XX信息系统安全风险分析及评估实施报告模板公开.doc

《XX信息系统安全风险分析及评估实施报告模板公开.doc》由会员分享，可在线阅读，更多相关《XX信息系统安全风险分析及评估实施报告模板公开.doc（24页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、. .说明文字：大致内容如此，根据具体情况增删XXXX信息系统平安风险评估报告二一五年七月. .word. .目 录1评估工作概述31.1评估目标31.2评估组织31.3评估对象31.3.1业务职能与组织构造31.3.2系统定级61.3.3物理环境61.3.4网络构造91.3.5平安XX措施121.3.6重要XX部门、部位132评估依据和标准133评估方案144资产识别154.1资产重要性等级定义154.2资产分类164.2.1效劳器情况列表164.2.2交换机情况列表194.2.3用户终端和XX单机194.2.4特种设备204.2.5软件平台204.2.6平安XX设备204.2.7应用系统情

2、况列表284.2.8试运行应用系统情况列表295威胁识别305.1威胁分类305.2威胁赋值316脆弱性识别336.1脆弱性识别内容336.2脆弱性赋值336.3脆弱性专向检测346.3.1病毒木马专项检查346.3.2网络扫描专项测试347风险分析448风险统计489评估结论4810整改建议481 评估工作概述2021 年7月7-9日，由XX部门组织相关人员对XX信息系统进展了平安风险评估。本报告的评估结论仅针对xx厂XX信息系统本次平安风险评估时的状况。1.1评估目标本次评估工作依据有关信息平安技术与管理标准，对xx厂XX信息系统及由其处理、传输和存储的信息的平安属性进展评估，分析该XX信

3、息系统内的效劳器、网络设备、用户终端及支撑平台等资产在日常运行、管理过程中面临的威胁、存在的脆弱性以及由此带来的平安风险，为将平安风险控制在可承受的水平，最大限度地保障该XX信息系统的信息平安XX提供指导依据。1.2评估组织本次风险评估由XX信息系统管理领导小组负责组织。由xx部门现场开展本次评估工作，XX业务部门相关人员进展配合。1.3评估对象1.3.1业务职能与组织构造Xx1.3.2系统定级Xx厂XX信息系统经xx批准同意，按照所处理XX信息的最高密级定为XX级，采用增强保护要求进展保护。1.3.3物理环境XX1.3.4网络构造图1 、组织机构图图2周边物理环境图3、网络拓扑构造图1.3.

4、5平安XX措施XX厂XX信息系统配备了防火墙、网络入侵检测系统、漏洞扫描系统、主机监控与审计系统、XX计算机及移动存储介质XX管理系统“三合一系统、中孚信息消除工具、打印平安监控与审计系统、平安、网间文件交换系统、防计算机病毒软件、线路传导干扰器、一级电磁干扰器、红黑电源滤波隔离插座等平安XX产品。身份鉴别口令认证，复杂度，密码长度等符合要求否？XX便携式计算机、XX单机和XX数据中转单机采用用户名与口令相结合的方式进展身份鉴别。1.3.6重要XX部门、部位XX厂XX信息系统XX要害部门为2个，XX要害部位为5个，具体情况如下表所示。序号名称位置所属部门部位性质防护措施监控门控红外报警2 评估

5、依据和标准 ?武器装备科研生产单位三级XX资格评分标准?3 评估方案本次风险评估采用文档审阅、人员问询、脆弱性扫描和现场查验等风险评估方法。1文档审阅：了解XX信息系统的根本情况、2021 年上半年发生的变化，问题项的整改情况，确定后续查验的重点。审阅的文档材料主要包括：平安审计报告与审计报告、例行检查记录、工作和审批记录。2人员问询：对XX信息系统管理人员和局部用户包括行政管理人员和技术人员进展了问询，评估XX信息系统的管理者和使用者对自身XX职责的知悉情况，以及理解相关制度和标准并落实到日常工作中的情况。3脆弱性扫描：通过使用中科网威网络漏洞扫描系统对XX厂XX信息系统进展脆弱性扫描，收集

6、效劳器、用户终端、网络设备和数据库的平安漏洞。4现场查验：评估规章制度的建立和执行情况；评估局部效劳器、用户终端、网络设备、应用系统和平安XX设备的平安XX防护情况；评估系统的物理平安和电磁泄漏发射防护情况。4 资产识别资产是对组织具有价值的信息或资源。XX性、完整性和可用性是评价资产的三个平安属性。风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在这三个平安属性上的达成程度或者其平安属性未达成时所造成的影响程度来决定的。平安属性达成程度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性、以及已采用的平安措施都将对资产平安属性的达成程度产生影响。为此，必须对XX厂XX信息系

7、统内的资产进展识别。4.1资产重要性等级定义资产的重要性等级依据资产在XX性、完整性和可用性上的赋值等级综合评定后得出。本次评估将XX厂XX信息系统内的资产划分为五级，级别越高表示资产越重要。不同等级的资产重要性的综合描述如下表所示。等级标识描述5很高非常重要，其平安属性破坏后可能对组织造成非常严重的损失4高重要，其平安属性破坏后可能对组织造成比拟严重的损失3中等比拟重要，其平安属性破坏后可能对组织造成中等程度的损失2低不太重要，其平安属性破坏后可能对组织造成较低的损失1很低不重要，其平安属性破坏后可能对组织造成很小的损失，甚至忽略不计4.2资产分类根据XX厂资产的表现形式，首先将资产分为效劳

8、器、交换机、用户终端含网络打印机和XX单机含XX笔记本电脑、特种设备、软件平台、平安XX设备和应用系统七个大类。然后，根据4.1节的定义，对不同资产的重要性等级进展赋值。4.2.1效劳器情况列表序号类型品牌型号用途IP地址IP地址类型资产重要性等级1.效劳器2.效劳器3.效劳器4.5.6.7.8.9.10.11.12.13.14.15.16.17.18.19.20.21.22.23.24.4.2.2交换机情况列表序号类型交换机型号数量用途资产重要性等级1 1交换机2 2交换机3 3交换机4交换机4.2.3用户终端和XX单机序号类型厂家、型号数量用途资产重要性等级1 1用户终端22 2中间转换机

9、33 3XX笔记本电脑34.2.4特种设备序号类型厂家、型号数量用途资产重要性等级1 1数控机床22 4考勤设备14.2.5软件平台序号软件名称厂家、版本运行该软件的设备用途安装位置资产重要性等级12 3Windows 2003 Server3Windows 2021 Server4 6SQL Server数据库5 7Oracle数据库6OSCAR数据库4.2.6平安XX设备序号设备名称厂家和型号用途安装位置和数量策略设置证书1防火墙2防病毒软件3防病毒软件4防病毒软件5入侵检测系统6漏洞扫描系统7USB移动存储介质使用管理系统8主机监控与审计9微机视频信息保护系统10红黑电源隔离插座11线路

10、传导干扰器4.2.7应用系统情况列表序号系统名称密级安装位置用途用户X围访问权限设置情况资产重要性等级1 1OA系统523454.2.8试运行应用系统情况列表序号系统名称密级安装位置用途用户X围访问权限设置情况资产重要性等级1 152 253 324 5352645 威胁识别5.1威胁分类威胁是可能导致对系统或组织危害的不希望事故的潜在起因。威胁可以通过威胁主体、资源、动机和途径等多种属性来描述。造成威胁的因素可分为人为因素和环境因素。威胁作用形式可以是对信息系统直接或间接的攻击，在XX性、完整性和可用性等方面造成损害；也可能是偶发的或蓄意的事件。下表为本次评估可能涉及到的威胁分类。种类描述威

11、胁子类软硬件故障对业务实施或系统运行产生影响的设备硬件故障、通讯链路中断、系统本身或软件缺陷等问题设备硬件故障、传输设备故障、存储媒体故障、系统软件故障、应用软件故障、数据库软件故障、开发环境故障等物理环境影响对信息系统正常运行造成影响的物理环境问题和自然灾害断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等无作为或操作失误应该执行而没有执行相应的操作，或无意执行了错误的操作维护错误、操作失误等管理不到位平安管理无法落实或不到位，从而破坏信息系统正常有序运行管理制度和策略不完善、管理流程缺失、职责不明确、监视控管机制不健全等恶意代码成心在计算机系统上执行恶意任务的程序代码病毒

12、、木马、蠕虫、恶意程序、间谍软件、窃听软件等越权或滥用通过采用一些措施，超越自己的权限访问了本来无权访问的资源，或者滥用自己的权限，做出破坏信息系统的行为非授权访问网络资源、非授权访问系统资源、滥用权限非正常修改系统配置或数据、滥用权限泄漏XX信息等网络攻击利用工具和技术通过网络对信息系统进展攻击和入侵网络探测和信息采集、漏洞探测、嗅探账号、口令、权限等、用户身份伪造和欺骗、用户或业务数据的窃取和破坏、系统运行的控制和破坏等物理攻击通过物理接触造成对软件、硬件和数据的破坏物理接触、物理破坏、盗窃等泄密信息泄露给不应了解的他人内部信息泄漏、外部信息泄漏等篡改非法修改信息，破坏信息的完整性使系统的

13、平安性降低或信息不可用篡改网络配置信息、篡改系统配置信息、篡改平安配置信息、篡改用户身份信息或业务数据信息等抵赖不成认受到的信息和所作的操作和交易原发抵赖、接收抵赖、第三方抵赖等5.2威胁赋值判断威胁出现的频率是威胁赋值的重要内容。本次评估综合考虑了以下三个方面，以形成在评估环境中各种威胁出现的频率。 以往?月度运行报告?中出现过的威胁及其频率； 实际环境中通过检测工具以及各种日志发现的威胁及其频率；这里对威胁出现的频率进展等级化处理，不同等级分别代表威胁出现的频率的上下。等级数值越大，威胁出现的频率越高。等级标识定义5很高出现的频率很高(1次/周)；或在大多数情况下几乎不可防止；或可以证实经

14、常发生4高出现的频率较高(1次/月)；或在大多数情况下很有可能发生；或可以证实屡次发生过3中等出现的频率中等(1次/半年)；或在某种情况下可能会发生；或被证实曾经发生过2低出现的频率较低；或一般不太可能发生；或没有被证实发生过1很低威胁几乎不可能发生；仅可能在非常罕见和例外的情况下发生6 脆弱性识别6.1脆弱性识别内容脆弱性是可能被威胁所利用的资产或假设干资产的薄弱环节，即脆弱性是资产本身存在的，如果没有被相应的威胁利用，单纯的脆弱性本身不会对资产造成损害。而且如果系统足够强健，严重的威胁也不会导致平安事件的发生，并造成损失。威胁总是要利用资产的脆弱性才可能造成危害。本次评估以XX为标准，从技

15、术和管理两个方面对XX厂XX信息系统内的资产对象进展脆弱性识别。脆弱性按照标准中的测评项进展分类。6.2脆弱性赋值这里根据脆弱性对资产的暴露程度、技术实现的难易程度、流行程度等，采用等级方式对已识别的脆弱性的严重程度进展赋值。脆弱性赋值是以等级进展划分的，不同的等级代表资产脆弱性严重程度的上下。等级数值越大，脆弱性严重程度越高。等级标识定义5很高如果被威胁利用，将对资产造成完全损害4高如果被威胁利用，将对资产造成重大损害3中等如果被威胁利用，将对资产造成一般损害2低如果被威胁利用，将对资产造成较小损害1很低如果被威胁利用，将对资产造成的损害可以忽略6.3脆弱性专向检测6.3.1病毒木马专项检查

16、通过查看瑞星管理控制台，了解系统内病毒木马爆发的情况。其中，2021 年5月和6月的爆发情况如下表所示。时间段感染次数次受感染主机数台2021 年5月26891192021 年6月26741176.3.2网络扫描专项测试使用中科网威漏洞扫描系统，对XX厂XX信息系统内的效劳器、用户终端、网络设备进展远程平安评估。 效劳器扫描结果效劳器区网段共扫描主机27台，其中高度危险主机14台，七台存有紧急漏洞，比拟危险主机13台，比拟平安主机0台，非常平安主机0台。IP地址操作系统所在域漏洞数高危数危险等级危险值本次远程评估共扫描到的前五漏洞，如下表所示。编号漏洞名称危险等级出现次数1Microsoft

17、IIS WebDAV 远程认证绕过漏洞紧急32Oracle tnslsnr 未设置口令高级43ICMP 时间戳检测中级244DCE 效劳器列举低级235开放的 tcp 端口检测信息27 用户终端扫描结果用户终端和局部设备共扫描了主机数567台，其中高度危险主机5台，比拟平安主机562台，局部结果见下表。IP地址操作系统所在域漏洞数高危数危险等级危险值本次扫描到的前五漏洞，如下表所示。编号漏洞名称危险等级出现次数1Microsoft Windows SMB 存在多个漏洞允许远程执行代码紧急22MySQL 5.x 未指明的缓冲区溢出漏洞高级23PHP 存在多个缓冲区溢出漏洞高级14Oracle M

18、ySQL TEMPORARY InnoDB 数据表拒绝效劳漏洞中级25MySQL 存在多个漏洞中级2. .word. .7 风险分析序号资产对象脆弱性类型脆弱性描述威胁风险标识1电源隔离防护装置电磁泄漏发射防护个别用户终端与黑设备共用红黑电源滤波隔离插座，局部XX网络线路与技防、线路间隔距离缺乏存在电磁泄漏的风险中等2高3中高4效劳器操作系统平安、数据库平安局部XX效劳器应用程序、数据库补丁程序未安装完全，存在高风险漏洞黑客可利用系统漏洞入侵、控制效劳器，获取重要信息高5设备平安、介质平安、平安审计、设备数据接口、违规外联监控局部效劳器未安装主机监控与审计系统、移动存储介质使用管理系统和违规外

19、联监控系统效劳器管理员可非授权使用设备数据接口、未注册介质、非法外部连接高6用户终端含网络打印机计算机病毒与恶意代码防护局部XX用户终端存在病毒、木马事件报告病毒、木马可导致系统、网络瘫痪，窃取用户数据中低7操作系统平安、数据库平安局部用户终端和网络打印机操作系统、应用程序、数据库补丁未安装完全，有高风险漏洞；个别用户终端开放多余效劳攻击者可利用系统漏洞入侵、控制用户终端，获取重要信息中等8防火墙日志效劳器日志审计日志效劳器运行不稳定，日志不全无法查看防火墙日志，无法进展审计中等9打印机输出控制局部用户未按文件密级进展打印输出，存在高密低打现象存在输出文件失控的风险中等10打印机输出控制局部打

20、印机与安装部门属同一地址段，且开放SNMP效劳存在非审批打印的风险中等11中等12XX笔记本电脑设备数据接口XX笔记本电脑无法审计打印和光盘刻录事件存在非授权导出XX信息的风险中低13显示输出XX要害部门中的个别XX单机对窗摆放，且未采用其他防护措施如拉窗帘，不能防止显示输出内容被非授权获取存在显示输出内容被非授权获取的风险低14中等8 风险统计XX厂XX信息系统平安风险评估共识别出平安风险13个，其中：高风险2个，中高风险1个，中等风险3个，中低风险3个，低风险4个。9 评估结论经过各方面的评估XX厂XX信息系统根本上是平安的，根本符合分级保护国家XX标准的要求。但依然存在局部风险，需从组织

21、、管理和技术等多方面进展补充和完善，并加强教育培训，提高人员意识和相关技能，规X其行为，从根本上确保信息平安。10 整改建议（1） 个别用户终端视频干扰仪、红黑电源滤波隔离插座使用不符合要求。问题描述：个别用户终端与黑设备非XX计算机、饮水机等共用红黑电源滤波隔离插座，存在电磁泄漏的风险。整改建议：对问题部门提出警告，加强对红黑电源滤波隔离插座使用的监管力度。（2） 个别XX单机对窗摆放，且未采用其他防护措施 问题描述XX要害部门中的个别XX单机对窗摆放，且未采用其他防护措施如拉窗帘，存在显示输出内容被非授权获取的风险。 整改建议 对窗和对玻璃墙摆放的用户终端加装防护措施，并加强教育培训，提高

22、人员XX意识。（3） 局部效劳器应用程序、数据库补丁程序未安装完全，存在高风险漏洞 问题描述XX等效劳器的ORACLE数据库补丁程序未安装完全，存在高风险漏洞； 整改建议 及时安装补丁程序； 加强效劳器的平安配置。（4） 局部效劳器未安装主机监控与审计系统和“三合一系统 问题描述局部效劳器未安装主机监控与审计系统和XX计算机及移动存储介质XX管理系统 整改建议 安装主机监控与审计系统和XX计算机及移动存储介质XX管理系统 对不能安装主机监控与审计系统和XX计算机及移动存储介质XX管理系统的效劳器应有测试报告，说明原因。（5） 局部XX用户终端存在病毒、木马 问题描述局部XX用户终端存在病毒、木

23、马，其中2015年5月1日至31日期间，用户终端感染病毒、木马事件报告10次，4台终端；2015年6月1日至30日期间，用户终端感染病毒、木马事件报告5次，3台；病毒、木马可导致系统、网络瘫痪，窃取用户数据。 整改建议 加强针对病毒、木马来源的分析； 加强数据的输入管理和病毒查杀工作。（6） 局部用户终端和网络打印机操作系统、应用程序、数据库补丁未安装完全，有高风险漏洞；个别用户终端开放多余效劳 问题描述局部用户终端和网络打印机操作系统、应用程序、数据库补丁未安装完全，有高风险漏洞；个别用户终端开放多余效劳，攻击者可利用系统漏洞和多余效劳入侵、控制用户终端，获取重要信息。 整改建议 及时安装补

24、丁程序； 加强用户终端的平安配置。（7） 存在打印机输出不受控制的风险 问题描述局部用户未按文件密级进展打印输出，存在高密低打现象存在输出文件失控的风险；局部打印机与安装部门属同一地址段，存在非审批打印的风险。 整改建议 加大对用户终端相关责任人和审批人的XX责任教育培训，及时通报整改。 将打印机和打印读卡器同一布置在专用VLAN并通过防火墙进展严格的访问控制。（8） 存在平安输出不受控制的风险 问题描述局部用户未按附件密级进展发送，附件文件名密级与密级不符，存在输出文件失控的风险 整改建议 加大对用户终端相关责任人和审批人的XX责任教育培训，及时通报整改。（9） 局部交换机管理口令明文存储和传输中风险 问题描述局部交换机采用WEB远程管理，口令明文传输；局部交换机采用SNMP方式管理包括核心交换机，口令明文存储和传输，存在通过网络数据监听，获取交换机口令，进而获取交换机的控制权，篡改网络配置信息的风险。 整改建议 完善交换机的平安配置； 采用符合平安XX要求的登录管理方式如SSH登录，保证网络设备口令传输平安。 换掉不符合要求的桌面交换机。. .word.