毛新月+潘平+朱璇

（貴州大學(xué) 計算機科學(xué)與技術(shù)學(xué)院， 貴州 貴陽 550025）

摘 要：為了實現(xiàn)信息安全風(fēng)險評估的關(guān)鍵目標(biāo)，從教學(xué)組織的角度，對信息載體的評估指標(biāo)體系、檢查項、檢查點以及如何實現(xiàn)現(xiàn)場檢查及其風(fēng)險進(jìn)行分析，構(gòu)建課堂教學(xué)，同時以賬戶策略設(shè)置情況為例，提出將課堂教學(xué)轉(zhuǎn)化為具體的分析問題和解決問題的認(rèn)識論和方法論，既強調(diào)對具體問題的分析，又用實例解決具體問題，最后說明近兩年的教學(xué)實踐和取得的良好效果。

關(guān)鍵詞：信息載體；主機安全；風(fēng)險評估；教學(xué)

0 引 言

信息安全事件的頻繁發(fā)生，不僅對網(wǎng)絡(luò)管理人員的專業(yè)素質(zhì)和技能要求越來越高，而且對信息載體的安全策略配置要求更加嚴(yán)格，以此確保信息載體在整個信息系統(tǒng)中的安全性。如何有效、快捷地對信息載體進(jìn)行安全檢查評估，使學(xué)生掌握安全檢查的步驟和科學(xué)的分析方法，就需要通過多媒體工具的充分把握與應(yīng)用，在教學(xué)的過程中將實像具體展示給學(xué)生，使學(xué)生通過理論解釋和實像理解，有機地將風(fēng)險評估理論知識與社會實踐操作相結(jié)合；通過課堂教學(xué)掌握理論與實際應(yīng)用，掌握對具體問題的分析和解決能力。

信息載體安全風(fēng)險評估教學(xué)以國家評估標(biāo)準(zhǔn)[1]為依據(jù)、以具體實踐操作為主要內(nèi)容，有效地將理論和實際相結(jié)合，從而避免培養(yǎng)出脫離社會實踐的人才。因此，構(gòu)建信息載體安全風(fēng)險評估的教學(xué)內(nèi)容是一個復(fù)雜的過程，既需要教師有深厚的專業(yè)知識和嫻熟的操作技能，又需要深厚的科學(xué)理論知識與豐富的信息安全管理實踐能力[2]。信息系統(tǒng)安全風(fēng)險評估是對信息系統(tǒng)潛在的安全風(fēng)險所進(jìn)行的一系列安全檢測活動[3]，它涉及信息系統(tǒng)的社會行為、管理行為、物理行為、邏輯行為等的保密性、完整性和可用性檢測。

1 信息載體安全風(fēng)險及評價指標(biāo)

信息載體是信息或數(shù)據(jù)在存儲、處理、分析過程中所依附的硬件或軟件設(shè)備，它是整個信息系統(tǒng)安全評估的核心，是信息系統(tǒng)安全保護(hù)的重點，也是安全檢查評估的重點，因此，對信息載體安全評估是整個風(fēng)險評估的重中之重。信息系統(tǒng)安全風(fēng)險評估是一項長期的、復(fù)雜的動態(tài)過程[4]。風(fēng)險評估是從管理的角度對資產(chǎn)的機密性、完整性和可靠性進(jìn)行綜合性檢查、評估，分析可能面臨的各種風(fēng)險，以保障系統(tǒng)的有效可靠運行。

根據(jù)風(fēng)險評估的標(biāo)準(zhǔn)規(guī)范和基本要求，結(jié)合社會實踐的具體操作過程，完善信息載體（主機）安全檢查的操作步驟，合理有效地設(shè)計檢查流程，是安全檢查評估有效可靠的前提。在整個教學(xué)課程中，采用“理論解釋+多媒體教學(xué)”的具體操作方式，即通過多媒體工具，直觀地向?qū)W生展示信息載體風(fēng)險評估的理論知識、檢查方法和操作過程。這樣不僅達(dá)到理論分析與策略配置操作的互動，也達(dá)到理論與社會實踐相結(jié)合的一體化教學(xué)模式：既豐富教學(xué)內(nèi)容，又使學(xué)生在教學(xué)過程中身臨其境[5]。

信息載體安全檢查是信息系統(tǒng)風(fēng)險評估的關(guān)鍵對象，它對信息載體上運行的各種操作指令進(jìn)行現(xiàn)場檢查，以發(fā)現(xiàn)信息載體安全運行過程中的安全狀態(tài)為目標(biāo)，以消除信息載體潛在的風(fēng)險隱患為目的。

在實踐過程中，信息載體的安全配置策略存在諸多問題，給信息系統(tǒng)帶來一定的安全風(fēng)險，如設(shè)備資源占有率高，易造成系統(tǒng)出現(xiàn)拒絕服務(wù)現(xiàn)象；身份認(rèn)證采用默認(rèn)設(shè)置，易造成非法訪問信息系統(tǒng)；訪問控制策略設(shè)置不當(dāng)，易造成數(shù)據(jù)泄露。因為這些安全風(fēng)險的存在，所以對信息載體安全的評估變得尤為重要。

終端PC機通常采用是自主保護(hù)級[6]的安全保護(hù)模式——以用戶自主決定的資源進(jìn)行保護(hù)——是最低級保護(hù)模式，所以存在嚴(yán)重的系統(tǒng)漏洞和脆弱性。正是這一原因，在課堂教學(xué)中，利用這一資源加以理解、說明和解釋，顯得更具有說服力。然而，基于第三級等級保護(hù)下的信息載體，采用強制安全保護(hù)方式，目的是確保信息載體的安全設(shè)置與安全等級相匹配。因此，通常意義上的安全風(fēng)險評估是依據(jù)三級等級保護(hù)的標(biāo)準(zhǔn)來進(jìn)行的安全檢查項和設(shè)置。通過對相關(guān)標(biāo)準(zhǔn)的理解和具體實踐，不難發(fā)現(xiàn)信息載體安全測評包含7個檢測項和56個檢測點。但是，在實際檢測過程中，將惡意代碼防范檢測與入侵防范進(jìn)行合并，對于信息載體安全策略的檢查可以從身份鑒別、訪問控制、安全審計、入侵防范、資源控制和剩余信息保護(hù)六個一級指標(biāo)進(jìn)行檢查，實際操作落實到對二級指標(biāo)的操作和檢查。信息載體安全評價指標(biāo)體系如圖1所示。

身份鑒別是檢查信息載體的第一步操作，是安全檢測的核心，其他指標(biāo)的檢測均是在身份鑒別的基礎(chǔ)上展開的，缺乏身份鑒別的檢測將會對信息系統(tǒng)安全造成重大的影響。

訪問控制是和身份鑒別檢查同樣重要的第二步操作，如果沒有設(shè)置合適的訪問控制策略，用戶繞過身份鑒別即可對操作系統(tǒng)信息進(jìn)行任意的增/刪/改/查等操作，因此會破壞操作系統(tǒng)信息的機密性、完整性和可用性。

安全審計是檢查信息載體對重要的用戶、資源、系統(tǒng)命令等進(jìn)行審計，還可以根據(jù)系統(tǒng)審計功能記錄相關(guān)事件發(fā)生的信息，以便在出現(xiàn)安全事件的時候可以有跡可尋。

入侵防范是檢查系統(tǒng)對是否安裝入侵軟件進(jìn)行實時主動監(jiān)視，并具有對入侵事件進(jìn)行記錄和報警的功能。

資源控制是檢查系統(tǒng)對用戶訪問系統(tǒng)資源的情況進(jìn)行限制以及對CPU、硬盤、內(nèi)存和網(wǎng)絡(luò)等資源的使用情況進(jìn)行監(jiān)控。

剩余信息保護(hù)是檢查用戶鑒別信息和系統(tǒng)重要信息所在的存儲空間，在再分配給其他用戶的時候是否被完全清除。

2 課堂教學(xué)方案的構(gòu)建

根據(jù)圖1的信息載體安全評價指標(biāo)體系，我們很容易構(gòu)建實現(xiàn)課堂教學(xué)的課堂教學(xué)方案。

（1）構(gòu)建實現(xiàn)課堂教學(xué)目標(biāo)的總體框架—教學(xué)目標(biāo)—信息載體風(fēng)險評估規(guī)范基本要求解讀—二級指標(biāo)解讀，從而實現(xiàn)理論教學(xué)的目的。

（2）信息載體—多媒體—潛在安全風(fēng)險與表現(xiàn)形式—解讀—構(gòu)建檢查評估表及檢查流程，如圖2所示。

信息載體安全檢查是根據(jù)數(shù)據(jù)輸入情況（前期調(diào)查數(shù)據(jù)和現(xiàn)場檢查數(shù)據(jù)作為整體輸入），對信息載體采取的安全措施進(jìn)行總結(jié)，分析信息載體存在的安全問題，初步給出信息載體的安全建議，然后對數(shù)據(jù)再進(jìn)行詳細(xì)的風(fēng)險分析，輸出信息載體的風(fēng)險結(jié)果。

（3）構(gòu)建詳細(xì)的安全檢查步驟。以社會實踐的操作過程為基礎(chǔ)來設(shè)計具體檢測服務(wù)器操作系統(tǒng)檢查點的路徑，服務(wù)器操作系統(tǒng)安全配置的具體檢查點檢查步驟如圖3所示。

物理檢查是第一步，它表明了信息載體的可用性。信息載體包含的服務(wù)器和終端設(shè)備的操作系統(tǒng)是檢查的重點。在實際操作過程中，一般不根據(jù)檢測項來完成每個檢測點的檢查，而是將各個檢測項進(jìn)行相互融合，找出最有效的檢測路徑。

（4）分析信息載體面臨的潛在威脅利誘—威脅源分析—可能導(dǎo)致的安全事件—安全事件可能造成的損失。

在信息載體的風(fēng)險評估教學(xué)中，以檢查項為基準(zhǔn)，以檢查點為具體內(nèi)容，對信息載體進(jìn)行檢查評估。在這個過程中，可以培養(yǎng)學(xué)生將理論運用到實際的能力、與人溝通交流的能力、安全技術(shù)管理的能力以及使用相應(yīng)檢測工具的能力。

3 實例分析

以主機檢測中身份鑒別的賬戶策略為例來進(jìn)行說明，分析在實際風(fēng)險評估過程中主機安全檢查的具體操作過程。通過分析密碼策略、賬戶鎖定策略和審核策略在系統(tǒng)默認(rèn)狀態(tài)下的設(shè)置、推薦使用值以及通常情況下的檢查結(jié)果進(jìn)行對比，分析在這種檢查結(jié)果下存在的安全隱患。對于密碼策略的設(shè)置及服務(wù)器密碼策略的設(shè)置，檢查結(jié)果對主機安全的影響見表1。

賬戶鎖定策略的設(shè)置是賬戶在受到采用字典攻擊或者暴力破解方式的在線自動登錄攻擊等，系統(tǒng)為保護(hù)該賬戶而將賬戶進(jìn)行鎖定，使其在一定時間內(nèi)無法再次使用此賬戶，此時合法用戶也將無法使用。雖然鎖定用戶賬戶常常會造成一些不便，但系統(tǒng)的安全有時更為重要。對于賬戶鎖定策略的設(shè)置及服務(wù)器賬戶鎖定策略設(shè)置的檢查結(jié)果對主機安全的影響見表2。對于審核策略的設(shè)置及服務(wù)器審核策略設(shè)置的檢查結(jié)果對主機安全的影響見表3。

通過對賬戶策略的分析、講解與實際操作的演示，使學(xué)生了解如何進(jìn)行密碼策略、賬戶鎖定策略以及審核策略的設(shè)置，了解每項策略設(shè)置值的意義以及可能存在的安全隱患，從而有效減少賬戶策略帶來的安全隱患。

4 結(jié) 語

通過對信息載體風(fēng)險評估內(nèi)的教學(xué)設(shè)計及其具體教學(xué)過程，不僅要讓學(xué)生懂得如何對檢測點進(jìn)行安全檢查操作，而且掌握如何解決在風(fēng)險評估過程中遇到的問題。信息載體安全風(fēng)險評估課堂教學(xué)設(shè)計既可實現(xiàn)課程教學(xué)的目標(biāo)，又能結(jié)合具體情況，培養(yǎng)學(xué)生分析問題、解決問題的能力，培養(yǎng)學(xué)生實際動手操作的能力以及與人溝通交流的能力，將學(xué)生培養(yǎng)成運用型、實踐型、操作型人才，使得學(xué)生能夠適應(yīng)現(xiàn)代化多元發(fā)展的社會。

基金項目：國家社科基金培育項目（GDPY2015047）；貴州省教育廳自然科學(xué)研究項目（黔教合KY字（2015）367號）；貴州省高等學(xué)校教學(xué)內(nèi)容和課程體系改革（重點）項目（SJJG201404）；安順學(xué)院航空電子電氣與信息網(wǎng)絡(luò)貴州省高校工程技術(shù)研究中心開放項目（HKDZ201406）。

作者簡介：毛新月，女，在讀碩士生，研究方向為信息安全管理與取證，732370598@qq.com；

潘平（通信作者），男，副教授，研究方向為信息安全管理與取證，panping_17@163.com。

參考文獻(xiàn)：

[1]中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局， 中國國家標(biāo)準(zhǔn)化管理委員會. 信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范[S]. 北京： 中國標(biāo)準(zhǔn)出版社， 2008.

[2]潘平， 毛新月， 周惠玲.信息安全風(fēng)險評估課程結(jié)構(gòu)體系研究[J]. 計算機教育， 2015（17）： 43-46.

[3]吳曉平， 付鈺編. 信息安全風(fēng)險評估教程[M]. 武漢： 武漢大學(xué)出版社， 2011： 15-17.

[4]潘平， 楊平， 羅東梅， 等. 信息系統(tǒng)安全風(fēng)險檢查評估實踐教學(xué)探討[EB/OL].[2016-09-08]. http：//cpfd.cnki.com.cn/Article/CPFDTOTAL-TTTT201108002028.htm.

[5]周惠玲， 毛新月. 信息系統(tǒng)安全風(fēng)險評估的教學(xué)結(jié)構(gòu)體系[J]. 安順學(xué)院學(xué)報， 2015， 17（4）： 121-122.

[6]中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局， 中國國家標(biāo)準(zhǔn)化管理委員會. 信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求[S]. 北京： 中國標(biāo)準(zhǔn)出版社， 2008.

（編輯：史志偉）