網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估策略設(shè)計(jì)

文/葉自謙

伴隨著個(gè)人電腦硬件成本的降低、軟件開(kāi)發(fā)技術(shù)的逐步成熟，以互聯(lián)網(wǎng)為基礎(chǔ)的商業(yè)模式逐漸增多，現(xiàn)今，互聯(lián)網(wǎng)技術(shù)已經(jīng)成為國(guó)民經(jīng)濟(jì)的重要支撐，同時(shí)許多業(yè)務(wù)轉(zhuǎn)移到互聯(lián)網(wǎng)環(huán)境中進(jìn)行辦理使得互聯(lián)網(wǎng)中包含大量個(gè)人隱私信息。也因此，網(wǎng)絡(luò)安全的重要性日益突出，如何有效的避免惡意用戶的網(wǎng)絡(luò)攻擊、凈化網(wǎng)絡(luò)環(huán)境、保證網(wǎng)民的財(cái)產(chǎn)安全與個(gè)人信息不受泄露，是當(dāng)今互聯(lián)網(wǎng)環(huán)境下亟待解決的問(wèn)題。在實(shí)際的網(wǎng)絡(luò)安全防護(hù)過(guò)程中，網(wǎng)絡(luò)管理員作出相應(yīng)的安全操作是當(dāng)收到網(wǎng)絡(luò)系統(tǒng)中發(fā)出的網(wǎng)絡(luò)威脅信號(hào)而開(kāi)始的，因此，對(duì)不同情況下精準(zhǔn)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估有利于提升網(wǎng)絡(luò)環(huán)境的安全度，是提升網(wǎng)絡(luò)安全的首要切入點(diǎn)，因此本文將對(duì)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估過(guò)程中的各個(gè)參數(shù)進(jìn)行研究，提升評(píng)估的準(zhǔn)確度與科學(xué)性，從而達(dá)到凈化網(wǎng)絡(luò)環(huán)境、提升網(wǎng)絡(luò)安全的最終目標(biāo)。

1 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估原理

網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估有利于提升網(wǎng)絡(luò)環(huán)境的安全度，是保證網(wǎng)絡(luò)安全的首要切入點(diǎn)，主要針對(duì)系統(tǒng)、平臺(tái)以及各類信息或網(wǎng)絡(luò)財(cái)產(chǎn)進(jìn)行研究。一般來(lái)說(shuō)，首先通過(guò)對(duì)各類威脅進(jìn)行分析后進(jìn)行識(shí)別，同時(shí)判斷該威脅對(duì)目標(biāo)的破壞程度，并判斷資產(chǎn)的類型，得出結(jié)果后按不同結(jié)果的權(quán)重進(jìn)行綜合評(píng)估，獲取該風(fēng)險(xiǎn)破壞網(wǎng)絡(luò)安全成功的可能性以及破壞程度，形成相應(yīng)的風(fēng)險(xiǎn)評(píng)估報(bào)告，網(wǎng)絡(luò)管理人員根據(jù)評(píng)估報(bào)告，作出相應(yīng)的維護(hù)安全措施保證系統(tǒng)或信息安全。具體的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估內(nèi)容與流程如圖1進(jìn)行介紹。

2 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)

由于網(wǎng)絡(luò)安全的重要性日益突出，眾多網(wǎng)絡(luò)安全研發(fā)人員對(duì)保護(hù)網(wǎng)絡(luò)安全的技術(shù)進(jìn)行大量研究與設(shè)計(jì)，這在極大程度上促進(jìn)了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的相關(guān)技術(shù)迅猛發(fā)展，下面將介紹三種網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的核心技術(shù)。

圖1：網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估內(nèi)容與流程

2.1 網(wǎng)絡(luò)掃描技術(shù)

在實(shí)際的網(wǎng)絡(luò)環(huán)境安全管理中，網(wǎng)絡(luò)掃描技術(shù)是使用最為普遍的技術(shù)，網(wǎng)絡(luò)掃描技術(shù)能實(shí)時(shí)的對(duì)網(wǎng)絡(luò)環(huán)境中存在的狀態(tài)改變信息進(jìn)行監(jiān)控，如在數(shù)據(jù)信息發(fā)送與接收過(guò)程中，如果實(shí)際的接收結(jié)果與預(yù)期的接收結(jié)果不一致，將會(huì)對(duì)比對(duì)結(jié)果進(jìn)行記錄，同時(shí)對(duì)記錄信息進(jìn)行分析，將分析結(jié)果以及威脅等級(jí)向網(wǎng)絡(luò)安全管理人員發(fā)送，相關(guān)負(fù)責(zé)人員根據(jù)分析結(jié)果做出響應(yīng)的網(wǎng)絡(luò)安全維護(hù)措施，保證網(wǎng)絡(luò)完全。除上述舉出的數(shù)據(jù)信息發(fā)送與接收例子外，網(wǎng)絡(luò)掃描技術(shù)還可對(duì)主機(jī)的整體運(yùn)行穩(wěn)定性、網(wǎng)路參數(shù)是否異常、各類協(xié)議是否存在漏洞以及網(wǎng)絡(luò)資源是否分配正常等參數(shù)指標(biāo)進(jìn)行掃描監(jiān)控，網(wǎng)絡(luò)掃描技術(shù)從多維度有效的監(jiān)控網(wǎng)絡(luò)中的威脅因素，最終實(shí)現(xiàn)提升網(wǎng)絡(luò)安全的目。

2.2 定量分析技術(shù)

在實(shí)際的安全防護(hù)過(guò)程中，安全因素涉及多個(gè)維度，多個(gè)安全因素動(dòng)態(tài)變化、同時(shí)重要程度各異使得綜合分析較為困難，定量化分析則可以有效的解決這類問(wèn)題，定量分析則將各類信息價(jià)值、或軟硬件物質(zhì)價(jià)值統(tǒng)一轉(zhuǎn)換為財(cái)產(chǎn)價(jià)值，以統(tǒng)一的參數(shù)進(jìn)行有效的整體網(wǎng)絡(luò)安全評(píng)估，形成財(cái)產(chǎn)價(jià)值與風(fēng)險(xiǎn)的一對(duì)一聯(lián)系，便于監(jiān)管者進(jìn)行網(wǎng)絡(luò)安全判斷，同時(shí)使得網(wǎng)絡(luò)安全結(jié)果的閱讀者更直觀的獲取相關(guān)信息。

2.3 安全數(shù)據(jù)庫(kù)技術(shù)

安全數(shù)據(jù)庫(kù)是指包含了常規(guī)數(shù)據(jù)庫(kù)基礎(chǔ)功能、同時(shí)具有嚴(yán)格權(quán)限訪問(wèn)機(jī)制與數(shù)據(jù)加密機(jī)制，并達(dá)到了官方的數(shù)據(jù)庫(kù)安全評(píng)判等級(jí)為三級(jí)以及以上的數(shù)據(jù)庫(kù)的總稱。常規(guī)數(shù)據(jù)庫(kù)系統(tǒng)的自我安全控制包括完整性約束、關(guān)系表的低冗余度、以及數(shù)據(jù)庫(kù)的故障恢復(fù)等機(jī)制，安全數(shù)據(jù)庫(kù)將這些自我安全控制均有不同程度的提升，提升數(shù)據(jù)庫(kù)存儲(chǔ)內(nèi)容的安全等級(jí)。在實(shí)際的網(wǎng)絡(luò)安全管理中，數(shù)據(jù)庫(kù)主要在以下方面可能出現(xiàn)問(wèn)題：

（1）惡意用戶利用SQL語(yǔ)言特點(diǎn)，進(jìn)行惡意代碼偽裝嵌入到SQL語(yǔ)句中，實(shí)現(xiàn)從命令層上的數(shù)據(jù)信息竊取。

（2）操作者粗心大意使得數(shù)據(jù)庫(kù)通行證泄露、或被黑客利用計(jì)算機(jī)技術(shù)進(jìn)行賬號(hào)密碼竊取，使得獲取數(shù)據(jù)庫(kù)的準(zhǔn)入資格后進(jìn)行數(shù)據(jù)竊取。

安全數(shù)據(jù)庫(kù)則針對(duì)以上可能發(fā)生問(wèn)題的點(diǎn)進(jìn)行強(qiáng)化，首先對(duì)于SQL命令語(yǔ)句有嚴(yán)格格式要求，命令源僅能由開(kāi)發(fā)人員提供，數(shù)據(jù)庫(kù)不連接外網(wǎng)，的做法有效保證了數(shù)據(jù)庫(kù)的安全度。同時(shí)對(duì)于數(shù)據(jù)庫(kù)的通行證，不僅加強(qiáng)了賬號(hào)密碼的密級(jí)，同時(shí)還引入人體特征作為準(zhǔn)入資格，提升了數(shù)據(jù)庫(kù)的安全性。此外，為了加強(qiáng)數(shù)據(jù)庫(kù)的網(wǎng)絡(luò)安全，利用日志對(duì)數(shù)據(jù)庫(kù)中的各類數(shù)據(jù)交互行為進(jìn)行記錄，時(shí)刻分析日志事件，將出現(xiàn)的威脅因素及時(shí)上報(bào)。

3 基于大數(shù)據(jù)的網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估策略設(shè)計(jì)

大數(shù)據(jù)技術(shù)的日趨成熟，使得大數(shù)據(jù)應(yīng)用在多個(gè)領(lǐng)域，由于網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估涉及多個(gè)場(chǎng)景，同時(shí)干擾因素較多、且信息變動(dòng)較為頻繁，大數(shù)據(jù)分析技術(shù)在該場(chǎng)景下有出色的發(fā)揮，基于大數(shù)據(jù)的網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估方法在實(shí)際使用時(shí)對(duì)各類網(wǎng)絡(luò)風(fēng)險(xiǎn)準(zhǔn)確識(shí)別，由于具備對(duì)海量信息分析處理的能力，因此會(huì)在多類風(fēng)險(xiǎn)因素中計(jì)算出綜合評(píng)估有效值，使得識(shí)別風(fēng)險(xiǎn)速度較快，便于網(wǎng)絡(luò)安全管理人員在風(fēng)險(xiǎn)侵犯系統(tǒng)之前作出響應(yīng)，極大程度提升了網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估的有效性。

3.1 基于風(fēng)險(xiǎn)評(píng)估的數(shù)據(jù)庫(kù)設(shè)計(jì)

在設(shè)計(jì)安全風(fēng)險(xiǎn)數(shù)據(jù)庫(kù)時(shí)不能簡(jiǎn)單的從數(shù)據(jù)庫(kù)的數(shù)據(jù)操作功能性考慮，數(shù)據(jù)操作功能性是一方面，更重要的是數(shù)據(jù)操作功能性與具體環(huán)境需求的融合，一個(gè)完整的數(shù)據(jù)轉(zhuǎn)儲(chǔ)環(huán)節(jié)，不僅涉及到數(shù)據(jù)的存儲(chǔ)，數(shù)據(jù)源的獲取以及取出環(huán)節(jié)均要嚴(yán)格把控，防止網(wǎng)絡(luò)威脅風(fēng)險(xiǎn)因素的滲透，并在各個(gè)數(shù)據(jù)交互環(huán)節(jié)以及數(shù)據(jù)操作指令均制定風(fēng)險(xiǎn)評(píng)估策略，保證網(wǎng)絡(luò)環(huán)境安全。

3.2 安全風(fēng)險(xiǎn)模組的技術(shù)預(yù)測(cè)評(píng)估

安全風(fēng)險(xiǎn)模組在設(shè)置網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)時(shí)要充分考慮具體網(wǎng)絡(luò)環(huán)境，綜合考量各個(gè)風(fēng)險(xiǎn)因子，當(dāng)經(jīng)過(guò)周密分析得到網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估模型時(shí)還要針對(duì)具體環(huán)境進(jìn)行驗(yàn)證，并定時(shí)的審核網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估模型，判斷是否需要修改，保證網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估模型的時(shí)效性。模型投入使用后，對(duì)于已經(jīng)獲取的網(wǎng)絡(luò)環(huán)境參數(shù)，與模型進(jìn)行嚴(yán)格比對(duì)，并將比對(duì)結(jié)果進(jìn)行處理，以直觀、形象的方式反饋給網(wǎng)絡(luò)管理員，便捷管理員的操作，提升網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估模型的利用率。安全風(fēng)險(xiǎn)模組技術(shù)在對(duì)未知環(huán)境進(jìn)行安全風(fēng)險(xiǎn)預(yù)測(cè)時(shí)，不僅僅考慮網(wǎng)絡(luò)信息中的安全因子，同時(shí)對(duì)于網(wǎng)絡(luò)硬件環(huán)境、網(wǎng)絡(luò)參數(shù)配置、網(wǎng)絡(luò)管理結(jié)構(gòu)等因素進(jìn)行綜合評(píng)估，根據(jù)安全模組的歷史評(píng)估信息的準(zhǔn)確度進(jìn)行網(wǎng)絡(luò)風(fēng)險(xiǎn)預(yù)測(cè)，安全風(fēng)險(xiǎn)模組技術(shù)革除了傳統(tǒng)僅僅考量單一因素的不準(zhǔn)確弊端，引入了多元因素綜合考量的思路，是一種極為有效的安全風(fēng)險(xiǎn)評(píng)估技術(shù)。

3.3 基于風(fēng)險(xiǎn)評(píng)估的云安全體系構(gòu)建

云安全檢測(cè)體系基于最新出現(xiàn)的云計(jì)算與云服務(wù)技術(shù)，利用云端高效的處理能力，結(jié)合大數(shù)據(jù)的相關(guān)技術(shù)進(jìn)行安全虛擬環(huán)境的生成，并按相關(guān)策略進(jìn)行檢測(cè)。云安全檢測(cè)體系相比傳統(tǒng)檢測(cè)體系更為靈活，同時(shí)不影響系統(tǒng)或者數(shù)據(jù)庫(kù)平臺(tái)的正常業(yè)務(wù)處理，利用大數(shù)據(jù)分析技術(shù)對(duì)網(wǎng)絡(luò)環(huán)境的各個(gè)參數(shù)通過(guò)海量數(shù)據(jù)進(jìn)行歸納，找出網(wǎng)絡(luò)風(fēng)險(xiǎn)威脅較大環(huán)境下的各類參數(shù)，并作為危險(xiǎn)網(wǎng)絡(luò)環(huán)境下的模型，判斷某一環(huán)境是否安全時(shí)，利用模型與當(dāng)前環(huán)境的各類參數(shù)進(jìn)行嚴(yán)格比對(duì)，實(shí)現(xiàn)云安全檢測(cè)。目前的網(wǎng)絡(luò)體系由系統(tǒng)軟件層次與硬件基礎(chǔ)設(shè)施組成，為構(gòu)建高效的云安全檢測(cè)體系，不僅在軟件架構(gòu)上要與檢測(cè)體系匹配，同時(shí)硬件的性能以及具體配置也要符合要求，將軟件硬件資源進(jìn)行綜合調(diào)度、統(tǒng)一協(xié)調(diào)，分析網(wǎng)絡(luò)風(fēng)險(xiǎn)并及時(shí)作出相應(yīng)的措施，從而達(dá)到降低網(wǎng)絡(luò)風(fēng)險(xiǎn)因素的目的。

4 結(jié)論

人們的日常生活離不開(kāi)網(wǎng)絡(luò)，網(wǎng)絡(luò)安全與人民的隱私安全及個(gè)人財(cái)產(chǎn)直接掛鉤，威脅人民的自身利益，影響社會(huì)安定，本文介紹了當(dāng)下常用的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估方法，以企完善網(wǎng)絡(luò)安全的評(píng)估方法、制定網(wǎng)絡(luò)安全評(píng)估體系，助力提升網(wǎng)絡(luò)安全。

在大數(shù)據(jù)時(shí)代背景下，網(wǎng)絡(luò)安全更具挑戰(zhàn)，網(wǎng)絡(luò)風(fēng)險(xiǎn)安全評(píng)估也更為復(fù)雜，在這種環(huán)境下，應(yīng)該針對(duì)網(wǎng)絡(luò)的具體環(huán)境，實(shí)現(xiàn)多安全風(fēng)險(xiǎn)評(píng)估參數(shù)的融合，對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估工作進(jìn)行動(dòng)態(tài)更新，不斷優(yōu)化網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估的各項(xiàng)工作，使得網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估盡可能的準(zhǔn)確，實(shí)現(xiàn)提升網(wǎng)絡(luò)安全、保護(hù)人民利益不受侵害的最終目的。