风险评估介绍.pptxVIP

风险评估;目录： 基本概念 实施原则 分析原理 实施流程 评估方法 风险评估举例;风险评估的基本概念;风险评估的实施原则;风险评估的原理;风险评估的框架;方框部分的内容为风险评估的基本要素，椭圆部分的内容是与这些要素相关的属 性。风险评估围绕着资产、威胁、脆弱性和安全措施这些基本要素展开，在对基本要素的评估 过程中，需要充分考虑业务战略、资产价值、安全需求、安全事件、残余风险等与这些基本要 素相关的各类属性。 图 1 中的风险要素及属性之间存在着以下关系： a）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小； b）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大； c）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成为安全事件； d）资产的脆弱性可能暴露资产的价值，资产具有的弱点越多则风险越大； e）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产； f）风险的存在及对风险的认识导出安全需求； g）安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本； h）安全措施可抵御威胁，降低风险； i）残余风险有些是安全措施不当或无效,需要加强才可控制的风险；而有些则是在综合考虑了安全 成本与效益后不去控制的风险； j）残余风险应受到密切监视，它可能会在将来诱发新的安全事件;风险评估的流程;风险评估的流程详细说明-评估准备;风险评估的流程详细说明-资产识别（1）;风险评估的流程详细说明-资产识别（2）;风险评估的流程详细说明-资产识别（3）;风险评估的流程详细说明-威胁识别（4）;威 胁 分 类 表;风险评估的流程详细说明-脆弱性识别;风险评估的流程详细说明-脆弱性识别;1、网络层面安全评估方法;服务方式：本地扫描 服务工具：远程安全评估系统 服务内容：对目标设备的漏洞、用户名与口令、安全策略等方面进行评估，并对扫描报告进行分析并出具相应报告;服务方式：本地登录系统 服务工具：配置核查系统、安全配置规范 服务内容：抽样检查系统的策略配置、服务配置、保护措施以及系统和??件升级、更新情况，是否存在漏洞或后门等，根据检测结果出具相应报告;服务方式：远程测试 服务工具：远程安全评估系统web扫描、其他工具 服务内容：通过真实模拟黑客使用的工具、分析方法来对网站进行模拟攻击，验证当前的安全防护措施，找出风险点，提供有价值的安全建议;服务方式：非现场服务 服务工具：fortify等 服务内容：白盒测试，通过对获取到的系统源代码进行分析，检查在编码层面是否存在安全隐患，对发现的问题提供安全建议;判断安全技术方面与指标的符合程度 通过观察现场、询问人员、查询资料、检查记录、检查配置、技术测试、渗透攻击等方式进行安全技术方面的差距分析，准确记录分析结果，判断安全技术的各个方面与指标的符合程度，给出判断结论和评审报告。;a）计算安全事件发生的可能性 根据威胁出现频率及弱点的状况，计算威胁利用脆弱性导致安全事件发生的可能性，;风险评估的流程详细说明-风险处置计划;风险评估举例;风险评估目标;风险评估范围;风险评估原则;风险评估概述;风险评估流程;风险评估流程;实际评估结果-资产识别;实际评估结果-资产识别;实际评估结果-威胁识别;实际评估结果-威胁识别;实际评估结果-脆弱性识别;实际评估结果-风险分析;实际评估结果-风险分析;实际评估结果-风险处置建议;最多还是采用安全评估 即风险评估中的脆弱性评估