網絡安全風險評估概念

網絡安全風險評估(簡稱“網絡風險評估”)就是指依據有關信息安全技術和管理標準，對網絡系統的保密性、完整性、可控性和可用性等安全屬性進行科學評價的過程，評估內容涉及網絡系統的脆弱性、網絡安全威脅以及脆弱性被威脅者利用后所造成的實際影響，并根據安全事件發生的可能性影響大小來確認網絡安全風險等級。

網絡安全風險評估要素

網絡安全風險評估涉及資產、威脅、脆弱性、安全措施、風險等各個要素，各要素之間相互作用。資產因為其價值而受到威脅，威脅者利用資產的脆弱性構成威脅。安全措施則對資產進行保護，修補資產的脆弱性，從而降低資產的風險。

網全風險評估模式

根據評估方與被評估方的關系以及網絡資產的所屬關系，風險評估模式有自評估、檢查評估、委托評估三種類型。

網絡安全風險評估過程

網絡安全風險評估的環節，主要包括:網絡安全風險評估準備、資產識別、威脅識別、脆弱性識別、已有的網絡安全措施分析、網絡安全風險分析、網絡安全風險處置與管理等。

網絡安全風險評估準備

網絡安全風險評估準備的首要工作是確定評估對象和范圍。網絡評估范圍的界定一般包括如下內容

網絡系統拓撲結構; 網上業務類型與業務信息流程;

網絡通信協議; 網絡安全防范措施(防火墻、IDS、保安系統等);

網絡地址分配; 網絡操件系統;

網絡設備; 網絡相關人員;

網絡服務; 網絡物理環境(如建筑、設備位置)。

在這個階段，最終將生成評估文檔《網絡風險評估范圍界定報告》，該報告是后續評估工作的范圍限定。

資產識別

資產識別包含“網絡資產鑒定”和“網絡資產價值估算”兩個步驟。

“網絡資產鑒定”給出評估所考慮的具體對象，確認網絡資產種類和清單，是整個評估工作的基礎。常見網絡資產:網絡設備、主機、服務器、應用、數據、文檔。

“網絡資產價值估算”是某一具體資產在網絡系統中的重要程度確認。組織可以按照自己的實際情況，將資產按其對于業務的重要性進行賦值，得到資產重要性等級劃分表。

威脅識別

威脅識別是對網絡資產有可能受到的安全危害進行分析，一般從威脅來源、威脅途徑、威脅能力、威脅效果、威脅意圖、威脅頻率等幾個方面來分析。

威脅來源按照其性質一般可分為自然威脅和人為威脅。

威脅途徑:指威脅資產的方法和過程步驟，威脅者為了實現其意圖，會使用各種攻擊方法和工具，如計算機病毒、特洛伊木馬、蠕蟲、漏洞利用和嗅探程序。

威脅效果:威脅成功后，給網絡系統造成的影響。一般威脅效果為: 非法訪問、欺騙、拒絕服務

威脅意圖:威脅主體實施威脅的目的。

威脅頻率:出現威脅活動的可能性。

脆弱性識別

脆弱性識別是指通過各種測試方法，獲得網絡資產中所存在的缺陷清單，這些缺陷會導致對信息資產的非授權訪問、泄密、失控、破壞或不可用、繞過已有的安全機制，缺陷的存在將會危及網絡資產的安全。

脆弱性評估工作可分為:技術脆弱性評估和管理脆弱性評估。

技術脆弱性評估: 技術脆弱性評估主要從現有安全技術措施的合理性和有效性方面進行評估。

管理脆弱性評估:管理脆弱性評估從網絡信息安全管理上分析評估存在的安全弱點，并標識其嚴重程度。

已有安全措施確認

對評估對象已采取的各種預防性和保護性安全措施的有效性進行確認，評估安全措施能否防止脆弱性被利用，能否抵御已確認的安全威脅。

網絡安全風險分析

網絡安全風險分析是指在資嚴評估、威脅評估、脆弱性評估、安全管理評估、安全影響評估的基礎上，綜合利用定性和定量的分析方法，選擇適當的風險計算方法或工具確定風險的大小與風險等級，通過分析所評估的數據，進行風險值計算。

1.網絡交全風險分析步驟

步驟一，對資產進行識別，并對資產的價值進行賦值。

步驟二，對威脅進行識別，描述威脅的屬性，并對威脅出現的頻率賦值。

步驟三，對脆弱性進行識別，并對具體資產的脆弱性的嚴重程度賦值。

步驟四，根據威脅及威脅利用脆弱性的難易程度判斷安全事件發生的可能性。

步驟五，根據脆弱性的嚴重程度及安全事件所作用的資產的價值計算安全事件的損失。

步驟六，根據安全事件發生的可能性以及安全事件出現后的損失，計算安全事件一旦發生對組織的影響，即網絡安全風險值。其中，安全事件損失是指確定已經鑒定的資產受到損害所帶來的影響。

2.網絡安全風險分析方法

網絡安全風險值的計算方法主要有定性計算方法、定量計算方法、定性和定量綜合計算方法。

3.網絡安全風險計算方法

1)相乘法

相乘法:事件可能性X事件損失=風險值

以資產A1 為例使用相乘法來計算出網絡安全風險值約定使用計算公式

并對計算值進行四舍五入取整得到最終值。

2)矩陣法

矩陣法是指通過構造一個二維矩陣，形成安全事件發生的可能性與安全事件的損失之間的二維關系。

網絡安全風險處置與管理

對不可接受的相關風險，應根據導致該風險的脆弱性制定風險處理計劃。風險處理計劃內容，中明確應采取的彌補弱點的安全措施、預期效果、實施條件、進度安排、責任部門等。安全措施的選擇從管理與技術兩個方面考慮。

為確保安全措施的有效性，一般要進行再評估，以判斷實施安全措施后的風險是否已經降低到可接受的水平。殘余風險的評估可按照風險評估流程實施，也可做適當裁減。

網絡安全風險評估技術方法與工具

資產信息收集

通過調查表形式，查詢資產登記數據庫，對被評估的網絡信息系統的資產信息進行收集，以掌握被評估對象的重要資產分布，進而分析這些資產所關聯的業務、面臨的安全威脅及存在的安全脆弱性。

網絡拓撲發現

網絡拓撲發現工具用于獲取被評估網絡信息系統的資產關聯結構信息，進而獲取資產信息。常見的網絡拓撲發現工具有 ping、traceroute 以及網絡管理綜合平臺。

網絡安全漏洞掃描

網絡安全漏洞掃描可以自動搜集待評估對象的漏洞信息，以評估其脆弱性。漏洞掃描內容主要有軟件系統版本號、開放端口號、開啟的網絡服務、安全漏洞情況、網絡信息共享情況、密碼算法和安全強度、弱口令分布狀況等。

人工檢查

人工檢查是通過人直接操作評估對象以獲取所需要的評估信息。一般進行人工檢查前，要事先設計好“檢查表(Check List)”，然后評估工作人員按照“檢查表”進行查找，以發現系統中的網絡結構、網絡設備、服務器、客戶機等所存在的漏洞和威脅。

網絡安全滲透測試

網絡安全滲透測試是指在獲得法律授權后，模擬黑客攻擊網絡系統，以發現深層次的安全問題。其主要工作有目標系統的安全漏洞發現、網絡攻擊路徑構造、安全漏洞利用驗證等。

問卷調查

問卷調查采用書面的形式獲得被評估信息系統的相關信息，以掌握信息系統的基本安全狀況。

網絡安全訪談

安全訪談通過安全專家和網絡系統的使用人員、管理人員等相關人員進行直接交談以考查和證實對網絡系統安全策略的實施、規章制度的執行和管理與技術等一系列情況。

審計數據分析

審計數據分析通常用于威脅識別，審計分析的作用包括侵害行為檢測、異常事件監測、潛在攻擊征兆發覺等。審計數據分析常常采用數據統計、特征模式匹配等多種技術從審計數據中尋找安全事件有關信息。

入侵監測

入侵監測是威脅識別的重要技術手段。網絡安全風險評估人員將入侵監測軟件或設備接入待評估的網絡中，然后采集評估對象的威脅信息和安全狀態。

網絡安全風險評估項目流程和工作內容

網絡安全風險評估流程包括: 評估工程前期準備、評估方案設計與論證、評估方案實施、評估報告撰寫、評估結果評審與認可。

評估工程前期準備

評估前期準備工作至少包括以下內容：

確定風險評估的需求目標，其中包括評估對象確定、評估范圍界定、評估的粒度和評估的時間等;

簽訂合同和保密協議;

成立評估工作組;

選擇評估模式

評估方案設計與論證

評估方案設計主要是確認評估方法、評估人員組織、評估工具選擇、預期風險分析、評估實施計劃等內容。為確保評估方案的可行性，評估工作小組應組織相關人員討論，聽取各方意見，然后修改評估方案，直至論證通過。

評估方案實施

評估方案實施內容主要包括評估對象的基本情況調查、安全需求挖掘以及確定具體操作步驟，評估實施過程中應避免改變系統的任何設置或必須備份系統原有的配置，并書面記錄操作過程和相關數據。

工作實施應必須有工作備忘錄，內容包括評估環境描述、操作的詳細過程記錄、問題簡要分析、相關測試數據保存等。

敏感系統的測試，參加評估實施的人員要求至少兩人，且必須領導簽字批準。

風險評估報告撰寫

評估報告是風險評估結果的記錄文件，是組織實施風險管理的主要依據，是對風險評估活動進行評審和認可的基礎資料，因此，報告必須做到有據可查。

網絡風險評估報告論、安全現狀描述、資產評估、脆弱性評估、安全管理評估、評估總結和建議組成。

評估結果評審與認可

最高管理層或其委托的機構應組織召開評估工作結束會議，總結評估工作，對風險評估活動進行評審，以確保風險評估活動的適宜、充分和有效。

評估認可是單位最高管理者或上級主管機關對風險評估結果的驗收，是本次風險評估活動結束的標志。

網絡安全風險評估技術應用

ICT供應鏈風險管理的主要目標如下：

完整性、保密性、可用性、可控性

ICT供應鏈主要面臨惡意篡改、假冒偽劣、供應中斷、信息泄露或違規操作和其他威脅五類安全威脅。

工業控制系統平臺脆弱性識別:工業控制系統平臺是由工業控制系統硬件、操作系統及其應用軟件組成的。平臺脆弱性是由工業控制系統中軟硬件本身存在的缺陷、配置不當和缺少必要的維護等問題造成的。平臺脆弱性包括平臺硬件、平臺軟件、平臺配置、平臺管理四個方面的脆弱性。

人工智能安全風險分析如下:

1.人工智能訓練數據安全風險。2.人工智能算法安全風險。3.人工智能系統代碼實現安全風險。4.人工智能技術濫用風險。5.高度自治智能系統導致社會安全風險。