一種風(fēng)險評估和等級防護相結(jié)合的信息風(fēng)險預(yù)測系統(tǒng)

任 貝 貝

(上海市網(wǎng)絡(luò)技術(shù)綜合應(yīng)用研究所 上海 200233)

0 引 言

隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)系統(tǒng)應(yīng)用于社會的各個方面，但是信息安全問題日益突出，公司緊緊依靠單一的病毒防護軟件無法安全有效地保護系統(tǒng)內(nèi)部信息資產(chǎn)的安全。風(fēng)險評估技術(shù)已廣泛應(yīng)用于信息系統(tǒng)安全風(fēng)險檢測過程中，許多單位已建立完善的風(fēng)險評估體系，風(fēng)險評估已成為部分單位信息安全工作的重要措施之一。隨著《中華人民共和國網(wǎng)絡(luò)安全法》的正式實施，國家對實施網(wǎng)絡(luò)安全等級保護的要求日趨嚴(yán)格，相關(guān)主管部門對實施等級保護測評工作也越來越重視。因此，如何保證在等級保護測評中真實地反映信息系統(tǒng)存在的信息安全風(fēng)險，成為等級保護測評中一個非常迫切的需求[1]。

為了對信息安全進行行之有效的保護，設(shè)計了一種基于風(fēng)險評估和安全等級相結(jié)合的網(wǎng)絡(luò)信息保護平臺，整個平臺通過建立信息資產(chǎn)風(fēng)險庫，將信息資產(chǎn)進行風(fēng)險等級劃分。通過對網(wǎng)絡(luò)內(nèi)的所有信息數(shù)據(jù)進行檢測，及時測算每個系統(tǒng)的風(fēng)險概率，對風(fēng)險等級高的系統(tǒng)提出預(yù)警和提出改進建議。

1 信息系統(tǒng)安全測評理論研究

1.1 風(fēng)險評估

信息安全風(fēng)險評估是以信息資產(chǎn)為核心，鑒別存在的脆弱性以及可能利用脆弱性的威脅。結(jié)合現(xiàn)有的安全措施，分析存在的安全風(fēng)險，并選擇切合實際的安全措施，使安全風(fēng)險降低到組織可以接受程度的過程。風(fēng)險評估貫穿于信息系統(tǒng)的管理、操作及維護過程中，評估人員要獲得充分的、可靠的、有關(guān)的證據(jù)[2]，以有效完成評估目標(biāo)。同時，對獲取的證據(jù)進行合理、準(zhǔn)確地分析和解釋，以支持評估結(jié)果和結(jié)論。

風(fēng)險評估過程涉及的關(guān)鍵要素包括資產(chǎn)、脆弱性、威脅、風(fēng)險、安全措施等[3]，各要素之間存在密切的相互聯(lián)系。風(fēng)險評估要素關(guān)系模型如圖1所示。

圖1 風(fēng)險評估要素關(guān)系模型

1.2 等級保護

等級保護指對國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產(chǎn)品實行按等級管理[4]，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。它是國家信息安全保障的基本制度、基本策略、基本方法。

根據(jù)信息系統(tǒng)重要程度，結(jié)合受損害的客體及損害程度確定了等級保護定級原則，共為五個等級：第一級為自主保護級；第二級為指導(dǎo)保護級；第三級為監(jiān)督保護級；第四級為強制保護級；第五級為專控保護級[5]。

1.3 兩者關(guān)聯(lián)的必要性

信息系統(tǒng)中包含著大量的公司機密代碼，因此成為了大量黑客和病毒的攻擊對象。多年實踐證明依靠單一的防御手段無法保證在新型攻擊來臨之時起到有效的防護作用。而且由于一個公司系統(tǒng)業(yè)務(wù)流程比較復(fù)雜，因此系統(tǒng)需要維護的部分各不相同。不同的部分在系統(tǒng)中的作用不同，需要防護的手段和流程都不相同，系統(tǒng)中的每一個部分的維護都需要進行科學(xué)化分析[6]，因此需要根據(jù)不同部分在系統(tǒng)中的作用劃分等級。如果對系統(tǒng)中的每個部分按照相同的科學(xué)分析方法、相同的資源配置以及同等規(guī)格的等級進行風(fēng)險預(yù)防，會對資源造成不必要的浪費，也無法對需要重點保護的系統(tǒng)進行有效的防護。由于在系統(tǒng)的整個生命周期過程中需要不斷地對系統(tǒng)進行風(fēng)險評估，將風(fēng)險評估和等級防護相結(jié)合可以根據(jù)系統(tǒng)部件等級以及風(fēng)險程度對整個系統(tǒng)的防護資源進行綜合分配，使得整個系統(tǒng)的防護資源利用得到最大化[7]。因此在等級保護測評中合理、有效地應(yīng)用風(fēng)險評估手段，顯得尤為重要。

2 系統(tǒng)需求和設(shè)計

2.1 功能需求

根據(jù)信息系統(tǒng)評估流程以及公司內(nèi)信息系統(tǒng)的流程劃分，整個信息系統(tǒng)平臺功能圖如圖2所示。

圖2 信息系統(tǒng)平臺功能圖

系統(tǒng)維護模塊主要負責(zé)對系統(tǒng)的使用人員進行管理員權(quán)限的分配，賬號、密碼的設(shè)置以及系統(tǒng)信息的維護。資產(chǎn)庫模塊負責(zé)對整個系統(tǒng)的單個模塊進行數(shù)據(jù)管理，單條數(shù)據(jù)的增刪改查以及資產(chǎn)庫中的數(shù)據(jù)維護等功能。風(fēng)險評估模塊用來對系統(tǒng)中的子系統(tǒng)的風(fēng)險等級、風(fēng)險參數(shù)以及網(wǎng)絡(luò)情況進行檢測，并實時展示該子系統(tǒng)的風(fēng)險評估參數(shù)。風(fēng)險預(yù)警模塊的作用為當(dāng)某一個子系統(tǒng)面臨高風(fēng)險的時候會發(fā)出警報，并分析風(fēng)險原因，展示可能應(yīng)對的風(fēng)險處理手段。

2.2 性能需求

風(fēng)險評估軟件在開發(fā)的過程中需要具備以下兩個方面的性能需求。

1) 安全性需求：一所公司，尤其是大型公司包含大量的人員信息。人才作為公司無形的資產(chǎn)起著關(guān)鍵的作用，因此需要安全保護。數(shù)據(jù)庫作為系統(tǒng)的一個部分，存儲著公司的審計信息等相關(guān)財務(wù)信息尤其是和用戶進行交互的公司。比如旅游網(wǎng)絡(luò)公司的數(shù)據(jù)庫中包含大量的用戶信息以及用戶的銀行卡信息，一旦泄露出去將會對公司造成無法挽救的損失，因此系統(tǒng)的安全性能一定要好。

2) 系統(tǒng)性能需求：為了保證用戶的使用感受，需要系統(tǒng)滿足用戶體驗感受最低要求。因此對整個系統(tǒng)提出如下要求：(1) 在響應(yīng)時間上應(yīng)保持一定的響應(yīng)的速度，例如用戶對數(shù)據(jù)進行添加的時候系統(tǒng)應(yīng)該在2 s內(nèi)進行響應(yīng)；(2) 提供可視化的界面，使得用戶可以對操作系統(tǒng)進行直觀、便捷的使用；(3) 查詢信息的準(zhǔn)確性，整個系統(tǒng)要保證展示在用戶面前的每一條信息都是準(zhǔn)確的，準(zhǔn)確性是一個系統(tǒng)的最低保障需求。

2.3 總體架構(gòu)及流程

本系統(tǒng)采用ASP.NET技術(shù)，瀏覽器使用任意瀏覽器，考慮到各個瀏覽器之間的差異，以IE瀏覽器為標(biāo)準(zhǔn)，操作系統(tǒng)為Windows操作系統(tǒng)，使用IIS作為前端服務(wù)器，選擇SQL作為后臺數(shù)據(jù)庫，前端界面使用HTML語言進行編寫[8]。整個系統(tǒng)的架構(gòu)如圖3所示。

圖3 系統(tǒng)架構(gòu)

整個系統(tǒng)按照使用順序進行流程解析，系統(tǒng)使用流程圖如圖4所示。

圖4 系統(tǒng)使用流程圖

從圖4可知，在系統(tǒng)使用過程中用戶首先要輸入賬號、密碼進行身份驗證，身份驗證通過才可以向系統(tǒng)資產(chǎn)名單中對信息資產(chǎn)進行增刪改查[9]。系統(tǒng)數(shù)據(jù)在錄入的過程中要選擇對應(yīng)的等級，同時系統(tǒng)會對資產(chǎn)數(shù)據(jù)庫中的資產(chǎn)進行數(shù)據(jù)監(jiān)測和風(fēng)險評估，并對高風(fēng)險資產(chǎn)進行預(yù)警以及應(yīng)對方法提示。

3 系統(tǒng)研究與實踐

3.1 維護模塊

系統(tǒng)維護模塊是整個系統(tǒng)的權(quán)限管理中心，也可以稱為系統(tǒng)的主界面。整個系統(tǒng)的層次設(shè)計結(jié)構(gòu)如圖5所示。

圖5 系統(tǒng)層次設(shè)計架構(gòu)圖

如圖5所示，整個系統(tǒng)平臺劃分為應(yīng)用層、業(yè)務(wù)層、日志采集層和審計數(shù)據(jù)源層4個部分。應(yīng)用層主要負責(zé)界面展示、規(guī)則管理(權(quán)限管理等)、資產(chǎn)報表管理等。業(yè)務(wù)層負責(zé)根據(jù)風(fēng)險評估和等級防護原則對資產(chǎn)進行分析和管理。日志采集層負責(zé)對日志信息進行管理，并且負責(zé)將實時采集到的系統(tǒng)信息狀況進行日志記錄。審計數(shù)據(jù)源層負責(zé)數(shù)據(jù)的存儲、數(shù)據(jù)管理等。系統(tǒng)維護模塊界面圖如圖6所示。

圖6 系統(tǒng)維護模塊界面圖

3.2 資產(chǎn)風(fēng)險庫模塊

資產(chǎn)風(fēng)險庫模塊主要負責(zé)對公司內(nèi)所有的固定資產(chǎn)和非固定資產(chǎn)信息進行錄入、刪除等功能。資產(chǎn)風(fēng)險路模塊信息界面如圖7所示。

圖7 資產(chǎn)風(fēng)險路模塊信息界面圖

從圖7可以看出，資產(chǎn)信息的主要錄入內(nèi)容包括物品名稱、物品使用者、物品的存放地址等信息，并且可以通過物品編號和物品狀態(tài)等多種信息對資產(chǎn)進行查詢。

3.3 單個系統(tǒng)分支監(jiān)控模塊

單個系統(tǒng)分支監(jiān)控模塊主要對整個系統(tǒng)中的層級進行劃分。比如公司內(nèi)包含的財務(wù)網(wǎng)絡(luò)系統(tǒng)可以作為單個模塊來檢測。整個系統(tǒng)的模塊劃分結(jié)構(gòu)如圖8所示。

圖8 系統(tǒng)單個模塊劃分架構(gòu)圖

從圖8可以看出，整個公司按照層級劃分，總隊監(jiān)控系統(tǒng)包含監(jiān)控主機、設(shè)備網(wǎng)管平臺等對公司的各個部門進行監(jiān)控。分監(jiān)控中心將各個部門的重要設(shè)備信息通過分中心監(jiān)控主機回傳給總隊監(jiān)控中心，實現(xiàn)了整個系統(tǒng)平臺對一個大公司內(nèi)部所有的信息模塊進行監(jiān)控。每一個重要設(shè)備就是信息模塊監(jiān)控的一個分支，總隊監(jiān)控中心可以統(tǒng)一對單個系統(tǒng)分支的任意模塊監(jiān)控信息進行查閱。

3.4 風(fēng)險評估預(yù)報及建議模塊

風(fēng)險評估模塊主要負責(zé)將單個模塊的風(fēng)險評估情況進行輸出和展示。按照等級防護原則對高風(fēng)險的系統(tǒng)進行預(yù)警，預(yù)警情況劃分為五個等級：自主保護級系統(tǒng)風(fēng)險高于85%進行預(yù)警；指導(dǎo)保護級系統(tǒng)風(fēng)險高于75%進行預(yù)警；監(jiān)督保護級系統(tǒng)風(fēng)險高于65%進行預(yù)警；強制保護級系統(tǒng)風(fēng)險高于50%進行預(yù)警；?？乇Ｗo級系統(tǒng)風(fēng)險高于35%進行預(yù)警，并通過后臺數(shù)據(jù)庫進行連接展示可能解決該風(fēng)險問題的手段。

4 結(jié) 語

本文為了提高公司信息系統(tǒng)風(fēng)險抗擊能力，對抗現(xiàn)代互聯(lián)網(wǎng)層出不窮的系統(tǒng)攻擊，設(shè)計了一種基于風(fēng)險評估和等級防護相結(jié)合的風(fēng)險等級防護系統(tǒng)。整個系統(tǒng)對公司內(nèi)所有資產(chǎn)進行錄入管理，通過對公司內(nèi)信息網(wǎng)絡(luò)的監(jiān)測，根據(jù)設(shè)備等級進行資產(chǎn)風(fēng)險評估。現(xiàn)有系統(tǒng)會對有風(fēng)險的資產(chǎn)進行預(yù)警并提出相關(guān)的建議，后期可將系統(tǒng)內(nèi)容進行擴展使得系統(tǒng)可以對常規(guī)風(fēng)險進行自動化處理。