電信網絡風險與策略管理系統框架及功能模塊設計

高 敏，郭長茂

（1.中國電信股份有限公司廣東研究院 廣州 510630；2.中國電信股份有限公司廣東分公司 廣州 510081）

1 引言

隨著信息技術的飛速發展，網絡面臨的風險呈現復雜多變和難以預測的趨勢。電信網絡承擔著大范圍的公眾通信需求，其安全狀況對于社會穩定、人民生活等方面具有重要意義。目前，安全管理、安全防范成為電信運營商重點關注的問題。

安全風險評估、風險管理是網絡安全管理和保障的基礎和手段，但是目前相關的人員素質、管理手段和支撐手段都仍待提高。為了提高電信網絡的安全防護能力，保障網絡安全穩定和可靠運行，加強安全風險評估及管理工作勢在必行。

2 目前風險評估及風險管理工作難點

（1）風險評估過程復雜，評估工作量大

風險評估是指對信息資產在技術、管理等方面存在的脆弱性、威脅、風險發生概率、安全事件影響等安全風險情況進行分析，找出安全風險，有針對性地提出改進措施的活動。

風險評估過程遵循從風險評估準備、風險要素識別、風險分析、風險結果判定的一個標準過程（如圖1所示），比較復雜。

圖1 風險評估流程

嚴格按照流程進行評估，工作量非常大，而且對運維人員的素質要求很高。目前很多評估人員不了解風險評估整個流程，認識比較片面，只做了整個流程中的一兩項，如認為漏洞掃描就是風險評估。還有些人員對復雜流程望而生畏，不知從何著手。另外一個方面，目前評估的內容不完整，比如在評估準備階段，缺少對評估對象的影響分析及風險規避措施制定；在風險要素識別階段，脆弱性只考慮了技術方面沒有考慮管理方面等。

（2）風險動態管理難度大

風險評估并不是孤立的一次工作，特別是運維階段的風險評估工作，需要定期或不定期地多次舉行。風險必須進行動態管理，通過跨時間、跨系統等綜合分析新風險的產生原因和規避措施。但是目前各個網絡和系統不同時期的風險情況分散在不同的文檔記錄中，很難做到關聯和對比分析。

（3）安全策略執行符合度較難評估

安全制度要求提出后，由于要求點較廣，在大規模網絡中評估實際的執行情況，了解風險與策略要求的符合度，存在一定難度且消耗大量人力。而且多個管理部門提出的安全要求和制度，部分有重疊和交錯，如果逐個評估，對應的同一控制措施需要進行多次評估，重復工作較多。

（4）現有支撐手段有限

在電信運營商現有網絡中，一般只部署入侵檢測系統、防火墻、基線檢查工具、掃描器等技術檢測或防御類的系統，這些系統只能提供某一方面的技術檢測結果，缺乏綜合分析、運算和流程管控手段。

因此，隨著安全工作進一步深入，急需建設一套系統專門進行風險的管理工作，完成風險評估計算、風險動態管理、安全策略管理、風險與策略符合性比對等工作。一方面減輕運維人員評估的工作量；另一方面規范評估的過程，保證評估內容完整性和準確性，并且提供多維度關聯、比對和匯總分析。

3 風險與策略管理系統框架設計

本文設計了一種風險與策略管理系統框架，采用風險與安全策略管理相結合的方法，綜合多方面采集數據，建立多維度評估及比對規則庫，實現風險評估計算、風險管理、策略管理等多種綜合功能。

系統基本框架設計分為4個層面，結構如圖2所示。

（1）采集接口

通過數據采集接口，為評估實施和數據比對提供必要的輸入，采集的數據包括企業安全策略要求、安全標準和法規、人工評估結果（調查問卷、文檔檢查、網絡架構等檢查結果數據）、專業工具分析結果（如漏掃工具、基線符合比對工具、入侵檢測系統、防火墻日志、4A平臺、綜合告警平臺等結果數據）、資產數據等。

圖2 風險與策略系統框架

采集采用兩種模式：一種是周期性自動或人工觸發系統間的接口采集；另一種是提供導入或輸入手段給用戶實現人工評估數據或制度等文檔數據的輸入，如調查問卷結果、文檔檢查結果、安全策略文檔的導入等。

（2）評估基本庫

整合采集接口采集的數據，進行數據的抽取、轉換和綜合，在數據層形成評估基本庫。該庫是系統的基礎部分，包括策略集合、威脅集合、脆弱性集合和資產管理4個模塊。

·策略集合：將企業安全策略、安全標準和法規等要求逐點進行分解，細化到可映射到具體的控制要求的顆粒。

·威脅集合：將人工評估和系統導入與威脅相關的檢查結果進行轉換和整合入庫，包括威脅的來源、種類、發生可能性等。與之相關的系統包括入侵檢測系統、防火墻日志、綜合告警平臺、4A平臺等。

·脆弱性集合：將人工評估和系統導入的脆弱性數據進行轉換和整合，包括漏洞掃描結果、基線符合檢查結果、人工評估發現管理弱點、物理及網絡架構脆弱性等。

·資產管理：將資產基本信息及業務價值、影響力、可用性等屬性和賦值進行整合入庫。

（3）評估規則庫、風險與控制措施映射庫、策略與控制措施映射庫

在業務邏輯層面建立評估規則庫、風險與控制措施映射庫、策略與控制措施映射庫。

評估規則庫：依托管理、主機、網絡、數據庫、中間件應用、物理等方面的評估標準、知識和評估準則，建立不同類別評估規則，將資產、威脅、脆弱性等風險要素及其構成因子識別與計算方法、風險計算算法等固化在系統中，將其轉化為可量化評價指標。

風險與控制措施映射庫：建立具體風險與控制措施對應庫，為風險目標值下的控制措施選擇提供相關數據。

策略與控制措施映射庫：將上級管理要求、安全框架、法規的每一細分點映射至控制措施（包括管理及技術方面）。

（4）評估與比對處理

在控制層面，根據風險評估流程完成各個指標綜合計算，策略要求與評估結果的比對，風險目標值下的控制措施選取等。將評估和比對的流程、方法固化在系統里。

（5）用戶可視化及交換式界面

該層次主要負責數據及報表等最終呈現，提供用戶與平臺交互的功能。

4 風險與策略管理系統功能模塊設計

風險與策略管理系統設計提供風險評估、風險管理、策略管理、匯總分析、系統管理5個方面的功能，通過報表、圖型、報告、儀表盤等多種形式向用戶呈現，示意見圖3。

（1）風險評估模塊

·風險評估流程管控：按照風險評估標準流程，對每個網絡或系統的風險評估過程進行管控，規范流程中各個階段的動作必須執行以及相關數據輸入和輸出。

·風險評估中間和結果數據呈現：以報表、圖形、儀表盤、報告等形式展現風險評估的中間及結果數據。

·風險與控制措施選取：根據某一風險提供相應控制措施；呈現系統風險修復優先級；根據風險值下降的目標提供用戶多種控制措施的選取。

·風險與策略符合度比對：將風險評估結果和安全策略的符合度進行比對，除了風險值與安全策略要求比對外，由于安全策略已經細化到與之相關的控制措施對應，該項功能應展示該風險對應的策略要求但并未實施的控制措施。

（2）風險管理模塊

·風險要素管理：提供風險要素以及其構成因子的管理，如資產的管理、高危漏洞分布與管理等。

·風險跨時間、跨系統維度管理：針對某網絡或系統不同時間維度風險對比分析或趨勢分析，掌握風險的變化情況；通過對不同系統的比對，呈現不同設備的風險差別。

·風險的監控與預警：設定風險目標值，當風險超過預定值時進行相關預警，以便及時采取下一步控制措施。

圖3 風險與策略功能模塊

·風險分布統計：能針對某一風險，統計其分布在哪些網絡和系統，以便發現某一風險時，能快速找到修復的對象。

（3）策略管理

·策略全生命周期流程管控：對安全策略進行生命周期（創建、草稿、復審、發布等）管理，策略的發布需要進行一定的流程，同時涉及不同崗位人員的審批，最終的發布后還包括意見的收集與修訂等。

·安全策略執行符合度：從策略執行的維度出發，能展現各個網絡或系統安全策略執行符合情況，顯示哪些策略在哪些網絡或系統中未滿足情況。

·策略與控制措施映射管理：提供安全策略細化后與控制措施的映射關系查詢、管理等功能。

（4）匯總分析

提供不同等級、網絡、地域多維度風險匯總與分析，能根據不同等級保護級別、網絡或系統類型、地域分布進行風險匯總、統計和分析，反映某一類別網絡或系統的風險總體情況以及缺陷分布所在情況，展現風險在時間維度上趨勢分布。

（5）系統管理模塊

提供本系統相關用戶與權限、進程管理、數據庫管理等功能。

5 結束語

鑒于現有系統在網絡及系統安全風險管理上的局限性，結合電信網絡風險評估和風險管理工作需求，提出了一種風險與策略管理系統框架結構，并設計該系統具體各個功能模塊，為電信網絡運營商網絡及系統安全風險管理系統的建設提供參考思路。

1 中華人民共和國信息產業部.YD/T 1730-2008電信網和互聯網安全風險評估實施指南，2008

2 中華人民共和國國家質量監督檢驗檢疫總局、中國國家標準化管理委員會.GB/Z 24364-2009信息安全技術 信息安全風險管理指南，2009

3 安慶權，王希忠，馬遙.信息安全風險評估系統的設計.信息技術，2011（6）