第17章-信息安全风险评估-网络攻防原理与实践课件.ppt

《第17章-信息安全风险评估-网络攻防原理与实践课件.ppt》由会员分享，可在线阅读，更多相关《第17章-信息安全风险评估-网络攻防原理与实践课件.ppt（31页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、第第1717章章 信息安全风险评估信息安全风险评估 高等教育出版社本章要点 2.2.信息安全风险评估相关要素及关系信息安全风险评估相关要素及关系 1.1.信息安全风险评估概述信息安全风险评估概述 3.3.风险评估方法风险评估方法 4.4.风险评估流程风险评估流程 5 5.国内外风险评估标准国内外风险评估标准网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社概述v信息安全处理过程是一个周而复始的连续过程信息安全处理过程是一个周而复始的连续过程v通常包含通常包含5 5个关键阶段：评估、策略制定、实施、个关键阶段：评估、策略制定、实施、培训、审计。培训、审计。网网络攻防原理攻防原理与与实践

2、践高等教育出版社高等教育出版社网络信息安全评估的目的 v确定信息资产的价值；确定信息资产的价值；v确定对这些信息资产的机密性、完整性、可用性确定对这些信息资产的机密性、完整性、可用性和可审性的威胁；和可审性的威胁；v确定该组织当前实际存在的漏洞；确定该组织当前实际存在的漏洞；v识别与该组织信息资产有关的风险；识别与该组织信息资产有关的风险；v提出改变现状的建议，使风险减少到可接受的水提出改变现状的建议，使风险减少到可接受的水平；平；v提供一个构造合适的安全计划的基础。提供一个构造合适的安全计划的基础。网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社风险评估的基本要素 v风险评估的基

3、本要素包括：需保护的信息资产、风险评估的基本要素包括：需保护的信息资产、信息资产的脆弱性、信息资产面临的威胁、存在信息资产的脆弱性、信息资产面临的威胁、存在的可能风险、安全防护措施等。的可能风险、安全防护措施等。n资产n任何有效的风险评估始于要保护的资产。n资产一般可以分为下面几类：n物理资源n知识资源n时间资源n信誉(感觉)资源网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社风险评估的基本要素n威胁n威胁是可能对资产或组织造成损害的潜在原因。n表17.1给出了需识别的威胁源以及其威胁的表现形式。威胁源常见表现形式自然威胁 地震、飓风、火山、洪水、海啸、泥石流、暴风雪、雪崩、雷电、

4、其他环境威胁 火灾、战争、重大疫情、恐怖主义、供电故障、供水故障、其他公共设施中断、危险物质泄漏、重大事故（如交通工具碰撞等）、污染、温度或湿度、其他系统威胁 网络故障、硬件故障、软件故障、恶意代码、存储介质的老化、其他外部人员 网络窃听、拒绝服务攻击、用户身份仿冒、系统入侵、盗窃、物理破坏、信息篡改、泄密、抵赖、其他。内部人员 未经授权信息发布、未经授权的信息读写、抵赖、电子攻击（如利用系统漏洞提升权限）、物理破坏（系统或存储介质损坏）、盗窃、越权或滥用、误操作网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社风险评估的基本要素n脆弱点n脆弱点是一个或一组资产所具有的，可能被威胁利

5、用对资产造成损害的薄弱环节。n脆弱点主要表现在技术和管理两个方面：n技术脆弱点是指信息系统在设计、实现、运行时在技术方面存在的缺陷或弱点。n管理脆弱点则是指组织管理制度、流程等方面存在的缺陷或不足。n风险n信息安全风险是指威胁利用一个或一组资产的脆弱点导致组织受损的潜在性，并以威胁利用脆弱点造成的一系列不期望发生的事件来体现。n资产、威胁、脆弱点是信息安全风险的基本要素，是信息安全风险存在的基本条件，缺一不可。网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社风险评估的基本要素n安全需求n安全需求是指为保证组织业务战略的正常运作而在安全措施方面提出的要求。n安全需求可体现在技术、组织

6、管理等多个方面。网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社各要素之间的关系各要素之间的关系vISO/IEC 13335-1ISO/IEC 13335-1对对各要素之间的关系描述：之间的关系描述：网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社风险分析原理网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社风险评估方法v详细风险评估方法详细风险评估方法n详细风险评估要求对一个信息系统中的所有资产、威胁和脆弱点进行详细识别和评价，并对可能引起风险的水平进行评估。n这通过不期望事件的潜在负面业务影响评估和他们发生的可能性来完成。网网络攻防原理攻防原理与与实践践高

7、等教育出版社高等教育出版社风险评估方法v综合风险评估方法综合风险评估方法n综合评估方法将基线和详细风险评估的优势结合起来，既节省了评估所耗费的资源，又能确保获得一个全面系统的评估结果。网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社我国的提出的风险评估流程网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社风险评估准备阶段风险评估准备阶段v风险评估的准备是整个风险评估过程有效性的保风险评估的准备是整个风险评估过程有效性的保证。其工作主要包括：证。其工作主要包括：n确定风险评估目标n确定风险评估的对象和范围n组建团队n选择方法n获得支持n准备相关的评估工具网网络攻防原理攻防原

8、理与与实践践高等教育出版社高等教育出版社资产识别与评估资产识别与评估v资产识别资产识别n资产识别的任务就是对确定的评估对象所涉及或包含的资产进行详细的标识。n资产识别的方法主要有访谈、现场调查、问卷、文档查阅等。v资产评估资产评估n资产的评估是对资产的价值或重要程度进行评估。n多数情况下资产评价只能以定性的形式，依据重要程度的不同划分等级。n分别对资产在以上各方面的重要程度进行评估，然后通过一定的方法进行综合，可得资产的综合价值。网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社资产识别与评估资产识别与评估n若资产在机密性、完整性、可用性、可审计性和不可抵赖性的赋值分别记为VAc、V

9、Ai、VAa、VAac、VAn，综合价值记为VA，综合的方法可以是：n最大原则：取最大的那个方面的赋值作为综合评价值,即VA=maxVAc,VAi,VAa,VAac,VAn。n加权原则：综合机制由加权求得，即VA=VAc*Wc+VAi*Wi+VAa*Wa+VAac*Wac+VAn*Wn。网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社威胁识别与评估 v威胁识别可从威胁源进行分析，也可根据有关标准、组织威胁识别可从威胁源进行分析，也可根据有关标准、组织所提供的威胁参考目录进行分析。所提供的威胁参考目录进行分析。v威胁识别主要通过采集入侵检测系统威胁识别主要通过采集入侵检测系统(IDS

10、)(IDS)的报警信息、的报警信息、威胁问卷调查和对技术人员做顾问访谈的方式。威胁问卷调查和对技术人员做顾问访谈的方式。v安全评估必须依据一定的标准来进行。安全评估必须依据一定的标准来进行。v安全评估标准主要分为安全评估标准主要分为CCCC系列评估标准和系列评估标准和ISO17799ISO17799系列的系列的风险评估标准。风险评估标准。v当前流行的系列风险评估工具总体上可分为两大类：当前流行的系列风险评估工具总体上可分为两大类：n监控扫描类，计算机、网络、通讯系统的漏洞扫描或监控；n标准符合性评估类，以ISO 17799系列为标准条款进行系统符合性验证评估。网网络攻防原理攻防原理与与实践践高

11、等教育出版社高等教育出版社定量分析方法定量分析方法v定量分析就是试图从数字上对安全风险进行分析定量分析就是试图从数字上对安全风险进行分析评估的一种方法。评估的一种方法。v定量风险分析中的重要概念：定量风险分析中的重要概念：n暴露因子 特定威胁对特定资产造成损失的百分比，或者说损失的程度。n单一损失期望(SOC)特定威胁可能造成的潜在损失总量。n年度发生率(ARO)威胁在一年内估计会发生的频率。n年度损失期望(ALE或EAC)表示特定资产在一年内遭受损失的预期值。网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社定量分析方法定量分析方法v考察定量分析的过程，从中就能看到这几个概念考察定

12、量分析的过程，从中就能看到这几个概念之间的关系：之间的关系：n首先，识别资产并为资产赋值；n通过威胁和弱点评估，评价特定威胁作用于特定资产所造成的影响，即EF(取值在0-100%之间)；n计算特定威胁发生的频率，即ARO；n计算资产的SLE：nSLE=Asset Value EFn计算资产的ALE：nALE=SLE ARO网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社定性分析定性分析v风险分析公式：风险分析公式：n风险威胁事件发生频度利用系统脆弱性的可能性对系统的综合影响v发生频度、可能性因素都无法用非常精确的数据发生频度、可能性因素都无法用非常精确的数据进行表示。进行表示。v在

13、实际的操作过程中，将上述因素进行定性量化在实际的操作过程中，将上述因素进行定性量化是切实可行的方法。是切实可行的方法。网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社基于过程的方法基于过程的方法v一个组织建立一个组织建立ISMSISMS体系，要进行信息资产风险评估和风体系，要进行信息资产风险评估和风险处理。其主要过程是：险处理。其主要过程是：n制定组织的ISMS方针和风险接受准则；n定义组织的风险评估方法；n识别要保护的信息资产，并进行登记；n识别安全风险，包括识别资产所面临的威胁、组织的脆弱点和造成的影响等；n对照组织的风险接受准则，评价和确定已估算的风险的严重性、可否接受；n形

14、成风险评估报告；n制定风险处理计划，选择风险控制措施；n标准明确规定，有4种风险处理方法：采用适当的控制措施、接受风险、避免风险和转移风险；n执行风险处理计划，将风险降低到可接受的级别。网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社“PDCA”周期 相关方相关方受受控控的的信信息安全息安全信信息息安安全全要要求和期望求和期望相关方相关方检查检查Check建立ISMS实施和运行ISMS保持和改进ISMS监视和评审ISMS规划规划Plan实施实施Do处处置置Act网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社本章要点 2.2.信息安全风险评估相关要素及关系信息安全风险评估相关要素及关系 1.1.信息安全风险评估概述信息安全风险评估概述 3.3.风险评估方法风险评估方法 4.4.风险评估流程风险评估流程 5 5.国内外风险评估标准国内外风险评估标准网网络攻防原理攻防原理与与实践践高等教育出版社高等教育出版社