電信級互聯(lián)網(wǎng)安全風(fēng)險評估模型的設(shè)計與應(yīng)用.pdf

1、電信業(yè)是國民經(jīng)濟戰(zhàn)略性產(chǎn)業(yè)，電信網(wǎng)是信息化最重要的信息基礎(chǔ)設(shè)施，電信級互聯(lián)網(wǎng)則是關(guān)系到居民生產(chǎn)生活安全穩(wěn)定重要保障的基礎(chǔ)網(wǎng)絡(luò)平臺，其安全性倍受關(guān)注。
　　 汪立冬在文章《一種量化的計算機系統(tǒng)和網(wǎng)絡(luò)安全風(fēng)險評估方法》[1]中（以下簡稱“汪氏量化風(fēng)險評估法”），提出了一種基于特權(quán)提升的量化方法來評估計算機系統(tǒng)和網(wǎng)絡(luò)安全的風(fēng)險狀況。此方法從計算機系統(tǒng)和網(wǎng)絡(luò)安全的脆弱性出發(fā)，詳細描述了以脆弱性識別量化為主，評估計算機系統(tǒng)和網(wǎng)絡(luò)的風(fēng)險的方

2、法。但是此方法只研究脆弱性在風(fēng)險評估中的作用，而沒有考慮風(fēng)險評估中的資產(chǎn)和威脅因素，也沒有考慮到電信級互聯(lián)網(wǎng)的一些特點。
　　 本文在分析了國內(nèi)外電信級互聯(lián)網(wǎng)絡(luò)安全現(xiàn)狀的基礎(chǔ)上，深入研究了常用的風(fēng)險評估參考標(biāo)準和網(wǎng)絡(luò)安全風(fēng)險評估模型，并且提出了基于電信級網(wǎng)絡(luò)和國內(nèi)通信行業(yè)標(biāo)準的評估架構(gòu)，在汪氏量化風(fēng)險評估法的基礎(chǔ)上，設(shè)計了基于安全事件的風(fēng)險評估模型。本模型描述了風(fēng)險評估的完整過程，并對評估過程的每個環(huán)節(jié)的工作內(nèi)容進行了較詳細的論

3、述，探討了風(fēng)險評估過程中的資產(chǎn)識別、威脅識別、脆弱性識別的量化方法，并運用相乘法計算每個安全事件的風(fēng)險值，以及用加權(quán)平均的方法計算整個網(wǎng)絡(luò)的風(fēng)險值。
　　 將此模型運用到中國電信A省互聯(lián)網(wǎng)應(yīng)用中的Web服務(wù)進行了全面徹底的風(fēng)險評估，并對其中的潛在的安全隱患進行風(fēng)險分析，提出了合理的加固建議。運用定量定性相結(jié)合的方式對汪氏量化風(fēng)險評估法的模型與本文提出的風(fēng)險評估模型進行比較分析，最終得出基于安全事件的網(wǎng)絡(luò)安全風(fēng)險評估模型更加適用于