網絡安全等保保護風險評估方案

XXXX

風險評估建議書TOC\o"1-5"\h\z\o"CurrentDocument"項目背景 4\o"CurrentDocument"風險評估概念 4\o"CurrentDocument"風險評估的必要性 4\o"CurrentDocument"全面了解信息安全現(xiàn)狀 4\o"CurrentDocument"提供安全項目建設依據 5\o"CurrentDocument"有效規(guī)避項目風險 6避免盲目投資 6防止項目失控 6\o"CurrentDocument"評估范圍和內容 7范圍 7\o"CurrentDocument"涉及領域 7涉及資產 9\o"CurrentDocument"風險評估的方式 10\o"CurrentDocument"風險評估理論模型 10\o"CurrentDocument"風險管理流程模型 10\o"CurrentDocument"風險關系模型 13\o"CurrentDocument"風險計算模型 15輸入要素描述 15輸出要素描述 15\o"CurrentDocument"評估過程 15\o"CurrentDocument"階段一前期準備 15\o"CurrentDocument"制定計劃 16\o"CurrentDocument"培訓溝通 16建立評估環(huán)境 17階段二現(xiàn)場評估和調查 18資產調查 18問卷調查數據收集 19工具協(xié)助和專家控制臺分析 19網絡掃描 21網絡IDS嗅探 23\o"CurrentDocument"滲透測試（可選） 24\o"CurrentDocument"階段三風險評估 24\o"CurrentDocument"風險估計 25\o"CurrentDocument"風險評價 25\o"CurrentDocument"評估報告 26\o"CurrentDocument"階段四項目驗收 26\o"CurrentDocument"階段五售后支持 27\o"CurrentDocument"結果文檔 27過程文檔 27評估報告 27\o"CurrentDocument"項目風險控制 28\o"CurrentDocument"原則要求 28\o"CurrentDocument"風險控制 29\o"CurrentDocument"法律保障 29人力資源控制 29\o"CurrentDocument"密級控制 29\o"CurrentDocument"項目工作界面 30\o"CurrentDocument"項目組織結構 30\o"CurrentDocument"項目協(xié)調會 32\o"CurrentDocument"實施計劃 33\o"CurrentDocument"任務分配 33\o"CurrentDocument"項目進度 36項目背景隨著網絡技術應用的推廣普及，應用層次的不斷深入，網絡應用領域也正從傳統(tǒng)的、小型業(yè)務系統(tǒng)向大型、關鍵業(yè)務系統(tǒng)擴展。網絡所具有的開放性、國際性和自由性在增加應用自由度的同時，也為網絡安全增加了更多的風險，網絡安全正日益成為影響網絡效能的重要因素。在全球范圍內看，中國的證券電子化工作屬于世界領先水平。XXXX從創(chuàng)立之初就把交易無紙化作為發(fā)展目標并很快得到實現(xiàn)。隨著信息技術的發(fā)展，涉及信息網絡的安全問題日益突出，XXXX對網絡安全的需求也越來越迫切。XXXX近幾年對網絡安全的防護工作展開過多次調研，并且得出了“XXXX需要全面加強網絡安全框架建設”的初步結論。參考國外的成熟標準和成功經驗，我們逐漸達成了一個共識，即：XXXX要把信息安全建設好，必須首先進行一次針對網絡安全的風險評估，并以該次風險評估的結果指導后續(xù)的信息安全建設工作。風險評估概念風險評估，是對企業(yè)信息資產面臨的威脅進行評估、對采取的安全措施的有效性進行評估、以及對系統(tǒng)漏洞被利用的可能性進行評估后的綜合結果。作為信息安全建設中的重要一環(huán)，它是XXXX信息安全策略和解決方案的基礎，評估結果也是下一步XXXX系統(tǒng)安全建設的指導。風險評估的必要性全面了解信息安全現(xiàn)狀XXXX目前已經擁有一個龐大的網絡系統(tǒng)，每天運行在該系統(tǒng)上的信息資產的價值同樣是巨大的和難以估算的，但是我們對于目前整個網絡系統(tǒng)存在哪些威脅還缺乏一個全面的認識和了解，對于我們的信息安全管理方面存在哪些安全漏洞和隱患也缺乏一個清晰的認識。而風險評估恰恰是幫助我們了解這些信息的一個必要而有效的手段。通過風險評估項目的實施，我們可以清楚的了解目前網絡以及信息安全管理的現(xiàn)狀。提供安全項目建設依據目前幾乎所有的企業(yè)都意識到了安全的重要性，也都在積極推動信息安全建設。一種常見的安全建設方式如下：出現(xiàn)問題-->進行安全項目投資-->尋找產品-->產品實施但這種頭痛醫(yī)頭、腳痛醫(yī)腳的方式很快便暴露其弊端：隨著業(yè)務系統(tǒng)的發(fā)展和多樣性安全需求的提出，老的問題安全解決了，但新的安全隱患又源源不斷地被發(fā)現(xiàn)，系統(tǒng)的整體安全狀況也沒有得到明顯改善。之所以這種情況，問題在于在進行信息安全建設中沒有對企業(yè)的安全現(xiàn)狀進行必要的風險評估，只是簡單的認為網絡中存在的安全問題通過簡單的安全產品配置即可解決，所以最后造成信息安全項目投資失敗也就在所難免了。目前雖然XXXX從上至下、從最高領導到基層員工都知道應該抓安全，但對安全防護的范圍和成效并無把握。例如：最大的安全問題是什么？應該保護到哪一級？投入多少經費才合適？采用的安全措施是否是有用的？安全項目實施以后，安全問題是否就解決了？是否會在項目建設完以后仍然遺留重大隱患？這些問題，實際上已經嚴重影響到了信息安全建設的決策。只有經過對網絡系統(tǒng)進行整體的風險評估，然后以《風險評估報告》作為信息安全建設的依據和基準點，才能夠為信息安全建設決策提供強有力的決策支持，并最大程度的保證信息安全建設的成功。3.3.有效規(guī)避項目風險避免盲目投資為信息安全建設投入相應的資金，同樣面臨著兩種風險：投資過度與投資不足。投資過度是指人為夸大了風險的程度，使得用于安全建設的資金遠遠超過所保護資產的原有價值，例如用一萬元的代價去保護價值一千元的信息。投資不足則是低估了安全威脅可能造成的損失，使得安全建設投入不足，以致于系統(tǒng)中的重大威脅沒有得到消除，在系統(tǒng)遭到破壞的時候才發(fā)現(xiàn)原有的防護措施不夠。實際上，評估安全建設所需資金與評估安全威脅帶來的損失同樣重要。在現(xiàn)代網絡環(huán)境中，安全措施是必不可少的，但只有經過風險評估確定需要何種層次的保護水平，然后使用這些分析后的數據信息制定出安全防護的策略，才能有效地作出信息安全建設預算。國內某券商就曾有過投資失敗的教訓，他們在沒有進行充分的風險評估的情況下，就盲目地購買了一些防病毒、防火墻等安全產品，認為這樣系統(tǒng)就安全了。結果，今年二月，網絡中大面積爆發(fā)蠕蟲病毒，造成網絡擁塞，業(yè)務中斷。當客戶已經進行了投訴，系統(tǒng)管理員查找問題原因的時候，才發(fā)現(xiàn)系統(tǒng)中根本就沒有建立相應的監(jiān)控機制，無法知道問題出自于何方，導致了故障遲遲不得解決。事后反思，該安全投資因為低估了系統(tǒng)風險而導致失敗。所以，在進行信息安全建設投資的第一步進行風險評估是非常必要的。一個風險評估項目的成功實施是做好信息安全建設的良好開端。防止項目失控一個信息安全建設項目，如果沒有經過充分的信息采集、調研和評估而匆忙上馬，很有可能陷入以下三種尷尬的境地，導致項目失控：信息安全建設目標不當。目標錯誤的后果是解決了部份安全問題，但必須要解決的風險被遺漏，安全項目仍然不能保證系統(tǒng)的安全運行。信息安全建設的目標雖然正確，但不具備可操作性，難以實現(xiàn)其目標。最常見的情況就是，為了達到某一個防護目標，必須要對網絡系統(tǒng)、業(yè)務系統(tǒng)做重大的變動，以至于嚴重影響原有業(yè)務的連續(xù)運行。象這樣不可實現(xiàn)的安全防護，實際上也反應出目標的制訂存在主觀性，缺乏建立在評估過程之上的安全管理和控制。信息安全建設未達到預定目標。如果沒有風險評估的過程，即使目標正確，策略配置的不當也會影響安全控制措施的性能發(fā)揮，使到預定目標難以達到。風險評估的過程除了揭示風險之外，另有一個重要的功能就是指導風險管理的進行，即對每一項風險提供針對性的策略，采取適合的控制措施。在安全項目建設之前進行風險評估，能夠有效預防以上三種問題的發(fā)生，避免信息安全項目失控。評估范圍和內容4.1.范圍評估范圍的確定是評估過程中的關鍵因素，不同的評估范圍決定了不同的評估對象、評估方式、評估內容。評估范圍可以依據業(yè)務關系來確定（例如交易搓合系統(tǒng)），或者依據地域關系（例如某一幢大樓），或者某個子網（例如財務子網）。根據證券交易所的特性與需求，我們建議先以辦公網為本次評估的范圍，根據評估的效果，以后可以逐步擴展到業(yè)務領域。（重要提示：在本次項目啟動之前，雙方需要明確界定本次評估的范圍，以利于確定詳細的實施內容和計劃。）4.2.涉及領域本次評估涉及信息安全管理的十大領域:

安全政策組織機構安今—資產分類和控制管理系統(tǒng)開發(fā)維護訪問系統(tǒng)開發(fā)維護訪問控制通訊運行安全物理環(huán)境安全A員安全業(yè)務連續(xù)性

遵從性4?3.涉及資產本次評估涉及的資產有七種23個組：?信息資產業(yè)務信息、配置信息、財務信息、個人信息?軟件資產定制軟件、通用軟件、自行開發(fā)軟件?物理資產加密設備、移動設備、網絡設備、辦公設備、服務器/工作站、硬件管理設備?人員資產內部員工、外聘人員?媒體資產紙質文檔、計算機媒體?服務資產第三方應用?操作系統(tǒng)微軟平臺操作系統(tǒng)、非微軟平臺操作系統(tǒng)風險評估的方式由于安全項目的專業(yè)性，更重要的是為了保證風險評估的客觀公正性，本次評估項目必須由第三方的具備相應資質和經驗的安全咨詢顧問進行。風險評估的一般方式均是由專業(yè)的安全服務隊伍在XXXX的相關人員的指導與配合下進行。風險評估理論模型本方案中提供的安全風險模型主要依據ASNZS4360:1999標準、國際風險評估標準BS7799/ISO17799，ISO/IEC13335，建立安全風險管理流程模型、安全風險關系模型和安全風險計算模型共同組成安全風險模型。分別從風險管理的流程，所依賴的國際標準，描述風險評估、風險管理的標準規(guī)范流程；從安全風險的所有要素：資產、影響、威脅、漏洞、安全控制、安全需求、安全風險等方面形象地描述的他們各自之間的關系和影響；在安全風險計算模型中詳細具體地提供了風險計算的方法，通過兩個因素：威脅級別、威脅發(fā)生的概率，通過風險評估矩陣得出安全風險。風險管理流程模型風險管理流程模型見下圖所示。＞安全風險分析按照相關國際標準(ASNZS4360：1999；BS7799/ISO17799;ISO/IEC13335等)采用定性與定量相結合的方法，通過對網絡層存在的網絡安全漏洞進行掃描分析，進行評估，獲知網絡層風險。以下為評估的對象簡要描述：物理環(huán)境；網絡結構；網絡服務；主機系統(tǒng)；數據庫系統(tǒng)；應用系統(tǒng)；安全系統(tǒng)；安全相關人員；處理流程；安全管理制度；安全策略等。＞風險評估報告提交風險評估報告，獲知XXXX網絡安全風險狀況是本次對風險評估的主要目標。通過上述描述的重要過程，主要提交風險評估報告。＞風險控制根據網絡安全風險評估報告，結合實際的網絡特點，針對系統(tǒng)面對的安全風險，分析將面對的安全影響，提供相應的安全控制。但是實際上，由于控制的不完整性，總會有一些遺漏的漏洞可以仍然被人利用。所以風險評估過程不僅是控制風險，并且要定義可能殘留的風險。通過風險控制減少風險到用戶可以接受的程度。實現(xiàn)減少風險需求和控制價值的代價平衡。＞監(jiān)控復審在整個風險評估過程中的每一個步驟，都需要進行監(jiān)控和復審程序，保證整個評估過程的規(guī)范，安全，可信。＞溝通、咨詢對于整個風險評估過程的溝通、咨詢是保證本次風險評估項目成功實施很關鍵的因素。在整個風險管理、評估過程中，針對每一個步驟應該交流風險管理經驗，同時形成相關文檔，保留資料。隨著時間的推移，風險評估的方法和結果可能發(fā)生變化，所以，具體的文檔和材料非常重要，可能使下一次的風險評估變的更容易些。建立評估環(huán)境AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等usnocdnaetacinum資產調查AS/NZS4360:1999；usnocdnaetacinum資產調查AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等定性與定量相結合的方法安全風險分析AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等定性與定量相結合的方法漏洞分析威脅分析風險分析安全風險報告AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等定性與定量相結合的方法漏洞統(tǒng)計報告風險評估報告監(jiān)控與復審monitorandreview風險控制安全控制安全影響殘留風險定義安全控制安全影響殘留風險定義有效安全需求整體安全策略整體安全解決萬案整體安全策略整體安全解決萬案安全實施、培訓? ?A4有效安全需求有效安全需求是根據風險評估報告和XXXX的安全控制能力，決定XXXX的有效安全需求。獲知XXXX需要立即解決的安全問題，獲知XXXX面臨的巨大安全威脅，獲知XXXX將有可能面臨的巨大經濟損失，和潛在的重要安全影響等。同時在考慮XXXX在安全建設投資的合理性、針對性、適當性、有效性°XXXX進行安全評估之后，需要進行的將是更為關鍵和意義深遠的事情。＞安全策略本部分屬于XXXX安全風險管理的內容，是在完成XXXX安全風險評估之后，根據XXXX有效安全需求，結合XXXX網絡安全現(xiàn)狀，制定相應的安全策略。包括人員組織策略、安全管理策略、訪問控制策略、網絡管理策略、數據安全策略、緊急響應策略等，動態(tài)的、整體的考慮XXXX的安全策略。＞安全解決方案制定XXXX整體動態(tài)的安全策略之后，構建XXXX安全體系結構，結合XXXX本地網絡架構、業(yè)務結構，依據策略制定XXXX系統(tǒng)完整動態(tài)的安全解決方案。包括管理、邊界層、支撐應用平臺和業(yè)務應用等。并且注重高可用性、動態(tài)性、整體性。6.2.風險關系模型為了更加清晰的描述XXXX面臨的安全風險，以及造成風險的各個要素之間的關系，我們根據相關國際標準(ASNZS4360:1999;BS7799/ISO17799;ISO/IEC13335等)建立XXXX安全風險關系模型。主要以風險為中心形象描述了XXXX本地網絡所面臨的風險、漏洞、威脅及其相應的復雜關系。XXXX安全風險關系模型各個要素之間關系說明：該關系模型動態(tài)的表現(xiàn)了XXXX網絡所面臨的安全風險與其它各個要素之間的內在關系。下面從評估的角度進行描述，幫助更好的理解該模型的內涵。從評估的角度來說，XXXX網絡面臨很多威脅（外部威脅、內部威脅），攻擊者利用網絡存在的漏洞（物理環(huán)境、網絡結構、網絡服務、網管系統(tǒng)、主機系統(tǒng)、數據、應用系統(tǒng)、安全系統(tǒng)、安全相關人員、處理流程、安全管理制度、安全策略等等），攻擊網絡，增加了XXXX網絡所面臨的威脅，同時，攻擊事件的成功導致資產的暴露（信息資產、物質資產、軟件資產、服務、設備、人員等）造成安全風險；同時資產的暴露（如XXXX高級管理人員由于不小心而導致重要機密信息的泄露），隨著資產價值的大小而導致相應安全風險。對XXXX網絡安全風險的分析，迫切的提出了XXXX網絡的安全需求。根據安全需求的級別制定XXXX的整體安全策略，安全解決方案，進行安全控制措施的實施，降低安全風險，防范威脅。6.3.風險計算模型輸入要素描述威脅級別：表示威脅對系統(tǒng)造成影響的后果級別。威脅可能性：表示該威脅發(fā)生的可能性。采取的控制措施：針對該威脅是否已采取相應的控制措施。輸出要素描述風險級別：根據風險矩陣得出的風險等級。評估過程7.1.階段一前期準備與專業(yè)的安全評估公司共同確定評估目標和評估范圍（詳見4.1節(jié)），雙方成立相應的評估小組。準備相應的場地、設備、資料，保障配合人員能夠良好的配合評估工作；安全評估公司根據達成的目標和范圍，選擇評估人員，準備交流資料、評估工具和設備，制定詳細的實施計劃。雙方就實施計劃達成初步共識，準備實施。制定計劃風險評估項目實施的第一步是對評估方案計劃的評審。主要由評估方人員對評估方案作詳細介紹，XXXX做出審核，審核內容主要包括評估的范圍、階段流程、工作方式、人員需求等，并通過雙方溝通做出進一步調整，務必使雙方參與人員達成一致意見。培訓溝通為了統(tǒng)一意識，確保整個項目的良好運行，在前期需要進行充分的培訓溝通，培訓溝通的對象為：風險評估項目組成員以及各相關部門負責人。培訓溝通的內容包括：?評估公司和評估人員的介紹?信息網絡安全風險評估的相關概念進行風險評估的目的和目標?信息網絡安全風險評估的具體方法?信息網絡安全風險評估的具體內容信息網絡安全風險評估的工程實施流程同時，由于風險評估只是整個風險管理過程的一個部分，所以在風險評估項目實施介紹的內容中可以依據客戶的認識程度適當穿插以下方面的內容：?信息網絡安全風險管理的相關概念和理念?信息網絡安全風險管理的相關理論模型?信息網絡安全風險控制的相關理念建立評估環(huán)境為了能夠保證評估的效率和保密性，評估項目必須在證券交易所進行。因此，XXXX將會提供獨立的評估環(huán)境、場地、設備。此外，XXXX還需做好以下準備：資料準備為了確保評估的順利進行，XXXX需要向評估承擔方＞建議提供評估目標網絡的詳細網絡拓撲結構＞建議提供評估目標網絡的業(yè)務功能、流程和運行狀況描述文檔＞建議提供系統(tǒng)工程相關文檔，包括：設計，實施，驗收，維護等文檔＞建議提供相應的管理規(guī)章制度文檔＞建議提供評估目標網絡以往的業(yè)務事故案例和網絡安全事件人員準備項目總體負責人：雙方均應安排專門的固定項目總體負責人，總體負責風險評估工作。項目協(xié)調人員：雙方可針對風險評估工作進展的不同階段，安排人員進行項目的中間協(xié)調。系統(tǒng)管理員：評估承擔方開展系統(tǒng)安全調查和控制臺安全審計工作時，需安排各系統(tǒng)的管理員配合工作。網絡管理員：評估承擔方開展網絡設備的調查和控制臺安全審計工作時，需安排網絡管理員配合工作。業(yè)務人員：評估承擔方開展應用系統(tǒng)調查和交流工作時，需安排相應的業(yè)務人員配合調查或參與交流。安全人員：評估承擔方開展的所有評估工作，均應盡量安排安全人員參與。授權XXXX風險評估將涉及到多方面的授權，客戶方需要向xxx提供有效的授權，授權內容包括：進入與本次評估相關的環(huán)境，查閱與本次評估相關的資料，了解并分析客戶的信息網絡、對本次評估所屬范圍進行漏洞掃描及其他必要的授權：如滲透性入侵測試等。7.1.3?4.權限XXXX風險評估會涉及到各方面的權限，客戶方需要提供必需的直接或間接權限，包括：各種相關設備的管理權限，各種技術、管理文檔的查看權限，進入本次評估涉及環(huán)境的權限，對相關網絡和設備進行掃描、分析的權限。權限提供的方式可以是直接提供臨時權限或提供具備相關權限的人員進行全程配合。.保密要求本次評估嚴格遵循保密性要求，xxx公司將對所有涉及項目人員進行嚴格的保密管理，包括制定嚴格的保密制度，簽訂與項目直接相關的保密協(xié)議等。此外，客戶方參與本次項目的相關人員也應該遵循一定的保密制度，對于XXXX用戶的涉密信息進行嚴格保密，同時，對于本次評估中xxx提供的各種技術資料、文檔、流程、規(guī)范，也要執(zhí)行相應的保密措施，不得以各種方式提供給xxx公司的直接競爭對手。7.2.階段二現(xiàn)場評估和調查7.2.1.資產調查資產調查目的是了解和業(yè)務相關的資產，明確其價值和重要性，明確資產的保護措施。XXXX系統(tǒng)需要確定自己的資產、有多大價值及資產的重要性。通過這些信息便可以按資產的價值及重要性提供那樣的保護措施。工作方式：問卷調查。相關表單：見附件一：《01-資產調查表》問卷調查數據收集通過對涉及網絡安全的各個因素的詳細調查與分析，為評估提供基礎和依據。物理安全調查從基本環(huán)境描述、訪問控制、事故響應與處理能力等方面調查物理安全現(xiàn)狀；人員和管理調查從策略、組織、人員和教育培訓等方面調查，得出管理方面的現(xiàn)狀；技術安全保障調查從基本安全配置與操作、專門安全保障措施等方面調查得出其現(xiàn)有的安全情況。業(yè)務風險調查從業(yè)務風險分析、災難恢復能力等方面調查業(yè)務可能存在的風險點；相關表單： 附件二《02-物理安全調查表》附件三《03-人員和管理調查表》附件四《04-技術安全保障狀況調查表》附件五《05-業(yè)務風險調查表》工具協(xié)助和專家控制臺分析網絡拓撲結構分析一一以此確認網絡環(huán)境和網絡風險點從網絡管理性評測的角度，進行網絡體系結構分析，分析出網絡的關鍵應用網絡、關鍵業(yè)務網絡、關鍵管理網絡、關鍵辦公網絡等體系結構，尋找具體的網絡風險點。對于主流操作系統(tǒng)進行授權控制臺審計和評測對于主流的重要的業(yè)務操作系統(tǒng)，將進行本地控制臺的掃描和評測，從以下幾個方面評估該系統(tǒng)的安全狀況:?該系統(tǒng)是否進行了必要的安全配置；?該系統(tǒng)是否已經安裝了系統(tǒng)提供商的最新補丁程序；?該系統(tǒng)是否存在被黑客入侵過的跡象，入侵者是否在系統(tǒng)上安裝了后門程序或者其他程序；?該系統(tǒng)可能存在的安全隱患；?該系統(tǒng)的直接技術管理人員對系統(tǒng)的技術管理流程和非技術管理流程。3） 關鍵業(yè)務數據庫系統(tǒng)和數據的安全評測針對關鍵業(yè)務數據庫操作系統(tǒng)的評估，從以下幾個方面進行技術評測：?該關鍵業(yè)務數據庫操作系統(tǒng)除了數據庫應用以外還承擔的其他業(yè)務應用；?該關鍵業(yè)務數據庫操作系統(tǒng)的本地控制臺審計；?該關鍵業(yè)務數據庫操作系統(tǒng)的直接管理員交流和咨詢問答；在已經進行了操作系統(tǒng)級別的安全評測之后，對于關鍵業(yè)務數據庫系統(tǒng)的安全評測，主要是從咨詢和調查的角度來進行數據庫自身的安全評測4） 邊界基礎設施評測網絡基礎設備正常提供網絡服務的前提下，從以下幾個方面進行本地安全配置狀況分析：（1） 路由器本地評測：主要涉及到路由器訪問控制規(guī)則的建立情況ACL、對拒絕服務攻擊類型的配置型防御措施、常規(guī)安全選項配置等。（2） 交換機本地評測：主要涉及到各交換機的訪問控制特性和具體應用情況、常規(guī)安全選項配置等。（3） 防火墻本地評測：主要涉及到各防火墻設備的針對特定環(huán)境的防火墻規(guī)則配置情況、防火墻本身系統(tǒng)的安全性配置情況。采用統(tǒng)計分析工具，給出體現(xiàn)系統(tǒng)安全漏洞分布情況、漏洞級別、影響系統(tǒng)的圖形化結果示圖。包括漏洞類型分布圖、漏洞級別分布圖、分系統(tǒng)的漏洞分布圖。威脅評估就是對系統(tǒng)存在的漏洞可能導致的后果進行分析。由存在的漏洞，找出相應威脅的來源、方式、及后果。按危害程度分級，給出威脅的具體描述。在漏洞評估的基礎上，給出威脅評估報告。同樣給出相關的威脅的級別、類型的分布圖，包括總分布圖和相應的分系統(tǒng)的分布圖。7.2.4.網絡掃描主要采用了安全漏洞工具掃描和專家分析相結合的方式，找到攻擊者遠程突破網絡和控制網絡設備的可能性，相對應的找到所有來自外界入侵對特定網絡和網絡設備造成的威脅。本次安全評估所需的掃描工具特點：（1） 涵蓋XXXX主機系統(tǒng)的漏洞；（2） 高效性，擁有穩(wěn)定高速的多線程IP段掃描方式；（3） 高度準確性判斷；（4） 保證目標系統(tǒng)的安全；（5） 對目標主機、網絡設備正常工作的影響降至最小。我們擬采用以下工具：＞xxx安全產品——天鏡網絡漏洞掃描系統(tǒng)＞針對客戶操作系統(tǒng)安全風險特點選擇或開發(fā)的操作系統(tǒng)掃描工具包＞針對客戶應用和業(yè)務的安全風險特點選擇或開發(fā)的專門漏洞掃描工具包.配合需求在進行網絡漏洞掃描之前，需要XXXX的網絡管理員提供以下信息，并協(xié)助在網絡中設置漏洞掃描的控制臺位置，分配相應的網絡地址。＞網絡的IP地址分布＞網絡內各類操作系統(tǒng)和網絡設備的數量和地址分布＞網絡協(xié)議狀況＞核心服務器系統(tǒng)和網絡設備的IP地址、系統(tǒng)類型、應用狀況＞網絡訪問控制狀況（如VLAN的劃分等）7?2?4?2.掃描步驟?根據XXXX所提供和指定的IP分段，判斷目標網絡主機的操作系統(tǒng)類，按照系統(tǒng)進行針對性IP列表劃分；?進行目標系統(tǒng)對外開放端口統(tǒng)計，從黑客安裝木馬程序的角度描述開放端口；掃描WindowsNT/2000IIS4/5的重要漏洞，包括著名的unicode,codered等7種典型高風險漏洞，根據漏洞的相關性和可重復性，選擇了其中典型的漏洞進行遠程掃描；?針對不同系統(tǒng)的典型CGI漏洞掃描；?針對不同網絡設備的各項支持多次口令登錄的應用服務的弱口令掃描，如FTP,IPC,TELNET等,也可以使用復雜字典進行窮舉解密，另外獲得該服務的詳細信息；?掃描路由器和交換機節(jié)點的各種重要漏洞，以及掃描對應設備的遠程可訪問方式和設備缺省登錄口令情況；?針對基于網絡的開放數據庫漏洞進行掃描.；針對linux遠程溢出以及其他遠程漏洞進行掃描；?針對snmp漏洞進行掃描，可以掃描特定網絡的邏輯拓撲以及各種與snmp相關的隱患問題，遠程服務器、網絡設備的版本信息。?評測細節(jié)說明：（1） 探測XXXX的主流操作系統(tǒng)并對漏洞分類：主流的操作系統(tǒng)類型：＞linux;＞Windows（/9x/NT/2000）;＞其他主流網絡設備類型：＞Cisco＞其他（2） 探測XXXX主要應用系統(tǒng)及相關服務存在的漏洞，并按應用服務程序分類漏洞威脅性，對于主流的重要的業(yè)務操作系統(tǒng)，將進行詳細掃描和評測，從以下幾個方面評估該系統(tǒng)的安全狀況：＞系統(tǒng)是否存在明顯的能導致入侵者直接控制系統(tǒng)的安全漏洞；＞該系統(tǒng)是否存在導致系統(tǒng)癱瘓和停止服務的漏洞；＞該系統(tǒng)是否存在系統(tǒng)文件泄露可能；＞該系統(tǒng)是否存在應用數據和服務數據泄露可能；＞該系統(tǒng)是否曾被入侵，留下可遠程連接的后門；＞該系統(tǒng)安全性較高，但是是否存在所處網段不安全，降低系統(tǒng)安全性的可能。7?2?4?3.定性測量事件后果級別級別描述符舉例詳細描述1無關緊要沒有傷害，經濟損失小2較小首先幫助處理，本地立刻解決，較小經濟損失。3中等的需要處理，本地處理（包括外地援助），中等經濟損失。4嚴重的大范圍傷害，損失生產能力，本地沒有有害的影響，嚴重經濟損失。5災難性的致命后果，巨大有害影響，巨大經濟損失。7?2?4?4.周期本次評估項目涉及到兩次掃描過程，除了第一次常規(guī)掃描外，針對初步的分析結果，還需要進行補充掃描，補充掃描的范圍和內容針對性更強，范圍會縮小。7.2.5.網絡IDS嗅探網絡IDS嗅探采用xxx公司的安全產品一天闐入侵檢測系統(tǒng)，針對特定網段進行嗅探。以發(fā)現(xiàn)系統(tǒng)是否存在安全事件，如非法對系統(tǒng)的掃描，網絡病毒對系統(tǒng)的攻擊，黑客攻擊等。需要XXXX的管理員提供如下信息，并協(xié)助在網絡中設置網絡IDS的控制臺位置，分配相應的網絡地址。＞需嗅探網段的交換機鏡像端口配置或hub接入方式;探測引擎及控制臺IP地址。IDS引擎的抓包接口不會影響網絡性能，對于網絡流量較大的網絡，可以將控制臺與引擎直接相連，保障控制臺不會影響網絡流量。由于IDS分析需要長時間地采集信息，故在評估工作的初始階段就需要進行部署。7.2.6.滲透測試（可選）.目的和原因滲透測試是風險評估的一個重要的輔助手段，它是通過具有黑客技術的人員直接對系統(tǒng)進行安全測試，利用這種手段可以對系統(tǒng)中的一些核心信息設備，并處在公共信息交換的環(huán)境，如在互聯(lián)網提供網上銀行的應用系統(tǒng)進行測試。通過這種方式的可以更深入的了解系統(tǒng)的安全狀況，同時還可以檢驗系統(tǒng)中的安全設備是否起到了必要的作用，系統(tǒng)的各種安全配置是否正確，這種測試一般屬于黑盒測試，對系統(tǒng)要求極少。但由于滲透本身具有一定的危險性，必須在事前做好充分的應急準備，或搭建模擬環(huán)境。7?2?6?2.內容和人員配合滲透測試需要和XXXX進行協(xié)商以確認系統(tǒng)是否需要這種測試，在人員配合上主要是要求被測目標系統(tǒng)需要有專人進行監(jiān)視，記錄測試過程，并在系統(tǒng)可能出現(xiàn)問題時，及時進行處理。7.3.階段三風險評估在信息安全學中，風險指的是：一個威脅因素能成功地攻擊系統(tǒng)的弱點的概率或可能性。安全風險評估主要包括了風險的估計及對風險的評價。利用收集的資產、漏洞、威脅等數據，對全網安全風險進行計算評估。7.3.1.風險估計分析風險發(fā)生的可能性，并估計風險的后果大小。安全事件的概率首先確定風險事件的發(fā)生概率。以XXXX上的安全事件逐一統(tǒng)計，進行曲線擬合，確定其樣本概率分布。也就是各種類型和級別的威脅發(fā)生并導致安全事件的概率。風險分類用序數標度將所存在的各個安全風險與安全基準的差距排出先后順序，分類為已知風險、可預測風險和不可預測風險。風險后果估計使用比率標度即風險發(fā)生的可能性大小，對于可量化的安全風險進行定量計算，確定各種安全事件后果的數值大小，同時還要給出這些數值的變化范圍和限定條件。年損失值=威脅的年發(fā)生概率X受威脅的資產估值確定網絡系統(tǒng)中關鍵資產所面臨的不同級別的安全威脅的概率可能性。在對安全風險估計時，根據XXXX的具體安全狀況，即掃描、分析出的安全漏洞及威脅的統(tǒng)計情況，針對其不同的概率特征采用最大可能原則、最大數學期望原則、最大效用數學期望原則及貝葉斯后驗概率法，對安全風險進行最可能準確的估計。7.3.2.風險評價對存在的各類安全風險進行比較和評價。確定某一類關鍵資產的安全風險水平，再確定整體的風險水平。與一個指定的評價基準進行比較，確定當前的風險水平的可接受程度。采用層次分析法將各個安全風險按照大小排出順序，以明確表示其重要與危害程度。針對存在的安全風險，在給分析層次結構模型后，根據安全專家的知識、經驗和判斷，逐步確定各層諸威脅因素之間兩兩比較的重要性權數，得出各威脅因素重要性比較的判斷矩陣，通過計算判斷矩陣的特征向量，確定各個安全威脅因素的重要程度。再由各個特征向量出一個綜合矩陣，用以確定各個安全風險的差異所在。通過對判斷矩陣的一致性指標的檢驗，可以及時修正判斷矩陣中的標度的合理性，確保分析結果的準確性。采用主觀評分法，對每一個威脅因素及安全事件賦權值，求得總體的安全風險值，通過與最大風險權值的比較，確定當前安全的風險水平。7.3.3.評估報告在完成全部數據的搜集后，在初步整理分析的基礎上，形成全面的評估報告：＞資產評估統(tǒng)計現(xiàn)有資產的管理、維護和保護情況，將相關資產按重要性級別進行劃分，確定需重點保護的關鍵資產和保護的層次；＞漏洞評估對抽樣網段漏洞掃描結果和調查表結果進行總結分析，給出相應的級別以及被利用的可能性，對其分布情況給出統(tǒng)計結果；對于關鍵資產，對其存在的漏洞進行單獨統(tǒng)計分析；＞威脅評估對于全系統(tǒng)進行全面的威脅分析，從威脅源、威脅動機、威脅的方式、利用的漏洞、發(fā)生的可能性等方面進行分析；對于關鍵資產給出詳細的威脅列表；＞風險評估對于全系統(tǒng)進行全面的風險分析，分析其發(fā)生的概率和可能造成的后果，將風險進行分類，按級別進行排序，并對系統(tǒng)的綜合情況進行分析。所有原始依據（調查表、漏洞掃描結果、控制臺審計結果、IDS嗅探結果）的整理結果作為附件，形成全面的報告。在此基礎上，提出客戶化的網絡安全策略建議和解決方案建議。該建議包含結合客戶的實際需求和投資需求，給出分階段的網絡安全建設建議。7.4.階段四項目驗收對評估結果和報告的驗收擬采用專家評審的方式進行，由方評估人員講解評估結果和評估報告，并對專家的提問進行回答，最終由專家確定項目完成。專家的構成可以由我方選擇，或由承擔評估服務的公司進行推薦。在進行驗收時，包括安全漏洞報告，安全威脅報告，風險評估報告，安全需求報告，安全策略建議和安全解決方案。7.5.階段五售后支持在項目驗收后，安全評估項目將轉入售后支持階段，安全評估項目的售后支持主要是顧問支持。安全評估承擔廠商應當繼續(xù)承擔XXXX的安全顧問工作，對風險評估報告的具體內容進行咨詢，解釋報告內容與解決方案，協(xié)助XXXX進行后續(xù)項目的規(guī)劃和建設。結果文檔過程文檔?信息調查表?資產調查表?漏洞掃描結果報告?漏洞列表?威脅初步分析報告?控制臺審計結果報告評估報告資產評估報告漏洞評估報告威脅評估報告風險評估報告安全策略和解決方案建議項目風險控制9.1.原則要求?標準性原則：評估方案的設計和具體實施都依據國內和國外的相關標準進行。?保密性原則：人員安排：掃描和滲透測試由安全服務方公司人員獨立完成；在掃描和滲透測試中對結果數據嚴格保密；測試結束后數據和資料除必備用以維護的以外，均交還甲方，且根據整體方案的保密原則，簽定保密協(xié)議。在測試結束以后不利用測試中的任何數據進行有損XXXX利益的用途。?可控性原則：參與項目的服務人員具有可控性，評估中所使用的工具具有可控性?？煽匦灾饕憩F(xiàn)在這次評估項目中對參與人員的安全管理要求，所采用的工具必須具有完全的自主版權，并經過XXXX審核。?安全性原則：1） 不可避免的影響：目標網絡的安全控制設備，如防火墻、IDS等系統(tǒng)會在掃描過程中發(fā)現(xiàn)并報告部分非法掃描。2） 可避免的影響：破壞目標系統(tǒng)的數據；破壞目標系統(tǒng)的服務；影響目標系統(tǒng)的網絡使用；降低目標系統(tǒng)和網絡的性能；目標系統(tǒng)數據泄露；目標應用數據泄露；安全評估過程與同時間網絡入侵行為的重疊。?整體性原則：分單個IP安全性和IP所在段安全威脅分析列出報表；確保涉及到主機和網絡設備的各個層面；由單機和網絡相結合分析得出風險值；避免由于遺漏造成未來安全隱患。9.2.風險控制由于信息安全項目的特殊性，如果控制失當，項目本身也會給證券交易系統(tǒng)的信息安全帶來不可測的風險，因此必須通過項目風險控制的方法對項目本身的風險進行規(guī)避，本項目擬采用法律保障、人力資源控制和密級控制的方法進行風險控制。法律保障信息安全項目的風險控制方法首選是法律保障，通過簽訂保密協(xié)議的方式，可以將信息安全項目參與者的保密責任與義務進行詳盡的規(guī)定，并借助法律的威懾有效防范非授權泄密；在項目正式啟動前，所有參與人員（包括甲乙雙方及其它參與的法人和自然人）都應針對該項目簽署保密協(xié)議，并在整個項目過程中嚴格遵守保密協(xié)議。人力資源控制信息安全的風險有很大的一部分來自于人，對于信息安全項目的風險控制也是如此，對項目參與人員的人力資源控制是確保項目風險可控的重要因素，在項目正式啟動前，項目參與人員的簡歷需要經過項目領導小組的審核；在項目進行過程中人力資源的投入或撤出都應該經過嚴格的審核與控制；項目的關鍵參與人員不應該同時參加中行主要競爭對手的安全項目，避免故意或無意識泄密。密級控制在信息安全體系建設中將不可避免地涉及到XXXX的核心業(yè)務或其他敏感信息，由于證券交易業(yè)務的特殊性，為確保項目的風險可控，需要對項目涉及的范圍進行嚴格劃分，并針對不同的安全等級確立不同的項目實施方法。

其中，一般區(qū)域的操作可以由安全服務提供商進行，而涉及核心業(yè)務或重要敏感信息的操作應由XXXX的項目人員進行，項目顧問/安全服務提供方僅提供工具、方法和支持。項目工作界面10.1.項目組織結構工程項目的組織結構圖詳見下圖：項日領導小蛆客尸方負責人項目總負責人項日技術顧耐組客尸方負責人項目總負責人項日技術顧耐組現(xiàn)場評估小組解決方案小組現(xiàn)場評估小組解決方案小組項目領導小組項目領導小組，是由安全服務方和客戶的有關領導組成，主要是對項目實施的整個過程中的重大問題進行決策?？蛻舴綄嵤┴撠熑丝蛻舴綄嵤┴撠熑耍瑥暮贤炗喼掌?，客戶指定客戶方面的項目負責人員，主要是對安全服務方的項目總負責人進行接口，協(xié)調客戶的資源，解決項目中需要配合的問題，推進項目的進度。項目總負責人本項目的項目總負責人，從工程項目實施隊伍組建之日起，就承擔了將合同范圍內的各項工程任務全面完成的重要職責。項目總負責人須做好日常資源管理工作，并直接控制項目管理計劃(PMP)的各個要素，具體說來主要包括以下幾個方面：項目執(zhí)行一一對以下幾方面工作提供指導：總體方案設計、工程及應用系統(tǒng)設計；設備配置確認；工程質量和進度保證；設備安裝、調試、集成及測試；系統(tǒng)驗收，培訓等。項目檢查一一通過其下屬實施小組提供的工程進展匯報，將項目進展狀態(tài)與項目計劃進度進行比較，發(fā)現(xiàn)過程誤差，提出調整措施。項目控制一一審核項目進展狀態(tài)，必要時調集各種備用資源，確保項目按計劃進度實施。項目協(xié)調一一與各級單位進行協(xié)調，解決工程組織接口及技術接口問題；定期主持整個系統(tǒng)專題協(xié)調會，及時解決各系統(tǒng)間出現(xiàn)的相關問題。項目技術顧問組項目技術顧問組，由安全服務方的安全方面的專家組成，主要職責是會同項目組完成以下各項工程任務：-系統(tǒng)總體設計-對系統(tǒng)深化設計進行審核并提出優(yōu)化建議-對系統(tǒng)進行技術協(xié)調-對系統(tǒng)的設備配置予以確認-對現(xiàn)場設備安裝、調試提供必要的技術支持服務-工程文檔的審核-協(xié)助項目總負責人制訂本項目的質量工作計劃，并貫徹實施-貫徹公司的質量方針、目標和質量體系文件的有關規(guī)定和要求-負責對工程任務全