信息安全风险评估标准附录介绍风险计算与评估工具分析报告.ppt

COBRA的风险定性分析方法 COBRA风险评估过程 1、问题表构建：通过知识库模块构建问题表，采用手动或自动方式从各个模块中选择所需的问题，构建针对具体组织进行评估的问题表。 2、风险评估：通过完成问题表实现整个风险评估过程。问题表的不同模块由系统不同人完成，各个模块可以不同时完成，但是评估结果是在全部问题表答案的基础上形成的。 3、报告生成：通过问题表的回答生成报告，报告包括建议采取的安全措施、解决方案建议、对于系统相关的每类风险进行分析排序、对于风险给系统带来的影响分析、风险与系统潜在影响的联系分析。 系统基础平台风险评估工具 脆弱性扫描工具 基于网络的扫描器 基于主机的扫描器 分布式网络扫描器 数据库脆弱性扫描器 渗透性测试工具 根据脆弱性扫描工具扫描的结果进行模拟攻击测试，判断被非法访问者利用的可能性。这类工具通常包括黑客工具、脚本文件 等。 一个好的漏洞扫描工具应包括以下几个特性： 最新的漏洞检测库 扫描工具必须准确并使误报率减少到最小 扫描器有某种可升级的后端，能够存储多个扫描结果并提供趋势分析的手段。 应包括清晰的且准确地提供弥补发现问题的信息。 常用脆弱性检测工具对比 风险评估辅助工具 检查列表：基于特定标准或基线建立的，对特定系统进行审查的项目条款。 入侵检测网络或主机造成危害的入侵攻击事件；帮助检测各种攻击试探和误操作；同时也可以作为一个警报器，提醒管理员发生的安全状况。 安全审计工具：用于记录网络行为，分析系统或网络安全现状；它的审计记录可以作为风险评估中的安全现状数据，并可用于判断被评估对象威胁信息的来源。 拓扑发现工具：主要是自动完成网络硬件设备的识别、发现功能。 资产信息收集系统：通过提供调查表形式，完成被评估信息系统数据、管理、人员等资产信息的收集功能 。 其他：评估指标库、知识库、漏洞库、算法库、模型库等。 中国信息安全风险评估论坛 Q/A 谢谢！ 信息安全风险评估标准附录介绍—风险计算和评估工具 标准起草组 2006年8月7日 主要内容 附录A风险计算方法 附录B风险评估工具 附录A风险计算方法 风险计算矩阵法 矩阵法原理 计算示例 风险计算相乘法 相乘法原理 计算实例 风险计算矩阵法基本原理 矩阵法概念 矩阵法适用范围 矩阵法构造方式 矩阵法特点 矩阵法概念 Z=f(x,y)。函数f采用矩阵形式表示。以要素x和要素y的取值构建一个二维矩阵，矩阵内m*n个值即为要素Z的取值 矩阵法适用范围 矩阵法主要适用于由两个要素值确定一个要素值的情形。 在风险值计算中，通常需要对两个要素确定的另一个要素值进行计算，例如由威胁和脆弱性确定安全事件发生可能性值、由资产和脆弱性确定安全事件的损失值等，同时需要整体掌握风险值的确定，因此矩阵法在风险分析中得到广泛采用。 矩阵法构造方式 首先需要确定二维计算矩阵，矩阵内各个要素的值根据具体情况和函数递增情况采用数学方法确定，然后将两个元素的值在矩阵中进行比对，行列交叉处即为所确定的计算结果。 矩阵的计算需要根据实际情况确定，矩阵内值的计算不一定遵循统一的计算公式，但必须具有统一的增减趋势，即如果是递增函数，Z值应随着x与y的值递增，反之亦然。 矩阵法特点 矩阵法的特点在于通过构造两两要素计算矩阵，可以清晰罗列要素的变化趋势，具备良好灵活性。 矩阵法计算示例 资产： 共有三个重要资产，资产A1、资产A2和资产A3；资产价值分别是：资产A1=2，资产A2=3，资产A3=5； 威胁： 资产A1面临两个主要威胁，威胁T1和威胁T2；资产A2面临一个主要威胁，威胁T3；资产A3面临两个主要威胁，威胁T4和T5； 威胁发生频率分别是：威胁T1=2，威胁T2=1，威胁T3=2，威胁T4=5，威胁T5=4； 脆弱性： 威胁T1可以利用的资产A1存在的两个脆弱性，脆弱性V1和脆弱性V2； 威胁T2可以利用的资产A1存在的三个脆弱性，脆弱性V3、脆弱性V4和脆弱性V5； 威胁T3可以利用的资产A2存在的两个脆弱性，脆弱性V6和脆弱性V7； 威胁T4可以利用的资产A3存在的一个脆弱性，脆弱性V8； 威胁T5可以利用的资产A3存在的一个脆弱性，脆弱性V9。 脆弱性严重程度分别是：脆弱性V1=2，脆弱性V2=3，脆弱性V3=1，脆弱性V4=4，脆弱性V5=2，脆弱性V6=4，脆弱性V7=2，脆弱性V8=3，脆弱性V9=5。 风险分析原理 示例计算过程 风险计算过程 （1）计算安全事件发生可能性 （2）计算安全事件造成的损失 （3）计算风险值 （4）结果判定 以下以资产A1面临的威胁T1可以利用的脆弱性V1为例，计算安全风险值 。 计算安全事件发生可能性 （1）构建安全事件发生可能性矩阵； （2）根据威胁发生频率值和脆弱性严重程度