《信息安全工程与管理(第二版)》 课件 第8章_信息安全风险评估.ppt

8.7风险评估工具8.7.2信息基础设施风险评估工具信息基础设施风险评估工具，主要用于对信息系统的主要部件（例如操作系统、数据库系统、网络设备等）的脆弱性进行分析，或实施基于脆弱性的攻击。脆弱性扫描工具：Nmap、X-scan、Nessus和Fluxay等。渗透性测试工具：CoreImpact、Canvas和Metasploit等。8.7风险评估工具8.7.3风险评估辅助工具在风险评估过程中，可以利用一些辅助性的工具和方法来收集评估所需要的数据和资料，帮助完成风险的现状分析和趋势分析。国家漏洞库、专业机构发布的漏洞与威胁统计数据检查列表入侵检测系统、态势感知系统安全审计工具拓朴发现工具资产信息收集系统机房检测工具其他：用于评估过程参考的评估指标库、知识库、漏洞库、算法库、模型库等8.7风险评估工具8.7.4风险评估工具的选择选择与使用风险评估工具时应考虑：所提供的依据、方法和功能应符合信息安全方针，并与风险评估的方法相适应。在满足选择可靠的、成本有效的控制措施同时，能够对评估的结果形成清晰、无歧义、精确的报告。提供数据收集、分析和输出功能，并保存和维护历史记录。要与信息系统中的硬件和软件协调和兼容。具有充分的使用培训和相关的帮助文件，保证相关工具的安装和使用过程的安全。本章总结风险评估是用来了解信息系统的安全状况，估计威胁发生的可能性，计算因为脆弱性影响而受到攻击的潜在损失，并帮助选择安全防护控制措施，将风险降低到可接受的程度，提高信息安全保障能力。资产、威胁、脆弱性、安全措施、安全风险构成了风险评估的基本要素。风险值计算涉及资产、威胁和脆弱性，并由计算得出的安全事件发生的可能性和安全事件的影响来确定风险值。选择评估方法和工具时，应遵循相关原则。*（1）可控性原则。包括人员可控（资格审查备案与工作确认）、工具可控（风险评估工具的选择，以及对相关方的知会）、项目过程可控（重视项目的管理沟通，运用项目管理科学方法）。（2）可靠性原则。要求风险评估要参考有关的信息安全标准和规定，例如《信息安全技术—信息安全风险评估方法》（GB/T20984—2022）等，做到有据可查。（3）完整性原则。严格按照委托单位的评估要求和指定的范围进行全面的信息安全风险评估服务。（4）最小影响原则。风险评估工作不能妨碍组织的正常业务活动，应从系统相关的管理和技术层面，力求将风险评估过程的影响降低到最小。（5）时间与成本有效原则。风险评估过程花费的时间和成本应该具有合理性。（6）必威体育官网网址原则。受委托的评估方要对评估过程进行必威体育官网网址，应与委托的被评估方签署相关的必威体育官网网址和非侵害性协议，未经允许不得将数据泄露给任何其他组织和个人。*风险评估围绕着资产、威胁、脆弱性和安全措施等基本要素展开。风险要素之间存在着以下关系：（1）风险要素的核心是资产，而资产存在脆弱性。（2）安全措施的实施通过降低资产脆弱性被威胁利用难易程度，抵御外部威胁，以实现对资产的保护。（3）威胁通过利用资产存在的脆弱性导致风险。（4）风险转化成安全事件后，会对资产的运行状态产生影响。进行风险评估时，要综合考虑资产、脆弱性、威胁和安全措施等基本要素，采用以“保业务资产”为核心、“御威胁”为牵引的风险评估方法。*从总体上看，风险评估过分为四个阶段，第一阶段为风险评估准备，包括确定风险评估的目标、对象、范围和边界，组建评估团队，前期调研，确定评估依据，建立风险评价准则，制定评估方案；第二阶段是风险识别，包括资产识别、威胁识别、已有安全措施识别和脆弱性识别；第三阶段是风险分析，依据识别的结果计算得到风险值；第四阶段是风险评价，依据风险评价准则确定风险等级。沟通与协商、评估过程文档的管理贯穿于整个风险评估过程。风险评估工作是持续性的活动。当风险评估对象的政策环境、外部威胁环境、业务目标、安全目标等发生变化时，应重新开展风险评估。风险评估的结果能够为风险管理（包括接受风险、规避风险、转移风险、降低风险等）提供决策支撑。*通过风险计算，位于主要“很高风险”区域的风险对组织的安全水平有着显著的影响，是应当主要加以控制的风险；位于“高风险”区域的风险要加以控制；位于“中等风险”和“低风险”区域的风险要根据组织的接受风险的能力适当加以控制；位于“很低风险”区域的风险只要是处于组织可接受的水平，一般可以忽略。**风险评估文档是指在整个风险评估过程中产生的评估过程文档和评估结果文档，至少包括以下文档：（1）风险评估方案：阐述风险评估的目标、范围、人员、评估方法、评估结果的形式和实施进度等。（2）风险评估程序：明确评估的目的、职责、过程、相关的文档要求，以及实施本次评估所需要的各种