信息安全风险评估

重庆电子工程职业学院十一栋信息安全教室风险评估项目名称：信息安全教室风险评估风险评估单位：信安09级1班风险评估人员：黄洪目录一、风险评估概述 51.1风险评估概念 51.2风险评估相关 51.3信息安全现状 51.4风险评估目的 6二、风险评估活动概述 62.1风险评估工作组织管理 62.2风险评估工作过程 62.3评估步骤 72.4依据的技术标准及相关法规文件 82.5风险评估使用工具 9三、评估对象 93.1评估对象构成与定级 93.1.1网络结构 93.1.2业务应用 10四、资产识别与分析 114.1资产类型与赋值 114.1.1资产类型 114.2资产赋值 124.2.1保密性赋值 124.2.2完整性赋值 124.2.3可用性赋值 134.2.4资产重要性等级 134.2.5资产赋值表 14五、威胁识别与分析 145.1威胁识别 145.2威胁赋值 16六、脆弱性识别与分析 176.1常规脆弱性 176.1.1管理脆弱性 176.1.2网络脆弱性 176.1.3系统脆弱性 176.1.4应用脆弱性 176.1.5数据处理和存储脆弱性 176.1.6运行维护脆弱性 176.1.7灾备与应急响应脆弱性 176.1.8物理脆弱性 176.2脆弱性专项检测 176.2.1木马病毒专项检查 176.2.2渗透与攻击性专项测试 176.2.3关键设备安全性专项测试 176.2.4设备采购和维保服务专项检测 176.2.5其他专项检测 176.2.6安全保护效果综合验证 176.3脆弱性识别内容表 17七、风险分析 187.1风险计算结果 187.2风险等级 197.1.1风险等级列表 197.1.2风险等级统计 197.1.3基于脆弱性的风险排名 197.1.4风险结果分析 20八、综合评价和建议 208.1综合评价 208.2防范建议 20

一、风险评估概述1.1风险评估概念信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、国家标准《信息系统安全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。1.2风险评估相关资产，任何对组织有价值的事物。威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法，去顶资产风险等级和优先控制顺序。1.3信息安全现状伴随着信息技术的飞速发展,我国高校信息化建设不断取得新的成果,高校信息的安全是学校正常运行的保证。据统计,100%的一类重点本科高校拥有校园网,10%以上的高校已经开始建设数字化校园。各个院校对网络和信息系统的依赖程度越来越大,同时面临的信息安全问题也更加复杂化,如何在有限的人力、物力、财力条件下最大限度保障信息安全是每个院校面临的共同问题。因此,对高校进行信息安全风险评估势在必行。1.4风险评估目的风险评估的目的是全面、准确的了解组织机构的网络安全现状，发现系统的安全问题及其可能的危害，为系统最终安全需求的提出提供依据。准确了解组织的网络和系统安全现状。二、风险评估活动概述2.1风险评估工作组织管理为了更好的了解信息安全状况，根据《信息安全风险评估指南》和GB/T20984-2007《信息安全技术信息安全风险评估规范》要求，总体评估信息化建设风险。2.2风险评估工作过程风险评估的实施流程见下图所示2.3评估步骤风险评估项目描述备注1、网络安全评估知识培训网络信息安全典型案例培训目的是为了让客户对网络安全有个清晰的认识，从而在评估前就引起其重视，方便后面动作的开展。网络安全评估流程培训目的是为了客户能理解我们的工作，从而获得客户的支持。2、资产评估收集信息完成《资产信息登记表》可以远程操作3、威胁评估对物理安全进行评估参照《物理安全规范表》访谈、查看相关文档，实地考察对人员安全管理进行评估参照《人员安全管理规范表》访谈人事部门相关人员4、弱点评估（完成网络安全、应用安全、主机安全规范表）整体网络安全信息Xscan-gui进行全网安全扫描，获得全网的安全统计使用网络版杀毒杀毒软件对全网络的操作系统漏洞情况进行扫描统计使用工具共享资源扫描整个网络，同时演示给客户其暴露在内网中的敏感信息应用服务Nessus对服务器系统进行安全扫描使用自动化评估脚本对服务器安全信息进行收集根据checklist对服务器进行本地安全检查使用密码强度测试工具请求客户网管进行密码强度测试网络设备Nessus对网络设备进行安全扫描使用密码强度测试工具请求客户网管进行密码强度测试根据checklist对网络设备进行本地安全检查5、安全管理评估网络拓扑结构分析分析冗余、负载均衡功能数据安全调查《数据安全规范表》管理机构评估《安全管理机构规范表》需要访谈对方领导，需要先获得领导的支持与配合安全管理制度《安全管理制度规范表》通过问卷调查的方式获得部分内容、管理制度文档审查系统建设管理《系统建设管理规范表》查看相关文档、访谈网管系统运维管理《系统运维管理规范表》访谈部门领导、网管。实地考察6、渗透测试渗透测试参考有关渗透测试方案签署有关授权协议渗透测试报告《XX系统渗透测试报告》7、数据整理、风险评估报告以及加固建议资产风险《资产风险评估报告》信息系统安全《整体网络安全报告》领导参阅版和技术人员参阅版加固建议《安全加固报告》、《管理规范建议》根据checklis进行加固2.4依据的技术标准及相关法规文件《信息安全风险评估指南》《信息系统安全等级保护测评准则》《信息系统安全等级保护基本要求》《信息系统安全保护等级定级指南》(试用版v3.2)《计算机机房场地安全要求》（GB9361-88）《计算机信息系统安全等级保护网络技术要求》（GA/T387-2002）《计算机信息系统安全等级保护操作系统技术要求》（GA/T388-2002）《计算机信息系统安全等级保护数据库管理系统技术要求》（GA/T389-2002）《计算机信息系统安全等级保护通用技术要求》（GA/T390-2002）《计算机信息系统安全等级保护管理要求》（GA/T391-2002）《计算机信息系统安全等级保护划分准则》（GB/T17859-1999）2.5风险评估使用工具序号名称功能描述版本用途1数据库安全扫描系统可扫描Qracle、SqlServer、SybaseATX数据库漏洞扫描2ISS网络扫描器可扫描各类操作系统和应用系统7.0sp2网络、主机漏洞扫描3天镜脆弱性扫描系统可扫描各类操作系统和应用系统6.0网络、主机漏洞扫描4极光远程安全评估系统可扫描各类操作系统和应用系统AURORA-200网络、主机漏洞扫描5网络综合协议分析仪OptiView网络透视与协议分析，网络性能测评INA网络流量监控6网络系统管理,HPOpenView自动发现网络拓扑图、网络性能与故障管理NNM6.0绘制网络拓扑图三、评估对象3.1评估对象构成与定级3.1.1网络结构信息安全机房，网络结构为星型结构，共分为八个区，每个区由六台电脑组成，主要用于学生进行信息安全试验。平面分布图如下：网络拓扑图：3.1.2业务应用主要用于老师教学，学生做实验。四、资产识别与分析4.1资产类型与赋值4.1.1资产类型首先需要将信息系统及相关的资产进行恰当的分类，以此为基础进行下一步的风险评估。根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类型。分类示例数据保存在信息媒介上的各种数据资料，包括源代码、数据库数据、系统文档、运行管理规程、计划、报告、用户手册等软件系统软件：操作系统、语句包、工具软件、各种库等应用软件：外部购买的应用软件，外包开发的应用软件等源程序：各种共享源代码、自行或合作开发的各种代码等硬件网络设备：路由器、网关、交换机等计算机设备：大型机、小型机、服务器、工作站、台式计算机、移动计算机等存储设备：磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等传输线路：光纤、双绞线等保障设备：动力保障设备（UPS、变电设备等）、空调、保险柜、文件柜、门禁、消防设施等安全保障设备：防火墙、入侵检测系统、身份验证等其他：打印机、复印机、扫描仪、传真机等服务办公服务：为提高效率而开发的管理信息系统（MIS），包括各种内部配置管理、文件流转管理等服务网络服务：各种网络设备、设施提供的网络连接服务信息服务：对外依赖该系统开展的各类服务文档纸质的各种文件，如传真、电报、财务报告、发展计划等人员掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理等其它企业形象，客户关系等4.2资产赋值4.2.1保密性赋值根据资产在保密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上应达成的不同程度或者机密性缺失时对整个组织的影响。资产机密性赋值表赋值标识定义5很高包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性的影响，如果泄露会造成灾难性的损害4高包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害3中等组织的一般性秘密，其泄露会使组织的安全和利益受到损害2低仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成轻微损害1很低可对社会公开的信息，公用的信息处理设备和系统资源等4.2.2完整性赋值根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上缺失时对整个组织的影响。资产完整性赋值表赋值标识定义5很高完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补。4高完整性价值较高，未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重，较难弥补。3中等完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但可以弥补。2低完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，对业务冲击轻微，容易弥补。1很低完整性价值非常低，未经授权的修改或破坏对组织造成的影响可以忽略，对业务冲击可以忽略。4.2.3可用性赋值根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上应达成的不同程度。资产可用性赋值表赋值标识定义5很高可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上，或系统不允许中断。4高可用性价值较高，合法使用者对信息及信息系统的可用度达到每天90%以上，或系统允许中断时间小于10分钟。3中等可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上，或系统允许中断时间小于30分钟。2低可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上，或系统允许中断时间小于60分钟。1很低可用性价值可以忽略，合法使用者对信息及信息系统的可用度在正常工作时间低于25%。4.2.4资产重要性等级资产价值应依据资产在保密性、完整性和可用性上的赋值等级，经过综合评定得出。根据最终赋值将资产划分为五级，级别越高表示资产越重要，确定重要资产的范围，并主要围绕重要资产进行下一步的风险评估。资产等级及含义描述等级标识描述5很高非常重要，其安全属性破坏后可能对组织造成非常严重的损失。4高重要，其安全属性破坏后可能对组织造成比较严重的损失。3中比较重要，其安全属性破坏后可能对组织造成中等程度的损失。2低不太重要，其安全属性破坏后可能对组织造成较低的损失。1很低不重要，其安全属性破坏后对组织造成导很小的损失，甚至忽略不计。4.2.5资产赋值表五、威胁识别与分析对威胁来源（内部/外部；主观/不可抗力等）、威胁方式、发生的可能性，威胁主体的能力水平等进行列表分析。5.1威胁识别种类描述威胁子类软硬件故障由于设备硬件故障、通讯链路中断、系统本身或软件缺陷造成对业务实施、系统稳定运行的影响。设备硬件故障、传输设备故障、存储媒体故障、系统软件故障、应用软件故障、数据库软件故障、开发环境故障。物理环境影响断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境问题或自然灾害。无作为或操作失误由于应该执行而没有执行相应的操作，或无意地执行了错误的操作，对系统造成的影响。维护错误、操作失误管理不到位安全管理无法落实，不到位，造成安全管理不规范，或者管理混乱，从而破坏信息系统正常有序运行。恶意代码和病毒具有自我复制、自我传播能力，对信息系统构成破坏的程序代码。恶意代码、木马后门、网络病毒、间谍软件、窃听软件越权或滥用通过采用一些措施，超越自己的权限访问了本来无权访问的资源，或者滥用自己的职权，做出破坏信息系统的行为。未授权访问网络资源、未授权访问系统资源、滥用权限非正常修改系统配置或数据、滥用权限泄露秘密信息网络攻击利用工具和技术，如侦察、密码破译、安装后门、嗅探、伪造和欺骗、拒绝服务等手段，对信息系统进行攻击和入侵。网络探测和信息采集、漏洞探测、嗅探（账户、口令、权限等）、用户身份伪造和欺骗、用户或业务数据的窃取和破坏、系统运行的控制和破坏物理攻击通过物理的接触造成对软件、硬件、数据的破坏。物理接触、物理破坏、盗窃泄密信息泄露给不应了解的他人。内部信息泄露、外部信息泄露篡改非法修改信息，破坏信息的完整性使系统的安全性降低或信息不可用。篡改网络配置信息、篡改系统配置信息、篡改安全配置信息、篡改用户身份信息或业务数据信息抵赖不承认收到的信息和所作的操作和交易。原发抵赖、接收抵赖、第三方抵赖5.2威胁赋值等级标识定义5很高出现的频率很高（或≥1次/周）；或在大多数情况下几乎不可避免；或可以证实经常发生过。4高出现的频率较高（或≥1次/月）；或在大多数情况下很有可能会发生；或可以证实多次发生过。3中出现的频率中等（或>1次/半年）；或在某种情况下可能会发生；或被证实曾经发生过。2低出现的频率较小；或一般不太可能发生；或没有被证实发生过。1很低威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生。六、脆弱性识别与分析6.1常规脆弱性6.1.1管理脆弱性6.1.2网络脆弱性6.1.3系统脆弱性6.1.4应用脆弱性6.1.5数据处理和存储脆弱性6.1.6运行维护脆弱性6.1.7灾备与应急响应脆弱性6.1.8物理脆弱性6.2脆弱性专项检测6.2.1木马病毒专项检查6.2.2渗透与攻击性专项测试6.2.3关键设备安全性专项测试6.2.4设备采购和维保服务专项检测6.2.5其他专项检测电磁辐射、卫星通信、光缆通信等。6.2.6安全保护效果综合验证6.3脆弱性识别内容表类型识别对象识别内容技术脆弱性物理环境从机房场地、机房防火、机房供配电、机房防静电、机房接地与防雷、电磁防护、通信线路的保护、机房区域防护、机房设备管理等方面进行识别。网络结构从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行识别。系统软件（含操作系统及系统服务）从补丁安装、物理保护、用户账号、口令策略、资源共享、事件审计、访问控制、新系统配置（初始化）、注册表加固、网络安全、系统管理等方面进行识别。数据库软件从补丁安装、鉴别机制、口令机制、访问控制、网络和服务设置、备份恢复机制、审计机制等方面进行识别。应用中间件从协议安全、交易完整性、数据完整性等方面进行识别。应用系统从审计机制、审计存储、访问控制策略、数据完整性、通信、鉴别机制、密码保护等方面进行识别。管理脆弱性技术管理从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性等方面进行识别。组织管理从安全策略、组织安全、资产分类与控制、人员安全、符合性等方面进行识别。七、风险分析7.1风险计算结果风险列表资产编号资产风险值资产名称14学生用计算机24实验专用各类服务器7.2风险等级7.1.1风险等级列表等级标识描述5很高一旦发生将产生非常严重的经济或社会影响，如组织信誉严重破坏、严重影响组织的正常经营，经济损失重大、社会影响恶劣。4高一旦发生将产生较大的经济或社会影响，在一定范围内给组织的经营和组织信誉造成损害。3中一旦发生会造成一定的经济、社会或生产经营影响，但影响面和影响程度不大。2低一旦发生造成的影响程度较低，一般仅限于组织内部，通过一定手段很快能解决。1很低一旦发生造成的影响几乎不存在，通过简单的措施就能弥补。7.1.2风险等级统计资产风险等级统计表风险等级资产数量所占比例123%246%34273%469%569%7.1.3基于脆弱性的风险排名等级标识定义5很高出现的频率很高（或≥1次/周）；或在大多数情况下几乎不可避免；或可以证实经常发生过。4高出现的频率较高（或≥1次/月）；或在大多数情况下很有可能会发生；或可以证实多次发生过。3中出现的频率中等（或>1次/半年）；或在某种情况下可能会发生；或被证实曾经发生过。2低出现的频率较小；或一般不太可能发生；或没有被证实发生过。1很低威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生。7.1.4风险结果分析风险等级划分对照表风险值1-67-1213-1819-2324-25风险等级12345根据资产价值和脆弱性严重程度值在矩阵中进行对照，确定威胁的风险等级为5级八、综合评价和建议8.1综合评价