网络安全风险评估问题研究

摘要　在电子政务和电子商务应用快速发展的今天，信息安全问题越来越突出。企业网络随着企业不断的发展，面临的安全环境也越来越复杂。本文在介绍风险评估的基本步骤和方法的基础上，重点对于面向运行的风险评估进行详细阐述，有利于我国企业网络安全进一步发展。

关键词　企业网络安全　网络安全评估　风险评估　面向运行

一、引言

信息安全不是一个孤立静止的概念，信息安全是一个多层面的多因素的综合的动态的过程。在HTP模型中，信息安全建设是从体系建设过程、运行及改进过程、风险评估过程再到体系建设过程的一个循环往复的过程。没有绝对的安全，信息安全的技术是不断的前进的。所以面向企业网络的安全体系建设是一个需要在不断考察企业自身发展环境和安全需求的基础上，通过对现有系统的风险评估，不断改进的过程。整个安全体系统建设，不能一劳永逸，一成不变。因此，引入安全风险评估的概念和方法相当重要，它为企业网络的自身评估提供了良好的手段，是企业网络安全体系不断发展的动力。

二、风险评估的基本步骤和方法

进行风险评估，首先应按照信息系统业务运行流程进行资产识别，明确要保护的资产、资产的位置，并根据估价原则评价资产的重要性。在对资产进行估价时，不仅要考虑资产的市场价格，更重要的是要考虑资产对于信息系统业务的重要性，即根据资产损失所引发的潜在的影响来决定。为确保资产估价的一致性和准确性，信息系统应按照建立一个统一的价值尺度，以明确如何对资产进行赋值。还要注意特定信息资产的价值的时效性和动态性。

其次系统管理员、操作员、安全专家对信息系统进行全面的安全性分析。对系统进行安全性分析的方法包括调查研究、会议座谈、理论分析、进行模拟渗透式攻击等方法，可运用的分析技术包括贝叶斯信任网络法、事件树分析法、软件故障树分析法、危害性与可操作性分析法、Petri网法、寄生电路分析法以及系统影响和危险度分析法。

再次对已采取的安全控制进行确认。

最后，建立风险测量方法及风险等级评价原则，确定风险的大小与等级。按照风险评估的深度，风险评估方法可分为：①基本的风险评估方法：对组织所面临的风险全部采用统一、简单的方法进行评估分析并确定一个安全标准，这种方法仅适用于规模小、构成简单、信息安全要求不是很高的组织；②详细的风险评估方法：对信息系统中所有的部分都进行详细的评估分析；③联合的风险评估方法：先鉴定出一个信息系统中高风险、关键、敏感部分进行详细的评估分析，然后对其他的部分采取基本的评估分析。

在进行风险评估时，可采用定性或定量分析方法。定性评估时并不使用具体的数据表示绝对数值，而是用语言描述表示相对程度。由此得出的评估结果只是风险的相对等级，并不代表风险的绝对大小。

定量风险分析方法要求特别关注资产的价值损失和威胁的量化数据。对于具体环境的某一个安全风险时间发生的概率是安全威胁发生概率与系统脆弱点被利用概率的函数，根据联合概率分布计算公式可得出安全事件L发生概率为PL=TL×VL。其中TL是未考虑资产脆弱点因素的威胁发生的发生概率，VL是资产的脆弱点被威胁利用的概率。

目前风险评估工具存在以下几类：①扫描工具：包括主机扫描、网络扫描、数据库扫描，用于分析系统的常见漏洞；②人侵监测系统(IDS)：用于收集与统计威胁数据；③渗透性测试工具：黑客工具，用于人工渗透，评估系统的深层次漏洞；④主机安全性审计工具：用于分析主机系统配置的安全性；⑤安全管理评价系统：用于安全访谈，评价安全管理措施；⑥风险综合分析系统：在基础数据基础上，定量、综合分析系统的风险，并且提供分类统计、查询、TOPN查询以及报表输出功能；⑦评估支撑环境工具：评估指标库、知识库、漏洞库、算法库、模型库。

三、面向运行的风险评估

由于还没有一个标准的建设程序和规范，因此在国内很少有企业在风险评估的基础上进行系统建设，而且很多情况下选择将网络一次性安装完毕。针对这种情况，我们觉得可以考虑采用面向运行的风险评估的方法，对已经建成的、正在运行的网络进行风险评估，查找问题，然后针对风险点，逐步加以建设完善。在此基础上，可对网络再进行一次风险评估。检查信息系统安全绩效，并为进一步提升安全性能做好准备。对于一个企业来讲，网络可以由多个功能模块组成，包括核心网络、服务器组、广域网、互联网、拨号用户等。

1.企业网络分析

企业园区网络主要包括核心网络、分布层网络、接人层网络、服务器网络等几个部分。各个部分都可能受到来自企业内部的安全威胁。(1)核心网络，核心网络主要实现核心交换功能，主要的威胁为分组窃听。(2)分布层网络，分布层网络为接入设备提供路由、服务质量和访问控制等分布层服务，完成核心网络与接入网络的信息交互，它是针对内部发起攻击的第一道防御。在这个网络中可能存在未授权访问、IP电子欺骗、分组窃听等威胁。(3)接人层网络，接入层网络是为企业内部网络最终用户提供服务。用户设备是网络中最大规模的元素，因此该部分网络可能存在大量的来自内部网络用户的安全威胁。如外来笔记本等不安全机器可接入内部网，对内部网的安全造成威胁，可能造成内部数据的泄露，网络受到恶意攻击；企业内部网上使用的电脑擅自拨号上互联网，造成一机多网，可能感染病毒，受到互联网上用户的攻击；内部网客户端的安全补丁和杀毒软件病毒库没有及时更新，无法有效地防范病毒，因此有病毒泛滥的风险等。(4)服务器网络，服务器网络因为向最终用户提供应用服务，存储大量的企业内部数据，通常会成为内部攻击的主要目标，因此未授权访问、应用层攻击、IP电子欺骗、分组窃听、信任关系利用、端口重定向等威胁时刻存在。

2.确定已经采取的安全控制手段

对于企业园区网应当采取的安全控制手段，在这里我们不做详细讲解。我们要做的就是根据网络安全管理的设计方案，结合上面确定的风险点，进行检查，确定在这些风险点上已经采取的安全控制措施，并确保这些措施切实有效。比如：(1)防火墙设置是否安全；(2)防火墙是否使用NAT地址转换；(3)是否安装入侵监测系统；(4)是否使用电子邮件内容过滤；(5)是否使用RFC2827和1918过滤；(6)拨号用户是否签订安全协议；(7)拨号用户是否进行强身份认证；(8)是否对用户线路采用拨号回送程序和控制措施；(9)是否对拨号上网用户流经关键接口的网络数据包进行监视记录。当然这只是需要确认内容的一小部分。在确认过程中需要做到的是耐心仔细，不放过每一个细节。同时我们应当与各个部门负责人和系统管理员协同工作，以便取得更大的成效。

3.确定风险的等级

我们需要使用一些扫描工具，对内部网络进行扫描，以便建立风险等级评价原则，确定风险的大小与等级。根据扫描结果，我们可以结合已经收集到的大量网络信息，进行认真比较和评估。最后我们可以总结出发现的问题，并提出化解风险的建议。

当然风险是客观存在的，通过风险评估的方法，能够在一个阶段内帮助解决网络安全问题，但并非一劳永逸。我们应该建立风险评估的良性循环机制，定期进行风险评估，以便不断的提升网络安全性能。

四、结语

引入了风险评估的理论，从风险评估的产生和发展历史讲起，通过对企业园区网络进行风险评估的演示，介绍了一些风险评估的方法和基本步骤。其中还采用了扫描工具，以便确定风险的等级，提出解决方案。信息安全不是一个孤立静止的概念，信息安全建设是一个多层面、多因素的、综合的、动态的过程。风险评估是建立企业网络安全体系的起点，但并不是终点，因此建立风险评估的良性循环体制，是不断提升网络安全性能的重要保证。