基于模糊集的高校網絡安全等級保護體系研究

林志興 張武威 余 建 劉孫發 許 力

1(三明學院網絡中心 福建 三明 365004) 2(福建師范大學數學與計算機科學學院 福建 福州 350007)

0 引 言

隨著高校信息化發展水平不斷提高，教育教學系統和日常管理對信息系統的依賴程度也越來越高。與此同時高校的信息系統所面臨的安全風險也與日俱增。為提高高校信息系統的抗風險能力，按照相關法律、法規、文件要求，結合高校信息化發展實際，實施高校信息系統安全等級保護工作。2019年5月，等保2.0[1]的發布，讓等級保護工作更顯重要。新等保2.0中，要求變被動防御為主動防御，變層面防御為綜合防御、縱深防御。但如何適應2.0下的新體系的測評工作[2]，已成為許多學者迫切需要研究的課題。目前用于信息系統安全等級測評的方法有很多種，張湛等[3]采用層次分析法對測評對象進行模塊化分層分析，以可視化的方式展現出安全差距，讓業主參與針對性的整改，以最小的成本完善和加固系統的安全；方舟等[4]采用粗糙集神經網絡對信息系統建立測評指標的量化決策表，通過屬性約簡后的數據樣例進行B-P神經網絡的訓練來完成對等保測評；黃洪等[5]利用故障樹對系統中存在的安全風險進行分析，通過最小割集轉化成推理規則來判斷信息系統的脆弱性并計算出其風險值,最后將結果作為信息系統安全等級測評依據。上述方法雖說都較好地給出了測評對象的測評結果，但在過程中卻缺少測評對象的指標體系，同時更是缺少了安全控制點指標，對信息系統的測評不能給出較為讓人信服的數據。目前安全等級測評有定性法、定量法和定性與定量相結合法[6]。測評的方式有模糊綜合評價法、算術平均法、風險權值法等。由于等級測評是一個動態的過程，存在多次測評和整改的工作，為了客觀地反映出測評工作對安全防護整體評價，本文采用模糊綜合評判決策方法[7]進行評價。通過建立基于一致性準則的網絡安全等級評價模型，分析各個一級指標下的安全控制點權重和關聯度，從而判定該信息系統的測評符合性程度，并給出實際的測評結果。

1 信息系統安全等級保護的測評指標體系

1.1 等保2.0下測評指標構成分析

在等保2.0中，《網絡安全等級保護基本要求》[8]對各被測評的信息系統的安全功能和措施做出了具體要求，等保1.0更多地關注系統、人員、物理環境的安全，而等保2.0的保護重點已經變更為圍繞數據、網絡、系統、人員的網絡空間體系的安全。它強調了安全運維的概念：在傳統的資產管理、設備運維的基礎上，將安全運維的范疇擴充到了安全事件的響應和高級安全威脅的發現，如果考慮到定期的審計和有效性驗證，安全運維的范疇將進一步擴充。由于等保2.0新增了工控、大數據、云計算等應用領域，因此需在原標準GB/T 22239—2008的基礎上進行修訂，新修訂的辦法需滿足網絡安全的可擴展性和可靠性。

《網絡安全等級保護基本要求》《信息系統安全等級保護測評要求》[9](以下簡稱等級測評)《信息安全風險評估規范》[10]《信息系統安全等級保護測評過程指南》[11](以下簡稱測評指南)明確要求：信息系統的數據在處于聯網狀態下被傳送、處理等的環節上不能被盜取、損壞,或未經授權使用其數據，這類信息安全標識記為S；信息系統的正常運轉，在未經授權的情況下對系統進行破壞，從而導致業務系統癱瘓的安全保護標識記為A；一般類安全保護標識記為G。表1為信息安全測評指標統計表。

表1 信息安全測評指標統計表

參考《測評指南》《等級測評》中的安全測評指標，以及公安部信息安全等級保護相關要求，網絡安全中有7個控制點(評價指標)作為等級測評的基本指標[12-13]，信息安全測評控制點指標構成如表2。 將待測評信息系統的測評項分為3個安全面指標，其后面的二級指標再劃分出至少5個控制點指標值。設待測評信息系統的安全層面指標為C={C1,C2,C3}，設二級安全控制點指標為C1={C11,C12,C13,C14,C15,C16}。例如:“網絡安全層面指標”中“網絡架構”為C11，“訪問控制”為C12，如表2所示。

表2 被測評系統中測評控制點指標構成

1.2 測評指標結構模型

基于信息安全測評指標統計列表中安全分類，同時對表2中測評基本指標點進行分析?？梢钥吹剑瑢嶋H上信息安全測評由多個安全層面的測評指標和安全控制頻數指標構成。模糊集理論可以在網絡測評中起到一種決策性作用[14-15]，其本質是運用概念模糊理論對未確定的事物進行研究，并通過矩陣模型將其量化成電腦可以顯示的信息。本文將模糊綜合評判決策方法用于信息系統的測評，方法過程如下。

1) 根據對等保測評指標的構成分析，將測評對象劃分為：物理和環境安全C1、網絡和通信安全C2、設備和計算安全C3、應用和計算安全C4共四個主因素，Ci={Ci1,Ci2,…,Ci4}，其中：i=1，2，3，4；Cij為測評因素下的二級因素，j=1，2，3，4。由此構成了測評對象安全等級測評因子C={C1,C2,C3,C4}，即滿足C=C1∪C2∪C3∪C4。

2) 采用四級定量化的測評模式，構建測評評判等級{v1，v2，v3，v3}={優秀，良好，一般，較差}，其中：v1=1，v2=2，v3=3，v4=4。

3) 根據Ci={Ci1,Ci2,…,Ci4}和評判集V={v1，v2，v3，v4}，得到網絡安全等級測評Ci的單因素測評矩陣。

式中:rijk表示主因素Ci中的子因素j被測評中心評為Vk時的頻率，k=1,2,3,4。

4) 由安全控制點指標的權重wi=(wi1,wi2,…,wij)，結合主因素Ci的單因素評判矩陣Ri，可以得到各主因素Ci的評價向量Bi=wiRi=(bi1,bi2,…,bi4)。

5) 由安全層面指標權重W=(w1,w2,w3)，得到由各主因素Ci評價向量所組成的主因素評判矩陣A，最后總因素C的評價向量為R=WA。

7) 評定待測評對象P的等級，按最大隸屬度原則，取Kj=max{kj(P)}(j=1,2,…,m)，則測評對象的等級為第L級。

8) 修正后測評，在進行第一次測評后，用戶根據差距分析對被測評對象進行修正后，再次對測評對象進行測評，確定測評對象關于不同等級j的綜合關聯度為：

式中:Cj(P)為待測評對象第L級(即“身份鑒別”等指標)的綜合關聯度；wr為“網絡和通信安全”等層面指標Ci的權重值。

9) 考慮測評中心安全評判集V，則某單位的測評對象等保評價結果為F=Cj(P)。

結合以上步驟，根據等級保護評價的符合性準則，給出了等級保護評價的結論值和系統測評具體分數。等級測評結論分別為 “優秀”“良好”“一般”“較差”。得分情況為：

式中：P為被數測評對象的總測評項數;m(k)為對應的測評對象數。

判定及綜合計算模型見表3。

表3 等級測評結論判別依據

可以看到，測評結果打破了60分合格的底線，判定依據更加科學化。

1.3 測評指標權重

1.3.1計算方法

1) 計算網絡安全層面指標的權重系數。

(1)

式中：μj為評價對象指標權重系數值；fjl為矩陣安全控制點向量元素；λl表示安全控制點對應的特征值；m為安全控制點數量。

2) 設wj為各指標權重值，則：

(2)

(3)

1.3.2各級指標權重計算

按照網絡和通信安全、設備和計算安全、應用和計算安全、物理和環境安全等一級指標的分類，分別進行二級指標權重值的計算(選取網絡和通信安全項C1)。然后計算網絡和通信安全、設備和計算安全、應用和計算安全、物理和環境安全等指標Chi的分值，具體公式為:

(4)

式中：Wij為二級指標權重系數；Cij表示二級指標的分值；h為總指標數；i為一級指標數量；j為二級指標數量。

最后將Chi二級指標得分情況代入權重計算公式，分別計算出它們的權重，以網絡和通信安全項為例的計算結果見表4。

表4 網絡和通信安全項C1測評指標權重分布及控制點測評矩陣表

2 實 驗

2.1 實驗架構拓撲

為了驗證該模型，以圖1所示的某大學安全系統為例，可以看到其等級保護的拓撲中共分為五個區域，分別是教育網防御區、校園網出口外聯區、數據中心、核心交換區、接入區。選取數據中心的某個業務進行信息系統安全等級測評測試研究，在數據中心區域，接入測試工具，對在虛擬機部署下的某信息系統(測評對象)進行掃描等測試。

圖1 某大學等級保護網絡安全系統實驗拓撲圖

首先設立總體安全測評指參數，如表5所示。根據式(2)計算出各安全控制點的測評項權重，同時，根據信息系統安全等級測評模型，將每個安全控制點分成四個等級，即“優”“良”“中”“差”。二級權重系數為1.0即為優;[0.85,0.99]即為良;[0.75,0.84]即為中，就是“符合”級別;[0.00,0.74]即為差，則“不符合”。

表5 某信息系統總體安全測評指標參數

續表5

某信息系統的測評等級關聯度結果如表6所示，K符合C1=-0.313 2，K基本符合C1=-0.341 1，K不符合C1=-0.301 9。根據最大隸屬度原則，K不符合C1=-0.301 9。因此，該信息系統的測評結果為“不符合”。

表6 安全控制點指標的測評符合度

續表6

2.2 修正后關聯度分析

一般在第一次測評結果為不符合后，用戶會對所測評存在問題的因素進行整改修正，再次評估。根據模糊集評價方法對其一級層面指標進行再次進行測評，得到網絡和通信安全等層面指標的符合度，如表7所示。

表7 各層面指標對各評價等級的測評結果

對其一級指標進行等級關聯，根據最大隸屬度原則，取Kj=max{kj(P)}=-0.189 3，指標P為基本符合，則該系統的測評符合性程度為“基本符合”。

2.3 實驗結果

根據以上對某信息系統運行安全保護狀態的測評，某系統等級三級等保測評結論為基本符合。通過測評模型得到測評項符合率為78.60%，部分符合率為10.70%，不符合率為10.70%。問題數總計13個，其中:高風險問題0個，中風險問題數13個，低風險問題0個。測評分數為85.67分，該大學針對某系統面臨的主要安全威脅采取了相應的安全機制，基本達到保護信息系統重資產的作用。

3 結 語

依據網絡安全等級保護2.0基本要求，構建了網絡安全的測評指標體系和測評模型，包含網絡安全、設備和計算安全、應用和計算安全、物理和環境安全等一級指標和二級指標的信息系統安全等級測評指標體系。本文選擇《基本要求》中對應級別的安全要求作為等級測評的主要因素，分別對各個安全層面中安全控制點進行權重分析。通過模糊綜合評判決策方法以某高校的某信息系統的安全實測對該模型進行實驗驗證，結果證明該方法下某信息系統的整體測評體系完全符合等保2.0下的測評要求。隨著網絡安全工作不斷深入，《網絡安全法》中明確各個單位應依照相關標準實施信息安全等級保護測評工作，因此本文對加強信息系統等級保護測評工作具有較強的實際意義。