搜索

[17214] 2021-08-31_以红色警戒2游戏为例：如何开展信息安全风险评估工作

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2021-08-31_以红色警戒2游戏为例：如何开展信息安全风险评估工作 以 红 色 警 戒 2 游 戏 为 例 ： 如 何 开 展 信 息 安 全 风 险 评 估 工 作 S e c u r i t y 大 忽 悠   F r e e B u f   2 0 2 1 - 0 8 - 3 1 早 在 2 0 0 8 年 ， 发 改 委 、 公 安 部 和 保 密 局 曾 下 发 文 件 《 关 于 加 强 国 家 电 子 政 务 工 程 建 设 项 目 信 息 安 全 风 险 评 估 工 作 的 通 知 》 （ 发 改 高 技 〔 2 0 0 8 〕 2 0 7 1 号 ） ， 对 电 子 政 务 工 程 项 目 做 出 了 明 确 规 定 ： 国 家 的 电 子 政 务 网 络 、 重 点 业 务 信 息 系 统 、 基 础 信 息 库 以 及 相 关 支 撑 体 系 等 国 家 电 子 政 务 工 程 建 设 项 目 （ 以 下 简 称 电 子 政 务 项 目 ） ， 应 开 展 信 息 安 全 风 险 评 估 工 作 。 2 0 1 7 年 《 网 络 安 全 法 》 中 ， “ 第 十 七 条   国 家 推 进 网 络 安 全 社 会 化 服 务 体 系 建 设 ， 鼓 励 有 关 企 业 、 机 构 开 展 网 络 安 全 认 证 、 检 测 和 风 险 评 估 等 安 全 服 务 。 ” “ 第 五 十 三 条   国 家 网 信 部 门 协 调 有 关 部 门 建 立 健 全 网 络 安 全 风 险 评 估 和 应 急 工 作 机 制 ， 制 定 网 络 安 全 事 件 应 急 预 案 ， 并 定 期 组 织 演 练 。 … … ” 均 提 到 了 风 险 评 估 的 相 关 工 作 。 近 日 ， 国 务 院 正 式 公 布 了 《 关 键 信 息 基 础 设 施 安 全 保 护 条 例 》 近 日 ， 国 务 院 正 式 公 布 了 《 关 键 信 息 基 础 设 施 安 全 保 护 条 例 》 ， 该 《 条 例 》 是 我 国 针 对 关 键 信 息 基 础 设 施 安 全 保 护 的 专 门 性 行 政 法 规 ， 对 如 何 利 用 网 络 安 全 检 测 和 风 险 评 估 工 作 手 段 保 障 关 键 信 息 基 础 设 施 安 全 ， 提 出 了 明 确 要 求 。 开 展 网 络 安 全 检 测 和 风 险 评 估 是 关 键 信 息 基 础 设 施 运 营 者 落 实 法 规 要 求 的 重 要 职 责 。 G B / T 2 0 9 8 4 - 2 0 0 7 中 相 关 的 内 容 相 对 概 念 化 ， 本 文 尝 试 用 直 观 的 方 式 给 大 家 做 一 个 信 息 安 全 风 险 评 估 的 科 普 。 — — 如 果 我 们 把 自 己 管 理 的 系 统 ， 当 做 红 警 2 的 一 个 前 进 基 地 的 话 ， 我 们 应 该 如 何 做 好 信 息 安 全 风 险 评 估 工 作 ？ G B / T   2 0 9 8 4 - 2 0 0 7   中 给 出 了 信 息 安 全 风 险 评 估 工 作 实 施 的 全 流 程 （ 如 下 图 ） 。 本 文 重 点 从 资 产 识 别 、 威 胁 识 别 、 脆 弱 性 识 别 和 已 有 安 全 措 施 的 缺 人 、 风 险 分 析 这 几 个 方 面 ， 做 一 个 简 单 的 介 绍 。 一 、 资 产 识 别 一 、 资 产 识 别 — — 你 在 保 护 什 么 ？ 你 在 保 护 什 么 ？
资 产 识 别 工 作 是 做 好 网 络 安 全 防 护 工 作 的 第 一 步 ， 是 基 础 也 是 最 重 要 的 环 节 。 经 历 过 这 几 年 大 型 攻 防 演 练 防 护 工 作 的 同 志 们 都 清 楚 ， 在 前 期 防 守 方 筹 备 期 间 ， 重 要 的 工 作 内 容 就 是 把 现 有 系 统 的 资 产 梳 理 清 楚 ， 特 别 是 “ 三 无 资 产 ” （ 无 负 责 人 、 无 标 识 和 无 维 护 ） ， 好 多 系 统 被 攻 破 的 最 主 要 原 因 不 是 因 为 安 全 设 备 买 的 不 够 ， 通 常 是 由 于 资 产 不 清 楚 的 状 态 下 导 致 被 攻 击 方 切 入 ， 从 而 造 成 重 大 的 影 响 。 我 们 首 先 来 看 下 面 这 样 一 个 例 子 ： 单 看 这 张 图 ， 你 会 觉 得 从 防 守 方 的 角 度 来 看 ， 貌 似 没 什 么 太 大 的 隐 患 ， 有 防 空 的 、 有 防 地 面 的 ， 同 时 还 有 机 动 部 队 随 时 调 度 ， 整 体 看 起 来 似 乎 是 比 较 安 全 的 。 但 是 ， 如 果 你 再 接 着 看 下 面 这 张 图 ， 就 会 发 现 作 为 系 统 最 重 要 资 产 的 一 部 分 — — 发 电 站 ， 完 全 没 有 加 设 任 何 的 安 全 防 护 ， 一 旦 攻 击 方 率 先 对 该 处 资 产 进 行 破 坏 ， 系 统 的 所 有 防 护 设 备 都 会 形 同 虚 设 ， 起 不 到 应 有 的 防 护 效 果 。
因 此 ， 只 有 全 面 掌 握 了 系 统 现 有 资 产 的 情 况 网 络 安 全 防 护 才 能 谈 的 上 有 意 义 ， 否 则 ， 所 有 的 工 作 都 是 空 中 楼 阁 。 在 开 展 资 产 识 别 工 作 上 ， 要 学 会 从 管 理 上 和 技 术 上 两 个 方 面 推 进 ： 在 管 理 方 面 ， 要 定 期 的 对 系 统 现 有 资 产 进 行 梳 理 和 摸 底 ， 重 点 关 注 变 动 频 繁 的 系 统 ， 在 重 要 岗 位 人 员 发 生 变 化 时 ， 特 别 是 资 产 管 理 员 变 动 时 也 要 进 行 摸 底 和 梳 理 ， 确 保 资 产 的 全 面 性 和 准 确 性 。 在 技 术 方 面 ， 如 果 资 源 有 保 障 的 情 况 下 ， 可 以 采 购 专 用 的 资 产 探 测 设 备 协 助 进 行 排 查 ， 但 是 一 定 要 牢 记 ， 资 产 探 测 设 备 只 是 辅 助 ， 探 测 的 结 果 要 与 人 工 验 证 相 结 合 ， 避 免 疏 漏 。 另 外 ， 适 当 的 对 资 产 的 重 要 程 度 进 行 分 级 （ 1 - 5 级 ） ， 能 够 有 效 的 减 少 工 作 量 。 比 如 ， 网 络 出 口 处 核 心 交 换 机 的 重 要 程 度 一 定 是 比 某 个 局 域 网 内 的 路 由 器 要 重 要 的 多 ， 在 关 注 程 度 上 也 要 有 所 侧 重 。 当 然 了 ， 在 一 个 企 业 中 资 产 不 仅 仅 包 括 软 硬 件 设 备 ， 重 要 的 人 员 等 也 可 作 为 资 产 进 行 识 别 。 具 体 的 例 子 可 见 下 图 （ 来 源 G B / T   2 0 9 8 4 - 2 0 0 7 ） 。 二 、 威 胁 识 别 二 、 威 胁 识 别 — — 谁 会 攻 击 你 谁 会 攻 击 你 ?
威 胁 识 别 是 为 了 清 楚 网 络 安 全 防 护 工 作 的 目 标 对 象 ， 能 够 决 定 系 统 安 全 防 护 措 施 的 必 要 性 ， 简 单 的 说 ， 避 免 花 冤 枉 钱 。 威 胁 识 别 一 般 要 从 两 个 维 度 上 进 行 分 析 ： 一 个 是 宏 观 维 度 上 ， 你 所 运 维 的 系 统 面 临 的 是 什 么 样 级 别 的 攻 击 对 手 。 如 果 你 开 局 选 的 是 简 单 的 敌 人 ， 那 么 随 随 便 便 造 点 防 护 设 备 就 能 够 满 足 你 的 安 全 需 求 。 如 果 你 选 的 是 冷 酷 的 敌 人 ， 那 么 健 全 的 防 护 设 备 和 机 动 的 防 守 部 队 是 必 要 且 必 须 的 。 另 外 一 个 是 微 观 维 度 上 ， 你 所 运 维 的 系 统 具 体 会 有 哪 些 威 胁 的 方 式 。 如 果 你 选 择 的 地 图 是 在 一 片 陆 地 上 作 战 ， 那 么 你 要 考 虑 的 只 有 地 面 攻 击 和 空 中 攻 击 ， 如 果 你 选 择 的 地 图 是 海 岛 模 式 ， 那 么 从 海 上 发 起 的 攻 击 也 要 考 虑 在 内 。
回 到 现 实 中 ， 在 宏 观 维 度 上 ， 如 果 你 是 关 键 信 息 基 础 设 施 的 网 络 安 全 管 理 人 员 ， 比 如 重 要 的 门 户 网 站 、 重 要 的 科 研 机 构 的 信 息 系 统 ， 那 么 你 除 了 要 面 对 网 上 常 规 的 黑 客 攻 击 （ s q l 注 入 、 密 码 爆 破 等 ） 之 外 ， 国 外 顶 级 的 A P T 攻 击 团 队 （ 供 应 链 攻 击 、 零 日 漏 洞 攻 击 等 ） 也 是 你 要 考 虑 防 护 的 对 象 。 如 果 你 运 维 的 是 一 个 类 似 摄 影 设 计 类 网 站 ， 那 么 对 系 统 造 成 破 坏 的 威 胁 源 可 能 仅 限 于 竞 争 对 手 ， 一 般 的 网 络 黑 客 或 者
自 己 内 部 的 恶 意 员 工 （ 盗 版 、 黑 产 等 ） 。 这 两 个 系 统 在 选 取 安 全 解 决 方 案 上 ， 资 金 、 人 员 和 安 全 设 备 的 投 入 上 肯 定 是 有 特 别 大 的 差 距 。 在 微 观 维 度 上 ， 在 实 际 的 工 作 中 具 体 威 胁 来 源 和 威 胁 内 容 的 分 类 ， 大 家 可 以 参 考 G B / T   2 0 9 8 4 - 2 0 0 7 中 列 举 的 例 子 进 行 识 别 和 判 断 系 统 可 能 会 遭 受 的 威 胁 。 三 、 脆 弱 性 识 别 和 已 有 安 全 措 施 确 认 三 、 脆 弱 性 识 别 和 已 有 安 全 措 施 确 认 — — 你 的 防 护 措 施 还 存 在 哪 些 问 题 ， 如 何 改 进 ？ 你 的 防 护 措 施 还 存 在 哪 些 问 题 ， 如 何 改 进 ？ 脆 弱 性 识 别 和 已 有 安 全 措 施 确 认 这 两 项 工 作 通 常 是 一 并 进 行 的 ， 目 的 是 为 了 提 高 安 全 防 护 措 施 的 有 效 性 和 针 对 性 ， 花 更 少 的 钱 来 解 决 更 多 的 问 题 。 信 息 安 全 风 险 评 估 工 作 的 最 重 要 的 目 的 在 于 整 改 和 加 固 现 有 的 系 统 ， 那 么 准 确 识 别 现 有 系 统 的 脆 弱 性 ， 进 一 步 的 查 漏 补 缺 是 安 全 评 估 工 作 的 核 心 环 节 。 我 们 来 看 下 面 这 张 图 。
从 已 有 的 防 护 措 施 来 看 ， 针 对 地 面 的 防 护 可 以 说 是 基 本 没 有 问 题 了 ， 但 是 在 整 个 体 系 中 唯 独 缺 少 了 针 对 空 中 的 部 队 。 那 么 这 个 时 候 ， 如 果 还 把 大 量 的 资 金 投 入 到 地 面 防 护 措 施 上 ， 只 能 是 出 力 不 讨 好 。 我 们 都 知 道 木 桶 效 应 ， 脆 弱 性 识 别 和 已 有 安 全 措 施 的 确 认 这 一 环 节 其 实 就 是 为 了 找 到 系 统 当 前 最 薄 弱 的 点 ， 并 加 以 修 补 和 完 善 ， 以 期 提 升 整 体 的 安 全 防 护 水 平 。 脆 弱 性 识 别 的 工 作 要 “ 内 ” “ 外 ” 相 结 合 ， 对 “ 内 ” 要 定 期 分 析 系 统 在 技 术 上 、 管 理 上 的 不 足 ， 是 网 络 结 构 不 合 理 ？ 系 统 漏 洞 管 理 不 善 ？ 还 是 用 户 账 号 管 理 不 到 位 ？ 对 “ 外 ” ， 要 时 常 关 注 当 前 外 部 攻 击 的 方 式 方 法 ， 最 新 爆 出 来 的 零 日 漏 洞 、 攻 击 手 段 等 都 应 该 时 刻 保 持 关 注 ， 对 其 影 响 的 范 围 和 内 容 进 行 研 判 ， 及 时 降 低 系 统 所 受 的 影 响 。 四 、 风 险 分 析 四 、 风 险 分 析 — — 在 有 限 的 资 源 下 ， 如 何 获 得 最 大 的 安 全 收 益 ？ 在 有 限 的 资 源 下 ， 如 何 获 得 最 大 的 安 全 收 益 ？ 网 络 安 全 管 理 工 作 从 本 质 上 来 讲 是 个 成 本 投 入 的 过 程 ， 对 于 任 何 一 家 企 业 而 言 ， 网 络 安 全 只 是 其 中 的 一 个 方 面 ， 消 防 安 全 、 生 产 安 全 、 供 应 链 维 护 、 渠 道 维 护 等 等 都 是 需 要 企 业 砸 钱 、 砸 人 的 ， 当 运 营 总 成 本 投 入 已 经 确 定 的 情 况 下 ， 网 络 安 全 不 可 能 无 限 制 的 获 得 资 源 。 比 如 下 面 的 例 子 ， 对 于 一 般 性 的 资 产 ， 过 多 的 防 护 设 备 投 入 除 了 浪 费 金 钱 之 外 ， 还 会 增 加 不 必 要 人 员 维 护 成 本 。
因 此 ， 对 于 当 前 系 统 已 经 存 在 的 问 题 ， 就 需 要 通 过 风 险 分 析 的 方 式 （ 风 险 是 否 可 接 受 ） ， 既 要 分 清 楚 轻 重 缓 急 ， 优 先 解 决 重 大 安 全 隐 患 ， 也 要 在 保 证 既 能 够 解 决 安 全 隐 患 的 条 件 下 不 至 于 过 多 的 投 入 。 在 实 际 的 管 理 工 作 中 ， 首 先 要 及 时 发 现 网 络 安 全 红 线 问 题 ， 对 于 必 须 要 整 改 的 问 题 要 及 时 解 决 ， 比 如 《 网 络 安 全 法 》 中 明 确 要 求 系 统 重 要 日 志 必 须 留 存 6 个 月 以 上 等 ， 如 果 系 统 不 具 备 或 者 存 在 缺 失 ， 那 就 必 须 要 立 即 整 改 加 以 解 决 ， 避 免 违 法 。 其 次 ， 要 学 会 算 一 笔 经 济 账 ： 如 果 某 个 网 络 事 件 发 生 后 ， 造 成 的 损 害 最 大 为 2 0 万 元 ， 而 你 却 花 费 3 0 万 元 来 加 固 系 统 ， 从 某 种 程 度 上 来 说 损 失 更 大 。 结 语 结 语 以 上 ， 就 是 关 于 信 息 安 全 风 险 评 估 的 一 些 基 本 概 念 ， 更 详 细 的 实 施 内 容 和 方 法 建 议 大 家 参 考 G B / T 3 1 5 0 9 - 2 0 1 5   信 息 安 全 技 术   信 息 安 全 风 险 评 估 实 施 指 南 。 这 里 仅 作 一 般 性 的 介 绍 ， 如 有 不 对 的 地 方 欢 迎 大 家 指 正 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理