下载文档原格式
附件 1信息技术安全事件分类与等级划分《信息安全事件分类分级指南》（GB/Z 20986-2007）根据信息技术安全事件的起因、表现、结果等，将信息技术安全事件分为有害程序事件、网络攻击事件、信息破坏事件、设备设施故障、灾害事件和其他信息安全事件6个基本分类，每个基本分类分别包括若干个子类；根据信息系统重要程度、系统损失和社会影响，将信息技术安全事件划分为4个等级。
一、信息技术安全事件分类1.有害程序事件有害程序事件是指蓄意制造、传播有害程序，或是因受到有害程序的影响而导致的信息安全事件。
有害程序事件包括计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、混合攻击程序事件、网页内嵌恶意代码事件和其它有害程序事件等7个子类。
2.网络攻击事件网络攻击事件是指通过网络或其他技术手段，利用信息系统的配置缺陷、协议缺陷、程序缺陷或使用暴力攻击对信息系统实施攻击，并造成信息系统异常或对信息系统当前运行造成潜在危害的信息安全事件。
网络攻击事件包括拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件等7个子类。
3.信息破坏事件信息破坏事件是指通过网络或其他技术手段，造成信息系统中的信息被篡改、假冒、泄漏、窃取等而导致的信息安全事件。
信息破坏事件包括信息篡改事件、信息假冒事件、信息泄漏事件、信息窃取事件、信息丢失事件和其它信息破坏事件等6个子类。
4.设备设施故障设备设施故障是指由于信息系统自身故障或外围保障设施故障而导致的信息安全事件，以及人为的使用非技术手段有意或无意的造成信息系统破坏而导致的信息安全事件。
设备设施故障包括软硬件自身故障、外围保障设施故障、人为破坏事故、和其它设备设施故障等4个子类。
5.灾害性事件灾害性事件是指由于不可抗力对信息系统造成物理破坏而导致的信息安全事件。
灾害性事件包括水灾、台风、地震、雷击、坍塌、火灾、恐怖袭击、战争等导致的信息安全事件。
信息安全脆弱性评估方法信息安全是当今社会中的一个重要问题，随着技术的不断进步和信息化的快速发展，越来越多的安全脆弱性问题暴露出来。
为了保障信息系统的安全性和可靠性，需要进行脆弱性评估。
本文将介绍几种常见的信息安全脆弱性评估方法。
一、漏洞扫描漏洞扫描是通过自动化软件工具对计算机系统或网络进行扫描，以发现其中的安全漏洞。
该方法适用于大规模系统和网络的脆弱性评估，能够快速发现系统中存在的常见漏洞。
漏洞扫描工具通常基于先进的漏洞数据库，可以进行全面的端口扫描、配置错误扫描、弱口令扫描等，发现并报告系统中存在的脆弱性问题。
二、渗透测试渗透测试是指通过模拟黑客攻击手法，对信息系统进行主动探测，以评估系统的安全性。
渗透测试可以模拟各种攻击场景，包括外部攻击、内部攻击等，对系统进行全面的安全性评估。
利用渗透测试，可以发现系统中存在的未授权访问、缓冲区溢出、代码注入等脆弱性问题，并提供相应的修补建议。
三、安全代码审计安全代码审计是通过对软件源代码进行分析与检查，发现其中存在的安全漏洞和脆弱性问题。
安全代码审计需要深入了解软件的设计与实现，发现其中潜在的安全风险。
通过静态分析、动态分析和测试用例编写等手段，可以找出代码中的安全漏洞，如输入验证不充分、SQL注入、跨站脚本等问题。
四、安全评估框架安全评估框架是对信息系统进行综合评估的方法，包括风险评估、安全需求评估、安全架构评估等。
安全评估框架将信息安全问题视为一个整体，对系统的各个方面进行评估和分析，为系统提供全面的安全性建议。
安全评估框架通常包括需求分析、威胁建模、系统漏洞分析和安全风险评估等环节，能够为系统的安全性提供高水平的保障。
综上所述，信息安全脆弱性评估是确保信息系统安全的重要环节。
通过漏洞扫描、渗透测试、安全代码审计和安全评估框架等方法，可以全面评估系统的安全性，发现并修补系统中的脆弱性问题，提高信息系统的安全性和可靠性。
只有不断加强对信息安全脆弱性的评估工作，才能更好地保护个人隐私和企业数据的安全。
学院信息系统安全事件分类分级一、事件分类信息系统安全事件分为有害程序事件、网络攻击事件、信息破事件、信息内容安全事件、设备设施故障和祸患性事件等。
1.有害程序事件分为计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、混合程序攻击事件、网页内嵌恶意代码事件和其他有害程序事件。
2.网络攻击事件分为拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件。
3.信息破事件分为信息篡改事件、信息假冒事件、信息泄露事件、信息窃取事件、信息丢失事件和其他信息破事件。
4.信息内容安全事件是指通过网络传播法律法规禁止信息，组织非法串联、煽集会游行或炒作敏感问题并危害、社会、学校稳定和公众利益的事件。
5.设备设施故障分为软硬件自身故障、外围保障设施故障、人为破事故和其他设备设施故障。
6.祸患性事件是指由自然祸患等其他突发事件导致的信息系统安全事件。
二、事件分级信息系统安全事件的分级：学校信息安全事件分为四级：I级（特别重大的信息系统安全事件）、II级（重大信息系统安全事件）、III级（较大信息系统安全事件）、IV级（一般信息系统安全事件）。
（一）符合下列情形之一的，为特别重大信息系统安全事件（I级）:1.校园网瘫痪；2.信息系统中的数据丢失或被窃取、篡改、假冒，对社会或校园安全和稳定构成特别严重威胁；3.其他对社会或校园安全、秩序、利益构成特别严重威胁、造成特别严重影响的信息系统安全事件。
（二）符合下列情形之一且未达到特别重大信息系统安全事件（I级）的，为重大信息系统安全事件（II级）：1.校园网大部分中断；2.信息系统中的数据丢失或被窃取、篡改、假冒，对社会或校园安全和稳定构成严重威胁；3.其他对社会或校园安全、秩序、利益构成严重威胁、造成严重影响的信息系统安全事件。
（三）符合下列情形之一且未达到重大信息系统安全事件（II级）的，为较大信息系统安全事件（III级）：1.校园网局部中断；2.信息系统中的数据丢失或被窃取、篡改、假冒，对社会或校园安全和社会稳定构成较严重威胁；3.其他对社会或校园安全、秩序、利益构成较严重威胁、造成较严重影响的信息系统安全事件。
服务器脆弱性识别表格依据《GB/T20272-2007操作系统安全技术要求》中第三级---安全标记保护级所列举内容编制。
项目子项内容是否符合备注安全功能身份鉴别a) 按GB/T 20271-2006 中 6.3.3.1.1 和以下要求设计和实现用户标识功能：——凡需进入操作系统的用户，应先进行标识（建立账号）；——操作系统用户标识应使用用户名和用户标识（UID），并在操作系统的整个生存周期实现用户的唯一性标识，以及用户名或别名、UID 等之间的一致性；b) 按GB/T 20271-2006 中 6.3.3.1.2 和以下要求设计和实现用户鉴别功能：——采用强化管理的口令鉴别/基于令牌的动态口令鉴别/生物特征鉴别/数字证书鉴别等机制进行身份鉴别，并在每次用户登录系统时进行鉴别；——鉴别信息应是不可见的，在存储和传输时应按GB/T 20271-2006 中6.3.3.8 的要求，用加密方法进行安全保护；——过对不成功的鉴别尝试的值（包括尝试次数和时间的阈值）进行预先定义，并明确规定达到该值时应采取的措施来实现鉴别失败的处理。
c) 对注册到操作系统的用户，应按以下要求设计和实现用户-主体绑定功能：——将用户进程与所有者用户相关联，使用户进程的行为可以追溯到进程的所有者用户；——将系统进程动态地与当前服务要求者用户相关联，使系统进程的行为可以追溯到当前服务的要求者用户。
自主访问控制a) 允许命名用户以用户的身份规定并控制对客体的访问，并阻止非授权用户对客体的访问。
b) 设置默认功能，当一个主体生成一个客体时，在该客体的访问控制表中相应地具有该主体的默认值；c) 有更细粒度的自主访问控制，将访问控制的粒度控制在单个用户。
对系统中的每一个客体，都应能够实现由客体的创建者以用户指定方式确定其对该客体的访问权限，而别的同组用户或非同组的用户和用户组对该客体的访问权则应由创建者用户授予；d) 自主访问控制能与身份鉴别和审计相结合，通过确认用户身份的真实性和记录用户的各种成功的或不成功的访问，使用户对自己的行为承担明确的责任；e) 客体的拥有者应是唯一有权修改客体访问权限的主体，拥有者对其拥有的客体应具有全部控制权，但是，不允许客体拥有者把该客体的控制权分配给其他主体；f) 定义访问控制属性，并保护这些属性。
信息系统脆弱性评估报告密级: 内部文档编号:2007002-010:2007002 项目编号XX市地税局信息系统脆弱性评估报告XX 市地税局信息系统脆弱性评估报告目录1 概述...................................................................... ..................................... 32 风险值分布 ..................................................................... ........................... 4 2.1 主机资产 ..................................................................... .......................................... 4 2.1.1 工具评估分析布情况 ..................................................................... .................... 4 2.1.2 人工评估 ..................................................................... .................................... 39 2.1.3 渗透测试 ..................................................................... .................................... 64 2.1.4 管理评估 ..................................................................... .................................... 65 2.1.5 主机资产最终风险值 ..................................................................... .................. 66 2.2 网络资产 ..................................................................... ........................................ 67 2.2.1 工具评估 ..................................................................... .................................... 67 2.2.2 人工评估 ..................................................................... .................................... 68 2.2.3 管理评估 ..................................................................... .................................... 70 2.2.4 网络设备最终风险值 ..................................................................... .................. 70 2.3 安全资产 ..................................................................... ........................................ 71 2.3.1 管理评估 ..................................................................... .................................... 71 2.3.2 安全资产最终风险值 ..................................................................... .................. 71 2.4 存储资产 ..................................................................... ........................................ 72 2.4.1 管理评估 ..................................................................... .................................... 72 2.4.2 存储资产最终风险值 ..................................................................... .................. 73 2.5 数据资产 ..................................................................... ........................................ 73 2.5.1 工具评估 ..................................................................... (73)第 1 页共79页XX 市地税局信息系统脆弱性评估报告2.5.2 管理评估 ..................................................................... .................................... 74 2.5.3 数据资产最终风险值 ..................................................................... .................. 75 2.6 保障资产 ..................................................................... ........................................ 75 2.6.1 管理评估 ..................................................................... .................................... 75 2.6.2 保障资产最终风险值 ..................................................................... .................. 76 2.7 线路资产 ..................................................................... ........................................ 76 2.7.1 管理评估 ..................................................................... .................................... 76 2.7.2 线路资产最终风险值 ..................................................................... (77)第 2 页共79页XX 市地税局信息系统脆弱性评估报告1 概述根据《XX省人民政府信息化工作办公室关于印发<信息安全风险评估试点工作实施方案>的通知》文件精神～XX省信息安全测评中心承担了XX市地税局‚征管信息系统?的风险评估工作。
信息安全的信息资产、威胁与脆弱性分类
编辑整理：
尊敬的读者朋友们：
这里是精品文档编辑中心，本文档内容是由我和我的同事精心编辑整理后发布的，发布之前我们对文中内容进行仔细校对，但是难免会有疏漏的地方，但是任然希望（信息安全的信息资产、威胁与脆弱性分类）的内容能够给您的工作和学习带来便利。
同时也真诚的希望收到您的建议和反馈，这将是我们进步的源泉，前进的动力。
本文可编辑可修改，如果觉得对您有帮助请收藏以便随时查阅，最后祝您生活愉快业绩进步，以下为信息安全的信息资产、威胁与脆弱性分类的全部内容。
信息安全的信息资产、威胁与脆弱性分类A.1 信息资产的分类
信息资产分类见表E.1.
表E.1 信息资产分类
A.2 威胁的分类
威胁分类见表E。
2。
表E.2 威胁分类
A.3 脆弱性的分类
脆弱性分类见表E.3.
表E.3 脆弱性分类。
附录 A（资料性附录）法律法规方面信息安全事件管理策略和相关方案中宜关注信息安全事件管理的如下法律法规方面。
a)提供足够的数据保护和个人信息的隐私保护。
在那些有特定法律涵盖数据保密性和完整性的国家中，对于个人数据的控制常常受到限制。
由于信息安全事件通常需要归因到个人，个人特性的信息可能因此需要被相应地记录和管理。
因此，结构化的信息安全事件管理方法需要考虑适当的隐私保护。
这可能包括以下方面：1)如果实际情况可行，访问被调查人的个人数据的人员不宜与其存在私交；2)在允许访问个人数据之前,宜签署保密协议；3)信息宜仅用于其被获取的明示目的，即信息安全事件调查。
b)维护适当的记录保存。
一些国家的法律，要求公司维护其活动的适当记录，在每年组织的审计过程中进行审查。
政府机构也有类似的要求。
在某些国家，要求组织报告或生成执法用的档案（例如，当涉及到对政府敏感系统的严重犯罪或渗透时）。
c)控制措施到位以确保实现商业合同义务。
当对信息安全事件管理服务提出要求时，例如，满足所需的响应时间，组织宜确保提供适当的信息安全来保证在任何情况下满足这种义务要求。
与此相关，如果组织寻求外部方支持并签署合同，例如外部IRT，那么宜确保在与外部方签署的合同中涵盖了所有要求，包括响应时间；d)处理与策略和规程相关的法律问题。
与信息安全事件管理方案相关的策略和规程宜就潜在的法律法规问题得到检查，例如，是否有关于对那些引起信息安全事件的事项采取惩戒和（或）法律诉讼的声明。
在一些国家，解雇人员并不是一件容易的事情；e)检查免责声明的法律效力。
信息事件管理团队和任何外部支持人员所采取行动的免责声明的法律效力宜得到检查。
f)与外部支持人员的合同涵盖所有要求的方面。
与任何外部支持人员的合同，例如来自外部IRT 人员，在免除责任、保密、服务可用性和错误建议的影响方面宜得到彻底检查。
g)保密协议可强制执行。
信息安全事件管理团队成员在入职和离职时，可被要求签署保密协议。
在一些国家，已签署的保密协议可能在法律上无效，宜对此予以核实。
h)满足执法的要求。
执法机构可能会合法地请求来自信息安全事件管理方案的信息，与其相关的问题需要澄清。
可能的情况是，宜明确按照法律规定的最低水平要求，来记录事件和保持记录存档的时长。
i)明确责任。
需要明确潜在的责任和所需的相关控制措施是否到位。
可能具有相关责任问题的事态示例如下：1)如果一个事件可能影响到其他组织（例如，披露共享信息，但没有及时通知，导致其他组织受到不利影响）；2)如果在产品中发现新的脆弱性，但供应商未得到通知，随后发生了重大相关事件，给一个或多个其它组织带来重大影响；3)没有编制报告，但在某些国家，在涉及到对政府敏感系统或关键国家基础设施组成部分的严重犯罪或渗透时，要求组织报告或生成执法用的档案；这可能会损害涉案个人或组披露的信息似乎表明某人或组织可能被卷入了攻击。
4) 织的声誉和业务；披露的信息表明可能是特定软件的问题，但后来发现并非如此。
5)当有具体法规要求时，宜将事件报告给指定机构，例如，在许满足具体法规要求。
j)多国家对核电工业、电信公司和互联网服务提供商那样的要求。
能够成功起诉或执行内部纪律规程。
适当的信息安全控制措施宜到位，包括可证明k)防篡改的审计跟踪，以此能够成功地对“攻击者”起诉或执行内部纪律规程，无论攻击是技术的还是物理的。
为支持这项工作，需要以在适当的国家法院或其他纪律论坛上可接受的方式收集证据。
从而可以表明：1)记录是完整的且没有以任何方式被篡改；2)电子证据副本可证明与原件相同；3)任何收集证据的IT系统在证据被收集时是正常运行的。
l)与监控技术相关的法律问题得到解决。
在有关国家立法的语境下，使用监控技术的影响需要解决。
各种技术的合法性随着国家不同而不同。
例如，在一些国家，有必要让人们意识到在发生监控活动，包括通过监视技术。
需要考虑的因素包括谁/什么正在被监控，它们/它如何被监控，以及监控什么时候正在发生。
还宜指出，在IDS语境下的监控/监视在ISO/IEC 27039中做了具体讨论。
m)可接受的使用策略得到定义和沟通。
可接受的实践/使用宜得到定义，形成文件，并与所有预期用户沟通。
例如，当加入一个组织或获得信息系统的访问权限时，宜告知用户可接受的使用策略，并要求提供书面确认，以表明他们理解和接受这一策略。
A A附录 B（资料性附录）信息安全事态、事件和脆弱性报告及表单示例B.1 概述附录B包含信息安全事态、事件和脆弱性的记录事项及其报告表单示例。
需要强调的是，这些仅是示例。
还有其他例子，诸如事件对象描述和交换格式（IODEF）标准中的模式。
B.2 记录事项示例信息安全事态记录事项示例包括信息安全事态的基本信息，诸如事态何时发生、发生了什么、如何发生的和为什么发生，以及报告人的联系信息。
—基本信息—事态日期—事态编号—相关事态和（或）事件编号（适用时）—报告人详情—姓名—联系方式，诸如地址、单位、部门、电话和电子邮箱—事态描述—发生了什么—如何发生的—为什么发生—对受影响组件或资产的初步意见—对业务的不利影响—识别的任何脆弱性—事态详情—事态发生的日期和时间—事态被发现的日期和时间—事态被报告的日期和时间信息安全事件记录事项示例包括信息安全事件的基本信息，诸如事件何时发生、发生了什么、如何发生的和为什么发生，以及事件类别、影响和事件响应结果。
—基本信息—事件日期—事件编号—相关事态和（或）事件编号（适用时）—报告人详情姓名—．—联系信息，诸如地址、单位、部门、电话和电子邮箱—联络点（PoC）成员详情—姓名—联系信息，诸如地址、单位、部门、电话和电子邮箱— IRT成员详情—姓名—联系信息，诸如地址、单位、部门、电话和电子邮箱—事件描述—发生了什么—如何发生的—为什么发生—对受影响组件或资产的初步意见—对业务的不利影响—识别的任何脆弱性—事件详情—事件发生的日期和时间—事件被发现的日期和时间—事件被报告的日期和时间—事件类别—受影响的组件或资产—事件对业务的不利影响—从事件中恢复的总成本—事件解决方案—涉及的人员或作案者（如果事件是由人引起的）—作案者描述—实际或感知的动机—解决事件所采取的行动—解决事件所计划的行动—未完成的行动—结论—被告知的内部人员/实体—被告知的外部人员/实体信息安全脆弱性记录事项示例包括信息安全脆弱性的基本信息，诸如脆弱性何时被识别、识别的是什么和如何被识别的，以及潜在影响和解决方案。
—基本信息—脆弱性被识别的日期—脆弱性编号—报告人详情—姓名—联系信息，诸如地址、单位、部门、电话和电子邮箱—脆弱性描述脆弱性解决方案—．B.3 表单使用方法日期和时间格式日期输入格式宜为CCYY-MM-DD（和HH-MM-SS，需要时)。
多个事件可能跨时区发生，如果这些事件相关，宜使用UTC时间（或至少说明所使用时间的UTC时差），以便进行比较（见ISO 8601）。
完成说明信息安全事态和事件报告表单旨在向适当人员提供有关信息安全事态和事件（如果信息安全事态被确定为事件）的信息。
如果怀疑信息安全事态正在发生或可能已经发生，特别是可能给组织的资产或声誉造成重大损失或影响的，宜按照组织的信息安全事件管理计划中描述的规程立即填写并提交信息安全事态报告表单（见本附录第一部分）。
所提供的信息将用于启动适当的评估，来判断该事态是否属于信息安全事件，是否可以采取哪些必要的补救措施来避免或减少损失或损坏。
鉴于此过程可能具有时间关键性，此时不必填完报告表单中的所有项。
当PoC成员审阅全部或部分完成的表单后，要决定该事态是否属于信息安全事件。
如果被归属于事件，则宜尽可能详细填写信息安全事件表单，并将信息安全事态和事件表单一并提交给IRT。
无论信息安全事态是否属于事件，都宜更新事件管理系统。
当IRT成员审阅PoC成员提交的信息安全事态和事件表单后，宜随着调查进展更新事件表单及事件管理系统中的相关项。
信息安全脆弱性表单旨在提供感知到的脆弱性信息，作为脆弱性解决方案的信息库。
填写表单时，请遵守以下指南：—建议以电子方式填写并提交表单。
当使用电子报告机制（例如电子邮箱）存在或认为存在问题时，包括当认为系统可能受到攻击，电子报告表单可能被未授权人员读到时，可使用替代的方法来进行报告。
替代的方法可包括亲自、电话或短信。
注：例如，采用安全网页表单链接到电子的信息安全事态/事件/脆弱性数据库。
在当今世界，还基于纸质的操作是耗费时间的。
但是，基于纸质的计划可作为电子计划不可用时的备份。
—仅提供已知事实的信息，不要为了完成表单项而进行猜测。
如果有必要提供未确认的信息，请清楚地说明该信息是未经确认的，以及其有可能是真实的理由。
—宜提供详细联系方式。
为获得关于报告的进一步信息，可能有必要或者立即或者过后联系报告人。
如果后续发现提交的信息不准确、不完整或有误导，宜修正或重新提交表单。
．B.4 表单示例信息安全事态报告表单示例信息安全事态报告第1页共1页3 相关事态和（或） 1 事态日期（适用时）事件编号1事态编号24 报告人详情4.1 姓名 4.2 地址单位 4.4 部门4.34.6 4.5 电话电子邮箱信息安全事态描述55.1 事态描述：?发生了什如何发生为什么发对受影响组件或资产的初步意对业务的不利影识别的任何脆弱信息安全事态详66.1事态发生的日期和时6.2事态被发现的日期和时6.3事态被报告的日期和时（适当时勾选6.4事态响应是否结束如果是，说明事态持续了多长时间（6.5分）管理者分配。
IRT事态编号宜由组织的1)．信息安全事件报告表单示例信息安全事件报告第1页共6页相关事态和（或）1 事件日期 3（适用时）事件编号2 2 事件编号4 联络点（PoC）成员详情4.1 姓名 4.2 地址部门单位4.3 4.44.6 电子邮箱 4.5 电话 5 IRT成员详情地址5.2 5.1 姓名5.4 部门单位5.35.6 电子邮箱 5.5 电信息安全事件描66.1进一步的事件描发生了什如何发生为什么发对受影响组件或资产的初步意对业务的不利影识别的任何脆弱7信息安全事件详事件发生的日期和时7.17.2事件被发现的日期和时事件被报告的日期和时7.3报告人的身7.4联系方（适当时勾选7.5事件响应是否结束分如果是，说明事件持续了多长时间（7.6管理者分配，并链接到相关的事态编号。
IRT事件编号宜由组织的2)．信息安全事件报告第2页共6页信息安全事件类别8（勾选一项，然后完成下面的相关部分）（事件已经发生）实际的8.1（事件被认为已经发生但没有确认）怀疑的8.2（指出涉及的威胁类型）自然灾害8.3其他崩塌闪电海啸火山洪水暴风地震具体说明：（指出涉及的威胁类型）社会动乱8.4其他战争恐怖袭击示威游行具体说明：（指出涉及的威胁类型） 8.5 物理损设备丢设备篡设备盗设备毁火介质盗水介质丢介质毁介质篡恶劣环境（诸如污染、灰尘、腐蚀、冻结其静具体说明（指出涉及的威胁类型基础设施故8.6空调故供水故其电源故网络故具体说明（指出涉及的威胁类型8.7辐射干其热辐电压波电磁脉电磁辐电子干具体说明（指出涉及的威胁类型技术故8.8其维护性破软件故硬件故过载（信息系统容量饱和具体说明信息安全事件报告第3页共6页信息安全事件类别8（指出涉及的威胁类型） 8.9 恶意软件计算机病毒网络蠕虫混合攻击恶意代码内嵌网页其他恶意代码宿主站点僵尸网络特洛伊木马具体说明：（指出涉及的威胁类型）技术攻击8.10脆弱性利用后门利用其他登录尝试干扰拒绝服务（DoS）网络扫描具体说明：（指出涉及的威胁类型）规则违背8.11其他版权违反资源未授权使用具体说明：（指出涉及的威胁类型8.12功能损其人员可用性破行为抵误操权限滥权限伪具体说明（指出涉及的威胁类型信息损8.13网络钓数据丢数据错数据流分伪窃拦社会工数据窃数据篡泄其位置检间具体说明（指出涉及的威胁类型有害内8.14恶意内滥用内非法内恐慌内其具体说明（如果尚未确定事件是否属于上述类勾选这里其8.1具体说明信息安全事件报告页6 共第4页3 9 受影响的组件/资产（提供受事件影响或与事件相关的组件/资产的描述，包括相关的序列号、许可证和版本号。
