高安全等级信息系统的风险评估探讨

本文系统地研究了信息系统风险评估的理论及方法，根据国家相关法律法规和标准，结合高安全等级信息系统的特点，融合了十几年的风险评估经验和案例，优化了评估指标体系和评估模型，改进了评估过程中每个阶段的具体操作步骤，保证了风险评估结果的可信度和实用性，提出了切实可行的高安全等级信息系统安全防护和管理的合理建议，为深入高效的开展高安全等级信息系统风险评估提供有力支撑，为国家相关行政部门对高安全等级信息系统的管理决策提供关键依据。

1 引言

1.1 论文背景及意义
高安全等级信息系统安全风险评估主要从信息系统的建设、运行、态势等方面对高安全等级信息系统的安全保障状况进行风险评估和判断，以明确我国信息安全保障体系的建设水平和保障能力，为国家信息安全保障宏观决策提供支持和依据[3]。
1.1.1 研究背景
随着信息社会的迅猛发展，信息系统已经被广泛应用到各个领域，与此同时，信息系统的安全保密问题成为了不可忽视的问题，尤其是高安全等级信息系统，由于其存储和处理关键信息，一旦安全保密工作出现疏忽，就会造成关键信息泄露，严重危害国家经济及政治生态安全
（1）信息安全的形势日益严峻
迈入二十一世纪的人类生活在一个崭新的全球化信息时代，信息的触角已延伸到国家和社会的每一个角落。人们在享受信息带来的巨大便利的同时，也承受着空前的信息影响和控制。信息作为支撑社会经济生活的重要战略资源，是一个国家政治、经济、军事、文化各领域活动开展的必要条件。随着国民经济和社会发展对信息和高安全等级信息系统的依赖程度日益增强，电力、电信、交通、银行等直接关系国计民生的高安全等级信息系统在受到传统的物理性破坏的同时又面临新兴的虚拟化的攻击，高安全等级信息系统的安全问题随之凸显。高安全等级信息系统随时面临遭受无意破坏甚至恶意破坏，轻者导致少量的经济损失或短时间的不便，重者则威胁人民生命财产安全，甚至危害到国家安全。高安全等级信息系统的安全问题已成为关系国家安全的战略性问题。
当前，我国信息安全面临的形势依然十分严峻，维护国家信息安全的任务依然十分艰巨。国外敌对势力对我国高安全等级信息系统的渗透和颠覆活动从未停止并不断升级；境内外反动势力在国外敌对势力的支持下，对高安全等级信息系统频繁进行攻击和破坏；国内网络违法犯罪持续大幅上升，网络窃密情况严重，计算机病毒传播和网络非法入侵十分严重，犯罪分子利用一些高安全等级信息系统的安全漏洞进行违法犯罪，给用户造成严重损失，引发诸多社会问题；高安全等级信息系统安全管理不善，安全措施不到位，高安全等级信息系统运行事故时有发生。
高安全等级信息系统软件的安全漏洞仍是各种安全威胁的主要根源，利用系统漏洞植入的木马程序对我国互联网安全构成了严重威胁。特别值得注意的是计算机黑客和其它信息安全破坏者的一些高技术行为，例如非授权访问和种植病毒，表明入侵者具备高端的计算机文化理念，并非常熟悉信息技术的最新发展状况。他们甚至能够使用诸如 Modem 追踪软件之类的复杂设备和工具，搜索高安全等级信息系统的脆弱点，给全球互联网安全造成更大范围和更深程度的威胁和破坏。
...........................

1.2 国内外研究现状
在信息时代，信息安全内涵进一步丰富，在内容上不仅包括国家秘密，也包括商业秘密、个人隐私等其他情报信息资源。信息安全与国家的政治安全、经济安全、文化安全和国防安全不可分割，对国家经济和社会发展基础性、全局性作用日益凸显，被称为“第一安全”。从整个世界范围看，信息安全的第一地位已经成为各国普遍共识。
总体上看，2017-2018 年度，国际信息安全领域威胁加剧，高安全等级信息系统频遭受密集攻击，网络恐怖主义出现新形势，斯诺登事件更是将各国政府监听监控由暗转明。为了应对日益严峻的网络安全形势，各国提供巨大的人力、物力、财力开展风险评估研究工作，本文主要研究高安全等级信息系统的风险评估，所以，重点分析了风险评估标准及风险评估方法、虚拟化系统风险评估以及高安全等级信息系统互联互通方法三个方面的研究现状。
1.2.1 风险评估标准及方法研究现状
随着信息技术的快速发展，信息系统的风险评估标准及方法也发生了巨大的变化，国内外的相关政府及安全组织积极制定标准并研究适用于风险评估标准的评估方法。
1.风险评估标准
信息安全中三分靠技术和七分靠管理，风险评估作为风险管理的必备环节，承担着发现信息系统风险点的重要作用，国内外专家在充分研究与分析的基础上，建立了数个标准对风险评估过程进行约束和指导。总体而言，国外开展风险评估的研究较早，风险评估标准更加完善，虽然国内风险评估的相关研究起步较晚，但是成果丰硕，已经形成并建立了完善的风险评估标准体系，极大提高了国内信息系统的安全性。
（1）国外风险评估标准
从 20 世纪 80 年代开始，欧美等国家相继投入到信息安全风险评估的标准研究及制定工作中，陆续颁布了满足各自国家实际需求的风险评估标准。美国凭借强大的科技实力和技术储备，率先于 1983 年制定《可信计算化系统评估准则》（TCSEC）[21]，该标准首次规定了计算机信息系统风险评估的技术细节，将计算机信息系统依次划分为最低保护等级、自主保护等级、强制保护等级、验证保护等级等四个安全性等级，对风险评估的相关研究与发展产生了非常重要的影响。参照美国的 TCSEC，英国、法国、德国与荷兰共同制定《信息技术安全评估准则》（ITSEC）[22]，同样把安全评估对象划分了不同的安全等级。在综合了 TCSEC 和ITSEC 的优点基础上，美国联合欧洲等国家制定《信息技术安全通用评估准则》（CC）[23]，用标准化的方法建立安全要求的部件功能集合，对安全评价目标提出了安全评价保证级别。 ...............................

2 基础理论及方法

2.1 相关概念
本文的研究对象是高安全等级信息系统，所涉及的相关概念主要包括高安全等级信息系统、虚拟化技术、工业控制系统、风险评估。
2.1.1 高安全等级信息系统
信息系统风险评估根据信息系统在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，由低到高划分为五个安全保护等级[1]。本文的研究对象为高安全等级信息系统，特指第三级、第四级和和第五级信息系统。
高安全等级环境是指应用于某些领域的，具有特殊安全需求的相对独立的网络环境，该网络环境特点如下：
（1）网络中存储、处理和传输的信息涉及国家安全与利益；
（2）网络与国际互联网、或其他公共信息网络之间不存在物理上的连接；
（3）网络依据严格的安全防护要求建设、管理与使用。因此，高安全等级网络环境中处理关系国家安全利益的信息，一般处于孤立的网络环境之中，网络规模相对有限，多数情况是以局域网或城域网的形式存在。在高安全等级信息系统投入使用后，保密行政管理部门对其进行指导、监督和检查。其中国家保密行政管理部门负责全国高安全等级信息系统风险评估工作的指导、监督和检查；地方各级保密行政管理部门负责本行政区域高安全等级信息系统风险评估工作的指导、监督和检查。
2.1.2 虚拟化技术
虚拟化技术作为云计算的主要支撑技术之一，实现了以服务的方式为用户提供各种软硬件资源，同时也引入一系列新的安全问题。
虚拟化（Virtualization）的概念在 20 世纪 60 年代首次出现，利用它可以对属于稀有而昂贵资源的大型机硬件进行分区。近年来，随着云计算的全面落地实践，虚拟化技术在商业应用上的优势日益体现，不仅降低了 IT 成本，而且增强了系统安全性和可靠性，虚拟化的概念也逐渐深入到人们日常的工作与生活中。
虚拟化技术主要分为以下几类：硬件虚拟化（Hardware virtualization），即利用物理主机的硬件及相关虚拟化软件，创建一个能够运行操作系统的虚拟机；桌面虚拟化（Desktop Virtualization），旨在将逻辑桌面与物理主机分开；其他一些针对不同对象的虚拟化技术，包括应用软件、内存、存储、数据、网络等。 ............................

2.2 方法理论概述
本文在研究过程中所应用的方法理论主要包括层次分析法、模糊综合评判法以及博弈论。
2.2.1 层次分析法
层次分析法（AHP）是美国匹兹堡大学教授萨泰（A.L.Saaty）首次提出，用于对系统问题进行分析。
（1）建立层次分析结构
分析系统问题，依据一定的规则将其从顶向下拆分为不同的层次结构，通常会拆分为三个层次，第一层为需要实现的目的，第二层为需要遵守的规则，第三层为采取的具体措施。
（2）构造判断矩阵
在层次分析结构中，每一个元素的重要性是不一样的，以每一个元素的权重值为基础构造判断矩阵。
2.2.2 模糊综合评判法
在风险评估过程中，评估的因素会存在很多，特别容易忽略掉某些因素，从而使评估结果出现偏差，而模糊综合评判法利用模糊数学及隶属度等理论，综合考虑所有评估因素，使评估结果更加科学全面。具体实现步骤如下：
（1）选取评估指标
基于评估对象的特点及环境，综合分析能够对评估对象产生影响的所有因素，并将这些因素构成一个集合。
（2）设定指标权重
依据评估指标对评估对象的影响程度的大小，这里的影响大小是指标之间相对而言，为所有的评估指标设定权重，记为 Q。
................................

3 传统高安全等级信息系统风险评估的挑战..........................17
3.1 传统的高安全等级信息系统风险评估..............................18
3.1.1 风险评估基本原理.............................18
3.1.2 存在的不足之处........................19
4 基于博弈论的高安全等级信息系统风险评估模型构建...........................30
4.1 高安全等级信息系统风险评估的界定及特点.............................31
4.1.1 高安全等级信息系统风险评估的界定.............................31
4.1.2 高安全等级信息系统风险评估的特点...............................32
5 基于虚拟化技术的高安全等级信息系统风险评估模型构建.............................50
5.1 虚拟化系统风险评估相关工作............................51
5.2 虚拟化系统脆弱性分析...................................51

7 高安全等级信息系统安全保密风险评估系统的设计

7.1 信息系统评估内容的关联分析
对高安全等级信息系统进行评估时，对应的评估标准定义了多种评估内容，形成了丰富的评估指标，如日常管理、安全审计、异常事件等，旨在从多个维度描述高安全等级信息系统的风险状况，并指导信息系统建设人员对高安全等级信息系统进行有针对性地修正。然而，不同指标可能对应了相似甚至相同的评估内容，从而出现针对某些评估内容的重复测量的问题。
因而，本问题将基于历史评估数据，从整体上了解各个评估指标的关联关系，定位那些强关联的评估项，一方面辅助队评估项包含的评估小项进行修正（删除、调整等），避免重复测量，另一方面将辅助生成可靠的评估指标体系，指导评估人员工作。
7.1.1 模型构
为了挖掘评估内容的之间的关联特性，本文设计了关联分析模型。该模型旨在为所有评估内容，发现与之相关的其他评估内容。此外，模型构建时，仍然考虑了模型运行时的时间复杂度。本节首先描述了关联分析时的部分名词定义，随后描述了具体的建模方法。
2.建模方法
（1）将每个由评估小项构成的评估记录转化为一个向量，并且过滤掉那些评估小项值为满足的指标。向量中的每个元素 ele 由评估小项的唯一标识 sign 和评估结果 result 构成，即 ele ＝｛sign，result｝。其中 result 可以为满足（由 2 表示）、基本满足（由 1 表示）、不满足（由 0 表示）。此外，通过过滤一方面能够降低计算的复杂度，另一方面减少满足的评估指标对于评估小项频繁项挖掘的影响。
（2）利用关联分析方法，从由多个向量组成序列中，挖掘由多个元素组成的具有强关联的频繁项 xi={ele1,ele2,…,elen}。由于元素在序列中出现的频次 c(ele)，直接影响了频繁项的提取结果。为了保证算法的运行时间，以及发现出现频次不同的元素 elei的频繁项，对于那些在序列中出现频率不同的元素，在挖掘其频繁项时做了如下处理：
.......................

8 总结与展望

8.1 研究总结
风险评估是指对威胁、漏洞、资产及由此带来的风险大小进行评估，通过对高安全等级信息系统进行风险评估，能够及时发现高安全等级信息系统中存在的风险及安全隐患，安全管理人员依据风险等级采取必要的安全防护措施，确保高安全等级信息系统的安全、稳定、可靠运行。
本文系统地研究了信息系统风险评估的理论及方法，根据国家相关法律法规和标准，结合高安全等级信息系统的特点，融合了十几年的风险评估经验和案例，优化了评估指标体系和评估模型，改进了评估过程中每个阶段的具体操作步骤，保证了风险评估结果的可信度和实用性，提出了切实可行的高安全等级信息系统安全防护和管理的合理建议，为深入高效的开展高安全等级信息系统风险评估提供有力支撑，为国家相关行政部门对高安全等级信息系统的管理决策提供关键依据。
8.1.1 风险评估模型总结分析本文分析了三种不同的风险评估应用场景，分别是传统的高安全等级信息系统、基于虚拟化技术的高安全等级信息系统和面向互联互通的高安全等级信息系统，针对不同的应用场景，本文分别设计了不同的风险评估模型和方法。
（1）传统的高安全等级信息系统
在传统的高安全等级信息系统中，网络环境由服务器、计算机、交换机、服务器等基础网络设备组成，尚未引入虚拟化技术或互联互通功能，网络结构比较单一。针对传统的高安全等级信息系统，在实际评估过程中，评估指标的重要性差异是客观存在的，并受到决策者的主观意愿影响。在确定评估指标的权重时，都是依据专家评估经验来设定，很容易使评估结果出现偏差。所以风险评估方法需要及时更新，研制出切实可靠实用的高安全等级信息系统风险评估的方法。
本文依据高安全等级信息系统的特点及防护要求，选取风险评估指标，并构建多层次指标体系。基于该指标体系，将博弈理论引入到风险评估中，把评估人员的防御方法与攻击人员的攻击方法作为攻防博弈的基础，通过构建攻防博弈模型，分析评估人员及攻击人员在攻防过程中获得的收益及付出的开销，一方面证明纳什均衡点的存在，另一方面为攻防博弈模型提供理论基础。结合高安全等级信息系统的安全等级，计算得到信息系统的风险值，使得风险评估过程更加科学合理。
参考文献（略）