毛新月+潘平+朱璇

（貴州大學(xué) 計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院， 貴州 貴陽 550025）

摘 要：為了實(shí)現(xiàn)信息安全風(fēng)險(xiǎn)評(píng)估的關(guān)鍵目標(biāo)，從教學(xué)組織的角度，對(duì)信息載體的評(píng)估指標(biāo)體系、檢查項(xiàng)、檢查點(diǎn)以及如何實(shí)現(xiàn)現(xiàn)場檢查及其風(fēng)險(xiǎn)進(jìn)行分析，構(gòu)建課堂教學(xué)，同時(shí)以賬戶策略設(shè)置情況為例，提出將課堂教學(xué)轉(zhuǎn)化為具體的分析問題和解決問題的認(rèn)識(shí)論和方法論，既強(qiáng)調(diào)對(duì)具體問題的分析，又用實(shí)例解決具體問題，最后說明近兩年的教學(xué)實(shí)踐和取得的良好效果。

關(guān)鍵詞：信息載體；主機(jī)安全；風(fēng)險(xiǎn)評(píng)估；教學(xué)

0 引 言

信息安全事件的頻繁發(fā)生，不僅對(duì)網(wǎng)絡(luò)管理人員的專業(yè)素質(zhì)和技能要求越來越高，而且對(duì)信息載體的安全策略配置要求更加嚴(yán)格，以此確保信息載體在整個(gè)信息系統(tǒng)中的安全性。如何有效、快捷地對(duì)信息載體進(jìn)行安全檢查評(píng)估，使學(xué)生掌握安全檢查的步驟和科學(xué)的分析方法，就需要通過多媒體工具的充分把握與應(yīng)用，在教學(xué)的過程中將實(shí)像具體展示給學(xué)生，使學(xué)生通過理論解釋和實(shí)像理解，有機(jī)地將風(fēng)險(xiǎn)評(píng)估理論知識(shí)與社會(huì)實(shí)踐操作相結(jié)合；通過課堂教學(xué)掌握理論與實(shí)際應(yīng)用，掌握對(duì)具體問題的分析和解決能力。

信息載體安全風(fēng)險(xiǎn)評(píng)估教學(xué)以國家評(píng)估標(biāo)準(zhǔn)[1]為依據(jù)、以具體實(shí)踐操作為主要內(nèi)容，有效地將理論和實(shí)際相結(jié)合，從而避免培養(yǎng)出脫離社會(huì)實(shí)踐的人才。因此，構(gòu)建信息載體安全風(fēng)險(xiǎn)評(píng)估的教學(xué)內(nèi)容是一個(gè)復(fù)雜的過程，既需要教師有深厚的專業(yè)知識(shí)和嫻熟的操作技能，又需要深厚的科學(xué)理論知識(shí)與豐富的信息安全管理實(shí)踐能力[2]。信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估是對(duì)信息系統(tǒng)潛在的安全風(fēng)險(xiǎn)所進(jìn)行的一系列安全檢測活動(dòng)[3]，它涉及信息系統(tǒng)的社會(huì)行為、管理行為、物理行為、邏輯行為等的保密性、完整性和可用性檢測。

1 信息載體安全風(fēng)險(xiǎn)及評(píng)價(jià)指標(biāo)

信息載體是信息或數(shù)據(jù)在存儲(chǔ)、處理、分析過程中所依附的硬件或軟件設(shè)備，它是整個(gè)信息系統(tǒng)安全評(píng)估的核心，是信息系統(tǒng)安全保護(hù)的重點(diǎn)，也是安全檢查評(píng)估的重點(diǎn)，因此，對(duì)信息載體安全評(píng)估是整個(gè)風(fēng)險(xiǎn)評(píng)估的重中之重。信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估是一項(xiàng)長期的、復(fù)雜的動(dòng)態(tài)過程[4]。風(fēng)險(xiǎn)評(píng)估是從管理的角度對(duì)資產(chǎn)的機(jī)密性、完整性和可靠性進(jìn)行綜合性檢查、評(píng)估，分析可能面臨的各種風(fēng)險(xiǎn)，以保障系統(tǒng)的有效可靠運(yùn)行。

根據(jù)風(fēng)險(xiǎn)評(píng)估的標(biāo)準(zhǔn)規(guī)范和基本要求，結(jié)合社會(huì)實(shí)踐的具體操作過程，完善信息載體（主機(jī)）安全檢查的操作步驟，合理有效地設(shè)計(jì)檢查流程，是安全檢查評(píng)估有效可靠的前提。在整個(gè)教學(xué)課程中，采用“理論解釋+多媒體教學(xué)”的具體操作方式，即通過多媒體工具，直觀地向?qū)W生展示信息載體風(fēng)險(xiǎn)評(píng)估的理論知識(shí)、檢查方法和操作過程。這樣不僅達(dá)到理論分析與策略配置操作的互動(dòng)，也達(dá)到理論與社會(huì)實(shí)踐相結(jié)合的一體化教學(xué)模式：既豐富教學(xué)內(nèi)容，又使學(xué)生在教學(xué)過程中身臨其境[5]。

信息載體安全檢查是信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的關(guān)鍵對(duì)象，它對(duì)信息載體上運(yùn)行的各種操作指令進(jìn)行現(xiàn)場檢查，以發(fā)現(xiàn)信息載體安全運(yùn)行過程中的安全狀態(tài)為目標(biāo)，以消除信息載體潛在的風(fēng)險(xiǎn)隱患為目的。

在實(shí)踐過程中，信息載體的安全配置策略存在諸多問題，給信息系統(tǒng)帶來一定的安全風(fēng)險(xiǎn)，如設(shè)備資源占有率高，易造成系統(tǒng)出現(xiàn)拒絕服務(wù)現(xiàn)象；身份認(rèn)證采用默認(rèn)設(shè)置，易造成非法訪問信息系統(tǒng)；訪問控制策略設(shè)置不當(dāng)，易造成數(shù)據(jù)泄露。因?yàn)檫@些安全風(fēng)險(xiǎn)的存在，所以對(duì)信息載體安全的評(píng)估變得尤為重要。

終端PC機(jī)通常采用是自主保護(hù)級(jí)[6]的安全保護(hù)模式——以用戶自主決定的資源進(jìn)行保護(hù)——是最低級(jí)保護(hù)模式，所以存在嚴(yán)重的系統(tǒng)漏洞和脆弱性。正是這一原因，在課堂教學(xué)中，利用這一資源加以理解、說明和解釋，顯得更具有說服力。然而，基于第三級(jí)等級(jí)保護(hù)下的信息載體，采用強(qiáng)制安全保護(hù)方式，目的是確保信息載體的安全設(shè)置與安全等級(jí)相匹配。因此，通常意義上的安全風(fēng)險(xiǎn)評(píng)估是依據(jù)三級(jí)等級(jí)保護(hù)的標(biāo)準(zhǔn)來進(jìn)行的安全檢查項(xiàng)和設(shè)置。通過對(duì)相關(guān)標(biāo)準(zhǔn)的理解和具體實(shí)踐，不難發(fā)現(xiàn)信息載體安全測評(píng)包含7個(gè)檢測項(xiàng)和56個(gè)檢測點(diǎn)。但是，在實(shí)際檢測過程中，將惡意代碼防范檢測與入侵防范進(jìn)行合并，對(duì)于信息載體安全策略的檢查可以從身份鑒別、訪問控制、安全審計(jì)、入侵防范、資源控制和剩余信息保護(hù)六個(gè)一級(jí)指標(biāo)進(jìn)行檢查，實(shí)際操作落實(shí)到對(duì)二級(jí)指標(biāo)的操作和檢查。信息載體安全評(píng)價(jià)指標(biāo)體系如圖1所示。

身份鑒別是檢查信息載體的第一步操作，是安全檢測的核心，其他指標(biāo)的檢測均是在身份鑒別的基礎(chǔ)上展開的，缺乏身份鑒別的檢測將會(huì)對(duì)信息系統(tǒng)安全造成重大的影響。

訪問控制是和身份鑒別檢查同樣重要的第二步操作，如果沒有設(shè)置合適的訪問控制策略，用戶繞過身份鑒別即可對(duì)操作系統(tǒng)信息進(jìn)行任意的增/刪/改/查等操作，因此會(huì)破壞操作系統(tǒng)信息的機(jī)密性、完整性和可用性。

安全審計(jì)是檢查信息載體對(duì)重要的用戶、資源、系統(tǒng)命令等進(jìn)行審計(jì)，還可以根據(jù)系統(tǒng)審計(jì)功能記錄相關(guān)事件發(fā)生的信息，以便在出現(xiàn)安全事件的時(shí)候可以有跡可尋。

入侵防范是檢查系統(tǒng)對(duì)是否安裝入侵軟件進(jìn)行實(shí)時(shí)主動(dòng)監(jiān)視，并具有對(duì)入侵事件進(jìn)行記錄和報(bào)警的功能。

資源控制是檢查系統(tǒng)對(duì)用戶訪問系統(tǒng)資源的情況進(jìn)行限制以及對(duì)CPU、硬盤、內(nèi)存和網(wǎng)絡(luò)等資源的使用情況進(jìn)行監(jiān)控。

剩余信息保護(hù)是檢查用戶鑒別信息和系統(tǒng)重要信息所在的存儲(chǔ)空間，在再分配給其他用戶的時(shí)候是否被完全清除。

2 課堂教學(xué)方案的構(gòu)建

根據(jù)圖1的信息載體安全評(píng)價(jià)指標(biāo)體系，我們很容易構(gòu)建實(shí)現(xiàn)課堂教學(xué)的課堂教學(xué)方案。

（1）構(gòu)建實(shí)現(xiàn)課堂教學(xué)目標(biāo)的總體框架—教學(xué)目標(biāo)—信息載體風(fēng)險(xiǎn)評(píng)估規(guī)范基本要求解讀—二級(jí)指標(biāo)解讀，從而實(shí)現(xiàn)理論教學(xué)的目的。

（2）信息載體—多媒體—潛在安全風(fēng)險(xiǎn)與表現(xiàn)形式—解讀—構(gòu)建檢查評(píng)估表及檢查流程，如圖2所示。

信息載體安全檢查是根據(jù)數(shù)據(jù)輸入情況（前期調(diào)查數(shù)據(jù)和現(xiàn)場檢查數(shù)據(jù)作為整體輸入），對(duì)信息載體采取的安全措施進(jìn)行總結(jié)，分析信息載體存在的安全問題，初步給出信息載體的安全建議，然后對(duì)數(shù)據(jù)再進(jìn)行詳細(xì)的風(fēng)險(xiǎn)分析，輸出信息載體的風(fēng)險(xiǎn)結(jié)果。

（3）構(gòu)建詳細(xì)的安全檢查步驟。以社會(huì)實(shí)踐的操作過程為基礎(chǔ)來設(shè)計(jì)具體檢測服務(wù)器操作系統(tǒng)檢查點(diǎn)的路徑，服務(wù)器操作系統(tǒng)安全配置的具體檢查點(diǎn)檢查步驟如圖3所示。

物理檢查是第一步，它表明了信息載體的可用性。信息載體包含的服務(wù)器和終端設(shè)備的操作系統(tǒng)是檢查的重點(diǎn)。在實(shí)際操作過程中，一般不根據(jù)檢測項(xiàng)來完成每個(gè)檢測點(diǎn)的檢查，而是將各個(gè)檢測項(xiàng)進(jìn)行相互融合，找出最有效的檢測路徑。

（4）分析信息載體面臨的潛在威脅利誘—威脅源分析—可能導(dǎo)致的安全事件—安全事件可能造成的損失。

在信息載體的風(fēng)險(xiǎn)評(píng)估教學(xué)中，以檢查項(xiàng)為基準(zhǔn)，以檢查點(diǎn)為具體內(nèi)容，對(duì)信息載體進(jìn)行檢查評(píng)估。在這個(gè)過程中，可以培養(yǎng)學(xué)生將理論運(yùn)用到實(shí)際的能力、與人溝通交流的能力、安全技術(shù)管理的能力以及使用相應(yīng)檢測工具的能力。

3 實(shí)例分析

以主機(jī)檢測中身份鑒別的賬戶策略為例來進(jìn)行說明，分析在實(shí)際風(fēng)險(xiǎn)評(píng)估過程中主機(jī)安全檢查的具體操作過程。通過分析密碼策略、賬戶鎖定策略和審核策略在系統(tǒng)默認(rèn)狀態(tài)下的設(shè)置、推薦使用值以及通常情況下的檢查結(jié)果進(jìn)行對(duì)比，分析在這種檢查結(jié)果下存在的安全隱患。對(duì)于密碼策略的設(shè)置及服務(wù)器密碼策略的設(shè)置，檢查結(jié)果對(duì)主機(jī)安全的影響見表1。

賬戶鎖定策略的設(shè)置是賬戶在受到采用字典攻擊或者暴力破解方式的在線自動(dòng)登錄攻擊等，系統(tǒng)為保護(hù)該賬戶而將賬戶進(jìn)行鎖定，使其在一定時(shí)間內(nèi)無法再次使用此賬戶，此時(shí)合法用戶也將無法使用。雖然鎖定用戶賬戶常常會(huì)造成一些不便，但系統(tǒng)的安全有時(shí)更為重要。對(duì)于賬戶鎖定策略的設(shè)置及服務(wù)器賬戶鎖定策略設(shè)置的檢查結(jié)果對(duì)主機(jī)安全的影響見表2。對(duì)于審核策略的設(shè)置及服務(wù)器審核策略設(shè)置的檢查結(jié)果對(duì)主機(jī)安全的影響見表3。

通過對(duì)賬戶策略的分析、講解與實(shí)際操作的演示，使學(xué)生了解如何進(jìn)行密碼策略、賬戶鎖定策略以及審核策略的設(shè)置，了解每項(xiàng)策略設(shè)置值的意義以及可能存在的安全隱患，從而有效減少賬戶策略帶來的安全隱患。

4 結(jié) 語

通過對(duì)信息載體風(fēng)險(xiǎn)評(píng)估內(nèi)的教學(xué)設(shè)計(jì)及其具體教學(xué)過程，不僅要讓學(xué)生懂得如何對(duì)檢測點(diǎn)進(jìn)行安全檢查操作，而且掌握如何解決在風(fēng)險(xiǎn)評(píng)估過程中遇到的問題。信息載體安全風(fēng)險(xiǎn)評(píng)估課堂教學(xué)設(shè)計(jì)既可實(shí)現(xiàn)課程教學(xué)的目標(biāo)，又能結(jié)合具體情況，培養(yǎng)學(xué)生分析問題、解決問題的能力，培養(yǎng)學(xué)生實(shí)際動(dòng)手操作的能力以及與人溝通交流的能力，將學(xué)生培養(yǎng)成運(yùn)用型、實(shí)踐型、操作型人才，使得學(xué)生能夠適應(yīng)現(xiàn)代化多元發(fā)展的社會(huì)。

基金項(xiàng)目：國家社科基金培育項(xiàng)目（GDPY2015047）；貴州省教育廳自然科學(xué)研究項(xiàng)目（黔教合KY字（2015）367號(hào)）；貴州省高等學(xué)校教學(xué)內(nèi)容和課程體系改革（重點(diǎn)）項(xiàng)目（SJJG201404）；安順學(xué)院航空電子電氣與信息網(wǎng)絡(luò)貴州省高校工程技術(shù)研究中心開放項(xiàng)目（HKDZ201406）。

作者簡介：毛新月，女，在讀碩士生，研究方向?yàn)樾畔踩芾砼c取證，732370598@qq.com；

潘平（通信作者），男，副教授，研究方向?yàn)樾畔踩芾砼c取證，panping_17@163.com。

參考文獻(xiàn)：

[1]中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局， 中國國家標(biāo)準(zhǔn)化管理委員會(huì). 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范[S]. 北京： 中國標(biāo)準(zhǔn)出版社， 2008.

[2]潘平， 毛新月， 周惠玲.信息安全風(fēng)險(xiǎn)評(píng)估課程結(jié)構(gòu)體系研究[J]. 計(jì)算機(jī)教育， 2015（17）： 43-46.

[3]吳曉平， 付鈺編. 信息安全風(fēng)險(xiǎn)評(píng)估教程[M]. 武漢： 武漢大學(xué)出版社， 2011： 15-17.

[4]潘平， 楊平， 羅東梅， 等. 信息系統(tǒng)安全風(fēng)險(xiǎn)檢查評(píng)估實(shí)踐教學(xué)探討[EB/OL].[2016-09-08]. http：//cpfd.cnki.com.cn/Article/CPFDTOTAL-TTTT201108002028.htm.

[5]周惠玲， 毛新月. 信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的教學(xué)結(jié)構(gòu)體系[J]. 安順學(xué)院學(xué)報(bào)， 2015， 17（4）： 121-122.

[6]中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局， 中國國家標(biāo)準(zhǔn)化管理委員會(huì). 信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求[S]. 北京： 中國標(biāo)準(zhǔn)出版社， 2008.

（編輯：史志偉）