《信息安全的风险评估管理.ppt》由会员分享，可在线阅读，更多相关《信息安全的风险评估管理.ppt（56页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、Neusoft Co.,Ltd.信息安全的风险评估信息安全的风险评估曹鹏 网络安全产品营销中心解决方案部部长 CISP北京 沈阳东软软件股份有限公司Neusoft Co.,Ltd.提纲提纲1、什么是风险评估、什么是风险评估2、为什么要做风险评估、为什么要做风险评估3、风险评估怎么做、风险评估怎么做4、风险评估什么时候做、风险评估什么时候做Neusoft Co.,Ltd.信息安全管理核心内容信息安全管理核心内容-风险管理风险管理Neusoft Co.,Ltd.国际和国内信息安全标准和法规BS7799/ISO17799SSE-CMM英國國家標準協會,資訊安全管理機制 http:/www.bsi.o
2、rg.uk/系统安全工程 能力成熟度模型,http:/www.Sse-cmm.org/ISO7498-2ISO 15408信息技术 安全技术 信息技术安全性评估准则ISO 13335我国GB安全标准GB 17859-1999 计算机信息系统安全保护等级划分准则我国安全法规中华人民共和国计算机信息系统安全保护条例计算机信息网络国际联网安全保护管理办法 ISO 13335-1:IT安全管理概念和模块 ISO 13335-2:管理和制定IT安全 ISO 13335-3:IT安全管理方法安全体系结构Neusoft Co.,Ltd.所所 有有 者者攻攻 击击 者者 对对 策策 漏漏 洞洞 风风 险险 威
3、威 胁胁 资资 产产ISO/IEC 15408-1 安全概念和关系模型安全概念和关系模型Neusoft Co.,Ltd.典型信息安全管理标准典型信息安全管理标准BS7799/ISO17799信息安全管理纲要信息安全管理纲要Part I:Code of practice for information Part I:Code of practice for information security managementsecurity management信息安全管理认证体系信息安全管理认证体系Part II:Specification for information Part II:Speci
4、fication for information security managementsecurity managementNeusoft Co.,Ltd.信息安全管理纲要信息安全管理纲要Code of practice for information security managementBS7799/ISO 17799l信息安全政策信息安全政策l安全组织安全组织l资产分类及控制资产分类及控制l人员安全人员安全l物理及环境安全物理及环境安全l计算机及系统管理计算机及系统管理l系统访问控制系统访问控制l系统开发与维护系统开发与维护l业务连续性规划业务连续性规划l法规和策略符合性法规和策略符合
5、性Neusoft Co.,Ltd.ISO 17799信息安全管理系统安全安全组织组织资产分类及控制资产分类及控制人员人员安全安全物理及物理及环境安全环境安全计算机及系统管理计算机及系统管理系统访问控制系统访问控制系统开发与维护系统开发与维护业务连续性规划业务连续性规划风险评估和风险管理风险评估和风险管理安全安全法规法规安全安全策略策略Neusoft Co.,Ltd.风险风险防护措施防护措施信息资产信息资产威胁威胁漏洞漏洞防护需求防护需求降低增加增加利用暴露价值价值拥有抗击增加引出被满足ISO13335以风险为核心的安全模型以风险为核心的安全模型Neusoft Co.,Ltd.Neusoft C
6、o.,Ltd.业务需求业务需求威胁及风险分析威胁及风险分析国家国家,行业行业,安全相关安全相关的法律法规的法律法规业务系统安全策略业务系统安全策略个人安全策略个人安全策略安全技术标准化策略安全技术标准化策略管理策略管理策略风险评估与安全登记划风险评估与安全登记划分分计算机系统与网络安全策略计算机系统与网络安全策略物理安全与环境保护策略物理安全与环境保护策略管理安全规范管理安全规范教育与培训策略教育与培训策略标识标识,认证策略认证策略信息保密与完整性策略信息保密与完整性策略授权与访问控制策略授权与访问控制策略抗抵赖策略抗抵赖策略安全审计策略安全审计策略入侵监测策略入侵监测策略病毒防范策略病毒防范
7、策略响应与恢复策略响应与恢复策略容错与备份容错与备份用户角色用户角色,级别级别用户账号及认证方式用户账号及认证方式防火墙访问控制链表防火墙访问控制链表.局部可执行安全策略局部可执行安全策略全局自动安全策略全局自动安全策略组织安全策略组织安全策略Neusoft Co.,Ltd.国家政策背景国家政策背景 2003年年7月月,中办发中办发200327号号文件对开展信息安全风险评估工作文件对开展信息安全风险评估工作提出了明确的要求。提出了明确的要求。要重视信息安全风险评估工作，对网络与信息系统安全的要重视信息安全风险评估工作，对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估潜在威胁、薄
8、弱环节、防护措施等进行分析评估 Neusoft Co.,Ltd.1、什么是风险评估、什么是风险评估信息安全风险评估，是从风险管理角度，运用科学的方法和手段，信息安全风险评估，是从风险管理角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施。并为防范和化解信息安全风险，或者将风的防护对策和整改措施。并为防范和化解信息安全风险，或者将风险控制在可接受的水平，从而最大限度地保
9、障网络和信息安全提供险控制在可接受的水平，从而最大限度地保障网络和信息安全提供科学依据（科学依据（国信办国信办20065号文件号文件）。）。Neusoft Co.,Ltd.信息安全体系的建立，不是仅仅依靠几种安全设备的简单堆砌，信息安全体系的建立，不是仅仅依靠几种安全设备的简单堆砌，或者一两个人技术人员就能够实现的，还要涉及管理制度、人员或者一两个人技术人员就能够实现的，还要涉及管理制度、人员素质和意识、操作流程和规范、组织结构的健全性等众多因素。素质和意识、操作流程和规范、组织结构的健全性等众多因素。所以，一套良好的信息安全体系需要综合运用所以，一套良好的信息安全体系需要综合运用“人人技术技
10、术/产品产品管理管理维护维护”，从而才能真正建立起一套完备的、高保障的，从而才能真正建立起一套完备的、高保障的信息安全体系。信息安全体系。我们需要的是一套高保障的安全体系我们需要的是一套高保障的安全体系Neusoft Co.,Ltd.主要执行标准主要执行标准n国信办国信办20065号文件：信息安全风险评估指南号文件：信息安全风险评估指南 n信息系统安全等级保护测评准则信息系统安全等级保护测评准则辅助参考标准辅助参考标准nGB18336（ISO15408）：信息技术安全性评估准则）：信息技术安全性评估准则nBS7799：信息安全管理体系指南：信息安全管理体系指南3 3、风险评估怎么做、风险评估怎
11、么做东软具有自己特色的评估实施方法东软具有自己特色的评估实施方法Neusoft Co.,Ltd.风险评估考查的对象风险评估考查的对象 Neusoft Co.,Ltd.风险评估实施流程风险评估实施流程1.先期准备先期准备2.要素分析要素分析3.风险分析风险分析4.生成报告生成报告Neusoft Co.,Ltd.实施步骤实施步骤(1)风险评估的准备风险评估的准备(2)资产识别资产识别(3)威胁识别威胁识别(4)脆弱性识别脆弱性识别(5)已有安全措施的确认已有安全措施的确认(6)风险分析风险分析(7)风险评估文件记录风险评估文件记录Neusoft Co.,Ltd.(1)(1)风险风险评估的准备评估的
12、准备1）确定风险评估的目标；）确定风险评估的目标；2）确定风险评估的范围；）确定风险评估的范围；3）组建适当的评估管理与实施团队；）组建适当的评估管理与实施团队；4）进行系统调研；）进行系统调研；5）确定评估依据和方法）确定评估依据和方法；6）获得最高管理者对风险评估工作的支持。）获得最高管理者对风险评估工作的支持。Neusoft Co.,Ltd.实施步骤实施步骤(1)风险评估的准备风险评估的准备(2)资产识别资产识别(3)威胁识别威胁识别(4)脆弱性识别脆弱性识别(5)已有安全措施的确认已有安全措施的确认(6)风险分析风险分析(7)风险评估文件记录风险评估文件记录Neusoft Co.,Lt
13、d.(2)(2)信息资产识别信息资产识别对于任何企业和机构来说，信息资产和其它固定资产一样都承载着对于任何企业和机构来说，信息资产和其它固定资产一样都承载着重要的价值，因而也同样需要得到足够的保护。重要的价值，因而也同样需要得到足够的保护。Neusoft Co.,Ltd.信息资产分类信息资产分类Neusoft Co.,Ltd.资产等级资产等级等等级级标识标识定定义义5 5很高非常重要，其安全属性破坏后可能对组织造成非常严重的损失4 4高重要，其安全属性破坏后可能对组织造成比较严重的损失3 3中比较重要，其安全属性破坏后可能对组织造成中等程度的损失2 2低不太重要，其安全属性破坏后可能对组织造成
14、较低的损失1 1很低不重要，其安全属性破坏后对组织造成导很小的损失，甚至忽略不计Neusoft Co.,Ltd.实施步骤实施步骤(1)风险评估的准备风险评估的准备(2)资产识别资产识别(3)威胁识别威胁识别(4)脆弱性识别脆弱性识别(5)已有安全措施的确认已有安全措施的确认(6)风险分析风险分析(7)风险评估文件记录风险评估文件记录Neusoft Co.,Ltd.(3)(3)威胁识别威胁识别威胁是对系统和企业网的资产引起不期望事件而造成的损害的潜在威胁是对系统和企业网的资产引起不期望事件而造成的损害的潜在可能性。可能性。或者也可以理解成是可能对资产造成影响的危害；（不单单只是黑客攻击，还包括自
15、然灾害、员工的违规操作等等）Neusoft Co.,Ltd.威胁分类威胁分类威胁种类威胁描述软硬件故障由于设备硬件故障、通讯链路中断、系统本身或软件Bug导致对业务高效稳定运行的影响物理环境威胁断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境问题和自然灾害无作为或操作失误由于应该执行而没有执行相应的操作，或无意地执行了错误的操作，对系统造成影响管理不到位安全管理无法落实，不到位，造成安全管理不规范，或者管理混乱，从而破坏信息系统正常有序运行恶意代码和病毒具有自我复制、自我传播能力，对信息系统构成破坏的程序代码越权或滥用通过采用一些措施，超越自己的权限访问了本来无权访问的
16、资源；或者滥用自己的职权，做出破坏信息系统的行为黑客攻击技术利用黑客工具和技术，例如侦察、密码猜测攻击、缓冲区溢出攻击、安装后门、嗅探、伪造和欺骗、拒绝服务攻击等手段对信息系统进行攻击和入侵物理攻击物理接触、物理破坏、盗窃泄密机密泄漏，机密信息泄漏给他人篡改非法修改信息，破坏信息的完整性抵赖不承认收到的信息和所作的操作和交易Neusoft Co.,Ltd.威胁等级威胁等级等等级级 标识标识定定义义5 5很高出现的频率很高（或1 次/周）；或在大多数情况下几乎不可避免；或可以证实经常发生过4 4高出现的频率较高（或 1 次/月）；或在大多数情况下很有可能会发生；或可以证实多次发生过3 3中出现的
17、频率中等（或 1 次/半年）；或在某种情况下可能会发生；或被证实曾经发生过2 2低出现的频率较小；或一般不太可能发生；或没有被证实发生过1 1很低 威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生Neusoft Co.,Ltd.主要技术手段量化威胁的工作方法部署入侵检测系统在网络中工作然后分析其数据。分析系统中的各种日志记录文件，在日志中发现安全攻击的痕迹。根据过去一年时间中组织内部遭受实际安全威胁的程度分析结果。我们可以通过例子：某重要政府站点的WEB日志分析来看威胁分析、某电力公司内部网络在评估出发现攻击者遗留文件。Neusoft Co.,Ltd.客观上我们面对的网络威胁程度在增加今
18、天我们所处的环境，各种新兴的安全攻击手段与威胁因素层出不穷，也要求业务系统的自身具备安全功能的对抗升级。我分别用Microsoft Office Word 2003与Windows 2003系统的密码来举例。Neusoft Co.,Ltd.实施步骤实施步骤(1)风险评估的准备风险评估的准备(2)资产识别资产识别(3)威胁识别威胁识别(4)脆弱性识别脆弱性识别(5)已有安全措施的确认已有安全措施的确认(6)风险分析风险分析(7)风险评估文件记录风险评估文件记录Neusoft Co.,Ltd.(4)(4)脆弱性识别脆弱性识别n脆弱性也称弱点，或者俗称漏洞，也就是具体存在的问题。脆弱性也称弱点，或者
19、俗称漏洞，也就是具体存在的问题。n值得注意的是，弱点本身不会造成损失，它只是一种条件或环境、可值得注意的是，弱点本身不会造成损失，它只是一种条件或环境、可能被威胁利用从而造成资产损失。能被威胁利用从而造成资产损失。n漏洞不单单只是系统或软件上存在的漏洞不单单只是系统或软件上存在的bug，任何管理上的疏忽都是一，任何管理上的疏忽都是一种漏洞。种漏洞。Neusoft Co.,Ltd.弱点分类弱点分类弱点分弱点分类类名称名称包含内容包含内容技术弱点物理安全物理设备的访问控制，电力供应等网络安全基础网络架构，网络传输加密，访问控制，网络设备安全漏洞，设备配置安全等系统安全系统软件安全漏洞，系统软件配置
20、安全等应用安全应用软件安全漏洞，软件安全功能，数据防护等管理弱点安全管理安全策略、组织安全、资产分类与控制、人员安全、物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性、符合性Neusoft Co.,Ltd.脆弱性等级脆弱性等级等等级级标识标识定定义义5 5很高如果被威胁利用，将对资产造成完全损害4 4高如果被威胁利用，将对资产造成重大损害3 3中如果被威胁利用，将对资产造成一般损害 2 2低如果被威胁利用，将对资产造成较小损害 1 1很低如果被威胁利用，将对资产造成的损害可以忽略 Neusoft Co.,Ltd.安全评估技术手段介绍弱点漏洞扫描软件口令强壮性分析方法专家经验
21、分析方法站点脚本程序网络设备运行健康状况分析（寻找网络性能瓶颈点）渗透测试方法重要服务器抗攻击压力测试Neusoft Co.,Ltd.不同层面的问题主要表现物理层：强弱电走线合理、UPS设备到位、电磁干扰、设备摆放位置合理等网络层：网络设备的配置不严谨，WEB管理接口、SNMP认证字简单（可以画出网络拓扑结构、接管网络设备更改配置文件通过TFTP服务）、口令不强壮和单一性、IOS版本过于陈旧等系统层：普遍存在系统补丁程序安装缺失、开放过多无用端口服务、安装跟工作无关软件（QQ、BT、电骡等）、登陆口令过于简单、没有统一的安全防护和管理软件支持、从整体信息安全的层面来看物理安全、网络安全、系统安
22、全已经储备了充分的安全相关知识和工具，未来关注焦点主要是应用安全与管理安全。Neusoft Co.,Ltd.网络设备WEB接口越权管理问题Neusoft Co.,Ltd.服务可以发现业务应用系统的深层隐患安全评估与咨询规划服务n我们在系统安全、网络安全、管理安全等环节做了很多有成效的工作，但是对于真正的信息系统的核心业务层面的安全问题关注还是非常落后。n核心业务系统开发安全是当前信息安全中最大的难点，某种程度讲，追求业务系统的安全是很多用户的终极目标。n目前常见的业务系统有C/S、B/S、中间件技术等，大部分系统都是近5-6年开发的，在开发过程中以功能实现为主要目的，对于自身安全功能提供很少，
23、内部安全保护机制考虑更少。Neusoft Co.,Ltd.C/S平台业务系统经常碰到的安全问题后台数据库密码与业务系统密码的交叉处理方式，容易出现密码外泄的安全问题。Neusoft Co.,Ltd.B/S结构平台下经常出现的安全问题SQL语句注射式攻击是B/S结构平台面临的一个很大的安全威胁。Neusoft Co.,Ltd.开发的时候忘记删除备份文件Neusoft Co.,Ltd.功能所依附的操作平台安全缺陷通过HTTP或HTTPS访问可以直接获取到服务器的版本和模块配置参数。很多JSP开发平台默认很难支持IP地址访问行为记录，对于日志审计有很大困难。Neusoft Co.,Ltd.程序开放接
24、口的抗压力能力很差n攻击压力测试 SYN LANDn业务系统数据压力测试 模拟几千人同时访问的流量n很多业务系统服务器的表现都让人失望Neusoft Co.,Ltd.底层信息大部分在“裸奔”状态重要的认证（用户、口令）信息、敏感的数据资料信息在应用系统间传递都没有使用加密方式。配合内部网络的ARP欺骗技术，使得很多内部重要业务系统与传统认证设备几乎没有保密性可言。Neusoft Co.,Ltd.业务系统常见安全问题的总结：nTCP/IP协议自身的设计安全缺陷n对于暴力口令猜测没有设置上限阀值n多数信息传递的时候没有采用加密方式n没有很好的错误保护处理n程序接口的抗攻击能力薄弱n开发实现平台的功
25、能局限造成安全功能的不完备n对于用户的操作行为记录没有很好的控制审计措施n对于敏感数据没有考虑数据加密存储n可怕的问题在于：很少有防火墙、入侵检测、漏洞扫描等这些成熟产可怕的问题在于：很少有防火墙、入侵检测、漏洞扫描等这些成熟产品检测出这些问题并实现有效防护。品检测出这些问题并实现有效防护。Neusoft Co.,Ltd.运维管理体系中的评估流程安全的核心任务就是实现风险管理，所有信息安全建设都是围绕这个中心开展的。缺乏全面的安全管理策略制度（很多缺少网络应急策略、业务系统代码开发安全设计要求等）管理策略与操作人员的“通道”没有打通，很多人不知道单位的安全管理策略制度是什么，不知道自己该负起什
26、么责任。策略制度没有生命力，大部分写完以后就从来没有更新过了。策略制度没有执行力，很多策略制度没有写明白该如何去做，怎么做。SOC是信息安全管理建设的最佳解决方案，它代表的是深入完善的解决方案而不是一套软件或者硬件设备。管理策略制度没有专门的部门组织负责监督维护管理，没有明确的奖励惩罚制度。Neusoft Co.,Ltd.实施步骤实施步骤(1)风险评估的准备风险评估的准备(2)资产识别资产识别(3)威胁识别威胁识别(4)脆弱性识别脆弱性识别(5)已有安全措施的确认已有安全措施的确认(6)风险分析风险分析(7)风险评估文件记录风险评估文件记录Neusoft Co.,Ltd.(5)(5)已有安全措
27、施的确认已有安全措施的确认1.在在识识别别脆脆弱弱性性的的同同时时，评评估估人人员员还还应应对对已已采采取取的的安安全全措措施施的的有有效效性性进进行行确确认认，即即安安全全措措施施是是否否真真正正地地降降低低了了系系统统的的脆脆弱弱性性，抵抵御了威胁。安全措施同样也分为管理类和技术类两方面。御了威胁。安全措施同样也分为管理类和技术类两方面。2.例例如如某某服服务务器器虽虽然然存存在在安安全全漏漏洞洞，但但是是由由于于位位于于防防火火墙墙严严格格保保护护的的DMZ区区域域，此此端端口口从从防防火火墙墙外外无无法法连连接接，本本地地物物理理安安全全也也做做到位了，我们就认为这些措施在一定程度上缓
28、解了该问题。到位了，我们就认为这些措施在一定程度上缓解了该问题。Neusoft Co.,Ltd.实施步骤实施步骤(1)风险评估的准备风险评估的准备(2)资产识别资产识别(3)威胁识别威胁识别(4)脆弱性识别脆弱性识别(5)已有安全措施的确认已有安全措施的确认(6)风险分析风险分析(7)风险评估文件记录风险评估文件记录Neusoft Co.,Ltd.(6)(6)风险分析风险分析风险是指某个威胁利用弱点引起某项资产或一组资产的损害，风险是指某个威胁利用弱点引起某项资产或一组资产的损害，从而直接地或间接地引起企业或机构的损害。从而直接地或间接地引起企业或机构的损害。举例：举例：资产资产电子商务网站服
29、务器电子商务网站服务器威胁威胁外部黑客很可能进行入侵外部黑客很可能进行入侵脆弱性脆弱性RPC缓冲区溢出漏洞，没有访问控制和审计监控，缺乏备份措施缓冲区溢出漏洞，没有访问控制和审计监控，缺乏备份措施风险风险入侵一旦发生，将导致服务器商业数据被泄密、窜改或丢失，而且入侵一旦发生，将导致服务器商业数据被泄密、窜改或丢失，而且无法恢复。无法恢复。Neusoft Co.,Ltd.风险等级风险等级等等级级标识标识描述描述5 5极高一旦发生将产生非常严重的经济或社会影响，如组织信誉严重破坏、严重影响组织的正常经营，经济损失重大、社会影响恶劣4 4高一旦发生将产生较大的经济或社会影响，在一定范围内给组织的经营
30、和组织信誉造成损害3 3中一旦发生会造成一定的经济、社会或生产经营影响，但影响面和影响程度不大2 2低一旦发生造成的影响程度较低，一般仅限于组织内部，通过一定手段很快能解决1 1很低一旦发生造成的影响几乎不存在，通过简单的措施就能弥补Neusoft Co.,Ltd.风险处置措施风险处置措施n消除风险消除风险 n降低风险可能性降低风险可能性 n减小风险的后果或影响减小风险的后果或影响 n接受风险接受风险 Neusoft Co.,Ltd.实施步骤实施步骤(1)风险评估的准备风险评估的准备(2)资产识别资产识别(3)威胁识别威胁识别(4)脆弱性识别脆弱性识别(5)已有安全措施的确认已有安全措施的确认
31、(6)风险分析风险分析(7)风险评估文件记录风险评估文件记录Neusoft Co.,Ltd.n 概述概述n 信息资产列表总结信息资产列表总结n 安全弱点评估总结安全弱点评估总结n 安全威胁评估总结安全威胁评估总结n 风险量化和评级总结风险量化和评级总结n 风险处置措施建议风险处置措施建议n 安全风险评估安全风险评估总结总结安全风险评估报告安全风险评估报告u消除风险消除风险 u降低风险可能性降低风险可能性 u减小风险的后果或影响减小风险的后果或影响 u接受风险接受风险 Neusoft Co.,Ltd.n 物理层安全策略物理层安全策略n 网络层安全策略网络层安全策略n 系统层安全策略系统层安全策略
32、n 应用层安全策略应用层安全策略n 管理层安全策略管理层安全策略安全策略建议报告安全策略建议报告Neusoft Co.,Ltd.国信办国信办20065号文件号文件指出：信息安全风险评估应贯穿于网络指出：信息安全风险评估应贯穿于网络与信息系统建设运行的全过程。在网络与信息系统的设计、验收与信息系统建设运行的全过程。在网络与信息系统的设计、验收及运行维护阶段均应当进行信息安全风险评估，只有这样才能真及运行维护阶段均应当进行信息安全风险评估，只有这样才能真正为我们建造一套高保障的信息安全体系。正为我们建造一套高保障的信息安全体系。4、风险评估什么时候做、风险评估什么时候做Neusoft Co.,Ltd.Thank youNeusoft Group Ltd.谢谢