計算機(jī)網(wǎng)絡(luò)信息安全16章

1、第16章 網(wǎng)絡(luò)安全風(fēng)險評估技術(shù)的原理與應(yīng)用 16.1 網(wǎng)絡(luò)風(fēng)險評估概述 16.2 網(wǎng)絡(luò)風(fēng)險評估過程 16.3 網(wǎng)絡(luò)風(fēng)險數(shù)據(jù)的采集方法與工具 16.4 網(wǎng)絡(luò)風(fēng)險評估工程項目流程16.5 本 章 小 結(jié)本章思考與練習(xí)16.1 網(wǎng)絡(luò)風(fēng)險評估概述 16.1.1 網(wǎng)絡(luò)風(fēng)險評估的概念 網(wǎng)絡(luò)安全風(fēng)險是指由于網(wǎng)絡(luò)系統(tǒng)所存在的脆弱性，因人為或自然的威脅導(dǎo)致安全事件發(fā)生所造成的可能性影響。網(wǎng)絡(luò)安全風(fēng)險評估(簡稱“網(wǎng)絡(luò)風(fēng)險評估”)就是指依據(jù)有關(guān)信息安全技術(shù)和管理標(biāo)準(zhǔn)，對網(wǎng)絡(luò)系統(tǒng)的保密性、完整性、可控性和可用性等安全屬性進(jìn)行科學(xué)評價的過程。評估內(nèi)容涉及到網(wǎng)絡(luò)系統(tǒng)的脆弱性、網(wǎng)絡(luò)安全威脅以及脆弱性被威脅源利用后所造成的實

2、際影響，以及根據(jù)安全事件發(fā)生的可能性影響大小來確認(rèn)的網(wǎng)絡(luò)安全風(fēng)險等級。簡單地說，網(wǎng)絡(luò)風(fēng)險評估就是指特定威脅利用網(wǎng)絡(luò)資產(chǎn)的脆弱性，造成網(wǎng)絡(luò)資產(chǎn)損失或破壞的潛在可能性。下面舉一個例子來幫助我們理解網(wǎng)絡(luò)風(fēng)險評估的概念。某公司的電子商務(wù)網(wǎng)站因為存在RPC DCOM的漏洞，遭到黑客入侵，被迫中斷1天，則網(wǎng)絡(luò)風(fēng)險的相關(guān)概念如下所示： 網(wǎng)絡(luò)資產(chǎn)電子商務(wù)網(wǎng)站網(wǎng)絡(luò)威脅黑客網(wǎng)絡(luò)脆弱性RPC DCOM漏洞網(wǎng)絡(luò)影響中斷1天網(wǎng)絡(luò)風(fēng)險電子商務(wù)網(wǎng)站受到入侵 假設(shè)網(wǎng)站受到黑客攻擊的概率為，經(jīng)濟(jì)影響為2萬元人民幣，則該公司的網(wǎng)站風(fēng)險量化值為萬元人民幣。 16.1.2 網(wǎng)絡(luò)風(fēng)險評估要素的組成關(guān)系網(wǎng)絡(luò)風(fēng)險評估涉及到資產(chǎn)、威脅、脆弱

3、性、安全措施、風(fēng)險等各個要素，各要素之間相互作用，如圖16-1所示。資產(chǎn)因為其價值而受到威脅；威脅者利用資產(chǎn)的脆弱性構(gòu)成威脅；安全措施對資產(chǎn)進(jìn)行保護(hù)，修補(bǔ)資產(chǎn)的脆弱性，從而降低資產(chǎn)的風(fēng)險。 圖16-1 風(fēng)險評估各個要素間的相互作用 16.1.3 網(wǎng)絡(luò)風(fēng)險評估模式1自評估自評估是網(wǎng)絡(luò)系統(tǒng)擁有者依靠自身的力量，對自有的網(wǎng)絡(luò)系統(tǒng)進(jìn)行的風(fēng)險評估活動。 2檢查評估檢查評估是指由網(wǎng)絡(luò)安全主管機(jī)關(guān)或業(yè)務(wù)主管機(jī)關(guān)發(fā)起，旨在依據(jù)已經(jīng)頒布的安全法規(guī)、安全標(biāo)準(zhǔn)或安全管理規(guī)定等進(jìn)行的檢查評估。3委托評估委托評估是指網(wǎng)絡(luò)系統(tǒng)使用單位委托的具有風(fēng)險評估能力的專業(yè)評估機(jī)構(gòu)實施的評估活動進(jìn)行檢查評估。 16.1.4 網(wǎng)絡(luò)風(fēng)險

4、評估意義第一，網(wǎng)絡(luò)風(fēng)險評估是網(wǎng)絡(luò)系統(tǒng)安全的基礎(chǔ)性工作，它有利于網(wǎng)絡(luò)安全規(guī)劃和設(shè)計，有利于明晰網(wǎng)絡(luò)安全保障需求。網(wǎng)絡(luò)風(fēng)險評估將傳統(tǒng)的風(fēng)險理論和方法應(yīng)用于網(wǎng)絡(luò)系統(tǒng)，科學(xué)地分析和理解網(wǎng)絡(luò)系統(tǒng)的保密性、完整性、可用性、可控性等方面所面臨的風(fēng)險，并為網(wǎng)絡(luò)風(fēng)險的減少、轉(zhuǎn)移和規(guī)避等風(fēng)險控制提供決策依據(jù)。通過網(wǎng)絡(luò)風(fēng)險評估，網(wǎng)絡(luò)安全管理人員將更加明確網(wǎng)絡(luò)系統(tǒng)的安全需求，只有在正確、全面地了解和理解網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險后，才能決定如何應(yīng)對安全風(fēng)險，從而有利于網(wǎng)絡(luò)系統(tǒng)的安全投資、網(wǎng)絡(luò)安全措施的選擇、網(wǎng)絡(luò)安全保障體系的建設(shè)，促進(jìn)網(wǎng)絡(luò)系統(tǒng)的信息安全建設(shè)。 第二，風(fēng)險評估有利于網(wǎng)絡(luò)系統(tǒng)的安全防護(hù)，做到重點(diǎn)突出，分級防護(hù)。從理

5、論上講，風(fēng)險總是不可避免而客觀存在的，實際工作過程不可能做到絕對安全。因而，追求絕對安全和完全回避風(fēng)險都是不現(xiàn)實的，安全是風(fēng)險與成本的綜合平衡。通過風(fēng)險評估，使安全管理員認(rèn)清風(fēng)險因素的主次，實事求是，抓住安全的主要問題，以便采取有效、科學(xué)、客觀和經(jīng)濟(jì)的安全防范措施。 16.2 網(wǎng)絡(luò)風(fēng)險評估過程 16.2.1 風(fēng)險評估過程概述網(wǎng)絡(luò)風(fēng)險評估一般遵循如下工作過程：第一步，網(wǎng)絡(luò)評估范圍界定；第二步，網(wǎng)絡(luò)資產(chǎn)鑒定；第三步，網(wǎng)絡(luò)威脅識別；第四步，網(wǎng)絡(luò)脆弱性識別；第五步，網(wǎng)絡(luò)安全措施分析； 第六步，網(wǎng)絡(luò)安全影響分析；第七步，網(wǎng)絡(luò)風(fēng)險確認(rèn)；第八步，網(wǎng)絡(luò)安全措施建議。 以上工作步驟是一個網(wǎng)絡(luò)風(fēng)險評估工作的基本過

6、程，網(wǎng)絡(luò)管理員可以根據(jù)不同的目的和環(huán)境，簡化或補(bǔ)充各步驟細(xì)節(jié)。 16.2.2 網(wǎng)絡(luò)評估范圍界定正式進(jìn)行具體安全評估時，首先必須進(jìn)行網(wǎng)絡(luò)系統(tǒng)范圍的界定，要求評估者明晰所需要評估的對象。網(wǎng)絡(luò)評估范圍界定一般包括：* 網(wǎng)絡(luò)系統(tǒng)拓?fù)浣Y(jié)構(gòu)。* 網(wǎng)絡(luò)通信協(xié)議。* 網(wǎng)絡(luò)地址分配。* 網(wǎng)絡(luò)設(shè)備。* 網(wǎng)絡(luò)服務(wù)。 * 網(wǎng)上業(yè)務(wù)類型與業(yè)務(wù)信息流程。* 網(wǎng)絡(luò)安全防范措施(防火墻、IDS、保安系統(tǒng)等)。* 網(wǎng)絡(luò)操作系統(tǒng)。* 網(wǎng)絡(luò)相關(guān)人員。* 網(wǎng)絡(luò)物理環(huán)境(如建筑、設(shè)備位置)。在這個階段，最終將生成評估文檔網(wǎng)絡(luò)風(fēng)險評估范圍界定報告，該報告是后續(xù)評估工作的范圍限定。 16.2.3 網(wǎng)絡(luò)資產(chǎn)鑒定網(wǎng)絡(luò)資產(chǎn)鑒定包含“網(wǎng)絡(luò)資產(chǎn)識別

7、”和“網(wǎng)絡(luò)資產(chǎn)價值估算”兩個步驟。前者給出評估所考慮的具體對象，確認(rèn)網(wǎng)絡(luò)資產(chǎn)的種類和清單，是整個評估工作的基礎(chǔ)?！熬W(wǎng)絡(luò)資產(chǎn)價值估算”是對某一具體資產(chǎn)在網(wǎng)絡(luò)系統(tǒng)的重要程度的確認(rèn)。在這里，價值估算不僅包含資產(chǎn)的物理實際經(jīng)濟(jì)價值，而且包含其相對價值，即資產(chǎn)在網(wǎng)絡(luò)系統(tǒng)中所起到的效果。該階段將生成文檔網(wǎng)絡(luò)系統(tǒng)資產(chǎn)鑒定報告，報告內(nèi)容包括網(wǎng)絡(luò)系統(tǒng)的資產(chǎn)清單和資產(chǎn)的重要性評價。表16-1是某公司網(wǎng)絡(luò)系統(tǒng)的資產(chǎn)鑒定表。 表16-1 某公司網(wǎng)絡(luò)系統(tǒng)的資產(chǎn)鑒定表 16.2.4 網(wǎng)絡(luò)威脅識別網(wǎng)絡(luò)威脅識別是指對網(wǎng)絡(luò)資產(chǎn)有可能受到的危害進(jìn)行分析，一般從威脅來源、威脅途徑、威脅意圖等幾個方面來分析，如圖16-2所示。 圖1

8、6-2 網(wǎng)絡(luò)威脅識別示意圖 首先是標(biāo)記出潛在的威脅源，并且形成一份威脅列表，列出被評估的網(wǎng)絡(luò)系統(tǒng)面臨的潛在威脅源。威脅源按照其性質(zhì)一般可分為自然威脅和人為威脅。其中，自然威脅有雷電、洪水、地震、火災(zāi)等，而人為威脅則有盜竊、破壞、攻擊等，如圖16-3所示。 圖16-3 網(wǎng)絡(luò)系統(tǒng)威脅框架結(jié)構(gòu)示意圖 威脅途徑是指威脅資產(chǎn)的方法和過程步驟。威脅者為了實現(xiàn)其意圖，會使用各種攻擊方法和工具，如計算機(jī)病毒、特洛伊木馬、蠕蟲、漏洞利用和嗅探程序。通過各種方法組合，實施威脅。圖16-4是關(guān)于口令威脅途徑分析。 圖16-4 口令威脅途徑示意圖 威脅效果是指威脅成功后，給網(wǎng)絡(luò)系統(tǒng)造成的影響。一般來說，威脅效果抽象為

9、三種：非法訪問、欺騙和拒絕服務(wù)。例如最早的拒絕服務(wù)是“電子郵件炸彈”，它能使用戶在很短時間內(nèi)收到大量電子郵件，使用戶系統(tǒng)不能處理正常業(yè)務(wù)，嚴(yán)重時會使系統(tǒng)崩潰、網(wǎng)絡(luò)癱瘓。威脅意圖是指威脅主體實施威脅的目的。根據(jù)威脅者的身份，威脅意圖可以分為挑戰(zhàn)、情報信息獲取、恐怖主義、經(jīng)濟(jì)利益和報復(fù)。 16.2.5 網(wǎng)絡(luò)脆弱性識別脆弱性識別是指通過各種測試方法，獲得網(wǎng)絡(luò)資產(chǎn)中所存在的缺陷清單，包括硬件和軟件清單，這些缺陷會導(dǎo)致對信息資產(chǎn)的非授權(quán)訪問、泄密、失控、破壞或不可用。缺陷的存在將會危及到網(wǎng)絡(luò)資產(chǎn)的安全。該階段將產(chǎn)生脆弱性評估文檔網(wǎng)絡(luò)系統(tǒng)技術(shù)脆弱性報告。 16.2.6 網(wǎng)絡(luò)安全措施分析安全措施分析主要是指

10、對組織結(jié)構(gòu)、人員配備、安全意識、教育培訓(xùn)、安全操作、設(shè)備管理、應(yīng)急響應(yīng)、安全制度等方面進(jìn)行合理性、必要性評價，其目的在于確認(rèn)安全策略執(zhí)行情況。該階段將生成中間文檔網(wǎng)絡(luò)管理脆弱性報告。 16.2.7 網(wǎng)絡(luò)安全影響分析在威脅評估、脆弱性評估、安全管理評估基礎(chǔ)上，安全影響分析是指分析已鑒定的資產(chǎn)受到損害后帶來的影響。一般情況下，影響主要從以下幾方面來考慮：(1) 違反了有關(guān)法律或規(guī)章制度。(2) 影響了業(yè)務(wù)運(yùn)行。(3) 造成了信譽(yù)、聲譽(yù)損失。(4) 侵犯了個人隱私。(5) 造成了人身傷害。(6) 對法律實施造成了負(fù)面影響。(7) 侵犯了商業(yè)機(jī)密。 (8) 違反了社會公共準(zhǔn)則。(9) 造成了經(jīng)濟(jì)損失。

11、(10) 破壞了業(yè)務(wù)活動。(11) 危害了公共安全。該階段將生成中間文檔安全影響分析報告。 16.2.8 網(wǎng)絡(luò)風(fēng)險確認(rèn) 網(wǎng)絡(luò)風(fēng)險確認(rèn)是指在資產(chǎn)評估、威脅評估、脆弱性評估、安全措施分析、安全影響分析的基礎(chǔ)上，綜合利用定性和定量的分析方法，選擇適當(dāng)?shù)娘L(fēng)險計算方法或工具確定風(fēng)險的大小與風(fēng)險等級，即對網(wǎng)絡(luò)系統(tǒng)安全管理范圍內(nèi)的每一網(wǎng)絡(luò)資產(chǎn)因遭受泄露、修改、不可用和破壞所帶來的任何影響給出一個風(fēng)險測量的列表，以便識別與選擇適當(dāng)和正確的安全控制方式。通過分析所評估的數(shù)據(jù)，進(jìn)行風(fēng)險值計算。該階段將生成中間文檔網(wǎng)絡(luò)風(fēng)險分析報告。 16.2.9 網(wǎng)絡(luò)安全措施建議安全措施建議針對網(wǎng)絡(luò)系統(tǒng)所存在的各種風(fēng)險，給出具體風(fēng)

12、險控制建議，其目標(biāo)在于降低網(wǎng)絡(luò)系統(tǒng)的安全風(fēng)險。目前，網(wǎng)絡(luò)安全管理風(fēng)險的控制措施主要有十大類：* 制定明確的安全策略。* 建立安全組織。* 實施網(wǎng)絡(luò)資產(chǎn)分類控制。* 加強(qiáng)人員安全管理。* 保證物理實體和環(huán)境安全。* 加強(qiáng)安全通信運(yùn)行。 * 采取訪問控制機(jī)制。* 進(jìn)行安全系統(tǒng)開發(fā)與維護(hù)。* 保證業(yè)務(wù)持續(xù)運(yùn)行。* 遵循法律法規(guī)、安全目標(biāo)一致性檢查。 16.3 網(wǎng)絡(luò)風(fēng)險數(shù)據(jù)的采集方法與工具 16.3.1 漏洞掃描網(wǎng)絡(luò)管理員通過漏洞掃描工具自動模擬執(zhí)行入侵探測過程，搜集分析漏洞信息，以評估網(wǎng)絡(luò)系統(tǒng)的安全性。漏洞掃描工具有許多，按照其用途來劃分，粗略分成主機(jī)掃描、網(wǎng)絡(luò)掃描、應(yīng)用掃描。當(dāng)網(wǎng)絡(luò)管理員需要進(jìn)行漏

13、洞掃描時，一般要求把漏洞掃描工具安裝在某臺計算機(jī)上，然后將該計算機(jī)接入到網(wǎng)絡(luò)系統(tǒng)中，并配置掃描相關(guān)信息，啟動漏洞掃描進(jìn)程。目前，可進(jìn)行漏洞掃描的工具有許多，表16-2是常用的掃描工具。 表16-2 常用漏洞掃描工具 16.3.2 人工檢查人工檢查通過人直接操作評估對象以獲取所需要的評估信息。一般進(jìn)行人工檢查前，應(yīng)事先設(shè)計好“檢查表(CheckList)”，然后評估工作人員按照“檢查表”進(jìn)行查找，以發(fā)現(xiàn)系統(tǒng)中的網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、客戶機(jī)等所存在的漏洞和威脅。為了做好評估依據(jù)，所有的檢查操作應(yīng)有書面的記錄材料?？蛻魴C(jī)的安全檢查表如表16-3所示。 表16-3 客戶機(jī)的安全檢查表 16.3.

14、3 滲透測試滲透測試是指在獲取授權(quán)后，通過使用安全工具，模擬黑客攻擊網(wǎng)絡(luò)系統(tǒng)，以發(fā)現(xiàn)深層次的安全問題。滲透測試工具有許多種，常見的類型有：* 信息收集類。* 漏洞利用嘗試類。* 破解口令類。 16.3.4 問卷調(diào)查問卷調(diào)查采用書面的形式獲得被評估信息系統(tǒng)的相關(guān)信息，以掌握信息系統(tǒng)的基本安全狀況。問卷調(diào)查一般根據(jù)調(diào)查對象進(jìn)行單獨(dú)設(shè)計。問卷包括管理類和技術(shù)類。管理調(diào)查涵蓋安全策略、安全組織、資產(chǎn)分類和控制、人員安全、業(yè)務(wù)連續(xù)性等，它主要針對管理者、操作人員。而技術(shù)調(diào)查卷主要包括物理和環(huán)境安全、網(wǎng)絡(luò)通信、系統(tǒng)訪問控制和系統(tǒng)開發(fā)與維護(hù)，調(diào)查對象是IT技術(shù)人員。自我安全意識的調(diào)查表如表16-4所示。 表

15、16-4 自我安全意識調(diào)查表 16.3.5 安全訪談安全訪談通過安全專家和網(wǎng)絡(luò)系統(tǒng)的使用人員、管理人員等相關(guān)人員進(jìn)行直接交談，來考察和證實對網(wǎng)絡(luò)系統(tǒng)安全策略的實施、規(guī)章制度的執(zhí)行和管理與技術(shù)等一系列情況。 16.3.6 審計數(shù)據(jù)分析審計是網(wǎng)絡(luò)安全系統(tǒng)中的一個重要環(huán)節(jié)，客戶對網(wǎng)絡(luò)系統(tǒng)中的安全設(shè)備和網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)和運(yùn)行狀況進(jìn)行全面的監(jiān)測是保障網(wǎng)絡(luò)安全的重要手段。審計數(shù)據(jù)分析是指采用數(shù)據(jù)統(tǒng)計和特征模式匹配等多種技術(shù)，從審計數(shù)據(jù)中尋找安全事件的有關(guān)信息。審計數(shù)據(jù)分析通常用于威脅識別。審計分析的作用包括侵害行為檢測、異常事件監(jiān)測、潛在攻擊征兆發(fā)覺等。下面是一個例子，某網(wǎng)站服務(wù)器上的訪問日志出現(xiàn)大量類

16、似如下的HTTP請求： GET/default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801

17、%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0 根據(jù)這些日志信息，我們可以推斷該網(wǎng)站受到了紅色蠕蟲的攻擊。由于日志審計數(shù)據(jù)量大，因此網(wǎng)絡(luò)管理人員需要借助軟件工具來分析。目前審計分析工具有Web Log Explore、EIQ Professional Suite、Proxy Inspector for WinGate等。 16.3.7 入侵監(jiān)測網(wǎng)絡(luò)管理員將入侵監(jiān)測軟件或設(shè)備接入到待評估的網(wǎng)絡(luò)中，然后通過入侵監(jiān)測軟件或設(shè)備采集評估對象的威脅信息和

18、安全狀態(tài)。入侵監(jiān)測軟件和設(shè)備有許多種，按照其用途來劃分，粗略分成主機(jī)入侵監(jiān)測、網(wǎng)絡(luò)入侵監(jiān)測、應(yīng)用入侵監(jiān)測。常用于入侵監(jiān)測的軟件有協(xié)議分析器、入侵檢測系統(tǒng)、注冊表監(jiān)測、文件完整性檢查，如表16-5所示。 表16-5 入侵監(jiān)測常用工具表 16.4 網(wǎng)絡(luò)風(fēng)險評估工程項目流程 16.4.1 評估工程的前期準(zhǔn)備風(fēng)險評估需求調(diào)查是評估工程后續(xù)工作開展的前提，其中包括評估對象確定、評估范圍界定、評估的粒度和評估的時間等，在評估工作前一定要簽訂合同和保密協(xié)議，以避免糾紛。由于風(fēng)險評估活動涉及單位的不同領(lǐng)域和人員，需要多方面的協(xié)調(diào)。必要的、充分的準(zhǔn)備是風(fēng)險評估成功的關(guān)鍵。評估的前期準(zhǔn)備工作至少包括以下內(nèi)容： *

19、 確定風(fēng)險評估的需求目標(biāo)，其中包括評估對象確定、評估范圍界定、評估的粒度和評估的時間等；* 簽訂合同和保密協(xié)議；* 成立評估工作組；* 選擇評估模式。 16.4.2 評估方案的設(shè)計與論證評估方案設(shè)計依據(jù)被評估方的安全需求來制定，并經(jīng)過雙方討論且論證通過后方可進(jìn)行下一步工作。評估方案設(shè)計主要包括確認(rèn)評估方法、評估人員組織、評估工具選擇、預(yù)期風(fēng)險分析、評估實施計劃等內(nèi)容。為確保評估方案的可行性，評估工作小組應(yīng)組織相關(guān)人員討論，聽取各方意見，然后修改評估方案，直至論證通過。 16.4.3 評估方案的實施在評估方案論證通過后，才能組織相關(guān)人員對方案進(jìn)行實施。評估方案實施內(nèi)容主要包括評估對象的基本情況調(diào)

20、查、安全需求挖掘以及確定具體操作步驟。評估實施過程中應(yīng)避免改變系統(tǒng)的任何設(shè)置，必須備份系統(tǒng)原有的配置，并書面記錄操作過程和記錄相關(guān)數(shù)據(jù)。工作實施時必須有工作備忘錄，內(nèi)容包括評估環(huán)境描述，操作的詳細(xì)過程記錄，問題簡要分析，相關(guān)測試數(shù)據(jù)保存等。對于敏感系統(tǒng)的測試，參加評估實施的人員要求至少兩人以上，必須經(jīng)領(lǐng)導(dǎo)簽字批準(zhǔn)。 16.4.4 風(fēng)險評估報告的撰寫根據(jù)評估實施情況和所搜集到的信息，如資產(chǎn)評估數(shù)據(jù)、威脅評估數(shù)據(jù)、脆弱性評估數(shù)據(jù)等，完成評估報告的撰寫。評估報告是風(fēng)險評估結(jié)果的記錄文件，是組織實施風(fēng)險管理的主要依據(jù)，是對風(fēng)險評估活動進(jìn)行評審和認(rèn)可的基礎(chǔ)資料。因此，報告必須做到有據(jù)可查，報告內(nèi)容一般主

21、要包括風(fēng)險評估范圍、風(fēng)險計算方法、安全問題歸納及描述、風(fēng)險級數(shù)、安全建議等。風(fēng)險評估報告還可以包括風(fēng)險控制措施建議、殘余風(fēng)險描述等。網(wǎng)絡(luò)風(fēng)險評估報告由部分緒論、安全現(xiàn)狀描述、資產(chǎn)評估、脆弱性評估、安全管理評估組成。其中，緒論包括術(shù)語和定義、評估內(nèi)容、評估流程、評估數(shù)據(jù)來源和評估參考依據(jù)； 安全現(xiàn)狀描述則給出網(wǎng)絡(luò)組成說明、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、關(guān)鍵設(shè)備和網(wǎng)絡(luò)服務(wù)、當(dāng)前網(wǎng)絡(luò)安全防范措施；資產(chǎn)評估列出網(wǎng)絡(luò)系統(tǒng)中的軟、硬件清單，如路由器、交換機(jī)、網(wǎng)絡(luò)服務(wù)、操作系統(tǒng)、數(shù)據(jù)庫、主機(jī)等，并對資產(chǎn)給出重要性評價；威脅評估則給出網(wǎng)絡(luò)系統(tǒng)所面臨的威脅，包括威脅來源、威脅途徑、威脅方式、威脅后果等；安全管理評估則是從安全操作流程、設(shè)備管理、人員管理、安全制度、應(yīng)急響應(yīng)能力、行政控制手段等方面對網(wǎng)絡(luò)系統(tǒng)的安全問題進(jìn)行評價，分析其存在的