CN109977680A - 一种业务数据安全风险识别方法及系统 - Google Patents

Abstract

本发明实施例提供一种业务数据安全风险识别方法及系统，其中，所提供的方法包括：根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图；根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像；根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果。本发明实施例提供的方法及系统，针对性和指向性强，同时加强了信息系统内部数据安全管理的强度，细化了管理策略和粒度，更好地适应大数据时代数据安全管理的需要，为大数据平台动态业务数据的安全管理提供了安全保障，同时为后续大数据安平台的安全态势分析提供了基础。

Description

一种业务数据安全风险识别方法及系统

技术领域

本发明实施例涉及计算机技术领域，尤其涉及一种业务数据安全风险识别方法及系统。

背景技术

安全风险评估就是从风险管理角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施。风险评估工作贯穿信息系统整个生命周期，包括规划阶段、设计阶段、实施阶段、运行阶段、废弃阶段等。

安全风险评估主要依据《信息安全风险评估规范》、ISO/IEC 13335IT安全管理指南、BS7799-1(ISO/IEC 17799)基于风险管理的信息安全管理体系等相关标准，通过调查、访谈和技术检测等多种方式对风险要素进行数据采集，采用定量、定性相结合的方法对采集数据进行综合风险分析。

现有安全风险评估的主要范围包括两个方面：管理方面和技术方面。其中管理方面包括：安全策略：安全策略制定、系统设备与开发的安全策略、系统测试与验收的安全策略、系统运行与维护的安全策略、系统备份与应急的安全策略、客户信息安全策略。内控体系：内部控制体系、董事会与高级管理层职责、内控措施、内部审计机制。风险管理：风险管理框架、风险管理状况、风险识别与评估、业务外包风险管理。

技术方面包括：主机安全评估：对主机的配置、服务进行安全评估；系统安全评估：对各类计算机系统(Windows、Linux等)的配置、服务和安全防护能力进行评估；网络安全评估:对网络设备、网络服务、网络拓扑以及Web应用等进行评估，得出评估报告；应用系统评估:评估常见业务应用系统；数据安全的评估：数据完整性、数据保密性、数据备份与恢复。

随着大数据时代的到来，大数据的发展和应用已经成为人类技术与产业进步的希望所在，大数据在医疗、民生、销售等领域的应用极为广泛，与此同时，数据被过度采集，隐私数据的保护和应用一旦出现差错，被黑客所利用，将会造成严重后果。传统的安全风险评估对业务大数据安全的威胁分析已经显得力有不逮。

在现有的安全风险评估过程中，主要都是从网络、主机、OS、系统几个方面入手，虽然也对数据的完整性、保密性及备份给出了评估，但却是一种静态的分析，但并没有完全针对业务数据的流转去进行动态分析，从而无法清晰了解数据安全的脆弱点在哪里，进而为后续的安全措施的制定造成了一定的困难。另一方面，越来越多的数据通过业务采集和多种外部来源渠道汇集、多维度加工、回流业务系统、以及各种系统数据不断加工和使用形成了非常复杂的上下游消费链路以最大化数据的价值同时流出体系。数据的管理、用途授权控制、业务使用流动的保护风险都非常复杂。进一步的，大数据时代，数据应用安全风险表现之一是在企业内部，因为大数据应用安全风险管控的失败，一方面危及企业业务的发展，另一方面甚至会触发社会性事件，并造成相当大的社会危害。因此企业内部数据安全风险管控非常重要，而传统安全风险评估手段往往容易因为各种原因忽略技术层面的分析，更多的是从内控体系加强安全管理。

发明内容

本发明实施例提供一种业务数据安全风险识别方法及系统，用以解决上述现有技术中对于信息系统的安全风险识别方法的存在的缺陷问题。

第一方面，本发明实施例提供一种业务数据安全风险识别方法，包括：

根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图；

根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像；

根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果。

第二方面，本发明实施例提供一种业务数据安全风险识别方法，包括：

根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图；

根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像；

根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果。

第三方面，本发明实施例提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述第一方面所提供的业务数据安全风险识别方法的步骤。

第四方面，本发明实施例提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述第一方面所提供的业务数据安全风险识别方法的步骤。

本发明实施例提供的业务数据安全风险识别方法及系统，对信息系统的业务数据流进行梳理，同时根据网络攻击模式信息绘制攻击链路画像，再对攻击画像进行分析，获得安全风险识别结果，从业务数据维度明确了整体系统的安全风险点，针对性和指向性强，同时加强了信息系统内部数据安全管理的强度，细化了管理策略和粒度，更好地适应大数据时代数据安全管理的需要，为大数据平台动态业务数据的安全管理提供了安全保障，同时为后续大数据安平台的安全态势分析提供了基础。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的业务数据安全风险识别方法的流程示意图；

图2为本发明一实施例提供的业务数据安全风险识别方法中，业务数据流拓扑图；

图3为本发明一实施例提供的业务数据安全风险识别方法中，攻击链路画像示意图；

图4为本发明一实施例提供的业务数据安全风险识别系统的结构示意图；

图5为本发明一实施例提供的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参考图1，图1为本发明一实施例提供的业务数据安全风险识别方法的流程示意图，所提供的方法包括：

S1，根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图。

S2，根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像。

S3，根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果。

具体的，按照数据分类分级，结合网络拓扑图及安全域划分，进行业务数据流的拓扑图绘图。通过对业务数据流拓扑图的分析，解决业务数据流之前静态分析所存在的不足之处，在一个实施例中，参考图2，图2为本发明一实施例提供的业务数据安全风险识别方法中，业务数据流拓扑图。网络拓扑的梳理有助于了解清楚数据流真实流向，并结合安全域及数据分类分级进行下一步的业务数据流拓扑图绘图。

在获得了业务数据流拓扑图后，从攻击者发起攻击源头开始，模拟攻击者行为，以业务数据流为线索，对攻击链路进行画像，具体的攻击链路画像如图3所示。通过攻击链路画像，对每一条攻击路径进行分析，从各个节点、不同支线分析攻击者获取数据的可能性、方式、应用的攻击手段、攻击的系统、主机或网络节点，获取的数据类型和保密等级等等。表1示出了根据图3中的攻击链路画像获取的网络攻击信息。

表1

通过攻击链路分析，已经掌握了整体业务数据可能的攻击路径、攻击方式、攻击效果，结合威胁分析，从技术和管理两个层面进行安全风险识别。其中管理主要从安全策略、内控制度、风险管理三个方向进行分析。技术主要从物理、网络、系统、应用及数据五个方向进行分析，仅需要关心攻击链路上的各种风险识别。

在本实施例中，如表2所示，在表1中攻击链路5存在的情况下，可以判断该大数据平台存在表2中所示的风险点。

表2

根据表2中的风险点提示，进而可以将该提示作安全风险识别的识别结果。

通过此方法，对信息系统的业务数据流进行梳理，同时根据网络攻击模式信息绘制攻击链路画像，再对攻击画像进行分析，获得安全风险识别结果，从业务数据维度明确了整体系统的安全风险点，针对性和指向性强，同时加强了信息系统内部数据安全管理的强度，细化了管理策略和粒度，更好地适应大数据时代数据安全管理的需要，为大数据平台动态业务数据的安全管理提供了安全保障，同时为后续大数据安平台的安全态势分析提供了基础。

在上述实施例的基础上，所述根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图的步骤具体包括：对信息系统中的业务数据进行分类，获得数据分类分级信息；对所述信息系统的安全域进行梳理，获得安全域划分信息；根据所述数据分类分级信息和所述安全域划分信息，结合所述信息系统的网络拓扑图，绘制业务数据流拓扑图。

具体的，在业务数据流拓扑图的绘制过程中，首先要完成对业务数据的分类、分级，本实施例中，参考银行业通用的分类标准，即将业务数据分成客户信息类、业务信息类、业务参数信息类三类数据，并按照数据保密等级要求不同分为高、中、低三种级别。表3示出了详细的分类分级参考。

表3

安全域是由在同一工作环境中、具有相同或相似的安全保护需求和保护策略、相互信任、相互关联或相互作用的IT要素的集合。为了分析和梳理业务梳理流拓扑图，需要对业务系统的相关安全域进行梳理，为后续的攻击链路分析及安全风险识别提供依据。网络拓扑的梳理有助于了解清楚数据流真实流向，并结合安全域及数据分类分级进行下一步的业务数据流拓扑图绘图。按照数据分类分级，结合网络拓扑图及安全域划分，进行业务数据流的拓扑图绘图。

通过对业务数据流拓扑图的分析，解决业务数据流之前静态分析所存在的不足之处。

在上述实施例的基础上，所述方法还包括网络攻击模式信息获取步骤，所述网络攻击模式信息获取步骤具体包括：获取威胁来源分类信息和攻击者分类信息，根据CAPEC统计中的攻击模式信息进行安全假设，获得网络攻击模式信息。

具体的，根据《GBT 20984-2007信息安全技术信息安全风险评估规范》，攻击者属于威胁。通常威胁可按照威胁来源及表现形式进行分类。表4为按照威胁来源的分类参考。

表4

攻击链路分析中所说的攻击者，属于恶意人员，对恶意人员加以详细分析，主要分类如表5所示。

表5

根据CAPEC统计，基础攻击方式如表6所示。

表6

总结了诸多对业务数据攻击的特点，在本实施例中，从以上攻击模式中抽取和提炼表7中的重点攻击模式作为后续分析的基础。

表7

为了对攻击链路画像，需要结合攻击者和攻击行为假设做出合理安全假设，在此前提下，在基于业务数据流拓扑分析的基础上形成对攻击链路的画像。举例如下：针对某城商行的大数据分析平台，可以以做出以下两条安全假设：(1)防火墙能够按照正确的配置发生作用，被防火墙禁止的链路是不能利用来攻击；(2)内外部人员均有可能参与攻击。

在上述实施例的基础上，所述根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像具体包括：根据网络攻击模式信息，以所述业务数据流拓扑图为线索，对攻击链路进行画像，获得攻击链路画像；其中，所述攻击链路画像包括但不限于：业务数据流攻击链路画像、运维数据流攻击链路画像和安全数据流攻击链路画像。

具体的，在攻击链路画像过程中，从攻击者发起攻击源头开始，模拟攻击者行为，以业务数据流为线索，对攻击链路进行画像，分别针对业务数据流、运维数据流、安全数据流进行画像，确保攻击链路画像的完整性。

在上实施例的基础上，所述根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果的步骤，具体包括：根据所述供攻击链路画像，对所述攻击链路画像中的攻击者信息进行分析，获取攻击状态信息；根据所述攻击状态信息，结合攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果；其中，所述攻击状态信息包括但不限于：攻击路径、支线数量、攻击者类型、攻击手段和攻击描述中的一种或多种的组合。

具体的，通过攻击链路画像，对每一条攻击路径进行分析，从各个节点、不同支线分析攻击者获取数据的可能性、方式、应用的攻击手段、攻击的系统、主机或网络节点，获取的数据类型和保密等级等信息，

通过攻击链路分析，已经掌握了整体业务数据可能的攻击路径、攻击方式、攻击效果，结合威胁分析，从技术和管理两个层面进行安全风险识别。其中管理主要从安全策略、内控制度、风险管理三个方向进行分析。技术主要从物理、网络、系统、应用及数据五个方向进行分析。进而获得安全风险识别结果。

综上所述，本发明实施例提供的业务数据安全风险识别方法，是通过对数据的分类、分级，结合企业已有的网络拓扑、安全域、业务系统互联关系，对企业内部的业务数据流进行分析，并基于合理的安全假设，在业务数据流基础上进行攻击链路画像，进而通过对攻击链路的详细分析，完成对企业整体业务数据的安全风险识别，为后续的安全解决方案及管控措施的制定提供重要的依据和基础，从而真正实现对大数据时代业务数据的安全保护。

本发明实施例中，业务数据是流动的，通过对业务系统互联关系的分析，结合企业的网络拓扑及网络安全域的划分，对业务数据流进行网络拓扑画像，为后续的业务数据安全风险识别提供基础；对业务数据进行分类分级，不同的业务数据敏感程度不同，保护要求不同，需要动态识别并有的放矢地选择合理的安全解决方案，达到业务应用和安全保护的合理均衡；基于业务数据的网络拓扑画像，结合业务数据的分类分级，在合理的安全假设前提下，完成对业务数据流的模拟攻击画像，完成攻击链路分析工作；针对业务数据攻击链路分析，结合攻击方法和攻击技术，完成对业务数据的安全脆弱点分析。

参考图4，图4为本发明一实施例提供的业务数据安全风险识别系统的结构示意图，所提供的系统包括：业务数据获取模块41、攻击链路画像模块41和风险识别模块43。

其中，业务数据获取模块41用于根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图；

攻击链路画像模块42用于根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像；

风险识别模块43用于根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果。

其中，所述系统还包括：安全假设模块，用于获取威胁来源分类信息和攻击者分类信息，根据CAPEC统计中的攻击模式信息进行安全假设，获得网络攻击模式信息。

本发明实施例提供的业务数据安全风险识别系统，具体执行上述各业务数据安全风险识别方法实施例流程，具体请详见上述各业务数据安全风险识别方法实施例的内容，在此不再赘述。

图5示例了一种电子设备的结构示意图，如图5所示，该服务器可以包括：处理器(processor)510、通信接口(Communications Interface)520、存储器(memory)530和总线540，其中，处理器510，通信接口520，存储器530通过总线540完成相互间的通信。通信接口540可以用于服务器与智能电视之间的信息传输。处理器510可以调用存储器530中的逻辑指令，以执行如下方法：根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图；根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像；根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果。

本实施例还提供一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法实施例所提供的方法，例如包括：根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图；根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像；根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果。

本实施例提供一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行上述各方法实施例所提供的方法，例如包括：根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图；根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像；根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (9)

1.一种业务数据安全风险识别方法，其特征在于，包括：

根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图；

根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像；

根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果。

2.根据权利要求1所述的方法，其特征在于，所述根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图的步骤具体包括：

对信息系统中的业务数据进行分类，获得数据分类分级信息；

对所述信息系统的安全域进行梳理，获得安全域划分信息；

根据所述数据分类分级信息和所述安全域划分信息，结合所述信息系统的网络拓扑图，绘制业务数据流拓扑图。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括网络攻击模式信息获取步骤，所述网络攻击模式信息获取步骤具体包括：

获取威胁来源分类信息和攻击者分类信息，根据CAPEC统计中的攻击模式信息进行安全假设，获得网络攻击模式信息。

4.根据权利要求1所述的方法，其特征在于，所述根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像具体包括：

根据网络攻击模式信息，以所述业务数据流拓扑图为线索，对攻击链路进行画像，获得攻击链路画像；

其中，所述攻击链路画像包括但不限于：业务数据流攻击链路画像、运维数据流攻击链路画像和安全数据流攻击链路画像。

5.根据权利要求1所述的方法，所述根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果的步骤，具体包括：

根据所述供攻击链路画像，对所述攻击链路画像中的攻击者信息进行分析，获取攻击状态信息；

根据所述攻击状态信息，结合攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果；

其中，所述攻击状态信息包括但不限于：攻击路径、支线数量、攻击者类型、攻击手段和攻击描述中的一种或多种的组合。

6.一种业务数据安全风险识别系统，其特征在于，包括：

业务数据获取模块，用于根据信息系统的数据分类分级信息、网络拓扑图和安全域划分信息，获取业务数据流拓扑图；

攻击链路画像模块，用于根据网络攻击模式信息以及所述业务数据流拓扑图，对攻击链路进行画像，获得攻击链路画像；

风险识别模块，用于根据所述攻击链路画像，对网络攻击链路进行分析，获得安全风险识别结果。

7.根据权利要求6所述的系统，其特征在于，所述系统还包括：安全假设模块，用于获取威胁来源分类信息和攻击者分类信息，根据CAPEC统计中的攻击模式信息进行安全假设，获得网络攻击模式信息。

8.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至5任一项所述业务数据安全风险识别方法的步骤。

9.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至5任一项所述业务数据安全风险识别方法的步骤。