1、編輯編輯ppt信息安全風險評信息安全風險評估實施過程估實施過程編輯編輯ppt概要：概要： 以某信息系統為例詳細介紹信息安全風險評估的實施過程。依以某信息系統為例詳細介紹信息安全風險評估的實施過程。依據據GB/T 209842007信息安全技術信息安全技術 信息安全風險評估信息安全風險評估規范規范和第和第7章信息安全風險評估的基本過程，將信息安全風章信息安全風險評估的基本過程，將信息安全風險評估的實施過程分為評估準備、識別并評價資產、識別并評險評估的實施過程分為評估準備、識別并評價資產、識別并評估威脅、識別并評估脆弱性、分析可能性和影響、風險計算、估威脅、識別并評估脆弱性、分析可能性和影響、風險

2、計算、風險處理、編寫信息安全風險評估報告等階段。風險處理、編寫信息安全風險評估報告等階段。編輯編輯ppt8.1 評估準備評估準備8.2 識別并評價資產識別并評價資產8.3 識別并評估威脅識別并評估威脅8.4 識別并評估脆弱性識別并評估脆弱性8.5 分析可能性和影響分析可能性和影響8.6 風險計算風險計算8.7 風險處理風險處理8.8 編寫信息安全風險評估報告編寫信息安全風險評估報告本章目錄編輯編輯ppt依據依據GB/T 209842007信息安全技術信息安全技術 信息安全風險評估信息安全風險評估規范規范，在風險評估實施前，應確定風險評估的目標，確定評，在風險評估實施前，應確定風險評估的目標，確

3、定評估范圍，組建評估管理與實施團隊，進行系統調研，確定評估估范圍，組建評估管理與實施團隊，進行系統調研，確定評估依據和方法，制定評估方案，獲得最高管理者的支持。依據和方法，制定評估方案，獲得最高管理者的支持。8.1.1 確定信息安全風險評估的目標確定信息安全風險評估的目標 信息系統風險評估目標是通過風險評估，分析信息系信息系統風險評估目標是通過風險評估，分析信息系統的安全狀況，全面了解和掌握信息系統面臨的安全風險，評統的安全狀況，全面了解和掌握信息系統面臨的安全風險，評估信息系統的風險，提出風險控制建議，為下一步完善管理制估信息系統的風險，提出風險控制建議，為下一步完善管理制度以及今后的安全建

4、設和風險管理提供第一手資料。度以及今后的安全建設和風險管理提供第一手資料。 8.1 評估準備編輯編輯ppt8.1.2 確定信息安全風險評估的范圍確定信息安全風險評估的范圍既定的信息安全風險評估可能只針對組織全部資產的一個既定的信息安全風險評估可能只針對組織全部資產的一個子集，評估范圍必須明確。本次評估的范圍包括該信息系統網子集，評估范圍必須明確。本次評估的范圍包括該信息系統網絡、管理制度、使用或管理該信息系統的相關人員，以及由系絡、管理制度、使用或管理該信息系統的相關人員，以及由系統使用時所產生的文檔、數據。統使用時所產生的文檔、數據。8.1.3 組建適當的評估管理與實施團隊組建適當的評估管理

5、與實施團隊組建由該單位領導、風險評估專家、技術專家，以及各管組建由該單位領導、風險評估專家、技術專家，以及各管理層、業務部門的相關人員組成風險評估小組，同時明確規定理層、業務部門的相關人員組成風險評估小組，同時明確規定每個成員的任務分工每個成員的任務分工 。編輯編輯ppt8.1.4 進行系統調研進行系統調研通過問卷調查、人員訪談、現場考察、核查表等形式，對通過問卷調查、人員訪談、現場考察、核查表等形式，對信息系統的業務、組織結構、管理、技術等方面進行調查。問信息系統的業務、組織結構、管理、技術等方面進行調查。問卷調查、人員訪談的方式使用了卷調查、人員訪談的方式使用了調查表調查表，調查了系統的管

6、，調查了系統的管理、設備、人員管理的情況，現場考察、核查表的方式考察了理、設備、人員管理的情況，現場考察、核查表的方式考察了設備的具體位置，核查了設備的實際配置等情況，得出有關信設備的具體位置，核查了設備的實際配置等情況，得出有關信息系統的描述。息系統的描述。8.1.4.1 業務目標和業務特性業務目標和業務特性1業務目標業務目標信息系統主要負責數據的收集、技術處理以及預測分信息系統主要負責數據的收集、技術處理以及預測分析，為相關部門提供決策和管理支持，向社會提供公益服務。析，為相關部門提供決策和管理支持，向社會提供公益服務。編輯編輯ppt 2業務特性業務特性 通過對信息系統的業務目標的分析，通

7、過對信息系統的業務目標的分析，歸納出以下業務特性：歸納出以下業務特性： 業務種類多，技術型工作與管理業務種類多，技術型工作與管理型工作并重；型工作并重； 業務不可中斷性低；業務不可中斷性低； 業務保密性要求低；業務保密性要求低； 業務基本不涉及現金流動；業務基本不涉及現金流動； 人員業務素質要求高。人員業務素質要求高。編輯編輯ppt8.1.4.2 管理特性管理特性現有的規章制度原則性要現有的規章制度原則性要求較多，可操作性較低，在信求較多，可操作性較低，在信息安全管理方面偏重于技術。息安全管理方面偏重于技術。8.1.4.3 網絡特性網絡特性信息系統的網絡拓撲信息系統的網絡拓撲結構圖如圖結構圖如

8、圖8-1所示。所示。編輯編輯ppt 圖8-1 網絡拓撲結構圖 編輯編輯ppt8.1.5 評估依據評估依據評估所遵循的依據如下：評估所遵循的依據如下：1.信息安全技術信息安全技術 信息安全風險評估規范信息安全風險評估規范（GB/T 20984-2007）2.信息技術信息技術安全管理指南信息技術信息技術安全管理指南（GB/T 19715-2005）3.信息技術信息安全管理實用規則信息技術信息安全管理實用規則（GB/T 19716-2005）2.信息安全等級保護管理辦法信息安全等級保護管理辦法（公通字（公通字200743號）號）3.信息安全技術信息安全技術 信息系統安全管理要求信息系統安全管理要求（

9、GB/T 20269-2006）編輯編輯ppt8.1.6 信息安全風險評估項目實施方案信息安全風險評估項目實施方案8.1.6.1 項目組織機構項目組織機構項目實施的組織機構如下項目實施的組織機構如下:項目工程領導小組由受測機構主管信息安全的領導和評估項目工程領導小組由受測機構主管信息安全的領導和評估機構領導共同組成。項目工程領導小組定期聽取項目工程管理機構領導共同組成。項目工程領導小組定期聽取項目工程管理小組匯報整個項目的進展情況和項目實施關鍵階段的成果；項小組匯報整個項目的進展情況和項目實施關鍵階段的成果；項目實施完畢之后，領導小組將根據整個項目的成果情況，批準目實施完畢之后，領導小組將根據

10、整個項目的成果情況，批準并主持項目試點總結工作。并主持項目試點總結工作。編輯編輯ppt項目工程管理小組由評估雙方的項目負責人組成。主要職責是項目工程管理小組由評估雙方的項目負責人組成。主要職責是審核確認項目實施組制定的現場工作計劃，并監督項目進展情況；審核確認項目實施組制定的現場工作計劃，并監督項目進展情況；主持階段成果匯報會議；做好協調工作，保證項目的順利執行。主持階段成果匯報會議；做好協調工作，保證項目的順利執行。項目實施組由評估專家、評估工程師及受測機構的安全管理員、項目實施組由評估專家、評估工程師及受測機構的安全管理員、網絡管理員和應用系統分析員組成。主要職責是制定詳細項目實施網絡管理

11、員和應用系統分析員組成。主要職責是制定詳細項目實施計劃，根據實施計劃開展工作。計劃，根據實施計劃開展工作。質量控制組由質量控制人員組成。主要負責對各個服務項目的質量控制組由質量控制人員組成。主要負責對各個服務項目的實施情況進行質量控制和最終的驗收。實施情況進行質量控制和最終的驗收。外聘專家組由有經驗的專家組成。主要負責對項目的方案分析、外聘專家組由有經驗的專家組成。主要負責對項目的方案分析、實施、步驟、關鍵問題的解決及新技術的應用提供思路、指導和咨實施、步驟、關鍵問題的解決及新技術的應用提供思路、指導和咨詢。詢。編輯編輯ppt8.1.6.2 項目階段劃分項目階段劃分本次風險評估項目分項目準備、

12、現狀調研、檢查與測試、本次風險評估項目分項目準備、現狀調研、檢查與測試、分析評估及編制評估報告六個階段，各階段工作定義說明如下：分析評估及編制評估報告六個階段，各階段工作定義說明如下：項目準備：項目實施前期工作，包括成立項目組，確定評項目準備：項目實施前期工作，包括成立項目組，確定評估范圍，制定項目實施計劃，收集整理開發各種評估工具等。估范圍，制定項目實施計劃，收集整理開發各種評估工具等。工作方式：研討會。工作成果：工作方式：研討會。工作成果：項目組成員信息表項目組成員信息表、評評估范圍說明估范圍說明、評估實施計劃評估實施計劃。現狀調研：通過訪談調查，收集評估對象信息。工作方式：現狀調研：通過

13、訪談調查，收集評估對象信息。工作方式：訪談、問卷調查。工作成果：訪談、問卷調查。工作成果：各種系統資料記錄表單各種系統資料記錄表單。檢查與測試：手工或工具檢查及測試。進行資產分析、威檢查與測試：手工或工具檢查及測試。進行資產分析、威脅分析和脆弱性掃描。工作方式：訪談、問卷調查、測試、研脅分析和脆弱性掃描。工作方式：訪談、問卷調查、測試、研討會。工作成果：討會。工作成果：資產評估報告資產評估報告、威脅評估報告威脅評估報告、脆弱性評估報告脆弱性評估報告。編輯編輯pptID任務名稱開始時間完成時間持續時間2007年5月2007年6月5-65-135-205-276-36-106-176-241項目準

14、備5-85-1710d2現狀調研5-185-2711d3檢查與測試5-286-812d4分析評估6-96-179d5編制評估報告6-186-2811d分析評估：根據相關標準或實踐經驗確定安全風險，并給出整分析評估：根據相關標準或實踐經驗確定安全風險，并給出整改措施。工作方式：訪談、研討會。工作成果：改措施。工作方式：訪談、研討會。工作成果：安全風險分析說安全風險分析說明明。編制評估報告：完成最終評估報告。工作方式：研討會。工作編制評估報告：完成最終評估報告。工作方式：研討會。工作成果：成果：信息系統綜合評估報告信息系統綜合評估報告。表表8-1 8-1 信息系統風險評估實施進度表信息系統風險評估

15、實施進度表編輯編輯ppt8.1.7 獲得最高管理者對信息安全風險評估工作的支持獲得最高管理者對信息安全風險評估工作的支持上述所有內容得到了相關管理者的批準，并對管理層和員上述所有內容得到了相關管理者的批準，并對管理層和員工進行了傳達。工進行了傳達。編輯編輯ppt8.2 識別并評價資產依據依據GB/T 209842007信息安全技術信息安全技術 信息安全風險信息安全風險評估規范評估規范和第和第7章信息安全風險評估的基本過程，對資產進章信息安全風險評估的基本過程，對資產進行分類并按照資產的保密性、完整性和可用性進行賦值。行分類并按照資產的保密性、完整性和可用性進行賦值。8.2.1 識別資產識別資產

16、根據對根據對信息系統的調查分析，并結合業務特點和系統信息系統的調查分析，并結合業務特點和系統的安全要求，確定了系統需要保護的資產，見表的安全要求，確定了系統需要保護的資產，見表8-2。編輯編輯ppt資產編號資產名稱型號A-01路由器-1CISCO3640A-02路由器-2華為NE40A-03交換機-1CATALYST4000A-04交換機-2CISCO3745A-05交換機-3CISCO2950A-06防火墻-1聯想網域SuperV-5318A-07防火墻-2聯想網域UTM-418DA-08防火墻-3網神Secgate 3600-F3A-09防病毒服務器MACFEEA-10數據服務器HP DL

17、380A-11應用服務器HP DL380A-12PC-1HP X8620A-13PC-2HP X8620A-14UPSChampin(20KW)A-15空調美的表表8-2 8-2 信息系統資產列表信息系統資產列表編輯編輯ppt8.2.2 資產賦值資產賦值 對識別的信息資產，按對識別的信息資產，按照資產的不同安全屬性，即照資產的不同安全屬性，即保密性、完整性和可用性的保密性、完整性和可用性的重要性和保護要求，分別對重要性和保護要求，分別對資產的資產的CIA三性予以賦值，三性予以賦值，見表見表8-3，這里采用五個等級。，這里采用五個等級。編輯編輯ppt資產編號資產名稱型號保密性完整性可用性A-01

18、路由器-1CISCO3640000A-02路由器-2華為NE40132A-03交換機-1CATALYST4000133A-04交換機-2CISCO3745133A-05交換機-3CISCO2950244A-06防火墻-1聯想網域SuperV-5318134A-07防火墻-2聯想網域UTM-418D124A-08防火墻-3網神Secgate 3600-F3124A-09防病毒服務器MACFEE134A-11數據服務器HP DL380244A-12應用服務器HP DL380244A-14PC-1HP X8620144A-15PC-2HP X8620144A-16UPSChampin(20KW)14

19、5A-18空調美的124表表8-3 8-3 資產資產CIACIA三性等級表三性等級表編輯編輯ppt8.2.3 資產價值資產價值根據資產保密性、完整根據資產保密性、完整性和可用性的不同等級對其性和可用性的不同等級對其賦值進行加權計算得到資產賦值進行加權計算得到資產的最終賦值結果。加權方法的最終賦值結果。加權方法可根據組織的業務特點確定。可根據組織的業務特點確定。資產價值如表資產價值如表8-4所示。所示。編輯編輯ppt資產編號資產名稱安全屬性賦值資產重要性保密性完整性可用性A-01路由器-11111A-02路由器-21323A-03交換機-11333A-04交換機-21333A-05交換機-324

20、44A-06防火墻-11344A-07防火墻-21244A-08防火墻-31244A-09防病毒服務器1344A-10數據服務器2444A-11應用服務器2444A-12PC-11444A-13PC-21444A-14UPS1455A-15空調1244表表8-4 8-4 資產價值表資產價值表編輯編輯ppt在本次評估中，首先收集系統所面在本次評估中，首先收集系統所面臨的威脅，然后對威脅的來源和行為進臨的威脅，然后對威脅的來源和行為進行分析。威脅的收集主要是通過問卷調行分析。威脅的收集主要是通過問卷調查、人員訪談、現場考察、查看系統工查、人員訪談、現場考察、查看系統工作日志以及安全事件報告或記錄等

21、方式作日志以及安全事件報告或記錄等方式進行，同時使用綠盟進行，同時使用綠盟1200D-02，收集整，收集整個系統所發生的入侵檢測記錄。個系統所發生的入侵檢測記錄。 表表8-5是本次評估分析得到的威脅列是本次評估分析得到的威脅列表。表。8.3 識別并評估威脅編輯編輯ppt威脅編號威脅類別描述T-01硬件故障由于設備硬件故障導致對業務高效穩定運行的影響。T-02未授權訪問因系統或網絡訪問控制不當引起的非授權訪問。T-03漏洞利用利用操作系統本身的漏洞導致的威脅。T-04操作失誤或維護錯誤由于應該執行而沒有執行相應的操作，或非故意地執行了錯誤的操作，對系統造成影響。T-05木馬后門攻擊木馬后門攻擊T

22、-06惡意代碼和病毒具有復制、自我傳播能力，對信息系統構成破壞的程序代碼。T-07原發抵賴不承認收到的信息和所作的操作。T-08權限濫用濫用自己的職權，做出泄露或破壞。T-09泄密通過竊聽、惡意攻擊的手段獲得系統秘密信息。T-10數據篡改通過惡意攻擊非授權修改信息，破壞信息的完整性。表表8-5 8-5 信息系統面臨的威脅列表信息系統面臨的威脅列表編輯編輯ppt 從技術和管理兩方面對本項目的脆弱性進行評估。技術脆弱性主要是通過使用極光遠程安全評估系統進行系統掃描。按照脆弱性工具使用計劃，使用掃描工具對主機等設備進行掃描，查找主機的系統漏洞、數據庫漏洞、共享資源以及帳戶使用等安全問題。在進行工具掃

23、描之后，結合威脅分析的內容，根據得出的原始記錄，進行整體分析。按照各種管理調查表的安全管理要求對現有的安全管理制度及其執行情況進行檢查，發現其中的管理脆弱性。8.4 識別并評估脆弱性編輯編輯ppt資產名稱 脆弱性ID脆弱性名稱脆弱性描述路由器-1VULN-01Cisco未設置密碼Cisco路由器未設置密碼，將允許攻擊者獲得網絡的更多信息VULN-02CISCO IOS界面被IPv4數據包阻塞通過發送不規則IPv4數據包可以阻塞遠程路由器。路由器-2VULN-03沒有制定訪問控制策略沒有制定訪問控制策略VULN-04安裝與維護缺乏管理安裝與維護缺乏管理交換機-1 VULN-05日志及管理功能未啟

24、用日志及管理功能未啟用交換機-2VULN-06CSCdz39284當發送畸形的SIP數據包時，可導致遠程的IOS癱瘓VULN-07CSCdw33027當發送畸形的SSH數據包時，可導致遠程的IOS癱瘓交換機-3VULN-08CSCds04747Cisco的IOS軟件有一個漏洞，允許獲得TCP的初始序列號VULN-09沒有配備ServicePassword Encryption服務沒有配備Service PasswordEncryption服務防火墻-1VULN-10安裝與維護缺乏管理安裝與維護缺乏管理VULN-11缺少操作規程和職責管理缺少操作規程和職責管理防火墻-2VULN-12防火墻開放端

25、口增加防火墻開放端口增加VULN-13防火墻關鍵模塊失效防火墻關鍵模塊失效資產名稱脆弱性ID脆弱性名稱脆弱性描述防火墻-3VULN-14未啟用日志功能未啟用日志功能防病毒服務器VULN-15操作系統補丁未安裝未及時安裝補丁VULN-16設備不穩定設備不穩定VULN-17操作系統的口令策略沒有啟用操作系統的口令策略沒有啟用VULN-18操作系統開放多余服務操作系統開放多余服務數據服務器VULN-19缺少操作規程和職責管理缺少操作規程和職責管理VULN-20存在弱口令存在弱口令VULN-21操作系統補丁未安裝未及時安裝補丁VULN-22沒有訪問控制措施沒有訪問控制措施應用服務器VULN-23缺少操

26、作規程和職責管理缺少操作規程和職責管理VULN-24存在弱口令存在弱口令VULN-25操作系統補丁未安裝未及時安裝補丁VULN-26Telnet漏洞未及時安裝補丁VULN-27可以通過SMB連接注冊表可以通過SMB連接注冊表PC-1VULN-28操作系統補丁未安裝未及時安裝補丁VULN-29使用NetBIOS探測Windows主機信息使用NetBIOS探測Windows主機信息PC-2VULN-30木馬和后門木馬和后門VULN-31SMB shares accessSMB登錄VULN-32弱口令弱口令UPSVULN-33設備不穩定設備不穩定空調VULN-34設備不穩定設備不穩定表8-6 技術脆

27、弱性評估結果編輯編輯ppt8.5 分析可能性和影響8.5.1 分析威脅發生的頻率分析威脅發生的頻率 威脅發生的頻率需要根據威脅、脆弱性和安全措施來綜合評價。表8-7給出了5個級別定義的描述。等級威脅頻率描述5很高大多數情況下幾乎不可避免或者可以證實發生過的頻率很高4高在大多數情況下很有可能會發生或者可以證實曾發生過3中在某種情況下可能會發生但未被證實發生過2低一般不太可能發生1很低幾乎不可能發生表8-7 可能性級別定義編輯編輯ppt8.5.2 分析脆弱性嚴重程度分析脆弱性嚴重程度 脆弱性嚴重程度是指威脅一次成功地利用脆弱性后對組織造成的不期望的后果或損失的相對等級，表8-8給出了5個級別定義的

28、描述。等級嚴重程度描述5很高可引起系統持續中斷或永久關閉。可引起代理信息或服務的重大損失4高可引起重要系統的中斷，或連接客戶損失或商業信任損失3中等能引起系統聲望的損害，或是對系統資源或服務的信任程度的降低，需要支付重要資源維修費2低對系統有一些很小的影響，只須很小的努力就可恢復系統1很低對系統幾乎沒有影響表8-8 嚴重程度定義編輯編輯ppt8.6 風險計算 首先建立資產、威脅和脆弱性關聯，并給威脅發生的可能性及脆弱性嚴重程度賦值，如表8-9所示。 在本項目中，采用7.8介紹的矩陣法和相乘法進行風險計算。編輯編輯ppt資產威脅威脅頻率脆弱性嚴重程度路由器-1未授權訪問2Cisco未設置密碼3漏

29、洞利用5CISCO IOS界面被IPv4數據包阻塞3路由器-2未授權訪問2沒有制定訪問控制策略4操作失誤或維護錯誤2安裝與維護缺乏管理4交換機-1漏洞利用5日志及管理功能未啟用3交換機-2漏洞利用5CSCdz392843CSCdw330273交換機-3漏洞利用5CSCds047474沒有配備Service PasswordEncryption服務4防火墻-1操作失誤或維護錯誤2安裝與維護缺乏管理5缺少操作規程和職責管理5防火墻-2 未授權訪問1防火墻開放端口增加5防火墻關鍵模塊失效4防火墻-3原發抵賴3未啟用日志功能5病毒服務器惡意代碼或病毒3操作系統補丁未安裝5硬件故障1設備不穩定5未授權訪

30、問4操作系統的口令策略沒有啟用5木馬后門攻擊4操作系統開放多余服務4資產威脅威脅頻率脆弱性嚴重程度數據服務器操作失誤或維護錯誤2缺少操作規程和職責管理5未授權訪問4存在弱口令5惡意代碼或病毒3操作系統補丁未安裝5權限濫用4沒有訪問控制措施4應用服務器操作失誤或維護錯誤2缺少操作規程和職責管理5未授權訪問4存在弱口令5惡意代碼或病毒3操作系統補丁未安裝5漏洞利用5Telnet漏洞4可以通過SMB連接注冊表5PC-1惡意代碼或病毒3操作系統補丁未安裝5數據篡改3使用NetBIOS探測Windows主機信息5PC-2惡意代碼或病毒3木馬和后門5數據篡改3SMB shares access4竊密4弱口

31、令5UPS硬件故障1設備不穩定5空調硬件故障1設備不穩定5表8-9 資產、威脅、脆弱性關聯表編輯編輯ppt8.6.1 8.6.1 使用矩陣法計算風險使用矩陣法計算風險 利用矩陣法，首先根據表7-21，計算安全事件發生的可能性，再根據安全事件可能等級劃分表7-22，計算安全事件發生的可能性值等級。根據安全事件發生損失矩陣表7-23，計算安全事件的損失，再根據安全事件損失等級劃分表7-24，計算安全事件損失等級。根據風險矩陣表7-25，計算風險風險值。最后根據風險等級劃分表7-26，確定風險等級。所有計算結果如表8-10所示。編輯編輯ppt資產資產價值威脅威脅頻率脆弱性嚴重程度安全事件可能性可能性

32、等級安全事件損失損失等級風險值風險等級A-011T-022VULN-0131026282T-035VULN-02317462153A-022T-022VULN-034133123133T-042VULN-044133123133A-033T-035VULN-053174113173A-043T-035VULN-063174113173VULN-073174113173A-054T-035VULN-084204194204VULN-094204194204A-064T-042VULN-105174225234VULN-115174225234A-073T-021VULN-125143204163

33、VULN-083T-073VULN-145204204204表8-10 風險計算表1編輯編輯ppt資產資產價值威脅威脅頻率脆弱性嚴重程度安全事件可能性可能性等級安全事件損失損失等級風險值風險等級A-093T-063VULN-155204204204T-011VULN-165143204163T-024VULN-175225204234T-054VULN-184184153173A-104T-042VULN-195174225234T-024VULN-205225225255T-063VULN-215204225234T-084VULN-224184194204A-11

34、4T-042VULN-235174225234T-024VULN-245225225255T-063VULN-255204225234T-035VULN-264204194204VULN-275255225255A-124T-063VULN-285204225234T-103VULN-295204225234A-134T-063VULN-305204225234T-103VULN-314163194163T-094VULN-325225225255A-144T-011VULN-335143225204A-153T-011VULN-345143204163編輯編輯ppt8.6.2 使用相乘法計算

35、風險使用相乘法計算風險 使用相乘法計算風險等級，計算結果如表8-11風險計算表2 (右圖)所示。編輯編輯ppt8.7.1現存風險判斷內容依據風險評估結果，假設風險等級在4級以上不可接受，通過分析，發現有21個不可接受風險。分析結果如表8-12所示。8.7風險處理編輯編輯ppt資產ID0資產名稱威脅脆弱性風險等級是否可接受A-01路由器-1未授權訪問Cisco未設置密碼2是漏洞利用CISCO IOS界面被IPv4數據包阻塞3是A-02路由器-2未授權訪問沒有制定訪問控制策略3是操作失誤或維護錯誤安裝與維護缺乏管理3是A-03交換機-1漏洞利用日志及管理功能未啟用3是A-04交換機-2漏洞利用CS

36、Cdz392843是CSCdw330273是A-05交換機-3漏洞利用CSCds047474否沒有配備Service Password Encryption服務4否A-06防火墻-1操作失誤或維護錯誤安裝與維護缺乏管理4否缺少操作規程和職責管理4否A-07防火墻-2未授權訪問防火墻開放端口增加3是防火墻關鍵模塊失效2是A-08防火墻-3原發抵賴未啟用日志功能4否A-09病毒服務器惡意代碼或病毒操作系統補丁未安裝4否硬件故障設備不穩定3是未授權訪問操作系統的口令策略沒有啟用4否木馬后門攻擊操作系統開放多余服務3是表8-12 風險接受等級劃分表編輯編輯ppt資產ID0資產名稱威脅脆弱性風險等級是否

37、可接受A-10數據服務器操作失誤或維護錯誤缺少操作規程和職責管理4否未授權訪問存在弱口令5否惡意代碼或病毒操作系統補丁未安裝4否權限濫用沒有訪問控制措施4否A-11應用服務器操作失誤或維護錯誤缺少操作規程和職責管理4否未授權訪問存在弱口令5否惡意代碼或病毒操作系統補丁未安裝4否漏洞利用Telnet漏洞4否可以通過SMB連接注冊表5否A-12PC-1惡意代碼或病毒操作系統補丁未安裝4否數據篡改使用NetBIOS探測Windows主機信息4否A-13PC-2惡意代碼或病毒木馬和后門4否數據篡改SMB shares access3是竊密弱口令5否A-14UPS硬件故障設備不穩定4否A-15空調硬件故

38、障設備不穩定3是編輯編輯ppt8.7.2.1 風險控制需求分析風險控制需求分析 按照系統的風險等級接受程度，通過對本信息系統技術層面的安全功能、組織層面的安全控制和管理層面的安全對策進行分析描述，形成已有安全措施的需求分析結果，如表8-13所示。8.7風險處理編號控制需求說明R1保障XXXX系統內網的正常運行。R2保障XXXX系統外網的正常運行。R3保障辦公用計算機系統正常運行。R4保障網站信息的正常發布。R5保證基本信息的保密性、完整性、可用性。表8-13 風險控制需求分析表編輯編輯ppt8.7.2.2 8.7.2.2 風險控制目標風險控制目標 依據風險接受等級劃分表（表8-12）、風險控制

39、需求分析表（表8-13），確定風險控制目標，如表8-14所示。編號控制目標需求T1數據庫系統（內、外網數據庫服務器）R1、R2、R5T2網絡支撐系統（路由器、交換機、通信線路）R1、R2、R4、R5T3網絡安全系統（防病毒、防火墻、數據恢復、IDS、漏洞掃描） R1、R2、R4、R5T4網絡管理系統（CISCOWORKS、HPOPENVIEW）R1、R2、R4、R5T5網上信息發布系統（內、外網WEB服務器）R4T6終端系統（PC、筆記本電腦）R3T7介質及文檔（數據備份文檔等） R1、R2、R5 表8-14 控制目標編輯編輯ppt8.7.3 8.7.3 控制措施選擇控制措施選擇 依據風險控制

40、需求分析表（表8-13）、控制目標表（表8-14），針對控制目標，綜合考慮控制成本和實際的風險控制需求，建議采取適當的控制措施，如表8-15所示。編輯編輯ppt編號控制措施對應控制目標優先級M1制定具體科室負責信息安全工作，明確人員及其分工。T1T7高M2制定定期開展信息安全意識教育培訓的計劃并落實。T1T7高M3對所屬的服務器和主機進行安全配置檢查，并重新配置安全策略。T1T7高M4開啟重要服務器和主機的審計功能，并制定審計記錄的維護和分析流程。T1T7高M5對內、外網的服務器默認配置進行必要的更改。T1T7高M6制定具體的備份與恢復制度。T1、T7高M7制定具體的安全事件處理制度。T1T7高M8對應用系統制定統一的完整性保護策略，并使用有效工具進行完整性約束。T1