搜索

[15871] 2020-09-19_重新思考风险分析与管理

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-09-19_重新思考风险分析与管理 重 新 思 考 风 险 分 析 与 管 理 A v e n g e r   F r e e B u f   2 0 2 0 - 0 9 - 1 9 在 安 全 领 域 ， 风 险 分 析 是 很 常 见 的 。 “ 风 险 ” 这 个 概 念 不 仅 在 安 全 领 域 出 现 ， 也 存 在 于 生 活 中 的 各 个 方 面 。 但 是 定 义 风 险 是 十 分 困 难 的 ， 本 文 想 要 厘 清 各 种 学 术 表 述 与 各 种 标 准 中 “ 风 险 ” 的 概 念 ， 同 时 加 深 对 “ 风 险 ” 的 理 解 。 定 义 定 义 首 先 来 探 讨 风 险 的 定 义 。 根 据   I S O / I E C   2 7 0 0 5   信 息 安 全 技 术 风 险 管 理 标 准 ， 风 险 被 定 义 为 ： 给 定 威 胁 利 用 单 个 或 多 个 资 产 的 脆 弱 性 对 组 织 造 成 危 害 的 可 能 性 ， 根 据 事 件 发 生 的 可 能 性 以 及 后 果 进 行 衡 量 。 该 定 义 认 为 假 定 的 威 胁 利 用 资 产 的 脆 弱 性 对 组 织 产 生 不 良 影 响 的 可 能 性 要 通 过 事 件 发 生 的 概 率 与 产 生 的 结 果 进 行 组 合 评 估 。 定 义 包 括 两 种 类 型 的 定 义 ， 接 着 逐 个 进 行 讨 论 。 定 义 一 ： 概 率 定 义 一 ： 概 率 × 影 响 影 响 上 述 定 义 已 经 被 业 界 认 为 是 风 险 的 标 准 定 义 ， 可 以 表 示 为 ： 风 险 = 发 生 概 率 × 影 响 首 先 ， 事 件 发 生 的 概 率 是 指 安 全 事 件 实 际 发 生 的 可 能 性 。 另 一 方 面 ， 影 响 是 指 由 安 全 事 件 引 发 的 损 失 。 如 果 这 两 个 因 素 已 知 确 定 ， 那 么 就 可 以 定 量 的 衡 量 安 全 风 险 。 风 险 分 析 的 结 果 将 可 以 在 发 生 概 率 与 影 响 程 度 矩 阵 中 进 行 可 视 化 ， 该 矩 阵 被 称 为 风 险 分 析 的 结 果 将 可 以 在 发 生 概 率 与 影 响 程 度 矩 阵 中 进 行 可 视 化 ， 该 矩 阵 被 称 为   R - M a p （ 风 险 坐 标 图 ） （ 风 险 坐 标 图 ） 。 这 样 两 个 坐 标 轴 都 可 以 尽 可 能 地 保 持 简 单 ， 而 且 可 用 非 安 全 领 域 人 士 可 以 理 解 的 术 语 （ 概 率 与 影 响 ） 来 表 达 风 险 。 因 此 ， 本 类 图 表 通 常 用 于 向 管 理 层 进 行 解 释 描 述 。
定 义 二 ： 威 胁 定 义 二 ： 威 胁 / 资 产 资 产 / 漏 洞 漏 洞 现 在 ， 我 们 确 定 风 险 可 以 用 发 生 概 率 与 影 响 程 度 进 行 衡 量 。 接 着 的 问 题 是 如 何 评 估 发 生 的 概 率 和 影 响 程 度 。 老 实 如 何 评 估 发 生 的 概 率 和 影 响 程 度 。 老 实 说 ， 这 是 一 个 棘 手 的 问 题 ， 没 人 能 够 清 楚 地 解 释 网 络 风 险 发 生 的 可 能 性 说 ， 这 是 一 个 棘 手 的 问 题 ， 没 人 能 够 清 楚 地 解 释 网 络 风 险 发 生 的 可 能 性 。 因 此 ， 我 们 采 用 风 险 的 另 一 部 分 定 义 来 分 析 风 险 本 身 ， 并 用 于 考 虑 事 件 发 生 的 可 能 性 和 影 响 程 度 。 回 顾   I S O   标 准 对 风 险 的 早 期 定 义 ， 风 险 由 三 个 因 素 确 定 ： 风 险 = 威 胁 × 脆 弱 性 × 资 产 现 在 可 能 对 威 胁 、 资 产 、 与 漏 洞 不 甚 了 解 ， 但 是 稍 后 我 们 将 会 逐 一 介 绍 。 由 于 可 以 更 具 体 地 进 行 评 估 ， 因 此 该 定 义 在 实 践 中 更 易 于 使 用 。 在 对 每 个 元 素 进 行 具 体 解 释 前 ， 重 新 回 顾 一 下 定 义 一 与 定 义 二 的 关 系 。 在 实 际 风 险 分 析 中 ， 可 以 说 首 先 调 查 了 威 胁 、 漏 洞 与 资 产 ， 然 后 从 结 果 中 得 出 了 安 全 事 件 发 生 的 可 能 性 与 影 响 程 度 。 出 现 概 率 = 威 胁 × 漏 洞 影 响 程 度 = 资 产 现 在 ， 应 该 已 经 解 释 清 楚 这 两 种 定 义 的 关 系 了 ： 风 险 = 概 率 × 影 响 = 威 胁 × 脆 弱 性 × 资 产 资 产 资 产 要 搞 清 楚 的 第 一 个 定 义 就 是 资 产 。 资 产 是 “ 受 到 信 息 安 全 保 护 的 对 象 ” ， 包 括 以 下 内 容 ： 个 人 信 息 （ P I I / P H I ）
客 户 的 信 息 / 机 密 的 信 息 认 证 信 息 财 务 信 息 （ 银 行 账 户 信 息 、 信 用   卡 信 息 ） 知 识 产 权 信 息 （ 产 品 文 档 、 专 利 文 档 、 源 代 码 ） 企 业 品 牌 形 象 在 考 虑 安 全 时 ， 首 先 要 确 切 地 知 道 要 保 护 什 么 。 如 果 不 知 道 资 产 都 有 哪 些 ， 最 终 将 会 出 现 错 位 。 例 如 ， 在 没 有 资 产 需 要 保 护 的 情 况 下 购 买 防 火 保 险 箱 或 者 在 储 物 柜 中 存 放 稀 有 宝 石 。 要 保 护 的 资 产 被 称 为   C r o w n   J e w e l ， 识 别 此 类 资 产 的 分 析 方 法 被 称 为   C J A （ C r o w n   J e w e l   A n a l y s i s ） 。 确 实 需 要 一 种 方 法 来 让 我 们 知 道 要 保 护 什 么 、 列 出 拥 有 的 资 产 并 对 优 先 级 进 行 排 序 。 漏 洞 漏 洞 漏 洞 意 味 着 存 在 固 有 的 安 全 缺 陷 或 不 足 。 值 得 注 意 的 是 ， 漏 洞 是 防 御 者 可 以 控 制 的 部 分 。 经 过 多 次 风 险 分 析 后 ， 漏 漏 洞 是 防 御 者 可 以 控 制 的 部 分 。 经 过 多 次 风 险 分 析 后 ， 漏 洞 应 该 是 着 力 改 善 的 部 分 洞 应 该 是 着 力 改 善 的 部 分 。 需 要 在 三 个 层 次 （ 3 P ） 考 虑 缺 陷 ： 产 品 ： 产 品 缺 陷 包 括 “ 未 修 复 的   W e b   服 务 器 ” 、 “ 网 络 未 部 署   I D S ” 、 “ 信 息 资 产 对 外 暴 露 ” 等 流 程 ： 流 程 缺 陷 意 味 着 可 能 存 在 未 正 确 管 理 的 资 产 或 未 打 补 丁 的 服 务 器 人 ： 人 的 缺 陷 包 括 诸 如 社 会 工 程 学 和 网 络 钓 鱼 之 类 的 问 题 。 但 是 人 的 缺 陷 通 常 要 在 安 全 意 识 上 进 行 改 进 威 胁 威 胁 威 胁 有 多 种 定 义 ， 但 最 重 要 的 是 必 须 从 攻 击 者 的 角 度 思 考 威 胁 。 威 胁 定 义 为 ： 威 胁 = 攻 击 意 图 × 机 会 × 能 力 但 是 从 风 险 分 析 的 角 度 来 看 ， 应 该 指 出 机 会 与 前 面 提 到 的 脆 弱 性 是 相 同 的 。 从 攻 击 者 的 角 度 来 看 ， 有 能 力 进 行 攻 击 从 攻 击 者 的 角 度 来 看 ， 有 能 力 进 行 攻 击 等 同 于 从 防 御 者 的 角 度 看 的 脆 弱 性 等 同 于 从 防 御 者 的 角 度 看 的 脆 弱 性 。 基 于 以 上 描 述 ， 在 风 险 分 析 中 考 虑 威 胁 时 ， 通 常 可 以 只 通 过 攻 击 意 图 × 能 力 继 续 评 估 （ 将 机 会 的 部 分 留 给 脆 弱 性 评 估 ） 。 风 险 管 理 流 程 风 险 管 理 流 程 在 深 入 探 讨 风 险 分 析 方 法 的 细 节 之 前 ， 首 先 探 讨 下 上 层 概 念 风 险 管 理 。 根 据   N I S T   S P   8 0 0 - 3 0   信 息 技 术 系 统 风 险 管 理 指 南 的 描 述 ， 风 险 管 理 遵 循 如 下 流 程 ：
在 评 估 （ A S S E S ） 阶 段 评 估 存 在 哪 些 风 险 ； 在 响 应 （ R E S P O N D ） 阶 段 对 存 在 的 风 险 进 行 评 估 ； 在 监 控 （ M O N I T O R ） 阶 段 对 风 险 进 行 相 应 的 监 控 。 F R A M E   是 一 个 支 持 风 险 管 理 的 框 架 ， 表 示 应 该 循 环 迭 代 该 过 程 而 是 一 个 支 持 风 险 管 理 的 框 架 ， 表 示 应 该 循 环 迭 代 该 过 程 而 非 一 次 性 的 工 作 非 一 次 性 的 工 作 。 扩 展 扩 展 本 文 引 入 了 “ 发 生 概 率 × 影 响 程 度 = 威 胁 × 脆 弱 性 × 资 产 ” 作 为 风 险 的 定 义 ， 但 这 个 定 义 并 不 是 唯 一 的 。 例 如 ， 某 些 定 义 采 用 “ 威 胁 × 漏 洞 ” 的 表 述 。 分 析 特 定 资 产 的 风 险 ， 通 过 两 个 部 分 来 简 化 风 险 分 析 也 可 以 可 行 的 。 F A I R   I n s t i t u t e   发 布 的   F A I R 框 架 来 使 用 了 一 个 以 “ 发 生 概 率 × 影 响 ” 为 核 心 的 框 架 概 念 。 无 论 使 用 哪 种 定 义 ， 正 确 理 解 风 险 都 是 很 重 要 的 。 总 结 总 结 本 文 介 绍 了 风 险 的 定 义 、 风 险 的 三 要 素 （ 资 产 、 脆 弱 性 和 威 胁 ） 、 风 险 管 理 流 程 。 后 续 将 会 介 绍 风 险 管 理 的 流 程 与 特 定 的 风 险 分 析 方 法 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理