美国信息安全风险评估工作流程详述

    通过参考NIST SP800系列标准关于信息安全风险评估的阐述，以下列举了美国政府在实施风险评估和风险控制时的一般流程，具有普遍性，但并不意味着这是固定不变的方法。

在对信息系统的风险进行评估中，第一步是定义工作范围。在该步中，要确定信息系统的边界以及组成系统的资源和信息。对信息系统的特征进行描述后便确立了风险评估工作的范围，刻画了对系统的进行授权运行（或认可）的边界，并为风险定义提供了必要的信息（如硬件、软件、系统连通性、负责部门或支持人员）。

本附录所描述的方法学可运用于对单个或多个相关联系统的评估。在评估多个关联系统时，要在运用这些方法学之前就定义好所关心的域、全部接口及依赖关系。

识别信息系统风险时，要求对系统的运行环境有着非常深入的理解。因此从事风险评估的人员必须首先收集系统相关信息，通常这些信息分为如下几类：

Ø         硬件

Ø         软件

Ø         系统接口（如内部和外部连接）

Ø         数据和信息

Ø         信息系统的支持和使用人员

Ø         系统使命（例如信息系统实施的处理过程）

Ø         系统和数据的关键性（例如系统对于单位的价值或重要性）

Ø         系统和数据的敏感性

与信息系统及其数据的运行环境相关的其它信息还包括——但不限于——以下信息：

Ø         信息系统的功能需求

Ø         系统的用户（例如为信息系统提供技术支持的系统用户，使用信息系统完成业务功能的应用用户等）

Ø         信息系统的系统安全策略（机构策略、政府要求、法律、行业惯例等）

Ø         系统安全体系结构

Ø         当前的网络拓扑（例如网络图示）

Ø         信息系统中的信息流（例如系统接口、系统输入和输出的流程图）

Ø         信息系统的安全措施

Ø         信息系统的物理安全环境（例如设施安全、数据中心策略等）

Ø         针对信息系统处理环境而实现的环境安全（例如对湿度、水、电、污染、温度和化学物品的控制）

对于处在启动或规划阶段的系统，系统信息可以从设计或需求文档中获得。对于处于开发阶段的系统，有必要为未来的信息系统定义关键的安全规则和属性。系统设计文档和系统安全计划可以为开发阶段的信息系统提供有用的安全信息。

对于运行中的信息系统，要从其运行环境中收集信息系统的数据，包括系统配置、连接、流程方面的数据。

可以使用下列一项或多项技术在其运行边界内获取相关的系统信息：

Ø         调查问卷：要收集相关信息，风险评估人员可以设计一套关于信息系统中的安全措施的调查问卷。可将这套调查问卷发给信息系统的管理和使用人员。调查问卷也可以在现场参观和面谈时使用。

Ø         现场面谈：和信息系统的管理或使用人员面谈有助于风险评估人员收集有用的系统信息（例如系统是如何运行和管理的）。现场参观也能让风险评估人员观察并收集到信息系统在物理、环境和运行方面的信息。

Ø         文档审查：政策文档（例如法律文档、规章等）、系统文档（例如系统用户指南、系统管理员手册、系统设计和需求文档等）、安全相关的文档（例如以前的审计报告、风险评估报告、系统测试结果、系统安全计划、安全策略等）可以提供关于信息系统的安全措施方面的有用信息。对机构使命的影响进行分析或评估资产的关键性后，可以得到系统和数据的关键性和敏感性方面的信息。

Ø         使用自动扫描工具：一些主动的技术方法可以用来有效地收集系统信息。例如，网络映射工具可以识别出运行在一大群主机上的服务，并提供一个快速的方法来为目标信息系统建立轮廓。

信息收集工作可以贯穿于整个风险评估过程，从第1步（系统特征描述）一直到第9步（结果记录）。

如果没有脆弱性，威胁源无法造成风险；在确定威胁的可能性时，应该考虑威胁源、潜在的脆弱性和现有的安全措施。

本步的目标是识别出潜在的威胁源，并且编辑出一份威胁声明，其中要列出被评估的信息系统面临的潜在威胁源。

威胁源被定义为任何可能危害一个信息系统的环境或事件。

威胁源按照其性质一般可分为自然威胁和人为威胁。信息系统根据自身应用的特点和地理位置可能会面对不同的威胁源。

在评估威胁源时，要考虑可能危害信息系统及其处理环境的所有潜在威胁源。

攻击的动机和资源使得人成为了潜在的危险威胁源之一。表3概括了许多常见的人为威胁、其可能的动机、可能的攻击方法和威胁行为。这些信息对一个单位研究其面临的人为威胁环境并制定人为威胁声明非常有用。另外，以下方法也有助于标识人为威胁：审查系统的破坏历史、安全违规报告、事故报告；在信息收集过程中与系统管理员、技术支持人员、用户面谈。

应该为单位及其处理环境制定威胁声明或潜在威胁源的清单。关于威胁的信息来源一般包括——但不限于——以下方面：

Ø         信息咨询机构

Ø         事件响应或应急响应中心

Ø         大众媒体，尤其是基于Web的资源，例如安全网站

本步的目标是制定系统中可能会被威胁源利用的脆弱性（缺陷或薄弱环节）的列表。

表4中列出了一些脆弱性/威胁对的例子。

可以用系统安全测试技术来识别信息系统处理环境中的技术和非技术脆弱性。对其它资源（例如标识系统缺陷和Bug的厂商Web主页）进行检查也有好处，这些手段可以用来标识某些特定的信息系统（例如特定操作系统的一个具体版本）的脆弱性。Internet上也可查询到各方面发布的脆弱性修复办法、服务包、补丁文件以及其它可消除或减缓脆弱性的矫正措施。所记录下的系统脆弱性源将得到全面的分析，这些脆弱性源包括不限于以下内容：

Ø         信息系统在以前经过的风险评估的文档

Ø         信息系统审计报告、系统异常报告、安全检查报告、系统测试和评价报告等

Ø         脆弱性列表

Ø         软件安全分析

基于信息系统的关键性和可用的资源（例如所分配的资金、可以获得的技术、测试人员所掌握的技术），可以采用系统测试等主动方法来有效地识别系统的脆弱性，这些测试方法包括：

Ø         自动化脆弱性扫描工具

Ø         系统测试和评估（ST&E）

Ø         渗透性测试

自动化的脆弱性扫描工具可用来对一组主机或一个网络进行扫描，以找出已知的脆弱性。但是要注意到有些由自动化脆弱性扫描工具识别出来的可能的脆弱性可能无法表示系统环境中的真实脆弱性。例如，某些扫描工具在对脆弱性评级时，没有考虑现场的环境和需求。有些由这类扫描工具标记出来的脆弱性在特定现场可能并不是真正的脆弱性，而不过是它们所在的环境要求这样配置罢了。因此这种测试方法可能会产生误报。

ST&E是另一种用来在风险评估过程中识别信息系统脆弱性的技术，它包括制定并执行测试计划（例如测试脚本、测试流程和预期的测试结果）。系统安全测试的意图是测试信息系统的安全措施在运行环境中的有效性，其目的是保证所采用的控制满足了已获批准的软件和硬件安全规范，并实现了机构的安全策略和业界标准。

渗透性测试可以用来补充对安全控制的检测，并保证信息系统的各个不同方面都是安全的。当在风险评估过程中采用渗透性测试时，可以用它评估信息系统对故意规避系统安全的攻击进行抵御的能力，其目的是从威胁源的角度来对信息系统进行测试，以识别出信息系统保护计划中可能被疏忽的环节。这类可选安全测试的结果将有助于对系统脆弱性的识别。

制定安全要求核对表或使用一个已有的核对表将有助于以一种有效且系统化的方式对安全措施进行分析。安全要求核对表可以用来验证安全是否与既有的法规和政策相一致。因此，在单位的控制环境发生变化（例如安全策略、方法和要求发生变化）后，有必要对核对表进行更新，以确保其有效性。

Ø         威胁源的动机和能力。

Ø         脆弱性的性质。

Ø         安全措施的有效性。

一个潜在的脆弱性被一个给定威胁源攻击的可能性可以用高、中、低来表示。表5描述了这三个可能性级别。

Ø         系统使命（例如信息系统的处理过程）

Ø         系统和数据的关键性（系统对单位的价值和重要性）

Ø         系统和数据的敏感性

这些信息可以从现有的文档中获得，例如使命影响分析报告或资产关键性评估报告。使命影响分析将根据对资产关键性和敏感性的定量或定性评估而对单位资产面临的破坏级别进行排序。资产关键性评估活动将对关键或敏感的信息资产（例如硬件、软件、系统、服务以及相关的技术资产）进行标识和排序，是这些资产支持了单位的关键使命。

如果没有这些文档，或对单位信息资产的类似评估还没有开始进行，则可以根据系统和数据的可用性、完整性和保密性保护级别来确定其敏感性。不管用何种方法来确定敏感级，系统和信息的所有者都要负责判断其系统和信息可能遭到的影响级别。因此，在分析影响时，最好同系统和信息的拥有者商谈。

对安全事件的负面影响可以用完整性、可用性和保密性三个安全属性的损失或降低来描述。下面列出了每个安全属性的简要描述以及它们未被满足后可能带来的后果（或影响）：

Ø         完整性损失：系统和数据的完整性是指要求对信息进行保护，防止其遭到不适当的修改。如果对系统和数据进行了未授权（无论是有意还是无意的）的改动，则完整性便遭到了破坏。如果对系统或数据的这种完整性损失不加以修正，继续使用被感染的系统或被破坏的数据，便有可能会导致不精确性、欺诈或错误的决策。此外，对完整性的破坏往往是对可用性和保密性进行成功攻击的第一步。

Ø         可用性损失：如果一个关键的信息系统对其端用户是不可用的，那么单位的使命就会受影响。例如，系统功能和有效性的损失可能会延误生产时间，因此便妨碍了端用户的功能发挥。

Ø         保密性损失：系统和数据的保密性是指对信息进行保护，防止未经授权的泄露。保密信息的未授权泄露带来的影响范围很广，可以从破坏国家安全到泄露隐私数据。未授权的、非预期的或故意地泄露信息有可能会导致公众信心的下降、难堪或使机构面临法律诉讼。

有些有形影响可以通过营收损失、修复系统的成本、修复由破坏而引发的问题所需要的努力程度等定量测出。其它影响（例如公众信心损失、信用损失、单位利益的破坏）则不能用具体的数量单位来度量，而只能通过定性手段进行度量，或用高、中、低影响等术语来描述。

定量影响分析的主要优点是它对影响大小给出了度量，使得可以用成本效益分析来控制成本。缺点是它依赖于用来表示度量的数字范围，定量影响分析的结果的含义可能因而会比较模糊，还要以定性的方式对结果做解释。在确定影响大小时还经常要考虑其它因素，包括但不限于：

Ø         对威胁源在一段时间内（例如一年）利用脆弱性的频率进行估计。

Ø         威胁源每次利用脆弱性发起攻击时的近似成本。

Ø         经过对一次特定影响进行主观分析后给出的加权因素。

这一步的目的是评估信息系统的风险级别。确定一个特定的威胁/脆弱性对带来的风险时，可以将其表示为以下参数构成的函数：

Ø         给定的威胁源试图攻击一个给定的系统脆弱性的可能性；

Ø         一个威胁源成功攻击了这个系统的脆弱性后所造成的影响的程度；

Ø         规划中或现有的安全措施对于降低或消除风险的充分性。

为度量风险，首先必须制定一个风险尺度和风险级别矩阵。

将威胁的可能性（例如概率）及威胁影响的级别相乘后便得出了最终的使命风险。下面是一个关于威胁的可能性（高、中、低）和威胁影响（高、中、低）的3×3矩阵。根据现场要求和风险评估要求的粒度，有些情况下也可能使用4×4或5×5的矩阵，后者可以包括一个很低/很高的威胁可能性和一个很低/很高的威胁影响，从而产生一个很低/狠高的风险级别。“很高”的风险级别可能要求系统关闭或停止所有的信息系统集成及测试工作。

表7中的矩阵范例描述了高、中或低的总体风险级别是如何得出的。这种风险级别或等级的确定可能是主观性的。这种判断的基本原理可以用每个可能性级别上分配的概率值和每个影响级别上分配的影响值来解释。例如：

Ø         赋给每个威胁可能性级上的概率为1.0时表示高，0.5表示中，0.1表示低；

Ø         赋给每个影响级上的值为100时表示高，50表示中，10表示低。

风险尺度：高（50～100）；中（10～50）；低（1～10）

表8描述了上述矩阵中的风险级别。这种表示为高、中、低的风险尺度代表了如果给定的脆弱性被利用来攻击时，信息系统、设施或流程可能暴露出的风险程度或级别。风险尺度也表示了高级管理人员和系统拥有者对每种风险级别必须采取的行动。

在这一步里，将针对单位的运行提出可用来控制已识别出的风险的安全措施。这些措施的目标是降低信息系统的风险级别，使其达到一个可接受的水平。在对安全措施以及减缓或消除已识别风险的备选方案提出建议时，应该考虑下列因素：

Ø         所建议的选项的有效性（如系统的兼容性）

Ø         法律法规

Ø         单位的政策

Ø         对运行的影响

Ø         安全性和可靠性

建议安全措施是风险评估过程的结果，并为风险控制过程提供了输入。