◆李 健 楊云峰

（中國(guó)電信陜西公司 陜西 710075）

基于AHP對(duì)陜西電信IT安全技術(shù)體系的評(píng)價(jià)分析

◆李 健 楊云峰

（中國(guó)電信陜西公司 陜西 710075）

本文通過(guò)對(duì)陜西電信IT技術(shù)體系的介紹，結(jié)合實(shí)際情況給出了十六個(gè)量化指標(biāo)，運(yùn)用AHP（層次分析法）得到這些指標(biāo)的權(quán)重分布，通過(guò)評(píng)估分析說(shuō)明陜西電信IT安全技術(shù)體系達(dá)到優(yōu)良的程度，但有一些不足的地方，需要持續(xù)改進(jìn)，完善IT安全技術(shù)體系能力建設(shè)

AHP；IT安全技術(shù)體系；量化指標(biāo)

1 陜西電信IT安全概況

作為國(guó)內(nèi)最大的固網(wǎng)電信運(yùn)營(yíng)商來(lái)說(shuō)，隨著中國(guó)電信全業(yè)務(wù)運(yùn)營(yíng)戰(zhàn)略的推進(jìn)，IT系統(tǒng)(即CTG-MBOSS系統(tǒng)，由管理支撐系統(tǒng)MSS，業(yè)務(wù)支撐系統(tǒng)BSS，運(yùn)營(yíng)支撐系統(tǒng)OSS和企業(yè)數(shù)據(jù)架構(gòu)EDA組成) 已經(jīng)成為電信生產(chǎn)環(huán)節(jié)中不可或缺的一部分，IT系統(tǒng)的安全問(wèn)題也日趨重要。陜西電信 IT安全保障體系以CTG-MBOSS信息化架構(gòu)為基礎(chǔ)，是支撐企業(yè)IT安全建設(shè)和管理的基礎(chǔ)架構(gòu)。整個(gè)體系以 IT安全戰(zhàn)略為指導(dǎo)，將組織、策略、運(yùn)行、技術(shù)等安全各方面要素結(jié)合起來(lái)，通過(guò)安全管理制度的逐一落實(shí)，安全防護(hù)措施的統(tǒng)一部署，循序漸進(jìn)的構(gòu)建一個(gè)科學(xué)全面的信息安全保障體系，整體安全保障體系框架如圖1所示。

圖1 陜西電信IT安全保障體系框架圖

其中，安全策略體系總述了中國(guó)電信 IT安全的總體方針政策、演進(jìn)策略、標(biāo)準(zhǔn)和指南、以及各類實(shí)施細(xì)則組成。

安全組織體系定義了保障 IT安全策略有效執(zhí)行需要的角色和職責(zé)，為安全策略能夠貫徹實(shí)施的組織保障的保證，從職能上分為決策、管理和執(zhí)行類別。

安全運(yùn)行體系從IT系統(tǒng)生命周期和安全風(fēng)險(xiǎn)管控流程出發(fā)，從開(kāi)發(fā)、建設(shè)、維護(hù)、響應(yīng)和核查五個(gè)階段提出安全風(fēng)險(xiǎn)管控的要點(diǎn)，明確了不同階段安全防護(hù)的具體要求，涵蓋了風(fēng)險(xiǎn)管理、系統(tǒng)開(kāi)發(fā)建設(shè)、運(yùn)行維護(hù)、事件響應(yīng)、安全監(jiān)控和安全檢查等內(nèi)容。

技術(shù)體系是實(shí)現(xiàn)IT安全保障體系的重要手段，從物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全、數(shù)據(jù)安全和終端安全六個(gè)方面實(shí)現(xiàn)安全檢測(cè)與識(shí)別、安全防護(hù)、安全審計(jì)與恢復(fù)三大保障能力。

2 陜西電信IT安全技術(shù)體系介紹

結(jié)合陜西電信IT安全建設(shè)實(shí)際情況，陜西電信IT安全體系主要包括以下內(nèi)容：

應(yīng)用安全體系：包括應(yīng)用端口服務(wù)、應(yīng)用賬號(hào)安全和 Web應(yīng)用安全加固等。陜西電信通過(guò)4A平臺(tái)的建設(shè)，基本上將應(yīng)用賬號(hào)管理納入其范圍內(nèi)；定期的對(duì) IT系統(tǒng)進(jìn)行端口掃描以及滲透測(cè)試實(shí)現(xiàn)對(duì)應(yīng)用端口安全管理，Web應(yīng)用的安全漏洞得到遏制。

主機(jī)安全體系：主要包括主機(jī)賬號(hào)口令、主機(jī)端口服務(wù)和Windows主機(jī)防病毒管理等。陜西電信IT系統(tǒng)主機(jī)大部分已經(jīng)接入4A平臺(tái)，主機(jī)賬號(hào)和口令不能隨意修改，弱口令的事件大大減少。陜西電信建立一套以賽門鐵克防病毒系統(tǒng)，有效地遏制Windows主機(jī)病毒爆發(fā)。

網(wǎng)絡(luò)安全體系：主要包括網(wǎng)絡(luò)區(qū)域防護(hù)、網(wǎng)絡(luò)設(shè)備賬號(hào)口令、網(wǎng)絡(luò)設(shè)備端口服務(wù)、網(wǎng)絡(luò)設(shè)備安全防護(hù)和防火墻安全策略配置等。陜西電信通過(guò)DCN統(tǒng)一出口平臺(tái)建設(shè)，對(duì)IT系統(tǒng)外層網(wǎng)絡(luò)邊界進(jìn)行有效區(qū)域防護(hù)，主要包括城域網(wǎng)出口，涉及提供公網(wǎng)服務(wù)所有IT系統(tǒng)；電信業(yè)務(wù)出口，涉及IT系統(tǒng)與電信其它（短信平臺(tái)、IPTV平臺(tái)等）平臺(tái)信息交互；合作伙伴出口，涉及到電信合作企業(yè)（包括銀行、代理商等）與 IT系統(tǒng)信息交互。網(wǎng)絡(luò)設(shè)備管理也納入4A平臺(tái)，賬號(hào)及其口令要求定期清理，及時(shí)清理其中的不必要或不安全服務(wù)（如SNMP、FTP、HTTP等）。

安全審計(jì)體系：主要包括物理訪問(wèn)安全審計(jì)、主機(jī)訪問(wèn)權(quán)限審計(jì)、應(yīng)用訪問(wèn)權(quán)限審計(jì)、數(shù)據(jù)庫(kù)訪問(wèn)權(quán)限審計(jì)和應(yīng)用操作審計(jì)等。陜西電信有嚴(yán)格的機(jī)房訪問(wèn)審批流程，保證了物理訪問(wèn)安全審計(jì)的要求。4A平臺(tái)對(duì)應(yīng)用訪問(wèn)權(quán)限有一定的限制，數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)基本上覆蓋了80%的數(shù)據(jù)庫(kù)審計(jì)監(jiān)控。

雖然陜西 IT安全技術(shù)體系有了許多保障措施，但缺乏量化指標(biāo)對(duì)技術(shù)體系考核標(biāo)準(zhǔn)，結(jié)合陜西 IT實(shí)際情況和集團(tuán)規(guī)范文件，需要對(duì)上述技術(shù)體系進(jìn)行量化指標(biāo)分解，詳見(jiàn)下表：

表1 陜西電信IT安全技術(shù)體系指標(biāo)分解

?

基于以上研究，本文獲得了陜西電信IT安全技術(shù)體系中的十六個(gè)關(guān)鍵指標(biāo)評(píng)估因素，這就是陜西電信IT安全技術(shù)體系成熟度的評(píng)價(jià)系統(tǒng)，按照指標(biāo)體系內(nèi)容所建立的層次結(jié)構(gòu)見(jiàn)圖2。

圖2 陜西電信IT安全技體系評(píng)價(jià)模型層次圖

3 基于AHP對(duì)陜西電信IT安全技術(shù)體系的評(píng)價(jià)分析

3.1 AHP分析方法介紹

層次分析法：所謂層次分析法，是指將一個(gè)復(fù)雜的多目標(biāo)決策問(wèn)題作為一個(gè)系統(tǒng)，將目標(biāo)分解為多個(gè)目標(biāo)或準(zhǔn)則，進(jìn)而分解為多指標(biāo)（或準(zhǔn)則、約束）的若干層次，通過(guò)定性指標(biāo)模糊量化方法算出層次單排序（權(quán)數(shù)）和總排序，以作為目標(biāo)（多指標(biāo)）、多方案優(yōu)化決策的系統(tǒng)方法，稱為層次分析法，簡(jiǎn)稱AHP。層次分析法是將決策問(wèn)題按總目標(biāo)、各層子目標(biāo)、評(píng)價(jià)準(zhǔn)則直至具體的備投方案的順序分解為不同的層次結(jié)構(gòu)，然后得用求解判斷矩陣特征向量的辦法，求得每一層次的各元素對(duì)上一層次某元素的優(yōu)先權(quán)重，最后再加權(quán)和的方法遞階歸并各備擇方案對(duì)總目標(biāo)的最終權(quán)重，此最終權(quán)重最大者即為最優(yōu)方案。這里所謂“優(yōu)先權(quán)重”是一種相對(duì)的量度，它表明各備擇方案在某一特點(diǎn)的評(píng)價(jià)準(zhǔn)則或子目標(biāo)，標(biāo)下優(yōu)越程度的相對(duì)量度，以及各子目標(biāo)對(duì)上一層目標(biāo)而言重要程度的相對(duì)量度。層次分析法比較適合于具有分層交錯(cuò)評(píng)價(jià)指標(biāo)的目標(biāo)系統(tǒng)，而且目標(biāo)值又難于定量描述的決策問(wèn)題。其用法是構(gòu)造判斷矩陣，求出其最大特征值。及其所對(duì)應(yīng)的特征向量W，歸一化后，即為某一層次指標(biāo)對(duì)于上一層次某相關(guān)指標(biāo)的相對(duì)重要性權(quán)值。運(yùn)用 AHP方法，大體可分為以下三個(gè)步驟：

步驟1：分析系統(tǒng)中各因素間的關(guān)系，對(duì)同一層次各元素關(guān)于上一層次中某一準(zhǔn)則的重要性進(jìn)行兩兩比較，構(gòu)造兩兩比較的判斷矩陣；

步驟2：由判斷矩陣計(jì)算被比較元素對(duì)于該準(zhǔn)則的相對(duì)權(quán)重，并進(jìn)行判斷矩陣的一致性檢驗(yàn); 判斷矩陣的一致性指標(biāo)，其中的值越小，一致性程度越高：平均隨機(jī)一致性指標(biāo)RI值通過(guò)查表求得，隨機(jī)一致性比率CR=(CI／RI)〈0．1即可認(rèn)為判斷矩陣具有滿意一致性，否則就需要調(diào)整判斷矩陣；

步驟3：計(jì)算各層次對(duì)于系統(tǒng)的總排序權(quán)重，并進(jìn)行排序。最后，得到各方案對(duì)于總目標(biāo)的總排序。

3.2 各個(gè)指標(biāo)的權(quán)重計(jì)算過(guò)程

針對(duì)陜西電信IT安全技術(shù)體系指標(biāo)分解結(jié)果，其成熟度評(píng)價(jià)模型公式為：Ω=A1*指標(biāo)項(xiàng)1+A2*指標(biāo)項(xiàng)2+A3*指標(biāo)項(xiàng)3+……+An*指標(biāo)項(xiàng)n

A1*指標(biāo)項(xiàng) 1+A2*指標(biāo)項(xiàng)2+A3*指標(biāo)項(xiàng)3+……+An*指標(biāo)項(xiàng);其中A1，A2，A3……An 代表每個(gè)指標(biāo)項(xiàng)的權(quán)重，其和=1.下面看看通過(guò) AHP計(jì)算主觀指標(biāo)權(quán)重具體過(guò)程，本文認(rèn)為這些指標(biāo)要素在陜西電信的 IT安全技術(shù)體系中的重要程度是不同的，這些指標(biāo)要素對(duì)陜西電信的IT安全技術(shù)體系影響程度也是不同的。所以，本文利用均勻性和擬合度都比較好的“”標(biāo)度來(lái)構(gòu)造判斷矩陣，判斷矩陣主要是利用專家或者個(gè)人的判斷比較出兩因素之間的重要性程度，判斷矩陣的標(biāo)度方法見(jiàn)表2。

表2 標(biāo)度定義

e = 4 . 9 5 3 0 8 5兩指標(biāo)相比，一個(gè)比另一個(gè)極端重要e，1 5 e，3 5 e，5 5 e 介于上述兩相鄰判斷標(biāo)度中間7 5

假設(shè)A1=審計(jì)安全，A2=主機(jī)安全，A3=應(yīng)用安全，A4=網(wǎng)絡(luò)安全；Ω= 陜西電信IT安全技術(shù)體系；□1～ □16為各個(gè)指標(biāo)項(xiàng)。

最終各個(gè)層級(jí)的判斷矩陣如下：

經(jīng)過(guò)歸一化計(jì)算以及隨機(jī)一致性比率CR檢驗(yàn)得到□1～□16對(duì)Ω的權(quán)重分布，見(jiàn)表3。

表3 陜西電信IT安全技術(shù)體系量化指標(biāo)權(quán)重表

W e b應(yīng)用常見(jiàn)漏洞加固 0 . 1 3 3 7網(wǎng)絡(luò)設(shè)備賬號(hào)口令 0 . 0 7 0 6網(wǎng)絡(luò)區(qū)域防護(hù) 0 . 0 4 9 8網(wǎng)絡(luò)設(shè)備安全防護(hù) 0 . 0 6 0 8網(wǎng)絡(luò)設(shè)備端口服務(wù) 0 . 0 7 8 0

3.3 分析評(píng)價(jià)

根據(jù)技術(shù)專家對(duì)各個(gè)指標(biāo)項(xiàng)實(shí)際考察評(píng)估，最終對(duì)□1～ □16的得分情況為（85，98，85，80，60，0，85，85，95，85，80，87，97，60，88，84）與□1～ □16各項(xiàng)權(quán)重加權(quán)平均后，最終陜西電信IT安全技術(shù)體系評(píng)估分=80.11，基本上達(dá)到優(yōu)良程度。

從各項(xiàng)指標(biāo)得分情況來(lái)看，有些指標(biāo)項(xiàng)得分較高，比如網(wǎng)絡(luò)設(shè)備賬號(hào)口令管理得分97，說(shuō)明陜西IT網(wǎng)絡(luò)設(shè)備賬號(hào)管理基本上全部納入4A平臺(tái)，達(dá)到指標(biāo)考核要求；有些指標(biāo)項(xiàng)為優(yōu)良，比如數(shù)據(jù)庫(kù)審計(jì)得分85，說(shuō)明陜西電信IT數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)只覆蓋了ORACLE數(shù)據(jù)庫(kù)，其他比如DB2、MYSQL等都沒(méi)有覆蓋到。有些指標(biāo)項(xiàng)僅僅剛剛及格，比如網(wǎng)絡(luò)區(qū)域防護(hù)得分60，說(shuō)明陜西電信IT網(wǎng)絡(luò)區(qū)域防護(hù)的不夠全面，僅僅做到是邊界區(qū)域防護(hù)，IT內(nèi)部系統(tǒng)缺乏安全域劃分，導(dǎo)致MSS域、OSS域、BSS域之間互通，沒(méi)有安全措施對(duì) IT系統(tǒng)內(nèi)部實(shí)施有效保障；有些指標(biāo)項(xiàng)得分為0，比如主機(jī)補(bǔ)丁管理，說(shuō)明陜西電信IT缺失補(bǔ)丁管理系統(tǒng)，急需加快此系統(tǒng)建設(shè)步伐。

4 結(jié)束語(yǔ)

綜上所述，本文在陜西電信IT安全保障體系模型框架基礎(chǔ)上，通過(guò)AHP分析方法闡述了一個(gè)可持續(xù)改進(jìn)的陜西電信IT安全技術(shù)體系能力評(píng)價(jià)模型，找出一套合理的評(píng)價(jià)方法對(duì)安全技術(shù)體系建設(shè)成效進(jìn)行公正有效的考量和評(píng)價(jià)，通過(guò)評(píng)價(jià)分析，說(shuō)明陜西電信IT安全技術(shù)體系有哪些需要持續(xù)改進(jìn)的地方，對(duì)陜西電信IT安全技術(shù)體系能力建設(shè)的推進(jìn)工作有一定促進(jìn)作用。

[1]王一帆，熊桂喜．基于AHP算法的系統(tǒng)性能衰退檢測(cè)方法的研究UJ．微計(jì)算機(jī)信息，2010．

[2]李?。贗TIL的陜西電信IT服務(wù)管理研究西安電子科技大學(xué)，2011．

[3]華汪明，張新躍，黃禮蓮，高儒振．電信IT安全保障能力評(píng)價(jià)模型與基線達(dá)標(biāo)體系研究．電信科學(xué)，2012．

[4]中國(guó)電信〔2010〕920 號(hào)文件．關(guān)于印發(fā)中國(guó)電信CTG-MBOSS 安全基線達(dá)標(biāo)管理暫行辦法的通知．