风险评估报告.doc

文档介绍：信安091
陈从熙
2009131000
网络风险评估报告
目录
一、风险评估概念及目的 1
二、风险评估内容说明 1
三、网络安全风险评估的对象 2
四、风险评估的手段 2
2
2
2
3
3
3
五、构建安全的网络体系结构 3
3
4
4
4
六、风险等级分类： 5
威胁严重程度（资产价值）划分表 5
威胁可能性赋值表 5
七、评估步骤： 6
八、风险等级划分： 7
九、风险计算 Y＝F（A，T，V） 7
十、网络安全风险评估模型 7
十、总结 8
一、风险评估概念及目的
随着计算机网络技术的飞速发展和网络覆盖范围的速度扩大，计算机网络问题也日益显得复杂和突出起来。由于计算机网络系统的开放性，以及现有网络协议和软件系统固有的安全缺陷，使任何一种网络系统都不可避免地、或多或少地存在一定的安全隐患和风险。特别是Internet在使用和管理上的无政府状态，使人们在享受网络所带来的方便和效益的同时，也面临着网络全方面的巨大挑战。在网络安全理论的指导下，以风险评析，、安全需求分析为基础，针对教室局域网网络安全体系的设计问题进行分析。
二、风险评估内容说明
网络安全风险分析
在开放的互联网系统中，计算机网络所面临的威胁大体可分为两种：一是对网络中信息的威胁；一是对网络中设备的威胁。影响计算机网络安全的因素很多，如系统存在的漏洞、系统安全体系的缺陷、使用人员薄弱的安全意识及管理制度等，诸多的原因使网络安全面临的威胁日益严重。
三、网络安全风险评估的对象
风险评估丰要从以下四个方面进行：威胁行为，脆弱性、资产、影响。一种影响的因素是前面三者的结果，因此在实际评估中一般从三个方面进行：1．资产评估。这是风险评估过程中的重要因素。资产评估一方面是资产的价值评估，针对有形资产，另一方面是资产的重要性评估，主要是从资产的安全属性分析资产对整个系统运作的影响。评估中需要筛选出重要资产，即可能会威胁到企业运作，政府运行的资产。2．威胁评估。可以借助DIS取样，漏洞模拟攻击、人上评估、策略及文档分析和安全审计等方式，分清哪螳威胁会带来损失，这样一方面可以了解组织信息安全的环境，另一方面同时对安全威胁进行半定量赋值，分别表示强度不同的安全威胁。3．脆弱性评估。安全漏洞是信息资产自身的一种缺陷，漏洞评估包括漏洞信息收集，安全事件信息收集。漏洞扫描，漏洞结果评估等。通过对资产所提供的服务进行漏洞、弱口令的扫描得到结果，根据不同服务在资产中的权重，结合该服务的风险级别，得到最后的资产漏洞风险值。
四、风险评估的手段

通过监听和分析网络数据包来获取有关重要的信息，如重要数据等等。攻击者通过搭线或在电磁波辐射的范围内安装接收装置等方式、截获机密信息，或通过对信息的流向、通信频度和长度等参数的分析，推出有用信息。它破坏传输信息的内容，不容易被察觉。

通过篡改、删除或重放数据包进行信息欺骗。IP欺骗是一种常用的攻击手法，攻击者主要利用了TCP/IP和操作系统