浅谈企业信息安全应急响应体系构建

王亮++许昌军++刘阳

摘要：结合实际工作，该文从信息安全应急架构、运维监控响应、制度管理三个环节，探讨利用技术、管理两个维度，构建地市级烟草企业响应体系，确保网络、系统、数据、信息环境的可高效响应及恢复。

关键词：信息安全应急架构；监控；制度管理；应急响应

中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2015）17-0041-02

随着信息网络时代的发展 ，企业对于信息数据、系统的依赖日趋严重，业务中断、数据丢失对于现今的企业是不可想象，如何避免信息系统出现故障或灾难，做到未雨绸缪。或者说在出现故障或灾难时我们能在最短的时间恢复服务业务应用、还原业务数据将损失降为最小，已成为各企业信息部门研究的课题，这就需要建立一套有效的信息安全响应体系。

1 应急响应定义

所谓应急响应即“Incident Response”或“Emergency Response”，通常指一个组织为应对各种意外事件的发生所做的准备以及在事件发生后所采取的措施。信息安全应急响应通常是指一个组织为了应对各种突发的信息安全事件所做的准备以及在事件发生后所采取的相应的补救措施和行动，从而阻止或减少事件对系统安全性带来的影响。本文认为信息安全应急响应包括自动应急响应和人工应急响应两部分。

2 应急响应体系的构成及响应对象

地市级烟草企业信息安全应急响应体系，从技术、管理角度可分为信息安全应急架构建设、监控运维平台建设、应急制度管理建设三方面

3 应急响应体系的构建

3.1 信息安全应急架构建设

完善的信息安全应急架构对于应急响应的意义在于未雨绸缪，预防、减少出现故障的可能性，在出现突发事件时自动响应遏制故障，并且能够为运维人员及时人工响应地处理解决问题提供更多的信息和更好途径。信息安全应急架构是应急响应体系的基础，其建设应注重三点原则（按重要优先级排列）：

（1）首要，要居安思危，防患于未然；（阻止或减少突发事件的发生）

（2）其次，要可自动响应遏制故障、维持运行；（通过系统自动响应，提升响应效率）

（3）再次，要便于人工应急响应，遏制故障。（通过运维人工响应，时间相对较长）

3.1.1 网络信息安全应急架构建设

业务网络是企业信息系统运行的基础，业务网络出现中断，所有信息业务服务将无法进行。构建一个适度冗余的、防护得力的网络对于企业确保业务服务连续性、数据的安全性，提升应急响应水平来说至关重要。

构建冗余架构的网络。冗余架构的网络，在发生突发故障或灾难时，可实现应急自动响应，有效保障网络的正常通讯能力。地市级烟草企业省到市、市到县网络应该采用通信物理线路双运营商，双链路、双设备的冗余网络拓扑架构。业务网络可实现在出现一核心设备或运营商线路故障时，冗余设备、线路自动接管，确保保障业务系统的正常运行。

3.1.2 系统和数据信息安全应急架构建设

3.1.2.1 虚拟化技术与应急响应

现如今虚拟化技术日趋普及，服务器虚拟化、桌面虚拟化、应用虚拟化、存储虚拟化等这些针对不同对象所扩展的虚拟化技术，在各地市企业的应急响应体系中发挥着重要的作用。

（1）服务器虚拟化

服务器虚拟化是指将服务器物理资源抽象成逻辑资源，进行统一的分配管理，提高资源的利用率。服务器虚拟化对比传统的物理服务器有很大优势，在实现对服务器整合的同时，可以通过实时迁移、存储迁移、智能容错、高可用性等技术能够在出现问题、故障时自动响应轻松快速把虚拟机（vm）从一台服务器上迁移到另一台，确保业务的延续性，并且通过手工、自动的方式为虚拟机（vm）建立快照，可恢复指定时间的数据，从而有效地提升运维人员对应用系统和数据的应急响应能力。

（2）桌面、应用虚拟化

桌面虚拟化和应用虚拟化，真实的系统运行都在物理服务器中，而虚拟机（vm）系统以及个人数据可分开保存在存储硬盘中。终端设备操作仅在显示器上显示用户共享的桌面或应用程序的镜像，来回传送键盘和鼠标输入的信息。故虚拟客户端相比传统的客户端，在出现操作系统故障时可快速通过模板重新建立新的虚拟机（vm），由于个人数据分开保存故也不会丢失，而且还可通过快照形式直接恢复。

（3）存储虚拟化

存储虚拟化（Storage Virtualization）最通俗的理解就是对物理存储硬件资源进行抽象化为逻辑存储。可实现对多个同构或异构存储的整合，构建“存储池”，统一资源管理。无论是服务器虚拟化还是桌面、应用虚拟化，其数据都保存在存储之中，存储的数据安全至关重要。通过存储虚拟化的高可用性和镜像、快照技术确保存储服务平台的服务连续性，通过存储虚拟化的复制、连续数据保护（CDP），确保存储服务平台的数据安全。

3.1.2.2 容灾中心建设与应急响应

除了虚拟化技术，容灾技术在烟草企业应急安全体系建设中也应发挥越来越重要的作用。特别是近几年来随着业务的发展新增业务服务繁多、生产环境复杂、信息数据量大，如何确保信息系统特别是主营业务系统（各单位的关键业务系统和“一号工程”系统）的业务连续性，提升应急响应能力显得尤为重要。

地市级烟草企业容灾系统大体可分为本地容灾（无备援中心）、同城异地容灾（同城异地建立备援中心）、异地容灾（备援中心建立在其他城市）。

（1）本地容灾。其工作方式是在生产机房中业务系统中，实现在线实时备份，利用磁盘镜像将存储数据镜像到容灾设备，同时容灾设备根据策略生成连续的快照。当生产机房存储发生突发故障事件时容灾系统自动响应将客户端的数据访问快速、无缝地切换到镜像盘，可实现RPO（Recovery Point Objective，即数据恢复点目标）和RTO（Recovery Time Objective，即恢复时间目标）达到秒级，趋紧于零，从而保证业务的连续性及数据的完整性，有效提升应急响应水平。

（2）同城异地容灾。在本地灾备的基础上，建立灾备机房（备援中心）（生产机房和灾备机房两地距离国际标准为5km以上），除了在生产机房中利用磁盘镜像将存储数据镜像发送到生产机房的容灾设备，容灾系统同时在线将数据备份到灾备机房。当生产机房发生严重故障无法调用存储及容灾网关数据时，可通过灾备机房启动业务应用系统，代替生产机房提供服务，并可通过灾备机房容灾网关快照手动响应对对生产机房数据进行恢复。

（3）异地容灾。异地容灾具有和同城异地容灾相类似机制，异地容灾也有自己的灾备机房，只是灾备机房建立在其他城市。在出现突发灾难进行应急响应时可启动异地灾备机房业务，客户端通过网络远程访问服务器应用，实现业务的持续。地市级烟草企业可将异地灾备机房建立在省级企业，从而实现异地灾备。

3.1.3 信息环境的信息安全应急架构建设

这里的信息环境主要指的是机房环境。机房环境涉及领域较广，主要有供配电系统、空调新风系统、消防报警系统、防盗报警系统、防雷接地系统、安防系统等。当机房环境出现突发事件，也将直接影响信息系统的安全，因此机房环境的应急响应也尤为重要。

3.2 运维监控平台的构建

作为信息安全应急响应体系的重要环节，监控及运维的意义在于及时的发现问题，并使故障及时得到处理。就地市级烟草企业而言主要针对的是网络设备、服务器、存储、机房（即网络、应用系统、数据、信息环境）的监控和运维。

3.2.1 监控平台建设

以网络监控平台为例，目前的大部分的监控平台都是基于SNMP协议（Simple Network Management Protocol，即简单网络管理协议）和ICMP协议（Internet Control Message Protocol 即Internet控制报文协议）来运作实现。ICMP协议采用了PING方式实现。SNMP协议在PING成功后执行，获取相应设备的参数信息，可以为运维人员提供真实拓扑视图功能，能够真实、直观地反映设备的分布情况、负载状况和设备属性，以及线路的实时流量；通过颜色显示负载和流量的压力，主动告知IT运维管理人员需要关注的信息动态，随时告知可能存在的故障隐患，从而有效提升运维应急响应能力。

3.2.2 运维平台的建设

运维平台，主要是实现I T 服务管理，目前业界各类运维系统，大部分都参考了I T I L（Information Technology Infrastructure Library， ITIL，信息技术基础架构库），其主要功能目标是实现对日常I T 运维的流程（过程）管理，实现I T 运维的标准化，达到对日常I T 运维状况的可评价、可统计、可衡量的目的 。通过流程化、痕迹化的管理提升运维人员的应急响应效率。

3.3 应急制度的建设管理

三分技术七分管理，仅凭单纯的安全产品和简单的防御技术是无法抵挡攻击的，人员制度的建设管理也是应急响应体系建设的重点，必须建立一整套应急管理机制、完善执行流程，加强人才队伍技术建设，从技术、管理二个层面才能建立完善的应急响应体系。

3.3.1 建立信息安全应急响应组织机构

地市级烟草企业应建立信息应急响应组及协调中心（CERT/CC）。应急响应组是专门处理安全事件的组织，常用名字是CERT或CSIRT，指计算机紧急响应组（Computer Emergency Response Team）或计算机安全应急响应组（Computer Security Incident Response Team）。而应急响应协调中心主要负责协调指挥各应急响应组并为各应急响应组提供信息共享服务。

3.3.2 明确信息安全应急响应职责

地市级应急响应主要职能是：一是对地市级计算机网络、系统、数据、环境等安全事件进行紧急反应， 尽快恢复网络、系统、数据、机房的正常运转。二是要使系统、网络、数据、机房设备所遭受的损失最小化。三是对影响系统和网络、数据安全的漏洞及防治措施进行通报，，对安全风险进行评估等。

3.3.3 建立地市级烟草企业应急响应执行方案库（操作手册）

应急响应组/协调中心（CERT/CC），应建立并不断完善，针对所有应急响应对象在发生各种突发故障或事件时，应急响应组所需执行的各种具体应急运维解决方案，并汇总形成方案库。并通过纸制形成手册或通过电子档保持在运维平台中供运维人员调阅查询。

3.3.4 建立完善地市级应急响应管理制度

（1）应急响应通报管理制度；（规范突发事件的通报对象、流程。）

（2）应急响应执行管理制度；（规范对突发事件处理流程的方式方法。）

（3）应急响应事件分级管理制度；（规范故障事件分类，设定标准并确定优先级）

（4）应急响应方案管理制度；（规范建立、变更突发事件具体处置方案流程）

（5）应急响应演练管理制度；（规范应急演练内容、流程）

（6）应急响应组的人员管理及培训制度；（规范应急响应组人员管理与培训）

4 总结

信息安全应急响应体系是确保企业信息安全的关键之一，优化应急响应的体系的构建对于提升企业应急响应能力，确保业务的连续性，信息数据的安全性至关重要。本文结合工作实际从技术和管理两个层面，以信息安全应急响应对象为立足点，从自动响应、人工响应两方面简述了地市级烟草企业信息安全应急响应体系的构建。但如何在各系统中实现应急响应的联动性？如何进一步完善信息安全应急响应体系建设？并没有进行深入的探讨，这些方面也将成为我们今后关注和研究的对象。