1、研究報告二網絡安全評估標準研究報告一、研究現狀隨著網絡技術的進展，運算機病毒、網絡入侵與解決等各類網絡安全事件給網絡帶來的要挾和危害愈來愈大，需對網絡數據流進行特征分析，得出網絡入侵、解決和病毒的行為模式，以采取相應的預防辦法。宏觀網絡的數據流日趨增大，其特征在多方面都有表現。為了系統效率，只需對能表現網絡安全事件發生程度與危害的重點特征進行分析，并得出反映網絡安全事件的重點特征，形成安全評估指標。隨著信息技術與網絡技術的迅猛進展，信息安全巳經成為全世界一路關注的話題，信息安全管理體系逐漸成為確保組織信息安全的大體要求,同時網絡與信息安全標準化工作是信息安全保障體系建設的重要組成部份。網絡與信

2、息安全標準研究與制定為管理信息安全設備提供了有效的技術依據,這對于保證安全設備的正常運行和網絡信息系統的運行安全和信息安全具有超級重要的意義。本文將介紹當前網絡信息安全標準研究的現狀,并著重介紹幾個現階段國內外較流行的安全標準。最近幾年來，面對日趨嚴峻的網絡安全形式，網絡安全技術成為國內外網絡安全專家研究的核心。長期以來，防火墻、入侵檢測技術和病毒檢測技術被作為網絡安全防護的主要手腕，但隨著安全事件的日趨增多，被動防御巳經不能知足咱們的需要。這種情形下，系統化、自動化的網絡安全管理需求逐漸升溫，其中，如何實現網絡安全信息融合，如何真實、準確的評估對網絡系統的安全態勢巳經成為網絡安全領域的一個研

3、究熱點。對網絡安全評估主要集中在漏洞的探測和發覺上，而對發覺的漏洞如何進行安全級別的評估分析還十分有限，大多采用基于專家經驗的評估方式，定性地對漏洞的嚴峻性品級進行劃分，其評估結果并非隨看時刻、地址的轉變而轉變，不能真實地反映系統實際存在的安全隱患狀況。再加上此刻的漏洞評估產品存在誤報、漏報現象，使得安全管理員很難肯定到底哪個漏洞對系統的危害性比較大，以便采取辦法降低系統的風險水平。因此，咱們以為：漏洞的評估應該充分考慮漏洞本身的有關參數及系統的實際運行數據兩方面信息，在此基礎上，成立一個基于信息融合的網絡安全評估分析模型，取得準確的評估結果2相關工作現有的安全評估方式能夠大致歸結為4類:安全

4、審計、風險分析、安全測評和系統安全工程能力成熟度模型SSE-CMM(SystemsSecurityEngineeringCapabilityMaturityModel)等。大部份通用的信息安全標準，如ISO17799JSO13335等，其核心思想都是基于風險的安全理念4-6。信息技術先進的國家，例如美國、俄羅斯和日本等在信息安全保障評價指標體系方面已經率先開展了研究工作。專門是美國,利用卡內基梅隆大學系統安全工程能力成熟度模型SSE-CMM4較早地成立了信息安全保障評價指標體系5,6。Rayford7和NabilSeddigh8等人研究了信息安全保障評價的概念和范圍,給出了信息安全保障評價的框

5、架。在國內，國家信息中心9,10研究了網絡信息系統的信息安全保障理論和評價指標體系;更多的研究針對網絡安全的評價與旨標體系11L在評估方面，魏忠12提出了從定性到定量的系統性信息安全綜合集成評估體系；肖道舉等13進行了網絡安全評估模型的研究;黃麗民等14提出了網絡安全多級模糊綜合評價方式;李宏偉等15在采用模糊層次分析法Fuzzy-AHP評估網絡解決效果方面取得了必然的功效。有些研究已經應用到具體的行業中16-18。最近，中國工業與信息產業部推出了“中國信息安全產品評測指標體系"19。目前，有關網絡信息系統的安全評價雖然存在看多種多樣的具體實踐方式，但活看界上尚未形成系統化?口形式化

6、的評價理論和方式。評價模型大體是基于灰色理論(GrayTheory)或模糊(Fuzzy)數學,而評價方式大體上用層次分析法AHP(AnalyticHierarchyProcess)或模糊層次分析法Fuzzy-AHP,將定性因素與定量參數結合，成立了安全評價體系，并運用隸屬函數和隸屬度肯定待評對象的安全狀況。上述各類安全評估思想都是從信息系統安全的某一個方面動身，如技術、管理、進程、人員等，看重于評估網絡系統安全某一方面的實踐規范，在操作上主觀隨意性較強，其評估進程主要依托測試者的技術水平和對網絡系統的了解程度,缺乏統一的、系統化的安全評估框架,很多評估準則和指標沒有與被評價對象的實際運行情形和

7、信息安全保障的效果結合起來。在目前的評估方式中，基礎指標(技術、管理、工程和戰略)是彼此獨立的，技術、管理、工程和戰略辦法是并行的，評價指標之間彼此獨立,從而致使評價精度下降和評價準確性出現誤差。二、指標體系詳細信息安全保障評價指標體系由信息安全保障評價框架和流程能夠得知，信息安全保障評價指標的核心為靜態(功能)指標、動態(運行)劇示和狀態(屬性)指標。信息安全保障評價指標體系如圖3所示20信息安全保障系統評價指標體系睜態指標保障功能動態指標安全運行狀態指標 保障效果1戰略完備性A安全政策管理先進性一安全條列<工程成熟性-A安全實施技術有效性一A安全措施預警一A預警和預警時間檢測A檢測率

8、和虛警率防御一A通過率和過濾率 狀態監控 -A信息系統整體安全性 安全基線卜一安全運行最小要求|保障效果一"A信息和侑息系統的屬性I保障效益A社會效益和經濟效益由圖3可得信息安全保障評價指標體系分為4級：(1)整體指標整體指標為信息安全保障評價指標，表示信息安全保障整體的安全態勢、保障效果、經濟和社會效益。(2)1級指標別離采用靜態評估、動態評估和狀態評估3種手腕對信息安全保障系統進行評價，取得3個I級指標，即靜態、動態和狀態指標。n級指標由3個I級指標延伸出如下11個n級指標：a)靜態指標包括戰略完備性、管理先進性、工程成熟性和技術有效性；b)進程指標包括預警、檢測和防御；C)效果

9、指標包括狀態監控、安全基線、保障效果和保障效益。m級指標m級指標為基礎指標，它是在信息系統上通過技術手腕和管理手腕能夠直接或間接收集或統計取得的數據和信息，即為底層的信息安全保障運行數據。鼠出指標的組成如下：a）靜態指標包括安全政策、安全條例、安全實施和安全辦法；b）進程指標包括預警、檢測和防御；c）效果指標包括整體安全性、安全運行最小要求、信息和信息系統的安全屬性和社會效益和經濟效益。3網絡與信息系統安全性評估指標體系初步擬定,整個指標體系，包括5個大項,35個條款。綱目如表1所示。表1指標體系綱目類別地位分值實體與環境安全基礎30分30%組織管理與安全制度關鍵30分30%安全技術辦法保障2

10、0分20%網絡通信安全重點10分10%軟件與信息安全重點10分10%細貝!J實體與環境安全（30分）（1）機房周圍100m內無危險建筑。（2分）危險建筑:指易燃、易爆、有害氣體等存在的場所，如加油站、煤氣站、煤氣管道等。（2）有監控系統。（3分）監控系統:指對系統運行的外圍環境、操作環境實施監控（視）的設施。（3）有縱火、防水辦法。（2分）防火:指機房內安裝有火災自動報警系統，或有適用于運算機機房的滅火器材、應急計劃及相關制度。防水:指機房內無滲水、漏水現象，如機房上層有效水設施需加防水層。（4）機房有環境測控設施（施、濕度和干凈度）。（5分）溫度控制:指機房有空調設備，機房溫度維持在1824

11、。濕度控制:指相對濕度維持在40%60%。干凈度控制:機房和設備應維持清潔、衛生，進出機房換鞋，機房門窗具有封鎖性能。（5）有防雷辦法（具有防雷裝置,接地良好）。防雷裝置:指機械設備有接地辦法，電器設備（包括通信設備和電源設備）有防雷設施。（6）備用電源和自備發電機。（2分）（7）利用UPS。（2分）（8）防靜電辦法（采用防靜電地板，設備接地良好）。（2分）（9）專線供電（與空調、照明用電分開）。（5分）（10）防瓷辦法。（5分）中心有人值班，出入口安裝防盜安全門，窗戶安裝金屬防護裝置，機房裝有無線電遙控防盜聯網設施。組織管理與安全制度（30分）（11）有專門的信息安全組織機構和專職的信息安全

12、人員。（4分）信息安全組織機構的成立與信息安全人員的錄用必需有有關單位的正式文件。（12）有健全的信息安全管理的規章制度。（4分）有規章制度的得2分，上墻的得2分。（13）信息安全人員的配備，調離有嚴格的管理制度。（4分）（14）設備與數據管理制度完備，而且上墻。（4分）（15）有詳盡的工作手冊和完整的工作紀錄。（4分）（16）有緊急事故處置預案。（3分）（17）有完整的信息安全培訓計劃和培訓制度。（4分）（18）各類人員的安全職責明確，安全管理制度嚴格。（4分）安全技術辦法（20分）（19）有災難恢復的技術對策。（3分）（20）采取開發工作與業務工作分離辦法。（2分）（21）具有應用業務。系

13、統安全審計功能。（3分）（22）有系統操作日記。（3分）系統操作日記:指天天開、關機,設備運行狀況等文字記錄。（23）有服務器備份辦法。（4分）（24）有防黑客入侵設施。（3分）防黑客入侵設施:設置防火墻,有入侵檢測等設施。（25）有運算機病毒防范辦法。（2分）運算機病毒防范辦法:備有病毒預防及消除的軟、硬件產品，并能按期升級。網絡與通信安全（10分）（26）放置通信設施的場所設有奪目標志。（2分）（27）重要通信線路及通信控制裝置均有備份。（28）采取加密辦法。（2分）（29）系統運行狀態有安全審計跟蹤辦法。（2分）（30）網絡與信息系統加有訪問控制辦法。（2分）訪問控制辦法指能按照工作性質

14、和級別高低,劃分系統用戶的訪問權限。軟件與信息安全（10分）（31）操作系統及數據庫有訪問控制辦法。（2分）（32）應用軟件、系統信息有防破壞辦法。（2分）（33）對數據庫及系統狀態有監控設施。（2分）(34)有效戶身份識別辦法。(2分)(35)系統用戶信息采用異地備份。(2分)2終端安全評估量化指標體系隨看電子政務的蓬勃進展,信息系統評估領域已經取得政府部門的高度重視，對信息安全評估的需求也愈來愈多，網絡終端安全評估量化指標體系將應用于電子政務網絡,在指標體系的基礎上進行的終端安全評估知足了政府部門的信息安全評估需求.信息安盡是一個動態的復雜進程,它貫穿于信息系統的整個生命周期.信息安全的要

15、挾可能來自于內部破壞、外部解決、內外聯合進行的破壞和自然危害,因此信息安全評估必需依照風險管理的思想，對可能的要挾、脆弱性和需要保護的信息資產進行分析.對網絡終端安全進行評估時，以資產、要挾、脆弱性3個大體要素構建4級網絡終端安全評估量化指標體系，以量化的指標多方面、多層次來描述終端的安全狀況彳導出客觀的評估結果.按照國家對網絡與信息系統安全性的大體要求，在制定網絡終端安全評估量化指標體系時應遵循以下原則:依據國際、國內信息安全評估規范;知足用戶提出的安全性要求;反映終端安全的各方面;按層次劃分各個指標5.如表1所示的4層結構的網絡終端安全評估量化指標體系.在文獻6提出的網絡終端安全評估量化指

16、標體系的基礎上進行網絡終端安全評估的主要進程有：(1)搜集資料:通過搜集的有關數據和信息對網絡終端系統有一個全面的熟悉.數據的來源可通過問卷調查、輔助工具、文檔資料來取得.(2)采用漏洞掃描工具和入侵檢測技術并利用搜集到的有關指標的數據和資料，對網絡終端存在的脆弱性和要挾進行識別和分析彳導出安全事件發生的原因、影響因素和最終結果.利用層次模糊評價法,量化網絡終端脆弱性和要挾指標.(3)結合網絡終端安全評估模型計算出終端安全評估值,進行綜合的定性分析，對終端安全狀況、后果的嚴峻性進行估量和評價.(4)肯定高風險區域，并制定出合理可行的網絡終端安全解決方案.網絡終端安全狀況評估的最終目的是降彳氐風

17、險和保護資產.資產的價值不是指以資產的經濟價值來決定，更多的是指資產的影響價值決定.脆弱性是資產本身存在的，要挾是對終端直接或間接的解決,它能夠利用脆弱性對資產造成損失.在采取相應的安全策略控制安全風險時，信息資產的影響價值是一個重要的控制量，通過減少信息資產的潛在影響價值來降低安全風險，同時也能夠通過降低要挾的方式、彌補系統漏洞的方式來降低安全風險.網絡終端安全狀況評估主如果識別和分析資產價值、要挾及脆弱性.信息資產綜合其保密性(confidentiality).完整性(integrity)、可用性(availability)3個屬性進行賦值.按照資產在保密性、完整性、可用性要求的不同程度，

18、將3個屬性劃分為5個品級，對不同的品級給予不同的數值，級別越高數值越大.資產的最終賦值Assets=f(C,I,A),其中f是信息資產的C、I、A映射到信息資產的函數，Assets=Round(3CxIxA).將資產劃分為5個品級,級別越高數值越大，資產越重要.網絡終端安全評估按照資產的最終賦值肯定其是不是為重要資產，主如果針對重要資產進行評估.按照要挾(T)出現的頻率對要挾進行賦值并劃分為5個品級.脆弱性(V)識別是針對每一項資產，識別可能被要挾利用的弱點，并對脆弱性的嚴峻程度進行賦值.能夠利用漏洞掃描工具發覺主機存在的漏洞.對應不同環境下的相同弱點，其脆性的程度是不同的.應從組織安全策略的

19、角度肯定脆弱性的程度，一樣對脆弱性劃分為5個品級，對要挾和脆弱性的不同品級給予不同的數值，級別越高數值越大，賦值范圍為15之間的數.利用層次模糊綜合評價法，計算要挾、脆弱性最終獻值.按照網絡終端安全評估的3個大體要素，即資產、要挾、脆弱性的最終賦值,并結合網絡終端安全狀況評估模型，分析得出網絡終端安全狀況評估值，再進行綜合的定性分析，主要評估算法和計算進程如下:安全事件可能性(P)=要挾+脆弱性(V);損失程度(L)=安全事件可能性(P)x資產(A);終端安全狀況值(S尸終端安全事件的損失(L)x風險發生的概率(R)6.終端安全狀況評估模型如圖1所示.終端安全狀況由參數(T,V,A,R)決定，

20、按照這4個參數值即可取得終端安全狀況值網絡終端安全狀況評估固有的主觀因素對評估結果有專門大的影響,為了盡可能減小這些主觀因素,本文在網絡終端安全評估量化指標體系的基上肯定了評估進程中參照的指標，全面、準確地反映網絡終端安全狀況，并對各項指標進行量化,采用評估模型和結合實例給出了評估量化指標的具體實現進程，形成一個全局的更合理、更準確的網絡終端安全狀況量化分析結果.3網絡態勢感知的指標體系3. 1構建網絡安全態勢指標體系的原則相似相近原則對于宏觀性的網絡來講，其影晌因素相當多，其中一些是近似的、彼此影響的，如數據包的散布、數據包大小的散布,這些指標應該被統一考慮。分層的原則這些指標本身具有層次性

21、，有些是針對局域子網的，有些是針對大規模宏觀網絡的，在搜集和處置上的不同都比較大，應該別離分層次的考慮。動靜結合的原則這主要針對指標本身的特性。例如流量時刻轉變需要實時搜集，而網絡拓撲結構那個指標一般來講一段時刻內是穩固不變的，這兩種特性完全不同的指標要別離開來，同與自身特性相近的指標組合。3.2構建網絡安全態勢指標體系按照指標體系的構建原則將指標組織如下:1）網元信息:存活主機數量、不同開放端口相應的主機總量、操作系統及其版本在整個子網中所占比例、所提供的不同服務對應的主機總量。2）流量信息:數據包大小的散布，數據包大小的散布的轉變率，數據流總量，流量轉變率，協議的散布，數據流入量，流入量增

22、加率，流入數據源IP散布，帶寬利用率，訪問主流安全網站的頻率（最近1小時內，已處置的連接/成立連接數）。3）報警信息:本子網的安全事件，歷史安全事件發生頻率。4）漏洞信息:本子網的網絡漏洞及本子網內各主機的主機漏洞。5）靜態配置信息:子網內安全設備數量，網絡拓撲。在此基礎上提煉出四個表征宏觀網絡性質的二級綜合性指標:脆弱性、容災性、要挾性和穩固性。再依據本章所提出的各類原則和第2章劃分的層次進行研究，設計出了網絡安全態勢評估指標體系，如表1所示。其中，網絡脆弱性偏重描述被評網絡自身在安全方面的不足的地方，因此，其自身的硬件軟件配置和服務配置就是其主要載體;網絡容災性偏重描述被評網絡自身對安全事

23、件的防范能力，主要體此刻網絡的硬件設備與軟件設施的容災能力上;網絡所受的要挾性,是從來自外部的各類要挾來對被評網絡本身的安全態勢做評估;網絡的穩固性是一個持續的概念，因為穩固即不變，也就是一種狀態延續自上一時刻，和上一時刻的狀態幾乎是一樣的，所以，網絡的穩固性與時刻有專門大的關系，衡量它的指標也都幾乎與時刻有關，如流量轉變率、數據包散布比值的轉變率等。三、物聯網環境下新要求物聯網是運算機、互聯網與移動通信網等相關技術的演進和延伸，其核心共性技術、網絡與信息安全技術和關鍵應用是物聯網的主要研究內容。物聯網感知節點多數部署在無人監控環境，而且由于物聯網是在現有的網絡彝出上擴展了感知網絡和應用平臺，傳統網絡安全辦法不足以提供靠得住的安全保障。物聯網安全研究將主要集中在物聯網安全部系、物聯網個體隱私保護模式、終端安全功能、物聯網安全相關法律的制訂等方面。其中物聯網被以為是繼運算機、互聯網與移動通信網以后的又一次信息產業浪潮，代表了下一代信息技術的方向。物聯網除與傳統的運算機網絡和通信網絡技術有關外，還涉及到了許多新的技術，如射頻技術、