1.方法和工具的选用原则与工具分类

目前，应用较多的典型风险评估与安全测评工具可分为基于专家系统的评估工具（如 COBRA、@RISK、BDSS 等）和基于过程式算法的评估工具（如 CRAMM、RA 等）。

如果根据量化程度来分类，可以分为定性评估工具（如 CONTROL IT、Definitive Scenario、JANBER 等）和定性与定量相结合的评估工具（如 COBRA、@RISK、BDSS、The Buddy System、 RiskCALC、CORA 等）两类。

2.综合风险评估与管理工具

（1）信息基础设施风险评估工具

信息基础设施风险评估通常使用脆弱点评估工具和渗透测试工具。脆弱点评估工具也称为安全扫描器、漏洞扫描仪，用来评估网络、主机操作系统以及数据库系统的安全漏洞。一般情况下，脆弱性扫描工具能够发现网络、主机系统、防火墙、路由器以及应用程序中已知的软件和硬件安全漏洞，以判断系统是否易受已知攻击的影响，并且寻找系统脆弱点。脆弱点评估工具的典型代表是 Nessus、ISS Scanner、X-Scan 等。

渗透测试是一种特殊的信息系统安全测试方法，它的核心思想是模拟黑客攻击的方式进行安全测试，可以普遍用于信息系统的安全测试和评估。

（2）风险评估辅助工具

风险评估辅助工具用来收集风险评估所需要的数据和资料，帮助完成被评估系统安全风险的现状分析和趋势分析。许多安全产品也可以用作风险评估辅助工具。

（3）渗透测试方法和工具

渗透测试具有以下显著特点：

① 渗透测试是一个循序渐进而且逐步深入的过程。

② 渗透测试选用的是不影响信息系统正常运行的攻击方法而实现的安全测试。渗透测试主要模拟入侵者的攻击方法对应用系统、服务器系统和网络设备进行非破坏性质的攻击性测试，其目的是进行信息安全风险评估与安全测评，而不是进行真正的恶意攻击，主观上并不试图破坏信息系统的完整性和可用性等安全属性。

③ 渗透测试需要得到信息系统所有者的测试授权，信息系统所有者应知晓渗透测试所有细节和风险，同时渗透测试所有过程都在该所有者的控制下进行。

渗透测试的流程：

扫描工具等自动化渗透工具的优点是效率高、速度快，但是存在一定的误报率和漏报率，无法发现深层次、复杂程度高的安全问题；高水平的渗透测试人员专业经验丰富，不仅可以非常准确地发现一般的脆弱点，还可以发现逻辑性更强、层次更深的相关脆弱点。