信息和系统安全管理策略工程研究

《信息和系统安全管理策略工程研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、上海交通大学SHANGHAIJIAOTONGUNIVERSITYY981734博士学位论文DOCToRALDISSERTATION论文题目信皇塑丕统窒全筐理筮喳王捏班窒学科专业盐簋扭座旦撞垄作者姓名送翼型?3卵口如指导教师廷盏盔熬援答辩日期2QQ亘生鱼旦上海交通大学博士学位论文信息和系统管理策略工程研究资源管理需求分析和管理策略的定义。基于目标的需求分析是以目标为主线，通过对目标的鉴别、定义、分析、组织和精化等来获取系统需求的一种方法。本文提供了基于目标的企业信息和系统管理需求分析框架模型，介绍了建立目标模型的步骤和方

2、法，以及根据目标模型定义信息和系统管理策略的规则。目标障碍分析和处理也是基于目标的需求分析中的一项重要任务，本文同样讨论了目标障碍的识别和处理，除采用传统的障碍处理方法外，还提供了直接根据障碍来定义相应的管理策略的方法。另外本文还重点讨论了在系统安全管理中，如何根据恶意目标建立反目标模型，以及如何根据反目标模型确定安全需求和定义安全策略等的方法。除了基于目标的需求分析外，还可以借鉴其它的系统需求分析方法，本节将简单介绍如何采用用况和误用用况来进行信息和系统的管理需求分析以及指导管理策略的制定。误用用况是一种特殊类型的用

3、况，定义了不希望系统／实体发生的行为，可用束对系统中的错误和恶意行为进行建模。本文提供了建立用况和误用用况模型的方法，提供了用况和误用用况模板，以及根据用况和误用用况确定管理策略的方法。策略的分析和验证也是策略演化过程中的另外一个重要任务。在策略演化过程中的各个阶段，都需要对相应层次的策略进行分析和验证。由于在策略的演化过程中各个阶段所处的上下文环境不同，策略的抽象层次不同，因此，各个阶段的分析和验证的侧重点和任务也不一样，所采用的分析方法和建模工具也不尽相同。本文分别在策略的高层、中间层和低层三个不同抽象层中各选出一

4、到两项重要的、目前该领域中尚未成熟、亟待解决的一些策略分析和验证内容进行讨论。对于高层策略，本文分析了在实例化策略时应考虑的问题，例如如何反映策略之间的依赖关系、如何实现策略实例间的安全约束和控制原则、以及如何进行合理的资源分配和规划等等。本文采用彩色Petri网建立业务过程的授权和职责模型，利用线性代数技术分析授权状态的可达性，从而验证策略实例是否违反了安全约束和控制原则；本文还利用Petri网的覆盖图来计算业务过程的有效执行链，从而实现了对人力资源的合理规划。对于中间层策略，本文重点讨论了如何分析和验证中间层策略是

5、否满足或符合高层策略的要求，是否与高层策略相矛盾等。本文以网络的访问控制策略为例，仍采用彩色Petri网作为主要建模和分析工具，通过提供一个经过扩展的彩色Petri网框架，在系统和抽象设备层上对网络、网络访问控制策略和网关的路由或过滤规则进行建模，利用Petri网的覆盖图验证网关配置的正确性，并且给出了如何发现和纠正错误的方法。对于低层策略，本文利用空n上海交通大学博士学位论文摘要问几何技术对防火墙的过滤规则进行建模，帮助系统管理人员发现和消解过滤规则冲突，并能够对防火墙规则库进行彻底重写和全面优化，大大减少规则的数量

6、，从而提高了防火墙的性能。在空间几何模型中，每个过滤规则被映射成多维空间中的一个规则几何体，从而使防火墙配置的语义可视化，对过滤规则的验证变得简单而直观。策略的翻译、发布和实施同样是基于策略的管理中的关键环节，也是目前大多数研究人员的研究重点，本文将对它们做一些简单的探讨，简单介绍了目前策略的翻译、发布和实施中常用的一些基本方法。综上所述，本文的主要创新性研究工作可以概括为：·系统地研究了信息和系统的管理策略的生命周期，首次明确提出了策略工程和策略生命周期模型的概念，并给出了一个合理的、完整的策略生命周期模型，可用以指

7、导实施基于策略的管理方法在企业的信息和信息系统管理中的应用；·在策略工程概念的指导下，明确了管理需求分析在策略生命周期中的重要性，并在借鉴了已有的需求分析技术基础上，提供了基于目标的信息和系统管理需求分析技术，以及根据需求确定管理耳标和管理策略的方法：·对于策略的分析和验证，提供了一些新的建模和分析方法，例如采用彩色Petri网对业务过程的授权和职责进行建模，不仅能够包含权限和职责管理，还能够包含安全约束如SoD(SeparationofDuty)以及角色层次关系结构(RoleHierarchy)等概念。对于网络访问控

8、制，首次采用彩色Petri网对网络和相关访问控制策略进行建模，给出了如何根据所要进行的分析类型确定Petri网中弧方向的方法。在防火墙过滤规则的分析中，将原有的两个规则之间的冲突概念扩展到多个规则之间，并给出了规则库的彻底重写和全面优化的方法。关键词：策略工程，策略生命周期模型，信息和系统管理，基于目标的需求分析，策略验证，策略优