网络安全风险评估概述
评估内容：网络系统等脆弱性、网络安全威胁以及脆弱性被威胁者利用后所造成的实际影响
网络安全风险值等价为安全事件发生的概率（可能性）与安全事件的损失的乘积。
网络安全风险评估要素
涉及：资产、威胁、脆弱性、安全措施、风险等各个要素
网络安全风险评估模式
评估模式类型：自评估、检查评估、委托评估
网络安全风险评估过程
网络安全风险评估准备
首要工作是确定评估对象和范围。一般包括：
- 网络系统拓扑结构
- 网络通信协议
- 网络地址分配
- 网络设备
- 网络服务
- 网上业务类型与业务信息流程
- 网络安全防范措施（防火墙、IDS、保安系统等）
- 网络操作系统
- 网络相关人员
- 网络物理环境（如建筑、设备位置）
资产识别
资产识别包含“网络资产鉴定”和“网络资产价值估算”两个步骤
国家信息风险评估标准对资产对保密性、完整性和可用性赋值划分为五级。如可用性：
威胁识别
一般从威胁来源、威胁途径、威胁能力、威胁效果、威胁意图、威胁频率等几个方面来分析
威胁来源：按性质分为自然威胁和人为威胁。可以根据表现形式进行分类
威胁途径：指威胁资产的方法和过程步骤
威胁效果：威胁成功后，给网络系统造成的影响。抽象分为非法访问、欺骗、拒绝服务
威胁意图：根据威胁者的身份，可分为挑战、情报信息获取、恐怖主义、经济利益和报复
威胁频率：指出现威胁活动的可能性
威胁的可能性赋值通过结合威胁发生的来源、威胁所需要的能力、威胁出现的频率等综合分析
脆弱性识别
依据：网络安全法律法规、国内外网络信息安全标准以及行业领域内的网络安全要求
脆弱性评估工作分为：
- 技术脆弱性评估
- 管理脆弱性评估
已有安全措施确认
评估安全措施能否防止脆弱性被利用，能否抵御已确认的安全威胁
网络安全风险分析
网络安全风险分析步骤
影响从一下几个方面考虑：
- 违反来有关法律或规章制度
- 对法律实施造成来负面影响
- 违反社会公共准则，影响公共秩序
- 危害公共安全
- 侵犯商业机密
- 影响业务运行
- 信誉、声誉损失
- 侵犯个人隐私
- 个人伤害
- 经济损失
网络安全分析方法
定性计算方法：进行主观评估，给出结果是无关紧要、可接受、待观察、不可接受
定量计算方法：量化为数据，输出一个风险数值
综合计算方法：结合定性和定量方法，输出一个风险数值，并给出相应的定性结论
网络安全风险计算方法
相乘法：将安全事件发生的可能性与安全事件的损失进行相乘运算得到风险值
示例：
矩阵法：构造一个二维矩阵，形成安全事件发生的可能性与安全事件的损失之间的二维关系
示例：
网络安全风险处置与管理
风险处理计划中明确应采取的弥补弱点的安全措施、预期效果、实施条件、进度安排、责任部门等
安全措施的选择从管理与技术两个方面考虑，主要有以下十大类：
- 制订明确安全策略
- 建立安全组织
- 实施网络资产分类控制
- 加强人员安全管理
- 保证物理实体和环境安全
- 加强安全通信运行
- 采取访问控制机制
- 进行安全系统开发与维护
- 保证业务持续运行
- 遵循法律法规、安全目标一致性检查
网络安全风险评估技术方法与工具
资产信息收集
通过调查表形式，掌握重要资产分布
网络拓扑发现
获取被评估网络信息系统的资产关联结构信息，进而获取资产信息。常见工具：ping、traceroute及网络管理综合平台
网络安全漏洞扫描
常用工具：
- 端口扫描工具：Nmap
- 通用漏洞扫描工具：X-Scan、Nessus
- 数据库扫描：SQLMap、Pangolin
- Web漏洞扫描：AppScan、AWVS
人工检查
常见安全基线：操作系统、数据库、网络设备、移动设备、应用软件等
参考标准：CIS
网络安全渗透测试
工作：目标系统等安全漏洞发现、网络攻击路径构造、安全漏洞利用验证
问卷调查
包括管理类和技术类。涵盖安全策略、安全组织、资产分类和控制、人员安全、业务连续性等
网络安全访谈
相关人员：网络系统等使用人员、管理人员、管理人员等
审计数据分析
采用技术：数据统计、特征模式匹配等
常用分析工具：grep、Log Parser等
入侵监测
按用去区别：主机入侵监测、网络入侵监测、应用入侵监测
工具和系统：
- 网络协议分析器：Tcpdump、Wireshark
- 入侵检测系统：Snort、Suricata、Bro
- Windows系统注册表监测：regedit
- Windows系统安全状态分析：Process Explorer、Autoruns、Process Monitor
- 恶意代码检测：RootkitRsvealer、ClamAV
- 文件完整性检查：Tripwire、MD5sum
网络安全风险评估项目流程和工作内容
评估工程前期准备
包括以下内容：
- 确定风险评估的需求目标，包括：评估对象确定、评估范围界定、评估的粒度和评估的时间等
- 签订合同和保密协议
- 成立评估工作组
- 选择评估模式
评估方案设计与论证
主要是确认评估方法、评估人员组织、评估工具选择、预期风险分析、评估实施计划等内容
评估方案实施
实施内容：评估对象的基本情况调查、安全需求挖掘以及确定操作步骤
工作备忘录包括：评估环境描述、操作的详细过程记录、问题简要分析、相关测试数据保存
风险评估报告撰写
报告内容包括：风险评估范围、风险计算方法、安全问题归纳及描述、风险级别、安全建议等。还可以包括风险控制措施建议、残余风险描述等
报告组成：
- 绪论：术语和定义、评估内容、评估流程、评估数据来源和评估参考依据
- 安全现状描述：网络组成说明、网络拓扑结构、关键设备和网络服务、当前网络安全防范措施
- 资产评估：网络系统中的软硬件清单，给出重要性评价
- 脆弱性评估：网络系统所面临对威胁，包括威胁来源、途径、方式和后果等
- 安全管理评估：安全操作流程、设备管理、人员管理、安全制度、应急响应能力、行政控制手段
- 评估总结和建议
评估结果评审与认可
最高管理层或其委托的机构应组织召开评估工作结束会议，总结评估工作，对风险评估活动进行评审。
网络安全风险评估技术应用
网络安全风险评估应用场景
- 网络安全规划和设计
- 网络安全等级保护
- 网络安全运维语应急响应
- 数据安全管理与运营
OWASP风险评估方法参考、ICT供应链安全威胁识别参考、工业控制系统平台脆弱性识别参考、网络安全风险处理措施参考、人工智能安全风险分析参考详见P341-P352