信息安全风险评估报告 VIP专享VIP免费

1111单位:1111系统安全项目信息安全风险评估报告我们单位名日期报告编写人:日期：批准人：日期：版本号：第一版本日期第二版本日期终板目录1概述51.1项目背景51.2工作方法51.3评估范围51.4基本信息52业务系统分析62.1业务系统职能62.2网络拓扑结构62.3边界数据流向63资产分析63.1信息资产分析63.1.1信息资产识别概述63.1.2信息资产识别74威胁分析74.1威胁分析概述74.2威胁分类84.3威胁主体84.4威胁识别95脆弱性分析95.1脆弱性分析概述95.2技术脆弱性分析105.2.1网络平台脆弱性分析105.2.2操作系统脆弱性分析105.2.3脆弱性扫描结果分析105.2.3.1扫描资产列表105.2.3.2高危漏洞分析115.2.3.3系统帐户分析115.2.3.4应用帐户分析118制定及确认错误!未定义书签。9附录A:脆弱性编号规则15.3管理脆弱性分析115.4脆弱性识别136风险分析146.1风险分析概述146.2资产风险分布146.3资产风险列表147系统安全加固建议157.1管理类建议157.2技术类建议157.2.1安全措施157.2.2网络平台167.2.3操作系统161概述1.1项目背景为了切实提高各系统的安全保障水平，更好地促进各系统的安全建设工作，提升奥运保障能力，需要增强对于网运中心各系统的安全风险控制，发现系统安全风险并及时纠正。根据网络与信息安全建设规划，为了提高各系统的安全保障和运营水平，现提出系统安全加固与服务项目。1・2工作方法在本次安全风险评测中将主要采用的评测方法包括：•人工评测；•工具评测；•调查问卷；•顾问访谈。1.3评估范围此次系统测评的范围主要针对该业务系统所涉及的服务器、应用、数据库、网络设备、安全设备、终端等资产。主要涉及以下方面：1）业务系统的应用环境，；2）网络及其主要基础设施，例如路由器、交换机等；3）安全保护措施和设备，例如防火墙、IDS等；4）信息安全管理体系（ISMS）1.4基本信息被评估系统名称XX系统业务系统负责人评估工作配合人员2业务系统分析2.1业务系统职能2.2网络拓扑结构图表1业务系统拓扑结构图2.3边界数据流向编号边界名称边界类型路径系统发起方数据流向现有安全措施1.MDN系统类MDN本系统/对端系统双向系统架构隔离3资产分析3.1信息资产分析3.1.1信息资产识别概述资产是风险评估的最终评估对象。在一个全面的风险评估中，风险的所有重要因素都紧紧围绕着资产为中心，威胁、脆弱性以及风险都是针对资产而客观存在的。威胁利用资产自身的脆弱性使得安全事件的发生成为可能，从而形成了风险。这些安全事件一旦发生，将对资产甚至是整个系统都将造成一定的影响。资产被定义为对组织具有价值的信息或资源，资产识别的目标就是识别出资产的价值，风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在其安全属性——机密性、完整性和可用性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。资产估价等级赋值高3中2低13.1.2信息资产识别资产分类资产组IP地址/名称资产估价等级组号资产编号具体资产物理资服务器1.H001sunultra60中H002sunultra60中H003sunultra60高H004sunultra60高网络设备2.N001华为3680E中N002华为3680E中N003华为S2016中软件资操作系统、数据库和应用软件3.H001Solaris高H002Solaris高H003Solaris高H004Solaris高4.D001Sybase高4威胁分析4.1威胁分析概述威胁是指可能对资产或组织造成损害事故的潜在原因。作为风险评估的重要因素，威胁是一个客观存在的事物，无论对于多么安全的信息系统都存在。威胁可能源于对系统直接或间接的攻击，例如信息泄漏、篡改、删除等，在机密性、完整性或可用性等方面造成损害；威胁也可能源于偶发的、或蓄意的事件。按照威胁产生的来源，可以分为外部威胁和内部威胁：(1)外部威胁：来自不可控网络的外部攻击，主要指移动的CMNET、其它电信运营商的Internet互联网，以及第三方的攻击，其中互联网的威胁主要是黑客攻击、蠕虫病毒等,而第三方的威胁主要是越权或滥用、泄密、篡改、恶意代码或病毒等。(2)内部威胁：主要来自内部人员的恶意攻击、无作为或操作失误、越权或滥用、泄密、篡改等。另外，由于管理不规范导致各支撑系统之间的终端混用，也带来病毒泛滥的潜在威胁。对每种威胁发生的可能性进行分...