一種風險評估和等級防護相結合的信息風險預測系統

任 貝 貝

(上海市網絡技術綜合應用研究所 上海 200233)

0 引 言

隨著互聯網技術的不斷發展，網絡系統應用于社會的各個方面，但是信息安全問題日益突出，公司緊緊依靠單一的病毒防護軟件無法安全有效地保護系統內部信息資產的安全。風險評估技術已廣泛應用于信息系統安全風險檢測過程中，許多單位已建立完善的風險評估體系，風險評估已成為部分單位信息安全工作的重要措施之一。隨著《中華人民共和國網絡安全法》的正式實施，國家對實施網絡安全等級保護的要求日趨嚴格，相關主管部門對實施等級保護測評工作也越來越重視。因此，如何保證在等級保護測評中真實地反映信息系統存在的信息安全風險，成為等級保護測評中一個非常迫切的需求[1]。

為了對信息安全進行行之有效的保護，設計了一種基于風險評估和安全等級相結合的網絡信息保護平臺，整個平臺通過建立信息資產風險庫，將信息資產進行風險等級劃分。通過對網絡內的所有信息數據進行檢測，及時測算每個系統的風險概率，對風險等級高的系統提出預警和提出改進建議。

1 信息系統安全測評理論研究

1.1 風險評估

信息安全風險評估是以信息資產為核心，鑒別存在的脆弱性以及可能利用脆弱性的威脅。結合現有的安全措施，分析存在的安全風險，并選擇切合實際的安全措施，使安全風險降低到組織可以接受程度的過程。風險評估貫穿于信息系統的管理、操作及維護過程中，評估人員要獲得充分的、可靠的、有關的證據[2]，以有效完成評估目標。同時，對獲取的證據進行合理、準確地分析和解釋，以支持評估結果和結論。

風險評估過程涉及的關鍵要素包括資產、脆弱性、威脅、風險、安全措施等[3]，各要素之間存在密切的相互聯系。風險評估要素關系模型如圖1所示。

圖1 風險評估要素關系模型

1.2 等級保護

等級保護指對國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統分等級實行安全保護，對信息系統中使用的信息安全產品實行按等級管理[4]，對信息系統中發生的信息安全事件分等級響應、處置。它是國家信息安全保障的基本制度、基本策略、基本方法。

根據信息系統重要程度，結合受損害的客體及損害程度確定了等級保護定級原則，共為五個等級：第一級為自主保護級；第二級為指導保護級；第三級為監督保護級；第四級為強制保護級；第五級為專控保護級[5]。

1.3 兩者關聯的必要性

信息系統中包含著大量的公司機密代碼，因此成為了大量黑客和病毒的攻擊對象。多年實踐證明依靠單一的防御手段無法保證在新型攻擊來臨之時起到有效的防護作用。而且由于一個公司系統業務流程比較復雜，因此系統需要維護的部分各不相同。不同的部分在系統中的作用不同，需要防護的手段和流程都不相同，系統中的每一個部分的維護都需要進行科學化分析[6]，因此需要根據不同部分在系統中的作用劃分等級。如果對系統中的每個部分按照相同的科學分析方法、相同的資源配置以及同等規格的等級進行風險預防，會對資源造成不必要的浪費，也無法對需要重點保護的系統進行有效的防護。由于在系統的整個生命周期過程中需要不斷地對系統進行風險評估，將風險評估和等級防護相結合可以根據系統部件等級以及風險程度對整個系統的防護資源進行綜合分配，使得整個系統的防護資源利用得到最大化[7]。因此在等級保護測評中合理、有效地應用風險評估手段，顯得尤為重要。

2 系統需求和設計

2.1 功能需求

根據信息系統評估流程以及公司內信息系統的流程劃分，整個信息系統平臺功能圖如圖2所示。

圖2 信息系統平臺功能圖

系統維護模塊主要負責對系統的使用人員進行管理員權限的分配，賬號、密碼的設置以及系統信息的維護。資產庫模塊負責對整個系統的單個模塊進行數據管理，單條數據的增刪改查以及資產庫中的數據維護等功能。風險評估模塊用來對系統中的子系統的風險等級、風險參數以及網絡情況進行檢測，并實時展示該子系統的風險評估參數。風險預警模塊的作用為當某一個子系統面臨高風險的時候會發出警報，并分析風險原因，展示可能應對的風險處理手段。

2.2 性能需求

風險評估軟件在開發的過程中需要具備以下兩個方面的性能需求。

1) 安全性需求：一所公司，尤其是大型公司包含大量的人員信息。人才作為公司無形的資產起著關鍵的作用，因此需要安全保護。數據庫作為系統的一個部分，存儲著公司的審計信息等相關財務信息尤其是和用戶進行交互的公司。比如旅游網絡公司的數據庫中包含大量的用戶信息以及用戶的銀行卡信息，一旦泄露出去將會對公司造成無法挽救的損失，因此系統的安全性能一定要好。

2) 系統性能需求：為了保證用戶的使用感受，需要系統滿足用戶體驗感受最低要求。因此對整個系統提出如下要求：(1) 在響應時間上應保持一定的響應的速度，例如用戶對數據進行添加的時候系統應該在2 s內進行響應；(2) 提供可視化的界面，使得用戶可以對操作系統進行直觀、便捷的使用；(3) 查詢信息的準確性，整個系統要保證展示在用戶面前的每一條信息都是準確的，準確性是一個系統的最低保障需求。

2.3 總體架構及流程

本系統采用ASP.NET技術，瀏覽器使用任意瀏覽器，考慮到各個瀏覽器之間的差異，以IE瀏覽器為標準，操作系統為Windows操作系統，使用IIS作為前端服務器，選擇SQL作為后臺數據庫，前端界面使用HTML語言進行編寫[8]。整個系統的架構如圖3所示。

圖3 系統架構

整個系統按照使用順序進行流程解析，系統使用流程圖如圖4所示。

圖4 系統使用流程圖

從圖4可知，在系統使用過程中用戶首先要輸入賬號、密碼進行身份驗證，身份驗證通過才可以向系統資產名單中對信息資產進行增刪改查[9]。系統數據在錄入的過程中要選擇對應的等級，同時系統會對資產數據庫中的資產進行數據監測和風險評估，并對高風險資產進行預警以及應對方法提示。

3 系統研究與實踐

3.1 維護模塊

系統維護模塊是整個系統的權限管理中心，也可以稱為系統的主界面。整個系統的層次設計結構如圖5所示。

圖5 系統層次設計架構圖

如圖5所示，整個系統平臺劃分為應用層、業務層、日志采集層和審計數據源層4個部分。應用層主要負責界面展示、規則管理(權限管理等)、資產報表管理等。業務層負責根據風險評估和等級防護原則對資產進行分析和管理。日志采集層負責對日志信息進行管理，并且負責將實時采集到的系統信息狀況進行日志記錄。審計數據源層負責數據的存儲、數據管理等。系統維護模塊界面圖如圖6所示。

圖6 系統維護模塊界面圖

3.2 資產風險庫模塊

資產風險庫模塊主要負責對公司內所有的固定資產和非固定資產信息進行錄入、刪除等功能。資產風險路模塊信息界面如圖7所示。

圖7 資產風險路模塊信息界面圖

從圖7可以看出，資產信息的主要錄入內容包括物品名稱、物品使用者、物品的存放地址等信息，并且可以通過物品編號和物品狀態等多種信息對資產進行查詢。

3.3 單個系統分支監控模塊

單個系統分支監控模塊主要對整個系統中的層級進行劃分。比如公司內包含的財務網絡系統可以作為單個模塊來檢測。整個系統的模塊劃分結構如圖8所示。

圖8 系統單個模塊劃分架構圖

從圖8可以看出，整個公司按照層級劃分，總隊監控系統包含監控主機、設備網管平臺等對公司的各個部門進行監控。分監控中心將各個部門的重要設備信息通過分中心監控主機回傳給總隊監控中心，實現了整個系統平臺對一個大公司內部所有的信息模塊進行監控。每一個重要設備就是信息模塊監控的一個分支，總隊監控中心可以統一對單個系統分支的任意模塊監控信息進行查閱。

3.4 風險評估預報及建議模塊

風險評估模塊主要負責將單個模塊的風險評估情況進行輸出和展示。按照等級防護原則對高風險的系統進行預警，預警情況劃分為五個等級：自主保護級系統風險高于85%進行預警；指導保護級系統風險高于75%進行預警；監督保護級系統風險高于65%進行預警；強制保護級系統風險高于50%進行預警；專控保護級系統風險高于35%進行預警，并通過后臺數據庫進行連接展示可能解決該風險問題的手段。

4 結 語

本文為了提高公司信息系統風險抗擊能力，對抗現代互聯網層出不窮的系統攻擊，設計了一種基于風險評估和等級防護相結合的風險等級防護系統。整個系統對公司內所有資產進行錄入管理，通過對公司內信息網絡的監測，根據設備等級進行資產風險評估。現有系統會對有風險的資產進行預警并提出相關的建議，后期可將系統內容進行擴展使得系統可以對常規風險進行自動化處理。