摘要 在電子政務(wù)和電子商務(wù)應(yīng)用快速發(fā)展的今天，信息安全問題越來越突出。企業(yè)網(wǎng)絡(luò)隨著企業(yè)不斷的發(fā)展，面臨的安全環(huán)境也越來越復(fù)雜。本文在介紹風(fēng)險(xiǎn)評估的基本步驟和方法的基礎(chǔ)上，重點(diǎn)對于面向運(yùn)行的風(fēng)險(xiǎn)評估進(jìn)行詳細(xì)闡述，有利于我國企業(yè)網(wǎng)絡(luò)安全進(jìn)一步發(fā)展。

關(guān)鍵詞 企業(yè)網(wǎng)絡(luò)安全 網(wǎng)絡(luò)安全評估 風(fēng)險(xiǎn)評估 面向運(yùn)行

一、引言

信息安全不是一個孤立靜止的概念，信息安全是一個多層面的多因素的綜合的動態(tài)的過程。在HTP模型中，信息安全建設(shè)是從體系建設(shè)過程、運(yùn)行及改進(jìn)過程、風(fēng)險(xiǎn)評估過程再到體系建設(shè)過程的一個循環(huán)往復(fù)的過程。沒有絕對的安全，信息安全的技術(shù)是不斷的前進(jìn)的。所以面向企業(yè)網(wǎng)絡(luò)的安全體系建設(shè)是一個需要在不斷考察企業(yè)自身發(fā)展環(huán)境和安全需求的基礎(chǔ)上，通過對現(xiàn)有系統(tǒng)的風(fēng)險(xiǎn)評估，不斷改進(jìn)的過程。整個安全體系統(tǒng)建設(shè)，不能一勞永逸，一成不變。因此，引入安全風(fēng)險(xiǎn)評估的概念和方法相當(dāng)重要，它為企業(yè)網(wǎng)絡(luò)的自身評估提供了良好的手段，是企業(yè)網(wǎng)絡(luò)安全體系不斷發(fā)展的動力。

二、風(fēng)險(xiǎn)評估的基本步驟和方法

進(jìn)行風(fēng)險(xiǎn)評估，首先應(yīng)按照信息系統(tǒng)業(yè)務(wù)運(yùn)行流程進(jìn)行資產(chǎn)識別，明確要保護(hù)的資產(chǎn)、資產(chǎn)的位置，并根據(jù)估價(jià)原則評價(jià)資產(chǎn)的重要性。在對資產(chǎn)進(jìn)行估價(jià)時(shí)，不僅要考慮資產(chǎn)的市場價(jià)格，更重要的是要考慮資產(chǎn)對于信息系統(tǒng)業(yè)務(wù)的重要性，即根據(jù)資產(chǎn)損失所引發(fā)的潛在的影響來決定。為確保資產(chǎn)估價(jià)的一致性和準(zhǔn)確性，信息系統(tǒng)應(yīng)按照建立一個統(tǒng)一的價(jià)值尺度，以明確如何對資產(chǎn)進(jìn)行賦值。還要注意特定信息資產(chǎn)的價(jià)值的時(shí)效性和動態(tài)性。

其次系統(tǒng)管理員、操作員、安全專家對信息系統(tǒng)進(jìn)行全面的安全性分析。對系統(tǒng)進(jìn)行安全性分析的方法包括調(diào)查研究、會議座談、理論分析、進(jìn)行模擬滲透式攻擊等方法，可運(yùn)用的分析技術(shù)包括貝葉斯信任網(wǎng)絡(luò)法、事件樹分析法、軟件故障樹分析法、危害性與可操作性分析法、Petri網(wǎng)法、寄生電路分析法以及系統(tǒng)影響和危險(xiǎn)度分析法。

再次對已采取的安全控制進(jìn)行確認(rèn)。

最后，建立風(fēng)險(xiǎn)測量方法及風(fēng)險(xiǎn)等級評價(jià)原則，確定風(fēng)險(xiǎn)的大小與等級。按照風(fēng)險(xiǎn)評估的深度，風(fēng)險(xiǎn)評估方法可分為：①基本的風(fēng)險(xiǎn)評估方法：對組織所面臨的風(fēng)險(xiǎn)全部采用統(tǒng)一、簡單的方法進(jìn)行評估分析并確定一個安全標(biāo)準(zhǔn)，這種方法僅適用于規(guī)模小、構(gòu)成簡單、信息安全要求不是很高的組織；②詳細(xì)的風(fēng)險(xiǎn)評估方法：對信息系統(tǒng)中所有的部分都進(jìn)行詳細(xì)的評估分析；③聯(lián)合的風(fēng)險(xiǎn)評估方法：先鑒定出一個信息系統(tǒng)中高風(fēng)險(xiǎn)、關(guān)鍵、敏感部分進(jìn)行詳細(xì)的評估分析，然后對其他的部分采取基本的評估分析。

在進(jìn)行風(fēng)險(xiǎn)評估時(shí)，可采用定性或定量分析方法。定性評估時(shí)并不使用具體的數(shù)據(jù)表示絕對數(shù)值，而是用語言描述表示相對程度。由此得出的評估結(jié)果只是風(fēng)險(xiǎn)的相對等級，并不代表風(fēng)險(xiǎn)的絕對大小。

定量風(fēng)險(xiǎn)分析方法要求特別關(guān)注資產(chǎn)的價(jià)值損失和威脅的量化數(shù)據(jù)。對于具體環(huán)境的某一個安全風(fēng)險(xiǎn)時(shí)間發(fā)生的概率是安全威脅發(fā)生概率與系統(tǒng)脆弱點(diǎn)被利用概率的函數(shù)，根據(jù)聯(lián)合概率分布計(jì)算公式可得出安全事件L發(fā)生概率為PL=TL×VL。其中TL是未考慮資產(chǎn)脆弱點(diǎn)因素的威脅發(fā)生的發(fā)生概率，VL是資產(chǎn)的脆弱點(diǎn)被威脅利用的概率。

目前風(fēng)險(xiǎn)評估工具存在以下幾類：①掃描工具：包括主機(jī)掃描、網(wǎng)絡(luò)掃描、數(shù)據(jù)庫掃描，用于分析系統(tǒng)的常見漏洞；②人侵監(jiān)測系統(tǒng)(IDS)：用于收集與統(tǒng)計(jì)威脅數(shù)據(jù)；③滲透性測試工具：黑客工具，用于人工滲透，評估系統(tǒng)的深層次漏洞；④主機(jī)安全性審計(jì)工具：用于分析主機(jī)系統(tǒng)配置的安全性；⑤安全管理評價(jià)系統(tǒng)：用于安全訪談，評價(jià)安全管理措施；⑥風(fēng)險(xiǎn)綜合分析系統(tǒng)：在基礎(chǔ)數(shù)據(jù)基礎(chǔ)上，定量、綜合分析系統(tǒng)的風(fēng)險(xiǎn)，并且提供分類統(tǒng)計(jì)、查詢、TOPN查詢以及報(bào)表輸出功能；⑦評估支撐環(huán)境工具：評估指標(biāo)庫、知識庫、漏洞庫、算法庫、模型庫。

三、面向運(yùn)行的風(fēng)險(xiǎn)評估

由于還沒有一個標(biāo)準(zhǔn)的建設(shè)程序和規(guī)范，因此在國內(nèi)很少有企業(yè)在風(fēng)險(xiǎn)評估的基礎(chǔ)上進(jìn)行系統(tǒng)建設(shè)，而且很多情況下選擇將網(wǎng)絡(luò)一次性安裝完畢。針對這種情況，我們覺得可以考慮采用面向運(yùn)行的風(fēng)險(xiǎn)評估的方法，對已經(jīng)建成的、正在運(yùn)行的網(wǎng)絡(luò)進(jìn)行風(fēng)險(xiǎn)評估，查找問題，然后針對風(fēng)險(xiǎn)點(diǎn)，逐步加以建設(shè)完善。在此基礎(chǔ)上，可對網(wǎng)絡(luò)再進(jìn)行一次風(fēng)險(xiǎn)評估。檢查信息系統(tǒng)安全績效，并為進(jìn)一步提升安全性能做好準(zhǔn)備。對于一個企業(yè)來講，網(wǎng)絡(luò)可以由多個功能模塊組成，包括核心網(wǎng)絡(luò)、服務(wù)器組、廣域網(wǎng)、互聯(lián)網(wǎng)、撥號用戶等。

1.企業(yè)網(wǎng)絡(luò)分析

企業(yè)園區(qū)網(wǎng)絡(luò)主要包括核心網(wǎng)絡(luò)、分布層網(wǎng)絡(luò)、接人層網(wǎng)絡(luò)、服務(wù)器網(wǎng)絡(luò)等幾個部分。各個部分都可能受到來自企業(yè)內(nèi)部的安全威脅。(1)核心網(wǎng)絡(luò)，核心網(wǎng)絡(luò)主要實(shí)現(xiàn)核心交換功能，主要的威脅為分組竊聽。(2)分布層網(wǎng)絡(luò)，分布層網(wǎng)絡(luò)為接入設(shè)備提供路由、服務(wù)質(zhì)量和訪問控制等分布層服務(wù)，完成核心網(wǎng)絡(luò)與接入網(wǎng)絡(luò)的信息交互，它是針對內(nèi)部發(fā)起攻擊的第一道防御。在這個網(wǎng)絡(luò)中可能存在未授權(quán)訪問、IP電子欺騙、分組竊聽等威脅。(3)接人層網(wǎng)絡(luò)，接入層網(wǎng)絡(luò)是為企業(yè)內(nèi)部網(wǎng)絡(luò)最終用戶提供服務(wù)。用戶設(shè)備是網(wǎng)絡(luò)中最大規(guī)模的元素，因此該部分網(wǎng)絡(luò)可能存在大量的來自內(nèi)部網(wǎng)絡(luò)用戶的安全威脅。如外來筆記本等不安全機(jī)器可接入內(nèi)部網(wǎng)，對內(nèi)部網(wǎng)的安全造成威脅，可能造成內(nèi)部數(shù)據(jù)的泄露，網(wǎng)絡(luò)受到惡意攻擊；企業(yè)內(nèi)部網(wǎng)上使用的電腦擅自撥號上互聯(lián)網(wǎng)，造成一機(jī)多網(wǎng)，可能感染病毒，受到互聯(lián)網(wǎng)上用戶的攻擊；內(nèi)部網(wǎng)客戶端的安全補(bǔ)丁和殺毒軟件病毒庫沒有及時(shí)更新，無法有效地防范病毒，因此有病毒泛濫的風(fēng)險(xiǎn)等。(4)服務(wù)器網(wǎng)絡(luò)，服務(wù)器網(wǎng)絡(luò)因?yàn)橄蜃罱K用戶提供應(yīng)用服務(wù)，存儲大量的企業(yè)內(nèi)部數(shù)據(jù)，通常會成為內(nèi)部攻擊的主要目標(biāo)，因此未授權(quán)訪問、應(yīng)用層攻擊、IP電子欺騙、分組竊聽、信任關(guān)系利用、端口重定向等威脅時(shí)刻存在。

2.確定已經(jīng)采取的安全控制手段

對于企業(yè)園區(qū)網(wǎng)應(yīng)當(dāng)采取的安全控制手段，在這里我們不做詳細(xì)講解。我們要做的就是根據(jù)網(wǎng)絡(luò)安全管理的設(shè)計(jì)方案，結(jié)合上面確定的風(fēng)險(xiǎn)點(diǎn)，進(jìn)行檢查，確定在這些風(fēng)險(xiǎn)點(diǎn)上已經(jīng)采取的安全控制措施，并確保這些措施切實(shí)有效。比如：(1)防火墻設(shè)置是否安全；(2)防火墻是否使用NAT地址轉(zhuǎn)換；(3)是否安裝入侵監(jiān)測系統(tǒng)；(4)是否使用電子郵件內(nèi)容過濾；(5)是否使用RFC2827和1918過濾；(6)撥號用戶是否簽訂安全協(xié)議；(7)撥號用戶是否進(jìn)行強(qiáng)身份認(rèn)證；(8)是否對用戶線路采用撥號回送程序和控制措施；(9)是否對撥號上網(wǎng)用戶流經(jīng)關(guān)鍵接口的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行監(jiān)視記錄。當(dāng)然這只是需要確認(rèn)內(nèi)容的一小部分。在確認(rèn)過程中需要做到的是耐心仔細(xì)，不放過每一個細(xì)節(jié)。同時(shí)我們應(yīng)當(dāng)與各個部門負(fù)責(zé)人和系統(tǒng)管理員協(xié)同工作，以便取得更大的成效。

3.確定風(fēng)險(xiǎn)的等級

我們需要使用一些掃描工具，對內(nèi)部網(wǎng)絡(luò)進(jìn)行掃描，以便建立風(fēng)險(xiǎn)等級評價(jià)原則，確定風(fēng)險(xiǎn)的大小與等級。根據(jù)掃描結(jié)果，我們可以結(jié)合已經(jīng)收集到的大量網(wǎng)絡(luò)信息，進(jìn)行認(rèn)真比較和評估。最后我們可以總結(jié)出發(fā)現(xiàn)的問題，并提出化解風(fēng)險(xiǎn)的建議。

當(dāng)然風(fēng)險(xiǎn)是客觀存在的，通過風(fēng)險(xiǎn)評估的方法，能夠在一個階段內(nèi)幫助解決網(wǎng)絡(luò)安全問題，但并非一勞永逸。我們應(yīng)該建立風(fēng)險(xiǎn)評估的良性循環(huán)機(jī)制，定期進(jìn)行風(fēng)險(xiǎn)評估，以便不斷的提升網(wǎng)絡(luò)安全性能。

四、結(jié)語

引入了風(fēng)險(xiǎn)評估的理論，從風(fēng)險(xiǎn)評估的產(chǎn)生和發(fā)展歷史講起，通過對企業(yè)園區(qū)網(wǎng)絡(luò)進(jìn)行風(fēng)險(xiǎn)評估的演示，介紹了一些風(fēng)險(xiǎn)評估的方法和基本步驟。其中還采用了掃描工具，以便確定風(fēng)險(xiǎn)的等級，提出解決方案。信息安全不是一個孤立靜止的概念，信息安全建設(shè)是一個多層面、多因素的、綜合的、動態(tài)的過程。風(fēng)險(xiǎn)評估是建立企業(yè)網(wǎng)絡(luò)安全體系的起點(diǎn)，但并不是終點(diǎn)，因此建立風(fēng)險(xiǎn)評估的良性循環(huán)體制，是不斷提升網(wǎng)絡(luò)安全性能的重要保證。