關于網絡安全事件應急響應聯動系統的研究

杜媛媛

摘 要：近年來，隨著智能手機和互聯網的普及，網絡安全越來越受人們的重視。為了應對各種突發的安全事件，人們設計出應急響應聯動系統。文章通過研究應急響應聯動的基本理論、框架構成，闡述了系統的運行過程以及應急響應聯動系統在實際事件中的運用。

關鍵詞：網絡信息安全；應急響應；聯動系統

隨著互聯網對各個領域的滲透，我國的網絡安全防護任務越來越重。從20世紀90年代至今網絡信息安全可分為4個階段的發展過程，即通信安全、計算機安全、網絡安全、內容安全。在這4個階段中，前兩個發展階段屬于運行安全方面—OPSEC。而對于網絡基礎設施與信息的保護則稱之為物理安全—PHYSEC。隨著網絡的發展，隨后又提出了內容安全—CONTSEC，其目的是為了解決信息利用方面的安全問題。為了應對日益增加的網絡安全事件，網絡安全對抗必須進一步的細化以及升級。在此背景下，應急響應聯動系統的建立尤為重要，因為通過系統的建立，可以提高政府對各種網絡安全事件的解決能力，減少和預防網絡安全事件造成的損失和危害。因此目前對應急響應及聯動系統的基礎理論、框架構建、技術操作方面的研究尤為重要。

1 應急響應的基本內容

1.1 應急響應系統的建立

為應對網絡安全事件發生，事前準備工作或事后有效措施的實施便是應急響應系統建立的目的。應急響應系統包含5個步驟。

（1）管理。即組織對事情發生前后人員之間的職能劃分。

（2）準備。對于各種網絡安全事件提前制定的一些應急預案措施。

（3）響應。網絡安全事件發生后進行，系統對事件進行安全檢測有效防止系統信息進一步遭到破壞，并對已受到破壞的數據進行恢復。

（4）分析。為各種安全事件的應急預案提供調整的依據，提高防御能力。

（5）服務。通過對各種資源的整合為應急響應對計算機運行安全提供更多的有力的保障。

1.2 應急響應系統建立必須遵循的原則

（1）規范化原則。為能保證應急響應系統有效策略的實施，各個組織都應該建立相應的文檔描述。任何組織應急響應系統應該有清晰和完全的文檔。并有相關的規章條例保證系統的有效運行。組織成員作為應急響應系統的服務者必須遵守相關的條例，也可以寫入工作職責來保證系統的有效運行。

（2）動態性原則。信息安全無時無刻不在發生變化，因此各種安全事件的復雜性使得應急響應策略的制定更加具有難度。為了完善應急響應策略就必須注重信息安全的動態性原則，并對策略實時作出相應調整。

（3）信息共享原則。應急響應過程中，系統會提供大量可能與安全事件無關的信息，如果提高應急響應系統中重要信息被發現的可能性，在信息提取過程中，信息共享是應急響應的關鍵，應該考慮將信息共享的對象與內容進行篩選，交叉分析。

（4）整體性原則。作為一個系統體系應急響應的策略具有整體性、全局性，應該在所有的互聯網范中進行安全防護，不放過任何一點的細節，因為一點點的疏漏都會導致全網的癱瘓。整個應急響應策略體系除了要從技術層面考慮問題也要從管理方面著手，因為管理問題而導致的安全事件更為嚴重。因此，制定管理方法時要投入更多的精力來進行統籌安排，既要完善管理方法，也要注重技術層面。

（5）現實可行性原則。通過判斷應急響應策略是否合理性來衡量是否在線上具有可行性。

（6）指導性原則。應急響應系統體系中的策略并非百分之百的解決方案，對組織而言，它只是對于處理網絡安全事件方法進行一定的指導，而對整個組織工作也只是提供全局性的指導。

2 應急響應系統體系的總體框架

如果對應急響應系統體系進行劃分，可以將其劃分為兩個中心和兩個組。

（1）兩個中心。應急響應中心與信息共享分析中心。應急響應系統體系的關鍵是信息共享分析中心。它主要負責的是對中心收集來的各級組織的信息進行交換和共享，并對整個網絡作出預警或者事件的跟蹤，并對收集來的信息進行整理。而應急響應中心的任務則是對系統體系預案進行管理，通過對信息共享分析中心各種信息安全事件的分類分析并進行應急響應。

（2）兩個組。應急管理組及專業應急組。應急組對整個事件進行全局性指導，并協調各個機構，指導各個組織成員對事件進行應急策略的制定。在各類安全事件發生的過程中，應急響應與救援處于一個重要的環節，而專業應急組是環節的關鍵，是實現信息安全保障的核心。通過應急組的響應迅速使網絡系統得到恢復。

3 應急響應的層次

“八方威脅，六面防護，四位一體，應急響應”這句話形容的則是應急響應體系的整個工作過程。

（1）“八方威脅”是指應急響應系統中的網絡安全事件。而根據事件的危害程度對其進行編號的話，1類為有害程度最輕的事件，8類則最為嚴重，儼然一場網絡戰爭。而且一般的安全事件都不是單獨發生的，通常許多事件都是緊密聯系環環相扣。

（2）“六面防護”防護是指技術層面的防御，主要是風險評估、等級保護、入侵檢測、網絡監審、事件跟蹤和預防6個方面。

（3）“四位一體” 主要是指各個小組的組織保障體系，如應急組、專業組、組織協調機構、專家顧問組。

（4）應急響應。應急響應系統的核心為應急響應的實施功能。應急響應系統通過對網絡安全事件的目標進行分類并分析，通過對事件的判斷進行事件分級，制定具體的預案或措施，并有通過各個小組進行信息發布實施，并有技術組對系統進行恢復重建和應急管理，保證目標的信息系統安全。

4 應急響應體系的周期性

通過應急響應系統的工作，分析應急響應聯動系統在網絡安全事件中可能具有生命周期性。網絡安全事件的生命周期從風險分析開始，一般的風險分析包括網絡風險評估和資源損失評估等。對風險分析進行正確有效的分析有利于高效率的應急響應。為了這一階段響應過程的順利進行，需要制訂安全政策以及各種應急響應優先權的各種規定。安全工具與系統、網絡配置工具，使網絡的安全性與可用性兩者之間處于平衡狀態。在檢測階段，通過各種手段收集信息，利用系統特征或IDS工具來預測安全事件的發生。之后響應階段，利用各種手段抑制、消除安全事件并進行有利反擊。最后在恢復階段對受到攻擊的對象進行恢復，使其恢復到事件發生之前。網絡安全事件的周期性更全面，更實際地概括了應急響應系統的工作過程。

5 應急響應體系的聯動性

（1）“六面防護”的聯動。 首先由風險評估對網絡安全事件作出安全評估并確定其“威脅”等，再由等級保護進行措施制定，對其入侵的主體進行入侵檢測確定威脅漏洞所在，再通過網絡監審發現安全事件并進行事件跟蹤再由事件跟蹤對其事件進行分析，并通過預防對響應策略進行調整，并分析防御的有效性。

（2）“四位一體”的聯動。聯動的主要目的是為了應急響應系統的有效運行，因此應急組、專業組、組織協調機構、專家顧問組之間就要努力做好協調工作。組織協調機構主要負責總體的協調工作，應急組與專家顧問組主要負責對網絡安全事件的應急處理工作，同時應急組還承擔著對突發的安全事件進行信息收集，分析以及信息上報的工作，并對組織協調機構提出的相關事件的應急預案或者保護措施進行執行的工作。

（3）應急響應的聯動。作為應急響應系統的核心，應急響應實施功能通過信息發布，在應急預案或保護措施實施過程中，對事件的發展情況、處理進程進行全程跟蹤。尤其是在事后對事件進行跟蹤分析，從而進行恢復重建，排除事件對系統產生的威脅。除了對事件進行全程跟蹤外，作為核心，還應對相關的應急資源進行協調，做好應急管理工作。

6 結語

隨著信息技術革新速度加快，各種網絡安全事件層出不窮，并越發復雜。由于人類精力有限，網絡漏洞的出現也就無法避免。計算機系統的復雜性、動態性也決定解決網絡安全事件不能只靠經驗技術，它更需要各個方面的應急響應聯動。在應急響應聯動系統體系建立過程中，不但要把網絡安全作為首要任務，而且要注重系統的不斷更新完善，隨時隨地發揮系統的作用，即使發生重大突發事件也可以從容不迫。