第15章信息平安評估15.1概述15.2評估過程15.3評估案例 15.1概述

研究背景

美國Radicati集團(tuán)早期發(fā)表的一項(xiàng)調(diào)查報告指出：2003年病毒造成的經(jīng)濟(jì)損失超過280億美元，2007年那么超過750億美元。該報告從一定程序上說明了網(wǎng)絡(luò)平安事件、信息平安事件所造成的損失是呈增長趨勢的，值得人們重視。

國內(nèi)信息平安廠商瑞星2021年11月份的統(tǒng)計報告顯示：病毒木馬繼承了2007年快速增長的勢頭,在2021年的前10個月，互聯(lián)網(wǎng)上共出現(xiàn)新病毒9306985個，是2007年同期的12.16倍，木馬病毒和后門程序之和超過776萬，占總體病毒的83.4%,病毒數(shù)量開始井噴式爆發(fā)。中國互聯(lián)網(wǎng)絡(luò)信息中心(CNNIC)和國家互聯(lián)網(wǎng)應(yīng)急中心(CNCERT)在京聯(lián)合發(fā)布的?2021年中國網(wǎng)民網(wǎng)絡(luò)信息平安狀況調(diào)查系列報告?中指出，2021年，52%的網(wǎng)民曾遭遇過網(wǎng)絡(luò)平安事件。其中，給21.2%的網(wǎng)民帶來了直接經(jīng)濟(jì)損失。該報告還對網(wǎng)民用于處理網(wǎng)絡(luò)平安事件支出的費(fèi)用進(jìn)行了統(tǒng)計,結(jié)果顯示：2021年，網(wǎng)民處理平安事件所支出的效勞費(fèi)用高達(dá)153億元人民幣。根本概念

1.信息平安

信息平安的定義為:為了防止未經(jīng)授權(quán)就對知識、事實(shí)、數(shù)據(jù)或能力進(jìn)行使用、濫用、修改或拒絕使用而采取的措施。

信息平安的目標(biāo)是保護(hù)信息的保密性、完整性、可用性及其他屬性,如可控性、真實(shí)性、不可否認(rèn)性和可追溯性等。信息平安不是絕對的,沒有完全徹底的信息平安。2.風(fēng)險

風(fēng)險是能夠影響一個或多個目標(biāo)的不確定性,是能夠產(chǎn)生危險的誘因,在信息平安風(fēng)險評估中普遍是指對資產(chǎn)造成損害的可能性。3.風(fēng)險管理

風(fēng)險管理是指對面臨的風(fēng)險進(jìn)行風(fēng)險識別、風(fēng)險估測、風(fēng)險評價、風(fēng)險控制,以減少風(fēng)險負(fù)面影響的決策及行動過程。通過管理,可對風(fēng)險進(jìn)行度量和控制,將風(fēng)險降低到一個可接受的水平。

信息平安風(fēng)險管理是風(fēng)險管理理論和方法在信息系統(tǒng)中的應(yīng)用,是科學(xué)分析信息和信息系統(tǒng)在保密性、完整性、可用性等平安屬性方面所面臨的風(fēng)險,并在風(fēng)險的預(yù)防、風(fēng)險的控制、風(fēng)險的轉(zhuǎn)移、風(fēng)險的補(bǔ)償、風(fēng)險的分散之間做出抉擇的過程。風(fēng)險評估是信息平安的出發(fā)點(diǎn),風(fēng)險控制是信息平安的落腳點(diǎn)。信息平安風(fēng)險管理的核心是信息平安風(fēng)險評估。4.信息平安風(fēng)險

信息平安風(fēng)險指信息系統(tǒng)在整個生命周期中面臨的人為的或自然的威脅,利用系統(tǒng)存在的脆弱性導(dǎo)致信息平安事件發(fā)生的可能性及其造成的影響。

5.信息平安風(fēng)險評估

信息平安風(fēng)險評估就是從風(fēng)險管理角度出發(fā),運(yùn)用科學(xué)的方法和手段,系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性,評估平安事件一旦發(fā)生可能造成的危害程度,提出有針對性的抵御威脅的防護(hù)對策和整改措施,以防范和化解信息平安風(fēng)險,或者將風(fēng)險控制在可接受的水平,從而最大限度地保障網(wǎng)絡(luò)和信息平安。信息平安風(fēng)險評估是一種方法,用來識別和了解對組織控制的限度(范圍)。

信息平安風(fēng)險評估是一種工具,用來識別組織資產(chǎn)、威脅和脆弱性(威脅)。

信息平安風(fēng)險評估是一個過程,通過它可在概率和影響的根底上確定信息系統(tǒng)所面臨的風(fēng)險級別(風(fēng)險級別)。

信息平安風(fēng)險評估是一個手段,通過它可說明風(fēng)險管理策略和資產(chǎn)分配的合理性(本錢效益)。6.構(gòu)成信息平安風(fēng)險的要素

信息平安風(fēng)險包括下面三個要素:

(1)資產(chǎn)(asset):需要保護(hù)的實(shí)體。

(2)威脅(threat):能夠產(chǎn)生不友好環(huán)境的事件。

(3)脆弱性(vulnerability):發(fā)生危險的脆弱點(diǎn)。

這三個要素之間的關(guān)系是:威脅利用脆弱性對資產(chǎn)造成損害。10.信息平安風(fēng)險根本要素間的關(guān)系圖風(fēng)險平安風(fēng)險根本要素間的關(guān)系(2)信息平安風(fēng)險評估是信息平安建設(shè)的起點(diǎn)和根底。所有信息平安建設(shè)都應(yīng)該基于信息平安風(fēng)險評估。只有正確地、全面地識別風(fēng)險、分析風(fēng)險,才能在預(yù)防風(fēng)險、控制風(fēng)險、減少風(fēng)險、轉(zhuǎn)移風(fēng)險之間作出正確的決策:決定調(diào)動多少資源,以什么樣的代價,采取什么樣的應(yīng)對措施化解和控制風(fēng)險。(3)信息平安風(fēng)險評估是需求主導(dǎo)和突出重點(diǎn)原那么的具體表達(dá)。風(fēng)險是客觀存在的,試圖完全消滅風(fēng)險或完全防止風(fēng)險是不現(xiàn)實(shí)的。要根據(jù)信息及信息系統(tǒng)的價值、威脅的大小和可能出現(xiàn)的問題的嚴(yán)重程度,以及在信息化建設(shè)不同階段的信息平安需求,堅持從實(shí)際出發(fā)，以需求為主導(dǎo)，突出重點(diǎn)，分級防護(hù),科學(xué)地評估風(fēng)險,并有效地控制風(fēng)險。圖風(fēng)險管理環(huán)表風(fēng)險評估的開展過程2.其他國家信息平安風(fēng)險評估的開展概況

除美國之外的其他興旺國家也越來越重視風(fēng)險評估工作,提倡風(fēng)險評估制度化。

歐洲各國在信息平安管理方面的做法是在充分利用美國引導(dǎo)的科技創(chuàng)新成果的根底上,加強(qiáng)預(yù)防。歐洲各國在風(fēng)險管理上一直探索走一條不同于美國的道路?！摆吚芎Θ暿瞧湓谛畔⒒M(jìn)程中防范平安風(fēng)險的共同策略。信息平安風(fēng)險管理和評估研究工作一直是歐盟投入的重點(diǎn)。(2)定量評估方法是指運(yùn)用數(shù)量指標(biāo)來對風(fēng)險進(jìn)行評估。該法分析風(fēng)險發(fā)生的概率、風(fēng)險危害程度所形成的量化值,大大增加了與運(yùn)行機(jī)制和各項(xiàng)標(biāo)準(zhǔn)、制度等緊密結(jié)合的可操作性,分析的目標(biāo)和采取的措施更加具體、明確、可靠。其優(yōu)點(diǎn)是用直觀的數(shù)據(jù)來表述評估的結(jié)果,看起來一目了然,而且比較客觀;缺點(diǎn)是量化過程中容易使本來比較復(fù)雜的事物簡單化。典型的定量分析方法有:聚類分析法、時序模型、回歸模型等。(3)定性與定量相結(jié)合的評估方法就是將定性分析方法和定量分析方法這兩種方法有機(jī)結(jié)合起來,做到彼此之間的取長補(bǔ)短,使評估結(jié)果更加客觀、公正。在復(fù)雜的信息系統(tǒng)風(fēng)險評估中,不能將定性分析與定量分析簡單地分割開來。在評估過程中,對于結(jié)構(gòu)化很強(qiáng)的問題,采用定量分析方法;對于非結(jié)構(gòu)化的問題,采用定性分析方法;對于兼有結(jié)構(gòu)化特點(diǎn)和非結(jié)構(gòu)化特點(diǎn)的問題,采用定性與定量相結(jié)合的評估方法。 15.2評估過程

評估內(nèi)容及關(guān)鍵問題概述

GB/T20984-2007中給出了風(fēng)險評估的實(shí)施流程。結(jié)合具體實(shí)施過程,本節(jié)將描述信息平安風(fēng)險評估的根本步驟,對風(fēng)險評估過程中需要解決的關(guān)鍵問題進(jìn)行分析。

1.信息平安風(fēng)險評估的內(nèi)容

依據(jù)GB/T20984-2007中提出的風(fēng)險評估的實(shí)施流程和具體實(shí)踐研究,信息平安風(fēng)險評估一般遵循如下步驟:

(1)構(gòu)建平安框架模型:包括平安范圍的界定以及將平安問題結(jié)構(gòu)化為“保護(hù)對象框架〞。(2)信息資產(chǎn)評估:識別并估價關(guān)鍵的信息資產(chǎn)。

(3)威脅評估:識別面臨的威脅并確定發(fā)生的可能性。

(4)脆弱性評估:識別系統(tǒng)的脆弱性(包括現(xiàn)有控制的缺乏),衡量脆弱性的嚴(yán)重程度。

(5)建立威脅脆弱性關(guān)聯(lián):確定信息資產(chǎn)及其脆弱性與威脅之間存在的聯(lián)系。

(6)風(fēng)險確定:依據(jù)一定的風(fēng)險評估方法,對信息系統(tǒng)進(jìn)行全面、綜合的評估,分析風(fēng)險級別,并寫出風(fēng)險分析報告。

(7)風(fēng)險處理:由風(fēng)險分析過程提出系統(tǒng)的控制目標(biāo)及應(yīng)采取的平安控制措施,編寫風(fēng)險處理意見。

(8)風(fēng)險管理:對信息系統(tǒng)實(shí)施風(fēng)險管理。圖風(fēng)險評估流程圖2.信息平安風(fēng)險評估過程中需要解決的關(guān)鍵問題

在信息平安風(fēng)險評估的實(shí)施過程中,需要解決以下問題:

(1)為了對信息系統(tǒng)的平安有個整體上的認(rèn)識,需要明確評估范圍,不漏掉任何平安問題。

(2)如何準(zhǔn)確、客觀地評估信息資產(chǎn)。資產(chǎn)評估包括資產(chǎn)識別和資產(chǎn)價值估算兩個步驟。資產(chǎn)識別往往過于繁瑣,在識別信息資產(chǎn)時可以以資產(chǎn)組為單位,以減少資產(chǎn)識別的工作量。在資產(chǎn)的賦值上,資產(chǎn)的保密性、完整性和可用性這三個平安屬性(以下簡稱“CIA〞或“CIA三性〞)具有不同的權(quán)值,不同資產(chǎn)的CIA權(quán)值的側(cè)重點(diǎn)不同,可根據(jù)實(shí)際情況選擇不同的方法。(3)對威脅的評估要考慮威脅的獲取方法,以及如何得到威脅發(fā)生的可能性,即如何解決威脅評估中賦值考慮的因素。

(4)在脆弱性評估中,要考慮工具掃描、人工分析和滲透測試方法可能帶來的新的風(fēng)險。

(5)風(fēng)險確實(shí)定。圖平安框架的構(gòu)建1.界定平安問題的范圍

進(jìn)行風(fēng)險評估時,必須進(jìn)行平安范圍的界定,要求評估者明確所需要評估的對象。平安范圍包括:物理和邏輯周界、可控制的資產(chǎn)、威脅分析的范圍。在該階段生成文檔?信息平安范圍評估報告?。2.對平安問題進(jìn)行結(jié)構(gòu)化分析

在信息系統(tǒng)十分龐大的情況下,為了更好地研究其平安問題,需要從龐大的信息資產(chǎn)中提煉出保護(hù)對象框架。平安框架體系是指以結(jié)構(gòu)化的方法表達(dá)信息系統(tǒng)的框架模型。

1)結(jié)構(gòu)化原理

結(jié)構(gòu)化原理是指通過特定的結(jié)構(gòu)將問題拆分成子問題的迭代過程,如故障樹。在這個過程中，應(yīng)遵循以下原那么:

(1)充分覆蓋,即所有子問題的總和必須覆蓋原問題。如果不能充分覆蓋,那么解決問題的方法就可能出現(xiàn)遺漏,嚴(yán)重影響方法的可行性。(2)互不重疊,即所有子問題都不允許重復(fù)。比方,某一個子問題其實(shí)是另外兩個問題或多個問題的合并,這個問題就不能再出現(xiàn)在一個框架中。

(3)不可再細(xì)分,即所有子問題都必須細(xì)分到不能再被細(xì)分。當(dāng)一個問題經(jīng)過框架分析后,所有不可再細(xì)分的子問題就構(gòu)成了一個“框架〞。2)結(jié)構(gòu)化分析

當(dāng)信息平安問題的范圍被明確后,問題必須按照結(jié)構(gòu)化原理被不斷地細(xì)分。這時整個問題已經(jīng)被結(jié)構(gòu)化為“保護(hù)對象框架〞。保護(hù)對象框架可以看做由一組“平安需求〞組成,通過將平安問題不斷細(xì)分為保護(hù)對象,“平安需求〞也就越明確、越詳細(xì)。3.為保護(hù)框架中的每一項(xiàng)平安需求設(shè)計或選擇相應(yīng)的對策

為保護(hù)框架中的每一項(xiàng)平安需求設(shè)計或選擇假設(shè)干平安控制,這些平安控制的集合構(gòu)成了“平安對策框架〞。保護(hù)對象框架和平安對策框架之間是“映射〞關(guān)系,即每一個需求對應(yīng)假設(shè)干個控制,而每一個控制只對應(yīng)一個需求。圖某信息系統(tǒng)平安體系的框架信息資產(chǎn)評估

1.以資產(chǎn)組為單位識別信息資產(chǎn)

在實(shí)際工程中,為了減少資產(chǎn)識別的工作量,在不影響評估質(zhì)量的前提下,可以在評估工程中采用資產(chǎn)組的概念來進(jìn)行資產(chǎn)的識別。對于沒必要進(jìn)行細(xì)分的資產(chǎn),采用資產(chǎn)組進(jìn)行標(biāo)識,如一臺主機(jī)為一個主機(jī)資產(chǎn)組,包括硬件資產(chǎn)、軟件資產(chǎn)(包括操作系統(tǒng)、應(yīng)用軟件等)、效勞資產(chǎn)、數(shù)據(jù)資產(chǎn)等。對于重要的資產(chǎn),應(yīng)進(jìn)行獨(dú)立標(biāo)識,如在一個資產(chǎn)組中,有幾個資產(chǎn)的屬性都非常重要,那么可考慮提出其分別作為一個資產(chǎn)。又如,一個非常重要的數(shù)據(jù)庫主機(jī)可以分為一個數(shù)據(jù)庫資產(chǎn)組和一個主機(jī)資產(chǎn)組,也可以把其中的數(shù)據(jù)再提出來單獨(dú)作為一個數(shù)據(jù)資產(chǎn)。國標(biāo)中指出,“在實(shí)際工作中,具體的資產(chǎn)分類方法可以根據(jù)具體的評估對象和要求,由評估者靈活把握。〞在實(shí)際應(yīng)用中可以把信息資產(chǎn)分為網(wǎng)絡(luò)設(shè)備、效勞器、工作站、平安設(shè)備、物理環(huán)境、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)、文檔和人員等。

在識別網(wǎng)絡(luò)設(shè)備的信息資產(chǎn)時,一體化的網(wǎng)絡(luò)設(shè)備(如路由器、交換機(jī)等)均視為一項(xiàng)信息資產(chǎn),而不再具體細(xì)分為硬件和軟件;網(wǎng)絡(luò)線路的物理介質(zhì)均視為網(wǎng)絡(luò)系統(tǒng)信息資產(chǎn)的屬性,而不再單列為資產(chǎn)。2.信息資產(chǎn)價值的計算

國標(biāo)指出,“資產(chǎn)價值應(yīng)依據(jù)資產(chǎn)在保密性、完整性和可用性上的賦值等級,經(jīng)過綜合評定得出。綜合評定方法可以根據(jù)自身的特點(diǎn),選擇資產(chǎn)保密性、完整性和可用性中最為重要的一個屬性的賦值等級作為資產(chǎn)的最終賦值結(jié)果;也可以根據(jù)資產(chǎn)保密性、完整性和可用性的不同等級對其賦值進(jìn)行加權(quán)計算得到資產(chǎn)的最終賦值結(jié)果。加權(quán)方法可根據(jù)組織的業(yè)務(wù)特點(diǎn)確定。〞

結(jié)合實(shí)際應(yīng)用,我們對權(quán)值的取值方法進(jìn)行如下討論。1)不考慮權(quán)值的計算

信息資產(chǎn)的估價主要是對CIA三性分別賦予價值,以此反映信息資產(chǎn)的價值。也可以加上資產(chǎn)的其他屬性賦值,根據(jù)實(shí)際情況決定。

考察實(shí)際經(jīng)驗(yàn),CIA三性中最高的一個對最終的資產(chǎn)價值影響最大。資產(chǎn)價值并不隨著三個屬性值的增加而線性增加,較高的屬性值具有較大的影響。不考慮CIA三性的權(quán)值,可以用以下公式計算資產(chǎn)價值:2)考慮權(quán)值的計算

在不同的行業(yè)中,因?yàn)闃I(yè)務(wù)、職能和行業(yè)背景千差萬別,所以信息平安的目標(biāo)和平安保障的要求也截然不同,比方電信運(yùn)營商最關(guān)注可用性,金融行業(yè)最關(guān)注完整性,政府涉密部門最關(guān)注保密性,這時CIA三性的權(quán)值就會相差很大。為解決這個問題,在計算資產(chǎn)價值時對CIA三性引入不同的權(quán)值,并用以下公式計算資產(chǎn)價值:其中,A代表保密性的權(quán)值,B代表完整性的權(quán)值,C代表可用性的權(quán)值。A、B、C是三個0~3之間的常數(shù),且A+B+C=3。權(quán)值確實(shí)定依據(jù)是對要評估系統(tǒng)的行業(yè)背景和應(yīng)用特點(diǎn)的理解。下面是一些行業(yè)的示范:

電信運(yùn)營商(最關(guān)注可用性):A=0.7,B=0.7,C=1.6。

金融行業(yè)(最關(guān)注完整性):A=0.7,B=1.6,C=0.7。

政府涉密部門(最關(guān)注保密性):A=1.6,B=0.7,C=0.7。3)不同資產(chǎn)CIA三性的權(quán)值不同

即使對同一個信息系統(tǒng)進(jìn)行評估,不同類的資產(chǎn),其對CIA三性的關(guān)注程度也不同,CIA三性的權(quán)值有時也會相差很大。為解決這個問題,在使用上述公式時,對不同的資產(chǎn)A、B、C確實(shí)定要根據(jù)具體情況而定,不能一概而論。表中,X值一般代表關(guān)聯(lián)程度,即某資產(chǎn)與后果之間的關(guān)聯(lián)性;Y值一般代表關(guān)鍵程度,即該種后果的關(guān)鍵程度。

(1)保密性賦值。對于不同的資產(chǎn)類型,其保密性價值含義可能不同。為了方便賦值,將保密性拆為兩個值:XConf和YConf。

XConf(保密性關(guān)聯(lián)程度)是指資產(chǎn)被暴露與所造成最嚴(yán)重后果之間的關(guān)系。XConf可分為直接導(dǎo)致?lián)p失、容易導(dǎo)致?lián)p失、可能導(dǎo)致?lián)p失和難以導(dǎo)致?lián)p失四種程度,分別對應(yīng)4、3、2、1四個值。 表資產(chǎn)價值統(tǒng)計表

威脅評估

1.平安威脅的獲取方法

評估和了解平安威脅的方法主要有用戶面談、平安事件文檔審閱、入侵檢測系統(tǒng)收集的信息和人工分析、模擬攻擊分析、人工分析等。

(1)用戶面談:通過對被評估方的主要平安管理人員或運(yùn)行人員進(jìn)行訪談,了解其對系統(tǒng)現(xiàn)有平安威脅的直覺認(rèn)識,并以此作為調(diào)查平安威脅的重要手段。

(2)平安事件文檔審閱:通過對用戶方的平安事件和事故記錄進(jìn)行審閱,了解其歷史上平安事件發(fā)生的頻率和強(qiáng)度,從側(cè)面來了解平安威脅的可能性和強(qiáng)度。2.威脅發(fā)生的可能性

通常地,在對威脅可能性進(jìn)行賦值時,可通過以下分析獲得。

(1)如果是人為成心威脅,那么既要考慮資產(chǎn)的吸引力和曝光程度以及組織的知名度,還要考慮資產(chǎn)轉(zhuǎn)化為利益的容易程度,包括財務(wù)的利益以及黑客獲得對運(yùn)算能力很強(qiáng)、帶寬很大的主機(jī)的非法使用等利益。

(2)通過過去的平安事件報告或記錄,統(tǒng)計各種發(fā)生過的威脅及其發(fā)生頻率。

(3)在評估體實(shí)際環(huán)境中,通過入侵檢測系統(tǒng)獲得的威脅發(fā)生的數(shù)據(jù)統(tǒng)計和分析,以及各種日志中威脅發(fā)生的數(shù)據(jù)統(tǒng)計和分析。(4)過去一年或兩年來國際機(jī)構(gòu)發(fā)布的整個社會或特定行業(yè)平安威脅發(fā)生頻率的統(tǒng)計數(shù)據(jù)均值。

(5)根據(jù)專家經(jīng)驗(yàn)分析,通過定量或半定量計算獲得。

圖為某信息系統(tǒng)的平安威脅概率示意圖。圖平安威脅概率脆弱性評估

1.工具掃描

1)工具掃描原理

工具掃描主要是根據(jù)已有的平安漏洞知識庫,模擬黑客的攻擊方法,檢測網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)效勞、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)等各種信息資產(chǎn)所存在的平安隱患和漏洞。網(wǎng)絡(luò)掃描主要依靠帶有平安漏洞知識庫的網(wǎng)絡(luò)平安掃描工具對信息資產(chǎn)進(jìn)行基于網(wǎng)絡(luò)層面的平安掃描,其特點(diǎn)是能對被評估目標(biāo)進(jìn)行覆蓋面廣泛的平安漏洞查找,并且評估環(huán)境與被評估對象在線運(yùn)行的環(huán)境完全一致,能較真實(shí)地反映主機(jī)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)所存在的網(wǎng)絡(luò)平安問題和面臨的網(wǎng)絡(luò)平安威脅。2)風(fēng)險與應(yīng)對措施

在評估過程中,一定要注意因?yàn)樵u估而造成的新風(fēng)險。在掃描過程中應(yīng)盡量防止使用含有拒絕效勞類型的掃描方式,而主要采用人工檢查的方法來發(fā)現(xiàn)系統(tǒng)可能存在的拒絕效勞漏洞。

在掃描過程中,如果出現(xiàn)被評估系統(tǒng)沒有響應(yīng)的情況,那么應(yīng)當(dāng)立即停止掃描工作,分析情況,在確定原因、正確恢復(fù)系統(tǒng)、采取必要的防范措施后,才可以繼續(xù)進(jìn)行。2.人工分析

在面對復(fù)雜的應(yīng)用軟件的時候,人工分析不僅能夠彌補(bǔ)工具在靈活性上的缺點(diǎn),還能借助分析專家自身的豐富的知識。人工分析是工具分析的一種必要的補(bǔ)充。

人工分析的步驟如下:

(1)根據(jù)應(yīng)用軟件提供的效勞內(nèi)容,將整個應(yīng)用軟件分成幾個大的模塊,然后對每個大的模塊進(jìn)行人工分析,探察其結(jié)構(gòu),并嘗試能否在模塊的內(nèi)部結(jié)構(gòu)上有所發(fā)現(xiàn)。

(2)分析各個模塊之間的連接局部,探察各連接局部是否出現(xiàn)在數(shù)據(jù)交互時因未對邊界或特殊符號進(jìn)行檢查而造成的漏洞,如常見的SQL注入、溢出等。(3)對各個模塊之間的邏輯結(jié)構(gòu)局部進(jìn)行相應(yīng)的權(quán)限驗(yàn)證測試,探察是否存在未授權(quán)訪問或者權(quán)限控制不嚴(yán)造成的敏感信息泄漏。

(4)結(jié)合應(yīng)用軟件所使用的編寫語言特點(diǎn),使用一些特殊的測試手段,分析由于編寫語言不同而可能出現(xiàn)的一系列平安問題。

(5)整理出所有的人工分析原始資料,重新檢查一次是否有遺漏局部。

(6)統(tǒng)計所有的分析結(jié)果,提交相應(yīng)的人工分析報告。圖人工分析的檢查工程3.滲透測試

滲透測試是一種從攻擊者的角度來對主機(jī)系統(tǒng)的平安程度進(jìn)行平安評估的手段,在對現(xiàn)有信息系統(tǒng)不造成任何損害的前提下,模擬入侵者對指定系統(tǒng)進(jìn)行攻擊檢測。滲透測試通常能以非常明顯、直觀的結(jié)果來反映出系統(tǒng)的平安現(xiàn)狀。

滲透測試的流程如下圖。圖滲透測試的流程滲透測試的風(fēng)險及應(yīng)對措施如下:

(1)為防止在滲透測試過程中出現(xiàn)異常情況,所有被評估系統(tǒng)均應(yīng)在被評估之前作一次完整的系統(tǒng)備份或者關(guān)閉正在運(yùn)行的操作,以便在系統(tǒng)發(fā)生災(zāi)難后能及時恢復(fù)。

(2)不使用含有拒絕效勞的測試策略。

(3)滲透測試時間盡量安排在業(yè)務(wù)量不大的時段。

(4)如果出現(xiàn)被評估系統(tǒng)沒有響應(yīng)的情況,那么應(yīng)當(dāng)立即停止測試掃描工作,分析情況,在確定原因、正確恢復(fù)系統(tǒng)、采取必要的防范措施后,才可以繼續(xù)進(jìn)行。

(5)評估前由被評估方同意,對指定的效勞器或網(wǎng)段進(jìn)行滲透測試,測試過程在相關(guān)人員的全程跟蹤和監(jiān)督下進(jìn)行。圖脆弱性結(jié)果示意風(fēng)險確定

風(fēng)險是一種潛在可能性,是指某個威脅利用系統(tǒng)脆弱性引起某項(xiàng)資產(chǎn)或一組資產(chǎn)的損害,從而直接或間接地引起企業(yè)或機(jī)構(gòu)的損害。因此,風(fēng)險和具體的資產(chǎn)價值、威脅等級以及相關(guān)的脆弱性直接相關(guān)。

風(fēng)險評估的策略是首先選定某項(xiàng)資產(chǎn),評估資產(chǎn)價值,挖掘并評估資產(chǎn)面臨的威脅,挖掘并評估資產(chǎn)存在的脆弱性,評估該資產(chǎn)的風(fēng)險,進(jìn)而得出整個評估目標(biāo)的風(fēng)險。

風(fēng)險也有兩個屬性:損失性和可能性。最終風(fēng)險對企業(yè)的影響,也就是對風(fēng)險的評估賦值,是上述兩個屬性權(quán)衡作用的結(jié)果。不同的資產(chǎn)面臨的主要威脅各不相同。隨著威脅可以利用的、資產(chǎn)存在的脆弱性數(shù)量的增加,風(fēng)險的可能性會增加;隨著脆弱性類別的提高,該資產(chǎn)面臨風(fēng)險的威脅會增加。

在許多情況下,某資產(chǎn)風(fēng)險的可能性是面臨的威脅的可能性和脆弱性被威脅利用的難易程度的函數(shù),而風(fēng)險的后果是資產(chǎn)的價值和影響的嚴(yán)重性的函數(shù)。

根據(jù)上述各階段的評估結(jié)果,即評估人員對系統(tǒng)進(jìn)行的資產(chǎn)鑒定、威脅評估、脆弱性評估以及威脅利用資產(chǎn)脆弱性發(fā)生平安事件的可能性、資產(chǎn)受到損害的嚴(yán)重性,可以計算系統(tǒng)的風(fēng)險等級。風(fēng)險計算原理形式化描述如下:式中,R表示風(fēng)險,A表示資產(chǎn),V表示脆弱性,T表示威