1、.wd.wd.wd.目 錄 TOC o 1-2 h z u HYPERLINK l _Toc2365431871概述 PAGEREF _Toc236543187 h 35HYPERLINK l _Toc2365431881.1工程背景 PAGEREF _Toc236543188 h 35HYPERLINK l _Toc2365431891.2工程目標 PAGEREF _Toc236543189 h 35HYPERLINK l _Toc2365431901.3工程內容 PAGEREF _Toc236543190 h 36HYPERLINK l _Toc2365431911.4工程設計原那么 PA

2、GEREF _Toc236543191 h 37HYPERLINK l _Toc2365431921.5工程范圍 PAGEREF _Toc236543192 h 38HYPERLINK l _Toc2365431931.6文件和法律法規 PAGEREF _Toc236543193 h 38HYPERLINK l _Toc2365431942天融信對本工程的理解 PAGEREF _Toc236543194 h 39HYPERLINK l _Toc2365431952.1對工程目標的理解 PAGEREF _Toc236543195 h 39HYPERLINK l _Toc2365431962.2對

3、工程特點的理解 PAGEREF _Toc236543196 h 39HYPERLINK l _Toc2365431973工程總體方法與流程 PAGEREF _Toc236543197 h 41HYPERLINK l _Toc2365431983.1概述 PAGEREF _Toc236543198 h 41HYPERLINK l _Toc2365431993.2天融信風險評估方法 PAGEREF _Toc236543199 h 44HYPERLINK l _Toc2365432003.3本工程采用的安全風險評估方法 PAGEREF _Toc236543200 h 45HYPERLINK l _T

4、oc2365432013.4技術難點和關鍵突破 PAGEREF _Toc236543201 h 48HYPERLINK l _Toc2365432024信息資產調查和賦值 PAGEREF _Toc236543202 h 50HYPERLINK l _Toc2365432034.1信息資產概述 PAGEREF _Toc236543203 h 50HYPERLINK l _Toc2365432044.2信息資產分類 PAGEREF _Toc236543204 h 50HYPERLINK l _Toc2365432054.3保護對象框架 PAGEREF _Toc236543205 h 56HYPER

5、LINK l _Toc2365432064.4資產識別過程 PAGEREF _Toc236543206 h 58HYPERLINK l _Toc2365432074.5信息資產賦值 PAGEREF _Toc236543207 h 59HYPERLINK l _Toc2365432084.6賦值工作操作方法指南 PAGEREF _Toc236543208 h 64HYPERLINK l _Toc2365432095IT設備評估 PAGEREF _Toc236543209 h 66HYPERLINK l _Toc2365432105.1評估的過程 PAGEREF _Toc236543210 h 6

6、6HYPERLINK l _Toc2365432115.2評估的方法 PAGEREF _Toc236543211 h 68HYPERLINK l _Toc2365432125.3評估的內容 PAGEREF _Toc236543212 h 70HYPERLINK l _Toc2365432135.4評估的風險和應對 PAGEREF _Toc236543213 h 72HYPERLINK l _Toc2365432146網絡設備安全風險評估 PAGEREF _Toc236543214 h 73HYPERLINK l _Toc2365432156.1評估過程描述 PAGEREF _Toc236543

7、215 h 74HYPERLINK l _Toc2365432166.2評估的方法 PAGEREF _Toc236543216 h 77HYPERLINK l _Toc2365432176.3評估的內容 PAGEREF _Toc236543217 h 78HYPERLINK l _Toc2365432186.4評估的風險和應對 PAGEREF _Toc236543218 h 81HYPERLINK l _Toc2365432197應用系統和管理安全風險評估 PAGEREF _Toc236543219 h 81HYPERLINK l _Toc2365432207.1評估過程描述 PAGEREF

8、_Toc236543220 h 84HYPERLINK l _Toc2365432217.2評估方法 PAGEREF _Toc236543221 h 46HYPERLINK l _Toc2365432227.3評估內容 PAGEREF _Toc236543222 h 47HYPERLINK l _Toc2365432237.4風險及應對措施 PAGEREF _Toc236543223 h 60HYPERLINK l _Toc2365432248安全增強與加固 PAGEREF _Toc236543224 h 61HYPERLINK l _Toc2365432258.1安全加固內容 PAGEREF

9、 _Toc236543225 h 62HYPERLINK l _Toc2365432268.2安全加固流程 PAGEREF _Toc236543226 h 64HYPERLINK l _Toc2365432279應急響應服務 PAGEREF _Toc236543227 h 65HYPERLINK l _Toc2365432289.1服務目標： PAGEREF _Toc236543228 h 65HYPERLINK l _Toc2365432299.2服務特點： PAGEREF _Toc236543229 h 66HYPERLINK l _Toc2365432309.3一般實施流程： PAGER

10、EF _Toc236543230 h 66HYPERLINK l _Toc2365432319.4流程說明： PAGEREF _Toc236543231 h 66HYPERLINK l _Toc23654323210安全解決方案 PAGEREF _Toc236543232 h 68HYPERLINK l _Toc23654323310.1解決方案設計概述 PAGEREF _Toc236543233 h 68HYPERLINK l _Toc23654323410.2安全需求分析 PAGEREF _Toc236543234 h 68HYPERLINK l _Toc23654323510.3安全解決

11、方案設計 PAGEREF _Toc236543235 h 69HYPERLINK l _Toc23654323611工程組織構造 PAGEREF _Toc236543236 h 71HYPERLINK l _Toc23654323711.1現場實施階段，工程組織構造 PAGEREF _Toc236543237 h 71HYPERLINK l _Toc23654323811.2工程角色和責任 PAGEREF _Toc236543238 h 71HYPERLINK l _Toc23654323912工程進度方案 PAGEREF _Toc236543239 h 74HYPERLINK l _Toc2

12、3654324012.1工程主要過程時間安排 PAGEREF _Toc236543240 h 74HYPERLINK l _Toc23654324113工程啟動和準備階段 PAGEREF _Toc236543241 h 75HYPERLINK l _Toc23654324213.1概述 PAGEREF _Toc236543242 h 75HYPERLINK l _Toc23654324313.2參加人員 PAGEREF _Toc236543243 h 75HYPERLINK l _Toc23654324413.3過程描述 PAGEREF _Toc236543244 h 75HYPERLINK

13、l _Toc23654324513.4需要中海信托配合的工作 PAGEREF _Toc236543245 h 75HYPERLINK l _Toc23654324613.5輸出 PAGEREF _Toc236543246 h 76HYPERLINK l _Toc23654324714現場實施階段 PAGEREF _Toc236543247 h 76HYPERLINK l _Toc23654324814.1資產調查 PAGEREF _Toc236543248 h 76HYPERLINK l _Toc23654324914.2安全評估包括漏洞掃描、人工檢查等 PAGEREF _Toc2365432

14、49 h 77HYPERLINK l _Toc23654325014.3滲透測試 PAGEREF _Toc236543250 h 79HYPERLINK l _Toc23654325114.4安全加固 PAGEREF _Toc236543251 h 80HYPERLINK l _Toc23654325214.5應急響應服務 PAGEREF _Toc236543252 h 81HYPERLINK l _Toc23654325315數據分析及報告階段 PAGEREF _Toc236543253 h 83HYPERLINK l _Toc23654325415.1概述 PAGEREF _Toc2365

15、43254 h 83HYPERLINK l _Toc23654325515.2過程描述 PAGEREF _Toc236543255 h 83HYPERLINK l _Toc23654325615.3需要中海信托配合的工作 PAGEREF _Toc236543256 h 84HYPERLINK l _Toc23654325715.4輸出 PAGEREF _Toc236543257 h 84HYPERLINK l _Toc23654325816工程收尾階段 PAGEREF _Toc236543258 h 84HYPERLINK l _Toc23654325916.1概述 PAGEREF _Toc2

16、36543259 h 84HYPERLINK l _Toc23654326016.2過程描述 PAGEREF _Toc236543260 h 85HYPERLINK l _Toc23654326116.3需要中海信托配合的工作 PAGEREF _Toc236543261 h 85HYPERLINK l _Toc23654326216.4輸出 PAGEREF _Toc236543262 h 85HYPERLINK l _Toc23654326317售后服務 PAGEREF _Toc236543263 h 85HYPERLINK l _Toc23654326417.1安全服務技術支持服務 PAGE

17、REF _Toc236543264 h 85HYPERLINK l _Toc23654326517.2安全服務跟蹤服務 PAGEREF _Toc236543265 h 85HYPERLINK l _Toc23654326617.3天融信安全服務業務關鍵能力 PAGEREF _Toc236543266 h 86HYPERLINK l _Toc23654326718工程管理及溝通方法 PAGEREF _Toc236543267 h 87HYPERLINK l _Toc23654326818.1天融信工程工程管理方法 PAGEREF _Toc236543268 h 87HYPERLINK l _To

18、c23654326918.2天融信工程管理遵循的標準 PAGEREF _Toc236543269 h 88HYPERLINK l _Toc23654327018.3工程溝通方法 PAGEREF _Toc236543270 h 88HYPERLINK l _Toc23654327119工程風險管理及保密控制 PAGEREF _Toc236543271 h 92HYPERLINK l _Toc23654327219.1工程風險分析及躲避措施 PAGEREF _Toc236543272 h 92HYPERLINK l _Toc23654327319.2工程的保密控制 PAGEREF _Toc2365

19、43273 h 94HYPERLINK l _Toc23654327420天融信信息安全服務業務介紹 PAGEREF _Toc236543274 h 95HYPERLINK l _Toc23654327520.1安全服務組織構造圖 PAGEREF _Toc236543275 h 95HYPERLINK l _Toc23654327620.2安全服務業務范圍 PAGEREF _Toc236543276 h 96HYPERLINK l _Toc23654327721工程實施質量保證 PAGEREF _Toc236543277 h 98HYPERLINK l _Toc23654327821.1工程執

20、行人員的質量職責 PAGEREF _Toc236543278 h 98HYPERLINK l _Toc23654327921.2天融信安全服務質量保證體系嚴格貫徹以下過程 PAGEREF _Toc236543279 h 98HYPERLINK l _Toc23654328022工程驗收方式 PAGEREF _Toc236543280 h 101HYPERLINK l _Toc23654328122.1驗收方法確認 PAGEREF _Toc236543281 h 102HYPERLINK l _Toc23654328222.2驗收程序 PAGEREF _Toc236543282 h 103HYP

21、ERLINK l _Toc23654328322.3版本控制 PAGEREF _Toc236543283 h 105HYPERLINK l _Toc23654328422.4交付件歸檔方法 PAGEREF _Toc236543284 h 106HYPERLINK l _Toc23654328523工程分項報價表 PAGEREF _Toc236543285 h 107概述工程背景近年來，隨著信息化技術越來越深入和廣泛的應用，信息安全的風險日益加大，國家和各行業主管機構都對防范信息安全風險非常重視。國家信息化領導小組頒發的?信息安全等級化保障體系?系列標準文件對我國信息安全保障工作做出原那么性戰略

22、性的規定，要求堅持積極防御、綜合防范的方針，全面提高信息安全防護能力，重點保障根基信息網絡和重要信息系統安全，經過五年左右的努力， 基本形成國家信息安全保障體系。2006年起，銀監會發布了?商業銀行內部控制指引?，并進一步發出了關于信托投資公司加強內部控制和風險控制的要求。2008年7月，國家財政部和證監會、銀監會、保監會等聯合發布了?企業內部控制 基本標準?，對企業的內部控制提出了較為具體的要求。為進一步保障銀聯網絡的邊界安全，降低信息安全風險，中海信托投資擬于2009年在業界知名互聯網安全服務公司的協助下，對中海信托信息系統實施安全風險管理服務包括安全技術和管理評估、互聯網應用滲透測試、安

23、全體系建設咨詢、安全加固服務、緊急安全事件響應等服務 ，為中海信托的核心業務系統穩定運行提供安全保障。工程目標通過實施整體信息安全風險評估服務包括安全技術和管理評估、互聯網應用滲透測試、安全體系建設咨詢、安全加固服務、緊急安全事件響應等服務提高中海信托信息系統的安全性和可靠性，并在緊急情況下對提供緊急安全事件響應支持，控制并降低來自于互聯網的安全風險。通過本次對中海信托網絡安全服務工程，可以到達以下主要目標：通過安全風險評估，得到中海信托的整體安全現狀；通過滲透測試和安全技術評估，分析中海信托信息系統存在的各類技術性安全缺陷，并進展整改；通過管理體系評估，發現中海信托在風險管理、安全策略和內部

24、控制等方面存在的問題并加以改進；通過安全加固和策略體系改進，全方位的提升中海信托的信息安全管理水平。工程內容本次整體信息安全風險評估工程的內容可以分為幾個局部：信息安全風險評估信息資產調查調查和統計中海信托信息系統所包含的信息資產包含物理環境、終端、網絡設備、主機、應用軟件、業務系統、數據、人員、標準流程等，明確其現有狀況、配置情況和管理情況。如主機系統，需要明確其平臺、版本、補丁等 基本情況外，還需明確開放端口、服務和進程等配置管理信息。并對所有信息資產按照一定標準進展資產賦值?，F有安全系統調查工作包括明確現有安全設備(包括防火墻、防病毒系統、入侵檢測系統、安全掃描系統、帳號口令集中管理系統

25、、域控制服務器等)的部署情況和使用情況；同時了解在建網絡與信息安全建設工程，使之服從統一部署原那么。安全風險評估根據中海信托現有的安全標準標準和業務對安全的要求，分析主機、網絡及安全設備面臨的威脅，評估現有系統的存在的弱點，明確所有信息系統面臨的安全風險和隱患。應用系統滲透測試通過黑客或白客方式對指定的Internet業務系統進展滲透攻擊，發現該系統存在的安全隱患，并提出解決措施。信息系統安全加固安全加固和優化服務是實現客戶信息系統安全的關鍵環節。通過使用該項服務，將在中海信托信息系統的網絡層、主機層和應用層等層次建設符合中海信托安全需求的安全狀態，并以此作為保證中海信托信息系統安全的起點。安

26、全策略體系整改通過對現有安全體系策略制度的審閱、解讀和差距性分析，對現有安全管理制度和內控制度進展改善，使之能夠完全符合當前國內相關控制標準的要求，并向相關的國際化標準看齊。工程設計原那么符合性原那么：符合國家等級化保護體系指出的積極防御、綜合防范的方針和等級保護的原那么。標準性原那么：服務方案的設計與實施應依據國內或國際的相關標準進展；標準性原那么：服務工作中的過程和文檔，具有很好的標準性，可以便于工程的跟蹤和控制；可控性原那么：方法和過程在雙方認可的范圍之內，安全服務的進度要按照進度表進度的安排，保證甲方對于服務工作的可控性；整體性原那么：安全服務的范圍和內容整體全面，包括安全涉及的各個層

27、面應用、系統、網絡、管理制度、人員等，防止由于遺漏造成未來的安全隱患；最小影響原那么：安全服務中的工作盡可能小的影響系統和網絡的正常運行，不能對現網的運行和業務的正常提供產生顯著影響；保密性原那么：對過程數據和結果數據嚴格保密，未經授權不得泄露給任何單位和個人，不得利用此數據進展任何侵害甲方的行為，否那么甲方有權追究乙方的責任。甲方有權要求乙方在服務完畢之后銷毀所有和本工程有關的數據和文檔。工程范圍本工程選擇中海信托的核心業務系統作為服務對象。文件和法律法規國內政策與標準：?國家信息化領導小組關于加強信息安全保障工作的意見?中辦發200327號；?關于開展信息安全風險評估工作的意見?2006年

28、1月國家網絡與信息安全協調小組；?關于印發?信息安全風險評估指南?的通知?2006年2月國信辦國信辦綜20069號；?商業銀行內部控制指引? 2006年12月 銀監會?企業內部控制 基本標準? 2008年7月 財政部、證監會、審計署、銀監會、保監會國際政策與標準：ISO/IEC 27001信息安全管理體系標準COSO/COBIT 內控和信息技術控制框架ISO/IEC TR 13335 Series, Guidelines for the management of IT Security (CMITS)，1996-2001NIST SP800 Series, Computer Security

29、 Special Publications，1991-2005天融信對本工程的理解對工程目標的理解安全風險評估工作是中海信托信息安全體系運作體系中風險管理的重要組成局部，通過周期性的安全風險評估工作發現公司的安全現狀，為公司安全建設和安全加固提供數據根基。綜上所述，本期工程的目標是：通過安全評估的技術手段，盡可能發現和定位中海信托各信息系統存在的安全風險，為安全加固、系統整改及應急響應提供依據和技術指導，降低中海信托整體的安全風險。對工程特點的理解通過上面對本工程目標的分析，本期深度安全風險評估工作存在如下特點：要求高：由于中海信托業務的快速增長，對信息安全的要求越來越高，所以要比以前采用更加

30、標準的工程管理要求；本次評估的技術深度和廣度，都要強于以前的工程及同行業的要求多個系統的應用分析；采用的技術標準，是當前最新、最及時的，相比歷史評估工作和同行業類似工作的技術要求是最高的；技術與管理并重：由于面臨的外部威脅的壓力和影響力比以往要大很多，所以本次工程更加側重于通過外部滲透測試的方法，發現從外部的威脅和影響尤其是從外部Internet進展滲透測試；本次工程滲透測試涉及的系統范圍更廣，而且更深地分析通過“信任關系發生的滲透，從而發現“木桶原理中的“最短那塊板；更加側重于應用系統自身特點的安全評估：綜合分析業務和管理層數據流，角色權限；應用層數據庫，中間件；系統層主機操作系統；網絡層網

31、絡架構，網絡設備，提出的安全風險更加有針對性；中海信托各應用系統有不同的特點，在本次工程中要結合不同部門、不同系統特點進展相應的應用系統安全評估；更加考慮安全加固和應急響應體系建設的可行性：本次工程在實施過程中安排了時間，對發現的問題進展及時地講解和答疑；對發現的問題提出的解決方案，和系統管理員及時溝通，并協助進展講解和培訓，對不能直接解決的，提出綜合解決、降低風險的方案。工程總體方法與流程概述風險管理Risk Management旨在對潛在時機和不利影響進展有效管理的文化、程序和構造。風險管理是良好管理的一個組成局部，它用一種將損失減小到最低程度而使商業時機到達最大限度的方式，對與機構的任何

32、活動、功能和過程相關的風險進展環境建設、鑒定、分析、評價、處理、監控和信息交流。風險管理過程Risk Management Process是指系統地將管理方針、程序和構造應用于風險的環境建設、鑒定、分析、評價、處理、監控和信息交流等過程任務。在信息安全領域，同樣適用于風險管理的理念和方法論。在當前信息技術得到普遍應用，并且很多成為關鍵業務系統的環境下，企業或組織的信息安全風險很大，而且普遍缺乏有效的控制和管理，但過度的風險管理，無疑會導致大量的金錢和人力的花費、以及工作效率的嚴重降低。所以，如何適度和有效地進展信息安全的風險的管理和控制，成為了一項迫切和重要的任務。下面的描述即是說明風險評估過

33、程的理念和方法論，以作為天融信安全服務的標準方法論和理論根基，指導和標準天融信的安全風險安全服務工作。安全模型參考在澳大利亞和新西蘭國家標準?風險管理Risk Management?AS/NZS 4360:1999中描述了風險管理過程，如以以下圖所示：在國際標準ISO13335中，安全模型如以以下圖所示，特點是以風險為核心。在國際標準中，安全模型如以以下圖所示，其特點是強調了模型的對抗性和動態性。可以看出，安全模型中的核心要素都是資產、弱點、威脅、風險、安全措施等，各要素之間的關系也 基本類似，只是描述和關注的角度不同。風險評估標準風險評估過程中主要選擇的標準和標準包括：中海信托技術標準和標準

34、：國內政策與標準：?國家信息化領導小組關于加強信息安全保障工作的意見?中辦發200327號；?關于開展信息安全風險評估工作的意見?2006年1月國家網絡與信息安全協調小組；?關于印發?信息安全風險評估指南?的通知?2006年2月國信辦國信辦綜20069號；國際政策與標準：ISO/IEC 27001ISO/IEC TR 13335 Series, Guidelines for the management of IT Security (CMITS)，1996-2001NIST SP800 Series, Computer Security Special Publications，1991-2

35、005ISO/IEC 15408-1999“信息技術 安全技術 信息技術安全性評估準那么簡稱CC天融信風險評估方法風險評估模型在安全評估服務中，天融信參照上述兩個安全模型，根據自己的工程實踐，建設了自己的風險評估模型，描述如下：在天融信的風險評估模型中，主要包含信息資產，弱點/脆弱性、威脅和風險四個要素。每個要素有各自的屬性，信息資產的屬性是資產價值，弱點的屬性是弱點被威脅利用后對資產帶來的影響的嚴重程度，威脅的屬性是威脅發生的可能性，風險的屬性是風險發生的路徑。因此，天融信風險評估的過程是：對信息資產進展識別，并對資產賦值；識別信息資產的脆弱性弱點/漏洞，并對弱點的嚴重程度賦值；對威脅進展分

36、析，并對威脅發生的可能性賦值；綜合分析資產價值、資產的脆弱性和威脅發生的可能性，得到信息資產的風險發生的路徑和級別，并對風險進展處置，選擇適宜的控制措施?？傮w工作流程圖根據安全風險評估模型，天融信安全風險評估的總體工作流程如以以下圖：在評估過程中首先要進展全網的資產調查，識別的內容包括：“信息設備、應用系統、網絡環境、組織構造及物理環境；然后進展應用系統安全目標的識別和分析；以及通過安全評估的“業務系統評估、“滲透測試、“網絡架構評估、“IT設備弱點評估、“應用安全評估、“安全管理評估、“物理安全評估各項內容獲取“安全現狀(包括：安全威脅)、“安全弱點 。最后通過各系統、子系統的安全目標和其“

37、安全現狀、“安全弱點的比照分析，得到安全現狀和解決方案。本工程采用的安全風險評估方法本次工程由于側重點于技術問題的發現，并指導今后的安全加固和系統技術整改等技術工作；根據本次工程的特點，準備采用如下三種安全風險評估的方法，主要針對非重點系統、重點系統網絡類、重點系統計算類；非重點系統的IT設備弱點評估如以以下圖所示：本評估主要目標是為IT設備的弱點提供安全加固的指導和依據，主要涉及“主機系統弱點評估；“網絡設備弱點評估；“安全設備弱點評估 。主機系統弱點評估采用人工現場檢查和工具掃描兩種方式；網絡設備弱點評估和安全設備弱點評估，對能夠導出配置信息、并配置信息可識別分析的，采用后臺人工分析方式；

38、對不能導出配置信息、或配置信息不可識別分析的，采用人工現場檢查方式。評估的結果，是表達各單點資產的弱點狀況，以及綜合的統計分析報告，主要為指導單點設備的安全加固工作。網絡類重點系統的安全評估如以以下圖所示：網絡類重點系統是公司主要承載各業務的根基平臺，其評估的目標不僅是發現現存系統的問題，指導安全加固和系統整改的工作和依據；而且還要根據業務開展需要，為網絡建設提供安全保障的規劃依據。本安全評估包含：“IT設備弱點評估；網絡架構安全評估和滲透測試 ，其中IT設備弱點評估和前面的一致。網絡架構安全評估包括：網絡現狀安全合理性分析以及隨業務開展需要的網絡安全需求分析，主要采用的方法是：后臺分析對網絡

39、拓撲、相關技術文檔、訪問控制等配置信息分析、現場設備檢查對網絡設備或網管系統的安全狀況查看、系統管理員的參謀訪談網絡現狀存在的問題、網絡安全事件、業務開展對網絡的影響及假設、主管領導的參謀訪談業務開展對網絡安全的要求；滲透測試，主要采用嗅探及入侵的手法，分析從外部越權進入本系統的路徑和可能性，以及可越權訪問接入本網絡系統的系統范圍和影響。注：如無特殊需要，不采用DOS等惡意攻擊手段。本評估的結果，除表達單個資產的弱點狀況，指導安全加固外；還可為系統整改，劃分安全域以及未來網絡規劃提供參考；同時由于公司涉及網絡類系統之間是有強的關聯，最后要綜合分析各網絡類系統和應用系統的關聯性，設計全網的網絡安

40、全解決方案建議。應用計算類重點系統的安全評估如以以下圖所示：應用計算類重點系統是公司各獨立的業務單元，包括完整的主機、網絡、應用各項內容；其評估的目標是從深度上業務管理層；應用層；到廣度上系統層主機操作系統；網絡層網絡架構，網絡設備，提出全面的安全風險分析報告。本安全評估包含：“IT設備弱點評估；網絡架構安全評估；應用系統安全評估和滲透測試 ，其中IT設備弱點評估和前面一致。網絡架構安全評估主要從網絡構造上分析其應用系統安全域劃分的合理性及訪問控制策略的符合性，具體方法和前面一致。應用系統安全評估，主要包括：對業務邏輯和數據流的安全分析；對應用平臺的安全分析。主要方法是：后臺分析對業務系統設計

41、、運行相關技術文檔、現場設備檢查對應用平臺和數據庫進展安全狀況查看、源代碼評估對局部關鍵流程的代碼進展分析、系統管理員的參謀訪談現狀存在的問題、安全事件、業務開展的影響及假設。滲透測試，主要采用入侵和角色提升的手法，分析從外部越權侵入本系統的路徑和可能性；以及模擬不同用戶角色提升權限，進展數據篡改或越權訪問的可能性分析。本評估的結果，除表達單個資產的弱點狀況，指導安全加固外；重點為系統整改，安全域劃分以及系統開發提供參考。技術難點和關鍵突破在對中海信托進展安全風險評估的過程中，由于其規模龐大，信息系統復雜，業務系統的特性和安全屬性存在巨大差異，因此對于評估標準的選擇，以及評估成果的適用性都提出

42、了巨大的挑戰。評估指標的定制面臨困難：安全沒有定制化的適用的安全指標，造成評估結果不可信一般在安全評估時，評估服務提供者因為在評估前并不熟悉和理解被評估方的業務特性和安全特性，所以不能定制非常適用的評估標準指標，也就是說沒有非常適用，反映被評估對象特性的評估標準，一般都采用國際或國家標準。雖然國際或國家標準適用于所有信息系統，但其適用廣泛性原因，評估標準比較籠統，不反映行業特性和企業特性。這樣，因為缺乏適用的評估標準，造成的評估結果可用性差，也缺乏針對性，不能反映業務特性和行業特性。尤其是如果服務提供者對客戶首次評估，存在評估質量較低的風險，這是評估服務業務一個多年存在的難題，很難解決。通常情

43、況下，評估質量取決于評估服務提供者和評估參謀的經歷是否豐富，是否非常熟悉被評估者的業務特性和行業特性。解決方法：在評估前設計行業安全評估指標，并在評估開場階段盡可能的定制能否準確定制行業安全評估指標，即行業評估標準是評估工程能否成功的關鍵環節之一，它對評估結果的適用性和真實性起著關鍵作用。在作評估前，我們根據多年對不同行業的豐富評估經歷和深刻理解，根據不同的行業業務特性和安全要求特性的理解，總結出反映行業特性的安全要求，設計出針對不同行業的安全對策指標體系，再細化成不同行業的安全評估指標。強調評估成果的適用性面臨困難：評估成果和建議難以實施，技術和管理難以有效融合，缺乏抗打擊能力和可控性信息安

44、全問題包含管理方面問題、技術方面問題以及兩者的穿插，它從來都不是靜態的，隨著組織的策略、組織架構、業務流程和操作流程的改變而改變。中海信托現有的安全防護措施大多屬于靜態的單點技術防護，單純部署安全產品是一種靜態的解決方法，單純防范黑客入侵和病毒感染更是是片面的。一旦單點防護措施被突破、繞過或失效，整個安全保障將會失效，威脅將影響到整個信息系統。評估成果中解決方案在設計過程中需要系統化的全面考慮，防止單點考慮，形成系統化措施。解決方案：強調多重深度保障和抗打擊能力，強調評估成果的可用性27號文件提出 “堅持積極防御、綜合防范的方針，?美國國家安全戰略?中指出，國家的關鍵根基設施的“這些關鍵功能遭

45、到的任何破壞或操縱必須控制在歷時短、頻率小、可控、地域上可隔離以及對利益損害最小這樣一個規模上。兩者都強調了抗打擊能力和可控性，這就要求采用多層保護的深度防御策略，實現安全管理和安全技術的嚴密結合，防止單點突破。天融信在輸出評估結果時，會將管理手段和安全技術嚴密結合，充分吸收業務特性，建設一個適用性強、可行性強并具有多重深度保障手段的防護網絡。信息資產調查和賦值信息資產概述資產是企業、機構直接賦予了價值因而需要保護的東西。它可能是以多種形式存在，有無形的、有有形的，有硬件、有軟件，有文檔、代碼，也有服務、企業形象等。它們分別具有不同的價值屬性和存在特點，存在的弱點、面臨的威脅、需要進展的保護和

46、安全控制都各不一樣。為此，有必要對企業、機構中的信息資產進展科學識別，以便于進展后期的信息資產抽樣、制定風險評估策略、分析安全功能需求等活動。雖然信息資產具有非常廣泛的含義，但這里將信息資產定義如下：信息資產是指組織的信息系統、其提供的服務以及處理的數據。信息資產分類參照ISO 27001對信息資產的描述和定義，結合安全評估的經歷，將信息資產按照下面的方法進展分類：類別解釋/例如網絡設備一臺或一組互備的網絡設備，包括網絡設備中的硬件，IOS，配置文件數據及其提供的網絡服務。包括路由器、交換機、RAS等，防火墻、IDS等安全設備除外。服務器一臺或一組服務器，包括服務器硬件、運行于其上的OS、通用

47、應用、服務，數據庫、磁盤陣列等。工作站客戶端用機、個人用機等。安全設備作為安全用途的硬件和軟件,如:防火墻、IDS、AV等。存儲設備提供存儲用途的硬件和軟件，如：磁盤陣列等。業務系統指組織為其應用而開發或購置的各類應用軟件及其提供的業務服務。應用平臺軟件主要是指提供通用服務的各種平臺系統，包括：數據庫WWW、Mail、FTP、DNS、以及專有的中間件產品等； 數據及文檔主要指存在于電子媒介或紙制的各種數據和資料，包括數據庫數據、存放于硬盤上的文件、代碼；財務數據及書面報告等。組織和人員指和安全相關的組織和人員，包括各級安全組織，安全人員、各級管理人員，網管員，系統管理員，業務操作人員，第三方人

48、員等物理環境指支持IT系統運行的根基物理設施，如：機房、空調、UPS、監控器等。網絡設備網絡設備是指構成信息系統網絡傳輸環境的設備，軟件和介質。包括路由器、交換機、通信終端和網關以及網絡設備控制臺等硬件設施和軟件系統，為了更清晰地區別資產的安全屬性，網絡設備類資產不包括防火墻、VPN、網絡入侵檢測等網絡安全產品。服務器服務器是指信息系統中承載業務系統和軟件的計算環境。包括大型機、小型機、Unix服務器、Windows服務器、移動計算設備、應用加密機和磁盤陣列等計算設備硬件及其操作系統、數據庫。除此之外，行業特殊的設備，例如銀行的ATM等，也屬于主機系統。同一臺主機系統，安裝兩種或以上操作系統主

49、要針對工作站、移動計算設備，并均能接入到網絡中的，應視為多項主機系統信息資產。工作站工作站是指信息系統中承載業務系統軟件客戶端軟件的計算環境和OA系統中個人用機。同一臺主機系統，安裝兩種或以上操作系統主要針對工作站、移動計算設備，并均能接入到網絡中的，應視為多項主機系統信息資產。安全設備安全設備主要指在信息系統中用作網絡安全保護用途的硬件設施和軟件系統，包括：防火墻、VPN、網絡入侵檢測、網閘、防病毒系統以及相關系統的控制臺軟硬件設施。存儲設備存儲設備主要指在信息系統中用作數據存儲用途的硬件設施和軟件系統，并均能接入到網絡中的信息資產。包括：DAS、NAS、SAN等軟硬件設施。業務系統業務系統

50、主要指為業務生產、管理支撐及辦公等業務需求提供服務的軟件系統，此類資產在信息資產中占有非常重要的地位。本工程所指的業務系統是指獨立應用、運作的系統，例如短消息業務系統、MISC系統、辦公自動化系統、管理信息系統等，網管系統等。業務系統屬于需要重點評估、保護的對象。業務系統作為獨立的資產存在的同時，對于其他資產又存在如下關系：作為“網絡設備、服務器、工作站、安全設備、存儲設備資產的屬性之一列出。在其資產賦值時，作為考慮的因素。應用平臺軟件主要是指提供通用服務的各種平臺系統，包括：數據庫WWW、Mail、FTP、DNS、以及專有的中間件產品等；通常將其所代表的安全屬性落實到如下局部來表達：應用平臺

51、軟件作為“服務器、工作站、安全設備、存儲設備資產的屬性之一列出，在進展資產賦值和弱點的時候，作為考慮的因素。數據及文檔數據及文檔主要指存在于電子媒介或紙制的各種數據和資料，包括源代碼、數據庫數據、業務數據、客戶數據、各種數據資料、系統文檔、運行管理規程、方案、報告、用戶手冊等。數據及文檔資產在信息資產中占有非常重要的地位，通常作為企業知識產權、競爭優勢、商業秘密的載體。屬于需要重點評估、保護的對象。通常，數據及文檔類資產需要保護的安全屬性是機密性。例如，公司的財務信息和薪酬數據就是屬于高度機密性的數據。但是，完整性的重要性會隨著機密性的提高而提高。企業內部對于數據類資產的分類方法通常根據數據的

52、敏感性Sensitivity來進展，與機密性非常類似。例如，下表是常用的一種數據分類方法：簡稱解釋/舉例公開Public不需要任何保密機制和措施，可以公開使用例如產品發表新聞等。內部Internal公司內部員工或文檔所屬部門使用，或文檔涉及的公司使用例如合同等秘密Private由和工程相關公司和客戶公司成員使用機密Confidential只有在文檔中指定的人員可使用，文檔的保管要在規定的時間內受到控制絕密Secret非文檔的擬訂者或文檔的所有者及管理者，其他指定人員在使用文檔后迅速的按要求銷毀但是，由于數據及文檔數量巨大，且對其分類存在巨大的偏差和困難，通常將其所代表的安全屬性落實到如下局部來

53、表達：作為“服務器、工作站、存儲設備資產的屬性之一列出。在進展資產賦值和弱點及威脅分析的時候，作為考慮的因素。作為“組織和人員資產的屬性之一列出。在進展弱點及威脅分析的時候，作為考慮的因素。組織和人員主要指企業與信息相關的人員和組織，包括各級安全組織，安全人員、各級管理人員，網管員，系統管理員，業務操作人員，第三方人員等與被評估信息系統相關人員和組織。組織和人員作為獨立的資產存在進展識別，但不對其進展資產賦值，對其安全性因素的考慮如下：作為“業務系統、網絡設備、服務器、工作站、安全設備、存儲設備資產的屬性之一列出。物理環境主要指支持信息系統運行的環境的非IT類的設備，主要包括機房、UPS、空調

54、、保險柜、文件柜、門禁、消防設施等。此處一般屬于物理安全的問題，主要的設備一般集中在機房內，所以評估時應重點考慮機房提供的環境安全。物理環境與其他資產存在如下關系：物理位置作為“業務系統、網絡設備、服務器、工作站、安全設備、存儲設備資產的屬性之一列出。在其弱點及威脅評估時，作為考慮的因素。信息資產分類整體圖網絡設備服務器工作站安全設備存儲設備組織和人員業務系統信息資產調查表屬性描述資產名稱在一個業務系統中不能重名資產編號全局唯一資產類型資產的類別屬性包括服務器、工作站、網絡設備、安全設備等資產子類型子類型是對類型的進一步說明，例如網絡設備中的路由器、交換機等操作系統類型設備所承載的系統的類型，

55、例如包括windows2000,windows2003,hp-unix,aix,solaris等操作系統版本號各類操作系統的版本，例如solaris2.8，8.0等操作系統補丁各類操作系統的安全補丁信息應用軟件平臺應用系統所需的應用軟件，例如WEB、J2EE等應用平臺軟件版本應用軟件所對應的相應版本。應用平臺軟件補丁應用軟件廠商發布的安全補丁。設備型號網絡、服務器、工作站等的硬件設備型號設備工作方式硬件、系統之間的工作方式，例如熱備、冷備、負載均衡等用途信息資產的主要功能。資產所在地理位置信息資產所處的地域、機房和機柜等資產所在業務系統和部門信息資產所屬的業務系統名稱和業務系統所屬的部門名稱資

56、產責任人信息資產在登記過程中的責任人。資產維護人維護信息資產的人員名稱資產安全三性安全屬性，機密性、完整性和可用性資產創立時間信息資產入網的時間資產最后修改時間信息資產功能修改、人員變換等信息更換的最后時間資產最后修改人信息資產功能修改、人員變換等信息更換的修改人員名稱保護對象框架一般來說，信息系統的資產數量十分龐大，為了更好的研究其計算機安全問題，還需要從龐大的信息資產中提煉出保護對象。保護對象框架是指以構造化的方法表達信息系統的框架模型。所謂構造化是指通過特定的構造將問題拆分成子問題的迭代方法。例如“魚刺圖或“問題樹。構造化方法包括以下幾條 基本原那么：充分覆蓋所有子問題的總和必須覆蓋原問

57、題。如果不能充分覆蓋，那么解決問題的方法就可能出現遺漏，嚴重影響本方法的可行性?；ゲ恢丿B所有子問題都不允許出現重復，類似以下的情況不應出現在一個框架中：兩個不同的子問題其實是同一個子問題的兩種表述；某一個子問題其實是另外兩個問題或多個問題的合并；不可再細分所有子問題都必須細分到不能再被細分。當一個問題經過框架分析后，所有不可再細分的子問題構成了一個“框架。保護對象的主要作用為：有助于信息資產識別的全面性。在列舉信息資產時，保護對象框架有助于識別者系統的進展思考；從資產安全估價到區域的安全性賦值，有助于降低風險分析的難度，同時確保風險分析的有效性。保護對象框架內容保護對象框架主要包括計算區域、網

58、絡及根基設施、邊界、支撐性根基設施四局部；計算區域還可作為下一級保護對象，向下細分為下一級計算區域、網絡及根基設施、邊界、支撐性根基設施。1計算區域 計算區域是指由一樣功能集合在一起，安全價值相近，且面臨相似的威脅來源的一組信息系統組成。同一計算區域內的信息資產在安全性上具有較強的同質性。計算區域還可以按照安全性能進一步細分，直至到安全性完全同質。2網絡及根基設施 網絡及根基設施是指一樣功能集合在一起，安全價值相近，且面臨相似的威脅來源的一組網絡系統組成。通常包括路由器，交換機和防火墻等提供網路服務的局域網和廣域網。3邊界 邊界是指兩個區域或兩組區域之間的隔離功能集。邊界是一組功能集合，包括訪

59、問控制，身份認證等。4支撐性根基設施支撐性根基設施是指在區域內提供安全保障功能的功能集。支撐性根基設施是一組功能集合，包括入侵檢測、審計及計算機病毒防護等。保護對象和信息資產保護對象框架就是信息系統的真實模型，計算區域、網絡與根基設施作為保護對象框架的兩類 基本元素，分別對應了不同信息資產的集合。計算區域：對應信息資產，通常包括：工作站、存儲設備，服務器，安全設備不具有訪問控制及邊界隔離功能；當計算區域作為一級保護對象框架時，應按照保護對象框架的思路向下繼續分解。網絡與根基設施：對應信息資產，通常包括：網絡設備，安全設備具有訪問控制及邊界隔離功能。邊界：對應信息資產，通常包括:網絡設備(具有訪

60、問控制及邊界隔離的功能模塊)，安全設備具有訪問控制及邊界隔離功能。支撐性根基設施：對應信息資產，通常包括：安全設備不具有訪問控制及邊界隔離功能如上信息資產和保護對象框架的關系，都為各類信息資產的一個或多個屬性。對于業務系統資產來說，在確立保護對象框架時，可以將其作為一個獨立的保護對象來對待。對于組織和人員資產，通過業務系統的屬性和相應的保護對象框架相關聯。資產識別過程繪制拓撲圖資產識別的首要步驟是繪制拓撲圖。在拓撲圖中盡可能真實地描繪拓撲圖。一般來說，拓撲圖越詳細，資產識別的精度也就越高。如果系統非常復雜，一張拓撲圖很難描述清楚，那么應采用多張拓撲圖。在安全咨詢工程中，參謀應要求用戶首先提供用