基于AHP對陜西電信IT安全技術(shù)體系的評價分析

◆李 健 楊云峰

（中國電信陜西公司 陜西 710075）

基于AHP對陜西電信IT安全技術(shù)體系的評價分析

◆李 健 楊云峰

（中國電信陜西公司 陜西 710075）

本文通過對陜西電信IT技術(shù)體系的介紹，結(jié)合實際情況給出了十六個量化指標，運用AHP（層次分析法）得到這些指標的權(quán)重分布，通過評估分析說明陜西電信IT安全技術(shù)體系達到優(yōu)良的程度，但有一些不足的地方，需要持續(xù)改進，完善IT安全技術(shù)體系能力建設(shè)

AHP；IT安全技術(shù)體系；量化指標

1 陜西電信IT安全概況

作為國內(nèi)最大的固網(wǎng)電信運營商來說，隨著中國電信全業(yè)務(wù)運營戰(zhàn)略的推進，IT系統(tǒng)(即CTG-MBOSS系統(tǒng)，由管理支撐系統(tǒng)MSS，業(yè)務(wù)支撐系統(tǒng)BSS，運營支撐系統(tǒng)OSS和企業(yè)數(shù)據(jù)架構(gòu)EDA組成) 已經(jīng)成為電信生產(chǎn)環(huán)節(jié)中不可或缺的一部分，IT系統(tǒng)的安全問題也日趨重要。陜西電信 IT安全保障體系以CTG-MBOSS信息化架構(gòu)為基礎(chǔ)，是支撐企業(yè)IT安全建設(shè)和管理的基礎(chǔ)架構(gòu)。整個體系以 IT安全戰(zhàn)略為指導，將組織、策略、運行、技術(shù)等安全各方面要素結(jié)合起來，通過安全管理制度的逐一落實，安全防護措施的統(tǒng)一部署，循序漸進的構(gòu)建一個科學全面的信息安全保障體系，整體安全保障體系框架如圖1所示。

圖1 陜西電信IT安全保障體系框架圖

其中，安全策略體系總述了中國電信 IT安全的總體方針政策、演進策略、標準和指南、以及各類實施細則組成。

安全組織體系定義了保障 IT安全策略有效執(zhí)行需要的角色和職責，為安全策略能夠貫徹實施的組織保障的保證，從職能上分為決策、管理和執(zhí)行類別。

安全運行體系從IT系統(tǒng)生命周期和安全風險管控流程出發(fā)，從開發(fā)、建設(shè)、維護、響應(yīng)和核查五個階段提出安全風險管控的要點，明確了不同階段安全防護的具體要求，涵蓋了風險管理、系統(tǒng)開發(fā)建設(shè)、運行維護、事件響應(yīng)、安全監(jiān)控和安全檢查等內(nèi)容。

技術(shù)體系是實現(xiàn)IT安全保障體系的重要手段，從物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全、數(shù)據(jù)安全和終端安全六個方面實現(xiàn)安全檢測與識別、安全防護、安全審計與恢復三大保障能力。

2 陜西電信IT安全技術(shù)體系介紹

結(jié)合陜西電信IT安全建設(shè)實際情況，陜西電信IT安全體系主要包括以下內(nèi)容：

應(yīng)用安全體系：包括應(yīng)用端口服務(wù)、應(yīng)用賬號安全和 Web應(yīng)用安全加固等。陜西電信通過4A平臺的建設(shè)，基本上將應(yīng)用賬號管理納入其范圍內(nèi)；定期的對 IT系統(tǒng)進行端口掃描以及滲透測試實現(xiàn)對應(yīng)用端口安全管理，Web應(yīng)用的安全漏洞得到遏制。

主機安全體系：主要包括主機賬號口令、主機端口服務(wù)和Windows主機防病毒管理等。陜西電信IT系統(tǒng)主機大部分已經(jīng)接入4A平臺，主機賬號和口令不能隨意修改，弱口令的事件大大減少。陜西電信建立一套以賽門鐵克防病毒系統(tǒng)，有效地遏制Windows主機病毒爆發(fā)。

網(wǎng)絡(luò)安全體系：主要包括網(wǎng)絡(luò)區(qū)域防護、網(wǎng)絡(luò)設(shè)備賬號口令、網(wǎng)絡(luò)設(shè)備端口服務(wù)、網(wǎng)絡(luò)設(shè)備安全防護和防火墻安全策略配置等。陜西電信通過DCN統(tǒng)一出口平臺建設(shè)，對IT系統(tǒng)外層網(wǎng)絡(luò)邊界進行有效區(qū)域防護，主要包括城域網(wǎng)出口，涉及提供公網(wǎng)服務(wù)所有IT系統(tǒng)；電信業(yè)務(wù)出口，涉及IT系統(tǒng)與電信其它（短信平臺、IPTV平臺等）平臺信息交互；合作伙伴出口，涉及到電信合作企業(yè)（包括銀行、代理商等）與 IT系統(tǒng)信息交互。網(wǎng)絡(luò)設(shè)備管理也納入4A平臺，賬號及其口令要求定期清理，及時清理其中的不必要或不安全服務(wù)（如SNMP、FTP、HTTP等）。

安全審計體系：主要包括物理訪問安全審計、主機訪問權(quán)限審計、應(yīng)用訪問權(quán)限審計、數(shù)據(jù)庫訪問權(quán)限審計和應(yīng)用操作審計等。陜西電信有嚴格的機房訪問審批流程，保證了物理訪問安全審計的要求。4A平臺對應(yīng)用訪問權(quán)限有一定的限制，數(shù)據(jù)庫審計系統(tǒng)基本上覆蓋了80%的數(shù)據(jù)庫審計監(jiān)控。

雖然陜西 IT安全技術(shù)體系有了許多保障措施，但缺乏量化指標對技術(shù)體系考核標準，結(jié)合陜西 IT實際情況和集團規(guī)范文件，需要對上述技術(shù)體系進行量化指標分解，詳見下表：

表1 陜西電信IT安全技術(shù)體系指標分解

?

基于以上研究，本文獲得了陜西電信IT安全技術(shù)體系中的十六個關(guān)鍵指標評估因素，這就是陜西電信IT安全技術(shù)體系成熟度的評價系統(tǒng)，按照指標體系內(nèi)容所建立的層次結(jié)構(gòu)見圖2。

圖2 陜西電信IT安全技體系評價模型層次圖

3 基于AHP對陜西電信IT安全技術(shù)體系的評價分析

3.1 AHP分析方法介紹

層次分析法：所謂層次分析法，是指將一個復雜的多目標決策問題作為一個系統(tǒng)，將目標分解為多個目標或準則，進而分解為多指標（或準則、約束）的若干層次，通過定性指標模糊量化方法算出層次單排序（權(quán)數(shù)）和總排序，以作為目標（多指標）、多方案優(yōu)化決策的系統(tǒng)方法，稱為層次分析法，簡稱AHP。層次分析法是將決策問題按總目標、各層子目標、評價準則直至具體的備投方案的順序分解為不同的層次結(jié)構(gòu)，然后得用求解判斷矩陣特征向量的辦法，求得每一層次的各元素對上一層次某元素的優(yōu)先權(quán)重，最后再加權(quán)和的方法遞階歸并各備擇方案對總目標的最終權(quán)重，此最終權(quán)重最大者即為最優(yōu)方案。這里所謂“優(yōu)先權(quán)重”是一種相對的量度，它表明各備擇方案在某一特點的評價準則或子目標，標下優(yōu)越程度的相對量度，以及各子目標對上一層目標而言重要程度的相對量度。層次分析法比較適合于具有分層交錯評價指標的目標系統(tǒng)，而且目標值又難于定量描述的決策問題。其用法是構(gòu)造判斷矩陣，求出其最大特征值。及其所對應(yīng)的特征向量W，歸一化后，即為某一層次指標對于上一層次某相關(guān)指標的相對重要性權(quán)值。運用 AHP方法，大體可分為以下三個步驟：

步驟1：分析系統(tǒng)中各因素間的關(guān)系，對同一層次各元素關(guān)于上一層次中某一準則的重要性進行兩兩比較，構(gòu)造兩兩比較的判斷矩陣；

步驟2：由判斷矩陣計算被比較元素對于該準則的相對權(quán)重，并進行判斷矩陣的一致性檢驗; 判斷矩陣的一致性指標，其中的值越小，一致性程度越高：平均隨機一致性指標RI值通過查表求得，隨機一致性比率CR=(CI／RI)〈0．1即可認為判斷矩陣具有滿意一致性，否則就需要調(diào)整判斷矩陣；

步驟3：計算各層次對于系統(tǒng)的總排序權(quán)重，并進行排序。最后，得到各方案對于總目標的總排序。

3.2 各個指標的權(quán)重計算過程

針對陜西電信IT安全技術(shù)體系指標分解結(jié)果，其成熟度評價模型公式為：Ω=A1*指標項1+A2*指標項2+A3*指標項3+……+An*指標項n

A1*指標項 1+A2*指標項2+A3*指標項3+……+An*指標項;其中A1，A2，A3……An 代表每個指標項的權(quán)重，其和=1.下面看看通過 AHP計算主觀指標權(quán)重具體過程，本文認為這些指標要素在陜西電信的 IT安全技術(shù)體系中的重要程度是不同的，這些指標要素對陜西電信的IT安全技術(shù)體系影響程度也是不同的。所以，本文利用均勻性和擬合度都比較好的“”標度來構(gòu)造判斷矩陣，判斷矩陣主要是利用專家或者個人的判斷比較出兩因素之間的重要性程度，判斷矩陣的標度方法見表2。

表2 標度定義

e = 4 . 9 5 3 0 8 5兩指標相比，一個比另一個極端重要e，1 5 e，3 5 e，5 5 e 介于上述兩相鄰判斷標度中間7 5

假設(shè)A1=審計安全，A2=主機安全，A3=應(yīng)用安全，A4=網(wǎng)絡(luò)安全；Ω= 陜西電信IT安全技術(shù)體系；□1～ □16為各個指標項。

最終各個層級的判斷矩陣如下：

經(jīng)過歸一化計算以及隨機一致性比率CR檢驗得到□1～□16對Ω的權(quán)重分布，見表3。

表3 陜西電信IT安全技術(shù)體系量化指標權(quán)重表

W e b應(yīng)用常見漏洞加固 0 . 1 3 3 7網(wǎng)絡(luò)設(shè)備賬號口令 0 . 0 7 0 6網(wǎng)絡(luò)區(qū)域防護 0 . 0 4 9 8網(wǎng)絡(luò)設(shè)備安全防護 0 . 0 6 0 8網(wǎng)絡(luò)設(shè)備端口服務(wù) 0 . 0 7 8 0

3.3 分析評價

根據(jù)技術(shù)專家對各個指標項實際考察評估，最終對□1～ □16的得分情況為（85，98，85，80，60，0，85，85，95，85，80，87，97，60，88，84）與□1～ □16各項權(quán)重加權(quán)平均后，最終陜西電信IT安全技術(shù)體系評估分=80.11，基本上達到優(yōu)良程度。

從各項指標得分情況來看，有些指標項得分較高，比如網(wǎng)絡(luò)設(shè)備賬號口令管理得分97，說明陜西IT網(wǎng)絡(luò)設(shè)備賬號管理基本上全部納入4A平臺，達到指標考核要求；有些指標項為優(yōu)良，比如數(shù)據(jù)庫審計得分85，說明陜西電信IT數(shù)據(jù)庫審計系統(tǒng)只覆蓋了ORACLE數(shù)據(jù)庫，其他比如DB2、MYSQL等都沒有覆蓋到。有些指標項僅僅剛剛及格，比如網(wǎng)絡(luò)區(qū)域防護得分60，說明陜西電信IT網(wǎng)絡(luò)區(qū)域防護的不夠全面，僅僅做到是邊界區(qū)域防護，IT內(nèi)部系統(tǒng)缺乏安全域劃分，導致MSS域、OSS域、BSS域之間互通，沒有安全措施對 IT系統(tǒng)內(nèi)部實施有效保障；有些指標項得分為0，比如主機補丁管理，說明陜西電信IT缺失補丁管理系統(tǒng)，急需加快此系統(tǒng)建設(shè)步伐。

4 結(jié)束語

綜上所述，本文在陜西電信IT安全保障體系模型框架基礎(chǔ)上，通過AHP分析方法闡述了一個可持續(xù)改進的陜西電信IT安全技術(shù)體系能力評價模型，找出一套合理的評價方法對安全技術(shù)體系建設(shè)成效進行公正有效的考量和評價，通過評價分析，說明陜西電信IT安全技術(shù)體系有哪些需要持續(xù)改進的地方，對陜西電信IT安全技術(shù)體系能力建設(shè)的推進工作有一定促進作用。

[1]王一帆，熊桂喜．基于AHP算法的系統(tǒng)性能衰退檢測方法的研究UJ．微計算機信息，2010．

[2]李健．基于ITIL的陜西電信IT服務(wù)管理研究西安電子科技大學，2011．

[3]華汪明，張新躍，黃禮蓮，高儒振．電信IT安全保障能力評價模型與基線達標體系研究．電信科學，2012．

[4]中國電信〔2010〕920 號文件．關(guān)于印發(fā)中國電信CTG-MBOSS 安全基線達標管理暫行辦法的通知．