信息系統(tǒng)安全風(fēng)險(xiǎn)的自動(dòng)識(shí)別和量化方法研究.pdf

1、我國(guó)目前正在加速各領(lǐng)域的信息化建設(shè)，在此過(guò)程中，信息安全保障的需求日益顯現(xiàn)出來(lái)。目前大部分組織對(duì)信息安全的理解還只停留在技術(shù)層面上，認(rèn)為外部網(wǎng)建立了防火墻能防黑客，內(nèi)部網(wǎng)能殺病毒就達(dá)到安全要求了。但事實(shí)上，這些安全設(shè)施的投資并沒(méi)有取得預(yù)期的效果，主要原因就是多數(shù)組織的安全管理缺少風(fēng)險(xiǎn)管理的思想和必要環(huán)節(jié)。
　　風(fēng)險(xiǎn)管理包括風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)消減、結(jié)果評(píng)價(jià)三個(gè)過(guò)程。風(fēng)險(xiǎn)評(píng)估是其中的基礎(chǔ)環(huán)節(jié)，它包括資產(chǎn)識(shí)別、威脅和弱點(diǎn)識(shí)別、風(fēng)險(xiǎn)的量化等過(guò)

2、程，是風(fēng)險(xiǎn)管理中最復(fù)雜和難以實(shí)現(xiàn)的方法。信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估就是運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅以及存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施，并為防范和化解信息安全風(fēng)險(xiǎn)、最大限度地保障網(wǎng)絡(luò)和信息安全提供科學(xué)依據(jù)。
　　目前的信息安全風(fēng)險(xiǎn)評(píng)估體系中，對(duì)評(píng)估流程和評(píng)估內(nèi)容都有了比較完善的規(guī)范，但在具體的評(píng)估方法方面缺少科學(xué)的、可操作的工具和方法，因此評(píng)估

3、的具體實(shí)施過(guò)程中仍存在著較多的問(wèn)題。傳統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)估往往是一次性的，一般在項(xiàng)目實(shí)施之初進(jìn)行安全風(fēng)險(xiǎn)的評(píng)估，用來(lái)指導(dǎo)安全設(shè)備的配備。而事實(shí)上，信息系統(tǒng)所面臨的風(fēng)險(xiǎn)是高度動(dòng)態(tài)化，其動(dòng)態(tài)性和復(fù)雜來(lái)源于網(wǎng)絡(luò)環(huán)境、人員、資源等各方面因素的動(dòng)態(tài)性和復(fù)雜性，因此，把風(fēng)險(xiǎn)評(píng)估過(guò)程相對(duì)人為的靜態(tài)化是不科學(xué)的，一次的評(píng)估結(jié)果的時(shí)效很短，不具備長(zhǎng)期的指導(dǎo)意義。另外，信息安全風(fēng)險(xiǎn)的量化模型和方法還很不規(guī)范，缺乏系統(tǒng)性和客觀性。
　　針對(duì)以上不足，本

4、文提出風(fēng)險(xiǎn)的周期性評(píng)估模型，在威脅和弱點(diǎn)的識(shí)別中采用了機(jī)器學(xué)習(xí)的方法進(jìn)行自動(dòng)識(shí)別，提出復(fù)雜風(fēng)險(xiǎn)量化模型和基于VaR的風(fēng)險(xiǎn)度量方法。本文的主要工作及創(chuàng)新如下:
　　(1)提出信息系統(tǒng)風(fēng)險(xiǎn)的周期性評(píng)估模型。一個(gè)評(píng)估周期包括觀察期和評(píng)估期。觀察期主要完成數(shù)據(jù)的采集任務(wù)；評(píng)估期完成資產(chǎn)識(shí)別、威脅和弱點(diǎn)識(shí)別、復(fù)雜風(fēng)險(xiǎn)量化等任務(wù)。評(píng)估結(jié)果作為風(fēng)險(xiǎn)控制和風(fēng)險(xiǎn)消減的依據(jù)。
　　(2)利用統(tǒng)計(jì)學(xué)習(xí)理論進(jìn)行風(fēng)險(xiǎn)的自動(dòng)識(shí)別和分類(lèi)。根據(jù)風(fēng)險(xiǎn)評(píng)估指標(biāo)

5、體系，確定風(fēng)險(xiǎn)分析時(shí)需要使用的特征，如:事件類(lèi)別、發(fā)生頻率、利用哪些脆弱性、危害程度等等，形成符合要求的數(shù)據(jù)格式；以評(píng)估對(duì)象實(shí)際環(huán)境中的IDS、系統(tǒng)日志以及國(guó)際安全機(jī)構(gòu)發(fā)布的信息等作為數(shù)據(jù)源，形成訓(xùn)練樣本、驗(yàn)證樣本和預(yù)測(cè)樣本等數(shù)據(jù)集。利用SVM進(jìn)行風(fēng)險(xiǎn)識(shí)別，可以對(duì)大量的訪問(wèn)數(shù)據(jù)實(shí)現(xiàn)自動(dòng)地分類(lèi)和識(shí)別，改善風(fēng)險(xiǎn)評(píng)估過(guò)程的自動(dòng)化程度，有效地降低成本。
　　(3)提出復(fù)雜風(fēng)險(xiǎn)量化模型，并引入基于VaR的風(fēng)險(xiǎn)度量方法。該風(fēng)險(xiǎn)量化模型考慮到多