信息安全风险多维动态管理模型及相关评估方法研究

发布时间：2020-08-02 14:42

【摘要】：万物都有其两面性,网络在带给人类社会划时代变革的同时,所带来的风险也是不可避免的。人们所能做的只有尽量降低风险,并在某种范围内接受风险。为此,风险管理技术应运而生。以往的风险管理模型多在宏观上从理论或管理过程的角度对风险管理进行了抽象描述,也有部分模型将风险评估(或分析)提到了一个重要的高度,但是没有将网络的整体风险评估与网络内部的传播风险评估细化出来。本论文构建了信息安全风险多维动态管理模型,重点突出风险评估的多维性,从网络风险发展的时序性及空间传播性两方面对风险进行了动态的管理,并对其中所涉及的评估方法进行了深入研究。论文具体研究工作与成果主要包括以下几个方面： (1)在深入研究现有风险管理模型的基础上提出了信息安全风险多维动态管理模型,将风险管理构建为多源信息层、基础数据分析层、风险态势评估层、风险态势分析层及风险控制层五层循环响应的动态管理模式,并从风险发展的时序性及空间传播性两方面来管理风险,实现了网络风险的多维度管理。与传统的风险管理模型相比较,该模型侧重于技术方面,可操作性较强；首次提出了多维度风险管理的概念,强化了对传播风险的管理与控制,增强了风险管理的可靠性。另外,针对基础数据分析层提出了基于等级全息建模(HHM)的风险识别框架。该框架能够细化可能存在风险的网络因素,更加系统、详尽地识别威胁、脆弱性及安全措施有效性三类风险,增强了风险识别结果的完备性。 (2)深入研究了风险态势评估层。从对风险事件进行事后风险评估的角度,提出了信息安全威胁场景模糊风险评估方法。首先构建了威胁场景的递阶层次化风险评价指标体系结构,定义了用于描述安全措施与风险形成关系的“不可控性”指标,增强了指标体系的完备性；其次定义了指标的高斯型隶属函数,并在此基础上提出了一种基于隶属度矩阵构造法的模糊综合评判模型,降低了评估过程中人为主观因素的影响；最后将上述模糊综合评判模型与AHP法相结合对威胁场景的风险度进行了量化计算。该方法将影响风险的因素尽可能全面考虑,强调了安全措施有效性对系统风险度的影响,实现了对威胁场景的事后评估。 (3)从对风险事件进行实时风险评估的角度,提出了基于攻击事件关联的实时网络风险评估方法。首先,考虑到安防措施强度与节点漏洞对攻击执行结果的影响,提出了攻击成功率算法；其次,提出了攻击威胁度算法,较好地区分了多步关联性攻击行为连续发生与多个孤立攻击行为单独发生之间的威胁度差异；最后计算节点态势值并利用各节点重要性权重加权计算系统整体的风险态势值,从而获得系统实时的风险态势曲线图。该方法实现了对IDS告警信息的自动关联分析和风险的实时量化评估,增强了对评估要素的关联分析,能够提高评估结果准确度,为安全管理员及时改进安防策略提供了重要依据。 (4)对风险态势分析层中的“信息网络传播风险分析”进行了深入研究,提出了基于主机攻击图的信息网络传播风险分析方法。首先,提出基于主机攻击图的风险传播路径分析算法来分析网络系统中可能存在的风险传播路径,提高了定位风险传播路径的精确性；然后,提出风险传播概率评估算法来估算网络风险在任意两节点之间传播的概率,使得风险传播特性在微观上得以体现；最后,根据两两节点之间的风险传播概率评估结果构建风险关联矩阵,进而分析各节点的风险传播能力及易受感染性。该方法的分析结果客观性较同类研究有所提高,生成的风险传播序列简单直观,并揭示了引发风险转移的内在原因,有利于安全管理员有的放矢的规避网络传播风险。通过实例分析表明,该方法能够为安管人员提供客观有效的安全防护建议。
【学位授予单位】：北京邮电大学
【学位级别】：博士
【学位授予年份】：2015
【分类号】：TP393.08
【图文】：

过程图,风险管理,过程,信息安全管理

国等国共同提出了信息技术安全通用准则CC。该准则融合了美国、欧洲、加大之前所提风险管理标准的精华，为世界各国共同接受，并被ISO采纳为国际准IS015408[5],被视为信息安全技术发展史上的重要的里程碑。随后，世界各国仍然陆续发布了一些风险管理标准，这其中比较有影响力的：英国的信息安全管理标准BS7799 (ISO/IEC 17799： 2005) [6’7]、美国的信息全工程能力成熟度模型SSE-CMM (ISO/IEC 21827: 2002)。BS7799由英国标准协会（BSI)公布，包括《信息安全管理实施细则》和《信安全管理体系规范》两部分，其中《规范》已经通过国际标准组织认可，成为式的国际标准。与CC相比较，CC主要适用于信息安全技术产品和系统的安性能测试和等级评估，而BS7799则更侧重于管理理念，其信息安全管理体系准在国际上很有代表性。SSE-CMM[8]是由美国卡耐基?梅隆大学提出的，侧重于信息安全建设工程的施。其风险管理过程如图1-1所示。该模型认为风险管理过程包括风险分析和险评估两部分。首先，对安全威胁、系统脆弱点、事件e笥跋旖衅兰鄄⑸捎Φ男畔ⅲ蝗缓蠡谏鲜龇缦辗治鼋峁鸮u展安全风险评估，生成风险信息。

过程图,风险管理,过程

图14GAO/AIMD-99-139的风险管理流程【丨6】PDR模型、P2DR模型和APPDRR模型都是ISS公司提出的一系列动态安全体系模型，其模型结构见图1-5、图1-6、图1-7。其中，PDR模型提出最早，应用最广泛。该模型基于Winn Schwartau提出的Time Based Security (基于时间的安全）理论，将保护、检测、响应看作影响信息安全风险的三大要素，当网络系统对攻击的防护时间大于检测到攻击的时间与响应的时间之和时，则认为网络系统是安全的。该模型从理论上描述了实现网络系统安全的条件，但从网络风险管理的实践来看，没有考虑到人员、策略等多方面的影响。为此，ISS公司先后提出了改进模型P2DR模型和APPDRR模型。P2DR模型延续了 PDR模型基于时间的安全理论，但与PDR模型不同的是，它认为策略是信息安全风险管理的核心，防护、检测、响应三个阶段都是通过安全策略来实施的。APPDRR模型则体现了网络安全的动态螺旋上升过程。他包括风险分析、安全策略、系统防护、实时监测、实时响应、灾难恢复六个环节，并将风险评估（风险分析）的重要性6

风险度,指标,计算结果,不可控性

和T的相对权重集为^^5=(0.3，0.3，0.4)；⑥P、E和T的相对权重集为= (0.25,0.25,0.5);其它数据同上节实例，风险度RD量化计算结果如图3-3所示。1 I 1 1 1 > 1 I ‘ ‘——?0+9 “ ——B情况2 -?。 ——-情况3^‘情况4 —S ?7 ~“情况5盖一“^情况6.?He 0.6 - Cp 「， -si 1 y士 0.5 - -Qtr 0.4 - -■ 0.3- -^0.2- -0.1 - -ol 1 0 1 2 3 4 5 6 7图3-3指标T对风险度计算结果的影响对比由图3-3可知，当不增加“不可控性”指标时（即情况①），所得风险度RD=0.6048为6种情况中最大值；当增加“不可控性”指标后，所得风险度大小相对情况①要小一些，且随着“不可控性”指标所占权重的增大，风险度RD的评价结果就越小，这是由于考虑到安全措施对风险形成的抑制作用。因此本文所 ?提方法所得评价结果更加符合实际情况。(2)隶属度矩阵构造法有效性分析在传统模糊综合评判模型中，通常采用专家评议法（Delphi法）来构造隶属度矩阵，该方法主要存在一个严重缺陷：即多个不同专家可能会对同一指标的评价产生较大分歧

【参考文献】