网络风险评估方案

网络风险评估方案

一、网络安全评估服务背景.........................................................

1.1安全评估概念...................................................................

1.2安全评估的目的.................................................................

1.3目标现状描述...................................................................

二、风险评估内容说明.............................................................

2.1风险等级分类...................................................................

2.2评估目标分类...................................................................

2.3评估手段.......................................................................

2.4评估步骤.......................................................................

2.5评估检测原则...................................................................

三、评估操作.......................................................................

3.1人员访谈&调查问卷.............................................................

3.2人工评估&工具扫描.............................................................

3.3模拟入侵.......................................................................

四、项目实施计划..................................................................

4.1项目实施.......................................................................

4.2项目文档的提交.................................................................

附录一；使用的工具简单介绍........................................................

Nessusscanner3.2英文版............................................................

Xscan-guiv3.3中文版..............................................................

辅助检测工具.......................................................................

附录二：*****信息技术有限公司简介................................................

1.1网络安全服务理念...............................................................

1.2网络安全服务特点...............................................................

一、网络安全评估服务背景

1.1风险评估概念

信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜

在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可

能造成的损失，提出风险管理措施的过程。当风险评估应用于1T领域时，就是对信息

安全的风险评估。

风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操

作，逐渐过渡到目前普遍采用国际标准的BS7799、【SO17799、国家标准《信息系统安

全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/管

理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。

1.2风险评估目的

风险评估的目的是全面、准确的了解组织机构的网络安全现状，发现系统的安全

问题及其可能的危害，为系统最终安全需求的提出提供依据。准确了解组织的网络和

系统安全现状。具有以下目的：

令找出目前的安全策略和实际需求的差距

令获得目前信息系统的安全状态

令为制定组织的安全策略提供依据

令提供组织网络和系统的安全解决方案

＜为组织未来的安全建设和投入提供客观数据

。为组织安全体系建设提供详实依据

此外还可以通过选择可靠的安全产品通过合理步骤制定适合具体情况的安全策略及

其管理规范，为建立全面的安全防护层次提供了一套完整、规范的指导模型。

1.3目标现状描述

XXXXXXX省略XXXX

二、风险评估内容说明

2.1风险等级分类

信息系统风险包括下表所示内容，本方案按照国家二级标准将对XX公司信息风险进行

评估。

下面列出了根据弱点威胁严重程度与弱点发生的可能性的赋值表：

威胁严重程度（资产价值）划分表

一旦发生将产生非常严重的经济或社会影响，如组织信誉严重破坏、严重影响组

5很高

织的正常经营，经济损失重大、社会影响恶劣。

一旦发生将产生较大的经济或社会影响，在一定范围内给组织的经营和组织信誉

4高

造成损害。

3中一旦发生会造成一定的经济、社会或生产经营影响，但影响面和影响程度不大。

一旦发生造成的影响程度较低，一般仅限于组织内部，通过一定手段很快能解

2低

1很低一旦发生造成的影响几乎不存在，通过简单的措施就能弥补。

威胁可能性赋值表

定义

出现的频率很高（或》1次/周）；或在大多数情况下几乎不可避免；或可以证实

很高

出现的频率较高（或21次/月）；或在大多数情况下很有可能会发生：或可以

高

出现的频率中等（或〉1次/半年）：或在某种情况下可能会发生：或被证实曾经

中

发生过。

2低出现的频率较小：或一般不太可能发生；或没有被证实发生过。

1很低威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生。

对资产弱点进行赋值后，使用拒阵法对弱点进行风险等级划分。风险评估中常用的矩阵表格如卜.:

威胁可能性12345

10）系统运维管理

在实际的评估操作中，由于出于工作效率的考虑，将评估目标进行整合实施考察,

评估完成后再根据评估信息对划分的10个部分进行核对，检查达标的项目。

2.3评估手段

安全评估采用评估工具和人工方式进行评估，艮］根据定制的扫描策略实施远程评

估，根据评估工具的初步结果进行人工分析和本机控制台分析。

2.4评估步骤

风险评估项目

1、网络安全评估知识培训

网络信息安全典型案例目的是为了让客户对网络安全有个清晰的认识，从而在评估前就引起其重视，方便

网络安全评估流程培训目的是为了客户能理解我们的工作，从而获得客户的支持:。

3、威胁评估

对物理安全进行评估访谈、查看相关文档，实地考察

访谈人事部门相关人员

估

Xscan-gui进行全网安全扫描，获得全网的安全统计

整体网络安全信息使用网络版杀毒杀毒软件对全网络的操作系统漏洞情况进行扫描统计

使用工具共享资源扫描整个网络，同时演示给客户其暴露在内网中的敏感信息

Nessus对服务器系统进行安全扫描

使用自动化评估脚本对服务器安全信息进行收集

根据checklist对服务器进行本地安全检查

使用密码强度测试工具请求客户网管进行密码强度测试

Nessus对网络设备进行安全扫描

使用密码强度测试工具请求客户网管进行密码强度测试

根据checklist对网络设备进行本地安全检查

需要访谈对方领导，需要先获得领

通过问卷调杳的方式获得部分内

《安全管理制度规范表》

容、管理制度文档审皆

访谈部门领导、网管。实地考察

《XX系统渗透测试报告》

资产风险《资产风险评估报告》

信息系统安全《整体网络安全报告》领导参阅版和技术人员参阅版

加固建议《安全加固报告》、《管理规范建议》根据checklis进行加固

2.5评估检测原则

2.5.1标准性原则

依据国际国内标准开展工作是本次评估工作的指导原则，也是*****信息技术有

限公司提供信息安全服务的一贯原则。在提供的评估服务中，依据相关的国内和国际

标准进行。这些标准包括：

《信息安全风险评估指南》

《信息系统安全等级保护测评准则》

《信息系统安全等级保护基本要求》

《信息系统安全保护等级定级指南》(试用版v3.2)

《计算机机房场地安全要求》(GB936I-88)

《计算机信息系统安全等级保护网络技术要求》(GA/T387-2OO2)

《计算机信息系统安全等级保护操作系统技术要求》(GA/T388-2002)

《计第:机信息系统安全等级保护数据库管理系统技术要求》(GA/T389-2002)

《计算机信息系统安全等级保护通用技术要求》(GA/T39O-2OO2)

《计算机信息系统安全等级保护管理要求》(GA/T391-2CO2)

《计算机信息系统安全等级保护划分准则》(GB/T17859-1999)

2.5.2可控性原则

人员可控性：将派遣数名经验丰富的工程师参加本项目的评估工作，有足够的经

验应付评估工程中的突发事件。

工具可控性：在使用技术评测工具前都事先通告，并且在必要时可以应客户要

求，介绍主要工具的使用方法，并进行一些实验。

2.5.3完整性原则

将按照提供的评估范围进行全面的评估，从范围上满足的要求。实施的远程评估

将涉及全部外网可以访问到的设备；实施的本地评估将全面覆盖安全需求的各个点。

2.5.4最小影响原则

*****信息技术有限公司会从项目管理层面和工具使用层面，将评估工作对系统和网络正常运行的

可能影响降低到最低限度，不会对现有运行业务产生.显着影响。

*****信息技术有限公司和参加此次评估项目的所有项目组成员，都要与签署相

关的保密协议。

三、评估操作

3.1人员访谈&调查问卷

为了检查XXXX安全现状，主要在安全管理方面进行一个安全状况的调查和摸底，

我们采取安全审计的方法，主要依据国家等级安全标准的耍求，*****向XXXX提交

了详细的问题清单，针对管理层、技术人员和普通员工分别进行面对面的访谈。

通过人员访谈的形式，大范围地了解XXXX在信息安全管理方面的各项工作情况和

安全现状，作为安全弱点评估工作中的一个重要手段。

过程描述

此阶段主要通过提出书面的问题审计清单，安全工程师进行问题讲解，和XXXX相

关人员共同回答，并询问相关背景和相关证据的工作方式，以此来了解XXXX的关于

信息安全各方面的基本情况。

此访谈包括的内容为：物理安全规范、人员安全规范、数据安全规范、安全管理制

度规范、安全管理机构规范、系统建设管理规范、系统运维管理规范。

3.2人工评估&工具扫描

此内容评估采用扫描工具和人工方式（仿黑客攻击手段）进行评估，即根据定制

的扫描策略实施远程评估，根据评估工具的初步结果进行人工分析和本机控制台分

析。

专业安全评估软件

•

•Sql注入渗透测试工具

安全评估辅助工具

•

•阿D注入工具v2.3

•模拟入侵渗透测试

•本地自动化检测脚本评估

•全网安全统计报告

•出具安全加固报告

工具扫描过程描述

由于评估可实际操作的时间有限，我们对该网络安全评估制定以下评估步骤：

网关设备的安全扫描评估，其内容包括：

♦用Nessus扫描网关设备，获取设备的操作系统漏洞信息，开启的服务信

息以及开放的多余端口信息等，工具自动生成扫描报告；

应用服务器的安全扫描评估，评测内容为：

♦用nessus扫描各个服务器，获取操作系统的漏洞信息，开启的服务信息和

暴露出来的敏感信息等，工具自动生成扫描报告。

整体网络扫描探测，评测内容为：

♦使用xscan-gui扫描网络内的共享资源、并根据评估人员总结的密码列表

进行常用密码猜解；如果时间充足将考虑进行共享资源、弱口令的利用演

示，让客户了解该威胁的严重性。

♦使用客户自有的网络版杀毒软件控制中心漏洞扫描功能对用户电脑进行漏

洞检测；（如果客户未部署网络版杀毒软件，则不操作此项。）

人工评估过程描述

网关设备的人工评估，其内容包括：

♦登录设备分析router、firewall、switch等网关设备的配置；

♦根据checklist对网络设备进行手工检测；

♦对网络设备密码进行强度测试；

应用服务器的人工评估，其内容包括：

♦使用自动化评估脚本进行信息收集；

♦根据checklist对服务器进行手工检测；

♦对服务器密码进行强度测试：

♦对服务滞日志进行审计，获取服务器的安全状况；（有一定难度，选做）

整体网络安全的人工评估，其内容包括：

♦分析网络拓扑图是否具备一定的攻击防范、重要设备冗余等信息；

♦分析整体网络的网段划分、IP地址规划是否合理；

最后分析工具扫描、人工评估中收集到的所有数据，并做出加固建议报告:

♦分析所有扫描日志及人工评估记录，做出安全分析报告;

♦针对出现的安全威胁做出加固建议报告C

3.3模拟入侵

在获得客户授权的情况下，对路由器、firewall,网站进行远程模拟入侵，在指定时间，我公司工程师

将完全模拟外部入侵者的身份以一切可行的入侵方式，做到对网络无伤害的攻击，完全从黑客的角度

发现受检系统的所有安全漏洞或安全隐患；

过程描述

a.远程模拟入侵将突破口暂定为公司对外网站、路由器设备、vpn设备等几个出

口。

b.如能远程从这三个的Internet出口找出可入侵的突破口，将继续寻找其他隐患试

图向骨干网深入。

c.找到突破口后，尝试利用漏洞提权，获取WEBshell。

3.3.2安全弱点的探测方法

a）自编程序：对某些产品或者系统，已经发现了一些安全漏洞，但并不一定及

时对这些漏洞的打上“补丁程序。通过这些漏洞进入目标系统。？

b）利用商业的软件：例如nessus等网络安全分析软件，可以对目标进行扫描，

寻找规则库中的安全漏洞。

c）手工分析：结合*****信息技术有限公司的网络安全工程师的工作经验，对目

标服务器进行手工提交的方式（SQL注入等方式）模拟入侵。

当我们取得需要的信息以后。将建立一个类似攻击对象的模拟环境，然后对模拟目

标机进行一系列的入侵。

如我公司工程师在入侵测试工作中成功突破Web服务器或其它相关主机并可接触

到应用程序段或数据库段，我公司将立即以文档或口头方式告之项目负责人。并在次

日与项目负责人会面并商讨下一步入侵检测工作计划，如发生入侵检测工作影响到网

站及其它服务器正常服务情况。我公司工程师将在第一时间通知相关技术人员，并以

最快的速度赶往现场协助相关技术人员处理相关问题。

四、项目实施计划

针对网络安全评估项目，我们定制如下的工作流程:

4.1项目实施

工作项目

用户信息收集阶段

2用户需求安全等级

3服务器、网络设备统计做详细统计，确定评估范围

4其他信息

安全评估方案实施阶段

1网络设备评估

根据《XX渗透测试实施方案》

只对安全内容进行概括统计

安全加固实施阶段

1制定加固方案《网络安全加固实施方案》

2确定加固范围

3实施加固方案

4实施过程问题总结

项目验收阶段

1安全加固验收《安全加固验收报告》

2其他《网络安全建议书》

4.2项目文档的提交

提交评估报告：

♦网络安全评估报告（领导参阅版）

♦整体网络安全评估报告（技术人员参阅版）

♦网络安全加固实施方案

♦渗透测试报告

附录一：使用的工具简单介绍

Nessusscanner3.2英文版

Nessus被认为是目前全世界最多安全技术人员使用的系统弱点扫描与分析软件。总

共有超过75,000个机构使用Nessus作为扫描该机构电脑系统的软件。

1998年，Nessus的创办人RenaudDeraison展开了一项名为"Nessus"的计划,其

计划目的是希望能位因特网社群提供一个免费、威力强大、更新频繁并简易使用的远

端系统安全扫瞄程式。经过了数年的发展，包括CERT与SANS等着名的网络安全

相关机构皆认同此工具软件的功能与可用性。

2002年时，Renaud与RonGula,JackHuffard创办了一个名为TenableNetwork

Security的机构。在第三版的Nessus释出之时，该机构收回了Nessus的版权与程式

源代码(原本为开放源代码)，并注册了成为该机构的网站。目前此机构

位于美国马里兰州的哥伦比亚。

Nessus的特色

令提供完整的电脑弱点扫描服务，并随时更新其弱点数据库。

令提供不同于传统的弱点扫描软件,Nessus可同时在本机或远端上摇控，进行系

统的弱点分析扫描。

令其运作效能能随着系统的资源而自行调整。如果将主机加入更多的资源(例如

加快CPU速度或增加内存大小)，其效率表现可因为丰富资源而提高。

◊可自行定义外嵌软件(Plug-in)

令完整支持SSL(SecureSocketLayer)o

令自从1998年开发至今己谕十年，故为一架构成熟的软件。

Xscan-guiv3.3中文版

X-Scan是国内最着名的综合扫描器之一，其界面支持中文和英文两种语言、包括

图形界面和命令行方式。主要由国内着名的民间入侵者组织“安全焦点”“风险等

级”评估，并提供漏洞描述、漏洞溢出程序，方便网管测试、修补漏洞建议等。

辅助检测工具

密码强度测试器

Sql注入渗透测试工具

评估自动化脚本

阿D注入工具v2.3

附录二：*****信息技术有限公司简介

*****信息技术有限公司成立于2006年，作为网络安全服务商，公司主要为客户

提供计算机安全风险评估、安全等级评估、安全检查、安全培训、网上信息安全审

计、病毒防治和安全应急处理等服务，并依托自身强大的技术实力为客户提供全面的

网络安全解决方案和网络安全服务。

1.1网络安全服务理念

根据客户需求定制相应的安全解决方案是*****信息技术有限公司的安全服务理

念。”及时准确完善”是*****信息技术有限公司的服务作风。

1.2网络安全服务特点

第三方安全服务提供商

*****信息技术有限公司主要对外提供如下的特色网络安全服务：

A网络安全顾问服务

*****信息技术有限公司作为专业的网络安全服务提供商，在以往的网络安全

项目和日常工作中积累了大量的网络安全项目规划实施经验和专业的网络安

全知识，可以为客户提供实用、可靠的网络安全顾问服务，服务主要包括以

下几点：

1.信息化建设或网络安全建设项目前期的需求分析和安全规划；

2.日常运维过程中的安全技术指导和安全制度定制；

3.新系统、新业务的安全性、可靠性分析；

4.网络安全培训；

＞网络安全项目验收期安全评估服务

网络安全项目实施成功与否最好的判断方法就是模拟攻击者对网络的内

外层面做全面的模拟入侵。一轮全面的模拟入侵之后，立刻可以对网络安全

项目实施的结果做出明确判断。*****信息技术有限公司有资质和有能力承担

网络安全项目验收期安全评估服务。根据我们的评估结果，督促客户的安全

提供商不断的修改安全系统。最终达到项目的安全需求和国家的网络安全要