石兆軍， 武越， 李可， 劉向東， 李楠

（中國(guó)航天科工集團(tuán)第二研究院706所，北京100854）

企業(yè)信息系統(tǒng)安全風(fēng)險(xiǎn)分析及加固建議*

石兆軍， 武越， 李可， 劉向東， 李楠

（中國(guó)航天科工集團(tuán)第二研究院706所，北京100854）

近年來(lái)，隨著信息技術(shù)的不斷發(fā)展和廣泛應(yīng)用，信息系統(tǒng)已經(jīng)成為人類社會(huì)中各個(gè)領(lǐng)域必不可少的基礎(chǔ)設(shè)施，極大推動(dòng)了人類社會(huì)的發(fā)展。但同時(shí)，隨著信息技術(shù)的深入應(yīng)用，也帶來(lái)了新的威脅和挑戰(zhàn)。本文在調(diào)研信息系統(tǒng)建設(shè)現(xiàn)狀的基礎(chǔ)上，總結(jié)了面臨的信息安全風(fēng)險(xiǎn)，并針對(duì)這些風(fēng)險(xiǎn)提出了完善信息安全防護(hù)體系的加固措施及建議，能夠?yàn)樾畔踩雷o(hù)體系建設(shè)提供有效借鑒。

信息安全；安全風(fēng)險(xiǎn)；信息安全防護(hù)體系

0 引言

隨著信息技術(shù)的不斷發(fā)展、應(yīng)用，極大的推動(dòng)了人類社會(huì)的發(fā)展和進(jìn)步，借助于信息技術(shù)人類步入了一個(gè)嶄新的信息時(shí)代。信息系統(tǒng)已成為社會(huì)各個(gè)領(lǐng)域不可或缺、賴以生存的基礎(chǔ)設(shè)施，信息已成為重要資源，信息化水平已成為衡量一個(gè)國(guó)家、一個(gè)企業(yè)現(xiàn)代化程度和綜合實(shí)力的重要標(biāo)志之一。

然而，信息化技術(shù)在不斷支撐、豐富國(guó)家、企業(yè)各項(xiàng)業(yè)務(wù)有效開(kāi)展的同時(shí)，也為各行各業(yè)的發(fā)展帶來(lái)了新的威脅和挑戰(zhàn)。國(guó)家的信息安全已成為國(guó)家安全最核心的要素之一。在信息時(shí)代，信息系統(tǒng)的不安全，也就談不上國(guó)家的整體安全，并會(huì)引發(fā)其他一系列問(wèn)題的產(chǎn)生，使整個(gè)國(guó)家建設(shè)陷入被動(dòng)。

2014年2月27日，中共中央總書(shū)記、國(guó)家主席、中央軍委主席、中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組組長(zhǎng)習(xí)近平主持召開(kāi)中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組第一次會(huì)議并發(fā)表重要講話，標(biāo)志著中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組的成立。習(xí)近平強(qiáng)調(diào)，網(wǎng)絡(luò)安全和信息化是事關(guān)國(guó)家安全和國(guó)家發(fā)展、事關(guān)廣大人民群眾工作生活的重大戰(zhàn)略問(wèn)題，要從國(guó)際國(guó)內(nèi)大勢(shì)出發(fā)，總體布局，統(tǒng)籌各方，創(chuàng)新發(fā)展，努力把我國(guó)建設(shè)成為網(wǎng)絡(luò)強(qiáng)國(guó)。他指出，沒(méi)有網(wǎng)絡(luò)安全就沒(méi)有國(guó)家安全，沒(méi)有信息化就沒(méi)有現(xiàn)代化。習(xí)近平在會(huì)上還強(qiáng)調(diào)，網(wǎng)絡(luò)安全和信息化是一體之兩翼、驅(qū)動(dòng)之雙輪，必須統(tǒng)一謀劃、統(tǒng)一部署、統(tǒng)一推進(jìn)、統(tǒng)一實(shí)施。

1 企業(yè)信息系統(tǒng)安全防護(hù)現(xiàn)狀

信息系統(tǒng)的建設(shè)已成為衡量各行各業(yè)發(fā)展的重要指標(biāo)，其中不乏金融機(jī)構(gòu)、高新技術(shù)產(chǎn)業(yè)、制造生產(chǎn)等行業(yè)領(lǐng)域。部分特殊的企業(yè)由于敏感性，對(duì)國(guó)家而言極其重要，當(dāng)其安全性受到破壞后，將嚴(yán)重影響社會(huì)秩序、公眾利益甚至國(guó)家的安全和穩(wěn)定。因此，對(duì)于這些企業(yè)而言，信息安全除了強(qiáng)調(diào)保證信息的保密性、完整性、可用性之外，同時(shí)強(qiáng)調(diào)可靠性、可控性、不可抵賴性，總而言之，信息安全就是要保證信息系統(tǒng)及信息網(wǎng)絡(luò)中的信息資源不因自然或人為的因素而遭到破壞、更改、泄露、竊取和非法使用。

2003年9月7日，中辦和國(guó)辦聯(lián)合下發(fā)《關(guān)于加強(qiáng)信息安全保障工作的意見(jiàn)》（中辦發(fā)［2003］27號(hào)，以下簡(jiǎn)稱27號(hào)文件）。該文件是我國(guó)信息安全保障工作的基礎(chǔ)性文件，作為國(guó)家信息安全保障工作的總體指導(dǎo)，奠定了我國(guó)信息安全保障體系的構(gòu)建方向。該文件是我國(guó)信息安全歷史上最重要的、具有轉(zhuǎn)折的文件之一，確立了信息安全的重要位置，開(kāi)始從國(guó)家的層面上關(guān)注、重視信息安全問(wèn)題。該文件明確了對(duì)重要信息系統(tǒng)實(shí)行等級(jí)保護(hù)制度，對(duì)涉及國(guó)家秘密的信息系統(tǒng)實(shí)行分級(jí)保護(hù)制度。

不論是等級(jí)保護(hù)或者分級(jí)保護(hù)，中心思想是按照被保護(hù)對(duì)象的防護(hù)需求和等級(jí)，采取相應(yīng)的措施來(lái)構(gòu)建相應(yīng)等級(jí)的信息安全保障體系。

隨著27號(hào)文件的貫徹執(zhí)行，經(jīng)過(guò)多年的建設(shè)，大部分企業(yè)都初步建成了涵蓋物理與網(wǎng)絡(luò)安全、應(yīng)用系統(tǒng)及數(shù)據(jù)安全以及安全保密管理等層面的信息安全體系，部署建設(shè)了防火墻、入侵檢測(cè)、漏洞掃描、計(jì)算機(jī)防病毒、主機(jī)監(jiān)控與審計(jì)、補(bǔ)丁管理、身份認(rèn)證等安全產(chǎn)品，一些條件較好的企業(yè)還建設(shè)了存儲(chǔ)備份系統(tǒng)和異地備份環(huán)境，進(jìn)一步加強(qiáng)了對(duì)數(shù)據(jù)資產(chǎn)的安全防護(hù)。通過(guò)以上建設(shè)措施，實(shí)現(xiàn)了一定的防護(hù)目標(biāo)，基本保證了業(yè)務(wù)發(fā)展的信息安全需求。

但就信息系統(tǒng)的組成而言，主要包括以下要素:

1）硬件設(shè)備:包括服務(wù)器、終端計(jì)算機(jī)、網(wǎng)絡(luò)設(shè)備、工控機(jī)、存儲(chǔ)設(shè)備等。

2）軟件系統(tǒng):包括操作系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫(kù)、中間件、軟件工具（通用軟件、專業(yè)軟件）等。

3）安全防護(hù)設(shè)備:包括防火墻、入侵檢測(cè)系統(tǒng)、補(bǔ)丁分發(fā)系統(tǒng)、計(jì)算機(jī)防病毒系統(tǒng)、主機(jī)監(jiān)控與審計(jì)系統(tǒng)、網(wǎng)絡(luò)接入控制、漏洞掃描系統(tǒng)、身份認(rèn)證系統(tǒng)、打印監(jiān)控與審計(jì)系統(tǒng)、刻盤(pán)監(jiān)控與審計(jì)系統(tǒng)、安全NAS、堡壘機(jī)、WEB應(yīng)用網(wǎng)關(guān)、數(shù)據(jù)庫(kù)漏洞掃描系統(tǒng)、WEB應(yīng)用漏洞掃描系統(tǒng)等。

4）數(shù)據(jù)資產(chǎn):數(shù)據(jù)資產(chǎn)是信息系統(tǒng)的重點(diǎn)防護(hù)對(duì)象，其主要存儲(chǔ)于數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)、服務(wù)器、終端計(jì)算機(jī)、安全產(chǎn)品、存儲(chǔ)設(shè)備等。

5）人員:包括使用人員和運(yùn)維管理人員。

2 信息系統(tǒng)的防護(hù)難點(diǎn)及存在的主要問(wèn)題分析

2.1 信息系統(tǒng)的防護(hù)難點(diǎn)

近些年，借助于等級(jí)保護(hù)和分級(jí)保護(hù)工作的推力，各個(gè)企業(yè)的信息系統(tǒng)在物理安全、運(yùn)行安全、安全保密管理等方面取得了一定的成效，具備了一定的防護(hù)能力，但是，隨著信息技術(shù)的飛速發(fā)展和廣泛應(yīng)用，信息安全防護(hù)難點(diǎn)更加突顯出來(lái)，主要體現(xiàn)在以下幾個(gè)方面:

（1）高度脆弱性和風(fēng)險(xiǎn)性

現(xiàn)如今，信息系統(tǒng)的應(yīng)用需求在不斷增加，涉及各個(gè)業(yè)務(wù)領(lǐng)域，網(wǎng)絡(luò)規(guī)模不斷增長(zhǎng)，信息系統(tǒng)體系結(jié)構(gòu)更加復(fù)雜。但是，由于信息安全的木桶效應(yīng)，再加上難以控制的技術(shù)漏洞和管理不當(dāng)，必然會(huì)導(dǎo)致不可避免的安全攻擊和災(zāi)難，也就造成信息系統(tǒng)存在高度的脆弱性和風(fēng)險(xiǎn)性。

（2）攻擊源的多樣性和防范對(duì)象的不確定性

傳統(tǒng)的國(guó)家安全中，有能力對(duì)國(guó)家的軍事和政治安全構(gòu)成威脅的主要是國(guó)家的敵對(duì)國(guó)家和敵對(duì)組織，當(dāng)一個(gè)國(guó)家受到了攻擊，也能很快確定攻擊是由誰(shuí)發(fā)動(dòng)的，進(jìn)而采取有針對(duì)性地措施。但是，隨著信息化的不斷推進(jìn)，信息系統(tǒng)規(guī)模不斷擴(kuò)大，組成信息系統(tǒng)的各類硬件、軟件、系統(tǒng)，以及各類人員都有可能成為威脅主體，軟硬件的后門(mén)、漏洞、缺陷，包括對(duì)人員的誘惑都是攻擊信息系統(tǒng)的常用手段。正是由于攻擊源的多樣性和防范對(duì)象的不確定性也就造成了企業(yè)信息系統(tǒng)的信息安全保障防不慎防。

2.2 存在的主要問(wèn)題分析

信息系統(tǒng)隨著等級(jí)保護(hù)和分級(jí)保護(hù)工作的不斷開(kāi)展，初步具備了防止內(nèi)部人員過(guò)失泄密的防護(hù)效果，但是信息系統(tǒng)在防止外部非法入侵和內(nèi)部主動(dòng)竊密等方面仍面臨著嚴(yán)峻的局面。具體體現(xiàn)在以下幾個(gè)方面:

（1）終端、服務(wù)器層面

1）計(jì)算機(jī)基本安全保密配置不到位或管理不到位，導(dǎo)致用戶可以私自更改BIOS啟動(dòng)順序，造成用戶終端的所有安全防護(hù)產(chǎn)品功能失效，進(jìn)而竊取用戶終端所有的文件資料、植入病毒或者木馬。

2）安全產(chǎn)品配置不當(dāng)，不能起到預(yù)期的防護(hù)效果，誤報(bào)、漏報(bào)情況多見(jiàn)；安全產(chǎn)品之間、安全產(chǎn)品與應(yīng)用軟件之間兼容性存在問(wèn)題，多數(shù)情況下為了保障業(yè)務(wù)應(yīng)用的正常開(kāi)展，只能放棄安全技術(shù)防護(hù)措施，僅僅借助于管理手段進(jìn)行管理，然而實(shí)際過(guò)程中是否嚴(yán)格管理、是否有效監(jiān)督不好衡量。

3）服務(wù)器的防護(hù)、監(jiān)控措施不足，大部分服務(wù)器僅僅安裝了病毒防護(hù)軟件，且大量服務(wù)器均存在刻錄光驅(qū)，且安裝有刻錄軟件，對(duì)服務(wù)器的輸入輸出沒(méi)有監(jiān)控審計(jì)技術(shù)手段。

4）操作系統(tǒng)基本上都是用國(guó)外，服務(wù)器大部分為Windows Server2003（已停止升級(jí)服務(wù)）、Windows Server2008，用戶終端操作系統(tǒng)Windows XP（已停止升級(jí)服務(wù)），據(jù)了解，自Windows XP、Windows Server2003停止補(bǔ)丁升級(jí)以來(lái)，國(guó)內(nèi)外已囤積大量的0day工具，一旦0day漏洞被利用，后果不堪設(shè)想。

（2）網(wǎng)絡(luò)層面

1）網(wǎng)絡(luò)設(shè)備安全配置不當(dāng)，開(kāi)啟多余服務(wù)、端口，存在被非授權(quán)訪問(wèn)的隱患。

2）未采取接入控制措施對(duì)接入設(shè)備進(jìn)行一一綁定，造成存在設(shè)備非法接入的風(fēng)險(xiǎn)。

3）未對(duì)設(shè)備、用戶進(jìn)行分域分級(jí)，未按照“最小化”原則采取嚴(yán)格的訪問(wèn)控制措施，導(dǎo)致網(wǎng)絡(luò)拓?fù)浠靵y，重要資產(chǎn)（服務(wù)器、防火墻、核心交換機(jī)等）存在被非授權(quán)訪問(wèn)的安全隱患。

（3）硬件設(shè)備層面

所使用的大量硬件資產(chǎn)（服務(wù)器、交換機(jī)、工控設(shè)備等）采用國(guó)外進(jìn)口，不了解底層硬件的工作機(jī)制，是否存在隱通道至今沒(méi)有檢測(cè)驗(yàn)證手段。國(guó)家層面缺少對(duì)該類設(shè)備的檢測(cè)方法，存在諸如后門(mén)、系統(tǒng)缺陷的安全隱患，如惠普某型號(hào)服務(wù)器、三星某打印機(jī)已經(jīng)被證實(shí)存在后門(mén)；另外，由于某些特殊的工作只能使用國(guó)外進(jìn)口的專用設(shè)備，對(duì)其只能依靠廠商的專業(yè)維修團(tuán)隊(duì)來(lái)進(jìn)行維修，也就造成在維修過(guò)程中存在被植入惡意程序或竊取數(shù)據(jù)的風(fēng)險(xiǎn)。

（4）應(yīng)用層面

1）應(yīng)用系統(tǒng)存在身份認(rèn)證缺陷，如管理員弱口令、或者僅使用用戶名、身份證號(hào)等簡(jiǎn)單信息作為身份認(rèn)證的憑證，攻擊者可以利用這些漏洞進(jìn)行水平或者垂直提權(quán)，進(jìn)而盜取數(shù)據(jù)、獲得管理員權(quán)限，對(duì)系統(tǒng)實(shí)施非授權(quán)管理和控制。

2）現(xiàn)有應(yīng)用系統(tǒng)的開(kāi)發(fā)重點(diǎn)關(guān)注業(yè)務(wù)需求的實(shí)現(xiàn)方面，很少考慮代碼安全性，如SQL注入、跨站腳本攻擊、文件上傳等簡(jiǎn)單易用的高風(fēng)險(xiǎn)漏洞，導(dǎo)致在系統(tǒng)上線之后，輕易被攻擊，獲取權(quán)限、拖庫(kù)，淪為攻擊跳板。另外，在用的一些應(yīng)用系統(tǒng)仍有部分使用開(kāi)源代碼，攻擊者通過(guò)研究開(kāi)源代碼，就能輕松對(duì)系統(tǒng)實(shí)施攻擊。為防止WEB應(yīng)用的漏洞被利用，有些企業(yè)也采取了一些措施，比如實(shí)施WEB防火墻，但是，這種方法治標(biāo)不治本，僅僅能防范一些低級(jí)攻擊者。

3）自2014年4月爆出的OpenSSL心臟流血漏洞［1］來(lái)看，目前所有使用的網(wǎng)絡(luò)協(xié)議還有多少存在重大安全問(wèn)題，都是未知數(shù)。

4）目前大部分應(yīng)用均配合使用了中間件，如Tomcat、Weblogic、普元等，中間件已經(jīng)成為攻擊者的重點(diǎn)攻擊對(duì)象，中間件不可避免的不停升級(jí)，但是，大部分企業(yè)使用的應(yīng)用系統(tǒng)基本都是一次性交付，很少及時(shí)為中間件升級(jí)；另外，在實(shí)際應(yīng)用中仍然存在使用默認(rèn)用戶名口令的情況，為攻擊提供了極大的便利。

（5）數(shù)據(jù)層面

在數(shù)據(jù)資源方面，目前，大部分?jǐn)?shù)據(jù)仍以明文的形式、或者簡(jiǎn)單的格式變換存儲(chǔ)于服務(wù)器、數(shù)據(jù)庫(kù)、用戶終端，服務(wù)器的運(yùn)維人員能夠非授權(quán)訪問(wèn)到業(yè)務(wù)數(shù)據(jù)。

（6）安全審計(jì)層面

1）雖然部署了一些安全產(chǎn)品，如殺毒軟件、IDS、防火墻等，每一類產(chǎn)品僅能針對(duì)某一類安全問(wèn)題較為有效，對(duì)于信息系統(tǒng)的審計(jì)目前過(guò)于松散、獨(dú)立，沒(méi)有關(guān)聯(lián)性，不成體系，同時(shí)由于各類系統(tǒng)日志信息的不完整、誤報(bào)、漏報(bào)，造成審計(jì)的實(shí)際作用未充分體現(xiàn)。

2）雖然部分單位部署了安全管理平臺(tái)類收集日志的系統(tǒng)，但存在日志收集不全面，智能分析能力弱，缺乏針對(duì)全局的整體安全形勢(shì)監(jiān)控手段，難以實(shí)現(xiàn)多信息系統(tǒng)的綜合監(jiān)控及安全事件及態(tài)勢(shì)分析。

2.3 攻擊技術(shù)的主要特點(diǎn)

近年來(lái)，網(wǎng)絡(luò)安全攻擊事件逐年增加，針對(duì)特定目標(biāo)的各類攻擊的精確性及針對(duì)性大大提高，目標(biāo)對(duì)象范圍不斷擴(kuò)大，從傳統(tǒng)的互聯(lián)網(wǎng)領(lǐng)域逐漸蔓延至涵蓋了各類信息基礎(chǔ)實(shí)施、通信鏈路的網(wǎng)絡(luò)電磁空間領(lǐng)域，涉及到經(jīng)濟(jì)、工業(yè)、政府部門(mén)、國(guó)防軍工、民用領(lǐng)域的各類網(wǎng)絡(luò)基礎(chǔ)設(shè)施。

目前最流行、最大威脅的攻擊就是APT攻擊［2］。APT攻擊: APT（AdvancedPersistentThreat高級(jí)持續(xù)性威脅），此類攻擊的特點(diǎn)包括:

（1）針對(duì)性強(qiáng)，目的明確

1）重點(diǎn)針對(duì)具有大量有價(jià)值信息的特定組織機(jī)構(gòu)，如:政府、軍事機(jī)構(gòu)、軍工企業(yè)等；

2）主要以竊取信息為主要目的，如:國(guó)家秘密、軍事情報(bào)、政府文件等；

（2）準(zhǔn)備充分，攻擊持續(xù)時(shí)間長(zhǎng)

1）利用幾個(gè)月甚至更長(zhǎng)的時(shí)間收集目標(biāo)信息，分析目標(biāo)系統(tǒng)漏洞，有針對(duì)性的設(shè)計(jì)開(kāi)發(fā)漏洞利用工具；

2）一旦攻擊成功，將長(zhǎng)時(shí)間潛伏在目標(biāo)系統(tǒng)中，竊取關(guān)鍵信息；

（3）影響廣泛

由于信息系統(tǒng)復(fù)雜的依賴關(guān)系，且此類攻擊一般針對(duì)重要的組織機(jī)構(gòu)，一旦攻擊成功將波及其他信息系統(tǒng)安全。

APT攻擊的典型代表有“震網(wǎng)”病毒、“火焰”病毒以及“高斯”病毒等。

3 信息系統(tǒng)的安全加固建議

基于信息系統(tǒng)存在的脆弱性以及面臨的安全風(fēng)險(xiǎn)，應(yīng)從以下幾個(gè)方面進(jìn)行加固和改進(jìn)。

（1）采取措施加強(qiáng)對(duì)數(shù)據(jù)資源全生命周期的安全性、可控性、可用性防護(hù)。

重點(diǎn)針對(duì)數(shù)據(jù)資源安全，圍繞存儲(chǔ)安全、標(biāo)識(shí)安全、安全訪問(wèn)、備份安全開(kāi)展數(shù)據(jù)資源安全防護(hù)體系建設(shè)。

存儲(chǔ)安全:采取加密技術(shù)，從數(shù)據(jù)資產(chǎn)產(chǎn)生之初就保障其安全性；

標(biāo)識(shí)安全:采取標(biāo)識(shí)技術(shù)，對(duì)信息進(jìn)行標(biāo)識(shí)，經(jīng)流程審定后，標(biāo)識(shí)與信息主體在其整個(gè)生命周期內(nèi)不可分離，不可隨意篡改。

安全訪問(wèn):采取強(qiáng)制訪問(wèn)控制措施，嚴(yán)格限制數(shù)據(jù)資產(chǎn)的訪問(wèn)主體和訪問(wèn)權(quán)限，如只讀、打印、編輯、再授權(quán)等細(xì)粒度權(quán)限控制。

（2）加強(qiáng)應(yīng)用系統(tǒng)全生命的信息安全約束。

重點(diǎn)針對(duì)應(yīng)用安全，加強(qiáng)對(duì)應(yīng)用系統(tǒng)在需求調(diào)研、系統(tǒng)設(shè)計(jì)、系統(tǒng)開(kāi)發(fā)、系統(tǒng)測(cè)試、系統(tǒng)試運(yùn)行、系統(tǒng)驗(yàn)收、系統(tǒng)運(yùn)維等全生命周期過(guò)程中的安全保障。同時(shí)，應(yīng)定期對(duì)應(yīng)用系統(tǒng)開(kāi)展?jié)B透測(cè)試，有條件的建議開(kāi)展軟件源代碼安全性分析，不斷查找漏洞，不斷提升應(yīng)用系統(tǒng)的安全性，同時(shí)，將已發(fā)現(xiàn)的問(wèn)題進(jìn)行整理、分析、總結(jié)，形成應(yīng)用系統(tǒng)的開(kāi)發(fā)管理規(guī)范，指導(dǎo)后續(xù)應(yīng)用系統(tǒng)安全建設(shè)。

（3）建立綜合安全事件分析統(tǒng)計(jì)平臺(tái)，形成統(tǒng)一安全監(jiān)控能力。

針對(duì)各類安全產(chǎn)品的孤島現(xiàn)象，結(jié)合現(xiàn)有的安全產(chǎn)品的告警日志、應(yīng)用系統(tǒng)的審計(jì)日志，建立異常事件審計(jì)模型，建設(shè)綜合安全事件分析統(tǒng)計(jì)平臺(tái)，對(duì)安全事件進(jìn)行關(guān)聯(lián)審計(jì)分析、實(shí)時(shí)報(bào)警，并展示出安全事件的發(fā)展路線圖和影響范圍。

（4）開(kāi)展核心信息資產(chǎn)的梳理，提升應(yīng)急與災(zāi)備能力。

對(duì)信息資產(chǎn)按重要性進(jìn)行分類梳理，開(kāi)展應(yīng)急災(zāi)備能力建設(shè)，定期開(kāi)展應(yīng)急恢復(fù)演練，確保備份的有效性和恢復(fù)的及時(shí)性。

（5）深入開(kāi)展信息系統(tǒng)精細(xì)化管理，加強(qiáng)信息安全專項(xiàng)檢查，切實(shí)提高信息系統(tǒng)運(yùn)維管理能力。

制定信息系統(tǒng)日常管理操作的詳細(xì)規(guī)范，明確定義日常管理具體工作流程和操作步驟，使信息系統(tǒng)日常運(yùn)行管理制度化、規(guī)范化、流程化和信息化，閉環(huán)管理所有信息安全和運(yùn)維事件，杜絕低層次信息安全問(wèn)題的出現(xiàn)，同時(shí)，進(jìn)一步加強(qiáng)信息安全專項(xiàng)檢查，提升信息系統(tǒng)安全運(yùn)維能力。

（6）借助于攻擊技術(shù)，不斷完善信息安全防護(hù)體系。

矛與盾、攻與防永遠(yuǎn)都是相對(duì)存在的，要驗(yàn)證盾的有效性就要用矛去不斷的攻，信息安全同樣。因此有必要培養(yǎng)、成立一支團(tuán)隊(duì)，學(xué)習(xí)、掌握、熟練攻的技術(shù)，并不斷的實(shí)戰(zhàn)驗(yàn)證，站在攻擊者的角度去思考防的方法，信息系統(tǒng)的安全防護(hù)體系只有經(jīng)歷不斷的攻防迭代過(guò)程，其防護(hù)效能才能有實(shí)質(zhì)的提升。

（7）逐步開(kāi)展國(guó)產(chǎn)自主化產(chǎn)品應(yīng)用，提升自主可控能力。

以試點(diǎn)的形式逐步開(kāi)展國(guó)產(chǎn)自主化網(wǎng)絡(luò)設(shè)備、硬件設(shè)備、操作系統(tǒng)、安全設(shè)備和各類應(yīng)用系統(tǒng)的實(shí)際應(yīng)用，逐步替代現(xiàn)有的國(guó)外產(chǎn)品，探索自主信息安全保障體系，提升信息系統(tǒng)的自主可控能力。

4 結(jié)語(yǔ)

隨著國(guó)家、企業(yè)對(duì)信息安全保障工作的不斷重視，經(jīng)過(guò)多年的信息安全體系建設(shè)，企業(yè)已經(jīng)具備了一定的安全防范能力，但是現(xiàn)有的信息安全防護(hù)體系仍處于、并將長(zhǎng)期處于如履薄冰的狀態(tài)。從近些年持續(xù)不斷爆出的各類安全事件（如OpenSSL協(xié)議漏洞、Apache Struts2漏洞、USB固件漏洞等）來(lái)看，現(xiàn)在廣泛使用的、所謂安全的基礎(chǔ)信息技術(shù)都可能存在著深層次的、隱蔽的漏洞，因此，對(duì)于企業(yè)發(fā)展、國(guó)家安全來(lái)說(shuō)如何在現(xiàn)有的條件下，構(gòu)建一個(gè)完整、有效、可靠的信息安全保障體系顯得極其重要。

［1］戚小光，許玉敏，韓菲等."心臟出血"漏洞的危害、應(yīng)對(duì)及影響［J］.信息安全與通信保密，2014（05）:60-62.

［2］牛偉，戴衛(wèi)國(guó).APT攻擊建模與安全防護(hù)技術(shù)研究［J］.電子對(duì)抗，2014（02）:34-38.

Security Risk Analysis and Enforcement Suggestion of Enterprise Information System

SHI Zhao-jun，WU Yue，LI Ke，LIU Xiang-dong，LI Nan
（Institute 706，the Second Academy of China Aerospace Science and Industry Corporation，Beijing 100854，China）

With the wide application and continuous development of information technology，information system recently becomes an essential infrastructure and greatly promoted the development of human society.And however at the same time，the in-depth application of information technology also brings new threats and challenges.Based on investigation of the present situation of information system construction，this paper discusses the risk of information security，and gives suggestion in enforcing the protection system of information security，and all this could serve as a reference for the construction of infosec protection system.

information security；risk of information security；protection system of information security

TP309.2

A

1009-8054（2015）12-0120-04

石兆軍（1984—），男，碩士，工程師，主要研究方向?yàn)樾畔踩?/p>

武 越（1989—），女，碩士，助理工程師，主要研究方向?yàn)樾畔踩?/p>

李 可（1987—），男，本科，助理工程師，主要研究方向?yàn)樾畔踩?/p>

劉向東（1974—），男，碩士，研究員，主要研究方向?yàn)樾畔踩?/p>

李 楠（1986—），男，本科，工程師，主要研究方向?yàn)樾畔踩??！?/p>

2015-08-19