Lecture6信息安全测评与风险评估教学课件.ppt

s大风起兮云飞扬安得猛士守四方

信息安全风险评估的原理、方法和规范

交流提纲“天问”简史对比原理方法展望

虚拟空间的困惑

那只“虚拟的苹果”在哪里…“上帝”创造的宇宙空间我们认识，人类创造的网络空间我们却很陌生孙子说“知己知彼百战不殆”，我们是谁？敌人在哪里？如果发生“网络大地震”，谁来营救我们？“圜则九重，孰营度之？”何为风险？“网际空间的人造现象与美国军队从事军事行动的其他空间完全不同。国防部将持续不断的探索网际空间的独有特征的含义，为美军在其中采取军事行动制订相应的政策。”美国国防部《四年防务评估报告》2010年2月

虚拟世界中的“天问”亘古之初，焉有君臣？网络之中，孰敌孰友？倾巢之下，完卵安在？九天之上，何以准绳？

风险评估简史

风险的演化：人类社会的缩影？中世纪Risk：海上贸易引发的法律纠纷七十年代石油危机引发的能源风险八十年代金融衍生品引发的金融风险九十年代PC机及互联网的广泛应用引发的信息安全风险

1995年兰德公司1995年6月3日和1996年3月23日，美国国防部DARPA与RAND公司在美军国防大学等地采用“TheDayAfter…inCyberspace”方法组织了两次信息战战略大演习。飞行控制软件出现故障，AB-340航班坠毁…2000年5月22日…英格兰银行转账系统出现故障2000年5月14日沙特阿拉伯公共电话网中断，肇事者不详2000年5月11日预想事件预想时间网际风暴I演习2006（国家层面）网际风暴II演习2008（洲际层面）网际风暴III演习2010（?层面）

主要标准对比

NISTSP800-30RA的定位：系统开发生命周期（SDLC）过程中，RA如何介入RA方法论：风险评估的方法和9个步骤RA的效果：风险减缓策略、风险控制种类、效费比…RA的实践：最佳实践、RA取得成功的关键要素NISTSP800-30是我国《信息安全风险评估规范》（GB/T20984—2007）的主要参考标准之一（NISTSP800—26已在FY2007/FISMA报告中被撤销）

NIST800-30：三风风险评估报告第九步：结果记录推荐的控制措施第八步：控制建议风险及相关风险水平第七步：风险计算威胁利用可能性、影响级别、已有和计划控制的充分性影响赋值第六步：影响分析（CIA）任务影响分析、资产关键性评估，数据关键性、敏感性可能性赋值第五步：可能性计算威胁源动机、能力，脆弱性特点、目前的控制措施已有的和计划中的控制清单第四步：安全控制分析目前的控制、计划中的控制潜在脆弱性的清单第三步：脆弱性识别以往的风评报告、审计结论、安全需求、安全测试结果威胁报告第二步：威胁识别系统受攻击的历史，来自于情报机关及其它部门的数据系统边界、功能、系统和数据的关键性、系统和数据的敏感性第一步：系统分析软硬件、系统界面、数据、信息、人员、系统任务输出风评步骤输入风险识别风险分析风险报告

NIST800-30与GB/T20984-2007评估准备风险计算接受接受保持现状是残余风险控制否否风险管理是资产识别威胁识别脆弱性识别已有安全措施确认过程文档过程文档过程文档GB/T20984-2007风险评估流程

原理化繁为简

准备识别计算报告一个简化的风险评估流程：准备（Readiness）、识别（Realization）、计算（Calculation）、报告（Report）识别资产威胁漏洞准备资料审核SLA工作计划组队计算威胁概率事件影响风险定级报告整改建议各类文档

工程艺术方法

风险评估准备工作准备工作中要注意的问题相亲：前期交流（成功案例简介、测评机构资质简介、被测系统大致规模、测评服务费用测算…）订婚：服务水平协议SLA（获取详细资料的前提，对方的授权、双方的义务，可和必威体育官网网址协议整合…）甲方礼单：资料审核（明确系统范围、为现场测评制订问卷清单…）乙方礼单：工作计划（案例分析综合组