說明文字：大致內容如此，根據(jù)具體情況

增刪XXXX信息系統(tǒng)安全風險評估報告二?一五年七月1評估工作概述 評估目標 評估組織 評估對象 業(yè)務職能與組織結構 系統(tǒng)定級 物理環(huán)境 網絡結構 安全保密措施 重要XX部門、部位 2評估依據(jù)和標準 評估方案 資產識別 資產重要性等級定義 資產分類 服務器情況列表 交換機情況列表 用戶終端和XX單機 特種設備 軟件平臺 安全保密設備 應用系統(tǒng)情況列表 試運行應用系統(tǒng)情況列表 威脅識別 威脅分類 威脅賦值 6脆弱性識別 脆弱性識別內容 脆弱性賦值 脆弱性專向檢測 病毒木馬專項檢查 網絡掃描專項測試 風險分析 風險統(tǒng)計 評估結論 整改建議 1評估工作概述2015年7月7-9日，由XX部門組織相關人員對XX信息系統(tǒng)進行了安全風險評估。本報告的評估結論僅針對xx廠XX信息系統(tǒng)本次安全風險評估時的狀況。評估目標本次評估工作依據(jù)有關信息安全技術與管理標準，對 xx廠XX信息系統(tǒng)及由其處理、傳輸和存儲的信息的安全屬性進行評估，分析該XX信息系統(tǒng)內的服務器、網絡設備、用戶終端及支撐平臺等資產在日常運行、管理過程中面臨的威脅、存在的脆弱性以及由此帶來的安全風險，為將安全風險控制在可接受的水平，最大限度地保障該XX信息系統(tǒng)的信息安全保密提供指導依據(jù)。評估組織本次風險評估由XX信息系統(tǒng)管理領導小組負責組織。由 XX部門現(xiàn)場開展本次評估工作，XX業(yè)務部門相關人員進行配合。評估對象業(yè)務職能與組織結構XX系統(tǒng)定級Xx廠XX信息系統(tǒng)經xx批準同意，按照所處理XX信息的最高密級定為機密級，采用增強保護要求進行保護。物理環(huán)境XX網絡結構圖1、組織機構圖圖2周邊物理環(huán)境圖3、網絡拓撲結構圖安全保密措施XX廠XX信息系統(tǒng)配備了防火墻、網絡入侵檢測系統(tǒng)、漏洞掃描系統(tǒng)、主機監(jiān)控與審計系統(tǒng)、XX計算機及移動存儲介質保密管理系統(tǒng)“三合一”系統(tǒng)）、中孚信息消除工具、打印安全監(jiān)控與審計系統(tǒng)、安全郵件、網間文件交換系統(tǒng)、防計算機病毒軟件、線路傳導干擾器、一級電磁干擾器、紅黑電源濾波隔離插座等安全保密產品。身份鑒別口令認證，復雜度，密碼長度等符合要求否？XX便攜式計算機、XX單機和XX數(shù)據(jù)中轉單機采用用戶名與口令相結合的方式進行身份鑒別。136重要XX部門、部位XX廠XX信息系統(tǒng)保密要害部門為2個，保密要害部位為5個,具體情況如下表所示序號名稱位置所屬部門部位性質防護措施監(jiān)控門控紅外報警2評估依據(jù)和標準《武器裝備科研生產單位三級保密資格評分標準》3評估方案本次風險評估采用文檔審閱、人員問詢、脆弱性掃描和現(xiàn)場查驗等風險評估方法。（1） 文檔審閱：了解XX信息系統(tǒng)的基本情況、2015年上半年發(fā)生的變化，問題項的整改情況，確定后續(xù)查驗的重點。審閱的文檔材料主要包括：安全審計報告與審計報告、例行檢查記錄、工作和審批記錄。（2） 人員問詢：對XX信息系統(tǒng)管理人員和部分用戶（包括行政管理人員和技術人員）進行了問詢，評估XX信息系統(tǒng)的管理者和使用者對自身保密職責的知悉情況，以及理解相關制度和標準并落實到日常工作中的情況。（3）脆弱性掃描：通過使用中科網威網絡漏洞掃描系統(tǒng)對 XX廠XX信息系統(tǒng)進行脆弱性掃描，收集服務器、用戶終端、網絡設備和數(shù)據(jù)庫的安全漏洞。（4） 現(xiàn)場查驗：評估規(guī)章制度的建設和執(zhí)行情況；評估部分服務器、用戶終端、網絡設備、應用系統(tǒng)和安全保密設備的安全保密防護情況；評估系統(tǒng)的物理安全和電磁泄漏發(fā)射防護情況。4資產識別資產是對組織具有價值的信息或資源。機密性、完整性和可用性是評價資產的三個安全屬性。風險評估中資產的價值不是以資產的經濟價值來衡量，而是由資產在這三個安全屬性上的達成程度或者其安全屬性未達成時所造成的影響程度來決定的。安全屬性達成程度的不同將使資產具有不同的價值，而資產面臨的威脅、存在的脆弱性、以及已采用的安全措施都將對資產安全屬性的達成程度產生影響。為此，必須對XX廠XX信息系統(tǒng)內的資產進行識別。資產重要性等級定義資產的重要性等級依據(jù)資產在保密性、完整性和可用性上的賦值等級綜合評定后得出。本次評估將XX廠XX信息系統(tǒng)內的資產劃分為五級，級別越高表示資產越重要。不同等級的資產重要性的綜合描述如下表所示等級標識描述5很高非常重要，其安全屬性破壞后可能對組織造成非常嚴重的損失4高重要，其安全屬性破壞后可能對組織造成比較嚴重的損失3中等比較重要，其安全屬性破壞后可能對組織造成中等程度的損失2低不太重要，其安全屬性破壞后可能對組織造成較低的損失1很低不重要，其安全屬性破壞后可能對組織造成很小的損失，甚至忽略不計

資產分類根據(jù)XX廠資產的表現(xiàn)形式，首先將資產分為服務器、交換機、用戶終端（含網絡打印機）和XX單機（含XX筆記本電腦）、特種設備、軟件平臺、安全保密設備和應用系統(tǒng)七個大類。然后，根據(jù)節(jié)的定義，對不同資產的重要性等級進行賦值。421服務器情況列表序號類型品牌型號用途IP地址IP地址類型資產重要性等級服務器服務器服務器

序號類型品牌型號用途IP地址IP地址類型資產重要性等級422交換機情況列表序號類型交換機型號數(shù)量用途資產重要性等級11交換機22交換機

序號類型交換機型號數(shù)量用途資產重要性等級33交換機交換機423用戶終端和XX單機序號類型廠家、型號數(shù)量用途資產重要性等級11用戶終端222中間轉換機33XX筆記本3電腦3424特種設備序類型廠家、型號數(shù)用途資產重要性等號量級

序號類型廠家、型號數(shù)量用途資產重要性等級11數(shù)控機床224考勤設備1425軟件平臺序號軟件名稱廠家、版本運行該軟件的設備用途安裝位置資產重要性等級1Windows3 2003ServerWindows2008Server2SQLServerr\6數(shù)據(jù)庫3Oracle數(shù)7據(jù)庫OSCA數(shù)據(jù)

序號軟件名稱廠家、版本運行該軟件的設備用途安裝位置資產重要性等級庫426安全保密設備序號設備名稱廠家和型號用途安裝位置和數(shù)量策略設置證書1防火墻2防病毒軟件3防病毒軟件4防病毒軟件5入侵檢測

系統(tǒng)6漏洞掃描系統(tǒng)7USB移動存儲介質使用管理系統(tǒng)8王機監(jiān)控與審計9微機視頻信息保護系統(tǒng)10紅里八、、電源

隔離插座11線路傳導干擾器4.2.7應用系統(tǒng)情況列表序號系統(tǒng)名稱密級安裝位置用途用戶范圍訪問權限設置情況資產重要性等級11OA系統(tǒng)5

428試運行應用系統(tǒng)情況列表序號系統(tǒng)名稱密級安裝位置用途用戶范圍訪問權限設置情況資產重要性等級115225332453245威脅識別威脅分類威脅是可能導致對系統(tǒng)或組織危害的不希望事故的潛在起因。威脅可以通過威脅主體、資源、動機和途徑等多種屬性來描述。造成威脅的因素可分為人為因素和環(huán)境因素。威脅作用形式可以是對信息系統(tǒng)直接或間接的攻擊，在保密性、完整性和可用性等方面造成損害；也可能是偶發(fā)的或蓄意的事件。下表為本次評估可能涉及到的威脅分類。種類描述威脅子類軟硬件對業(yè)務實施或系統(tǒng)運行設備硬件故障、傳輸設備故障、存

種類描述威脅子類故障產生影響的設備硬件故障、通訊鏈路中斷、系統(tǒng)本身或軟件缺陷等問題儲媒體故障、系統(tǒng)軟件故障、應用軟件故障、數(shù)據(jù)庫軟件故障、開發(fā)環(huán)境故障等物理環(huán)境影響對信息系統(tǒng)正常運行造成影響的物理環(huán)境問題和自然災害斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲害、電磁干擾、洪災、火災、地震等無作為或操作失誤應該執(zhí)行而沒有執(zhí)行相應的操作，或無意執(zhí)行了錯誤的操作維護錯誤、操作失誤等管理不到位安全管理無法落實或不到位，從而破壞信息系統(tǒng)正常有序運行管理制度和策略不完善、管理流程缺失、職責不明確、監(jiān)督控管機制不健全等惡意代碼故意在計算機系統(tǒng)上執(zhí)行惡意任務的程序代碼病毒、木馬、蠕蟲、惡意程序、間諜軟件、竊聽軟件等越權或濫用通過采用一些措施，超越自己的權限訪問了本來無權訪問的資源，或者濫用自己的權限，做出破壞信息系統(tǒng)的行為非授權訪問網絡資源、非授權訪問系統(tǒng)資源、濫用權限非正常修改系統(tǒng)配置或數(shù)據(jù)、濫用權限泄漏 XX信息等網絡攻擊利用工具和技術通過網絡對信息系統(tǒng)進行攻擊網絡探測和信息采集、漏洞探測、嗅探（賬號、口令、權限等）、用

種類描述威脅子類和入侵戶身份偽造和欺騙、用戶或業(yè)務數(shù)據(jù)的竊取和破壞、系統(tǒng)運行的控制和破壞等物理攻擊通過物理接觸造成對軟件、硬件和數(shù)據(jù)的破壞物理接觸、物理破壞、盜竊等泄密信息泄露給不應了解的他人內部信息泄漏、外部信息泄漏等篡改非法修改信息，破壞信息的完整性使系統(tǒng)的安全性降低或信息不可用篡改網絡配置信息、篡改系統(tǒng)配置信息、篡改安全配置信息、篡改用戶身份信息或業(yè)務數(shù)據(jù)信息等抵賴不承認受到的信息和所作的操作和父易原發(fā)抵賴、接收抵賴、第三方抵賴等威脅賦值判斷威脅出現(xiàn)的頻率是威脅賦值的重要內容。本次評估綜合考慮了以下三個方面，以形成在評估環(huán)境中各種威脅出現(xiàn)的頻率。以往《月度運行報告》中出現(xiàn)過的威脅及其頻率；實際環(huán)境中通過檢測工具以及各種日志發(fā)現(xiàn)的威脅及其頻率；這里對威脅出現(xiàn)的頻率進行等級化處理，不同等級分別代表威脅出現(xiàn)的頻率的高低。等級數(shù)值越大，威脅出現(xiàn)的頻率越高。等級標識定義

5很高出現(xiàn)的頻率很高（三1次/周）;或在大多數(shù)情況下幾乎不可避免；或可以證實經常發(fā)生4高出現(xiàn)的頻率較咼（三1次/月）；或在大多數(shù)情況下很有可能發(fā)生；或可以證實多次發(fā)生過3中等出現(xiàn)的頻率中等（二1次/半年）;或在某種情況下可能會發(fā)生；或被證實曾經發(fā)生過2低出現(xiàn)的頻率較低；或般不太可能發(fā)生；或沒有被證實發(fā)生過1很低威脅幾乎不可能發(fā)生；僅可能在非常罕見和例外的情況下發(fā)生6脆弱性識別脆弱性識別內容脆弱性是可能被威脅所利用的資產或若干資產的薄弱環(huán)節(jié)，即脆弱性是資產本身存在的，如果沒有被相應的威脅利用，單純的脆弱性本身不會對資產造成損害。而且如果系統(tǒng)足夠強健，嚴重的威脅也不會導致安全事件的發(fā)生，并造成損失。威脅總是要利用資產的脆弱性才可能造成危害。本次評估以XX為標準，從技術和管理兩個方面對XX廠XX信息系統(tǒng)內的資產對象進行脆弱性識別。脆弱性按照標準中的測評項進行分類。脆弱性賦值這里根據(jù)脆弱性對資產的暴露程度、技術實現(xiàn)的難易程度、流

行程度等，采用等級方式對已識別的脆弱性的嚴重程度進行賦值。脆弱性賦值是以等級進行劃分的，不同的等級代表資產脆弱性嚴重程度的高低。等級數(shù)值越大，脆弱性嚴重程度越高。等級標識定義5很高如果被威脅利用，將對資產造成完全損害4高如果被威脅利用，將對資產造成重大損害3中等如果被威脅利用，將對資產造成般損害2低如果被威脅利用，將對資產造成較小損害1很低如果被威脅利用，將對資產造成的損害可以忽略脆弱性專向檢測631病毒木馬專項檢查通過查看瑞星管理控制臺，了解系統(tǒng)內病毒木馬爆發(fā)的情況其中，2015年5月和6月的爆發(fā)情況如下表所示時間段感染次數(shù)（次）受感染主機數(shù)（臺）2015年5月26891192015年6月2674117632網絡掃描專項測試使用中科網威漏洞掃描系統(tǒng)，對XX廠XX信息系統(tǒng)內的服務器、用戶終端、網絡設備進行遠程安全評估。服務器掃描結果服務器區(qū)網段共掃描主機27臺，其中高度危險主機14臺，七臺存有緊急漏洞，比較危險主機13臺，比較安全主機0臺，非常安

全主機0臺IP地址 操作系統(tǒng) 所在域漏洞高危危險等級危險值數(shù) 數(shù)

本次遠程評估共掃描到的前五漏洞，如下表所示編漏洞名稱號危險等級出現(xiàn)次數(shù)1MicrosoftIISWebDAV 遠程認證繞過漏洞緊急32Oracletnsisnr 未設置口令高級43ICMP時間戳檢測中級244DCE服務器列舉低級235開放的tcp端口檢測信息27用戶終端掃描結果用戶終端和部分設備共掃描了主機數(shù)567臺，其中高度危險主機5臺，比較安全主機562臺，部分結果見下表IP地址 操作系統(tǒng)所在域 漏洞高危數(shù)數(shù)危險等級危險值本次掃描到的前五漏洞，如下表所示編漏洞名稱 危險等出現(xiàn)號 級 次數(shù)1MicrosoftWindowsSMB存在多個漏洞允許遠程執(zhí)行代碼緊急2

2MySQL未指明的緩沖區(qū)溢出漏洞高級23PHP存在多個緩沖區(qū)溢出漏洞高級14OracleMySQL'TEMPORARYInnoDB'數(shù)據(jù)表拒絕服務漏洞中級25MySQL存在多個漏洞中級27風險分析序號資產對象脆弱性類型脆弱性描述威脅風險標識電源隔離防護裝置電磁泄漏發(fā)射防護個別用戶終端與黑設備共用紅黑電源濾波隔離插座，部分XX網絡線路與技防、電話線路間隔距離不足存在電磁泄漏的風險中等高中高服務器操作系統(tǒng)安全、數(shù)據(jù)庫安全部分XX服務器應用程序、數(shù)據(jù)庫補丁程序未安裝完全，存在咼風險漏洞黑客可利用系統(tǒng)漏洞入侵、控制服務器，獲取重要信息高設備安全、介質安全、安全審計、設備數(shù)據(jù)接口、違規(guī)外聯(lián)監(jiān)控部分服務器未安裝主機監(jiān)控與審計系統(tǒng)、移動存儲介質使用管理系統(tǒng)和違規(guī)外聯(lián)監(jiān)控系統(tǒng)服務器管理員可非授權使用設備數(shù)據(jù)接口、未注冊介質、非法外部連接高

序號資產對象脆弱性類型脆弱性描述威脅風險標識用戶終端（含網絡打印機）計算機病毒與惡意代碼防護部分XX用戶終端存在病毒、木馬事件報告病毒、木馬可導致系統(tǒng)、網絡癱瘓，竊取用戶數(shù)據(jù)中低操作系統(tǒng)安全、數(shù)據(jù)庫安全部分用戶終端和網絡打印機操作系統(tǒng)、應用程序、數(shù)據(jù)庫補丁未安裝兀全，有高風險漏洞；個別用戶終端開放多余服務攻擊者可利用系統(tǒng)漏洞入侵、控制用戶終端，獲取重要信息中等防火墻日志服務器日志審計日志服務器運行不穩(wěn)定，日志不全無法查看防火墻日志，無法進行審計中等打印機輸出控制部分用戶未按文件密級進行打印輸出，存在咼密低打現(xiàn)象存在輸出文件失控的風險中等打印機輸出控制部分打印機與安裝部門屬同地址段，且開放SNMP艮務存在非審批打印的風險中等中等

序號資產對象脆弱性類型脆弱性描述威脅風險標識XX筆記本電腦設備數(shù)據(jù)接口XX筆記本電腦無法審計打印和光盤刻錄事件存在非授權導出XX信息的風險中低顯示輸出保密要害部門中的個別XX單機對窗擺放，且未采用其他防護措施（如拉窗簾），不能防止顯示輸出內容被非授權獲取存在顯示輸出內容被非授權獲取的風險低中等8風險統(tǒng)計XX廠XX信息系統(tǒng)安全風險評估共識別出安全風險13個,其中：高風險2個，中高風險1個，中等風險3個，中低風險3個，低風險4個。9評估結論經過各方面的評估XX廠XX信息系統(tǒng)基本上是安全的，基本符合分級保護國家保密標準的要求。但依然存在部分風險，需從組織、管理和技術等多方面進行補充和完善，并加強教育培訓，提高人員意識和相關技能，規(guī)范其行為，從根本上確保信息安全。整改建議整改建議10整改建議（1） 個別用戶終端視頻干擾儀、紅黑電源濾波隔離插座使用不符合要求。問題描述：個別用戶終端與黑設備（非XX計算機、飲水機等）共用紅黑電源濾波隔離插座，存在電磁泄漏的風險。整改建議：對問題部門提出警告，加強對紅黑電源濾波隔離插座使用的監(jiān)管力度。（2） 個別XX單機對窗擺放，且未采用其他防護措施問題描述保密要害部門中的個別XX單機對窗擺放，且未采用其他防護措施（如拉窗簾），存在顯示輸出內容被非授權獲取的風險。整改建議對窗和對玻璃墻擺放的用戶終端加裝防護措施，并加強教育培訓，提高人員保密意識。（3） 部分服務器應用程序、數(shù)據(jù)庫補丁程序未安裝完全，存在咼風險漏洞問題描述XX等服務器的ORACL數(shù)據(jù)庫補丁程序未安裝完全，存在高風險漏洞；及時安裝補丁程序；加強服務器的安全配置。部分服務器未安裝主機監(jiān)控與審計系統(tǒng)和“三合一”系統(tǒng)問題描述部分服務器未安裝主機監(jiān)控與審計系統(tǒng)和XX計算機及移動存儲介質保密管理系統(tǒng)整改建議安裝主機監(jiān)控與審計系統(tǒng)和XX計算機及移動存儲介質保密管理系統(tǒng)對不能安裝主機監(jiān)控與審計系統(tǒng)和XX計算機及移動存儲介質保密管理系統(tǒng)的服務器應有測試報告，說明原因。部分XX用戶終端存在病毒、木馬問題描述部分XX用戶終端存在病毒、木馬，其中2015年5月1日至31日期間，用戶終端感染病毒、木馬事件報告1