时间：2023-09-14 17:44:52
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇信息网络安全评估方法，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
【 关键词 】 网络；安全；风险；评估
1 前言
网络风险评估就是对网络自身存在的脆弱性状况、外界环境可能导致网络安全事件发生的可能性以及可能造成的影响进行评价。网络风险评估涉及诸多方面，为及早发现安全隐患并采取相应的加固方案，运用有效地网络安全风险评估方法可以作为保障信息安全的基本前提。网络安全的风险评估主要用于识别网络系统的安全风险，对计算机的正常运行具有重要的作用。如何进行网络安全的风险评估是当前网络安全运行关注的焦点。因此，研究网络安全的风险评估方法具有十分重要的现实意义。鉴于此，本文对网络安全的风险评估方法进行了初步探讨。
2 概述网络安全的风险评估
2.1 网络安全的目标要求
网络安全的核心原则应该是以安全目标为基础。在网络安全威胁日益增加的今天，要求在网络安全框架模型的不同层面、不同侧面的各个安全纬度，有其相应的安全目标要求，而这些安全目标要求可以通过一个或多个指标来评估，以减少信息丢失和网络安全事故的发生，进而提高工作效率，降低风险。具体说来，网络安全风险评估指标，如图1所示。
2.2 风险评估指标的确定
风险评估是识别和分析相关风险并确定应对策略的过程。从风险评估的指标上来看，网络安全风险指标体系由三大部分组成，分别是网络层指标体系、传输网风险指标体系和物理安全风险指标，为内部控制措施实施指明了方向。同时，每种指标体系中还包含资产、威胁和脆弱性三要素。
3 网络安全的风险评估方法
网络安全问题具有很强的动态特征，在了解网络安全的目标要求和风险评估指标的基础上，为了更合理地评估网络安全风险， 使信息网络安全体系具有反馈控制和快速反应能力，可以从几个方面入手。
3.1 网络风险分析
网络风险分析是网络安全风险评估的关键。在网络安全的风险评估中，安全风险分析是风险评估的第一个环节，是全面掌握安全风险状况的基础。一般来说，风险就是指丢失所需要保护资产的可能性。网络安全风险分析就是估计网络威胁发生的可能性，以及因系统的脆弱性而引起的潜在损失。大多数风险分析在最初要对网络资产进行确认和评估；此后再用不同的方法进行损失计算。
3.2 风险评估工作
风险评估工作在网络安全中具有重要的作用。由于诱发网络安全事故的因素很多，在进行网络安全风险评估时，开展安全风险评估工作，对防范安全风险有举足轻重的作用。总的来说，风险评估的方法有定量的风险评估方法和定性的风险评估方法两种。从网络安全风险的评估方法上看，不同的评估方法对安全风险的评估也不尽相同。在进行安全风险评估时，应结合网络安全的实际情况，选择安全风险评估方法。
3.3 安全风险决策
信息安全风险评估是对信息安全进行风险管理的最根本依据，就网络安全而言，安全风险决策是网络安全风险评估的重要组成部分。安全决策就是根据评估结论决定网络系统所需要采取的安全措施。风险分析与评估的目的是为了向网络管理者提供决策支持信息，进而形成合理的、有针对性地安全策略，保障信息系统安全。由上可知，安全风险决策在一定程度上可以使网络威胁得到有效控制。
3.4 安全风险监测
为加强网络安全管理，在网络安全的风险评估过程中，安全风险监测也至关重要。就目前而言，在网络运行期间，系统随时都有可能产生新的变化，例如增添新的网络软硬件、软件升级、设备更新等都将导致资产发生变化。这时先前的风险评估结论就失去了意义，需要重新进行风险分析、风险评估和安全决策，以适应网络系统的新变化。安全监测过程能够实时监视和判断网络系统中的各种资产在运行期间的状态，并及时记录和发现新的变换情况。因此，建立安全风险监测项目数据库，进行动态分析势在必行。
4 结束语
网络安全的风险评估是一项综合的系统工程，具有长期性和复杂性。网络安全评估系统能够发现网络存在的系统脆弱性，在进行网络安全风险评估的过程中，应把握好网络风险分析、风险评估工作、安全风险决策和安全风险监测这几个环节，发现和堵塞系统的潜在漏洞，不断探索网络安全的风险评估方法，只有这样，才能最大限度的降低网络安全威胁，确保网络的安全运行。
参考文献
[1] 覃德泽，蒙军全.网络安全风险评估方法分析与比较[J].网络安全技术与应用， 2011（04）.
[2] 刘枫.网络安全风险评估研究与实践[J].网络安全技术与应用， 2009（11）.
[3] 党德鹏，孟真.基于支持向量机的信息安全风险评估[J].华中科技大学学报（自然科学版），2010（03）.
[4] 黄水清，张佳鑫，闫雪.一种内部网络信息安全风险评估模型及技术实现[J].情报理论与实践，2010（02）.
[5] 赵冬梅，刘金星，马建峰.基于改进小波神经网络的信息安全风险评估[J].计算机科学，2010（02）.
[6] 黎水林.基于安全域的政务外网安全防护体系研究[J].信息网络安全，2012，（07）：3-5.
【 关键词 】 电子商务；信息安全；风险评估；对策
Risk Assessment and Countermeasures of Information Security based on Electronic Commerce
Xu Bin
（Business Management Department of People's Bank of China Beijing 100045）
【 Abstract 】 In recent years， the rapid development of e-commerce business in China， is highly attention to information security of e-commerce system problems and risk assessment. This article on China's e-commerce system information security problems are discussed on the basis of analyzing the status quo of China's e-commerce information security risk assessment and improvement measures， aimed at improving our country's e-commerce awareness and information security risk assessment technology， establish a perfect electronic commerce information security， and evaluation mechanism.
【 Keywords 】 electronic commerce； information security； risk assessment and countermeasures
1 引言
电子商务是一项与传统交易完全不同的贸易活动，而其中的网络支付系统就是支持这种新的贸易方式的重要条件和必要支持，电子商务就是利用相关的计算机技术，借助Internet而实现在线支付，即传递商务信息和进行商务活动，所以它要求数据的传递、交换及处理在网络上能够保障有非常高的安全系数。这就要求电子商务相关部门或人员在进行业务或项目开发时，对整个项目的信息安全进行风险评估，得出项目实施可行性等一系列结果。
电子商务系统的信息安全风险评估运用科学合理的分析方法、手段，运用系统的观点来分析电子商务信息系统所面临的人为或自然因素的威胁以及所存在的脆弱性，努力在网络的“安全等级”和“风险投资”之间找到一个很好的平衡点。
因此，整合传统的网络信息安全技术，并结合现代化的新型技术应用，研究出一套既安全又可靠的电子商务交易安全体系已经成为当前电子商务网络信息安全研究的重要内容之一。
2 电子商务系统中存在的信息安全问题
一般来讲，电子商务中所涉及的信息安全性是指在电子商务交易过程中利用各种技术、法律等措施来保证交易信息不会因偶然或恶意原因而遭到破坏或泄露的要求。21世纪初，我国的金融系统所发生的计算机犯罪率不断攀升。据报道，2002年一起有关不法分子利用黑客入侵在银行网银服务器植入“木马”病毒程序，窃取多家客户的保密信息进行不法交易，所涉金额将近百万。我国金融网络的信息安全现状不容乐观，亟待改善。
下面我们来简单介绍一下电子商务网络中的信息安全问题，主要涉及以下几个方面。
（1）软件和应用漏洞
软件的复杂性以及程序编写的多样性导致电子商务系统中的软件会由于一些原因而留下安全漏洞。例如，网络操作系统本身就会存在一些安全漏洞，像I/O的非法访问、不完全中介及访问控制的混乱等都会造成数据库安全漏洞的产生，这些漏洞严重危害到电子商务系统的信息安全。尤其是在设计初期未考虑到安全性的TCP/IP通信协议，在连接Internet时就有可能受到外界的恶意攻击或窃取等。这些都显示了目前电子商务系统网络软件存在一些可避免或不可避免的安全漏洞。
（2）电脑病毒问题
随着网络技术的应用越来越广泛，压缩文件、电子邮件等已成为电脑病毒传播的主要途径， 加之病毒种类的多样化、破坏性的增强，使得电脑病毒的传播速度大大加快。而近年来新型病毒种类数量迅速增加，互联网更是给病毒传播提供了很好的媒介。这些病毒通过网络进行传播甚至是加速传播，稍有不慎就会造成不可弥补的经济损失。
（3）黑客入侵
目前，除了电脑病毒的迅速传播，黑客的恶意行为也越来越猖狂。黑客常用的木马程序相对于电脑病毒来说更具有目的性，使得计算机记录的登录信息被木马程序恶意篡改，最终造成重要信息、文件甚至是资金被盗。
（4）人为因素造成的安全问题
电子商务公司的大部分保密性工作都是通过工作人员的操作进行的，因此这需要工作人员具有很好的保密性、严谨性及责任心。如果工作人员的责任心不强、态度不端正，时常擅离职守，让无关人员随意进出机房重地，甚至向他人透露保密信息，就会让违法分子有机可乘窃取重要信息。再如，若工作人员缺乏良好的职业道德素质，便有可能非法超越权限而擅自更改或者删除他人的信息，也有甚者会利用自己的专业知识与工作职务来窃取相关的用户口令和标识符，将其非法出卖。
3 电子商务信息安全风险评估的现状及存在问题
通过上面的介绍，我们可以看出进行信息系统安全风险评估是十分有必要和重要的。目前，我国也有一些针对信息安全风险评估的研究和应用，其中常用的风险评估工具有风险评估矩阵、问卷、风险评估矩阵与问卷相结合的方法以及专家系统等。另外，网络信息安全风险评估常用的方法主要有定量的因子分析法、时序模型、决策树法和回归模型等风险评估方法。定性分析法主要涉及到逻辑分析法、Delphi法、因素分析法、历史比较法等。此外，还有定量与定性相结合的评估方法，主要包括模糊层次分析法、基于D-S证据理论的评估方法等。然而，目前我国的网络信息安全风险评估还存在一定的问题，需要在以后的研究创新中加以重视和研究。
3.1 对电子商务信息安全风险评估的认识不足
当前，很多相关人员还没有认识到电子商务信息系统所面临的大挑战，因此并没有认真重视信息安全风险评估的重要性，原因有以下几点。一，目前很多开展信息安全风险评估的公司或单位尚未通过标准、规范的培训，尚未系统地学习信息安全风险评估工作的相关理论、方法和技术工具等方面内容，这导致很多与信息安全评估工作相关的领导和工作人员对信息风险评估重要性的认识严重不足，自然其更没有将这种风险评估的工作纳入到现行的信息安全系统框架里。二，虽然有不少的单位想将信息安全工作放至重要位置，但却受到人力、物力、财力等方面的限制，同时也受到一些财务制度的约束阻碍，使得信息安全系统前期的信息安全风险评估准备工作得不到应有的重视。
3.2 缺少信息安全风险评估方面的专业技术人才
首先，就我国现有公司的信息安全风险评估现状来看，很多公司都缺乏专业的信息安全管理人员，更不用说专业的风险评估技术人员了。信息安全风险评估的技术含量非常高，它要求工作人员具有相当高的技术水平，而现在很多公司都是以普通的信息人员充当风险评估技术人员，这是不行的。其次，信息安全风险评估其实是一项综合性很强的工作，它不仅涉及公司全部的业务信息，还涉及各方面的人力物力财力，因此需要各部门相互配合完成，而现在大多数公司只依靠信息部门进行，很难较好的完成信息安全风险评估工作。
3.3 风险评估工具相对缺乏
目前，在电子商务执行过程中的应对工具，如防火墙、漏洞扫描等都相对成熟，但是在这些活动前期所涉及的信息安全风险评估工具却较缺乏。例如，上述我们提到的四个评估工具中，除专家系统以外，其他的技术工具都相对较简单，且缺少实际的理论基础。另外，这种信息风险评估工具的开发运用方面，呈现出国内、外极不平衡的状况，国内相对落后。
4 我国电子商务信息安全及风险评估工作的发展对策
4.1 增强电子商务系统信息安全及风险评估意识
在英国，曾经做过一项关于信息系统安全问题的调查统计，结果显示约80%的信息损失是人为因素造成的；在国内，也经常有因用户口令设置不当、随意将账号借与他人而造成信息安全威胁的现象。防止人为造成的信息安全问题已经成为一个重要内容。因此，电子商务公司一定要对其从业人员进行必要的信息安全知识教育培训，最大化地提高他们的信息安全及风险评估意识，积极防范信息毁损和泄密情况的发生，从而保证信息的完整性和可靠性，保障用户利益的同时也可以提高企业的竞争力。
4.2 加强对专业技术人员的培训，提高风险评估人员的专业技能
针对信息安全风险评估技术人员，我们可以通过以下方法进行相应的培训：一，可以整合公司内部的人力资源，加大风险评估的培训力度，利用专业的培训教材，通过学习弥补评估人员的知识缺陷，提高其技术水平；二，实行互补型培训，根据风险评估技术的专业分类，组织技术人员据此进行相应的培训，从而培养技术互补型的风险评估队伍；三，合理利用社会资源，公司应该加大对技术资源的投资，可聘请经验丰富的专家学者来组成第三方评估方，以备公司不时之需；四，公司人力资源部门可以有计划地对技术人员进行规范化的认证培训，实施职业技术资格准入制度，这样就可以从源头提高信息安全风险评估技术人员进入的门槛，保证评估技术人员的综合素质，为后期电子商务的信息安全风险评估工作打下坚实的基础。
4.3 积极加强对信息安全防范技术的研究和应用
目前，常用的保障电子商务系统的信息安全技术主要包括防火墙技术、防病毒技术、入侵检测技术、数据加密和证书技术以及相应的信息安全协议等。电子商务提供了无限的商机与方便，企业也通过电子商务的开展使得竞争力有所提高。因此，为了开展安全可靠的电子商务业务，我们必须在加强对电子商务信息安全及风险评估研究的同时，进而建立较为科学合理的电子商务信息安全体制。
然而，如果我国在基础硬件与芯片等方面不能自主，那么会严重阻碍我们对信息安全监测或评估的实施。在建立自主的信息安全及评估体制时，要积极利用好国、内外的资源，统一组织对信息安全重大技术的攻关，建立创新性的电子商务信息安全及评估体制。
5 结束语
综上所述，电子商务信息系统的安全问题是一项极其复杂的工程，这个系统工程既涉及了信息动态传输的安全问题，还涉及到信息静态存储的安全问题；它既是一项技术问题，也是一项关乎策略、信用、制度法规和社会公众参与电子商务活动等的非技术问题。而在前面的内容中，我们就目前电子商务信息系统所可能存在的安全问题进行了介绍，电脑病毒、软件漏洞、人为因素等相关安全问题不容忽视，需要加以控制和制止。因此在此基础上，就需要在信息系统建立之前做好信息安全风险评估工作，然而面对当前我国信息安全风险评估所存在的缺陷和不足，要求我们积极做好与此相关的工作，从信息安全意识、专业人才、新型技术等方面着手加强我国电子商务信息安全风险评估的研究和发展，为电子商务的发展提供一个良好的信息平台。
参考文献
[1] 吴鹏程.电子商务信息安全与风险管理刍议[J].中国新技术新产品，2009年第7期.
[2] 赵刚，王杏芬.电子商务信息安全管理体系架构[J].北京信息科技大学学报，2011年第26卷第1期.
[3] 伍永锋.基于模糊支持向量机的电子商务交易安全风险评估方法[J].科技通报，2012年第28卷第9期.
[4] 高博.电子商务信息安全风险与防范策略研究[J].现代商贸工业，2011年第14期.
[5] 连秀珍.电子商务的安全评估与审计[J].经济研究导刊，2012年第13期.
[6] 范光远，辛阳.防火墙审计方案的分析与设计[J].信息网络安全，2012，（03）：81-84.
[7] 郎为民，杨德鹏，李虎生.智能电网WCSN安全体系架构研究[J].信息网络安全，2012，（04）：19-22.
目前大多数网络攻击效能的评估都基于可测量参数进行评估，例如网络信道参数、主机运行的CPU、内存参数等等。文献[2]提出基于网络熵的攻击效能评估方法、文献[3][4]提出了层次分析法来对网络攻击效能进行评估，这些方法都需要可直接测量的参数来进行评估，从自身网络安全出发，综合分析自身网络、主机主要性能指标进行评估，但这些评估技术应用于对敌方网络实施的攻击效能进行评估时，其模型所需的参数无法直接获得。因而需要对这种情况进行切实研究给出合适的评估方法或对不可测量效能进行转换，使得有合适的参数进行定量分析。本文具体分析这一情况给出相应的解决方案。
2 不可测量的网络攻击
不可测量的网络攻击指没有相应参数来描述的网络攻击，主要有两种情况：（1）可测量的参数无法直接获取；（2）无可量化的参数，如对敌方造成的信息欺诈程度等。
在网络中各节点的度量参数分为两类：可计算度量和通信度量。这些都是可测参数，可以通过在网络中、主机中安装相应的软件或硬件进行参数提取。
在网络攻击中攻击对象不光有网络中的节点还有网络中的操作人员和网络中存储、传输的数据信息，这些单元的度量参数目前还没有相应的可量化的指标。网络更重要的目的是利用网络攻击手段窃取情报、破解对方密码、接管对方网络的访问和控制权限、实施信息欺诈等攻击，针对的攻击对象是信息载体和执行信息命令的人员，这些网络攻击能带来巨大的攻击效能，然而确很难用定量的参数进行量化。
3 参数逼进与量化
在实验条件下通常采用直接测量的方法来获得需要的参数，采用侦测、接入设备和软件，直接对时间网络进行信号和数据的统计与分析。为了获得主机的运行参数还需要在主机安装守护软件实获取CPU、内存等参数，然而要是去对敌方网络进行这样的测试是不可行的，另外在网络中这些探测软件和硬件是额外接入的会对正在运行的网络增加负载，会干扰网络用户的使用。可以在实验网络的基础上采取方法：
（1）定性分析法。
定性分析法是对网络的性能作出定性的估计。它根据经验进行外推而估计出网络的性能，也因此往往只能是对小型的网络进行定性分析。但是，网络负载、网络结构与性能评价标族之间的关系是非线性的：即低于某个门限时，负载的微小变化只会引起性能的小变化，对事整体性能影响小；但若高于某个门限后，负载的微小变化就可能引起性能的巨大变化，严重影响整体性能。而这个门限值往往因网络配置的不同而相差很大，分析法具有一定的局限性。
（2）解析模型法。
解析模型法首先对网络建立合理的、能够进行分析的物理模型，然后利用排队理论建立数学模型，给出分析表达式，最后应用概率论、随机过程、排队论等数学工具计算出网络的性能参数，进行性能解析评价。除了获得网络的性能参数外，网络和性能分析还需要分析各种相关因素对网络工作性能的影响程度。
解析模型法的优点是开销小，时间短，速度快，但解析模型法只能解决一小部分系统的性能分析，很多系统往往因其关系错综复杂，具有非线性、不确定性而不能用数学表达式描述运行规则，无法解析。因此，解析模型法只能简化系统进行近似分析、但由于它可以快速评价网络性能，可以对网络攻击进行引导。
（3）软件仿真法。
软件仿真法主要根据网络的工作原理，建立模拟模型，用软件仿真网络的运作、并在仿真程序的运行中采集数据，评价、度量网络性能。需要建立敌方网络资源需求模型、网络协议抽象模型，性能采集分析模型和仿真结果解释模型等，需要极大的情报资源，而且具体的仿真模型将需要十分巨大的计算空间与计算能力。而对于简单的系统，解析模型法不必花费大量的时间和精力编写程序。由此可见，这两种方法各有长短，可以相互补充和检验。常用的方法是先采用解析法建立数学模型进行快速估算，然后再用仿真法建立仿真模型进行验证。
上述方法可以较好地对可测参数进行逼进，对于无量化的参数则要先通过替代参数进行量化然后再采用上述方法进行逼进、推演。针对难用定量的参数进行量化参数采用以下方法进行替代量化。
4 效能评估指标
上面的分析给出了网络攻击效能评估的可测量参数和不可测量参数的替代量化，接着根据网络的安全性能来完善网络攻击效能评估的指标。随着经济信息化进程的加快，网络破坏活动越来越猖獗起来：商业机密被窃取、军事情况遭泄露、巨额资金被盗取、网络突然瘫痪等。这些都是网络攻击的效能，对这些效能进行评估就必须有合适的参数、指标。为了有效评价网络攻击效能，首先要选择恰当的标准对网络的安全性能进行形式化描述。在评估过程中，可以把被攻击目标的完整性、保密性、可靠性和可用性作为其安全性的一个量度，而攻击前后的安全性差值则可以作为攻击效能的一个评价标准。
当前对信息网络安全的研究成果表明，对系统进行测试评估，要识别出可能的安全事件对保密性、完整性、可用性三个指标的影响。
5 效能评估模型
用得比较多的网络攻击效能评估模型是基于网络熵的攻击效能评估模型和层次分析模型，还可以采取别的评估模型。
5.1 网络攻击效能的层次分析模型
目标层：在网络攻击效能的层次模型中，要达到的目标就是对具体的网络攻击的效能进行评估，所以，目标层是网络攻击的效能。信息安全一般考虑以下原则：可认证性原则、机密性原则、完整性原则、可用性原、可靠性原则（又称抗抵赖性原则）。
安全准则层：进行网络攻击的目的，就是要破坏对方网络系统的保密性、完整性、可靠性和可用性，通用评估准则CC也主要对这些特性进行保护。网络攻击对被攻击目标实施攻击，使目标的安全性能下降，效能主要反映在保密性、完整性、可靠性和可用性上，即目标安全机制的安全注重点上。这样可以把保密性、完整性、可靠性和可用性作为安全准则层。
措施层：措施层为需要评估的各项指标。指标体系从通信链路、通信连接、数据、软件系统和硬件系统几个方面提出，其中既有可测量参数还包括不可测量参数的替代参数指标。
5.2 基于网络熵的网络攻击效能评估模型
网络熵借助信息论中熵的概念用来对网络性能进行描述，网络熵越小表征网络系统的安全性 能越好。对于网络的某一项性能指标来说，其熵值定义为H=-log2Vi，Vi为网络此项指标的归一化参数。在网络受到攻击后，其服务性能下降，系统稳定性变差，熵值增加，采用熵差H=-log2V2/V1对攻击效能进行描述。其中：V1为网络系统原来的归一化性能参数（包括可测量参数和不可测量参数的替代参数），V2为网络受攻击后的归一化性能参数。
评估的结果就是对网络攻击能力和影响的某种程度上的确信，开展网络攻击效能评估技术研究可以对战场网络系统、国家电子政务信息系统、各类信息安全系统的规划、设计、建设、运行等各阶段进行系统级的测试评估，找出网络系统的薄弱环节，发现并修正系统存在的弱点和漏洞，保证网络系统的安全性，提出安全解决方案。
6 效能评估步骤
目前比较通用的网络攻击效能评估的流程主要包括资源识别、威胁识别、脆弱性识别、安全措施分析、可能性分析、影响分析以及最后的攻击效能指标判定。
在这个评估模型中，主要包括六方面的内容。
系统分析：对信息系统的安全需求进行分析。
识别关键资源：根据系统分析的结果识别出系统的重要资源，包括网络信道、主机节点、系统文件等。
识别威胁：识别出系统主要的安全威胁及威胁的途径和方式。
识别脆弱性：识别出系统在技术上的缺陷、漏洞、薄弱环节等。
分析影响：分析网络攻击事件对系统可能造成的影响，则需采用上面提到的网络攻击效能评估模型进行分析。
综合关键资源、威胁因素、脆弱性及控制措施，综合事件影响，评估网络攻击效能。
在评估过程中，需要采集大量的数据。数据采集的覆盖范围和采集量直接影响对评估基本要素的准确度量，从而影响最重的评估结果。数据采集的覆盖范围越广泛、采集量越大，评估结果越准确。因此在评估标准体系中，需要规范数据的采集范围和采集量。这是评估标准体系是否先进完善的重要因素。
7 总结
网络攻击效能的评估是战场网络对抗的根本基础和前提，目前还缺乏较为深入的研究。本文着重分析了评估中参数获取问题，指出在网络攻击中很多参数是不可测量的，特别是对网络中的操作人员的攻击效能和对网络数据信息的攻击破坏效能缺乏可量化的参数，需要通过逼进、模拟、仿真进行推演获得。网络攻击效能评估的各种指标和模型还需进一步深入研究。
参考文献：
[1] 胡影，鲜明，肖顺平.DoS攻击效果评估系统的设计[J].计算机工程与科学，2005（2）.
[2] 罗永健，史德阳，于茜，等.一种有效的无线传感器网络攻击检测方法[J].兵工自动化，2012（2）.
信息社会 安全基石
从互联网的前身――阿帕网(APPANet)的建立，到目前全球数以亿计的上网用户；从美国政府于上个世纪90年代提出的“国家信息基础设施”(建设信息高速公路)计划，到以互联网为核心的综合化信息服务体系和信息技术在全世界各领域的广泛应用；从1971年第一封以@为标志的电子邮件的发出，到现在全球每天360亿封的电子邮件往来。当今世界的政治、军事、经济、文化等各个方面都已经离不开信息技术的强力支撑，以互联网兴起为重要标志的现代信息化社会已经建立。
随着社会的发展和稳定对信息的依赖性越来越强，始终伴随着信息化的信息安全问题在最近几年迅猛放大，已经成为抑制全球信息化进程发展的重大障碍。
从无伤大雅的恶作剧脚本，到造成几十亿美元的蠕虫病毒，从以信息共享为名的盗版软件，到如今泛滥成灾的流氓软件，信息安全已经从神秘的黑客世界走入到每一个计算机用户的面前。如何正确、有效判别这些潜在的信息风险，关系到当今社会信息化发展的大计。
不可避免的安全危胁
写一段没有任何运行错误的程序代码对于一个程序员来说很容易，但要写出一段没有任何安全问题的程序代码似乎就有些困难了。是程序员的安全素质不够，问题出在程序员身上么?要知道，即使是那些专职安全防护的软件产品也经常会曝出各种各样的漏洞，这早已不是什么新鲜的事情。
计算机世界的霸主微软公司的程序员可都是一流的精英，先不说过去Windows、Office系统中至今还补不过来的千疮百孔，往前看其新一代的号称最安全的操作系统Vista，公开的Bug已达2万个，问题代码更是多达几十万行，发行日期一拖再拖。也许这主要是因为过于庞大的系统结构和功能造成的，可在一个0和1的数字世界里，复杂才意味着技术的前进、使用的便利、功能的强大，如今许多人早已明白：没有任何问题的代码只能是没有任何功能的代码。
除了程序代码设计本身的问题，安全漏洞还存在于通讯协议、网络架构、交互中国家信息中心信息安全研究与服务中心李少鹏模式、电子辐射、信号外泄，甚至是用户安全操作和安全意识等其他与信息交流有关的任何问题中。可以说安全威胁来自于四面八方，漏洞也不可避免，而只要漏洞存在，那么威胁永远存在。
触目惊心的安全事件
2004年10月至2005年1月，某企业职工利用后门程序操纵了互联网上超过6万台的电脑主机连续攻击北京某音乐网站，致使该公司蒙受重大经济损失，这是我国首例如此大规模的“僵尸网络”攻击案；
2005年4月11日，全国超过二十个城市的互联网出现群发性故障；同年7月12日，北京20万ADSL用户断网；
2005年10月，网易计算机系统公司发现与北京市网通合作项目中，价值10元一张的网易一卡通虚拟游戏点卡被盗15．5万张，总价值155万余元；
2006年2月“全国最大网上盗窃通讯资费案”在北京开庭审理。某资深软件研发工程师被控利用工作之便侵入北京移动公司充值中心数据库，盗窃了价值38071元的充值卡密码……
公安部公共信息网络安全监察局主持的2006年全国信息网络安全状况与计算机病毒疫情调查报告中显示，在被调查的一万三千多家单位中，54％的被调查单位发生过信息网络安全事件。
同时，最近两年几乎染及所有计算机和计算机用户的网络钓鱼、流氓软件、垃圾邮件狂潮一轮又一轮的充斥着互联网。据国外的一份调查统计显示，89％的个人电脑平均感染过30种间谍软件。公安部在2005年声称中国的网络钓鱼网站占全球钓鱼网站的13％，名列全球第二位，而仅在2004年，公安部侦破的网络诈骗案件就达1350起。对此，国家反计算入侵和防病毒研究中心在公安部网监局的支持和指导下，发起成立公益性的“中反网络钓鱼联盟”。今年8月，广东首次公开处罚垃圾邮件发送者，这也是国内依据《互联网电子邮件服务管理办法》第一次公开处罚垃圾电子邮件的发送者。
安全法规需进一步完善
从1989年《中华人民共和国保守国家秘密法》伊始，到2005年《电子签名法》的实施，我国目前现行的与信息安全直接相关的法律、规章和制度有65部，“涉及网络与信息系统安全、信息内容安全、信息安全系统与产品、保密及密码管理、计算机病毒与危害性程序防治、金融等特定领域的信息安全、信息安全犯罪制裁等多个领域”，可以说已经初步形成了一定的法规体系。尤其是在2003年《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发［2003］27号)通过后，电子认证、电子政务、等级保护、商用密码以及银行、证券等金融行业等法规和管理办法相继出台，不仅规范了信息安全市场，还对电子商务的发展、网络经济的正常运转到了意义深远的保障作用，同时也是对“信息安全上升为国家安全”的这一宏观政策指引的响应。
尽管如此，现行的信息安全方面的法规、标准体系仍然需要进一步完善与成熟。截至目前，我国还没有一部严格意义上基于信息安全的基本法，同时这为信息安全标准与政策的制定与落实带来了一定的难度。
层出不穷的攻击手段
目前流行的攻击手段有很多，除了病毒、蠕虫、口令破解等传统方法，木马、网络钓鱼、SQL注入等较为新型的攻击方法，其攻击范围也在不断扩大。但相应的防范技术和知识已经比较普及，应对起来容易些。值得特别注意的是以下三种攻击形式，分布式拒绝服务攻击、零日攻击和社会工程学攻击。
分布式拒绝服务攻击至今还没有特别有效的防范方法，其具备攻击方法简单和攻击源无法确定的特点，上文中音乐网站被攻击的案件就是一个典型的例子。这种攻击的难点在于组建大量的傀儡主机――“僵尸网络”，通常借助即使通讯工具或电子邮件来植入木马，并通过新的系统漏洞的出现而达到顶峰。
零日攻击则是利用尚未公开或未发行补丁的漏洞实施攻击，这种攻击最为致命和可怕，因为任何人都很难对未知的情况做出正确的反应，此种攻击成功率高、隐蔽性强，往往针对某个既定目标，是今后安全防范工作的最大隐患之一。
最后一种是社会工程学，实际上它是一种非技术手段的攻击，它的直接攻击对象不是数据库也不是防火墙，而是能够出入这些敏感地带的人。技术再高也是由人来操作的，安全防范做得再好，得到授权的人也是可以出入的。世界著名黑客凯文・米特尼克在《欺骗的艺术》一书中写到：“安全不是技术问题，它是人和管理的问题……”，“由于开发商不断的创造出更好的安全科技产品，攻击者利用技术上的漏洞变得越来越困难……”，“精干的技术专家辛辛苦苦地 设计出安全解决方案来最小化使用计算机的风险，然而却没有解决最大的漏洞――人为因素。”因此，在如今信息安全技术已经趋于成熟的环境下，正确的安全防范意识无比重要。
目前，仍然还有许多人普遍缺乏安全意识。政府网站频频被黑、网上银行客户资金被盗、网上交易遭遇诈骗……，这样的安全事件几乎天天都在发生，其关健原因在于安全管理和意识的匮乏。对于被动的防范来说，意识要重于技术，甚至会超越技术。
安全技术任重道远
广义上的信息安全包括了众多内容，信息安全国家重点实验室冯登国教授曾在今年的“十一五”信息安全发展趋势论坛上讲到抽象化、可信化、网络化、标准化和集成化，是信息安全技术发展的重要趋势。目前主流安全技术不外几种。
主动防御
虽然瑞星、金山、江民三大反病毒厂商在今年先后发出推出主动防御产品的声音。但实质上，目前的主流产品还是在遵循“病毒产生――研究特征码――升级病毒库”的老路子。主动防御技术如何避免大量的提示和误报是主动防御产品是否能真正走向市场的关键性问题。
生物识别
从用户名加口令到加密锁，再从USB令牌到指纹、声纹、虹膜等生物识别。即使身份认证已经有了高级的尖端技术，可目前最为广泛应用的还是最初的用户名加口令身份认证技术，简单易用，且能够保障基本的安全需求。但不可否认，生物识别技术以其无可替代的识别优势必然随着成本的降低、需求的加大走向普及。
可信计算
严格的说，可信计算并不能算一项新兴技术，早在2002年沈昌祥院士开始在国内提倡可信计算。虽然经过了2004年的热点后，国家将其列入“十一五”规划重点支持项目，相关企业也成功的生产出TPM的安全芯片，但中国的可信计算是否能与国际标准接轨、庞大的可信计算体系涵盖内容之间是否能有序协调仍是一个未知的难题。
灾难恢复
实际上，灾难恢复主要不是技术问题，而是管理和实施问题。它的重要性随着对国民经济具有重要支撑作用的大型企事业单位以及政府部门对信息化日益增长的依赖性而凸现出来。近年来，银行、电信，海关、税务、民航等部门已经建立起自己的灾备中心。国务院信息化工作办公室2005年出台的《重要信息系统灾难恢复指南》为我国整个信息安全保障综合体系的最后一环――灾难恢复的管理和实施带来了强有力的促进和重大指导作用。
理论篇>>>
思索信息安全：内涵与外延
江常青
要谈论信息技术发展的趋势和信息安全面临内外部环境的变化，就像一个一直在匆匆行路的人，突然要停一下，观看周围环境，预估和展望前面的道路。但是要想象前方，恐怕先要回头看看走过的路，因为有两种可能：一种是走出来的路，过去和现在影响着未来；二种的情况是，也许路一直在前方，变化的则是我们的认识和行为。无论怎样，“时而思”比不思则罔更有益。
信息安全的历史有多久?五年，五十年，还是五千年?都可以。
目前，国家、企业和个人开始认识并重视信息化所带来的安全风险问题，以及国内出现专门的信息安全从业人员，仅有5―10年；而以现代计算机的发展与应用算起，信息技术渗入现在社会生活带来的信息安全问题，这段历史达到了50年；其实，自从人类文明伊始，文化和信息的使用开始就存在信息安全问题，这是5000年的历史。但是，历史从来没有象今天这样迫使我们必须去思考和面对信息安全的问题，因为当今是高度信息化的社会。我们生活在一个信息世界中，信息安全问题关系到每个人、家庭和社会各个组织机构。
从辨证学角度来说，变是绝对的，也是相对的。在5～5000年这个“漫长”的尺度上，信息安全领域有的在变，而且变化很大；有些东西也许并没有多大的进展和变化。处理信息的设施在技术发展中变化着，解决信息安全的具体技术措施和手段也随着发展，信息安全的内涵也不断延伸，但有关信息安全的一些关键和核心的问题并没有得到探讨与思考。
“谁的”信息安全?
信息安全自身没有价值和意义，它对于信息和信息系统所有者、管理者、使用者、监管者才有意义。因此，同样一个信息及其系统对于不同的人、组织甚至国家的意义是不同的，因为其安全的目标和需求是不同的。比如说，某商业银行的信息系统，对于银行自身、银行监管部门，以及政府来说，安全价值与意义有着根本的区别。作为企业的银行，其安全核心是保障组织机构的正常运行和获得商业利益的能力；作为行业管理部门是金融安全风险的一个组成部分；从国家和政府部门来说它是事关国计民生的重要信息系统，它的安全影响社会。
“什么的”安全?
从历史发展看，信息安全逐步从信息传输的安全，发展到信息产生，传输、处理、存储等整个生命周期的安全。同时，信息安全也从单纯的指信息数据的保密安全，扩展到支撑信息流动的软硬件、载体的IT安全。在新一代信息技术大规模普及的今天，信息安全还包括信息的使用安全，信息内容的安全与信息及信息系统互动的人的安全等方面。
因此，信息安全不是孤立的。当我们谈论安全时，一定是指特定对象的安全，同时要强调这个特定的对象是对于谁而言，言论中的安全必须在明确的上下文环境之中，否则就失去意义和准确性。
安全是什么?
安全是一种或多种性质或属性吗?它和色彩，质量是对象的属性类似吗?这个问题很难回答。假设安全是“属性”，安全信息安全经典定义中的保密性、完整性、可用性。这三性都是以否定语句来定义的。要证明一个肯定的性质存在比较容易，找到它即可。要证明“不被修改”等类似否定语句的性质比较困难。此外，要证明信息或系统同时满足三个性质更为困难，因为这些安全性质是动态变化，它会随着外部对手和系统内部自身变化而变化，也就是常说的今天的安全难以保证明天的安全。因此，很有必要反思安全作为性质是否妥当。近年来，从风险角度来重新定义安全的趋势十分明显，将安全定义为风险可控可管理的过程。这样一来，安全就不是系统自身的性质了，转化为对抗风险的保障能力。安全保障能力由技术、管理、人等措施来构建起来，安全亦被风险和保障两个概念所取代，隐身在后面。安全与否不再是去寻找这些性质存在与否，而是去计算保障是否大于对应风险。如果是，就是安全。这种重新定义的安全将不再是性质，而是个过程和目标，通过过程去达到目标，而目标反映了信息安全在上下文环境定要求。
这些探讨和思考能否达到我们理解信息安全的本质，笔者不得而知，但是这是一个探索的过程。在信息技术层面上，在我们实际可以设计实现的信息处理技术的进展中，可以看到未来信息安全技术的发 展趋势：
软件安全
软件是构建信息世界和社会的核心部件，安全问题的产生很大程度上来源它的不安全、不可靠，如何提高软件的安全性将会是个重点，有理由相信，随着软件形式化、自动化的提高，其安全性会快速的提高。
安全度量
有人说，不可度量的不是科学，信息安全正处于这样的境地。确实，目前我们还无法在信息安全领域找到类似物理世界的度量，如时间量、空间量、质量等，也没有类似比特的信息量，因此信息安全要成为科学还有很长的路要走。但尽管如此，我们已逐渐找到一些度量，它对提高安全是有好处的，比如安全功能强度，人力的部署和能力提升，过程控制的环节等等。
信息流控制
除了人、管理、网络系统外，信息安全的核心问题还是保证数据和信息的安全。信息流如何开放的网络系统环境中，如何在不可信、不安全的环境中构建可信的信息流动和控制机制是必须要解决的问题。因为数据和信息不可能像物理世界中永远被隔离和锁在保密柜中，它必须给该看到的人看到，就和货币要流通一样，安全必须找到自身的动态价值。
抗攻击技术
由于对手一直存在，破坏安全的外部因素不会消失。安全事故和事件时时都会产生，如何提高信息和系统抗攻击以及受攻击后降低损失的技术十分重要，以防范为主的安全技术将被抗攻击技术将逐步取代。
内部安全
安全技术也将从防范外部威胁为主，转换到关注内部威胁为，构建内控技术和管理体系将会成为最热的市场机遇。在这里，与业务逻辑和网络行为相关安全分析成为技术难点。发展篇>>>
发展篇>>>
内外之道把脉“新安全”
吴锡源
当前，大多数企业的信息安全机制不堪一击。具体来说，这些企业的安全措施所提供的防护级别难以应对它们所承受的实际风险。事实胜于雄辩：虽然各个企业已竭尽所能采取相应防护措施，但是它们仍然频繁受到攻击。据可靠数据统计：仅2005年，大约三分之二的企业至少发生一次安全事故，而半数以上的企业则至少发生三次安全事故。
面临挑战的安全管理
目前的主要问题在于，大多数企业只是采用侧重边界的高度反应性防御措施，因此无法与当前日新月异的威胁趋势保持同步。新威胁层出不穷，并以前所未有的速度和效率进行传播，在许多情况下必然会导致混乱局面比比皆是。不仅如此，可用于(或至少所分配用于)改善这种局面的资金也相对较少。实际上，Ernst&Young的《2005年全球信息安全调查》显示，各个企业将其安全预算的50％用于“日常操作和事故响应”，仅将17％的预算用于完成“更关键的战略项目”。
显而易见，企业需要采用更为完善的解决方案才能针对当前的攻击进行自我防护。因此，企业所需要的威胁管理解决方案具有以下特点：主动――能够防御未知威胁；全面――能够将所有企业内外的攻击源头阻挡在外；高效――非常经济实惠的选择。
在企业努力部署有效威胁管理解决方案的过程中，威胁趋势的日新月异、符合法规要求的需要以及对反应性对策的过度依赖对于它们面临的重重挑战来说只是凤毛麟角。
把脉新“安全”
传播速度相对较慢的基于文件的病毒和群发邮件蠕虫仍然屡见不鲜。实际上，在2005年上半年，这类威胁在向赛门铁克报告的前10位恶意代码示例中占三类。不过，黑客的动机已明显从追求名声转向牟取暴利，而漏洞开发框架的日渐普及是威胁趋势发生许多显著变化的主要原因之一。
・威胁数量与日俱增
这不足为奇。由于黑客的动机越来越强烈，并且开发新型恶意软件的难度越来越低，所以威胁的数量无疑会猛增。不仅如此，威胁制作软件及其模块化构造技术导致开发威胁变种的行为司空见惯。例如，2005年上半年，仅针对Win32平台的新病毒和蠕虫变种数量就已达到10800种。与前六个月相比，次数量就增加了48％。
・威胁生成时间日益缩短
日益成熟的黑客工具包不断增多的另一恶果是开发新威胁所需的时间明显缩短。因此，从发现新漏洞到发起针对该漏洞的特定攻击之间的时间也无可避免地大大缩短。实际上，在2005年上半年，此时间段的平均持续时间仅为六天。
・威胁传播速度正在加快
虽然近年来这方面威胁的趋势没有显著变化，但是由于威胁的传播速度已经非常惊人，所以这种形势不容乐观。例如，2001年红色代码在37分钟内即可使感染速率增加一倍。而在2003年，Sapphire蠕虫每8．5秒传播速度就会加倍，最终不到10分钟就会感染90％易受攻击的目标主机。而且，认为最终不会出现传播速度更快的威胁完全不切实际。
・威胁日益变化莫测
导致变种数量不断增多的因素也同时导致混合型威胁层出不穷。通过使用多种利用机制、有效负载和／或传播方法，这类威胁更有可能避开企业防线，然后成功施加负面影响。另外，导致局面日益恶化的另一个原因是黑客目前主要攻击系统和应用程序层的弱点，而不是网络层的漏洞。这样，他们的攻击往往成为侧重网络层活动对策的漏网之鱼；不幸的是，大多数企业目前只凭借这样的对策来保护自己。
首先，威胁数量大增意味着不仅安全员工将承受更大的压力，而且他们所实施的对策在一定程度上也会受到影响。还需要进行更多研究以确定最具破坏力的威胁、需要采取更多防御措施，最终还需要解决更多事故和故障。要使这样的等式重新达到平衡，很可能需要任命更多安全管理员或实施可提高操作效率的工具，特别是在研究和防范活动方面。第二个影响是使利用管理补丁程序进行防御的效果微乎其微。过去，从发现漏洞到漏洞被利用之间的时间长达数月，所以制造商可以从容开发和补丁程序，然后由企业对这些补丁程序进行测试和实施。但是，目前在发现漏洞后平均需要54天才能相关补丁程序，所以根本无法及时提供补丁程序。而且即便能够及时提供，还需要考虑测试和实施相应补丁程序所需时间的问题。在最紧迫的情况下，最高效的企业可能需要几天才能完成该过程。但这根本不具有代表性，企业补丁程序管理流程的常规执行时间至少需要30天。
安全之路延伸何方
面对不断变化的新威胁，信息安全的环境也在发生着深刻的变革。
首先，由于需要保持竞争优势，所以各个企业必须更迅速地应用新兴技术(例如，WLAN、VolP和Web服务)以及所有现有技术和平台的新版本。一般，各个企业不但必须管理和保护更多计算基础架构和应用程序，而且其中大部分均为新出现的复杂架构和程序，极为分散。结果是由于配置错误和疏忽导 致的代码漏洞与日俱增，而且弱点也越来越多。
其次，随着内部威胁日益严重，企业的安全观念正发生着深刻的变化。从历史角度来看，企业一般将注意力集中在保护他们与互联网的连接上面，很少保护他们的内部网络和系统。不过，由于第三方连接日益增多，现场办公的合同工需要连接到公司网络，而且公司自身员工的移动性越来越强，从而导致威胁可以绕过互联网边界控制，然后从内部以相对迅猛的速度传播。因此，除了原来必须要保护的日益增多的基础架构外，企业现在还必须保护内部网络和系统。
此外，确保内部网络安全的另外一个要素是必须遵从各种“暗示”的法规和法律(如果没有明示)。不过，从所占用的资源数量及有时会提供虚假的安全感角度来看，遵从这些要求反而会产生更多问题。事实上，一份最新调查表明遵从是信息安全活动的最重要的推动因素，该调查还表明由此而引发的主要活动是制定和更新各种策略和程序，而不是切实加强公司的安全架构或整体战略。
更现实的还有预算问题，企业面临的这方面挑战在一定程度上变得欲盖弥彰。只需看看现状就足以：目前所制定的安全预算不仅不合理，而且这部分预算的使用方式往往对防御攻击没有帮助，此外这部分预算永远处于与“企业”的其他需要进行竞争的状态。
以上复杂因素清楚地表明理想的威胁管理解决方案必须兼顾高效性和灵活性。相对于安全部门可支配的资源而言，他们需要完成的工作过于繁重。与此同时，基础业务需求(不考虑基础架构)可谓常变常新。
策略篇>>>
“湿件”：另一种思维看安全
刘 恒
鲁迪卢克在系列科幻小说《湿件》中讲述了一个人类制造的肉身机器人如何控制和改变人类的故事。该书对人类脑力智慧(湿件)与带有编码化知识(软件)的机器人(硬件)的结合并最终摆脱人类控制的前景作了最大胆的想象。
无独有偶，“湿件”先后出现在黑客界和医药界，并且成为新经济增长理论的一个术语。如今，启明星辰率先在安全业界引入“湿件”理论，并开始成功应用到安全服务领域。
看到“湿件”二字，绝大部分人认为是“事件”的笔误，其实不然，两者毫无瓜葛，截然不同。“湿件”是指与计算机软件、硬件系统紧密相连的人(程序员、操作员、管理员)，及与系统相连的人类神经系统。由此可见，“湿件”，是储存于人脑之中，无法与拥有它的人分离的能力、才干、知识等。
从某种意义而言，“湿件”是与软件、硬件并列的IT第三大件，人们应该对“湿件”给予充分重视。“湿件”第一次将人的作用突出出来，而且这种作用远远高于软件和硬件。没有软件，硬件是无用的；没有人的操作或指示，软件、硬件一起也做不了什么；由此可见，“湿件”是IT系统最为基础的部分。
网络安全的脆弱一环
尽管“湿件”的作用如此基础和重要，但是长期以来却未被提到应有的重视高度。尤其是在中国的网络安全领域，对于“湿件”的研究基本是个“空白”，目前，启明星辰公司敏锐地发现这一“空白”，第一次将安全“湿件”与安全服务紧密地联系在一起，第一次将人在信息安全中的决定性作用突出了出来。
三个典型的案例很容易说明问题。
案例一：某小区的保安系统很健全，24小时有保安守卫，但最近却发现有小偷入户行窃。尽管没有搞清入侵者是从哪儿进来的，有关部门还是贴了一个告示，提醒大家夏天别开窗户以防小偷。由于没有找出问题的症结所在，同样的事情在该小区再次发生。后来有人发现，小区里栏杆的设计不合理，让小偷钻了进去，如果拉两个栏杆，就可以防止这种情况。
这个案例说明，我们必须充分了解攻击者和攻击行为发生的原因，才有可能有效防御攻击。
案例二：某部门存放重要文档的电脑出了故障，保管文档的人在部门内对电脑进行了修理。一段时间后，该重要文档泄漏了，并被公开到互联网上。经过一番追查，最后发现是修理电脑的人偷偷将文档拷贝了下来。这个案例说明，人员安全意识的缺失是遭到攻击的致命因素。
案例三：“你想要值钱的东西吗?想要，你就去拿吧。”全球最著名的黑客Mitrdck语出惊人。人们都认为他拥有无人能敌的高超技术，他却在自己的《欺骗的艺术》一书中说，安全的核心和根本，不是技术问题，而是人和管理问题；安全最薄弱的环节是人的因素，穿透人这道防火墙往往非常容易。
从这三个案例中，我们不难看出，人的因素在信息安全中是何等重要。这也是启明星辰为何将“湿件”引入安全服务的意义所在。对“安全湿件”的强调，体现了一种系统的安全设计思想，有了这种意识，用户在构建安全系统时会考虑更多的因素。如果用户没有考虑到“湿件”也是安全系统的一个组成部分，他设计出来的安全防御系统肯定是不健全的，是失去平衡的，结果是花了很多钱，建造的安全系统并不安全。
完善安全系统
信息安全是动态的，是过程，是攻击和防御的平衡，从这个角度讲，可将安全“湿件”划分为攻击型“湿件”和防御型“湿件”。攻击“湿件”和防御“湿件”都可以进一步细分下去。例如，防御型“湿件”还可以按照不同的人、不同类型的知识进行细分。
在信息安全系统中，攻击和防御是密不可分、相辅相成的两个方面。一方面，所谓“知彼知己、百战不殆”，只有在攻防结合的基础上，充分地了解甚至先考虑攻击“湿件”，知道攻击“湿件”是什么、在哪里、怎么样，才谈得上有效防御。目前很多安全产品或方案存在着一个严重的缺陷，那就是并不了解攻击者，也就是没有防御的明确目标，只是凭想象强行建立起一种防御系统。其实也许用户根本不需要那么强大的防御系统，这就是忽略了攻击“湿件”产生的问题。
安全“湿件”有助于企业提高和完善现有系统的安全性。企业在进行安全投资的时候，应该首先注重培养人才，培养“湿件”，甚至应该把“湿件”摆在硬件和软件之前考虑。实践证明，“湿件”的投资回报率相当高，产生的效果巨大。“湿件”应该是排在软件和硬件之前的基础性的部件。
由于防御型“湿件”中的人总是不可避免地具有脆弱性，这给攻击型“湿件”提供了可乘之机，安全风险在所难免，安全产品和安全技术有时也会失灵。刘恒博士指出，许多安全问题仅凭安全产品和技术是解决不了的，必须充分考虑人的因素，用基于“湿件”的服务去解决。
从上述角度来看，信息安全的关注点正在发生变化，转向关注“湿件”。高明的用户一方面要构建自己内部的安全“湿件”，另一方面在自身“湿件”不够强健时，则可以购买专业安全公司提供的安全“湿件”。“湿件”作为服务成为主流，无疑是安全产业发展的必然趋势。
崭新的安全服务
“湿件”与安全服务紧密相关，但是并 不能划等号，也不能划大于号或小于号。因为服务强调的是一种形式和过程，而安全“湿件”强调的是安全软件和硬件之外的人的重要性，突出的是系统的有机性，是一种强调完整协调一致的理念。安全“湿件”作为服务的一种形式应该成为安全业界的主流。启明星辰的M2S就是全新的基于“湿件”的安全服务。
作为一个重要的防御型“湿件”，M2S体现的是具有标志性的专业化的安全服务。这个体系是在启明星辰TSP理念的指导下，在多年安全服务最佳实践的基础上，结合国际先进的安全服务理念、模型和业务模式，以用户需求为中心，以注重实效为宗旨，推出的一种全面、细致的全新服务模式，主要包括国际化管理咨询、专业化风险评估、实时性管理监控、专家型应急响应等内容。
M2S，一个能够进行全面防范、即时监测、专家响应的实时安全过程，是一种全新的安全“湿件”。M2S有4层含义：MMS(Managed Monitoring Services)，体现了专业的监控技术与服务；MSS(Managed Security Services)，体现了安全企业与国际通用托管式安全服务的融合，强调安全企业要保持国际安全服务的规范性；MtoS(Management to Security)，阐明了安全企业倡导的“通过管理达到安全”的理念，也契合了“服务的核心在于人”的理念；MSM(Management Secu-rity Monitory)，管理安全监控，这里尤其体现了本地化差异性，与国外MSM主要根据设备来实行监控管理不同，M2S致力于解决客户几乎所有的安全问题，范围更为广泛。
可以说，“湿件”理论与M2S的有效结合，提升了网络和系统自身的防御能力，为更多的用户提升了生产效能，而将安全“湿件”与服务紧密相联，也完全可以有效帮助信息安全企业在安全服务领域树立新的里程碑。
管理篇>>>
安全风险管理的游戏规则
驾驭风险，方可掌控安全。日前，绿盟科技专业服务部总监王红阳，就目前信息安全风险评估以及风险管理的创新理念、前沿技术、创建适应企业发展的网络环境等问题，接受了《软件世界》杂志的采访。
软件世界：如何理解风险管理的概念？绿盟科技在这方面的研究有没有什么前沿性的课题？
王红阳：在COSO企业风险管理框架中，风险定义为任何可能影响某一组织实现其目标的事项。风险的范围可能是财务、合法性、符合性、运维、市场、战略、信息、技术、人员、声誉等方面。风险包括恶性事件带来的威胁、尚不能确定后果的事件、可转化为机会的事件。风险管理是发现和了解组织中风险的各个方面，并且付诸明智的行动帮助组织实现战略目标，减少失败的可能并降低不确定的经营结果的整个过程。信息安全风险评估(本文以下简称“风险评估”)，则是指依据国家、国际有关信息技术、安全技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学、公正的综合评估活动过程，它要评估信息系统的脆弱性、信息系统面临的威胁，以及脆弱性被威胁源利用后所产生的实际负面影响等，并根据安全事件发生的可能性和负面影响的程度，来识别信息系统的安全风险。
信息安全是一个动态的复杂过程，它贯穿于信息资产和信息系统的整个生命周期。信息安全的威胁来自于内部破坏、外部攻击、内外勾结进行的破坏以及自然危害。必须按照风险管理的思想，对可能的威胁、脆弱性和需要保护的信息资源进行分析，依据风险评估的结果为信息系统选择适当的安全措施，妥善应对可能发生的风险。企业风险管理使管理当局能够有效的应对不确定性以及由此带来的风险和机会。
软件世界：如何在一个组织的网络中识别出风险所在？
王红阳：风险评估遵循了ISOl7799、ISOl3335、ISOl5408(GB／T18336)、SSE-CMM等一系列的国际和国内标准，这些标准提供了评估过程、评估方法、评估模型、评估内容等多方面的规范化指导，同时在评估算法、评估操作等方面参考了AS／NZS4360。GAO／AIMD-00-33，GAO／AIMD-98 68．BSI PD3000等美国、澳大利亚、新西兰的标准和规范。
风险评估的过程就是对信息系统所面临的各种风险发生的可能性和风险发生后的严重性进行评价，即在国际、国内等相关标准和规范的指导下对信息系统的资产、威胁、脆弱性三要素进行详细具体的评估。
风险评估包含了(但不仅限于)以下一系列的技术评估手段和管理评估手段：
・安全扫描：通过评估工具软件或专用安全评估系统自动获取评估对象的脆弱性信息，包括主机扫描、网络扫描、数据库扫描等，用于分析系统、应用、网络设备存在的常见漏洞。
・人工检查：通过人工方式直接操作评估对象来获取所需要的安全配置信息，主要解决远程无法通过工具软件或设备获得的信息，以及为避免评估意外事件而采取的方法。
・IDS取样分析：通过在核心网络采样监听通信数据方式，获取网络中存在的攻击和蠕虫行为，并对通信流量进行分析。
・渗透测试：在获取用户授权后，通过真实模拟黑客使用的工具、方法来进行实际漏洞发现和利用的安全测试方法。
・应用安全评估：对用户业务应用软件进行安全功能审核、渗透测试、源代码审核等。
・安全管理审计：通过文档审核、策略审核、问卷调查、顾问访谈等形式，对信息安全策略、组织信息安全、资产管理、人力资源安全、物理和环境的安全、日常运作和通讯、访问控制、系统的获得、开发与维护、信息安全事件管理、业务持续性管理、符合性等方面进行综合评估。
软件世界：信息资产风险管理的内容包括什么？通过怎样的策略和方案可以达到风险管理的目的？
王红阳：信息安全风险评估的目的是全面、准确的了解组织机构的网络安全现状，发现系统的安全问题及其可能存在的危害，以便为系统最终安全需求的提出提供依据。同时，也是为了分析网络信息系统的安全需求，找出目前的安全策略和实际需求的差距，为保护信息系统的安全提供科学依据。进而通过合理步骤，制定出适合系统具体情况的安全策略及其管理和实施规范，为安全体系的设计提供参考。
信息安全风险评估是一个组织机构实现信息系统安全必要的、重要的步骤，可以使决策者对其业务信息系统的安全建设或安全改造思路有更深刻的认识。通过信息安全风险评估，他们将清楚业务信息系统包含的重要资产、面临的主要威胁、本身的弱点；哪些威胁出现的可能性较大，造成的影响也较大，哪些威胁出现的可能性较小，造成的影响可以忽略不计；通过保护哪些资产，防止哪些威胁出现，如何保护和防止才能保证系统达到一定的安全级别；提出的安全方案需要多少技术和费用的支持，更进一步，还会分析出信息系统的风险是如何随时间变化的，将来应如何面对这些风险，这需要建立一个晚上的体系。
