信息安全风险评估管理.pptVIP

(4)脆弱性识别 脆弱性也称弱点，或者俗称漏洞，也就是具体存在的问题。 值得注意的是，弱点本身不会造成损失，它只是一种条件或环境、可能被威胁利用从而造成资产损失。 漏洞不单单只是系统或软件上存在的bug，任何管理上的疏忽都是一种漏洞。 弱点分类 弱点分类 名称 包含内容 技术弱点 物理安全 物理设备的访问控制，电力供应等 网络安全 基础网络架构，网络传输加密，访问控制，网络设备安全漏洞，设备配置安全等 系统安全 系统软件安全漏洞，系统软件配置安全等 应用安全 应用软件安全漏洞，软件安全功能，数据防护等 管理弱点 安全管理 安全策略、组织安全、资产分类与控制、人员安全、物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性、符合性 脆弱性等级 等级 标识 定义 5 很高 如果被威胁利用，将对资产造成完全损害 4 高 如果被威胁利用，将对资产造成重大损害 3 中 如果被威胁利用，将对资产造成一般损害 2 低 如果被威胁利用，将对资产造成较小损害 1 很低 如果被威胁利用，将对资产造成的损害可以忽略 安全评估技术手段介绍 弱点漏洞扫描软件 口令强壮性分析方法 专家经验分析方法 站点脚本程序 网络设备运行健康状况分析（寻找网络性能瓶颈点） 渗透测试方法 重要服务器抗攻击压力测试 不同层面的问题主要表现 物理层：强弱电走线合理、UPS设备到位、电磁干扰、设备摆