软考-信息安全工程师学习笔记74—— 络安全风险评估技术方法

络安全风险评估的技术方法

资产信息收集

通过调查表形式，查询资产登记数据库，对被评估的 络信息系统的资产信息进行收集，以掌握被评估对象的重要资产分布，进而分析这些资产所关联的业务、面临的安全威胁及存在的安全脆弱性。

络拓扑发现

络拓扑发现工具用于获取被评估 络信息系统的资产关联结构信息，进而获取资产信息。

常见的 络拓扑发现工具有ping、traceroute 以及 络管理综合平台。

络安全漏洞扫描

络安全漏洞扫描可以自动搜集待评估对象的漏洞信息，以评估其脆弱性。一般可以利用多种专业的扫描工具，对待评估对象进行漏洞扫描，并对不同的扫描结果进行交叉验证，形成扫描结果记录。

漏洞扫描主要内容有：

常用的扫描工具如下:

人工检查

人工检查是通过人直接操作评估对象以获取所需要的评估信息。一般进行人工检查面，要事先设计好“检查表(CheckList)“,然后评估工作人员按照“检查表”进行查找，以发现系统中的 络结构、 络设备、服务器、客户机等所存在的漏洞和成胁。

络安全渗透测试

络安全渗透测试是指在获得法律授权后，模拟黑客攻击 络系统，以发现深层次的安全问题。其主要工作有目标系统的安全漏洞发现、 络攻击路径构造、安全漏洞利用验证等。

常见的渗透测试集成工具箱有BackTrack 5、Metasploit、 Cobalt Strike等。

问卷调查

问卷调查采用书面的形式获得被评估信息系统的相关信息，以掌握信息系统的基本安全状况。

问卷调查一般根据调查对象进行分别设计，问卷包括管理类和技术类。

管理调查问卷涵盖安全策略、安全组织、资产分类和控制、人员安全、业务连续性等，管理调查问卷主要针对管理者、操作人员;

技术调查问卷主要包括物理和环境安全、 络通信、系统访问控制和系统开发与维护，调查对象是IT技术人员。

络安全访谈

安全访谈通过安全专家和 络系统的使用人员、管理人员等相关人员进行直接交谈，以考查和证实对 络系统安全策略的实施、规章制度的执行和管理与技术等一系列情况。

审计数据分析

审计数据分析通常用于威胁识别，审计分析的作用包括侵害行为检测、异常事件监测、潜在攻击征兆发觉等。

审计数据分析常常采用数据统计、特征模式匹配等多种技术，从审计数据中寻找安全事件有关信息。

人侵监测

入侵监测是威胁识别的重要技术手段。 络安全风险评估人员将入侵监测软件或设备接入待评估的 络中，然后采集评估对象的威胁信息和安全状态。

入侵监测软件和设备有许多，按照其用途来划分，可粗略分成主机入侵监测、 络入侵监测、应用入侵监测。

常用于进行入侵监测的工具和系统如下:

学习参考资料：

信息安全工程师教程（第二版）

建群 培信息安全工程师系列视频教程

信息安全工程师5天修炼