文档介绍：1111单位:1111系统安全项目信息安全风险评估报告我们单位名日期报告编写人:日期:批准人:日期:日期日期版本号:第一版本第二版本终板目录1 概述 5项目背景 5工作方法 5评估范围 5基本信息 52 业务系统分析 6业务系统职能 6网络拓扑结构 6边界数据流向 63 资产分析 6信息资产分析 74 威胁分析 7威胁分析概述 7威胁分类 8威胁主体 8威胁识别 95 脆弱性分析 9脆弱性分析概述 9技术脆弱性分析 扫描资产列表 高危漏洞分析 系统帐户分析 应用帐户分析 11管理脆弱性分析 12脆弱性识别 136 风险分析 14风险分析概述 14资产风险分布 14资产风险列表 157 系统安全加固建议 15管理类建议 15技术类建议 168制定及确认错误!未定义书签。189附录A:,更好地促进各系统的安全建设工作,提升奥运保障能力,需要增强对于网运中心各系统的安全风险控制,发现系统安全风险并及时纠正。根据网络与信息安全建设规划,为了提高各系统的安全保障和运营水平,现提出系统安全加固与服务项目。:人工评测;工具评测;调查问卷;顾问访谈。、应用、数据库、网络设备、安全设备、终端等资产。主要涉及以下方面:1) 业务系统的应用环境,;2) 网络及其主要基础设施,例如路由器、交换机等;3) 安全保护措施和设备,例如防火墙、IDS等;4) 信息安全管理体系(ISMS).。在一个全面的风险评估中,风险的所有重要因素都紧紧围绕着资产为中心,威胁、脆弱性以及风险都是针对资产而客观存在的。威胁利用资产自身的脆弱性使得安全事件的发生成为可能, 从而形成了风险。这些安全事件一旦发生,将对资产甚至是整个系统都将造成一定的影响。资产被定义为对组织具有价值的信息或资源, 资产识别的目标就是识别出资产的价值,风险评估中资产的价值不是以资产的经济价值来衡量, 而是由资产在其安全属性一一机密性、完整性和可用性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。.N001华为3680E中N002华为3680E中N003华为S2016中软件资产操作系统、。 作为风险评估的重要因素,威胁是一个客观存在的事物,无论对于多么安全的信息系统都存在。威胁可能源于对系统直接或间接的攻击,例如信息泄漏、篡改、删除等,在机密性、完整性或可用性等方面造成损害;威胁也可能源于偶发的、或蓄意的事件。按照威胁产生的来源,可以分为外部威胁和内部威胁:(1) 外部威胁:来自不可控网络的外部攻击,、互联网,以及第三方的攻击,其中互联网的威胁主要是黑客攻击、蠕虫病毒等,而第三方的威胁主要是越权或滥用、泄密、篡改、恶意代码或病毒等。(2) 内部威胁:主要来自内部人员的恶意攻击、无作为或操作失误、越权或滥用、泄密、篡改等。另外,由于管理不规范导致各支撑系统之间的终端混用,也带来病毒泛滥的潜在威胁。对每种威胁发生的可能性进行分析,最终为其赋一个相对等级值,将根据经验、有关的统计数据来判断威胁发生的频率或者概率。 威胁发生的可能性受下列因素影响:1)资产的吸引力;2) 资产转化成报酬的容易程度;3) 威胁的技术力量;4) 脆弱性被利用的难易程度。F面是威胁标识对应表:威胁等级赋值可能带来的威胁可控性发生频