信息安全-网络安全风险评估技术原理与应用(二)

一、网络安全风险评估技术方法与工具

1.1 资产信息收集

资产信息收集是网络安全风险评估的重要工作之一。通过调查表形式，查询资产登记数据库，对被评估的网络信息系统的资产信息进行收集，以掌握被评估对象的重要资产分布，进而分析这些资产所关联的业务、面临的安全威胁及存在的安全脆弱性

1.2 网络拓扑发现

用于获取被评估网络信息系统的资产关联结构信息，进而获取资产信息

常见的网络拓扑发现工具：有ping、traceroute以及网络管理综合平台。通过网络拓扑结构图，可以方便地掌握网络重要资产的分布状况及相互关联情况

1.3 网络安全漏洞扫描

可以自动搜集待评估对象的漏洞信息，以评估其脆弱性。一般可以利用多种专业的扫描工具，对待评估对象进行漏洞扫描，并对不同的扫描结果进行交叉验证，形成扫描结果记录

漏洞扫描内容：主要有软件系统版本号、开放端口号、开启的网络服务、安全漏洞情况、网络信息共享情况、密码算法和安全强度、弱口令分布状况等

1.4 人工检查

是通过人直接操作评估对象以获取所需要的评估信息。一般进行人工检查前，要事先设计好“检查表(CheckList)”，然后评估工作人员按照“检查表”进行查找，以发现系统中的网络结构、网络设备、服务器、客户机等所存在的漏洞和威胁。为了做好评估依据，所有的检查操作应有书面的记录材料

1.5 网络安全渗透测试

是指在获得法律授权后，模拟黑客攻击网络系统，以发现深层次的安全问题

主要工作：目标系统的安全漏洞发现、网络攻击路径构造、安全漏洞利用验证等

1.6 问卷调查

采用书面的形式获得被评估信息系统的相关信息，以掌握信息系统的基本安全状况。问卷调查一般根据调查对象进行分别设计，问卷包括管理类和技术类

• 管理调查问卷：涵盖安全策略、安全组织、资产分类和控制、人员安全、业务连续性等，管理调查问卷主要针对管理者、操作人员
• 技术调查问卷：主要包括物理和环境安全、网络通信、系统访问控制和系统开发与维护

1.7 网络安全访谈

安全访谈通过安全专家和网络系统的使用人员、管理人员等相关人员进行直接交谈，以考查和证实对网络系统安全策略的实施、规章制度的执行和管理与技术等一系列情况

1.8 审计数据分析

审计数据分析通常用于威胁识别

审计分析的作用：包括侵害行为检测、异常事件监测、潜在攻击征兆发觉等。审计数据分析常常采用数据统计、特征模式匹配等多种技术，从审计数据中寻找安全事件有关信息

1.9 入侵监测

是威胁识别的重要技术手段。网络安全风险评估人员将入侵监测软件或设备接入待评估的网络中，然后采集评估对象的威胁信息和安全状态

入侵监测软件和设备有许多，按照其用途来划分，可粗略分成主机入侵监测、网络入侵监测、应用入侵监测

二、网络安全风险评估项目流程和工作内容

网络安全风险评估项目的主要工作流程和内容，包括评估工程前期准备、评估方案设计与论证、评估方案实施、评估报告撰写、评估结果评审与认可等

2.1 评估工程前期准备

风险评估需求调查是评估工程后续工作开展的前提，其内容包括评估对象确定、评估范围界定、评估的粒度和评估的时间等，在评估工作开始前一定要签订合同和保密协议，以避免纠纷。由于风险评估活动涉及单位的不同领域和人员，需要多方面的协调，必要的、充分的准备是风险评估成功的关键

评估前期准备工作至少包括以下内容：

• 确定风险评估的需求目标，其中包括评估对象确定、评估范围界定、评估的粒庋和评估的时间等
• 签订合同和保密协议
• 成立评估工作组
• 选择评估模式

2.2 评估方案设计与论证

评估方案设计依据被评估方的安全需求来制定，需经过双方讨论并论证通过后方可进行下一步工作

评估方案设计主要是确认评估方法、评估人员组织、评估工具选择、预期风险分析、评估实施计划等内容

为确保评估方案的可行性，评估工作小组应组织相关人员讨论，听取各方意见，然后修改评估方案，直至论证通过

2.3 评估方案实施

在评估方案论证通过后，才能组织相关人员对方案进行实施

评估方案实施内容：主要包括评估对象的基本情况调查、安全需求挖掘以及确定具体操作步骤，评估实施过程中应避免改变系统的任何设置或必须备份系统原有的配置，并书面记录操作过程和相关数据

工作实施应必须有工作备忘录，内容包括评估环境描述、操作的详细过程记录、问题简要分析、相关测试数据保存等。敏感系统的测试，参加评估实施的人员要求至少两人，且必须领导签字批准

2.4 风险评估报告撰写

根据评估实施情况和所搜集到的信息，如资产评估数据、威胁评估数据、脆弱性评估数据等，完成评估报告撰写

评估报告是风险评估结果的记录文件，是组织实施风险管理的主要依据，是对风险评估活动进行评审和认可的基础资料，因此，报告必须做到有据可查

报告内容：一般主要包括风险评估范围、风险计算方法、安全问题归纳及描述、风险级数、安全建议等。风险评估报告还可以包括风险控制措施建议、残余风险描述等

网络风险评估报告组成：绪论、安全现状描述、资产评估、脆弱性评估、安全管理评估、评估总结和建议

2.5 评估结果评审与认可

最高管理层或其委托的机构应组织召开评估工作结束会议，总结评估工作，对风险评估活动进行评审，以确保风险评估活动的适宜、充分和有效

评估认可是单位最高管理者或上级主管机关对风险评估结果的验收，是本次风险评估活动结束的标志。评估项目负责方应将评估工作经验形成书面文字材料，一并把评估数据、评估方案、评估报告等相关文档备案处理

三、网络安全风险评估技术应用

3.1 网络安全风险评估应用场景

• 网络安全规划和设计
• 网络安全等级保护
• 网络安全运维与应急响应
• 数据安全管理与运营

3.2 OWASP风险评估方法参考

OWASP是一个针对Web应用安全方面的研究组织，其推荐的OWASP风险评估方法分成以下步骤：

1. 确定风险类别：收集攻击者、攻击方法、利用漏洞和业务影响方面的信息，确定评级对象的潜在风险
2. 评估可能性的因素：从攻击者因素、漏洞因素分析安全事件出现的可能性
   1. 攻击者因素：包括技术水平、 动机、机会和成本
   2. 漏洞因素：包括漏洞的发现难易程度、漏洞的利用难易程度、漏洞的公 开程度、漏洞利用后入侵检测
3. 评估影响的因素：评估影响的因素主要有技术影响因素、业务影响因素
   1. 技术影响因素：包括保密性、完整性、可用性、问责性等方面的损失
   2. 业务影响因素：包括金融财务损失、声誉损失、不合规损失、侵犯隐私损失等
4. 确定风险的严重程度：把可能性评估和影响评估放在一起，计算风险的总体严重程度，可能性评估和影响评估分成 0~9 的级别
5. 决定修复内容：将应用程序的风险分类，获得以优先级排列的修复列表。一般规则是首先修复最严重的风险
6. 定制合适的风险评级模型

根据评估对象，调整模型使其与风险评级准确度相一致。例如，可以添加可能性的因素，如攻击者机会窗口、加密算法强度等。根据自身的业务安全需求，增加权重因素调整风险值的计算

3.3 ICT供应链安全威胁识别参考

信息通信技术（ICT）是Information and Communication Technology的缩写

ICT供应链风险管理的主要目标如下：

• 完整性：确保在ICT供应链的所有环节中，产品、系统、服务及其所包含的组件、部件、元器件、数据等不被植入、篡改、替换和伪造
• 保密性：确保ICT供应链上传递的信息不被泄露给未授权者
• 可用性：确保需方对ICT供应链的使用不会被不合理地拒绝
• 可控性：可控性是指需方对ICT产品、服务或供应链的控制能力

ICT供应链主要面临五类安全威胁

1. 恶意篡改
2. 假冒伪劣
3. 供应中断
4. 信息泄露或违规操作
5. 其他威胁

3.4 工业控制系统平台脆弱性识别参考

工业控制系统平台组成：工业控制系统硬件、操作系统及其应用软件

造成平台脆弱性的原因：工业控制系统中软硬件本身存在的缺陷、配置不当和缺少必要的维护等

平台脆弱性包括平台硬件、平台软件、平台配置和平台管理四个方面的脆弱性

3.5 人工智能安全风险分析参考

人工智能安全：是指通过必要措施，防范对人工智能系统的攻击、侵入、干扰、破坏和非法利用以及意外事故，使人工智能系统处于稳定可靠的运行状态，以及遵循人工智能以人为本、权责一致等安全原则，保障人工智能算法模型、数据、系统和产品应用的完整性、保密性、可用性、鲁棒性、透明性、公平性和保护隐私的能力

人工智能安全风险分析如下

• 人工智能训练数据安全风险：人工智能依赖于训练数据，若智能计算系统的训练数据污染，则可导致人工智能决策错误
• 人工智能算法安全风险：智能算法模型脆弱性，使得其容易受到人为闪避攻击、后门攻击。研究人员发现对抗样本生成方法可诱使智能算法识别出现错误判断
• 人工智能系统代码实现安全风险：人工智能系统和算法都依赖于代码的正确实现。目前，开源学习框架存在未知的安全漏洞，可导致智能系统数据泄露或失控
• 人工智能技术滥用风险：人工智能技术过度采集个人数据和自动学习推理服务，导致隐私泄露风险增加
• 高度自治智能系统导致社会安全风险：自动驾驶、无人机等智能系统的非正常运行，可能直接危害人类身体健康和生命安全

---

个人导航：http://xqnav.top/