解 艷

（寶雞職業(yè)技術學院 陜西 寶雞 721013）

網絡安全評估又叫安全評價。一個組織的信息系統經常會面臨內部和外部威脅的風險。安全評估利用大量安全性行業(yè)經驗和漏洞掃描的最先進技術，從內部和外部兩個角度，對系統進行全面的評估。

1 網絡安全評估標準

網絡安全評估標準簡介：

1.1 TCSEC

TCSEC標準是計算機系統安全評估的第一個正式標準，具有劃時代的意義。該準則于1970年由美國國防科學委員會提出，并于1985年12月由美國國防部公布。TCSEC安全要求由策略(Policy)、保障(Assuerance)類和可追究性(Accountability)類構成。TCSEC將計算機系統按照安全要從由低到高分為四個等級。四個等級包括D、C、B和A，每個等級下面又分為七個級別：D1、C1、C2、B1、B2、B3 和 A1 七個類別，每一級別要求涵蓋安全策略、責任、保證、文檔四個方面。

TCSEC安全概念僅僅涉及防護，而缺乏對安全功能檢查和如何應對安全漏洞方面問題的研究和探討，因此TCSEC有很大的局限性。它運用的主要安全策略是訪問控制機制。

1.2 ITSEC

ITSEC在1990年由德國信息安全局發(fā)起，該標準的制定，有利于歐共體標準一體化，也有利于各國在評估結果上的互認。該標準在TCSEC的基礎上，首次提出了信息安全CIA概念（保密性、完整性、可用性）。ITSEC的安全功能要求從F1～F10共分為10級，其中1～5級分別于TCSEC的D-A對應，6～10級的定義為：F6：數據和程序的完整性；F7：系統可用性；F8：數據通信完整性；F9：數據通信保密性；F10：包括機密性和完整性。

1.3 CC

CC標準是由美國發(fā)起的，英國、法國、德國等國共同參與制定的，是當前信息系統安全認證方面最權威的標準。CC由三部分組成：見解和一般模型、安全功能要求和安全保證要求。CC提出了從低到高的七個安全保證等級，從EAL1到EAL7。該標準主要保護信息的保密性、完整性和可用性三大特性。評估對象包括信息技術產品或系統，不論其實現方式是硬件、固件還是軟件。

2 網絡安全評估方法

目前網絡安全評估方法有很多，有的通過定性的評價給出IT系統的風險情況，有的是通過定量的計算得到IT系統的風險值，從系統的風險取值高低來衡量系統的安全性?，F在最常用的還是綜合分析法，它是以上兩種方式的結合，通過兩種方法的結合應用，對系統的風險進行定性和定量的評價。下面介紹幾種常見方法。

2.1 確定性評估（點估計）

確定性評估要求輸入為單一的數據，比如50%為置信區(qū)間的上限值，假設當輸入的值大于該值時，一般是表示“最壞的情況”。確定性評估應用比較簡單，節(jié)省時間，在某些情況下可以采用該方法。點估計的不足在于對風險情況缺乏全面、深入的理解。

2.2 可能性評估（概率評估）

可能性評估要求輸入在一個區(qū)間范圍內的數據，通過該數據分布情況和概率來作出判斷，其結果的準確性比較依靠評估者的能力和安全知識水平。

2.3 故障樹分析法（FAT）

故障樹分析法是一種樹形圖，也是一種邏輯因果關系圖。它從頂事件逐級向下分析各自的直接原因事件，用邏輯門符號連接上下事件，從上到下開始分析直至所要求的分析深度。

3 網絡安全評估工具

在信息系統的評估中，我們經常會用到問卷調查和檢查列表等。這些只能用于風險評估的某些過程。目前，各大安全公司都先后推出自己的評估工具，使得信息系統的安全評估更加的自動化。常見的評估工具主要有下列幾種：

3.1 Asset-1

Asset-1評估工具是以NIST SP800-26為標準制定的用于安全性自我評估的自動化工具。工具的主要功能是進行信息系統安全性的自評估，采用形式是通過用戶手動操作進行自評估，達到收集系統安全性相關信息的目的，工具最終生成安全性自評估報告。最終生成的報告只能達到與用戶提供的信息統計的準確性，工具并不能引導分析或驗證自我評估提供信息的關聯性、準確性。

根據NIST安全性自我評估向導，將安全級別分為五級：一般、策略、實施、測驗、檢驗。此工具的每個調查問題都相當于一個命題，陳述為了確保系統的安全性應該做到的相關事項，用戶對于問題的回答就是選擇系統對于此項命題的安全程度為上述五級中的哪些級別。最后通過統計在某一級別上問題命題和級別選定，來統計系統的安全措施達到的安全級別。

3.2 CC評估工具

CC評估工具由NIAP發(fā)布，由兩部分組成：CC PKB和CC ToolBox。

CC PKB是進行CC評估的支持數據庫，基于Access構建。使用Access VBA開發(fā)了所有庫表的管理程序，在管理主窗體中可以完成所有表的記錄修改、增加、刪除，管理主窗體以基本表為主，并體現了所有庫表之間的主要連接關系，通過連接關系可以對其他非基本表的記錄進行增刪改。

CC ToolBox是進行CC評估的主要工具，主要采用頁面調查形式，用戶通過依次填充每個頁面的調查項來完成評估，最后生成關于評估所進行的詳細調查結果和最終評估報告。

CC評估系統依據CC標準進行評估，評估被測達到CC標準的程度，評估主要包括PP評估、TOE評估等。

3.3 COBRA風險管理工具

安全風險分析管理和評估是保證IT安全的一個重要方法，它是組織安全的重要基礎。1991年,C&A Systems Security Ltd推出了自動化風險管理工具COBRA 1版本，用于風險管理評估。隨著COBRA的發(fā)展，目前的產品不僅僅具有風險管理功能，還可以用于評估是否符合BS7799標準，是否符合組織自身制定的安全策略。COBRA系列工具包括風險咨詢工具、ISO17799/BS7799咨詢工具、策略一致性分析工具、數據安全性咨詢工具。

COBRA采用調查表的形式，在PC機上使用，基于知識庫，類似專家系統的模式。它評估威脅、脆弱性的相關重要性，并生成合適的改進建議。最后針對每類風險形成文字評估報告、風險等級，所指出的風險自動與給系統造成的影響相聯系。

COBRA風險評估過程比較靈活，一般都包括問題表構建、風險評估、產生報告。每部分分別由問題表構建、風險評估、產生報告生成三個子系統完成。

3.4 RiskPAC評估工具

RiskPAC是CSCI公司開發(fā)的，對組織進行風險評估、業(yè)務影響分析的工具，它完成定量和定性風險評估。

RiskPAC將風險分為幾個級別，即低級、中級、高級等，針對每個級別都有不同的風險描述，根據不同風險級別問題的構造和回答，完成風險評估。

RiskPAC包括兩個獨立的工具：問題設計器和調查管理器。其中問題表設計器進行業(yè)務分析和風險評估的調查表設計，調查管理器就是將已選定的調查表以易用的形式提供給用戶，供用戶選擇相應答案，根據答案做出分析評估結論。

3.5 RiskWatch工具

使用RiskWatch風險分析工具，用戶可以根據實際需求定制風險分析和脆弱性評估過程，而其他風險評估工具都沒有提供此項功能。RiskWatch通過兩個特性：定量和定性風險分析、預制風險分析模板，為用戶提供這種定制功能。

4 總結

網絡安全評估是在網絡安全領域里最關鍵的問題。目前，國內外還沒形成對網絡設備的安全性評估的統一的標準，只是在網絡安全的其他方面有所提及到，但也都不沒有明確。所以說網絡設備的安全性評估這個問題在今后相當長的一段時間中還需要我們網絡工作人員及相關的專家在實際工作中和研究中對網絡設備的安全性多多關注，以便盡早的在這一方面形成一定的評斷標準，填補這方面的空白。

［1］馮登國，張陽，張玉清.信息安全風險評估綜述.北京：通信學報，2004（7）.

［2］上官曉麗，羅鋒盈，胡嘯，等.國際信息安全管理標準的相關研究.北京：信息技術與標準化，2004（11）.

［3］胡錚.網絡與信息安全.北京：清華大學出版社，2006.