網(wǎng)絡(luò)安全風險評估概念

網(wǎng)絡(luò)安全風險評估(簡稱“網(wǎng)絡(luò)風險評估”)就是指依據(jù)有關(guān)信息安全技術(shù)和管理標準，對網(wǎng)絡(luò)系統(tǒng)的保密性、完整性、可控性和可用性等安全屬性進行科學(xué)評價的過程，評估內(nèi)容涉及網(wǎng)絡(luò)系統(tǒng)的脆弱性、網(wǎng)絡(luò)安全威脅以及脆弱性被威脅者利用后所造成的實際影響，并根據(jù)安全事件發(fā)生的可能性影響大小來確認網(wǎng)絡(luò)安全風險等級。

網(wǎng)絡(luò)安全風險評估要素

網(wǎng)絡(luò)安全風險評估涉及資產(chǎn)、威脅、脆弱性、安全措施、風險等各個要素，各要素之間相互作用。資產(chǎn)因為其價值而受到威脅，威脅者利用資產(chǎn)的脆弱性構(gòu)成威脅。安全措施則對資產(chǎn)進行保護，修補資產(chǎn)的脆弱性，從而降低資產(chǎn)的風險。

網(wǎng)全風險評估模式

根據(jù)評估方與被評估方的關(guān)系以及網(wǎng)絡(luò)資產(chǎn)的所屬關(guān)系，風險評估模式有自評估、檢查評估、委托評估三種類型。

網(wǎng)絡(luò)安全風險評估過程

網(wǎng)絡(luò)安全風險評估的環(huán)節(jié)，主要包括:網(wǎng)絡(luò)安全風險評估準備、資產(chǎn)識別、威脅識別、脆弱性識別、已有的網(wǎng)絡(luò)安全措施分析、網(wǎng)絡(luò)安全風險分析、網(wǎng)絡(luò)安全風險處置與管理等。

網(wǎng)絡(luò)安全風險評估準備

網(wǎng)絡(luò)安全風險評估準備的首要工作是確定評估對象和范圍。網(wǎng)絡(luò)評估范圍的界定一般包括如下內(nèi)容

網(wǎng)絡(luò)系統(tǒng)拓撲結(jié)構(gòu); 網(wǎng)上業(yè)務(wù)類型與業(yè)務(wù)信息流程;

網(wǎng)絡(luò)通信協(xié)議; 網(wǎng)絡(luò)安全防范措施(防火墻、IDS、保安系統(tǒng)等);

網(wǎng)絡(luò)地址分配; 網(wǎng)絡(luò)操件系統(tǒng);

網(wǎng)絡(luò)設(shè)備; 網(wǎng)絡(luò)相關(guān)人員;

網(wǎng)絡(luò)服務(wù); 網(wǎng)絡(luò)物理環(huán)境(如建筑、設(shè)備位置)。

在這個階段，最終將生成評估文檔《網(wǎng)絡(luò)風險評估范圍界定報告》，該報告是后續(xù)評估工作的范圍限定。

資產(chǎn)識別

資產(chǎn)識別包含“網(wǎng)絡(luò)資產(chǎn)鑒定”和“網(wǎng)絡(luò)資產(chǎn)價值估算”兩個步驟。

“網(wǎng)絡(luò)資產(chǎn)鑒定”給出評估所考慮的具體對象，確認網(wǎng)絡(luò)資產(chǎn)種類和清單，是整個評估工作的基礎(chǔ)。常見網(wǎng)絡(luò)資產(chǎn):網(wǎng)絡(luò)設(shè)備、主機、服務(wù)器、應(yīng)用、數(shù)據(jù)、文檔。

“網(wǎng)絡(luò)資產(chǎn)價值估算”是某一具體資產(chǎn)在網(wǎng)絡(luò)系統(tǒng)中的重要程度確認。組織可以按照自己的實際情況，將資產(chǎn)按其對于業(yè)務(wù)的重要性進行賦值，得到資產(chǎn)重要性等級劃分表。

威脅識別

威脅識別是對網(wǎng)絡(luò)資產(chǎn)有可能受到的安全危害進行分析，一般從威脅來源、威脅途徑、威脅能力、威脅效果、威脅意圖、威脅頻率等幾個方面來分析。

威脅來源按照其性質(zhì)一般可分為自然威脅和人為威脅。

威脅途徑:指威脅資產(chǎn)的方法和過程步驟，威脅者為了實現(xiàn)其意圖，會使用各種攻擊方法和工具，如計算機病毒、特洛伊木馬、蠕蟲、漏洞利用和嗅探程序。

威脅效果:威脅成功后，給網(wǎng)絡(luò)系統(tǒng)造成的影響。一般威脅效果為: 非法訪問、欺騙、拒絕服務(wù)

威脅意圖:威脅主體實施威脅的目的。

威脅頻率:出現(xiàn)威脅活動的可能性。

脆弱性識別

脆弱性識別是指通過各種測試方法，獲得網(wǎng)絡(luò)資產(chǎn)中所存在的缺陷清單，這些缺陷會導(dǎo)致對信息資產(chǎn)的非授權(quán)訪問、泄密、失控、破壞或不可用、繞過已有的安全機制，缺陷的存在將會危及網(wǎng)絡(luò)資產(chǎn)的安全。

脆弱性評估工作可分為:技術(shù)脆弱性評估和管理脆弱性評估。

技術(shù)脆弱性評估: 技術(shù)脆弱性評估主要從現(xiàn)有安全技術(shù)措施的合理性和有效性方面進行評估。

管理脆弱性評估:管理脆弱性評估從網(wǎng)絡(luò)信息安全管理上分析評估存在的安全弱點，并標識其嚴重程度。

已有安全措施確認

對評估對象已采取的各種預(yù)防性和保護性安全措施的有效性進行確認，評估安全措施能否防止脆弱性被利用，能否抵御已確認的安全威脅。

網(wǎng)絡(luò)安全風險分析

網(wǎng)絡(luò)安全風險分析是指在資嚴評估、威脅評估、脆弱性評估、安全管理評估、安全影響評估的基礎(chǔ)上，綜合利用定性和定量的分析方法，選擇適當?shù)娘L險計算方法或工具確定風險的大小與風險等級，通過分析所評估的數(shù)據(jù)，進行風險值計算。

1.網(wǎng)絡(luò)交全風險分析步驟

步驟一，對資產(chǎn)進行識別，并對資產(chǎn)的價值進行賦值。

步驟二，對威脅進行識別，描述威脅的屬性，并對威脅出現(xiàn)的頻率賦值。

步驟三，對脆弱性進行識別，并對具體資產(chǎn)的脆弱性的嚴重程度賦值。

步驟四，根據(jù)威脅及威脅利用脆弱性的難易程度判斷安全事件發(fā)生的可能性。

步驟五，根據(jù)脆弱性的嚴重程度及安全事件所作用的資產(chǎn)的價值計算安全事件的損失。

步驟六，根據(jù)安全事件發(fā)生的可能性以及安全事件出現(xiàn)后的損失，計算安全事件一旦發(fā)生對組織的影響，即網(wǎng)絡(luò)安全風險值。其中，安全事件損失是指確定已經(jīng)鑒定的資產(chǎn)受到損害所帶來的影響。

2.網(wǎng)絡(luò)安全風險分析方法

網(wǎng)絡(luò)安全風險值的計算方法主要有定性計算方法、定量計算方法、定性和定量綜合計算方法。

3.網(wǎng)絡(luò)安全風險計算方法

1)相乘法

相乘法:事件可能性X事件損失=風險值

以資產(chǎn)A1 為例使用相乘法來計算出網(wǎng)絡(luò)安全風險值約定使用計算公式

并對計算值進行四舍五入取整得到最終值。

2)矩陣法

矩陣法是指通過構(gòu)造一個二維矩陣，形成安全事件發(fā)生的可能性與安全事件的損失之間的二維關(guān)系。

網(wǎng)絡(luò)安全風險處置與管理

對不可接受的相關(guān)風險，應(yīng)根據(jù)導(dǎo)致該風險的脆弱性制定風險處理計劃。風險處理計劃內(nèi)容，中明確應(yīng)采取的彌補弱點的安全措施、預(yù)期效果、實施條件、進度安排、責任部門等。安全措施的選擇從管理與技術(shù)兩個方面考慮。

為確保安全措施的有效性，一般要進行再評估，以判斷實施安全措施后的風險是否已經(jīng)降低到可接受的水平。殘余風險的評估可按照風險評估流程實施，也可做適當裁減。

網(wǎng)絡(luò)安全風險評估技術(shù)方法與工具

資產(chǎn)信息收集

通過調(diào)查表形式，查詢資產(chǎn)登記數(shù)據(jù)庫，對被評估的網(wǎng)絡(luò)信息系統(tǒng)的資產(chǎn)信息進行收集，以掌握被評估對象的重要資產(chǎn)分布，進而分析這些資產(chǎn)所關(guān)聯(lián)的業(yè)務(wù)、面臨的安全威脅及存在的安全脆弱性。

網(wǎng)絡(luò)拓撲發(fā)現(xiàn)

網(wǎng)絡(luò)拓撲發(fā)現(xiàn)工具用于獲取被評估網(wǎng)絡(luò)信息系統(tǒng)的資產(chǎn)關(guān)聯(lián)結(jié)構(gòu)信息，進而獲取資產(chǎn)信息。常見的網(wǎng)絡(luò)拓撲發(fā)現(xiàn)工具有 ping、traceroute 以及網(wǎng)絡(luò)管理綜合平臺。

網(wǎng)絡(luò)安全漏洞掃描

網(wǎng)絡(luò)安全漏洞掃描可以自動搜集待評估對象的漏洞信息，以評估其脆弱性。漏洞掃描內(nèi)容主要有軟件系統(tǒng)版本號、開放端口號、開啟的網(wǎng)絡(luò)服務(wù)、安全漏洞情況、網(wǎng)絡(luò)信息共享情況、密碼算法和安全強度、弱口令分布狀況等。

人工檢查

人工檢查是通過人直接操作評估對象以獲取所需要的評估信息。一般進行人工檢查前，要事先設(shè)計好“檢查表(Check List)”，然后評估工作人員按照“檢查表”進行查找，以發(fā)現(xiàn)系統(tǒng)中的網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、客戶機等所存在的漏洞和威脅。

網(wǎng)絡(luò)安全滲透測試

網(wǎng)絡(luò)安全滲透測試是指在獲得法律授權(quán)后，模擬黑客攻擊網(wǎng)絡(luò)系統(tǒng)，以發(fā)現(xiàn)深層次的安全問題。其主要工作有目標系統(tǒng)的安全漏洞發(fā)現(xiàn)、網(wǎng)絡(luò)攻擊路徑構(gòu)造、安全漏洞利用驗證等。

問卷調(diào)查

問卷調(diào)查采用書面的形式獲得被評估信息系統(tǒng)的相關(guān)信息，以掌握信息系統(tǒng)的基本安全狀況。

網(wǎng)絡(luò)安全訪談

安全訪談通過安全專家和網(wǎng)絡(luò)系統(tǒng)的使用人員、管理人員等相關(guān)人員進行直接交談以考查和證實對網(wǎng)絡(luò)系統(tǒng)安全策略的實施、規(guī)章制度的執(zhí)行和管理與技術(shù)等一系列情況。

審計數(shù)據(jù)分析

審計數(shù)據(jù)分析通常用于威脅識別，審計分析的作用包括侵害行為檢測、異常事件監(jiān)測、潛在攻擊征兆發(fā)覺等。審計數(shù)據(jù)分析常常采用數(shù)據(jù)統(tǒng)計、特征模式匹配等多種技術(shù)從審計數(shù)據(jù)中尋找安全事件有關(guān)信息。

入侵監(jiān)測

入侵監(jiān)測是威脅識別的重要技術(shù)手段。網(wǎng)絡(luò)安全風險評估人員將入侵監(jiān)測軟件或設(shè)備接入待評估的網(wǎng)絡(luò)中，然后采集評估對象的威脅信息和安全狀態(tài)。

網(wǎng)絡(luò)安全風險評估項目流程和工作內(nèi)容

網(wǎng)絡(luò)安全風險評估流程包括: 評估工程前期準備、評估方案設(shè)計與論證、評估方案實施、評估報告撰寫、評估結(jié)果評審與認可。

評估工程前期準備

評估前期準備工作至少包括以下內(nèi)容：

確定風險評估的需求目標，其中包括評估對象確定、評估范圍界定、評估的粒度和評估的時間等;

簽訂合同和保密協(xié)議;

成立評估工作組;

選擇評估模式

評估方案設(shè)計與論證

評估方案設(shè)計主要是確認評估方法、評估人員組織、評估工具選擇、預(yù)期風險分析、評估實施計劃等內(nèi)容。為確保評估方案的可行性，評估工作小組應(yīng)組織相關(guān)人員討論，聽取各方意見，然后修改評估方案，直至論證通過。

評估方案實施

評估方案實施內(nèi)容主要包括評估對象的基本情況調(diào)查、安全需求挖掘以及確定具體操作步驟，評估實施過程中應(yīng)避免改變系統(tǒng)的任何設(shè)置或必須備份系統(tǒng)原有的配置，并書面記錄操作過程和相關(guān)數(shù)據(jù)。

工作實施應(yīng)必須有工作備忘錄，內(nèi)容包括評估環(huán)境描述、操作的詳細過程記錄、問題簡要分析、相關(guān)測試數(shù)據(jù)保存等。

敏感系統(tǒng)的測試，參加評估實施的人員要求至少兩人，且必須領(lǐng)導(dǎo)簽字批準。

風險評估報告撰寫

評估報告是風險評估結(jié)果的記錄文件，是組織實施風險管理的主要依據(jù)，是對風險評估活動進行評審和認可的基礎(chǔ)資料，因此，報告必須做到有據(jù)可查。

網(wǎng)絡(luò)風險評估報告論、安全現(xiàn)狀描述、資產(chǎn)評估、脆弱性評估、安全管理評估、評估總結(jié)和建議組成。

評估結(jié)果評審與認可

最高管理層或其委托的機構(gòu)應(yīng)組織召開評估工作結(jié)束會議，總結(jié)評估工作，對風險評估活動進行評審，以確保風險評估活動的適宜、充分和有效。

評估認可是單位最高管理者或上級主管機關(guān)對風險評估結(jié)果的驗收，是本次風險評估活動結(jié)束的標志。

網(wǎng)絡(luò)安全風險評估技術(shù)應(yīng)用

ICT供應(yīng)鏈風險管理的主要目標如下：

完整性、保密性、可用性、可控性

ICT供應(yīng)鏈主要面臨惡意篡改、假冒偽劣、供應(yīng)中斷、信息泄露或違規(guī)操作和其他威脅五類安全威脅。

工業(yè)控制系統(tǒng)平臺脆弱性識別:工業(yè)控制系統(tǒng)平臺是由工業(yè)控制系統(tǒng)硬件、操作系統(tǒng)及其應(yīng)用軟件組成的。平臺脆弱性是由工業(yè)控制系統(tǒng)中軟硬件本身存在的缺陷、配置不當和缺少必要的維護等問題造成的。平臺脆弱性包括平臺硬件、平臺軟件、平臺配置、平臺管理四個方面的脆弱性。

人工智能安全風險分析如下:

1.人工智能訓(xùn)練數(shù)據(jù)安全風險。2.人工智能算法安全風險。3.人工智能系統(tǒng)代碼實現(xiàn)安全風險。4.人工智能技術(shù)濫用風險。5.高度自治智能系統(tǒng)導(dǎo)致社會安全風險。