網絡安全風險評估問題研究

摘要 在電子政務和電子商務應用快速發展的今天，信息安全問題越來越突出。企業網絡隨著企業不斷的發展，面臨的安全環境也越來越復雜。本文在介紹風險評估的基本步驟和方法的基礎上，重點對于面向運行的風險評估進行詳細闡述，有利于我國企業網絡安全進一步發展。

關鍵詞 企業網絡安全 網絡安全評估 風險評估 面向運行

一、引言

信息安全不是一個孤立靜止的概念，信息安全是一個多層面的多因素的綜合的動態的過程。在HTP模型中，信息安全建設是從體系建設過程、運行及改進過程、風險評估過程再到體系建設過程的一個循環往復的過程。沒有絕對的安全，信息安全的技術是不斷的前進的。所以面向企業網絡的安全體系建設是一個需要在不斷考察企業自身發展環境和安全需求的基礎上，通過對現有系統的風險評估，不斷改進的過程。整個安全體系統建設，不能一勞永逸，一成不變。因此，引入安全風險評估的概念和方法相當重要，它為企業網絡的自身評估提供了良好的手段，是企業網絡安全體系不斷發展的動力。

二、風險評估的基本步驟和方法

進行風險評估，首先應按照信息系統業務運行流程進行資產識別，明確要保護的資產、資產的位置，并根據估價原則評價資產的重要性。在對資產進行估價時，不僅要考慮資產的市場價格，更重要的是要考慮資產對于信息系統業務的重要性，即根據資產損失所引發的潛在的影響來決定。為確保資產估價的一致性和準確性，信息系統應按照建立一個統一的價值尺度，以明確如何對資產進行賦值。還要注意特定信息資產的價值的時效性和動態性。

其次系統管理員、操作員、安全專家對信息系統進行全面的安全性分析。對系統進行安全性分析的方法包括調查研究、會議座談、理論分析、進行模擬滲透式攻擊等方法，可運用的分析技術包括貝葉斯信任網絡法、事件樹分析法、軟件故障樹分析法、危害性與可操作性分析法、Petri網法、寄生電路分析法以及系統影響和危險度分析法。

再次對已采取的安全控制進行確認。

最后，建立風險測量方法及風險等級評價原則，確定風險的大小與等級。按照風險評估的深度，風險評估方法可分為：①基本的風險評估方法：對組織所面臨的風險全部采用統一、簡單的方法進行評估分析并確定一個安全標準，這種方法僅適用于規模小、構成簡單、信息安全要求不是很高的組織；②詳細的風險評估方法：對信息系統中所有的部分都進行詳細的評估分析；③聯合的風險評估方法：先鑒定出一個信息系統中高風險、關鍵、敏感部分進行詳細的評估分析，然后對其他的部分采取基本的評估分析。

在進行風險評估時，可采用定性或定量分析方法。定性評估時并不使用具體的數據表示絕對數值，而是用語言描述表示相對程度。由此得出的評估結果只是風險的相對等級，并不代表風險的絕對大小。

定量風險分析方法要求特別關注資產的價值損失和威脅的量化數據。對于具體環境的某一個安全風險時間發生的概率是安全威脅發生概率與系統脆弱點被利用概率的函數，根據聯合概率分布計算公式可得出安全事件L發生概率為PL=TL×VL。其中TL是未考慮資產脆弱點因素的威脅發生的發生概率，VL是資產的脆弱點被威脅利用的概率。

目前風險評估工具存在以下幾類：①掃描工具：包括主機掃描、網絡掃描、數據庫掃描，用于分析系統的常見漏洞；②人侵監測系統(IDS)：用于收集與統計威脅數據；③滲透性測試工具：黑客工具，用于人工滲透，評估系統的深層次漏洞；④主機安全性審計工具：用于分析主機系統配置的安全性；⑤安全管理評價系統：用于安全訪談，評價安全管理措施；⑥風險綜合分析系統：在基礎數據基礎上，定量、綜合分析系統的風險，并且提供分類統計、查詢、TOPN查詢以及報表輸出功能；⑦評估支撐環境工具：評估指標庫、知識庫、漏洞庫、算法庫、模型庫。

三、面向運行的風險評估

由于還沒有一個標準的建設程序和規范，因此在國內很少有企業在風險評估的基礎上進行系統建設，而且很多情況下選擇將網絡一次性安裝完畢。針對這種情況，我們覺得可以考慮采用面向運行的風險評估的方法，對已經建成的、正在運行的網絡進行風險評估，查找問題，然后針對風險點，逐步加以建設完善。在此基礎上，可對網絡再進行一次風險評估。檢查信息系統安全績效，并為進一步提升安全性能做好準備。對于一個企業來講，網絡可以由多個功能模塊組成，包括核心網絡、服務器組、廣域網、互聯網、撥號用戶等。

1.企業網絡分析

企業園區網絡主要包括核心網絡、分布層網絡、接人層網絡、服務器網絡等幾個部分。各個部分都可能受到來自企業內部的安全威脅。(1)核心網絡，核心網絡主要實現核心交換功能，主要的威脅為分組竊聽。(2)分布層網絡，分布層網絡為接入設備提供路由、服務質量和訪問控制等分布層服務，完成核心網絡與接入網絡的信息交互，它是針對內部發起攻擊的第一道防御。在這個網絡中可能存在未授權訪問、IP電子欺騙、分組竊聽等威脅。(3)接人層網絡，接入層網絡是為企業內部網絡最終用戶提供服務。用戶設備是網絡中最大規模的元素，因此該部分網絡可能存在大量的來自內部網絡用戶的安全威脅。如外來筆記本等不安全機器可接入內部網，對內部網的安全造成威脅，可能造成內部數據的泄露，網絡受到惡意攻擊；企業內部網上使用的電腦擅自撥號上互聯網，造成一機多網，可能感染病毒，受到互聯網上用戶的攻擊；內部網客戶端的安全補丁和殺毒軟件病毒庫沒有及時更新，無法有效地防范病毒，因此有病毒泛濫的風險等。(4)服務器網絡，服務器網絡因為向最終用戶提供應用服務，存儲大量的企業內部數據，通常會成為內部攻擊的主要目標，因此未授權訪問、應用層攻擊、IP電子欺騙、分組竊聽、信任關系利用、端口重定向等威脅時刻存在。

2.確定已經采取的安全控制手段

對于企業園區網應當采取的安全控制手段，在這里我們不做詳細講解。我們要做的就是根據網絡安全管理的設計方案，結合上面確定的風險點，進行檢查，確定在這些風險點上已經采取的安全控制措施，并確保這些措施切實有效。比如：(1)防火墻設置是否安全；(2)防火墻是否使用NAT地址轉換；(3)是否安裝入侵監測系統；(4)是否使用電子郵件內容過濾；(5)是否使用RFC2827和1918過濾；(6)撥號用戶是否簽訂安全協議；(7)撥號用戶是否進行強身份認證；(8)是否對用戶線路采用撥號回送程序和控制措施；(9)是否對撥號上網用戶流經關鍵接口的網絡數據包進行監視記錄。當然這只是需要確認內容的一小部分。在確認過程中需要做到的是耐心仔細，不放過每一個細節。同時我們應當與各個部門負責人和系統管理員協同工作，以便取得更大的成效。

3.確定風險的等級

我們需要使用一些掃描工具，對內部網絡進行掃描，以便建立風險等級評價原則，確定風險的大小與等級。根據掃描結果，我們可以結合已經收集到的大量網絡信息，進行認真比較和評估。最后我們可以總結出發現的問題，并提出化解風險的建議。

當然風險是客觀存在的，通過風險評估的方法，能夠在一個階段內幫助解決網絡安全問題，但并非一勞永逸。我們應該建立風險評估的良性循環機制，定期進行風險評估，以便不斷的提升網絡安全性能。

四、結語

引入了風險評估的理論，從風險評估的產生和發展歷史講起，通過對企業園區網絡進行風險評估的演示，介紹了一些風險評估的方法和基本步驟。其中還采用了掃描工具，以便確定風險的等級，提出解決方案。信息安全不是一個孤立靜止的概念，信息安全建設是一個多層面、多因素的、綜合的、動態的過程。風險評估是建立企業網絡安全體系的起點，但并不是終點，因此建立風險評估的良性循環體制，是不斷提升網絡安全性能的重要保證。