计算机信息安全风险评估工具ppt课件.ppt

《计算机信息安全风险评估工具ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全风险评估工具信息安全风险评估工具是信息安全风险评估的辅助手段，是保证风险评估结果可信度的一个重要因素。信息安全风险评估工具的使用不但在一定程度上解决了手动评估的局限性，最主要的是它能够将专家知识进行集中，使专家的经验知识被广泛的应用。本章主要介绍风险评估与管理工具、系统基础平台风险评估工具、风险评估辅助工具、信息安全风险评估工具的发展方向和最新成果。1风险评估与管理工具风险评估与管理工具根据信息所面临的威胁的不同分布进行全面考虑，主要从安全管理方面入手，评估信息资产所面临的威胁。风险评估与管理工具主要分为3类：1．基于信息安

2、全标准的风险评估与管理工具2．基于知识的风险评估与管理工具3．基于模型的风险评估与管理工具1.1MBSA1.1.1MBSA简介操作系统是各种信息系统的核心，它自身的安全是影响整个信息系统安全的核心因素。作为Microsoft战略技术保护计划（StrategicTechnologyProtectionProgram）的一部分，并为了直接满足用户对于可识别安全方面的常见配置错误的简便方法的需求，Microsoft开发了Microsoft基准安全分析器MBSA（MicrosoftBaselineSecurityAnalyzer），可对Wind

3、ows系列操作系统进行基线风险评估。MBSA可以对本机或者网络上WindowsNT/2000/XP的系统进行安全性检测，还可以检测其它的一些微软产品，如SQL7.0/2000、5.01以上版本的InternetExplorer、IIS4.0/5.0/5.1和Office2000/XP，是否缺少安全更新，并及时通过推荐的安全更新进行修补。1.1.2MBSA风险评估过程MBSA在运行的时候需要有网络连接，运行后的界面如图6-1所示，点击“Scanacomputer”，然后在右边窗口填写要检查的主机名或IP地址，定义安全报告名，设置选项定制本

4、次检查要检测的内容，之后按下“StartScan”，开始进行检测。图6-1MBSA的开始界面检测完成后，安全报告会立刻显示出来，如图6-2所示，表示一般性警告，表示严重警告，表示不存在漏洞。对于每一项扫描出漏洞的结果，基本上都提供了三个链接，其中“Whatwasscanned”显示了在这一步中扫描了哪些具体的操作；“ResultDetails”显示了扫描的详细结果；“Howtocorrectthis”显示了建议用户进行的操作，以便能够更好地解决这个问题。图6-2安全报告从扫描结果可以看出，MBSA对扫描的软件全部进行了可靠的安全评估。微

5、软的MBSA是免费工具，下载地址：microsoft/china/technet/security/tools/mbsahome.mspx。1.2COBRA1.2.1COBRA简介COBRA（Consultive,ObjectiveandBi-FunctionalRiskAnalysis）是英国的C&A系统安全公司（C&ASystemsSecurityLtd）推出的一套风险分析工具软件，主要依据ISO17799进行风险评估。COBRA1版本于1991年推出，用于风险管理评估。随着COBRA的发展，目前的产品不仅仅具有风险管理功能，还可以

6、用于评估是否符合BS7799标准、是否符合组织自身制定的安全策略。COBRA系列工具包括风险咨询工具、ISO17799/BS7799咨询工具、策略一致性分析工具、数据安全性咨询工具。COBRA是一个基于知识的定性风险评估工具，由3部分组成：问卷构建器、风险测量器、结果生成器。最后针对每类风险形成文字评估报告、风险等级（得分），所指出的风险自动与给系统造成的影响相联系。其工作机理如图6-3所示。图6-3COBRA定性风险分析方法1.2.2COBRA风险评估过程COBRA风险评估过程主要包括3个步骤:1.问题表构建2.风险评估3.报告生成C

7、&A公司在网站security-risk-analysis/cobdown.htm中提供了COBRA的免费试用版，但需要注册。1.3CRAMM1.3.1CRAMM简介CRAMM（CCTARiskAnalysisandManagementMethod）是由英国政府的中央计算机与电信局(CentralComputerandTelecommunicationsAgency，CCTA)于1985年开发的一种定量风险分析工具，同时支持定性分析。CRAMM是一种可以评估信息系统风险并确定恰当对策的结构化方法，适用于各种类型的信息系统和网络，也可以在

8、信息系统生命周期的各个阶段使用。CRAMM包括全面的风险评估工具，并且完全遵循BS7799规范，包括依靠资产的建模、商业影响评估、识别和评估威胁和弱点、评估风险等级、识别需求和基于风险评估调整控制等。1.3