SR 34-2008 IP网络信息安全风险评估方法研究

前 言本研究报告结合运营商的安全需求和对安全事件的控制能力，分析出威胁事件对IP 网络可能造成的影响；根据IP 网络的关键资产、威胁因素、脆弱点、IP 网络所采取的安全措施，综合事件影响对IP 网络面临的风险进行评估。

基于常见的基于模糊数学的定量分析方法，提出了一种IP 网络风险评估计算模型。

该模型首先定义了进行风险评估计算的三个基本集合——脆弱性集合、威胁集合和影响集合，它们是进行IP 网络风险分析和计算的基础。

在此基础上给出IP 网络风险评估模型中计算公式。

考虑到IP 网络结构上的特点，本研究报告在比较和分析已有的定性和定量评估方法的基础上，结合风险评估模型的计算公式，给出了一种针对IP 网络的风险综合评估方法。

本研究报告由网络与信息安全技术工作委员会安全管理工作组提出，网络与信息安全技术工作委员会通过。

本研究报告编写单位：西安邮电学院本研究报告编写人：范九伦本研究报告参加人：刘建华 王娟 侯红霞 张雪锋 赵锋 侯雪梅h t t p ://w ww .p t s n .n e t .c n目 录1 IP 网风险评估的必要性 (1)2 IP 网络风险评估 (2)2.1 IP 网络的安全问题 (2)2.2 IP 网络的风险评估 (4)2.3 IP 网络的风险评估方法 (5)3 IP 网络风险评估步骤 (7)3.1 IP 网络评估的流程 (7)3.2 识别IP 网络的关键资产 (8)3.2.1 资产分类 (8)3.2.1.1物理资产 (8)3.2.1.2 信息资产 (9)3.2.1.3 服务资产 (9)3.2.2 资产价值 (9)3.2.2.1 物理资产赋值方法 (10)3.2.2.2 信息资产赋值方法 (10)3.2.2.3 服务资产赋值方法 (11)3.3 识别IP 网络存在的脆弱性 (12)3.4 识别IP 网络资产所面对的威胁 (13)3.5 已有安全措施的确认 (14)4 风险计算方法研究 (14)4.1 风险计算原理 (14)4.2 风险评估模型 (15)4.3 IP 网络威胁发生的可能性 (16)4.4 IP 网络安全事件发生后对系统造成的损失 (16)4.5 风险值的估算 (17)4.6 风险等级划分 (18)5 IP 网络风险评估应用 (19)6 结束语.................................................................20 h t t p ://w w w .p t s n .n e t .c n1IP 网络信息安全风险评估方法研究1 IP 网风险评估的必要性近年来，以因特网为代表的新技术革命正在深刻地改变着传统的电信概念和体系，其迅猛发展的速度是人类历史上所有工业中最快的。

从网络的角度看，传统的以电话业务为基础的电信网无论从业务量设计、容量、组网方式，还是从交换方式上来讲都已无法适应这一新的发展趋势，因而开发新一代的可持续发展的网络已成为网络界的共同心愿。

显然，这样的新一代电信网只可能是以ATM/IP 特别是IP 为基础的分组化网络。

国际电信联盟（ITU ）已要求所有研究组都重新审查各自的研究课题，从而决定如何在各自负责的领域内开发与IP 相关的标准建议。

目前已开展的工作领域有：集成结构、利用电信实施接入IP 网、IP 与电信网的互通、IP 结构信号的传送、信令与选路、电信网与IP 网的综合管理、编号与选址、IP 网的安全性等。

随着Internet 的普及、IP 业务的发展，新时期的电信网将主要以IP 网络为主，IP 技术逐渐成为业务的基本承载技术。

但对于承载级业务的IP 网络，为了保证业务的正常开展，网络被限定只提供一种或几种业务，网络为业务提供电信级的可靠性和可用性。

由于Internet 的开放性、国际性和自由性，以及IP 网络自身较差的网络安全性，使IP 网络的安全面临更多更大的威胁。

因此，如何在新时期的电信网络上采取措施保障信息服务的安全，将IP 网络建成真正安全、可靠的信息化基础网络，是新时期电信企业发展要解决的重要问题之一。

对IP 网络进行风险评估已迫在眉睫，对IP 网络进行风险评估的最终目的是：了解IP 网络的总体安全现状，知道系统中各点的风险值，然后对各点风险进行排序，从而为安全措施的实施提供参照。

风险评估是建立IP 网络安全保障机制中的一种科学方法。

对IP 网络而言，存在风险并不意味着不安全，只要风险控制在可接受的范围内，就可以达到系统稳定运行的目的。

风险评估作为IP 网络安全管理体系建设的基础，在体系建设的各个阶段发挥着重要的作用。

通过对IP 网络的资产、面临的威胁、存在的脆弱性、采用的安全控制措施等进行分析，从技术和管理两个层面来综合判断IP 网络面临的风险。

风险评估的结果为保障IP 网络的安全建设、稳定运行提供了技术参考。

在规划与设计阶段，风险评估的结果是安全需求的来源，为IP 网络的安全建设提供依据；在系统运行维护阶段，鉴于IP 网络的动态性，需要定期地对IP 网络进行风险评估，以了解和掌握IP 网络安全状态，风险评估是保证IP 网络安全的动态措施。

此外，风险评估也是IP 网络安全等级确定及建设过程中一种不可或缺的技术手段。

在进行网络安全设备选型、网络安全需求分析、网络建设、网络改造、应用系统试运行、内网与外网互联、与第三方业务伙伴进行网上业务数据传输、电子政务等业务之前，进行风险评估会帮助运营商在一个安全的框架下进行组织活动。

通过风险评估可以识别风h t t p ://w w w .p t s n .n e t .c n2 险大小，通过制定信息安全方针，采取适当的控制目标与控制方式对风险进行控制，可以使风险被避免、转移或降至一个可被接受的水平。

2 IP 网络风险评估2.1 IP 网络的安全问题在我国，传统电信网包含电信传送网、电话业务网和电信数据网。

由于界定清楚，管理部门的职责是明确的，网络运营商及其主管部门负责网络的安全问题，确保网络是安全的、是可信任的；国内安全部门等相关机构负责信息安全问题，并监管密码技术不得滥用，以免危及国家安全。

因此，传统电信网总体上是一个安全的网络，是一个可信任的网络，用户在使用传统电信网时有很好的安全感，不会有随时随地受到安全威胁的感觉。

在长期的使用实践中，传统电信网（包括PSTN/ISDN 和全部电信数据网）也很少出现安全上的问题，用户可以放心地使用。

但随着网络开放互连、设备引进、新技术引入、自然灾害和突发事件的存在，造成了我国电信网的脆弱性问题日益突出。

从上世纪90年中期以来，互联网的迅猛发展，新业务及传统电信业务的迅速IP 化，终端设备的智能化，电信网络由封闭的、基于电路交换的系统向基于开放、IP 数据业务转型，网络规模愈来愈大，网络的安全问题也越来越突显。

互联网的不可管理、不可控制，只保证通达、把安全问题交给用户等网络设计理念，更进一步恶化了网络的安全性。

IP 网络采用统计复用和无连接操作寻址技术，它的网络安全属性可以归结为以下几点（如图1所示）：z 用户终端平行接入；z 用户终端具有高智能；z 信号传递通过的节点和节点之间的电路都不确定；图1 IP 网络的网络安全属性 可以看到，IP 网络具有比较差的网络安全性。

下面我们从管理和技术两方面分析IP 网络的安全性问题。

1) 管理方面 对于IP 网安全问题来说，“政策管理＋技术保障”应当是一个有效的解决模式。

但从整体上来说，我国目前还没有一个协调统一的政策体系，相关法律法规缺乏统一的立法思通过的节点和电路完全不确定 w .p t s n .n e t .c n3想与主旨，且多为规范性的行政规章，内容存在重复现象，立法的技术含量不足，缺乏较好的可操作性。

各种文件规定的监管手段基本以行政许可为主，缺少有效的事后监管机制和长效监管机制，导致相关的安全事件频频发生。

因此，管理上的漏洞也是目前我国IP 网存在风险的根源之一。

2) 技术方面IP 网的安全风险在技术方面的根源主要有以下几个方面：a. 电信新技术不断涌现，新业务层出不穷。

NGN 的引入，彻底打破了传统电信网根据不同业务网，分别建设、分别管理的传统思路，增加了网络的复杂性和不可控性。

此外，3G ，WiMAX ，IPTV 等新技术、新业务的引入，都有可能给IP 网的安全带来不确定因素。

尤其需要指出的是，随着宽带接入的普及，用户向网络侧发送信息的能力大大增强，导致每一个用户都有能力对网络发起威力较大的拒绝服务等攻击。

如果这些宽带被非法控制，组成僵尸网络群，其拒绝服务攻击的破坏力将会十分巨大。

b. 各类网络的不断融合互通。

传统的电信网络，如固定电话网或GSM 移动电话网，是一个封闭的环境。

外部的攻击者很难进入系统进行攻击。

因此在封闭性不被打破的条件下，传统电信网是安全的网络，是可信任的网络。

用户在使用时有很好的安全感，不会有随时随地受到安全威胁的感觉，用户可以放心使用。

但随着我国电信网络向IP 化的过渡和演进，这些封闭的环境将慢慢变得开放。

一方面，这种开放性使得外部的攻击者有了可乘之机；另一方面，由于传统电信网的封闭性，一些设计上的缺陷被封闭的环境掩盖起来，而这些缺陷在相对开放的环境下就极有可能显现出来。

目前，经过研究已经证实了传统的固定电话网采用的七号信令系统确实存在安全缺陷，难以在完全开放的环境中承受黑客的各种攻击。

传统电信网的业务网和支撑网是分离的，用户信息仅在业务网中传送。

信令网、网管网等支撑网与业务网隔离，完全由运营商控制，电信用户无法进入。

此外，每个用户都有一个唯一的号码，用户的身份是明确的。

这种机制有效地避免了电信用户非法进入网络控制系统，保障了网络安全。

但随着传统电信网与IP 网等多种网络的逐步融合，现在的电信网变得不安全。

与封闭的传统电信网相比，IP 网本质上是一种全球性、开放性、透明性的无边界网络。

目前，IP 网面对着包括病毒、木马、网络攻击、网络欺诈、不良信息传播等在内的各种各样的威胁。

同时，在IP 网这样一个虚拟社会里缺乏有效的奖惩措施，很难对各种行为进行溯源。

因此既不能达到鼓励行为自律，也不能对不良行为形成足够的威慑力，客观上纵容了网络犯罪。

网络溯源与分析技术虽然是一种很好的思路，但与网络攻击相比成本太高，且实现起来还有很多技术问题还无法解决。

c. IP 网的体系结构。

从IP 网体系结构来看，它更多地将网络应用的实现推向终端，其自身的安全保护能力有限，许多应用系统处于不设防或很少设防的状态。

IP 网自身的协议栈和组成软件存在先天脆弱性和很多技术漏洞，并非通过升级换代就可以简单解决。

当前的IP 网体系结构并不能很好地解决网络脆弱性的本质问题，安全系统自身的可靠性也没有保证。