《信息安全风险评估报告...doc》由会员分享，可在线阅读，更多相关《信息安全风险评估报告...doc（17页珍藏版）》请在金锄头文库上搜索。
1、 1111 单位:1111 系统安全项目 信息安全风险评估报告信息安全风险评估报告 我们单位名我们单位名 日期 报告编写人: 日期 ： 批准人 ：日期 ： 版本号 ：第一版本 日期 第二 版本 日期 终板 目目 录录 1概述概述 3 1.1项目背景 .3 1.2工作方法 .3 1.3评估范围 .3 1.4基本信息 .3 2业务系统分析业务系统分析 4 2.1业务系统职能 .4 2.2网络拓扑结构 .4 2.3边界数据流向 .4 3资产分析资产分析 5 3.1信息资产分析 .5 3.1.1信息资产识别概述.5 3.1.2信息资产识别.5 4威胁分析威胁分析 6 4.1威胁分析概述 .6 4.2威
2、胁分类 .7 4.3威胁主体 .7 4.4威胁识别 .7 5脆弱性分析脆弱性分析 8 5.1脆弱性分析概述 .8 5.2技术脆弱性分析 .9 5.2.1网络平台脆弱性分析.9 5.2.2操作系统脆弱性分析.9 5.2.3脆弱性扫描结果分析.9 5.2.3.1扫描资产列表9 5.2.3.2高危漏洞分析10 5.2.3.3系统帐户分析10 5.2.3.4应用帐户分析10 5.3管理脆弱性分析 .10 5.4脆弱性识别 .12 6风险分析风险分析 13 6.1风险分析概述 .13 6.2资产风险分布 .13 6.3资产风险列表 .13 7系统安全加固建议系统安全加固建议 14 7.1管理类建议 .1
3、4 7.2技术类建议 .14 7.2.1安全措施.14 7.2.2网络平台.15 7.2.3操作系统.15 8制定及确认制定及确认 16 9附录附录 A：脆弱性编号规则：脆弱性编号规则.17 1 1 1 概述概述概述概述 1.11.11.1 项目背景项目背景项目背景项目背景 为了切实提高各系统的安全保障水平，更好地促进各系统的安全建设工作， 提升奥运保障能力，需要增强对于网运中心各系统的安全风险控制，发现系统 安全风险并及时纠正。根据网络与信息安全建设规划，为了提高各系统的安全 保障和运营水平，现提出系统安全加固与服务项目。 1.21.21.2 工作方法工作方法工作方法工作方法 在本次安全风险
4、评测中将主要采用的评测方法包括： 人工评测； 工具评测； 调查问卷； 顾问访谈。 1.31.31.3 评估范围评估范围评估范围评估范围 此次系统测评的范围主要针对该业务系统所涉及的服务器、应用、数据库、 网络设备、安全设备、终端等资产。 主要涉及以下方面： 1)业务系统的应用环境， ； 2)网络及其主要基础设施，例如路由器、交换机等； 3)安全保护措施和设备，例如防火墙、IDS 等； 4)信息安全管理体系（ISMS） 1.41.41.4 基本信息基本信息基本信息基本信息 被评估系统名称被评估系统名称xx 系统 业务系统负责人业务系统负责人 评估工作配合人员评估工作配合人员 2 2 2 业务系统
5、分析业务系统分析业务系统分析业务系统分析 2.12.12.1 业务系统业务系统业务系统业务系统职能职能职能职能 2.22.22.2 网络拓扑结构网络拓扑结构网络拓扑结构网络拓扑结构 图表 1 业务系统拓扑结构图 2.32.32.3 边界数据流向边界数据流向边界数据流向边界数据流向 编编 号号 边界名称边界名称边界类型边界类型路径系统路径系统发起方发起方数据流向数据流向现有安全措施现有安全措施 1.MDN系统类MDN 本系统/ 对端系统 双向系统架构隔离 3 3 3 资产分析资产分析资产分析资产分析 3.13.13.1 信息资产分析信息资产分析信息资产分析信息资产分析 3.1.13.1.13.1
6、.1 信息资产识别概述信息资产识别概述信息资产识别概述信息资产识别概述 资产是风险评估的最终评估对象。在一个全面的风险评估中，风险的所有 重要因素都紧紧围绕着资产为中心，威胁、脆弱性以及风险都是针对资产而客 观存在的。威胁利用资产自身的脆弱性使得安全事件的发生成为可能，从而形 成了风险。这些安全事件一旦发生，将对资产甚至是整个系统都将造成一定的 影响。 资产被定义为对组织具有价值的信息或资源，资产识别的目标就是识别出 资产的价值，风险评估中资产的价值不是以资产的经济价值来衡量，而是由资 产在其安全属性机密性、完整性和可用性机密性、完整性和可用性上的达成程度或者其安全属性未 达成时所造成的影响程
7、度来决定的。 资产估价等级资产估价等级赋值赋值 高3 中2 低1 3.1.23.1.23.1.2 信息资产识别信息资产识别信息资产识别信息资产识别 资产组资产组 资产分类资产分类 组号组号资产编号资产编号具体资产具体资产 IP 地址地址/名称名称 资产资产 估价估价 等级等级 H001 sun ultra60 中 H002 sun ultra60 中 H003 sun ultra60 高 服务器服务器1. H004 sun ultra60 高 N001华为 3680E中 N002华为 3680E中 物物 理理 资资 产产 网络设备网络设备2. N003华为 S2016中 H001 Solari
8、s 高 H002 Solaris 高 H003 Solaris 高 3. H004 Solaris 高 软软 件件 资资 产产 操作系统、操作系统、 数据库和数据库和 应用软件应用软件 4.D001 Sybase 高 4 4 4 威胁分析威胁分析威胁分析威胁分析 4.14.14.1 威胁分析概述威胁分析概述威胁分析概述威胁分析概述 威胁是指可能对资产或组织造成损害事故的潜在原因。作为风险评估的重 要因素，威胁是一个客观存在的事物，无论对于多么安全的信息系统都存在。 威胁可能源于对系统直接或间接的攻击，例如信息泄漏、篡改、删除等， 在机密性、完整性或可用性等方面造成损害；威胁也可能源于偶发的、或
9、蓄意 的事件。按照威胁产生的来源，可以分为外部威胁和内部威胁： （1）外部威胁：来自不可控网络的外部攻击，主要指移动的 CMNET、其 它电信运营商的 Internet 互联网，以及第三方的攻击，其中互联网的威胁主要 是黑客攻击、蠕虫病毒等，而第三方的威胁主要是越权或滥用、泄密、篡改、 恶意代码或病毒等。 （2）内部威胁：主要来自内部人员的恶意攻击、无作为或操作失误、越权 或滥用、泄密、篡改等。另外，由于管理不规范导致各支撑系统之间的终端混 用，也带来病毒泛滥的潜在威胁。 对每种威胁发生的可能性进行分析，最终为其赋一个相对等级值，将根据 经验、有关的统计数据来判断威胁发生的频率或者概率。威胁发
10、生的可能性受 下列因素影响： 1) 资产的吸引力； 2) 资产转化成报酬的容易程度； 3) 威胁的技术力量； 4) 脆弱性被利用的难易程度。 下面是威胁标识对应表： 威胁威胁 等级等级 赋赋 值值 可能带来的威胁可能带来的威胁可控性可控性发生频度发生频度 高 3 黑客攻击、恶意代码和病 毒等 完全不可控 出现的频率较高（或 1 次/月） ；或在大多数情况 下很有可能会发生；或可 以证实多次发生过。 中 2 物理攻击、内部人员的操 作失误、恶意代码和病毒 等 一定的可控性 出现的频率中等（或 1 次/半年） ；或在某种情况 下可能会发生；或被证实 曾经发生过。 低 1 内部人员的操作失误、恶 意
11、代码和病毒等 较大的可控性 出现的频率较小；或一般 不太可能发生；或没有被 证实发生过。 4.24.24.2 威胁分类威胁分类威胁分类威胁分类 下面是针对威胁分类对威胁途径的描述，其中不包括物理威胁： 威胁种类威胁种类威胁途径威胁途径 操作错误合法用户工作失误或疏忽的可能性 滥用授权 合法用户利用自己的权限故意或非故意破坏系统的可 能性 行为抵赖合法用户对自己操作行为否认的可能性 身份假冒非法用户冒充合法用户进行操作的可能性 密码分析非法用户对系统密码分析的可能性 安全漏洞非法用户利用系统漏洞侵入系统的可能性 拒绝服务非法用户利用拒绝服务手段攻击系统的可能性 恶意代码病毒、特洛伊木马、蠕虫、逻
12、辑炸弹等感染的可能性 窃听数据非法用户通过窃听等手段盗取重要数据的可能性 社会工程非法用户利用社交等手段获取重要信息的可能性 意外故障系统的组件发生意外故障的可能性 通信中断数据通信传输过程中发生意外中断的可能性 4.34.34.3 威胁主体威胁主体威胁主体威胁主体 下面对威胁来源从威胁主体的角度进行了威胁等级分析： 威胁主体威胁主体面临的威胁面临的威胁 操作错误 滥用授权 系统合法用户 （系统管理员和其他授权用户） 行为抵赖 身份假冒 密码分析 安全漏洞 拒绝服务 恶意代码 窃听数据 系统非法用户 （权限较低用户和外部攻击者） 社会工程 意外故障 系统组件 通信中断 4.44.44.4 威胁
13、识别威胁识别威胁识别威胁识别 序序 号号 资产编号资产编号操操 作作 错错 误误 滥滥 用用 授授 权权 行行 为为 抵抵 赖赖 身身 份份 假假 冒冒 密密 码码 分分 析析 安安 全全 漏漏 洞洞 拒拒 绝绝 服服 务务 恶恶 意意 代代 码码 窃窃 听听 数数 据据 社社 会会 工工 程程 意意 外外 故故 障障 通通 信信 中中 断断 1.N001122231312211 2.N002122231312211 3.N003122231312211 4.H001112111311211 5.H002112111311211 6.H003112111311211 7.H0041121113
14、11211 8.D001112221311211 5 5 5 脆弱性分析脆弱性分析脆弱性分析脆弱性分析 5.15.15.1 脆弱性分析概述脆弱性分析概述脆弱性分析概述脆弱性分析概述 脆弱性是指资产或资产组中能被威胁所利用的弱点，它包括物理环境、组 织机构、业务流程、人员、管理、硬件、软件及通讯设施等各个方面，这些都 可能被各种安全威胁利用来侵害一个组织机构内的有关资产及这些资产所支持 的业务系统。各种安全薄弱环节自身并不会造成什么危害，只有在被各种安全 威胁利用后才可能造成相应的危害。需要注意的是不正确的、起不到应有作用 的或没有正确实施的安全保护措施本身就可能是一个安全薄弱环节。 这里将对脆
15、弱性被威胁利用的可能性进行评估，最终为其赋相对等级值。 脆弱性等级脆弱性等级赋值赋值描述描述 高3很容易被攻击者利用，会对系统造成极大损害； 中2脆弱项虽然对系统安全有一定影响，但其被利用需要一 定难度； 低1脆弱项被利用后会对系统产生有限影响； 在脆弱性评估时的数据来源应该是资产的拥有者或使用者，相关业务领域 的专家以及软硬件信息系统方面的专业人员。 在本次评估中将从技术、管理两个方面进行脆弱性评估。其中在技术方面 主要是通过远程和本地两种方式进行工具扫描、手动检查等方式进行评估，以 保证脆弱性评估的全面性和有效性；管理脆弱性评估方面主要是对现有的安全 管理制度的制定和执行情况进行检查，发现
16、其中的管理漏洞和不足。 5.25.25.2 技术脆弱性分析技术脆弱性分析技术脆弱性分析技术脆弱性分析 5.2.15.2.15.2.1 网络平台脆弱性分析网络平台脆弱性分析网络平台脆弱性分析网络平台脆弱性分析 华为交换机、路由器设备脆弱性分析，下面按照严重程度高、中、低的顺 序排列： 脆弱性脆弱性 编号编号 脆弱性名称脆弱性名称受影响的资产受影响的资产 严重严重 程度程度 V30001. 未对 super 密码加密高 V30002. 未进行用户权限设置高 V30003. 未对 VTY 的访问限制中 V30004. 未进行登陆超时设置中 V30005. 未禁用 FTP 服务中 V30006. 未进行日志审计中 V30007. 未对 VTY 的数量限制低 5.2.25.2.25.2.2 操作系统脆弱性分析操作系统脆弱性分析操作系统脆弱性分析操作系统脆弱性分析 Solaris 操作系统脆弱性分析，下面按照严重程度高、中、低的顺序排列： 脆弱性编脆弱性编 号号 脆弱性名称脆弱性名称受影响的资产受影响的资产 严重严重 程度程度 V22001.存在可能无用的组中 V22
