云計算下的信息安全應(yīng)急系統(tǒng)研究

湯祥州　鄭綿彬　俞維露

1 引言

隨著移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、云計算、大數(shù)據(jù)等新技術(shù)成為信息化新一輪發(fā)展的重要驅(qū)動力，迫切需要面向網(wǎng)絡(luò)空間安全的監(jiān)測預(yù)警和應(yīng)急響應(yīng)服務(wù)平臺，實(shí)現(xiàn)網(wǎng)絡(luò)安全態(tài)勢感知、監(jiān)測預(yù)警、應(yīng)急處置和災(zāi)難恢復(fù)的一體化運(yùn)作。

2 云應(yīng)急服務(wù)

2.1 高性能云計算技術(shù)

云計算技術(shù)應(yīng)用環(huán)境下，用戶可以利用云端大型服務(wù)器的資源優(yōu)勢進(jìn)行數(shù)據(jù)計算，通過對存儲資源、計算資源的虛擬化處理和統(tǒng)一整合，云端服務(wù)商可以實(shí)現(xiàn)對硬件資源的按需分配，用戶以較低廉的成本使用云端服務(wù)器、存儲設(shè)備和各類應(yīng)用程序；通過對信息資源進(jìn)行統(tǒng)一標(biāo)準(zhǔn)化。

利用云安全應(yīng)急服務(wù)平臺，可防止諸如XSS、SQL注入、木馬、漏洞攻擊、僵尸網(wǎng)絡(luò)等各種安全問題，同時，采用跨運(yùn)營商智能調(diào)度、頁面優(yōu)化、頁面緩存等技術(shù)，進(jìn)一步提升訪問速度、降低故障率，為用戶提供服務(wù)式的信息安全。

2.2 云應(yīng)急服務(wù)

信息安全應(yīng)急管理是以云應(yīng)急服務(wù)平臺為技術(shù)支撐，系統(tǒng)采用先進(jìn)的云計算分布式計算技術(shù)，將信息安全應(yīng)急以在線服務(wù)方式提供給用戶，用戶的安全防護(hù)和應(yīng)急處理的壓力轉(zhuǎn)移到云端。云應(yīng)急服務(wù)平臺可實(shí)現(xiàn)統(tǒng)一調(diào)配應(yīng)急資源來實(shí)現(xiàn)應(yīng)急響應(yīng)、協(xié)同，直接面對攻擊時可采取應(yīng)急措施，將流量智能的分發(fā)到其它安全服務(wù)節(jié)點(diǎn)，避免傳統(tǒng)安全中單臺設(shè)備瓶頸或宕機(jī)導(dǎo)致服務(wù)不可用情況，安全應(yīng)急服務(wù)因云計算而強(qiáng)大。

云安全應(yīng)急服務(wù)是將用戶的DNS切換到云平臺，通過智能解析將用戶流量引導(dǎo)至最近的云端節(jié)點(diǎn)，云端節(jié)點(diǎn)承載用戶請求并過濾流量，為用戶提供監(jiān)控預(yù)警功能。云安全應(yīng)急服務(wù)平臺以分布式計算為基礎(chǔ)云架構(gòu)，采用多線智能解析調(diào)度，將單點(diǎn)Web資源動態(tài)負(fù)載至云端節(jié)點(diǎn)，高性能的云端節(jié)點(diǎn)可以承載高并發(fā)的用戶請求，進(jìn)行流量監(jiān)控和分析。云安全應(yīng)急平臺網(wǎng)絡(luò)架構(gòu)分為中心和邊緣兩部分，中心是平臺中的智能DNS系統(tǒng)和應(yīng)急響應(yīng)系統(tǒng)，主要負(fù)責(zé)發(fā)生信息安全事件的應(yīng)急處置；邊緣是分布在各地的節(jié)點(diǎn)，是信息內(nèi)容的分發(fā)載體，由安全保護(hù)、Web優(yōu)化、Cache和負(fù)載均衡器組成，主要實(shí)現(xiàn)監(jiān)控預(yù)警功能，保障用戶的正常應(yīng)用。

3 系統(tǒng)總體架構(gòu)

云應(yīng)急系統(tǒng)可以部署在公有或私有云上，為廣大電子政務(wù)或中小企業(yè)用戶服務(wù)，通過云平臺為用戶提供日常的監(jiān)測預(yù)警功能，并通過應(yīng)急響應(yīng)機(jī)制及時地確定與評估突發(fā)事件，有效、快速地對事態(tài)進(jìn)行控制，保持事件發(fā)生后能夠可靠地恢復(fù)，確保關(guān)鍵信息服務(wù)在面臨各種威脅與攻擊時仍然維持良好的運(yùn)轉(zhuǎn)。云應(yīng)急服務(wù)平臺采用主流的三層系統(tǒng)架構(gòu)，如圖1所示，分為為云應(yīng)急技術(shù)支撐層、云應(yīng)急服務(wù)層和應(yīng)急業(yè)務(wù)層。

（1）技術(shù)支撐層。主要是指基礎(chǔ)設(shè)施，包括支持系統(tǒng)運(yùn)行所需的基本硬件、基礎(chǔ)軟件平臺和網(wǎng)絡(luò)設(shè)施。硬件主要包括各種服務(wù)器（數(shù)據(jù)服務(wù)器、應(yīng)用服務(wù)器和Web服務(wù)器）以及相關(guān)的存儲備份設(shè)備、防火墻及入侵檢測設(shè)備?；A(chǔ)軟件包括各種操作系統(tǒng)、數(shù)據(jù)庫平臺、中間件和其他系統(tǒng)平臺。

（2）應(yīng)用服務(wù)層。應(yīng)用支撐平臺是構(gòu)筑在基礎(chǔ)軟件和數(shù)據(jù)資源之上，為應(yīng)用系統(tǒng)提供支撐環(huán)境，實(shí)現(xiàn)應(yīng)用系統(tǒng)共有的、與具體業(yè)務(wù)無關(guān)的功能，主要包括通訊服務(wù)、安全認(rèn)證、日志管理、數(shù)據(jù)備份等。數(shù)據(jù)資源主要用來存儲和管理平臺涉及到的所有數(shù)據(jù)，內(nèi)部封裝了應(yīng)急管理活動及其數(shù)據(jù)、知識、物資、人員等資源，可對服務(wù)進(jìn)行高性能檢索和調(diào)度，實(shí)現(xiàn)應(yīng)急業(yè)務(wù)信息（如應(yīng)急預(yù)案庫、案例庫、物資庫、隊伍庫、專家?guī)?、模型庫、病毒庫等）的全面整合，它不僅包括各類數(shù)據(jù)在數(shù)據(jù)庫中的存儲內(nèi)容、組織方式和存儲機(jī)制，還指明了數(shù)據(jù)的管理模式和入庫更新機(jī)制。

（3）業(yè)務(wù)層。應(yīng)急平臺功能模塊劃分監(jiān)測預(yù)警、日常安全管理和應(yīng)急響應(yīng)三大模塊，實(shí)現(xiàn)具體的業(yè)務(wù)應(yīng)用。監(jiān)測預(yù)警業(yè)務(wù)包括對云端用戶的漏洞檢測、入侵檢測和智能分析；日常安全管理主要業(yè)務(wù)包括應(yīng)急值守、預(yù)案管理、風(fēng)險評估和應(yīng)急資源；應(yīng)急響應(yīng)包括安全事件處置、事故恢復(fù)、事件統(tǒng)計分析和信息發(fā)布。

4 主要功能實(shí)現(xiàn)

信息安全應(yīng)急系統(tǒng)設(shè)計的核心思想是在日常管理、監(jiān)控預(yù)警、應(yīng)急響應(yīng)基本工作上，強(qiáng)化統(tǒng)一業(yè)務(wù)工作流的概念，云應(yīng)急系統(tǒng)軟件架構(gòu)采用面向服務(wù)SOA的架構(gòu)來實(shí)現(xiàn)，應(yīng)用層采用組件技術(shù)MVC進(jìn)行構(gòu)建，具有很強(qiáng)的靈活性和兼容性，能很好地符合云應(yīng)急模式的特征。

4.1 監(jiān)控預(yù)警

主要對接入云端的網(wǎng)站或重要信息系統(tǒng)進(jìn)行安全評估、脆弱性發(fā)現(xiàn)，對潛在風(fēng)險進(jìn)行分析并及時發(fā)出預(yù)警報告，包括滲透性測試、漏洞掃描、流量分析。

云應(yīng)急服務(wù)平臺可對監(jiān)控對象進(jìn)行安全評估，滲透測試是通過模擬黑客的攻擊手段，來評估計算機(jī)網(wǎng)絡(luò)系統(tǒng)安全和應(yīng)用安全。這個過程包括對系統(tǒng)漏洞、應(yīng)用漏洞、配置弱點(diǎn)和技術(shù)缺陷進(jìn)行主動分析，完全以黑客的角色對測試目標(biāo)展開全面技術(shù)攻擊，并且可對預(yù)警事件進(jìn)行實(shí)時監(jiān)控、查詢；同時還能根據(jù)資產(chǎn)的機(jī)密性價值、可用性價值、完整性價值、物理價值和威脅事件實(shí)時計算每個資產(chǎn)的風(fēng)險值；支持漏洞掃描，對網(wǎng)站進(jìn)行文件上傳監(jiān)測和注入監(jiān)測；并支持對網(wǎng)絡(luò)流量進(jìn)行分析，判斷；對整體的安全性進(jìn)行評估。

4.2 應(yīng)急值守

借助監(jiān)控預(yù)警系統(tǒng)，在云端通過日志采集、流量采集、內(nèi)容采集、漏洞掃描等多種技術(shù)手段獲取安全信息，實(shí)時監(jiān)控網(wǎng)絡(luò)的安全態(tài)勢，通過數(shù)據(jù)聚合、智能行為分析、專家團(tuán)隊綜合研判信息系統(tǒng)的安全風(fēng)險和安全事件，可根據(jù)事件信息實(shí)現(xiàn)事件的分類分級，自動關(guān)聯(lián)事件處置預(yù)案和處置流程，并由值班人員對安全事件進(jìn)行事件信息報送、處置跟蹤、事件歸檔、事件處置管理等。

信息安全事件管理涉及查看所有的事件，包括高風(fēng)險事件、低風(fēng)險事件、歷史事件和實(shí)時事件；按照不同的安全信息來源進(jìn)行分類，例如可以分為Unix主機(jī)、Windows主機(jī)、路由器和交換機(jī)、防火墻、NIDS等；可查看所有的實(shí)時事件，提供過濾功能，只顯示符合過濾條件的事件，過濾條件可以自定義，并且依據(jù)設(shè)定的審計策略對標(biāo)準(zhǔn)化的安全事件進(jìn)行審計分析。

4.3 應(yīng)急資源管理

信息安全應(yīng)急資源的管理包括機(jī)房、重要設(shè)備設(shè)施、網(wǎng)絡(luò)、工具軟件、應(yīng)急設(shè)備、應(yīng)急專家、救援小組、應(yīng)急知識、歷史事件、法律法規(guī)等應(yīng)急資源信息的管理。

通過建立應(yīng)急資源數(shù)據(jù)庫，包括IT基礎(chǔ)設(shè)施數(shù)據(jù)庫、關(guān)鍵應(yīng)用系統(tǒng)數(shù)據(jù)庫、應(yīng)急預(yù)案庫、應(yīng)急專家數(shù)據(jù)庫、通訊錄、安全事件信息庫、政策法規(guī)數(shù)據(jù)庫、應(yīng)急管理的基礎(chǔ)數(shù)據(jù)。云端用戶的應(yīng)急管理人員，通過登錄應(yīng)急管理門戶，利用應(yīng)急資源，完成信息安全風(fēng)險分析、業(yè)務(wù)影響分析、安全事件的預(yù)警預(yù)報管理。

安全知識庫包括安全知識文章、漏洞庫、病毒庫、補(bǔ)丁庫、安全事件案例庫等。系統(tǒng)預(yù)置了大量的安全知識文章，包括安全知識、安全通告等。

4.4 風(fēng)險管理

信息安全風(fēng)險管理以資產(chǎn)為核心，結(jié)合等級保護(hù)中關(guān)于資產(chǎn)的價值、脆弱性、威脅，并按照相關(guān)標(biāo)準(zhǔn)分析資產(chǎn)風(fēng)險及風(fēng)險變化情況，給出降低風(fēng)險的解決方案。

風(fēng)險分析參照了國際安全管理標(biāo)準(zhǔn)中的“預(yù)定義風(fēng)險價值矩陣法”。確定目標(biāo)信息資產(chǎn)的價值、威脅發(fā)生的概率、脆弱性被威脅利用的概率，把風(fēng)險進(jìn)行量化。主要思想就是通過降低風(fēng)險來減少安全事件的發(fā)生，有效提升組織的安全性。風(fēng)險管理協(xié)助管理員在最短時間內(nèi)找出對組織重要資產(chǎn)有嚴(yán)重影響的脆弱點(diǎn)，并提供解決方案，幫助管理員對脆弱點(diǎn)做出正面積極的響應(yīng)，預(yù)防可能發(fā)生的損害。

4.5 預(yù)案管理

建立各類信息安全事件應(yīng)急預(yù)案并實(shí)現(xiàn)應(yīng)急預(yù)案的數(shù)字化，在信息安全事件發(fā)生時，自動關(guān)聯(lián)相關(guān)應(yīng)急預(yù)案，應(yīng)急人員參照預(yù)案完成信息安全事件應(yīng)急處置。應(yīng)急預(yù)案規(guī)制定包括：應(yīng)急預(yù)案規(guī)劃方案、應(yīng)急預(yù)案程序、應(yīng)急預(yù)案編制清單、恢復(fù)計劃編制清單、應(yīng)急預(yù)案規(guī)劃報告、應(yīng)急預(yù)案規(guī)劃記錄等。

數(shù)字化預(yù)案是將文本內(nèi)容的預(yù)案通過結(jié)構(gòu)化方法轉(zhuǎn)化為可以為應(yīng)急指揮提供指導(dǎo)意義的預(yù)案，按照適用范圍、組織體系與職責(zé)分工、分類分級、應(yīng)急資源、處置方法等應(yīng)急相關(guān)信息、及應(yīng)急流程信息進(jìn)行分項數(shù)字化。

4.6 應(yīng)急響應(yīng)

應(yīng)急響應(yīng)是對監(jiān)測分析發(fā)現(xiàn)的事件，協(xié)調(diào)各類技術(shù)資源，協(xié)助事發(fā)用戶、關(guān)聯(lián)單位和相關(guān)機(jī)構(gòu)及時對信息安全威脅、預(yù)警及事件進(jìn)行有效處理。信息安全應(yīng)急響應(yīng)與輔助決策系統(tǒng)圍繞各類信息安全事件（有害程序事件、網(wǎng)絡(luò)攻擊事件、信息破壞事件、信息內(nèi)容安全事件、設(shè)備設(shè)施故障、災(zāi)害性事件和其他信息安全事件），以應(yīng)急預(yù)案為核心，實(shí)現(xiàn)信息安全事件的處置跟蹤、指揮調(diào)度和總結(jié)評估等功能。輔助決策功能使用戶在處理安全事件時能夠采用數(shù)字化預(yù)案，系統(tǒng)會根據(jù)事件的信息自動匹配預(yù)案，由用戶決定是否對事件進(jìn)行處理及如何處理，形成最終應(yīng)急處置方案，動態(tài)實(shí)現(xiàn)安全策略的調(diào)整，最終保障網(wǎng)絡(luò)的安全運(yùn)行。

5 結(jié)束語

云計算技術(shù)具有強(qiáng)大的數(shù)據(jù)處理能力，同時可以優(yōu)化資源配置，節(jié)省成本，提高資源利用效率，在云計算環(huán)境下信息安全應(yīng)急系統(tǒng)特別重要，但目前沒有一個標(biāo)準(zhǔn)的、規(guī)范的模式，特別是對信息數(shù)據(jù)的定義、來源、梳理、存儲和共享都還沒有統(tǒng)一認(rèn)識，這些是以后需要進(jìn)一步研究的問題。

參考文獻(xiàn)

[1] 文榮、潘襟妃、文英.計算環(huán)境下網(wǎng)絡(luò)信息安全技術(shù)發(fā)展研究[J]. 通訊世界，2016.4：15.

[2] 張慧、邢培振.云計算環(huán)境下信息安全分析[J].計算機(jī)技術(shù)與發(fā)展 ，2011（12）： 164-166.

[3] 陳改霞、耿瑞煥.計算機(jī)網(wǎng)絡(luò)安全隱患與應(yīng)急響應(yīng)技術(shù)分析[J]. 電子技術(shù)與軟件工程，2015，01：236-237.

[4] 呂雪、凌捷.基于J2EE架構(gòu)的信息安全應(yīng)急預(yù)案管理系統(tǒng)的研究與實(shí)現(xiàn)[J].計算機(jī)工程與設(shè)計，2013， 34（4）： 1198-1201.

[5] 向軍華.電子政務(wù)信息安全應(yīng)急管理平臺的設(shè)計與實(shí)現(xiàn)[D].武漢：華中科技大學(xué). 2011，12.