摘 要：信息安全網(wǎng)絡(luò)風(fēng)險(xiǎn)管理是為確保通過一系列的安全策略、安全流程、安全步驟，防止所有對網(wǎng)絡(luò)信息安全構(gòu)成威脅的事件發(fā)生、以及降低安全事件對信息資產(chǎn)的影響。信息安全網(wǎng)絡(luò)風(fēng)險(xiǎn)防御模式包括風(fēng)險(xiǎn)防御整體策略、風(fēng)險(xiǎn)防御措施和如何實(shí)施風(fēng)險(xiǎn)防御應(yīng)對計(jì)劃、風(fēng)險(xiǎn)實(shí)時(shí)監(jiān)控與預(yù)警及網(wǎng)絡(luò)風(fēng)險(xiǎn)防御策略等。

關(guān)鍵詞：信息安全 網(wǎng)絡(luò)風(fēng)險(xiǎn) 防御模式

中圖分類號：TP309 文獻(xiàn)標(biāo)識碼：A 文章編號：1672-3791（2013）02（a）-0033-01

作為企業(yè)的第一戰(zhàn)略資源，信息有著舉足輕重的作用。如果企業(yè)想要順利完成其工作，就要保證信息資源的安全。與資產(chǎn)天生相對的矛盾產(chǎn)物的另一個(gè)就是風(fēng)險(xiǎn)，風(fēng)險(xiǎn)隨著資產(chǎn)的價(jià)值正比例變化。而與傳統(tǒng)資產(chǎn)不同的信息資源，也面臨著新的不可知的風(fēng)險(xiǎn)。為了緩和平衡這一對新矛盾出現(xiàn)了信息安全網(wǎng)絡(luò)風(fēng)險(xiǎn)防御，它大大降低了風(fēng)險(xiǎn)，使信息以及相關(guān)資源能夠在可接受的風(fēng)險(xiǎn)范圍內(nèi)得到安全保證。若風(fēng)險(xiǎn)防御不到位，所存在的安全風(fēng)險(xiǎn)不僅僅影響系統(tǒng)的正常運(yùn)行，而且可能危害到企業(yè)的安全。因此，在選擇風(fēng)險(xiǎn)防御策略時(shí)，要選擇能夠在風(fēng)險(xiǎn)防御具體實(shí)施過程下，找到合適的風(fēng)險(xiǎn)防御實(shí)施點(diǎn)來實(shí)施的新技術(shù)的風(fēng)險(xiǎn)防御，這樣可以幫助風(fēng)險(xiǎn)管理過程有效完成，保護(hù)企業(yè)完成任務(wù)。

1 信息安全網(wǎng)絡(luò)風(fēng)險(xiǎn)管理包括：信息安全網(wǎng)絡(luò)需求分析、風(fēng)險(xiǎn)評估和風(fēng)險(xiǎn)防御

信息安全網(wǎng)絡(luò)需求分析包括遠(yuǎn)程接入域、企業(yè)互聯(lián)域、服務(wù)域、內(nèi)網(wǎng)支撐域。不同的區(qū)域有不同的安全需求，在遠(yuǎn)程接入域主要考慮信息安全3A的安全需求；在互聯(lián)域重要考慮BLP、biba模型的分析、建立、部署；在服務(wù)域重點(diǎn)考慮信息安全的CIA安全需求；在內(nèi)網(wǎng)支撐域重點(diǎn)考慮人的安全、流程的安全、物理安全等安全需求。在信息安全網(wǎng)絡(luò)風(fēng)險(xiǎn)防御過程中，信息安全的需求的確立過程是一次信息安全網(wǎng)絡(luò)風(fēng)險(xiǎn)防御主循環(huán)的起始，為風(fēng)險(xiǎn)評估提供輸入。

風(fēng)險(xiǎn)評估，就是風(fēng)險(xiǎn)和風(fēng)險(xiǎn)影響的識別和評估，還有建議如何降低風(fēng)險(xiǎn)。風(fēng)險(xiǎn)管理過程的第三步才是風(fēng)險(xiǎn)防御，風(fēng)險(xiǎn)評估時(shí)，關(guān)于對安全控制實(shí)施優(yōu)先級的排序、評價(jià)、實(shí)現(xiàn)的建議，都屬于風(fēng)險(xiǎn)防御，這些控制將會(huì)降低風(fēng)險(xiǎn)。

2 新技術(shù)下的網(wǎng)絡(luò)風(fēng)險(xiǎn)模式研究

2.1 風(fēng)險(xiǎn)防御模式

包括選擇風(fēng)險(xiǎn)防御措施、選擇風(fēng)險(xiǎn)防御策略、實(shí)施風(fēng)險(xiǎn)防御三個(gè)過程。實(shí)施風(fēng)險(xiǎn)防御的過程包括對過程進(jìn)行優(yōu)先級排序、評價(jià)建議的安全控制類別、選擇風(fēng)險(xiǎn)防御控制、分配責(zé)任、制定安全措施實(shí)現(xiàn)計(jì)劃、實(shí)現(xiàn)被選擇的安全控制，最后還要進(jìn)行殘余風(fēng)險(xiǎn)分析。

2.2 風(fēng)險(xiǎn)防御措施

（1）風(fēng)險(xiǎn)規(guī)避：通過消除風(fēng)險(xiǎn)的原因或后果（如當(dāng)識別出風(fēng)險(xiǎn)時(shí)放棄系統(tǒng)某項(xiàng)功能或關(guān)閉系統(tǒng)）來規(guī)避風(fēng)險(xiǎn)。（2）風(fēng)險(xiǎn)降低：通過實(shí)現(xiàn)安全控制來限制風(fēng)險(xiǎn)，這些安全控制可將由于系統(tǒng)弱點(diǎn)被威脅破壞而帶來的不利影響最小化（如使用支持、預(yù)防、檢測類的安全控制）。（3）風(fēng)險(xiǎn)計(jì)劃：制定一套風(fēng)險(xiǎn)減緩計(jì)劃來管理風(fēng)險(xiǎn)，在該計(jì)劃中對安全控制進(jìn)行優(yōu)先排序、實(shí)現(xiàn)和維護(hù)。（4）風(fēng)險(xiǎn)轉(zhuǎn)移：通過使用其他措施補(bǔ)償損失，從而轉(zhuǎn)移風(fēng)險(xiǎn)，如購買保險(xiǎn)。

企業(yè)的目標(biāo)和使命是企業(yè)選擇風(fēng)險(xiǎn)防御措施的首要考慮因素。想要解決所有風(fēng)險(xiǎn)是不可能的，因此可以將嚴(yán)重危害影響目標(biāo)的各種威脅或者弱點(diǎn)進(jìn)行排序。選擇不同廠商的安全產(chǎn)品中最合適的技術(shù)，再配合有效地風(fēng)險(xiǎn)防御措施和非技術(shù)類的管理措施是最好的方法。

2.3 風(fēng)險(xiǎn)防御策略

通過對實(shí)踐經(jīng)驗(yàn)的總結(jié)，對由于故意的人為威脅所帶來的風(fēng)險(xiǎn)做出防御，采取行動(dòng)來提供指導(dǎo)，從而保護(hù)我們的企業(yè)信息安全。

（1）當(dāng)存在系統(tǒng)漏洞時(shí)，實(shí)現(xiàn)保證技術(shù)來降低弱點(diǎn)被攻擊的可能性。（2）當(dāng)系統(tǒng)漏洞被惡意攻擊時(shí)，運(yùn)用層次化保護(hù)、結(jié)構(gòu)化設(shè)計(jì)以及管理控制將風(fēng)險(xiǎn)最小化或防止這種情形的發(fā)生。（3）當(dāng)攻擊者的成本比攻擊得到更多收益時(shí)，運(yùn)用保護(hù)措施，通過提高攻擊者成本來降低攻擊者的攻擊動(dòng)機(jī)（如使用系統(tǒng)控制，限制系統(tǒng)用戶可以訪問或做些什么，這些措施能夠大大降低攻擊所得）。（4）當(dāng)損失巨大時(shí)，運(yùn)用設(shè)計(jì)原則、結(jié)構(gòu)化設(shè)計(jì)以及技術(shù)或非技術(shù)類保護(hù)措施來限制攻擊的程度，從而降低可能的損失。

2.4 風(fēng)險(xiǎn)防御模式的實(shí)施

在實(shí)施風(fēng)險(xiǎn)防御措施時(shí)，要遵循以下規(guī)則：找出最大的風(fēng)險(xiǎn)，將其風(fēng)險(xiǎn)減緩到最小風(fēng)險(xiǎn)，同時(shí)要使對其他目標(biāo)的影響減到最小化。下面是以某企業(yè)信息網(wǎng)絡(luò)應(yīng)用系統(tǒng)為例在新技術(shù)下的信息安全風(fēng)險(xiǎn)防御模式的研究過程。

2.4.1 風(fēng)險(xiǎn)評估

對信息網(wǎng)絡(luò)進(jìn)行屬性分析，風(fēng)險(xiǎn)評估后，得到如下結(jié)果：數(shù)據(jù)庫系統(tǒng)安全狀況為中風(fēng)險(xiǎn)等級。在檢查的30個(gè)項(xiàng)目中，共有8個(gè)項(xiàng)目存在安全漏洞。其中：3個(gè)項(xiàng)目為高風(fēng)險(xiǎn)、1個(gè)項(xiàng)目為中風(fēng)險(xiǎn)、4個(gè)項(xiàng)目為低風(fēng)險(xiǎn)等級。

2.4.2 風(fēng)險(xiǎn)防御具體措施

根據(jù)風(fēng)險(xiǎn)評估報(bào)告和承受能力來決定風(fēng)險(xiǎn)防御具體措施。確定風(fēng)險(xiǎn)防御實(shí)施點(diǎn)，該網(wǎng)站的設(shè)計(jì)存在漏洞并且該漏洞可能被利用。實(shí)施步驟如以下幾點(diǎn)。

（1）確立風(fēng)險(xiǎn)級別，對評估結(jié)果中的8個(gè)項(xiàng)目漏洞進(jìn)行優(yōu)先級排序。

（2）評價(jià)建議的安全控制。在該網(wǎng)站主站數(shù)據(jù)庫被建立后，針對評估報(bào)告中的安全控制建議進(jìn)行分析，得出要采取的防御策略。

（3）對相應(yīng)的若干種防御策略進(jìn)行成本收益分析，得出每種防御策略的成本和收益。

（4）選擇安全控制。對漏洞分別選擇相應(yīng)的防御策略。

（5）責(zé)任分配，輸出負(fù)責(zé)人清單。

（6）制定完整的漏洞修復(fù)計(jì)劃。

（7）實(shí)施選擇好的防御策略，對SQL注入漏洞、XSS跨站腳本漏洞、頁面存在源代碼泄露、網(wǎng)站頁面權(quán)限漏洞（w—寫權(quán)限）、網(wǎng)站存在ddos攻擊這幾個(gè)漏洞進(jìn)行一一修復(fù)。

3 結(jié)語

風(fēng)險(xiǎn)管理過程持續(xù)改進(jìn)。通過對信息安全的風(fēng)險(xiǎn)的計(jì)劃、識別、定量分析、應(yīng)對角度進(jìn)行全方面的安全風(fēng)險(xiǎn)評估；在風(fēng)險(xiǎn)評估過程中，注重安全需求分析，通過滲透測試、文檔評審、漏洞掃描等手工和自動(dòng)化過程充分識別風(fēng)險(xiǎn)；通過蒙特卡羅、決策樹模型準(zhǔn)確定義風(fēng)險(xiǎn)，使風(fēng)險(xiǎn)評估盡可能的準(zhǔn)確；在專家評審會(huì)議上，通過頭腦風(fēng)暴、DELPHI等評審方法，針對不同的優(yōu)先級別的風(fēng)險(xiǎn)采用不同的應(yīng)對措施，并本著PDR模型的方式在企業(yè)內(nèi)部建立縱身的安全風(fēng)險(xiǎn)控制系統(tǒng)，為企業(yè)保駕護(hù)航。

參考文獻(xiàn)

[1]孫強(qiáng)，陳偉.信息安全管理：全球最佳實(shí)踐與實(shí)施指南[M].北京：清華大學(xué)出版社，2007.

[2]卿斯?jié)h.網(wǎng)絡(luò)安全檢測的理論和實(shí)踐[J].計(jì)算機(jī)系統(tǒng)應(yīng)用，2001.

[3]王英梅，王勝開，陳國順，等.信息安全風(fēng)險(xiǎn)評估[M].電子工業(yè)出版社，2007，6.