高
中
中
中
高
高
高
高
高
4威胁分析
41威胁分析概述
威胁是指可能对资产或组织造成损害事故的潜在原因。作为风险评估的重要因素，威胁是一个客观存在的事物，无论对于多么安全的信息系统都存在。
威胁可能源于对系统直接或间接的攻击，例如信息泄漏、篡改、删除等，在机密性、完整性或可用性等方面造成损害；威胁也可能源于偶发的、或蓄意的事件。按照威胁产生的来源，可以分为外部威胁和内部威胁：
（1）外部威胁：来自不可控网络的外部攻击，主要指移动的CMNET、其它电信运营商的I
ter
et互联网，以及第三方的攻击，其中互联网的威胁主要是黑客攻击、蠕虫病毒等，而第三方的威胁主要是越权或滥用、泄密、篡改、恶意代码或病毒等。
（2）内部威胁：主要来自内部人员的恶意攻击、无作为或操作失误、越权或滥用、泄密、篡改等。另外，由于管理不规范导致各支撑系统之间的终端混用，也带来病毒泛滥的潜在威胁。
对每种威胁发生的可能性进行分析，最终为其赋一个相对等级值，将根据经验、有关的统计数据来判断威胁发生的频率或者概率。威胁发生的可能性受下列因素影响：
1资产的吸引力；
f2资产转化成报酬的容易程度；
3威胁的技术力量；
4脆弱性被利用的难易程度。下面是威胁标识对应表：
威胁赋等级值
可能带来的威胁
3黑客攻击、恶意代码和病毒
高等
2物理攻击、内部人员的操作
中失误、恶意代码和病毒等
1内部人员的操作失误、恶意低
代码和病毒等
可控性
完全不可控一定的可控性较大的可控性
发生频度
出现的频率较高（或≥1次月）；或在大多数情况下很有可能会发生；或可以证实多次发生过。出现的频率中等（或1次半年）；或在某种情况下可能会发生；或被证实曾经发生过。出现的频率较小；或一般不太可能发生；或没有被证实发生过。
42威胁分类
下面是针对威胁分类对威胁途径的描述，其中不包括物理威胁：
威胁种类
威胁途径
操作错误
滥用授权
行为抵赖身份假冒密码分析安全漏洞拒绝服务恶意代码窃听数据社会工程意外故障
合法用户工作失误或疏忽的可能性合法用户利用自己的权限故意或非故意破坏系统的可能性合法用户对自己操作行为否认的可能性非法用户冒充合法用户进行操作的可能性非法用户对系统密码分析的可能性非法用户利用系统漏洞侵入系统的可能性非法用户利用拒绝服务手段攻击系统的可能性病毒、特洛伊木马、蠕虫、逻辑炸弹等感染的可能性非法用户通过窃听等手段盗取重要数据的可能性非法用户r