2021信息安全工程师学习笔记（十六）

网络安全风险评估技术原理与应用

1、网络安全风险评估概述

网络安全风险评估：依据有关信息安全技术和管理标准，对网络系统的保密性、完整性、可控性和可用性等安全属性进行科学评价的过程。评估威胁者利用网络资产的脆弱性，造成网络资产损失的严重程度。

网络安全风险值：安全事件发生的概率与安全事件的损失的乘积。R=f（Ep，Ev）

网络安全风险评估要素：资产、威胁、脆弱性、安全措施、风险。

网络安全风险评估模式：根据评估方与被评估方的关系以及网络资产的所属关系。风险评估模式：

• 自评估：网络系统拥有者依靠自身力量，对自有的网络系统进行的风险评估活动；
• 检查评估：网络安全主管机关或业务主管机关发起；
• 委托评估：网络系统使用单位委托具有风险评估能力的专业评估机构实施的评估活动；

2、网络安全风险评估过程

网络安全风险评估准备：首先确定评估对象和范围；最终将生成评估文档《网络风险评估范围界定报告》。

资产识别：

• 网络资产鉴定：主要分为网络设备、主机、服务器、应用、数据和文档资产；
• 网络资产价值估算：某一具体资产在网络系统中的重要程度确认；
  资产的三个基本安全属性：保密性、完整性、可用性

威胁识别：对网络资产有可能受到的安全危害进行分析。从威胁来源、途径、能力、效果、意图、频率分析；

• 标记威胁源，形成威胁列表；
• 威胁源可分为自然威胁和人为威胁；
• 威胁途径：威胁资产的方法和过程步骤；
• 威胁效果：抽象分为三种：非法访问、欺骗、拒绝服务；
• 威胁意图：威胁主体实施威胁的目的。可分为：挑战、情报信息获取、恐怖主义、经济利益和报复；
• 威胁频率：出现威胁活动的可能性；

威胁的可能性赋值：通过结合威胁发生的来源、威胁所需要的能力、威胁出现的频率等综合分析；

脆弱性识别：通知各种测试方法、获得网络资产中所存在的缺陷清单；

脆弱性识别所采用的方法：漏洞扫描、人工检查、问卷调查、安全访谈和渗透测试；

脆弱性评估工作：

• 技术脆弱性评估：从现有安全技术措施的合理性和有效性方面进行评估；
• 管理脆弱性评估：从网络信息安全管理上分析评估存在的安全弱点，并标识其严重程度；

网络安全风险分析步骤：

• 对资产进行识别；
• 对威胁进行识别；
• 对脆弱性进行识别；
• 判断安全事件发生的可能性；
• 计算安全事件的损失；
• 计算网络安全风险值；

网络安全风险分析方法：

• 定性计算方法：将风险评估中的资产、威胁、脆弱性等各要素的相关属性进行主观评估。给出的风险分析结果是：无关紧要、可接受、待观察、不可接受；
• 定量计算方法：将资产、威胁、脆弱性等量化为数据，然后再进行风险的量化计算；
• 综合计算方法：结合定性和定量方法，进行量化赋值，然后选用合适的计算方法进行风险计算。输出结果是一个风险数值，同时给出相应的定性结论。

网络安全风险计算方法：

• 相乘法：将安全事件发生的可能性与安全事件的损失进行相乘运算；
• 矩阵法：构造一个二维矩阵；

3、网络安全风险评估技术方法与工具

资产信息收集：通过调查表形式，查询资产登记数据库。掌握被评估对象的重要资产分布；

网络拓扑发现：获取被评估网络信息系统的资产关联结构信息，进而获取资产信息。通过网络拓扑结构图，可以方便地掌握网络重要资产的分布状况及相互关联情况；

网络安全漏洞扫描：自动收集待评估对象的漏洞信息，以评估其脆弱性；

人工检查：通过人直接操作评估对象以获取所需要的评估信息。事先设计好“检查表”；

网络安全渗透测试：获得法律授权后，模拟黑客攻击网络系统。主要工作有目标系统的安全漏洞发现、网络攻击路径构造、安全漏洞利用验证；

4、网络安全风险评估项目流程和工作内容

网络安全风险评估项目的主要工作流程和内容：

• 评估工程前期准备：签到合同和保密协议；
• 评估方案设计与论证：设计依据评估方的安全需求来指定。主要是确认评估方法、人员组织、工具选择、预期风险分析、评估实施计划；
• 评估方案实施：主要包括评估对象的基本情况调查、安全需求挖掘、以及确定具体操作步骤；参加评估实施的人员要求至少两人；
• 风险评估报告撰写：内容包括：风险评估范围、风险计算方法、安全问题归纳及描述、风险级数、安全建议；
• 评估结果评审与认可

5、网络安全风险评估技术应用

网络安全风险评估应用场景：网络安全规划和设计、网络安全等级保护、网络安全运维与应急响应、数据安全管理与运营；

OWASP风险评估方法：

• 确认风险类别；
• 评估可能性因素：从攻击者因素、漏洞因素分析；
• 评估影响的因素：技术影响因素、业务影响因素；
• 确定风险的严重程度；
• 决定修复内容：首先修复最严重的风险；
• 定制合适的风险评级模型；