基于Fuzzy-ANC的信息安全风险评估方法研究

论文摘要

随着信息时代的飞速发展,网络与信息系统构成的虚拟空间日益重要,信息安全成为社会与国家安全的重要组成部分。通过信息安全风险评估,识别信息系统中风险的性质及危害程度,并制定有针对性的解决方案,采取适当的控制目标和控制方式对风险实施管理,尽最大可能避免风险的发生,或将风险降到最低水平。因此,信息安全风险评估在当今时代占有了举足轻重的地位。本文对信息安全风险评估的过程进行研究,主要工作如下：1)细致研究了国内外信息安全风险评估相关标准。标准中通常给出一定的评估目标和指导方向,并没有阐述详细的评估方法,得出的结论也较为模糊。比较常用的几种信息安全风险评估方法,可知评估中存在一定的不确定性,控制这些不确定性对有效的风险评估具有重要意义。本文以GB/T 20984《信息安全技术信息安全风险评估规范》为基础,对风险评估的实施过程进行修改和优化。采用模糊逻辑（Fuzzy Logic）原理解决评估过程中专家打分语言的模糊性问题。2)在评估过程中,资产、威胁和脆弱性三要素是密不可分的,资产是威胁和脆弱性作用的主体。本文以资产（Asset）为切入点,给出资产关联性（ANC）的定义描述,将信息安全风险评估中存在的关联问题归类到资产关联性问题中。通过资产关联性分析得到综合风险值,进一步提高评估结果的准确性。3)GB/T 20984中,未明确区分脆弱性的可利用程度和脆弱性的严重程度两个指标,这使得系统面临的风险大小出现一定的偏差。因为即使资产存在非常严重的脆弱性问题,但如果该脆弱性被利用的可能很小甚或为零,那么它对系统安全风险的影响将非常小,所以严格区分脆弱性的可利用程度和脆弱性的严重程度对有效的评估具有重要意义。4)由上述工作得到基于Fuzzy-ANC的信息安全风险评估方法,并采用形式化语言对该评估过程进行描述,为实现自动化评估等后续工作的展开奠定基础。5)在基于Fuzzy-ANC的信息安全风险评估方法之上,构建信息安全风险评估知识库（RAKD）,采用经典的宽度优先算法Apriori对预处理的数据进行频繁项搜索,得到历史数据中出现频率超过预定阀值的知识项,进一步为自动化评估的实现做铺垫。6)开发基于Fuzzy-ANC的信息安全风险评估辅助工具,在提高评估结果准确性的基础上,使得本文所述评估方法更易操作,以提高评估效率。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 研究背景及意义
• 1.2 国内外研究现状
• 1.2.1 国外研究现状
• 1.2.2 国内研究现状
• 1.3 本文主要研究内容
• 1.4 论文的组织结构
• 第2章 信息安全风险评估相关理论
• 2.1 风险评估概述
• 2.2 信息安全风险评估重要标准
• 2.2.1 国外信息安全风险评估标准
• 2.2.2 国内信息安全风险评估标准
• 2.3 信息安全风险评估要素
• 2.4 信息安全风险评估方法
• 2.5 存在的问题
• 2.6 本章小结
• 第3章 风险评估中模糊性问题的处理
• 3.1 模糊逻辑（Fuzzy Logic）概述
• 3.2 评估要素的形式化描述
• 3.2.1 资产
• 3.2.2 威胁
• 3.2.3 脆弱性
• 3.3 模糊逻辑方法的选择
• 3.4 本章小结
• 第4章 风险评估中资产的关联性
• 4.1 资产关联性（ANC）概念
• 4.2 资产关联性分类
• 4.3 资产关联性分析
• 4.4 本章小结
• 第5章 基于Fuzzy-ANC的信息安全风险评估方法
• 5.1 基于Fuzzy-ANC的风险评估方法
• 5.2 基于Fuzzy-ANC的风险评估步骤
• 5.2.1 资产评估
• 5.2.2 威胁评估
• 5.2.3 脆弱性评估
• 5.2.4 单一风险
• 5.2.5 带ANC的综合风险
• 5.3 风险评估知识库的设计
• 5.3.1 RAKD的功能
• 5.3.2 数据预处理
• 5.3.3 知识搜索算法的选择
• 5.4 本章小结
• 第6章 风险评估方法的应用
• 6.1 评估辅助工具介绍
• 6.1.1 开发环境
• 6.1.2 评估工具的功能
• 6.2 某信息系统评估实施方案
• 6.2.1 被测系统介绍
• 6.2.2 评估目标和任务
• 6.3 某信息系统风险评估实施
• 6.3.1 资产评估
• 6.3.2 威胁评估
• 6.3.3 脆弱性评估
• 6.3.4 系统风险分析
• 6.4 实验结果对比分析
• 第7章 总结和展望
• 7.1 本文研究总结
• 7.2 进一步研究工作
• 参考文献
• 致谢
• 攻读硕士学位期间发表的论文及参加的课题