基于等級保護思想的網(wǎng)絡(luò)安全風(fēng)險評估關(guān)鍵技術(shù)研究

柴志成 貴陽學(xué)院

1 等級保護與風(fēng)險評估關(guān)系分析

1.1 等級保護合規(guī)性評判等級保護測評是對系統(tǒng)確定的安全等級開展合規(guī)性評判，系統(tǒng)的安全等級根據(jù)系統(tǒng)安全級別確定。業(yè)務(wù)信息安全與系統(tǒng)信息資產(chǎn)及其所支持的業(yè)務(wù)密切相關(guān)，資產(chǎn)的保密性、完整性遭受破壞時，會增加系統(tǒng)面臨的業(yè)務(wù)安全風(fēng)險。系統(tǒng)等級保護測評過程可歸納為：（1）對系統(tǒng)的基本情況進行調(diào)查，了解系統(tǒng)的定級要求、資產(chǎn)構(gòu)成、網(wǎng)絡(luò)拓?fù)洹⒅饕獦I(yè)務(wù)以及曾經(jīng)發(fā)生的安全威脅等情況；（2）根據(jù)系統(tǒng)基本情況確定測評對象、測評內(nèi)容和測評指標(biāo)；（3）根據(jù)選定的測評對象和測評指標(biāo)，按照等級保護基本要求和測評要求等相關(guān)標(biāo)準(zhǔn)，對選定的測評對象和測評指標(biāo)逐一開展現(xiàn)場測評；（4）對系統(tǒng)進行單元測評、整體測評和總體安全狀況分析，在進行總體安全狀況分析時，重點考慮在現(xiàn)有安全保障措施情況下，對測試中發(fā)現(xiàn)的安全問題進行風(fēng)險評估。

1.2 風(fēng)險評估方法按照國標(biāo)定義，信息安全風(fēng)險評估是指：依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等屬性評價的過程；也就是評估資產(chǎn)面臨的威脅和脆弱點，以及威脅利用脆弱點產(chǎn)生安全事件的可能性，并根據(jù)安全事件涉及的資產(chǎn)來判斷安全風(fēng)險嚴(yán)重程度。

風(fēng)險評估過程可歸納為：（1）梳理測評對象的資產(chǎn)及其價值；（2）尋找資產(chǎn)存在的漏洞或弱點；（3）識別測評對象可能面臨的安全威脅；（4）根據(jù)理論模型評判測評對象存在的安全風(fēng)險。

1.3 關(guān)聯(lián)分析開展等級保護測評時能評價出系統(tǒng)的資產(chǎn)、重要程度和脆弱性，風(fēng)險評估對信息系統(tǒng)和資產(chǎn)的安全風(fēng)險進行分析，二者之間存在如下關(guān)系：（1）等級保護測評可以作為風(fēng)險評估的基礎(chǔ)，通過等級測評，明確系統(tǒng)資產(chǎn)的重要性和脆弱源。（2）風(fēng)險評估結(jié)果的準(zhǔn)確性和客觀性，與等級保護測評過程所選的資產(chǎn)有關(guān)，資產(chǎn)選取范圍越廣，種類越全，評估結(jié)果越有價值。（3）在開展等級保護測評、風(fēng)險評估過程中，均可采用漏洞掃描、滲透測試、配置核查等多種測評方法，發(fā)現(xiàn)系統(tǒng)資產(chǎn)不同層面存在的安全隱患和漏洞。（4）在檢測對象選擇方面，等級保護測評、風(fēng)險評估所選擇的檢測對象都應(yīng)涵蓋物理環(huán)境、網(wǎng)絡(luò)、服務(wù)器、終端、應(yīng)用系統(tǒng)、數(shù)據(jù)、管理制度和人員等。（5）在檢測流程方面，等級保護測評、風(fēng)險評估的工作流程都可以分為4個階段，分別為準(zhǔn)備階段、方案編制階段、現(xiàn)場實施階段和報告編制階段，但二者在各階段輸出的結(jié)果不同。（6）在檢測內(nèi)容方面，等級保護測評、風(fēng)險評估工作都涵蓋技術(shù)安全檢測和管理安全檢查2個部分；其中，技術(shù)安全檢測主要包含物理環(huán)境安全、通信網(wǎng)絡(luò)安全、計算環(huán)境安全、應(yīng)用安全、數(shù)據(jù)安全等方面的內(nèi)容；管理安全檢查主要包括安全管理制度、安全管理機構(gòu)、安全管理人員、系統(tǒng)建設(shè)安全管理和系統(tǒng)運維安全管理等方面的內(nèi)容。

2 資產(chǎn)分類及價值量化分析

2.1 資產(chǎn)分類鐵路信息系統(tǒng)中包含大量的軟硬件資產(chǎn)。硬件資產(chǎn)有主機設(shè)備、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等，這些資產(chǎn)可以通過網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、連通關(guān)系、安全策略等進行關(guān)聯(lián)；軟件資產(chǎn)有應(yīng)用程序、數(shù)據(jù)、文件等，這些資產(chǎn)如果保護不當(dāng)，暴露其脆弱性，遭受攻擊者攻擊。按等級保護測評時選擇的測評對象，可劃分為硬件資產(chǎn)、軟件資產(chǎn)、數(shù)據(jù)資產(chǎn)、制度資產(chǎn)、人員資產(chǎn)、物理資產(chǎn)等類型。

2.2 資產(chǎn)價值量化分析資產(chǎn)價值可以從3個維度考慮：（1）系統(tǒng)自身的安全等級以及系統(tǒng)處理業(yè)務(wù)的重要程度，即系統(tǒng)維度；（2）資產(chǎn)在系統(tǒng)中的重要程度以及資產(chǎn)自身的購買成本和維護成本，即資產(chǎn)維度；（3）資產(chǎn)的機密性（Confidentiality）、完整性（Integrity）、可用性（Availability）受到損害時對業(yè)務(wù)運營的負(fù)面影響程度，即CIA屬性維度。

3 資產(chǎn)脆弱性分析

脆弱性是資產(chǎn)中存在的薄弱環(huán)節(jié)，若被威脅利用將對系統(tǒng)造成損害，是導(dǎo)致安全事件的內(nèi)因。風(fēng)險評估中的一個重要環(huán)節(jié)是脆弱性分析，分析過程劃分為發(fā)現(xiàn)、分類、驗證、賦值4個步驟。有學(xué)者采用基于規(guī)則、基于模型的脆弱性發(fā)現(xiàn)方法；還有Schneier和Moore等人利用樹型結(jié)構(gòu)來表示系統(tǒng)面臨的攻擊；脆弱性分類可以從技術(shù)和管理2個方面進行；脆弱性驗證可以采用滲透測試、仿真測試等方式；脆弱性賦值可以從脆弱點被利用可能性、漏洞修補情況、已有安全措施對脆弱性的修正程度等方面進行綜合考量。

4 網(wǎng)絡(luò)安全威脅判定

威脅也可稱為破壞或攻擊。鐵路信息系統(tǒng)的安全威脅來自多方面，可能是環(huán)境帶來的，也可能是人為造成的，或是設(shè)備自身損壞原因產(chǎn)生的。威脅一般不能對系統(tǒng)造成直接影響，只有在利用資產(chǎn)存在的脆弱性后才能引發(fā)安全事件，對資產(chǎn)具備潛在的破壞作用，是引起安全事件的外因。

5 安全風(fēng)險評估模型建立

信息系統(tǒng)安全風(fēng)險由安全事件發(fā)生的可能性L及安全事件造成的損失對組織的影響F確定，其中，L取決于威脅發(fā)生的頻率與脆弱性大小，F(xiàn)取決于資產(chǎn)價值與威脅影響范圍及程度。根據(jù)上述分析，可以建立如圖所示的安全風(fēng)險評估模型。

6 結(jié)束語

主要從兩個方面對風(fēng)險評估關(guān)鍵技術(shù)開展研究：（1）完善了GB/T20984標(biāo)準(zhǔn)中對資產(chǎn)、威脅、脆弱性3要素的識別范圍和賦值方法，識別粒度更細(xì)，賦值所考慮的因素更貼合實際情況；（2）將網(wǎng)絡(luò)安全的等級保護與風(fēng)險評估2種方法進行融合，使得在網(wǎng)絡(luò)安全實際測評工作中，既能判別評估對象是否安全合規(guī)，又能研判其面臨的安全風(fēng)險嚴(yán)重程度。從理論角度看，該方法是合理可行的，但其效果還需在實踐工作中加以檢驗。