下载文档原格式
信息化风险评估报告一、引言信息化的快速发展使得企业在数字化时代面临着新的挑战和机遇。
然而，信息化也带来了一系列的风险。
为了有效地管理和控制这些风险，我们需要进行信息化风险评估。
本报告旨在提供一种评估信息化风险的方法，并提供相应的解决方案。
二、信息化风险评估的重要性信息化风险评估是企业保持信息系统安全和稳定运行的关键步骤。
通过评估信息化风险，企业可以更好地识别并理解潜在的威胁和漏洞，并采取相应的措施来加以预防和应对。
信息化风险评估有助于企业：1.保护企业的关键数据和信息资产；2.预防和减少信息系统遭受攻击和入侵的可能性；3.提高信息系统的可靠性和稳定性；4.符合法规和合规要求，避免因不合规而带来的法律和商业风险。
三、信息化风险评估的步骤1.确定评估范围：明确评估的范围和目标，确定评估的重点和关注点。
2.收集信息：收集与评估范围相关的信息，包括企业的信息系统架构、关键数据和信息资产、现有的安全措施等。
3.识别潜在风险：分析收集到的信息，识别潜在的风险和威胁，包括物理安全、网络安全、数据安全等方面的风险。
4.评估风险严重程度：对识别出的风险进行评估，确定其对企业的影响程度和可能性。
5.制定控制措施：根据评估的结果，制定相应的控制措施，包括技术控制、管理控制和人员培训等方面的措施。
6.实施和监控控制措施：将制定的控制措施付诸实施，并进行监控和评估，确保其有效性和合规性。
7.定期复评：定期对信息化风险进行复评，及时发现和解决新的风险和问题。
四、信息化风险评估的工具和技术信息化风险评估可以借助多种工具和技术来实施，包括但不限于：1.脆弱性扫描工具：用于检测系统和应用程序的脆弱性，包括漏洞和弱密码等。
2.防火墙和入侵检测系统：用于监控和阻止未经授权的访问和攻击。
3.安全信息和事件管理系统：用于收集和分析安全事件和日志，及时发现并应对潜在的威胁和攻击。
4.安全培训和教育：通过培训员工和用户提高安全意识，减少人为失误造成的风险。
xx有限公司记录编号005创建日期2015年8月16日信息系统安全风险评估报告文档密级更改记录时间更改内容更改人项目名称：XXX风险评估报告被评估公司单位：XXX有限公司参与评估部门：XXXX委员会一、风险评估项目概述1.1工程项目概况1.1.1建设项目基本信息风险评估版本201X年8日5日更新的资产清单及评估项目完成时间201X年8月5日项目试运行时间2015年1-6月1.2风险评估实施单位基本情况评估单位名称XXX有限公司二、风险评估活动概述2.1风险评估工作组织管理描述本次风险评估工作的组织体系（含评估人员构成）、工作原则和采取的保密措施。
2.2风险评估工作过程本次评估供耗时2天，采取抽样的的方式结合现场的评估，涉及了公司所有部门及所有的产品，已经包括了位于公司地址位置的相关产品。
1.3依据的技术标准及相关法规文件本次评估依据的法律法规条款有：序号法律、法规及其他要求名称颁布时间实施时间颁布部门全国人大常委会关于维护互联12000.12.282000.12.28全国人大常委会网安全的决定中华人民共和国计算机信息系21994.02.181994.02.18国务院第147号令统安全保护条例中华人民共和国计算机信息网31996.02.011996.02.01国务院第195号令络国际联网管理暂行规定中华人民共和国计算机软件保42001.12.202002.01.01国务院第339号令护条例中华人民共和国信息网络传播52006.05.102006.07.01国务院第468号令权保护条例中华人民共和国计算机信息网国务院信息化工作领导61998.03.061998.03.06络国际联网管理暂行规定实施小组办法计算机信息网络国际联网安全71997.12.161997.12.30公安部第33号令保护管理办法计算机信息系统安全专用产品81997.06.281997.12.12公安部第32号令检测和销售许可证管理办法9计算机病毒防治管理办法2000.03.302000.04.26公安部第51号令10恶意软件定义2007．06.272007．06.27中国互联网协会11抵制恶意软件自律公约2007．06.272007．06.27中国互联网协会计算机信息系统保密管理暂行121998.2.261998.02.26国家保密局规定计算机信息系统国际联网保密132000.01.012000.01.01国家保密局管理规定中华人民共和国工业和14软件产品管理办法2000.10.082000.10.08信息化部互联网等信息系统网络传播视152004.06.152004.10.11国家广播电影电视总局听节目管理办法16互联网电子公告服务管理规定2000.10.082000.10.08信息产业部信息系统工程监理工程师资格172003年颁布2003.03.26信息产业部管理办法信息系统工程监理单位资质管182003.03.262003.04.01信息产业部理办法19电子认证服务管理办法2009.02.042009.03.31信息产业部关于印发《国家电子信息产业基中华人民共和国信息产202008.03.042008.03.04地和产业园认定管理办法（试业部行）》的通知21计算机软件著作权登记收费项1992.03.161992.04.01机电部计算机软件登记办目和标准公室22中国互联网络域名管理办法2004.11.052004.12.20信息产业部全国人民代表大会常务委23中华人民共和国专利法2010.01.092010.02.01员24中华人民共和国技术合同法1987.06.231987.06.23国务院科学技术部25关于电子专利申请的规定2010.08.272010.10.01国家知识产权局26中华人民共和国著作权法2010.02.262010.02.26全国人大常委会中华人民共和国著作权法实施272002.08.022002.9.15国务院第359号令条例28科学技术保密规定1995.01.061995.01.06国家科委、国家保密局29互联网安全保护技术措施规定2005.12.132006.03.01公安部发布30中华人民共和国认证认可条例2003.09.032003.11.1国务院第390号令中华人民共和国保守国家秘密312010.04.292010.10.01全国人大常委会法32中华人民共和国国家安全法1993.02.221993.02.22全国人大常委会中华人民共和国商用密码管理331999.10.071999.10.07国务院第273号令条例34消防监督检查规定2009.4.302009.5.1公安部第107号中华人民共和国公安部35仓库防火安全管理规则1990.03.221994.04.10令第6号36地质灾害防治条例2003.11.242004.03.01国务院3９4号国家电力监管委员会第2 37《电力安全生产监管办法》2004.03.092004.03.09号华人民共和国主席令第二38中华人民共和国劳动法2007.06.292008.1.1十八号39失业保险条例1998.12.261999.01.22国务院40失业保险金申领发放2001.10.262001.01.01劳动和社会保障部中华人民共和国企业劳动争议411993.06.111993.08.01国务院处理条例1.4保障与限制条件需要被评估单位提供的文档、工作条件和配合人员等必要条件，以及可能的限制条件。
X X X业务运维信息系统风险评估报告文档控制版本信息所有权声明文档里的资料版权归江苏开拓信息系统有限公司（以下简称“江苏开拓”）所有。
未经江苏开拓事先书面允许，不得复制或散发任何部分的内容。
任何团体或个人未经批准，擅自观看方案将被认为获取了江苏开拓的私有信息而遭受法律的制裁。
目录1.评估项目概述1.1.评估目的和目标对XXX信息系统进行风险评估，分析系统的脆弱性、所面临的威胁以及由此可能产生的风险；根据风险评估结果,给出安全控制措施建议。
风险评估范围包括：（1）安全环境：包括机房环境、主机环境、网络环境等；（2）硬件设备：包括主机、网络设备、线路、电源等；（3）系统软件：包括操作系统、数据库、应用系统、监控软件、备份系统等；（4）网络结构：包括远程接入安全、网络带宽评估、网络监控措施等；（5）数据交换：包括交换模式的合理性、对业务系统安全的影响等；（6）数据备份/恢复：包括主机操作系统、数据库、应用程序等的数据备份/恢复机制；（7）人员安全及管理，通信与操作管理；（8）技术支持手段；（9）安全策略、安全审计、访问控制；1.2.被评估系统概述1.2.1.系统概况XXX信息系统主要由HIS系统、LIS系统、PACS系统以及医保、大屏、合理用药、折子工程等业务系统、内外网安全服务器、双翼服务器、OA服务器、交换机、防火墙以及安全控制设备等构成，内外网物理隔离，外网为访问互联网相关服务为主，内网为XXX生产网络。
2.风险综述2.1.风险摘要2.1.1.风险统计与分析经过风险分析，各级风险统计结果如下：风险级别风险数量百分比极高风险 2 2.94%高风险9 13.24%中风险39 57.35%低风险18 26.47%总计68 100% 根据风险评估统计结果，各级风险统计结果分布如下图所示：各类风险分布数量如下表所示：类别风险级别总计低风险中风险高风险极高风险运行维护 1 5 0 0 6 系统开发 1 4 1 0 6 物理环境0 3 2 0 5 网络通信 2 1 1 1 5 认证授权0 2 0 0 2 备份容错0 0 2 1 3 安装部署13 24 3 0 40 安全审计 1 0 0 0 1类别风险级别总计总计18 39 9 2 68各类风险及级别分布如下图所示：极高风险分布如下图所示：高风险分布如下图所示：中风险分布如下图所示：低风险分布如下图所示：2.1.2.极高风险摘要极高风险摘要 2 备份容错 1✧核心业务系统单点故障导致业务中断 1网络通信 1✧内网单点一故障风险造成业务系统服务停止 12.1.3.高风险摘要高风险摘要9 安装部署 31✧非法者极易获得系统管理员用户权限攻击SUN SOLARIS系统✧非法者利用SQL Server管理员账号弱口令渗透进系统 1✧非法者利用管理员账号弱口令尝试登录Windows系统 1备份容错 2✧备份数据无异地存储导致灾难发生后系统不能快速恢复 1✧灾难发生后业务系统难以快速恢复 1网络通信 1✧非法者利用医保服务器渗透进内网 1物理环境 2✧防火措施不当引发更大损失 1✧机房未进行防水处理引起设备老化、损坏 1系统开发 1✧未规范口令管理导致用户冒用 12.1.4.中风险摘要中风险39 安装部署24✧SUN Solaris远程用户配置不当造成无需验证登录到主机 1✧非法者获得数据库权限进而获得系统管理员权限 1✧非法者或蠕虫病毒利用默认共享攻击Windows系统 11✧非法者或蠕虫病毒利用权限控制不当的共享攻击Windows系统✧非法者利用Guest账号攻击Windows系统 1✧非法者利用IIS目录权限设置问题攻击Windows系统 1✧非法者利用Oracle数据库调度程序漏洞远程执行任意指令 11✧非法者利用SQL Server的xp_cmdshell扩展存储过程渗透进系统✧非法者利用SQL Server漏洞攻击Windows系统 1✧非法者利用Web server的漏洞来攻击主机系统 1✧非法者利用不当的监听器配置攻击Oracle系统 1✧非法者利用匿名FTP服务登录FTP系统 1✧非法者利用已启用的不需要服务攻击Windows系统 1✧非法者利用已知Windows管理员账号尝试攻击Windows系统 1✧非法者利用已知漏洞攻击SUN SOLARIS系统 1✧非法者利用已知漏洞攻击Windows系统 1✧非法者利用远程桌面登录Windows系统 1✧非法者破解Cisco交换机弱密码而侵入系统 1✧非法者通过SNMP修改cisco交换机配置 1✧非法者通过SNMP修改SSG520防火墙配置 1✧非法者通过Sun Solaris 不需要服务的安全漏洞入侵系统 11✧非法者通过监听和伪造的方式获得管理员与主机间的通信内容✧非法者有更多机会破解Windows系统密码 1✧系统管理员账号失控威胁Windows系统安全 1认证授权 2✧未对数据库连接进行控制导致系统非授权访问 1✧系统未采用安全的身份鉴别机制导致用户账户被冒用 1网络通信 1✧外网单一单点故障风险造成Internet访问中断 1物理环境 3✧机房存在多余出入口可能引起非法潜入 1✧机房内无防盗报警设施引起非法潜入 1✧未采取防静电措施引起设备故障 1系统开发 4✧生产数据通过培训环境泄露 1✧未对系统会话进行限制影响系统可用性 1✧未做用户登录安全控制导致用户被冒用 1✧系统开发外包管理有待完善引发系统安全问题 1运行维护 5✧安全管理体系不完善引发安全问题 1✧人员岗位、配备不完善影响系统运行维护 1✧未规范信息系统建设影响系统建设 1✧未与相关人员签订保密协议引起信息泄密 1✧运维管理不完善引发安全事件 12.1.5.低风险摘要低风险18 安全审计 1✧发生安全事件很难依系统日志追查来源 1✧安装部署13✧SQL Server发生安全事件时难以追查来源或异常行为 1✧Windows发生安全事件难以追查来源或非法行为 2✧非法者可从多个地点尝试登录Cisco交换机 1✧非法者利用DVBBS数据库渗透进Windows系统 1✧非法者利用IIS默认映射问题攻击Windows系统 1✧非法者利用IIS示例程序问题攻击Windows系统 1✧非法者利用IIS允许父路径问题攻击Windows系统 1✧非法者利用Oracle数据库漏洞可获得任意文件读写权限 1✧非法者利用SNMP服务获取Windows主机信息 1✧非法者利用SUN Solaris匿名FTP服务登录FTP系统 1✧非法者利用开启过多的snmp服务获得详细信息 1✧日志无备份对系统管理和安全事件记录分析带来困难 1网络通信 2✧出现安全事件无法进行有效定位和问责 1✧非法者利用防火墙配置不当渗透入外网 1系统开发 1✧系统未进行分级管理导致核心系统不能得到更多的保护 1运行维护 1✧安全管理制度缺乏维护导致安全管理滞后 12.2.风险综述（1）网络通信方面1)内网设计中存在单点故障风险，当wins/dns服务器发生故障后，网内所有域用户全部都不能正常登录到域，造成业务信息系统无法提供正常服务。
企业信息系统容灾风险评估报告目录1综述 (5)1.1项目背景 (5)1.2文档导读 (5)1.3术语及约定 (5)1.4风险评估结论简述 (6)2IT基础架构风险评估及建议 (9)2.1网络架构 (9)2.1.1现状概述 (9)2.1.2风险评估及建议 (10)2.2服务器架构 (13)2.2.1现状概述 (13)2.2.2风险评估及建议 (13)2.3虚拟化架构 (13)2.3.1现状概述 (13)2.3.2风险评估及建议 (13)2.4存储架构 (13)2.4.1现状概述 (13)2.4.2风险评估及建议 (13)2.5备份系统架构 (14)2.5.1现状概述 (14)2.5.2风险评估及建议 (14)2.6数据库架构 (14)2.6.1现状概述 (14)2.6.2风险评估及建议 (14)3应用系统架构风险评估及建议 (15)3.1现状概述 (15)3.1.1信息系统业务架构 (15)3.1.2信息系统关联关系 (16)3.1.3信息系统物理部署架构 (17)3.2风险评估及建议 (18)4数据中心基础环境调研 (19)4.1地理区域地质及气候 (19)4.1.1地质灾害 (19)4.2生产数据中心周边环境及基础设施 (21)5风险计算 (27)5.1风险资产（A SSET）定义与赋值 (27)5.1.1资产定义 (27)5.1.2资产赋值 (28)5.1.2.1基础设施类 (28)5.1.2.2人员类 (29)5.1.2.3管理类 (29)5.1.2.4信息系统类 (29)5.1.2.5数据类 (30)5.2威胁（T HREAT）识别与赋值 (30)5.2.1威胁等级说明 (30)5.2.2威胁赋值列表 (30)5.2.2.1基础设施类 (31)5.2.2.2人员类 (31)5.2.2.3管理类 (32)5.2.2.4信息系统类 (32)5.2.2.5数据类 (32)5.3脆弱性（V ULNERABILITY）识别 (32)5.3.1脆弱性等级说明 (32)5.3.2脆弱性赋值列表 (33)5.3.2.1基础设施类 (33)5.3.2.2人员类 (37)5.3.2.3管理类 (38)5.3.2.4信息系统类 (38)5.3.2.5数据类 (41)5.4风险分析计算 (42)5.4.1风险计算公式 (42)5.4.2风险等级定义 (42)5.4.3风险计算结果 (43)5.4.3.1基础设施类 (43)5.4.3.2人员类 (44)5.4.3.3管理类 (45)5.4.3.4信息系统类 (45)5.4.3.5数据类 (46)6风险评定及改进措施建议 (47)6.2改进措施建议 (47)7灾难场景 (49)7.1残余风险 (49)7.2灾难场景 (50)附录一风险评估理论依据及方法论 (52)7.3理论依据 (52)7.4方法论 (54)1综述1.1项目背景为提升信息系统风险控制能力，应对可能发生的信息系统灾难，保障业务健康可持续发展和战略目标的顺利实现，xx公司于2018年8月启动灾备体系建设专项工作。
信息系统脆弱性扫描与修复在当今的数字化时代，信息系统的安全问题备受关注。
信息系统的脆弱性是指系统中存在的安全漏洞和弱点，这些脆弱性可能被黑客利用，导致系统遭受攻击、数据泄露、服务中断等问题。
为了有效保护信息系统的安全，并提高系统的稳定性和可靠性，脆弱性扫描与修复成为了必要的工作。
一、脆弱性扫描脆弱性扫描是指通过使用专业的扫描工具，对信息系统进行全面的安全性评估。
扫描工具能够自动检测系统中的漏洞、弱点和配置错误，并生成详细的报告。
扫描范围包括操作系统、网络设备、应用程序等各个方面，通过扫描可以发现系统可能存在的安全隐患。
脆弱性扫描的目的在于找出系统中存在的漏洞，以便及时修复。
通过扫描结果的分析，可以了解系统在哪些方面存在风险，并制定有效的修复方案。
脆弱性扫描可以帮助企业及时发现并修复系统中的安全问题，提高系统的抵御能力，减少系统遭受攻击的风险。
二、脆弱性修复脆弱性修复是根据脆弱性扫描的结果，对系统中存在的安全漏洞进行修复和改进的过程。
修复的方法包括补丁安装、配置修改、策略更新等措施。
修复措施的选择和实施需要根据漏洞的严重程度、系统的复杂程度和业务需求来确定。
补丁安装是脆弱性修复的一种常见方式。
操作系统和应用程序厂商会定期发布安全补丁，用于修复已知的漏洞。
及时安装最新的安全补丁可以有效提升系统的安全性。
除了安装补丁，还应该对系统的配置进行审查和修改，确保系统按照最佳实践进行部署。
脆弱性修复还需要建立健全的漏洞跟踪和修复机制。
对于发现的脆弱性，需要及时记录并跟踪修复进度。
修复后应进行验证测试，确保修复措施的有效性。
同时，还应建立系统安全的监控和警报机制，及时发现和处理新出现的脆弱性。
三、脆弱性扫描与修复的重要性脆弱性扫描与修复对于信息系统的安全至关重要。
首先，通过扫描可以发现系统中的潜在安全风险，及时采取措施修复漏洞，减少系统遭受攻击的机会。
其次，脆弱性扫描和修复工作可以帮助企业建立完善的信息安全管理体系，提升系统安全的意识和能力。
计算机系统脆弱性评估研究的研究报告计算机系统脆弱性评估研究本报告旨在评估当前计算机系统的脆弱性情况，并提出可行的改进措施以提高系统安全性。
本报告基于一项广泛的研究，包括对相关技术文档、厂商网站和专家的访谈，以收集关于当前计算机系统脆弱性的有用信息。
本研究发现，当前的计算机系统存在巨大的脆弱性。
系统被网络攻击和病毒感染所影响，而且攻击者往往利用系统脆弱性进行攻击。
这导致机密信息泄露、系统瘫痪或数据毁坏等问题。
本研究还发现，许多新型攻击使用了非常先进的技术，这使得计算机系统的脆弱性变得更加明显。
为了改进当前计算机系统的脆弱性，本报告提出的改进建议包括：• 实施独特的安全机制来阻止病毒感染和网络攻击；• 定期执行系统安全漏洞扫描，及早发现和修复安全漏洞；• 实施更频繁的系统升级，以支持最新的安全技术；• 加强用户权限管理，以限制未经授权的用户访问；• 通过加密技术保护机密数据；• 实施备份和恢复机制，以避免灾难性数据损失；• 配置安全报警系统，以及时监测系统的安全性状况。
总之，通过本报告的研究，可以认为当前计算机系统存在巨大的脆弱性，但如果采取本报告推荐的改进措施，计算机系统的安全性将大大提高。
随着当今高科技社会的发展，计算机系统变得越来越重要，它们承担着保存和处理数据，连接各种设备以及支持网络应用程序等功能。
此外，计算机系统也因众多安全风险而受到质疑，为了确保系统的安全性，需要对其进行全面的评估。
本文将对一些相关数据进行分析，以深入探索计算机系统脆弱性的现状。
根据相关数据分析，每年有33％的组织遭受网络攻击的威胁，其中网络攻击的影响范围可覆盖安全设备，操作系统，软件程序，硬件系统和网络安全策略等方面。
此外，由于病毒感染和网络攻击，每年有20％的组织会遭受机密数据泄露的问题，这也使得计算机系统的安全性受到严峻的考验。
此外，根据相关数据统计，与传统攻击方法相比，新型攻击技术更具危害性，其危害程度通常在40％以上。
计算机系统脆弱性评估研究随着经济水平和科技水平的不断发展、提高，计算机使用已经达到了普及的状态。
数据收集、处理、分析、储存、整理等都需要使用计算机。
从政府办公部门中的数据、文档归类整理，到居民日常生活中的交流、娱乐，时时刻刻都在使用计算机系统进行操作。
但是由于计算机系统中储存很多资料数据，还有个人隐私，商业机密等极其重要，所以其安全性也受到大家的广泛关注。
然而，病毒的散播、黑客的攻击、木马的植入，许多安全隐患接二连三出现。
所以，对计算机系统脆弱性的评估显得非常重要，寻找其中的问题并进行处理修复，可以有效地确保计算机系统安全性。
1.脆弱性的介绍1.1 计算机系统脆弱性计算机系统脆弱性可认为是能使计算机系统受到破坏或系统中的数据被盗取的漏洞。
其中也包括计算机系统硬件以及软件漏洞、通信协议漏洞、安全策略漏洞等问题[1]。
一些攻击者可以利用此类漏洞，实行特定的方法破译代码，进而盗取计算机系统中的资料和破坏原有数据。
1.2 脆弱性分类调查显示，计算机系统存在三种的脆弱性情况，有软件脆弱性、硬件脆弱性以及通信脆弱性。
软件脆弱性是指安装系统软件过程中，因为编写人员粗心大意或疏忽遗忘而使其程序代码链入错误模块中，从而致使系统中的数据被窃取或者篡改[2]。
硬件脆弱性指的是系统中的内存、硬盘、CPU等设备在振动、高温、潮湿等不良环境条件下遭到破坏损伤，而导致的原系统运行不稳定，甚至出现系统崩溃现象等。
通信脆弱性则是指系统在进行交换数据过程中，一些攻击者非法利用微波电路、数据光纤等交换介质对系统数据进行窃取。
2.评估方式2.1 定性评估和定量评估定性评估是指参加评估的评估员首先了解待评估系统的基本情况，再结合自己多年的实际评估经验综合分析计算机系统安全形势并给出有价值的分析结果。
而定量分析是指通过大量数据处理后，使计算机各个指标以数值化显示，用分数表示系统安全现状[3]。
与定性评估相比较，定量评估更能准确的定位计算机系统中的安全漏洞问题，在形式上更直观具体化，而评估结果也排除了人为干扰因素，科学严谨。
信息系统脆弱性评估报告密级: 内部文档编号:2007002-010:2007002 项目编号XX市地税局信息系统脆弱性评估报告XX 市地税局信息系统脆弱性评估报告目录1 概述...................................................................... ..................................... 32 风险值分布 ..................................................................... ........................... 4 2.1 主机资产 ..................................................................... .......................................... 4 2.1.1 工具评估分析布情况 ..................................................................... .................... 4 2.1.2 人工评估 ..................................................................... .................................... 39 2.1.3 渗透测试 ..................................................................... .................................... 64 2.1.4 管理评估 ..................................................................... .................................... 65 2.1.5 主机资产最终风险值 ..................................................................... .................. 66 2.2 网络资产 ..................................................................... ........................................ 67 2.2.1 工具评估 ..................................................................... .................................... 67 2.2.2 人工评估 ..................................................................... .................................... 68 2.2.3 管理评估 ..................................................................... .................................... 70 2.2.4 网络设备最终风险值 ..................................................................... .................. 70 2.3 安全资产 ..................................................................... ........................................ 71 2.3.1 管理评估 ..................................................................... .................................... 71 2.3.2 安全资产最终风险值 ..................................................................... .................. 71 2.4 存储资产 ..................................................................... ........................................ 72 2.4.1 管理评估 ..................................................................... .................................... 72 2.4.2 存储资产最终风险值 ..................................................................... .................. 73 2.5 数据资产 ..................................................................... ........................................ 73 2.5.1 工具评估 ..................................................................... (73)第 1 页共79页XX 市地税局信息系统脆弱性评估报告2.5.2 管理评估 ..................................................................... .................................... 74 2.5.3 数据资产最终风险值 ..................................................................... .................. 75 2.6 保障资产 ..................................................................... ........................................ 75 2.6.1 管理评估 ..................................................................... .................................... 75 2.6.2 保障资产最终风险值 ..................................................................... .................. 76 2.7 线路资产 ..................................................................... ........................................ 76 2.7.1 管理评估 ..................................................................... .................................... 76 2.7.2 线路资产最终风险值 ..................................................................... (77)第 2 页共79页XX 市地税局信息系统脆弱性评估报告1 概述根据《XX省人民政府信息化工作办公室关于印发<信息安全风险评估试点工作实施方案>的通知》文件精神～XX省信息安全测评中心承担了XX市地税局‚征管信息系统?的风险评估工作。
我中心以建立符合我省情况的风险评估方法、积累风险评估工作经验、培养队伍、协助XX市地税局更深入地了解其信息系统安全现状为目标～通过文档分析、现场访谈、问卷调查、技术评估等方法～对XX市地税局‚征管信息系统?进行了全面的信息安全风险评估。
脆弱性是资产本身存在的～如果没有被相应的威胁利用～单纯的脆弱性本身不会对资产造成损害。
而且如果系统足够强健～严重的威胁也不会导致安全事件发生～并造成损失。
即～威胁总是要利用资产的脆弱性才可能造成危害。
资产的脆弱性具有隐蔽性～有些脆弱性只有在一定条件和环境下才能显现～这是脆弱性识别中最为困难的部分。
不正确的、起不到应有作用的或没有正确实施的安全措施本身就可能是一个脆弱性。
脆弱性识别是风险评估中最重要的一个环节。
脆弱性识别可以以资产为核心～针对每一项需要保护的资产,识别可能被威胁利用的弱点～并对脆弱性的严重程度进行评估,也可以从物理、网络、系统、应用等层次进行识别～然后与资产、威胁对应起来。
脆弱性识别的依据可以是国际或国家安全标准～也可以是行业规范、应用流程的安全要求。
对应用在不同环境中的相同的弱点～其脆弱性严重程度是不同的～评估者应从组织安全策略的角度考虑、判断资产的脆弱性及其严重程度。
信息系统所采用的协议、应用流程的完备与否、与其他网络的互联等也应考虑在内。
脆弱性识别时的数据应来自于资产的所有者、使用者～以及相关业务领域和软硬件方面的专业人员等。
脆弱性识别所采用的方法主要有:问卷调查、工具检第 3 页共79页XX 市地税局信息系统脆弱性评估报告测、人工核查、文档查阅、渗透性测试等。
通过对XX市地税局信息系统的脆弱性分析～可更深入的了解本系统的薄弱环节～为提高系统的安全性打下坚实的基础。
2 风险值分布根据国家风险评估估计～把信息资产分为硬件资产、软件资产、数据资产、文档资产、人员资产。
结合资产相关性～我们风险的分布划分成:1、主机资产,主机+系统软件+应用软件,2、网络资产,网络设备,3、安全资产,安全设备+安全软件,4、存储资产5、数据资产6、保障资产2.1 主机资产2.1.1 工具评估分析布情况, XX.20.225.18漏洞名称风险级别漏洞概要5 相关端口备注 Microsoft Windows 2000 4 Microsoft Windows 2000 80 误报 WebDAV远程缓冲区溢WebDAV远程缓冲区溢出漏洞出CodeRed 4 红色代码X版本检测 80 误报 http服务支持TRACE方3 http TRACE XSS 攻击 80 法第 4 页共79页XX 市地税局信息系统脆弱性评估报告应用IIS .IDA ISAPI筛选3 测试IIS .ida ISAPI 过虑80 器器。
