信息安全風(fēng)險(xiǎn)評(píng)估及網(wǎng)絡(luò)蠕蟲(chóng)傳播模型.pdf

1、信息安全風(fēng)險(xiǎn)評(píng)估是信息安全管理的一項(xiàng)重要工作，它是在安全事件發(fā)生之前，通過(guò)有效的手段對(duì)組織面臨的信息安全風(fēng)險(xiǎn)進(jìn)行識(shí)別、分析，并在此基礎(chǔ)上選取相應(yīng)的安全措施，將組織面臨的信息安全風(fēng)險(xiǎn)控制在可接受的范圍內(nèi)，這是保障信息系統(tǒng)安全的有效手段。 網(wǎng)絡(luò)蠕蟲(chóng)是信息系統(tǒng)常見(jiàn)的威脅之一，也是風(fēng)險(xiǎn)評(píng)估必須考慮的內(nèi)容之一，蠕蟲(chóng)的主要特點(diǎn)是能夠快速的自我繁殖，因而其傳播速度快、影響大，蠕蟲(chóng)傳播規(guī)律也自然吸引了更多研究人員的注意力。 本文對(duì)信息安

2、全風(fēng)險(xiǎn)評(píng)估模型進(jìn)行了深入研究，提出了綜合的風(fēng)險(xiǎn)評(píng)估模型、基于效用的安全風(fēng)險(xiǎn)度量和安全防護(hù)方案選取模型，并進(jìn)一步研究了網(wǎng)絡(luò)蠕蟲(chóng)的傳播規(guī)律，主要工作包括： 1)分析了當(dāng)今世界有關(guān)信息安全風(fēng)險(xiǎn)管理的標(biāo)準(zhǔn)、技術(shù)、實(shí)施方法，綜合ISO/IEC 13335、ISO/IEC 17799、德國(guó)的IT基線保護(hù)手冊(cè)、AS/NZS 4360、NIST SP800-30和我國(guó)的《信息安全風(fēng)險(xiǎn)評(píng)估指南》提出了綜合的風(fēng)險(xiǎn)評(píng)估模型，它包含基線評(píng)估與詳細(xì)評(píng)估兩

3、個(gè)選項(xiàng)。 2)將效用理論引入信息安全風(fēng)險(xiǎn)管理領(lǐng)域，提出了新的安全風(fēng)險(xiǎn)度量與安全防護(hù)方案選取模型。在風(fēng)險(xiǎn)度量方面，利用效用函數(shù)的反函數(shù)，定義了絕對(duì)損失效應(yīng)和相對(duì)損失效應(yīng)，并用以度量安全風(fēng)險(xiǎn)，絕對(duì)損失效應(yīng)克服了期望損失不能度量高損失、低概率與低損失高概率風(fēng)險(xiǎn)問(wèn)的差異的缺點(diǎn)；相對(duì)損失效應(yīng)克服了不同規(guī)模組織對(duì)同樣大小損失風(fēng)險(xiǎn)承受能力的差異；在此基礎(chǔ)上建立了統(tǒng)一的風(fēng)險(xiǎn)等級(jí)劃分標(biāo)準(zhǔn)。在安全防護(hù)方案選取方面，本文利用財(cái)富效用建立了安全防護(hù)方案

4、評(píng)價(jià)模型；在此基礎(chǔ)上，提出了如何確定組織所面臨安全風(fēng)險(xiǎn)的最高防護(hù)代價(jià)的方法，并進(jìn)一步利用優(yōu)化理論，建立了尋求最優(yōu)安全防護(hù)方案的模型，為尋求最優(yōu)安全安全防護(hù)方案提供方法，也提供了可接受風(fēng)險(xiǎn)的確定依據(jù)。 3)本文分別對(duì)主動(dòng)探測(cè)蠕蟲(chóng)、E-Mail蠕蟲(chóng)、即時(shí)通信蠕蟲(chóng)傳播規(guī)律進(jìn)行了分析與研究。對(duì)主動(dòng)探測(cè)蠕蟲(chóng)，本文分析了當(dāng)前主流模型的不足，發(fā)現(xiàn)并修正了蠕蟲(chóng)對(duì)抗蠕蟲(chóng)模型中存在的錯(cuò)誤，提出了新的SIRS蠕蟲(chóng)傳播模型。對(duì)E-Mail蠕蟲(chóng)及即時(shí)通信