一种实时的信息安全风险评估方法

信息安全风险评估是信息系统风险管理的重要组成部分,是建立信息系统安全体系的前提和基础。论文简要介绍了信息安全风险评估,进而提出了一种定性、定量评估相结合的实时的信息安全风险评估方法。该方法通过分析系统的资产、弱点和威胁,根据安全设备产生的安全事件,实时地评估信息系统的风险。     

基于威胁传播采样的复杂信息系统风险评估

互联网时代的信息安全已成为全社会关注的问题之一。信息系统是信息的载体,为有效评估大规模分布式复杂信息系统的风险,构建了一种基于威胁传播采样的复杂信息系统风险评估方法。该方法考虑到威胁在复杂信息系统中传播时,对资产结点的转移状态以及资产结点发出的威胁传播边进行采样来生成威胁传播树（threat propagation trees ,TPT ）,然后通过计算威胁传播树中各资产结点的期望损失以及威胁传播树的概率来对整个复杂信息系统进行风险评估。实验分析表明,基于威胁传播采样的复杂信息系统风险评估方法,在生成威胁传播树时具有高效的时间效率,能够对复杂信息系统进行客观准确的风险评估,且在对复杂信息系统资产结点制定安全防护策略时,能够为安全风险管理者提供较为合理的安全指导建议。     

基于威胁分析的多属性信息安全风险评估方法研究

根据信息系统风险评估模型中资产、威胁和脆弱性等基本要素,提出基于威胁分析的多属性定量风险评估方法.建立以威胁为核心的风险计算模型,通过威胁识别,威胁后果属性计算及威胁指数计算等多个步骤对信息系统的安全风险进行定量分析和评估.基于威胁的多属性风险计算模型利用多属性决策理论和方法,计算安全威胁的概率以及各种威胁后果属性值及其权重,对安全风险进行排序,提高信息系统风险评估的客观性和可度量性,为建立信息系统安全保障体系提供科学依据.     

基于OCTAVE的一个电子政务外网等级测评风险计算模型设计

风险评估包含资产、威胁、脆弱性的赋值以及风险的计算等。该文以OCTAVE评估模型为基础对风险计算三元组识别与赋值进行研究,提出综合使用头脑风暴、德尔菲法、用群体决策方法进行资产、威胁、脆弱性的识别与赋值,对资产风险价值的加权计算参数采用专家咨询法等;采用马尔可夫方法计算动态信息系统威胁发生概率;对风险的计算模型进行研究,增加安全防护措施一个元组,把风险计算的三元组改进为四元组。     

基于OCTAVE的一个电子政务外网等级测评风险计算模型设计

风险评估包含资产、威胁、脆弱性的赋值以及风险的计算等。该文以OCTAVE评估模型为基础对风险计算三元组识别与赋值进行研究,提出综合使用头脑风暴、德尔菲法、用群体决策方法进行资产、威胁、脆弱性的识别与赋值,对资产风险价值的加权计算参数采用专家咨询法等;采用马尔可夫方法计算动态信息系统威胁发生概率;对风险的计算模型进行研究,增加安全防护措施一个元组,把风险计算的三元组改进为四元组。     

基于评估流程的信息安全风险的综合评估

对信息安全风险评估提出了一种新的评估方式。根据风险评估流程,采用模糊综合评判法和AHP方法相结合的方法,对信息系统安全风险进行综合评估。采用模糊综合评判的方法,对资产、威胁、脆弱性进行评估,判断资产的风险等级,求出资产风险值,对系统风险进行定量评定。在评估资产时,对资产的安全特性：机密性、完整性、可用性,采用AHP的方法,构造比较判断矩阵,求出各因素的权重。通过实例验证,该方法操作方便,评估结果准确,具有一定的实际意义。     

一种基于威胁分析的信息安全风险评估方法

在信息安全领域中,信息风险评估是风险管理和控制的核心组成部分,是建立信息系统安全体系的基础和前提。分析了信息安全风险评估的标准及流程,提出一种基于威胁分析的量化风险评估方法ISSREM。该方法采用多属性决策理论,计算信息系统相对威胁程度,有利于评估者进行比较和选择,通过对威胁频率的灵敏度分析,使评估结果更具客观性和准确性。给出ISSREM的计算模型及用该方法进行风险评估的主要步骤,并结合实例对该定量评估方法进行分析,验证了该方法的合理性与有效性。     

信息安全风险评估关键技术研究与实现

信息安全问题是全球信息化发展最关注的问题,随着各机构逐渐进入信息化办公时代,机构的信息资产几乎全部保存在信息系统中,一旦面临威胁和遭遇攻击,造成的危害和损失将难以想象。信息安全风险评估理论最早由国外提出,目前广泛应用于信息安全领域。文章首先研究风险评估的基础理论和流程,对风险评估的定义、风险评估要素之间的关联关系、安全风险模型和常见的风险评估方法进行介绍。然后对风险评估与控制软件进行架构设计和功能模块设计,该软件涉及资产识别、威胁分析、脆弱性分析、现有安全策略的确认与评估、综合风险评估、评估报告输出等多个环节。接下来结合SQL Server数据库和Tomcat中间件技术完成系统的实现,并在测试平台上对其进行测试。文章在评估软件的设计过程中加入了漏洞检测功能,为评估工作的准确性提供了进一步的保障。系统模块结构简洁清晰,评估功能完善强大,效果突出。     

基于云模型和组合权重的SCADA系统安全风险评估研究

当前数据采集与监控系统(supervisory control and data acquisition, SCADA)系统面临着巨大的安全威胁,对其风险状况进行监测和评估是一项有效的应对措施。为有效处理评估过程中存在的模糊性和随机性问题,将云模型理论引入SCADA系统安全风险评估中,提出了一种基于云模型和组合权重的安全风险评估模型。该模型从SCADA系统的资产、威胁、脆弱性、安全措施4方面构建安全风险评估指标体系,采用最小二乘法求出评估指标的最优组合权重,借助云发生器得到评估指标的云模型数字特征和SCADA系统的综合评估云,然后基于黄金分割率构建标准评估云,同时结合改进的云相似度计算方法得出最终评估结果,最后通过实验验证了模型的有效性和可行性。研究结果表明,该模型能够得到准确的评估结果,与模糊综合评价等方法相比,该评估方法具备更高的可信性,评价效果更好。该方法不仅有助识别SCADA系统的安全风险威胁,而且为其他领域的安全风险评估提供了一定的参考。     

基于层次分析涉密信息系统风险评估

信息技术的发展使得政府和军队相关部门对信息系统安全问题提出更高要求。涉密信息系统安全有其独特性,风险评估区别于普通信息安全系统。文章以涉密信息系统为研究对象,首先阐述涉密信息系统的特点,针对其独特性对现有信息安全风险评估方法进行分析评价。然后将基于层析分析法的评估模型引入到涉密信息系统安全风险评估中。为涉密信息系统进行风险评估提供一种新的技术思路。最后通过实例分析,所提模型在处理涉密信息系统评估过程中对得到的离散数据分布无要求,与德菲尔法以及 BP 神经网络相比,该模型具有一定实用性和可扩张性,适合用于实际地涉密信息系统风险评估中。     

一种信息资产风险值的计算方法

按照信息安全风险评估流程,说明了资产识别、威胁识别和脆弱性识别的方法和量化标准,选择适当的、符合国家评估标准的风险计算分析模型,提出一种信息资产安全风险值计算方法,采用二维矩阵法计算安全事件的风险值,对风险值对应的风险程度进行风险等级划分,并通过计算一个信息系统的风险值进行验证.     

基于证据理论物联网安全态势感知方法研究

社会物联网技术迅速发展,安全问题日益严重,对简便易用的物联网安全态势感知方法进行了研究.针对当前物联网安全态势感知系统缺乏通用性、过分依赖专家知识的缺点,提出了一种基于改进D-S证据理论的物联网安全态势感知方法.利用模糊高斯隶属函数计算漏洞信息隶属度矩阵,归一化后作为证据分布矩阵;利用改进Topsis方法衡量证据可信度...     

基于FAHP的信息安全风险评估方法

提出基于模糊层次分析法的信息安全风险综合评估模型,从主观评测和工具检测两方面对各个风险因素分别评价其重要程度。利用模糊偏好法求出各个风险因素在系统风险评估中的优先级排序,给出目标系统在不同安全侧面上的量化风险,增强评估准确性。实例分析表明,该模型可方便地应用于信息安全风险评估,具有实用性。     

网络终端安全状况评估指标体系的研究

为了准确和全面地评估网络终端安全状况,完善网络信息安全保障体系,提出了一套评估网络终端安全状况的指标体系.该指标体系包含了网络终端资产、威胁和脆弱性的各个方面,减少了人为的主观因素影响.基于信息安全风险评估方法,建立了网络终端安全状况评估模型,利用层次模糊综合评价法及定性分析与定量计算相结合的评估技术对网络终端安全状况进行评估,并结合实例证明了该指标体系的合理性和可行性.     

基于攻击检测和节点脆弱性的网络安全风险分析方法

随着网络技术的不断发展,被动防御已经渐渐不能满足需求,主动防御的需求越来越迫切。主动防御的基础是网络风险分析。本文提出一种基于攻击检测和节点脆弱性的网络风险分析方法。该方法利用攻击信息和节点脆弱性信息计算攻击造成的影响度,从而分析网络风险并确定网络系统的薄弱点。与基于节点脆弱性的网络风险分析方法相比较,本文方法模型更加完善,结果更加准确。     

面向漏洞生命周期的安全风险度量方法

为了反映信息系统安全漏洞的风险随时间动态变化的规律,构建基于吸收Markov链的漏洞生命周期模型,计算先验历史漏洞信息作为模型输入,构造漏洞生命周期的状态转移概率矩阵,在时间维度上利用矩阵对状态演化过程进行推导.借鉴通用漏洞评分标准分析漏洞威胁影响,给出安全漏洞的时间维度风险量化方法,并对漏洞生命周期各状态发生概率的演化规律进行总结和分析.最后以典型APT攻击场景中“WannaCry”勒索病毒的漏洞利用过程为例,验证了模型及方法的合理性和有效性.     

一种基于风险评估的信任模型

在分布式、动态网络环境中,实体之间的信任关系成为安全问题的重点。现有的信任模型研究大多是将风险评估看作信任的一种补充,甚至忽略了风险评估的影响,这将导致安全决策的片面性。针对这个问题,提出了一种基于风险评估的信任模型。该模型通过识别并量化系统的资产重要性、脆弱性严重性和威胁严重性,给出了基于风险评估的信任计算方法。     

一种基于层次分析法的信息系统漏洞量化评估方法

根据层次分析法提出了一种具有可操作性的信息系统漏洞量化评估方法。按照分层思想,将系统漏洞严重程度的模型分解为因素层、评价层、特性层和目标层,分别从风险概率、风险影响和不可控制性等几方面对漏洞带来的风险因素进行专家评定,并依此来确定权重,通过计算其各层评估值,最后得到信息系统的整体漏洞严重性评估值。实验结果表明,基于层次分析法的信息系统漏洞评估方法能对系统漏洞的严重性程度进行有效量化和评估。