信息系统安全风险评估培训材料.pptx
- 文档编号:30848051
- 上传时间:2024-02-08
- 格式:PPTX
- 页数:52
- 大小:1.65MB
信息系统安全风险评估培训材料.pptx
《信息系统安全风险评估培训材料.pptx》由会员分享,可在线阅读,更多相关《信息系统安全风险评估培训材料.pptx(52页珍藏版)》请在冰豆网上搜索。
通信网络信息安全风险评估培训提纲基础概念相关背景介绍什么是风险评估为什么要风险评估风险评估意义风险评估内容相关术语相关标准风险评估通用流程及具体实施实施要点及示例说明我们的安全形势威胁无处不在威胁无处不在网络网络拒绝服务攻击拒绝服务攻击逻辑炸弹逻辑炸弹特洛伊木马特洛伊木马黑客攻击黑客攻击计算机病毒计算机病毒信息丢失、信息丢失、篡改、销毁篡改、销毁后门、隐蔽通道后门、隐蔽通道怎么办?
怎么办?
-风险评估风险评估n网络面临的最大威胁是什么?
有哪些安全问题?
n什么是最关键的信息资产?
n网络设备是否安全?
操作系统、数据库系统是否安全?
n您需要什么安全技术保障?
风险控制手段?
n采用了哪些安全措施?
是否有效?
n如何应对未来的威胁?
我们的网络有多我们的网络有多安全安全?
如何知道如何知道?
-面临的问题面临的问题风险评估相关概念脆弱性脆弱性/Vulnerability资产资产/Asset存在存在利用利用破坏破坏威胁威胁/Threat风险风险/Risk什么是风险评估什么是风险评估n国信办20065号文件u风险评估(RiskAssessment)是从风险管理角度,运用科学的方法和手段,系统地分析网络与信息系统所面临的威胁及其存在的脆弱性,评估安全事件一旦发生可能造成的危害程度,提出有针对性的抵御威胁的防护对策和整改措施。
并为防范和化解信息安全风险,或者将风险控制在可接受的水平,从而最大限度地为保障网络和信息安全提供科学依据风险评估内容风险评估内容评估内容评估内容管理层面管理层面技术层面技术层面部分相关标准评估项参照标准估资产评ISO17799/BS7799加拿大威和估工作指南胁风险评分析方法风险ISO13335IT管理系列风险分析模型风险AS/NZS4360:
2004管理准风险标算模型计AS/NZS4360:
2004管理准风险标GAO/AIMD-00-33信息安全估风险评估程评过GBT20984-2007信息安全估范风险评规NIST-SP800-26信息技系自估指南术统风险评NIST-SP800-30信息技系管理指南术统风险安全管理工作的估评ISO17799/BS7799ISO13335IT管理系列风险物理安全估评ISO17799/BS7799GB50174-2008子信息系机房范电统设计规安全性网络设备ISO15408(CC)GB17859工信部安全防护系列标准提纲基础概念风险评估流程风险准备资产识别威胁识别脆弱性识别已有安全措施的确认风险分析实施要点及示例说明风险评估流程资产识别资产识别脆弱性识别脆弱性识别威胁识别威胁识别已有安全措施的确认已有安全措施的确认风险分析风险分析风险评估准备风险评估准备实施风险管理实施风险管理风险评估准备n工作内容工作内容风险评估准备n信息安全风险评估方案n检查记录表模板u支撑网安全评测检查记录表业务安全u支撑网安全评测检查记录表网络安全u支撑网安全评测检查记录表主机安全u支撑网安全评测检查记录表应用安全u支撑网安全评测检查记录表数据安全及备份恢复u支撑网安全评测检查记录表物理环境安全u支撑网安全评测检查记录表管理安全u支撑网安全评测检查记录表灾难备份及恢复n调查问卷及其他u需求文档清单u文档交接单u资产调查问卷u资产识别清单u重要资产清单u脆弱性调查问卷u现场配合人员名单工作输出工作输出风险评估流程资产识别资产识别脆弱性识别脆弱性识别威胁识别威胁识别已有安全措施的确认已有安全措施的确认风险分析风险分析风险评估准备风险评估准备实施风险管理实施风险管理n主要任务主要任务资产识别信息搜集资产分资产类资产赋值n资产类别(包括路由器、交机等)网络设备换安全(包括防火、入侵系、防病毒件等)设备墙检测统软主机(包括服器、务PC端等)终机房及相施关设(如UPS、禁、火器、门灭温湿计)重要据(如据、用信息据、用)数计费数户数户帐单管理制度及文档人员资产分类n安全属性赋值资产赋值社影力会响价业务值可用性资产赋值(示例)风险评估流程资产识别资产识别脆弱性识别脆弱性识别威胁识别威胁识别已有安全措施的确认已有安全措施的确认风险分析风险分析风险评估准备风险评估准备实施风险管理实施风险管理威胁识别主要任务:
主要任务:
-系、及其成潜在破坏能力的可能性因素或识别对统组织资产构者事件-威出率(威)胁现频赋值简称胁赋值威胁赋值通被估象体的史故障告或,各生的威和其生率;过评对历报记录统计种发过胁发频通管或安全管理系的据和分析;过网统数统计通整社同行近年曾生的威据均过个会业来发过胁统计数值。
赋值方法判断威胁出现频率,需要结合以下三个方面:
威胁赋值资产识别资产识别脆弱性识别脆弱性识别威胁识别威胁识别已有安全措施的确认已有安全措施的确认风险分析风险分析风险评估准备风险评估准备实施风险管理实施风险管理风险评估流程脆弱性识别n主要任务-查找脆弱性-脆弱性严重程度赋值(简称脆弱性赋值)访谈勘察现场漏洞描扫渗透测试人工审计-文档检查-控制台审计以前的和估果审计评结脆弱性识别相关方法脆弱性识别方法-访谈n访谈可以采取现场访谈的方式,也可以采取调查问卷的方式,通常是两种方式的结合n通过一套审计问题列表问答的形式对企业信息资产所有人和管理人员进行访谈信息安全现状总体评估0246810信息安全管理组织信息安全管理风险信息安全管理制度信息安全督审计监人信息安全控制员第三方安全控制访问系建安全控制统设系安全控制统运维物理和境安全控制环安全控制网络操作系统、据数库与基信息系础统安全控制用系安全控制应统面系安全控制桌统脆弱性识别方法-漏洞扫描n多种扫描工具优化组合n扫描内容服端口放情务与开况枚举帐号/组弱口令检测各系、服和漏洞种统务协议脆弱性识别方法-渗透测试n什么是渗透测试u模拟黑客对网络中的核心服务器及重要的网络设备,包括服务器、网络设备、防火墙等进行非破坏性质的攻击行为,以发现系统深层次的漏洞,并将整个过程与细节报告给用户。
n渗透测试的必要性u工具描存在一定的率和漏率,且不能高次、扫误报报并发现层复、且相互的安全;杂并关联问题u渗透可以性更强、更深次的弱点,同渗透测试发现逻辑层时测试可以漏洞描果行;对扫结进验证n渗透测试难点u者的技能要求很高。
对测试专业渗透测试内容信息泄露:
外服是否暴露了可能被黑客利用的敏感信息对务:
系是否在上存在被黑客利用的业务逻辑测试统业务逻辑设计漏洞:
系是否存在弱口令、身、器存认证测试统绕过份认证浏览缓管理等漏洞管理:
系是否存在劫持、会话测试统会话CSRF等漏洞拒服:
系是否易受绝务测试统DDOS攻击Web服:
务测试SQL注入、跨站脚本AJAX测试渗透测试一般方法程溢出攻远击测试口令破解Web脚本及用(应测试SQL注入、XSS等)本地限提升权测试嗅探听网络监其(社工程等)它会学渗透测试分类黑盒测试(”zero-knowledgetesting”)渗透者完全处于对系统一无所知的状态。
通常,这种类型的测试,最初的信息获取来自DNS、Web、Email及各种公开对外的服务器。
白盒测试测试者可以通过正常渠道向被测单位取得各种资料,包括网络拓扑、员工资料甚至网站或其他程序的代码片段,也能与单位其他员工进行面对面的沟通这类的测试目的是模拟企业内部雇员的越权操作渗透测试一般流程n计划与准备u测试计划u测试准备n侦查分析阶段u信息收集u目标判别u漏洞查找n攻击阶段u获取权限u权限提升uu脆弱性识别方法-人工审计n采用人工审计方式可以对漏洞扫描的结果进行验证和分析,也可以检查某些无法利用工具扫描的内容n人工审计内容人工审计内容网络安全拓扑网络结构子分网划界网络边日志审计流量塞控制网络与拥的安全配置网络设备.主机安全日志审计自主控制功能访问强制控制功能访问目文件限录与权口令置设登置陆设源使用置资设程端口进与关联.人工审计内容(续)专用业务/应用系统安全通安全性讯本地文件存安全性储登程安全性陆过自主控制功能有效性及安全策略配置访问强制控制功能有效性及安全策略配置访问用限户权日志审计限制并发会话数数据安全及备份据安全性数传输据存安全性数储恢功能备份与复据备份数(如用据户帐单备份数)路冗余链硬件冗余(如系机计费统双备份)人工审计内容(续)物理环境安全防震、防、防雨等能力风机房出入安全域隔离区防水防潮防静电防窃和防破坏盗度控制温湿管理安全管理制度制定和布发位置岗设人配员备人用、离员录岗安全意育和培识教训件软开发收测试验审计示例防护要求脆弱性检查要点(HP-UX)检查结果记录当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听;/etc/inet/services/etc/inet/inetd.conf口令应有复杂度要求并定期更换/var/adm/userdb/etc/shadow审计范围应覆盖到服务器上的每个操作系统用户和数据库用户/var/adm/userdb/etc/default/security脆弱性识别工具n扫描工具扫描工具u系统层:
nX-scan、Nessus、极光漏洞扫描系统、天镜漏洞扫描系统u应用层:
nIBMAppscan、Fortify、AcunetixWebVulnerabilityScanneru数据库:
nShadowDataBaseScanner、ISSDatabaseScanneru脆弱性赋值等级标识定义5很高如果被威胁利用,将对资产造成完全损害4高如果被威胁利用,将对资产造成重大损害3中等如果被威胁利用,将对资产造成一般损害2低如果被威胁利用,将对资产造成较小损害1很低如果被威胁利用,对资产造成的损害可以忽略脆弱性赋值表赋值方法赋值方法工作输出工作输出脆弱性列表类型、名称、描述、赋值风险评估流程资产识别资产识别脆弱性识别脆弱性识别威胁识别威胁识别已有安全措施的确认已有安全措施的确认风险分析风险分析风险评估准备风险评估准备实施风险管理实施风险管理已有安全措施确认n安全措施-预防性安全措施-保护性安全措施n主要任务-针对已识别的脆弱性确认已采取的安全措施并记录下来n工作输出-已有安全措施确认表风险评估流程资产识别资产识别脆弱性识别脆弱性识别威胁识别威胁识别已有安全措施的确认已有安全措施的确认风险分析风险分析风险评估准备风险评估准备实施风险管理实施风险管理风险分析流程保持已有安全措施保持已有安全措施提出风险处理计划提出风险处理计划是否接受风险是否接受风险风险计算风险计算是是否否风险阈值风险阈值风险计算n风险计算方法、威胁出现的频率脆弱性的严重程度资产价值风险值威胁识别脆弱性识别资产识别安全事件的可能性安全事件的损失存在的脆弱性风险计算n风险计算方法(续)u相乘法:
风险值资产价值x威胁值x脆弱性值风险阈值的确定n风险阈值是风险是否可接受的判断依据n确定方法对象的安全等级1级2级3.1级3.2级4级5级风险阈值(风险值大于此阈值的风险视为不可接受)设备类风险(包括设备、机房、数据、网络)60452515105人员类风险906040302010管理制度、文档类风险80503020105风险处理建议n主要任务n风险处理方式降低风险用适的控制措施应当(防性措施、保性措施预护)接受风险由于投入高和收效不明过显避免风险因的代价太高,不允行生的活为风险许执会产风险动移转风险嫁第三方(保、供商)转给险应不可接受提出控制的安全建对风险风险议提纲基础概念风险评估通用流程及具体实施实施要点及示例说明成功实施要点n评估范围确定n分析方法及计算方法的选择n建立良好的沟通氛围n适当的评估工具选择及操作策略n数据、报告应务必做到准确、详尽、规范,可溯n整个过程应遵循风险评估原则安全风险评估工作重点n管理与技术并重三分技术、七分管理管理工作重视程度不够,比较容易忽视风险评估工作的持续性n做了风险评估,但不代表没有任何隐患了或者不存在被入侵的可能。
n不管操作系统如何更新换代,总会有漏洞;不管安全措施多么完善,总会有黑客和病毒。
此外,信息系统的网络结构和系统设置不是一成不变的。
再有,黑客技术和攻击手段一直在不断发展,曾经安全的信息系统很可能变得不堪一击。
谢谢!
Thanks!
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息系统安全 风险 评估 培训 材料