浅析动态风险评估理念.doc

《浅析动态风险评估理念.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、摘要：信息安全管理中风险评估作为重要纽成部分，是信息安全管理体系建立的前提，同时对开展信息系统安全等级保护有十分重要的意义。本文主要借鉴现有信息安全风险评估标准和方法，在结合实践基础上，通过数学计算方法和软硬件设施，制定适用于纽•织单位的动态风险评估方法，对于组织建立动态的风险控制具有重要意义。中国论文网关键词：风险评估；动态性；信息安全管理；脆弱性；威胁中图分类号：TP311文献标识码：A文章编号：1007—9599（2012）14—0000—02—、引言随看信息化的快速发展，信息系统在务行业领域发挥越来越大的作用，但随之血来的安全问题却成为制约信息化快速健康发展的短板。

2、如今各类网络攻击事件不逐年増多，虽然通过部署一系列安全设备，如防火墙、防毒墙、IDS、IPS以及其他诸如上网行为管理软件等等,以期增加安全防护水平，然而通常山于信息主管部门人员力量有限，安全设备形成的大量数据信息，无法在第一时间対潜在的危险进行有效收集、分析和处理，以致无法快速进行系统地评估，掌控全局安全状态。及吋的全局信息系统风险管理是对系统安全现状进行管控的一种有效措施，其遵循PDCA循环模式管理,即P（Plan：计划）、D（Do：执行）、C（Check：检查）和A（Action：行动）。其最早山美国质量管理专家戴明提出来，旨在通过不断循环，对系统进行检测、加固，使安全

3、防范水平得到进一步提高。它是一种动态的检测机制，其精髓就是对系统进行有效的风险评估，反观现今帘采用的评估方法，多为静态模式，其结果只限于指定时间点的风险值，存在滞后性,无法反映二个连续检测点风险值变化情况。如假使以期通过PDCA模式提高安全性,选择动态模式的风险评估成为必然。二、风险评估理念日常安全风险产生的原因主要为威胁因素利用资产脆弱性，对系统产生危害，表现方式主耍有可能导致系统非止帘运行，数据的完報性、可用性、保密性受到侵害。风险评估是管理风险的重要手段，在标准IS0/IEC17799中对于风险评估作了如下定义：信息及信息处理设备的威胁、影响和弱点以及三者发生的可能性

4、的评估。其内在因素之间关系如图1—1所示:三、动态风险评估（-）系统结构动态风险评估架构山五部分组成，包括安全检测模块、信息管理模块、事件资源库模块、规则资源库模块以及风险评估模块。安全检测模块主要通过安全检测设备实时监控系统中隐藏的威胁信息并发出告警信息，信息管理模块主要负责接收告警信息并输出为统一格式，事件资源库模块收集威胁评估、资产脆弱性评估结果,规则资源库用于存储风险评估计算方式（公式），风险评估模块通过整合信息管理模块的输出值，依据规则资源库的风险评估计算方式计算系统的风险值。其结构图如1—2所示：（二）评估方法1.资产评估资产评估包括资产识别和价值评估两部分。资

5、产识别即首先识别有价值的资产，列入评估清单，形式有物理资产、信息资产、人员、服务、组织的声誉等，这里以网络设备、服务器操作系统、数据库所含信息为主。数据信息的保护即为维持其完整性、可用性和保密性，通过收集、分析网络中相关计算机运行属性，以及在整个系统运行过程中的作用和被攻击后需要修复所产生的费用等，确定资产价值。2.脆弱性分析脆弱性是指系统存在的安全薄弱环节，容易被威胁利用并造成损失，英主要可以分为管理脆弱性和技术脆弱性。这里讨论以技术脆弱性为主，主要为信息系统、网络设备、服务器设备中存在的可能导致未授权操作的脆弱性节点，该类脆弱性通常可以使用脆弱性扫描工具、漏洞扫描系统、

6、安全审计工具等方式获得。1.威胁分析威胁主要为损害资产完整性、保密性、可用性的行为，通过安全检测模块如防火墙、防毒墙、IDS以及其他安全防护设备告警、触发形成，经常表现为一种未预期的突发事件。威胁分析首先需要列出可能存在的所有可能导致资产损害的因素，如物理因素、系统因素、人为因素等，其次执行威胁发生可能性概率分析和潜在损失分析，根据分析结果，定杲计算出威胁值并作标识，进一步形成应对策略。4•计算资产的动态风险资产的风险随看安全设备检测出不同安全事件而有不同的变化，其标识信息包括：安全设备编码、威胁的类型、源地址、目的地址、源端口、目的端口以及威胁发生的时间等，此外，每个安全

7、设备报警的准确率也是可以确定的。如果纽织网络中主机的资产价值用Ai表示，在某个时刻各主机的风险值为Ri,则此时网络整体风险值R为：R二o当某个安全设备产生一个报警事件时，首先根据其报警信息中的目的地址查看目的主机的威胁列表中是否存在此威胁，如果威胁存在，则读出目的主机的资产价值Ai、该威胁可能対资产造成影响的权重WTi以及报警前目的主机的风险值Ri,并根据该威胁的源地址得到威胁主体的动机指数Mi和能力值Ci°若用P表示报警设备的准确率，T衣示威胁值，则该威胁产生的风险值厂可以通过以下公式计算：r=AiXTXP,T^