文档介绍：精品文库
欢迎下载
1111单位:1111系统安全项目
信息安全风险评估报告
我们单位名
日期
报告编写人：日期：
批准人：日期：
精品文库
欢迎下载
精品文库估价等级
赋值
高
3
中
2
低
1
精品文库
欢迎下载
资产分类
资产组
IP地址/名称
资产
估价
等级
组号
资产编号
具体资产
物 理 资 产
服务器
1.
H001
sun ultra60
中
H002
sun ultra60
中
H003
sun ultra60
咼
H004
sun ultra60
高
网络设备
2.
N001
华为3680E
中
N002
华为3680E
中
N003
华为S2016
中
软 件 资 产
操作系 统、数据 库和应用 软件
3.
H001
Solaris
咼
H002
Solaris
高
H003
Solaris
高
H004
Solaris
高
4.
D001
Sybase
高
4威胁分析
威胁是指可能对资产或组织造成损害事故的潜在原因。作为风险评估的重要 因素，威胁是一个客观存在的事物，无论对于多么安全的信息系统都存在。
威胁可能源于对系统直接或间接的攻击，例如信息泄漏、篡改、删除等，在 机密性、完整性或可用性等方面造成损害；威胁也可能源于偶发的、或蓄意的事 件。按照威胁产生的来源，可以分为外部威胁和内部威胁：
（1） 外部威胁：来自不可控网络的外部攻击，主要指移动的 CMNET、其它 电信运营商的In ternet互联网，以及第三方的攻击，其中互联网的威胁主要是黑 客攻击、蠕虫病毒等，而第三方的威胁主要是越权或滥用、泄密、篡改、恶意代 码或病毒等。
（2） 内部威胁：主要来自内部人员的恶意攻击、无作为或操作失误、越权 或滥用、泄密、篡改等。另外，由于管理不规范导致各支撑系统之间的终端混用， 也带来病毒泛滥的潜在威胁。
对每种威胁发生的可能性进行分析，最终为其赋一个相对等级值，将根据经 验、有关的统计数据来判断威胁发生的频率或者概率。 威胁发生的可能性受下列
因素影响：
1）资产的吸引力；
精品文库
欢迎下载
威胁
等级
赋 值
可能带来的威胁
可控性
发生频度
高
3
黑客攻击、恶意代码和病毒 等
完全不可控
出现的频率较咼（或》1 次/月）；或在大多数情况 下很有可能会发生；或可 以证实多次发生过。
中
2
物理攻击、内部人员的操作
失误、恶意代码和病毒等
一定的可控性
出现的频率中等（或＞ 1 次/半年）;或在某种情况 下可能会发生；或被证实 曾经发生过。
低
1
内部人员的操作失误、恶意
代码和病毒等
较大的可控性
出现的频率较小；或一般 不太可能发生；或没有被 证实发生过。
4)
脆弱性被利用的难易程度。
F面是威胁标识对应表：
2)
资产转化成报酬的容易程度;
3)
威胁的技术力量;
F面是针对威胁分类对威胁途径的描述，其中不包括物理威胁:
威胁种类
威胁途径
操作错误
合法用户工作失误或疏忽的可能性
滥用授权
合法用户利用自己的权限故意或非故意破坏系统的可 能性
行为抵赖
合法用户对自己操作行为否认的可能性
身份假冒
非法用户冒充合法用户进行操作的可能性
密码分析
非法用户对系统密码分析的可能性
安全漏洞
非法用户利用系统漏洞侵入系统的可能性
拒绝服务
非法用户利用拒绝服务手段攻击系统的可能性
恶意代码
病毒、特洛伊木马、蠕虫、逻辑炸弹等感染的可能性
窃听数据
非法用户通过窃听等手段盗取重要数据的可能性
社会工程
非法用户利用社交等手段获取重要信息的可能性
意外故障
系统的组件发生意外故障的可能性
通信中断
数据通信传输过程中发生意外中断的可能性
F面对威胁来源从威胁主体的角度进行了威胁等级分析:
精品文库
欢迎下载
威胁主体
面临的威胁
系统合法用户
（系统管理员和其他授权用户）
操作错误
滥用授权
行为抵赖
系统非法用户
（权限较低用户和外部攻击者）
身份假冒
密码分析
安全漏洞
拒绝服务
恶意代码
窃听数据
社会工程
系统组件
意外故障
通信中断
序 号
资产编号
操 作 错 误
滥 用 授 权
身 份 假 冒
密