CISP-DSG-信息安全评估

信息安全评估

• 安全评估基础
• 安全评估实施

信息安全评估

安全评估基础

• 安全评估概念
  • 了解安全评估的定义，价值，风险评估工作内容及安全评估工具类型
  • 了解安全评估标准的发展

安全评估基本概念

• 什么是安全评估

  • 针对事物潜在影响正常执行其职能行为产生干扰或者破坏的因素进行识别，评价的过程

• 对安全评估的理解

  • 狭义
  • 广义
  • 风险评估是确定安全需求的重要途径

安全评估工作内容

• 确定保护的对象（保护资产）是什么？它们直接和间接的价值？
• 资产面临哪些潜在威胁？导致威胁的问题在哪里？威胁发生的可能性有多大？
• 资产中存在哪些弱点可能会被威胁所利用？利用的容易程度又如何？
• 一旦威胁事件发生，组织会遭受怎样的损失或者面临怎样的负面影响？
• 组织应该采取怎样的安全措施才能将风险带来的损失降到最低。

安全评估的价值

• 安全建设的起点和基础
• 信息安全建设和管理的科学方法
• 倡导适度安全
• 保护网络空间安全的核心要素和重要手段

风险评估工具

• 风险评估与管理工具

  • 一套集成了风险评估各类知识和判据的管理信息系统，以规范风险评估的过程和操作方法，或者是用于收集评估所需要的数据和资料，基于专家经验，对输入输出进行模型分析

• 系统基础平台风险评估工具

  • 主要用于对信息系统的主要部件（操作系统，数据库系统，网络设备等）的脆弱性进行分析，或实施基于脆弱性的攻击

• 风险评估辅助工具

  • 实现对数据的采集，现状分析和趋势分析等单项功能，为风险评估各要素的赋值，定级提供依据

安全评估基础

• 安全评估标准

  • 了解TCSEC基本目标和要求，分级等概念
  • 了解ITSEC标准的适用范围，功能准则和评估准则的级别
  • 了解ISO 15408标准的适用范围，作用和使用中的局限性
  • 了解GB/T 18336结构，作用及评估的过程
  • 理解评估对象（TOE），保护轮廓（PP），安全目标（ST），评估保证级（EAL）等关键概念
  • 了解信息安全等级测评的作用和过程

• 安全评估标准

  • TCSEC(1985)-ITSEC(1991)-FC(1992)-CTCPEC(1993)-CC1.0(1996)-CC2.0(1998)-CD1997-FCD(1998)-ISO15408(1999)-ISO15408(2005)
  • GIB2646(1996)-GB17859(1999)-GB/T18336(2001)-GB/T28336(2008)

TCSEC（可信计算机系统评估标准）

• 美国政府国防部（DoD）标准，为评估计算机系统内置的计算机安全功能的有效性设定了基本要求

  • 国家安全局的国家计算机安全中心（NCSC）于1983年发布，1985年更新，作为国防部彩虹系列出版物的核心，TCSEC经常被称为橙皮书
  • TCSEC在2005年最初公布的国际标准通用准则CC所取代了

• 基本目标和要求

  • 策略
  • 问责
  • 保证
  • 文档

• 分级

  • D-最小保护
  • C-选择保护(C1,C2) C1-自主安全保护，C2-受控访问保护
  • B-强制保护(B1,B2,B3) B1-标签安全，B2-结构化保护，B3-安全域
  • A-验证保护(A1) A1-验证设计

ITSEC（信息技术安全评估标准）

• 以超越TCSEC为目的，将安全概念分为功能于功能评估两部分

• 功能准则-在测定上分F1-F10共10级

  • 1-5级对应于TCSEC的D到A
  • 6-10级加上了以下概念
    • F6-数据和程序的完整性
    • F7-系统可用性
    • F8-数据通信完整性
    • F9-数据通信保密性
    • F10-包括机密性和完整性的网络安全

• 评估准则-分为6级

  • E1-测试
  • E2-配置控制和可控的分配
  • E3-能访问详细设计和源码
  • E4-详细的脆弱性分析
  • E5-设计与源码明显对应
  • E6-设计与源码在形式上一致

FC（联邦（最低安全要求）评估准则）

• 美国信息技术安全联邦准则（FC）

  • 1992年12月公布，是对TCSEC的升级
  • 引入了-保护轮廓（PP）这一重要概念

• 保护轮廓包括

  • 功能部分
  • 开发保证部分
  • 测评部分

• 分级方式与TCSEC不同，吸取了ITSEC,CTCPEC中的优点

• 供美国政府用，民用和商用

CC（信息技术安全评估通用标准）

• 目前最全面的信息技术安全评估准则
• 主要思想和框架取自ITSEC和FC，充分突出保护轮廓，将评估过程分功能和保证两部分
• CC强调将安全的功能与保障分离，并将功能需求分为九类63族，将保障分为七类29族
• 国际标准组织于1999年批准CC标准以ISO/IEC15408-1999编号正式列入国际标准系列

CC（信息技术安全评估通用准则）

• 我国在2008年等同采用ISO/IEC 15408-2005信息技术-安全技术-信息技术安全评估标准，形成的国家标准，标准编号为GB/T 18336
• 结构
  • GB/T 18336.1 -2008 简介和一般模型
    • 定义了IT安全评估的一般概念和原理，并提出了评估的一般模型
  • GB/T 18336.2 -2008
    • 建立一系列功能组件作为表达TOE功能要求的标准方法
  • GB/T 18336.3 -2008
    • 建立一系列保证组件作为表达TOE保证要求的标准方法

GB/T 18336(CC)的目标读者

• TOE（评估对象）的客户

  • CC从写作安排上确保评估满足用户的需求，因为这是评估过程的根本目的和理由

• TOE的开发者

  • 为开发者在准备和协助评估产品或系统以及确定每种产品和系统要满足的安全需求方面提供支持

• TOE的评估者

  • CC包含评估者判定TOE与其安全需求一致时所使用的准则

CC的关键概念

• 评估对象(Target of Evaluation, TOE)

  • 作为评估主体（产品，系统，子系统）的IT产品及系统以及相关指导性文档

• 保护轮廓(PP)

  • 满足特定用户需求的，一类TOE的，一组与实现无关的安全要求

• 安全目标(Security Target, ST)

  • 作为指定的TOE评估基础的一组安全要求和规范

• 功能

  • 规范IT产品和系统的安全行为，应做的事
  • 结构-类，族，组件

• 保证

  • 实体达到其安全性目的的信任基础，是对功能产生信心的方法
• • 为满足一组确定的安全目的而组合在一起的，一组可重用的功能或保证组件

CC的意义

• 通过评估有助于增强用户对于IT产品的安全信心
• 促进IT产品和系统的安全性
• 消除重复的评估

优势

• 国际标准化组织统一现有多种准则的努力结果
• 已有安全准则的总结和兼容，是目前最全面的评价准则
• 通用的表达方式，便于理解
• 灵活的架构，可以定义自己的要求扩展CC要求

CC的局限性

• CC标准采用半形式化语言，比较难以理解
• CC不包括那些与IT安全措施没有直接关联的，属于行政性管理安全措施的评估准则，即该标准并不关注于组织，人员，环境，设备，网络等方面的具体安全措施
• CC重点关注人为的威胁，对于其他威胁源·并没有考虑
• 并不针对IT安全性的物理方面的评估（如电磁干扰）
• CC并不涉及评估方法学
• CC不包括密码算法固有质量的评估

安全评估实施

风险评估相关要素

• 理解资产，威胁，脆弱性，安全风险，安全措施，残余风险等风险评估相关要素及相互关系

风险评估途径与方法

• 了解基线评估等风险评估途径及自评估，检查评估等风险评估方法
• 了解基于知识的评估，理解定性评估，定量评估的概念及区别并掌握定量分析中量化风险的方法

风险的构成

• 风险的构成包括五个方面
  • 起源（威胁源）
  • 方式（威胁行为）
  • 途径（脆弱性）
  • 受体（资产）
  • 后果（影响）

风险评估相关要素-资产

• 构成风险评估的资产是建立对组织具有价值的信息或资源，是安全策略保护的对象
• 风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的

风险评估相关要素-威胁

• 可能导致对系统或组织危害的不希望事故潜在起因
• 威胁可以通过威胁主体，资源，动机，途径等多种属性来描述，引起风险的外因
• 造成威胁的因素
  • 人为因素和环境因素
• 根据威胁的动机
  • 人为因素又可分为恶意和非恶意两种
  • 环境因素包括自然界不可抗的因素和其它物理因素

风险评估相关要素-脆弱性

• 可能被威胁所利用的资产或若干资产的薄弱环节
• 脆弱性是资产本身存在的，如果没有被相应的威胁利用，单纯的脆弱性本身不会对资产造成损害
• 威胁总是要利用资产的脆弱性才可能造成危害

风险评估相关要素-信息安全风险，安全措施

• 信息安全风险

  • 人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响
  • 信息安全风险只考虑那些对组织有负面影响的事件

• 安全措施

  • 保护资产，抵御威胁，减少脆弱性，降低安全事件的影响，以及打击信息犯罪而实施的各种实践，规程和机制

• 残余风险

  • 采取了安全措施后，信息系统仍然可能存在的风险

风险评估要素之间关系

风险评估途径与方式

• 风险评估途径

  • 基线评估
  • 详细评估
  • 组合评估

• 风险评估方式

  • 自评估-由组织自身发起，组织自己实施或委托第三方实施
  • 检查评估-由被评估组织的上级主管机关或业务主管机关发起

风险评估的常用方法

• 基于知识分析
• 定量分析
• 定性分析

风险评估常用方法-定量分析

• 基本概念

  • 暴露因子（Exposure Factor，EF）特定威胁对特定资产靠损失的百分比，或者说损失的程度
  • 单一预期损失（Single Loss Expectancy，SLE）也称作SOC（Single Occurrence Costs），即特定威胁可能造成的潜在损失总量
  • 年度预期损失（Annualized Loss Expectancy，ALE）或者称作EAC（Estimated Annual Cost），表示特定资产在一年内遭受损失的预期值

• 概念的关系

  • 首先识别资产并为资产赋值
  • 通过威胁和弱点评估，评价特定威胁作用于特定资产所造成的影响，即EF（取值在%0-100%之间）
  • 计算特定威胁发生的频率，即ARO
  • 计算资产的SLE
  • 计算资产的ALE

• 定量风险分析的一种方法就是计算年度损失预期值（ALE），计算公式如下

  • 年度损失预期值（ALE）= SLE x 年度发生率（ARO）
  • 单次损失预期值（SLE）= 暴露因素（EF）x 资产价值（AV）

• 定量评估计算案例

  • 计算由于人员疏忽或设备老化对一个计算机机房所造成火灾的风险

  • 假设

    • 组织在3年前计算机机房资产价值100万，当年曾经发生过一次火灾导致损失10万
    • 组织目前计算机机房资产价值为1000万
    • 经过和当地消防部门沟通以及组织历史安全事件记录发现，组织所在地及周边在5年来发生过3次火灾
    • 该组织额定的财务投资收益比是30%

  • 由上述条件可计算风险组织的年度预期损失及ROSI，为组织提供一个良好的风险管理财务清单

• 根据历史数据获得EF

  • 10万 / 100万 x 100% = 10%

• 根据EF计算目前组织的SLE

  • 1000万 x 10% = 100万

• 根据历史数据中ARO计算ALE

  • 100万 x （3/5) = 60万

• 此时获得年度预期损失值，组织需根据该损失衡量风险可接受度，如果风险不可接受则需进一步计算风险的处置成本及安全收益

  • ROSI = （实施控制前的ALE） - （实施控制后的ALE） - （年控制成本）

• 组织定义安全目标，假如组织希望火灾发生后对组织的损失降低70%，则实施控制后的ALE应为

  • 60万 x （1-70%） = 18万
  • 年控制成本 = （60-18）x 30% = 12.6万
  • 则-ROSI=60-18-12.6=29.4万

• 至此，组织通过年投入12.6万获得每年29.4万的安全投资收益

风险评估常用方法-定性分析

• 目前采用最为广泛的一种方法
• 带有很强的主观性，往往凭借分析者的经验和直觉，或者业界的标准和惯例，为风险管理者要素的大小或高低程度定性分级
• 可能性
  • 5.几乎肯定
  • 4.很可能
  • 3.有可能
  • 2.不太可能
  • 1.很罕见
• 影响
  • 5.灾难性
  • 4.较大
  • 3.中等
  • 2.较小
  • 1.可忽略

• 根据风险评估矩阵图获得风险能力，故
  • 陨石袭击虽然损失严重，但由于属于低概率事件，因此可列为低风险，接受风险
  • 电动车碰撞产生的影响远远低于陨石袭击，但由于属于高概率事件，因此被评价为严重风险，需要资产（受体），不可接受

• 案例一
  • 某人在某城市可能遭受陨石袭击，一旦被陨石击中可能导致身亡，根据当地天文数据，该城市100年未曾遭受过陨石袭击，通过风险评估矩阵可以获得如下结果

• 案例二
  • 某人在某城市可能在马路上被电动车碰撞导致受伤，根据当地交通机构统计，平均每100人就有一人曾经被电动车擦伤，通过风险评估矩阵可以获得如下结果

风险评估实施

• 风险评估的基本过程

  • 了解风险评估基本过程
  • 理解风险评估准备工作内容
  • 掌握风险识别中资产的赋值方法
  • 理解风险分析的方法
  • 了解风险结果判定，风险处理计划，残余风险评估等阶段工作内容

• 风险评估文档

  • 了解风险评估文档化工作的重要性及对文档的相关要求

风险评估的基本过程

• 风险评估是组织确定信息安全需求的过程。包括资产识别与评价，威胁和弱点评估，控制措施评估，风险认定在内的一系列活动
  

风险评估准备

• 风险评估准备是整个风险评估过程有效性的保证

  • 组织实施风险评估是一种战略性的考虑，其结果将受到组织的业务战略，业务流程，安全需求，系统规模和结构等方面的影响

• 风险评估准备工作

  • 确定风险评估的目标
  • 确定风险评估的范围
  • 组件适当的评估管理与实施团队
  • 进行系统调研
  • 确定评估依据和方法
  • 制定风险评估方案
  • 获得最高管理者对风险评估工作的支持

• 确定风险评估的目标

  • 根据满足组织业务持续发展在安全方面的需要，法律法规的规定等内容，识别现有信息系统及管理上的不足，以及可能造成的风险大小

• 确定风险评估的范围

  • 风险评估范围可能是组织全部的信息及与信息处理相关的各类资产，管理机构，也可能是某个独立的信息系统，关键业务流程，与客户知识产权相关系统或部门等

• 组建适当的评估管理与实施团队

  • 风险评估实施团队，由管理层，相关业务骨干，IT技术等人员组成风险评估小组
  • 评估实施团队应做好评估前的表格，文档，检测工具等各项准备工作，进行风险评估技术培训和保密教育，制定风险评估过程管理相关规定

• 进行系统调研

  • 系统调研是确定被评估对象的过程，风险评估小组应进行充分的系统调研，为风险评估依据和方法的选择，评估内容的实施奠定基础
  • 调研内容至少应包括-业务战略及管理制度，主要的业务功能和要求，网络结构与网络环境，包括内部连接和外部连接，系统边界，主要的硬件，软件，数据和信息，系统和数据的敏感性，支持和使用系统的人员
  • 系统调研可以采取问卷调查，现场面谈想结合的方式进行

• 确定评估依据和方法

  • 根据系统调研结果，确定评估依据和评估方法
  • 评估依据包括（但不限于）-现有国际标准，国家标准，行业标准，行业主管机关的业务系统的要求和制度，系统安全保护等级要求，系统互联单位的安全要求，系统本身的实时性或性能要求等
  • 据组织机构自身的业务特点，信息系统特点，选择适当的风险分析方法并加以明确，如定性风险分析，定量风险分析，或是半定量风险分析
  • 根据评估依据，应考虑评估的目的，范围，时间，效果，人员素质等因素来选择具体的风险计算方法，并依据业务实施对系统安全运行的需求，确定相关的判断依据，使之能够与组织环境和安全要求相适应

• 制定风险评估方案

  • 风险评估方案的目的是为后面风险评估实施活动提供一个总体计划，用于指导实施方开展后续工作
  • 风险评估方案的内容一般包括（但不限于）
    • 团队组织-包括评估团队成员，组织结构，角色，责任等内容
    • 工作计划-风险评估各阶段的工作计划，包括工作内容，工作形式，工作成果等内容
    • 时间进度安排-项目实施的时间进度安排

• 获得最高管理者对风险评估工作的支持

  • 上述所有内容确定后，应形成较为完整的风险评估实施方案，得到组织最高管理者的支持，批准
  • 对管理层和技术人员进行传达，在组织范围就风险评估相关内容进行培训，以明确有关人员在风险评估中的任务

资产识别

• 资产分类，分级，形态及资产价值评估
• 资产分类
  • 数据，软件，硬件，服务，人员，其他 GB/T20984信息安全风险评估规范
• 资产形态
  • 有形资产，无形资产
• 资产分级
  • 保密性分级，完整性分级，可用性分级
  • 资产重要性分级
• 制定资产重要性分级准则
  • 依据资产价值大小对资产的重要性划分不同的等级，资产价值依据资产的保密性，完整性和可用性上的赋值等级，经过综合评定得出
  • 赋值和重要性等级-5（很高）4（高）3（中）2（低）1（很低）

威胁识别

• 威胁类型
  • 自然因素，人为因素
• 威胁频率级别
  • 赋值和威胁出现频率级别-5（很高）4（高）3（中）2（低）1（很低）

脆弱性识别

• 脆弱性识别与威胁识别是和关系
  • 验证-以资产为对象，对威胁识别进行验证
• 脆弱性识别的难点是什么
  • 三性-隐蔽性，欺骗性，复杂性
• 脆弱性识别的方法有那些
  • 赋值和脆弱性严重程度级别-5（很高）4（高）3（中）2（低）1（很低）

确认已有的控制措施

• 依据三个报告
  • 信息系统的描述报告，信息系统的分析报告和信息系统的安全要求报告
• 确认已有的安全措施，包括
  • 技术层面（物理平台，系统平台，网络平台和应用平台）的安全功能
  • 组织层面（组织机构，岗位和人员）的安全控制
  • 管理层面（策略，规章和制度）的安全对策
  • 形成-已有安全措施列表
• 控制措施类型
  • 预防性，检测性和纠正性
• 在识别脆弱性的同时，评估人员应对已采取的安全措施的有效性进行确认，安全措施的确认应评估其有效性，对有效的安全措施继续保持，以避免不必要的工作和费用，防止重复实施

风险分析

• GB/T 20984-2007 《信息安全风险评估规范》给出信息安全风险分析思路

• 风险值 = R(A,T,V) = R(L,(T,V),F(la,Va))

  • R 表示安全风险计算函数
  • A 表示资产
  • T 表示威胁
  • V 表示脆弱性
  • la 表示安全事件所作用的资产价值
  • Va 表示脆弱性严重程度
  • L 表示威胁利用资产的脆弱性导致安全事件的可能性
  • F 表示安全事件发生后造成的损失

• 计算安全事件发生的可能性

  • 安全事件的可能性=L（威胁出现频率，脆弱性）= L(T,V)

• 计算安全事件发生后造成的损失

  • 安全事件造成的损失=F（资产价值，脆弱性严重程度）= F(la,Va)

• 计算风险值

  • 风险值=R（安全事件的可能性，安全事件造成的损失）= R(L(T,V), F(la,Va))

风险结果判定

• 评估风险的等级
  • 评估风险的等级依据，风险计算报告，根据已经制定的风险分级准则，对所有风险计算结果进行等级处理，形成风险程度等级列表
• 综合评估风险状况
  • 汇总各项输出文档和风险程度等级列表，综合评价风险状况，形成风险评估报告

风险处理计划

• 对不可接受风险应根据导致该风险的脆弱性制定风险处理计划
  • 管理措施
  • 技术措施

残余风险评估

• 实施安全措施后对措施有效性进行再评估
  • 在对于不可接受的风险选择适当安全措施后，为确保安全措施的有效性，可进行再评估，以判定实施安全措施后的残余风险是否已经降低到可接受的水平
  • 某些风险可能在选择了适当的安全措施后，残余风险的结果仍处于不可接受的风险范围内，应考虑是否接受此风险或进一步增加相应的安全措施

风险评估文档

• 准备阶段

  • 风险评估计划书
  • 风险评估方案
  • 风险评估方法和工具列表

• 风险要素识别

  • 资产清单
  • 威胁列表
  • 脆弱性列表
  • 已有安全措施列表

• 风险分析

  • 风险计算报告

• 风险结果判定

  • 风险程度等级列表
  • 风险评估报告

总结

安全评估基础

• 概念，作用，安全评估标准

安全评估实施

• 威胁，脆弱性，资产等评估重要概念
• 风险评估实施流程及方法