網絡系統的安全風險分析與評估

　　一個完整的安全體系和安全解決方案要根據網絡體系結構和網絡安全形勢的具體情況來確定，沒有“以不變應萬變”的通用的安全解決方案。信息安全關心的是保護信息資產免受威脅，絕對安全是不可能的，只能通過一定的措施把風險降低到一個可接受的程度。對一個系統來說，解決信息安全的首要問題就是明白信息與網絡系統目前與未來的風險所在，充分評估這些風險可能引發的威脅與影響的程度，做到“對癥下藥”，這就是信息與網絡系統的風險分析與評估。

　　風險評估是網絡安全防御中的一項重要技術，也是信息安全工程學的重要組成部分。其原理是對采用的安全策略和規章制度進行評審，發現不合理的地方，即采用模擬攻擊的形式對目標可能存在的已知安全漏洞進行逐項檢查,確定存在的安全隱患和風險級別。風險分析針對系統的體系結構、指導策略、人員狀況以及各類設備，例如工作站、服務器、交換機、數據庫應用等各種對象，根據檢查結果向系統管理員提供周密可靠的安全性分析報告，為提高網絡安全整體水平提供重要依據。

　　在網絡安全體系的建設中，安全掃描工具花費低、效果好、見效快，與網絡的運行相對獨立、安裝運行簡單，可以大規模減少安全管理員的手I勞動，有利于保持全網安全政策的統和穩定，是進行風險分析的有力工具。安全掃描技術基本上也可分為基于主機的和基于網絡的兩種，前者主要關注軟件所在主機上的風險與漏洞，而后者則是通過網絡遠程探測其他主機的安全風險與漏洞。

　　一、目標和原則

　　風險分析是有效保證信息安全的前提條件。只有準確地了解系統的安全需求、安全漏洞及其可能的危害，才能制定正確的安全策略。另外，風險分析也是制定安全管理措施的依據之-一。 風險分析與評估是通過一系列管理和技術手段來檢測當前運行的信息系統所處的安全級別、安全問題、安全漏洞，以及當前安全策略和實際安全級別的差別，評估運行系統的風險，根據審計報告制定適合具體情況的安全寂略及其管理和實施規范，為安全體系的設計提供參考。

　　風險分析的目標是:了解網絡的系統結構和管理水平，以及可能存在的安全隱患;了解網絡所提供的服務和可能存在的安全問題，了解各應用系統與網絡層的接口及其相應的安全問題;對網絡攻擊和電子欺騙進行檢測.模擬和預防;分析信息網絡系統對網絡的安全需求，找出目前的安全策略和實際需求的差距，為保護信息網絡系統的安全提供科學依據。

　　由于風險分析與評估的內容涉及很多方面，因此進行分析時要本著多層面、多角度的原則，從理論到實際，從軟件到硬件，從物件到人員，要事先制定詳細的分析計劃和分析步驟，避免遺漏。另外，為了保證風險分析結果的可靠性和科學性，風險分析還要參考有關的信息安全標準和規定，如《中華人民共和國計算機信息系統安全保護條例》《中華人民共和國計算機信息網絡國際聯網管理暫行規定》《計算機信息網絡國際聯網安全保護管理辦法》《計算機信息系統安全專用產品檢測和銷售許可證管理辦法》《中華人民共和國計算機信息網絡國際聯網管理暫行規定實施辦法》《商用密碼管理條例》等,做到有據可查。

　　二、對象和范圍

　　風險分析的內容與范圍應該涵蓋信息網絡系統的整個體系，包括網絡安全組織、制度和人員情況，網絡安全技術方法的使用情況，防火墻布控和外聯業務安全狀況，動態安全管理狀況，鏈路、數據和應用加密情況，網絡系統訪問控制狀況等。在網絡系統的安全工作中，人是關鍵要素，無論網絡系統的安全服務、安全機制和安全過程多么自動化和現代化，都需要人去啟動、運行和管理。如果管理水平低下，人員素質不高，那么網絡系統的安全性能就會減弱，漏洞就會增加。

　　具體來講，風險分析的內容范圍有以下幾個方面。

　　1、網絡基本情況分析:包括網絡規模、網絡結構、網絡產品、網絡出口、網絡拓撲結構。

　　2、信息系統基本安全狀況調查:系統是否遭到過黑客的攻擊，是否造成了損失;系統內是否存在違規操作的行為，具體有哪些行為;系統內成員的安全意識如何，技術人員是否進行過安全技術培訓，對一般職員是否進行過安全意識的教育工作，采用了什么樣的形式，效果如何。

　　3、信息系統安全組織、政策情況分析:是否有常設的安全領導小組，其人員構成和職責是什么;現有的網絡安全管理的相關制度有哪些;安全管理人員的編制、職能和責任落實情況怎樣。

　　4、網絡安全技術措施使用情況分析:網絡資源(人員、數據、媒體、設備、設施和通信線路)是否進行了密級劃分;對不同密級的資源是否采取了不同的安全保護措施，采取了哪些具體的措施;目前采取了哪些網絡安全技術措施;哪些措施不能滿足網絡安全的需求;哪些安全措施沒有充分發揮作用:網絡防病毒體系的完整性和有效性如何。

　　5、防火墻布控及外聯業務安全狀況分析:目前防火墻的布控方式是否合理，發揮的作用如何;信息系統對外提供的服務有哪些;以何種形式對外連接，是否采取了安全防護措施及采取了什么樣的安全措施。

　　6、動態安全管理狀況分析:是否使用過網絡掃描軟件對網絡主機和關鍵設備進行安全性分析和風險評估;操作系統和關鍵網絡設備的軟件補丁是否及時安裝，目前是否使用入侵檢測系統對網絡系統進行數據流監控和行為分析;是否對系統日志進行周期性審計和分析。

　　7、鏈路、數據及應用加密情況分析:系統中關鍵的應用是否采取了應用加密措施;網絡綜合布線是否符合安全標準;對關鍵線路是否有備份，啟用頻度如何;在廣域網線路方面是否采取了鏈路層或網絡層加密措施，應用系統對其有無加密需求。

　　8、網絡系統訪問控制狀況分析:系統用戶通過何種方法手段進行控制;關鍵服務器和設備的用戶是否得到嚴格的控制和管理;在訪問控制方面除了簡單的user用戶和password口令認證外，有無采取其他的訪問控制措施;主要服務器和關鍵設備的管理員的權限是否得到了分離;是否有內部撥號服務;訪問控制措施是否得當;對網絡資源的訪問，是否有完整的日志和審計功能。

　　9、白盒測試:分析系統的抗攻擊能力，測試系統能否經得住常見的拒絕服務攻擊、滲透入侵攻擊;是否有緩沖區漏洞缺陷;對各種攻擊的反應如何。

　　三、方法與手段

　　網絡安全是-一種特殊的質量體系，這種安全是動態的，即使在網絡建設時達到了預定的安全性能，但隨著網絡設備的升級、網絡服務的增加以及應用系統的更新，對網絡安全的威脅也會不斷增加。只有對網絡系統進行長期的精心維護和科學管理，才可能保持網絡系統的安全系數。為了掌握網絡信息系統的安全狀況，檢查發現系統中的安全隱患，需要從制度、管理和技術三個角度對網絡系統進行綜合性分析評估。在分析過程中，要時刻把握多角度、多層次的原則，首先要根據相關政策法規，查找被分析對象在管理上的疏忽和漏洞，如備份與恢復方案、緊急響應機制等;再從技術層面評測網絡系統的安全性，如通信加密、用戶訪問控制、安全認證體系、攻擊監控等。

　　風險分析可以使用以下方式實現:問卷調查、訪談、文檔審查、黑盒測試、操作系統的漏洞檢查和分析、網絡服務的安全漏洞和隱患的檢查和分析、抗攻擊測試、綜合審計報告等。

　　風險分析的過程可以分為以下四步。

　　1、確定要保護的資產及價值。如果不知道要保護什么內容，或者不知道要保護內容的情況，那就談不上安全了。明確要保護的資產、資產的位置以及資產的重要性是安全風險分析的關鍵。

　　2、分析信息資產之間的相互依賴性。由于某項資產的損失可能會導致其他資產的失效，因此，在確定資產的時候還要考慮資產之間的關聯性。

　　3、確定存在的風險和威脅。確定了要保護的資產后，就應該分析對資產的潛在威脅以及受此威脅的可能性。威脅可以是任何可能對資產造成損失的個人、對象或事件,威脅也可能是故意的或偶然的。明確存在哪些弱點漏洞及這些弱點漏洞的風險級別，分析資產所面臨的威脅、發生的可能性以及一旦出現安全問題，可能造成什么樣的影響等。

　　4、分析可能的入侵者。即分析其存在的數量，進行攻擊的可能性，進行攻擊時威脅有多大等。

　　四、結果與結論

　　為了便于對風險分析的結果進行評審，結果能夠量化的盡可能地量化，不能量化的做出形式化描述。如果某個設備的價格、存在的漏洞缺陷的數量等是可以量化的，就必須給出量化后的結果;如果某-系統應用的安全級別不好量化，就應根據相關的評估標準來確定它的安全級別(如A級、B級或C級),這樣得出的分析結果就是大量的表格數據,這些數據就是以后各項工作的依據，應妥善地保存。

　　如何根據分析的數據結果得出最終的評估結論也是一項重要的工作，需要安全專家進行總結。對結果進行分析時一定要有所比較，要將所得到的結果與以前的結果進行比較，或要與其他信息系統的評估結果進行比較，還要與有關的標準進行比較。嚴格的比較有助于為信息系統的安全性定級，因此，參照物的選擇很關鍵。在比較之后，通過總體的權衡，給出整個系統安全性的概述說明，并將結論與測試結果上報主管部廣]或人員。