民航局電子政務信息安全管理平臺建設研究

◆張 威

（中國民用航空局信息中心 北京 100010）

民航局電子政務信息安全管理平臺建設研究

◆張 威

（中國民用航空局信息中心 北京 100010）

本文以民航電子政務信息安全工作現狀為基礎，分析了信息安全工作存在的不足，以支撐監測預警、工作考核、安全運維、指標計算為目標，對民航電子政務信息安全管理平臺進行了詳細的分析，研究設計了平臺的總體框架、功能模塊和技術架構，并介紹了該平臺的部署和初步應用情況。

信息安全；管理平臺；平臺架構

0 引言

民航信息安工作關系國家安全、社會穩定、持續安全的實現和民航強國戰略的實施。民航局把信息安全工作放在突出位置，提出要像抓飛行安全、空防安全一樣抓信息安全，電子政務信息安全作為民航信息安全的重要組成部分，同樣直接關系到國家安全、行業發展和社會秩序[1]。近年來，民航局新版政府網站、飛行標準監督管理、民航綜合統計等政務信息系統陸續上線，這些信息系統涉及到行業安全監管、經濟運行與市場管理、行政辦公與公共服務三大應用體系，關系到民航局重要業務工作的開展。隨著民航電子政務重點工程項目的建設和重要信息系統的上線運行，對信息安全工作提出了更高的要求。

1 安全現狀

民航局信息中心按照“積極防御、綜合防范”的指導思想，堅持管理與技術雙管齊下，有力保障了民航電子政務信息系統的安全運行。2012年，民航局信息中心開展了電子政務外網安全技術體系設計，對民航局電子政務外網進行基于等級保護的安全規劃設計，詳細規劃網絡安全域及區域之間、主機系統、應用系統等安全策略。按照安全體系設計方案，信息中心逐步建設了滿足國家信息安全保護的三級系統技術要求的技術防范體系。同時，依據國家和民航信息安全管理要求，定期開展等級保護定級、備案和測評工作，每年開展信息系統應急演練、安全意識教育和技術培訓。隨著信息系統和安全設備規模的增長，逐漸暴露出以下問題：

（1）安全運維工作量大，威脅難以準確識別

民航電子政務外網部署了大量安全設備，每類設備都有各自獨立的管理界面并產生大量的安全日志。由于安全設備管理界面分散，導致安全運維人員工作負擔越來越重，不同的設備著眼點是安全的某一方面，著力解決的也是某一類型的安全問題，產生的安全日志也是偏面和局面的，人工難以從不同安全設備產生的孤立日志中分析有價值的信息，及時處置。

（2）安全管理等日常工作缺少信息化支持

按照國家信息安全等級保護和民航局要求，信息中心開展了信息系統等級保護定級、備案和測評工作，定期開展信息系統應急演練、安全意識教育和技術培訓、同時負責全國民航政務系統安全檢查。同時，依據中心各類安全管理規定，運維各崗位人員需要周期性執行操作系統補丁升級、定期修改密碼等日常安全維護。以上這些工作由多個崗位承擔，工作信息分散在具體承辦人手中，管理人員不能及時準備了解相關工作落實情況，難以進行統計和考核。

（3）安全工作不可測量

目前，全網和各系統安全狀態優劣以主觀判斷為主，缺少具體量化標準，管理者無法掌握當前安全狀態以及態勢的變化情況，難以對整體信息安全態勢進行準確判斷，不利于安全工作的決策和改進。

上述各項問題已經無法用傳統的安全產品和單純管理手段來解決，迫切需要一種能夠有效銜接人員、技術、管理的平臺。

2 建設需求

民航電子政務安全管理平臺（SMP）是承載信息安全工作的集中化支撐平臺，平臺的建設需求應滿足監測預警、合規考核、安全運維和指標展現四個方面。

（1）監測預警

監測預警是指 SMP需要對各類安全資產的脆弱性和海量安全事件的采集、分析、處理、告警，分析安全事件對業務系統可能產生的影響和危害，降低通過人工甄別大量事件的工作難度，提高安全管理工作效率，減輕運維工作負擔。

（2）合規考核

工作考核指按照國家信息安全等級保護和民航信息安全管理要求，圍繞等級保護、應急演練、安全制度等工作，利用管理與技術結合，實現有關工作全過程閉環管理，并對工作情況進行對標考核。

（3）安全運維

SMP應具備安全作業計劃的制訂和維護管理功能，通過技術手段提高日常安全運維保障工作效率，提升安全基線檢查、安全作業的自動化程度，實現安全基線檢查等安全作業計劃的自動調度、自動執行、自動考評等。

（4）指標展現

SMP實現收集各項信息安全技術、管理工作數據的能力，按照民航電子政務信息安全態勢指標體系，分析計算安全態勢，實現各信息系統和全網安全態勢量化指標。

3 平臺架構

平臺的主要處理流程遵循 P2DR模型[1]。該模型包括四個主要部分： Policy(安全策略)、Protection(防護)、Detection(檢測)和Response(響應)。它們組成了一個完整的、動態的安全循環, 在安全策略的指導下保證信息系統的安全。根據功能要求，平臺體系架構自傷而下分為展現層、功能層、采集層，平臺體系架構見圖1。

展現層是 SMP的登陸入口，展現各類安全信息、個人工作信息、統計分析數據。安全管理門戶包括個人門戶、事件監測、態勢指標展現和系統管理四部分。

功能層包括收集和識別大量 IT資產產生的安全事件，運用關聯規則、智能推理等技術手段對安全事件信息的分析，實現對安全事件的統一監測和預警，同時實現對信息安全等級保護、日常安全運維，應急演練、人員培訓等工作的落實考核，形成各類電子政務信息安全態勢指標。

采集層是SMP與IT資產和專業安全系統接口，采集層通過日志采集、性能采集、配置核查采集模塊收集設備日志、網絡流量、配置信息，采集層收集到的數據按照指定的篩選要求進行篩選后發送給功能層進行集中的存儲和分析。由于安全設備發送過來的日志采用的協議不同, 報文內部的凈荷格式也不同, 需要采集端能夠對其經行識別和預處理, 即對安全事件進行標準化處理,然后將數據整合后上傳[2]。

圖1 SMP體系架構圖

4 功能模塊設計

民航局電子政務安全管理平臺獨特性較強的功能主要包括事件分析、脆弱性管理、安全制度、等級保護、應急演練、日常作業和安全態勢指標。由于篇幅有限，資產管理、告警、人員培訓、知識庫、報表等通用性功能模塊不在此論述。

（1）安全事件管理

安全管理平臺能夠實時反應出網絡的安全狀況必須有所依據，因此事件采集、分析處理工作就成為安全監測工作的基礎。事件管理最終向用戶展現是經過收集、過濾、歸并、分析處理后的安全威脅數據，分別對應安全事件收集、安全事件標準化、安全事件過濾、安全事件歸并和安全事件關聯的功能，從功能實現分為安全事件采集、分析處理和展現三個層次。

安全事件采集模塊通過 Syslog、SNMPTrap、Agent、定制接口等方式采集各類IT資產原始日志，為后續的事件分析、處理、響應等提供數據來源。由于各類設備對日志定義的格式和內容不同，日志采集后需要預處理模塊對日志進行解析，完成對接收到的原始日志到事件的格式化、過濾無效和安全相關度較低事件，對短期重復多次事件安全進行歸并，依據預設規則進行實時和歷時統計分析、關聯分析。安全展現層以多種分析模型和方法為基礎，通過可視化配置界面對安全事件基于時間序列、聚類模型進行數據挖掘，對事件分析和挖掘結果等進行多維度展示。圖2展示了24小時內安全事件名稱統計數據。

（2）脆弱性管理

脆弱性是指可能被威脅所利用的資產或若干資產的薄弱環節，信息系統的脆弱性主要來源于網絡設備和主機操作系統、中間件、數據庫等軟件，脆弱性如被威脅利用將演變為安全事件，因此應進行生命周期的管理。IT資產的脆弱性發現主要依賴漏洞掃描系統、配置核查系統和 Web應用檢測等掃描檢查工具。各類掃描工具生成XML（Extensible Markup Language，可擴展標記語言）格式的掃描報告，通過SFTP協議上傳到安全管理服務器，定時對報告進行解析，通過JDOM(Java Document Object Model，Java文檔對象模型) 對XML文檔解析，基于XML Schema實現與后臺RDMS關系型數據庫的映射，實現與IT資產的關聯，按照脆弱性類型數量、危害程度分布、脆弱性最多資產TOP N等條件進行可視化展現，圖3展示了某系統漏洞分布情況。

圖2 24小時安全事件名稱統計

圖3 某信息系統漏洞分布圖

為實現生命周期管理，在模塊中可對脆弱性進行及時確認和修復，考核相關崗位人員對脆弱性確認和修復情況。以漏洞舉例，對漏洞狀態（不適用、已消除、無法利用）進行確認，系統自動記錄漏洞狀態改變時間，形成“漏洞成功修復率”、“漏洞一次性修復率”、“漏洞修復及時率”多項考核指標。

（1）安全制度管理

信息安全管理制度是信息安全工作的基礎。安全制度管理模塊主要實現國家、民航和信息中心管理制度、技術文檔的電子化管理，并對信息中心制度與國家、民航要求的符合度進行動態評價，分為制度文件和符合度評價兩個子模塊。制度文件子模塊主要記錄民航和信息中心各項信息安全文件，主要包括起草人，發布時間，簡介、版本和主題詞等信息。

符合度評價子模塊建立在對信息系統安全等級保護基本要求、民航網絡與信息安全檢查辦法等制度文件梳理基礎上，形成安全管理制度指標主題詞，將信息中心所有管理制度與主題詞進行匹配，形成等級保護制度符合率和民航信息安全管理制度符合率兩個指標，隨著信息中心管理制度內容的調整、補充，兩個符合率將自動計算并進行可視化展現（見圖4），實現制度達標情況的動態評價。

圖4 等級保護制度符合率呈現

（2）等級保護管理

根據國家信息安全等級保護要求，信息系統需開展對等級保護工作定級、備案、測評、整改等工作。信息中心負責建設和運維的民航電子政務系統較多，其中一部分是等級保護三級重要信息系統。為加強對等級保護工作的有效落實，滿足對等級保護工作的合規要求，實現對等級保護工作管理的技術支持，等級保護模塊具備等級保護業務工作過程管理功能，主要包括定級備案、系統測評等模塊。

定級備案模塊記錄各類系統定級過程中生成的各類文檔材料，包括：定級報告、專家評審意見和系統主管單位意見、公安機關備案證明等電子文檔，圖形化顯示各系統定級備案狀態，見圖5。

圖5 等級保護級別統計呈現

系統測評模塊用于管理記錄測評工作的相關內容，各用戶單位可在線填寫各自信息系統等保測評信息數據,包括：測評機構、測評報告、測評日期，差距分析報告。通過對等級保護三級系統290個控制點測評數據，從十個維度統計分析各系統測評結果達標情況，利用雷達圖、直方圖等可視化展示信息系統等級保護測評結果，圖6展示了某電子政務系統等級保護測評結果雷達圖。

（1）應急演練管理

按照國家和民航局要求，重要信息系統應定期開展應急演練工作。信息安全應急演練工作覆蓋各重要電子政務信息系統，涉及到各崗位人員，存在演練方案和技術文檔分散、演練不及時、過程記錄不規范等問題。應急演練管理模塊具備應急演練計劃制定和下發、應急預案、演練方案和演練記錄的電子化管理、演練完成率和及時率考核功能。

年初將既定的年度應急演練計劃導入安全管理平臺，在演練計劃日期前，安全管理平臺自動進行郵件等方式提醒演練責任人。演練人員上傳對演練方案和演練預案，經批準后下發演練任務。演練完成后對演練執行情況進行在線記錄和評價，統計展現全年應急演練工作完成情況和存在問題，并與資產庫信息系統進行比對，顯示演練覆蓋率和未演練信息系統名稱。

（2）日常安全作業

運維人員大量例行性工作與信息安全有關，包括定期修改操作系統密碼、補丁升級和定期升級防病毒軟件、入侵檢測等安全產品特征庫等，例如定期修改密碼、更新病毒庫、更新安全設備特征庫等，這些工作統稱為日常安全作業。與變更不同，例行性安全作業每次執行不需逐級審批。

日常安全作業模塊將實現安全作業計劃類型的自定義、作業計劃的創建、按預設規則調度和執行結果分析展現。根據前述平臺定位，滿足預設條件時，日常作業模塊通過API接口向IT流程管理系統相關參數，流程系統生成工單。相關崗位人員在流程系統處理后，安全管理平臺定時讀取工單完成狀態和完成時間。日常安全作業處理流程如圖7所示。

安全作業模塊實現了日常安全維護作業的自動化、流程化、規范化、常態化，形成了全網、各系統和各崗位安全作業數量、安全作業完成率和完成及時率等數據，為人員工作考核提供數據支持。圖8展示了某信息系統安全作業統計結果。

圖7 日常安全作業處理流程

圖8 安全作業統計

（3）安全態勢指標

安全是難以簡單描述的復雜問題，它的術語和概念略顯晦澀，成為理解它的一道天然屏障，而可供使用的安全數據，在數量和范圍上也給管理者極大的挑戰。態勢展現通過對事件的處理和量化，再綜合其他的一些因素，實時展現當前安全狀態，然后再以圖形化的方法將它表達出來，讓安全管理員在最短的時間感知到網絡安全的程度[3]。

為了對全網信息安全態勢進行精確的評價，驗證已采取技術防護和管理措施的有效性，便于持續改進，信息中心構建了民航電子政務信息安全態勢指標體系，在安全管理平臺中設計實現了相應模塊，通過該模塊對全網信息安全態勢進行相對科學的定量計算，圖9展示了安全指標界面。

圖9 安全指標界面

信息安全態勢關鍵評價指標體系的構建，首先要運用頭腦風暴法與魚骨分析法確定信息安全評價目標及指標類型；然后按照KPI方法選取一級關鍵評價指標，一級關鍵評價指標依次生成下一級關鍵評價指標，按照德菲爾法與層次分析法比較每級關鍵評價指標之間的相對重要性，確定每個關鍵評價指標權重；其次根據經驗法設定關鍵評價指標基線；最后分別評審各級關鍵評價指標、權重與基線[4]。

安全態勢指標體系由安全和技術兩類一級指標，網絡安全、主機安全、終端安全、應用安全數據安全等十類二級指標，及40個三級指標構成。三級指標值由指標基礎數據測算而得，基礎數據預處理得到指標量化值，由指標量化值進一步標準化處理（即無量綱化處理）得到指標值[5]。基礎指標來源于對安全管理平臺形成的基礎數據以及對基礎數據進行無量綱化預處理（nondimensionalize），通過無量綱化處理的數據映射到安全指標庫。對于簡單、靜態基礎指標的預處理，采用運用頻次法、比率法等計算法來量化，以安全管理制度符合率指標為例，指標得分=符合率。影響因子復雜的指標需要考慮資產價值、系統等級保護級別等多方面因素進行計算，以服務器配置核查指標為例，指標得分為

5 平臺部署

民航局電子政務外網安全管理平臺部署于民航局信息中心機房，基于民航局虛擬化環境運行，共兩臺虛擬機分別承擔數據處理和日志采集服務，其中數據處理分析器8核CPU、16G內存，2T存儲空間，日志采集服務器4核CPU、8G內存，512G存儲空間。服務器使用國產中標麒麟操作系統，數據庫基于開源MySQL數據庫進行性能優化的MariaDB。

目前安全管理平臺已經投入試用，對200多臺IT設備日志進行統一采集,高峰時段每秒實際采集和處理日志近700條。平均日發現各類攻擊事件4萬余次，攻擊源IP地址來源國內外多地區，其中針對民航局政府網站、飛行標準監督管理系統、飛行維修人員執照系統和民航局域名解析服務器的攻擊較為集中，攻擊類型主要是XSS、SQL注入、Webshell和各類DoS攻擊。

6 總結和展望

通過民航局電子政務外網安全管理平臺建設，搭建起技術和管理之間的橋梁，提高安全事件監測預警能力，掌握安全整體態勢，提升信息安全量化評價水平和決策支撐能力，實現信息安全工作落實的常態化和流程化，使得信息安全工作關口前移，提高民航電子政務外網信息安全整體水平。在民航局領導下，未來信息中心將繼續加強安全管理平臺建設和研究，面向民航各級行政機關豐富和細化平臺功能，提高大跨度時間的安全事件分析性能，進一步提高監測、保障、管理和量化能力，為民航電子政務持續健康發展提供強有力的安全支撐。

[1]李剛．民航信息系統安全“飛行”的背后[J]．中國信息安全, 2010

[2]YiNiu,QuanjuZhang,QiLunZheng,etal．Securityoperationc enterbasedonimmunesystem[C]．ComputationalIntelligenceandSecu rityWorkshopsInt．Conf．2007：97-103．

[3]徐茹枝, 郭健, 白瑾．電力信息安全監測管理中心數據采集層的研究[J]．華北電力大學學報(自然科學版), 2010．

[4]黎筱彥,王清賢,楊林．網絡安全態勢指標體系及可視化技術研究[A]．第四屆中國計算機網絡與信息安全學術會議(CCNIS2011)論文集[C]，2012．

[5]鄒慶,劉毅，王皓然．基于KPI的電力信息安全態勢評價指標體系研究[J]．電力信息化，2012．

[6]GB/T 31495．3-2015．信息安全技術．信息安全保障指標體系及評價方法．第3部分：實施指南[S]．