我国关键信息基础设施中安全态势感知研究.pdf

4 6 特别论文2 0 1 1 年增刊 李升，朱建平，张洁昕，刘静 （公安部信息安全等级保护评估中心，北京 1 0 0 1 4 2 ） 摘 要：文章从国内关键信息基础设施安全态势感知研究的必要性出发，首次提出了国内关键信息基 础设施安全态势感知的思想，框架性地介绍了安全态势感知的含义、模型、内容和方法，为研究分析和预 测国内整体信息安全趋势的走向与发展，对国内制定宏观的信息安全政策具有借鉴意义，为各行业主管部 门开展信息安全建设提供反馈和指导意见。 关键词：关键信息基础设施；重要信息系统；等级保护；态势感知；等级测评机构 中图分类号：t p 3 9 3 . 0 8 文献标识码：a 我国关键信息基础设施中 安全态势感知的研究 作者简介： 李升（1 9 7 5 - ） ， 男， 黑龙江， 硕士， 主要研究方向：信息安全；朱建平（1 9 5 9 - ） ， 男， 浙江， 研究员， 硕士， 主要研究方向：信息安全； 张洁昕（1 9 8 1 - ） ，女，四川，硕士，主要研究方向：信息安全；刘静（1 9 7 8 - ） ，女，山东，硕士，主要研究方向：信息安全。 0 引言 随着我国信息化建设步伐的加快，信息系统建设已经达到了一个相当的规模，据有关部门的统计，目前我国各行业重要系统 的数量（等级保护第三级以上的系统）已经达到数万个。这些系统中承载着我国各行业的重要业务，正发挥越来越重要的作用， 成为我国的关键信息基础设施。这些关键信息基础设施的安全建设越来越成为人们关注的焦点，其安全保障水平直接关系到我 国公众利益、经济秩序和国家安全，目前，对于这些关键基础设施的安全水平也没有完善的整体评价，基础数据采集也不够充分。 同时这些关键信息基础设施一旦受到威胁和破坏，所造成的直接和间接损失是无法估量和难以接受的。为了从根本上解决我国 信息安全整体防护水平，在继续深入推进等级保护制度同时，需要建立动态安全防护机制，从关键信息基础设施的安全态势感 知出发，及时掌握我国重要信息系统的安全状况，并能对未来安全态势的发展进行研判和预测，为有关部门制定信息安全政策 提供依据。 1 态势感知对于关键信息基础设施安全保障的重要意义 1 . 1 我国关键信息基础设施安全状况 随着信息化的发展，信息系统互联互通，数据共享将成为一个大的发展趋势。在这样的背景下 ，网络规模逐步增大，网络 环境日趋复杂，而对于大型、复杂的系统，设计缺陷是不可避免的，管理缺陷也不可能完全排除，各种安全技术本身也是发展 变化的，服务变更以及系统的扩展都会带来新的隐患，网络环境日新月异。一旦某个信息系统出现故障或被恶意破坏，影响的不 仅仅是一个单位或一个部门的利益，甚至会影响到公众利益、国家安全。因此，需要从国家层面全面掌握和及时了解重要信息系 统的安全防护状况以及未来发展趋势，及时采取应对措施保障信息安全动态适应环境和威胁的变化。建立跟踪信息系统的安全 状况的动态态势的机制，及时研究和反馈系统的安全状况，分析系统当前的安全威胁和安全隐患的特点和解决办法，指导和帮 助各系统运营使用单位及时调整安全防护策略，不断提高安全防护水平，以适应安全威胁和安全防护技术日益发展的形势。 1 . 2 安全态势感知的理解 1 . 2 . 1 传统安全态势感知 传统意义上的 “网络态势感知 （n e t w o r k s i t u a t i o n a w a r e n e s s ，n s a ） ”技术，其主要目的就是提取、精炼、融合、深化、管理 网络所提供的各种相关信息，包括网络安全设备的报警记录和网络链接设备产生的 n e t f l o w流量记录，将它们高效组织升华为 网络管理人员能理解的较为完整的宏观的网络态势知识，帮助网络管理人员理解网络所处的状态和下一步发展的趋势，为网络 部署和应急决策提供依据。网络安全态势感知包括三个阶段的处理过程，即网络安全态势觉察 ( p e r c e p t i o n ) 、网络安全态势理解 ( c o m p r e h e n s i o n ) 和网络安全态势预测 ( p r e d i c t i o n ) ，其通过定性或定量的网络安全态势评价体系对底层各类安全事件进行归并、 关联和融合处理，并将获取的态势感知结果以可视化图形提供给网络管理人员。管理人员根据视图提供的信息判断网络当前及 4 7 特别论文2 0 1 1 年增刊 未来可能的安全态势发展趋势，进而做出有效应对措施。网 络安全态势是由各种网络设备运行状况、网络行为以及用户 行为等因素所构成的整个网络当前状态和变化趋势，任何单 一的情况或状态都不能称之为态势。 1 . 2 . 2 关键信息基础设施安全态势感知 为了保障我国关键信息基础设施安全，开展关键信息基 础设施的安全态势感知研究是十分必要的。对于提高我国关 键信息基础设施的安全适应能力、抗攻击能力、应急响应能 力以及缓解网络攻击所造成的危害等具有十分重要的意义。 关键信息基础设施安全态势感知是指国家信息安全主管部门 针对我国关键信息基础设施的安全状况的动态变化，研究分 析和预测出安全趋势的走向与发展，为我国制定宏观的信息 安全政策提供依据，为各行业主管部门开展信息安全建设提 供反馈和指导意见。与传统网络安全态势感知相比，视角和 范围都发生了巨大的变化， 前者代表国家开展安全态势的研究， 范围涉及我国关键信息基础设施中的重要信息系统。而后者 仅仅关注一个单位或一个部门内部的特定系统，通过关注网 络安全设备的报警信息，来分析和预测安全态势的发展。内 容和对象的不同决定了态势感知的方法也就不同。关键信息 基础设施安全态势感知具有如下特点： 1 ）态势感知的数据来源更为丰富，覆盖了各行业所有第 三级以上的重要信息系统，几乎囊括所有影响网络安全性的 安全要素， 包括信息系统特点、 用户特点、 外部环境、 网络结构、 系统提供的服务信息、系统存在的脆弱性和网络中存在的各 种入侵信息和安全事件等等。 2 ）态势感知过程规范，它包括态势觉察、态势理解和态 势预测，它不是将网络要素进行简单的汇总和叠加，而是以 一系列具有理论支持的模型为基础，找出安全要素之间的内 在关系，根据不同的信息系统特点，实时分析关键信息基础 设施的安全状况和态势。 3 ）对关键信息基础设施安全状况的发展趋势进行预测， 从多层次、多角度、多粒度分析信息系统的安全状况和发展态 势，有预见性的指导各信息系统主管部门及时采取措施，预 防重大安全事件的发生。 1 . 3 发挥等级测评机构在态势感知中的作用 在安全态势感知过程中，基础数据收集、态势觉察、态 势分析方面是准确态势预测的基础。我国关键信息基础设施 涉及到各行业、各部门，覆盖范围广 ，涉及信息系统多，如果 没有专门的机构或人员开展对重要系统信息、安全状况、安 全事件、威胁分析，并将这些数据进行汇总、综合分析、预 警研判、决策支持的话，很难对我国的信息安全总体状况和 趋势进行预测。我国正在深入推进和贯彻落实等级保护制度， 作为我国信息安全的主管部门，公安部已经于 2 0 1 0 年在全国 范围开展了等级保护测评体系建设工作，标志着等级保护工作 已经从定级备案阶段进入到了整改建设阶段。开始通过建设 专业化的测评队伍，全面排查我国重要信息系统中的安全问题 和安全隐患。目前在全国已经建设完成了近百家等级测评机构， 范围遍布全国 2 8 个省 （市） ，从业人员2 0 0 0 余人，已经初步形 成了一支专业技术队伍。对于检测、评估和掌握我国关键基础 设施的安全状况将发挥重要作用。这些机构在开展安全等级测 评过程中，既发现和排查了信息系统中存在的隐患，同时也分 析和研究目前系统中普遍存在的问题，结合当前安全威胁和安 全事件的特点，预测安全发展态势，前瞻性地提出解决办法和 措施，为信息系统运营使用单位提供动态的反馈机制，更为有 效地加强了信息系统的安全防护能力。我国等级保护制度下的 关键信息基础设施安全态势感知关系如图1 所示： 图1 我国等级保护制度下的关键信息基础设施安全态势感知关系图 通过各等级测评机构定期开展等级测评工作，定期收集、 整理我国重要信息系统安全相关基础数据，并将其输入基础 信息库内统一管理、 分析， 实时监测重要系统的安全健康状况， 为信息安全主管部门分析研判信息安全态势，制定信息安全 政策、指导行业开展信息安全建设提供可靠依据。等级测评 机构将在我国信息安全保障体系中发挥重要的技术支撑作用， 扮演越来越重要的角色。 2 关键信息基础设施安全态势感知模型 通过对重要信息系统开展安全等级测评，可以获得大量的 有关信息系统详细信息、用户特点、外部威胁、安全事件、安 全脆弱性等基础信息，将这些信息归类、汇总，从而分析出我 国关键信息基础设施普遍存在的问题和安全发展态势。为我国 信息安全主管部门提供原始和基础数据，为决策提供客观可靠 的数据源。关键信息基础设施安全态势感知模型如图 2 所示： 关键信息基础设施安全态势感知分为态势觉察、态势理 解和态势预测，态势觉察部分是态势感知的基础，首先对大 量原始安全数据进行数据级的融合，得到规范化的脆弱性数 据集、威胁数据集、安全事件数据集等，为态势理解和分析 做准备。 态势理解部分是态势感知的核心， 采用多层次、 多角度、 多要素进行分析，然后采用关联分析的方法分析数据之间的 关系。态势预测部分是态势感知的目标，采用时间序列分析 等方法，对威胁和脆弱性的发展趋势、信息系统整体安全状 况的发展趋势进行预测。网络态势感知最大的特点是不再孤 立地研究网络安全事件，不再评估单一事件对系统的影响， 而是综合我国关键信息基础设施中的安全相关信息，通过聚 合、关联、融合、归并等方法建立定性或定量描述的指标体系， 达到准确感知我国关键信息基础设施安全态势的目的。 4 8 特别论文2 0 1 1 年增刊 3 关键信息基础设施态势感知的内容和方法 3 . 1 态势觉察 等级测评机构在开展等级测评活动中，首先对业务流程 及业务数据的调查和分析，理清各业务系统的主要功能，对 于系统目前所承载的业务或将来可能增加的业务的准确把握， 使得等级测评更具有针对性。在具体的测评过程中，从管理和 技术两个方面进行安全测评。其中管理方面通常是按照等级保 护标准的安全管理要求，对现有的安全管理制度及执行情况进 行检查，发现其中的管理漏洞和不足。而技术方面主要是通过 远程和本地两种方式进行系统扫描、网络设备和主机等配置核 查，以保证技术脆弱性测评的全面性和有效性。通过等级测评 获得重要信息系统中存在的安全漏洞和隐患。对全国重要信息 系统的等级测评结果进行汇总、归纳和分析以后，就能掌握我 国关键信息基础设施的静态安全状况，例如：通过统计全国有 多少个信息系统已经开展的等级测评，有多少个信息系统存在 安全问题和隐患，有多少安全问题具有普遍性，分析这些安全 问题的分布情况及其可能存在的安全风险，为查找造成这些安 全问题产生的原因提供数据支持。通过信息融合技术，把来自 于不同数据源的数据进行形式化描述，对多数据源信息进行处 理和数据融合，为态势理解提供基础数据。 3 . 2 态势理解 态势理解是态势感知的核心，是对整体安全状况的定性定 量描述。主要包括信息系统分析、威胁分析、脆弱性分析、安 全事件分析，将信息系统中大量的安全脆弱性、安全事件、安 全威胁进行分类，汇总，统计和分析，研究整体状况。信息系 统分析需要根据系统类别，如控制系统、交易系统、调度系统、 办公系统、网站系统等不同特点，分析其不同的安全需求。威 胁分析需要根据威胁特点分析在整个关键信息基础设施中的数 量、分布情况和相关安全事件的数量。脆弱性分析需要分析脆 弱性数量、分布情况和相关安全事件的数量。脆弱性的分布情 况是衡量脆弱性在网络中分布的范围，分布的范围越大，危害 相应越高。建立安全事件信息库，分析安全事件发生的信息系 统特点、外部威胁和脆弱性，分析每个安全事件的数量、分布 范围。通过统计分析，为态势预测提供数据支持。 3 . 3 态势预测 态势预测根据态势理解输出的安全数据，采用预测模型 对安全态势的发展趋势进行预测。基于时间序列分析的预测 技术能很好的刻画序列的前后依赖关系，适合对网络安全态 势变化趋势的预测，在理解当前网络状态的基础上，观测和 分析历史数据进而预测未来的可能安全态势。网络安全态势 预测作为感知过程的最高层，建立在准确的态势觉察和充分 的态势理解基础上。除了采用时间序列分析方法以外，还有采 用回归分析、指数法预测以及灰色预测等方法。在关键信息 基础设施的安全态势预测技术研究中，预测安全态势的方法 将会得到不断发展和完善。 4 我国等级测评工作开展以来在态势感知方面取 得的进展 2 0 1 0 年以来，等级测评机构在信息系统安全等级测评业 务开展方面已经初见成效，一方面测评的重要信息系统数量 和范围不断增加。另一方面，各等级测评机构发展较为平衡， 均有不同数量的系统测评。在信息系统测评过程中，发现所 有被测评的信息系统均有不同程度的安全问题和隐患，存在 共性问题如下： 安全建设缺乏总体规划， 缺少依据， 造成安全机制不健全。 系统边界不清，网络区域划分不合理，安全边界模糊， 造成不同系统、不同业务之间相互影响。 安全措施落实不到位，安全策略不完整。 安全运行管理不善，制度落实不到位，运行过程中随意 性大，缺乏监督，缺少运行记录等问题。 5 结