信息安全风险评估报告...doc

1111单位:1111系统安全项目

信息安全风险评估报告

我们单位名
日期

报告编写人: 日期 ：

批准人 ：日期 ：

版本号 ：第一版本 日期
第二 版本 日期
终板

目　录
1 概述 3
1.1 项目背景 3
1.2 工作方法 3
1.3 评估范围 3
1.4 基本信息 3
2 业务系统分析 4
2.1 业务系统职能 4
2.2 网络拓扑结构 4
2.3 边界数据流向 4
3 资产分析 5
3.1 信息资产分析 5
3.1.1 信息资产识别概述 5
3.1.2 信息资产识别 5
4 威胁分析 6
4.1 威胁分析概述 6
4.2 威胁分类 7
4.3 威胁主体 7
4.4 威胁识别 7
5 脆弱性分析 8
5.1 脆弱性分析概述 8
5.2 技术脆弱性分析 9
5.2.1 网络平台脆弱性分析 9
5.2.2 操作系统脆弱性分析 9
5.2.3 脆弱性扫描结果分析 9
5.2.3.1 扫描资产列表 9
5.2.3.2 高危漏洞分析 10
5.2.3.3 系统帐户分析 10
5.2.3.4 应用帐户分析 10
5.3 管理脆弱性分析 10
5.4 脆弱性识别 12
6 风险分析 13
6.1 风险分析概述 13
6.2 资产风险分布 13
6.3 资产风险列表 13
7 系统安全加固建议 14
7.1 管理类建议 14
7.2 技术类建议 14
7.2.1 安全措施 14
7.2.2 网络平台 15
7.2.3 操作系统 15
8 制定及确认 16
9 附录A：脆弱性编号规则 17

1 概述
1.1 项目背景
为了切实提高各系统的安全保障水平，更好地促进各系统的安全建设工作，提升奥运保障能力，需要增强对于网运中心各系统的安全风险控制，发现系统安全风险并及时纠正。根据网络与信息安全建设规划，为了提高各系统的安全保障和运营水平，现提出系统安全加固与服务项目。
1.2 工作方法
在本次安全风险评测中将主要采用的评测方法包括：
l Ø人工评测；
l Ø工具评测；
l Ø调查问卷；
l Ø顾问访谈。
1.3 评估范围
此次系统测评的范围主要针对该业务系统所涉及的服务器、应用、数据库、网络设备、安全设备、终端等资产。
主要涉及以下方面：
1) 业务系统的应用环境，；
2) 网络及其主要基础设施，例如路由器、交换机等；
3) 安全保护措施和设备，例如防火墙、IDS等；
4) 信息安全管理体系（ISMS）
1.4 基本信息
被评估系统名称
xx系统
业务系统负责人

评估工作配合人员

2 业务系统分析
2.1 业务系统职能

2.2 网络拓扑结构

图表 1业务系统拓扑结构图
2.3 边界数据流向
编号
边界名称
边界类型
路径系统
发起方
数据流向
现有安全措施
1.
MDN
系统类
MDN
本系统/对端系统
双向
系统架构隔离

3 资产分析
3.1 信息资产分析
3.1.1 信息资产识别概述
资产是风险评估的最终评估对象。在一个全面的风险评估中，风险的所有重要因素都紧紧围绕着资产为中心，威胁、脆弱性以及风险都是针对资产而客观存在的。威胁利用资产自身的脆弱性使得安全事件的发生成为可能，从而形成了风险。这些安全事件一旦发生，将对资产甚至是整个系统都将造成一定的影响。
资产被定义为对组织具有价值的信息或资源，资产识别的目标就是识别出资产的价值，风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在其安全属性——机密性、完整性和可用性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。
资产估价等级
赋值
高
3
中
2
低
1
3.1.2 信息资产识别
资产分类
资产组
IP地址/名称
资产估价等级
组号
资产编号
具体资产
物理资产
服务器
1.
H001
sun ultra60

中
H002
sun ultra60

中
H003
sun ultra60

高
H004
sun ultra60

高
网络设备
2.
N001
华为3680E

中
N002
华为3680E

中
N003
华为S2016

中
软件资产
操作系统、数据库和应用软件
3.
H001
Solaris

高
H002
Solaris

高
H003
Solaris

高
H004
Solaris

高
4.
D001
Sybase

高

4 威胁分析
4.1 威胁分析概述
威胁是指可能对资产或组织造成损害事故的潜在原因。作为风险评估的重要因素，威胁是一个客观存在的事物，无论对于多么安全的信息系统都存在。
威胁可能源于对系统直接或间接的攻击，例如信息泄漏、篡改、删除等，在机密性、完整性或可用性等方面造成损害；威胁也可能源于偶发的、或蓄意的事件。按照威胁产生的来源，可以分为外部威胁和内部威胁：
（1）外部威胁：来自不可控网络的外部攻击，主要指移动的CMNET、其它电信运营商的Internet互联网，以及第三方的攻击，其中互联网的威胁主要是黑客攻击、蠕虫病毒等，而第三方的威胁主要是越权或滥用、泄密、篡改、恶意代码或病毒等。
（2）内部威胁：主要来自内部人员的恶意攻击、无作为或操作失误、越权或滥用、泄密、篡改等。另外，由于管理不规范导致各支撑系统之间的终端混用，也带来病毒泛滥的潜在威胁。
对每种威胁发生的可能性进行分析，最终为其赋一个相对等级值，将根据经验、有关的统计数据来判断威胁发生的频率或者概率。威胁发生的可能性受下列因素影响：
1) 资产的吸引力；
2) 资产转化成报酬的容易程度；
3) 威胁的技术力量；
4) 脆弱性被利用的难易程度。
下面是威胁标识对应表：
威胁等级
赋值
可能带来的威胁
可控性
发生频度
高
3
黑客攻击、恶意代码和病毒等
完全不可控
出现的频率较高（或≥ 1 次/月）；或在大多数情况下很有可能会发生；或可以证实多次发生过。
中
2
物理攻击、内部人员的操作失误、恶意代码和病毒等
一定的可控性
出现的频率中等（或> 1 次/半年）；或在某种情况下可能会发生；或被证实曾经发生过。
低
1
内部人员的操作失误、恶意代码和病毒等
较大的可控性
出现的频率较小；或一般不太可能发生；或没有被证实发生过。
4.2 威胁分类
下面是针对威胁分类对威胁途径的描述，其中不包括物理威胁：
威胁种类
威胁途径
操作错误
合法用户工作失误或疏忽的可能性
滥用授权
合法用户利用自己的权限故意或非故意破坏系统的可能性
行为抵赖
合法用户对自己操作行为否认的可能性
身份假冒
非法用户冒充合法用户进行操作的可能性
密码分析
非法用户对系统密码分析的可能性
安全漏洞
非法用户利用系统漏洞侵入系统的可能性
拒绝服务
非法用户利用拒绝服务手段攻击系统的可能性
恶意代码
病毒、特洛伊木马、蠕虫、逻辑炸弹等感染的可能性
窃听数据
非法用户通过窃听等手段盗取重要数据的可能性
社会工程
非法用户利用社交等手段获取重要信息的可能性
意外故障
系统的组件发生意外故障的可能性
通信中断
数据通信传输过程中发生意外中断的可能性
4.3 威胁主体
下面对威胁来源从威胁主体的角度进行了威胁等级分析：
威胁主体
面临的威胁
系统合法用户
（系统管理员和其他授权用户）
操作错误
滥用授权
行为抵赖
系统非法用户
（权限较低用户和外部攻击者）
身份假冒
密码分析
安全漏洞
拒绝服务
恶意代码
窃听数据
社会工程
系统组件
意外故障
通信中断
4.4 威胁识别
序号
资产编号
操作错误
滥用授权
行为抵赖
身份假冒
密码分析
安全漏洞
拒绝服务
恶意代码
窃听数据
社会工程
意外故障
通信中断
1.
N001
1
2
2
2
3
1
3
1
2
2
1
1
2.
N002
1
2
2
2
3
1
3
1
2
2
1
1
3.
N003
1
2
2
2
3
1
3
1
2
2
1
1
4.
H001
1
1
2
1
1
1
3
1
1
2
1
1
5.
H002
1
1
2
1
1
1
3
1
1
2
1
1
6.
H003
1
1
2
1
1
1
3
1
1
2
1
1
7.
H004
1
1
2
1
1
1
3
1
1
2
1
1
8.
D001
1
1
2
2
2
1
3
1
1
2
1
1
5 脆弱性分析
5.1 脆弱性分析概述
脆弱性是指资产或资产组中能被威胁所利用的弱点，它包括物理环境、组织机构、业务流程、人员、管理、硬件、软件及通讯设施等各个方面，这些都可能被各种安全威胁利用来侵害一个组织机构内的有关资产及这些资产所支持的业务系统。各种安全薄弱环节自身并不会造成什么危害，只有在被各种安全威胁利用后才可能造成相应的危害。需要注意的是不正确的、起不到应有作用的或没有正确实施的安全保护措施本身就可能是一个安全薄弱环节。
这里将对脆弱性被威胁利用的可能性进行评估，最终为其赋相对等级值。
脆弱性等级
赋值
描述
高
3
很容易被攻击者利用，会对系统造成极大损害；
中
2
脆弱项虽然对系统安全有一定影响，但其被利用需要一定难度；
低
1
脆弱项被利用后会对系统产生有限影响；

在脆弱性评估时的数据来源应该是资产的拥有者或使用者，相关业务领域的专家以及软硬件信息系统方面的专业人员。
在本次评估中将从技术、管理两个方面进行脆弱性评估。其中在技术方面主要是通过远程和本地两种方式进行工具扫描、手动检查等方式进行评估，以保证脆弱性评估的全面性和有效性；管理脆弱性评估方面主要是对现有的安全管理制度的制定和执行情况进行检查，发现其中的管理漏洞和不足。
5.2 技术脆弱性分析
5.2.1 网络平台脆弱性分析
华为交换机、路由器设备脆弱性分析，下面按照严重程度高、中、低的顺序排列：
脆弱性编号
脆弱性名称
受影响的资产
严重程度
V30001.
未对super 密码加密

高
V30002.
未进行用户权限设置

高
V30003.
未对VTY的访问限制

中
V30004.
未进行登陆超时设置

中
V30005.
未禁用FTP服务

中
V30006.
未进行日志审计

中
V30007.
未对VTY的数量限制

低

5.2.2 操作系统脆弱性分析
Solaris操作系统脆弱性分析，下面按照严重程度高、中、低的顺序排列：
脆弱性编号
脆弱性名称
受影响的资产
严重程度
V22001.
存在可能无用的组

中
V22002.
存在没有所有者的文件

低
V22003.
不记录登录失败事件

低

5.2.3 脆弱性扫描结果分析
5.2.3.1 扫描资产列表
序号
设备/系统名称
IP地址
扫描策略
是否扫描
1.

网络设备与防火墙
是
2.

网络设备与防火墙
是
3.

solaris系统、solaris应用
是
4.

solaris系统、solaris应用
是
5.

solaris系统、solaris应用
是
6.

solaris系统、solaris应用
是
7.
windows终端

windows系统
是
8.
windows终端

windows系统
是
9.
windows终端

windows系统
是

5.2.3.2 高危漏洞分析
Solaris操作系统高危漏洞如下：
脆弱性
编号
脆弱性名称
受影响的资产
严重程度
V22004.
OpenSSH S/Key 远程信息泄露漏洞

中
V22005.
OpenSSH GSSAPI 信号处理程序内存两次释放漏洞

中
V22006.
OpenSSH复制块远程拒绝服务漏洞

中
5.2.3.3 系统帐户分析
本次扫描未发现系统帐户信息。
5.2.3.4 应用帐户分析
本次扫描未发现应用帐户信息。
5.3 管理脆弱性分析

项目
子项
检查结果
可能危害
安全策略
信息安全策略
是否有针对业务系统的安全策略
有
无
是否传达到相关员工
有
无
是否有复核制度
无明确的复核制度
安全策略与现状不符合，贯彻不力
安全组织
基础组织保障
部门职责分配
有
无
与外部安全机构的合作
合作较少
对最新的安全动态和系统现状的了解不足，不能及时响应最新的安全问题
第三方访问安全
访问控制
外来人员参观机房需要有信息中心专人陪同
无
保密合同
有
无
资产分类与控制
资产分类
资产清单和描述
有
无
资产分类
按业务角度进行分类
无
人员安全
岗位和资源
工作职责
有
无
岗位划分
划分明确
无
能力要求
有，对人员基本能力有明确的技术要求
无
保密协议
签订保密协议
无
培训
定期培训
公司定期培训，无针对本系统的培训
不能完全适合该业务系统的实际情况，缺少针对性
安全意识
员工安全意识比较强
无
事故处理
事故报告制度
有事件报告机制，有明确规定
无
事故事后分析
有
无
纠正机制
有纠正机制
无
通讯与运行管理
操作规程和职责
操作规程文件
有明确的操作规程文件及文档指南
无
安全事故管理责任
有完整流程，并作相应记录
无
内务处理
信息备份
有详细的备份计划
无
保持操作记录
有完善的操作记录
无
故障记录
有
无
系统访问控制
网络访问控制
外联用户控制
有防火墙
无
网络路由控制
有，统一做的
无
网络连接控制
有
无
网络隔离控制
划分vlan
无
应用系统访问控制
用户认证
用户名和密码简单认证模式
未授权用户威胁系统安全
口令管理
有
无
文件共享
无
无
数据库系统访问控制
用户权限控制
有
无
访问权限控制
有
无
口令控制
有
无
日常维护
业务系统监控
有，并且有记录
无
网络监控
有，统一部署的
无
维护文档更新
有
无
系统日志
有
无
业务连续性管理
容灾备份
核心服务器冗余
核心服务器数据库有备份
无
关键链路冗余
有
无
数据库备份
有数据备份
无
技术支持
安全机构支持
有
无
集成商的技术服务和支持
华为
无
证据收集
没有采取收集证据的方式来维护自己的利益
自身利益可能受到损失
安全策略和技术
安全策略
信息系统有安全策略并经常被审查，集团下发的一些东西
无
技术符合性检验
有，定期进行技术审查以确保符合安全实现标准
无

5.4 脆弱性识别
序号
资产编号
操作错误
滥用授权
行为抵赖
身份假冒
密码分析
安全漏洞
拒绝服务
恶意代码
窃听数据
社会工程
意外故障
通信中断
1.
N001
1
2
1
2
3
1
3
1
1
1
1
1
2.
N002
1
2
1
2
3
1
3
1
1
1
1
1
3.
N003
1
2
1
2
3
1
3
1
1
1
1
1
4.
H001
1
1
2
1
1
1
2
1
1
1
1
1
5.
H002
1
1
2
1
1
1
2
1
1
1
1
1
6.
H003
1
1
2
1
1
1
2
1
1
1
1
1
7.
H004
1
1
2
1
1
1
2
1
1
1
1
1
8.
D001
1
1
2
1
1
1
2
1
1
1
1
1

6 风险分析
6.1 风险分析概述
风险是指特定的威胁利用资产的一种或一组脆弱性，导致资产的丢失或损害的潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险只能预防、避免、降低、转移和接受，但不可能完全被消灭。在这个过程中，将根据上面评估的结果，选择适当的风险计算方法或工具确定风险的大小与风险等级，即对每一业务系统的资产因遭受泄露、修改、不可用和破坏所带来的任何影响做出一个风险测量的列表，以便识别与选择适当和正确的风险控制策略，这也将是策划信息安全体系架构的重要步骤。
6.2 资产风险分布

图表 2资产风险分布图
6.3 资产风险列表
根据风险的计算公式函数：R=f(A，T，V)=f(Ia,L(Va,T))，其中R代表风险，A代表资产的估价，T代表威胁，V代表脆弱性。我们得出下表：
序号
资产编号
操作错误
滥用授权
行为抵赖
身份假冒
密码分析
安全漏洞
拒绝服务
恶意代码
窃听数据
社会工程
意外故障
通信中断
1.
N001
3
12
6
12
27
3
27
6
6
3
3
3
2.
N002
3
12
6
12
27
3
27
6
6
3
3
3
3.
N003
3
12
6
12
27
3
27
6
6
3
3
3
4.
H001
3
3
12
3
3
3
18
3
6
3
3
3
5.
H002
3
3
12
3
3
3
18
3
6
3
3
3
6.
H003
3
3
12
3
3
3
18
3
6
3
3
3
7.
H004
3
3
12
3
3
3
18
3
6
3
3
3
8.
D001
3
3
12
6
6
3
18
3
3
6
3
3

7 系统安全加固建议
7.1 管理类建议
编号
脆弱性描述
安全加固建议
1.
缺少明确的复核制度
在安全体系中完善复核制度，明确执行方法
2.
与外部安全机构的合作较少，对最新的安全动态和系统现状的了解不足，不能及时响应最新的安全问题
加强与安全服务商的合作，定期开展培训和系统风险评估与加固工作
3.
在对设备和系统的维护管理中缺少强制使用身份认证和通讯加密的要求
采用SSH等非明文传输的管理工具，并启用认证系统
7.2 技术类建议
7.2.1 安全措施
编号
脆弱性描述
安全加固建议
1.
系统边界缺少安全防护措施
出口链路中增加防火墙进行访问控制和安全隔离
2.
系统边界出口缺少冗余措施
出口链路中增加链路冗余，减少发生通讯故障的风险。
或者对关键设备做冷备
3.
内部骨干链路与核心设备之间缺少冗余措施
骨干链路中增加链路冗余，减少发生通讯故障的风险。
或者对关键设备做冷备
4.
系统的内部网络中缺少入侵检测技术手段
在内部核心交换处部署IDS设备
5.
系统中缺少对流量做监控的技术手段
在关键链路或核心交换处增加流量监控设备
7.2.2 网络平台
华为交换机、路由器设备加固建议：
脆弱性编号
脆弱性描述
安全加固建议
加固风险/条件
V30001.
未对super 密码加密
对super密码进行加密
低风险
V30002.
未进行用户权限设置
设置用户权限
可能会导致部分用户权限不适当
V30003.
未对VTY的访问限制
设置VTY访问限制
可能限制某些用户无法访问
V30004.
未进行登录超时设置
设置登录超时时间
确定超时时间
V30005.
未禁用FTP服务
禁用FTP服务
确定不需要FTP
V30006.
未进行日志审计
进行日志审计
需要日志收集服务器，对设备性能有影响
7.2.3 操作系统
Solaris操作系统安全加固，下面按照严重程度高、中的顺序排列：
脆弱性编号
脆弱性描述
安全加固建议
加固风险/条件
V22001.
存在可能无用的组
删除无用的组
删除某些组可能导致某些应用无法正常运行
V22004
OpenSSH S/Key 远程信息泄露漏洞
安装相应的补丁
某些补丁可能会对应用有影响
V22005
OpenSSH GSSAPI 信号处理程序内存两次释放漏洞
安装相应的补丁
某些补丁可能会对应用有影响
V22006
OpenSSH复制块远程拒绝服务漏洞
安装相应的补丁
某些补丁可能会对应用有影响

8 附录A：脆弱性编号规则
脆弱性编号形式为：Vnnxxx，例如：V10001。脆弱性编号从001开始从小到大顺序编号。对象类别编号按预先定义的清单编写，具体如下：
nn代表对象类别
10
Windows操作系统
20
Linux操作系统
21
AIX操作系统
22
Solaris操作系统
23
HP UNIX操作系统
30
网络交换路由设备
31
防火墙系统
32
安全隔离网闸
33
IDS入侵检测系统
34
网络安全审计系统
35
网络防病毒系统
40
MS SQL数据库系统
41
Oracle数据库系统
42
MySQL 脆弱性编号
43
Informix数据库系统
50
IIS服务器
51
Web Logic服务器
60
应用系统
其中专业理论知识内容包括：保安理论知识、消防业务知识、职业道德、法律常识、保安礼仪、救护知识。作技能训练内容包括：岗位操作指引、勤务技能、消防技能、军事技能。
二．培训的及要求培训目的
安全生产目标责任书
为了进一步落实安全生产责任制，做到“责、权、利”相结合，根据我公司2015年度安全生产目标的内容，现与财务部签订如下安全生产目标：
一、目标值：
1、全年人身死亡事故为零，重伤事故为零，轻伤人数为零。
2、现金安全保管，不发生盗窃事故。
3、每月足额提取安全生产费用，保障安全生产投入资金的到位。
4、安全培训合格率为100%。
二、本单位安全工作上必须做到以下内容：
1、对本单位的安全生产负直接领导责任，必须模范遵守公司的各项安全管理制度，不发布与公司安全管理制度相抵触的指令，严格履行本人的安全职责，确保安全责任制在本单位全面落实，并全力支持安全工作。
2、保证公司各项安全管理制度和管理办法在本单位内全面实施，并自觉接受公司安全部门的监督和管理。
3、在确保安全的前提下组织生产，始终把安全工作放在首位，当“安全与交货期、质量”发生矛盾时，坚持安全第一的原则。
4、参加生产碰头会时，首先汇报本单位的安全生产情况和安全问题落实情况；在安排本单位生产任务时，必须安排安全工作内容，并写入记录。
5、在公司及政府的安全检查中杜绝各类违章现象。
6、组织本部门积极参加安全检查，做到有检查、有整改，记录全。
7、以身作则，不违章指挥、不违章操作。对发现的各类违章现象负有查禁的责任，同时要予以查处。
8、虚心接受员工提出的问题，杜绝不接受或盲目指挥；
9、发生事故，应立即报告主管领导，按照“四不放过”的原则召开事故分析会，提出整改措施和对责任者的处理意见，并填写事故登记表，严禁隐瞒不报或降低对责任者的处罚标准。
10、必须按规定对单位员工进行培训和新员工上岗教育；
11、严格执行公司安全生产十六项禁令，保证本单位所有人员不违章作业。
三、 安全奖惩：
1、对于全年实现安全目标的按照公司生产现场管理规定和工作说明书进行考核奖励；对于未实现安全目标的按照公司规定进行处罚。
2、每月接受主管领导指派人员对安全生产责任状的落