安全风险评估报告
系统名称:xxxxxxxxxxx
送检单位:xxxxxxxxxxxxxxxxxxxx
合同编号:
评估时间:2011年10月10日~2011年10月25日
目录
报告声明............................................................ 委托方信息.......................................................... 受托方信息.......................................................... 风险评估报告单......................................................
1.风险评估项目概述.................................................
1.1.建设项目基本信息..............................................
1.2.风险评估实施单位基本情况......................................
1.3.风险评估活动概述..............................................
风险评估工作组织过程.......................................
风险评估技术路线...........................................
依据的技术标准及相关法规文件...............................
2.评估对象构成.....................................................
2.1.评估对象描述..................................................
2.2.网络拓扑结构..................................................
2.3.网络边界描述..................................................
2.4.业务应用描述..................................................
2.5.子系统构成及定级..............................................
3.资产调查.........................................................
3.1.资产赋值......................................................
3.2.关键资产说明..................................................
4.威胁识别与分析...................................................
4.1.关键资产安全需求..............................................
4.2.关键资产威胁概要..............................................
4.3.威胁描述汇总..................................................
4.4.威胁赋值......................................................
5.脆弱性识别与分析.................................................
5.1.常规脆弱性描述................................................
管理脆弱性.................................................
网络脆弱性.................................................
系统脆弱性.................................................
应用脆弱性.................................................
数据处理和存储脆弱性.......................................
灾备与应急响应脆弱性.......................................
物理脆弱性.................................................
5.2.脆弱性专项检查................................................
木马病毒专项检查...........................................
服务器漏洞扫描专项检测.....................................
安全设备漏洞扫描专项检测...................................
5.3.脆弱性综合列表................................................
6.风险分析.........................................................
6.1.关键资产的风险计算结果........................................
6.2.关键资产的风险等级............................................
风险等级列表...............................................
风险等级统计...............................................
基于脆弱性的风险排名.......................................
风险结果分析...............................................
7.综合分析与评价...................................................
7.1.综合风险评价..................................................
7.2.风险控制角度需要解决的问题....................................
8.整改意见.........................................................
9.注意事项.........................................................
1.威胁识别与分析1.1.关键资产安全需求
1.2.关键资产威胁概要
威胁是一种客观存在的,对组织及其资产构成潜在破坏的可能性因素,通过对“xxxxxxxxxxxxxxxxxxxx信息系统”关键资产进行调查,对威胁来源(内部/外部;主观/不可抗力等)、威胁方式、发生的可能性等进行分析,如下表所示:
1.3.威胁描述汇总
1.4.威胁赋值
2.脆弱性识别与分析
2.1.常规脆弱性描述
2.1.1.管理脆弱性
?….。
2.1.2.网络脆弱性
?….。
2.1.
3.系统脆弱性
?….。
2.1.4.应用脆弱性
?…..
2.1.5.数据处理和存储脆弱性
?…..
2.1.6.运行维护脆弱性
?….
2.1.7.灾备与应急响应脆弱性
?…
2.1.8.物理脆弱性
?…。
2.2.脆弱性专项检查
2.2.1.木马病毒专项检查
?信息系统配置异常流量监控系统、入侵防护、入侵检测、防病毒网关,均通过联网升级;
?系统安装瑞星杀毒软件,程序版本号,升级设置为“即时升级”,杀毒
引擎级别设置为中。
2.2.2.服务器漏洞扫描专项检测
?主机扫描统计列表
?漏洞统计
?服务统计
?漏洞扫描详细列表● SNMP使用默认团体名
● Apache Tomcat Transfer-Encoding头处理拒绝服务和信息泄露漏洞
● SNMP不能通知management stations
● SNMP泄露Wins用户名
● SNMP服务正在运行
● SNMP代理泄露网络接口的信息
● SNMP提供远程监控信息
● SNMP提供远程路由信息
● SSH信息获取
● ICMP时间戳获取
● WWW Web 服务器版本检查
MSSQL服务
● 远程主机运行
● Apache Tomcat设计错误漏洞
● 远程主机正在运行终端服务
● Apache Tomcat "MemoryUserDatabase"信息泄露漏洞
● 可以通过NetBios获取操作系统信息
● 通过SNMP获得系统TCP端口列表
● 通过SNMP获得系统UDP端口列表
● 通过SNMP获得系统进程列表
● 通过SNMP获得系统服务列表
● 通过SNMP获得系统信息
● 通过SNMP获得系统安装软件列表
● 通过SNMP获得系统存储设备列表
● ssh_检测类型和版本
● ssh_协议版本
● 远程SSH服务器允许使用低版本SSH协议
● 远程主机HTTP/WWW服务正在运行
2.2.
3.安全设备漏洞扫描专项检测
?主机扫描统计列表
?漏洞统计
?服务统计
?漏洞扫描详细列表● ICMP时间戳获取
2.3.脆弱性综合列表
3.风险分析
3.1.关键资产的风险计算结果
根据《GB/T 20984-2007 信息安全技术信息安全风险评估规范》要求,通过选取关键资产的资产赋值、威胁赋值、脆弱性赋值,采用乘法计算风险值,得到了如下风险结果:
3.2.关键资产的风险等级3.2.1.风险等级列表
3.2.2.风险等级统计
3.2.3.基于脆弱性的风险排名
3.2.
4.风险结果分析
从安全风险状态来看,关键资产存在着从低级风险到高风险等级别的风险。?高风险作用的关键资产
?….。
?中风险作用的关键资产
?….。
?低中风险作用的关键资产
?…。
4.综合分析与评价
4.1.综合风险评价
从信息系统安全风险状态来看,关键资产存在着从低级、中级到高级等不同级别的风险,风险评价如下:
?各关键资产存在高风险:(不可接受的风险)
●重要服务器存在较高级别的安全漏洞,存在漏洞利用的风险;
●未定期开展全系统的病毒、木马查杀跟踪工作,存在恶意代码的风险;
●UPS电源目前只为弱电供电,重要服务器、网络设备均未被覆盖,存在
电力供应的风险。
?各关键资产存在中级风险:(跟踪、降低和控制风险)
●部分服务器由于存在中、低风险的安全漏洞,存在漏洞利用的风险;
●各服务器未针对定期进行的病毒、木马查杀形成工作记录和分析报告,
存在恶意代码的风险;
●机房中烟感、温感只处于通电状态,未启用,存在物理安全风险;
●目前由外包公司定期对安全设备进行定期回访,但整个金农一期系统未
开展全面、系统的安全运行巡检工作,出现故障或异常后可能无法及时
发现进行解决,存在巡检缺位的风险;
●目前安全管理制度不够全面,需要进一步的补充、完善和细化,信息安
全管理职责和分工还不够明确,未定期开展信息安全人员培训工作;
●系统运维方面未定期开展漏洞检测、跟踪和修补,无相关制度规定和工
作记录,密码的管理和保存存在不足,并未定期进行修改;
●应急预案内容需要进一步完善和细化,未定期开展应急演练、培训,并
形成记录。
?各关键资产存在低风险:
●未开展软件系统的安全运行巡检工作,出现故障或异常后可能无法及时
发现进行解决,存在巡检缺位和系统故障的风险;
●目前安全管理制度不够全面,需要进一步的补充、完善和细化,未形成
全面的管理记录;
●系统运维方面未定期开展漏洞检测、跟踪和修补,无相关制度规定和工
作记录,密码的管理和保存存在不足,并未定期进行修改;
4.2.风险控制角度需要解决的问题
?重要服务器漏洞修补和安全加固:未定期开展系统漏洞检测、跟踪和修补工作,解决重要服务器安全漏洞问题,并进行记录备案,消除安全隐患;
?重要网络设备和安全防护设备的安全配置加固:未限制重要设备的管理地址,未绑定重要设备和主机的IP和MAC地址防止非法接入和地址欺骗
?系统安全运维问题:系统漏洞管理制度不够完善,未定期开展系统安全漏洞检测;
?灾备与应急响应问题:未制定系统备份恢复机制和流程,系统应急预案需进一步完善,未定期开展应急演练、培训,保障系统故障发生时能够有效恢复;?物理安全问题:需解决物理环境中出现的安全隐患,完善机房物理环境建设;?管理安全问题:未明确安全管理职责,需完善安全管理制度,计划、落实安全意识与技能培训。
5.整改意见
推荐访问: 综合布线保密风险评估报告 信息安全 评估报告 模板