爱护,从而能够在没有认证的情况下访问这些受爱护的资源

50、。密码重置/找回漏洞测试本项测试鉴定应用程序的“不记得密码”功能是否起到足够的爱护，检查应用程序是否同意用户在扫瞄器中存储密码。用户注销缓存漏洞测试检查注销和缓存功能能否得到正确实现。多因素认证漏洞测试多因素身份验证将测试以下认证方式的安全性：一次性密码(OT）所生成的验证码，US加密设备基于X.09证书的智能卡通过SMS发送的随机一次性密码只有合法用户明白的个人信息会话治理测试会话治理测试本项测试分析会话治理模式和机制,鉴定发送给客户端扫瞄器的会话验证码的安全性,鉴定是否能够打破这一机制从而绕过用户会话。如：对Cookie实行反向工程,通过篡改Cooies来劫持会话。Cooie属性测试Coo

51、ies通常是恶意用户攻击合法用户的关键途径。本项测试将分析应用程序在分派Coie时如何采取必要的防护措施,以及这些已正确配置的oie属性。会话固定测试本项测试鉴定当应用程序在成功验证用户后不再更新ookie 时,能否找到会话固定漏洞并迫使用户使用攻击者已知的ookie。会话变量泄漏测试由于会话验证码连系了用户身份和用户会话,它所代表的是保密信息。本项测试鉴定会话验证码是否暴露在漏洞中,并试着追溯会话攻击。CR跨站请求伪造测试跨站伪造请求指在W应用中，迫使已通过验证的未知用户执行非法请求的方法。本项测试鉴定应用程序是否存在这种漏洞。授权测试路径遍历测试本项测试鉴定是否能够找到一种方法来执行路径遍

52、历攻击并获成功得服务器返回的信息。授权绕过测试本项测试核实如何对某个角色或特权实施授权模式以便获得保留的功能和资源。权限提升测试本项测试确认用户是否可能采纳特权提升攻击的方式修改自己在应用程序内部的特权或角色。数据验证测试跨站脚本反射测试反射式跨站脚本攻击 (XS) 是非持久性跨站脚本攻击的另一个名称。该攻击可不能使用存在漏洞的Web应用程序加载，而使用受害者载入的违规的RI。本项测试将确认应用程序对来自用户提交的恶意代码是否进行了存储或反射处理，对各类非法字符进行了严格过滤。存储跨站脚本测试储存式跨站脚本（XS)是一种最危险的跨站脚本。同意用户存储数据的Web应用程序都有可能遭受这种类型的攻

53、击。SL 注入测试(Oracle yqlMsSQL Acess)SQL注入测试检测是否有可能将数据注入到应用程序中，以便在后端数据库中执行用户定制的QL查询。假如应用程序在没有合理验证数据的情况下使用用户输入创建Q查询,那幺讲明该应用程序存在SQL注入漏洞。成功利用这一类不的漏洞会导致未授权用户访问或操作数据库中的数据。Coe 注入测试代码注入测试检测是否有可能在应用程序中注入稍后由Web服务器执行的代码。OS Comandin本项测试将设法通过HP请求在应用程序中注入S命令。缓冲区溢出测试（字符串格式)本项测试将检查不同类型的缓冲区溢出漏洞。Web服务测试Web服务信息收集进行eb服务测试的

54、第一步是确定WS入口点和链接图标。XM架构测试ML需要有合法的格式才能正确的运作。当服务器端进行XML语句分析时,不合规格的XML将会出错。一个解析器需要在整个XM信息中按照序列的方式完全运行,如此才能评估XML格式是否合格。XML解析器通常占用较多的PU资源。某些攻击通过发送大量或者不合规的XML信息来利用那个漏洞。X内容级不测试内容级不的攻击对象是eb服务及其使用的应用程序的服务器,包括eb服务器、数据库、应用程序服务器、操作系统等等。内容级不攻击向量包括：1)SQL注入/XPat注入 2)缓存溢出 3）命令注入。HTTP GET参数/REST测试许多XM应用程序是通过HTTP GT查询传

55、输参数来使用的。在HTTP GET字符串例如,超长的参数(28字符）、SL语句/注入(或OS注入参数)中传输恶意内容时，Web服务将会受到攻击。Nught SAP附件本项测试将检测同意附件的Wb服务的是否存在漏洞。这类危险存在于当信息附加到服务器和分配到用户的时候。重放测试重放攻击的威胁在于攻击者能够伪装成一个合法用户的身份，然后不被察觉的情况下进行一些恶意操作。本项测试将检测We服务是否存在重放漏洞渗透测试验证针对本次测试过程中发觉的漏洞进行层次性的安全加固,特不关于通过渗透测试发觉的漏洞进行适应性的补救和加固措施,在保证不阻碍正常业务的情况下，配合行方运行维护人员或安全治理人员实施加固方案

56、。关于加固后的系统进行重复性的渗透测试验证,以保障漏洞不可利用性,同时验证安全加固措施的有效性。最后形成具体验证成果报告,确保对外提供安全稳定的应用服务。时期：风险综合分析风险是一种潜在可能性，是指某个威胁利用弱点引起某项资产或一组资产的损害，从而直接地或间接地引起企业或机构的损害。因此,风险和具体的资产、其价值、威胁等级以及相关的弱点直接相关。从上述的定义能够看出，风险评估的策略是首先选定某项资产、评估资产价值、挖掘并评估资产面临的威胁、挖掘并评估资产存在的弱点、评估该资产的风险、进而得出整个评估目标的风险。时期目标本时期目标是对目前存在的安全风险进行分析，包括风险的计算、风险的处置和风险的

57、安全操纵措施选择。依照计算出的风险值，对风险进行排序，并与客户共同选择风险的处置方式和风险的安全操纵措施。时期步骤步骤一：风险计算3.4.风险的计算在完成了资产识不、威胁识不、脆弱性识不后，将采纳适当的方法确定威胁利用脆弱性导致安全事件发生的可能性，综合资产价值及脆弱性的严峻程度推断安全事件一旦发生造成的损失,最终得到风险值,风险计算原理如图所示:图 S 图 RABC风险计算原理对风险计算原理能够采纳下面的范式形式化加以讲明:风险值 = R(A，,V)= R(L（Ta,Vb），（Ia，Va）)其中，R表示安全风险计算函数,A表示资产,T表示威胁,表示脆弱性，Ta表示威胁出现的频率,Ia表示安全

58、事件所作用的资产价值,a表示脆弱性严峻程度,b表示存在的脆弱性，L表示威胁利用资产存在的脆弱性导致安全事件发生的可能性,F表示安全事件发生后产生的损失。有以下三个关键计算环节：1.计算安全事件发生的可能性依照威胁出现频率及脆弱性状况，计算威胁利用脆弱性导致安全事件发生的可能性，即：安全事件发生的可能性 =L(威胁出现频率，脆弱性)=L（Ta，Vb）在具体评估中,应综合攻击者技术能力(专业技术程度、攻击设备等）、脆弱性被利用的难易程度（可访问时刻、设计和操作知识公开程度等)、资产吸引力等因素来推断安全事件发生的可能性。2.计算安全事件的损失 依照资产价值及脆弱性严峻程度，计算安全事件一旦发生造成

59、的损失,即：安全事件的损失 (资产价值，脆弱性严峻程度）= (Ia，V)部分安全事件发生造成的损失不仅仅是针对该资产本身,还可能阻碍其提供业务的连续性。不同安全事件对组织造成的阻碍也是不一样的，在计算某个安全事件的损失时,应将对组织的阻碍也考虑在内。计算风险值依照计算出的安全事件发生的可能性以及安全事件的损失,计算风险值,即：风险值 =R(安全事件发生的可能性,安全事件的损失）=R（T，Vb),F(,a）步骤二：进行风险结果判定确定风险数值的大小不是组织风险评估的最终目的，重要的是明确不同威胁对资产所产生的风险的相对值，即要确定不同风险的优先次序或等级,关于风险级不高的资产应被优先分配资源进行

60、爱护。风险等级建议从到5划分为五级。等级越大,风险越高。评估者也能够依照被评估系统的实际情况自定义风险的等级。下表提供了一种风险等级划分方法。表格 SEQ 表格 ARI 7风险图等级标识描述专门高一旦发生将使系统遭受特不严峻破坏,组织利益受到特不严峻损失，如严峻破坏组织信誉、严峻阻碍组织业务的正常运行、经济损失重大、企业阻碍恶劣等4高假如发生将使系统遭受比较严峻的破坏,组织利益受到专门严峻损失3中等发生后将使系统受到一定的破坏,组织利益受到中等程度的损失2低发生后将使系统受到的破坏程度和利益损失一般1专门低即使发生只会使系统受到较小的破坏步骤三:选择操纵措施依照风险分析的结果,综合考虑客户信息