常用的資訊安全風險評估自動化工具介紹

風險評估過程最常用的還是一些專用的自動化的風險評估工具，無論是商用的還是免費的，此類工具都可以有效地通過輸入資料來分析風險，最終給出對風險的評價並推薦相應的安全措施。目前常見的自動化風險評定工具組括：

      * COBRA —— COBRA（Consultative, Objective and Bi-functional Risk Analysis）是英國的C&A系統安全公司推出的一套風險分析工具軟體，它通過問卷的方式來採集和分析資料，並對組織的風險進行定性分析，最終的評估報告中包含已識別風險的水平和推薦措施。此外，COBRA 還支援基於知識的評估方法，可以將組織的安全現狀與ISO 17799 標準相比較，從中找出差距，提出彌補措施。C&A 公司提供了COBRA 試用版下載： http://www.security-risk-analysis.com/cobdown.htm。

      * CRAMM —— CRAMM（CCTA Risk Analysis and Management Method）是由英國政府的中央電腦與電信局Central Computer and Telecommunications Agency，CCTA）於1985年開發的一種定量風險分析工具，同時支援定性分析。經過多次版本更新（現在是第四版），目前由Insight 諮詢公司負責管理和授權。CRAMM是一種可以評估資訊系統風險並確定恰當對策的結構化方法，適用於各種類型的資訊系統和網路，也可以在資訊系統生命週期的各個階段使用。CRAMM的安全模型資料庫基於著名的“資產/威脅/弱點”模型，評估過程經過資產識別與評價、威脅和弱點評估、選擇合適的推薦對策這三個階段。CRAMM與BS 7799 標準保持一致， 它提供的可供選擇的安全控制多達3000 個。除了風險評估，CRAMM還可以對符合99vIL（99v Infrastructure Library）指南的商務持續性管理提供支援。

      * ASSET —— ASSET（Automated Security Self-Evaluation Tool）是美國國家標準技術協會（National Institute of Standard and Technology，NIST）發布的一個可用來進行安全風險自我評估的自動化工具，它採用典型的基於知識的分析方法，利用問卷方式來評估系統安全現狀與NIST SP 800-26 指南之間的差距。NIST Special Publication 800-26，即資訊技術系統安全自我評估指南（Security Self-Assessment Guide for Information Technology Systems），為組織進行99v系統風險評估提供了眾多控制目標和建議技術。ASSET 是一個免費工具，可以在NIST 的網站下載： http://icat.nist.gov。

      * CORA —— CORA（Cost-of-Risk Analysis）是由國際安全技術公司（International Security Technology, Inc. www.ist-usa.com）開發的一種風險管理決策支援系統，它採用典型的定量分析方法，可以方便地採集、組織、分析並儲存風險資料，為組織的風險管理決策支援提供準確的依據。

      * 微軟的風險評估工具：Microsoft Security Accessment Tool（MSAT）——微軟安全評估工具（MSAT）是微軟的一個風險評估工具，與MBSA直接掃描和評估系統不同，MSAT通過填寫的詳細的問卷以及相關資訊，MSAT 處理問卷反饋，並評估組織在諸如基礎結構、應用程式、操作和人員等領域中的安全實踐，然後提出相應的安全風險管理措施和意見。所如果說MBSA是個掃描器，則MSAT就是個風險評估工具。  微軟的MSAT是免費工具，可以從微軟網站下載，但需要註冊。下載地址：http://www.microsoft.com/china/security/msat/default.asp

      * Microsoft 基準安全分析器(MBSA)——作為 Microsoft 戰略技術保護計劃（Strategic Technology Protection Program）的一部分，並為了直接滿足使用者對於可識別安全方面的常見配置錯誤的簡便方法的需求，Microsoft 開發了 Microsoft 基準安全分析器(MBSA)。MBSA Version 1.2 包括可執行本地或遠程 Windows 系統掃描的圖形和命令列介面。MBSA 運行在 Windows 2000 和 Windows XP 系統上，並可以掃描下列產品，以發現常見的系統配置錯誤：Windows NT 4.0、Windows 2000、Windows XP、Windows Server 2003、Internet Information Server（IIS）、SQL Server、Internet Explorer 和 Office。MBSA 1.2 還可掃描下列產品，以發現缺少哪些安全更新：Windows NT 4.0、Windows 2000、Windows XP、Windows Server 2003、IIS、SQL Server、IE、Exchange Server、Windows Media Player、Microsoft Data Access Components（MDAC）、MSXML、Microsoft Virtual Machine、Commerce Server、Content Management Server、BizTalk Server、Host Integration Server 和 Office。微軟的MSAT是免費工具,下載地址：http://www.microsoft.com/china/technet/security/tools/mbsahome.mspx