信息系统应用安全安全评估流程与方法论介绍.ppt

1、安全评估流程和方法论介绍,安全风险评估的目的,对信息系统安全的各个方面的当前潜在威胁、弱点和影响进行全面的评估 通过安全评估，能够清晰地了解当前所面临的安全风险，清晰地了解信息系统的安全现状 明确地看到当前安全现状与安全目标之间的差距 为下一步控制和降低安全风险、改善安全状况提供客观和翔实的依据,评估与安全防护的关系,资产拥有者,安全控制措施,安全防护,确信/信心,安全风险评估,生成/加强,给出证据 /发现问题,需要,如不能确信，需要,评估,给出,什么是风险？,风险 Risk 对目标有所影响的某个事件发生的可能性。它根据后果和可能性来度量。 风险管理（Risk Management） 旨在对潜

2、在机会和不利影响进行有效管理的文化、程序和结构。,风险分析模型,风险评估基本流程,风险评估基本流程,现有安全措施评估,资产概述,信息安全风险的概念已逐步被接受 对信息安全的宏观需求分析已逐步被以资产为考察对象的微观风险分析所取代 视信息资产的识别和安全估价,信息资产的定义,广义的信息资产包括 数据 服务 软件 硬件 设备 人员 在本项目中，我们限定信息资产的范围为： 信息资产是指组织的信息系统，其提供的服务以及处理的数据,资产分类,应用服务,满足业务需要的信息系统服务。 例如 核心业务系统 再保系统 财务系统 报表系统 邮件系统 内部网站,网络系统类型示例,路由器 交换机 通信终端 网关 防火

3、墙 VPN 网络入侵检测 网管系统 网络设备控制台 ,网络系统形态,专用设备 软件系统 例如网管系统、DNS。 控制台软件,网络系统资产识别原则,一体化的网络设备，例如路由器、交换机、防火墙、VPN等均视为一项信息资产，而不再具体细分为硬件、操作系统或软件； 软件形态的网络系统，例如软件防火墙、网络入侵检测系统、网关、VPN、DNS服务、DHCP服务、网管系统、防火墙或入侵检测系统的控制台等，均与其所处主机系统，合称为一项信息资产； 网络线路的物理介质，均视为网络系统信息资产的属性，而不再单列为资产； 集线器，线路中继器等辅助网络设备，不列为资产； 对于多台以热备或负载均衡方式工作的同质网络系

4、统，均视为一项信息资产，但其数量应作为属性列出；,主机系统概念,计算设备 操作系统,主机系统类型示例,大型机 小型机 Unix服务器 Windows服务器 PC工作站 移动计算设备 应用加密机 ATM POS 柜员终端 磁盘阵列,主机系统资产识别原则,以集群、簇或者备份方式工作的同质主机系统，均被视为一项信息资产，但其数量应作为属性列出； 运行相同软件，且其与其它资产的网络连接方式相似的一组主机系统，例如所有移动计算设备，同类网点中的所有终端等，均可视为一项信息资产，但其数量应作为属性列出； 同一台主机系统，安装两种或以上操作系统（主要针对工作站、移动计算设备），并均能接入到网络中的，应视为多

5、项主机系统信息资产。 软硬件一体化的应用加密机或者密钥管理机，均视为一项主机系统资产。,平台系统类型示例,数据库 中间件 群件 邮件 CA系统 Web服务器 集成开发环境 工具软件,平台系统资产识别原则,平台系统信息资产必然与某一项主机系统资产关联，与不同主机系统资产关联的平台系统信息资产，应视为不同信息资产； 平台系统种类复杂，数量繁多，本次调研中，主要关注那些直接支撑应用软件的平台系统，非直接支撑的均可忽略。 大部分平台系统均为客户服务器模式，应分别视为不同平台系统信息资产，例如Web/浏览器、Domino/Notes、邮件系统/邮件客户端以及CA/CA客户端等；,应用软件资产识别原则,业

6、务系统信息资产必然与某一项主机系统资产关联，与不同主机系统资产关联的业务系统信息资产，应视为不同信息资产； 在农行中，业务系统大都分为前端和后端，有些甚至采用三层或四层结构，对于这些情况，应分别视为多项信息资产；,数据资产识别原则,数据仅指应用软件处理的数据，而不指平台系统或其它系统处理的数据； 数据的特征是存储态，在网络中传输，或程序处理的过程数据均不视为数据资产；,区域,连接,边界,某企业保护对象框架,资产识别的步骤,绘制拓扑图 确定应用服务 确定区域 按以下顺序识别资产 网络 主机 平台 应用软件 数据,资产安全性估价,机密性： 该资产被揭露时的后果 完整性： 该资产不处于准确，完整或可

7、依赖状态时的后果 可用性： 当某一项资产完全不可用时对应用服务所造成的后果 半定量安全性估价 即等级化估价，每一项分五级，5为最高 资产的三性之间不具有可比性,机密性含义,完整性含义,可用性含义,资产赋值方法,V=Vc, Vi, Va Vc = Xc Yc Vi = Xi Yi VaXaYa,5级不易赋值 将每个值拆分为两个相乘指标 每个指标取3级,机密性赋值,X：资产被暴露时与所造成最严重后果之间的关系 Y:后果对组织的最严重损害程度,一般情况下 X3：数据资产 X2: 网络、主机、平台、应用软件的服务器端 X1: 控制台、工作站、客户端,完整性赋值,X：资产不处于准确，完整或可依赖状态时与

8、所造成最严重后果之间的关系 Y:后果对组织的最严重损害程度,一般情况下 X3：数据资产 X2: 应用软件 X1: 网络、主机和平台,可用性赋值,X：资产不可用时对某个业务的影响 Y:该应用服务的关键性程度,一般情况下 X3：应用软件资产、主机资产、平台资产、核心网络资产 X2:非核心网络资产 X1:客户端,框架元素赋值,可赋值的元素 区域 连接 赋值的基本原则 包含资产价值的最大值 框架元素赋值仅用作参考，不具备真实意义,资产安全性估价,机密性： 该资产被暴露或泄密时的后果 完整性： 该资产不处于准确，完整或可依赖状态时的后果 可用性： 当某一项资产完全不可用时对应用服务所造成的后果 半定量安

9、全性估价 即等级化估价，每一项分五级，5为最高 资产的三性之间不具有可比性,资产价值计算,Asset Value = Round1Log2(A2Conf+B2Int+C2Avail)/3 A代表机密性的权值；B代表完整性的权值；C代表可用性的权值 电信运营商（最关注可用性）：A=0.7，B=0.7，C1.6； 金融行业（最关注完整性）：A=0.7，B=1.6，C0.7； 政府涉密部门（最关注机密性）：A=1.6，B=0.7，C0.7；,风险评估基本流程,现有安全措施评估,安全威胁的定义,安全威胁是一种对系统、组织及其资产构成潜在破坏能力的可能性因素或者事件。 威胁总是要利用弱点（脆弱性）才可能

10、对资产造成伤害。 威胁可以分为故意人为威胁、非故意人为威胁、自然与环境威胁三种，还可以分为内部威胁和外部威胁等。,确认威胁的属性-可能性 Likelihood,人为故意威胁的可能性因素： 资产的吸引力和暴光程度，组织的知名度； 资产转化成利益的容易程度，包括财务的利益和资源 威胁可能性确认方法： 过去的安全事件报告或记录，统计各种发生过的威胁和其发生频率； 通过IDS系统和各种日志中威胁发生的数据的统计和分析； 参考国际机构发布的安全威胁发生频率的统计数据均值； 用户访谈和综合分析,威胁调查,潜在威胁分析,入侵检测,威胁审计,综合分析,威胁分析,威胁的可能性赋值标准,风险评估基本流程,现有安全措施评估,安全弱点的评估,弱点是资产本身存在的，它可以被威胁利用、引起资产或商业目标的损害 弱点包括两个属性，弱点的严重性和被利用的难易程度 弱点的严重性等同于影响的严重性,安全工具扫描(网络、系统、数据库) 主机安全人工评估 应用软件安全评估 网络架构结构评估 安全策略文档分析 安全审计和顾问访谈,安全弱点的评估方法,弱点被利用难易程度赋值标准,影响严重性赋