基于指标体系的网络安全风险评估研究

论文摘要

随着因特网的普及和计算机网络应用的迅速发展,针对网络系统的攻击也呈现快速增长的势头。网络安全越来越成为人们关注的重点。实践证明,计算机网络安全风险的预先识别和网络安全风险评估工作非常重要。本文对国内外网络安全风险评估标准、方法和工具进行了大量研究,在详细比较静态风险评估和动态风险评估的基础上,针对目前待评估网络系统规模增大导致单一风险评估方法不能很好解决时效性和全面性之间的矛盾,提出将静态评估和动态评估结合起来的风险评估方法。本方法的静态评估部分涉及的概念、流程参照国家标准《信息安全技术信息安全风险评估规范》的有关规定。为了更加准确地把握动态风险,作者提出了一套基于安全事件分类的动态风险评估指标体系框架,该指标框架以国家标准《信息安全事件分类分级指南》为蓝本,满足全面性和重要性相结合、结构稳定性与内容动态性相结合、定量和定性指标相结合、可操作性等要求,具有良好的可扩展性,对风险评估的准确性具有重大参考价值。论文从有效性和可信度两方面论述指标框架的合理性,讨论了前侧-后侧验证方法。论文还分析研究了指标无量纲化、归一化、多指标综合等问题,并利用层次分析法设计了一种网络动态风险评估的计算模型。该模型具有权值分配合理、计算量少的优点。最后,本文设计实现了静态与动态相结合的风险计算子系统,该系统可以作为指标验证的辅助工具。论文的实例分析论证了计算模型的可行性、有效性,并且演示了验证某单一指标的方法。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景
• 1.2 研究内容和目的
• 1.3 论文结构和章节安排
• 第二章 网络安全风险评估理论
• 2.1 相关术语与定义
• 2.2 风险评估标准
• 2.3 网络安全风险评估
• 2.3.1 风险要素关系模型
• 2.3.2 风险分析模型
• 2.4 风险评估方法
• 2.4.1 定性风险评估方法
• 2.4.2 定量风险评估方法
• 2.4.3 定性与定量相结合的风险评估方法
• 2.4.4 基于模型的评估方法
• 2.5 风险评估常用工具
• 第三章 静态与动态相结合的风险评估
• 3.1 静态风险评估
• 3.1.1 静态风险评估
• 3.1.2 静态风险评估的流程
• 3.2 动态风险评估
• 3.3 静态与动态相结合的风险评估
• 第四章 基于安全事件分类的动态风险评估指标体系
• 4.1 动态风险评估指标体系建立的原则
• 4.1.1 全面性与重要性的相结合
• 4.1.2 结构稳定性与内容动态性相结合
• 4.1.3 定性与定量指标相结合
• 4.1.4 可操作性
• 4.2 基于安全事件分类的动态风险评估指标框架
• 4.2.1 网络安全事件分类研究
• 4.2.2 动态风险评估指标框架
• 4.2.3 各层指标的含义
• 4.2.4 常见的四级指标
• 4.3 动态风险评估指标体系有效性和可信度分析
• 4.3.1 有效性分析
• 4.3.2 可信度分析
• 第五章 层次式的动态风险评估指标计算模型
• 5.1 指标数据的来源与类型
• 5.1.1 指标数据来源
• 5.1.2 指标数据类型
• 5.2 指标数据的预处理
• 5.2.1 无量纲化方法
• 5.2.2 定性指标定量化的数学模型
• 5.2.3 指标预处理实例分析
• 5.3 多指标综合评价方法及权重系数的选择
• 5.3.1 多指标综合评价方法
• 5.3.2 层次分析法的基本原理
• 5.3.3 基于AHP 的指标权重确定
• 5.4 基于AHP 的层次式网络动态风险评估计算模型
• 第六章 网络安全风险评估系统设计与实现
• 6.1 总体设计思路
• 6.1.1 所用语言与平台
• 6.1.2 系统的结构与组成
• 6.1.3 逻辑结构
• 6.2 信息采集管理模块
• 6.2.1 资产信息采集管理模块
• 6.2.2 脆弱性信息采集管理模块
• 6.3 指标权重库构建模块
• 6.4 风险计算模块
• 6.4.1 静态风险计算模块
• 6.4.2 动态评估计算
• 6.5 结果展示模块
• 6.6 评估实例验证
• 6.6.1 静态风险计算实例分析
• 6.6.2 动态风险计算实例分析
• 第七章 结束语
• 致谢
• 参考文献
• 作者在学期间取得的学术成果