第5讲 风险评估分析与测评.ppt

访谈调研 剩余信息保护 访谈调研 通信完整性 访谈调研 通信保密性 访谈调研 抗抵赖 访谈调研 软件容错 访谈调研 资源控制 测试 通信完整性测试：通过获取通信双方的数据包，查看通信报文是否含有验证码 抗抵赖测试：通过双方通信，查看系统是否在请求的情况下为数据原发者或接收者提供了数据原发证据的功能；是否在请求的情况下为数据原发者或接收者提供了数据接收证据的功能 软件容错性测试：验证系统人机接口有效性检验是否正确。 5．9 　风险分析 什么是风险分析？ 什么是风险等级？ 如何计算风险等级？ 什么是风险控制？ 怎样进行风险控制？ 风险评估要提交哪些报告或清单？ 风险分析 （risk analysis） 依据国家有关标准对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行分析和评价的过程。 它要分析资产面临的威胁及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。 风险分析在资产识别、威胁识别和脆弱性识别的基础上进行风险计算，对风险进行定级，提出相应的风险控制措施，最后再次评估残余风险。 风险分析模型 风险计算 风险值：威胁导致安全事件发生对组织造成的影响，这个影响值称为“风险值”； 风险值=R(安全事件的可能性L，安全事件造成的损失F) 安全事件的可能性=L(威胁出现的频率，脆弱性) 安全事件造成的损失=F(资产价值，脆弱性严重程度) 相乘法原理： 安全事件可能性=威胁发生频率×脆弱性严重程度 例如：威胁A，发生的频率为3,脆弱性严重程度2,威胁A发生的可能性是6;威胁A作用的资产价值是5,威胁A发生造成的损失为10，风险值为60 风险定级 等级 标识 描述 5 很高 一旦发生产生非常严重的经济或社会影响，如严重破坏组织信誉、严重影响组织的正常经营，经济损失重大，社会影响恶劣 4 高 一旦发生会产生较大的经济或社会影响，在一定范围内给组织的经营和信誉造成损害 3 中等 一旦发生会造成一定的经济、社会或生关经营影响，但影响程度不深 2 低 一旦发生造成的影响程度较低，一般仅限于组织内部，通过一定手段很快能解决 1 很低 一旦发生造成的影响几乎不存在，通过简单的措施就能弥补 风险等级划分示例 风险值 1～3 4～10 11～13 14～19 20以上 风险等级 1 2 3 4 5 风险控制 获得了信息系统所面临的风险分布情况后，应该提出相应的安全解决方案，以规避、降低、转嫁直至承担相应的风险。 如果某些资产的风险计算值在可接受范围内，保持已有的安全措施；否则，需要采取安全措施以降低、控制风险。 按不同级别处理（等保的内容） 风险控制原则 论证充分。严格遵循国家标准，获得必要的基础数据，让用户对IS所面临的安全问题有一个科学、全面、清晰的认识。 循序渐进。坚持“有所为，有所不为”的思想，循序渐进地控制风险，要让用户明确“没有绝对的安全和零风险”。 结合国情。评估人员应当将“风险评估”和“等级保护”结合起来，围绕提高等级保护水平思考风险控制方案。 应急联动。信息安全保障体系的最有效验证是面对突发事件的反应能力，即应急响应，将风险控制及应急响应方案结合起来。 风险评估各要素的关系 风险评估报告形式 5.7.３　拨号访问控制 访谈调研 １项 现场检查　　　１项 测试　　　１项，自选项 拨号访问控制访谈 1项 询问是否允许拨号访问网络；询问对拨号访问控制的策略是什么，采取什么技术手段实现拨号访问控制，拨号访问用户的权限分配原则是什么。 拨号访问控制现场检查 1项 检查边界网络设备，查看是否正确配置了拨号访问控制列表，其控制粒度是否为单个用户，查看其能否限制具有拨号访问权限的用户数量 拨号访问控制测试 1项 通过非授权访问，验证拨号访问措施是否有效？ 技术路线：通过授权用户test和非授权用户guest分别对服务器进行访问 5.7.４　网络安全审计 访谈调研 １项 现场检查　　　３项 测试　　　１项，自选项 网络安全审计访谈 1项 询问边界和主要网络设备是否开启安全审计功能，审计内容包括哪些项？询问审计记录的主要内容有哪些？对审计记录的处理方式有哪些？ 网络安全审计现场检查 3项 （1）检查边界和主要网络设备，查看审计记录是否包含网络系统中的网络设备运行状况，网络流量和用户行为等。 网络安全审计现场检查 3项 （2）检查边界和主要网络设备，查看事件审计记录是否包含事件的日期和时间、用户、事件类型和事件成功情况，以及其他及审计相关的信息 网络安全审计现场检查 3项 （3）检查边界和