最新安全审核与风险分析PPT课件.ppt
![资源得分’ title=](/images/score_1.gif)
![资源得分’ title=](/images/score_1.gif)
![资源得分’ title=](/images/score_1.gif)
![资源得分’ title=](/images/score_1.gif)
![资源得分’ title=](/images/score_05.gif)
《最新安全审核与风险分析PPT课件.ppt》由会员分享,可在线阅读,更多相关《最新安全审核与风险分析PPT课件.ppt(286页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、安全审核与风险分析安全审核与风险分析2006 VCampus Corporation All Rights Reserved.第一单元第一单元安全审核入门安全审核入门风险评估风险评估风险评估是指定位网络资源和明确攻击发生的可能风险评估是指定位网络资源和明确攻击发生的可能性。性。风险评估是一种风险评估是一种“差距分析差距分析”,可以显示出安全策,可以显示出安全策略和实际发生攻击之间的差距。略和实际发生攻击之间的差距。信息安全风险评估是指依据有关信息安全技术与管信息安全风险评估是指依据有关信息安全技术与管理标准,对信息系统及由其处理、传输和存储的信理标准,对信息系统及由其处理、传输和存储的信息的机
2、密性、完整性和可用性等安全属性进行评价息的机密性、完整性和可用性等安全属性进行评价的过程。的过程。风险评估的准备风险评估的准备风险评估的准备过程是组织机构进行风险评估的基础,是整风险评估的准备过程是组织机构进行风险评估的基础,是整个风险评估过程有效性的保证。个风险评估过程有效性的保证。确定风险评估的目标确定风险评估的目标确定风险评估的范围确定风险评估的范围建立适当的组织结构建立适当的组织结构建立系统性的风险评估方法建立系统性的风险评估方法获得最高管理者对风险评估计划的批准获得最高管理者对风险评估计划的批准风险评估风险评估 风险评估的依据风险评估的依据1 1、政策法规:中办发、政策法规:中办发2
3、00320032727号文件和国信办文件号文件和国信办文件2 2、国际标准:如、国际标准:如BS7799-1 BS7799-1 信息安全管理实施细则信息安全管理实施细则、BS7799-BS7799-2 2 信息安全管理体系规范信息安全管理体系规范等等3 3、国家标准或正在审批的讨论稿,如、国家标准或正在审批的讨论稿,如GB 17859-1999 GB 17859-1999 计算机信计算机信息系统安全保护等级划分准则息系统安全保护等级划分准则和和信息安全风险评估指南信息安全风险评估指南等等4 4、行业通用标准等其它标准、行业通用标准等其它标准风险评估风险评估 风险评估的原则风险评估的原则1 1、
4、可控性原则、可控性原则人员可控性人员可控性工具可控性工具可控性项目过程可控性项目过程可控性2 2、完整性原则、完整性原则-严格按照评估要求和指定的范围进严格按照评估要求和指定的范围进行全面的评估服务。行全面的评估服务。3 3、最小影响原则、最小影响原则-从项目管理层面和工具技术层面,从项目管理层面和工具技术层面,力求将风险评估对信息系统的正常运行的可能影响力求将风险评估对信息系统的正常运行的可能影响降低到最低限度。降低到最低限度。4 4、保密原则、保密原则-不应暴露敏感信息。不应暴露敏感信息。风险评估风险评估 风险结果的判定风险结果的判定风险等级的划分风险等级的划分确定风险数值的大小,明确不同
5、威胁对资产所产生的风险,确确定风险数值的大小,明确不同威胁对资产所产生的风险,确定不同风险的优先次序或等级,风险级别高的资产应被优先分定不同风险的优先次序或等级,风险级别高的资产应被优先分配资源进行保护。配资源进行保护。风险等级从风险等级从1 1到到5 5划分为五级。等级越大,风险越高。划分为五级。等级越大,风险越高。控制措施的选择控制措施的选择对不可接受的风险选择适当的处理方式及控制措施,并形成风对不可接受的风险选择适当的处理方式及控制措施,并形成风险处理计划。险处理计划。控制措施的选择应兼顾管理与技术。控制措施的选择应兼顾管理与技术。残余风险的评价残余风险的评价对于不可接受范围内的风险,应
6、在选择了适当的控制措施后,对于不可接受范围内的风险,应在选择了适当的控制措施后,对残余风险进行评价,判定风险是否已经降低到可接受的水平,对残余风险进行评价,判定风险是否已经降低到可接受的水平,为风险管理提供输入。为风险管理提供输入。为确保所选择控制措施的有效性,必要时可进行再评估,以判为确保所选择控制措施的有效性,必要时可进行再评估,以判断实施控制措施后的残余风险是否是可被接受的。断实施控制措施后的残余风险是否是可被接受的。风险评估风险评估 风险评估的步骤风险评估的步骤1.1.仔细检查书面安全策略仔细检查书面安全策略安全专家把书面的安全策略比喻成安全专家把书面的安全策略比喻成“road map
7、”road map”或或“framework”framework”,因为它使网络在扩大规模中仍能保持安全。,因为它使网络在扩大规模中仍能保持安全。安全审核人员应该仔细阅读安全策略并检验雇员对策略的执行情安全审核人员应该仔细阅读安全策略并检验雇员对策略的执行情况。况。2.2.对资源进行分析、分类和排序对资源进行分析、分类和排序 -找出网络中最重要的资源找出网络中最重要的资源风险评估风险评估问问题题回回答答什么是受攻击的目什么是受攻击的目标?标?如果目标是一般用户的操作系统,则风险低;如果目标如果目标是一般用户的操作系统,则风险低;如果目标是人力资源系统,则风险高。是人力资源系统,则风险高。出现问
8、题的严重性出现问题的严重性?一旦出现问题,后果有多严重?影响企业还是影响个别一旦出现问题,后果有多严重?影响企业还是影响个别的系统?通常需要对损失的时间和金钱进行评估。的系统?通常需要对损失的时间和金钱进行评估。发生攻击的可能性发生攻击的可能性?攻击发生的可能到底有多大?是不太可能发生还是非常攻击发生的可能到底有多大?是不太可能发生还是非常有可能发生。有可能发生。3.3.通常遭受攻击的资源通常遭受攻击的资源 了解资源的分布情况:了解资源的分布情况:下表列出了一些通常遭受攻击的网络资源下表列出了一些通常遭受攻击的网络资源 :攻击热点攻击热点 潜在威胁潜在威胁 网络资源网络资源 路由器和交换机路由
9、器和交换机防火墙防火墙网络主机网络主机 服务器资源服务器资源 安全帐号数据库安全帐号数据库信息数据库信息数据库SMTPSMTP服务器服务器HTTPHTTP服务器服务器FTPFTP服务器服务器 对资源进行分类是一个明智的策略对资源进行分类是一个明智的策略 每个部门都有自己的数据库,但人力资源、财务和研发部门的每个部门都有自己的数据库,但人力资源、财务和研发部门的数据通常比其它部门的更重要一些。数据通常比其它部门的更重要一些。4.4.考虑商业需求考虑商业需求 为企业需求制定安全策略,应当考虑一些特殊的部门和个体。目标是为企业需求制定安全策略,应当考虑一些特殊的部门和个体。目标是提高各部门的工作效率
10、并使他们的数据更安全。提高各部门的工作效率并使他们的数据更安全。5.评估已有的边界和内部安全评估已有的边界和内部安全边界安全指网络间区分彼此的能力,防火墙是定义安全边界的边界安全指网络间区分彼此的能力,防火墙是定义安全边界的第一道屏障。第一道屏障。内部安全是指网络管理员监测和打击未授权的网络活动的能力。内部安全是指网络管理员监测和打击未授权的网络活动的能力。通过对现有安全机制的评估确认网络可以从下列外部攻击中通过对现有安全机制的评估确认网络可以从下列外部攻击中尽快恢复。尽快恢复。消耗带宽攻击:攻击者发送大量欺骗性数据占用网络带宽达到消耗带宽攻击:攻击者发送大量欺骗性数据占用网络带宽达到拒绝服务
11、的目的。拒绝服务的目的。错误的防火墙规则设置:错误的代理服务和包过滤规则的设置错误的防火墙规则设置:错误的代理服务和包过滤规则的设置是网络安全极大的隐患。是网络安全极大的隐患。将系统置于防火墙之外:尽可能将网络资源置于防火墙内部。将系统置于防火墙之外:尽可能将网络资源置于防火墙内部。6.使用已有的管理和控制结构使用已有的管理和控制结构在审核过程中,可以使用网络中已有的管理和控制结构。在审核过程中,可以使用网络中已有的管理和控制结构。基于网络的管理结构基于网络的管理结构基于主机的管理结构基于主机的管理结构两种管理结构各有优劣,可以根据不同的管理任务进行选择。两种管理结构各有优劣,可以根据不同的管
12、理任务进行选择。简单查询体系结构简单查询体系结构 用户用户代理体系结构代理体系结构风险评估阶段风险评估阶段黑客在入侵攻击网络系统的过程中不外乎三个步骤:黑客在入侵攻击网络系统的过程中不外乎三个步骤:扫描侦查、渗透和控制网络系统。扫描侦查、渗透和控制网络系统。安全审核人员进行审核时也有三个阶段:侦查阶段、安全审核人员进行审核时也有三个阶段:侦查阶段、渗透阶段、控制阶段。渗透阶段、控制阶段。安全审核人员不同于黑客:安全审核人员采用一些安全审核人员不同于黑客:安全审核人员采用一些分析手段评估网络,进而提交报告以增强网络的安分析手段评估网络,进而提交报告以增强网络的安全性。虽然所采用的审核方式、方法跟
13、黑客的入侵全性。虽然所采用的审核方式、方法跟黑客的入侵攻击没有区别。攻击没有区别。侦查阶段侦查阶段-扫描和测试系统的有效安全性扫描和测试系统的有效安全性对网络进行侦查意味着要定位出网络资源的使用的具体情况,对网络进行侦查意味着要定位出网络资源的使用的具体情况,包括包括IP地址、开放端口、网络拓扑等。地址、开放端口、网络拓扑等。实施分析要求对系统逐个检测,下面列出通常的检测项目:实施分析要求对系统逐个检测,下面列出通常的检测项目:已知的服务漏洞已知的服务漏洞缺省安装缺省安装不安全的网络管理不安全的网络管理弱口令弱口令不正确的服务配置不正确的服务配置网络拓扑的缺陷网络拓扑的缺陷 信息泄漏信息泄漏未
14、授权的设备和服务未授权的设备和服务可管理的设备可管理的设备未授权的服务未授权的服务加密机制加密机制额外的用户权限额外的用户权限已知的软件版本漏洞已知的软件版本漏洞侦查阶段的分析工作通常需要大量的时间。侦查阶段的分析工作通常需要大量的时间。渗透阶段渗透阶段-渗透测试渗透测试渗透测试是指在获取用户授权后,通过真实模拟黑客使用的渗透测试是指在获取用户授权后,通过真实模拟黑客使用的工具、分析方法来进行实际的漏洞发现和利用的安全测试方工具、分析方法来进行实际的漏洞发现和利用的安全测试方法。这种测试方法可以非常有效地发现最严重的安全漏洞,法。这种测试方法可以非常有效地发现最严重的安全漏洞,尤其是与全面的代
15、码审核相比,其使用的时间更短,也更有尤其是与全面的代码审核相比,其使用的时间更短,也更有效率。效率。在渗透测试中,将检查各种系统的漏洞,并试图使下列元素在渗透测试中,将检查各种系统的漏洞,并试图使下列元素无效:无效:加密加密密码密码访问列表访问列表 控制阶段控制阶段-控制演示控制演示控制控制-表明一个黑客可以控制网络资源、创建帐号、修改日表明一个黑客可以控制网络资源、创建帐号、修改日志、行使管理员的权限。志、行使管理员的权限。审核人员从不试图控制网络主机,只是通过演示其可以控制审核人员从不试图控制网络主机,只是通过演示其可以控制网络主机来证明现有网络存在的问题。网络主机来证明现有网络存在的问题
16、。在提交报告时,必须提出如何防止黑客获得网络和主机的控在提交报告时,必须提出如何防止黑客获得网络和主机的控制权的建议。制权的建议。差距分析差距分析风险评估中常用的方法有三种:计算系统综合风险,风险评估中常用的方法有三种:计算系统综合风险,差距分析法和量化风险。差距分析法和量化风险。差距分析的方法是风险评估里最常用的一种方法。差距分析的方法是风险评估里最常用的一种方法。差距分析是在风险评估中通过识别、判断和分析目差距分析是在风险评估中通过识别、判断和分析目标系统的安全现状与安全要求之间的差距确定系统标系统的安全现状与安全要求之间的差距确定系统风险的分析方法。风险的分析方法。目标系统的可接受风险和
17、系统残余风险间的差距就目标系统的可接受风险和系统残余风险间的差距就是系统存在的风险。是系统存在的风险。差距分析法模型 差距分析法在运用中通常包括五个步骤差距分析法在运用中通常包括五个步骤1.1.调研目标系统状况调研目标系统状况2.2.确定信息系统安全要求确定信息系统安全要求任务任务a a:确定信息系统安全等级:确定信息系统安全等级任务任务b b:确定和规范化描述信息系统的安全要求:确定和规范化描述信息系统的安全要求3.3.评估信息系统安全现状评估信息系统安全现状任务任务a a:信息系统安全现状评估报告:信息系统安全现状评估报告4.4.对信息安全风险进行差距分析和风险计算对信息安全风险进行差距分
18、析和风险计算任务任务a a:评估信息系统安全现状对信息系统安全要求的符合程度:评估信息系统安全现状对信息系统安全要求的符合程度任务任务b b:对信息系统安全执行能力进行评估,评估信息系统安全:对信息系统安全执行能力进行评估,评估信息系统安全等级,与要达到目标的安全等级等级,与要达到目标的安全等级5.5.用户根据安全风险评估的结果进行风险控制,形成满足其信息用户根据安全风险评估的结果进行风险控制,形成满足其信息系统安全要求的信息系统安全保障能力。系统安全要求的信息系统安全保障能力。划分资产风险等级划分资产风险等级在进行了侦查阶段、渗透阶段和控制阶段后,将根据最在进行了侦查阶段、渗透阶段和控制阶段
19、后,将根据最后的测试结果,并根据国家相关的风险评估标准对各个后的测试结果,并根据国家相关的风险评估标准对各个资产进行风险等级的划分,划分的标准如下表资产进行风险等级的划分,划分的标准如下表:可以采用按照风险数值排序的方法,也可以采用区间划可以采用按照风险数值排序的方法,也可以采用区间划分的方法将风险划分为不同的优先等级,包括将可接受分的方法将风险划分为不同的优先等级,包括将可接受风险与不可接受风险的划分风险与不可接受风险的划分。等等级级标标识识风风险险定定义义5很高很高风险很高,导致系统受到非常严重影响风险很高,导致系统受到非常严重影响4高高风险高,导致系统受到严重影响风险高,导致系统受到严重
20、影响3中中风险中,导致系统受到较重影响风险中,导致系统受到较重影响2低低风险低,导致系统受到一般影响风险低,导致系统受到一般影响1很低很低风险很低,导致系统受到较小影响风险很低,导致系统受到较小影响安全审核需注意的事项安全审核需注意的事项安全审核的要素安全审核的要素安全审核涉及四个基本要素安全审核涉及四个基本要素:1 1控制目标控制目标控制目标是指企业根据具体的计算机应用控制目标是指企业根据具体的计算机应用,结合企业实际情况结合企业实际情况制定出的安全控制要求。制定出的安全控制要求。2 2安全漏洞安全漏洞安全漏洞是指系统的安全薄弱环节安全漏洞是指系统的安全薄弱环节,容易被干扰或破坏的地方容易被
21、干扰或破坏的地方。3 3控制措施控制措施控制措施是指企业为实现其安全控制目标所制定的安全控制控制措施是指企业为实现其安全控制目标所制定的安全控制技术、配置方法及各种规范制度。技术、配置方法及各种规范制度。4.4.控制测试控制测试控制测试是将企业的各种安全控制措施与预定的安全标准进控制测试是将企业的各种安全控制措施与预定的安全标准进行一致性比较,确定各项控制措施是否存在、是否得到执行、行一致性比较,确定各项控制措施是否存在、是否得到执行、对漏洞的防范是否有效,评价企业安全措施的可依赖程度。对漏洞的防范是否有效,评价企业安全措施的可依赖程度。安全标准安全标准1ISO7498-2国际标准组织(国际标
22、准组织(ISO)建立了)建立了7498系列标准来帮助网络实施标准系列标准来帮助网络实施标准化。其中第二个文件化。其中第二个文件7498-2描述了如何确保站点安全和实施有描述了如何确保站点安全和实施有效的审核计划。效的审核计划。2英国标准英国标准7799(BS7799)BS7799论述了如何确保网络系统安全。其中论述了如何确保网络系统安全。其中BS7799-1讨论了讨论了确保网络安全所采取的步骤,确保网络安全所采取的步骤,BS7799-2讨论了在实施信息安全讨论了在实施信息安全管理系统(管理系统(ISMS)时应采取的步骤。)时应采取的步骤。3CommonCriteria(CC)CommonCri
23、teria提供了网络安全解决方案的全球统一标准。提供了网络安全解决方案的全球统一标准。ISO为了统一区域和国家间的安全标准指定了为了统一区域和国家间的安全标准指定了CommonCriteria。获得最高管理者支持获得最高管理者支持任何一个组织,推行任何一套安全管理体系,首先任何一个组织,推行任何一套安全管理体系,首先都必须获得最高管理者的支持。都必须获得最高管理者的支持。在安全审核初期,最高管理者的支持可以表现在以在安全审核初期,最高管理者的支持可以表现在以下方面:下方面:第一,在财务方面提供必要的投资。第一,在财务方面提供必要的投资。第二,配备必要充足的人力资源、分配一定的工作时间于工第二,
24、配备必要充足的人力资源、分配一定的工作时间于工作的推动上。作的推动上。获取客户信息的反馈获取客户信息的反馈来自客户的反馈信息是衡量业绩的重要指标之一,来自客户的反馈信息是衡量业绩的重要指标之一,可以被用来评价网络安全管理体系的总体有效性。可以被用来评价网络安全管理体系的总体有效性。对一个机构进行一次安全审核后要及时地与被审核对一个机构进行一次安全审核后要及时地与被审核机构进行及时的沟通,以了解安全审核的效果。机构进行及时的沟通,以了解安全审核的效果。获得客户反馈的信息,了解到工作中存在哪些不足,获得客户反馈的信息,了解到工作中存在哪些不足,针对不同企业或机构采取不同的审核方式。针对不同企业或机
25、构采取不同的审核方式。2006 VCampus Corporation All Rights Reserved.第二单元第二单元审审 核核 过过 程程检查书面安全策略检查书面安全策略通过对各种策略文档进行阅读和分析,获得通过对各种策略文档进行阅读和分析,获得整个策略文档体系的概貌,并评价策略文档整个策略文档体系的概貌,并评价策略文档体系能否满足安全工作的要求。体系能否满足安全工作的要求。查查看是否有看是否有“风险分析风险分析”项目。项目。查看查看ITIT任务陈述。任务陈述。查看是否有如何实施安全策略以及如何处理破查看是否有如何实施安全策略以及如何处理破 坏行为或不正当行为的说明。坏行为或不正当
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 最新 安全 审核 风险 分析 PPT 课件
![提示](https://www.deliwenku.com/images/bang_tan.gif)
限制150内