[發明專利]一種基于多要素融合的信息系統風險評估方法

無效

• 申請號: 200810147204.2
• 申請日: 2008-08-22
• 公開（公告）號: CN101374051A
• 公開（公告）日: 2009-02-25
• 發明（設計）人: 王寧;海然;周游;李穎欣;盛麗君;黃鶯
• 申請（專利權）人: 中國航天科工集團第二研究院七○六所
• 主分類號: H04L9/36
• 分類號: H04L9/36;H04L12/24;H04L12/26
• 代理公司: 中國航天科工集團公司專利中心
• 代理人: 岳潔菱

1.一種基于多要素融合的信息安全風險評估方法，其特征在于具體步驟為:

第一步，搭建基于多要素融合的信息安全風險評估系統；系統包括數據傳輸模塊(10)、數據導入模塊(14)、風險評估結果庫模塊(12)、報告模塊(15)、日志模塊(16)、風險評估模塊(2)和安全檢測數據獲取模塊(13)，還包括任務管理模塊(1)、評估模板模塊(7)、資產調查模塊(8)、問卷調查模塊(9)、評估庫模塊(11)，其中風險評估模塊(2)包括資產評估子模塊(3)、威脅評估子模塊(4)、脆弱性評估子模塊(5)和風險計算子模塊(6)；任務管理模塊(1)分別與風險評估模塊(2)、資產調查模塊(8)和問卷調查模塊(9)連接；風險評估模塊(2)分別與評估模板模塊(7)、數據傳輸模塊(10)、報告模塊(15)和日志模塊(16)連接；數據傳輸模塊(10)與評估模板模塊(7)連接；資產調查模塊(8)、問卷調查模塊(9)分別與數據傳輸模塊(10)連接；安全檢測數據獲取模塊(13)、數據導入模塊(14)、評估庫模塊(11)、數據傳輸模塊(10)和風險評估結果庫模塊(12)順次連接；風險評估模塊(2)中的資產評估子模塊(3)、威脅評估子模塊(4)、脆弱性評估子模塊(5)和風險計算子模塊(6)順次連接；

第二步，確定風險評估要素；

風險評估要素為:資產、安全威脅、安全脆弱性；

用戶登錄系統后，系統通過任務管理模塊(1)下發資產調查任務，根據任務信息，資產調查模塊(8)獲取被測對象的資產信息，包括資產的組成信息、每個資產的相關屬性信息，獲取的資產數據通過數據傳輸模塊(10)輸入評估庫模塊(11)，并歸入評估庫模塊(11)中的資產分類中；

系統通過任務管理模塊(1)下發問卷調查任務，根據任務信息，問卷調查模塊(9)獲取安全管理方面的安全脆弱性信息，獲取的安全脆弱性數據通過數據傳輸模塊(10)輸入評估庫模塊(11)，并歸入評估庫模塊(11)中的安全脆弱性分類中；

安全檢測數據獲取模塊(13)獲取實現安全脆弱性掃描、滲透性測試、安全威脅檢測等技術手段的檢測工具得到的安全威脅數據和安全脆弱性數據，獲取的安全威脅數據和安全脆弱性數據通過數據導入模塊(14)導入評估庫模塊(11)，并歸入評估庫模塊(11)中的安全威脅分類、安全脆弱性分類中；

第三步，確定風險評估要素的融合關系；

風險評估要素融合關系為:資產面臨安全威脅、資產存在安全脆弱性、安全威脅利用安全脆弱性導致安全風險；

系統通過任務管理模塊(1)下發風險評估任務，開始風險評估；

評估模板模塊(7)通過數據傳輸模塊(10)獲取評估庫模塊(11)中的資產分類、安全威脅分類、安全脆弱性分類、資產-安全威脅-安全脆弱性融合關系信息，根據被測對象定制評估中的資產、安全威脅、安全脆弱性、資產面臨的安全威脅、資產存在的安全脆弱性、安全威脅可利用的脆弱性以及使用的風險計算方法；

第四步，風險評估；

風險評估模塊(2)根據確定的評估要素，分析評估要素間的融合關系，并計算風險值；

資產評估:

資產評估子模塊(3)通過數據傳輸模塊(10)從評估庫模塊(11)獲取本次評估的資產信息，為每個資產的屬性信息賦值；

資產評估子模塊(3)依據每個資產的賦值，計算資產的價值；資產價值的計算公式為:

A＝F(U₁，U₂，U₃)

其中:A表示資產價值；

(U₁，U₂，U₃)分別表示決定資產價值的屬性；

F為計算函數，定義為:矩陣法/算術平均值法/幾何平均值法；

資產評估子模塊(3)依據計算得出的資產價值，確定每個資產價值等級，并將資產評估子模塊(3)的評估結果通過數據傳輸模塊(10)寫入風險評估結果庫模塊(12)；

威脅評估:

威脅評估子模塊(4)通過數據傳輸模塊(10)從評估庫獲取本次評估的安全威脅信息，確定每個安全威脅的發生頻率；

威脅評估子模塊(4)根據評估模板模塊(7)定制的評估模板，確定本次評估中資產面臨的安全事件，定義資產-安全威脅間的融合關系，即資產面臨的安全威脅為安全事件；

威脅評估子模塊(4)根據威脅發生頻率、資產評估子模塊(3)得到的資產價值，計算安全事件發生的可能性；安全事件發生可能性計算公式為:

I＝F(A，T)

其中:I表示安全事件發生的可能性；

A表示資產價值；

T表示威脅發生頻率；

威脅評估子模塊(4)依據計算得出的安全事件發生可能性，確定每個安全事件等級，并將威脅評估子模塊(4)的評估結果通過數據傳輸模塊(10)寫入風險評估結果庫模塊(12)；

脆弱性評估:

脆弱性評估子模塊(5)根據評估模板模塊(7)定制的評估模板，確定本次評估中資產面臨的安全脆弱性；

脆弱性評估子模塊(5)根據評估模板模塊(7)定制的評估模板，確定本次評估中資產面臨的風險事件，定義資產-安全威脅-安全脆弱性間的融合關系，即資產的安全脆弱性為風險事件；

脆弱性評估子模塊(5)通過數據傳輸模塊(10)從評估庫模塊(11)獲取本次評估的安全脆弱性，確定每個安全脆弱性的嚴重程度，并將脆弱性評估子模塊(5)的評估結果通過數據傳輸模塊(10)寫入風險評估結果庫模塊(12)；

風險計算:

風險計算子模塊(6)根據威脅評估子模塊(4)得到的安全事件發生可能性、脆弱性評估子模塊(5)得到的脆弱性嚴重程度，計算資產面臨的風險事件大小；風險事件的值計算公式為:

R＝F(I，V)

其中:R表示資產面臨的風險事件的值；

?????V表示脆弱性的嚴重程度；

風險計算子模塊(6)根據計算得出的每個資產面臨的風險事件的值，確定風險事件的等級，并將風險計算子模塊(6)的評估結果通過數據傳輸模塊(10)寫入風險評估結果庫模塊(12)；

用戶可選擇報告模塊(15)查看風險評估結果，也可選擇日志模塊(16)查看用戶對風險評估模塊操作信息。