陳興軍 馮銳

摘 要： 在研究信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)[1]基礎(chǔ)上，進(jìn)一步研究將該解決方案應(yīng)用于云平臺(tái)。通過對(duì)比應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)在傳統(tǒng)物理機(jī)房和云平臺(tái)的不同需求，提出將該解決方案應(yīng)用于云平臺(tái)的系統(tǒng)部署架構(gòu)，同時(shí)提出運(yùn)用云計(jì)算和大數(shù)據(jù)手段對(duì)云端一定時(shí)期內(nèi)安全事件精細(xì)化分析思路，以期更有效地管控云端信息安全事件。

關(guān)鍵詞： 云計(jì)算； 應(yīng)急預(yù)案自動(dòng)啟動(dòng)； 信息安全事件； 大數(shù)據(jù)； 精細(xì)化

中圖分類號(hào)：TP309.1 文獻(xiàn)標(biāo)志碼：A 文章編號(hào)：1006-8228（2015）12-21-05

Research of auto-start management system for information system

contingency plan based on cloud platform

Chen Xingjun， Feng Rui

（Zhejiang Economic Information center， Hangzhou， Zhejiang 310006， China）

Abstract： On the basis of research of the auto-start management system for information system contingency plan， further study and apply the proposed solution to the cloud platform. By comparing the different requirements of the auto-start management system for information system contingency plan in the traditional physical computer room and cloud platform， a system deployment architecture， in which the proposed solution is applied to the cloud platform， is put forward， while using the means of cloud computing and Big data to precisely analyze the security incidents happened at the cloud-side over a certain period of time， and to find a better way to treat information security incident and emergency response strategy at the cloud-side.

Key words： cloud computing； auto-start of contingency plan； information security incident； Big data； precisely

0 引言

隨著云計(jì)算、物聯(lián)網(wǎng)、大數(shù)據(jù)等技術(shù)和模式的發(fā)展，信息化技術(shù)以并非革新式的進(jìn)步帶來了市場(chǎng)商業(yè)模式和政府政務(wù)管理雙層面的革新式變化。《2015年政府工作報(bào)告》明確提出了制定“互聯(lián)網(wǎng)+”行動(dòng)計(jì)劃，推動(dòng)移動(dòng)互聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)等與現(xiàn)代制造業(yè)結(jié)合，促進(jìn)電子商務(wù)、工業(yè)互聯(lián)網(wǎng)和互聯(lián)網(wǎng)金融健康發(fā)展，引導(dǎo)互聯(lián)網(wǎng)企業(yè)拓展國(guó)際市場(chǎng)。同時(shí)英、法等歐洲發(fā)達(dá)國(guó)家政務(wù)云平臺(tái)也已悄然興起[2]。在可預(yù)計(jì)的未來若干年內(nèi)，云平臺(tái)、大數(shù)據(jù)等信息化基礎(chǔ)設(shè)施和手段必將成為政府管理和社會(huì)活動(dòng)新的載體。

課題組在《信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)研究》（《信息網(wǎng)絡(luò)安全》2014年第9期）中曾提出基于統(tǒng)一信息安全事件模板化管理的信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)，系統(tǒng)得以實(shí)現(xiàn)信息系統(tǒng)安全事件應(yīng)急預(yù)案的自動(dòng)化、標(biāo)準(zhǔn)化啟動(dòng)。信息系統(tǒng)應(yīng)急預(yù)案自啟動(dòng)管理系統(tǒng)在云端的部署使得該系統(tǒng)可以對(duì)整朵云實(shí)現(xiàn)安全事件的統(tǒng)一管控，進(jìn)一步發(fā)揮該系統(tǒng)的安全事件管控能力。同時(shí)在該系統(tǒng)運(yùn)行過程中，系統(tǒng)內(nèi)自然積累了云端信息安全事件及實(shí)際應(yīng)急響應(yīng)過程信息（該系統(tǒng)業(yè)務(wù)信息），對(duì)這些數(shù)據(jù)的精細(xì)化分析與研究或?qū)⒊蔀榧訌?qiáng)安全事件管控、降低信息安全風(fēng)險(xiǎn)的關(guān)鍵。

⑴ 信息系統(tǒng)在云端集中部署面臨的信息安全挑戰(zhàn)

隨著云計(jì)算技術(shù)的成熟，云平臺(tái)已經(jīng)成為各地政府機(jī)構(gòu)、產(chǎn)業(yè)園區(qū)的重要選擇，2014年以浙江省政務(wù)服務(wù)網(wǎng)及貴州省“云上貴州”項(xiàng)目為代表一系列云平臺(tái)的部署標(biāo)志著我國(guó)云平臺(tái)建設(shè)逐步規(guī)模化、主流化。

信息系統(tǒng)在云端集中部署，節(jié)省了信息化建設(shè)運(yùn)行成本，縮短了建設(shè)周期，減輕了各單位獨(dú)立建設(shè)信息中心的負(fù)擔(dān)，也給信息化運(yùn)維帶來了便利，并且為消除部門間“信息孤島”，實(shí)現(xiàn)信息共享和業(yè)務(wù)協(xié)同創(chuàng)造了有利條件，但同時(shí)也給信息安全和數(shù)據(jù)隱私帶來新的安全隱患[3]。

部署在云端的系統(tǒng)失去了其在傳統(tǒng)運(yùn)行環(huán)境中相對(duì)固化的網(wǎng)絡(luò)邊界和相對(duì)穩(wěn)定的計(jì)算存儲(chǔ)空間，取而代之的是相對(duì)動(dòng)態(tài)的邊界和物理位置難以精確定位的虛擬計(jì)算存儲(chǔ)資源。云端系統(tǒng)除核心虛擬化技術(shù)自主可控性和技術(shù)成熟性等帶來的安全問題外，還面臨由于業(yè)務(wù)系統(tǒng)的充分集中造成攻擊目標(biāo)的集中化，一旦云平臺(tái)內(nèi)部邊界訪問控制和病毒防范等安全策略設(shè)置不當(dāng)或發(fā)生故障，云端任一系統(tǒng)造成安全事件都可能在云端的蔓延，形成連鎖式安全事件[4]。

⑵ 信息系統(tǒng)應(yīng)急預(yù)案自啟動(dòng)管理系統(tǒng)的應(yīng)用

在《信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)研究》課題整個(gè)研究過程中，選取浙江省區(qū)縣級(jí)政府機(jī)關(guān)單位150個(gè)2級(jí)信息系統(tǒng)的應(yīng)急響應(yīng)現(xiàn)狀作為研究對(duì)象，按照信息安全等級(jí)保護(hù)測(cè)評(píng)的要求（GB/T22239），提出了應(yīng)急預(yù)案自啟動(dòng)管理系統(tǒng)的理念。課題組設(shè)計(jì)了該系統(tǒng)的架構(gòu)、狀態(tài)流轉(zhuǎn)機(jī)制、主控制器模板及應(yīng)急預(yù)案模板框架，對(duì)系統(tǒng)應(yīng)急預(yù)案中的行為設(shè)計(jì)了績(jī)效考評(píng)算法[1，5]。課題組前期相關(guān)論文闡述了該系統(tǒng)的架構(gòu)，工作流程，應(yīng)急預(yù)案庫(kù)設(shè)計(jì)及該管理系統(tǒng)在同地區(qū)、同行業(yè)推廣的思路，并建立了基于該系統(tǒng)的應(yīng)急預(yù)案考核模型。

⑶ 基于云端信息系統(tǒng)應(yīng)急預(yù)案自啟動(dòng)管理系統(tǒng)帶來的革新

隨著云計(jì)算產(chǎn)業(yè)化、規(guī)?；l(fā)展，政府和企業(yè)依托云平臺(tái)運(yùn)行的信息系統(tǒng)越來越多，信息系統(tǒng)應(yīng)急預(yù)案自啟動(dòng)管理系統(tǒng)在云平臺(tái)的部署和應(yīng)用也產(chǎn)生了新的價(jià)值，系統(tǒng)在云端部署后將擴(kuò)大信息安全管控范圍。通過在云端設(shè)置專門的信息安全管理域，配置與業(yè)務(wù)系統(tǒng)物理獨(dú)立的計(jì)算與存儲(chǔ)資源，部署該系統(tǒng)，實(shí)現(xiàn)系統(tǒng)對(duì)整朵云范圍內(nèi)安全事件進(jìn)行統(tǒng)一管控[6]。

在云端實(shí)現(xiàn)“信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)”向“云平臺(tái)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)”的升級(jí)，把對(duì)單個(gè)系統(tǒng)信息安全事件的管理過程升級(jí)為對(duì)整個(gè)云端信息安全事件的管理行為，通過對(duì)云平臺(tái)信息安全事件的全局管理，對(duì)面向信息安全及應(yīng)急響應(yīng)自動(dòng)啟動(dòng)全過程數(shù)據(jù)（該系統(tǒng)業(yè)務(wù)數(shù)據(jù)）進(jìn)行精細(xì)化分析統(tǒng)計(jì)，更有針對(duì)性地在云端不同的區(qū)域部署信息安全策略，提高信息安全保障[1，7]。

1 基于云平臺(tái)信息系統(tǒng)應(yīng)急預(yù)案自啟動(dòng)管理系統(tǒng)的部署

該管理系統(tǒng)在安全事件發(fā)生后，從安全事件應(yīng)急預(yù)案庫(kù)中迅速定位相應(yīng)的應(yīng)急預(yù)案啟動(dòng)模板，通過自動(dòng)（或手動(dòng)）啟動(dòng)應(yīng)急響應(yīng)流程，統(tǒng)一部署相關(guān)責(zé)任人及應(yīng)急設(shè)備的工作，向各責(zé)任人發(fā)送預(yù)案啟動(dòng)具體的工作內(nèi)容和操作時(shí)間點(diǎn)，向應(yīng)急設(shè)備發(fā)送應(yīng)急啟動(dòng)指令，以統(tǒng)一的標(biāo)準(zhǔn)和規(guī)范的操作，快捷、有效的調(diào)動(dòng)所有應(yīng)急預(yù)案相關(guān)因素，完成應(yīng)急響應(yīng)工作，同時(shí)自動(dòng)完成應(yīng)急響應(yīng)工作中每個(gè)責(zé)任人的工作審計(jì)記錄，便于應(yīng)急響應(yīng)工作本身的追責(zé)、回溯。

應(yīng)急預(yù)案庫(kù)（涵蓋每次應(yīng)急響應(yīng)記錄和經(jīng)驗(yàn)）可在同地區(qū)、同行業(yè)統(tǒng)一部署、資源共享，使得該地區(qū)、該行業(yè)各單位各系統(tǒng)按照統(tǒng)一的標(biāo)準(zhǔn)（可添加系統(tǒng)個(gè)性化操作）進(jìn)行規(guī)范化應(yīng)急響應(yīng)[1]，如圖1。

圖1 信息系統(tǒng)應(yīng)急預(yù)案啟動(dòng)自動(dòng)管理系統(tǒng)架構(gòu)圖[1]

與針對(duì)單一系統(tǒng)的信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)相比，云端信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)主控制器及監(jiān)測(cè)顯示器部署在云端專門的安全管理區(qū)域。由于該系統(tǒng)主控制系統(tǒng)是整個(gè)云端應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理體系的核心，因此主控制系統(tǒng)服務(wù)器采用與核心業(yè)務(wù)區(qū)物理獨(dú)立的計(jì)算存儲(chǔ)資源，同時(shí)使用網(wǎng)絡(luò)邊界設(shè)備做好安全管理區(qū)域與核心業(yè)務(wù)區(qū)的訪問控制防護(hù)。主控制系統(tǒng)管理所有核心業(yè)務(wù)區(qū)域的安全事件監(jiān)測(cè)端與應(yīng)急響應(yīng)設(shè)備，將管理對(duì)象從單一的應(yīng)用系統(tǒng)擴(kuò)展到各核心業(yè)務(wù)區(qū)域，如圖2。

2 基于云平臺(tái)信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)的安全事件防御策略

基于單一業(yè)務(wù)系統(tǒng)的信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)在探測(cè)到系統(tǒng)發(fā)生安全事件后，自動(dòng)加載對(duì)應(yīng)的應(yīng)急預(yù)案模板，啟動(dòng)應(yīng)急響應(yīng)程序和流程，給管理員人發(fā)送通知，提醒管理員人在具體時(shí)間內(nèi)完成具體的響應(yīng)任務(wù)。在整個(gè)應(yīng)急響應(yīng)流程中，主服務(wù)器記載相應(yīng)應(yīng)急響應(yīng)設(shè)備工作狀態(tài)機(jī)跳轉(zhuǎn)情況及應(yīng)急響應(yīng)人員工作狀態(tài)，以備后續(xù)完成本次應(yīng)急

圖3 信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)工作流程

基于云端的信息系統(tǒng)應(yīng)急預(yù)案自啟動(dòng)管理系統(tǒng)，在應(yīng)急響應(yīng)中不僅僅針對(duì)安全事件目標(biāo)所在系統(tǒng)啟動(dòng)應(yīng)急響應(yīng)，同時(shí)針對(duì)目標(biāo)系統(tǒng)所在區(qū)域啟動(dòng)區(qū)域性防御應(yīng)急響應(yīng)策略[1，8，9]。

⑴ 網(wǎng)絡(luò)層面執(zhí)行區(qū)域性防御應(yīng)急響應(yīng)，針對(duì)目標(biāo)系統(tǒng)損害程度和安全事件類型按等級(jí)分類防御：

① 安全事件目標(biāo)系統(tǒng)遭遇破壞式、嚴(yán)重的網(wǎng)絡(luò)安全事件，系統(tǒng)選擇通過區(qū)域網(wǎng)絡(luò)邊界設(shè)備完全中斷該區(qū)域網(wǎng)絡(luò)接入；

② 安全事件目標(biāo)系統(tǒng)遭遇常規(guī)式、針對(duì)單一端口的安全事件，系統(tǒng)選擇通過區(qū)域網(wǎng)絡(luò)邊界設(shè)備關(guān)閉該區(qū)域特定端口，保留該區(qū)域其他端口正常使用；

③ 安全事件目標(biāo)系統(tǒng)遭遇可簡(jiǎn)單、迅速控制的安全事件，系統(tǒng)不啟用區(qū)域防守應(yīng)急響應(yīng)策略。

⑵ 在物理層面執(zhí)行區(qū)域性防御應(yīng)急響應(yīng)，針對(duì)目標(biāo)系統(tǒng)損害程度和安全事件擴(kuò)散性分類別防御：

① 安全事件目標(biāo)位置遭遇可全局?jǐn)U散的安全事件，系統(tǒng)選擇在整個(gè)物理機(jī)房區(qū)域自動(dòng)啟動(dòng)區(qū)域防守應(yīng)急響應(yīng)，如盜竊、溫濕度、防火、供電等安全事件；

② 安全事件目標(biāo)位置遭遇可局部擴(kuò)散的安全事件，系統(tǒng)選擇在目標(biāo)位置周圍一定范圍啟動(dòng)區(qū)域防守應(yīng)急響應(yīng)，如防潮濕等安全事件，并對(duì)安全事件擴(kuò)散情況時(shí)時(shí)監(jiān)測(cè)，隨擴(kuò)散的加深，動(dòng)態(tài)化增大所防御的區(qū)域范圍，如圖4。

3 基于云平臺(tái)安全事件數(shù)據(jù)信息的深度分析和整體性防御

3.1 云平臺(tái)安全事件信息積累與分析

信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)在云端部署后，隨著云平臺(tái)的運(yùn)行，該系統(tǒng)在歷次的安全事件監(jiān)測(cè)和應(yīng)急響應(yīng)過程中將積累整個(gè)云平臺(tái)范圍內(nèi)的安全事件和應(yīng)急響應(yīng)數(shù)據(jù)，對(duì)數(shù)據(jù)深層次挖掘?qū)?duì)云平臺(tái)安全問題獲得全局的把握，發(fā)現(xiàn)云平臺(tái)整個(gè)體系相對(duì)薄弱點(diǎn)及不同系統(tǒng)、區(qū)域、安全事件應(yīng)急響應(yīng)過程中所暴露的問題，在此基礎(chǔ)上對(duì)云平臺(tái)安全問題進(jìn)行預(yù)判斷并提高應(yīng)急響應(yīng)水平[10]。

3.2 分析維度

基于云平臺(tái)的信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)安全事件信息挖掘從如下維度分析。

⑴ 安全事件：考慮“安全事件類型（Type）”、“發(fā)生時(shí)間（time）”、“目標(biāo)系統(tǒng)（System）”、“所在區(qū)域（Zone）”、“攻擊來源（source）”。

⑵ 應(yīng)急響應(yīng)：考慮“安全事件類型（Type）”、“發(fā)生時(shí)間（Time）”、“目標(biāo)系統(tǒng)（System）”、“所在區(qū)域（Zone）”、“應(yīng)急響應(yīng)設(shè)備（Device）”、“應(yīng)急響應(yīng)相關(guān)人員（Staff）”、“具體人員每個(gè)應(yīng)急響應(yīng)步驟實(shí)際操作時(shí)間（TimeA）”、“具體人員每個(gè)應(yīng)急響應(yīng)步驟規(guī)定操作時(shí)間（TimeB）”。

系統(tǒng)自動(dòng)獲?。喊踩录仃嘥1={（Type）、（Time）、（System）、（Zone）、（source）}；

應(yīng)急響應(yīng)矩陣T2={（Type）、（Time）、（System）、（Zone）、（source）、（Device）、（Staff）、（TimeA）、（TimeB）}。

基于此評(píng)估云平臺(tái)一段時(shí)間發(fā)生次數(shù)最多的安全事件類型、發(fā)生安全事件頻率最高的區(qū)域及遭遇攻擊頻率最高的來源，同時(shí)優(yōu)化《信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)研究》所提出的應(yīng)急響應(yīng)評(píng)估矩陣E：

System={S1，S2，S3，…，Sr，…，Sn，Smain} ⑴

Zone={Z1，Z2，Z3，…，Zs，…，Zn，Zmain} ⑵

Type={Ty1，Ty2，Ty3，…，Tyt，…，Ty n，Tymain} ⑶

Source={So1，So2，So3，…，Sou，…，Son，Somain} ⑷

針對(duì)單個(gè)系統(tǒng)進(jìn)行進(jìn)一步精細(xì)化分析，考慮單個(gè)系統(tǒng)各種安全事件及安全事件發(fā)生后應(yīng)急響應(yīng)各步驟的要求因素，得出某個(gè)系統(tǒng)（r）的某個(gè)安全事件（t）應(yīng)急響應(yīng)因子算法公式：

⑸

每一個(gè)系統(tǒng)需綜合考慮一定時(shí)期內(nèi)所有種類的安全事件，評(píng)估在各安全事件應(yīng)急響應(yīng)中，相關(guān)人員的績(jī)效因子，系統(tǒng)（r）的應(yīng)急響應(yīng)因子算法公式變?yōu)椋?/p>

Sr={Sr（Ty1），Sr（Ty2），Sr（Ty3），…，Sr（Tyr），…} ⑹

從云平臺(tái)的整體角度講，應(yīng)急響應(yīng)績(jī)效考評(píng)需考慮整個(gè)云平臺(tái)內(nèi)所有系統(tǒng)的安全事件應(yīng)急響應(yīng)情況，同時(shí)考慮每個(gè)區(qū)域、各種類型、各種來源的安全事件綜合影響因素，于是，《信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)研究》中評(píng)估矩陣E變?yōu)閇1]：

⑺

4 結(jié)束語(yǔ)

本文在前置課題成果《信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)研究》基礎(chǔ)上，討論將信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)應(yīng)用于云平臺(tái)，以提供更廣泛的應(yīng)急預(yù)案自動(dòng)啟動(dòng)服務(wù)。主要結(jié)論如下：

⑴ 通過比對(duì)分析，設(shè)計(jì)了基于云平臺(tái)的信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)部署架構(gòu)；

⑵ 通過比對(duì)分析，提出了該系統(tǒng)在云平臺(tái)部署過程中網(wǎng)絡(luò)、物理層面區(qū)域防御思想，并基于此設(shè)計(jì)了系統(tǒng)工作機(jī)制；

⑶ 對(duì)單一業(yè)務(wù)系統(tǒng)的應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)應(yīng)急響應(yīng)績(jī)效考評(píng)算法進(jìn)行優(yōu)化，以更適應(yīng)云平臺(tái)的評(píng)估模式；

⑷ 后續(xù)將圍繞如下方面開展研究：基于安全事件種類或主要種類研究應(yīng)急預(yù)案啟動(dòng)模板，詳細(xì)規(guī)劃自動(dòng)啟動(dòng)方案中各步驟流程，基于網(wǎng)絡(luò)邊界設(shè)備功能，以及物理安全要求進(jìn)一步規(guī)劃區(qū)域防御安全規(guī)則。

參考文獻(xiàn)（References）：

[1] 馮銳.信息系統(tǒng)應(yīng)急預(yù)案自動(dòng)啟動(dòng)管理系統(tǒng)研究[J].信息網(wǎng)

絡(luò)安全，2014.9.

[2] GB/T22239-2008信息安全技術(shù).信息系統(tǒng)安全等級(jí)保護(hù)

基本要求.

[3] 王忠.美國(guó)推動(dòng)大數(shù)據(jù)技術(shù)發(fā)展的戰(zhàn)略價(jià)值及啟示[J].中國(guó)

發(fā)展觀察，2012.6：44-45

[4] 劉鵬.實(shí)戰(zhàn)Hadoop：開啟通向云計(jì)算的捷徑[M].電子工業(yè)出

版社，2011.

[5] 袁辛奮，胡子林.淺析突發(fā)事件的特征、分類及意義[J].科技與

管理，2005.2：23

[6] Marianne Swanson， Amy Wohl， Lucinda Pope， etc.

Contingency Planning Guidefor Information Technology System[R]. NIST SP 800-34，U.S.Gaithersburg：NIST （National Institute of Standards and Technology），2002.

[7] 盛揚(yáng)燕，周濤.大數(shù)據(jù)時(shí)代[M].浙江人民出版社，2012.

[8] 汪向東.我國(guó)電子政務(wù)的進(jìn)展、現(xiàn)狀及發(fā)展趨勢(shì)[J].電子政務(wù)，

2009.7：44-68

[9] 吳秋萍.云計(jì)算在電子政務(wù)系統(tǒng)中的應(yīng)用研究[J].計(jì)算機(jī)與

現(xiàn)代化，2011.7：117

[10] 肖擁軍，姚磊.關(guān)于建設(shè)電子政務(wù)云平臺(tái)的幾點(diǎn)思考[J].中國(guó)

信息界，2012.10：22