民航网络信息安全风险评估演示教学

《民航网络信息安全风险评估演示教学》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、民航网络信息安全风险评估杨宏宇中国民航大学计算机科学与技术学院提纲热点问题评估范围评估依据风险评估准备威胁分析脆弱性分析现有控制措施有效性分析风险分析风险处置热点问题威胁分析网络和信息系统的脆弱性分析网络与信息系统的安全性综合评估民航电子商务中的安全保障应对措施评估范围提供服务保障的基础信息网络和重要信息系统，包括公用电信网、广播电视传输网以及铁路运输系统、民航离港系统、交通指挥系统、电力生产系统、海关电子口岸系统、网络银行系统等；政府网站、新闻宣传媒体网站、门户网站等涉及新闻报道的网站；其他信息系统、网络和网站。评估依据《信息安全

2、等级保护管理办法》（公通字[2007]43号）《信息安全技术信息安全风险评估规范》（GB/T20984-2007）评估目的一、识别与分析民航基础信息网络和重要信息系统所依赖的网络与信息系统存在的安全弱点已采取的安全措施的有效性二、确定评估对象潜在的安全风险等级三、提出风险管理的处置建议风险评估准备保护对象分析包括信息系统、网络、网站及其承载的信息内容对保护对象的功能、业务特性等做深入的识别分析，并依据等级保护相关标准，确定保护对象的重要性级别。主要应考虑两个方面：一是保护对象中所存储、处理、传输的主要信息二是保护对象所提供的主要服务

3、风险评估准备保护对象重要性级别依不同程度分为5级保护对象重要性描述很低保护对象对于业务重要性很低，遭受破坏后造成的损失很低，甚至可以忽略不计。低保护对象对于业务重要性较低，遭受破坏后会造成较低的损失。中等保护对象对于业务比较重要，遭受破坏后会造成中等程度的损失。高保护对象对于业务重要性较高，遭受破坏后会造成比较严重的损失。很高保护对象对于业务重要性非常重要，遭受破坏后会造成非常严重的损失。威胁分析根据以往的数据资料积累根据基础调研获取的信息情况根据有针对性的情报搜集工作获取的最新情报信息威胁分析的依据:威胁识别对所有可能的威胁进行分

4、析从不同层面逐一排查和筛选可能对保护对象造成损害的威胁源，排除非真实的威胁源对确定的威胁源进行梳理分类威胁识别来源描述威胁子类故意人为因素组织实施违法犯罪活动、发布违法信息、实施网络攻击、植入恶意代码、窃泄密、篡改数据信息、实施物理破坏非故意人为因素未操作或操作失误应该执行而没有执行相应的操作，或无意执行了错误的操作维护错误、操作失误等管理不到位安全管理措施未落实或不到位，影响信息系统正常运行管理制度和策略不完善、管理规程缺失、职责不明确、监督控管机制不健全、渎职失职等环境因素及故障物理环境影响对系统正常运行造成影响的物理环境问题和

5、自然灾害断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等软硬件故障对业务实施或系统运行产生影响的设备硬件故障、通讯链路中断、系统本身或软件缺陷等问题设备硬件故障、传输设备故障、存储媒体故障、系统软件故障、应用软件故障、数据库软件故障、开发环境故障等………威胁来源列表确定威胁等级威胁意图和威胁能力脆弱性分析脆弱性是保护对象本身存在的，威胁总是利用保护对象的脆弱性才可能造成危害只有找出每一个保护对象可能被威胁源利用的脆弱性并进行分析，才有可能准确的确定保护对象面临的风险脆弱性分析－脆弱性识别从技术和管理两个方面进行脆

6、弱性识别技术脆弱性:物理层、网络层、系统层、应用层等各个层面的安全问题管理脆弱性:技术管理脆弱性、管理组织脆弱性、信息内容管理脆弱性脆弱性分析－脆弱性识别脆弱性识别所采用的方法主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试、专家分析和专项调研等脆弱性分析－脆弱性识别类型识别对象识别内容技术脆弱性网络结构从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行识别系统软件从补丁安装、物理保护、用户帐号、口令策略、资源共享、事件审计、访问控制、新系统配置、注册表加固、网络安全、系统管理等方面进

7、行识别应用中间件从协议安全、交易完整性、数据的完整性、可用性和保密性等方面进行识别应用系统从审计机制、审计存储、访问控制策略、数据的完整性、可用性和保密性、通信、鉴别机制、密码保护等方面进行识别脆弱性识别内容表脆弱性分析－脆弱性识别类型识别对象识别内容管理脆弱性技术管理从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、应用服务等方面进行识别组织管理从安全策略、组织结构、规章制度、人员管理等方面进行识别信息内容管理从待发布信息的审核机制、已发布信息的巡查处置等方面进行识别脆弱性识别内容表（续）脆弱性分析－确定脆弱等级脆弱性的

8、严重程度脆弱性对于威胁的吸引程度脆弱性严重程度越突出，受保护对象威胁吸引力就越大，受到攻击和破坏的可能性就越大脆弱性分析－确定脆弱等级脆弱性等级描述很低保护对象弱点很不明显，对威胁吸引力很小低保护对象弱点不明显，对威胁吸引力小中等保护