基于ITIL的跨域網(wǎng)絡安防運維業(yè)務流程設計*

鄭敏嬌，嚴麗娜，張 亮

（1.國防科技大學信息通信學院試驗訓練基地，陜西 西安 710106；2.中國人民解放軍69036部隊，新疆 烏魯木齊 841000）

0 引 言

隨著互聯(lián)網(wǎng)技術在社會各領域的廣泛應用，計算機網(wǎng)絡安全問題變得非常嚴峻。許多規(guī)模龐大的企事業(yè)單位分支機構繁雜，信息系統(tǒng)數(shù)量巨大，分散在全國各地。這些單位使用大量裝備構建了功能豐富的網(wǎng)絡安防系統(tǒng)，以應對可能發(fā)生的各類安全問題。綜合運用這些安防系統(tǒng)確保信息系統(tǒng)和網(wǎng)絡的安全穩(wěn)定運行，常常需要跨地區(qū)各部門的緊密配合。業(yè)務流程管理（Business Process Management，BPM）[1]作為一種規(guī)范的、以業(yè)務流程為中心的、以持續(xù)提高組織業(yè)務運轉效率為目的的體系化管理方法，能夠在組織內跨部門的業(yè)務集成與服務結合中起到積極作用[2]。構建網(wǎng)絡安防系統(tǒng)業(yè)務管理系統(tǒng)有助于優(yōu)化安防業(yè)務流程，特別是對于需要跨區(qū)域不同部門協(xié)作處置的某些業(yè)務，能夠通過監(jiān)控和維護流程提高業(yè)務處置效率，發(fā)揮網(wǎng)絡安防系統(tǒng)的效能。在企業(yè)戰(zhàn)略或業(yè)務發(fā)生變更時，基于業(yè)務流程管理系統(tǒng)的運維能夠更快地進行調整，適應企業(yè)的快速發(fā)展。業(yè)務流程管理系統(tǒng)的核心是業(yè)務流程模型[3]，是業(yè)務流程系統(tǒng)運轉的依據(jù)。因此，優(yōu)化重構合理的網(wǎng)絡安全運維業(yè)務流程模型，對于設計建設網(wǎng)絡安全運維管理系統(tǒng)、充分發(fā)揮網(wǎng)絡安防系統(tǒng)效能具有重要意義。

1 相關研究

業(yè)務流程管理是傳統(tǒng)工作流管理的擴展。其為企業(yè)各種業(yè)務過程提供統(tǒng)一的建模、執(zhí)行和監(jiān)控環(huán)境。目前具有代表性的業(yè)務流程管理體系是體系結構完善的ITIL業(yè)務流程管理標準體系。信息技術基礎架構庫信息技術基礎設施庫（Information Technology Infrastructure Library，ITIL）針對一些重要的IT實踐，詳細描述了可適用于任何組織的全面的清單（Checklists）、任務（Tasks）、規(guī)程（Procedures）和職責（Responsibilities）[4]。ITIL 針對流程設計提供了一個以用戶為導向的具備整體性和指導性的框架，但ITIL只是提供了一個整體體系模型架構。在具體的建模技術上，目前常用的方法可以分為以流程為中心和以數(shù)據(jù)為中心兩類。其中，以數(shù)據(jù)為中心是業(yè)務流程管理領域的新趨勢[5]，該思想兼顧業(yè)務流程中的業(yè)務數(shù)據(jù)與活動，優(yōu)于傳統(tǒng)的工作流管理思想，易于結合SOA進行系統(tǒng)實現(xiàn)[6]，其中IBM提出的Artifact就是典型代表[7-9]。基于Artifact的業(yè)務流程模型將數(shù)據(jù)充分融合到業(yè)務處置流程，通過觀察分析業(yè)務流轉過程中關鍵數(shù)據(jù)的變化重構業(yè)務流程，從而提高業(yè)務的處置效率?；谶@類模型構建業(yè)務流程管理系統(tǒng)，更好地記錄了業(yè)務流程過程中的核心業(yè)務信息，而這些信息對于運維過程的進一步分析提升具有重要意義。

2 基于ITIL的網(wǎng)絡安防運維業(yè)務流程體系

構建一個效率更高、服務質量更好的網(wǎng)絡安防運維管理系統(tǒng)，首先要構建一個科學合理的業(yè)務流程體系?；趥鹘y(tǒng)業(yè)務流程數(shù)據(jù)，將網(wǎng)絡安防業(yè)務作為一種具體的業(yè)務形式，基于ITIL思想將業(yè)務流程分為事件管理、問題管理及變更管理等具體模塊，如圖1所示。

圖1 基于ITIL的網(wǎng)絡安防運維業(yè)務流程體系

其中，事件管理是流程體系的核心，主要流程包括事件接收和記錄、分類和初步支持、匹配、調查和診斷、解決與恢復、事件終止以及進展監(jiān)控與跟蹤。結合網(wǎng)絡安防業(yè)務，設備告警會觸發(fā)事件管理業(yè)務流程，根據(jù)服務級別管理對事件等級進行判定，同時啟動事件應急處置，以避免安全事件擴散升級，并且進行相應的處置流程。當網(wǎng)絡恢復正常，受影響系統(tǒng)恢復正常工作后，會停止對該事件的處理活動。但是，這樣做意味著導致事件發(fā)生的根源并不一定得到了解決，因而事件還有可能再次發(fā)生，所以對問題進行溯源顯得很有必要，是問題管理的主要工作。問題管理經(jīng)常被事件管理流程所觸發(fā)，其執(zhí)行過程中也可能會觸發(fā)變更管理。變更管理主要是對事件管理和問題管理提出的變更請求進行響應，及時修改和維護系統(tǒng)的配置。為了更好地利用現(xiàn)有資源防止意外性業(yè)務事件發(fā)生或降低其對信息系統(tǒng)的影響，引入能力管理對安防資源、安防服務能力及業(yè)務能力等進行管理，主要包括對部門的安防系統(tǒng)軟硬件設備如入侵檢測系統(tǒng)、防火墻等進行監(jiān)控，了解其防護能力和基本運行情況，依據(jù)運維歷史數(shù)據(jù)評估定級安防運維部門能力，評估其能夠處置什么等級的安防業(yè)務，同時根據(jù)運維歷史數(shù)據(jù)分析部門業(yè)務需求，以更好地指導部門的未來發(fā)展?；谏鲜瞿K的業(yè)務流程處置過程如圖2所示。

圖2 網(wǎng)絡安防運維業(yè)務流程處置過程

3 以Artifact為中心的網(wǎng)絡安防運維業(yè)務流程模型

以Artifact為中心的業(yè)務流程模型的主要包含了4個元素，分別是Artifact、Repository、Rule和Service。模型的設計主要圍繞這4個元素展開。

3.1 Artifact元素設計

Artifact（表單）是模型的核心，包含封裝了主要業(yè)務信息的屬性集，如圖3所示。

圖3 記錄元素

網(wǎng)絡安防運維管理系統(tǒng)的關鍵業(yè)務數(shù)據(jù)Artifact主要包括安防EventManagementRecord（事件管理記錄）、ProblemManagementRecord（問題管理記錄）、ChangeManagementRecord（變更管理記錄）和CapacityManagementRecord（能力管理記錄）等。這些表單聚合了網(wǎng)絡安全防護業(yè)務流程相關的主要屬性，包括TASKTYPE（任務類型）、RESPONCOMPANY（責任部門）、SECURITYDATA（安全數(shù)據(jù)）和SECURITYDATASOURCE（安全數(shù)據(jù)來源）等。

Artifact設計不僅包含Artifact表單內容，還包括表單在業(yè)務流程中的生命周期。在網(wǎng)絡安防運維業(yè)務流程模型中，關鍵數(shù)據(jù)元素生命周期如圖4所示。

圖4 元素生命周期

3.2 Repository元素設計

對于系統(tǒng)的每一種Artifact元素類型，都有一個對應的Repository（倉庫）元素與其相對應，用來保存對應的Artifact實例，充當容器的作用。當隨著業(yè)務流轉對Artifact需要進行進一步操作的時候，也是通過對Repository的訪問修改實現(xiàn)。

3.3 Service元素設計

Service（服務）是一組用于處理業(yè)務流程中具體事務的功能模塊的集合，Service的執(zhí)行將使得Artifact賦值發(fā)生改變，從而使得業(yè)務流程繼續(xù)向前流轉。如圖5所示，與EventManagementRecord相關的服務元素主要包括EventCreate（事件創(chuàng)建）、EventDetermined（事件定性）、EventHandle（事件處置）、EventClose（事件結案）和EventReview（事件審核）等。以EventProcess（事件處理）為例，包含的功能模塊主要有Modify、Create和Delete。對Modify進行設計，輸入和輸出參數(shù)與EventManagementRecord的Repository里的Artifact屬性相關聯(lián)，意味著Modify將通過EventManagementRecord的Repository對Artifact的屬性進行訪問和修改。

圖5 Service元素集合

3.4 Rule元素設計

Rule（規(guī)則）由對系統(tǒng)Artifact狀態(tài)的描述所構成，表示啟動某一個Service時當前系統(tǒng)Artifact狀態(tài)需要滿足的條件。模型中，Service的變化主要是通過檢查所有Artifact狀態(tài)來推動的，對于每一個Service功能模塊的操作都有一個相應的Rule與之對應。以EventHandle服務的Handle為例，它的Rule為：

if EventManagement Record.IS-DISPOSED==FALSE and EventManagementRecord.TASKTYPE∈（HarmfulProgram,ViolationOutReach,CyberAttack,Har mfulInformationDissemination,Un-knownAttack）成立

then 調用EventProcess服務的Handle操作

它表示事件已定性但尚未進行處理，將按照EventManagementRecord的RESPON-COMPANY和TRANSACTOR，推送給特定的設備或人員在完成事件處置后，對Artifact進行操作記錄處置流程。

3.5 流程模型

在完成流程的4個主要元素設計后，可以得到以Artifact為中心的網(wǎng)絡安防運維業(yè)務流程模型。模型的主要部分如圖6所示。

1）定值整定錯誤作為微機繼電保護裝置常見故障，其主要與工作人員有關。繼電保護裝置數(shù)值是衡量裝置工作狀態(tài)的主要依據(jù)，需要對應工作人員按照時間進行定期查看和記錄，這個過程中一旦出現(xiàn)查看時間錯誤、記錄錯誤等情況都會直接導致整個定值錯誤，為繼電保護裝置運行帶來負面影響。

圖6 以Artifact為中心的流程模型

以一起入侵檢測設備告警流程為例，執(zhí)行步驟如下。

（1）入侵檢測設備安全告警發(fā)起流程，此時系統(tǒng)的Artifact都沒有賦值，可知系統(tǒng)初始狀態(tài)為① {[EMR：Uncreated]，[PMR：Uncreated]，[CMR：Uncreated]}，檢查Rule規(guī)則集，下個可執(zhí)行的操作為EventCreate服務的Create操作，Create操作修改EMR的屬性值，將它的狀態(tài)變更為Undetermined。

（2）系統(tǒng)新的狀態(tài)為②{[EMR：Undetermined]，[PMR：Uncreated]，[CMR：Uncreated]}，檢查Rule規(guī)則集，下個可執(zhí)行的操作為EventDetermined服務的Determine操作，Determine操作修改EMR的屬性TASKTYPE值，并將其狀態(tài)改變?yōu)镻ending或Merged。

（3）系統(tǒng)新的狀態(tài)為③{[EMR：Pending]，[PMR：Uncreated]，[CMR：Uncreated]}或 ④ {[EMR：Merged]，[PMR：Uncreated]，[CMR：Uncreated]}。對于狀態(tài)④，沒有滿足的Rule規(guī)則；而對于狀態(tài)③，下一個可執(zhí)行的操作是EventHandle服務的Handle操作和ProCreate服務的Create操作，Handle操作將EMR的屬性變?yōu)閁nclosed，Create操作將PMR的屬性變更為Pending。

（4）系統(tǒng)新的狀態(tài)為⑤{[EMR：Unclosed]，[PMR：Pending]，[CMR：Uncreated]}。對 于 狀 態(tài)⑤，下一個可以執(zhí)行的操作分別是ProHandle服務的Handle操作和ChanCreate服務的Create操作，Handle操作將PMR的狀態(tài)改變?yōu)閁nreviewed，create操作將CMR的狀態(tài)變更為Pending。

（5）系統(tǒng)新的狀態(tài)為⑥{[EMR：Unclosed]，[PMR：Unreviewed]，[CMR：Pending]}。對于狀態(tài)⑥，下一個可以執(zhí)行的操作分別是ChanHandle服務的Handle操作和ProReview服務的Review操作，Handle操作將CMR的狀態(tài)變更為Unreviewed，Review操作將PMR狀態(tài)變更為Unarchived。

（6）系統(tǒng)新的狀態(tài)為⑦{[EMR：Unclosed]，[PMR：Unarchived]，[CMR：Unreviewed]}。對于狀態(tài)⑦，下一個可以執(zhí)行的操作是ChanReview服務的Review操作，Review操作將CMR狀態(tài)變更為Unarchived。

（7）系統(tǒng)新的狀態(tài)為⑧{[EMR：Unclosed]，[PMR：Unarchived]，[CMR：Unarchived]}。對于狀態(tài)⑧，下一個可以執(zhí)行的操作是EventClose服務的Close操作，Close操作將EMR狀態(tài)變更為Unreviewed。

（8）系統(tǒng)新的狀態(tài)為⑨{[EMR：Unreviewed]，[PMR：Unarchived]，[CMR：Unarchived]}。對于狀態(tài)⑨，下一個可以執(zhí)行的操作是EventReview服務的Review操作，Review操作將EMR狀態(tài)變更為Unarchived。

（9）系統(tǒng)新的狀態(tài)為⑩{[EMR：Unarchived]，[PMR：Unarchived]，[CMR：Unarchived]}。對于狀態(tài)⑩，下一個可以執(zhí)行的操作分別是EventReview服務、ProReview服務和ChanReview服務的Archive操作，Archive操作將EMR、PMR和CMR的狀態(tài)變更為Archived。

（10）系統(tǒng)新的狀態(tài)為□{[EMR：Unarchived]，[PMR：Unarchived]，[CMR：Unarchived]}。檢查規(guī)則集，對于狀態(tài)□，已經(jīng)到達系統(tǒng)的最終狀態(tài)，流程結束。

4 網(wǎng)絡安防業(yè)務運維管理系統(tǒng)設計

為說明業(yè)務流程模型的功能，選用炎黃盈動AWS BPM PaaS平臺軟件進行原型系統(tǒng)開發(fā)。AWS采用以容器技術為基礎的PaaS技術框架，能夠實現(xiàn)流程應用的快速開發(fā)、部署、運行和管理?；谀Ｐ烷_發(fā)網(wǎng)絡安防業(yè)務運維管理系統(tǒng)概覽，如圖7所示。

圖7 運維管理原型系統(tǒng)概覽

系統(tǒng)功能包括人員管理、表單管理、流程管理以及其他功能。在系統(tǒng)中建立人員角色后，按照第3章所建立的業(yè)務流程模型，依次構建相應的表單模型、存儲模型和數(shù)據(jù)窗口。其中，表單模型沒有與Artifact一一對應，而是設計了一個統(tǒng)一的工單，將多個Artifact涉及的內容包含在內。如圖8所示。完成表單和流程設計后，可將流程視圖部署到前臺的子系統(tǒng)中，并啟動相應的權限。然后，進入前臺系統(tǒng)并進入子系統(tǒng)，新建流程實例進行實驗。如圖9和圖10所示，進行了流程的發(fā)起和監(jiān)控。同時，系統(tǒng)可以對流程執(zhí)行狀態(tài)進行監(jiān)控，如圖11所示。

圖8 表單設計

圖9 流程部署

圖10 觸發(fā)流程

圖11 流程監(jiān)控

5 結 語

設計完備高效的網(wǎng)絡安防運維業(yè)務流程模型，對于建設業(yè)務運維管理系統(tǒng)、加強網(wǎng)絡安防運維信息化建設水平具有重要意義。基于ITIL理念構建網(wǎng)絡安防運維業(yè)務流程體系，設計以Artifact為中心的網(wǎng)絡安防運維業(yè)務流程模型，并采用業(yè)務流程管理平臺設計實現(xiàn)了運維管理原型系統(tǒng)，有助于提升網(wǎng)絡安防業(yè)務管理水平，有益于促進網(wǎng)絡安防系統(tǒng)發(fā)揮效能。