安全风险评估报告
系统名称：xxxxxxxxxxx
送检单位：xxxxxxxxxxxxxxxxxxxx
合同编号：
评估时间：2011年10月10日~2011年10月25日
目录
报告声明............................................................ 委托方信息.......................................................... 受托方信息.......................................................... 风险评估报告单......................................................
1.风险评估项目概述.................................................
1.1.建设项目基本信息..............................................
1.2.风险评估实施单位基本情况......................................
1.3.风险评估活动概述..............................................
风险评估工作组织过程.......................................
风险评估技术路线...........................................
依据的技术标准及相关法规文件...............................
2.评估对象构成.....................................................
2.1.评估对象描述..................................................
2.2.网络拓扑结构..................................................
2.3.网络边界描述..................................................
2.4.业务应用描述..................................................
2.5.子系统构成及定级..............................................
3.资产调查.........................................................
3.1.资产赋值......................................................
3.2.关键资产说明..................................................
4.威胁识别与分析...................................................
4.1.关键资产安全需求..............................................
4.2.关键资产威胁概要..............................................
4.3.威胁描述汇总..................................................
4.4.威胁赋值......................................................
5.脆弱性识别与分析.................................................
5.1.常规脆弱性描述................................................
管理脆弱性.................................................
网络脆弱性.................................................
系统脆弱性.................................................
应用脆弱性.................................................
数据处理和存储脆弱性.......................................
灾备与应急响应脆弱性.......................................
物理脆弱性.................................................
5.2.脆弱性专项检查................................................
木马病毒专项检查...........................................
服务器漏洞扫描专项检测.....................................
安全设备漏洞扫描专项检测...................................
5.3.脆弱性综合列表................................................
6.风险分析.........................................................
6.1.关键资产的风险计算结果........................................
6.2.关键资产的风险等级............................................
风险等级列表...............................................
风险等级统计...............................................
基于脆弱性的风险排名.......................................
风险结果分析...............................................
7.综合分析与评价...................................................
7.1.综合风险评价..................................................
7.2.风险控制角度需要解决的问题....................................
8.整改意见.........................................................
9.注意事项.........................................................
1.威胁识别与分析1.1.关键资产安全需求
1.2.关键资产威胁概要
威胁是一种客观存在的，对组织及其资产构成潜在破坏的可能性因素，通过对“xxxxxxxxxxxxxxxxxxxx信息系统”关键资产进行调查，对威胁来源（内部/外部；主观/不可抗力等）、威胁方式、发生的可能性等进行分析，如下表所示：
1.3.威胁描述汇总
1.4.威胁赋值
2.脆弱性识别与分析
2.1.常规脆弱性描述
2.1.1.管理脆弱性
?….。
2.1.2.网络脆弱性
?….。
2.1.
3.系统脆弱性
?….。
2.1.4.应用脆弱性
?…..
2.1.5.数据处理和存储脆弱性
?…..
2.1.6.运行维护脆弱性
?….
2.1.7.灾备与应急响应脆弱性
?…
2.1.8.物理脆弱性
?…。
2.2.脆弱性专项检查
2.2.1.木马病毒专项检查
?信息系统配置异常流量监控系统、入侵防护、入侵检测、防病毒网关，均通过联网升级；
?系统安装瑞星杀毒软件，程序版本号，升级设置为“即时升级”，杀毒
引擎级别设置为中。
2.2.2.服务器漏洞扫描专项检测
?主机扫描统计列表
?漏洞统计
?服务统计
?漏洞扫描详细列表
● SNMP使用默认团体名
● Apache Tomcat Transfer-Encoding头处理拒绝服务和信息泄露漏洞
● SNMP不能通知management stations
● SNMP泄露Wins用户名
● SNMP服务正在运行
● SNMP代理泄露网络接口的信息
● SNMP提供远程监控信息
● SNMP提供远程路由信息
● SSH信息获取
● ICMP时间戳获取
● WWW Web 服务器版本检查
● 远程主机运行MSSQL服务
● 匿名IPC$连接检查
设计错误漏洞
● Apache Tomcat
● 远程主机正在运行终端服务
● Apache Tomcat "MemoryUserDatabase"信息泄露漏洞
● 可以通过NetBios获取操作系统信息
● 通过SNMP获得系统TCP端口列表
● 通过SNMP获得系统UDP端口列表
● 通过SNMP获得系统进程列表
● 通过SNMP获得系统服务列表
● 通过SNMP获得系统信息
● 通过SNMP获得系统安装软件列表
● 通过SNMP获得系统存储设备列表
● ssh_检测类型和版本
● ssh_协议版本
● 远程SSH服务器允许使用低版本SSH协议
● 远程主机HTTP/WWW服务正在运行
2.2.
3.安全设备漏洞扫描专项检测
?主机扫描统计列表
?漏洞统计
?服务统计
?漏洞扫描详细列表● ICMP时间戳获取
2.3.脆弱性综合列表
3.风险分析
3.1.关键资产的风险计算结果
根据《GB/T 20984-2007 信息安全技术信息安全风险评估规范》要求，通过选取关键资产的资产赋值、威胁赋值、脆弱性赋值，采用乘法计算风险值，得到了如下风险结果：
3.2.关键资产的风险等级3.2.1.风险等级列表
3.2.2.风险等级统计
3.2.3.基于脆弱性的风险排名
3.2.
4.风险结果分析
从安全风险状态来看，关键资产存在着从低级风险到高风险等级别的风险。?高风险作用的关键资产
?….。
?中风险作用的关键资产
?….。
?低中风险作用的关键资产
?…。
4.综合分析与评价
4.1.综合风险评价
从信息系统安全风险状态来看，关键资产存在着从低级、中级到高级等不同级别的风险，风险评价如下：
?各关键资产存在高风险：(不可接受的风险)
●重要服务器存在较高级别的安全漏洞，存在漏洞利用的风险；
●未定期开展全系统的病毒、木马查杀跟踪工作，存在恶意代码的风险；
●UPS电源目前只为弱电供电，重要服务器、网络设备均未被覆盖，存在
电力供应的风险。
?各关键资产存在中级风险：（跟踪、降低和控制风险）
●部分服务器由于存在中、低风险的安全漏洞，存在漏洞利用的风险；
●各服务器未针对定期进行的病毒、木马查杀形成工作记录和分析报告，
存在恶意代码的风险；
●机房中烟感、温感只处于通电状态，未启用，存在物理安全风险；
●目前由外包公司定期对安全设备进行定期回访，但整个金农一期系统未
开展全面、系统的安全运行巡检工作，出现故障或异常后可能无法及时
发现进行解决，存在巡检缺位的风险；
●目前安全管理制度不够全面，需要进一步的补充、完善和细化，信息安
全管理职责和分工还不够明确，未定期开展信息安全人员培训工作；
●系统运维方面未定期开展漏洞检测、跟踪和修补，无相关制度规定和工
作记录，密码的管理和保存存在不足，并未定期进行修改；
●应急预案内容需要进一步完善和细化，未定期开展应急演练、培训，并
形成记录。
?各关键资产存在低风险：
●未开展软件系统的安全运行巡检工作，出现故障或异常后可能无法及时
发现进行解决，存在巡检缺位和系统故障的风险；
●目前安全管理制度不够全面，需要进一步的补充、完善和细化，未形成
全面的管理记录；
●系统运维方面未定期开展漏洞检测、跟踪和修补，无相关制度规定和工
作记录，密码的管理和保存存在不足，并未定期进行修改；
●应急恢复流程、应急恢复操作规范和工作分工仍需细化。
4.2.风险控制角度需要解决的问题
?重要服务器漏洞修补和安全加固：未定期开展系统漏洞检测、跟踪和修补工作，解决重要服务器安全漏洞问题，并进行记录备案，消除安全隐患；
?重要网络设备和安全防护设备的安全配置加固：未限制重要设备的管理地址，未绑定重要设备和主机的IP和MAC地址防止非法接入和地址欺骗
?系统安全运维问题：系统漏洞管理制度不够完善，未定期开展系统安全漏洞检测；
?灾备与应急响应问题：未制定系统备份恢复机制和流程，系统应急预案需进一步完善，未定期开展应急演练、培训，保障系统故障发生时能够有效恢复；?物理安全问题：需解决物理环境中出现的安全隐患，完善机房物理环境建设；?管理安全问题：未明确安全管理职责，需完善安全管理制度，计划、落实安全意识与技能培训。
5.整改意见
推荐访问:安全保密风险自评估报告 信息安全 评估报告 案例