本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。
一、网络安全风险评估概述
1.1 基本定义
网络安全风险评估是依据有关信息安全技术和管理标准，对网络系统的保密性、完整性、可控性和可用性等安全属性进行科学评价的过程。
评估内容：网络系统的脆弱性、网络安全威胁以及脆弱性被威胁者利用后所造成的实际影响，并根据安全事件发生的可能性和影响大小来确认网络安全风险等级。
通俗理解：评估威胁者利用网络资产的脆弱性，造成网络资产损失的严重程度。
1.2 风险值计算
网络安全风险值可以等价为安全事件发生的概率（可能性）与安全事件的损失的乘积：
R=f(Ep,Ev)R = f(E_p, E_v)R=f(Ep,Ev)
其中 EpE_pEp 为事件发生概率，EvE_vEv 为事件损失值。
计算示例：攻击概率50%（0.5），可能损失50万元，则风险值 = 0.5 × 50万 = 25万元，属于较高风险值，需重点防范。
1.3 风险评估五要素
| 要素 | 说明 |
|---|---|
| 资产 | 评估的保护对象 |
| 威胁 | 可能对资产造成危害的来源 |
| 脆弱性 | 资产存在的可被利用的弱点 |
| 安全措施 | 已部署的防护手段 |
| 风险 | 威胁利用脆弱性造成损失的可能性和程度 |
关联关系：威胁利用脆弱性作用于资产，安全措施用于降低风险。
1.4 风险评估三种模式
| 模式 | 实施主体 | 特点 |
|---|---|---|
| 自评估 | 网络系统拥有者依靠自身力量 | 内部资源进行，成本低 |
| 检查评估 | 网络安全主管机关或业务主管机关发起 | 依据法律法规、安全标准进行检查 |
| 委托评估 | 委托具有风险评估能力的专业评估机构 | 等保二级/三级评测常见模式 |
二、网络安全风险评估过程
风险评估工作主要包括七个环节：
①评估准备 → ②资产识别 → ③威胁识别 → ④脆弱性识别
→ ⑤已有安全措施分析 → ⑥风险分析 → ⑦风险处置与管理2.1 评估准备
确定评估对象和范围，范围一般包括：
- 网络系统拓扑结构
- 网络通信协议
- 网络地址分配
- 网络设备（交换机/路由器）
- 网络服务（Web/FTP/邮件）
- 网上业务类型与业务信息流程
- 网络安全防范措施（防火墙/IDS/监控系统）
- 网络操作系统
- 网络相关人员
- 网络物理环境（建筑/设备位置）
核心产出：《网络风险评估范围界定报告》，是后续工作的范围限定，可避免后期需求蔓延。
考试重点：准备阶段输出的文档名称是高频考点。
2.2 资产识别
资产识别包含两个步骤：
① 网络资产鉴定：确认网络资产种类和清单。常见网络资产：网络设备、主机、服务器、应用、数据和文档资产。
② 网络资产价值估算：确定资产在系统中的重要程度。
注意 ：价值估算不是资产的物理实际经济价值，而是相对价值，以资产的三个基本安全属性（保密性、完整性、可用性）为基础衡量，由安全属性未满足时对资产自身及关联业务的影响大小决定。
资产等级划分（五级）：
| 等级 | 标识 | 描述 |
|---|---|---|
| 5 | 很高 | 非常重要，安全属性破坏后可能造成非常严重的损失 |
| 4 | 高 | 重要，安全属性破坏后可能造成比较严重的损失 |
| 3 | 中等 | 比较重要，安全属性破坏后可能造成中等程度的损失 |
| 2 | 低 | 不太重要，安全属性破坏后可能造成较低的损失 |
| 1 | 很低 | 不重要，安全属性破坏后损失很小甚至可忽略 |
保密性赋值（五级）：
- 5级：包含组织最重要的秘密，关系未来发展前途命运，泄露造成灾难性损害
- 4级：包含组织重要秘密，泄露使安全和利益遭受严重损害
- 3级：组织一般性秘密，泄露使安全和利益受到损害
- 2级：仅能在组织内部或某部门内部公开的信息
- 1级：可对社会公开的信息
完整性赋值（五级）：
- 5级：完整性价值非常关键，未经授权修改破坏造成重大或无法接受影响，业务冲击重大，可能造成严重业务中断，难以弥补
- 4级：完整性价值较高，未经授权修改破坏造成重大影响，较难弥补
- 3级：完整性价值中等，未经授权修改破坏造成影响，但可以弥补
- 2级：完整性价值较低，未经授权修改破坏造成轻微影响，容易弥补
- 1级：完整性价值非常低，影响可忽略
可用性赋值（五级）：
- 5级：可用度达到年度99.9%以上，或系统不允许中断
- 4级：日可用度达到90%以上，或系统允许中断时间小于10分钟
- 3级：正常工作时间可用度达到70%以上，或允许中断小于30分钟
- 2级：正常工作时间可用度达到25%以上，或允许中断小于60分钟
- 1级：正常工作时间可用度低于25%
2.3 威胁识别
威胁识别是对网络资产可能受到的安全危害进行分析，一般从威胁来源、威胁途径、威胁能力、威胁效果、威胁意图、威胁频率等方面分析。
威胁源分类：
| 分类 | 说明 |
|---|---|
| 自然威胁 | 雷电、洪水、地震、火灾等 |
| 人为威胁 | 盗窃、破坏、网络攻击等 |
基于表现形式的威胁分类：
| 种类 | 威胁子类 |
|---|---|
| 软硬件故障 | 设备硬件故障、传输设备故障、存储媒体故障、系统软件故障、应用软件故障、数据库软件故障、开发环境故障 |
| 支撑系统故障 | 第三方平台故障、第三方接口故障 |
| 物理环境影响 | 断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震 |
| 无作为或操作失误 | 维护错误、操作失误 |
| 管理不到位 | 管理制度不完善、管理规程缺失、职责不明确、监督控制机制不健全 |
| 恶意代码 | 病毒、特洛伊木马、蠕虫、陷门、间谍软件、窃听软件 |
| 越权或滥用 | 非授权访问网络/系统资源、滥用权限修改配置或数据、滥用权限泄露秘密 |
| 网络攻击 | 网络探测和信息采集、漏洞探测、嗅探、用户身份伪造和欺骗、数据窃取和破坏、系统运行控制和破坏 |
| 物理攻击 | 物理接触、物理破坏、盗窃 |
| 泄密 | 内部信息泄露、外部信息泄露 |
| 篡改 | 篡改网络/系统/安全配置信息、篡改用户身份信息或业务数据 |
| 抵赖 | 原发抵赖、接收抵赖、第三方抵赖 |
| 供应链问题 | 供应商问题、第三方运维问题 |
| 网络流量不可控 | 云平台或托管机房导致流量被获取、数据外泄 |
| 过度依赖 | 开发商/运维/云服务商过度依赖 |
威胁途径：计算机病毒、特洛伊木马、蠕虫、漏洞利用、嗅探程序等，威胁者常组合使用多种方法。
威胁效果：
- 非法访问：破坏机密性（读）或完整性（写）
- 拒绝服务：破坏可用性
- 欺骗：影响可控性
威胁意图：挑战型、情报获取、经济利益、报复、恐怖主义。
威胁频率赋值（五级）：
| 等级 | 标识 | 定义 |
|---|---|---|
| 5 | 很高 | 出现频率很高（≥1次/周），或几乎不可避免 |
| 4 | 高 | 出现频率较高（≥1次/月），或很有可能发生 |
| 3 | 中等 | 出现频率中等（>1次/半年），或某种情况下可能发生 |
| 2 | 低 | 出现频率较小，或一般不太可能发生 |
| 1 | 很低 | 几乎不可能发生，仅在非常罕见情况下发生 |
2.4 脆弱性识别
脆弱性识别是通过各种测试方法，获得网络资产中存在的缺陷清单，这些缺陷会导致非授权访问、泄密、失控、破坏或不可用、绕过已有安全机制。
核心原则：以资产为核心，识别可能被威胁利用的弱点，并评估严重程度。
识别方法：漏洞扫描、人工检查、问卷调查、安全访谈、渗透测试。
脆弱性严重程度赋值（五级）：
| 等级 | 标识 | 定义 |
|---|---|---|
| 5 | 很高 | 可利用性很高，被利用后对业务和资产造成完全损害 |
| 4 | 高 | 可利用性高或很高，被利用后造成重大损害 |
| 3 | 中等 | 可利用性较高，被利用后造成一般损害 |
| 2 | 低 | 可利用性一般，被利用后造成较小损害 |
| 1 | 很低 | 可利用性低，被利用后损害可忽略 |
脆弱性评估分类：
| 类型 | 说明 |
|---|---|
| 技术脆弱性评估 | 从现有安全技术措施的合理性和有效性方面评估 |
| 管理脆弱性评估 | 从组织结构、人员配备、安全意识、教育培训、安全操作、设备管理、应急响应、安全制度等方面评价 |
2.5 已有安全措施确认
对评估对象已采取的各种预防性和保护性安全措施的有效性进行确认，评估安全措施能否防止脆弱性被利用，能否抵御已确认的安全威胁。
处置原则：措施效果良好则继续沿用；存在缺陷则制定改进方案。
2.6 网络安全风险分析
在资产评估、威胁评估、脆弱性评估、安全管理评估、安全影响评估基础上，综合利用定性和定量分析方法确定风险大小与等级。
威胁识别 → 威胁出现频率 ──┐
├──→ 安全事件的可能性 ──┐
脆弱性识别 → 脆弱性严重程度 ┘ ├──→ 风险值
│
资产识别 → 资产价值 ──────────→ 安全事件的损失 ────┘分析方法：
- 定性分析：使用"中等/严重"等非量化描述，输出风险等级
- 定量分析：通过数值计算（风险值=损失×概率）
- 综合方法：结合两者优势
2.7 风险处置与管理
针对不可接受的风险，根据导致风险的脆弱性制定风险处理计划，明确应采取的弥补弱点的安全措施、预期效果、实施条件、进度安排、责任部门等。
网络安全风险管理十类控制措施：
- 制订明确安全策略，建立安全组织
- 实施网络资产分类控制
- 加强人员安全管理
- 保证物理实体和环境安全
- 加强安全通信运行
- 采取访问控制机制
- 进行安全系统开发与维护
- 保证业务持续运行
- 遵循法律法规
- 安全目标一致性检查
风险决策循环：计算风险值→判断可接受性→可接受则保持现有措施，不可接受则制定处置方案→评估残余风险→再次判断可接受性。
三、风险评估技术方法与工具
3.1 资产信息收集
通过调查表形式收集网络信息系统资产信息，掌握重要资产分布，分析资产关联的业务、面临的安全威胁及存在的安全脆弱性。
关联性分析：Web服务器底层需统计支撑的服务器、数据库、操作系统等资产，完整资产统计是分析上层应用风险的基础。
3.2 网络拓扑发现
常用工具：ping、traceroute及网络管理综合平台（网管软件）。
拓扑图作用：直观展示服务器、存储、交换机、防火墙等设备的连接关系，掌握重要资产分布及相互关联。
3.3 网络安全漏洞扫描
自动化检测工具，可自动搜集：
- 系统版本
- 开放端口（如23端口对应Telnet服务，80端口对应Web服务）
- 开启服务
- 漏洞情况
- 密码算法和安全强度
- 弱口令分布状况
3.4 人工检查
事先设计好"检查表（CheckList）"，评估人员按检查表逐项查找，发现网络结构、网络设备、服务器、客户机等存在的漏洞和威胁。
记录要求：所有检查操作应有书面记录材料。
检查示例：密码检查（如"123456"属于弱口令）、协议检查（HTTP需升级为HTTPS）。
3.5 渗透测试
在获得法律授权后，模拟黑客攻击网络系统，发现深层次安全问题。
目的：安全漏洞发现、网络攻击路径构造、安全漏洞利用验证。
考试重点：历年选择题高频考点，需特别注意"模拟黑客攻击"的特征描述，以及"必须获得法律授权"的前提。
3.6 问卷调查
采用书面形式获得被评估信息系统的相关信息，掌握基本安全状况。属于基础信息收集手段。
3.7 访谈
安全专家与网络系统使用人员、管理人员直接交谈，考查和证实安全策略实施、规章制度执行和管理与技术等情况。
3.8 审计数据分析
采用数据统计、特征模式匹配等技术，从审计数据中寻找与安全事件有关的信息。
审计数据来源：终端杀毒软件、EDR、IDS/IPS、上网行为管理等设备。
3.9 入侵监测
将入侵监测软件或设备接入待评估网络，采集评估对象的威胁信息和安全状态。
典型设备：入侵检测系统（IDS）。
本章小结
本章节系统梳理了网络安全风险评估的基础理论与技术方法：
- 风险评估定义：依据技术和管理标准对CIA等安全属性科学评价，评估威胁利用脆弱性造成损失的严重程度
- 风险值公式：R = f(事件概率, 事件损失)，如50%概率×50万损失=25万风险值
- 五要素：资产、威胁、脆弱性、安全措施、风险
- 三种模式：自评估、检查评估（主管机关发起）、委托评估（第三方机构）
- 评估七流程：准备→资产识别→威胁识别→脆弱性识别→安全措施确认→风险分析→处置管理
- 准备阶段产出：《网络风险评估范围界定报告》（高频考点）
- 资产价值：相对价值而非物理经济价值，基于CIA三性五级赋值
- 威胁分类：自然/人为两大类，基于表现形式分15小类
- 威胁频率：5级=≥1次/周，4级=≥1次/月，3级=>1次/半年
- 脆弱性识别：技术脆弱性+管理脆弱性，五种方法（漏扫/人工检查/问卷/访谈/渗透测试）
- 风险分析：定性+定量+综合，可能性=威胁频率×脆弱性程度，损失=资产价值
- 十类控制措施：策略组织/资产/人员/物理/通信/访问控制/开发维护/业务连续/合规/一致性检查
- 九种技术工具：资产调查表/拓扑发现（ping/traceroute）/漏洞扫描/人工检查（CheckList）/渗透测试（模拟黑客，需授权）/问卷/访谈/审计数据分析/入侵监测
上述内容中，风险值计算公式、评估七流程及范围界定报告、资产价值相对价值原则、渗透测试定义与授权要求、威胁频率分级为高频考点，风险分析流程和处置管理可能出现在下午案例分析题中。
本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。