網絡通信新上線業務安全評估的實踐與探索

□王 麗

隨著IPv6、三網融合、云計算、移動互聯網和物聯網等新技術的引入，以及互聯網業務的蓬勃發展，為促進互聯網業務健康有序發展，維護國家安全和社會穩定，保障用戶合法權益，加強互聯網新技術新業務安全管理，工信部在2011年下發了《互聯網新技術新業務信息安全評估管理辦法(試行)》，各運營商也隨之下發了各自的管理辦法，明確提出了細化的要求。實踐中，要通過落實“以業務為中心、風險為導向”的評估思想，在信息安全評估中的不斷探索，建立和推動信息安全評估理論、方法、操作流程和作業規范的完善和提升，彰顯信息安全評估對保障客戶業務順暢運行的意義，提升安全服務的工作績效以及安全服務的層次和水平。

一、互聯網新技術新業務信息安全評估的內容

(一)評估內容。工信部與三大運營商對互聯網新技術新業務信息安全評估的要求主要包括:與業務相關的網絡架構安全、設備安全、平臺安全、業務流程安全、內容安全、業務數據安全、系統運維及人員管理安全等方面。

(二)“傳統”安全評估的主要內容。雖然目前的評估都來自于ISO13335 -2 信息安全風險管理中(如圖1)，但主要的內容為:管理脆弱性識別包括組織架構管理、人員安全管理、運維安全管理、審計安全管理等方面的評估技術脆弱性識別漏洞掃描:對網絡安全、網站安全、操作系統安全、數據庫安全等方面的脆弱性進行識別。基線安全:對各種類型操作系統(HP -UX、AIX、SOLARIS、LINUX、Windows 等)、WEB應用(IIS、Tomcat 等)、網絡設備等網元的安全配置進行檢查和評估。滲透測試:滲透測試是站在攻擊者的角度，對目標進行深入的技術脆弱性的挖掘。

(三)業務信息安全評估與“傳統”安全評估的對比。雖然安全風險評估基本都按照了ISO13335 -2 中的方法來操作，但是通過對業務信息安全評估的內容和“傳統”安全評估內容對比不難看出，“傳統”安全評估主要集中在網絡、系統和應用軟件層，且每層的評估比較孤立，很難全面反映業務的主要風險。“以業務為中心、風險為導向”的業務系統安全評估能夠與客戶的業務密切結合，風險評估結果和安全建議能夠與客戶的業務發展戰略相一致，最終做到促進和保障業務戰略的實現。

圖1 ISO13335 -2 信息安全風險管理評估

二、互聯網新技術新業務信息安全評估的主要方法

“業務為中心、風險為導向”的信息安全評估思路互聯網新技術新業務信息安全評估是開展其他信息安全服務的基礎，而以“業務為中心、風險為導向”的信息安全評估思路，是切實落實信息安全風險評估的根本保證。

(一)主要流程。對互聯網新技術新業務信息安全評估來說，分為三大基本步驟:一是深入業務，分析流程;二是業務威脅分析、業務脆弱性識別和人工滲透分析;三是風險分析和處置建議，具體見圖2。

圖2 對互聯網新技術新業務信息安全進行評估后的流程

(二)深入業務，分析流程。目標是了解業務信息系統承載的業務使命、業務功能、業務流程等;客觀準確把握業務信息系統的體系特征。管理層面調研和分析圍繞“業務”，管理調研的內容主要為組織架構、部門職責、崗位設置、人員能力、管理流程、審計流程等等，其調研核心是一系列的管理流程。通常，組織中有多種類型的管理流程，管理調研的重點是與信息安全有關的流程、制度及其落實、執行和效果情況。管理措施通常貫穿于整個管理流程之中，目的是保證管理流程的有效流傳或者不出現意外的紕漏。管控措施的設計一般都遵循一定的原則，如工作相關、職責分析、最小授權等等。業務系統層面調研和分析業務系統提供的功能一般是指被外界(例如客戶、用戶)所感知的服務項目或內容，是IT系統承載、支持的若干個業務流程所提供功能的總匯。一個具體的業務功能常常與多個業務流程相關，一種(個)業務功能，常常需要若干個業務流程來實現。例如數據的錄入流程、數據的修改流程、數據的處理流程等等。對于一個具體的信息系統來說，可以通過其提供的業務功能，對業務流程進行全面梳理、歸納，并驗證業務流程分析的完備性、系統性。一個具體的業務流程也常常跨越多個系統，某個具體的IT 系統可能僅完成整個IT 流程中的某一個活動。例如在短信增值服務中，SP 與用戶手機短信收發就涉及到了短信中心、短信網關、智能網SCP 等多個系統;另外，還涉及到了計費、BOSS 等業務支撐系統以及網管等運維管理系統等。因此，業務功能通常是對業務系統進行調研的最佳切入點，并將業務流程簡化成為單純的數據處理過程，將各個應用軟件之間的數據傳輸簡化成為點對點的流。然后基于數據流分析，建立信息視圖，明確信息的流轉、分布、出入口，把業務系統簡化成為數據流的形式，可以更好地分析數據在各個階段所面臨的風險。

(三)脆弱性識別。

1．系統和應用軟件層脆弱性識別。對評估范圍內的主機操作系統及其上運行的數據庫/Web 服務器/中間件等系統軟件的安全技術脆弱性，得到主機設備的安全現狀，包含當前安全模塊的性能、安全功能、穩定性以及在基礎設施中的功能狀態。

2．網絡層脆弱性識別。明確被評估系統和其他業務系統的接口邏輯關系、和其他業務系統的訪問關系、得出清晰的基礎設施拓撲圖;從網絡的穩定性、安全性、擴展性、(易于)管理性、冗余性幾個方面綜合評定網絡的安全狀況。

3．現有安全措施脆弱性識別。識別并分析現有安全措施的部署位置、安全策略，確定其是否發揮了應用的作用。

4．管理層脆弱性識別。識別和分析安全組織、安全管理制度、流程以及執行中存在的安全弱點。

(四)業務威脅分析。對于業務系統來說，安全威脅及安全需求分析的最小單位是數據處理活動。可以通過安全威脅列表來識別威脅，構建安全威脅場景來進行威脅、風險分析。

1．列出評估的業務系統的全部安全威脅。如何能將安全威脅很好的列出來呢?可以借助一些現有的安全威脅分析模型，例如微軟Stride 模型(假冒、篡改、否認、信息泄漏、拒絕服務、提升權限)都提供了一些安全威脅的分類方法。

2．識別和構造威脅路徑。依據自身(企業或部門級)的業務特點進行細化，識別和列出安全威脅來，如拒絕服務、業務濫用、業務欺詐、惡意訂購、用戶假冒、隱蔽、非法數據流、惡意代碼等。

3．業務滲透測試和攻擊路徑分析。因為業務的特性是“個性化”，那么就很難用一個或多個工具發現所有問題;且業務的個性化，在業務邏輯、接口等安全測評中，必須要有人工參與。利用業務流程分析、威脅分析和脆弱性分析的相關數據，實現滲透測試。

4．風險分析。主要包括:一是數據整理:整理現場實施階段獲得的各種風險要素數據以及相應的評估報告;二是風險計算與分析、風險計算、風險量化、分析編制風險分析報告;三是風險處置與建議、風險處置準則確定、風險處置決策、風險控制目標確定和控制措施選擇編制安全建議。

［1］余磊，楊斌．信息安全戰——企業信息安全建設之道［M］．北京:東方出版社，2014，4

［2］Kim Andreasson．Cybersecurity:Public Sector Threats and Responses［M］．Boca Raton:CRC Pless，2011