信息系统漏洞风险定量评估模型研究.pdf

《信息系统漏洞风险定量评估模型研究.pdf》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、第30卷第2期通信学报、，b1．30NO-220o9年2月J0umal0nCOmmunicadOnsFebnlarv2oo9信息系统漏洞风险定量评估模型研究周亮，-，李俊娥，陆天波，刘开培(1．武汉大学电气工程学院，湖北武汉43o072；2．武汉大学计算机中心，湖北武汉430072；3．国家计算机网络应急技术处理协调中心，北京1Oo029：4．中国电力科学研究院信息与安全技术研究所，北京1O0l92)摘要：为解决信息系统漏洞风险的科学定量问题，针对当前漏洞风险评估忽略漏洞之间关联性的现状，提出了一种信息系统漏洞风险评估的定量方法与实现

2、步骤。首先，讨论了基于漏洞关联网络(VcN，vulnerabilityco咖ectionnetWork1的漏洞风险评估模型，引入了路径风险与主体风险的概念；其次，提出了以层次分析法定量主体风险性中的主体重要性要素，结合主观分析与攻击重现定量转移风险中的关联后果值的具体方法；最后，对电力调度管理信息系统运用此漏洞风险定量方法进行评估，得出了客观的漏洞风险评估结果。评估示例表明，基于漏洞关联网络的漏洞风险定量评估模型实现了漏洞风险科学、客观的定量评估。关键词：信息系统；安全风险；定量评估；漏洞关联中图分类号：TP393．08文献标识码：A

3、文章编号：1O00-436x(2oo9)02—007l-06Research0nquantitatiVeassessmentm0del0nVulnerabilityriskf0rinf0rmati0nsystemZHOULiang1LIJun．e2LUTian-bO3LIUKai．peil，，，(1．Scho010fElecmcalEnginen岛WuhaIlUniVersity’Wuhan430O72，China；2．CoⅡlputerCentcLWuhaIlUnjVeTsity，Wuhall430072，China；3．NatiO

4、nalComputerNetwOrkEme曜encyResp0nse1hnica1CenterofChina，Being10oo29，China；4．D印artment0fInf0mati0nSecurity，ChinaEleccPowefResearchInstitu【e，Beingl00192，China)Abstract：AquaIltitativemethodofvulnerabilityassessmentwasputf0nⅣardontllef0undationofresearchoncurrentassessmentme

5、th0dshomea』1dabroadinordertoeva1uatevulnerabilicyIisk0bjectiVely．Vulnerabilitycoru1ectionnetwork(VCN)wasdiscussedflrstlyf0rmepurposeoftakingconnectionofvulIlerabilityint0acc0um，whichdiVidesVulIlerabil-ityriskintoentityriskandpamrisk；Secondly，adVaJ1cedmetllodsofquantifyi

6、ngentiinlportaJ1ceinentityriskaIldnetworknodec0nnecdone侬lctsinpamriskwerepmposed；LaSⅡy’al1evaluati0nexaInpleofvulnefabilriskondis—patctlingmaJ1agementinf0mlatiOnsysteminpowersystemwasgiVenOut．COrrespOndingresuItsshowtllatquaJ1dtatiVeassessmentm0delbringsoutscientificand

7、credibleevaluationonvu1nerabilityrisk．KeywortIs：info肿ati0nsystem；securit)rrisk；quantitativeassessment；vulnerabilityconnection网络关联性问题。由网络节点间信任依赖关系而产1引言生的风险转移，是一个值得探讨的新课题。文献【9]信息系统的安全评估模型是信息系统安全研究提出了一种基于免疫的网络安全风险检测模型，但的重要内容卜引，当前的安全评估模型研究忽略了是主要侧重于对网络系统面临攻击时的实时风险收稿日期：2008．1

8、l—l2；修回日期：2009—0l一05通信学报第30卷评估；文献[10】提出了一种网络弱点的模型检测总体风险评估值记作㈤，那么尺(Ⅳ)应该由2部分法，并设计了一种拓扑弱点分析工具TVA用以检风险评估值组成：①漏洞Ⅳ的主