面向政府信息系統(tǒng)的網(wǎng)絡(luò)安全風(fēng)險評估服務(wù)

◆孫蕊剛 高 瑞 魏玉峰

面向政府信息系統(tǒng)的網(wǎng)絡(luò)安全風(fēng)險評估服務(wù)

◆孫蕊剛 高 瑞 魏玉峰

（陜西省網(wǎng)絡(luò)與信息安全測評中心 陜西 710065）

我國電子政務(wù)產(chǎn)生于20世紀(jì)80年代，經(jīng)歷了2006年“電子政務(wù)務(wù)實年”的快速推進(jìn)，已經(jīng)開始逐漸成熟，可是隨著網(wǎng)絡(luò)的逐漸普及以及部分政府信息系統(tǒng)設(shè)計的不規(guī)范，導(dǎo)致暴露在外界的安全風(fēng)險日益嚴(yán)峻，該文通過研究現(xiàn)今政務(wù)系統(tǒng)安全風(fēng)險，對系統(tǒng)的風(fēng)險評估服務(wù)提出了一些建議，希望能起到拋磚引玉的作用。

政府；信息系統(tǒng)；安全風(fēng)險；風(fēng)險評估

1 引言

1.1 政府信息系統(tǒng)所處的敏感地位，防護(hù)手段不規(guī)范，導(dǎo)致安全風(fēng)險日益擴(kuò)大

電子政務(wù)系統(tǒng)作為我國政府在網(wǎng)絡(luò)上的門戶，承載著眾多的企業(yè)和個人的隱私數(shù)據(jù)，而且因為影響較大，導(dǎo)致黑客都聚集于此。由于政府信息系統(tǒng)是非營利網(wǎng)站，所以不能向一般的企業(yè)那樣花費(fèi)大量的精力物力去開發(fā)維護(hù)，導(dǎo)致政府信息系統(tǒng)設(shè)計較為薄弱，而且由于政府信息系統(tǒng)的設(shè)計大多都是由外界組織所完成，“交鑰匙工程”現(xiàn)象仍然存在，導(dǎo)致系統(tǒng)業(yè)務(wù)和安全不能有效結(jié)合，粗放型的管理體系不能與安全管理工具互相支撐，最終業(yè)務(wù)系統(tǒng)的功能性和安全性不能達(dá)到預(yù)期目標(biāo)。

1.2 我國的內(nèi)外網(wǎng)存在通路，安全區(qū)域邊界不清楚

我國的電子政務(wù)網(wǎng)主要由電子政務(wù)內(nèi)網(wǎng)、外網(wǎng)、專網(wǎng)構(gòu)成，這些網(wǎng)絡(luò)從建設(shè)初期就缺少統(tǒng)一規(guī)劃，對各個網(wǎng)絡(luò)的重視程度存在差異，內(nèi)外網(wǎng)絡(luò)數(shù)據(jù)交換不明確，致使外網(wǎng)部分業(yè)務(wù)存在打通內(nèi)網(wǎng)的通道，黑客可以利用這些跳板，對整個網(wǎng)絡(luò)系統(tǒng)造成危害。

基于政府信息系統(tǒng)地位的特殊性和本身存在的脆弱性，本文研究了具有針對性的風(fēng)險評估服務(wù)過程，希望能對讀者有所幫助。

2 政府網(wǎng)站類型和常見的安全風(fēng)險種類

2.1 政府網(wǎng)站類型[2]

目前我國的政府網(wǎng)站主要是內(nèi)容發(fā)布類、政府辦公類和政務(wù)服務(wù)類三種，可以結(jié)合這三種網(wǎng)站和遭受的安全風(fēng)險進(jìn)行針對性防護(hù)。

（1）內(nèi)容發(fā)布類網(wǎng)站

此類網(wǎng)站是政府網(wǎng)站最常見的種類，主要用于發(fā)布政府的政策文件和支撐政務(wù)公開工作，同時會提供查詢、留言、互動等功能。此類網(wǎng)站會有少量的系統(tǒng)管理員，通過管理后臺，提供刪除、修改、增加、審核等操作。

（2）政務(wù)辦公類網(wǎng)站

政務(wù)辦公類網(wǎng)站主要提供具有特定辦事流程的功能，典型的有政府的OA系統(tǒng)、面向特定業(yè)務(wù)組織的系統(tǒng)等。政務(wù)辦公類網(wǎng)站通常只有登錄界面可以被訪問，其余的操作功能都需要登錄后才能實現(xiàn)，每個用戶可以扮演多種角色，涉及不同的權(quán)限級別。

（3）政務(wù)服務(wù)類

現(xiàn)在的政務(wù)服務(wù)類網(wǎng)站主要是政務(wù)服務(wù)平臺，政府網(wǎng)站將大多數(shù)辦事指南進(jìn)行整合，進(jìn)行統(tǒng)一管理，方便群眾查找和辦理，群眾可以在此平臺上實現(xiàn)足不出戶的咨詢服務(wù)和只跑一次的辦事服務(wù)。但是相對的此平臺也會涉及公民的個人信息，比如手機(jī)號、身份證號、家庭住址等等個人隱私信息。

2.2 常見的安全風(fēng)險種類

（1）注入漏洞[2]

注入漏洞最常見的，危害最大的就是SQL注入，當(dāng)攻擊者將代碼在輸入層輸入時，系統(tǒng)未經(jīng)識別就執(zhí)行此代碼，從而會發(fā)生諸如暴露出數(shù)據(jù)庫信息、修改數(shù)據(jù)庫信息等安全事件。對于政府網(wǎng)站來說，只要存在輸入信息進(jìn)行數(shù)據(jù)庫搜索的事件，就可能會有注入漏洞。

（2）跨站腳本攻擊漏洞

此漏洞也叫XSS，大致分為三種：存儲型XSS、反射型XSS、和DOM型XSS，一般都是由于用戶對輸入?yún)?shù)不過濾導(dǎo)致調(diào)用JavaScript庫產(chǎn)生的。XSS漏洞很常見，百度、Google等都存在，具有傷害范圍廣、危害程度大等的特點(diǎn)。

（3）后臺管理地址泄露和身份認(rèn)證缺陷漏洞

此漏洞最常見于政務(wù)辦公類網(wǎng)站，后臺管理地址的泄露會導(dǎo)致攻擊者用網(wǎng)絡(luò)嗅探、暴力破解等的方式用管理員的身份進(jìn)入系統(tǒng)后臺，而身份認(rèn)證的缺陷則會加劇此漏洞被利用的成功率，攻擊者用管理員的身份進(jìn)入系統(tǒng)后臺后，會暴露其余安全管理員的個人信息，在經(jīng)過后臺審計功能后可以看到用戶的操作過程，還會有修改系統(tǒng)、植入病毒等的可能。

（4）安全配置錯誤

Web開發(fā)框架、應(yīng)用程序、數(shù)據(jù)庫、操作系統(tǒng)等中間會有很多的安全配置需要設(shè)置，初始的配置并不是安全的，需要管理員重新配置并且定期檢查。安全配置方面的漏洞可能會使攻擊者有機(jī)可乘，輕者會導(dǎo)致信息泄露、篡改，重者會導(dǎo)致系統(tǒng)被攻擊者控制。

3 風(fēng)險評估服務(wù)

3.1 風(fēng)險評估定義

在信息安全領(lǐng)域內(nèi)，風(fēng)險就是代表資產(chǎn)存在的脆弱性，當(dāng)此風(fēng)險被利用了之后對資產(chǎn)造成影響的可能性。風(fēng)險管理是一個識別、控制、降低、消除風(fēng)險的過程[1]。在GB-T20984-2007[4]信息安全風(fēng)險評估規(guī)范中對風(fēng)險評估的定義是：信息安全風(fēng)險評估就是利用風(fēng)險安全管理的手段，科學(xué)完整的分析系統(tǒng)所面臨的威脅和本身存在的脆弱性，當(dāng)風(fēng)險發(fā)生時會對系統(tǒng)造成的影響，提出具有針對性的整改措施，將風(fēng)險控制在可以接受的范圍之內(nèi)。

3.2 風(fēng)險評估過程

第一階段是項目開始前的準(zhǔn)備階段[3]，具體包括（1）制定項目的實施計劃：評估的對象、時間、范圍、人員等；（2）召開項目啟動會：參加的人員包括項目的甲乙雙方，雙方組織的負(fù)責(zé)人，就項目開展的前期工作計劃和后期工作安排進(jìn)行大概的梳理；（3）搜集信息：搜集評估對象的具體信息，包括資產(chǎn)情況、網(wǎng)絡(luò)邊界、需要調(diào)查問卷的信息等。

圖1 風(fēng)險評估服務(wù)工作流程

第二階段是識別階段，具體包括（1）資產(chǎn)評估，第一步是資產(chǎn)分類（具體的資產(chǎn)分類見表1）；第二步是資產(chǎn)賦值，具體包括對資產(chǎn)的機(jī)密性、完整性、可用性的賦值和資產(chǎn)重要性等級的劃分；（2）威脅評估，具體有威脅的識別和賦值，根據(jù)威脅出現(xiàn)頻率的大小分為高危、中危和低危；（3）脆弱性識別，也叫弱點(diǎn)識別，根據(jù)官方的準(zhǔn)則或者行業(yè)默認(rèn)的規(guī)則，以組織的安全性為前提，對系統(tǒng)存在的脆弱性進(jìn)行客觀的、準(zhǔn)確的安全評估，然后根據(jù)不同的等級對脆弱性進(jìn)行賦值，本文提供了一種賦值的方法（賦值方法見表2），為讀者提供參考；（4）評估安全控制措施，具體就是對已有安全措施的安全性進(jìn)行調(diào)查，保持可以將風(fēng)險控制在可接受范圍內(nèi)的安全措施，對不適當(dāng)?shù)陌踩胧┻M(jìn)行替換或者修改，確保安全措施可以有效防護(hù)或者預(yù)防安全風(fēng)險。

表1 資產(chǎn)分類

表2 脆弱性賦值表

第三階段是分析階段，具體有（1）將搜集到的信息進(jìn)行分析，形成文檔；（2）脆弱性分析，對上一階段搜集到的網(wǎng)站脆弱性進(jìn)行分析，并且按照脆弱性程度分等級；（3）威脅分析，根據(jù)上一階段的鑒別結(jié)果，對系統(tǒng)可能受到的威脅進(jìn)行量化整理；（4）已有安全措施分析，將系統(tǒng)已有的安全措施結(jié)合安全性進(jìn)行綜合考量；（5）風(fēng)險分析，根據(jù)風(fēng)險計算原理和分析出來的脆弱性、威脅和資產(chǎn)的重要性計算系統(tǒng)的安全風(fēng)險值；（6）形成完整報告。

第四階段是項目驗階段，具體是（1）項目成果匯報；（2）項目驗收。

4 結(jié)論

本文通過研究政府信息系統(tǒng)的背景和現(xiàn)狀，匯合政府網(wǎng)站的種類和常見的安全風(fēng)險，提出了一套科學(xué)的、完整的風(fēng)險評估方法，希望可以將安全風(fēng)險降低在可接受的范圍內(nèi)，為我國電子政務(wù)工作保駕護(hù)航。

[1]李瑞峰，王建功.鐵路信息系統(tǒng)安全的風(fēng)險評估與管理分析[J]. 信息記錄材料, 2019（11）.

[2]趙弘洋，李丹.“互聯(lián)網(wǎng)+政務(wù)服務(wù)”背景下政府網(wǎng)站安全風(fēng)險研究[J].電子質(zhì)量, 2017（06）.

[3]李劍，陳秀波，田華.針對政府網(wǎng)站的層次結(jié)構(gòu)風(fēng)險評估模型[J]. 信息網(wǎng)絡(luò)安全, 2009（12）.

[4]GB-T20984-2007《信息安全風(fēng)險評估規(guī)范》.