新技術下的信息安全風險防御模式的研究

摘 要：信息安全網絡風險管理是為確保通過一系列的安全策略、安全流程、安全步驟，防止所有對網絡信息安全構成威脅的事件發(fā)生、以及降低安全事件對信息資產的影響。信息安全網絡風險防御模式包括風險防御整體策略、風險防御措施和如何實施風險防御應對計劃、風險實時監(jiān)控與預警及網絡風險防御策略等。

關鍵詞：信息安全 網絡風險 防御模式

中圖分類號：TP309 文獻標識碼：A 文章編號：1672-3791（2013）02（a）-0033-01

作為企業(yè)的第一戰(zhàn)略資源，信息有著舉足輕重的作用。如果企業(yè)想要順利完成其工作，就要保證信息資源的安全。與資產天生相對的矛盾產物的另一個就是風險，風險隨著資產的價值正比例變化。而與傳統(tǒng)資產不同的信息資源，也面臨著新的不可知的風險。為了緩和平衡這一對新矛盾出現(xiàn)了信息安全網絡風險防御，它大大降低了風險，使信息以及相關資源能夠在可接受的風險范圍內得到安全保證。若風險防御不到位，所存在的安全風險不僅僅影響系統(tǒng)的正常運行，而且可能危害到企業(yè)的安全。因此，在選擇風險防御策略時，要選擇能夠在風險防御具體實施過程下，找到合適的風險防御實施點來實施的新技術的風險防御，這樣可以幫助風險管理過程有效完成，保護企業(yè)完成任務。

1 信息安全網絡風險管理包括：信息安全網絡需求分析、風險評估和風險防御

信息安全網絡需求分析包括遠程接入域、企業(yè)互聯(lián)域、服務域、內網支撐域。不同的區(qū)域有不同的安全需求，在遠程接入域主要考慮信息安全3A的安全需求；在互聯(lián)域重要考慮BLP、biba模型的分析、建立、部署；在服務域重點考慮信息安全的CIA安全需求；在內網支撐域重點考慮人的安全、流程的安全、物理安全等安全需求。在信息安全網絡風險防御過程中，信息安全的需求的確立過程是一次信息安全網絡風險防御主循環(huán)的起始，為風險評估提供輸入。

風險評估，就是風險和風險影響的識別和評估，還有建議如何降低風險。風險管理過程的第三步才是風險防御，風險評估時，關于對安全控制實施優(yōu)先級的排序、評價、實現(xiàn)的建議，都屬于風險防御，這些控制將會降低風險。

2 新技術下的網絡風險模式研究

2.1 風險防御模式

包括選擇風險防御措施、選擇風險防御策略、實施風險防御三個過程。實施風險防御的過程包括對過程進行優(yōu)先級排序、評價建議的安全控制類別、選擇風險防御控制、分配責任、制定安全措施實現(xiàn)計劃、實現(xiàn)被選擇的安全控制，最后還要進行殘余風險分析。

2.2 風險防御措施

（1）風險規(guī)避：通過消除風險的原因或后果（如當識別出風險時放棄系統(tǒng)某項功能或關閉系統(tǒng)）來規(guī)避風險。（2）風險降低：通過實現(xiàn)安全控制來限制風險，這些安全控制可將由于系統(tǒng)弱點被威脅破壞而帶來的不利影響最小化（如使用支持、預防、檢測類的安全控制）。（3）風險計劃：制定一套風險減緩計劃來管理風險，在該計劃中對安全控制進行優(yōu)先排序、實現(xiàn)和維護。（4）風險轉移：通過使用其他措施補償損失，從而轉移風險，如購買保險。

企業(yè)的目標和使命是企業(yè)選擇風險防御措施的首要考慮因素。想要解決所有風險是不可能的，因此可以將嚴重危害影響目標的各種威脅或者弱點進行排序。選擇不同廠商的安全產品中最合適的技術，再配合有效地風險防御措施和非技術類的管理措施是最好的方法。

2.3 風險防御策略

通過對實踐經驗的總結，對由于故意的人為威脅所帶來的風險做出防御，采取行動來提供指導，從而保護我們的企業(yè)信息安全。

（1）當存在系統(tǒng)漏洞時，實現(xiàn)保證技術來降低弱點被攻擊的可能性。（2）當系統(tǒng)漏洞被惡意攻擊時，運用層次化保護、結構化設計以及管理控制將風險最小化或防止這種情形的發(fā)生。（3）當攻擊者的成本比攻擊得到更多收益時，運用保護措施，通過提高攻擊者成本來降低攻擊者的攻擊動機（如使用系統(tǒng)控制，限制系統(tǒng)用戶可以訪問或做些什么，這些措施能夠大大降低攻擊所得）。（4）當損失巨大時，運用設計原則、結構化設計以及技術或非技術類保護措施來限制攻擊的程度，從而降低可能的損失。

2.4 風險防御模式的實施

在實施風險防御措施時，要遵循以下規(guī)則：找出最大的風險，將其風險減緩到最小風險，同時要使對其他目標的影響減到最小化。下面是以某企業(yè)信息網絡應用系統(tǒng)為例在新技術下的信息安全風險防御模式的研究過程。

2.4.1 風險評估

對信息網絡進行屬性分析，風險評估后，得到如下結果：數據庫系統(tǒng)安全狀況為中風險等級。在檢查的30個項目中，共有8個項目存在安全漏洞。其中：3個項目為高風險、1個項目為中風險、4個項目為低風險等級。

2.4.2 風險防御具體措施

根據風險評估報告和承受能力來決定風險防御具體措施。確定風險防御實施點，該網站的設計存在漏洞并且該漏洞可能被利用。實施步驟如以下幾點。

（1）確立風險級別，對評估結果中的8個項目漏洞進行優(yōu)先級排序。

（2）評價建議的安全控制。在該網站主站數據庫被建立后，針對評估報告中的安全控制建議進行分析，得出要采取的防御策略。

（3）對相應的若干種防御策略進行成本收益分析，得出每種防御策略的成本和收益。

（4）選擇安全控制。對漏洞分別選擇相應的防御策略。

（5）責任分配，輸出負責人清單。

（6）制定完整的漏洞修復計劃。

（7）實施選擇好的防御策略，對SQL注入漏洞、XSS跨站腳本漏洞、頁面存在源代碼泄露、網站頁面權限漏洞（w—寫權限）、網站存在ddos攻擊這幾個漏洞進行一一修復。

3 結語

風險管理過程持續(xù)改進。通過對信息安全的風險的計劃、識別、定量分析、應對角度進行全方面的安全風險評估；在風險評估過程中，注重安全需求分析，通過滲透測試、文檔評審、漏洞掃描等手工和自動化過程充分識別風險；通過蒙特卡羅、決策樹模型準確定義風險，使風險評估盡可能的準確；在專家評審會議上，通過頭腦風暴、DELPHI等評審方法，針對不同的優(yōu)先級別的風險采用不同的應對措施，并本著PDR模型的方式在企業(yè)內部建立縱身的安全風險控制系統(tǒng)，為企業(yè)保駕護航。

參考文獻

[1]孫強，陳偉.信息安全管理：全球最佳實踐與實施指南[M].北京：清華大學出版社，2007.

[2]卿斯?jié)h.網絡安全檢測的理論和實踐[J].計算機系統(tǒng)應用，2001.

[3]王英梅，王勝開，陳國順，等.信息安全風險評估[M].電子工業(yè)出版社，2007，6.