政府部門信息系統(tǒng)安全風(fēng)險分析要點探究

1、政府部門信息系統(tǒng)安全風(fēng)險分析要點探究742009-04doi:10.3969.issn.1671-1122.2009.04.026政府部門信息系統(tǒng)安全風(fēng)險分析要點探究袁藝芳摘要:本文以政府部門信息系統(tǒng)為對象目標,通過對政府部門信息系統(tǒng)特點的分析把握,闡述安全風(fēng)險分析的要點,步驟和方法,以期從客觀,實用的角度,盡可能獲得最貼近政府部門信息系統(tǒng)安全風(fēng)險實際的分析結(jié)果,為政府部門正確制定安全對策,實施正確的安全防范措施奠定堅實的基礎(chǔ).關(guān)鍵詞:安全漏洞;安全威脅:安全風(fēng)險中圖分類號:TP393文獻標識碼:C0概述措施,建立符合客觀要求的安全防范體系提供依據(jù).信息系統(tǒng)安全風(fēng)險分析,是一種針對信息系統(tǒng)進行

2、的識別,確認安全漏洞和威脅,評估損失,確定安全對策的系統(tǒng)性方法.信息系統(tǒng)安全風(fēng)險分析是作為風(fēng)險管理的重要工具,是信息系統(tǒng)安全管理的重要組成部分,也是順利破解安全難題的一把金鑰匙.對于一個從事安全管理的人員而言,能準確分析信息系統(tǒng)安全風(fēng)險分析對象的特點,在全面確認安全漏洞以及安全威脅的基礎(chǔ)上,依據(jù)信息系統(tǒng)安全風(fēng)險分析的關(guān)鍵要點,步驟和方法,對信息系統(tǒng)實施綜合的安全風(fēng)險評估工作,是一項重要而基本的工作技能,對于提高發(fā)現(xiàn)問題和分析問題的能力起著至關(guān)重要的作用.信息系統(tǒng)安全風(fēng)險分析過程分為不同的階段.就政府部門而言,在國家法律法規(guī)及相關(guān)政策的指導(dǎo)下,按照計算機信息系統(tǒng)安全保護等級劃分準則GB17859

3、1999】的標準和要求,對其管理的各類信息系統(tǒng)和資源開展價值估算和安全等級評估工作,是其中的第一個階段.運用分析,探測評估工具和測試方法,或第三方評估機構(gòu),實現(xiàn)對政府部門重要信息系統(tǒng)的安全評估,確認信息系統(tǒng)系統(tǒng)存在的安全漏洞和威脅,是其中的第二個階段.在滿足國家有關(guān)信息系統(tǒng)與安全等級相應(yīng)安全技術(shù)和管理要求的基礎(chǔ)上,通過定性,定量的分析方法評估政府部門信息系統(tǒng)的安全風(fēng)險和可能造成的損失.并依據(jù)評估結(jié)果,在有限的資金投入范圍內(nèi),提出相應(yīng)安全對策及建議,達到最優(yōu)的資源配置,是其中第三階段的內(nèi)容,也是安全風(fēng)險分析的根本目標和意義所在.政府部門的信息系統(tǒng),普遍存在業(yè)務(wù)數(shù)據(jù)機密性要求高,業(yè)務(wù)連續(xù)性要求強,

4、網(wǎng)絡(luò)結(jié)構(gòu)相對封閉,信息系統(tǒng)架構(gòu)形式多樣等特點.因此,為排除或減少各層面的安全漏洞以及針對安全漏洞實施的威脅行為,確保相應(yīng)安全對策的正確,科學(xué),有效,使安全風(fēng)險降低到可承受的范圍內(nèi),需要政府部門組織有關(guān)機構(gòu)和人員,按照安全風(fēng)險分析的不同階段和要點,科學(xué)運用分析步驟和方法,適時對政府部門信息系統(tǒng)開展安全風(fēng)險分析和評估工作,為下一步采取具體的安全防范1安全風(fēng)險分析的步驟1)確定風(fēng)險分析的對象及其范圍,性質(zhì),特點和安全要求.2)確認不同對象所存在不同層面的安全漏洞.3)分析不同安全漏洞可能引起的安全威脅.4)根據(jù)對象的特點,確定安全風(fēng)險的性質(zhì)和大小.5)降低,避免,轉(zhuǎn)移,接受安全風(fēng)險.2安全風(fēng)險分析的

5、要點2.1安全風(fēng)險分析的對象安全管理人員可以通過對對象目標的結(jié)構(gòu),范圍,所處環(huán)境和安全原則和要求等要素的細化分析,從宏觀上對信息系統(tǒng)可能的安全風(fēng)險進行定性的把握(如圖1所示).1)對象的范圍要求:是對對象目標進行整體安全風(fēng)險分析還是對關(guān)鍵局部進行安全風(fēng)險分析;2)對象目標的基本安全要求:即從信息的機密性,可用性,完整性等特性考慮,確定安全風(fēng)險分析必須遵循的安全特性要求.圖1安全風(fēng)險分析對象要素分布圖3)對象目標所處的環(huán)境:即明確對象目標所處的物理環(huán)境和運行環(huán)境.4)對象目標的結(jié)構(gòu)特點:通常而言,即明確分析對象是專用性質(zhì)的封閉結(jié)構(gòu),使用用戶集中于內(nèi)部用戶;還是通用性質(zhì)的開放結(jié)構(gòu),使用用戶同時包括

6、內(nèi)部用戶和外部用戶.盡管安全風(fēng)險分析的對象的類型千差萬別,但以上對象的特性和要點是我們必須提前把握好的.不遺漏任何一個有可能影響風(fēng)險分析結(jié)果的細節(jié).這樣做的結(jié)果可以為我們下一步鎖定高安全風(fēng)險點,有側(cè)重地進行定量或定性的安全風(fēng)險分析提供有力依據(jù).現(xiàn)以政府部門以Web架構(gòu)提供對外便民服務(wù)信息系統(tǒng)和僅在政府專網(wǎng)獨立運行的某業(yè)務(wù)信息系統(tǒng)兩個不同的分析對象為例,參照以上要素進行分析.對外便民服務(wù)信息系統(tǒng)具有相對開放的結(jié)構(gòu)特點,用戶一般為普通公眾.便民服務(wù)業(yè)務(wù)對數(shù)據(jù)的可用性和完整性的要求往往大于其對機密性要求,安全風(fēng)險范圍貫穿前端Web訪問到后端數(shù)據(jù)處理和反饋整個過程.而在政府專網(wǎng)上獨立運行的業(yè)務(wù)信息系統(tǒng)

7、具有相對封閉的結(jié)構(gòu)特點,用戶一般為內(nèi)部用戶.用戶對數(shù)據(jù)的完整性和機密性要求往往大于可用性要求,安全風(fēng)險范圍一般集中在特定的軟硬件設(shè)備上.因此可以定性的認為,前一類信息系統(tǒng)面臨的外部黑客攻擊,非法入侵等威脅的概率較大,安全漏洞存在的范圍較情況復(fù)雜.而后者面臨的內(nèi)部人員誤操作,越權(quán)訪問等威脅的概率大,安全漏洞存在的范圍相對固定.加上對政府部門信息系統(tǒng)所處物理環(huán)境(如防地震等自然災(zāi)害的能力,電力系統(tǒng),防盜防火防水設(shè)施等)以及運行環(huán)境(如操作系統(tǒng)類型及參數(shù)等)的分析,可以較客觀地評估出信息系統(tǒng)的安全風(fēng)險集中范圍.2.2安全漏洞和威脅分析及確認2-2.1安全漏洞和威脅的分類安全漏洞和威脅的種類和類型十分

8、廣泛,涉及網(wǎng)絡(luò),數(shù)據(jù),系統(tǒng),人員管理,物理環(huán)境等諸多方面,且隨著計算機及信息技術(shù)的飛速發(fā)展,新的安全漏洞不斷被發(fā)現(xiàn),可能利用安全漏洞造成的安全威脅也日益增多.目前,國際上對安全漏洞和威脅的分類方法有許多,但從掌握的難易程度和運用靈活度上比較,還是按不同層次劃分和按不同安全要素劃分兩種方法應(yīng)用的范圍最1)安全漏洞和威脅區(qū)分不同的層面,類型多樣.包括從程序代碼,網(wǎng)絡(luò)協(xié)議,操作系統(tǒng),應(yīng)用配置到數(shù)據(jù)等諸多方面.參考OSI七層劃分模式,從安全威脅發(fā)生的不同層次,理解各種安全漏洞和威脅,如物理層的搭線偵聽,數(shù)據(jù)鏈路層的重包攻擊,網(wǎng)絡(luò)層的DDOS攻擊和數(shù)據(jù)截獲,傳輸層的TCP重發(fā)鏈接,應(yīng)用層的病毒傳播和非授

9、權(quán)訪問等等.2)綜合考慮安全管理和安全技術(shù)方面的因素,可按不同的安全要素劃分安全漏洞和威脅.如:授權(quán)用戶的越權(quán)訪問,內(nèi)部人員誤操作,病毒的傳播,黑客的惡意攻擊行為,入侵者的破壞活動,大火引起的火災(zāi),地震等自然災(zāi)害引起的設(shè)備損毀等等.2_2.2安全評估方法2.主要運用掃描分析工具,滲透測試,人為觀察分析,調(diào)75查詢問等方式,評估信息系統(tǒng)安全控制的能力.政府部門可以根據(jù)信息系統(tǒng)安全風(fēng)險評估的需要,依照以上方法,并依據(jù)ISO17799的安全標準自行開展安全評估或者委托有資質(zhì)的第三方安全評估機構(gòu)進行測評.2_2_3安全漏洞的特-陛任何一個信息系統(tǒng)存在的安全漏洞通常是動態(tài)變化的,即安全風(fēng)險評估存在一定生

10、命周期.隨著安全策略,配置參數(shù),應(yīng)用功能等客觀條件的變化,必然導(dǎo)致安全漏洞類型和數(shù)量的變化,從而最終改變系統(tǒng)安全風(fēng)險分析的結(jié)果.2.2.4安全威脅的確認安全威脅一定是由安全漏洞引起的,但安全漏洞并不一定導(dǎo)致安全威脅.只有在必要的觸發(fā)條件下'安全漏洞才可能成為對信息系統(tǒng)的現(xiàn)實威脅.前期對對象目標各因素的分析,對于安全威脅的確認起著十分關(guān)鍵的作用.通過以上的評估方法和手段,我們可以很清楚地了解到政府部門一個Web架構(gòu)實現(xiàn)對外便民服務(wù)的信息系統(tǒng),一般會存在DDOS等惡意攻擊,非授權(quán)訪問及合法用戶的越權(quán)訪問,黑客攻擊,應(yīng)用程序代碼攻擊,SQL注入等針對數(shù)據(jù)庫的攻擊,病毒傳播,人為誤操作,設(shè)備硬

11、件損壞等方面的安全漏洞和威脅.當(dāng)然具體的類型和狀況,會因安全管理程度,安全配置以及軟硬件條件的差異而有所不同.2.3安全風(fēng)險分析及統(tǒng)計通過對信息系統(tǒng)進行安全評估,明確存在的安全漏洞,并結(jié)合基礎(chǔ)條件和對象目標因素的影響,分析出可能的安全威脅之后,下一步就是要對所有安全威脅進行分類,對有可能利用安全威脅,實施攻擊破壞行為的發(fā)生概率進行估算.并對破壞行為實施后對信息系統(tǒng)造成的損失程度綜合統(tǒng)計,最終形成安全風(fēng)險分析報告.為構(gòu)建適度合理,科學(xué)有效的安全防御體系,實現(xiàn)本部門信息安全的長期規(guī)劃和戰(zhàn)略目標提供事實依據(jù).2.3.1分析及統(tǒng)計的指標參數(shù)【】安全風(fēng)險就是在特定范圍內(nèi),信息系統(tǒng)(包括有形資產(chǎn)和無形資產(chǎn)

12、)遭到損失的概率.損失可以是直接損失,包括數(shù)據(jù)遭到破壞,設(shè)備或系統(tǒng)崩潰,涉密信息遭竊取或泄漏,生產(chǎn)效率降低等等;也可以是因直接損失導(dǎo)致的投訴,政府部門形象破壞等方面的間接損失或延遲損失(delayloss).一個完整的安全風(fēng)險分析和統(tǒng)計過程,涉及到的重要指標參數(shù)包括:有形資產(chǎn)或無形資產(chǎn)的價值,安全威脅發(fā)生的頻率,安全威脅成功實施的概率以及引起損失的嚴重程度等等.2.3-2分析及統(tǒng)計的過程及步驟步驟l:確定資產(chǎn)價值步驟2:估算每個安全威脅可能造成的損失步驟3:估算每個安全威肋發(fā)生的概率(以一年i十算)步驟4:合計每個安全威脅每年造成的總損失7620o9.04安全風(fēng)險分析及統(tǒng)計方法可分為定量分析和

13、定性分析兩種.定量分析主要是將上述步驟中涉及的參數(shù)進行量化,并通過給事先制定的公式計算輸入具體數(shù)值獲得分析結(jié)果.往往定量分析方法得出的結(jié)果較直接,但每個參數(shù)計算過程相對復(fù)雜,同時涉及數(shù)學(xué)參考模型與現(xiàn)實環(huán)境的接近程度.定性分析主要是依據(jù)分級原則,在一定估值范圍內(nèi)對發(fā)生概率,嚴重程度等參數(shù)給予不同層次的參考數(shù)值.參考數(shù)值的一般來源于分析人員的直覺和經(jīng)驗.兇此,對于定性分析,分析人員的經(jīng)驗和能力十分重要.下面以某政府部門提供公眾的Web架構(gòu)對外便民服務(wù)信息系統(tǒng)為例,通過定量,老I生兩種方法對其進行安全風(fēng)險分析.表1為定量分析過程.表2為定性分析過程.表1安全風(fēng)險定量分析示例蝣游哇酸中蜘姆茜&

14、amp;艟0梅怒螓粕篾腳4船l竹t?_1矗'rl¨_鼽銜±"Jl1,','j;.Kt'll1I【I哪,h駐囂卷h一,科j鐳趣機r1,l¨Ijt"l_-牟h通常,安全風(fēng)險分析員會在意生分析之前,將涉及參數(shù)的性質(zhì)按等級劃分不同的層次,并賦予相應(yīng)的估值或權(quán)重.如以1到5的范圍分值表示從低到高的不同程度計算,表2為定性分析示例.表2安全風(fēng)險定性分析示例l囊.?鼉哦或特晴北挺蟊仝舟鬟t.,f鐫盤瓤啦疵柏概蠕t,ht誨1l*,i!"翦豫,'h-_¨f.3.4制定安全對策安全風(fēng)險分析結(jié)果綜合考慮了安

15、全風(fēng)險發(fā)生概率,危害程度等因素,并對每一種可能的安全威脅給出了一定客觀的估值.在資金投入有限的情況我們雖然不可能一次性解決所有安全威脅,但可以參照安全風(fēng)險分析的結(jié)果,視不同情況采取減少,避免,轉(zhuǎn)移和接受安全風(fēng)險等不同程度的安全對策,建立起一個投資效益比值最優(yōu),客觀,有效的信息系統(tǒng)安全保護機制.通過建立安全風(fēng)險和損失程度(定性指標為例)作為數(shù)值參數(shù)的坐標系(如圖2所示),我們可以將所有可能的威脅劃分為四組,即緊急程度最高的c組,緊急程度相對較低的A組和緊急程度中等的B組和D組.通常,C組是我們必須加大資金投入和安全管理力度的部分,是實施安全保護措施的重點對象.一般可采用部署安全保護措施或者暫?？赡茉斐娠L(fēng)險的行為和活動來降低安全風(fēng)險及損失程度.A組在一般情況下可以通過安全保護措施降低風(fēng)險,如果條件允許,也可不采取任何安全措施,接受該部分可能造成的安全風(fēng)險.B組和D組部分,我們可以綜合資金投入量,本部門安全中長期規(guī)劃和戰(zhàn)略目標等其他因素,通過部署安全保護措施或者轉(zhuǎn)移,接受部分風(fēng)險的方