关于网络安全事件应急响应联动系统的研究

    杜媛媛

    摘 要：近年来，随着智能手机和互联网的普及，网络安全越来越受人们的重视。为了应对各种突发的安全事件，人们设计出应急响应联动系统。文章通过研究应急响应联动的基本理论、框架构成，阐述了系统的运行过程以及应急响应联动系统在实际事件中的运用。

    关键词：网络信息安全；应急响应；联动系统

    随着互联网对各个领域的渗透，我国的网络安全防护任务越来越重。从20世纪90年代至今网络信息安全可分为4个阶段的发展过程，即通信安全、计算机安全、网络安全、内容安全。在这4个阶段中，前两个发展阶段属于运行安全方面—OPSEC。而对于网络基础设施与信息的保护则称之为物理安全—PHYSEC。随着网络的发展，随后又提出了内容安全—CONTSEC，其目的是为了解决信息利用方面的安全问题。为了应对日益增加的网络安全事件，网络安全对抗必须进一步的细化以及升级。在此背景下，应急响应联动系统的建立尤为重要，因为通过系统的建立，可以提高政府对各种网络安全事件的解决能力，减少和预防网络安全事件造成的损失和危害。因此目前对应急响应及联动系统的基础理论、框架构建、技术操作方面的研究尤为重要。

    1 应急响应的基本内容

    1.1 应急响应系统的建立

    为应对网络安全事件发生，事前准备工作或事后有效措施的实施便是应急响应系统建立的目的。应急响应系统包含5个步骤。

    （1）管理。即组织对事情发生前后人员之间的职能划分。

    （2）准备。对于各种网络安全事件提前制定的一些应急预案措施。

    （3）响应。网络安全事件发生后进行，系统对事件进行安全检测有效防止系统信息进一步遭到破坏，并对已受到破坏的数据进行恢复。

    （4）分析。为各种安全事件的应急预案提供调整的依据，提高防御能力。

    （5）服务。通过对各种资源的整合为应急响应对计算机运行安全提供更多的有力的保障。

    1.2 应急响应系统建立必须遵循的原则

    （1）规范化原则。为能保证应急响应系统有效策略的实施，各个组织都应该建立相应的文档描述。任何组织应急响应系统应该有清晰和完全的文档。并有相关的规章条例保证系统的有效运行。组织成员作为应急响应系统的服务者必须遵守相关的条例，也可以写入工作职责来保证系统的有效运行。

    （2）动态性原则。信息安全无时无刻不在发生变化，因此各种安全事件的复杂性使得应急响应策略的制定更加具有难度。为了完善应急响应策略就必须注重信息安全的动态性原则，并对策略实时作出相应调整。

    （3）信息共享原则。应急响应过程中，系统会提供大量可能与安全事件无关的信息，如果提高应急响应系统中重要信息被发现的可能性，在信息提取过程中，信息共享是应急响应的关键，应该考虑将信息共享的对象与内容进行筛选，交叉分析。

    （4）整体性原则。作为一个系统体系应急响应的策略具有整体性、全局性，应该在所有的互联网范中进行安全防护，不放过任何一点的细节，因为一点点的疏漏都会导致全网的瘫痪。整个应急响应策略体系除了要从技术层面考虑问题也要从管理方面着手，因为管理问题而导致的安全事件更为严重。因此，制定管理方法时要投入更多的精力来进行统筹安排，既要完善管理方法，也要注重技术层面。

    （5）现实可行性原则。通过判断应急响应策略是否合理性来衡量是否在线上具有可行性。

    （6）指导性原则。应急响应系统体系中的策略并非百分之百的解决方案，對组织而言，它只是对于处理网络安全事件方法进行一定的指导，而对整个组织工作也只是提供全局性的指导。

    2 应急响应系统体系的总体框架

    如果对应急响应系统体系进行划分，可以将其划分为两个中心和两个组。

    （1）两个中心。应急响应中心与信息共享分析中心。应急响应系统体系的关键是信息共享分析中心。它主要负责的是对中心收集来的各级组织的信息进行交换和共享，并对整个网络作出预警或者事件的跟踪，并对收集来的信息进行整理。而应急响应中心的任务则是对系统体系预案进行管理，通过对信息共享分析中心各种信息安全事件的分类分析并进行应急响应。

    （2）两个组。应急管理组及专业应急组。应急组对整个事件进行全局性指导，并协调各个机构，指导各个组织成员对事件进行应急策略的制定。在各类安全事件发生的过程中，应急响应与救援处于一个重要的环节，而专业应急组是环节的关键，是实现信息安全保障的核心。通过应急组的响应迅速使网络系统得到恢复。

    3 应急响应的层次

    “八方威胁，六面防护，四位一体，应急响应”这句话形容的则是应急响应体系的整个工作过程。

    （1）“八方威胁”是指应急响应系统中的网络安全事件。而根据事件的危害程度对其进行编号的话，1类为有害程度最轻的事件，8类则最为严重，俨然一场网络战争。而且一般的安全事件都不是单独发生的，通常许多事件都是紧密联系环环相扣。

    （2）“六面防护”防护是指技术层面的防御，主要是风险评估、等级保护、入侵检测、网络监审、事件跟踪和预防6个方面。

    （3）“四位一体” 主要是指各个小组的组织保障体系，如应急组、专业组、组织协调机构、专家顾问组。

    （4）应急响应。应急响应系统的核心为应急响应的实施功能。应急响应系统通过对网络安全事件的目标进行分类并分析，通过对事件的判断进行事件分级，制定具体的预案或措施，并有通过各个小组进行信息发布实施，并有技术组对系统进行恢复重建和应急管理，保证目标的信息系统安全。

    4 应急响应体系的周期性

    通过应急响应系统的工作，分析应急响应联动系统在网络安全事件中可能具有生命周期性。网络安全事件的生命周期从风险分析开始，一般的风险分析包括网络风险评估和资源损失评估等。对风险分析进行正确有效的分析有利于高效率的应急响应。为了这一阶段响应过程的顺利进行，需要制订安全政策以及各种应急响应优先权的各种规定。安全工具与系统、网络配置工具，使网络的安全性与可用性两者之间处于平衡状态。在检测阶段，通过各种手段收集信息，利用系统特征或IDS工具来预测安全事件的发生。之后响应阶段，利用各种手段抑制、消除安全事件并进行有利反击。最后在恢复阶段对受到攻击的对象进行恢复，使其恢复到事件发生之前。网络安全事件的周期性更全面，更实际地概括了应急响应系统的工作过程。

    5 应急响应体系的联动性

    （1）“六面防护”的联动。 首先由风险评估对网络安全事件作出安全评估并确定其“威胁”等，再由等级保护进行措施制定，对其入侵的主体进行入侵检测确定威胁漏洞所在，再通过网络监审发现安全事件并进行事件跟踪再由事件跟踪对其事件进行分析，并通过预防对响应策略进行调整，并分析防御的有效性。

    （2）“四位一体”的联动。联动的主要目的是为了应急响应系统的有效运行，因此应急组、专业组、组织协调机构、专家顾问组之间就要努力做好协调工作。组织协调机构主要负责总体的协调工作，应急组与专家顾问组主要负责对网络安全事件的应急处理工作，同时应急组还承担着对突发的安全事件进行信息收集，分析以及信息上报的工作，并对组织协调机构提出的相关事件的应急预案或者保护措施进行执行的工作。

    （3）应急响应的联动。作为应急响应系统的核心，应急响应实施功能通过信息发布，在应急预案或保护措施实施过程中，对事件的发展情况、处理进程进行全程跟踪。尤其是在事后对事件进行跟踪分析，从而进行恢复重建，排除事件对系统产生的威胁。除了对事件进行全程跟踪外，作为核心，还应对相关的应急资源进行协调，做好应急管理工作。

    6 结语

    随着信息技术革新速度加快，各种网络安全事件层出不穷，并越发复杂。由于人类精力有限，网络漏洞的出现也就无法避免。计算机系统的复杂性、动态性也决定解决网络安全事件不能只靠经验技术，它更需要各个方面的应急响应联动。在应急响应联动系统体系建立过程中，不但要把网络安全作为首要任务，而且要注重系统的不断更新完善，随时随地发挥系统的作用，即使发生重大突发事件也可以从容不迫。