信息安全ping掃描時會出現以下這些異常信息：

• Request timedout：請求超時，這種信息通常對應三種情況，對方已關機，或者網絡上根本沒有這個地址。對方與自己不在同一網段內且不確定對方是否存在，通過路由也無法找到對方。對方確實存在，但設置了ICMP數據包過濾（比如防火墻設置）。

• Destination host unreachable：目的主機不可達，這表示對方主機不存在或者沒有跟對方建立連接。這里要注意Destination host unreachable和Request timed out的區別，如果所經過的路由器的路由表中具有到達目標的路由，而目標因為其他原因不可到達，這時候會出現Request timed out，如果路由表中連到達目標的路由都沒有，那就會出現Destination host unreachable。

• Bad IP address：表示有可能沒有連接到DNS服務器，無法解析這個IP地址，也可能是IP地址不存在。

• Unknown host：未知主機，表示遠程主機的名字不能被域名服務器（DNS）轉換成IP地址，故障原因可能是域名服務器有故障、名字不正確或者網絡管理員的系統與遠程主機之間的通信線路有故障。

• No answer：無響應，這種故障說明本地系統有一條通向中心主機的路由，但卻接收不到它發給該中心主機的任何信息。故障原因可能是下列之一，中心主機沒有工作、本地或中心主機的網絡配置不正確、本地或中心的路由器沒有工作、通信線路有故障、中心主機存在路由選擇問題。

1，網站結構
瀏覽源碼文件夾，了解該程序的大致目錄
2，入口文件
index.php. admin.php文件- 般是整個程序的入口 ,詳細讀一下index文件可以知道程序的架構、 運行流程、包
含那些配置文件,包含哪些過濾文件以及包含那些安全過濾文件，了解程序的業務邏輯。
配置文件
-般類似lconfig php等文件,保存一些數據庫相關信息. 程序的-一些信息。 先看看數據庫編碼,如果是gbk則可
能存在寬字節注入。如果變量的值用雙引號、則可能存在雙引號解析代碼執行的問題。
3，過濾功能
通過詳讀公共函數文件和安全過濾文件等文件,清晰掌握用戶輸入的數據,哪些被過濾,哪些無過濾,在哪
里被過濾了,如何過濾的,能否繞過過濾的數據。過濾的方式是替換還是正則?有沒有GPC ?有沒有使用
addslasher()處理?

比較流行的欺騙攻擊有以下這些：

• IP地址欺騙：最基本的IP欺騙有3種分別是簡單的IP地址變化、源路由攻擊、利用Unix系統的信任關系。這三種IP欺騙技術都是早期使用的，原理比較簡單，因此效果也十分有限。IP地址欺騙是指行動產生的IP數據包為偽造的源IP地址，以便冒充其他系統或發件人的身份。這是一種黑客的攻擊形式，黑客使用一臺計算機上網，而借用另外一臺機器的IP地址，從而冒充另外一臺機器與服務器打交道。

• ARP欺騙：又稱ARP毒化或ARP攻擊，是針對以太網地址解析協議（ARP）的一種攻擊技術，通過欺騙局域網內訪問者PC的網關MAC地址，使訪問者PC錯以為攻擊者更改后的MAC地址是網關的MAC，導致網絡不通。此種攻擊可讓攻擊者獲取局域網上的數據包甚至可篡改數據包，且可讓網絡上特定計算機或所有計算機無法正常連線。

• DNS欺騙：DNS欺騙就是攻擊者冒充域名服務器的一種欺騙行為。如果可以冒充域名服務器，然后把查詢的IP地址設為攻擊者的IP地址，這樣的話，用戶上網就只能看到攻擊者的主頁，而不是用戶想要取得的網站的主頁了，這就是DNS欺騙的基本原理。DNS欺騙其實并不是真的“黑掉”了對方的網站，而是冒名頂替、招搖撞騙罷了。

• Web欺騙：Web欺騙是一種電子信息欺騙，攻擊者創造了一個完整的令人信服的Web世界，但實際上它卻是一個虛假的復制。虛假的Web看起來十分逼真，它擁有相同的網頁和鏈接。然而攻擊者控制著這個虛假的Web站點，這樣受害者的瀏覽器和Web之間的所有網絡通信就完全被攻擊者截獲。

• 源路由欺騙：某些路由器在處理帶路由記錄選項的IP報文時，不再按照目的地址查詢路由表匹配的方式處理，而是根據路由記錄直接反向推送數據包，這樣導致了源路由IP欺騙的可能性。用戶可以偽裝信任IP發送數據報文，并開啟源路由記錄功能，路由器根據源路由回送數據包，從而使攻擊者可以解決IP欺騙報文回包接收問題。從而以信任IP站的身份和權限訪問相關的受保護的資源數據，甚至進行破壞活動，進一步入侵。

• 電子郵件欺騙：電子郵件攻擊，是商業應用最多的一種商業攻擊，我們也將它稱為郵件炸彈攻擊，就是對某個或多個郵箱發送大量的郵件，使網絡流量加大占用處理器時間，消耗系統資源，從而使系統癱瘓。有許多郵件炸彈軟件，雖然它們的操作有所不同，成功率也不穩定，但是有一點就是他們可以隱藏攻擊者不被發現。

防御欺騙攻擊的辦法有以下這些：

• 防范地址變化欺騙，限制用戶修改網絡配置，進行入口過濾，不允許任何從外面進入網絡的數據包使用單位的內部網絡地址作為源地址，進行出口過濾，離開本單位的任何合法數據包須有一個源地址，并且它的網絡部分與本單位的內部網絡相匹配。

• 防范源路由欺騙，設置路由器禁止使用源路由。

• 防范信任關系欺騙，不使用信任關系或不允許通過外部網絡使用信任關系。

• 防范會話劫持攻擊，進行加密，如果攻擊者不能讀取傳輸數據，那么進行會話劫持攻擊也是十分困難的，使用安全協議，像SSH（Secure Shell）這樣的協議或是安全的Telnet都可以使系統免受會話劫持攻擊。限制保護措施，允許從網絡上傳輸到用戶單位內部網絡的信息越少，那么用戶將會越安全，這是個最小化會話劫持攻擊的方法。

• MAC地址綁定，使網絡中每一臺計算機的IP地址與硬件地址一一對應，不可更改。

• 使用靜態ARP緩存，用手工方法更新緩存中的記錄，使ARP欺騙無法進行。

• 使用ARP服務器，通過該服務器查找自己的ARP轉換表來響應其他機器的ARP廣播。確保這臺ARP服務器不被黑。

• 使用ARP欺騙防護軟件，如ARP防火墻。

• 及時發現正在進行ARP欺騙的主機并將其隔離。

統一威脅管理，通常縮寫為 UTM，指的是在網絡中的單個點提供多個安全功能的單個安全解決方案，通常為一臺單獨的安全設備。功能通常包括：反病毒、反間諜軟件、反垃圾郵件、網絡防火墻、入侵檢測和預防、內容過濾以及防泄密。UTM的優勢有：

資源整合帶來的低成本

UTM將多個安全設備的功能集于一身，大大降低了硬件成本、人員成本、時間成本。

模塊化管理，比較容易使用

由于UTM安全設備中裝入了很多的功能模塊，所以為提高易用性進行了很多考慮。另外，這些功能的協同運作無形中降低了掌握和管理各種安全功能的難度以及用戶誤操作的可能。對于沒有專業信息安全人員及技術力量相對薄弱的組織來說，使用UTM產品可以提高這些組織應用信息安全設施的質量。

配置工作量相對較小，能夠提高安全管理人員的工作效率

UTM提供了以往多種產品的功能，并且只要插接在網絡上就可以完成基本的安全防御功能，大大降低了安裝、配置、運維的工作強度。

真正的服務器不允許 ssh 直接連接，需要通過堡壘機進行連接，堡壘機只允許建立隧道，不能登錄系統所以設置步驟如下：

1. 安裝Xshell

   安裝xhsell，然后打開xshell,新建站點，在連接窗口，輸入堡壘機IP、port；

   

2. 身份驗證設置

   進入用戶身份驗證頁面連接方法選擇 Public Key,用戶名：堡壘機用戶名，用戶密鑰：本地私鑰；

   

3. 建立隧道

   在堡壘機屬性中的ssh中設置建立連接隧道；

   

4. 隧道建立成功

   隧道建立成功，如圖所示；

   

5. 連接內部服務器

   隧道建好后，就可以開始連接內部服務器了，新建站點，設置代理；

   

6. 連接成功

   連接成功后即可遠程連接內部服務器了。

   

在不安裝任何漏洞掃描工具情況下計算機中沒有任何硬件和軟件能提供漏洞掃描，如果要使計算機具有漏洞掃描功能可以安裝以下軟件：

• Nikto

  是一個開源的Web服務器掃描程序，它可以對Web服務器的多種項目(包括3500個潛在的危險文件/CGI，以及超過900個服務器版本，還有250多個服務器上的版本特定問題)進行全面的測試。其掃描項目和插件經常更新并且可以自動更新(如果需要的話)。

• Paros

  這是一個對Web應用程序的漏洞進行評估的代理程序，即一個基于Java的web代理程序，可以評估Web應用程序的漏洞。

• WebScarab

  這是一款強大的Web應用程序掃描程序。SPI Dynamics的這款應用程序安全評估工具有助于確認Web應用中已知的和未知的漏洞。它還可以檢查一個Web服務器是否正確配置，并會嘗試一些常見的Web攻擊，如參數注入、跨站腳本、目錄遍歷攻擊(directory traversal)等等。

• WebInspect

  這是一款強大的Web應用程序掃描程序。SPI Dynamics的這款應用程序安全評估工具有助于確認Web應用中已知的和未知的漏洞。它還可以檢查一個Web服務器是否正確配置，并會嘗試一些常見的Web攻擊，如參數注入、跨站腳本、目錄遍歷攻擊(directory traversal)等等。

• Whisker/libwhisker

  Libwhisker是一個Perla模塊，適合于HTTP測試。它可以針對許多已知的安全漏洞，測試HTTP服務器，特別是檢測危險CGI的存在。Whisker是一個使用libwhisker的掃描程序。

• Burpsuite

  這是一個可以用于攻擊Web應用程序的集成平臺。Burp套件允許一個攻擊者將人工的和自動的技術結合起來，以列舉、分析、攻擊Web應用程序，或利用這些程序的漏洞。各種各樣的burp工具協同工作，共享信息，并允許將一種工具發現的漏洞形成另外一種工具的基礎。

• Wikto

  可以說這是一個Web服務器評估工具，它可以檢查Web服務器中的漏洞，并提供與Nikto一樣的很多功能，但增加了許多有趣的功能部分，如后端miner和緊密的Google集成。它為MS.NET環境編寫，但用戶需要注冊才能下載其二進制文件和源代碼。

• Acunetix Web Vulnerability Scanner

  這是一款商業級的Web漏洞掃描程序，它可以檢查Web應用程序中的漏洞，如SQL注入、跨站腳本攻擊、身份驗證頁上的弱口令長度等。它擁有一個操作方便的圖形用戶界面，并且能夠創建專業級的Web站點安全審核報告。

網絡虛擬化安全具體安全防護要求如下：

• 利用虛擬機平臺的防火墻功能實現虛擬環境下的邏輯分區邊界防護和分段的集中管理，配置允許訪問虛擬平臺管理接口的IP地址、協議端口、最大訪問速率等參數。

• 利用現有虛擬基礎架構容器（主機、虛擬交換機、VLAN）作為邏輯信任分區或組織分區。

• 定義策略以在分區邊界之間對網絡流量進行橋接、設置防火墻保護策略并加以隔離。

• 虛擬交換機應啟用虛擬端口的限速功能，通過定義平均帶寬、峰值帶寬和流量突發大小，實現端口級別的流量控制。同時應禁止虛擬機端口使用混雜模式進行網絡通信嗅探。

• 對虛擬網絡平臺的重要日志進行監視和審計，及時發現異常登錄和操作。

• 在創建客戶虛擬機的同時，根據具體的拓撲和可能的通信模式，在虛擬網卡和虛擬交換機上配置防火墻，提高客戶虛擬機的安全性。

1，錯誤信息控制
-display_ error = On
是否將錯誤信息作為輸出的一部分,站點發布后應該關閉這項功能,以免暴露信息。調試的時候當然是要On的
不然就什么錯誤信息也看不到了。
2，設置錯誤報告級別
-error_ reporting= E_ ALL
這個設置的作用是將錯誤級別設置為最高,可以顯示所有的問題,方便查錯,也有利于寫出高質量的代碼。
日志級別是一些常量,在php.ini中有寫,推薦使用E_ ALL |E STRICT ,即所有級別。
3，錯誤日志
-error_ log =
錯誤日志的位置,必須對web用戶可寫入,如果不定義則默認寫入到web服務器的錯誤日志中去。
-log_ errors= on
如上所說,建議將錯誤日志輸出到文件,而不是直接輸出到前端。
-log_ errors_ max. _length = 1024
錯誤日志關聯信息的最大長度,設為0表示無限長度。

物聯網終端面臨的安全風險，主要分為如下三大類，即：硬件風險、軟件風險以及數據風險。

1. 硬件風險

   硬件風險指的是由于物聯網終端硬件攻擊面導致的被攻擊的風險，即，硬件層面上可能被攻擊的薄弱環節所導致的風險，具體包括：硬件設計缺陷、硬件接口未做保護，說明如下：

   • 硬件設計缺陷:由于硬件設計上安全考慮不足，可能導致攻擊者長驅直入。比如：如果設備沒有防拆功能，攻擊者可以拆開設備，并利用工具讀取敏感信息；如果硬件沒有電磁信號屏蔽機制，攻擊者則可能通過側信道攻擊獲取密鑰。因此硬件安全缺陷，會給物聯網終端設備造成極大的安全隱患。

   • 硬件接口未做保護:通常為了便于終端維護，設備生產廠商會預留相應的硬件或者軟件調試接口，以便于進行運維過程中單中的本地調試或者遠程調試。而如果這些接口沒有有效控制和管理的話，可能構成極大隱患。

2. 軟件風險

   軟件風險是物聯網終端面臨的第二大類風險，這類風險是由于物聯網終端軟件攻擊面所導致的，具體包括軟件漏洞、缺乏安全有效的更新機制、薄弱的身份認證和授權機制，說明如下：

   • 軟件漏洞
   • 缺乏安全有效的更新機制
   • 薄弱的身份認證和授權機制

3. 數據風險

   數據風險是物聯網終端面臨的第三類風險，這類風險是由于物聯網終端保存或傳輸的數據被攻擊所導致的，具體包括不安全的通信機制、缺少本地敏感數據保護機制，說明如下：

   • 不安全的通信機制:目前很多的物聯網智能終端在通信過程中，只采用了簡單加密方式，甚至直接明文傳輸，這無疑給攻擊者竊取、篡改、偽造數據打開方便之門。
   • 缺少本地敏感數據保護機制:除了需要在網絡上傳輸的數據面臨風險外，物聯網終端本地保存的數據如果缺少保護，也會面臨著風險，這種敏感數據，最典型的就是密鑰、賬戶信息、配置信息等，這些數據是終端和管理平臺進行安全通信的安全基礎，一旦泄漏，則終端身份則可以很容易被偽造、控制，造成極其慘重的后果。

要想密碼安全，主要是先確定密碼的唯一性，一個網站或者一個app使用單獨且不相同沒有聯系的密碼防止黑客拿到一個密碼實現“一鍋端”。在一個就使長密碼，密碼越短安全性和易破解性就越高，你使用五個字符的密碼和使用十五個字符的密碼安全性就不是單單加強了三倍這么簡單。使用密碼組合，不要只是輸入單詞或短語。不要向后拼寫你母親的名字或使用你的生日數字。不要設置任何簡單的密碼。最好借用ASCII碼表來使密碼更安全。剩下的幾個方法就是經常更改密碼、使用屏幕鍵盤防止黑客記錄鍵盤、最最重要就是不要自己泄露密碼。

使用Metasploit進行滲透測試的優勢如下：

• 源代碼的開放性：選擇Metasploit的主要理由之一就是其源代碼的開放性以及積極快速的發展。世界上還有許多非常優秀的商業版滲透測試工具，但是Metasploit對用戶開放它的源代碼，并且允許用戶添加自己的自定義模塊。雖然Metasploit Pro版本是收費的，但如果以學習為目的，可以將Metasploit Community版作為首選。

• 對大型網絡測試的支持以及便利的命名規則：Metasploit框架十分易用，不過這里的易用性是指Metasploit中命令的簡單命名約定。它為執行大規模的網絡滲透測試提供了便利。

• 靈活的攻擊載荷模塊生成和切換機制：最為重要的是，在Metasploit中切換攻擊載荷模塊十分容易——它提供了set payload命令來快速切換攻擊載荷模塊。因而在Metasploit中從Meterpreter終端或者shell控制行可以十分簡單地轉換到具體的操作，例如添加一個用戶，獲得遠程桌面控制。在命令行中輸入msfvenom也可以很容易地創建一個人工攻擊代碼程序。

• 干凈的通道建立方式：Metasploit可以在目標計算機上不留痕跡地建立控制通道，而一個自定義編碼的滲透模塊在建立控制通道時卻可能會引起系統的崩潰。這確實是一個重要的問題，在這種情況下，我們都知道系統是不會立刻重新啟動的。

• 圖形化管理界面：Metasploit提供了一個漂亮的圖形化管理界面，另外也為第三方圖形化管理軟件（例如Armitage）提供了管理界面。這些界面極大地簡化了滲透測試的工作，提供了易于切換的工作平臺、漏洞管理、單擊鼠標即可完成的滲透功能。本書的后面幾章將詳細討論這些環境。

保證內網足夠安全的措施如下：

• 設置權限及口令：大多數計算機系統常用口令來控制對系統資源的訪問，這是防病毒進程中，最容易實現，也是最經濟的方法之一。網絡管理員和終端操作員根據自己的職責權限，選擇不同的口令，對應用程序數據進行合法操作，防止用戶非法訪問數據和使用網絡資源。然而在網絡系統中，由于認證信息要通過網上傳遞，口令很容易被攻擊者從網絡傳輸線路上竊取并破譯，因此在設置口令時應注意：務必使用長度超過6個字符并且由字母（區分大小寫）、數字、符號共同組成的較高強度的口令，加大口令破解的難度；口令要定期進行變更；不得寫下口令或在電子郵件中傳送口令。只要我們牢記以上幾點，就能取得很好的保密，控制效果。

• 熟悉網絡的結構：要熟悉網絡的結構布局。比如建筑物內部的網絡布局、建筑物之間的網絡布局以及單位內internet連接的情況等。要仔細研究網絡拓撲圖，清楚線路的走向，以及交換機之間的連接情況等。

• 集中管理軟件的安裝：在網絡上，軟件的安裝和管理方式是十分關鍵的，它不僅關系到網絡維護管理的效率和質量，而且涉及到網絡的安全性。好的安全防護軟件能在幾分鐘內輕松地安裝到組織里的每一個NT服務器上，并可下載和散布到所有的目的機器上，由網絡管理員集中設置和管理，它會與操作系統及其他安全措施緊密地結合在一起，成為網絡安全管理的重要部分，并且自動提供最佳的網絡病毒防御措施。

• 實時殺毒，多層防御：當計算機病毒對網上資源的應用程序進行攻擊時，這樣的病毒存在于信息共享的網絡介質上，因此就要在計算機硬件和軟件、局域網服務器、網關、防火墻上層層設防，對每種病毒都實行隔離、過濾，而且完全在后臺操作。

• 熟悉網絡設備：需要明確網絡設備的性能、作用、基本設置以及維護方法。熟悉尾纖的光接口類型，常用的有接光纖收發器的SC，也有接交換機光模塊的LC，接光終端盒的FC等。網絡設備工作狀態怎么樣?光纖收發器六個指示燈是否全亮，如果沒全亮，檢查光纖接口是否連接正確，本地的TX與RX是否與遠端的TX和RX交叉連接。如果六個指示燈都不亮，可能為光路衰減太大，此時可用光功率儀測量接收端的光功率，再看看交換機上的光模塊是否正常、光口是否啟用等。檢查HUB或交換機的狀態指示燈是否正常，如果閃爍或常亮黃燈，表明數據包在網絡上有阻塞現象，需要檢查同一網段中是否有環路產生或是否有ARP病毒爆發，這需要查看交換機的日志來獲得詳細的信息。

• 熟悉網絡的運行情況：要熟悉網絡的運行情況。如統計網絡正常運行時的狀態、網絡的使用效率以及網絡資源的分配情況等。這樣，當網絡出現不穩定因素時，就可以快速地分析出故障緣由，從而找出發生故障的設備。實際工作中應著重注意以下幾點：在整個網絡上生成的傳輸量以及這些傳輸都集中在哪些網段？網絡上傳輸的信息來源，是正常傳輸、人為攻擊還是病毒？服務器達到了什么樣的繁忙程度？能否在任意一個時刻滿足所有用戶的請求？除此之外，也可以借助一些網絡輔助軟件來統計，分析網絡的運行情況。

• 熟悉網線的故障排除：網線的制作方式對網絡傳輸速度的影響是非常大的，若不按照標準制作，來自網線自身的背景噪音以及內部串擾就會大大降低網絡傳輸速度。為此一定要按照T568B標準制作網線。網線是局域網的血管，沒有它信息就不能流通。某條線路突然中斷，若連續幾次ping都出現Request time out，表明網絡不通了。故障通常包括網線內部斷裂、雙絞線和RJ-45水晶頭接觸不良以及雙絞線是否采用標準線序連接等。T568B線序為：白橙、橙、白綠、藍、白藍、綠、白棕、棕，可以用測線儀來檢測一下線路是否斷裂及線序是否正確。

1. 0day漏洞一般只有一個或者幾個人知道并且沒有被公布，如果利用則可以打穿服務器。

2. Nday就是公布很久，流傳很廣的漏洞，少數不更新的才能用。相對來說，通殺性不高

如何處理0day或者Nday漏洞方法如下：

• 作為管理員或用戶，可能無能為力。最好的情況是永遠不要使用未打補丁版本的軟件。這在 Linux 社區中通常很常見，在 Linux 社區中，許多用戶不會安裝.0發行版。相反，他們將等待.1版本（例如Ubuntu 19.10.1）。通過避免最初發布的版本，可能會免受第一批產品中至少任何未發現的0day漏洞的影響。這并不意味著.1版本將修補所有的0day漏洞。如果有的話，甚至在下一個主要版本之前，它們都可能未被發現。經常在新聞中看到存在一段時間的軟件中發現的新漏洞。

• 作為開發人員，最好的辦法是招募盡可能多的版本測試人員。這是開源軟件比專有軟件更具優勢的地方。在源代碼公開的情況下，任何人都可以審查和測試代碼。而且，Beta開源軟件通常面向公眾發布，因此任何人都可以進行測試。另一方面，付費軟件通常不會向公眾發布Beta（當然，也有例外）。當應用程序的beta測試人員數量有限時，發現的bug較少，從而導致0day漏洞的可能性更高。

信息安全目標指的是信息安全通常強調所謂CIA三元組的目標，即保密性、完整性和可用性，這三個屬性就信息安全的目標。CIA 概念的闡述源自信息技術安全評估標準（Information Technology Security Evaluation Criteria，ITSEC），它也是信息安全的基本要素和安全建設所應遵循的基本原則。

CIA具體如下：

• 保密性（Confidentiality）：確保信息在存儲、使用、傳輸過程中不會泄漏給非授權用戶或實體。

• 完整性（Integrity）：確保信息在存儲、使用、傳輸過程中不會被非授權用戶篡改，同時還要防止授權用戶對系統及信息進行不恰當的篡改，保持信息內、外部表示的一致性。

• 可用性（Availability）：確保授權用戶或實體對信息及資源的正常使用不會被異常拒絕，允許其可靠而及時地訪問信息及資源。

對信息系統的安全進行風險評估常用以下方法：

• 專家調查法：專家調查法是一種定性的安全評估方法。該方法由美國蘭德公司在1946年提出，其本質上屬于一種匿名性群體決策咨詢方法。該方法主要采用匿名征求專家意見-歸納、統計-匿名反饋-歸納、統計的循環遞進過程，可以排除各種外部干擾和分析障礙，減少調查中的信息誤差，力求獲取評審專家的真實觀點。

• 故障樹分析法：故障樹分析法通過描述事故因果關系，形成一種帶方向的“樹”型結構，用于系統安全分析與評估。該方法根據風險發生的因果關系，在識別各種潛在風險因素的基礎上，沿著風險傳播的路徑，運用邏輯推理的方法來求出風險發生的概率。該方法既適用于定性分析，又能進行定量分析，具有簡明、直觀、形象化的特點。

• 層次分析法：層次分析法在20世紀70年代由美國的薩蒂教授提出，是一種用于決策分析的方法，原本應用于運籌學范疇。在安全評估領域，層次分析法可以根據問題的性質和要達到的總目標，將整體安全風險分解為不同的組成因素，并按照因素間的相互關聯影響以及隸屬關系，將因素按不同層次聚集組合，形成一個多層次的風險分析結構模型。從而最終使風險定量計算問題歸結為最底層的葉子節點的安全威脅、弱點和風險、相對于最高層（總目標）的相對重要權值的確定或相對優劣次序的排定。該方法是一種簡潔而實用的定量風險評估方法。

• 模糊綜合評判法：模糊綜合評判是將系統安全性的度量借助模糊數學中的模糊概念和理論來表達，進而實現安全風險的計算方法。模糊綜合評判通常會與AHP方法相結合，在對安全要素進行分析時，模糊概念和隸屬度被用于AHP方法層內與層間的安全要素計算過程，這使得該方法兼具了定性評估和定量評估的優點。模糊綜合評判屬于一種定性和定量相結合的安全評估方法。

• 定性分析方法：定性分析是最早被廣泛采用的方法。定性分析技術大都基于判斷、直覺和經驗，因此可能由于直覺、經驗的偏差而造成分析結果不準確，所以定性分析對風險分析人員有較高的要求，風險分析人員應具備豐富的風險分析經驗。定性分析通過列出各種資產、威脅、脆弱性的清單；然后分析威脅利用資產的脆弱性將對資產造成怎樣的后果和影響，并對其發生的可能性進行判定；最后還要對資產的敏感程度、威脅脆弱性對所造成的后果和影響的嚴重程度進行分級。