当前位置:
文档之家› 信息安全风险评估标准附录介绍-风险计算与评估工具
信息安全风险评估标准附录介绍-风险计算与评估工具
风险评估与管理工具
基于信息安全标准的风险评估与管理工具
依据标准或指南的内容为基础,开发相应的评估工具,完成遵 循标准或指南的风险评估过程。如ASSET、CC Toolbox等。
基于知识的风险评估与管理工具
并不仅仅遵循某个单一的标准或指南,而是将各种风险分析方 法进行综合,并结合实践经验,形成风险评估知识库,以此为 基础完成综合评估。如COBRA 、MSAT、 @RISK 等。
计算安全事件的损失
计算风险值
风险结果判定
附录B风险评估工具
根据在风险评估过程中的主要任务和作用原理的不同,风 险评估的工具可以分成 :
风险评估与管理工具 :集成了风险评估各类知识和判据的管理信 息系统,以规范风险评估的过程和操作方法;或者是用于收集评 估所需要的数据和资料,基于专家经验,对输入输出进行模型分 析。 系统基础平台风险评估工具 :主要用于对信息系统的主要部件 (如操作系统、数据库系统、网络设备等)的脆弱性进行分析, 或实施基于脆弱性的攻击。 风险评估辅助工具 :实现对数据的采集、现状分析和趋势分析等 单项功能,为风险评估各要素的赋值、定级提供依据。
风险计算相乘法示例
资产: 共有两个重要资产,资产A1和资产A2; 资产价值分别是:资产A1=4,资产A2=5; 威胁: 资产A1面临三个主要威胁,威胁T1、威胁T2和威胁T3; 资产A2面临两个主要威胁,威胁T4和威胁T5; 威胁发生频率分别是:威胁T1=1,威胁T2=5,威胁T3=4,威胁 T4=3,威胁T5=4; 脆弱性: 威胁T1可以利用的资产A1存在的一个脆弱性,脆弱性V1; 威胁T2可以利用的资产A1存在的两个脆弱性,脆弱性V2、脆弱性V3; 威胁T3可以利用的资产A1存在的一个脆弱性,脆弱性V4; 威胁T4可以利用的资产A2存在的一个脆弱性,脆弱性V5; 威胁T5可以利用的资产A2存在的一个脆弱性,脆弱性V6。 脆弱性严重程度分别是:脆弱性V1=3,脆弱性V2=1,脆弱性V3=5, 脆弱性V4=4,脆弱性V5=4,脆弱性V6=3。
示例计算过程
以资产A1面临的威胁T1可以利用的脆弱性 V1为例,计算安全风险值 。 z 计算公式使用: = f ( x, y ) = x × y 风险计算过程:
(1)计算安全事件发生可能性 (2)计算安全事件的损失 (3)计算风险值 (4)结果判定
示例计算过程
(1)计算安全事件发生可能性 威胁发生频率:威胁T1=1; 脆弱性严重程度:脆弱性V1=3。 安全事件发生可能性= 1× 3 = 3 (2)计算安全事件的损失 资产价值:资产A1=4; 脆弱性严重程度:脆弱性V1=3。 计算安全事件的损失,安全事件损失= (3)计算风险值 安全事件发生可能性=2; 安全事件损失=3。 安全事件风险值= 3 × 12 = 6 (4)确定风险等级
风险分析原理
威胁识别
威胁出现的频率 安全事件的可能性
脆弱性识别
脆弱性的严重程度 安全事件造成的损失
风险值
资产识别
资产价值
示例计算过程
风险计算过程
(1)计算安全事件发生可能性 (2)计算安全事件造成的损失 (3)计算风险值 (4)结果判定
以下以资产A1面临的威胁T1可以利用的脆 弱性V1为例,计算安全风险值 。
计算安全事件发生可能性
(1)构建安全事件发生可能性矩阵; (2)根据威胁发生频率值和脆弱性严重程度 值在矩阵中进行对照,确定安全事件发生可 能性值 ; (3)对计算得到的安全风险事件发生可能性 进行等级划分 。
计算安全事件发生可能性
原理 条件
脆弱性严重程度 1 威胁发生 频率 2 3 4 5 1 2 3 5 7 8 2 4 6 9 11 12 3 7 10 12 14 17 4 11 13 16 18 20 5 14 17 20 22 25
风险结果判定
根据预设的等级划分规则判定风险结果。 依此类推,得到所有重要资产的风险值,并 根据风险等级划分表,确定风险等级。
风险值 风险等级
1-6 1
7-12 2
13-18 3
19-23 4
24-25 5
风险值等级柱状图
5 4 3 2 1 0
资产A1
பைடு நூலகம்
资产 A2
资产 A3
矩阵法风险计算过程小结
计算安全事件发生可能性
矩阵法特点
矩阵法的特点在于通过构造两两要素计算 矩阵,可以清晰罗列要素的变化趋势,具 备良好灵活性。
矩阵法计算示例
资产: 共有三个重要资产,资产A1、资产A2和资产A3;资产价值分别是: 资产A1=2,资产A2=3,资产A3=5; 威胁: 资产A1面临两个主要威胁,威胁T1和威胁T2;资产A2面临一个主要 威胁,威胁T3;资产A3面临两个主要威胁,威胁T4和T5; 威胁发生频率分别是:威胁T1=2,威胁T2=1,威胁T3=2,威胁 T4=5,威胁T5=4; 脆弱性: 威胁T1可以利用的资产A1存在的两个脆弱性,脆弱性V1和脆弱性V2; 威胁T2可以利用的资产A1存在的三个脆弱性,脆弱性V3、脆弱性V4 和脆弱性V5; 威胁T3可以利用的资产A2存在的两个脆弱性,脆弱性V6和脆弱性V7; 威胁T4可以利用的资产A3存在的一个脆弱性,脆弱性V8; 威胁T5可以利用的资产A3存在的一个脆弱性,脆弱性V9。 脆弱性严重程度分别是:脆弱性V1=2,脆弱性V2=3,脆弱性V3=1, 脆弱性V4=4,脆弱性V5=2,脆弱性V6=4,脆弱性V7=2,脆弱性 V8=3,脆弱性V9=5。
COBRA的风险定性分析方法
威胁
产生 暴露
脆弱 性
导致
影响
攻击
降低攻击 的可能性 降低 保护 发现
威慑性控制
检测性控制
触发
减少
修复性控制
预防性控制
COBRA风险评估过程
1、问题表构建:通过知识库模块构建问题表,采用手动 、问题表构建 或自动方式从各个模块中选择所需的问题,构建针对具体 组织进行评估的问题表。 2、风险评估 、风险评估:通过完成问题表实现整个风险评估过程。 问题表的不同模块由系统不同人完成,各个模块可以不同 时完成,但是评估结果是在全部问题表答案的基础上形成 的。 3、报告生成 、报告生成:通过问题表的回答生成报告,报告包括建 议采取的安全措施、解决方案建议、对于系统相关的每类 风险进行分析排序、对于风险给系统带来的影响分析、风 险与系统潜在影响的联系分析。
原理 条件
脆弱性严重程度 1 资产价值 2 3 4 5 1 2 3 4 5 6 2 4 5 7 8 10 3 6 9 11 14 16 4 10 12 15 19 21 5 13 16 20 22 25
安全事件损失值 安全事件损失等级
1-5 1
6-10 2
11-15 3
16-20 4
21-25 5
计算风险值
矩阵法构造方式
首先需要确定二维计算矩阵,矩阵内各个 要素的值根据具体情况和函数递增情况采 用数学方法确定,然后将两个元素的值在 矩阵中进行比对,行列交叉处即为所确定 的计算结果。 矩阵的计算需要根据实际情况确定,矩阵 内值的计算不一定遵循统一的计算公式, 但必须具有统一的增减趋势,即如果是递 增函数,Z值应随着x与y的值递增,反之亦 然。
基于模型的风险评估与管理工具
对系统各组成部分、安全要素充分研究的基础上,对典型系统 的资产、威胁、脆弱性建立量化或半量化的模型,根据采集信 息的输入,得到评价的结果。 如RA、CORA等。
常用风险评估与管理工具对比
工具 Asseet-1 国家公司 美国 NIST 成熟度 NIST 发布 功能 依据美国 NIST SP 800-26 进行 IT 安全自动化自我评 估 CC Toolbox COBRA MSAT RiskWatch RA 美国 NIAP 美 国 C&A System Security Ltd. 美国 Microsoft 公司 美国 RiskWatch 公司 英国 BSI 成熟产品 成熟产品 BSI 发布 NIAP 发布 成熟产品 依据 CC 进行信息安全自动 化评估 主要依据 ISO 17799 进行风 险评估 主要 进行 定性和 定量 风险 评估 综合 各类 相关标 准进 行风 险评估和风险管理 主要依据 ISO 17799 进行风 险等 级和 控制措 施的 过程 式分析 主 要 依 据 17799 专家系统 各类 信息安全相关 标准 主 要 依 据 17799 ISO ISO CC 标准 NIST SP 800-26
评估工具举例:COBRA
COBRA:Consultative Objective Bi-Functional Risk Analysis 由C&A Systems Security Ltd推出 的自动化风险管理工具 。 COBRA采用调查表的形式,在PC机上使用,基 COBRA PC 于知识库,类似专家系统的模式。 COBRA不仅具有风险管理功能,还可以用于评估 是否符合BS7799标准、是否符合组织自身制定的 安全策略。
(1)构建风险矩阵 ; (2)根据安全事件发生可能性和安全事件 损失在矩阵中进行对照,确定安全事件风 险;
计算风险值
可能性 1 2 损失 3 4 5 1 3 5 6 7 9 2 6 8 9 11 14 3 9 11 13 16 20 4 12 15 17 20 23 5 16 18 21 23 25
风险值 风险等级 1-5 1 6-10 2
4 × 3 = 12
11-15 3
16-20 4
21-25 5
风险结果等级柱状图
5 4 3 2 1 0
资产 A1
资 产 A2
相乘法风险计算过程小结
计算安全事件发生可能性
(1)安全事件发生可能性=威胁发生频率值 脆弱性严重程 度值; (2)对计算得到的安全风险事件发生可能性进行等级划分 。 (1)安全事件损失值=资产价值 脆弱性严重程度值 ; (2)对计算得到的安全事件损失进行等级划分 。 (1)安全事件风险值=安全事件发生可能性 安全事件损失;