搜索

[15923] 2020-10-03_重新思考风险分析与管理（三）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-10-03_重新思考风险分析与管理（三） 重 新 思 考 风 险 分 析 与 管 理 （ 三 ） A v e n g e r   F r e e B u f   2 0 2 0 - 1 0 - 0 3 此 前 介 绍 了   N I S T   S P 8 0 0 - 3 0   风 险 管 理 过 程 中 的 “ 评 估 ” 阶 段 ， 本 文 会 介 绍 剩 余 的 两 个 部 分 ： “ 响 应 ” 与 “ 监 控 ” 。 响 应 阶 段 响 应 阶 段 通 过 风 险 分 析 确 定 风 险 后 ， 就 要 应 对 相 应 的 风 险 。 风 险 管 理 策 略 有 如 下 四 种 类 型 ， 通 常 来 说 降 低 风 险   - >   承 担 风 险 是 一 个 普 遍 的 策 略 。 降 低 风 险 通 过 引 入 安 全 控 制 来 降 低 风 险 承 担 风 险 根 据 管 理 层 的 判 断 接 受 剩 余 风 险 风 险 转 移 将 风 险 转 移 给 第 三 方 ， 例 如 使 用 网 络 保 险 以 及 第 三 方 产 品 与 服 务 规 避 风 险 消 除 风 险 ， 例 如 为 了 避 免 风 险 可 能 禁 止 通 过 电 子 邮 局 与 客 户 进 行 沟 通 五 种 安 全 控 制 五 种 安 全 控 制 通 常 在 风 险 缓 解 中 实 施 安 全 控 制 ， 安 全 控 制 也 通 常 分 为 多 个 类 别 ： 指 挥 控 制 （ 指 令 ） 促 进 所 需 应 为 或 者 抑 制 错 误 行 为 ， 例 如 进 行 规 则 和 意 识 的 培 训 拒 止 控 制 （ 预 防 ） 禁 止 、 限 制 或 阻 止 某 些 恶 意 行 为 ， 例 如 访 问 控 制 侦 测 控 制 检 测 恶 意 行 为 ， 例 如   I D S   或   E D R 纠 正 控 制 （ 恢 复 ）
纠 正 监 测 到 的 安 全 事 件 ， 例 如 备 份 备 用 控 制 （ 补 偿 ） 如 果 有 各 种 理 由 不 能 采 取 控 制 措 施 ， 请 采 取 替 代 措 施 以 降 低 风 险 这 里 的 重 点 是 ， 从 纵 深 防 御 的 角 度 触 发 ， 组 合 多 种 类 型 的 防 御 方 式 非 常 重 要 从 纵 深 防 御 的 角 度 触 发 ， 组 合 多 种 类 型 的 防 御 方 式 非 常 重 要 。 例 如 ， 通 过 访 问 控 制 实 施 预 防 性 控 制 措 施 ， 然 后 通 过 日 志 监 控 实 施 启 发 式 控 制 措 施 。 监 控 阶 段 监 控 阶 段 风 险 管 理 过 程 中 最 后 的 部 分 是 监 控 。 在 此 过 程 中 ， 可 以 从 以 下 角 度 监 控 风 险 和 响 应 ， 如 果 有 任 何 变 更 就 需 要 重 新 进 行 风 险 分 析 与 风 险 响 应 。 风 险 应 对 策 略 是 否 合 适 ？ 安 全 控 制 措 施 是 否 有 效 ？ 新 的 风 险 是 否 出 现 ？ 简 化 风 险 管 理 流 程 简 化 风 险 管 理 流 程 综 上 所 述 ， 风 险 管 理 是 指 进 行 风 险 分 析 风 险 管 理 是 指 进 行 风 险 分 析   - >   风 险 处 理 风 险 处 理   - >   风 险 监 控 的 过 程 风 险 监 控 的 过 程 。 因 此 ， 风 险 管 理 不 过 是 重 复 这 个   P D C A 周 期 。 简 化 风 险 分 析 简 化 风 险 分 析 此 前 ， 我 们 将 风 险 表 述 为 将 风 险 表 述 为 “ 威 胁 威 胁 × 脆 弱 性 脆 弱 性 × 资 产 资 产 ” 。 但 是 在 某 些 风 险 分 析 中 ， 仅 通 过 “ 威 胁 × 脆 弱 性 ” 来 进 行 风 险 分 析 。 此 外 ， 也 可 以 使 用   C S C   等 框 架 根 据 脆 弱 性 进 行 风 险 评 估 。 这 样 一 来 就 简 化 了 风 险 评 估 的 过 程 。 例 如 ， 如 果 资 产 分 析 的 类 型 可 能 导 致 分 析 结 果 不 稳 定 、 “ 没 有 多 种 类 型 的 资 产 / 任 何 资 产 的 信 息 泄 露 对 业 务 影 响 都 很 大 ” 的 情 况 下 则 可 以 将 其 省 略 。 也 可 以 忽 略 威 胁 ， 例 如 ， 在 “ 特 定 情 况 下 为 威 胁 ” 或 “ 有 必 要 应 对 任 何 威 胁 ” 的 情 况 下 ， 可 能 不 可 避 免 地 要 考 虑 该 威 胁 。 如 果 不 是 这 种 情 况 ， 可 以 忽 略 威 胁 。 资 产 和 威 胁 是 防 御 方 难 以 控 制 的 参 数 ， 因 为 某 些 情 况 对 这 两 部 分 进 行 分 类 时 可 以 适 当 进 行 简 化 资 产 和 威 胁 是 防 御 方 难 以 控 制 的 参 数 ， 因 为 某 些 情 况 对 这 两 部 分 进 行 分 类 时 可 以 适 当 进 行 简 化 。 清 单 方 法 与 场 景 方 法 清 单 方 法 与 场 景 方 法 如 上 所 述 ， 简 化 风 险 分 析 并 使 用 简 化 风 险 分 析 并 使 用   C S C   漏 洞 评 估 的 风 险 分 析 方 法 被 称 为 清 单 方 法 漏 洞 评 估 的 风 险 分 析 方 法 被 称 为 清 单 方 法 。 这 种 方 式 需 要 准 备   C S C   的 检 查 表 ， 通 过 是 否 或 五 步 评 估 来 测 量 成 熟 度 。 这 种 方 法 本 身 是 一 个 很 好 的 起 始 点 ， 这 样 做 可 以 很 容 易 搞 清 楚 要 做 什 么 。 C I S   C A S T 也 是 一 种 典 型 的 清 单 方 法 。 当 然 ， 我 们 不 建 议 止 步 于 清 单 方 法 。 相 反 的 ， 将 清 单 应 用 于 网 络 图 中 ， 使 用 基 于 场 景 的 分 析 方 法 进 行 分 析 ， 这 样 相 反 的 ， 将 清 单 应 用 于 网 络 图 中 ， 使 用 基 于 场 景 的 分 析 方 法 进 行 分 析 ， 这 样 可 以 更 充 分 地 考 虑 攻 击 场 景 ， 如 果 不 这 样 做 可 能 会 存 在 疏 漏 可 以 更 充 分 地 考 虑 攻 击 场 景 ， 如 果 不 这 样 做 可 能 会 存 在 疏 漏 。 可 以 举 一 个 例 子 ， 假 如   X   公 司 的 所 有 重 要 业 务 系 统 和 业 务 数 据 都 在 云 端 。 使 用 清 单 方 法 进 行 检 查 时 ， 一 切 （ 相 对 于 内 部   O A ） 都 是 完 美 无 缺 的 ， 在 这 种 情 况 下 ， 我 们 可 以 说 已 经 完 成 了 正 确 的 风 险 分 析 吗 ？ 答 案 是 否 定 的 ， 上 述 情 况 下 应 该 将 云 攻 击 视 为 一 种 攻 击 方 案 。 但 是 如 果 只 关 注 清 单 而 忽 略 了 网 络 部 署 情 况 以 及 实 际 的 攻 击 情 况 ， 就 会 产 生 疏 漏 。 因 此 ， 检 查 清 单 是 一 种 好 方 法 ， 但 是 要 意 识 到 需 要 对 攻 击 进 行 分 析 ， 以 免 丢 失 检 查 清 单 的 本 质 。 总 结 总 结
本 文 介 绍 了 风 险 管 理 过 程 的 其 余 阶 段 ， 还 谈 到 了 基 于 场 景 的 分 析 方 法 的 重 要 性 。 相 关 内 容 可 以 扩 展 阅 读   N I S T   推 出 的 风 险 管 理 框 架 （ R M F ） 。 风 险 分 析 与 风 险 管 理 是 相 关 安 全 措 施 的 基 础 ， 如 果 这 一 系 列 文 章 能 够 对 读 者 产 生 帮 助 那 就 再 好 不 过 了 ， 暂 时 没 有 相 关 的 内 容 可 以 清 楚 地 对 这 些 问 题 进 行 描 述 。 参 考 来 源 参 考 来 源 h t t p s : / / w w w . s c i e n t i a - s e c u r i t y . o r g / e n t r y / 2 0 2 0 / 0 4 / 0 7 / 2 3 0 3 1 7 精 彩 推 荐 精 彩 推 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理