（计算机应用技术专业论文）基于漏洞检测的网络安全风险评估系统的研究与实现.pdf

摘要 摘要 计算机网络在提供开放和共享资源的同时，也不可避免的存在着安全风险。 了解网络系统现有以及潜在的风险所在，评估这些风险可能带来的安全威胁与影 响程度，是实施安全建设必须首先解决的问题。 本文重点分析了风险评估的实施方法，由于在资产识别和评估、威胁识别和评 估，现有安全策略的确认与评估，综合风险评估等几个环节中由于并没有被公认 接受的方法，存在太多的不确定因素和无法定量的特性，而威胁又总是要利用资产 的脆弱性才能造成危害，因此脆弱性评估环节得出的结论才对整个风险等级的评 定起决定性的作用，但又并没有一个公开的测试方案可以参照，因此，本文提出了 一个测试局域网脆弱性的实施方案，并应用这个方案对局域网环境进行了测试；针 对实施过程中最为重要的漏洞检测部分设计并实现了一个基于漏洞检测技术的安 全风险评估系统，详细说明了其结构。最后总结全文并提出有待改进的问题。 关键词：网络安全，脆弱性测试实施方案，漏洞检测，风险评估 a b s t r a c t 耽e r ea r ei n “i t a b l ys o m ep o t c n t i a is e c i l r i t ) ，r i s k sw h i l et h ci n t e m e ti sp r 0 v i d i n g 0 p e no rs h a r e dr e s o u r c e s mo r d e rt ot op f o t e c tt l l es e 训t yo f t h en e t w o r k ，t h e 肛皿a r a y p r o b l e m t os 0 i v ei st 0u n d e r s t a l l dt h e p r e s e n t蛆dt h ep o t e n t j a l r i s ko ft h e n e 研。咄e v a l u a t em ep r o b a b l es e c i l r i t yt h r e a t sa n da 骶c t i o ne x t e n tb r o u g h tb yt h er i s k t h er e s e a r c hw o r km e n t i o n e di nt h i sp a p e ri sm a i n l ya b o u t 锄a i y z i i l gt l l em e t l l o d o fr j s ke v a l u a t i o n b e c a u s et h e r ea r en oa e p t e dm e m o do f 硒s c ti d e n t 砸c a t i o na n d e v a l u a t j o n ，t h r e a ti d e n t i f i c a l i o na n dc v a l u a t i o n ，p r e s c n ts e c l l r i t yp o l i c yi d e n t i f i c a t i o na n d e v a l u a t i o n ， c o m p r e h c n s i v er i s ke v a i u a t i o n t h e r c 盯es o m ei n d e f i l l i t ef a d o 硌a n d u 衄e 髂u f a b l ec h a r a c t e r i s t i c ，a n dt i l i e a tm u s tc x p l o i tt h ev u l n e r a b i l i t yo fa s s e tt oc a u s e h 枷f h l n e s s ，s ot h e0 0 n c i u s i o no fv 1 j l n e r a b i l i t ye v a i u a t j o nf i p st h es c a l ej l la s s e s s j n g 矗s k l e v e l - b u tt h e r ea f en or e f e r e n c eo nv u l n e f a b i l i t yt e s 妇岛s ot h j sp a p e r 西v c sam e t h o do f t e s t i l l gt l l ev l l l n e r a b i u t yo ft l l ei a n ，a n dc a r r yi t i n t op r a c t i c c ；d e s i 印sas e c l l i i i yr i s k e v a l u a t i o ns y s t c mb 勰e do nv u l l l e r a b m t yd e t e d j o n ，c x p l a i n sa b o u tt h es t r u c t l l f ci n d e t a i l f i i l a l l yw es u m m a f i z et h ew h o l ep a p e ra n dp r o p o s es o m ei l i l p r 0 v a b i ep r o b l e m s 1 【e y w o r d ：n e 啪r ks e c l l i i l y s 0 1 u t i o nf o rv u l n c r a b 诅i t yt t i n 吕v u l n e r a b i l i t yd e t e c t i o n ， r i s ke v a l u a t i o n 独创性声明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工 作及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地 方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含 为获得电子科技大学或其它教育机构的学位或证书而使用过的材料。 与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明 确的说明并表示谢意。 签名：迕整日期：如曰年r 月；。日 关于论文使用授权的说明 本学位论文作者完全了解电子科技大学有关保留、使用学位论文 的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁 盘，允许论文被查阅和借阅。本人授权电子科技大学可以将学位论文 的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或 扫描等复制手段保存、汇编学位论文。 ( 保密的学位论文在解密后应遵守此规定) 签名：赶整导师签名：龇 日期：加田年f 月知日 第一章绪论 1 1 论文的选题背景 第章绪论 2 0 世纪9 0 年代以来，计算机网络技术得到了飞速发展，信息的处理和传递突 破了时间和地域的限制，网络化与全球化成为不可抗拒的世界潮流。计算机网络 在我国已经迅速普及，网络已经渗透到国民经济的各个领域，渗透到我们工作生 活的方方面面，并愈来愈成为人们关注的焦点。 以b t 锄e t 为代表的全球性信息化浪潮日益深刻，网络信息技术的应用正日益 普及，应用层次逐渐深入，应用领域从传统的、小型业务系统逐渐向大型、关键 业务系统扩展。随着网络的普及，各种信息系统对计算机网络的依赖型越来越强， 随之而来的网络安全问题也日益突出。而i n t e m e t 所具有的开放性、国际性和自由 性在增加应用自由度的同时，对安全也提出了更高的要求，这主要表现在以下三 个方面。 开放性的网络，导致网络的技术是全开放的，任何个人、团体都可能获得网 络上的信息，因而网络所面临的破坏和攻击可能是多方面的。例如，可以对物理 传输线路实施攻击，也可以对网络通信协议和实现实施攻击；可以对软件系统实 施攻击，也可以对硬件系统实施攻击。 国际性的网络，意味着网络的攻击不仅仅来自本地网络的用户，它可以来自 i n t e m e t 上的任何一个机器。也就是说，网络安全所面临的是一个国际化的挑战。 自由性的网络，意味着网络最初对用户的使用并没有提供任何的技术约束。 用户可以自由地访问网络，自由地使用和发布各种类型的信息。 虽然信息技术的使用给人们生活、工作的方方面面带来了数不尽的便捷和好 处，然而，计算机信息技术也和其他科学技术一样是一把双刃剑。大部分人使用 信息技术提高工作效率，为社会创造更多的财富，而另外一些人却利用信息技术 却做着相反的事情。比如，非法侵入他人的计算机系统，窃取机密信息、篡改和 破坏数据，给社会造成难以估量的巨大损失。信息所面临的威胁不仅仅来自计算 机和网络，天灾、环境、人员误操作、系统漏洞等都会对信息系统带来伤害。 长期以来，人们对保障网络安全的手段偏重于依靠技术，从早期的加密技术、 数据备份、防病毒到近期网络环境下的防火墙、入侵检测、身份认证等等。厂商 电子科技大学硕士学位论文 在安全技术和产品的研发上不遗余力，新的技术和产品不断涌现；消费者也更加 相信安全产品，把仅有的预算也都投入到安全产品的采购上。 但实际情况是，单纯依靠技术和产品保障企业网络安全往往差强人意。复杂 多变的安全威胁和隐患靠产品难以消除。“三分技术，七分管理”这个在其他领域总 结出来的实践经验和原则，在网络安全领域也同样适用。 根据信息产业部披露的数字，在所有的计算机安全事件中，约有5 2 是人为因 素造成的，2 5 是由火灾、水灾等自然灾害引起的。其技术错误占1 0 ，组织内部 人员作案占1 0 ，仅有3 左右是由外部不法人员的攻击造成。 不难看出，属于内部人员方面的原因超过7 0 ，而这些安全问题中的9 5 是可 以通过科学的安全风险评估来避免。 可见，对于一个企业来说，搞清楚网络系统现有以及潜在的风险，充分评估 这些风险可能带来的威胁和影响，将是企业实施安全建设必须首先解决的问题， 也是制定安全策略的基础与依据。只有在风险评估中正确地、全面地了解和理解 网络中存在的安全风险，组织机构才能在网络安全措施的选择、网络安全保障体 系的建设等问题中做出合理的决策。 目前，国内众多部门和行业都开始投入精力进行风险评估或者风险评估规范 的制订。专家指出，风险评估的意义在于对风险的认识，而风险的处理过程，可 以在考虑了管理成本后，选择适合企业自身的控制方法，对同类的风险因素采用 相同的基线控制，这样有助于在保证效果的前提下降低风险评估的成本。 1 2 网络安全与安全风险评估的关系 网络的安全，在某种程度上总是与处理风险和管理风险相关的。目前的操作 系统( 洌如w i l l d o w s ，u n u x 等) 和应用系统一般都存在安全漏洞( 明显和隐蔽之分) 。 这些安全漏洞都将存在重大安全隐患。但是从实际应用上，系统的安全程度与系 统的安全配置及系统的应用方面有很大关系，操作系统如果没有采用相应的安全 配置，则会是漏洞百出，掌握一般攻击技术的人都可能入侵得手。如果进行安全 配置，比如，填补安全漏洞，关闭一些不常用的服务，禁止开放一些不常用的端 口等，那么入侵者要成功进入内部网将变得困难许多。但是，降低风险、预防损 失决不只是配置一系列安全设备那样简单。一个完整的安全体系和安全解决方案 是根据网络体系结构和网络安全的具体情况来确定的，安全的提高是以一定的资 源和资产为代价的【1 j 。因此我们不应该毫无根据、毫无止境地提高安全性。而应该 2 第一章绪论 正确估价自己的网络安全风险并根据自己的风险大小做出相应的安全解决方案。 否则有可能付出了很大的代价而不能收到相应的安全效果。可以说，网络安全建 设的起点和基础是全面有效的风险评估。风险评估可以说是网络安全管理和实践 的第一步陋圳。 网络安全风险评估主要内容【1 1 】是资产识别和评估、威胁识别和评估，脆弱性 识别和评估，安全措施确认，确定风险大小与等级。风险评估是解决网络安全的 首要问题，没有进行透彻的风险分析和评估而实施的安全策略就好像先建房屋后 画图纸一样，会导致资金和人力资源的巨大消耗和浪费。 1 3 风险评估的意义、作用与目的 风险评估是信息系统安全的基础性工作，信息和网络安全中的风险评估是传 统的风险理论和方法在系统中的运用，是科学地分析和理解系统在保密性、完整 性、可用性等方面的工作。另外只有正确、全面地了解理解安全风险后才能决定 如何处理安全风险，从而在信息和网络安全的投资，信息和网络安全措施的选择， 信息和网络安全保障体系的建设做出合理的决策。最后通过这个评估我们可以对 系统拥有单位的绩效进行一个考核，安全做得好还是差一点，这利用风险评估都 可以对这些问题有比较好的解释。 风险评估也是当前信息工作客观的需要和紧迫的需求。首先根据我们了解， 在国外对风险评估越来越重视，他们强调没有任何事情比解决错误的问题和错误 的系统更有效率了，现在在西方国家信息安全领域大大加强了风险评估安全系统 的评估工作，通过法规标准加以保证，作为我们国家来说，目前如果没有一个比 较统一的评估方法，对全国的安全形势是很难评估全国安全事态的，对一个行业 和一个系统如果没有评估方法，很难搞清楚整个行业存在着信息系统问题。如何 找到存在的问题? 按照现在的说法，我们觉得国家解决风险评估工作可以帮助解决 这个问题的。 风险评估的目的【1 2 】是全面、准确的了解和评估组织机构的网络安全现状，发 现系统的安全问题及其可能的危害，找出目前的安全策略和实际需求的差距，为 保护信息系统的安全提供科学依据。通过合理步骤制定适合系统具体情况的安全 策略及其管理和实施规范，为安全体系的设计提供参考。 通过风险评估，他们将清楚信息系统和网络包含的重要资产、面临的主要威 胁、本身的弱点；哪些威胁出现的可能性较大，造成的影响也较大，哪些威胁出 3 电子科技大学硕士学位论文 现的可能性较小，造成的影响可以忽略不计；通过保护哪些资产，防止哪些威胁 出现，如何保护和防止才能保证系统达到一定的安全级别；提出的安全方案需要 多少技术和费用的消耗；更进一步，还会分析出风险是如何随时间变化的，将来 应如何面对这些风险。 1 4 风险评估研究现状 我国的网络安全风险评估工作是随着对网络安全问题的认识的逐步深化而不 断发展的。早期的网络安全工作中心是信息保密，通过保密检查来发现问题，改 进提高；8 0 年代后，提出了计算机安全的问题，开展了计算机安全检查工作；9 0 年代以后，随着互联网在我国得到了广泛的社会化应用，国际大环境的信息安全 问题和信息战的威胁直接在我国的信息环境中有所反映，1 9 9 4 年2 月颁布的中 华人民共和国计算机信息系统安全保护条例提出了计算机信息系统实行安全等 级保护的要求。其后，在有关部门的组织下，不断开展了有关等级保护评价准则、 安全产品的测评认证、系统安全等级划分指南的研究，初步提出了一系列相关技 术标准和管理规范。 国内已经有一些安全企业开始对客户提供信息系统安全评估服务，并且承担 了一些行业单位的系统安全评估工作。他们一般参考国际标准和我国的国家标准 g b1 7 8 5 9 ；评估工具一般使用自己开发或免费获得的系统漏洞扫描软件；评估过 程一般是在签订保密协议的前提下，阅读被评估单位的安全管理文档和系统设计 文档、问卷调查、现场考察、扫描漏洞( 个别企业会开展渗透性测试) 并最终给出评 估报告和安全改进建议。 对比国内外的网络安全风险评估技术，国外的风险评估强调资产评估、威胁 评估和漏洞评估一体化的评估体系，评估对象主要是大型金融等企业，在企业业 务人员的参与下组成评估小组定期进行全面的风险评估 国内的风险评估由于起步较晚，在安全风险评估的理论和技术上的研究工作 时间不长，且风险评估标准的不健全，缺乏安全风险评估的规范化标准，主要的风险 评估主要集中在漏洞评估阶段，比较缺乏实践的经验，因此还存在较多问题。国内的 一批提供信息系统安全评估服务的信息安全企业( 具有代表性的是绿盟科技和安络 科技) 进行风险评估时，一般是基于国际标准( 如b s7 7 9 9 ，c c 等) 进行，而缺少对我 国信息系统的安全风险实际状况的具体考虑。国内目前在信息安全方面工作的重 点主要集中在系统安全防护( 如防火墙) 和系统局部( 如操作系统、数据库) 的检测上， 4 第一章绪论 对安全系统整体进行综合风险分析和评估的研究还很少，没有一个比较系统的风 险分析和评估工具。这些工具大多集中在信息安全的某一方面，同时更侧重安全 技术方面的检测。目前国内风险评估由于安全环境等因素的影响，专门的风险评 估组织较少，因此多数采用基于漏洞扫描器的漏洞评估，由于在评估过程中很少 考虑资产和威胁的影响，主要的研究重心在漏洞扫描器的设计和漏洞知识库的完 备上，对风险的评估不够全面，结果仅具有参考性，从严格的意义上讲，并不是真 正的风险评估产品。 1 5 风险评估的方法与技术 按照一般的风险评估的流程，风险评估包括了资产评估、威胁评估、脆弱性评 估、现有安全策略的确认与评估、综合风险评估五个主要环节【1 3 】，各个环节都涉 及到相应的方法与技术。 在安全风险评估的工作内容中，资产的识别和赋值是整个评估工作的前提。 在资产评估环节，涉及到资产的分类与赋值方法。首先，资产识别者利用自身掌 握的概念和知识来识别给定范围内的资产，因为不同的标准对资产进行分类的方 法不同，同时在对资产进行赋值时，由于不同的实施者对于不同的资产在机密性、 完整性和可用性受到损失和破坏时对整个评估直接的影响和损害的衡量标准与尺 度不同，并且对资产价值的计算方法也不尽相同，因此资产评估是一个相对主观 的过程。 而在威胁评估的过程中，同样涉及到对威胁进行分类与赋值，不同的分类标 准与赋值方法同样会造成评估结果的差异，因此也具有较大的主观性。 在现有安全策略的确认与评估环节，需要列出每项信息资产已经具有的安全 措施、有效的安全控制手段、分析其安全策略、考略其计划实施的安全措施、对 其现有的和计划实施的安全措施的强弱程度进行赋值，这项工作必须由具有丰富 经验的安全专家来完成。 在综合风险评估阶段，国际上还没有被公认接受的风险计算方法，国际上一 直还在不断的研究中。 而在脆弱性评估阶段，由于脆弱性和资产紧密相连，并且威胁也要利用脆弱 性才能对资产造成损失或伤害，离开了对脆弱性的评估，单纯的资产、威胁、现 有安全策略的评估不具备太多的实际意义，资产的价值也无法体现。因此，脆弱 性的评估是整个风险评估中最为关键的一个环节，并且目前已经存在多种获取脆 5 电子科技大学硕士学位论文 弱性的方式，并且获得的结果具有一定的通用性，因此，本文在分析了整个风险 评估的体系之后，将重点针对如果测试局域网的安全进行讨论，并设计一个具有 风险评估功能的系统。 1 6 本文研究的主要内容及章节安排 1 6 1 本文研究的主要内容 本文从风险评估的研究意义与现状入手，首先对风险评估相关概念及原则、 方法等进行了解，接着对风险评估实施过程中的五个环节进行方法上的探索，对 最为关键的脆弱性评估环节重点进行分析，提出了一个供参考的实施方案，并应 用这个方案对局域网环境进行测试；最后根据风险评估的研究现状，设计了一个 基于漏洞检测的风险评估系统，并进行测试，证明了其有效性；最后对风险评估 的进一步研究进行了展望。 1 6 2 章节安排 第一章简要介绍了本文的研究背景和意义，以及论文内容的安排。 第二章研究了网络安全风险评估相关概念、模式、方法、原则。 第三章针对网络安全风险评估过程的五个阶段分别进行探索与分析，探讨实 施各个阶段评估工作的方法与步骤。 第四章针对起决定性作用的脆弱性评估环节提出了一个进行脆弱性测试的实 施方案，并对其可行性进行了探索。 第五章对网络安全风险评估系统进行了设计与实现，对其各个功能模块进行 了详细描述。 第六章对风险评估系统已经实现的功能进行了测试，证明了该系统的有效性。 第七章是结束语，总结了论文的研究成果，并展望了后续的研究工作。 6 第二章网络安全风险评估综述 第二章网络安全风险评估综述 2 1 关于风险评估的几个重要概念 说起风险评估，我们脑海中首先浮现的可能是：风险、资产、影响、威胁、 脆弱性等一连串的术语，这些术语看起来并不难理解，但一旦综合考虑就会象绕 口令般组合。比如风险，用i s o m ct r1 3 3 3 5 1 ：1 9 9 6 中的定义可以解释为： 特 定威胁利用某个( 些) 资产的脆弱性，造成资产损失或破坏的潜在可能性。 举一个案例：某证券公司的数据库服务器因为存在r p c d c o m 的漏洞，遭到 入侵者攻击，被迫中断三天。 用风险评估的观点来描述这个案例，我们可以对这些概念作如下理解： 资产= 数据库服务器，脆弱性= r p cd c o m 漏洞，威胁= 入侵者，风险= 服 务器遭到入侵，影响= 中断三天 网络中所存在的安全风险，可以用四个要素来综合说明：首先是系统自身存 在着脆弱性，就是我们常说的技术上可以被利用的漏洞，再加上人为或自然的威 胁，还有导致一些信息安全事件发生的可能性及其造成的影响。也就是说脆弱性 和威胁是原因，可能性和影响是结果。 网络安全风险评估就是指依据有关网络安全测评标准，对网络及由其处理、 传输和存储的信息的机密性、完整性和可用性等安全属性进行科学识别和评价的 过程，它要评估网络的脆弱性、网络面临的威胁以及脆弱性被威胁源利用后所产 生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别网络 中存在的安全风险。 在这里按照n _ s e c 的定义对风险评估涉及的几个重要概念进行解释： 风险( 砥s k ) ：戳s k i s m e 咖b 曲a i o n o f a t h r e a te x p l o i 血gs o m e i n e f a b 丑“y t h a t c o u l dc a u s eh 锄t os o m ea s s e t 。威胁主体利用资产的漏洞对其造成损失或破坏的可 能性。风险的三个要素为威胁、漏洞和资产，风险评估就是对这三个要素的分析， 而降低风险采取的安全措旌也是从这三个要素考虑。 威胁( m e a t ) ：耽r e a ti sa s o u r c co ra g e n tt h a tc o l l l dc a u s ed a m a g e 。导致对系统或 组织有害的，未预料的事件发生的可能性。可以分为自然灾难、人为的无意识错 误、故意的人为攻击。在本文中主要指利用系统漏洞的黑客攻击，可以从攻击者 7 电子科技大学硕士学位论文 的能力、动机和攻击发生的频率三个方面描述。 漏洞( v u l n e r a b i l i t y ) ：l h l e m b i l i t yr e f e r st o as e c i l r i t yd e f i c i e n c yt h a tm a k e si t p o s s i b i e f o r a t h r e a t t o m a t e d a l i z e 。指的是可以被威胁利用的系统缺陷，能够增加系 统被攻击的可能性。本文漏洞指的是操作系统、应用软件及硬件本身的安全漏洞， 可以通过漏洞扫描器检测到。 资产( a s s e t ) ：a s s e t sa r es o m e t h i n go fv a l u es u c h 弱i n f o 衄a t i o no rr e s o u r c e s b e l o n g i i l gt oa no 珞l n i z a t i o n 。资产是属于某个组织的有价值的信息或者资源，本文 指的是与评估对象信息处理有关的信息和信息载体。 信息安全风险评估是分析确定风险的过程。 2 2 网络安全风险评估的相关标准 由于标准对于任何一个行业来说都很重要，一个行业的标准同时也代表了其 所属领域中的研究成果，在信息安全这一特殊的高技术领域，没有标准，国家有 关的立法、执法就会因缺乏相应的技术尺度而失之偏颇，最终会给国家信息安全 的管理带来严重后果。安全评估的发展很大程度上是受到安全评估标准的发展所 影响和决定的。迄今为止，许多国家根据信息安全的需要推出了一些安全评估标 准，为了更好的了解安全评估，我们有必要考察、研究目前的安全评估标准。 1 、国际性的安全评估标准 ( 1 ) 可信任计算机系统评估准则f r c s e c ) t c s e c ( 又称桔皮书) 标准是计算机系统安全评估的第一个正式标准【1 4 】，具有 划时代的意义。该准则于1 9 7 0 年由美国国防科学委员会提出，并于1 9 8 5 年1 2 月 由美国国防部公布。t c s e c 将计算机系统的安全要求从低到高划分为d 、c 、b 、 a 四类，类下分为d ，c 1 ，c 2 ，b 1 ，b 2 ，b 3 ，a 等7 个安全级别。每一级要求涵盖安全 策略、责任、保证、文档等四个方面。t c s e c 所列举的安全评估准则主要是针对 美国政府的安全要求，着重点是基于大型计算机系统的机密文档处理方面的安全 要求。c c 被接纳为国际标准后，美国已停止了基于t c s e c 的评估工作。 ( 2 ) 信息技术安全性评估准则( i t s e c ) 受t c s e c 的影响和满足信息技术发展的需要，在2 0 世纪8 0 年代后期，几个 欧洲国家和加拿大纷纷开始开发自己的评估准则。法国、德国、荷兰和英国等欧 洲国家很快就开始联合行动，于1 9 9 0 年提出欧共体的i t s e c ，真正成型的1 2 版 本于1 9 9 1 年由欧洲标准化委员会正式公开发表。r r s e c 【1 5 】作为多国安全评估标准 第二章网络安全风险评估综述 的综合产物，适用于军队、政府和商业部门。标准将安全性要求分为“功能”与 “保证”两部分。其中，“功能”指为满足安全需求面采取的一系列技术安全措施， 如访问控制、审计、鉴别和数字签名等；“保证”指确保“功能”正确实现及其有 效性的安全措施。 ( 3 ) 国际通用准贝( c c s o m c l 5 4 0 8 1 9 9 9 ) 【1 6 l 国际信息技术安全性评估通用准则( 简称为通用准则c c ) 是北美和欧 盟联合以开发一个统一的国际互认的安全标准的结果，是在美国、加拿大、欧洲 等国家和地区分别自行推出的评估标准及具体实践的基础上，通过相互间的总结 和互补发展起来的。 1 9 9 6 年6 月，六国七方( 英国、加拿大、法国、德国、荷兰、n s a 和n i s t ) 公布了c c 的1 o 版，1 9 9 8 年，六国七方又公布了c c 的2 o 版。c c 取代了t c s e c 、 r r s e c 及c t c p e c ，是事实上的国际安全评估标准。1 9 9 9 年，c c 被国际标准化组 织( i s o ) 批准成为国际标准i s o c 1 5 4 0 8 1 9 9 9 并正式颁布发行，其对应的c c 版本为2 1 版。c c 是国际标准化组织统一现有多种准则的结果，是目前最全面的 信息技术安全评估准则。c c 将评估过程划分为功能和保证两部分，评估等级分为 酗山l 、e 址_ 2 、咖、e a l 4 、e 址5 、e 址6 和e a i ，7 共七个等级。每一级均需评 估7 个功能类，分别是配置管理、分发和操作、开发过程、指导文献、生命期的 技术支持、测试和脆弱性评估。 该标准主要保护的是信息的机密性、完整性和可用性三大特性，其次也考虑 了可控性、责任可追查性( 可审计性) 等方面以及信息系统的可靠性等方面。其重点 考虑的是人为威胁，也可用于非人为因素导致的威胁。该标准适用于对信息技术 产品或系统的安全性进行评估，不论其实现方式是硬件、固件还是软件；还可用 于指导产品或系统的开发、生产、集成、运行、维护等。但不包括对行政性管理 措施的安全评估，不包括密码算法强度方面的评价，也不包括对信息技术在物理 安全方面( 如电磁辐射控制) 的评估【1 7 】【堋。 上面说叙述的三个标准都是侧重予技术角度对安全风险进行评估，但是现实 中的安全事件往往是由于管理的不善而酿造的。针对这种情况，英国标准协会s d 制定的信息安全管理标准b s 7 7 9 9 就是侧重于管理的角度对安全风险进行管理的。 ( 4 ) 信息安全管理标准s7 7 9 9 ) ( i s o ，m c1 7 7 9 9 ) 信息安全管理标准b s7 7 9 9 是由英国标准委员会( b s d 制定的。b s i 于1 9 9 5 年 首次提出b s7 7 9 9 1 c 1 1 l ec o d co fp r a c t i c ef o rk f o 加a t i o ns e c i l i i l ys y s t e m s ) ；到1 9 9 8 年公布了b s7 7 9 9 - 2 ( s p e c i f i c a t i o nf o rm b m a t i o ns e c l l r i t ym 卸a g c m c n ts y s t e m s ) ，并 9 电子科技大学硕士学位论文 于1 9 9 9 年发布了修订版。2 0 0 0 年1 2 月，国际标准化组织i s o 批准b s7 7 9 9 1 ：1 9 9 9 正式成为国际标准，即i s o i e c1 7 7 9 9 1 ：2 0 0 0 ；2 0 0 2 年，b s i 对b s7 7 9 9 2 ：1 9 9 9 进 行了重新修订，正式引入p d c a 过程模型，以此作为建立、实施、持续改进信息 安全管理体系的依据，同时，新版本的调整更显示了与i s o9 0 0 1 ：2 0 0 0 、i s o 1 4 0 0 1 ：1 9 9 6 等其他管理标准以及经济合作与开发组织e c d ) 基本原则的一致性， 体现了管理体系融合的趋势。2 0 0 4 年9 月5 日，b s7 7 9 9 2 ：2 0 0 2 正式发布。 b s7 7 9 9 分为两个部分：b s7 7 9 9 1 信息安全管理实施规则和b s7 7 9 9 2 信 息安全管理体系规范。b s7 7 9 9 1 提供了一套综合的，并由信息安全最佳惯例组 成的实施规则，从而给负责在其组织启动、实施或维护安全的人员使用作为制定 策略和措施的参考基准。而b s7 7 9 9 2 则规定了信息安全管理体系要求与信息安全 控制要求，详细说明了建立、实施和维护信息安全管理系统的要求，指出应该选 择适宜的控制对象并采取恰当的控制措施。 作为通行的信息安全管理标准，b s7 7 9 9 旨在为组织实施信息安全管理体系 ( i s m s ) 提供指导性框架，尽管它在第一部分也提供了诸多控制措施，但更多体现 的是一种目标要求。b s7 7 9 9 标准基于风险管理的思想，指导组织建立信息安全管 理体系i s m s 。i s m s 是一个系统化、程序化和文件化的管理体系，基于系统、全 面、科学的安全风险评估，体现预防控制为主的思想，强调遵守国家有关信息安 全的法律法规及其他合同方要求，强调全过程和动态控制，本着控制费用与风险 平衡的原则合理选择安全控制方式保护组织所拥有的关键信息资产，使信息风险 的发生概率和结果降低到可接受水平，确保信息的保密性、完整性和可用性，保 持组织业务运作的持续性【1 9 l 【2 1 1 。 b s 7 7 9 9 是目前国际上具有代表性的信息安全管理标准，得到了许多国家的认 可，适用于各种类型的组织、公司、和任何商业环境。 ( 5 ) r r 安全管理指南( i s o 砸c1 3 3 3 5 ) 吲 i s o m ct r1 3 3 3 5 ( g u i d e l i n e sf o rt h em a i l a g e m e n to fr rs e c t l r i t y ，g m t r s ) ，是 由i s o m cj t c l 制定的技术报告，是一个信息安全管理方面的指导性标准，其目 的是为有效实施r r 安全管理提供建议。 与b s7 7 9 9 相比，i s o 】匝ct r1 3 3 3 5 只是一个技术报告和指导性文件，并不 是可依据的认证标准，也不像b s7 7 9 9 那样给出一个全面丙完整的信息安全管理 框架，但1 3 3 3 5 在信息安全，尤其是i t 安全的某些具体环节切入较深件目对b s 7 7 9 9 而言) ，对实际的工作具有较好的指导价值，从可实施性上来说要比b s7 7 9 9 好些。 总之，作为一个框架、总体要求和目标选择，b s7 7 9 9 是我们信息安全管理体系建 1 0 第二章网络安全风险评估综述 设过程当中始终要贯彻的指导方针，而这期间一些具体的活动则可以参考i s o m c t r1 3 3 3 5 。 i s 0 肥ct r1 3 3 3 5 为风险评估提供了方法上的支持，其定义的安全概念全面 涵盖了安全风险评估需要考虑的问题，使得最终生成的安全评估方案不但能保证 技术的完整，而且能满足安全管理的要求。 2 、我国的安全评估标准 ( 1 ) 计算机信息系统安全保护等级划分准则( g b1 7 8 5 9 1 9 9 9 ) 瞄l 为提高我国计算机信息系统安全保护水平，1 9 9 9 年9 月国家质量技术监督局 发布了国家标准g b1 7 8 5 9 1 9 9 9 计算机信息系统安全保护等级划分准则，它是 实行计算杌信息系统安全等级保护制度建设的重要基础，也是信息安全评估和管理 的重要基础。该标准将信息系统安全性从低到高划分为5 个等级，分别为“用户 自主保护级”、“系统审计保护级”、“安全标记保护级”、“结构化保护级”和“访 问验证保护级”，计算机信息系统安全保护能力随着安全保护等级的增高，逐渐增 强。主要的安全考核指标有身份认证、自主访问控制、数据完整性、审计、隐蔽 信道分析、客体重用、强制访问控制、安全标记、可信路径和可信恢复等，这些 指标涵盖了不同级别的安全要求。 该标准是我国计算机信息系统保护等级系列标准的第一部分，其他数十个相 关标准的制订工作还正在紧张进行。该标准的制定参照了美国的t c s e c 及1 n i ， 有三个主要目的：一是为计算机信息系统安全法规的制定和执法部门的监督检查 提供依据；二是为安全产品的研制提供技术支持；三是为安全系统的建设和管理 提供技术指导。 ( 2 ) 信息技术安全性评估准则( g b ，i 1 8 3 3 6 2 0 0 1 ) 例 自从c c1 o 版公布后，我国相关部门就一直密切关注着它的发展情况，并对 该版本做了大量的研究工作。2 0 0 1 年3 月，国家质量技术监督局正式颁布了援引 c c 的国家标准g b 厂r1 8 3 3 6 2 0 0 1 信息技术安全技术信息技术安全性评估准则。 2 3 网络安全风险评估的模式 根据评估方与被评估方的关系，信息安全评估可以有多种模式。这些模式均 以风险评估为核心和基础，但由于参与方的角色以及目的等多种原因，因而在实 践中表现出了很大的不同。 第一是自评估嘲。自评估是信息系统拥有单位，依靠自身力量，对自有的信 电子科技大学硕士学位论文 息系统进行的风险评估活动。信息系统的风险，不仅仅来自信息系统技术平台的 共性，还来自于特定的应用服务。由于具体单位的信息系统应用服务各具特性， 这些个性化的过程和要求往往是敏感的，而且是没有长期接触该单位所属行业和 部门的人难于在短期内熟悉和掌握的。因此，自评估有利于保密；有利于发挥行 业和部门内的人员的业务特长；有利于降低风险评估的费用；有利于提高本单位 的风险评估能力与信息安全知识。但是，如果没有统一的规范和要求，在缺乏信 息安全风险评估专业人才的情况下，自评估的结果可能不深入，不规范，不到位。 自评估中，也可能会存在来自于本单位或上级单位领导的不利干预，从而出现风 险评估结果不够客观或评估结果的置信度较低等问题。 第二是强制性检查评估。强制性检查评估则由信息安全主管机关或业务主管 机关发起，旨在依据已经颁布的法规或标准，检查被评估单位是否满足了这些法 规或标准。这种评估具有强制性，是一种纯粹意义上的他评估，单位自身不能对 该过程进行干预。此外，强制性检查评估必须以明确的法规或标准为基础。这是 通过行政手段加强信息安全的重要手段。 第三是委托评估。委托评估是指信息系统使用单位委托具有风险评估能力的 专业评估机构( 国家建立的测评认证机构或安全企业) 实施的评估活动。它既有 自评估的特点( 由单位自身发起，且本单位对风险评估过程的影响可以很大) ，也 有他评估的特点( 由独立于本单位的另外一方实施评估) 。 由于自评估是自我的安全评价，因此在涉及到一些重大问题时，其客观性、 有效性和公正性也难以保证。强制性检查评估是信息系统的上级主管部门或国家 相关的职能部门对其所进行的一种带有行政管理性质的安全监督和检查，偏重于 安全管理方面，最终也对检查对象安全状况给出相应的评判，通常这些系统是涉 及国家信息安全秘密的信息系统或是涉及国计民生的重要信息系统。委托评估由 于其中立性，公正、公平、科学、客观，而且通常具有一定政府背景和权威性， 因此其应用范围最为广阔。目前在国内开展的主要是委托评估，由具备国家信息 安全服务等级资质的专业信息安全公司负责实施。 2 。4 网络安全风险评估的方法 在任何系统中安全总是与风险并存，判别有效安全措施的过程是复杂的，并 带有一定的主观性。在风险评估过程中使用何种方法对评估的有效性占有举足轻 重的地位【矧【韧。评估方法的选择影响到评估过程中的每个环节，甚至可以左右最 第二章网络安全风险评估综述 终的评估结果】。所以需要根据系统的具体情况，选择合适的风险评估方法。安 全风险评估的一个主要目标就是将评估过程尽量客观化。 目前的评估方法有很多种，从数字化反映评估结果的角度分为定性评估和定 量评估两种。 1 、定量的风险评估 定量评估是用数字来描述系统的安全状况，一般根据系统各项因素的量值进 行计算。但并不是所有的因素都可以用数字来表示的，而且各项因素之间的关系 也难比较，同一因素在不同量纲中的值也不一样。 定量评估中经常使用矩阵、向量和集合等手段来建立定量评估分析的一般表 达式。由于分析过程中关联因素较多，而且很多因素难以定量化，例如受攻击概 率、“非常严重”与“严重”之间的定量差别等，很难给出精确指标，因此使用该 方法进行分析非常复杂而且难以准确。 定量评估方法的思想很明确：对构成风险的各个要素和潜在损失的水平赋予 数值或货币金额，当度量风险的所有要素( 资产价值、威胁频率、弱点利用程度、 安全措施的效率和成本等) 都被赋值，风险评估的整个过程和结果就都可以被量 化了。简单说，定量分析就是试图从数字上对安全风险进行分析评估的一种方法。 在信息系统日益复杂多变的今天，定量评估所依据的数据的可靠性是很难保 证的，再加上数据统计缺乏长期性，计算过程又极易出错，这也给分析的细化带 来了很大困难。 2 、定性的风险评估 定性评估是指对评估对象运用归纳与演绎、分析与综合等方法来对评估对象 的各种因素及其属性进行分析处理。 。 定性评估是最常用的评估方法，也是最根本、最重要的一种评估研究过程。 它是对研究对象进行“质”的分析，运用归纳与演绎、分析与综合以及抽象与概 括等方法，对获得的各种材料进行加工，去粗取精，从而帮助认识事物本质。这 种方法常被用于事物相互作用的研究中，主要解决研究对象“有没有”、“是不是”、 “很”、“非常”等问题。 定性评估有两个不同的层次：其一是研究结果本身就是定性的描述材料，没有 数量化或者数量化水平较低；其二是建立在严格的定量分析基础上的定性评估。很 多研究或分析一般都是从研究事物“质”的差别开始，然后研究“量”的规定， 在“量”的分析基础上，最后做定性分析，以获得最为可靠的结果。 定量评估与定性评估的关系密不可分。定性评估是定量评估的基本前提，定 电子科技大学硕士学位论文 量评估的目的在于更精确地定性，使定性评估更加科学、准确，这两者是统一的 且相互补充的。 在实际使用中，对于对象比较复杂的情况，可以将定性评估和定量评估两种 方法相结合进行评估。 2 5 网络安全风险评估的原则 在对被评估对象进行安全风险评估分析时，必须清楚以下几点【2 9 1 ： ( 1 ) 安全是一条链子，包括了硬件、软件、网络、使用者以及相互交互的复 杂系统。在这条链子上，任何一个环节出现问题，安全将不存在。这条链子的强 度由链子最弱一环的强度决定。 ( 2 ) 计算机系统没有绝对的安全，只有相对的安全，可能存在的安全问题的 数量、种类和概率是变化的，对系统的安全性难有精确的数字表示。 ( 3 ) 安全风险评估只能根据已有的知识( 漏洞、系统基本信息) 进行检测和 评估，而且依据一定的数理统计进行计算，不能对尚未公布的安全漏洞进行检测和 评估。 ( 4 ) 安全风险评估过程中以不能对现有的网络资料和网络设备造成损坏为基 准，只能采用模拟攻击手段。 ( 5 ) 安全风险评估人员需要经常关注最新漏洞的公布情况，及时的对漏洞库进 行更新。 ( 6 ) 安全风险评估必须签署保密协定，严格恪守保密原则，不能以任何形式向外 公布有关被检测对象的内部情况。 2 6 本章小结 本章针对保护网络安全的一种重要手段一网络安全风险评估技术进行了较 为全面和系统的分析与研究，首先介绍了风险评估涉及到的概念，接着比较了评估 的相关标准，总结了风险评估的模式、方法及其原则，为网络安全风险评估技术的进 步探索提供了较为详尽和准确的理论依据。 1 4 第三章网络安全风险评估模型应用分析 第三章网络安全风险评估模型应用分析 风险评估可以明确安全需求及确定切实可行的控制措施，全面系统的风险评 估是实施有效的风险管理的基础。 p d c a 模型是b s 7 7 9 9 提出并遵循的一个动态信息安全管理模型。我们采用 b s7 7 9 9 2 ：2 0 0 2 所提倡的p d c a 过程方法来策划和实施风险评估。 风险评估可以明确安全需求及确定切实可行的控制措施，全面系统的风险评 估是实旖有效的风险管理盼基础。 风险评估的基本步骤为： 按照组织商务运行流程进行资产识别，并根据估价原则对资产进行评估； 根据资产所处的环境进行威胁识别与评估； 对应每一威胁，对资产或组织存在的薄弱点进行识别与评估； 对已经采取的安全控制措施进行确认； 建立风险测量的方法及风险等级评价原则，确定风险的大小与等级。 资产、威胁、薄弱点的相互关系 一项资产可能存在多个威胁；每一项威胁可能利用一个或多个薄弱点；每一 个威胁可以有多个来源，其对应关系见下页图3 1 所示。 风险评估应考虑的因素 风险评估过程