skip to main |
skip to sidebar
風險分析矩陣使用了一個象限表示當風險發生的可能性與導致影響的後果嚴重程度。在澳洲與紐西的4360風險管理標準上描述了風險管理矩陣(詳細情況請參照網址: http://www.standards.org.au/cat.asp?catid=50&contentid=54&News=1)。
風險管理矩陣同意你執行象限風險分析，基於可能性與所導致的後果，從微乎其微(insignificant)到災難性變故(catastrophic)。
|
|
嚴重性
|
Consequences (影響程度)
|
|
發生率
|
|
Insignificant
1
|
Minor
2
|
Moderate
3
|
Major
4
|
Catastrophic
5
|
|
Likelihood (可能)
|
5. Almost
Certain
|
H
|
H
|
E
|
E
|
E
|
|
4. Likely
|
M
|
H
|
H
|
E
|
E
|
|
3. Possible
|
L
|
M
|
H
|
E
|
E
|
|
2. Unlikely
|
L
|
L
|
M
|
H
|
E
|
|
1. Rare
|
L
|
L
|
M
|
H
|
H
|
結果分數有低Low (L)、中Medium (M)、高 High (H) 和極高風險 Extreme Risk (E)。
低風險可以控制在一般作業中，中度風險要求管理發出通報，高程度的風險要求主管等級通報、而極高風險要求立即性行動包含詳細的緩解方案(同時也向主管報告)。
矩陣的目標在於定義高影響發生可能與高影響層面的風險(表格的右上方區塊)，並且將它們降至低發生率與低影響層面為目標(表格的右下方區塊)。
Not a dumb question at all. Here is a doc that actually compares the commands and explains when and why you would use them.
事實上很少人能夠弄懂這兩者間的差異。
Ip default gateway is only used when the switch is in L2. You can use ip route or default-network at L3.
我想以上說明已經夠清楚了。
Use the ip default-gateway command when ip routing is disabled on a Cisco router.
Use the ip default-network and ip route 0.0.0.0 0.0.0.0 commands to set the gateway of last resort on Cisco routers that have ip routing enabled.
info from cisco.com 思科闡述的更加明白。
事實上思科設備把以下兩行指令視為相同：
(ip default route)
ip route 0.0.0.0 0.0.0.0 [next_hop]
(ip default-network)
ip default-network [next_hop]
(L2 Switch)
ip default-gateway [next_hop]
而IPv6的下法則是：
(ip default route)
ip route ::/0 [next_hop]
(ip default-network)
ip default-network [next_hop]
(L2 Switch)
ip default-gateway [next_hop]
記得下一站的目的地位址或網卡出口要下正確。
Ref. Configuring a Gateway of Last Resort Using IP Commands
Impact
風險 = 威脅 × 漏洞 有些時候我們會加入叫做Impact的變數：風險 = 威脅 × 漏洞 × 嚴重程度，Impact表示損害的嚴重程度，有些時候我們會以美元表示。
風險 = 威脅 × 漏洞 × 成本(花費)，因此我們也常用此公式。
影響的嚴重程度通常等於後果。
讓我們將嚴重性(Impact)用在上述的波士頓建築地震範例中。一間公司有兩棟相同的建築物在辦公區域中，且建築物幾乎相同。有一棟建築物中有著全滿的人們和設備，而另一間則是空蕩蕩的房間(等待成長)。以我們之前的算法為兩者都是8的風險，加入嚴重性變數後：
空的建築物風險：2 × 4 × 2 = 16
滿員的建築物風險：2 × 4 × 5 = 40
Exam Warning
在考試當中損失人命有著幾乎無限的嚴重性。當使用 “風險 = 威脅 × 漏洞 × 嚴重程度” 公式時，任何會造成人命損失的災害都應該給與超標的嚴重性，很多時候他們被低估了。
Risk = Threat × Vulnerability
會有風險，總是因為漏洞與威脅產生連結。
此關係開始藉由以下公式：
Risk = Threat × Vulnerability
你可以根據以上公式給與風險一個值。填入威脅與漏洞後就能計算出風險值。我們總是使用1-5之間的值(此範圍可以是任意的，但是保持一定的值，便於比較不同種類的風險)。
LEARN BY EXAMPLE: EARTHQUAKE DISASTER RISK INDEX
風險總是違背常理。當你詢問波士頓或舊金山兩個城市之間哪個城市較容易發生大地震時，你總是能得到舊金山這個答案。如果是在加州位於環太平洋火山地震帶上則過去曾發生大規模地震。由於波士頓東北方從殖民時期以來就不曾發生過大地震。
雷切爾、戴維森 創造評估地震風險的指數，這是用來判斷國際城市間主要地震的風險。詳細資料可見：http://www.sciencedaily.com/releases/1997/08/970821233648.htm
她發現，波士頓與舊金山地震風險大致上是相同的。因為波士頓的地震危險性大於舊金山，雖然在波士頓發生大規模地震的可能性較低。原因在於波士頓擁有許多1975年以前的建築物，在他們納入地震安全規範建築物前。
相較於波士頓，舊金山發生地震威脅的可能較高(較高的地震頻率)，但他們的漏洞較少(較為嚴謹的地震建築規範)；而波士頓的地震威脅較小(較低的地震頻率)，但他們具有較多的漏洞(較弱的建築物強度)。
根據公式，我們可以得到地震風險(Risk = Threat × Vulnerability)。
舊金山威脅指數：4
舊金山的漏洞指數：2
舊金山的風險為：4 × 2 = 8
波士頓計算
波士頓的威脅指數：2
波士頓的漏洞指數：4
波士頓的風險指數為：2 × 4 = 8
意味著兩個城市風險差不多。
Risk Analysis
所有專業的資訊安全人員都會進行風險評估：總是進行此項直到它變成一種習慣。有一個更新在周二被釋出。你的公司通常會在安裝前測試兩周時間，但是一個以網際網路散播為基礎的蠕蟲它會直接感染未更新的系統。如果你立即安裝了這個更新，則你風險時間會下降到測試未完成前。如果你等待測試，你將有風險會感染蠕蟲。哪一個風險較大？你應該怎麼作？風險分析會幫助你做出決定。
一般人無法精確的評估風險：如果你害怕在旅途中死亡，從紐約開車到佛羅里達州取代坐飛機的風險，你就作出了較差的風險評估。這是一個長距離的旅途評估，開車的死亡風險高於飛機。
準確的評估風險是資訊專業人員的重要技能。我們必須保持自己以更高的標準進行風險判斷。我們進行風險評估使用安全機制去佈署資產保護，我們花掉了這些錢和資源量。糟糕的決定結果會導致浪費錢，而更糟的結果是妥協的資料。
Assets
資產是我們嘗試去保護的有價值資源。資產可以是資料、系統、人、建築、物業，其他等等。資產的價值與重要性決定我們如何作出防禦機制。人總是我們最有價值的資產。
Threats and Vulnerabilities
威脅是潛在的災害，就像地震，停電，或者是以網路為基礎的蠕蟲病毒例如：Conficker worm，當他開始攻擊最後版本的Windows OS 2008。威脅是一個非正向的行為並且造成系統損害。
漏洞指的是一個弱點並讓威脅造成損害。漏洞例如沒有按照防震基準的建築物，沒按照正確備份作業的資料中心，或者是微軟的Windows XP沒有進行近年來的更新。
舉一個蠕蟲的案例，有一個威脅是Conficker蠕蟲。 Conficker蠕蟲傳播通過三種途徑(由於缺少了MS08-067 Patch，請參考http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx)，透過Windows系統感染USB的AutoRun，網路分享由於較弱的密碼。
有連接上網路的Windows作業系統在缺此更新上是屬於較脆弱的一環，他們會藉由USB中的”自動執行”感染入侵Windows平台的作業系統，或者是經有簡易密碼的網路分享。如果以上三個條件都存在，你就具有風險。一個Linux的系統並沒有漏洞感染Conficker，因此Conficker對它來說沒有風險。
Defense-of-Depth (縱深防禦)
縱深防禦(也被稱為層級防禦)套用在多層的安全閘(也被稱為控制：意指降低風險)去保護一項資產。任何一個安全性控制如果失敗：藉由佈屬多層控制，你可以增強其保密性、完整性與你的資料可用性。
LEARN BY EXAPMLE: DEFFEN-IN-DEPTH MALWARE PROTECTION
一間擁有一萬兩千名員工的公司在一天內收到二十五萬封電子郵件。其中絕大多數的電子郵件均有巨集：在一段時間內浪費資源的垃圾郵件，具有惡意軟體例如蠕蟲或是病毒。攻擊者策略改變的非常頻繁，總是嘗試逃避安全閘讓垃圾郵件與惡意軟體通過。
公司部屬了縱深防禦控制，預防網際網路以電子郵件為基礎的惡意軟體。有一組UNIX的電子郵件伺服器過濾了由網際網路進來的電子郵件，皆被執行了兩種不同的會自動更新的防毒軟體/防惡意軟體解決方案，藉由不同的主要供應商。電子郵件被掃描乾淨後轉送至內部的Microsoft Exchange Mail Server，它們會執行其他供應商的防毒軟體。郵件經過掃描後會到達使用者端，這裡會進行第四次的供應商防毒軟體掃描作業。用戶端的桌機或是筆電同樣會進行完全修補作業。
儘管有了這些防護，一些低比例的惡意軟體仍成功迴避四個不同的防毒檢測，並且感染使用者的系統。幸運的是，這間公司部屬了額外的縱深防禦控制，例如：入侵檢測系統(Intrusion Detection System, IDS)，災害處理政策，和電腦事故緊急處理小組(Computer Incident Response Team)去掌控災害。這些防禦措施，成功的識別受感染的用戶系統。
所有的控制都有可能會失敗，有時數個控制會同時失敗。佈屬不同深度的防禦控制，當所有控制失敗的時候對於您的組織會有較小的影響機會。
