对信息安全风险评估思考.pptVIP

攻击类型 说明 被动攻击 被动攻击包括分析通信流，监视未被保护的通讯，解密弱加密通讯，获取鉴别信息（比如口令）。被动攻击可能造成在没有得到用户同意或告知用户的情况下，将信息或文件泄露给攻击者。这样的例子如泄露个人的信用卡号码和医疗档案等。 主动攻击 主动攻击包括试图阻断或攻破保护机制、引入恶意代码、偷窃或篡改信息。主动进攻可能造成数据资料的泄露和散播，或导致拒绝服务以及数据的篡改改。 物理临近攻击 是指一未被授权的个人，在物理意义上接近网络、系统或设备，试图改变、收集信息或拒绝他人对信息的访问。 内部人员攻击 内部人员攻击可以分为恶意或无恶意攻击。前者指内部人员对信息的恶意破坏或不当使用，或使他人的访问遭到拒绝；后者指由于粗心、无知以及其它非恶意的原因而造成的破坏。 软硬件装配分发攻击 指在工厂生产或分销过程中对硬件和软件进行的恶意修改。这种攻击可能是在产品里引入恶意代码，比如后门。 主要有哪些攻击？ 第二十九页，共四十三页。 信息安全风险评估方法 风险评估的准备 资产识别 威胁识别 脆弱性识别 设计解决方案 项目规划 脆弱性识别 第三十页，共四十三页。 安全弱点 安全弱点是系统可以被利用从而导致资产发生损失的特性 网络扫描 上机检查 安全策略评估 网络架构评估 技术类，比如OS漏洞，防火墙错误配置等 管理类，比如没有安全策略、具体负责人、审核 流程等 业务