网络安全风险评估技术原理与应用

1 网络安全风险评估 指依据有关信息安全技术和管理标准,对网络系统的保密性、完整性、可控性和可用性等安全属性进行科学评价的过程 评估内容:涉及网络系统的脆弱性、网络安全威胁以及脆弱性被威胁者利用后所造成的实际影响,并根据... 2. 2 网络安全风险评估要素 网络安全风险评估涉及资产、威胁、脆弱性、安全措施、风险等各个要素,各要素相互作用,资产因为其价值而受到威胁,威胁者利用资产的脆弱性构成威胁。

16.网络安全风险评估技术原理与应用

• 1. 网络安全风险评估概述
  • 1. 网络安全风险评估概念
    • 网络安全风险评估：指依据有关信息安全技术和管理标准，对网络系统的保密性、完整性、可控性和可用性等安全属性进行科学评价的过程，评估内容涉及网络系统的脆弱性、网络安全威胁以及脆弱性被威胁者利用后所造成的实际影响，并根据安全事件发生的可能性影响大小来确认网络安全风险等级。简单地说，网络风险评估就是评估威胁者利用网络资产的脆弱性，造成网络资产损失的严重程度。
    • 网络安全风险值可以等价为安全事件发生的概率（可能性）与安全事件的损失的乘积，即R＝f（Ep，Ev）
  • 2. 网络安全风险评估要素
    • 网络安全风险评估涉及资产、威胁、脆弱性、安全措施、风险等各个要素。资产因为其价值而受到威胁，威胁者利用资产的脆弱性构成威胁。安全措施则对资产进行保护，修补资产的脆弱性，从而降低资产的风险。
  • 3. 网络安全风险评估模式
    • 1||| 自评估。---自己干
    • 2||| 检查评估。---上级发起
    • 3||| 委托评估。---自己委托给第三方专业机构干
• 2. 网络安全风险评估过程
  • 综述
    • 网络安全风险评估工作涉及多个环节，主要包括网络安全风险评估准备、资产识别、威 胁识别、脆弱性识别、已有的网络安全措施分析、网络安全风险分析、网络安全风险处置与管理等
  • 1.网络安全风险评估准备
    • 首要工作是确定评估对象和范围。网络评估范围的界定一般包括：网络系统拓扑结构；网络通信协议；网络地址分配；网络设备；网络服务；网上业务类型与业务信息流程；网络安全防范措施（防火墙、IDS、保安系统等）；网络操作系统；网络相关人员；网络物理环境（如建筑、设备位置）。在这个阶段，最终将生成评估文档《网络风险评估范围界定报告》，该报告是后续评估工作的范围限定。
  • 2.资产识别
    • 资产识别包含“网络资产鉴定”和“网络资产价值估算”两个步骤。网络资产鉴定给出评估所考虑的具体对象，确认网络资产种类和清单，是整个评估工作的基础。常见的网络资产主要分为网络设备、主机、服务器、应用、数据和文档资产等六个方面。
    • “网络资产价值估算”是某一具体资产在网络系统中的重要程度确认。得到资产重要性等级划分表。
    • 网络安全风险评估中，价值估算不是资产的物理实际经济价值，而是相对价值，一般是以资产的三个基本安全属性为基础进行衡量的，即保密性、完整性和可用性。价值估算的结果是由资产安全属性未满足时，对资产自身及与其关联业务的影响大小来决定的。
  • 3.威胁识别
    • 威胁识别是对网络资产有可能受到的安全危害进行分析，一般从威胁来源、威胁途径、威胁能力、威胁效果、威胁意图、威胁频率等方面来分析。
    • 首先是标记出潜在的威胁源，并且形成一份威胁列表，列出被评估的网络系统面临的潜在威胁源。威胁源按照其性质一般可分为自然威胁和人为威胁，其中自然威胁有雷电、洪水、地震、火灾等，而人为威胁则有盗窃、破坏、网络攻击等。对威胁进行分类的方式有多种，针对以上的威胁来源，可以根据其表现形式对威胁进行分类。
    • 威胁途径是指威胁资产的方法和过程步骤，威胁者为了实现其意图，会使用各种攻击方法和工具，如计算机病毒、特洛伊木马、蠕虫、漏洞利用和嗅探程序。通过各种方法的组合，完成威胁实施。
    • 威胁意图是指威胁主体实施威胁的目的。根据威胁者的身份，威胁意图可以分为挑战、情报信息获取、恐怖主义、经济利益和报复。
    • 威胁效果是指威胁成功后，给网络系统造成的影响。一般来说，威胁效果抽象为三种：非法访问、欺骗、拒绝服务。
    • 威胁频率是指出现威胁活动的可能性。一般通过已经发生的网络安全事件、行业领域统计报告和有关的监测统计数据来判断出现威胁活动的频繁程度。
    • 可以对威胁出现的频率进行等级化处理，不同等级分别代表威胁出现的频率的高低。等级数值越大，威胁出现的频率越高。
    • 威胁的可能性赋值通过结合威胁发生的来源、威胁所需要的能力、威胁出现的频率等综合分析而得出判定。
  • 4.脆弱性识别
    • 脆弱性识别是指通过各种测试方法，获得网络资产中所存在的缺陷清单。
    • 脆弱性识别以资产为核心。脆弱性识别的依据是网络安全法律法规政策、国内外网络信息安全标准以及行业领域内的网络安全要求。网络安全法律法规政策用于评估资产所在地的法律合规性风险。对不同环境中的相同弱点，其脆弱性的严重程度是不同的，评估工作人员应从组织安全策略的角度考虑，判断资产的脆弱性及其严重程度。脆弱性识别所采用的方法主要有漏洞扫描、人工检查、问卷调查、安全访谈和渗透测试等。脆弱性严重程度的赋值方法有漏洞扫描、人工检查、问卷调查、安全访谈和渗透测试等。
    • 脆弱性评估工作又可分为技术脆弱性评估和管理脆弱性评估。
  • 5.已有安全措施确认
    • 对评估对象已采取的各种预防性和保护性安全措施的有效性进行确认
  • 6.网络安全风险分析
    • 网络安全风险分析是指在资产评估、威胁评估、脆弱性评估、安全管理评估、安全影响评估的基础上，综合利用定性和定量的分析方法，选择适当的风险计算方法或工具确定风险的大小与风险等级，即对网络系统安全管理范围内的每一个网络资产因遭受泄露、修改、不可用和破坏所带来的任何影响做出一个风险测量的列表，以便识别与选择适当和正确的安全控制方式。通过分析所评估的数据，进行风险值计算。
    • 网络安全风险分析步骤
      • 1||| 对资产进行识别，并对资产的价值进行赋值。
      • 2||| 对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值。
      • 3||| 对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值。
      • 4||| 根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性。
      • 5||| 根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件的损失。
      • 6||| 根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，即网络安全风险值。其中，安全事件损失是指确定已经鉴定的资产受到损害所带来的影响。
    • 网络安全风险分析方法
      • 网络安全风险值的计算方法主要有定性计算方法、定量计算方法、定性和定量综合计算方法。
      • 1）定性计算方法。---主观评估，然后再给出风险计算结果。定性计算方法给出的风险分析结果是：无关紧要、可接受、待观察、不可接受。
      • 2）定量计算方法。风险的量化计算，通常以经济损失、影响范围大小等进行呈现。风险不一定能定量。
      • 3）综合计算方法。结合定性和定量方法，将风险评估的资产、威胁、脆弱性、安全事件损失等各要素进行量化赋值，然后选用合适的计算方法进行风险计算。例如，脆弱性的严重程度量化赋值评估为：5（很高）、4（高）、3（中等）、2（低）、1（很低）。综合计算方法的输出结果是一个风险数值，同时给出相应的定性结论。
    • 网络安全风险计算方法
      • 1||| 相乘法。是将安全事件发生的可能性与安全事件的损失进行相乘运算得到风险值。
      • 2||| 矩阵法。是指通过构造一个二维矩阵，形成安全事件发生的可能性与安全事件的损失之间的二维关系。
  • 网络安全风险处置与管理
    • 略....
• 3. 网络安全风险评估技术方法与工具
  • 1. 资产信息收集
    • 通过调查表形式，查询资产登记数据库，对被评估的网络信息系统的资产信息进行收集，以掌握被评估对象的重要资产分布，进而分析这些资产所关联的业务、面临的安全威胁及存在的安全脆弱性。
  • 2. 网络拓扑发现
    • 用于获取被评估网络信息系统的资产关联结构信息，进而获取资产信息。常见的网络拓扑发现工具有ping、traceroute以及网络管理综合平台。通过网络拓扑结构图，可以方便地掌握网络重要资产的分布状况及相互关联情况。
  • 3. 网络安全漏洞扫描
    • 可以自动搜集待评估对象的漏洞信息，以评估其脆弱性。漏洞扫描内容主要有软件系统版本号、开放端口号、开启的网络服务、安全漏洞情况、网络信息共享情况、密码算法和安全强度、弱口令分布状况等。
  • 4. 人工检查
    • 事先设计好“检查表（CheckList）”
  • 5. 网络安全渗透测试
    • 是指在获得法律授权后，模拟黑客攻击网络系统，以发现深层次的安全问题。其主要工作有目标系统的安全漏洞发现、网络攻击路径构造、安全漏洞利用验证等。
  • 6. 问卷调查
    • 采用书面的形式获得被评估信息系统的相关信息，以掌握信息系统的基本安全状况。问卷调查一般根据调查对象进行分别设计，问卷包括管理类和技术类。
  • 7. 网络安全访谈
    • 考查和证实对网络系统安全策略的实施、规章制度的执行和管理与技术等一系列情况
  • 8. 审计数据分析
    • 审计数据分析通常用于威胁识别，审计分析的作用包括侵害行为检测、异常事件监测、潜在攻击征兆发觉等。审计数据分析常常采用数据统计、特征模式匹配等多种技术，从审计数据中寻找安全事件有关信息。
  • 9. 入侵监测
    • 采集评估对象的威胁信息和安全状态
• 4. 网络安全风险评估项目流程和工作内容
  • 1. 评估工程前期准备
    • 风险评估需求调查是评估工程后续工作开展的前提，其内容包括评估对象确定、评估范围界定、评估的粒度和评估的时间等，必要的、充分的准备是风险评估成功的关键。
    • 评估前期准备工作至少包括以下内容
      • 确定风险评估的需求目标，其中包括评估对象确定、评估范围界定、评估的粒度和评估的时间等；
      • 签订合同和保密协议
      • 成立评估工作组；
      • 选择评估模式。
  • 2. 评估方案设计与论证
    • 评估方案设计依据被评估方的安全需求来制定，需经过双方讨论并论证通过后方可进行下一步工作。评估方案设计主要是确认评估方法、评估人员组织、评估工具选择、预期风险分析、评估实施计划等内容。
  • 3. 评估方案实施
    • 评估方案实施内容主要包括评估对象的基本情况调查、安全需求挖掘以及确定具体操作步骤，评估实施过程中应避免改变系统的任何设置或必须备份系统原有的配置，并书面记录操作过程和相关数据。工作实施应必须有工作备忘录，内容包括评估环境描述、操作的详细过程记录、问题简要分析、相关测试数据保存等。敏感系统的测试，参加评估实施的人员要求至少两人，且必须领导签字批准。
  • 4. 险评估报告撰写
    • 评估报告是风险评估结果的记录文件，是组织实施风险管理的主要依据，是对风险评估活动进行评审和认可的基础资料。
    • 报告内容一般主要包括风险评估范围、风险计算方法、安全问题归纳及描述、风险级数、安全建议等。风险评估报告还可以包括风险控制措施建议、残余风险描述等。
  • 5. 评估结果评审与认可
    • 最高管理层或其委托的机构应组织召开评估工作结束会议，总结评估工作，对风险评估活动进行评审，以确保风险评估活动的适宜、充分和有效。评估认可是单位最高管理者或上级主管机关对风险评估结果的验收，是本次风险评估活动结束的标志。评估项目负责方应将评估工作经验形成书面文字材料，并把评估数据、评估方案、评估报告等相关文档备案处理。
• 5. 网络安全风险评估技术应用
  • 1. 网络安全风险评估应用场景
    • 应用场景主要包括：网络安全规划和设计；网络安全等级保护；网络安全运维与应急响应；数据安全管理与运营。
  • 2. OWASP风险评估方法参考
    • OWASP是一个针对Web应用安全方面的研究组织，其推荐的OWASP风险评估方法分成以下步骤：
    • 步骤一，确定风险类别。
    • 步骤二，评估可能性的因素。
    • 步骤三，评估影响的因素。
    • 步骤四，确定风险的严重程度。
    • 步骤五，决定修复内容。将应用程序的风险分类，获得以优先级排列的修复列表。
    • 步骤六，定制合适的风险评级模型。根据评估对象，调整模型使其与风险评级准确度相一致。例如，可以添加可能性的因素，如攻击者机会窗口、加密算法强度等。根据自身的业务安全需求，增加权重因素调整风险值的计算。
  • 3. ICT供应链安全威胁识别参考
    • ICT是Informationand Communication Technology的缩写。其他略...
  • 4. 工业控制系统平台脆弱性识别参考
    • 工业控制系统平台是由工业控制系统硬件、操作系统及其应用软件组成的。平台脆弱性是由工业控制系统中软硬件本身存在的缺陷、配置不当和缺少必要的维护等问题造成的。平台脆弱性包括平台硬件、平台软件、平台配置和平台管理四个方面的脆弱性。
  • 5. 人工智能安全风险分析参考
    • 人工智能安全是指通过必要措施，防范对人工智能系统的攻击、侵入、干扰、破坏和非法利用以及意外事故，使人工智能系统处于稳定可靠的运行状。人工智能安全风险分析如下:
    • （1）人工智能训练数据安全风险。人工智能依赖于训练数据，若智能计算系统的训练数据污染，则可导致人工智能决策错误。
    • （2）人工智能算法安全风险。智能算法模型脆弱性，使得其容易受到人为闪避攻击、后门攻击。研究人员发现对抗样本生成方法可诱使智能算法识别出现错误判断。
    • （3）人工智能系统代码实现安全风险。人工智能系统和算法都依赖于代码的正确实现。目前，开源学习框架存在未知的安全漏洞，可导致智能系统数据泄露或失控。
    • （4）人工智能技术滥用风险。人工智能技术过度采集个人数据和自动学习推理服务，导致隐私泄露风险增加。
    • （5）高度自治智能系统导致社会安全风险。自动驾驶、无人机等智能系统的非正常运行，可能直接危害人类身体健康和生命安全。