基于AHP對陜西電信IT安全技術體系的評價分析

◆李 健 楊云峰

（中國電信陜西公司 陜西 710075）

基于AHP對陜西電信IT安全技術體系的評價分析

◆李 健 楊云峰

（中國電信陜西公司 陜西 710075）

本文通過對陜西電信IT技術體系的介紹，結合實際情況給出了十六個量化指標，運用AHP（層次分析法）得到這些指標的權重分布，通過評估分析說明陜西電信IT安全技術體系達到優良的程度，但有一些不足的地方，需要持續改進，完善IT安全技術體系能力建設

AHP；IT安全技術體系；量化指標

1 陜西電信IT安全概況

作為國內最大的固網電信運營商來說，隨著中國電信全業務運營戰略的推進，IT系統(即CTG-MBOSS系統，由管理支撐系統MSS，業務支撐系統BSS，運營支撐系統OSS和企業數據架構EDA組成) 已經成為電信生產環節中不可或缺的一部分，IT系統的安全問題也日趨重要。陜西電信 IT安全保障體系以CTG-MBOSS信息化架構為基礎，是支撐企業IT安全建設和管理的基礎架構。整個體系以 IT安全戰略為指導，將組織、策略、運行、技術等安全各方面要素結合起來，通過安全管理制度的逐一落實，安全防護措施的統一部署，循序漸進的構建一個科學全面的信息安全保障體系，整體安全保障體系框架如圖1所示。

圖1 陜西電信IT安全保障體系框架圖

其中，安全策略體系總述了中國電信 IT安全的總體方針政策、演進策略、標準和指南、以及各類實施細則組成。

安全組織體系定義了保障 IT安全策略有效執行需要的角色和職責，為安全策略能夠貫徹實施的組織保障的保證，從職能上分為決策、管理和執行類別。

安全運行體系從IT系統生命周期和安全風險管控流程出發，從開發、建設、維護、響應和核查五個階段提出安全風險管控的要點，明確了不同階段安全防護的具體要求，涵蓋了風險管理、系統開發建設、運行維護、事件響應、安全監控和安全檢查等內容。

技術體系是實現IT安全保障體系的重要手段，從物理安全、網絡安全、系統安全、應用安全、數據安全和終端安全六個方面實現安全檢測與識別、安全防護、安全審計與恢復三大保障能力。

2 陜西電信IT安全技術體系介紹

結合陜西電信IT安全建設實際情況，陜西電信IT安全體系主要包括以下內容：

應用安全體系：包括應用端口服務、應用賬號安全和 Web應用安全加固等。陜西電信通過4A平臺的建設，基本上將應用賬號管理納入其范圍內；定期的對 IT系統進行端口掃描以及滲透測試實現對應用端口安全管理，Web應用的安全漏洞得到遏制。

主機安全體系：主要包括主機賬號口令、主機端口服務和Windows主機防病毒管理等。陜西電信IT系統主機大部分已經接入4A平臺，主機賬號和口令不能隨意修改，弱口令的事件大大減少。陜西電信建立一套以賽門鐵克防病毒系統，有效地遏制Windows主機病毒爆發。

網絡安全體系：主要包括網絡區域防護、網絡設備賬號口令、網絡設備端口服務、網絡設備安全防護和防火墻安全策略配置等。陜西電信通過DCN統一出口平臺建設，對IT系統外層網絡邊界進行有效區域防護，主要包括城域網出口，涉及提供公網服務所有IT系統；電信業務出口，涉及IT系統與電信其它（短信平臺、IPTV平臺等）平臺信息交互；合作伙伴出口，涉及到電信合作企業（包括銀行、代理商等）與 IT系統信息交互。網絡設備管理也納入4A平臺，賬號及其口令要求定期清理，及時清理其中的不必要或不安全服務（如SNMP、FTP、HTTP等）。

安全審計體系：主要包括物理訪問安全審計、主機訪問權限審計、應用訪問權限審計、數據庫訪問權限審計和應用操作審計等。陜西電信有嚴格的機房訪問審批流程，保證了物理訪問安全審計的要求。4A平臺對應用訪問權限有一定的限制，數據庫審計系統基本上覆蓋了80%的數據庫審計監控。

雖然陜西 IT安全技術體系有了許多保障措施，但缺乏量化指標對技術體系考核標準，結合陜西 IT實際情況和集團規范文件，需要對上述技術體系進行量化指標分解，詳見下表：

表1 陜西電信IT安全技術體系指標分解

?

基于以上研究，本文獲得了陜西電信IT安全技術體系中的十六個關鍵指標評估因素，這就是陜西電信IT安全技術體系成熟度的評價系統，按照指標體系內容所建立的層次結構見圖2。

圖2 陜西電信IT安全技體系評價模型層次圖

3 基于AHP對陜西電信IT安全技術體系的評價分析

3.1 AHP分析方法介紹

層次分析法：所謂層次分析法，是指將一個復雜的多目標決策問題作為一個系統，將目標分解為多個目標或準則，進而分解為多指標（或準則、約束）的若干層次，通過定性指標模糊量化方法算出層次單排序（權數）和總排序，以作為目標（多指標）、多方案優化決策的系統方法，稱為層次分析法，簡稱AHP。層次分析法是將決策問題按總目標、各層子目標、評價準則直至具體的備投方案的順序分解為不同的層次結構，然后得用求解判斷矩陣特征向量的辦法，求得每一層次的各元素對上一層次某元素的優先權重，最后再加權和的方法遞階歸并各備擇方案對總目標的最終權重，此最終權重最大者即為最優方案。這里所謂“優先權重”是一種相對的量度，它表明各備擇方案在某一特點的評價準則或子目標，標下優越程度的相對量度，以及各子目標對上一層目標而言重要程度的相對量度。層次分析法比較適合于具有分層交錯評價指標的目標系統，而且目標值又難于定量描述的決策問題。其用法是構造判斷矩陣，求出其最大特征值。及其所對應的特征向量W，歸一化后，即為某一層次指標對于上一層次某相關指標的相對重要性權值。運用 AHP方法，大體可分為以下三個步驟：

步驟1：分析系統中各因素間的關系，對同一層次各元素關于上一層次中某一準則的重要性進行兩兩比較，構造兩兩比較的判斷矩陣；

步驟2：由判斷矩陣計算被比較元素對于該準則的相對權重，并進行判斷矩陣的一致性檢驗; 判斷矩陣的一致性指標，其中的值越小，一致性程度越高：平均隨機一致性指標RI值通過查表求得，隨機一致性比率CR=(CI／RI)〈0．1即可認為判斷矩陣具有滿意一致性，否則就需要調整判斷矩陣；

步驟3：計算各層次對于系統的總排序權重，并進行排序。最后，得到各方案對于總目標的總排序。

3.2 各個指標的權重計算過程

針對陜西電信IT安全技術體系指標分解結果，其成熟度評價模型公式為：Ω=A1*指標項1+A2*指標項2+A3*指標項3+……+An*指標項n

A1*指標項 1+A2*指標項2+A3*指標項3+……+An*指標項;其中A1，A2，A3……An 代表每個指標項的權重，其和=1.下面看看通過 AHP計算主觀指標權重具體過程，本文認為這些指標要素在陜西電信的 IT安全技術體系中的重要程度是不同的，這些指標要素對陜西電信的IT安全技術體系影響程度也是不同的。所以，本文利用均勻性和擬合度都比較好的“”標度來構造判斷矩陣，判斷矩陣主要是利用專家或者個人的判斷比較出兩因素之間的重要性程度，判斷矩陣的標度方法見表2。

表2 標度定義

e = 4 . 9 5 3 0 8 5兩指標相比，一個比另一個極端重要e，1 5 e，3 5 e，5 5 e 介于上述兩相鄰判斷標度中間7 5

假設A1=審計安全，A2=主機安全，A3=應用安全，A4=網絡安全；Ω= 陜西電信IT安全技術體系；□1～ □16為各個指標項。

最終各個層級的判斷矩陣如下：

經過歸一化計算以及隨機一致性比率CR檢驗得到□1～□16對Ω的權重分布，見表3。

表3 陜西電信IT安全技術體系量化指標權重表

W e b應用常見漏洞加固 0 . 1 3 3 7網絡設備賬號口令 0 . 0 7 0 6網絡區域防護 0 . 0 4 9 8網絡設備安全防護 0 . 0 6 0 8網絡設備端口服務 0 . 0 7 8 0

3.3 分析評價

根據技術專家對各個指標項實際考察評估，最終對□1～ □16的得分情況為（85，98，85，80，60，0，85，85，95，85，80，87，97，60，88，84）與□1～ □16各項權重加權平均后，最終陜西電信IT安全技術體系評估分=80.11，基本上達到優良程度。

從各項指標得分情況來看，有些指標項得分較高，比如網絡設備賬號口令管理得分97，說明陜西IT網絡設備賬號管理基本上全部納入4A平臺，達到指標考核要求；有些指標項為優良，比如數據庫審計得分85，說明陜西電信IT數據庫審計系統只覆蓋了ORACLE數據庫，其他比如DB2、MYSQL等都沒有覆蓋到。有些指標項僅僅剛剛及格，比如網絡區域防護得分60，說明陜西電信IT網絡區域防護的不夠全面，僅僅做到是邊界區域防護，IT內部系統缺乏安全域劃分，導致MSS域、OSS域、BSS域之間互通，沒有安全措施對 IT系統內部實施有效保障；有些指標項得分為0，比如主機補丁管理，說明陜西電信IT缺失補丁管理系統，急需加快此系統建設步伐。

4 結束語

綜上所述，本文在陜西電信IT安全保障體系模型框架基礎上，通過AHP分析方法闡述了一個可持續改進的陜西電信IT安全技術體系能力評價模型，找出一套合理的評價方法對安全技術體系建設成效進行公正有效的考量和評價，通過評價分析，說明陜西電信IT安全技術體系有哪些需要持續改進的地方，對陜西電信IT安全技術體系能力建設的推進工作有一定促進作用。

[1]王一帆，熊桂喜．基于AHP算法的系統性能衰退檢測方法的研究UJ．微計算機信息，2010．

[2]李健．基于ITIL的陜西電信IT服務管理研究西安電子科技大學，2011．

[3]華汪明，張新躍，黃禮蓮，高儒振．電信IT安全保障能力評價模型與基線達標體系研究．電信科學，2012．

[4]中國電信〔2010〕920 號文件．關于印發中國電信CTG-MBOSS 安全基線達標管理暫行辦法的通知．