基于等級(jí)保護(hù)思想的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)研究

柴志成 貴陽(yáng)學(xué)院

1 等級(jí)保護(hù)與風(fēng)險(xiǎn)評(píng)估關(guān)系分析

1.1 等級(jí)保護(hù)合規(guī)性評(píng)判等級(jí)保護(hù)測(cè)評(píng)是對(duì)系統(tǒng)確定的安全等級(jí)開(kāi)展合規(guī)性評(píng)判，系統(tǒng)的安全等級(jí)根據(jù)系統(tǒng)安全級(jí)別確定。業(yè)務(wù)信息安全與系統(tǒng)信息資產(chǎn)及其所支持的業(yè)務(wù)密切相關(guān)，資產(chǎn)的保密性、完整性遭受破壞時(shí)，會(huì)增加系統(tǒng)面臨的業(yè)務(wù)安全風(fēng)險(xiǎn)。系統(tǒng)等級(jí)保護(hù)測(cè)評(píng)過(guò)程可歸納為：（1）對(duì)系統(tǒng)的基本情況進(jìn)行調(diào)查，了解系統(tǒng)的定級(jí)要求、資產(chǎn)構(gòu)成、網(wǎng)絡(luò)拓?fù)洹⒅饕獦I(yè)務(wù)以及曾經(jīng)發(fā)生的安全威脅等情況；（2）根據(jù)系統(tǒng)基本情況確定測(cè)評(píng)對(duì)象、測(cè)評(píng)內(nèi)容和測(cè)評(píng)指標(biāo)；（3）根據(jù)選定的測(cè)評(píng)對(duì)象和測(cè)評(píng)指標(biāo)，按照等級(jí)保護(hù)基本要求和測(cè)評(píng)要求等相關(guān)標(biāo)準(zhǔn)，對(duì)選定的測(cè)評(píng)對(duì)象和測(cè)評(píng)指標(biāo)逐一開(kāi)展現(xiàn)場(chǎng)測(cè)評(píng)；（4）對(duì)系統(tǒng)進(jìn)行單元測(cè)評(píng)、整體測(cè)評(píng)和總體安全狀況分析，在進(jìn)行總體安全狀況分析時(shí)，重點(diǎn)考慮在現(xiàn)有安全保障措施情況下，對(duì)測(cè)試中發(fā)現(xiàn)的安全問(wèn)題進(jìn)行風(fēng)險(xiǎn)評(píng)估。

1.2 風(fēng)險(xiǎn)評(píng)估方法按照國(guó)標(biāo)定義，信息安全風(fēng)險(xiǎn)評(píng)估是指：依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的保密性、完整性和可用性等屬性評(píng)價(jià)的過(guò)程；也就是評(píng)估資產(chǎn)面臨的威脅和脆弱點(diǎn)，以及威脅利用脆弱點(diǎn)產(chǎn)生安全事件的可能性，并根據(jù)安全事件涉及的資產(chǎn)來(lái)判斷安全風(fēng)險(xiǎn)嚴(yán)重程度。

風(fēng)險(xiǎn)評(píng)估過(guò)程可歸納為：（1）梳理測(cè)評(píng)對(duì)象的資產(chǎn)及其價(jià)值；（2）尋找資產(chǎn)存在的漏洞或弱點(diǎn)；（3）識(shí)別測(cè)評(píng)對(duì)象可能面臨的安全威脅；（4）根據(jù)理論模型評(píng)判測(cè)評(píng)對(duì)象存在的安全風(fēng)險(xiǎn)。

1.3 關(guān)聯(lián)分析開(kāi)展等級(jí)保護(hù)測(cè)評(píng)時(shí)能評(píng)價(jià)出系統(tǒng)的資產(chǎn)、重要程度和脆弱性，風(fēng)險(xiǎn)評(píng)估對(duì)信息系統(tǒng)和資產(chǎn)的安全風(fēng)險(xiǎn)進(jìn)行分析，二者之間存在如下關(guān)系：（1）等級(jí)保護(hù)測(cè)評(píng)可以作為風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)，通過(guò)等級(jí)測(cè)評(píng)，明確系統(tǒng)資產(chǎn)的重要性和脆弱源。（2）風(fēng)險(xiǎn)評(píng)估結(jié)果的準(zhǔn)確性和客觀性，與等級(jí)保護(hù)測(cè)評(píng)過(guò)程所選的資產(chǎn)有關(guān)，資產(chǎn)選取范圍越廣，種類越全，評(píng)估結(jié)果越有價(jià)值。（3）在開(kāi)展等級(jí)保護(hù)測(cè)評(píng)、風(fēng)險(xiǎn)評(píng)估過(guò)程中，均可采用漏洞掃描、滲透測(cè)試、配置核查等多種測(cè)評(píng)方法，發(fā)現(xiàn)系統(tǒng)資產(chǎn)不同層面存在的安全隱患和漏洞。（4）在檢測(cè)對(duì)象選擇方面，等級(jí)保護(hù)測(cè)評(píng)、風(fēng)險(xiǎn)評(píng)估所選擇的檢測(cè)對(duì)象都應(yīng)涵蓋物理環(huán)境、網(wǎng)絡(luò)、服務(wù)器、終端、應(yīng)用系統(tǒng)、數(shù)據(jù)、管理制度和人員等。（5）在檢測(cè)流程方面，等級(jí)保護(hù)測(cè)評(píng)、風(fēng)險(xiǎn)評(píng)估的工作流程都可以分為4個(gè)階段，分別為準(zhǔn)備階段、方案編制階段、現(xiàn)場(chǎng)實(shí)施階段和報(bào)告編制階段，但二者在各階段輸出的結(jié)果不同。（6）在檢測(cè)內(nèi)容方面，等級(jí)保護(hù)測(cè)評(píng)、風(fēng)險(xiǎn)評(píng)估工作都涵蓋技術(shù)安全檢測(cè)和管理安全檢查2個(gè)部分；其中，技術(shù)安全檢測(cè)主要包含物理環(huán)境安全、通信網(wǎng)絡(luò)安全、計(jì)算環(huán)境安全、應(yīng)用安全、數(shù)據(jù)安全等方面的內(nèi)容；管理安全檢查主要包括安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、系統(tǒng)建設(shè)安全管理和系統(tǒng)運(yùn)維安全管理等方面的內(nèi)容。

2 資產(chǎn)分類及價(jià)值量化分析

2.1 資產(chǎn)分類鐵路信息系統(tǒng)中包含大量的軟硬件資產(chǎn)。硬件資產(chǎn)有主機(jī)設(shè)備、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等，這些資產(chǎn)可以通過(guò)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、連通關(guān)系、安全策略等進(jìn)行關(guān)聯(lián)；軟件資產(chǎn)有應(yīng)用程序、數(shù)據(jù)、文件等，這些資產(chǎn)如果保護(hù)不當(dāng)，暴露其脆弱性，遭受攻擊者攻擊。按等級(jí)保護(hù)測(cè)評(píng)時(shí)選擇的測(cè)評(píng)對(duì)象，可劃分為硬件資產(chǎn)、軟件資產(chǎn)、數(shù)據(jù)資產(chǎn)、制度資產(chǎn)、人員資產(chǎn)、物理資產(chǎn)等類型。

2.2 資產(chǎn)價(jià)值量化分析資產(chǎn)價(jià)值可以從3個(gè)維度考慮：（1）系統(tǒng)自身的安全等級(jí)以及系統(tǒng)處理業(yè)務(wù)的重要程度，即系統(tǒng)維度；（2）資產(chǎn)在系統(tǒng)中的重要程度以及資產(chǎn)自身的購(gòu)買(mǎi)成本和維護(hù)成本，即資產(chǎn)維度；（3）資產(chǎn)的機(jī)密性（Confidentiality）、完整性（Integrity）、可用性（Availability）受到損害時(shí)對(duì)業(yè)務(wù)運(yùn)營(yíng)的負(fù)面影響程度，即CIA屬性維度。

3 資產(chǎn)脆弱性分析

脆弱性是資產(chǎn)中存在的薄弱環(huán)節(jié)，若被威脅利用將對(duì)系統(tǒng)造成損害，是導(dǎo)致安全事件的內(nèi)因。風(fēng)險(xiǎn)評(píng)估中的一個(gè)重要環(huán)節(jié)是脆弱性分析，分析過(guò)程劃分為發(fā)現(xiàn)、分類、驗(yàn)證、賦值4個(gè)步驟。有學(xué)者采用基于規(guī)則、基于模型的脆弱性發(fā)現(xiàn)方法；還有Schneier和Moore等人利用樹(shù)型結(jié)構(gòu)來(lái)表示系統(tǒng)面臨的攻擊；脆弱性分類可以從技術(shù)和管理2個(gè)方面進(jìn)行；脆弱性驗(yàn)證可以采用滲透測(cè)試、仿真測(cè)試等方式；脆弱性賦值可以從脆弱點(diǎn)被利用可能性、漏洞修補(bǔ)情況、已有安全措施對(duì)脆弱性的修正程度等方面進(jìn)行綜合考量。

4 網(wǎng)絡(luò)安全威脅判定

威脅也可稱為破壞或攻擊。鐵路信息系統(tǒng)的安全威脅來(lái)自多方面，可能是環(huán)境帶來(lái)的，也可能是人為造成的，或是設(shè)備自身?yè)p壞原因產(chǎn)生的。威脅一般不能對(duì)系統(tǒng)造成直接影響，只有在利用資產(chǎn)存在的脆弱性后才能引發(fā)安全事件，對(duì)資產(chǎn)具備潛在的破壞作用，是引起安全事件的外因。

5 安全風(fēng)險(xiǎn)評(píng)估模型建立

信息系統(tǒng)安全風(fēng)險(xiǎn)由安全事件發(fā)生的可能性L及安全事件造成的損失對(duì)組織的影響F確定，其中，L取決于威脅發(fā)生的頻率與脆弱性大小，F(xiàn)取決于資產(chǎn)價(jià)值與威脅影響范圍及程度。根據(jù)上述分析，可以建立如圖所示的安全風(fēng)險(xiǎn)評(píng)估模型。

6 結(jié)束語(yǔ)

主要從兩個(gè)方面對(duì)風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)開(kāi)展研究：（1）完善了GB/T20984標(biāo)準(zhǔn)中對(duì)資產(chǎn)、威脅、脆弱性3要素的識(shí)別范圍和賦值方法，識(shí)別粒度更細(xì)，賦值所考慮的因素更貼合實(shí)際情況；（2）將網(wǎng)絡(luò)安全的等級(jí)保護(hù)與風(fēng)險(xiǎn)評(píng)估2種方法進(jìn)行融合，使得在網(wǎng)絡(luò)安全實(shí)際測(cè)評(píng)工作中，既能判別評(píng)估對(duì)象是否安全合規(guī)，又能研判其面臨的安全風(fēng)險(xiǎn)嚴(yán)重程度。從理論角度看，該方法是合理可行的，但其效果還需在實(shí)踐工作中加以檢驗(yàn)。