- 相關(guān)推薦
關(guān)于模糊綜合的信息安全風(fēng)險評估
論文摘要：隨著的持續(xù)發(fā)展和國家信息化步伐的加快，信息安全問題對國家安全的影響日益增加與突出。為了對安全性進行高效地評估，達到提高信息系統(tǒng)安全性的目的，文中提出了一種基于模糊綜合評判理論的信息系統(tǒng)安全風(fēng)險評估模型和方法。模型采用多層結(jié)構(gòu)，引入了關(guān)系矩陣描述各個評價因素之間的相互影響關(guān)系，并提出了安全性評估指標體系，使用定性和定量的評估方法對安全性進行評估。對模糊綜合得出的結(jié)果提出了分析方法來獲得信息系統(tǒng)的綜合風(fēng)險評價，改變了傳統(tǒng)將信息系統(tǒng)看成“黑盒”來評估的方法，是對以往安全性評估方法的補充。
論文關(guān)鍵詞：信息安全；模糊綜合；評估
0引言
信息和信息安全在人類社會的生存發(fā)展中變得越來越重要了，信息給人類社會創(chuàng)造了無限的財富，以至于信息和信息安全已經(jīng)毫無爭議地成為一個組織、一個國家資產(chǎn)的一部分，而且還是重要的資產(chǎn)；但是，如同人類上某些先進技術(shù)，它也是一把雙刃劍，在造福于人類社會的同時，也給人類社會帶來損失和危害。
不管是從保密到網(wǎng)絡(luò)安全，還是從信息安全到信息保障，人們越來越多地意識到信息和信息安全的重要性，正在逐步完善對信息和信息安全的全面認識。因此信息安全風(fēng)格評估在這其中就占有舉足輕重的地位。加強信息安全評估工作是當前信息安全工作的客觀需要和緊迫要求。信息安全問題由于信息的應(yīng)用、應(yīng)用領(lǐng)域以及處理信息敏感度的不同，在安全需求上有很大差別。
信息安全評估具有如下作用：
(1)明確信息的安全現(xiàn)狀：進行信息安全評估后可以準確地了解自身的網(wǎng)絡(luò)、各種應(yīng)用系統(tǒng)以及制度規(guī)范的安全現(xiàn)狀，從而明晰安全需求。
(2)確定信息的主要安全風(fēng)險：在對信息進行安全評估后，可以確定信息的主要安全風(fēng)險，并選擇合理的風(fēng)險處置措施，如避免風(fēng)險、降低風(fēng)險或接受風(fēng)險。
(3)信息安全技術(shù)體系與管理體系的建設(shè)：進行信息安全評估后，可以制定信息的安全策略及安全解決方案，從而指導(dǎo)信息安全技術(shù)體系(如部署防火墻、入侵檢測與漏洞掃描系統(tǒng)、防病毒系統(tǒng)、數(shù)據(jù)備份系統(tǒng)等)與管理體系(安全管理制發(fā)、安全培訓(xùn)機制等)的建設(shè)。
1信息安全風(fēng)險因素
信息安全系統(tǒng)開發(fā)過程是一個包括人、開發(fā)工具和應(yīng)用背景等非常復(fù)雜且動態(tài)的過程。在一些信息安全關(guān)鍵系統(tǒng)中，一些安全性失效可能引起設(shè)計功能無法正常完成，甚至導(dǎo)致整個系統(tǒng)癱瘓。因此非常有必要進行信息系統(tǒng)安全性的影響因素分析，最終進行軟件產(chǎn)品的安全性評估。
安全性因素對軟件安全性的影響程度與信息系統(tǒng)的安全性水平關(guān)系密切J。一是因為這些因素取自于安全事件發(fā)生的本質(zhì)原因，可以從不同方面反映安全性受其影響；二是因為這些因素對信息系統(tǒng)安全性的影響程度的輕重與否可以通過軟件安全性的高低表現(xiàn)出來。因此，文中對安全性評估的影響因素作出了定義和分析，計算影響因素對信息系統(tǒng)安全性的綜合影響程度，然后再評估信息系統(tǒng)的安全性。
2信息安全風(fēng)險綜合評估指標體系
2．1信息安全評估的概念
信息的安全風(fēng)險，是指由于信息系統(tǒng)本身存在的脆弱性，人為或自然的威脅導(dǎo)致安全事件發(fā)生造成影響。信息安全風(fēng)險評估，則是指依據(jù)國家有關(guān)信息安全技術(shù)標準，對信息及其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行科學(xué)評價的過程，它要評估信息的脆弱性、信息面臨的威脅以及脆弱性被威脅源利用后所產(chǎn)生的負面影響，并根據(jù)安全事件發(fā)生的可能性和負面影響的程度來識別信息的安全風(fēng)險。
在已有的研究的基礎(chǔ)上，構(gòu)建了信息安全風(fēng)險綜合評估指標體系，如圖l所示。
該體系分為四級：第一級是評估的目標即安全事件風(fēng)險等級；第二級從安全事件發(fā)生可能性和安全事件危害性這兩個大的方面對安全風(fēng)險進行大的評估；第三級列出了安全事件發(fā)生可能性和安全事件危害性的考慮因素(威脅性、脆弱性和資產(chǎn)價值)；第四級則是影響安全風(fēng)險的每一個屬性的若干因素，它是細化了的安全風(fēng)險影響因素。根據(jù)這些因素對信息安全風(fēng)險的影響程度，可采用類似于很高、高、中、低和很低等的度量元。根據(jù)影響的高低程度，可以知道安全風(fēng)險分別隸屬于與之對應(yīng)的很高、高、中、低和很低的程度。信息系統(tǒng)安全風(fēng)險受影響的等級程度越高，其安全性就越低。由于影響安全風(fēng)險的因素很多，各因素問又有主、次之分，所以可通過權(quán)重分配，突出主要因素的影響，做到輕重有別。
2．2威脅性識別
安全威脅是一種對機構(gòu)及其資產(chǎn)構(gòu)成潛在破壞的可能性因素或者事件。即使安全性級別再高的信息系統(tǒng)，安全威脅始終是存在的。威脅分類的方式有很多種，威脅的來源主要是因素和人為因素兩大類，人為因素又分惡意人員和非惡意人員。依據(jù)威脅來源和表現(xiàn)形式可將威脅分為9類：
軟硬件故障：設(shè)備硬件故障、傳輸設(shè)備故障、存儲媒體故障、系統(tǒng)軟件故障、應(yīng)用軟件故障、數(shù)據(jù)庫軟件故障和開發(fā)環(huán)境故障等；
無作為或操作失誤：維護錯誤、操作失誤等；
惡意代碼：網(wǎng)絡(luò)病毒、間諜軟件、偷聽軟件、蠕蟲、陷門等；
越權(quán)或濫用：非授權(quán)訪問網(wǎng)絡(luò)資源、非授權(quán)訪問系統(tǒng)資源、濫用權(quán)限非正常修改系統(tǒng)配置或數(shù)據(jù)、濫用權(quán)限泄露秘密信息等；
網(wǎng)絡(luò)攻擊：網(wǎng)絡(luò)探測和信息采集、漏洞探測、嗅探、用戶身份偽造和欺騙、用戶或數(shù)據(jù)業(yè)務(wù)的竊取和破壞、系統(tǒng)運行的控制和破壞等；
攻擊：物理接觸、物理破壞和盜竊等；
泄密：內(nèi)部信息泄露、外部信息泄露等：
篡改：篡改網(wǎng)絡(luò)配置信息、系統(tǒng)配置信息、安全配置信息、用戶身份或業(yè)務(wù)數(shù)據(jù)信息等；
抵賴：原發(fā)抵賴、接收抵賴和第三方抵賴等。
2．3脆弱性識別
脆弱性是資產(chǎn)本身存在的，如果不被相應(yīng)的威脅利用，單純的脆弱性本身不會對系統(tǒng)造成損害。而且如果系統(tǒng)足夠強健，嚴重的威脅也不會導(dǎo)致安全事件的發(fā)生進而帶來損失。威脅總是利用資產(chǎn)的脆弱性才能造成傷害。
脆弱性識別數(shù)據(jù)應(yīng)來自與資產(chǎn)的所有者、使用者以及相關(guān)業(yè)務(wù)領(lǐng)域和軟硬件方的專業(yè)人員等。脆弱性識別所采用的方法主要有：問卷、工具檢測、人工：核查、文檔審閱、滲透性測試等。脆弱性的識別主要從技術(shù)和兩個方面進行，其主要因素分為技術(shù)脆弱性和管理脆弱性，進一步細分則又可以劃分為：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、系統(tǒng)軟件、數(shù)據(jù)庫軟件、應(yīng)用中問件應(yīng)用系統(tǒng)、技術(shù)管理和組織管理等方面。
脆弱性嚴重程度可以采用類似威脅性的度量元進行等級化處理，不同的等級代表資產(chǎn)脆弱性嚴重程度的高低。等級數(shù)值越大，脆弱性嚴重程度越高。
2．4資產(chǎn)識別
風(fēng)險評估需要對資產(chǎn)的價值進行識別，因為價值不同將導(dǎo)致風(fēng)險值不同。風(fēng)險評估中資產(chǎn)的價值不僅僅是以資產(chǎn)的價值來衡量，還與資產(chǎn)的機密性(Confidentiality)、完整性(Integrity)和可用性(Avail—ability)這三個安全屬性有關(guān)。資產(chǎn)在CIA三性上的要求不同，則資產(chǎn)的最終價值也是不同。根據(jù)《信息安全風(fēng)險評估規(guī)范》中給出的基于表現(xiàn)形式的資產(chǎn)分類方式，將資產(chǎn)分為6類：
(1)數(shù)據(jù)資產(chǎn)：包括保存在信息存儲介質(zhì)上的各種數(shù)據(jù)資料，如源代碼、數(shù)據(jù)庫數(shù)據(jù)、系統(tǒng)文檔、運行管理規(guī)程、計劃、報告、用戶手冊等。
(2)硬件資產(chǎn)：包括網(wǎng)絡(luò)設(shè)備、設(shè)備、存儲設(shè)備、傳輸線路、保障設(shè)備、安全保障設(shè)備等。
(3)軟件資產(chǎn)：系統(tǒng)軟件、應(yīng)用軟件和源程序等。
(4)服務(wù)資產(chǎn)：辦公服務(wù)、網(wǎng)絡(luò)服務(wù)和信息服務(wù)等。
(5)文檔資產(chǎn)：傳真、電報、報告、發(fā)展計劃等。
(6)人員資產(chǎn)：主機維護主管、網(wǎng)絡(luò)維護主管和應(yīng)用項目經(jīng)理等。
3模糊綜合安全風(fēng)險分析評估方法
3．1模糊綜合安全風(fēng)險分析評估方法概述
采用AHP的方法來構(gòu)造判斷矩陣，按照1—9比例標度對安全風(fēng)險因素的重要性程度賦值，采用專家打分的方法構(gòu)造出影響因素的兩兩比較評判矩陣。為了使得到的評判矩陣滿足一致性條件，對評判矩陣進行一致性。通過一致性檢驗后，得到其評判矩陣的最大特征根和特征向量w，將得到的特征向量歸一化后就能夠得到權(quán)重集．即可以得到信息系統(tǒng)的安全風(fēng)險評估等級。
3．2安全事件發(fā)生可能性
安全事件發(fā)生可能性的實質(zhì)就是威脅成功利朋資產(chǎn)存在的脆弱性導(dǎo)致安全事件發(fā)生的概率�？梢允褂靡韵碌姆妒秸f明安全事件發(fā)生可能性的原理：
Mp二F(T,C)
其中：Mp表示安全事件發(fā)生的可能性，T表示信息存在的威脅性，C表示信息的脆弱性，F(xiàn)表示安全事件發(fā)生可能性計算的函數(shù)。
令威脅性和脆弱性的評語集V={很高(V5)、高(V4)、中(V3)、低(V2)、很低(V)}。假設(shè)威脅性和脆弱性各有八個影響因素，分別為(R1，R2，R3，R4，R5R6，R7，R8)和(R9，R10，Rl1，R12，R13，Rl4，R15，R16)則其威脅性的評判矩陣為：
3。4安全事件風(fēng)險等級
對于圖1中的位于第一級的安全事件風(fēng)險等級的計算，同樣使用AHP方法得到位于第二級的安全事件發(fā)生可能性和安全事件危害性對于安全事件風(fēng)險等級的權(quán)重集(w，w)，如上可以得到安全事件風(fēng)險等級為：
4評估結(jié)果分析
對于最終得到的安全事件風(fēng)險評估等級，可以采用最大隸屬度原則，求得信息安全性受各種因素影響的嚴重度等級，最終可以得到軟件安全性等級評判的定量評估；還可以按照打分法，將定義的風(fēng)險等級給予量化，得到一個等級量化矩陣，將得到的權(quán)重矩陣乘以等級量化矩陣即可以得到軟件風(fēng)險的分值，則可以得到軟件安全風(fēng)險性評判值，根據(jù)安全風(fēng)險等級定義的分值，即可以判斷出安全風(fēng)險級別。模糊綜合評估方法是根據(jù)影響信息安全性的威脅性、脆弱性和資產(chǎn)的眾多因素來考慮進行信息安全評估，不是從安全性失效的數(shù)據(jù)角度出發(fā)，因此改變了以往將信息系統(tǒng)看成“黑盒”來評估的方法。其評估結(jié)果一方面可以對以前安全性評估的結(jié)果進行有效地和修正；另一方面該模型還可以用在信息系統(tǒng)開發(fā)前、中、后各個階段進行評估。根據(jù)模糊綜合評估，可以盡早地在信息開發(fā)階段發(fā)現(xiàn)明顯地影響系統(tǒng)安全性的因素，給予重點關(guān)注和糾正，能夠達到明顯提高軟件安全性水平的目的，在一些難以收集到失效數(shù)據(jù)的情況下，通過信息安全性影響因素的收集來進行安全性評估顯得更加有效。
5結(jié)束語
信息系統(tǒng)大而復(fù)雜，而且是有軟件、硬件、人等多種不確定因素，因此系統(tǒng)安全風(fēng)險不僅涉及因素多，而且很難測定度量。文中在介紹有關(guān)信息系統(tǒng)安全風(fēng)險評估概念的基礎(chǔ)上，提出了一種基于綜合模糊的信息安全評估方法，該方法通過多級權(quán)重的評判得到安全事件發(fā)生可能性和安全事件發(fā)生的危害性，最終得到安全事件風(fēng)險等級的數(shù)值。
目前的安全風(fēng)險評價方法大多是基于數(shù)字的定量技術(shù)，實際中，評測人員經(jīng)常使用“很高”、“高”、“很可能”等變量來描述其危險事件發(fā)生的可能性和危害性，并據(jù)此來推斷安全事件風(fēng)險的高低，使用模糊模型對信息安全事件風(fēng)險的主觀評價進行分析，為確定工程風(fēng)險量等級提供依據(jù)。
隨著風(fēng)險評估越來越受到大家的重視，在信息風(fēng)險評估方面還存在一些問題：例如錯誤地將風(fēng)險評估認為就是漏洞掃描；評估標準采用上，還沒有一個特定的標準；評估過程中在所難免地存在一些主觀因素等問題。因此還需要進行更加深入的研究。
【模糊綜合的信息安全風(fēng)險評估】相關(guān)文章：
信息安全外包的風(fēng)險03-14
企業(yè)人才風(fēng)險及其帶置信度的模糊綜合評價模型03-20
對外資源型投資項目投資風(fēng)險的模糊綜合評價03-07
信息安全風(fēng)險管理理論03-12
相似云下的網(wǎng)絡(luò)安全風(fēng)險評估論文11-27
研討壽險公司的風(fēng)險評估03-26
我國壽險公司風(fēng)險評估研究11-25