基于var的电子商务系统安全风险量化方法研究

《基于var的电子商务系统安全风险量化方法研究》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第38卷增刊电子科技大学学报Vol.38Suppl2009年11月JournalofUniversityofElectronicScienceandTechnologyofChinaNov.2009基于VAR的电子商务系统安全风险量化方法研究戚文静，张建，袁卫华(山东建筑大学计算机科学与技术学院济南250101)【摘要】信息安全是制约电子商务发展的重要因素之一，安全风险的评估和量化是进行风险控制、保证交易安全的基础。该文分析了金融领域广泛使用的风险计算方法⎯⎯VAR方法，在分析威胁、脆弱点及资产价值等风险因素的基础上，给出了风险因素的形式化表示及信息安全风险量化的VAR方法。通过仿真实

2、验说明了VAR与安全投资之间的关系及利用VAR进行风险评估的意义。电子商务企业可以根据VAR值选择适当的控制措施，从而达到安全投资和风险的平衡。关键词资产;风险量化;威胁;在险价值;脆弱点中图分类号TP309文献标识码Adoi:10.3969/j.issn.1001-0548.2009.z1.010VAR-BasedMethodofE-CommerceSystemSecurityRiskQuantificationQIWen-jing,ZHANGJian,andYUANWei-hua(SchoolofComputerScienceandTechnology,ShandongJianzh

3、uUniversityJinan250101)AbstractInformationsecurityisacriticalfactorthatrestrainthedevelopmentofE-commerce,securityriskassessmentandquantificationisthefoundationofriskcontrolandtradesecurity.Inthispaper,thevalueatrisk(VAR)methodusedinthefieldsoffinancialriskassessmentisintroduced,theriskfactors,t

4、hreat,vulnerability,andassetsareanalized,andariskquantificationmodelandthemethodofcalculatingVARareproposed.SimulationexperimentshowstherelationshipbetweenVARandsecurityinvestmentaswellasthesignificanceofusingVARinriskassessment.E-commerceenterprisescanselectpropersecuritycontrolmeasuresaccordin

5、gtoVARandgetawelltrade-offbetweensecurityinvestmentandrisk.Keywordsassets;riskquantification;threat;valueatrisk;vulnerability电子商务具有高效率、低成本等优势，同时也率风险评估方法对各层的结构、网络攻击和攻击结面临着系统故障、数据泄露、在线攻击等方面的安果进行分析，通过故障树来计算每层被攻击的可能[1]全问题。据CSI/FBI的研究报告，为保护网络和信以及风险发生的概率，最后得出总的风险值。息系统安全，美国99%的机构使用杀毒软件，98%目前对于信息系统安全风险评

6、估多数为定性的使用防火墙，71%有代理服务器，68%有入侵检测系方法，没有统一和科学的量化方法。本文利用金融[6-7]统。尽管如此，安全事件仍然很频繁，该年度病毒风险评估中普遍使用的VAR方法来对信息安全大约造成了5.5亿美元的损失，DoS攻击造成的损失风险进行量化，得到一个较为客观和科学的信息风约为2.6亿美元，信息丢失造成的损失约为1.1亿美险度量方法。元。电子商务企业的损失包括以下几个方面：金钱1基于VAR的风险评估方法[2]或机会的损失、市场资本损失及商标形象损失等。为了对电子商务安全风险进行有效的控制，首1.1传统的信息安全风险评估方法要的问题是对系统的风险进行识别、量化和评

7、估。国际标准化组织对风险的定义是：风险是事件文献[3]认为如果风险量化工具使用得当，可以帮助发生的可能性及其后果的综合。风险评估的方法有减少安全方面的费用。文献[4]认为在系统风险评估定量方法和定性方法。定量的方法以威胁发生的可方面的投资能够减少入侵的可能性，产生的效益将能性、潜在损失的开销及为减少损失而采取的行动远高于投资；提出一个层次全息模型来评估安全风的开销等因素为基础，来估计风险及风险消减技术险，提供了评估风险管理的功效模型。文献[5]