信息載體安全風險評估課堂教學設計

毛新月+潘平+朱璇

（貴州大學 計算機科學與技術學院， 貴州 貴陽 550025）

摘 要：為了實現信息安全風險評估的關鍵目標，從教學組織的角度，對信息載體的評估指標體系、檢查項、檢查點以及如何實現現場檢查及其風險進行分析，構建課堂教學，同時以賬戶策略設置情況為例，提出將課堂教學轉化為具體的分析問題和解決問題的認識論和方法論，既強調對具體問題的分析，又用實例解決具體問題，最后說明近兩年的教學實踐和取得的良好效果。

關鍵詞：信息載體；主機安全；風險評估；教學

0 引 言

信息安全事件的頻繁發生，不僅對網絡管理人員的專業素質和技能要求越來越高，而且對信息載體的安全策略配置要求更加嚴格，以此確保信息載體在整個信息系統中的安全性。如何有效、快捷地對信息載體進行安全檢查評估，使學生掌握安全檢查的步驟和科學的分析方法，就需要通過多媒體工具的充分把握與應用，在教學的過程中將實像具體展示給學生，使學生通過理論解釋和實像理解，有機地將風險評估理論知識與社會實踐操作相結合；通過課堂教學掌握理論與實際應用，掌握對具體問題的分析和解決能力。

信息載體安全風險評估教學以國家評估標準[1]為依據、以具體實踐操作為主要內容，有效地將理論和實際相結合，從而避免培養出脫離社會實踐的人才。因此，構建信息載體安全風險評估的教學內容是一個復雜的過程，既需要教師有深厚的專業知識和嫻熟的操作技能，又需要深厚的科學理論知識與豐富的信息安全管理實踐能力[2]。信息系統安全風險評估是對信息系統潛在的安全風險所進行的一系列安全檢測活動[3]，它涉及信息系統的社會行為、管理行為、物理行為、邏輯行為等的保密性、完整性和可用性檢測。

1 信息載體安全風險及評價指標

信息載體是信息或數據在存儲、處理、分析過程中所依附的硬件或軟件設備，它是整個信息系統安全評估的核心，是信息系統安全保護的重點，也是安全檢查評估的重點，因此，對信息載體安全評估是整個風險評估的重中之重。信息系統安全風險評估是一項長期的、復雜的動態過程[4]。風險評估是從管理的角度對資產的機密性、完整性和可靠性進行綜合性檢查、評估，分析可能面臨的各種風險，以保障系統的有效可靠運行。

根據風險評估的標準規范和基本要求，結合社會實踐的具體操作過程，完善信息載體（主機）安全檢查的操作步驟，合理有效地設計檢查流程，是安全檢查評估有效可靠的前提。在整個教學課程中，采用“理論解釋+多媒體教學”的具體操作方式，即通過多媒體工具，直觀地向學生展示信息載體風險評估的理論知識、檢查方法和操作過程。這樣不僅達到理論分析與策略配置操作的互動，也達到理論與社會實踐相結合的一體化教學模式：既豐富教學內容，又使學生在教學過程中身臨其境[5]。

信息載體安全檢查是信息系統風險評估的關鍵對象，它對信息載體上運行的各種操作指令進行現場檢查，以發現信息載體安全運行過程中的安全狀態為目標，以消除信息載體潛在的風險隱患為目的。

在實踐過程中，信息載體的安全配置策略存在諸多問題，給信息系統帶來一定的安全風險，如設備資源占有率高，易造成系統出現拒絕服務現象；身份認證采用默認設置，易造成非法訪問信息系統；訪問控制策略設置不當，易造成數據泄露。因為這些安全風險的存在，所以對信息載體安全的評估變得尤為重要。

終端PC機通常采用是自主保護級[6]的安全保護模式——以用戶自主決定的資源進行保護——是最低級保護模式，所以存在嚴重的系統漏洞和脆弱性。正是這一原因，在課堂教學中，利用這一資源加以理解、說明和解釋，顯得更具有說服力。然而，基于第三級等級保護下的信息載體，采用強制安全保護方式，目的是確保信息載體的安全設置與安全等級相匹配。因此，通常意義上的安全風險評估是依據三級等級保護的標準來進行的安全檢查項和設置。通過對相關標準的理解和具體實踐，不難發現信息載體安全測評包含7個檢測項和56個檢測點。但是，在實際檢測過程中，將惡意代碼防范檢測與入侵防范進行合并，對于信息載體安全策略的檢查可以從身份鑒別、訪問控制、安全審計、入侵防范、資源控制和剩余信息保護六個一級指標進行檢查，實際操作落實到對二級指標的操作和檢查。信息載體安全評價指標體系如圖1所示。

身份鑒別是檢查信息載體的第一步操作，是安全檢測的核心，其他指標的檢測均是在身份鑒別的基礎上展開的，缺乏身份鑒別的檢測將會對信息系統安全造成重大的影響。

訪問控制是和身份鑒別檢查同樣重要的第二步操作，如果沒有設置合適的訪問控制策略，用戶繞過身份鑒別即可對操作系統信息進行任意的增/刪/改/查等操作，因此會破壞操作系統信息的機密性、完整性和可用性。

安全審計是檢查信息載體對重要的用戶、資源、系統命令等進行審計，還可以根據系統審計功能記錄相關事件發生的信息，以便在出現安全事件的時候可以有跡可尋。

入侵防范是檢查系統對是否安裝入侵軟件進行實時主動監視，并具有對入侵事件進行記錄和報警的功能。

資源控制是檢查系統對用戶訪問系統資源的情況進行限制以及對CPU、硬盤、內存和網絡等資源的使用情況進行監控。

剩余信息保護是檢查用戶鑒別信息和系統重要信息所在的存儲空間，在再分配給其他用戶的時候是否被完全清除。

2 課堂教學方案的構建

根據圖1的信息載體安全評價指標體系，我們很容易構建實現課堂教學的課堂教學方案。

（1）構建實現課堂教學目標的總體框架—教學目標—信息載體風險評估規范基本要求解讀—二級指標解讀，從而實現理論教學的目的。

（2）信息載體—多媒體—潛在安全風險與表現形式—解讀—構建檢查評估表及檢查流程，如圖2所示。

信息載體安全檢查是根據數據輸入情況（前期調查數據和現場檢查數據作為整體輸入），對信息載體采取的安全措施進行總結，分析信息載體存在的安全問題，初步給出信息載體的安全建議，然后對數據再進行詳細的風險分析，輸出信息載體的風險結果。

（3）構建詳細的安全檢查步驟。以社會實踐的操作過程為基礎來設計具體檢測服務器操作系統檢查點的路徑，服務器操作系統安全配置的具體檢查點檢查步驟如圖3所示。

物理檢查是第一步，它表明了信息載體的可用性。信息載體包含的服務器和終端設備的操作系統是檢查的重點。在實際操作過程中，一般不根據檢測項來完成每個檢測點的檢查，而是將各個檢測項進行相互融合，找出最有效的檢測路徑。

（4）分析信息載體面臨的潛在威脅利誘—威脅源分析—可能導致的安全事件—安全事件可能造成的損失。

在信息載體的風險評估教學中，以檢查項為基準，以檢查點為具體內容，對信息載體進行檢查評估。在這個過程中，可以培養學生將理論運用到實際的能力、與人溝通交流的能力、安全技術管理的能力以及使用相應檢測工具的能力。

3 實例分析

以主機檢測中身份鑒別的賬戶策略為例來進行說明，分析在實際風險評估過程中主機安全檢查的具體操作過程。通過分析密碼策略、賬戶鎖定策略和審核策略在系統默認狀態下的設置、推薦使用值以及通常情況下的檢查結果進行對比，分析在這種檢查結果下存在的安全隱患。對于密碼策略的設置及服務器密碼策略的設置，檢查結果對主機安全的影響見表1。

賬戶鎖定策略的設置是賬戶在受到采用字典攻擊或者暴力破解方式的在線自動登錄攻擊等，系統為保護該賬戶而將賬戶進行鎖定，使其在一定時間內無法再次使用此賬戶，此時合法用戶也將無法使用。雖然鎖定用戶賬戶常常會造成一些不便，但系統的安全有時更為重要。對于賬戶鎖定策略的設置及服務器賬戶鎖定策略設置的檢查結果對主機安全的影響見表2。對于審核策略的設置及服務器審核策略設置的檢查結果對主機安全的影響見表3。

通過對賬戶策略的分析、講解與實際操作的演示，使學生了解如何進行密碼策略、賬戶鎖定策略以及審核策略的設置，了解每項策略設置值的意義以及可能存在的安全隱患，從而有效減少賬戶策略帶來的安全隱患。

4 結 語

通過對信息載體風險評估內的教學設計及其具體教學過程，不僅要讓學生懂得如何對檢測點進行安全檢查操作，而且掌握如何解決在風險評估過程中遇到的問題。信息載體安全風險評估課堂教學設計既可實現課程教學的目標，又能結合具體情況，培養學生分析問題、解決問題的能力，培養學生實際動手操作的能力以及與人溝通交流的能力，將學生培養成運用型、實踐型、操作型人才，使得學生能夠適應現代化多元發展的社會。

基金項目：國家社科基金培育項目（GDPY2015047）；貴州省教育廳自然科學研究項目（黔教合KY字（2015）367號）；貴州省高等學校教學內容和課程體系改革（重點）項目（SJJG201404）；安順學院航空電子電氣與信息網絡貴州省高校工程技術研究中心開放項目（HKDZ201406）。

作者簡介：毛新月，女，在讀碩士生，研究方向為信息安全管理與取證，732370598@qq.com；

潘平（通信作者），男，副教授，研究方向為信息安全管理與取證，panping_17@163.com。

參考文獻：

[1]中華人民共和國國家質量監督檢驗檢疫總局， 中國國家標準化管理委員會. 信息安全技術 信息安全風險評估規范[S]. 北京： 中國標準出版社， 2008.

[2]潘平， 毛新月， 周惠玲.信息安全風險評估課程結構體系研究[J]. 計算機教育， 2015（17）： 43-46.

[3]吳曉平， 付鈺編. 信息安全風險評估教程[M]. 武漢： 武漢大學出版社， 2011： 15-17.

[4]潘平， 楊平， 羅東梅， 等. 信息系統安全風險檢查評估實踐教學探討[EB/OL].[2016-09-08]. http：//cpfd.cnki.com.cn/Article/CPFDTOTAL-TTTT201108002028.htm.

[5]周惠玲， 毛新月. 信息系統安全風險評估的教學結構體系[J]. 安順學院學報， 2015， 17（4）： 121-122.

[6]中華人民共和國國家質量監督檢驗檢疫總局， 中國國家標準化管理委員會. 信息安全技術信息系統安全等級保護基本要求[S]. 北京： 中國標準出版社， 2008.

（編輯：史志偉）