计算机风险评估怎么写
我是信息安全专业的，希望下面的内容能对你有用，如果想写的比较全面，建议你综合考虑你们单位的实际情况，再进行资产的识别与估价、威胁的识别与评估这两方面的分析，如果只是为了应付，那么下面的内容再补充下改动下就OK了。
全风险评估是对信息和信息处理设施的威胁、影响和脆弱性及三者发生的可能性的评估。风险评估也是确认安全风险及其大小的过程，即利用适当的风险评估工具和方法，确定资产风险等级和优先控制顺序。可从以下几方面进行信息安全评估：
1、风险评估应考虑的因素：
（1）信息资产及其价值；
（2）对这些资产的威胁，以及它们发生的可能性；
（3）脆弱性；
（4）已有的安全控制措施。
2、信息安全评估的步骤：
（1）按照组织业务运作流程进行资产识别，并根据估价原则对资产进行估价；
（2）根据资产所处的环境进行威胁评估；
（3）对应每一威胁，对资产或组织存在的脆弱性进行评估；
（4）对已采取的安全机制进行识别和确认；
（5）建立风险测量的方法及风险等级评价原则，确定风险的大小与等级。
3、风险评估时应考虑的为题：
在进行风险评估时，要充分考虑和正确区分资产、威胁与脆弱性之间的对应关系，即：
a.一项资产可能存在多个威胁；
b.威胁的来源可能不只一个，应从人员（包括内部和外部）、环境（如自然灾害）、资产本身（如设备故障）等方面加以考虑；
c.每一威胁可能利用一个或数个脆弱性。
全面扫描后的记录就是审计报告
第二个问题第一个问题？有不明U盘插入？
这两个问题在新标准才要求的。还有你的杀毒，比如有病毒，根据审计报告进行风险评估，只要你写了过的去检查人员不会为难你们的。你把里面的U盘记录，怎么处理。你系统肯定装绑定、打印记录等打出来就是审计报告、防护之类的了吧，怎么处理
1.1. 基本原则
这个问题可以参考任何一本关于计算机网络、操作系统的教材，可以看到各式各样的要求，总体上的要求都是源于国际化的评估标准ISO来确定的。所以在这里我们不再细说，仅列表显示：
• 静态网络安全风险分析与评估；
• 网络拓扑结构安全性分析；
• 网络拓扑结构是否满足安全需求；
• 内外服务器的安全策略；
• 内部网络的安全域范围划分。
• 防火墙系统的安全性分析；
• 防火墙口令强度分析；
• 防火墙安全策略分析；
• 防火墙日志分析。
• 操作系统和服务器系统的安全性分析；
• 操作系统的版本及其补丁分析；
• 服务器的版本及其补丁分析；
• IIS的系统设置，用户管理，访问规则的风险评估；
• 提供各种网络服务软件的版本，补丁及其配置文件；
• 相关日志分析，检查可疑操作及行为；
• 检测系统后门程序。
• 网络设备的安全性分析；
• 路由器的口令强度分析；
• 交换机的划分区域分析；
• 拨号设备的安全策略分析；
• 加密设备的安全性分析；
• 数据备份的安全性分析；
• 防恶意代码的安全性分析；
• 系统处理病毒的有效性分析；
• 系统处理特洛伊木马的有效性分析。
• 提供分析报告和安全建议；
• 系统漏洞和网络漏洞扫描及安全检测；
• 系统安全检测；
• 系统帐号检测；
• 组帐号检测；
• 系统日志检测；
• 主机信任关系检测；
• 系统配置文件检测；
• 关键系统文件的基线检测；
• 口令强度检测；
• 系统安全漏洞检测；
• 系统脆弱性分析；
• 有控制的渗透检测；
• 日志文件检查；
• 提供分析报告及安全建议。
• 网络安全检测；
• 端口扫描测试；
• 拒绝服务攻击测试；
• Web 扫描和攻击测试；
• 口令强度猜测；
• 针对 Ftp 、 Sendmail 、 Telnet 、 Rpc 、 NFS 等网络服务攻击测试；
• 提供分析报告和安全建议
1.1.1. 可生存性
这个概念基于1993年Barnes提出的原始定义：将安全视为可伸缩的概念。具有可生存能力的系统，对内，不依赖于任何一个专门的组件；对外，系统可以容忍一定级别的入侵。严格的来说，这样的系统是一个具备灾难恢复容侵容错的整体，在网络攻击、系统出错和意外事故出现的情况下仍能完成其任务的特性。针对当前黑客对系统有效性攻击为目的的情况，系统的生存能力成为传统的机密性保护之外系统必备的考虑因素。系统的安全不再受某一个单一组件的制约，而成为一个拥有足够自救能力的实体。
对生存性主要考察的因素包括：
Ø 系统的具体功能：数据库？web server？还是PC？
Ø 所处物理环境：与非操作人员隔离？直接暴露在internet上？处于防火墙后或DMZ中？有无病毒防护机制或入侵检测软件？
Ø 系统各项配置：无关服务是否关闭？不必要的网络端口是否禁用？
Ø 是否配置有保证系统生存能力的部件和机制：备份机制、替换机制、服务退化机制？
1.1.2. 传统保护机制要求CIAA
1.2. 保护机制
1.2.1. 实体保护
1.2.1.1. 隔离保护
对于多线程多进程的操作系统，必须保证各个进程与线程都是相互独立彼此无影响的。结合进程的定义，因此，线程与进程所调用控制的资源必须是互不相同的，及彼此无认知。
Ø 物理隔离：不同的进程和线程使用不同的对象和设备资源
Ø 暂时隔离：同一进程在不同的时间按不同的安全需要执行
Ø 逻辑隔离：操作系统限制程序的访问：不能访问允许之外的客体
Ø 加密隔离：利用加密算法对相应对象进行加密
Ø 隔绝
1.2.1.2. 存储器保护
多道程序的最重要问题是如何防止一个程序影响其他程序的存储空间，保护存储器的有效使用成本较低，包括栅栏保护、基址边界保护和段页式保护。
1.2.1.3. 运行保护
根据安全策略，把进程的运行区域划分为同心环，进行运行的安全保护
1.2.1.4. I/O保护
将I/O视为文件，规定I/O是操作系统的特权操作，读写操作作为高层系统调用，对用户忽略操作细节
1.2.2. 标识与认证
正确识别认证和管理实体的符号，作为标识；用户名是身份认证的标识；安全级别是访问控制的标识。
1.2.3. 访问控制
1.2.3.1. 概念
操作系统安全保障机制的核心，实现数据机密性和完整性的主要手段。访问控制限制访问主体对被访问客体的访问权限，确保主体对客体的访问必须是授权访问，而且授权策略是安全的，从而保证计算机系统使用环境为合法范围。
1.2.3.2. 过程
Ø 通过“鉴别”来验证主体合法身份。
Ø 通过“授权”来限制用户对资源的访问级别。
常用的访问控制可分为自主访问控制（DAC）、强制访问控制（MAC）和基于角色的访问控制（RBAC）。
1.3. 评估方法
目前，根据我看过的资料至少有以下几种：
Ø 基于特权提升的量化评估
Ø 基于粗糙集理论的主机评估
Ø 基于弱点数目的安全评估
Ø 基于安全弱点的综合量化评估
2. 主流os基于版本的演变
2.1. Windows
2.1.1. Windows vista版本安全性比较
2.1.2. 服务器角度评估主流操作系统
服务器操作系统主要分为四大流派：WINDOWS、NETWARE、UNIX、LINUX。
Ø WINDOWS主流产品：WINNT4.0Server、Win2000/Advanced Server、Win2003/Advanced Server。
Ø NetWare主要应用于某些特定的行业中。以其优异的批处理功能和安全、稳定的系统性能也有很大的生存空间。
Ø Unix服务器操作系统是由AT&T公司和SCO公司共同推出，主要支持大型的文件系统服务、数据服务等应用。市场流传主要是SCO SVR、BSD Unix、SUN Solaris、IBM-AIX。
Ø Linux服务器操作系统是国内外几位IT前辈，在Posix和Unix基础上开发出来的，支持多用户、多任务、多线程、多CPU。因为开发源码，其成为国内外很多保密机构服务器操作系统采购的首选。主流产品Novell中文版、Red Hat、红旗Linux。
综述
优点
缺点
Windows
WINNT 4.0
直观、稳定、安全的服务器平台先河。尤为突出的是其NT架构内核意义深远。
操作直观，易于使用，功能实用，安全性能较好，可用于单一的防火墙的服务器上。
运行速度慢，功能不够完善，当进行超出系统处理能力的多项并发处理时，单个线程的不响应使系统由于不堪重负产生死机现象
Win2000/
Advanced Server
对NT内核的壳部分进行了很大程度的响应与传输优化并附加管理功能。实现速度与功能的提升，安全上修不了所有以往的后门。
操作直观、易于使用，功能随时代发展具有大幅的提升，管理更加全面，单个线程不响应问题得到解决
运行速度有所提升但仍有缺憾，系统的稳定性与安全性较NT有削弱。
Win2003/Advanced Server
继承人性化的WinXP界面，内核处理技术很大改良，安全性能很大提升，管理功能增加流行新技术
操作易用性，人性化版本，安全性Windows系列中最佳的，线程处理速度跟随硬件的发展有所提升，管理能力不小的改善。
安全性能不够完善，线程处理更加繁杂。
UNIX
SCO SVR、BSD Unix
支持网络大型文件系统、数据库系统，兼容更多的软件应用，属于非开源代码，系统稳定性与安全性地位高高在上，无法动摇
系统安全性与稳定性稳如泰山，能够支持大型文件系统与数据库系统
代码式命令触动，人性化差，阻碍中低端服务器市场的发展，深层技术研究推广有限，改善不明显。
SUN Solaris、IBM-AIX
后来居上！服务器厂商对于己身的服务器操作系统支持比较足够，对两这服务器的市场占有率及技术含量起了很大的推动作用。
支持大型文件系统与数据库、传承了UNIX一贯的高能级系统安全性、稳定性，对于系统应用软件的支持比较完善。
沾染了Unix系统的通病，人性化界面不着边，非开源使得技术层面为得到推广，不够“物美价廉”。
Linux
Red Hat、红旗Linux
中国商用化是政府采购的推动，考虑到机密数据的安全性。红旗的官方获利最大，小红帽的民间流传最广
源码开放使得技术完善从民间得到了其他厂商无法比拟的雄厚力量，其兼容、安全、稳定特性不容忽视
基于Unix的修补开发属于类Unix模式，兼容性较其他os有差距，代码输入命令为主，人性化不足，维护成本偏高。
Suse Linux
结合Linux开源与人性化界面的操作系统，绚丽而高难的三维立体空间显示！
稳定、安全，兼容性有提高，有人性化设计，漂亮的显示
兼容性照微软有差距，立体空间显示技术不成熟。
NetWare
Netware
基础设备低要求，方便的实现网络连接与支持、对无盘工作站的优化组建、支持更多应用软件的优势。
操作相对方便，设备要求低，网络组建先天优势，支持金融行业所需的无盘工作站同时节约成本，支持很多游戏软件的开发环境搭建，系统稳定性和Unix系统基本持平。
操作大部分以来手工输入命令实现，人性化弱势，硬盘识别最高只能达到1G，无法满足现代社会对于大容量服务器的需求，个版本的升级只是实现了部分功能的实现与软件支持，没有深层次的技术更新。
2.2. 多种os相互比较
2.2.1. 基于特权提升的量化评估
以下数据来自计算机风险评估课件，显示利用如题方法比较三种主流服务器的安全性能得到的结果，结论如图。比较过程不再赘述。
2.2.2. 漏洞大比拼
这里看到的数据是微软推出vista六个月的统计数据。虽然漏洞数目不足以作为说明安全性优劣的唯一证据，但是一定程度上反映了该系统即将面对的攻击威胁以及脆弱性挑战或者更是受关注度的指标。以下数据来自微软可信计算组（TCG）安全战略总监Jeff Jones。
ü Vista - 2006年11月30日正式上市，六个月内微软发布了四次大型安全公告，处理了12个影响Windows Vista的漏洞，仅有一个高危漏洞。
ü Windows XP – 2001年10月25日正式上市。前三周已披露和修复了IE中的3个漏洞。上市后六个月内修复漏洞36个，其中23个属于高危漏洞。
ü RHEL4W – 最受欢迎的Linux发行版，2005年2月15日上市，提供一般使用之前，出货的组件就有129个公开披露的bug，其中40个属于高危漏洞。上市六个月内，Red Hat修复了281个漏洞，其中86个属于高危。而对于RHEL4W精简组件版本，Red Hat修复了214个影响精简的RHEL4WS组建集漏洞，包括62个高危。
ü Ubuntu 6.06 LTS – 2006年6月1日正式上市。在此之前已公开披露的漏洞有29个，其中9个高危漏洞。上市六个月，Ubuntu修复了145个影响Ubuntu6.06 LTS的漏洞，其中47个高危。而其精简组件版本六个月内漏洞74个，其中28个高危。
ü Novell的SLED 10（SUSE Linux Enterprise Desktop 10）- 2006年7月17日正式上市，出货日期前已公开23个漏洞，六个月内对其中20个进行修复，其中5个高危漏洞。上市六个月共修复159个影响SLED 10 的漏洞，其中50个为高危。
ü Mac OS X v10.4 – 2005年4月20日正式上市，上市前批露10个漏洞，六个月内修补其中9个，包括3个高危。上市六个月内苹果公司60个影响OS X v10.4的漏洞，其中18个列为高危。
3. 系统安全风险基于时间的演变
3.1. 系统内部
这一类的问题集中在代码层，可能存在开发人员的疏忽，也可能是使用者错误操作或特殊操作引起的软件本身的漏洞和错误，更可能出于特定物理环境的诱因。从这一角度来说，系统内部威胁取决于用户需求的发展，硬件发展，编程语言环境发展等多个问题。因此，间接性的与时间挂钩！
3.2. 外来入侵
3.2.1. 病毒
最初的病毒制造者通常以炫技、恶作剧或者仇视破坏为目的；从2000年开始，病毒制造者逐渐开始贪婪，越来越多的以获取经济利益为目的；而近一两年来，黑客和病毒制造者越来越狡猾，他们正改变以往的病毒编写方式，研究各种网络平台系统和网络应用的流程，甚至杀毒软件的查杀、防御技术，寻找各种漏洞进行攻击。除了在病毒程序编写上越来越巧妙外，他们更加注重攻击“策略”和传播、入侵流程，通过各种手段躲避杀毒软件的追杀和安全防护措施，达到获取经济利益的目的。产生这种现象的原因主要有两个，一是国内互联网软件和应用存在大量安全隐患，普遍缺乏有效的安全防护措施，而是国内黑客/病毒制造者集团化、产业化运作，批量地制造电脑病毒。
3.2.2. 攻击
攻击者以前是利用高严重级别漏洞发起直接攻击，现在采用的方式转变为发现并利用第三方应用程序（如Web应用程序和Web浏览器）中的中等严重级别漏洞。这些漏洞通常被“网关”攻击加以利用，这类攻击的特点是，初始的漏洞利用并不会立即危及数据，而是先建立安身之所，随后在发起更多恶意攻击。根据赛门铁克的安全报告，互联网上的恶意活动肆虐，其中网络钓鱼、垃圾邮件、bot网络、特洛伊木马和零日威胁与日俱增。然而，过去攻击者往往是单独利用这些威胁，现在他们采用了更高明的手段，将资源整合成为全球网络，以便利于实施相互协作的犯罪活动。从而导致不同的威胁和方法逐渐相互贯通互相利用。如，有目标性的恶意代码可能利用支持Web的技术和第三方应用程序来安装后门，然后下载并安装bot软件。随后，这些bot用来分发垃圾邮件，托管网络钓鱼站点或以创建一个恶意活动协作网络的方式来发起攻击。这些网络建立之后成为恶意活动的全球网络，支持其各自的持续发展。
值得一提的是，攻击的形式也随着技术的发展而不断升级。软件虚拟化的实现，随之而来的是虚拟技术威胁的上市。针对虚拟机不对主机信息提供保护的特性，以虚拟机中实际使用的硬件为目标和对虚拟机上访客操作系统中使用的随机数生成器产生的影响为基础，演变成为新的两类威胁。
如此看来，信息时代的经济化带动了网络威胁的系统化、经济化。
本文来自CSDN博客，转载请标明出处：http://blog.csdn.net/April_ye/archive/2007/12/12/1931198.aspx
一、病毒的趋向 二、现有的计算机保密系统 三、黑客的惯用手法 四、如何保护计算机 五、信息系统该如何保护 六、系统安全
第一个问题。你系统肯定装绑定、防护之类的软件了吧。你把里面的U盘记录、打印记录等打出来就是审计报告。还有你的杀毒软件，全面扫描后的记录就是审计报告
第二个问题，根据审计报告进行风险评估，比如有病毒，怎么处理？有不明U盘插入，怎么处理？
这两个问题在新标准才要求的，只要你写了过的去检查人员不会为难你们的。
实事求事的写
风险评估分为哪几个步骤?
3、脆弱性识别与赋值：从管理和技术两个方面发现和识别脆弱性，根据被威胁利用时对资产造成的损害进行赋值。4、风险值计算：通过分析上述测试数据，进行风险值计算，识别和确认高风险，并针对存在的安全风险提出整改建议。5、被评估单位可根据风险评估结果防范和化解信息安全风险，或者将风险控制在可接受的...
什么是风险评估 风险评估常用方法
风险评估的定义及常用方法如下：一、风险评估：风险评估（Risk Assessment） 是指，在风险事件发生之前或之后（但还没有结束），该事件给人们的生活、生命、财产等各个方面造成的影响和损失的可能性进行量化评估的工作。即，风险评估就是量化测评某一事件或事物带来的影响或损失的可能程度。二、常用方法：1...
怎么计算风险值?
风险值是指正常市场状态规定置信度的情况下，在给定时间段内预期损耗的一个量度标准。在安全风险评估里，根据安全事件发生的可能性以及安全事件出现后的损失，计算对组织的影响的值。公式：风险值=风险发生概率*风险发生后的后果一、风险的分类按照性质1.纯粹风险：纯粹风险是指只有损失机会而无获利可能的...
农行网上理财每次都要填风险评估
个人网银操作理财产品风险评测的方法：登录个人网银，点击“投资→理财产品→风险承受能力评测”。通过测试可确定您的风险等级，您可根据测试的所属风险类型，选择与您风险承受能力相适应的理财产品。风险类型评估于录入当日生效，其有效期为一年，过期需重新进行风险评估。在风险承受能力评测未到期时可进行多次...
危险因素强度怎么划分
在风险评估中，D值是一个关键指标，用于衡量危害因素的强度。计算公式为D=L×E×C，其中L代表暴露于危险环境的频率，E表示发生事故的概率，C则是事故后果的严重程度。根据D值的不同区间，危害因素被划分为五个等级。当D值超过320时，被归为五级风险。这意味着危害因素不仅高度危险，而且具有极大的...
财务风险控制体系包括什么?
它属于事前监测,并相应地融入到银行的财务控制、考核、分析、决策中,把过去和未来有机地结合起来。一是要对无法规避和已经发生的财务风险进行记录;二是要对已采取的风险防范对策进行评估、总结,将其结果写入资料库。 怎样对财务经营活动的风险评估,指导,跟踪和财务风险控制 风险评估包括风险识别、风险分析和风险评价...
技术评估报告怎么写
问题一:项目评估报告怎么写 项目评估报告范文 一、概况 (一)概况 (二)项目概况 二、对项目建设必要性的评估 三、建设条件评估 四、技术评估 五 环境评估 六风险评估 七、盈亏平衡分析………(略)。 八、总评估 (一)该项目建设,对,,,都具有重要作用。 (二)在××市 *** 直接领导和有...
银行对客户风险评估的方法是怎样的
1.蒙特卡罗模拟方法蒙特卡罗模拟方法,是一种随机模拟数学的方法。该方法用来分析评估风险发生可能性、风险的成因、风险造成的损失或带来的机会等变量在未来变化的概率分布。2.决策树法决策树法是指利用图解的形式,将风险因素层层分解,绘制成树状图,逐项计算其概率和期望值,进行风险评估和方案的比较和选择。
信息安全风险评估包括哪些?
信息安全风险评估包括：A . 信息资源面临威胁 B . 信息资源的脆弱性 C . 需保护的信息资产 D . 存在的可能风险 信息安全风险评估是从风险管理的角度，运用科学的手段，系统的分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，为防范和化解信息安全风险，或者将...
中行个人网银如何重新做理财风险评估?
任何一个重大事项的出台实施,必然涉及群众的切身利益,必然会带来一定的社会稳定风险。推行重大事项社会稳定风险评估机制,就是要积极稳妥地把改革的力度、发展的速度和社会可承受的程度有机统一起来,从源头上防范、控制和降低社会稳定风险,实现从被动“保稳定”到主动“创稳定”的转变。五千年文博园开园暨第三届中国花...