【IT168 专稿】我们时常都在谈论这样的问题：网络具有怎样的风险，存在怎样的安全隐患，并由此引发怎样的安全问题。
那在网络安全领域，风险究竟指的是什么呢？
《信息安全风险评估规范（报批稿）》中，对风险的定义是：人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。
从定义可知，风险综合了多个要素，风险是否存在，风险的高低，需要从多个方面共同考虑，综合多个因素得出的结果，才是准确的风险情况。
风险分析原理
为更好的理解什么是风险，我们来看一下风险分析的原理，如下图。
从上图可知，风险分析包括资产、威胁、脆弱性三个基本要素。每个要素有各自的属性，资产的属性是资产价值；威胁的属性可以是威胁主体、影响对象、出现频率、动机等；脆弱性的属性是资产弱点的严重程度。
风险分析的内容包括：
1) 对资产进行识别，并对资产的价值进行赋值；
2) 对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；
3) 对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；
4) 根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性；
5) 根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件造成的损失；
6) 根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，即风险值。
风险评估范围
宏观地讲，风险评估的范围包括被评组织全部的信息及与信息处理相关的各类资产、管理机构，也可能是某个独立的信息系统、关键业务流程、与用户知识产权相关的系统或部门等。
从技术层面上看，风险评估的范围包括了网络评估、服务器评估、应用系统评估、终端主机评估、数据流评估。当然，还包括物理评估和管理评估，只不过这二者不属于技术评估范畴。
本文档仅对技术层面中的网络评估进行分析。
2. 网络评估
2.1 网络架构分析
对网络架构的分析，首先需要了解并核实以下两个内容：
网络拓扑
1) 从用户处获取原始网络拓扑图。
2) 核实网络拓扑的真实性，包括实地检查、和用户交流沟通，弄清楚有变化的地方，并在拓扑图中进行标注。
VLAN划分
从用户处了解目前的VLAN划分情况，了解各个VLAN的应用，并结合原始拓扑图，分析各VLAN目前的安全现状。
安全域分析
分析用户的原始拓扑图，并和用户就安全域问题进行沟通，确定网络目前是否引入安全域概念，是否已经规划了安全域。
未规划安全域：如果用户的网络目前并未规划安全域，那根据目前网络的实际情况，从VLAN划分、网络应用、安全等级、工作职能等方面进行划分，一般情况下按照"3+1"模式，分为内部、服务器、外部、安全管理四个区域。如果某个区域内还需要再进行划分，在其中划分子域即可。
已规划安全域：如果用户网络目前已规划安全域，那根据目前的实际应用，分析安全域规划是否合理，合理则保持现状，如不合理，使用上述的思路对目前的安全域进行更改或重新规划。
数据流分析
数据流分析是网络评估中一项非常重要的内容，此处的数据流，指的是数据流向，即网络中主要业务的数据流向，如网络中的DMZ区有一台对Internet提供服务的Web服务器，那Internet用户访问Web服务器的路径，就是数据流向情况。
通过对网络中主要业务进行数据流分析，可以有效梳理网络中主要应用的数据流向，从而帮助我们分析网络目前的安全现状。
数据流分析可以按以下步骤进行：
1) 核实网络拓扑，确定拓扑的正确性；
2) 确定网络主要的业务，一般包括内部用户访问、外部用户访问、VPN用户访问、系统管理访问等；
3) 初步确定各业务的数据流向，可参考以下步骤及方法。
" 针对各业务，预先做出对应的调查表；
" 将调查表发向系统管理员，或与之相关的负责人；
" 收到调查表后，对系统管理人员或相关的负责人，进行访谈，对调查表中不明确的地方，进行核实；
" 对于重要的业务，在其数据流向的各个设备上，进行抓包分析，确定调查结果的真实性。
性能分析
网络性能的高低，将直接决定网络通讯的质量。
此处的网络性能，仅指网络层面的性能，如网络利用率、带宽上/下行分析、不同应用带宽占用情况、以及网络是否存在错误数据包等情况，但不包括与具体应用相关的应用性能分析。
在工具方面，可以使用Solarwinds、Netflow、Sniffer、科来网络分析系统等，获取网络的通讯流量，从而完成性能分析。
网络现状及威胁分析
经过上述分析后，可得出下表的内容。
综合上表的各种分析结果，画出网络目前的整体安全态势图，从而形象地表示网络目前的安全情况，完成网络评估阶段的工作。
上述仅涉及风险评估之网络评估的内容，纯属个人理解，不足之处，欢迎各位网友指正，并请多多指教。
