基于等級保護思想的網絡安全風險評估關鍵技術研究

柴志成 貴陽學院

1 等級保護與風險評估關系分析

1.1 等級保護合規性評判等級保護測評是對系統確定的安全等級開展合規性評判，系統的安全等級根據系統安全級別確定。業務信息安全與系統信息資產及其所支持的業務密切相關，資產的保密性、完整性遭受破壞時，會增加系統面臨的業務安全風險。系統等級保護測評過程可歸納為：（1）對系統的基本情況進行調查，了解系統的定級要求、資產構成、網絡拓撲、主要業務以及曾經發生的安全威脅等情況；（2）根據系統基本情況確定測評對象、測評內容和測評指標；（3）根據選定的測評對象和測評指標，按照等級保護基本要求和測評要求等相關標準，對選定的測評對象和測評指標逐一開展現場測評；（4）對系統進行單元測評、整體測評和總體安全狀況分析，在進行總體安全狀況分析時，重點考慮在現有安全保障措施情況下，對測試中發現的安全問題進行風險評估。

1.2 風險評估方法按照國標定義，信息安全風險評估是指：依據有關信息安全技術與管理標準，對信息系統及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等屬性評價的過程；也就是評估資產面臨的威脅和脆弱點，以及威脅利用脆弱點產生安全事件的可能性，并根據安全事件涉及的資產來判斷安全風險嚴重程度。

風險評估過程可歸納為：（1）梳理測評對象的資產及其價值；（2）尋找資產存在的漏洞或弱點；（3）識別測評對象可能面臨的安全威脅；（4）根據理論模型評判測評對象存在的安全風險。

1.3 關聯分析開展等級保護測評時能評價出系統的資產、重要程度和脆弱性，風險評估對信息系統和資產的安全風險進行分析，二者之間存在如下關系：（1）等級保護測評可以作為風險評估的基礎，通過等級測評，明確系統資產的重要性和脆弱源。（2）風險評估結果的準確性和客觀性，與等級保護測評過程所選的資產有關，資產選取范圍越廣，種類越全，評估結果越有價值。（3）在開展等級保護測評、風險評估過程中，均可采用漏洞掃描、滲透測試、配置核查等多種測評方法，發現系統資產不同層面存在的安全隱患和漏洞。（4）在檢測對象選擇方面，等級保護測評、風險評估所選擇的檢測對象都應涵蓋物理環境、網絡、服務器、終端、應用系統、數據、管理制度和人員等。（5）在檢測流程方面，等級保護測評、風險評估的工作流程都可以分為4個階段，分別為準備階段、方案編制階段、現場實施階段和報告編制階段，但二者在各階段輸出的結果不同。（6）在檢測內容方面，等級保護測評、風險評估工作都涵蓋技術安全檢測和管理安全檢查2個部分；其中，技術安全檢測主要包含物理環境安全、通信網絡安全、計算環境安全、應用安全、數據安全等方面的內容；管理安全檢查主要包括安全管理制度、安全管理機構、安全管理人員、系統建設安全管理和系統運維安全管理等方面的內容。

2 資產分類及價值量化分析

2.1 資產分類鐵路信息系統中包含大量的軟硬件資產。硬件資產有主機設備、網絡設備、安全設備等，這些資產可以通過網絡拓撲結構、連通關系、安全策略等進行關聯；軟件資產有應用程序、數據、文件等，這些資產如果保護不當，暴露其脆弱性，遭受攻擊者攻擊。按等級保護測評時選擇的測評對象，可劃分為硬件資產、軟件資產、數據資產、制度資產、人員資產、物理資產等類型。

2.2 資產價值量化分析資產價值可以從3個維度考慮：（1）系統自身的安全等級以及系統處理業務的重要程度，即系統維度；（2）資產在系統中的重要程度以及資產自身的購買成本和維護成本，即資產維度；（3）資產的機密性（Confidentiality）、完整性（Integrity）、可用性（Availability）受到損害時對業務運營的負面影響程度，即CIA屬性維度。

3 資產脆弱性分析

脆弱性是資產中存在的薄弱環節，若被威脅利用將對系統造成損害，是導致安全事件的內因。風險評估中的一個重要環節是脆弱性分析，分析過程劃分為發現、分類、驗證、賦值4個步驟。有學者采用基于規則、基于模型的脆弱性發現方法；還有Schneier和Moore等人利用樹型結構來表示系統面臨的攻擊；脆弱性分類可以從技術和管理2個方面進行；脆弱性驗證可以采用滲透測試、仿真測試等方式；脆弱性賦值可以從脆弱點被利用可能性、漏洞修補情況、已有安全措施對脆弱性的修正程度等方面進行綜合考量。

4 網絡安全威脅判定

威脅也可稱為破壞或攻擊。鐵路信息系統的安全威脅來自多方面，可能是環境帶來的，也可能是人為造成的，或是設備自身損壞原因產生的。威脅一般不能對系統造成直接影響，只有在利用資產存在的脆弱性后才能引發安全事件，對資產具備潛在的破壞作用，是引起安全事件的外因。

5 安全風險評估模型建立

信息系統安全風險由安全事件發生的可能性L及安全事件造成的損失對組織的影響F確定，其中，L取決于威脅發生的頻率與脆弱性大小，F取決于資產價值與威脅影響范圍及程度。根據上述分析，可以建立如圖所示的安全風險評估模型。

6 結束語

主要從兩個方面對風險評估關鍵技術開展研究：（1）完善了GB/T20984標準中對資產、威脅、脆弱性3要素的識別范圍和賦值方法，識別粒度更細，賦值所考慮的因素更貼合實際情況；（2）將網絡安全的等級保護與風險評估2種方法進行融合，使得在網絡安全實際測評工作中，既能判別評估對象是否安全合規，又能研判其面臨的安全風險嚴重程度。從理論角度看，該方法是合理可行的，但其效果還需在實踐工作中加以檢驗。