淺談企業(yè)信息安全應急響應體系構(gòu)建

王亮++許昌軍++劉陽

摘要：結(jié)合實際工作，該文從信息安全應急架構(gòu)、運維監(jiān)控響應、制度管理三個環(huán)節(jié)，探討利用技術(shù)、管理兩個維度，構(gòu)建地市級煙草企業(yè)響應體系，確保網(wǎng)絡、系統(tǒng)、數(shù)據(jù)、信息環(huán)境的可高效響應及恢復。

關(guān)鍵詞：信息安全應急架構(gòu)；監(jiān)控；制度管理；應急響應

中圖分類號：TP311 文獻標識碼：A 文章編號：1009-3044（2015）17-0041-02

隨著信息網(wǎng)絡時代的發(fā)展 ，企業(yè)對于信息數(shù)據(jù)、系統(tǒng)的依賴日趨嚴重，業(yè)務中斷、數(shù)據(jù)丟失對于現(xiàn)今的企業(yè)是不可想象，如何避免信息系統(tǒng)出現(xiàn)故障或災難，做到未雨綢繆。或者說在出現(xiàn)故障或災難時我們能在最短的時間恢復服務業(yè)務應用、還原業(yè)務數(shù)據(jù)將損失降為最小，已成為各企業(yè)信息部門研究的課題，這就需要建立一套有效的信息安全響應體系。

1 應急響應定義

所謂應急響應即“Incident Response”或“Emergency Response”，通常指一個組織為應對各種意外事件的發(fā)生所做的準備以及在事件發(fā)生后所采取的措施。信息安全應急響應通常是指一個組織為了應對各種突發(fā)的信息安全事件所做的準備以及在事件發(fā)生后所采取的相應的補救措施和行動，從而阻止或減少事件對系統(tǒng)安全性帶來的影響。本文認為信息安全應急響應包括自動應急響應和人工應急響應兩部分。

2 應急響應體系的構(gòu)成及響應對象

地市級煙草企業(yè)信息安全應急響應體系，從技術(shù)、管理角度可分為信息安全應急架構(gòu)建設(shè)、監(jiān)控運維平臺建設(shè)、應急制度管理建設(shè)三方面

3 應急響應體系的構(gòu)建

3.1 信息安全應急架構(gòu)建設(shè)

完善的信息安全應急架構(gòu)對于應急響應的意義在于未雨綢繆，預防、減少出現(xiàn)故障的可能性，在出現(xiàn)突發(fā)事件時自動響應遏制故障，并且能夠為運維人員及時人工響應地處理解決問題提供更多的信息和更好途徑。信息安全應急架構(gòu)是應急響應體系的基礎(chǔ)，其建設(shè)應注重三點原則（按重要優(yōu)先級排列）：

（1）首要，要居安思危，防患于未然；（阻止或減少突發(fā)事件的發(fā)生）

（2）其次，要可自動響應遏制故障、維持運行；（通過系統(tǒng)自動響應，提升響應效率）

（3）再次，要便于人工應急響應，遏制故障。（通過運維人工響應，時間相對較長）

3.1.1 網(wǎng)絡信息安全應急架構(gòu)建設(shè)

業(yè)務網(wǎng)絡是企業(yè)信息系統(tǒng)運行的基礎(chǔ)，業(yè)務網(wǎng)絡出現(xiàn)中斷，所有信息業(yè)務服務將無法進行。構(gòu)建一個適度冗余的、防護得力的網(wǎng)絡對于企業(yè)確保業(yè)務服務連續(xù)性、數(shù)據(jù)的安全性，提升應急響應水平來說至關(guān)重要。

構(gòu)建冗余架構(gòu)的網(wǎng)絡。冗余架構(gòu)的網(wǎng)絡，在發(fā)生突發(fā)故障或災難時，可實現(xiàn)應急自動響應，有效保障網(wǎng)絡的正常通訊能力。地市級煙草企業(yè)省到市、市到縣網(wǎng)絡應該采用通信物理線路雙運營商，雙鏈路、雙設(shè)備的冗余網(wǎng)絡拓撲架構(gòu)。業(yè)務網(wǎng)絡可實現(xiàn)在出現(xiàn)一核心設(shè)備或運營商線路故障時，冗余設(shè)備、線路自動接管，確保保障業(yè)務系統(tǒng)的正常運行。

3.1.2 系統(tǒng)和數(shù)據(jù)信息安全應急架構(gòu)建設(shè)

3.1.2.1 虛擬化技術(shù)與應急響應

現(xiàn)如今虛擬化技術(shù)日趨普及，服務器虛擬化、桌面虛擬化、應用虛擬化、存儲虛擬化等這些針對不同對象所擴展的虛擬化技術(shù)，在各地市企業(yè)的應急響應體系中發(fā)揮著重要的作用。

（1）服務器虛擬化

服務器虛擬化是指將服務器物理資源抽象成邏輯資源，進行統(tǒng)一的分配管理，提高資源的利用率。服務器虛擬化對比傳統(tǒng)的物理服務器有很大優(yōu)勢，在實現(xiàn)對服務器整合的同時，可以通過實時遷移、存儲遷移、智能容錯、高可用性等技術(shù)能夠在出現(xiàn)問題、故障時自動響應輕松快速把虛擬機（vm）從一臺服務器上遷移到另一臺，確保業(yè)務的延續(xù)性，并且通過手工、自動的方式為虛擬機（vm）建立快照，可恢復指定時間的數(shù)據(jù)，從而有效地提升運維人員對應用系統(tǒng)和數(shù)據(jù)的應急響應能力。

（2）桌面、應用虛擬化

桌面虛擬化和應用虛擬化，真實的系統(tǒng)運行都在物理服務器中，而虛擬機（vm）系統(tǒng)以及個人數(shù)據(jù)可分開保存在存儲硬盤中。終端設(shè)備操作僅在顯示器上顯示用戶共享的桌面或應用程序的鏡像，來回傳送鍵盤和鼠標輸入的信息。故虛擬客戶端相比傳統(tǒng)的客戶端，在出現(xiàn)操作系統(tǒng)故障時可快速通過模板重新建立新的虛擬機（vm），由于個人數(shù)據(jù)分開保存故也不會丟失，而且還可通過快照形式直接恢復。

（3）存儲虛擬化

存儲虛擬化（Storage Virtualization）最通俗的理解就是對物理存儲硬件資源進行抽象化為邏輯存儲。可實現(xiàn)對多個同構(gòu)或異構(gòu)存儲的整合，構(gòu)建“存儲池”，統(tǒng)一資源管理。無論是服務器虛擬化還是桌面、應用虛擬化，其數(shù)據(jù)都保存在存儲之中，存儲的數(shù)據(jù)安全至關(guān)重要。通過存儲虛擬化的高可用性和鏡像、快照技術(shù)確保存儲服務平臺的服務連續(xù)性，通過存儲虛擬化的復制、連續(xù)數(shù)據(jù)保護（CDP），確保存儲服務平臺的數(shù)據(jù)安全。

3.1.2.2 容災中心建設(shè)與應急響應

除了虛擬化技術(shù)，容災技術(shù)在煙草企業(yè)應急安全體系建設(shè)中也應發(fā)揮越來越重要的作用。特別是近幾年來隨著業(yè)務的發(fā)展新增業(yè)務服務繁多、生產(chǎn)環(huán)境復雜、信息數(shù)據(jù)量大，如何確保信息系統(tǒng)特別是主營業(yè)務系統(tǒng)（各單位的關(guān)鍵業(yè)務系統(tǒng)和“一號工程”系統(tǒng)）的業(yè)務連續(xù)性，提升應急響應能力顯得尤為重要。

地市級煙草企業(yè)容災系統(tǒng)大體可分為本地容災（無備援中心）、同城異地容災（同城異地建立備援中心）、異地容災（備援中心建立在其他城市）。

（1）本地容災。其工作方式是在生產(chǎn)機房中業(yè)務系統(tǒng)中，實現(xiàn)在線實時備份，利用磁盤鏡像將存儲數(shù)據(jù)鏡像到容災設(shè)備，同時容災設(shè)備根據(jù)策略生成連續(xù)的快照。當生產(chǎn)機房存儲發(fā)生突發(fā)故障事件時容災系統(tǒng)自動響應將客戶端的數(shù)據(jù)訪問快速、無縫地切換到鏡像盤，可實現(xiàn)RPO（Recovery Point Objective，即數(shù)據(jù)恢復點目標）和RTO（Recovery Time Objective，即恢復時間目標）達到秒級，趨緊于零，從而保證業(yè)務的連續(xù)性及數(shù)據(jù)的完整性，有效提升應急響應水平。

（2）同城異地容災。在本地災備的基礎(chǔ)上，建立災備機房（備援中心）（生產(chǎn)機房和災備機房兩地距離國際標準為5km以上），除了在生產(chǎn)機房中利用磁盤鏡像將存儲數(shù)據(jù)鏡像發(fā)送到生產(chǎn)機房的容災設(shè)備，容災系統(tǒng)同時在線將數(shù)據(jù)備份到災備機房。當生產(chǎn)機房發(fā)生嚴重故障無法調(diào)用存儲及容災網(wǎng)關(guān)數(shù)據(jù)時，可通過災備機房啟動業(yè)務應用系統(tǒng)，代替生產(chǎn)機房提供服務，并可通過災備機房容災網(wǎng)關(guān)快照手動響應對對生產(chǎn)機房數(shù)據(jù)進行恢復。

（3）異地容災。異地容災具有和同城異地容災相類似機制，異地容災也有自己的災備機房，只是災備機房建立在其他城市。在出現(xiàn)突發(fā)災難進行應急響應時可啟動異地災備機房業(yè)務，客戶端通過網(wǎng)絡遠程訪問服務器應用，實現(xiàn)業(yè)務的持續(xù)。地市級煙草企業(yè)可將異地災備機房建立在省級企業(yè)，從而實現(xiàn)異地災備。

3.1.3 信息環(huán)境的信息安全應急架構(gòu)建設(shè)

這里的信息環(huán)境主要指的是機房環(huán)境。機房環(huán)境涉及領(lǐng)域較廣，主要有供配電系統(tǒng)、空調(diào)新風系統(tǒng)、消防報警系統(tǒng)、防盜報警系統(tǒng)、防雷接地系統(tǒng)、安防系統(tǒng)等。當機房環(huán)境出現(xiàn)突發(fā)事件，也將直接影響信息系統(tǒng)的安全，因此機房環(huán)境的應急響應也尤為重要。

3.2 運維監(jiān)控平臺的構(gòu)建

作為信息安全應急響應體系的重要環(huán)節(jié)，監(jiān)控及運維的意義在于及時的發(fā)現(xiàn)問題，并使故障及時得到處理。就地市級煙草企業(yè)而言主要針對的是網(wǎng)絡設(shè)備、服務器、存儲、機房（即網(wǎng)絡、應用系統(tǒng)、數(shù)據(jù)、信息環(huán)境）的監(jiān)控和運維。

3.2.1 監(jiān)控平臺建設(shè)

以網(wǎng)絡監(jiān)控平臺為例，目前的大部分的監(jiān)控平臺都是基于SNMP協(xié)議（Simple Network Management Protocol，即簡單網(wǎng)絡管理協(xié)議）和ICMP協(xié)議（Internet Control Message Protocol 即Internet控制報文協(xié)議）來運作實現(xiàn)。ICMP協(xié)議采用了PING方式實現(xiàn)。SNMP協(xié)議在PING成功后執(zhí)行，獲取相應設(shè)備的參數(shù)信息，可以為運維人員提供真實拓撲視圖功能，能夠真實、直觀地反映設(shè)備的分布情況、負載狀況和設(shè)備屬性，以及線路的實時流量；通過顏色顯示負載和流量的壓力，主動告知IT運維管理人員需要關(guān)注的信息動態(tài)，隨時告知可能存在的故障隱患，從而有效提升運維應急響應能力。

3.2.2 運維平臺的建設(shè)

運維平臺，主要是實現(xiàn)I T 服務管理，目前業(yè)界各類運維系統(tǒng)，大部分都參考了I T I L（Information Technology Infrastructure Library， ITIL，信息技術(shù)基礎(chǔ)架構(gòu)庫），其主要功能目標是實現(xiàn)對日常I T 運維的流程（過程）管理，實現(xiàn)I T 運維的標準化，達到對日常I T 運維狀況的可評價、可統(tǒng)計、可衡量的目的 。通過流程化、痕跡化的管理提升運維人員的應急響應效率。

3.3 應急制度的建設(shè)管理

三分技術(shù)七分管理，僅憑單純的安全產(chǎn)品和簡單的防御技術(shù)是無法抵擋攻擊的，人員制度的建設(shè)管理也是應急響應體系建設(shè)的重點，必須建立一整套應急管理機制、完善執(zhí)行流程，加強人才隊伍技術(shù)建設(shè)，從技術(shù)、管理二個層面才能建立完善的應急響應體系。

3.3.1 建立信息安全應急響應組織機構(gòu)

地市級煙草企業(yè)應建立信息應急響應組及協(xié)調(diào)中心（CERT/CC）。應急響應組是專門處理安全事件的組織，常用名字是CERT或CSIRT，指計算機緊急響應組（Computer Emergency Response Team）或計算機安全應急響應組（Computer Security Incident Response Team）。而應急響應協(xié)調(diào)中心主要負責協(xié)調(diào)指揮各應急響應組并為各應急響應組提供信息共享服務。

3.3.2 明確信息安全應急響應職責

地市級應急響應主要職能是：一是對地市級計算機網(wǎng)絡、系統(tǒng)、數(shù)據(jù)、環(huán)境等安全事件進行緊急反應， 盡快恢復網(wǎng)絡、系統(tǒng)、數(shù)據(jù)、機房的正常運轉(zhuǎn)。二是要使系統(tǒng)、網(wǎng)絡、數(shù)據(jù)、機房設(shè)備所遭受的損失最小化。三是對影響系統(tǒng)和網(wǎng)絡、數(shù)據(jù)安全的漏洞及防治措施進行通報，，對安全風險進行評估等。

3.3.3 建立地市級煙草企業(yè)應急響應執(zhí)行方案庫（操作手冊）

應急響應組/協(xié)調(diào)中心（CERT/CC），應建立并不斷完善，針對所有應急響應對象在發(fā)生各種突發(fā)故障或事件時，應急響應組所需執(zhí)行的各種具體應急運維解決方案，并匯總形成方案庫。并通過紙制形成手冊或通過電子檔保持在運維平臺中供運維人員調(diào)閱查詢。

3.3.4 建立完善地市級應急響應管理制度

（1）應急響應通報管理制度；（規(guī)范突發(fā)事件的通報對象、流程。）

（2）應急響應執(zhí)行管理制度；（規(guī)范對突發(fā)事件處理流程的方式方法。）

（3）應急響應事件分級管理制度；（規(guī)范故障事件分類，設(shè)定標準并確定優(yōu)先級）

（4）應急響應方案管理制度；（規(guī)范建立、變更突發(fā)事件具體處置方案流程）

（5）應急響應演練管理制度；（規(guī)范應急演練內(nèi)容、流程）

（6）應急響應組的人員管理及培訓制度；（規(guī)范應急響應組人員管理與培訓）

4 總結(jié)

信息安全應急響應體系是確保企業(yè)信息安全的關(guān)鍵之一，優(yōu)化應急響應的體系的構(gòu)建對于提升企業(yè)應急響應能力，確保業(yè)務的連續(xù)性，信息數(shù)據(jù)的安全性至關(guān)重要。本文結(jié)合工作實際從技術(shù)和管理兩個層面，以信息安全應急響應對象為立足點，從自動響應、人工響應兩方面簡述了地市級煙草企業(yè)信息安全應急響應體系的構(gòu)建。但如何在各系統(tǒng)中實現(xiàn)應急響應的聯(lián)動性？如何進一步完善信息安全應急響應體系建設(shè)？并沒有進行深入的探討，這些方面也將成為我們今后關(guān)注和研究的對象。