網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)研究

◆賈承安

網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)研究

◆賈承安

(濟(jì)南市技師學(xué)院 山東 250000)

在信息化、大數(shù)據(jù)時(shí)代背景下，網(wǎng)絡(luò)與信息已經(jīng)成為人們?nèi)粘Ｉ钪胁豢苫蛉钡拇嬖?，隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)、網(wǎng)絡(luò)覆蓋范圍、信息系統(tǒng)建設(shè)規(guī)模等的不斷提升、拓展，網(wǎng)絡(luò)安全問(wèn)題愈發(fā)凸顯?；诖?，在當(dāng)前高度重視信息化建設(shè)，提倡構(gòu)建網(wǎng)絡(luò)強(qiáng)國(guó)的背景下，加強(qiáng)網(wǎng)絡(luò)安全管理勢(shì)在必行?；诖?，本文從網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估角度出發(fā)，就網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估原理、標(biāo)準(zhǔn)以及關(guān)鍵技術(shù)進(jìn)行了簡(jiǎn)要分析，以期為相關(guān)工作人員提供有益參考，實(shí)現(xiàn)風(fēng)險(xiǎn)評(píng)估體系的科學(xué)構(gòu)架，營(yíng)造穩(wěn)定、安全的網(wǎng)絡(luò)運(yùn)行環(huán)境。

網(wǎng)絡(luò)安全；安全風(fēng)險(xiǎn)評(píng)估；關(guān)鍵技術(shù)

0 前言

隨著近年來(lái)我國(guó)信息化發(fā)展戰(zhàn)略的不斷深入，信息技術(shù)、互聯(lián)網(wǎng)產(chǎn)業(yè)得到迅速發(fā)展。隨著信息技術(shù)的進(jìn)步以及互聯(lián)網(wǎng)產(chǎn)業(yè)的高速發(fā)展，網(wǎng)絡(luò)安全問(wèn)題成為人們關(guān)注的重點(diǎn)問(wèn)題，也是新時(shí)期急需解決的關(guān)鍵問(wèn)題。而在網(wǎng)絡(luò)安全管理過(guò)程中，通過(guò)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估可有效了解網(wǎng)絡(luò)系統(tǒng)、信息系統(tǒng)等在網(wǎng)絡(luò)環(huán)境運(yùn)行下存在的安全隱患與安全風(fēng)險(xiǎn)情況，從而有效識(shí)別風(fēng)險(xiǎn)，為風(fēng)險(xiǎn)管控、防治提供支持?；诖耍斜匾訌?qiáng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)的研究，用以提升網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估工作質(zhì)量，提升網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理效率，維護(hù)網(wǎng)絡(luò)安全。

1 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估原理

網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估是網(wǎng)絡(luò)安全管理工作中的重要環(huán)節(jié)之一，側(cè)重于對(duì)網(wǎng)絡(luò)物流、平臺(tái)、信息數(shù)據(jù)與管理安全性的分析與研究。通常情況下，在網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估過(guò)程中，資產(chǎn)、威脅以及脆弱性是基本評(píng)估指標(biāo)評(píng)價(jià)要素，通過(guò)資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別，實(shí)現(xiàn)資產(chǎn)價(jià)值、威脅程度、脆弱性嚴(yán)重程度的有效評(píng)估，進(jìn)而得到網(wǎng)絡(luò)運(yùn)行過(guò)程中可能存在的風(fēng)險(xiǎn)以及風(fēng)險(xiǎn)等級(jí)，形成風(fēng)險(xiǎn)評(píng)估報(bào)告與風(fēng)險(xiǎn)處理方案[1]。因此，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估原理可用圖1進(jìn)行表示。

圖1 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估原理

2 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)

影響網(wǎng)絡(luò)安全的因素有很多，如信息系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)自身缺陷，人為操作行為誤差，不法分子網(wǎng)絡(luò)信息竊取、篡改，網(wǎng)絡(luò)病毒與黑客攻擊等。由于網(wǎng)絡(luò)與人們生活息息相關(guān)，一旦出現(xiàn)網(wǎng)絡(luò)安全問(wèn)題將對(duì)個(gè)人利益、集體利益、國(guó)際社會(huì)安全穩(wěn)定帶來(lái)嚴(yán)重影響。對(duì)此，為提升網(wǎng)絡(luò)安全水平，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估應(yīng)做到真實(shí)性、可用性、完整性、保密性、唯一性，避免虛假信息、隱藏風(fēng)險(xiǎn)等問(wèn)題，降低網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估效果，影響網(wǎng)絡(luò)安全管理質(zhì)量[2]。

3 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)

隨著網(wǎng)絡(luò)安全管理重視程度的不斷提升，以及相關(guān)技術(shù)的創(chuàng)新發(fā)展與應(yīng)用，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估體系中網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估技術(shù)呈現(xiàn)出多元化發(fā)展趨勢(shì)，網(wǎng)絡(luò)掃描、云安全檢測(cè)、安全數(shù)據(jù)庫(kù)等關(guān)鍵技術(shù)得到應(yīng)用與推廣，具體分析如下。

3.1 關(guān)鍵技術(shù)之網(wǎng)絡(luò)掃描

網(wǎng)絡(luò)掃描技術(shù)是網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估中應(yīng)用較為廣泛的技術(shù)之一。在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)中網(wǎng)絡(luò)掃描裝置實(shí)現(xiàn)了各種掃描技術(shù)的有效集成，可通過(guò)自動(dòng)發(fā)送數(shù)據(jù)包實(shí)現(xiàn)本地與遠(yuǎn)端服務(wù)的探測(cè)，并進(jìn)行數(shù)據(jù)信息的自動(dòng)化收集與記錄，將所收集與記錄到的信息進(jìn)行處理，實(shí)現(xiàn)信息反饋，從而對(duì)目標(biāo)主機(jī)運(yùn)行情況、目標(biāo)網(wǎng)絡(luò)以及服務(wù)器或主機(jī)TCP（Transmission Control Protocol，傳輸控制協(xié)議）/UDP（User Data Protocol，用戶(hù)數(shù)據(jù)報(bào)協(xié)議）協(xié)議端口的分配情況、服務(wù)情況以及可能存在的安全漏洞具有一定的認(rèn)知與了解。因此，網(wǎng)絡(luò)掃描技術(shù)的科學(xué)應(yīng)用能夠有效提升計(jì)算機(jī)網(wǎng)絡(luò)運(yùn)行安全系數(shù)，主動(dòng)探尋網(wǎng)絡(luò)安全隱患并作出判斷，實(shí)現(xiàn)網(wǎng)絡(luò)安全問(wèn)題的技術(shù)處理。

通常情況下，在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估中，網(wǎng)絡(luò)掃描技術(shù)的應(yīng)用大致可分為兩種情況：一是對(duì)網(wǎng)絡(luò)可能存在安全問(wèn)題進(jìn)行直接測(cè)試，獲取網(wǎng)絡(luò)安全風(fēng)險(xiǎn)信息；二是通過(guò)掃描網(wǎng)絡(luò)端口，在推算與判斷中，進(jìn)行網(wǎng)絡(luò)安全封信信息的間接獲取。在實(shí)踐過(guò)程中，為進(jìn)一步提升網(wǎng)絡(luò)操作技術(shù)應(yīng)用的準(zhǔn)確性、科學(xué)性，需對(duì)網(wǎng)絡(luò)掃描裝置進(jìn)行適當(dāng)?shù)男扪a(bǔ)，避免出現(xiàn)誤報(bào)、漏報(bào)等問(wèn)題。就常規(guī)的商業(yè)掃描器而言，在實(shí)踐應(yīng)用過(guò)程中，可適當(dāng)引入修補(bǔ)聯(lián)動(dòng)概念，實(shí)現(xiàn)補(bǔ)丁修改與升級(jí)信息的有效導(dǎo)入，提升商業(yè)掃描器整體工作性能。

3.2 關(guān)鍵技術(shù)之云安全檢測(cè)

云安全（Cloud Security）是互聯(lián)網(wǎng)時(shí)代下，網(wǎng)絡(luò)信息安全的新體現(xiàn)，是在網(wǎng)絡(luò)技術(shù)、并行處理、病毒行為判斷等理論與技術(shù)結(jié)合應(yīng)用下，依托客戶(hù)端實(shí)現(xiàn)網(wǎng)絡(luò)環(huán)境中系統(tǒng)軟件行為的監(jiān)督與管理。在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)中，云安全檢測(cè)技術(shù)可依據(jù)網(wǎng)狀的大量安全事件，對(duì)網(wǎng)絡(luò)中存在的異常行為進(jìn)行自動(dòng)分析與判斷，獲取網(wǎng)絡(luò)中最新的惡性木馬病毒、可疑程序信息，并將其上傳到分析系統(tǒng)中，獲得分析結(jié)果，并在此基礎(chǔ)上，將病毒、木馬等網(wǎng)絡(luò)安全問(wèn)題處理措施與方案分享給其他應(yīng)用云安全檢測(cè)技術(shù)的客戶(hù)端。

隨著“云安全”計(jì)劃的組織開(kāi)展，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估中云安全檢測(cè)技術(shù)的各項(xiàng)功能（Windows系統(tǒng)漏洞與應(yīng)用軟件安全漏洞掃描、破壞系統(tǒng)程序強(qiáng)力恢復(fù)、主機(jī)驅(qū)動(dòng)裝置起動(dòng)、本地服務(wù)器安全軟件集成管理、木馬消災(zāi)與判斷攔截、網(wǎng)絡(luò)安全自動(dòng)化診斷等）得到強(qiáng)化，并以“私有云”、“公有云”、“混合云”的形式，進(jìn)行網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估與處理[3]。以基于云安全檢測(cè)技術(shù)下的“天融信網(wǎng)站監(jiān)控防護(hù)服務(wù)”為例，在云安全檢測(cè)技術(shù)支持下，為客戶(hù)提供了網(wǎng)站頁(yè)面篡改監(jiān)測(cè)與自動(dòng)恢復(fù)服務(wù)；網(wǎng)站流動(dòng)自動(dòng)掃描檢測(cè)服務(wù)；網(wǎng)站可用性狀態(tài)監(jiān)測(cè)服務(wù)；網(wǎng)站是否符合國(guó)家有關(guān)機(jī)構(gòu)評(píng)測(cè)規(guī)定檢查服務(wù)；全天候安全評(píng)估、通報(bào)、評(píng)估、加固等服務(wù)。在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估中，云安全檢測(cè)技術(shù)應(yīng)用的缺點(diǎn)在于無(wú)法完全規(guī)避通信欺騙行為。對(duì)此在實(shí)踐應(yīng)用過(guò)程中，可依托其他輔助技術(shù)，如用戶(hù)權(quán)限管理、防火墻聯(lián)動(dòng)阻斷等，提升網(wǎng)絡(luò)安全水平。

3.3 關(guān)鍵技術(shù)之安全數(shù)據(jù)庫(kù)

安全數(shù)據(jù)庫(kù)（Secure database）是以提升數(shù)據(jù)安全為基礎(chǔ)，具有關(guān)聯(lián)性數(shù)據(jù)庫(kù)基本功能并可達(dá)到計(jì)算機(jī)系統(tǒng)安全評(píng)估第一正式標(biāo)準(zhǔn)（歐洲安全評(píng)價(jià)標(biāo)準(zhǔn)，Information Technology Security Evaluation Criteria，簡(jiǎn)稱(chēng)“TCSEC”）或中國(guó)《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》的第三級(jí)（安全標(biāo)記保護(hù)級(jí)）以上標(biāo)準(zhǔn)的數(shù)據(jù)庫(kù)管理系統(tǒng)。安全數(shù)據(jù)技術(shù)主要知識(shí)針對(duì)數(shù)據(jù)庫(kù)系統(tǒng)安全性質(zhì)（數(shù)據(jù)獨(dú)立性、數(shù)據(jù)完整性、數(shù)據(jù)并發(fā)控制性、數(shù)據(jù)安全性、數(shù)據(jù)信息故障恢復(fù)性等），進(jìn)行的更為系統(tǒng)、真實(shí)、全面、透明的分析，保證數(shù)據(jù)庫(kù)系統(tǒng)整體結(jié)構(gòu)的科學(xué)性以及運(yùn)行級(jí)層與實(shí)際需求的相統(tǒng)一。在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理中，數(shù)據(jù)庫(kù)存在安全風(fēng)險(xiǎn)問(wèn)題主要表現(xiàn)為：（1）黑客工具數(shù)據(jù)庫(kù)結(jié)構(gòu)，并借助Web服務(wù)器實(shí)現(xiàn)信息的竊取，如SQL注入；（2）數(shù)據(jù)庫(kù)操作失誤操作數(shù)據(jù)信息泄露。對(duì)此，安全數(shù)據(jù)庫(kù)技術(shù)側(cè)重于對(duì)數(shù)據(jù)庫(kù)的全方位防護(hù)，實(shí)現(xiàn)事前、事中與事后的綜合監(jiān)督與管控。在數(shù)據(jù)庫(kù)系統(tǒng)構(gòu)建過(guò)程中，需保證操作系統(tǒng)處于安全運(yùn)行狀態(tài)，并在此基礎(chǔ)上采用安全密碼策略、賬戶(hù)密碼策略、用戶(hù)標(biāo)識(shí)策略等進(jìn)行安全配置。與此同時(shí)，對(duì)所使用的操作數(shù)據(jù)庫(kù)程序（包括PHP腳本、ASP腳本等）進(jìn)行安全審核，實(shí)現(xiàn)潛在安全隱患的挖掘與排除。此外，為提升審核效果，可應(yīng)用數(shù)據(jù)庫(kù)日志技術(shù)，進(jìn)行安全事件記錄，及時(shí)發(fā)現(xiàn)系統(tǒng)運(yùn)行過(guò)程中存在的可疑登錄事件。

4 結(jié)論

總而言之，在信息化、大數(shù)據(jù)時(shí)代背景下，網(wǎng)絡(luò)已經(jīng)得到普通應(yīng)用，并在一定程度上改變了人們生活方式與消費(fèi)習(xí)慣，成為人們?nèi)粘Ｉ钌a(chǎn)與學(xué)習(xí)中不可或缺的存在。但是，網(wǎng)絡(luò)在為人們提供便利的同時(shí)，也存在安全隱患，威脅人們財(cái)產(chǎn)安全，損害公民基本權(quán)益，威脅社會(huì)穩(wěn)定發(fā)展。本文通過(guò)分析網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)，旨在為網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估體系完善與優(yōu)化為網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理質(zhì)量與水平的提升提供幫助，從而提升網(wǎng)絡(luò)安全水平，控制網(wǎng)絡(luò)風(fēng)險(xiǎn)不利影響。

[1]萬(wàn)京平.網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)的思考[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2018.

[2]徐慧瓊.有關(guān)大數(shù)據(jù)時(shí)代背景下網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2017.

[3]宋文軍，韓懌冰，尚展壘.大數(shù)據(jù)時(shí)代背景下網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2016.