企業(yè)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警體系研究

◆王 嬋 李 靜 胡 威 程 杰 劉 安 盧曉梅 郭永和 李顯旭

企業(yè)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警體系研究

◆王 嬋 李 靜 胡 威 程 杰 劉 安 盧曉梅 郭永和 李顯旭

（國(guó)家電網(wǎng)公司信息通信分公司 北京 100761）

隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，企業(yè)網(wǎng)絡(luò)安全面臨著更嚴(yán)峻的挑戰(zhàn)，加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)、提升網(wǎng)絡(luò)安全防范水平成為各企業(yè)的焦點(diǎn)。為解決這個(gè)問(wèn)題，本文提出一種企業(yè)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警體系建設(shè)思路。此體系通過(guò)建立總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心、分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心兩級(jí)網(wǎng)絡(luò)安全運(yùn)營(yíng)中心，統(tǒng)籌公司人才、技術(shù)和裝備力量，構(gòu)建了“總部-分公司”縱向網(wǎng)絡(luò)安全協(xié)作和資源共享機(jī)制，是推動(dòng)大型企業(yè)提升整體風(fēng)險(xiǎn)管控及態(tài)勢(shì)感知能力、網(wǎng)絡(luò)安全風(fēng)險(xiǎn)實(shí)時(shí)響應(yīng)及應(yīng)急處置能力的有益嘗試。

網(wǎng)絡(luò)安全；監(jiān)測(cè)預(yù)警體系；縱向網(wǎng)絡(luò)安全協(xié)作；資源共享

0 引言

隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)空間安全態(tài)勢(shì)呈現(xiàn)新特點(diǎn)、新趨勢(shì)，也面臨嚴(yán)峻的技術(shù)挑戰(zhàn)[1,2]。在此背景下，黨中央、國(guó)務(wù)院高度重視網(wǎng)絡(luò)安全工作。2016年4月，習(xí)近平總書記在網(wǎng)絡(luò)安全和信息化工作座談會(huì)上提出要全天候全方位感知網(wǎng)絡(luò)安全態(tài)勢(shì)，做好風(fēng)險(xiǎn)防范。12月，國(guó)家互聯(lián)網(wǎng)信息辦公室發(fā)布《國(guó)家網(wǎng)絡(luò)空間安全戰(zhàn)略》，強(qiáng)調(diào)保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施及其重要數(shù)據(jù)的重要性：“堅(jiān)持技術(shù)和管理并重、保護(hù)和震懾并舉，著眼識(shí)別、防護(hù)、檢測(cè)、預(yù)警、響應(yīng)、處置等環(huán)節(jié)，建立實(shí)施關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)制度，從管理、技術(shù)、人才、資金等方面加大投入，依法綜合施策，切實(shí)加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)。” 2017年6月1日，《網(wǎng)絡(luò)安全法》在我國(guó)正式施行，全面規(guī)范網(wǎng)絡(luò)空間安全管理問(wèn)題，強(qiáng)化了網(wǎng)絡(luò)運(yùn)營(yíng)者的主體責(zé)任，標(biāo)志著網(wǎng)絡(luò)安全工作上升至國(guó)家法律高度。

因此，加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)、提升網(wǎng)絡(luò)安全防范水平成為各企業(yè)的焦點(diǎn)。特別是大型企業(yè)，因其信息系統(tǒng)多、影響范圍廣、商業(yè)價(jià)值大等眾多因素更易成為網(wǎng)絡(luò)攻擊的攻擊對(duì)象，網(wǎng)絡(luò)安全責(zé)任也更加重大。為此，大型企業(yè)均根據(jù)自身特點(diǎn)積極搭建安全防護(hù)體系，開(kāi)展網(wǎng)絡(luò)安全工作，但往往存在以下問(wèn)題：

（1）過(guò)度信賴安全防護(hù)設(shè)備。企業(yè)往往購(gòu)買大量安全防護(hù)設(shè)備，簡(jiǎn)單堆砌形成安全防護(hù)體系。而網(wǎng)絡(luò)安全技術(shù)人員在日常網(wǎng)絡(luò)安全工作參與度不夠，導(dǎo)致隱藏在海量攻擊日志中的網(wǎng)絡(luò)安全威脅事件無(wú)法發(fā)現(xiàn)。

（2）安全防護(hù)體系存在短板。大型企業(yè)下屬各公司的網(wǎng)絡(luò)安全隊(duì)伍建設(shè)進(jìn)度不一，技術(shù)實(shí)力存在差距，并且技術(shù)裝備配備不同，導(dǎo)致企業(yè)整體安全防護(hù)體系的短板問(wèn)題。

（3）安全情報(bào)碎片化。各分公司網(wǎng)絡(luò)安全工作處于單打獨(dú)斗狀態(tài)，獨(dú)立掌握自身的安全情報(bào)，缺乏安全情報(bào)共享渠道，無(wú)法做到企業(yè)網(wǎng)絡(luò)安全態(tài)勢(shì)整體感知，缺乏企業(yè)總部與分公司之間的縱向協(xié)作通道，無(wú)法做到企業(yè)各功能共同面對(duì)安全事件，實(shí)現(xiàn)聯(lián)合防御。

（4）安全事件處理過(guò)程存在環(huán)節(jié)弱化或缺失的問(wèn)題。企業(yè)往往未實(shí)現(xiàn)對(duì)安全事件處理流程的明確和固化，存在安全監(jiān)測(cè)、分析研判等環(huán)節(jié)弱化，或者存在事件溯源取證、預(yù)警指揮等環(huán)節(jié)缺失的情況。長(zhǎng)期以往，對(duì)企業(yè)整體網(wǎng)絡(luò)安全工作不利。

目前，國(guó)內(nèi)外已涌現(xiàn)眾多針對(duì)如何組織開(kāi)展網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警工作的研究成果。但是研究成果多為對(duì)工作機(jī)制的探討，并未針對(duì)企業(yè)日常網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警工作流程進(jìn)行梳理明確，未提出具體的工作落地方案[3-5]。針對(duì)以上現(xiàn)狀和難題，本文提出一種企業(yè)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警體系的設(shè)計(jì)思路，梳理出一套完整的網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警工作流程：網(wǎng)絡(luò)安全事件監(jiān)測(cè)、分析研判、應(yīng)急處置、事件上報(bào)、溯源取證、漏洞消缺、預(yù)警指揮。此體系統(tǒng)籌企業(yè)人才、技術(shù)和裝備力量，構(gòu)建“總部-分公司”縱向網(wǎng)絡(luò)安全協(xié)作和資源共享機(jī)制，最終實(shí)現(xiàn)企業(yè)的主動(dòng)防御和聯(lián)防聯(lián)守。

1 企業(yè)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警體系建設(shè)思路

網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警體系定位于面對(duì)企業(yè)整體的網(wǎng)絡(luò)安全威脅監(jiān)測(cè)、分析和處置中心。大型企業(yè)總部設(shè)立總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心，分公司設(shè)立分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心，形成“總-分”兩級(jí)縱向網(wǎng)絡(luò)安全協(xié)作和資源共享通道。

總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心負(fù)責(zé)企業(yè)整體的態(tài)勢(shì)感知，及安全事件的預(yù)警指揮。其主要任務(wù)是實(shí)時(shí)監(jiān)測(cè)企業(yè)整體的網(wǎng)絡(luò)安全威脅情況；針對(duì)嚴(yán)重安全威脅事件開(kāi)展溯源取證和預(yù)警通報(bào)工作；指揮安全威脅事件的處置，實(shí)現(xiàn)企業(yè)整體態(tài)勢(shì)感知和聯(lián)動(dòng)防御。嚴(yán)重安全威脅事件來(lái)源包括：總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心監(jiān)測(cè)發(fā)現(xiàn)的嚴(yán)重安全威脅事件，以及分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心上報(bào)的嚴(yán)重安全威脅事件。

分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心負(fù)責(zé)分公司的態(tài)勢(shì)感知，運(yùn)管范圍內(nèi)的安全威脅事件的上報(bào)和處置。其主要任務(wù)是實(shí)時(shí)監(jiān)測(cè)、分析和處置運(yùn)管范圍內(nèi)的各類安全威脅事件，并將嚴(yán)重安全事件上報(bào)至總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心；按照總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心的漏洞整改和風(fēng)險(xiǎn)預(yù)警處置要求，制定具體的落地整改方案并按期完成安全威脅事件的修復(fù)和處置。

依托網(wǎng)絡(luò)安全監(jiān)測(cè)分析預(yù)警體系，可以實(shí)現(xiàn)：

（1）固化網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警流程，明確各責(zé)任主體在應(yīng)對(duì)網(wǎng)絡(luò)安全威脅時(shí)的職責(zé)分工。

（2）實(shí)現(xiàn)縱向網(wǎng)絡(luò)安全協(xié)作和聯(lián)防聯(lián)守，總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心統(tǒng)一指揮嚴(yán)重安全威脅事件的處置工作，各分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心積極響應(yīng)并落實(shí)處置工作，共同應(yīng)對(duì)網(wǎng)絡(luò)安全威脅。

（3）打通總部與分公司、分公司與分公司之間的資源共享通道。一是總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心牽頭建立威脅情報(bào)庫(kù)，收集外部威脅情報(bào)和內(nèi)部漏洞整改知識(shí)，提升各分公司預(yù)控能力，防患于未然，實(shí)現(xiàn)情報(bào)共享；二是充分融合各單位網(wǎng)絡(luò)安全人員、技術(shù)、設(shè)備等各方面的優(yōu)勢(shì)力量，形成安全威脅分析典型工作經(jīng)驗(yàn)并進(jìn)行企業(yè)內(nèi)部分享，實(shí)現(xiàn)經(jīng)驗(yàn)共享；三是總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心組織各分公司進(jìn)行培訓(xùn)交流、攻防實(shí)訓(xùn)，促進(jìn)跨公司的交流與培養(yǎng)，加強(qiáng)網(wǎng)絡(luò)安全人才團(tuán)隊(duì)建設(shè)，并選取企業(yè)優(yōu)秀技術(shù)人才，組建網(wǎng)絡(luò)安全專家?guī)欤匾獣r(shí)采取現(xiàn)場(chǎng)或者遠(yuǎn)程技術(shù)支持的方式進(jìn)行事件處置，實(shí)現(xiàn)人才和技術(shù)共享。

2 企業(yè)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警體系建設(shè)內(nèi)容

2.1裝備設(shè)置

傳統(tǒng)安全設(shè)備無(wú)法整合各分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心的設(shè)備告警信息，為監(jiān)測(cè)企業(yè)整體網(wǎng)絡(luò)安全威脅，企業(yè)需要建立一套網(wǎng)絡(luò)安全事件監(jiān)測(cè)預(yù)警系統(tǒng)，利用網(wǎng)絡(luò)態(tài)勢(shì)感知、大數(shù)據(jù)分析技術(shù)將各分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心分散的、孤立的網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)組織起來(lái)并進(jìn)行深度關(guān)聯(lián)和分類，提煉出有價(jià)值的安全威脅告警信息展示給總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心安全分析人員，從而作為傳統(tǒng)防護(hù)措施上的重要補(bǔ)充手段，提升企業(yè)整體風(fēng)險(xiǎn)管控及態(tài)勢(shì)感知能力。

目前，已有相關(guān)研究成果。網(wǎng)絡(luò)安全事件監(jiān)測(cè)預(yù)警系統(tǒng)一般包含三個(gè)組成部分：數(shù)據(jù)采集層、數(shù)據(jù)分析層和數(shù)據(jù)展示層[6]。具體見(jiàn)圖1。每個(gè)組成部分的功能是：

（1）數(shù)據(jù)采集層負(fù)責(zé)將各分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心的安全監(jiān)測(cè)數(shù)據(jù)進(jìn)行采集、去噪、標(biāo)準(zhǔn)化等預(yù)處理，轉(zhuǎn)變成容易處理、格式標(biāo)準(zhǔn)的數(shù)據(jù)集合，作為分析層的數(shù)據(jù)來(lái)源。

（2）數(shù)據(jù)分析層負(fù)責(zé)采用大數(shù)據(jù)挖掘等技術(shù)對(duì)海量安全監(jiān)測(cè)數(shù)據(jù)進(jìn)行關(guān)聯(lián)分析，提煉出安全威脅事件，并確認(rèn)安全威脅事件影響范圍、危害程度。

（3）數(shù)據(jù)展示層實(shí)現(xiàn)對(duì)數(shù)據(jù)分析結(jié)果進(jìn)行展現(xiàn)與操作的界面，實(shí)現(xiàn)了安全監(jiān)測(cè)管理的可視化全景展現(xiàn)。

圖1 網(wǎng)絡(luò)安全事件監(jiān)測(cè)預(yù)警系統(tǒng)實(shí)現(xiàn)框架

2.2人才培養(yǎng)

網(wǎng)絡(luò)安全人才培養(yǎng)是企業(yè)建設(shè)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警體系的重要保證。中網(wǎng)辦發(fā)文[2016]4號(hào)提到“人才是網(wǎng)絡(luò)安全第一資源。各地方、各部門要認(rèn)識(shí)到網(wǎng)絡(luò)安全學(xué)科建設(shè)和人才培養(yǎng)的極端重要性，增強(qiáng)責(zé)任感使命感，將網(wǎng)絡(luò)安全人才培養(yǎng)工作提到重要議事日程。”總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心應(yīng)牽頭組織各分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心共同開(kāi)展網(wǎng)絡(luò)安全人員培養(yǎng)，進(jìn)行安全人才共建。人才培養(yǎng)包括安全意識(shí)培訓(xùn)和安全技能培訓(xùn)。

（1）安全意識(shí)培訓(xùn)

企業(yè)致命的網(wǎng)絡(luò)安全隱患往往存在于很多看起來(lái)不起眼的細(xì)節(jié)上，而從業(yè)人員則是其中最易被攻破的一環(huán)。在所有的網(wǎng)絡(luò)安全事件中，由于社會(huì)黑客入侵或其他外部原因造成的安全事件只占20%-30%，而內(nèi)部員工的疏忽或有意泄露是造成70%-80%安全事件的主要元兇[7]?，F(xiàn)有高端安全防護(hù)產(chǎn)品構(gòu)建的防護(hù)體系無(wú)法做到完全杜絕網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，而提升企業(yè)員工的網(wǎng)絡(luò)安全意識(shí)，讓企業(yè)員工建立保衛(wèi)企業(yè)網(wǎng)絡(luò)安全的責(zé)任感，是企業(yè)面對(duì)安全威脅最有效的防護(hù)措施之一。網(wǎng)絡(luò)安全意識(shí)培訓(xùn)可以遵守以下原則：

①樹(shù)立危機(jī)意識(shí)，明確企業(yè)發(fā)生網(wǎng)路安全事件的后果和責(zé)任。企業(yè)應(yīng)建立健全適用的信息安全管理規(guī)章制度和操作流程規(guī)范員工行為，并組織針對(duì)公司信息安全相關(guān)制度、處罰條例的學(xué)習(xí)和宣傳，使員工明白不規(guī)范操作給企業(yè)帶來(lái)的損害以及要承擔(dān)的后果。

②結(jié)合企業(yè)文化、企業(yè)網(wǎng)絡(luò)安全相關(guān)要求，提升員工網(wǎng)絡(luò)安全意識(shí)。結(jié)合企業(yè)的文化、具體情況和要求，定期采用網(wǎng)絡(luò)安全培訓(xùn)、安全意識(shí)考試、安全畫報(bào)、視頻、安全手冊(cè)宣傳等多種方式，在企業(yè)員工日常工作中進(jìn)行網(wǎng)絡(luò)安全意識(shí)普及。同時(shí)可以根據(jù)企業(yè)具體情況，集合國(guó)家、社會(huì)上的網(wǎng)絡(luò)安全事件，舉辦專題學(xué)習(xí)討論，強(qiáng)化員工網(wǎng)絡(luò)安全意識(shí)。

（2）安全技能培訓(xùn)

網(wǎng)絡(luò)攻防的對(duì)抗本質(zhì)上在于人的對(duì)抗，網(wǎng)絡(luò)安全人員的分析研判能力、指揮能力以及處置執(zhí)行能力，直接決定企業(yè)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)和突發(fā)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)應(yīng)對(duì)能力。

企業(yè)深入開(kāi)展網(wǎng)絡(luò)安全技能培訓(xùn)和認(rèn)證，培養(yǎng)具備高網(wǎng)絡(luò)安全技能的人才、建設(shè)一流網(wǎng)絡(luò)安全隊(duì)伍?？偩W(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心牽頭搭建攻防模擬仿真環(huán)境作為支撐手段，采取專業(yè)技能培訓(xùn)取證、技術(shù)交流、攻防演練實(shí)訓(xùn)、競(jìng)賽比武等多種形式，定期組織各分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心網(wǎng)絡(luò)安全技術(shù)人員到總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心進(jìn)行輪崗鍛煉、培訓(xùn)交流和攻防實(shí)訓(xùn)，促進(jìn)各分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心間的交流與培養(yǎng)，實(shí)現(xiàn)企業(yè)安全人才技能水平共同提升的目的。

2.3工作流程

網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警工作流程包含安全監(jiān)測(cè)、分析研判、應(yīng)急處置、事件上報(bào)、溯源取證、漏洞消缺、預(yù)警指揮等環(huán)節(jié)，流程圖詳見(jiàn)圖2。各環(huán)節(jié)具體工作內(nèi)容如下：

（1）安全監(jiān)測(cè)

對(duì)網(wǎng)絡(luò)、邊界、終端、系統(tǒng)、安全5個(gè)層面進(jìn)行全天候網(wǎng)絡(luò)安全威脅事件監(jiān)測(cè)工作，一旦發(fā)現(xiàn)網(wǎng)絡(luò)攻擊行為，第一時(shí)間形成網(wǎng)絡(luò)攻擊信息?？偛亢头止痉謩e使用的監(jiān)測(cè)工具和監(jiān)測(cè)內(nèi)容如下：

表1 安全監(jiān)測(cè)工具和范圍

（2）分析研判

分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心對(duì)監(jiān)測(cè)內(nèi)容進(jìn)行安全風(fēng)險(xiǎn)分析、攻擊行為判斷、事件影響分析等工作，并根據(jù)應(yīng)急處置規(guī)范提出應(yīng)急處置建議。

（3）應(yīng)急處置

各分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心根據(jù)攻擊信息分析研判結(jié)果，開(kāi)展應(yīng)急處置工作。常見(jiàn)攻擊場(chǎng)景及應(yīng)急處置措施如下：

①發(fā)生信息系統(tǒng)遭受惡意攻擊事件，通過(guò)入侵防御系統(tǒng)、防火墻等安全防護(hù)設(shè)備對(duì)攻擊源進(jìn)行網(wǎng)絡(luò)阻斷。

②發(fā)生嚴(yán)重DDOS攻擊事件，聯(lián)合運(yùn)營(yíng)商共同開(kāi)展應(yīng)急處置工作，或利用流量自動(dòng)清洗設(shè)備進(jìn)行攻擊流量清洗。

③發(fā)生信息系統(tǒng)被篡改事件，通過(guò)防火墻關(guān)閉被篡改系統(tǒng)的外網(wǎng)訪問(wèn)，如果防火墻策略未生效，可通過(guò)拔網(wǎng)線等方式進(jìn)行物理斷網(wǎng)，第一時(shí)間消除信息系統(tǒng)被篡改帶來(lái)的社會(huì)影響。同時(shí)快速完成備用系統(tǒng)或者靜態(tài)頁(yè)面切換，恢復(fù)正常頁(yè)面。

如果分析研判為一般網(wǎng)絡(luò)安全攻擊行為，應(yīng)急處置完畢后進(jìn)行歸檔工作。歸檔內(nèi)容應(yīng)包括事件發(fā)現(xiàn)時(shí)間、事件影響、處置人及應(yīng)急處置過(guò)程等。如果分析研判為嚴(yán)重攻擊行為，則開(kāi)展事件上報(bào)環(huán)節(jié)。

（4）事件上報(bào)

分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心分析研判為嚴(yán)重網(wǎng)絡(luò)攻擊行為，盡快編制安全事件專項(xiàng)分析報(bào)告并上報(bào)至總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心，報(bào)告應(yīng)明確事件發(fā)生時(shí)間、事件類型、監(jiān)測(cè)日志、事件影響程度等內(nèi)容。

（5）溯源取證

針對(duì)分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心上報(bào)的安全事件專項(xiàng)報(bào)告及總部監(jiān)測(cè)到的嚴(yán)重攻擊事件，總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心追蹤安全事件發(fā)起的源頭，深度挖掘相關(guān)安全監(jiān)測(cè)日志、被攻擊系統(tǒng)日志和網(wǎng)絡(luò)流量，明確攻擊源、攻擊者使用工具、攻擊手段、攻擊利用的系統(tǒng)漏洞等攻擊事件特征，還原出完整的攻擊路徑，并確定攻擊行為對(duì)業(yè)務(wù)系統(tǒng)損害程度，形成事件分析報(bào)告。針對(duì)排查出的系統(tǒng)漏洞，提出修補(bǔ)方案，形成漏洞通知單并下發(fā)至責(zé)任分公司，并督促其盡快整改。

（6）漏洞消缺

責(zé)任分公司接收漏洞通知單，在信息系統(tǒng)測(cè)試環(huán)境中開(kāi)展修復(fù)方式驗(yàn)證工作，制定切實(shí)可行的修復(fù)方案并盡快落實(shí)。舉一反三，責(zé)任分公司可開(kāi)展對(duì)同類安全漏洞的排查及整改工作，形成整改報(bào)告并反饋至總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心。

（7）預(yù)警指揮

基于溯源取證結(jié)果，總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心對(duì)事件影響范圍和程度進(jìn)行深度分析，如果攻擊影響程度及影響范圍擴(kuò)大到其他分公司，或者涉及漏洞具有普遍性，則總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心根據(jù)事件等級(jí)提出預(yù)警處置建議，形成預(yù)警通知單。并通過(guò) “總-分”縱向網(wǎng)絡(luò)安全協(xié)作通道進(jìn)行全企業(yè)預(yù)警，各分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心服從總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心統(tǒng)一指揮，共同應(yīng)對(duì)網(wǎng)絡(luò)安全事件。

網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警工作流程圖詳見(jiàn)圖2。

3 結(jié)論

隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，國(guó)內(nèi)外信息安全形勢(shì)日益嚴(yán)峻，各企業(yè)面臨著過(guò)度信賴安全防護(hù)設(shè)備、安全防護(hù)體系存在短板、安全情報(bào)碎片化、安全事件處理過(guò)程存在環(huán)節(jié)弱化或缺失等問(wèn)題?！毒W(wǎng)絡(luò)安全法》的正式施行，標(biāo)志著網(wǎng)絡(luò)安全工作上升至國(guó)家法律高度，進(jìn)一步加大了企業(yè)網(wǎng)絡(luò)安全工作壓力。本文提出一種企業(yè)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警體系建設(shè)思路，可以統(tǒng)籌公司人才、技術(shù)和裝備力量，建立總網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警中心、分網(wǎng)絡(luò)安全監(jiān)測(cè)處置中心兩級(jí)網(wǎng)絡(luò)安全運(yùn)營(yíng)中心。此體系的成效包括：一是明確網(wǎng)絡(luò)安全事件監(jiān)測(cè)、分析研判、應(yīng)急處置、事件上報(bào)、溯源取證、漏洞消缺、預(yù)警指揮等安全事件處理環(huán)節(jié)和詳細(xì)工作內(nèi)容；二是實(shí)現(xiàn)縱向兩級(jí)網(wǎng)絡(luò)安全協(xié)作和聯(lián)防聯(lián)守；三是打通總部與分公司、分公司與分公司之間的資源共享通道，實(shí)現(xiàn)情報(bào)共享、經(jīng)驗(yàn)共享以及人才和技術(shù)共享。該體系進(jìn)一步夯實(shí)了企業(yè)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的防御基礎(chǔ)，極大提升了企業(yè)整體安全防護(hù)水平，是推動(dòng)大型集團(tuán)公司提升企業(yè)整體風(fēng)險(xiǎn)管控及態(tài)勢(shì)感知能力、網(wǎng)絡(luò)安全風(fēng)險(xiǎn)實(shí)時(shí)響應(yīng)及應(yīng)急處置能力的有益嘗試。

圖2 網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警工作流程圖

[1]安達(dá)，梁智昊，許守任.網(wǎng)絡(luò)空間安全產(chǎn)業(yè)發(fā)展研究[J]. 中國(guó)工程科學(xué)，2016.

[2]王曉然，陳天文，鄭浩.網(wǎng)絡(luò)空間安全的新特點(diǎn)與新對(duì)策[J].電腦編程技巧與維護(hù)，2015.

[3]朱曉莉.信息網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警機(jī)制研究[J].信息網(wǎng)絡(luò)安全, 2013.

[4]董超.網(wǎng)絡(luò)安全2.0的發(fā)展思路和理念探索——基于網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警服務(wù)體系的研究與開(kāi)發(fā)[J].信息安全與通信保密，2015.

[5]朱曉莉.信息網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警機(jī)制研究[C]// 第28次全國(guó)計(jì)算機(jī)安全學(xué)術(shù)交流會(huì)，2013.

[6]王嬋, 來(lái)風(fēng)剛, 王棟.基于話題的信息安全事件監(jiān)測(cè)預(yù)警技術(shù)研究[C].全國(guó)信息安全等級(jí)保護(hù)技術(shù)大會(huì)，2015.

[7]周龍.深入探討企業(yè)員工的信息安全意識(shí)[J].硅谷, 2013.