基于多木桶模型的信息安全量化评估方案*

信息安全量化评估由于涉及因素较多, 其算法方案设计一直比较困难. 木桶理论是信息安全的重要原则, 但在目前的信息安全评估方案中都未有实现.本文首先提出基于木桶模型的信息安全评估方案, 再考虑现实安全系统的逻辑结构对信息评估方案设计影响, 进一步提出了基于多木桶模型的信息评估方案, 经实例验证,所获得的评估方案更符合现实情况、能更准确地反映安全水平.     

一种基于威胁分析的信息安全风险评估方法

在信息安全领域中,信息风险评估是风险管理和控制的核心组成部分,是建立信息系统安全体系的基础和前提。分析了信息安全风险评估的标准及流程,提出一种基于威胁分析的量化风险评估方法ISSREM。该方法采用多属性决策理论,计算信息系统相对威胁程度,有利于评估者进行比较和选择,通过对威胁频率的灵敏度分析,使评估结果更具客观性和准确性。给出ISSREM的计算模型及用该方法进行风险评估的主要步骤,并结合实例对该定量评估方法进行分析,验证了该方法的合理性与有效性。     

工业控制信息安全产品测试评价体系

工业控制系统的信息安全问题日益凸显,严重影响了社会和国家安全。但工业控制系统的特殊性,也使其与传统信息系统在所面临的安全威胁、安全问题及所需要考虑的安全防护措施等方面存在较大的不同。传统的信息安全产品无法适用于工业控制领域,因此出现了专用的工控信息安全产品,但缺少专业规范的工控信息安全测评体系,无法保证工控信息安全产品的基本安全。详细分析了工业控制系统与传统信息系统的区别,梳理了目前广泛使用的工控信息安全产品,建立了工控信息安全产品测试评价体系,并将该体系应用到实际的产品测试中,进一步推动工控信息安全的发展。     

国家信息安全应用示范工程启动

本刊讯网络信用缺乏、网上信息泄密、黑客、病毒……不少人对信息安全问题心存忧虑，日前启动的国家“十五”科技攻关计划重大项目──国家信息安全应用示范工程将瞄准这些问题，消除人们的担忧。 此项工程将以具有自主知识产权的信息安全重大核心技术、关键技术为基础，结合典型领域的应用，建设具有普遍适用性和推广价值的信息安全基础设施。科技部已初步确定我国电力调度指挥系统等３个信息安全应用示范点，进行信息安全关键技术的攻关和具有自主知识产权的信息安全产品的应用集成，使这些信息系统的安全保障能力有显著提高。未来３年内…     

信息安全风险模块化层次评估方法研究

信息系统广泛应用于各行各业，其安全性已经引起人们的密切关注。信息系统风险评估是分析信息系统的安全现状和潜在风险，从而为安全策略的设计实现提供依据和指导的过程，是规划、建设和维护信息系统安全结构的一项重要而且不可缺少的工作。本文根据信息系统功能模块化强的特点，采用系统聚类法建立了信息安全风险模块化层次结构评估模型，将一个完整的信息系统分为“管理模块”、“核心模块”、“分布层模块”、“服务器模块”、“边缘分布模块”、“外网接入模块”以及“外部环境模块”7个模块，并对模块化评估模型聚类方法和评估实施步骤作了详细的介绍。     

基于网络综合扫描的信息安全风险评估研究

信息安全风险评估是安全风险管理的重要内容,是保障信息系统安全性的重要手段。利用网络综合扫描工具可以对信息系统进行有效的安全风险评估,从而维护系统的安全性。首先给出了安全扫描技术的分类,网络综合扫描的概念,并介绍了常用的网络综合扫描工具。然后对信息安全风险评估,介绍了其评估方法、评估流程和评估工具。最后,给出了利用网络综合扫描工具实现信息系统安全风险评估的原理,并通过扫描工具X-Scan进行测试。     

信息系统的风险评估：系统风险评估是一个体系

我国信息系统安全风险评估的研究是近几年才开始的。随着信息系统等级保护工作的逐步歼展，目前工作主要集中在组织架构和业务体系的建立，如建立了国家信息安全测评认证中心．北京信息安全测评认证中心等评估认证体系，相应的标准体系和技术体系还处于研究阶段。但电子政务、电子商务的蓬勃发展，信息系统风险评估领域和以该领域为基础和前提的信息系统安全工程，在我国已经得到政府、军队、企业、科研机构的高度重视，因此具有广阔的研究空间。     

简介几种安全评估工具

信息系统安全性评估正日益得到重视，2003年9月中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》，文件要求采取必要措施进行信息安全风险的防范，国家信息中心成立了信息安全风险评估课题组进行相关研究和标准制定工作，中国信息协会信息安全专业委员会2004年年会议题也是“信息安全风险评估”。     

网上支付要过安全门安全保护完成三级跳

前不久,国内领先的独立第三方支付企业快钱顺利通过测试评估,快钱支付清算系统获得“信息系统安全认证证书”,成为国内首家获得“支付清算系统安全认证”的独立第三方电子支付企业。据悉,这项评估由中国信息安全产品测评认证中心完成,是我国正式确立的信息安全测评认证,这也成为快钱在网上支付安全领域获得的又一项资格证明。     

基于层次分析涉密信息系统风险评估

信息技术的发展使得政府和军队相关部门对信息系统安全问题提出更高要求。涉密信息系统安全有其独特性,风险评估区别于普通信息安全系统。文章以涉密信息系统为研究对象,首先阐述涉密信息系统的特点,针对其独特性对现有信息安全风险评估方法进行分析评价。然后将基于层析分析法的评估模型引入到涉密信息系统安全风险评估中。为涉密信息系统进行风险评估提供一种新的技术思路。最后通过实例分析,所提模型在处理涉密信息系统评估过程中对得到的离散数据分布无要求,与德菲尔法以及 BP 神经网络相比,该模型具有一定实用性和可扩张性,适合用于实际地涉密信息系统风险评估中。     

Representation of interrelationships among binary variables under dempster–shafer theory of belief functions

This paper presents an algorithm for developing models under Dempster–Shafer theory of belief functions for categorical and “uncertain” logical relationships among binary variables. We illustrate the use of the algorithm by developing belief‐function representations of the following categorical relationships: “AND,” “OR,” “exclusive OR (EOR)” and “not exclusive OR (NEOR),” and “AND‐NEOR” and of the following uncertain relationships: “discounted AND,” “conditional OR,” and “weighted average.” Such representations are needed to fully model and analyze a problem with a network of interrelated variables under Dempster–Shafer theory of belief functions. In addition, we compare our belief‐function representation of the “weighted average” relationship with the “weighted average” representation developed and used by Shenoy and Shenoy (in Belief Functions in Business Decisions, edited by R. P. Srivastava and T. Mock; Heidelberg, Germany: Physica‐Verlag; 2002; pp 316–332). We find that Shenoy and Shenoy representation of the weighted average relationship is an approximation and yields significantly different values under certain conditions. © 2009 Wiley Periodicals, Inc.     

基于证据理论物联网安全态势感知方法研究

社会物联网技术迅速发展,安全问题日益严重,对简便易用的物联网安全态势感知方法进行了研究。针对当前物联网安全态势感知系统缺乏通用性、过分依赖专家知识的缺点,提出了一种基于改进D-S证据理论的物联网安全态势感知方法。利用模糊高斯隶属函数计算漏洞信息隶属度矩阵,归一化后作为证据分布矩阵;利用改进Topsis方法衡量证据可信度,聚合两两证据间的局部可信度,根据态势评估场景改进期望正负解向量,充分抑制冲突性证据可信度,提高相互支持证据间可信度,利用加权平均方法进行漏洞信息融合得到态势评估结果;基于时间因子折扣和高危漏洞比例折扣证据理论融合形成态势感知结果,利用时间因子聚合多个态势评估数据,根据时间尺度对不同时刻的态势评估证据进行折扣,越接近当前时刻的证据折扣度越小,反之越大。同时,综合考虑不同时刻物联网漏洞信息,利用高危漏洞比例信息进行自适应动态加权,把不同时刻的高危信息折扣入识别框架,系统的危险变化信息集中体现在证据融合过程中。经过实验表明,在不同数量证据体融合和4种常见冲突证据融合中,改进Topsis方法对可信命题的融合概率更高;在态势评估方面,准确评估当前系统危险程度;在态势感知方面,折扣...     

Multiattribute decision making based on power operators for linguistic intuitionistic fuzzy set using set pair analysis

The aim of the presented paper is to give a multiattribute decision making (MADM) method under the linguistic intuitionistic fuzzy (LIF) environment using the set pair analysis (SPA) theory. LIF set can express the qualitative information in terms of linguistic variables, whereas the connection number (CN) based on the “identity,” “discrepancy,” and “contrary” degrees of the SPA theory handles the uncertainties and certainties systems. On the basis of these features, we develop some series of linguistic CN (LCN) power weighted and ordered weighted geometric aggregation operator to aggregate the different LCNs. Several properties of the operators are also studied. Afterward, we present a novel MADM method to solve decision‐making problems under LIF set environment and illustrate with several examples to validate it. A comparative analysis is also presented to show the results.     

信息安全存储的初步研究与应用

在信息化社会中 ,信息安全防卫扮演着重要角色。信息安全可以从三方面加以考虑 ,即网络安全、系统安全和安全存储。文章对安全存储进行了探讨 ,并分析了威胁安全存储的主要因素 ,及安全存储的基本要求和基本对策。作为安全存储的应用 ,文中分析了“文件保险箱”和“文件安全删除工具”的设计思路 ,并介绍了其实现方法     

On the quantitative-qualitative measure of relative information

Taneja and Tuteja [7] have introduced the concept of a relative “useful” information measure which satisfies weighted additivity. In this paper an inverse problem is studied. By assuming the sum property, the equation satisfied by weighted additivity is converted to a functional equation, and then, in terms of the real and continuous solution of the functional equation, the quantitative-qualitative measure of relative “useful” information is characterized.     

基于不完全信息博弈模型的信息系统安全风险评估方法

博弈理论具有的目标对立性、关系非合作性和策略依存性等特征与网络攻防对抗过程保持一致，将博弈理论应用于网络信息安全已经成为研究热点，但目前已有的研究成果大都采用完全信息博弈模型，与网络攻防实际不符。基于此，为提高信息系统风险评估的准确性，本文构建不完全信息条件下的静态贝叶斯攻防博弈模型，将其应用于网络信息系统安全风险评估，构建相应的信息系统安全风险评估算法。通过仿真实验验证了本文模型和方法的有效性，能够对信息系统安全威胁进行科学、有效的评估。     

Secrecy by interpretation functions

This paper presents a novel approach to verify the secrecy property of cryptographic protocols. Basically, the idea is to establish sufficient conditions under which the secrecy property of a given protocol is guaranteed. The idea behind the sufficient conditions is to restrict the principals involved in the analyzed protocol so that they never decrease the security level of any piece of information when they send it over the network. For example, a principal is not allowed to protect a “top secret” information by a secret or a public key. Only keys having a security level greater or equal to “top secret” can protect “top secret” information. The proposed conditions can be syntactically verified on a cryptographic protocol in acceptable time. This proposed approach is general in the way that it can be applied to any cryptographic protocols and with any set of security levels (the set {public, secret, topSecret}, or the set {0,1}, etc).     

基于灰色层次模型的计算机网络安全评估

针对计算机网络安全评估中主观因素多、指标难以量化、评估方法繁杂的问题,建立了一种基于灰色层次分析法(A HP)的网络安全评估模型.首先,根据综合评价指标体系构建原则,结合目标网络实际情况,建立由目标层、指标层、子指标层构成的层次化网络安全评估指标体系;其次,为减小主观因素的影响,采用层次分析法和德尔菲法构造判断矩阵,结合加权平均和方根法确定指标权重系数;然后,根据灰色系统理论,对目标网络进行综合评估,得到最终的综合评估值;最后,通过对某电子实验室专用网络进行仿真分析,计算得到定量的评估值.评估结果能反映评估对象的真实情况,对网络的下一步建设有指导作用.     

基于“北斗”通信的文本数据传输

北斗卫星导航系统是我国自主研发且具有通信能力的区域性卫星导航系统,根据“北斗”覆盖面广、安全性好的特点,可对我军情报数据,装备数据等文本信息进行远距离可靠传输。针对“北斗”传输带宽小的特点,采用 Huffman数据压缩技术对文本数据进行无损压缩,可以提高通讯效率。论文主要介绍了 Huffman数据压缩技术原理在“北斗”数据通讯中的应用及文本数据面向窄带条件下的分发组织模型。