国内网络安全风险评估市场与技术操作

国内网络安全风险评估市场与技术操作 吴鲁加 04 19 2004 个人主页 http risker org 网络日志 版本控制 v0 1 04 01 2004 文档创建 包含大量示例文件内部发布 v0 2 04 19 2004 删除部份敏感信息 增加国内市场分析 BS7799 和 OCTAVE 概述后 对 外发布 近两年网络安全风险评估渐渐为人们所重视 不少大型企业尤其是运营商 金融业都请了 专业公司进行评估 本文提出作者个人对国内安全风险评估操作的一些评价 并试图阐述 作者所理解的 可裁剪 易操作的风险评估方式 由于内容与商业公司有关 因此不可避 免会涉及部份商业利益 在文中作者尽量隐去可能产生直接利害关系的文字 并声明所有 评价纯属个人观点 如果你有不同意见 欢迎来函探讨 1 什么是风险评估 说起风险评估 大家脑海中首先浮现的可能是 风险 资产 影响 威胁 弱点等一连串 的术语 这些术语看起来并不难理解 但一旦综合考虑就会象绕口令般组合 比如风险 用 ISO IEC TR 13335 1 1996 中的定义可以解释为 特定威胁利用某个 些 资产的弱点 造成资产损失或破坏的潜在可能性 为了帮助理解 我们举一个下里巴人的例子 我口袋里有 100 块钱 因为打瞌睡 被小偷 偷走了 搞得晚上没饭吃 用风险评估的观点来描述这个案例 我们可以对这些概念作如下理解 风险 钱被偷走 资产 100 块钱 影响 晚上没饭吃 威胁 小偷 弱点 打瞌睡 回到阳春白雪来 假设这么个案例 某证券公司的数据库服务器因为存在 RPC DCOM 的 漏洞 遭到入侵者攻击 被迫中断 3 天 让我们尝试做一道小学时常做的连线题 把左右两边相对应的内容用线段连接起来 风险RPC DCOM 漏洞 资产服务器遭到入侵 影响数据库服务器 威胁入侵者 弱点中断三天 如果这道题对你没什么难度 那么恭喜你 你已经和国内大多数风险评估的操作者差不多 站在同一个起跑线上了 2 国内现有风险评估操作模式 2 1 评估市场和竞争分析 如果按照高 中 低端简单对国内的风险评估市场进行分类 那么我们可以很清晰地看到 几类市场的操作方式完全不同 国内高端市场主要被如 IBM 普华永道 毕马威这样类型会计师事务所类型的公司占领 往往网络安全评估就涵盖在他们的整个审计体系之下 中端市场上则盘踞着国内外大多数 较有实力的网络安全公司 其中包括较早提出安全评估并且在运营商市场有比较好的实践 的安氏 有作风稳健但却一步一个脚印打下大片疆土的启明星辰 也有异军突起极具竞争 力的绿盟科技 低端厂商则数量庞大 往往只是通过简单的漏洞扫描 病毒查杀等方式 操作 2 2 主要中端厂商的评估模式分析 以下分析中的数据来源为笔者在从事网络安全评估实践时通过各种渠道获得 但由于信息 的时效性 未能确认当前文中所进行的表述与分析就代表着各家企业的最新评估发展状态 希望读者自行鉴别 2 2 1 启明星辰 启明星辰 2002 年之前始终比较低调 但风险评估项目从最初对某证券公司进行的纯粹漏洞 扫描 人工审计 渗透测试这种类型的纯技术操作到套用 BS7799 到采用 OCTAVE 方法再 到最终形成自己的网络安全风险评估的方法论 操作模型 有很多专业人员付出了大量劳 动 下图是启明星辰的幻灯片中摘录的 他们评估发展的历程 在每个台阶上有该阶段所 经过的项目名称 出于安全原因隐去 业务参与性弱 解决方案可操作性差往往也是高要求的用户对风险评估队伍批评较多的地 方 但从启明星辰近期在几家大型客户那里的操作来看 较受客户好评 启明星辰有较多在风险评估中可以应用的工具 天镜评估版 扫描器 有专门用于风险评估的版本 天清 又名 SRC 指 Security Risk Manage 基于 ISO17799 的量化 可视化的评估工具 信息库 名称不详 能够直接导入天镜 Nessus ISS 等扫描器的扫描结果并生成报告 据 说是较好的安全评估过程辅助工具 本地评估软件包 我理解的启明星辰风险评估特点为 博采众长 这一方面与启明星辰参与部份安全行业国家标准的制订有关 另一方面则是他们有着较多 高学历员工 对高端咨询类型的提炼 深化抓得比较好 对评估要求看得透彻 写得清楚 变化较快 这可以说既是优点 也是缺点 在每次较大的评估项目中他们一般都要求有所突破 这逼 着他们去创新 但同时也导致评估的方法论很容易有变动 2 2 2 绿盟科技 绿盟科技从最初参与中国电信评估项目开始走进安全评估领域 挟其强大的系统研究技术 优势进入市场 下图是他们一份讲稿中的评估流程描述 我对绿盟科技风险评估方法的总体评价是 它是专业的系统和网络安全评估 不是信息安 全评估 具体有如下几点 项目可操作性强 管理评估存在不足 风险计算方式不够科学 技术弱点把握精确 2 2 3 安氏 安氏在国内较早从事网络安全风险评估项目的操作 做过较大的评估项目 包括顾问咨询 有 中国移动 CMNET 全网网络安全评估项目 天津电力公司安全咨询项目 中国电信 IP 网安全咨询顾问项目 上海移动 boss 系统安全咨询顾问项目 深圳华为科技公司安全咨询 顾问项目等 个人理解 2001 年前后 IS ONE 的评估在国内较为领先 一方面是他们与国外公司的沟 通较密切 另外其高管层对风险评估 BS7799 比较重视 但到了 2003 年 安氏整体战略 转型 产品方面一边中止与 ISS 合作 一面高调宣传做自主产品 SOC 大集成成为其主推 概念 在风险评估领域的方法论却缺乏创新和突破 安氏的安全风险评估有几大优势 项目管理较为专业 下图是从安氏给某用户汇报时 ppt 的摘录 是他们项目管理的过程 文档体系比较规范 这可能与安氏的部份高管强执行力和国外背景有一定关系 他们较为注重方案 咨询建议 等经验的可复用 当然 这同时也容易造成他们考虑问题简单化 对小客户容易用大企业 的方案来裁剪套用 就现在他们做过的项目来看 至少有以下标准方案的积累 安全策略评估及建议报告 安全解决方案 本地风险评估报告 远程风险评估报告 网络安全现状报告 网络安全解决方案建议 扫描评估申请报告模版 数据库扫描申请报告 系统扫描申请报告 网络扫描申请报告 这里列举一份安氏的售前方案目录 相信内行人能看出一些门道来吧 第 1 章 概述 1 1 项目概述 1 2 项目目标 1 2 4 评估的方式 1 3 评估遵循的原则 1 3 1 保密原则 1 3 2 标准性原则 1 3 3 规范性原则 1 3 4 可控性原则 1 3 5 整体性原则 1 3 6 最小影响原则 1 4 风险评估模型 1 4 1 背景和假设 1 4 2 概述 1 4 3 资产评估 1 4 4 威胁评估 1 4 5 弱点评估 1 4 6 风险评估 1 5 资产识别和赋值 1 5 1 信息资产分类 1 5 2 信息资产赋值 1 6 主要评估方法说明 1 6 1 工具评估 1 6 2 人工评估 1 6 3 安全审计 1 6 4 网络架构分析 1 6 5 策略评估 1 7 项目承诺 1 8 项目组织结构 第 2 章 项目范围和评估内容 第 3 章 项目阶段详述 3 1 第一阶段 项目准备和范围确定 3 2 第二阶段 项目定义和蓝图 3 3 第三阶段 风险评估阶段 3 3 1 集团公司层面评估子项目 3 3 2 省网层面评估子项目 3 3 3 安全信息库开发子项目 3 3 4 安全评估风险规避措施 3 3 5 需要客户配合的工作 3 3 6 安全信息库系统原型概要设计 3 4 第四阶段 综合评估和策略阶段 3 4 1 报告和建议的形成 3 4 2 XXXX 网络安全现状报告 3 4 3 XXXX 网络安全策略改进建议 3 4 4 XXXX 网络安全解决方案建议 3 5 第五阶段 项目评审阶段 3 5 1 验收方法和内容 3 5 2 验收标准和流程 3 6 支持和售后服务 3 6 1 安氏客户服务体系简介 3 6 2 安氏 中国 的客户服务对象 3 6 3 安氏 中国 客户服务中心组织结构 3 6 4 安氏 中国 的服务特点 3 6 5 服务保证体系 CRM 3 6 6 在本项目中所提供的支持服务 3 6 7 安全通告服务 第 4 章 项目质量保证和管理 4 1 配置管理 4 2 变更控制管理 4 3 项目沟通 4 4 记录和备忘录 4 5 报告 4 6 项目协调会议 第 5 章 项目质量控制 第 6 章 技术培训 6 1 安全管理培训 ISO 17799 6 2 评估方法培训 6 3 评估结果及漏洞修补方法培训 6 4 安全信息库系统培训 第 7 章 项目软硬件需求清单 另外 安氏的信息库也能成为他们在风险评估中一项有力的武器 2 2 4 其它 这里所指的其它公司 大部份是实力较强的企业 如联想之流 介入安全行业并凭借良好 的渠道和合作伙伴关系 打开一定的局面者 需要指出的是安络科技 公司不大 但历经 风雨 还能够在行业中有一定位置 但是对于风险评估 则归类到这里的企业多数缺乏自己的风格 甚至评估只是他们很小的 副业 因此在他们的方案或幻灯片中 常见到的是各种标准的流程 关系图等等 如下 面这两副 几乎在所有企业的的风险评估方案中 我都看到上面的那副安全风险关系图 当然有些公 司做了某些修改 美化以强调自己的理解 突出自己评估方法中的核心部份 比如下面这 张启明星辰的安全风险关系图 2 2 4 1 亿阳信通 他们的所有业务流程包括 信息资产的界定 策略文档分析 安全审计 网络结构的评估 业务流程分析 安全技术性弱点的评估 安全威胁的评估 现有安全措施评估 安全弱点 综合评估 安全威胁综合分析 综合风险分析 采用的评估方法包括五种 工具远程 本地 评估 人工评估 白客测试 安全问卷 顾问访谈 使我印象深刻的是 他们对方案中大多数项目都有比较严格的过程说明 参与人员说明 主要评估方式 输入 输出 参考规范和标准 比较严谨 2 2 4 2 亚信科技 有着深厚运营商行业的优势 其曾经的子公司玛赛有过相当不错的成绩 从他们的几个方 案中分析 亚信对风险评估的研究并不深入 仅是简单抄了一堆基本风险评估法 详细风 险评估法 综合风险评估法等的概念 他们的评估分为六大部份 资产 脆弱性 威胁 影响 安全措施评估 风险评估 风险评估是对前五者的综合 其中的安全措施估计是自 己增加的 我理解起来整体思路感觉比较混乱 2 2 4 3 华为 华为的部份合作风格一直令人左右为难 他们有庞大而有力的销售队伍 运营商方面良 好的合作背景 这些都诱惑着其它厂商与之合作 但华为的高速发展和发展过程的调整 却往往令合作伙伴有些进退维谷 仅以防火墙市场为例 华为曾经因为要选择合作伙伴 广邀防火墙厂商进行产品测试 对各种产品的功能 性能指标 技术特点都了如指掌 但 2003 年华为推出了自己的防火墙产品 2003 年可以说是华为将安全由内部建设转向往外部推动的转折年 原因或许是他们发现他 们的主要客户运营商已经把安全门槛提高了 与其很费劲地迈这个门槛 不如在自已的产 品和集成基础上造一个高门槛 华为的评估与其它安全公司的评估侧重点略有不同 更侧重于网络架构和应用评估 可能是 他们这方面的人才更多的缘故 2003 年市场上也略有斩获 2 2 4 4 联想 联想的网络安全事业部和他们网御系列的安全产品一直令我很迷惑 为什么联想投资一 方面注资绿盟科技 另一方面却自己力图创立安全产品和服务品牌 从目前的情形来看 网御防火墙已经在市场上取得不错的销售成绩 网御入侵检测也初露头角 但笔者个人测 试 这两款安全产品从功能 性能上来说都远离联想的大厂商风范 安全服务和风险评估方面 联想介入市场比较迟 但由有几位掌握方面论和攻击渗透的安 氏员工的加盟 由此也可见安氏的方法论积累很不错 他们很快站在前人的基础上号称有 了一套自己的标准方法和操作流程 2 2 4 5 安络科技 安络科技创立伊始 在国内的网络安全界有比较高的知名度 但多年来始终偏安于深圳 失去了飞速增长的机会 因此被从国内安全厂商的第一梯队挤出 在他们的很多方案中 同时包括了评估建议书和中长期安全规划建议 他们的远程风险评 估乏善可陈 本地风险评估分得很细 包括实施安全 平台安全 数据安全 通信安全 应用安全 运行安全 管理安全的评估 但在可操作性方面下的功夫还不够 2 3 部份低端厂商的评估模式 部份低端评估厂商在市场上不但存在 而且有很大的生存空间 他们的目标客户群体是小 型企业 不会为评估花费太多的精力和金钱 安全也只需要简单达到某一基线即可 通常这些厂商的做法快速简洁 漏洞扫描 远程扫描报告 抽样人工审计 人工审计报告 抽样病毒扫描与查杀 病毒监测报告 之后就可以坐地分金了 这种操作模式仅需要少数技术骨干就能很好地进行 3 BS7799 和 OCTAVE 3 1 BS7799 的优势和弱点 要初步了解 BS7799 我觉得从两个角度入手 了解 BS7799 的安全管理流程 也就是建立信息安全管理体系的方法和步骤 系统了解 BS7799 中提到的 10 类 127 个控制项的内容 并且能够在此基础上针对不同行业选择 甚至新增 控制项 就如最近移动集团提出的 NISS 网络与信息安全标准 一样 个人感觉 BS7799 的最大缺陷就在于可操作性不强 如果仅仅按 BS7799 的要求操作 类似 ISO9000 的评审 有可能最终达不到初始的安全目标 这或许也是 BS7799 和 ISO17799 呼 声很高 但实际应用或者通过评审的企业并不多的原因之一 作为参考 这里给出一份 sans 提供的 BS7799 检查列表 3 2 OCTAVE 的有效补充 所谓 OCTAVE 实际上是 Operationally Critical Threat Asset and Vulnerability Evaluation 的 缩写 指的是可操作的关键威胁 资产和弱点评估 在我的理解中 OCTAVE 首先强调的 是 O 其次是 C 也就是说 它最注重可操作性 其次对关键性很关注 把握 80 20 原则 简单描述我理解 OCTAVE 的几个重点 实际上在 OCTAVE 中的每个环节都是不可忽视的 这里所说的几个重点是我认为 OCTAVE 较好 或者评估过程中比较关键的部份环节 过程控制 整体 OCTAVE 将整体网络安全风险评估过程分为三个阶段九个环节 分别是 阶段一 建立基于资产的威胁配置文件 01 标识高层管理知识 02 标识业务区域知识 03 标识一般员工知识 04 建立威胁配置文件 阶段二 标识基础结构的弱点 05 标识关键资产 06 评估选定的资产 阶段三 确定安全策略和计划 07 执行风险分析 8A 开发保护策略 A 8B 开发保护策略 B 下图是 CERT 在为一家医院进行风险评估时的进程时间表 我们可以作为参考 创建威胁统计 process 4 这个过程实际上完成两件事 一是对前面三个过程中收集的数据进行整理 使数据分析清 晰 二是能够通过分析资产的威胁 创建重要资产及资产面临威胁的全局视图 从下图我们可以看到 OCTAVE 对某一资产的资产 访问 动机 参与者和结果都进行了 分析 该图仅是针对一项资产 个人计算机 和一种访问 网络而建立的威胁视图 这种方式的确有助于我们看清企业内部的威胁情况 识别关键资产 process 5 也是第一阶段的延续 按 OCTAVE 的说法 分成两步 标识组件的关键种类和标识要分 析的基础结构组件 如果从操作灵活性考虑 我们也可以在阶段一的时候为资产和知识标 识出 CIA 机密性 完整性和可用性 通过对 CIA 的综合运算得出最终结论 进行风险分析 process 7 与创建威胁统计中的威胁视图相对应 在这里需要标识出威胁可能造成的影响 要注意到 的是 风险分析并非仅象下图那样是单一的 而是多种系统之间可能交叉影响 因此这个 视图最终完成后将会是很大的一张图表 4 中小企业的特点和对 OCTAVE 的重新评价 4 1 中小型企业和大型企业在评估活动中的异同点 最直接的想法 大型企业和中小型企业对安全的关注要点是否完全相同 又是否完全不同 哪些在大型企业中做过的事是可复用的 我很少看到关于这些方面的讨论 因此也想在这 里将问题提出 并给出我的粗浅考虑 希望能够引玉 相同点 可以复用的部份 1 资产评估 资产调查表格 资产属性和赋值调研表格与方法 关键资产的调查方法 2 威胁评估 部份中小企业甚至可以不用进行 BS7799 评审表 OCTAVE 威胁分析方法和视图 事件分析方法 3 弱点评估 远程扫描方法和工具 人工审计方法和工具 渗透测试方法和工具 4 风险分析 现有风险视图提炼方法和报告 不同点 需要单独开发调研的部份 1 资产评估 资产报告 不同行业 规模的企业 关键资产有很大区别 2 威胁评估 面临的威胁面比小企业更广 3 弱点评估 风险规避措施 4 风险分析 针对组织特点的解决方案 管理制度和策略框架 4 2 重新评价 OCTAVE 通过对 OCTAVE 的初步学习 我们可以认识到它具有许多 BS7799 的所缺乏的可操作性方 面的特点 但离完美还有一定距离 简单谈几点不足 过份强调对大企业的评估活动 评估流程比较繁琐 完整视图建立不易操作 要求组织中 多人参与 风险控制行动列表粒度较粗 与企业后续安全建设的实际工作有一定距离 由于强调了操作 执行时所依据的标准就相对简单 可能有主观臆断的因素在内 任何事物 就算非常优秀 也都不能全盘照搬 是需要批判接受的 从上面对 BS7799 和 OCTAVE 的简单分析 你是否能够提炼出你自己的评估方法 5 如何制订最适合您企业的风险评估计划 这里考虑采用一个小企业的评估实例来说明制订适合自身当前状态的企业风险评估的方法 由于暂时没有适合的案例提供 因此留待下一版本完善 6 实施过程简述 6 1 定义阶段 实际上是售前工作的延续 即明确项目范围 清晰界定用户的需求 这点看似简单 但实 际操作者却需要相当有经验 能够判断自己所拥有的资源 能够在既定时间内完成多少工作 能 够与客户有技巧地谈判将其需求控制在最恰当的水平并维持到项目结束 我们在这里列出了五个模块 前期交流 初步方案 投标方案 答标文档和参考报价 按照实际项目操作流程 在售前阶段这五个模块的工作应该完整进行一遍 进入项目定义 阶段时 实际上用户已经对网络安全风险评估有了一定了解 并且比较清楚自己的网络环 境需要评估到什么程度 因此本阶段用户会就投标方案要求厂商进行进一步描述 并且就 他们感兴趣的细节进行展开 6 2 蓝图阶段 双方拟定项目的详细进度计划 建议在计划过程中至少要包含下面几部份内容 问题描述 目标和范围 SWOT 分析 工作分解 里程碑和进度计划 双方资源需求 变更控制方法 在蓝图阶段中需要召开蓝图会议 在会议结束后 必须在双方认可的基础上制订并签署项 目蓝图 后续一切工作严格按蓝图进行 评估项目对客户的知识水平要求较高 通常在项目前期需要就评估方法进行培训 建议在 蓝图阶段完成项目的培训工作 另外需要提醒的是 由于多数企业的资产并没有很好地理顺 因此资产评估的前期协调工 作如果能够尽早开始 可以有效地保证项目的时间 6 3 执行阶段 这是最关键的阶段 绝大多数操作都在这一阶段完成 我们可以再将这一阶段细分为四个 环节 分别如下 资产评估 可以远程完成 系统和业务信息收集 资产列表 资产分类与赋值 资产报告 资产评估的内容并不复杂 在这部份工作中 重点在于与客户共同进行资产的分类与赋值 同时需要注意控制资产评估的完成时间 因为明确资产后才能有效进行后续的威胁与弱点 评估 否则容易导致事倍功半 威胁评估 本地完成 IDS 部署搜集威胁源 收集并评估策略文档 BS7799 顾问访谈 事件分析 威胁报告 威胁评估中访谈占了现场工作的最大部份 但由于现阶段业界对于威胁的界定存在多种标 准 因此可以说威胁评估是较难操作的一部份 建议在实施前先参考威胁评估报告样例 如果能够通过访谈获取到较为完整的安全事件信息 则可以考虑将不进行威胁评估 以更 能够清晰分析本质的事件分析代替 弱点评估 本地完成 远程扫描 人工审计 渗透测试 弱点报告 弱点评估属于纯技术操作 这里不加详述 风险分析和控制 可以远程完成 数据整理 入库及分析 安全现状报告 安全解决方案 当现场工作结束 基础数据收集完毕后 如何对浩如烟海的信息进行提炼和挖掘 其中也 有很多技巧 最终的风险分析需要看得清晰透彻 而且方案的表现形式要比较切合客户需 求 解决方案就三个字 可操作 6 4 报告阶段 在项目报告阶段 所有的现场工作和大部份文档工作已经完成 这时的关键任务是 让用 户真正理解并且认可我们的工作成绩 因此这阶段建议需要与用户进行深入细致的沟通 需 要面对面交流 以达到最佳效果 报告阶段需要注意各种细节调整 有些需要结合项目特点进行考虑 例如 1 在报告的最前面增加 文档导读 章节 2 将客户方配合工作人员也写入报告作者 3 给领导提供一份简洁有力的总结 4 等等 6 5 售后服务 按照 Octave 评估方法的观点 用户在完成一次安全评估之后 相当于获取了其当前风险的 快照 Snapshot 同时也就完成了对其信息安全风险基线的设置 之后 组织必须解决或管 理评估过程中标识的优先级最高的风险 并按照开发的解决方案进行风险的控制和消除 但由于组织的安全状态会随着时间而发生变化 所以必须通过执行另外一次评估定期地为 用户重设基线 所以在这里我们可以按照 PDCA 循环 Plan Do Check Action