脆弱性与威胁示例

一、脆弱性示例

类型

脆弱性示例

维护不善/存储介质的错误维护缺乏定期更换计划

受潮湿、 灰尘、污染的影响 对电磁辐射的敏感 缺乏有效的变更控制

威胁示例

违背信息系统的可维护性 设备或介质地损坏 灰尘、腐蚀、严寒

电磁辐射 错误的使用 电力供应不善 气象现象 窃取介质或文件 窃取介质或文件 窃取介质或文件 权限的滥用 权限的滥用 权限的滥用 权限的滥用 权限的滥用 权限的滥用 数据损坏 数据损坏 误用 误用 误用 误用 伪装 伪装 伪装 非法处理数据 软件故障 软件故障 软件故障 软件纂改 软件纂改 窃取介质或文件 设备未经授的权使用

拒绝行动 窃听 窃听 通讯设备的失效 通讯设备的失效

伪装

硬件 受电压波动的影响 受温度变化影响 缺乏防护的存储 对废弃处置缺乏关注 不受控的拷贝 没有或不受控 众所周知的软件缺陷 离开时，没有登出终端

存储介质的处置和再利用前没有正确的清除数据 缺乏审计痕迹 错误的分配权限

软件 广泛的分布式软件

按时间点利用应用程序时，导入错误数据 复杂的用户界面 缺乏文件 错误的参数设置 错误的日期

缺乏如用户认证身份认证机制 缺乏保护的密码表 弱的密码管理 启用不必要的服务 不成熟或新的软件 开发规范不清晰或不完整 缺乏有效的变更控制 不受控的下载和使用软件

网络 缺乏备份

缺乏建筑物、门、窗的物理保护 未形成管理报告

缺乏证据的邮件发送和接收 缺乏保护的通讯线路 不受保护的敏感信息的传送 不良的接线 单点失效

缺乏发送者和接受者的认证

不安全的网络架构 明文传输密码

错误的网络管理（路由的健壮性） 不受保护的公共网络连接 人员缺乏 不合适的招聘程序 缺乏安全培训

人员

软、硬件的不正确使用 缺乏安全意识 缺乏监视机制

缺乏对由外部或清洁工完成的工作的监督 缺乏正确使用电子媒介和电子消息的方针 建筑物或房间的不合适或随意的物理访问控制

场所

位于易受洪水影响的区域 不稳定的电网

缺乏建筑物、门、窗的物理防护 缺乏正式的用户注册和注销程序 缺乏访问权限评审过程（监督）

与客户和/或第三方直接的合同中缺乏（关于安全）的条款，或不充分

缺乏监视信息处理设施的程序 缺乏定期审计（监督） 缺乏风险识别和评估

缺乏管理员和操作员日志中记录的错误报告

不充分的服务维护响应 缺乏服务等级协议或不充分

缺乏变更控制 缺乏ISMS 文件控制程序 缺乏ISMS纪录控制程序（监督）

组织

缺乏公众可用信息的认可过程 缺乏合适的信息安全职责分配

缺乏连续性计划 缺乏e-mail 使用方针 缺乏向操作系统导入软件的程序 缺乏管理员和操作员日志记录 缺乏保密信息处理程序 在工作说明书中缺乏安全职责

与员工合同中缺乏（关于信息安全）条款或不足 缺乏一旦发生信息安全事件时的记录处理过程

缺乏正式的移动计算机的方针 缺乏组织场所外设备的控制 缺乏“清空桌面和屏幕”方针 缺乏信息处理设施的授权

远程间谍 远程间谍 信息系统的渗透 未经授权的设备使用 人员可用性的违背 设备或介质的损坏

误用 误用 误用 非法处理数据 非法处理数据 未经授权的设备使用 设备或介质的损坏

洪水 缺乏电力供应 窃取设备 伪装 伪装 权限的不正当使用 权限的不正当使用 权限的不正当使用 权限的不正当使用 权限的不正当使用 违背信息系统可管理性 违背信息系统可管理性 违背信息系统可管理性

数据损坏 数据损坏 来自非信任源的数据

拒绝行动 设备失效 误用 误用 误用 误用 误用 非法处理数据 窃取设备 窃取设备 窃取设备 窃取介质或文件 窃取介质或文件

缺乏确定的信息安全违背监视机制

缺乏定期评审

缺乏报告信息安全弱点的程序 缺乏保证知识产权复合型的程序

窃取介质或文件 未经授权的使用设备 未经授权的使用设备 使用盗版软件

二、威胁示例

1、威胁可能是故意的、意外的或环境的（自然的），例如损害或丧失基本服务。下表的清单表明每一类威胁（D 故意的，A意外的，E环境的）是相互关联的。D是指所有针对信息资产的故意行为，A是指所有可能导致信息资产意外受损的人为活动，E是指非人为的所有意外事件。每类威胁的排序不分优先级。

类型

威胁

火灾

水灾 污染 重大事故

设备或介质损坏 灰尘、腐蚀、严寒 气候现象 地震现象 火山现象 气象现象 洪水

空调或供水系统失效 电源失效 通讯设备故障 电磁辐射 热辐射 电子脉冲

截取损害干扰信号 远程间谍 偷听

偷取介质或文件 偷取设备

获取循环利用或废弃的介质 泄密

来自非信任源的数据 损坏硬件 损坏软件 位置检测 设备失效 设备故障

饱和的信息系统 软件故障

信息可维护性的违背 设备的未经授权的使用 非法的软件拷贝 使用盗版软件 破坏数据 非法处理数据 误用 滥用权限

A, D, E A, D, E A, D, E A, D, E A, D, E A, D, E E E E E E A,D A,D,E A,D A,D,E A,D,E A,D,E D D D D D D A,D A,D D A,D D A A A,D A A,D D D A,D D D A A,D

来源

物理损坏

自然灾难

基础服务失效

辐射干扰

信息的损害

技术故障

未经授权的活动

功能受损

盗用权限 拒绝服务 个人可用性的违背

2、须特别关注人为的威胁及可能出现的后果。

威胁来源

挑战 自负

黑客

逆反 身份 金钱 毁坏信息 非法信息泄密

计算机犯罪

获取经济利益 非法修改数据

动机

D D A,D,E

可能后果

黑客攻击 社会工程 系统入侵

未经授权的系统访问

计算机犯罪(如网上跟踪) 欺诈行为(如回放、伪装、窃听) 信息贿赂 欺骗 系统入侵

邮件勒索 破坏 擅自利用

恐怖活动

报复 政治获益 媒体报道 竞争优势 经济间谍活动

爆炸/其他恐怖手段 信息战

系统攻击(如拒绝服务) 系统渗透 系统篡改

国防优势 政治优势 经济宣传 窃取信息

行业间谍(情报公司、外国政府、其他政府利益)

个人隐私入侵 社会工程 系统渗透

伪经授权的系统访问(访问保密的、私有的和/或 技术相关信息)

内部人员(缺乏培训、泄愤、恶意、疏忽、诚实或

被解雇的员工)

好奇 自负 情报

攻击员工 敲诈勒索 浏览专有信息

经济利益 报复

无意的行为和疏忽(数据出入错误、编程错误)

计算机滥用 欺骗和窃取 信息贿赂

输入伪造或错误数据 窃听

恶意代码(如病毒、逻辑炸弹、木马) 销售个人信息 系统漏洞 系统入侵 系统破坏

未经授权的系统访问