時(shí)間：2022-06-25 21:02:01
緒論：在尋找寫作靈感嗎？愛發(fā)表網(wǎng)為您精選了8篇網(wǎng)絡(luò)安全評估報(bào)告，愿這些內(nèi)容能夠啟迪您的思維，激發(fā)您的創(chuàng)作熱情，歡迎您的閱讀與分享！
【 關(guān)鍵詞 】 網(wǎng)絡(luò)安全；評估；漏洞掃描
The Research of Network Security Evaluation
Wu Guo-qiang
(Institute of Geophysics, China Earthquake Administration Beijing 100085)
【 Abstract 】 at present, the network has brought great change to people's life, work and study. People in the enjoyment of the Internet brought not only convenience but also security influence. Due to the network with the sharing of resources, widely distributed and open features, to cyber criminals had to take advantage of the machine, to the society and the individual has brought incalculable harm. The network hacker attacks to network bu the use of network management and technical flaws, on the network security evaluation, targeted to network repair job, can fundamentally solve the problem of network security hidden danger, will put an end to. In the existing application level basis, establish and improve the network security assessment system for network, normal, safe and stable operation is of great value in the practical application.
【 Keywords 】 network security; assessment; vulnerability scanning
0 引言
隨著網(wǎng)絡(luò)用戶的增多，人們對網(wǎng)絡(luò)的依賴性越來越嚴(yán)重，網(wǎng)絡(luò)已經(jīng)成為人們生活中不可分割的一部分，但是，受到網(wǎng)絡(luò)危害的人數(shù)也在逐年增加。據(jù)不完全統(tǒng)計(jì)，我國超過一半以上的企事業(yè)單位受到過網(wǎng)絡(luò)安全事故的危害，而且這個(gè)數(shù)字還在逐年增加。其網(wǎng)絡(luò)安全的危害主要表現(xiàn)在：黑客攻擊、木馬侵襲和病毒傳染等。
當(dāng)前，我國的信息化安全建設(shè)也隨著技術(shù)的發(fā)展不斷進(jìn)步，但是，由于網(wǎng)絡(luò)資源共享和分布不均勻的特性及相關(guān)法律不健全的影響，讓眾多網(wǎng)絡(luò)用戶受到網(wǎng)絡(luò)危害及損失之后，其個(gè)人名譽(yù)和財(cái)產(chǎn)無法得到有效地保護(hù)。因此，加強(qiáng)自身網(wǎng)絡(luò)的安全建設(shè)，及時(shí)有效地網(wǎng)絡(luò)系統(tǒng)進(jìn)行評估，是十分有必要的。
1 模型和算法
網(wǎng)絡(luò)安全評估主要從物理安全、究全控制、管理安全、數(shù)據(jù)安全和技術(shù)安全幾個(gè)層次進(jìn)行評估。當(dāng)前，社會上存在的評估系統(tǒng)，都是從某個(gè)方面入手進(jìn)行評估驗(yàn)證，只把握住了局部問題，而沒有從全局出發(fā)，缺乏必要的合理性和科學(xué)性。綜合國內(nèi)外準(zhǔn)則和技術(shù)指標(biāo)，都是僅僅規(guī)定了體系和框架，對于具體的安全掃描操作沒有給出具體的步驟和過程。為了能夠設(shè)計(jì)出更加完善的網(wǎng)絡(luò)安全評估系統(tǒng)，給出定性的安全保護(hù)策略和安全評級，首先需要做的是確定其評估模型。
1.1 評估模型分類
（1）定性評估方法
該方法的特點(diǎn)是預(yù)見性。模型在沒有建立以前，就要確定其漏洞及其危害性。對于漏洞的分析主要通過三個(gè)方面進(jìn)行：一是性質(zhì)和成區(qū)（查看具體由操作系統(tǒng)、應(yīng)用軟件和端口哪一方面引起）；二是危害程度（越級訪問、遠(yuǎn)程控制、非法竊取、非法訪問、遠(yuǎn)程欺騙和拒絕服務(wù)）；三是漏洞級別（一般、嚴(yán)重和非常嚴(yán)重）。
該評估模型的優(yōu)點(diǎn)是實(shí)現(xiàn)簡單、操作方便，最大的不足之處就是主觀性強(qiáng)，需要研發(fā)人員對網(wǎng)絡(luò)安全有足夠的經(jīng)驗(yàn)和水平并且盡可能地多采集相關(guān)的信息。其代表方法有歷史比較法、因素分析法和德菲爾法等。
（2）定量的評估方法
該方法主要是通過判斷影響網(wǎng)絡(luò)安全的數(shù)值來進(jìn)行的。其優(yōu)點(diǎn)是客觀公正、科學(xué)，其缺點(diǎn)是由于要進(jìn)行大量的數(shù)據(jù)比較，其實(shí)現(xiàn)相對復(fù)雜。其代表的方法有決策樹法、因子分解法和聚類分析法等。
（3）綜合的評估方法
該方法是結(jié)合了前兩種方法的優(yōu)點(diǎn)，其代表的方法有模糊數(shù)學(xué)法、威脅樹法和層次分析法等。
（4）基于模型的評估方法
該方法是目前最有效的方法，它所基于的模型都是建立在成熟的模型的基礎(chǔ)之上，所以設(shè)計(jì)簡單、發(fā)現(xiàn)漏洞的效率高、易發(fā)現(xiàn)未知的攻擊模式和脆弱的系統(tǒng)等，能夠從全局上對網(wǎng)絡(luò)進(jìn)行評估。當(dāng)前，它所基于的模型主要有故障樹模型、信息流模型、訪問控制模型和基于角色的訪問控制模型等。
1.2 評估模型理論
什么是NKS？NKS的英文全名是A New Kind of Science，2002年，著名的數(shù)學(xué)軟件Mathematica的設(shè)計(jì)者Wolfram出版了一本書就叫這個(gè)名字，專門研究各種簡單程序，例如細(xì)胞自動機(jī)、圖靈機(jī)、替代系統(tǒng)等等，并得出了豐富的結(jié)論，他把這門科學(xué)叫做NKS。
評估模型建立的是一種層次化的網(wǎng)絡(luò)質(zhì)量度量方法NKS，其主要的評估要素由一系列小的質(zhì)量要素（:物理安全、技術(shù)安全、管理安全和管理策略等）組成，而小的質(zhì)量要素又是由網(wǎng)絡(luò)安全評估衡量標(biāo)準(zhǔn)（脆弱性、漏洞和各種弱口令等）組成，標(biāo)準(zhǔn)又通過安全度量元（脆弱性情況、漏洞嚴(yán)重程度和弱口令復(fù)雜度等）的特性來完成。通過一層層的遞進(jìn)關(guān)系，來準(zhǔn)確地評估出確切的評估要素值。
1.3 評估算法
在網(wǎng)絡(luò)安全評估中，只有通過具體的值才能在計(jì)算機(jī)中得到體現(xiàn)，一般度量值有兩種類型，分別是邏輯型和數(shù)值型。邏輯型相對比較簡單，只需要根據(jù)對應(yīng)的值進(jìn)行邏輯判斷即可；而數(shù)值型則需要通過復(fù)雜的數(shù)值計(jì)算才能夠得出具體的判定層次。
在此我們對數(shù)值型進(jìn)行簡要的介紹。
首先，將評估要素設(shè)成兩元關(guān)系的集合，第一個(gè)參數(shù)代表評估的結(jié)果，第二個(gè)表示其結(jié)果在整個(gè)網(wǎng)絡(luò)中所起到的權(quán)重值。每一個(gè)模型所進(jìn)行數(shù)值計(jì)算都是不同的，但不管哪一個(gè)，一般都通過采用以下幾個(gè)要素組合來取得最終的結(jié)果，它們是專家?guī)臁㈥P(guān)系方程、概率分析和權(quán)重等。
2 網(wǎng)絡(luò)安全評估系統(tǒng)組成和功能
在上面理論的基礎(chǔ)之上，我們設(shè)計(jì)出NKS網(wǎng)絡(luò)安全評估系統(tǒng)，以確保整個(gè)網(wǎng)絡(luò)的安全和對潛在威脅的及時(shí)發(fā)現(xiàn)。
2.1 系統(tǒng)組成簡介
整個(gè)系統(tǒng)主要由四個(gè)模塊組成，分別是評估結(jié)果管理模塊、安全性檢測與評估報(bào)告生成模塊、系統(tǒng)設(shè)置模塊和附加功能模塊。其結(jié)構(gòu)圖如圖1所示。
（1）評估結(jié)果管理模塊
模塊主要體現(xiàn)在結(jié)果的顯示和歷史記錄的查詢上面，由搜索掃描記錄、刪除掃描記錄和顯示評估結(jié)果組成。
（2）安全性檢測與評估報(bào)告生成模塊
在整個(gè)系統(tǒng)中，所有功能及模塊都是圍繞該模塊而運(yùn)行，它是系統(tǒng)的核心。它首先進(jìn)行主機(jī)存活性識別操作，假如該主機(jī)處于活躍狀態(tài)，那么將對其操作系統(tǒng)進(jìn)行探測，然后依次進(jìn)行端口/服務(wù)掃描、漏洞掃描和弱口令探測等一系列活動，最后通過安全評估算法的合理運(yùn)算，生成評估報(bào)告。
（3）系統(tǒng)設(shè)置及插件配置模塊
從系統(tǒng)的角度出發(fā)，為了保證合法用戶的正確使用，防止非法用戶的入侵，必須設(shè)置必要的賬戶進(jìn)行管理，合法用戶可以通過賬戶進(jìn)行系統(tǒng)的管理。其主要的功能有添加、刪除賬戶及修改密碼等。插件配置子程序主要完成端口掃描、漏洞掃描和弱口令掃描等。
（4）附加功能模塊
提供SQL可注入性檢測功能的實(shí)現(xiàn)。
2.2 功能介紹
該系統(tǒng)的主要功能體現(xiàn)在九個(gè)方面。（1）目標(biāo)主機(jī)存活性探測。通過遠(yuǎn)程對目標(biāo)主機(jī)的存活性進(jìn)行探測。其具體的要求是速度盡可能地快、正確率盡可能高和穿越防火墻的能力盡可能地強(qiáng)。（2）網(wǎng)絡(luò)拓?fù)浒l(fā)現(xiàn)。能夠描述出目標(biāo)主機(jī)所在的網(wǎng)絡(luò)拓?fù)鋱D。其具體的要求是圖形顯示網(wǎng)絡(luò)拓?fù)浜蛥^(qū)別各種網(wǎng)絡(luò)設(shè)備。（3）操作系統(tǒng)識別。能夠查出目標(biāo)主機(jī)上所具體使用的操作系統(tǒng)的版本相關(guān)信息。其具體的要求是通過TCL/IP協(xié)議實(shí)現(xiàn)。（4）弱口令探測。能夠查出目標(biāo)主機(jī)上常用的SQL數(shù)據(jù)庫、FTP和WEB服務(wù)的常用口令。（5）開放端口/服務(wù)掃描。要求是通過TCP、UDP端口進(jìn)行掃描。（6）漏洞掃描。它能夠?qū)λ械腤indows操作系統(tǒng)和部分Linux操作系統(tǒng)進(jìn)行分析，并對數(shù)據(jù)庫和文檔進(jìn)行集成。（7）木馬檢查。（8）生成報(bào)告。其要求是要以文本和網(wǎng)頁兩種形式表現(xiàn)出來，并且報(bào)告要針對管理員和一般用戶進(jìn)行區(qū)分。（9）用戶管理。其具體的要求是能夠添加、刪除用戶，并且對用戶的密碼進(jìn)行修改主，并且用戶的界面要盡可能地人性化。
3 網(wǎng)絡(luò)安全評估系統(tǒng)詳細(xì)設(shè)計(jì)
根據(jù)以上的介紹，我們根據(jù)網(wǎng)絡(luò)安全評估系統(tǒng)的功能，對其主要的功能模塊進(jìn)行實(shí)現(xiàn)。
3.1 獲取遠(yuǎn)程本機(jī)的基本信息
要獲取本機(jī)的網(wǎng)絡(luò)安全評估指數(shù)，首先要確定其本地的基本信息，如網(wǎng)卡的MAC地址、IP所屬的網(wǎng)絡(luò)段和操作系統(tǒng)基本信息等參數(shù)。
3.2 開放端口的判斷
端口的開放程度對主機(jī)的安全性影響巨大，如何判斷該機(jī)的哪些端口開放，哪些沒有開放，在整個(gè)系統(tǒng)的運(yùn)行中是十分必要的。我們可以通過往某個(gè)端口發(fā)送其固定數(shù)據(jù)，看是否接收，來進(jìn)行判斷，其具體的代碼如下：
4 總結(jié)
針對網(wǎng)絡(luò)安全展開討論，首先詳細(xì)分析了網(wǎng)絡(luò)安全的模型和算法，對網(wǎng)絡(luò)安全評估的幾種常用方法進(jìn)行了比較，其次分析了網(wǎng)絡(luò)安全評估系統(tǒng)的組成和功能，并給出了具體的模塊結(jié)構(gòu)圖，最后對整個(gè)系統(tǒng)的具體實(shí)現(xiàn)進(jìn)行詳細(xì)的描述，重點(diǎn)介紹了主機(jī)常用信息的獲取和端口開放的判斷，對于其它的內(nèi)容由于篇幅所限，在此并沒有給出。
參考文獻(xiàn)
[1] 許曉.應(yīng)用系統(tǒng)的安全威脅及其防護(hù).信息化研究，2009.
[2] 崔孝林.網(wǎng)絡(luò)安全評估系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn).安徽:中國科學(xué)技術(shù)大學(xué)，2009.
[3] 邢栩嘉,林闖,蔣屹立.計(jì)算機(jī)系統(tǒng)脆弱性評估研究.計(jì)算機(jī)學(xué)報(bào)，2004.
[4] 陳冬雨.趨勢科技安全威脅評估報(bào)告.計(jì)算機(jī)安全,2009.
關(guān)鍵詞：網(wǎng)絡(luò)安全；風(fēng)險(xiǎn)評估；實(shí)施流程
中圖文分類號：TP393.08文獻(xiàn)標(biāo)識碼：A文章編號：1009-3044(2008)29-0366-02
Research on Network Security Risk Assessment Appraisal Flow
XING Zhi-jun
(Railway Wagon Transport Branch Co. of China Shenhua Energy, Yulin 719316, China)
Abstract： Along with the network information age development, the Internet becomes people’s work gradually and lives the essential constituent, but also let the people face the multitudinous secret network threat at the same time. In the network security problem is not allow to neglect. This paper introduced the network security risk assessment appraisal flow in detail.
Key words： network security;risk assessment;appraisal flow
1 引言
網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估就是通過對計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全狀況進(jìn)行安全性分析，及時(shí)發(fā)現(xiàn)并指出存在的安全漏洞，以保證系統(tǒng)的安全。網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估在網(wǎng)絡(luò)安全技術(shù)中具有重要的地位，其基本原理是采用多種方法對網(wǎng)絡(luò)系統(tǒng)可能存在的已知安全漏洞進(jìn)行檢測，找出可能被黑客利用的安全隱患，并根據(jù)檢測結(jié)果向系統(tǒng)管理員提供詳細(xì)可靠的安全分析報(bào)告與漏洞修補(bǔ)建議，以便及早采取措施，保護(hù)系統(tǒng)信息資源。
風(fēng)險(xiǎn)評估過程就是在評估標(biāo)準(zhǔn)的指導(dǎo)下，綜合利用相關(guān)評估技術(shù)、評估方法、評估工具，針對信息系統(tǒng)展開全方位的評估工作的完整歷程。對信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評估，首先應(yīng)確保風(fēng)險(xiǎn)分析的內(nèi)容與范圍應(yīng)該覆蓋信息系統(tǒng)的整個(gè)體系，應(yīng)包括：系統(tǒng)基本情況分析、信息系統(tǒng)基本安全狀況調(diào)查、信息系統(tǒng)安全組織、政策情況分析、信息系統(tǒng)弱點(diǎn)漏洞分析等。
2 風(fēng)險(xiǎn)評估的準(zhǔn)備
風(fēng)險(xiǎn)評估的準(zhǔn)備過程是組織進(jìn)行風(fēng)險(xiǎn)評估的基礎(chǔ)，是整個(gè)風(fēng)險(xiǎn)評估過程有效性的保證。機(jī)構(gòu)對自身信息及信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評估是一種戰(zhàn)略性的考慮，其結(jié)果將受到機(jī)構(gòu)的業(yè)務(wù)需求及戰(zhàn)略目標(biāo)、文化、業(yè)務(wù)流程、安全要求、規(guī)模和結(jié)構(gòu)的影響。不同機(jī)構(gòu)對于風(fēng)險(xiǎn)評估的實(shí)施過程可能存在不同的要求，因此在風(fēng)險(xiǎn)評估的準(zhǔn)備階段，應(yīng)該完成以下工作。
1） 確定風(fēng)險(xiǎn)評估的目標(biāo)
首先應(yīng)該明確風(fēng)險(xiǎn)評估的目標(biāo)，為風(fēng)險(xiǎn)評估的過程提供導(dǎo)向。支持機(jī)構(gòu)的信息、系統(tǒng)、應(yīng)用軟件和網(wǎng)絡(luò)是機(jī)構(gòu)重要的資產(chǎn)。資產(chǎn)的機(jī)密性、完整信和可用性對于維持競爭優(yōu)勢、獲利能力、法規(guī)要求和一個(gè)機(jī)構(gòu)的形象是必要的。機(jī)構(gòu)要面對來自四面八方日益增長的安全威脅。一個(gè)機(jī)構(gòu)的系統(tǒng)、應(yīng)用軟件和網(wǎng)絡(luò)可能是嚴(yán)重威脅的目標(biāo)。同時(shí)，由于機(jī)構(gòu)的信息化程度不斷提高，對基于信息系統(tǒng)和服務(wù)技術(shù)的依賴日益增加，一個(gè)機(jī)構(gòu)則可能出現(xiàn)更多的脆弱性。機(jī)構(gòu)的風(fēng)險(xiǎn)評估的目標(biāo)基本上來源于機(jī)構(gòu)業(yè)務(wù)持續(xù)發(fā)展的需要、滿足相關(guān)方的要求、滿足法律法規(guī)的要求等方面。
2） 確定風(fēng)險(xiǎn)評估的范圍
機(jī)構(gòu)進(jìn)行風(fēng)險(xiǎn)評估可能是由于自身業(yè)務(wù)要求及戰(zhàn)略目標(biāo)的要求、相關(guān)方的要求或者其他原因。因此應(yīng)根據(jù)上述具體原因確定分險(xiǎn)評估范圍。范圍可能是機(jī)構(gòu)全部的信息和信息系統(tǒng)，可能是單獨(dú)的信息系統(tǒng)，可能是機(jī)構(gòu)的關(guān)鍵業(yè)務(wù)流程，也可能是客戶的知識產(chǎn)權(quán)。
3） 建立適當(dāng)?shù)慕M織結(jié)構(gòu)
在風(fēng)險(xiǎn)評估過程中，機(jī)構(gòu)應(yīng)建立適當(dāng)?shù)慕M織結(jié)構(gòu)，以支持整個(gè)過程的推進(jìn)，如成立由管理層、相關(guān)業(yè)務(wù)骨干、IT技術(shù)人員等組成的風(fēng)險(xiǎn)評估小組。組織結(jié)構(gòu)的建立應(yīng)考慮其結(jié)構(gòu)和復(fù)雜程度，以保證能夠滿足風(fēng)險(xiǎn)評估的目標(biāo)、范圍。
4） 建立系統(tǒng)型的風(fēng)險(xiǎn)評估方法
風(fēng)險(xiǎn)評估方法應(yīng)考慮評估的范圍、目的、時(shí)間、效果、機(jī)構(gòu)文化、人員素質(zhì)以及具體開展的程度等因素來確定，使之能夠與機(jī)構(gòu)的環(huán)境和安全要求相適應(yīng)。
5） 獲得最高管理者對風(fēng)險(xiǎn)評估策劃的批準(zhǔn)
上述所有內(nèi)容應(yīng)得到機(jī)構(gòu)的最高管理者的批準(zhǔn)，并對管理層和員工進(jìn)行傳達(dá)。由于風(fēng)險(xiǎn)評估活動涉及單位的不同領(lǐng)域和人員，需要多方面的協(xié)調(diào)，必要的、充分的準(zhǔn)備是風(fēng)險(xiǎn)評估成功的關(guān)鍵。因此，評估前期準(zhǔn)備工作中還應(yīng)簽訂合同和機(jī)密協(xié)議以及選擇評估模式。
3 信息資產(chǎn)識別
資產(chǎn)是企業(yè)、機(jī)構(gòu)直接賦予了價(jià)值因而需要保護(hù)的東西，它可能是以多種形式存在的，無形的、有形的，硬件、軟件，文檔、代碼，或者服務(wù)、企業(yè)形象等。在一般的評估體中，資產(chǎn)大多屬于不同的信息系統(tǒng)，如OA系統(tǒng)、網(wǎng)管系統(tǒng)、業(yè)務(wù)生產(chǎn)系統(tǒng)等，而且對于提供多種業(yè)務(wù)的機(jī)構(gòu)，業(yè)務(wù)生產(chǎn)系統(tǒng)的數(shù)量還可能會很多。
資產(chǎn)賦值是對資產(chǎn)安全價(jià)值的估價(jià)，不是以資產(chǎn)的帳面價(jià)格來衡量的。在對資產(chǎn)進(jìn)行估價(jià)時(shí)，不僅要考慮資產(chǎn)的成本價(jià)格，更重要的是要考慮資產(chǎn)對于機(jī)構(gòu)業(yè)務(wù)的安全重要性，即由資產(chǎn)損失所引發(fā)的潛在的影響來決定。為確保資產(chǎn)估價(jià)時(shí)的一致性和準(zhǔn)確定，機(jī)構(gòu)應(yīng)按照上述原則，建立一個(gè)資產(chǎn)價(jià)值尺度（資產(chǎn)評估標(biāo)準(zhǔn)），以明確如何對資產(chǎn)進(jìn)行賦值。資產(chǎn)賦值包括機(jī)密性賦值、完整性賦值和可用性賦值。
4 威脅識別
安全威脅是一種對機(jī)構(gòu)及其資產(chǎn)構(gòu)成潛在破壞的可能性因素或者時(shí)間。無論對于多么安全的信息系統(tǒng)，安全威脅是一個(gè)客觀存在的事物，它是風(fēng)險(xiǎn)評估的重要因素之一。
5 脆弱性識別
脆弱性評估也稱為弱點(diǎn)評估，是風(fēng)險(xiǎn)評估中的重要內(nèi)容。弱點(diǎn)是資產(chǎn)本身存在的，它可以被威脅利用、引起資產(chǎn)或商業(yè)目標(biāo)的損害。弱點(diǎn)包括物理環(huán)境、機(jī)構(gòu)、過程、人員、管理、配置、硬件、軟件和信息等各種資產(chǎn)的脆弱性。
6 已有安全措施的確認(rèn)
機(jī)構(gòu)應(yīng)對已采取的控制措施進(jìn)行識別并對控制措施的有效性進(jìn)行確認(rèn)，將有效的安全控制措施繼續(xù)保持，以避免不必要的工作和費(fèi)用，防止控制措施的重復(fù)實(shí)施。對于那些被認(rèn)為不適當(dāng)?shù)目刂茟?yīng)核查是否應(yīng)被取消，或者用更合適的控制代替。安全控制可以分為預(yù)防性控制措施和保護(hù)性控制措施兩種。預(yù)防性控制措施可以降低威脅發(fā)生的可能性和減少安全脆弱性；而保護(hù)性控制措施可以減少因威脅發(fā)生所造成的影響。
7 風(fēng)險(xiǎn)識別
根據(jù)策劃的機(jī)構(gòu)，由評估的人員按照相應(yīng)的職責(zé)和程序進(jìn)行資產(chǎn)評估、威脅評估、脆弱性評估，在考慮已有安全措施的情況下，利用適當(dāng)?shù)姆椒ㄅc工具確定威脅利用資產(chǎn)脆弱性發(fā)生安全事件的可能性，并結(jié)合資產(chǎn)的安全屬性受到破壞后的影響來得出資產(chǎn)的安全風(fēng)險(xiǎn)。
8 風(fēng)險(xiǎn)評估結(jié)果記錄
根據(jù)評估實(shí)施情況和所搜集到的信息，如資產(chǎn)評估數(shù)據(jù)、威脅評估數(shù)據(jù)、脆弱性評估數(shù)據(jù)等，完成評估報(bào)告撰寫。評估報(bào)告是風(fēng)險(xiǎn)評估結(jié)果的記錄文件，是機(jī)構(gòu)實(shí)施風(fēng)險(xiǎn)管理的主要依據(jù)，是對風(fēng)險(xiǎn)評估活動進(jìn)行評審和認(rèn)可的基礎(chǔ)資料，因此，報(bào)告必須做到有據(jù)可查，報(bào)告內(nèi)容一般主要包括風(fēng)險(xiǎn)評估范圍、風(fēng)險(xiǎn)計(jì)算方法、安全問題歸納以及描述、風(fēng)險(xiǎn)級數(shù)、安全建議等。風(fēng)險(xiǎn)評估報(bào)告還可以包括風(fēng)險(xiǎn)控制措施建議、參與風(fēng)險(xiǎn)描述等。
由于信息系統(tǒng)及其所在環(huán)境的不斷變化，在信息系統(tǒng)的運(yùn)行過程中，絕對安全的措施是不存在的。攻擊者不斷有新的方法繞過或擾亂系統(tǒng)中的安全措施，系統(tǒng)的變化會帶來新的脆弱點(diǎn)，實(shí)施的安全措施會隨著時(shí)間而過時(shí)等等，所有這些表明，信息系統(tǒng)的風(fēng)險(xiǎn)評估過程是一個(gè)動態(tài)循環(huán)的過程，應(yīng)周期性的對信息系統(tǒng)安全進(jìn)行重新評估。
參考文獻(xiàn)：
[1] Solomon D A, Russinovich M E. Inside Microsoft Windows 2000[M]. Microsoft Press, 2000.
關(guān)鍵詞：網(wǎng)絡(luò)安全；風(fēng)險(xiǎn)評估；安全措施
中圖分類號：TP393文獻(xiàn)標(biāo)識碼：A 文章編號：1009-3044(2008)06-11012-01
A Survey of Network Security Risk Assessment
CHEN Jun-wei
(Dept. of Computer, Nanjing University of Posts and Telecommunications, Nanjing 210003,China)
Abstract：To assess the security condition of a network system, is one of the most important technologies in security area. In this paper, we will point out the shortcomings of the present security guard, in the discussion of the standards and measures of existing risk assessment, and propose methods and directions which are beneficial in perfecting the assessment systems.
Key words:Network security; risk assessment; security measures
1 引言
頻頻發(fā)生的信息安全事件正在日益引起全球的關(guān)注，列舉的近年來的網(wǎng)絡(luò)突發(fā)事件，不難發(fā)現(xiàn)，強(qiáng)化提升網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估意識、強(qiáng)化信息安全保障為當(dāng)務(wù)之急。所謂風(fēng)險(xiǎn)評估，是指網(wǎng)絡(luò)安全防御中的一項(xiàng)重要技術(shù)，它的原理是，根據(jù)已知的安全漏洞知識庫，對目標(biāo)可能存在的安全隱患進(jìn)行逐項(xiàng)檢查。然后根據(jù)掃描結(jié)果向系統(tǒng)管理員提供周密可靠的安全性分析報(bào)告，為提高網(wǎng)絡(luò)安全整體水平提供重要依據(jù)。完成一個(gè)信息安全系統(tǒng)的設(shè)計(jì)與實(shí)施并不足以代表該信息安全事務(wù)的完結(jié)。隨著新技術(shù)、新應(yīng)用的不斷出現(xiàn)，以及所導(dǎo)致的信息技術(shù)環(huán)境的轉(zhuǎn)變，信息安全工作人員要不斷地評估當(dāng)前的安全威脅，并不斷對當(dāng)前系統(tǒng)中的安全性產(chǎn)生認(rèn)知。
2 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估的現(xiàn)狀
2.1 風(fēng)險(xiǎn)評估的必要性
有人說安全產(chǎn)品就是保障網(wǎng)絡(luò)安全的基礎(chǔ)，但有了安全產(chǎn)品，不等于用戶可以高枕無憂地應(yīng)用網(wǎng)絡(luò)。產(chǎn)品是沒有生命的，需要人來管理與維護(hù)，這樣才能最大程度地發(fā)揮其效能。病毒和黑客可謂無孔不入，時(shí)時(shí)伺機(jī)進(jìn)攻。這就更要求對安全產(chǎn)品及時(shí)升級，不斷完善，實(shí)時(shí)檢測，不斷補(bǔ)漏。網(wǎng)絡(luò)安全并不是僅僅依靠網(wǎng)絡(luò)安全產(chǎn)品就能解決的，它需要合適的安全體系和合理的安全產(chǎn)品組合，需要根據(jù)網(wǎng)絡(luò)及網(wǎng)絡(luò)用戶的情況和需求規(guī)劃、設(shè)計(jì)和實(shí)施一定的安全策略。通常，在一個(gè)企業(yè)中，對安全技術(shù)了如指掌的人員不多，大多技術(shù)人員停留在對安全產(chǎn)品的一般使用上，如果安全系統(tǒng)出現(xiàn)故障或者黑客攻擊引發(fā)網(wǎng)絡(luò)癱瘓，他們將束手無策。這時(shí)他們需要的是安全服務(wù)。而安全評估，便是安全服務(wù)的重要前期工作。網(wǎng)絡(luò)信息安全，需要不斷評估方可安全威脅。
2.2 安全評估的目標(biāo)、原則及內(nèi)容
安全評估的目標(biāo)通常包括：確定可能對資產(chǎn)造成危害的威脅；通過對歷史資料和專家的經(jīng)驗(yàn)確定威脅實(shí)施的可能性；對可能受到威脅影響的資產(chǎn)確定其價(jià)值、敏感性和嚴(yán)重性，以及相應(yīng)的級別，確定哪些資產(chǎn)是最重要的；準(zhǔn)確了解企業(yè)網(wǎng)的網(wǎng)絡(luò)和系統(tǒng)安全現(xiàn)狀；明晰企業(yè)網(wǎng)的安全需求；制定網(wǎng)絡(luò)和系統(tǒng)的安全策略；制定網(wǎng)絡(luò)和系統(tǒng)的安全解決方案；指導(dǎo)企業(yè)網(wǎng)未來的建設(shè)和投入；通過項(xiàng)目實(shí)施和培訓(xùn)，培養(yǎng)用戶自己的安全隊(duì)伍。而在安全評估中必須遵循以下原則：標(biāo)準(zhǔn)性原則、可控性原則、整體性原則、最小影響原則、保密性原則。
安全評估的內(nèi)容包括專業(yè)安全評估服務(wù)和主機(jī)系統(tǒng)加固服務(wù)。專業(yè)安全評估服務(wù)對目標(biāo)系統(tǒng)通過工具掃描和人工檢查，進(jìn)行專業(yè)安全的技術(shù)評定，并根據(jù)評估結(jié)果提供評估報(bào)告。
目標(biāo)系統(tǒng)主要是主流UNIX及NT系統(tǒng)，主流數(shù)據(jù)庫系統(tǒng)，以及主流的網(wǎng)絡(luò)設(shè)備。使用掃描工具對目標(biāo)系統(tǒng)進(jìn)行掃描，提供原始評估報(bào)告或由專業(yè)安全工程師提供人工分析報(bào)告?；蚴侨斯z查安全配置檢查、安全機(jī)制檢查、入侵追查及事后取證等內(nèi)容。而主機(jī)系統(tǒng)加固服務(wù)是根據(jù)專業(yè)安全評估結(jié)果，制定相應(yīng)的系統(tǒng)加固方案，針對不同目標(biāo)系統(tǒng)，通過打補(bǔ)丁、修改安全配置、增加安全機(jī)制等方法，合理進(jìn)行安全性加強(qiáng)。
系統(tǒng)加固報(bào)告服務(wù)選擇使用該服務(wù)包，必須以選擇ISMR/SSMR/HME服務(wù)包為前提，針對評估分析報(bào)告，提出加固報(bào)告。系統(tǒng)加固報(bào)告增強(qiáng)服務(wù)選擇使用該服務(wù)包，必須以選擇ISMR/SSMR/HME服務(wù)包為前提，針對評估分析報(bào)告，提出系統(tǒng)加固報(bào)告，并將系統(tǒng)加固報(bào)告、加固步驟、所需補(bǔ)丁程序以光盤形式提交客戶。系統(tǒng)加固實(shí)施服務(wù)選擇使用該服務(wù)包，必須以選擇 ISMR/SSMR/HME服務(wù)包為前提，針對評估分析報(bào)告，提出系統(tǒng)加固報(bào)告，并將系統(tǒng)加固報(bào)告、加固步驟、所需補(bǔ)丁程序以光盤形式提交客戶，并由專業(yè)安全工程師實(shí)施加固工作。
3 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估系統(tǒng)
討論安全評定的前提在于企業(yè)已經(jīng)具有了較為完備的安全策略，這項(xiàng)工作主要檢測當(dāng)前的安全策略是否被良好的執(zhí)行，從而發(fā)現(xiàn)系統(tǒng)中的不安全因素。當(dāng)前計(jì)算機(jī)世界應(yīng)用的主流網(wǎng)絡(luò)協(xié)議是TCP/IP，而該協(xié)議族并沒有內(nèi)置任何安全機(jī)制。這意味著基于網(wǎng)絡(luò)的應(yīng)用程序必須被非常好的保護(hù)，網(wǎng)絡(luò)安全評定的主要目標(biāo)就是為修補(bǔ)全部的安全問題提供指導(dǎo)。
評定網(wǎng)絡(luò)安全性的首要工作是了解網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，拓?fù)涿枋鑫臋n并不總能反映最新的網(wǎng)絡(luò)狀態(tài)，進(jìn)行一些實(shí)際的檢測是非常必要的。最簡單的，可以通過Trackroute工具進(jìn)行網(wǎng)絡(luò)拓?fù)浒l(fā)現(xiàn)，但是一些網(wǎng)絡(luò)節(jié)點(diǎn)可能會禁止Trackroute流量的通過。在了解了網(wǎng)絡(luò)拓?fù)渲?，?yīng)該獲知所有計(jì)算機(jī)的網(wǎng)絡(luò)地址和機(jī)器名。對于可以訪問的計(jì)算機(jī)，還應(yīng)該了解其正在運(yùn)行的端口，這可以通過很多流行的端口發(fā)現(xiàn)工具實(shí)現(xiàn)。當(dāng)對整個(gè)網(wǎng)絡(luò)的架構(gòu)獲得了足夠的認(rèn)知以后，就可以針對所運(yùn)行的網(wǎng)絡(luò)協(xié)議和正在使用的端口發(fā)現(xiàn)網(wǎng)絡(luò)層面的安全脆弱點(diǎn)了。通常使用的方法是對協(xié)議和端口所存在的安全漏洞逐項(xiàng)進(jìn)行測試。
安全領(lǐng)域的很多專家都提出邊界防御已經(jīng)無法滿足今天的要求，為了提高安全防御的質(zhì)量，除了在網(wǎng)絡(luò)邊界防范外部攻擊之外，還應(yīng)該在網(wǎng)絡(luò)內(nèi)部對各種訪問進(jìn)行監(jiān)控和管理。企業(yè)組織每天都會從信息應(yīng)用環(huán)境中獲得大量的數(shù)據(jù)，包括系統(tǒng)日志、防火墻日志、入侵檢測報(bào)警等。是否能夠從這些信息中有效的識別出安全風(fēng)險(xiǎn)，是風(fēng)險(xiǎn)管理中重要一環(huán)。目前的技術(shù)手段主要被應(yīng)用于信息的收集、識別和分析，也有很多廠商開發(fā)出了整合式的安全信息管理平臺，可以實(shí)現(xiàn)所有系統(tǒng)模塊的信息整合與聯(lián)動。
數(shù)據(jù)作為信息系統(tǒng)的核心價(jià)值，被直接攻擊和盜取數(shù)據(jù)將對用戶產(chǎn)生極大的危害。正因?yàn)槿绱耍瑪?shù)據(jù)系統(tǒng)極易受到攻擊。對數(shù)據(jù)庫平臺來說，應(yīng)該驗(yàn)證是否能夠從遠(yuǎn)程進(jìn)行訪問，是否存在默認(rèn)用戶名密碼，密碼的強(qiáng)度是否達(dá)到策略要求等。而除了數(shù)據(jù)庫平臺之外，數(shù)據(jù)管理機(jī)制也應(yīng)該被仔細(xì)評估。不同級別的備份措施乃至完整的災(zāi)難備份機(jī)制都應(yīng)該進(jìn)行有效的驗(yàn)證，不但要檢驗(yàn)其是否存在安全問題，還要確認(rèn)其有效性。大部分?jǐn)?shù)據(jù)管理產(chǎn)品都附帶了足夠的功能進(jìn)行安全設(shè)定和數(shù)據(jù)驗(yàn)證，利用這些功能可以很好的完成安全評定工作并有效的與安全策略管理相集成。攻擊者的一個(gè)非常重要目的在于無需授權(quán)訪問某些應(yīng)用，而這往往是獲得系統(tǒng)權(quán)限和數(shù)據(jù)的跳板。事實(shí)上大部分的安全漏洞都來自于應(yīng)用層面，這使得應(yīng)用程序的安全評定成為整個(gè)工作體系中相當(dāng)重要的一個(gè)部分。與更加規(guī)程化的面向體系底層的安全評定相比，應(yīng)用安全評定需要工作人員具有豐富的安全知識和堅(jiān)實(shí)的技術(shù)技能。
4 結(jié)束語
目前我國信息系統(tǒng)安全風(fēng)險(xiǎn)評估工作，在測試數(shù)據(jù)采集和處理方面缺乏實(shí)用的技術(shù)和工具的支持，已經(jīng)成為制約我國風(fēng)險(xiǎn)評估水平的重要因素。需要研究用于評價(jià)信息安全評估效用的理論和方法，總結(jié)出一套適用于我國國情的信息安全效用評價(jià)體系，以保證信息安全風(fēng)險(xiǎn)評估結(jié)果準(zhǔn)確可靠，可以為風(fēng)險(xiǎn)管理活動提供有價(jià)值的參考；加強(qiáng)我國信息安全風(fēng)險(xiǎn)評估隊(duì)伍建設(shè)，促使我國信息安全評估水平得到持續(xù)改進(jìn)。
參考文獻(xiàn)：
[1] 陳曉蘇，朱國勝，肖道舉.TCP/IP協(xié)議族的安全架構(gòu)[N].華中科技大學(xué)學(xué)報(bào),2001，32-34.
[2] 賈穎禾.國務(wù)院信息化工作辦公室網(wǎng)絡(luò)與信息安全組.信息安全風(fēng)險(xiǎn)評估[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2004(7)，21-24.
[3] 劉恒,信息安全風(fēng)險(xiǎn)評估挑戰(zhàn)[R],信息安全風(fēng)險(xiǎn)評估與信息安全保障體系建設(shè)研討會,2004.10.12.
[4] [美]Thomas A Wadlow.網(wǎng)絡(luò)安全實(shí)施方法.瀟湘工作室譯.北京:人民郵電出版社，2000.
[5] 張衛(wèi)清,王以群.網(wǎng)絡(luò)安全與網(wǎng)絡(luò)安全文化[J].情報(bào)雜志,2006(1)，40-45
[6] 趙戰(zhàn)生,信息安全風(fēng)險(xiǎn)評估[R],第全國計(jì)算機(jī)學(xué)術(shù)交流會,2004.7.3.
在信息時(shí)代之風(fēng)籠罩整個(gè)世界的同時(shí)，計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)已經(jīng)通過各種途徑將整個(gè)世界都聯(lián)系起來了。隨著計(jì)算機(jī)網(wǎng)絡(luò)覆蓋的領(lǐng)域越來越廣，信息交流越來越頻繁，一系列的計(jì)算機(jī)網(wǎng)絡(luò)不安全因素逐漸涌現(xiàn)。計(jì)算機(jī)自身系統(tǒng)崩潰、計(jì)算機(jī)的硬件與軟件配合失衡、黑客入侵攻擊等不安全因素嚴(yán)重危害計(jì)算機(jī)網(wǎng)絡(luò)安全。因此，盡快構(gòu)建一個(gè)系統(tǒng)全面的計(jì)算機(jī)網(wǎng)絡(luò)安全預(yù)防體系，及時(shí)采取相關(guān)措施去應(yīng)對計(jì)算機(jī)網(wǎng)絡(luò)安全隱患，是目前信息技術(shù)安全最為關(guān)鍵的環(huán)節(jié)。
2計(jì)算機(jī)網(wǎng)絡(luò)不安全因素
2.1網(wǎng)絡(luò)軟件漏洞繁多
許多計(jì)算機(jī)網(wǎng)絡(luò)軟件開發(fā)公司為節(jié)約開發(fā)成本，在計(jì)算機(jī)網(wǎng)絡(luò)中取得優(yōu)勢，往往未能對軟件的安全性給予充分考慮。換言之，許多計(jì)算機(jī)網(wǎng)絡(luò)軟件都存在著或多或少的安全隱患。然而，這些軟件漏洞正給網(wǎng)絡(luò)不法分子攻擊的機(jī)會，一旦網(wǎng)絡(luò)黑客借助這些軟件漏洞入侵到計(jì)算機(jī)內(nèi)部，重要數(shù)據(jù)將會泄露、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)也必將被破壞，一系列的安全后果將不堪設(shè)想。
2.2計(jì)算機(jī)用戶網(wǎng)絡(luò)安全意識不高
計(jì)算機(jī)用戶安全意識淡薄，隨意更改防火墻設(shè)置，放寬了其他用戶的訪問權(quán)限，很容易會造成計(jì)算機(jī)身份被他人盜用的嚴(yán)重后果。有的用戶還經(jīng)常將自身的計(jì)算機(jī)入網(wǎng)賬號與他人公用，使得用戶口令經(jīng)常被修改，由于安全設(shè)置不當(dāng)經(jīng)常造成潛在的安全隱患。
2.3缺乏計(jì)算機(jī)安全評估系統(tǒng)
眾所周知，一個(gè)系統(tǒng)全面的計(jì)算機(jī)安全評估系統(tǒng)是防止黑客入侵計(jì)算機(jī)的重要保障，安全評估體系能夠?qū)φ麄€(gè)計(jì)算機(jī)網(wǎng)絡(luò)的安全性與防護(hù)性作出一個(gè)較為科學(xué)嚴(yán)謹(jǐn)?shù)姆治鲈u估，而且該評估系統(tǒng)還會根據(jù)實(shí)際的計(jì)算機(jī)網(wǎng)路安全評估報(bào)告來制定相關(guān)的計(jì)算機(jī)安全使用策略。然而，在我們的計(jì)算機(jī)實(shí)際應(yīng)用中，往往不注意計(jì)算機(jī)安全評估系統(tǒng)的構(gòu)建，只注重計(jì)算機(jī)網(wǎng)絡(luò)安全事故的預(yù)防與事后處理，平時(shí)欠缺對計(jì)算機(jī)網(wǎng)絡(luò)安全作出及時(shí)的評估與監(jiān)控，給計(jì)算機(jī)網(wǎng)絡(luò)安全造成一定的安全隱患。
2.4計(jì)算機(jī)外界威脅因素
計(jì)算機(jī)網(wǎng)絡(luò)安全事故很多是由計(jì)算機(jī)外界威脅因素造成的，這其中包括自然環(huán)境威脅、網(wǎng)絡(luò)黑客與病毒的入侵攻擊與非法訪問操作。自然環(huán)境威脅一般是指計(jì)算機(jī)外在的自然條件不太完善，如各種無法預(yù)測的自然災(zāi)害、難以控制的計(jì)算機(jī)外部機(jī)器故障等因素。網(wǎng)絡(luò)黑客與病毒的入侵攻擊不但會對計(jì)算機(jī)的網(wǎng)絡(luò)安全帶來極大的破壞，還會摧毀計(jì)算機(jī)系統(tǒng)，對計(jì)算機(jī)自身造成極大的傷害。據(jù)估計(jì)，未來網(wǎng)絡(luò)黑客與病毒的摧毀力度將會越來越強(qiáng)，而它們自身的隱蔽性與抗壓性也會相應(yīng)地得到提高，所以說，網(wǎng)絡(luò)黑客與病毒的存在對計(jì)算機(jī)網(wǎng)絡(luò)安全造成嚴(yán)重威脅。而非法訪問操作則主要指一些未得到授權(quán)，私自越過計(jì)算機(jī)權(quán)限，或者是不法分子借助一些計(jì)算機(jī)工具去進(jìn)行計(jì)算機(jī)程序的編寫，從而突破該計(jì)算機(jī)的網(wǎng)絡(luò)訪問權(quán)限，入侵到他人計(jì)算機(jī)的不法操作。
3計(jì)算機(jī)網(wǎng)絡(luò)安全防范措施
3.1建立安全可靠的計(jì)算機(jī)安全防線
安全可靠的計(jì)算機(jī)安全防線是避免計(jì)算機(jī)網(wǎng)絡(luò)不安全因素出現(xiàn)的最關(guān)鍵環(huán)節(jié)，其構(gòu)建主要依靠計(jì)算機(jī)防火墻技術(shù)、數(shù)據(jù)加密技術(shù)與病毒查殺技術(shù)。防火墻控制技術(shù)主要是一種建立在各網(wǎng)絡(luò)之間的互聯(lián)設(shè)備，能夠有效避免不法分子以不正當(dāng)方式入侵網(wǎng)絡(luò)內(nèi)部，防止不法分子盜取計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)部的信息資源，是計(jì)算機(jī)內(nèi)部一道強(qiáng)有力的網(wǎng)絡(luò)安全屏障。數(shù)據(jù)加密技術(shù)的主要作用就是對計(jì)算機(jī)內(nèi)部的數(shù)據(jù)添加密文設(shè)置，未經(jīng)授權(quán)的計(jì)算機(jī)不法分子是無法獲取數(shù)據(jù)、讀懂?dāng)?shù)據(jù)的，最終達(dá)到保護(hù)網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)恼_性與安全性。常用的數(shù)據(jù)加密技術(shù)包括有：保證個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)間信息傳輸正確且安全的鏈路加密技術(shù)、確保計(jì)算機(jī)始端數(shù)據(jù)傳輸與終端數(shù)據(jù)接收安全的端點(diǎn)加密技術(shù)與保證源節(jié)點(diǎn)到目的節(jié)點(diǎn)之間傳輸安全可靠的節(jié)點(diǎn)加密技術(shù)。病毒查殺技術(shù)可謂是計(jì)算機(jī)安全網(wǎng)絡(luò)防范最為關(guān)鍵的環(huán)節(jié)。病毒查殺技術(shù)一般通過殺毒軟件的安裝運(yùn)行去運(yùn)行的，在計(jì)算機(jī)安裝殺毒軟件以后，應(yīng)當(dāng)定時(shí)對殺毒軟件進(jìn)行實(shí)時(shí)的監(jiān)測控制，定期對殺毒軟件進(jìn)行升級處理，按時(shí)對計(jì)算機(jī)進(jìn)行殺毒掃描，以求及時(shí)將計(jì)算機(jī)內(nèi)容隱藏病毒進(jìn)行發(fā)現(xiàn)處理。
3.2提高計(jì)算機(jī)用戶與計(jì)算機(jī)網(wǎng)絡(luò)管理人員的安全意識
于個(gè)人計(jì)算機(jī)用戶而言，必須要加強(qiáng)計(jì)算機(jī)網(wǎng)絡(luò)資源管理意識，根據(jù)自己實(shí)際需要對計(jì)算機(jī)設(shè)置特殊的口令，確保計(jì)算機(jī)數(shù)據(jù)獲取的合法性與安全性，避免其他計(jì)算機(jī)用戶以非法手段入侵計(jì)算機(jī)內(nèi)部，獲取相關(guān)計(jì)算機(jī)網(wǎng)絡(luò)數(shù)據(jù)資源，造成計(jì)算機(jī)網(wǎng)絡(luò)安全隱患。閑時(shí)，計(jì)算機(jī)用戶還必須注意對病毒進(jìn)行監(jiān)測清除，避免網(wǎng)絡(luò)黑客的入侵導(dǎo)致計(jì)算機(jī)系統(tǒng)崩潰。于社會團(tuán)體組織而言，必須注重提高內(nèi)部計(jì)算機(jī)管理人員的網(wǎng)絡(luò)安全意識，注意采用適當(dāng)?shù)姆椒ㄈヅ囵B(yǎng)一批具有專業(yè)計(jì)算機(jī)技術(shù)的網(wǎng)絡(luò)監(jiān)控人員，打造精英計(jì)算機(jī)安全管理團(tuán)隊(duì)，能及時(shí)對網(wǎng)絡(luò)不法攻擊作出處理，構(gòu)建一個(gè)系統(tǒng)全面的計(jì)算機(jī)網(wǎng)絡(luò)安全管理體系，致力打造一個(gè)安全可靠的計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境。
3.3完善計(jì)算機(jī)網(wǎng)絡(luò)安全制度
健全的計(jì)算機(jī)網(wǎng)絡(luò)安全制度不但可以規(guī)范計(jì)算機(jī)網(wǎng)絡(luò)安全使用，還能夠借助法律法規(guī)等強(qiáng)硬手段去徹底打擊計(jì)算機(jī)網(wǎng)絡(luò)犯罪，及時(shí)對計(jì)算機(jī)網(wǎng)絡(luò)不法分子給予相關(guān)懲處，保證了計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境的安全可靠。因此，加強(qiáng)并且定期完善計(jì)算機(jī)網(wǎng)絡(luò)安全立法制度是十分必要的。
3.4其他管理措施
計(jì)算機(jī)網(wǎng)絡(luò)安全防范僅僅依靠強(qiáng)硬的計(jì)算機(jī)安全防御系統(tǒng)與專業(yè)的計(jì)算機(jī)網(wǎng)絡(luò)安全管理技術(shù)人員是遠(yuǎn)遠(yuǎn)不夠的，還必須定期對計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)進(jìn)行一系列的專業(yè)評估與監(jiān)測控制，實(shí)時(shí)對計(jì)算機(jī)網(wǎng)絡(luò)運(yùn)行、數(shù)據(jù)傳輸過程進(jìn)行監(jiān)控，熱切關(guān)注計(jì)算機(jī)內(nèi)部系統(tǒng)是否存在一些漏洞，一旦發(fā)現(xiàn)漏洞，要盡早處理，避免其他計(jì)算機(jī)病毒的攻擊。
4結(jié)束語
1缺乏計(jì)算機(jī)安全評估系統(tǒng)
眾所周知，一個(gè)系統(tǒng)全面的計(jì)算機(jī)安全評估系統(tǒng)是防止黑客入侵計(jì)算機(jī)的重要保障，安全評估體系能夠?qū)φ麄€(gè)計(jì)算機(jī)網(wǎng)絡(luò)的安全性與防護(hù)性作出一個(gè)較為科學(xué)嚴(yán)謹(jǐn)?shù)姆治鲈u估，而且該評估系統(tǒng)還會根據(jù)實(shí)際的計(jì)算機(jī)網(wǎng)路安全評估報(bào)告來制定相關(guān)的計(jì)算機(jī)安全使用策略。然而，在我們的計(jì)算機(jī)實(shí)際應(yīng)用中，往往不注意計(jì)算機(jī)安全評估系統(tǒng)的構(gòu)建，只注重計(jì)算機(jī)網(wǎng)絡(luò)安全事故的預(yù)防與事后處理，平時(shí)欠缺對計(jì)算機(jī)網(wǎng)絡(luò)安全作出及時(shí)的評估與監(jiān)控，給計(jì)算機(jī)網(wǎng)絡(luò)安全造成一定的安全隱患。
2計(jì)算機(jī)外界威脅因素
計(jì)算機(jī)網(wǎng)絡(luò)安全事故很多是由計(jì)算機(jī)外界威脅因素造成的，這其中包括自然環(huán)境威脅、網(wǎng)絡(luò)黑客與病毒的入侵攻擊與非法訪問操作。自然環(huán)境威脅一般是指計(jì)算機(jī)外在的自然條件不太完善，如各種無法預(yù)測的自然災(zāi)害、難以控制的計(jì)算機(jī)外部機(jī)器故障等因素。網(wǎng)絡(luò)黑客與病毒的入侵攻擊不但會對計(jì)算機(jī)的網(wǎng)絡(luò)安全帶來極大的破壞，還會摧毀計(jì)算機(jī)系統(tǒng)，對計(jì)算機(jī)自身造成極大的傷害。據(jù)估計(jì)，未來網(wǎng)絡(luò)黑客與病毒的摧毀力度將會越來越強(qiáng)，而它們自身的隱蔽性與抗壓性也會相應(yīng)地得到提高，所以說，網(wǎng)絡(luò)黑客與病毒的存在對計(jì)算機(jī)網(wǎng)絡(luò)安全造成嚴(yán)重威脅。而非法訪問操作則主要指一些未得到授權(quán)，私自越過計(jì)算機(jī)權(quán)限，或者是不法分子借助一些計(jì)算機(jī)工具去進(jìn)行計(jì)算機(jī)程序的編寫，從而突破該計(jì)算機(jī)的網(wǎng)絡(luò)訪問權(quán)限，入侵到他人計(jì)算機(jī)的不法操作。
二、計(jì)算機(jī)網(wǎng)絡(luò)安全防范措施
1建立安全可靠的計(jì)算機(jī)安全防線
安全可靠的計(jì)算機(jī)安全防線是避免計(jì)算機(jī)網(wǎng)絡(luò)不安全因素出現(xiàn)的最關(guān)鍵環(huán)節(jié)，其構(gòu)建主要依靠計(jì)算機(jī)防火墻技術(shù)、數(shù)據(jù)加密技術(shù)與病毒查殺技術(shù)。防火墻控制技術(shù)主要是一種建立在各網(wǎng)絡(luò)之間的互聯(lián)設(shè)備，能夠有效避免不法分子以不正當(dāng)方式入侵網(wǎng)絡(luò)內(nèi)部，防止不法分子盜取計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)部的信息資源，是計(jì)算機(jī)內(nèi)部一道強(qiáng)有力的網(wǎng)絡(luò)安全屏障。數(shù)據(jù)加密技術(shù)的主要作用就是對計(jì)算機(jī)內(nèi)部的數(shù)據(jù)添加密文設(shè)置，未經(jīng)授權(quán)的計(jì)算機(jī)不法分子是無法獲取數(shù)據(jù)、讀懂?dāng)?shù)據(jù)的，最終達(dá)到保護(hù)網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)恼_性與安全性。常用的數(shù)據(jù)加密技術(shù)包括有：保證個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)間信息傳輸正確且安全的鏈路加密技術(shù)、確保計(jì)算機(jī)始端數(shù)據(jù)傳輸與終端數(shù)據(jù)接收安全的端點(diǎn)加密技術(shù)與保證源節(jié)點(diǎn)到目的節(jié)點(diǎn)之間傳輸安全可靠的節(jié)點(diǎn)加密技術(shù)。病毒查殺技術(shù)可謂是計(jì)算機(jī)安全網(wǎng)絡(luò)防范最為關(guān)鍵的環(huán)節(jié)。病毒查殺技術(shù)一般通過殺毒軟件的安裝運(yùn)行去運(yùn)行的，在計(jì)算機(jī)安裝殺毒軟件以后，應(yīng)當(dāng)定時(shí)對殺毒軟件進(jìn)行實(shí)時(shí)的監(jiān)測控制，定期對殺毒軟件進(jìn)行升級處理，按時(shí)對計(jì)算機(jī)進(jìn)行殺毒掃描，以求及時(shí)將計(jì)算機(jī)內(nèi)容隱藏病毒進(jìn)行發(fā)現(xiàn)處理。
2提高計(jì)算機(jī)用戶與計(jì)算機(jī)網(wǎng)絡(luò)管理人員的安全意識
于個(gè)人計(jì)算機(jī)用戶而言，必須要加強(qiáng)計(jì)算機(jī)網(wǎng)絡(luò)資源管理意識，根據(jù)自己實(shí)際需要對計(jì)算機(jī)設(shè)置特殊的口令，確保計(jì)算機(jī)數(shù)據(jù)獲取的合法性與安全性，避免其他計(jì)算機(jī)用戶以非法手段入侵計(jì)算機(jī)內(nèi)部，獲取相關(guān)計(jì)算機(jī)網(wǎng)絡(luò)數(shù)據(jù)資源，造成計(jì)算機(jī)網(wǎng)絡(luò)安全隱患。閑時(shí)，計(jì)算機(jī)用戶還必須注意對病毒進(jìn)行監(jiān)測清除，避免網(wǎng)絡(luò)黑客的入侵導(dǎo)致計(jì)算機(jī)系統(tǒng)崩潰。于社會團(tuán)體組織而言，必須注重提高內(nèi)部計(jì)算機(jī)管理人員的網(wǎng)絡(luò)安全意識，注意采用適當(dāng)?shù)姆椒ㄈヅ囵B(yǎng)一批具有專業(yè)計(jì)算機(jī)技術(shù)的網(wǎng)絡(luò)監(jiān)控人員，打造精英計(jì)算機(jī)安全管理團(tuán)隊(duì)，能及時(shí)對網(wǎng)絡(luò)不法攻擊作出處理，構(gòu)建一個(gè)系統(tǒng)全面的計(jì)算機(jī)網(wǎng)絡(luò)安全管理體系，致力打造一個(gè)安全可靠的計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境。
3完善計(jì)算機(jī)網(wǎng)絡(luò)安全制度
健全的計(jì)算機(jī)網(wǎng)絡(luò)安全制度不但可以規(guī)范計(jì)算機(jī)網(wǎng)絡(luò)安全使用，還能夠借助法律法規(guī)等強(qiáng)硬手段去徹底打擊計(jì)算機(jī)網(wǎng)絡(luò)犯罪，及時(shí)對計(jì)算機(jī)網(wǎng)絡(luò)不法分子給予相關(guān)懲處，保證了計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境的安全可靠。因此，加強(qiáng)并且定期完善計(jì)算機(jī)網(wǎng)絡(luò)安全立法制度是十分必要的。
4其他管理措施
計(jì)算機(jī)網(wǎng)絡(luò)安全防范僅僅依靠強(qiáng)硬的計(jì)算機(jī)安全防御系統(tǒng)與專業(yè)的計(jì)算機(jī)網(wǎng)絡(luò)安全管理技術(shù)人員是遠(yuǎn)遠(yuǎn)不夠的，還必須定期對計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)進(jìn)行一系列的專業(yè)評估與監(jiān)測控制，實(shí)時(shí)對計(jì)算機(jī)網(wǎng)絡(luò)運(yùn)行、數(shù)據(jù)傳輸過程進(jìn)行監(jiān)控，熱切關(guān)注計(jì)算機(jī)內(nèi)部系統(tǒng)是否存在一些漏洞，一旦發(fā)現(xiàn)漏洞，要盡早處理，避免其他計(jì)算機(jī)病毒的攻擊。
三、結(jié)束語
1缺乏計(jì)算機(jī)安全評估系統(tǒng)
眾所周知,一個(gè)系統(tǒng)全面的計(jì)算機(jī)安全評估系統(tǒng)是防止黑客入侵計(jì)算機(jī)的重要保障,安全評估體系能夠?qū)φ麄€(gè)計(jì)算機(jī)網(wǎng)絡(luò)的安全性與防護(hù)性作出一個(gè)較為科學(xué)嚴(yán)謹(jǐn)?shù)姆治鲈u估,而且該評估系統(tǒng)還會根據(jù)實(shí)際的計(jì)算機(jī)網(wǎng)路安全評估報(bào)告來制定相關(guān)的計(jì)算機(jī)安全使用策略。然而,在我們的計(jì)算機(jī)實(shí)際應(yīng)用中,往往不注意計(jì)算機(jī)安全評估系統(tǒng)的構(gòu)建,只注重計(jì)算機(jī)網(wǎng)絡(luò)安全事故的預(yù)防與事后處理,平時(shí)欠缺對計(jì)算機(jī)網(wǎng)絡(luò)安全作出及時(shí)的評估與監(jiān)控,給計(jì)算機(jī)網(wǎng)絡(luò)安全造成一定的安全隱患。
2計(jì)算機(jī)外界威脅因素
計(jì)算機(jī)網(wǎng)絡(luò)安全事故很多是由計(jì)算機(jī)外界威脅因素造成的,這其中包括自然環(huán)境威脅、網(wǎng)絡(luò)黑客與病毒的入侵攻擊與非法訪問操作。自然環(huán)境威脅一般是指計(jì)算機(jī)外在的自然條件不太完善,如各種無法預(yù)測的自然災(zāi)害、難以控制的計(jì)算機(jī)外部機(jī)器故障等因素。網(wǎng)絡(luò)黑客與病毒的入侵攻擊不但會對計(jì)算機(jī)的網(wǎng)絡(luò)安全帶來極大的破壞,還會摧毀計(jì)算機(jī)系統(tǒng),對計(jì)算機(jī)自身造成極大的傷害。據(jù)估計(jì),未來網(wǎng)絡(luò)黑客與病毒的摧毀力度將會越來越強(qiáng),而它們自身的隱蔽性與抗壓性也會相應(yīng)地得到提高,所以說,網(wǎng)絡(luò)黑客與病毒的存在對計(jì)算機(jī)網(wǎng)絡(luò)安全造成嚴(yán)重威脅。而非法訪問操作則主要指一些未得到授權(quán),私自越過計(jì)算機(jī)權(quán)限,或者是不法分子借助一些計(jì)算機(jī)工具去進(jìn)行計(jì)算機(jī)程序的編寫,從而突破該計(jì)算機(jī)的網(wǎng)絡(luò)訪問權(quán)限,入侵到他人計(jì)算機(jī)的不法操作。
二、計(jì)算機(jī)網(wǎng)絡(luò)安全防范措施
1建立安全可靠的計(jì)算機(jī)安全防線
安全可靠的計(jì)算機(jī)安全防線是避免計(jì)算機(jī)網(wǎng)絡(luò)不安全因素出現(xiàn)的最關(guān)鍵環(huán)節(jié),其構(gòu)建主要依靠計(jì)算機(jī)防火墻技術(shù)、數(shù)據(jù)加密技術(shù)與病毒查殺技術(shù)。防火墻控制技術(shù)主要是一種建立在各網(wǎng)絡(luò)之間的互聯(lián)設(shè)備,能夠有效避免不法分子以不正當(dāng)方式入侵網(wǎng)絡(luò)內(nèi)部,防止不法分子盜取計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)部的信息資源,是計(jì)算機(jī)內(nèi)部一道強(qiáng)有力的網(wǎng)絡(luò)安全屏障。數(shù)據(jù)加密技術(shù)的主要作用就是對計(jì)算機(jī)內(nèi)部的數(shù)據(jù)添加密文設(shè)置,未經(jīng)授權(quán)的計(jì)算機(jī)不法分子是無法獲取數(shù)據(jù)、讀懂?dāng)?shù)據(jù)的,最終達(dá)到保護(hù)網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)恼_性與安全性。常用的數(shù)據(jù)加密技術(shù)包括有:保證個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)間信息傳輸正確且安全的鏈路加密技術(shù)、確保計(jì)算機(jī)始端數(shù)據(jù)傳輸與終端數(shù)據(jù)接收安全的端點(diǎn)加密技術(shù)與保證源節(jié)點(diǎn)到目的節(jié)點(diǎn)之間傳輸安全可靠的節(jié)點(diǎn)加密技術(shù)。病毒查殺技術(shù)可謂是計(jì)算機(jī)安全網(wǎng)絡(luò)防范最為關(guān)鍵的環(huán)節(jié)。病毒查殺技術(shù)一般通過殺毒軟件的安裝運(yùn)行去運(yùn)行的,在計(jì)算機(jī)安裝殺毒軟件以后,應(yīng)當(dāng)定時(shí)對殺毒軟件進(jìn)行實(shí)時(shí)的監(jiān)測控制,定期對殺毒軟件進(jìn)行升級處理,按時(shí)對計(jì)算機(jī)進(jìn)行殺毒掃描,以求及時(shí)將計(jì)算機(jī)內(nèi)容隱藏病毒進(jìn)行發(fā)現(xiàn)處理。
2提高計(jì)算機(jī)用戶與計(jì)算機(jī)網(wǎng)絡(luò)管理人員的安全意識
于個(gè)人計(jì)算機(jī)用戶而言,必須要加強(qiáng)計(jì)算機(jī)網(wǎng)絡(luò)資源管理意識,根據(jù)自己實(shí)際需要對計(jì)算機(jī)設(shè)置特殊的口令,確保計(jì)算機(jī)數(shù)據(jù)獲取的合法性與安全性,避免其他計(jì)算機(jī)用戶以非法手段入侵計(jì)算機(jī)內(nèi)部,獲取相關(guān)計(jì)算機(jī)網(wǎng)絡(luò)數(shù)據(jù)資源,造成計(jì)算機(jī)網(wǎng)絡(luò)安全隱患。閑時(shí),計(jì)算機(jī)用戶還必須注意對病毒進(jìn)行監(jiān)測清除,避免網(wǎng)絡(luò)黑客的入侵導(dǎo)致計(jì)算機(jī)系統(tǒng)崩潰。于社會團(tuán)體組織而言,必須注重提高內(nèi)部計(jì)算機(jī)管理人員的網(wǎng)絡(luò)安全意識,注意采用適當(dāng)?shù)姆椒ㄈヅ囵B(yǎng)一批具有專業(yè)計(jì)算機(jī)技術(shù)的網(wǎng)絡(luò)監(jiān)控人員,打造精英計(jì)算機(jī)安全管理團(tuán)隊(duì),能及時(shí)對網(wǎng)絡(luò)不法攻擊作出處理,構(gòu)建一個(gè)系統(tǒng)全面的計(jì)算機(jī)網(wǎng)絡(luò)安全管理體系,致力打造一個(gè)安全可靠的計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境。
3完善計(jì)算機(jī)網(wǎng)絡(luò)安全制度
健全的計(jì)算機(jī)網(wǎng)絡(luò)安全制度不但可以規(guī)范計(jì)算機(jī)網(wǎng)絡(luò)安全使用,還能夠借助法律法規(guī)等強(qiáng)硬手段去徹底打擊計(jì)算機(jī)網(wǎng)絡(luò)犯罪,及時(shí)對計(jì)算機(jī)網(wǎng)絡(luò)不法分子給予相關(guān)懲處,保證了計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境的安全可靠。因此,加強(qiáng)并且定期完善計(jì)算機(jī)網(wǎng)絡(luò)安全立法制度是十分必要的。
4其他管理措施
計(jì)算機(jī)網(wǎng)絡(luò)安全防范僅僅依靠強(qiáng)硬的計(jì)算機(jī)安全防御系統(tǒng)與專業(yè)的計(jì)算機(jī)網(wǎng)絡(luò)安全管理技術(shù)人員是遠(yuǎn)遠(yuǎn)不夠的,還必須定期對計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)進(jìn)行一系列的專業(yè)評估與監(jiān)測控制,實(shí)時(shí)對計(jì)算機(jī)網(wǎng)絡(luò)運(yùn)行、數(shù)據(jù)傳輸過程進(jìn)行監(jiān)控,熱切關(guān)注計(jì)算機(jī)內(nèi)部系統(tǒng)是否存在一些漏洞,一旦發(fā)現(xiàn)漏洞,要盡早處理,避免其他計(jì)算機(jī)病毒的攻擊。
改造之后，終端設(shè)備數(shù)量達(dá)到近500臺，服務(wù)器超過20臺，再加之機(jī)關(guān)附屬、基層場站、培訓(xùn)中心、賓館等多業(yè)務(wù)模式下頻繁的負(fù)責(zé)的信息交換需求環(huán)境，其內(nèi)網(wǎng)安全問題日益嚴(yán)峻，內(nèi)部病毒感染事件的頻發(fā)體現(xiàn)了三大集中的網(wǎng)絡(luò)安全防護(hù)需求。
云安全讓IWSA3000脫穎而出
在網(wǎng)絡(luò)安全系統(tǒng)升級前，第一輸油處慎重周密地?cái)M定了多家備選網(wǎng)絡(luò)安全廠商。由于網(wǎng)絡(luò)出口得到了統(tǒng)一，第一輸油處很快明確了采購需求：在互聯(lián)網(wǎng)出口處針對基于Web方式的威脅提供保護(hù)，保證惡意程序在進(jìn)入內(nèi)部網(wǎng)絡(luò)前就被清除掉。
由于第一輸油處升級前的網(wǎng)絡(luò)拓?fù)錁?gòu)造為部署Web安全網(wǎng)關(guān)、統(tǒng)一安全管理提供了有利的基礎(chǔ)條件。第一輸油處對安全網(wǎng)關(guān)主要提出了三點(diǎn)需求：能夠防御未知及新病毒，不影響網(wǎng)絡(luò)系統(tǒng)性能，提供可量化的安全管理。
雖然測試了多款安全網(wǎng)關(guān)產(chǎn)品，但第一輸油處發(fā)現(xiàn)這些產(chǎn)品依然在使用防毒中的“老路數(shù)”：網(wǎng)關(guān)上下載最新的特征碼、URL地址庫，然后對流量進(jìn)行過濾比對。在實(shí)際測試過程中，這些產(chǎn)品本質(zhì)的缺陷和“亡羊補(bǔ)牢”落后策略均無法滿足防御最新病毒的要求，特別是在遇到0Day（零日）攻擊的情況下。在測試中，由于趨勢科技安全網(wǎng)關(guān)IWSA3000支持透明模式，采用透明部署方式，產(chǎn)品運(yùn)行時(shí)不會對用戶日常使用習(xí)慣帶來任何的影響。最終，這款產(chǎn)品得到了用戶的認(rèn)可。第一輸油處的相關(guān)領(lǐng)導(dǎo)表示：“在選擇網(wǎng)絡(luò)安全設(shè)備時(shí)，我們看重的是對網(wǎng)絡(luò)威脅實(shí)際的防范效果。經(jīng)過深層次的技術(shù)溝通，在充分了解趨勢科技產(chǎn)品云技術(shù)的實(shí)際效果和價(jià)值，并且充分了解IWSA測試評估報(bào)告后，我們最終還是決定選擇趨勢科技的IWSA3000?！?/p>
準(zhǔn)確分析動態(tài)惡意威脅
據(jù)了解，由于趨勢科技IWSA3000采用了“云安全”技術(shù)，它能夠進(jìn)行動態(tài)性質(zhì)的惡意威脅分析，生成動態(tài)的信譽(yù)庫，而非“死代碼”。采用這一先進(jìn)模式的趨勢科技IWSA網(wǎng)關(guān)，還擁有云計(jì)算毫秒級的運(yùn)算速度，可在幾分鐘內(nèi)成功攔截惡意攻擊網(wǎng)址。在一些破壞性較大的病毒尚未被媒體關(guān)注前，第一輸油處就因?yàn)橐呀?jīng)部署了趨勢科技IWSA 3000，而提前發(fā)現(xiàn)并成功攔截了這些病毒。此外，趨勢科技IWSA在云端數(shù)據(jù)庫中建立了該URL的病毒屬性，能幫助企業(yè)內(nèi)的分支機(jī)構(gòu)或者用戶避免再次遭受同樣的URL的侵害，從而實(shí)現(xiàn)零秒差阻擋病毒的防護(hù)效果。
部署半年以來，趨勢科技IWSA3000為長慶第一輸油處實(shí)現(xiàn)了主動攔截的惡意URL鏈接，桌面防毒系統(tǒng)發(fā)現(xiàn)病毒的比率下降也很明顯，極其顯著地緩解了終端的防毒壓力。
以下是《通信網(wǎng)絡(luò)安全防護(hù)監(jiān)督管理辦法(征求意見稿)》全文：
為切實(shí)履行通信網(wǎng)絡(luò)安全管理職責(zé)，提高通信網(wǎng)絡(luò)安全防護(hù)水平，依據(jù)《中華人民共和國電信條例》，工業(yè)和信息化部起草了《通信網(wǎng)絡(luò)安全防護(hù)監(jiān)督管理辦法(征求意見稿)》，現(xiàn)予以公告，征求意見。請于2009年9月4日前反饋意見。
聯(lián)系地址:北京西長安街13號工業(yè)和信息化部政策法規(guī)司(郵編:100804)
電子郵件:wangxiaofei@miit.gov.cn
附件:《通信網(wǎng)絡(luò)安全防護(hù)監(jiān)督管理辦法(征求意見稿)》
通信網(wǎng)絡(luò)安全防護(hù)監(jiān)督管理辦法
(征求意見稿)
第一條(目的依據(jù))為加強(qiáng)對通信網(wǎng)絡(luò)安全的管理，提高通信網(wǎng)絡(luò)安全防護(hù)能力，保障通信網(wǎng)絡(luò)安全暢通，根據(jù)《中華人民共和國電信條例》，制定本辦法。
第二條(適用范圍)中華人民共和國境內(nèi)的電信業(yè)務(wù)經(jīng)營者和互聯(lián)網(wǎng)域名服務(wù)提供者(以下統(tǒng)稱“通信網(wǎng)絡(luò)運(yùn)行單位”)管理和運(yùn)行的公用通信網(wǎng)和互聯(lián)網(wǎng)(以下統(tǒng)稱“通信網(wǎng)絡(luò)”)的網(wǎng)絡(luò)安全防護(hù)工作，適用本辦法。
本辦法所稱互聯(lián)網(wǎng)域名服務(wù)，是指設(shè)置域名數(shù)據(jù)庫或域名解析服務(wù)器，為域名持有者提供域名注冊或權(quán)威解析服務(wù)的行為。
本辦法所稱網(wǎng)絡(luò)安全防護(hù)工作，是指為防止通信網(wǎng)絡(luò)阻塞、中斷、癱瘓或被非法控制等以及通信網(wǎng)絡(luò)中傳輸、存儲、處理的數(shù)據(jù)信息丟失、泄露或被非法篡改等而開展的相關(guān)工作。
第三條(管轄職責(zé))中華人民共和國工業(yè)和信息化部(以下簡稱工業(yè)和信息化部)負(fù)責(zé)全國通信網(wǎng)絡(luò)安全防護(hù)工作的統(tǒng)一指導(dǎo)、協(xié)調(diào)、監(jiān)督和檢查，建立健全通信網(wǎng)絡(luò)安全防護(hù)體系，制訂通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)。
省、自治區(qū)、直轄市通信管理局(以下簡稱“通信管理局”)依據(jù)本辦法的規(guī)定，對本行政區(qū)域內(nèi)通信網(wǎng)絡(luò)安全防護(hù)工作進(jìn)行指導(dǎo)、協(xié)調(diào)、監(jiān)督和檢查。
工業(yè)和信息化部和通信管理局統(tǒng)稱“電信管理機(jī)構(gòu)”。
第四條(責(zé)任主體)通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)按照本辦法和通信網(wǎng)絡(luò)安全防護(hù)政策、標(biāo)準(zhǔn)的要求開展通信網(wǎng)絡(luò)安全防護(hù)工作，對本單位通信網(wǎng)絡(luò)安全負(fù)責(zé)。
第五條(方針原則)通信網(wǎng)絡(luò)安全防護(hù)工作堅(jiān)持積極防御、綜合防范的方針，實(shí)行分級保護(hù)的原則。
第六條(同步要求)通信網(wǎng)絡(luò)運(yùn)行單位規(guī)劃、設(shè)計(jì)、新建、改建通信網(wǎng)絡(luò)工程項(xiàng)目，應(yīng)當(dāng)同步規(guī)劃、設(shè)計(jì)、建設(shè)滿足通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)要求的通信網(wǎng)絡(luò)安全保障設(shè)施，并與主體工程同時(shí)進(jìn)行驗(yàn)收和投入運(yùn)行。
已經(jīng)投入運(yùn)行的通信網(wǎng)絡(luò)安全保障設(shè)施沒有滿足通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)要求的，通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)進(jìn)行改建。
通信網(wǎng)絡(luò)安全保障設(shè)施的規(guī)劃、設(shè)計(jì)、新建、改建費(fèi)用，應(yīng)當(dāng)納入本單位建設(shè)項(xiàng)目預(yù)算。
第七條(分級保護(hù)要求)通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)按照通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)規(guī)定的方法，對本單位已正式投入運(yùn)行的通信網(wǎng)絡(luò)進(jìn)行單元?jiǎng)澐?，將各通信網(wǎng)絡(luò)單元按照其對國家和社會經(jīng)濟(jì)發(fā)展的重要程度由低到高分別劃分為一級、二級、三級、四級、五級。
通信網(wǎng)絡(luò)單元的分級結(jié)果應(yīng)由接受其備案的電信管理機(jī)構(gòu)組織專家進(jìn)行評審。
通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)根據(jù)實(shí)際情況適時(shí)調(diào)整通信網(wǎng)絡(luò)單元的劃分和級別。通信網(wǎng)絡(luò)運(yùn)行單位調(diào)整通信網(wǎng)絡(luò)單元的劃分和級別的，應(yīng)當(dāng)按照前款規(guī)定重新進(jìn)行評審。
第八條(備案要求1)通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)按照下列規(guī)定在通信網(wǎng)絡(luò)投入運(yùn)行后30日內(nèi)將通信網(wǎng)絡(luò)單元向電信管理機(jī)構(gòu)備案:
(一)基礎(chǔ)電信業(yè)務(wù)經(jīng)營者集團(tuán)公司直接管理的通信網(wǎng)絡(luò)單元，向工業(yè)和信息化部備案；基礎(chǔ)電信業(yè)務(wù)經(jīng)營者各省(自治區(qū)、直轄市)子公司、分公司負(fù)責(zé)管理的通信網(wǎng)絡(luò)單元，向當(dāng)?shù)赝ㄐ殴芾砭謧浒浮?/p>
(二)增值電信業(yè)務(wù)經(jīng)營者的通信網(wǎng)絡(luò)單元，向電信業(yè)務(wù)經(jīng)營許可證的發(fā)證機(jī)構(gòu)備案。
(三)互聯(lián)網(wǎng)域名服務(wù)提供者的通信網(wǎng)絡(luò)單元，向工業(yè)和信息化部備案。
第九條(備案要求2)通信網(wǎng)絡(luò)運(yùn)行單位辦理通信網(wǎng)絡(luò)單元備案，應(yīng)當(dāng)提交以下信息:
(一)通信網(wǎng)絡(luò)單元的名稱、級別、主要功能等。
(二)通信網(wǎng)絡(luò)單元責(zé)任單位的名稱、聯(lián)系方式等。
(三)通信網(wǎng)絡(luò)單元主要負(fù)責(zé)人的姓名、聯(lián)系方式等。
(四)通信網(wǎng)絡(luò)單元的拓?fù)浼軜?gòu)、網(wǎng)絡(luò)邊界、主要軟硬件及型號、關(guān)鍵設(shè)施位址等。
前款規(guī)定的備案信息發(fā)生變化的，通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)自變更之日起15日內(nèi)向電信管理機(jī)構(gòu)變更備案。
第十條(備案審核)電信管理機(jī)構(gòu)應(yīng)當(dāng)自收到通信網(wǎng)絡(luò)單元備案申請后20日內(nèi)完成備案信息審核工作。備案信息真實(shí)、齊全、符合規(guī)定形式的，應(yīng)當(dāng)予以備案；備案信息不真實(shí)、不齊全或者不符合規(guī)定形式的，應(yīng)當(dāng)通知備案單位補(bǔ)正。
第十一條(符合性評測要求)通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)按照通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)的要求，落實(shí)與通信網(wǎng)絡(luò)單元級別相適應(yīng)的安全防護(hù)措施，并自行組織進(jìn)行符合性評測。評測方法應(yīng)當(dāng)符合通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)的有關(guān)規(guī)定。
三級及三級以上通信網(wǎng)絡(luò)單元，應(yīng)當(dāng)每年進(jìn)行一次符合性評測；二級通信網(wǎng)絡(luò)單元，應(yīng)當(dāng)每兩年進(jìn)行一次符合性評測。通信網(wǎng)絡(luò)單元的級別調(diào)整后，應(yīng)當(dāng)及時(shí)重新進(jìn)行符合性評測。
符合性評測結(jié)果及整改情況或者整改計(jì)劃應(yīng)當(dāng)于評測結(jié)束后30日內(nèi)報(bào)送通信網(wǎng)絡(luò)單元的備案機(jī)構(gòu)。
第十二條(風(fēng)險(xiǎn)評估要求)通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)對通信網(wǎng)絡(luò)單元進(jìn)行經(jīng)常性的風(fēng)險(xiǎn)評估，及時(shí)消除重大網(wǎng)絡(luò)安全隱患。風(fēng)險(xiǎn)評估方法應(yīng)當(dāng)符合通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)的有關(guān)規(guī)定。
三級及三級以上通信網(wǎng)絡(luò)單元，應(yīng)當(dāng)每年進(jìn)行一次風(fēng)險(xiǎn)評估；二級通信網(wǎng)絡(luò)單元，應(yīng)當(dāng)每兩年進(jìn)行一次風(fēng)險(xiǎn)評估；國家重大活動舉辦前，三級及三級以上通信網(wǎng)絡(luò)單元應(yīng)當(dāng)進(jìn)行風(fēng)險(xiǎn)評估。
風(fēng)險(xiǎn)評估結(jié)果及隱患處理情況或者處理計(jì)劃應(yīng)當(dāng)于風(fēng)險(xiǎn)評估結(jié)束后30日內(nèi)上報(bào)通信網(wǎng)絡(luò)單元的備案機(jī)構(gòu)。
第十三條(災(zāi)難備份要求)通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)按照通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)的要求，對通信網(wǎng)絡(luò)單元的重要線路、設(shè)備、系統(tǒng)和數(shù)據(jù)等進(jìn)行備份。
第十四條(演練要求)通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)定期或不定期組織演練檢驗(yàn)通信網(wǎng)絡(luò)安全防護(hù)措施的有效性，并參加電信管理機(jī)構(gòu)組織開展的演練。
第十五條(監(jiān)測要求)通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)對本單位通信網(wǎng)絡(luò)的安全狀況進(jìn)行自主監(jiān)測，按照通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)建設(shè)和運(yùn)行通信網(wǎng)絡(luò)安全監(jiān)測系統(tǒng)。
通信網(wǎng)絡(luò)運(yùn)行單位的監(jiān)測系統(tǒng)應(yīng)當(dāng)按照電信管理機(jī)構(gòu)的要求，與電信管理機(jī)構(gòu)的監(jiān)測系統(tǒng)互聯(lián)。
第十六條(CNCERT職責(zé))工業(yè)和信息化部委托國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心建設(shè)和運(yùn)行互聯(lián)網(wǎng)網(wǎng)絡(luò)安全監(jiān)測系統(tǒng)。
第十七條(安全服務(wù)規(guī)范)通信網(wǎng)絡(luò)運(yùn)行單位委托其他單位進(jìn)行安全評測、評估、監(jiān)測等工作的，應(yīng)當(dāng)加強(qiáng)對受委托單位的管理，保證其服務(wù)符合通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)及有關(guān)法律、法規(guī)和政策的要求。
第十八條(監(jiān)督檢查)電信管理機(jī)構(gòu)應(yīng)當(dāng)根據(jù)本辦法和通信網(wǎng)絡(luò)安全防護(hù)政策、標(biāo)準(zhǔn)，對通信網(wǎng)絡(luò)運(yùn)行單位開展通信網(wǎng)絡(luò)安全防護(hù)工作的情況進(jìn)行監(jiān)督檢查。
第十九條(檢查措施)電信管理機(jī)構(gòu)有權(quán)采取以下措施對通信網(wǎng)絡(luò)安全防護(hù)工作進(jìn)行監(jiān)督檢查:
(一)查閱通信網(wǎng)絡(luò)運(yùn)行單位的符合性評測報(bào)告和風(fēng)險(xiǎn)評估報(bào)告。
(二)查閱通信網(wǎng)絡(luò)運(yùn)行單位的有關(guān)文檔和工作記錄。
(三)向通信網(wǎng)絡(luò)運(yùn)行單位工作人員詢問了解有關(guān)情況。
(四)查驗(yàn)通信網(wǎng)絡(luò)運(yùn)行單位的有關(guān)設(shè)施。
(五)對通信網(wǎng)絡(luò)進(jìn)行技術(shù)性分析和測試。
(六)采用法律、行政法規(guī)規(guī)定的其他檢查方式。
第二十條(委托檢查)電信管理機(jī)構(gòu)可以委托網(wǎng)絡(luò)安全檢測專業(yè)機(jī)構(gòu)開展通信網(wǎng)絡(luò)安全檢測活動。
第二十一條(配合檢查的義務(wù))通信網(wǎng)絡(luò)運(yùn)行單位對電信管理機(jī)構(gòu)及其委托的專業(yè)機(jī)構(gòu)依據(jù)本辦法開展的監(jiān)督檢查和檢測活動應(yīng)當(dāng)予以配合，不得拒絕、阻撓。
第二十二條(規(guī)范檢查單位)電信管理機(jī)構(gòu)及其委托的專業(yè)機(jī)構(gòu)對通信網(wǎng)絡(luò)安全防護(hù)工作進(jìn)行監(jiān)督檢查和檢測，不得影響通信網(wǎng)絡(luò)的正常運(yùn)行，不得收取任何費(fèi)用，不得要求接受監(jiān)督檢查的單位購買指定品牌或者指定生產(chǎn)、銷售單位的安全軟件、設(shè)備或者其他產(chǎn)品。
第二十三條(規(guī)范檢查人員)電信管理機(jī)構(gòu)及其委托的專業(yè)機(jī)構(gòu)的監(jiān)督檢查人員應(yīng)當(dāng)忠于職守、堅(jiān)持原則，不得泄漏監(jiān)督檢查工作中知悉的國家秘密、商業(yè)秘密、技術(shù)秘密和個(gè)人隱私。
第二十四條(對專業(yè)機(jī)構(gòu)的要求)電信管理機(jī)構(gòu)委托的專業(yè)機(jī)構(gòu)進(jìn)行檢測時(shí)，應(yīng)當(dāng)書面記錄檢查的對象、時(shí)間、地點(diǎn)、內(nèi)容、發(fā)現(xiàn)的問題等，由檢查單位和被檢查單位相關(guān)負(fù)責(zé)人簽字蓋章后，報(bào)委托方。
第二十五條(罰則1)違反本辦法第六條、第七條、第八條、第九條、第十一條、第十二條、第十三條、第十四條、第十五條、第十七條、第二十一條規(guī)定的，由電信管理機(jī)構(gòu)責(zé)令改正，給予警告，并處5000元以上3萬元以下的罰款。
第二十六條(罰則2)未按照通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)落實(shí)安全防護(hù)措施或者存在重大網(wǎng)絡(luò)安全隱患的，由電信管理機(jī)構(gòu)責(zé)令整改，并對整改情況進(jìn)行監(jiān)督檢查。拒不改正的，由電信管理機(jī)構(gòu)給予警告，并處1萬元以上3萬元以下的罰款。
