- 1、本文档共66页,可阅读全部内容。
- 2、有哪些信誉好的足球投注网站(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
8.7风险评估工具8.7.2信息基础设施风险评估工具信息基础设施风险评估工具,主要用于对信息系统的主要部件(例如操作系统、数据库系统、网络设备等)的脆弱性进行分析,或实施基于脆弱性的攻击。脆弱性扫描工具:Nmap、X-scan、Nessus和Fluxay等。渗透性测试工具:CoreImpact、Canvas和Metasploit等。8.7风险评估工具8.7.3风险评估辅助工具在风险评估过程中,可以利用一些辅助性的工具和方法来收集评估所需要的数据和资料,帮助完成风险的现状分析和趋势分析。国家漏洞库、专业机构发布的漏洞与威胁统计数据检查列表入侵检测系统、态势感知系统安全审计工具拓朴发现工具资产信息收集系统机房检测工具其他:用于评估过程参考的评估指标库、知识库、漏洞库、算法库、模型库等8.7风险评估工具8.7.4风险评估工具的选择选择与使用风险评估工具时应考虑:所提供的依据、方法和功能应符合信息安全方针,并与风险评估的方法相适应。在满足选择可靠的、成本有效的控制措施同时,能够对评估的结果形成清晰、无歧义、精确的报告。提供数据收集、分析和输出功能,并保存和维护历史记录。要与信息系统中的硬件和软件协调和兼容。具有充分的使用培训和相关的帮助文件,保证相关工具的安装和使用过程的安全。本章总结风险评估是用来了解信息系统的安全状况,估计威胁发生的可能性,计算因为脆弱性影响而受到攻击的潜在损失,并帮助选择安全防护控制措施,将风险降低到可接受的程度,提高信息安全保障能力。资产、威胁、脆弱性、安全措施、安全风险构成了风险评估的基本要素。风险值计算涉及资产、威胁和脆弱性,并由计算得出的安全事件发生的可能性和安全事件的影响来确定风险值。选择评估方法和工具时,应遵循相关原则。*(1)可控性原则。包括人员可控(资格审查备案与工作确认)、工具可控(风险评估工具的选择,以及对相关方的知会)、项目过程可控(重视项目的管理沟通,运用项目管理科学方法)。(2)可靠性原则。要求风险评估要参考有关的信息安全标准和规定,例如《信息安全技术—信息安全风险评估方法》(GB/T20984—2022)等,做到有据可查。(3)完整性原则。严格按照委托单位的评估要求和指定的范围进行全面的信息安全风险评估服务。(4)最小影响原则。风险评估工作不能妨碍组织的正常业务活动,应从系统相关的管理和技术层面,力求将风险评估过程的影响降低到最小。(5)时间与成本有效原则。风险评估过程花费的时间和成本应该具有合理性。(6)必威体育官网网址原则。受委托的评估方要对评估过程进行必威体育官网网址,应与委托的被评估方签署相关的必威体育官网网址和非侵害性协议,未经允许不得将数据泄露给任何其他组织和个人。*风险评估围绕着资产、威胁、脆弱性和安全措施等基本要素展开。风险要素之间存在着以下关系:(1)风险要素的核心是资产,而资产存在脆弱性。(2)安全措施的实施通过降低资产脆弱性被威胁利用难易程度,抵御外部威胁,以实现对资产的保护。(3)威胁通过利用资产存在的脆弱性导致风险。(4)风险转化成安全事件后,会对资产的运行状态产生影响。进行风险评估时,要综合考虑资产、脆弱性、威胁和安全措施等基本要素,采用以“保业务资产”为核心、“御威胁”为牵引的风险评估方法。*从总体上看,风险评估过分为四个阶段,第一阶段为风险评估准备,包括确定风险评估的目标、对象、范围和边界,组建评估团队,前期调研,确定评估依据,建立风险评价准则,制定评估方案;第二阶段是风险识别,包括资产识别、威胁识别、已有安全措施识别和脆弱性识别;第三阶段是风险分析,依据识别的结果计算得到风险值;第四阶段是风险评价,依据风险评价准则确定风险等级。沟通与协商、评估过程文档的管理贯穿于整个风险评估过程。风险评估工作是持续性的活动。当风险评估对象的政策环境、外部威胁环境、业务目标、安全目标等发生变化时,应重新开展风险评估。风险评估的结果能够为风险管理(包括接受风险、规避风险、转移风险、降低风险等)提供决策支撑。*通过风险计算,位于主要“很高风险”区域的风险对组织的安全水平有着显著的影响,是应当主要加以控制的风险;位于“高风险”区域的风险要加以控制;位于“中等风险”和“低风险”区域的风险要根据组织的接受风险的能力适当加以控制;位于“很低风险”区域的风险只要是处于组织可接受的水平,一般可以忽略。**风险评估文档是指在整个风险评估过程中产生的评估过程文档和评估结果文档,至少包括以下文档:(1)风险评估方案:阐述风险评估的目标、范围、人员、评估方法、评估结果的形式和实施进度等。(2)风险评估程序:明确评估的目的、职责、过程、相关的文档要求,以及实施本次评估所需要的各种
您可能关注的文档
- 《嵌入式技术入门与实战(基于STM32)》 课程标准.docx
- 《嵌入式技术入门与实战(基于STM32)》 课件 1-嵌入式系统导论和STM32基础.pptx
- 《嵌入式技术入门与实战(基于STM32)》 课件 2-搭建开发环境.pptx
- 《嵌入式技术入门与实战(基于STM32)》 课件 3.1-通用功能IO模块及输出.pptx
- 《嵌入式技术入门与实战(基于STM32)》 课件 3.2-STM32时钟系统与最小系统.pptx
- 《嵌入式技术入门与实战(基于STM32)》 课件 3.3-通用功能IO模块及输入.pptx
- 《嵌入式技术入门与实战(基于STM32)》 课件 3.4-通用功能IO模块-位操作.pptx
- 《嵌入式技术入门与实战(基于STM32)》 课件 4-用好STM32的外部中断.pptx
- 《嵌入式技术入门与实战(基于STM32)》 课件 5-会用STM32的串口通信 .pptx
- 《嵌入式技术入门与实战(基于STM32)》 课件 6.1-STM32定时器应用实战.pptx
- 浙江省临海市白云高级中学2025届高三历史3月月考试题.doc
- 云南拾谷县第一中学2024_2025学年高二物理上学期10月月考试题.doc
- 2025版高考生物总复习第13讲基因的分离定律教案苏教版.doc
- 湖北省黄石实验高中2024_2025学年高一历史下学期期末考试模拟卷.doc
- 通史版2025版高考历史大一轮复习专题七近代化的曲折发展__中日甲午战争至五四运动前4第4讲从维新思想到新文化运动课后达标检测含解析新人教版.doc
- 2024年高考数学考试大纲解读专题04导数及其应用含解析文.doc
- 河南省许汝平九校联盟2024_2025学年高一语文上学期期末考试试题扫描版无答案.doc
- 江西省吉安市吉水县第二中学2024_2025学年高一历史上学期第二次月考试题.doc
- 北京市平谷区2025届高三政治一模考试试题含解析.doc
- 2025届中考物理第四讲物态变化专项复习测试无答案新人教版.docx
最近下载
- 武汉理工大学《高等数学》2022-2023学年第一学期期末试卷及答案.docx
- 《企业财务会计》全套PPT课件.pptx
- 社会体育建设方案-专业教学资源库备选项目材料.pdf VIP
- 美的品牌案例分析.pptx VIP
- 美的案例分析.pptx VIP
- 小学生秋季学期第1-20周国旗下讲话稿(新).pdf
- 边做边学——Dreamweaver CS6网页设计案例教程(第3版)(共12单元)01.ppt VIP
- 武汉理工大学2023-2024学年第1学期《高等数学(上)》期末考试试卷(A卷)附参考答案.pdf
- 清洁生产与循环经济( 第二版) 教学课件 作者 奚旦立徐淑红高春梅 主编 第4章 清洁生产.ppt
- 美的品牌案例分析.pptx VIP
文档评论(0)