文档介绍：信息系统安全事件的流程化管理探讨
贾培刚韩强
天津市电力公司
摘要:本文根据信息系统资产的安全等级的划分,详细地进行信息安全事件的定义、等级划分进行描述,阐述了在天津电力利用流程化进行不同等级安全事件的处理过程,进行信息安全应急响应,安全事件的上报机制等。
关键词:安全事件、应急响应、流程、风险等级、安全资产
一、引言
近年来,企业信息化建设的步伐加快,信息化应用越来越广泛。信息安全问题也更加突出,不能把信息安全的保障理解为纯粹的技术工作,忽略了安全组织体系、应急响应和管理体系在安全保障体系中的重要作用,其结果是:安全隐患不能及早发现,安全补丁没有全面通知,安全常识无法得到普及,虚弱的企业内网即便在强大的安全产品保障下依然不堪一击,安全问题层出不穷,企业顾此失彼,疲于应对!例如,爆发的SQL Slammer蠕虫,一个已经公布半年的安全漏洞依然造成了12亿美元的巨大损失,甚至连微软公司自己都没有幸免,安全管理制度的缺陷和安全防范意识的薄弱一览无余,不断发生的类似事件再次提醒业界:信息安全应急响应、安全事件流程化等级处理的实施刻不容缓!  
供电企业的网络庞大而复杂,其上运行着多种网络设备、主机系统以及业务应用。而且,随着业务的不断发展,各种新业务的推出,不同的系统纷纷建立。虽然在各个系统建设时,都考虑一定程度的安全防护,但是由于时间、应用的差异,造成这些安全防护体系在架构、机制以及使用方法等各方面不尽相同。这导致了安全策略不一致,安全事件不能及时定位与响应,安全系统整体运作效率低等问题。不仅消耗维护人力和时间,而且阻碍了运营安全水平的提高。在这种情况下,资产安全等级、安全事件流程化等级处理需求日益显露,电力企业信息部门需要全面了解安全现状,准确及时把握安全事件,并能够对安全建设整体规划和有力落实。
二、信息资产识别和分类
信息资产广义上应该包括:数据库及数据文件、系统说明文档、用户手册、培训手册、操作或支持程序、应急计划、后备安排、归档信息);软件资产(应用软件、系统软件、开发及系统工具);服务(计算及通讯服务、数据网络、电话传真);物理资产(计算机设备,通讯设备、、磁带磁盘、其它技术设备(电源、空调)、家具、建筑物等;无形资产(企业形象、信誉等)。
信息资产分类包括以下类别:
(1)、服务(Service):3、FTP、MRPII、DNS、呼叫中心、内部文件服务、内部BBS、网络连接等;
(2)、电子数据(Data):源代码、各种数据资料、运行管理规程、计划、报告、用户手册等;
(3)、软件(Software):应用软件、系统软件、开发工具和资源库等;
(4)、硬件(Hardware):计算机硬件、路由器、交换机、程控交换机、布线等;
(5)、纸质文档(Document):文件、传真、电报、财务报告、发展计划;
(6)、设备(Facility):电源、空调、食品柜、文件柜等;
(7)、人员(HR):各级雇员和雇主、合同方雇员;
(8)、其它(Other):企业形象,企业声誉、客户关系等。
信息资产分别具有不同的安全属性,机密性、完整性和可用性分别反映了资产在三个不同方面的特性。安全属性的不同通常也意味着安全控制、保护功能需求的不同。通过考察三种不同安全属性,可以得出一个能够基本反映资产价值的数值。对信息资产进行赋值的目的是为了更好地反映资产的价值,以便于进一步考察资产相关的弱点、威胁和风险属性,并进行量化分析。
三、信息系统安全事件及分类
信息系统安全事件是指信息网络的计算机或网络设备系统的硬件、软件、数据因非法攻击或病毒入侵等安全原因而遭到破坏、更改、泄漏造成系统不能正常运行,或已经发现的有可能造成上述现象的安全隐患。例如:非授权访问,通过入侵的方式进入到未被授权访问的网络中,而导致数据信息泄漏;信息泄密,数据在传输中因数据被截取、篡改、分析等而造成信息的泄漏;拒绝服务,正常用户不能正常访问服务器提供的相关服务;系统性能严重下降,有不明的进程运行并占用大量的CPU处理时间;在系统日志中发现非法登录者;发现系统感染计算机病毒;发现有人在不断强行尝试登录系统;系统中出现不明的新用户账号;管理员收到来自其它站点系统管理员的警告信,指出系统可能被威胁;文件的访问权限被修改;因安全漏洞导致的系统问题;发现网络侦察行为;其它的入侵行为。
安全事件主要分为两大类:物理安全事件和逻辑安全事件。无目标脚本(Non-Targeted Script)、可疑行为(Suspicious Activity)、网络侦查、扫描(Reconnaissance Probe)、有目标的攻击(Targeted Exploit)、 promise-NonCore System)、 promise-Core System)