信息安全風(fēng)險評估量化方法研究.pdf

1、隨著信息技術(shù)的發(fā)展，信息系統(tǒng)在國家的政治、軍事和經(jīng)濟領(lǐng)域的廣泛應(yīng)用，整個社會對信息系統(tǒng)的依賴性越來越大，信息系統(tǒng)的安全問題已成為關(guān)系經(jīng)濟穩(wěn)定發(fā)展和國家安全的社會問題。對信息系統(tǒng)進行有效的風(fēng)險評估，選擇有效的防范措施，主動防御信息威脅是解決信息系統(tǒng)安全問題的關(guān)鍵所在。 針對信息安全風(fēng)險評估的實際需求和現(xiàn)狀，在國家高技術(shù)發(fā)展研究計劃“863”系統(tǒng)安全風(fēng)險分析和評估方法研究”(編號2002AAl42151)和河北省科技攻關(guān)計劃“信息網(wǎng)

2、絡(luò)系統(tǒng)的安全風(fēng)險評估模型研究”(編號042135127)等項目的資助下，本文將層次分析法(AHP)、模糊數(shù)學(xué)、神經(jīng)網(wǎng)絡(luò)、小波分析等學(xué)科的最新研究成果進行有機的結(jié)合，應(yīng)用于信息安全的風(fēng)險評估。從解決信息安全風(fēng)險評估過程中的關(guān)鍵問題入手，研究了信息安全風(fēng)險評估的量化方法，并通過案例分析對風(fēng)險評估量化方法進行了驗證，為信息安全的風(fēng)險評估提供理論算法依據(jù)和技術(shù)支撐。 本文的主要研究工作和創(chuàng)新點如下： 1.風(fēng)險評估過程中的關(guān)鍵問題

3、及解決辦法。對風(fēng)險評估過程中的關(guān)鍵技術(shù)問題進行了分析，并提出了相應(yīng)的解決方法。即針對信息系統(tǒng)完整性問題，建立了信息系統(tǒng)安全框架的模型；對于信息資產(chǎn)識別，提出以資產(chǎn)組為單位進行識別的方法，使資產(chǎn)識別的工作量得以減少；對于資產(chǎn)的賦值，提出了不同資產(chǎn)的保密性、完整性和可用性(CIA)的權(quán)值不同、CIA本身的拆分賦值等方法；對于威脅識別，提出了威脅的獲取方法以及威脅發(fā)生的可能性的確定方法；對于脆弱性評估，分析了脆弱性評估過程中可能出現(xiàn)的新的風(fēng)險

4、并提出了應(yīng)對措施。 2.基于模糊層次法的風(fēng)險評估方法。針對信息安全風(fēng)險評估的不確定性和當(dāng)前評估手段的主觀性，提出模糊層次分析法，以實現(xiàn)對風(fēng)險因素的主、客觀評估的有機結(jié)合。通過對層次分析法和模糊評價法分別進行改進，將二者有機結(jié)合，分析和評估風(fēng)險事件發(fā)生的概率和影響，以確定各風(fēng)險因素的風(fēng)險等級，并給出了信息系統(tǒng)的風(fēng)險控制建議。算例表明：該算法結(jié)果符合實際，是一種有效且操作性強的方法。 3.基于信息熵的風(fēng)險評估方法。針對當(dāng)前對

5、信息系統(tǒng)整體風(fēng)險等級缺乏有效的評估手段這一現(xiàn)狀，將信息熵應(yīng)用于信息安全風(fēng)險評估領(lǐng)域。首先定義了風(fēng)險度是風(fēng)險概率和風(fēng)險影響的似然估計，以風(fēng)險度衡量整個信息系統(tǒng)的風(fēng)險等級。針對風(fēng)險事件發(fā)生的概率和所產(chǎn)生影響的估計具有一定的模糊性這一問題，采用模糊綜合評判法來評價風(fēng)險因素。在風(fēng)險因素的模糊綜合評判中，對每個風(fēng)險事件的權(quán)值采用熵權(quán)系數(shù)法獲得，克服了專家直接賦值的主觀性。將模糊綜合評價法和信息熵相結(jié)合，求出風(fēng)險度，為信息系統(tǒng)劃分風(fēng)險等級。示例說明

6、了算法的應(yīng)用結(jié)果，表明該方法切合實際，實用可行。 4.基于模糊.小波神經(jīng)網(wǎng)絡(luò)的風(fēng)險評估方法。針對信息安全風(fēng)險評估的不確定性和復(fù)雜性以及當(dāng)前手段的局限性，將人工神經(jīng)網(wǎng)絡(luò)(ANN)理論應(yīng)用到風(fēng)險評估，提出了基于模糊神經(jīng)網(wǎng)絡(luò)的風(fēng)險評估方法。首先將人工神經(jīng)網(wǎng)絡(luò)應(yīng)用于信息系統(tǒng)風(fēng)險因素評估，對神經(jīng)網(wǎng)絡(luò)的輸入進行了預(yù)處理，將模糊系統(tǒng)的輸出作為神經(jīng)網(wǎng)絡(luò)的輸入。人工神經(jīng)網(wǎng)絡(luò)經(jīng)過訓(xùn)練，可以實時地估算風(fēng)險因素的級別。然后提出了一種信息安全風(fēng)險評估的小波神經(jīng)網(wǎng)