面向政府信息系統的網絡安全風險評估服務

◆孫蕊剛 高 瑞 魏玉峰

面向政府信息系統的網絡安全風險評估服務

◆孫蕊剛 高 瑞 魏玉峰

（陜西省網絡與信息安全測評中心 陜西 710065）

我國電子政務產生于20世紀80年代，經歷了2006年“電子政務務實年”的快速推進，已經開始逐漸成熟，可是隨著網絡的逐漸普及以及部分政府信息系統設計的不規范，導致暴露在外界的安全風險日益嚴峻，該文通過研究現今政務系統安全風險，對系統的風險評估服務提出了一些建議，希望能起到拋磚引玉的作用。

政府；信息系統；安全風險；風險評估

1 引言

1.1 政府信息系統所處的敏感地位，防護手段不規范，導致安全風險日益擴大

電子政務系統作為我國政府在網絡上的門戶，承載著眾多的企業和個人的隱私數據，而且因為影響較大，導致黑客都聚集于此。由于政府信息系統是非營利網站，所以不能向一般的企業那樣花費大量的精力物力去開發維護，導致政府信息系統設計較為薄弱，而且由于政府信息系統的設計大多都是由外界組織所完成，“交鑰匙工程”現象仍然存在，導致系統業務和安全不能有效結合，粗放型的管理體系不能與安全管理工具互相支撐，最終業務系統的功能性和安全性不能達到預期目標。

1.2 我國的內外網存在通路，安全區域邊界不清楚

我國的電子政務網主要由電子政務內網、外網、專網構成，這些網絡從建設初期就缺少統一規劃，對各個網絡的重視程度存在差異，內外網絡數據交換不明確，致使外網部分業務存在打通內網的通道，黑客可以利用這些跳板，對整個網絡系統造成危害。

基于政府信息系統地位的特殊性和本身存在的脆弱性，本文研究了具有針對性的風險評估服務過程，希望能對讀者有所幫助。

2 政府網站類型和常見的安全風險種類

2.1 政府網站類型[2]

目前我國的政府網站主要是內容發布類、政府辦公類和政務服務類三種，可以結合這三種網站和遭受的安全風險進行針對性防護。

（1）內容發布類網站

此類網站是政府網站最常見的種類，主要用于發布政府的政策文件和支撐政務公開工作，同時會提供查詢、留言、互動等功能。此類網站會有少量的系統管理員，通過管理后臺，提供刪除、修改、增加、審核等操作。

（2）政務辦公類網站

政務辦公類網站主要提供具有特定辦事流程的功能，典型的有政府的OA系統、面向特定業務組織的系統等。政務辦公類網站通常只有登錄界面可以被訪問，其余的操作功能都需要登錄后才能實現，每個用戶可以扮演多種角色，涉及不同的權限級別。

（3）政務服務類

現在的政務服務類網站主要是政務服務平臺，政府網站將大多數辦事指南進行整合，進行統一管理，方便群眾查找和辦理，群眾可以在此平臺上實現足不出戶的咨詢服務和只跑一次的辦事服務。但是相對的此平臺也會涉及公民的個人信息，比如手機號、身份證號、家庭住址等等個人隱私信息。

2.2 常見的安全風險種類

（1）注入漏洞[2]

注入漏洞最常見的，危害最大的就是SQL注入，當攻擊者將代碼在輸入層輸入時，系統未經識別就執行此代碼，從而會發生諸如暴露出數據庫信息、修改數據庫信息等安全事件。對于政府網站來說，只要存在輸入信息進行數據庫搜索的事件，就可能會有注入漏洞。

（2）跨站腳本攻擊漏洞

此漏洞也叫XSS，大致分為三種：存儲型XSS、反射型XSS、和DOM型XSS，一般都是由于用戶對輸入參數不過濾導致調用JavaScript庫產生的。XSS漏洞很常見，百度、Google等都存在，具有傷害范圍廣、危害程度大等的特點。

（3）后臺管理地址泄露和身份認證缺陷漏洞

此漏洞最常見于政務辦公類網站，后臺管理地址的泄露會導致攻擊者用網絡嗅探、暴力破解等的方式用管理員的身份進入系統后臺，而身份認證的缺陷則會加劇此漏洞被利用的成功率，攻擊者用管理員的身份進入系統后臺后，會暴露其余安全管理員的個人信息，在經過后臺審計功能后可以看到用戶的操作過程，還會有修改系統、植入病毒等的可能。

（4）安全配置錯誤

Web開發框架、應用程序、數據庫、操作系統等中間會有很多的安全配置需要設置，初始的配置并不是安全的，需要管理員重新配置并且定期檢查。安全配置方面的漏洞可能會使攻擊者有機可乘，輕者會導致信息泄露、篡改，重者會導致系統被攻擊者控制。

3 風險評估服務

3.1 風險評估定義

在信息安全領域內，風險就是代表資產存在的脆弱性，當此風險被利用了之后對資產造成影響的可能性。風險管理是一個識別、控制、降低、消除風險的過程[1]。在GB-T20984-2007[4]信息安全風險評估規范中對風險評估的定義是：信息安全風險評估就是利用風險安全管理的手段，科學完整的分析系統所面臨的威脅和本身存在的脆弱性，當風險發生時會對系統造成的影響，提出具有針對性的整改措施，將風險控制在可以接受的范圍之內。

3.2 風險評估過程

第一階段是項目開始前的準備階段[3]，具體包括（1）制定項目的實施計劃：評估的對象、時間、范圍、人員等；（2）召開項目啟動會：參加的人員包括項目的甲乙雙方，雙方組織的負責人，就項目開展的前期工作計劃和后期工作安排進行大概的梳理；（3）搜集信息：搜集評估對象的具體信息，包括資產情況、網絡邊界、需要調查問卷的信息等。

圖1 風險評估服務工作流程

第二階段是識別階段，具體包括（1）資產評估，第一步是資產分類（具體的資產分類見表1）；第二步是資產賦值，具體包括對資產的機密性、完整性、可用性的賦值和資產重要性等級的劃分；（2）威脅評估，具體有威脅的識別和賦值，根據威脅出現頻率的大小分為高危、中危和低危；（3）脆弱性識別，也叫弱點識別，根據官方的準則或者行業默認的規則，以組織的安全性為前提，對系統存在的脆弱性進行客觀的、準確的安全評估，然后根據不同的等級對脆弱性進行賦值，本文提供了一種賦值的方法（賦值方法見表2），為讀者提供參考；（4）評估安全控制措施，具體就是對已有安全措施的安全性進行調查，保持可以將風險控制在可接受范圍內的安全措施，對不適當的安全措施進行替換或者修改，確保安全措施可以有效防護或者預防安全風險。

表1 資產分類

表2 脆弱性賦值表

第三階段是分析階段，具體有（1）將搜集到的信息進行分析，形成文檔；（2）脆弱性分析，對上一階段搜集到的網站脆弱性進行分析，并且按照脆弱性程度分等級；（3）威脅分析，根據上一階段的鑒別結果，對系統可能受到的威脅進行量化整理；（4）已有安全措施分析，將系統已有的安全措施結合安全性進行綜合考量；（5）風險分析，根據風險計算原理和分析出來的脆弱性、威脅和資產的重要性計算系統的安全風險值；（6）形成完整報告。

第四階段是項目驗階段，具體是（1）項目成果匯報；（2）項目驗收。

4 結論

本文通過研究政府信息系統的背景和現狀，匯合政府網站的種類和常見的安全風險，提出了一套科學的、完整的風險評估方法，希望可以將安全風險降低在可接受的范圍內，為我國電子政務工作保駕護航。

[1]李瑞峰，王建功.鐵路信息系統安全的風險評估與管理分析[J]. 信息記錄材料, 2019（11）.

[2]趙弘洋，李丹.“互聯網+政務服務”背景下政府網站安全風險研究[J].電子質量, 2017（06）.

[3]李劍，陳秀波，田華.針對政府網站的層次結構風險評估模型[J]. 信息網絡安全, 2009（12）.

[4]GB-T20984-2007《信息安全風險評估規范》.