資料內容僅供您學習參考，如有不當之處，請聯系改正或者刪除資料內容僅供您學習參考，如有不當之處，請聯系改正或者刪除/資料內容僅供您學習參考，如有不當之處，請聯系改正或者刪除研究報告二網絡安全評估標準研究報告一、研究現狀隨著網絡技術的發展，計算機病毒、網絡入侵與攻擊等各種網絡安全事件給網絡帶來的威脅和危害越來越大，需對網絡數據流進行特征分析，得出網絡入侵、攻擊和病毒的行為模式，以采取相應的預防措施.宏觀網絡的數據流日趨增大,其特征在多方面都有體現。為了系統效率，只需對能體現網絡安全事件發生程度與危害的重點特征進行分析，并得出反映網絡安全事件的重點特征，形成安全評估指標。隨著信息技術與網絡技術的迅猛發展，信息安全已經成為全球共同關注的話題，信息安全管理體系逐漸成為確保組織信息安全的基本要求,同時網絡與信息安全標準化工作是信息安全保障體系建設的重要組成部分。網絡與信息安全標準研究與制定為管理信息安全設備提供了有效的技術依據,這對于保證安全設備的正常運行和網絡信息系統的運行安全和信息安全具有非常重要的意義。本文將介紹當前網絡信息安全標準研究的現狀，并著重介紹幾個現階段國內外較流行的安全標準。近年來，面對日益嚴峻的網絡安全形式，網絡安全技術成為國內外網絡安全專家研究的焦點。長期以來，防火墻、入侵檢測技術和病毒檢測技術被作為網絡安全防護的主要手段，但隨著安全事件的日益增多，被動防御已經不能滿足我們的需要。這種情況下，系統化、自動化的網絡安全管理需求逐漸升溫,其中，如何實現網絡安全信息融合，如何真實、準確的評估對網絡系統的安全態勢已經成為網絡安全領域的一個研究熱點。對網絡安全評估主要集中在漏洞的探測和發現上，而對發現的漏洞如何進行安全級別的評估分析還十分有限,大多采用基于專家經驗的評估方法，定性地對漏洞的嚴重性等級進行劃分，其評估結果并不隨著時間、地點的變化而變化，不能真實地反映系統實際存在的安全隱患狀況。再加上現在的漏洞評估產品存在誤報、漏報現象，使得安全管理員很難確定到底哪個漏洞對系統的危害性比較大，以便采取措施降低系統的風險水平。因此，我們認為：漏洞的評估應該充分考慮漏洞本身的有關參數及系統的實際運行數據兩方面信息，在此基礎上,建立一個基于信息融合的網絡安全評估分析模型，得到準確的評估結果2相關工作現有的安全評估方式可以大致歸結為4類：安全審計、風險分析、安全測評和系統安全工程能力成熟度模型SSE-CMM（SystemsSecurityEngineeringCapabilityMaturityModel)等。大部分通用的信息安全標準,如ISO17799,ISO13335等，其核心思想都是基于風險的安全理念［4—6］.信息技術先進的國家,例如美國、俄羅斯和日本等在信息安全保障評價指標體系方面已經率先開展了研究工作.特別是美國，利用卡內基梅隆大學系統安全工程能力成熟度模型SSE-CMM[4]較早地建立了信息安全保障評價指標體系［5,6］。RayfordB.Vaughn［7］和NabilSeddigh［8]等人研究了信息安全保障評價的概念和范疇,給出了信息安全保障評價的框架。在國內，國家信息中心［9,10］研究了網絡信息系統的信息安全保障理論和評價指標體系;更多的研究針對網絡安全的評價指標體系［11].在評估方面，魏忠［12]提出了從定性到定量的系統性信息安全綜合集成評估體系；肖道舉等［13］進行了網絡安全評估模型的研究;黃麗民等［14]提出了網絡安全多級模糊綜合評價方法；李雄偉等[15]在采用模糊層次分析法Fuzzy—AHP評估網絡攻擊效果方面取得了一定的成果。有些研究已經應用到具體的行業中[16—18]。最近,中國工業與信息產業部推出了“中國信息安全產品評測指標體系”[19］.目前,有關網絡信息系統的安全評價雖然存在著多種多樣的具體實踐方式，但在世界上還沒有形成系統化和形式化的評價理論和方法。評價模型基本是基于灰色理論（GrayTheory）或者模糊(Fuzzy）數學，而評價方法基本上用層次分析法AHP(AnalyticHierarchyProcess)或模糊層次分析法Fuzzy-AHP,將定性因素與定量參數結合，建立了安全評價體系，并運用隸屬函數和隸屬度確定待評對象的安全狀況。上述各種安全評估思想都是從信息系統安全的某一個方面出發，如技術、管理、過程、人員等，著重于評估網絡系統安全某一方面的實踐規范,在操作上主觀隨意性較強，其評估過程主要依靠測試者的技術水平和對網絡系統的了解程度，缺乏統一的、系統化的安全評估框架，很多評估準則和指標沒有與被評價對象的實際運行情況和信息安全保障的效果結合起來。在目前的評估方法中,基礎指標(技術、管理、工程和戰略）是相互獨立的，技術、管理、工程和戰略措施是并行的，評價指標之間相互獨立，從而導致評價精度下降和評價準確性出現偏差。二、指標體系詳細3。3信息安全保障評價指標體系由信息安全保障評價框架和流程可以得知，信息安全保障評價指標的核心為靜態(功能)指標、動態(運行）指標和狀態(屬性)指標.信息安全保障評價指標體系如圖3所示［20］由圖3可得信息安全保障評價指標體系分為4級：(1）總體指標總體指標為信息安全保障評價指標,表示信息安全保障整體的安全態勢、保障效果、經濟和社會效益。(2)Ⅰ級指標分別采用靜態評估、動態評估和狀態評估3種手段對信息安全保障系統進行評價，得到3個Ⅰ級指標，即靜態、動態和狀態指標。(2)Ⅱ級指標由3個Ⅰ級指標延伸出如下11個Ⅱ級指標：a)靜態指標包括戰略完備性、管理先進性、工程成熟性和技術有效性;b）過程指標包括預警、檢測和防御;c）效果指標包括狀態監控、安全基線、保障效果和保障效益。（3)Ⅲ級指標Ⅲ級指標為基礎指標,它是在信息系統上通過技術手段和管理手段可以直接或者間接采集或者統計得到的數據和信息，即為底層的信息安全保障運行數據。基礎指標的組成如下:靜態指標包括安全政策、安全條例、安全實施和安全措施;b)過程指標包括預警、檢測和防御；c）效果指標包括整體安全性、安全運行最小要求、信息和信息系統的安全屬性以及社會效益和經濟效益。3網絡與信息系統安全性評估指標體系初步擬定，整個指標體系，包括5個大項,35個條款。3.1綱目如表1所示。表1指標體系綱目類別地位分值實體與環境安全基礎30分30%組織管理與安全制度關鍵30分30％安全技術措施保障20分20%網絡通信安全重點10分10%軟件與信息安全重點10分10％3。2細則3。2.1實體與環境安全（30分）（1）機房周圍100m內無危險建筑.(2分)危險建筑:指易燃、易爆、有害氣體等存在的場所，如加油站、煤氣站、煤氣管道等.（2）有監控系統.(3分)監控系統：指對系統運行的外圍環境、操作環境實施監控(視)的設施。(3）有放火、防水措施。（2分）防火:指機房內安裝有火災自動報警系統，或有適用于計算機機房的滅火器材、應急計劃及相關制度。防水:指機房內無滲水、漏水現象,如機房上層有用水設施需加防水層。（4)機房有環境測控設施（溫度、濕度和潔凈度）。(5分）溫度控制：指機房有空調設備,機房溫度保持在18～24℃。濕度控制:指相對濕度保持在40%～60%。潔凈度控制:機房和設備應保持清潔、衛生，進出機房換鞋,機房門窗具有封閉性能。（5)有防雷措施(具有防雷裝置,接地良好）。防雷裝置:指機器設備有接地措施,電器設備(包括通信設備和電源設備）有防雷設施.（6)備用電源和自備發電機.(2分)（7)使用UPS.(2分)(8）防靜電措施(采用防靜電地板，設備接地良好）。(2分）（9)專線供電（與空調、照明用電分開）.（5分)（10)防盜措施。（5分)中心有人值班,出入口安裝防盜安全門，窗戶安裝金屬防護裝置，機房裝有無線電遙控防盜聯網設施。3.2。2組織管理與安全制度（30分）（11）有專門的信息安全組織機構和專職的信息安全人員。(4分）信息安全組織機構的成立與信息安全人員的任命必須有有關單位的正式文件.（12）有健全的信息安全管理的規章制度。(4分)有規章制度的得2分,上墻的得2分。（13）信息安全人員的配備，調離有嚴格的管理制度。（4分)（14)設備與數據管理制度完備,并且上墻。(4分）（15)有詳盡的工作手冊和完整的工作紀錄。(4分)(16）有緊急事故處理預案.(3分)(17）有完整的信息安全培訓計劃和培訓制度.（4分)(18）各類人員的安全職責明確,安全管理制度嚴格.(4分)3。2。3安全技術措施（20分)(19）有災難恢復的技術對策.(3分)(20）采取開發工作與業務工作分離措施。（2分)（21)具有應用業務。系統安全審計功能。（3分）（22)有系統操作日志.(3分)系統操作日志：指每天開、關機,設備運行狀況等文字記錄。（23)有服務器備份措施。(4分)(24）有防黑客入侵設施。(3分）防黑客入侵設施：設置防火墻，有入侵檢測等設施.（25)有計算機病毒防范措施。(2分)計算機病毒防范措施：備有病毒預防及消除的軟、硬件產品，并能定期升級。3。2。4網絡與通信安全（10分）（26)放置通信設施的場所設有醒目標志。（2分）(27）重要通信線路及通信控制裝置均有備份。（28)采取加密措施。(2分）(29)系統運行狀態有安全審計跟蹤措施。(2分)(30)網絡與信息系統加有訪問控制措施。（2分)訪問控制措施:指能根據工作性質和級別高低,劃分系統用戶的訪問權限。3。2。5軟件與信息安全（10分)(31）操作系統及數據庫有訪問控制措施。(2分)(32)應用軟件、系統信息有防破壞措施。（2分)（33)對數據庫及系統狀態有監控設施.（2分)(34）有用戶身份識別措施.（2分）（35)系統用戶信息采用異地備份。(2分)2終端安全評估量化指標體系隨著電子政務的蓬勃發展，信息系統評估領域已經得到政府部門的高度重視,對信息安全評估的需求也越來越多,網絡終端安全評估量化指標體系將應用于電子政務網絡，在指標體系的基礎上進行的終端安全評估滿足了政府部門的信息安全評估需求。信息安全是一個動態的復雜過程,它貫穿于信息系統的整個生命周期。信息安全的威脅可能來自于內部破壞、外部攻擊、內外聯合進行的破壞以及自然危害,因此信息安全評估必須按照風險管理的思想,對可能的威脅、脆弱性和需要保護的信息資產進行分析.對網絡終端安全進行評估時,以資產、威脅、脆弱性3個基本要素構建4級網絡終端安全評估量化指標體系，以量化的指標多方面、多層次來描述終端的安全狀況，得出客觀的評估結果.根據國家對網絡與信息系統安全性的基本要求，在制定網絡終端安全評估量化指標體系時應遵循以下原則:依據國際、國內信息安全評估規范;滿足用戶提出的安全性要求；反映終端安全的各方面；按層次劃分各個指標［5］。如表1所示的4層結構的網絡終端安全評估量化指標體系.在文獻[6]提出的網絡終端安全評估量化指標體系的基礎上進行網絡終端安全評估的主要過程有:(1）收集資料：通過收集的有關數據和信息對網絡終端系統有一個全面的認識.數據的來源可通過問卷調查、輔助工具、文檔資料來獲得.（2)采用漏洞掃描工具和入侵檢測技術并利用收集到的有關指標的數據和資料,對網絡終端存在的脆弱性和威脅進行識別和分析,得出安全事件發生的原因、影響因素和最終結果。利用層次模糊評價法,量化網絡終端脆弱性和威脅指標。(3）結合網絡終端安全評估模型計算出終端安全評估值,進行綜合的定性分析,對終端安全狀況、后果的嚴重性進行估計和評價。（4）確定高風險區域,并制定出合理可行的網絡終端安全解決方案。網絡終端安全狀況評估的最終目的是降低風險和保護資產.資產的價值不是指以資產的經濟價值來決定，更多的是指資產的影響價值決定.脆弱性是資產本身存在的,威脅是對終端直接或間接的攻擊,它可以利用脆弱性對資產造成損失.在采取相應的安全策略控制安全風險時,信息資產的影響價值是一個重要的控制量，通過減少信息資產的潛在影響價值來降低安全風險,同時也可以通過降低威脅的方法、彌補系統漏洞的方法來降低安全風險.網絡終端安全狀況評估主要是識別和分析資產價值、威脅及脆弱性.信息資產綜合其保密性(confidentiality)、完整性（integrity）、可用性（availability)3個屬性進行賦值.根據資產在保密性、完整性、可用性要求的不同程度,將3個屬性劃分為5個等級,對不同的等級賦予不同的數值,級別越高數值越大。資產的最終賦值Assets=f（C,I,A），其中f是信息資產的C、I、A映射到信息資產的函數,Assets=Round（3C×I×A)。將資產劃分為5個等級，級別越高數值越大,資產越重要。網絡終端安全評估根據資產的最終賦值確定其是否為重要資產，主要是針對重要資產進行評估.根據威脅(T)出現的頻率對威脅進行賦值并劃分為5個等級.脆弱性(V）識別是針對每一項資產，識別可能被威脅利用的弱點,并對脆弱性的嚴重程度進行賦值?？梢岳寐┒磼呙韫ぞ甙l現主機存在的漏洞.對應不同環境下的相同弱點，其脆弱性的程度是不同的。應從組織安全策略的角度確定脆弱性的程度,同樣對脆弱性劃分為5個等級,對威脅和脆弱性的不同等級賦予不同的數值,級別越高數值越大,賦值范圍為1~5之間的數.利用層次模糊綜合評價法,計算威脅、脆弱性最終賦值.根據網絡終端安全評估的3個基本要素,即資產、威脅、脆弱性的最終賦值,并結合網絡終端安全狀況評估模型，分析得出網絡終端安全狀況評估值，再進行綜合的定性分析,主要評估算法和計算過程如下：安全事件可能性(P）=威脅（T)+脆弱性(V);損失程度（L)=安全事件可能性（P）×資產（A)；終端安全狀況值(S）=終端安全事件的損失（L)×風險發生的概率(R)[6].終端安全狀況評估模型如圖1所示.終端安全狀況由參數（T，V,A，R)決定,根據這4個參數值便可得到終端安全狀況值網絡終端安全狀況評估固有的主觀因素對評估結果有很大的影響，為了盡可能減小這些主觀因素，本文在網絡終端安全評估量化指標體系的基礎上確定了評估過程中參照的指標，全面、準確地反映網絡終端安全狀況,并對各項指標進行量化，采用評估模型和結合實例給出了評估量化指標的具體實現過程，形成一個全局的更合理、更準確的網絡終端安全狀況量化分析結果.3網絡態勢感知的指標體系3。1構建網絡安全態勢指標體系的原則相似相近原則對于宏觀性的網絡來說，其影響因素相當多，其中一些是近似的、相互影響的,如數據包的分布、數據包大小的分布,這些指標應該被統一考慮。分層的原則這些指標本身具有層次性,有些是針對局域子網的，有些是針對大規模宏觀網絡的,在收集和處理上的差別都比較大,應該分別分層次的考慮。動靜結合的原則這主要針對指標本身的特性.例如流量時刻變化需要實時收集,而網絡拓撲結構這個指標一般來說一段時間內是穩定不變的,這兩種特性完全不同的指標要分別開來，同與自身特性相近的指標組合。3.2構建網絡安全態勢指標體系根據指標體系的構建原則將指標組織如下：1）網元信息:存活主機數目、不同開放端口相應的主機總量、操作系統及其版本在整個子網中所占比例、所提供的不同服務對應的主機總量。2）流量信息：數據包大小的分布，數據包大小的分布的變化率，數據流總量,流量變化率,協議的分布，數據流入量,流入量增長率，流入數據源IP分布,帶寬使用率，訪問主流安全網站的頻率(最近1小時內，已處理的連接/建立連接數）。3）報警信息：本子網的安全事件,歷史安全事件發生頻率。4)漏洞信息：本子網的網絡漏洞及本子網內各主機的主機漏洞.5)靜態配置信息：子網內安全設備數目，網絡拓撲。在此基礎上提煉出四個表征宏觀網絡性質的二級綜合性指標：脆弱性、容災性、威脅性和穩定性。再依據本章所提出的各種原則和第2章劃分的層次進行研究,設計出了網絡安全態勢評估指標體系，如表1所示。其中,網絡脆弱性側重描述被評網絡自身在安全方面的不足之處，因此，其自身的硬件軟件配置和服務配置就是其主要載體；網絡容災性側重描述被評網絡自身對安全事件的防范能力，主要體現在網絡的硬件設備與軟件設施的容災能力上;網絡所受的威脅性,是從來自外部的各種威脅來對被評網絡本身的安全態勢做評估；網絡的穩定性是一個連續的概念，因為穩定即不變，也就是一種狀態延續自上一時刻，和上一時刻的狀態幾乎是一樣的，所以,網絡的穩定性與時間有很大的關系，衡量它的指標也都幾乎與時間有關,如流量變化率、數據包分布比值的變化率等。三、物聯網環境下新要求物聯網是計算機、互聯網與移動通信網等相關技術的演進和延伸，其核心共性技術、網絡與信息安全技術以及關鍵應用是物聯網的主要研究內容。物聯網感知節點大都部署在無人監控環境，并且由于物聯網是在現有的網絡基礎上擴展了感知網絡和應用平臺,傳統網絡安全措施不足以提供可靠的安全保障.物聯網安全研究將主要集中在物聯網安全體系、物聯網個體隱私保護模式、終端安全功能、物聯網安全相關法律的制訂等方面.其中物聯網被認為是繼計算機、互聯網與移動通信網之后的又一次信息產業浪潮,代表了下一代信息技術的方向。物聯網除與傳統的計算機網絡和通信網絡技術有關外，還涉及到了許多新的技術，