Security+ 2. 风险分析

风险指威胁利用漏洞引起某种损害的可能性

2.1 风险管理(Risk management)

评估 <---> 分析 <---> 响应 <---> 缓解
确定并评估系统中存在的风险
分析风险对系统产生的潜在影响
规划如何响应风险的策略
缓解风险对未来安全造成的不良影响

2.1.1 风险分析阶段

1. 资产确定：确定需要保护的资产并确定资产的价值
2. 漏洞确定：确定漏洞
3. 威胁评估：确定可能会利用确定的漏洞的威胁
4. 可能性量化：量化威胁利用漏洞的可能性概率
5. 影响分析：评估潜在威胁可能造成的影响
6. 应对措施的确定：确定并开发应对措施消除或降低风险

2.2.2 风险分析方式

1. 定性：通过描述和文字的方式衡量风险的数量和影响力；缺点是比较主观和不可测试的方法论。
2. 定量：完全根据数值来进行分析。缺点是在风险难以被量化的情况下，会显得力不从心。
3. 半定量：尝试在前两种风险分析中找到一个平衡。

2.2.3 风险计算

单一损失预期(single loss expectancy/SLE)
年度损失预期(annual loss expectancy/ALE)
年发生率(annual rate of occurrence/ARO)
ALE = SLE * ARO

2.2.4 风险响应措施

1. 接受࿱