（计算机应用技术专业论文）信息安全风险管理模型的研究与应用.pdf

山东轻工业学院硕士学位论文 摘要 随着信息技术的发展和社会信息化进程的加快，国民经济对信息和信息系统 的依赖越来越大。因此，信息的安全性引起了人们的高度重视。信息安全管理的 本质问题是风险管理，安全与风险是密不可分的，没有绝对的安全也没有彻底的 风险。本文通过对风险管理相关技术和当前存在的风险管理模型的研究，提出了 一个信息安全风险管理模型，该风险管理模型主要分两个子系统分别为风险评估 子系统和风险消减子系统，分别完成了系统的风险评估和风险处理措施。 风险评估子系统包括信息收集库和信息分析层，主要完成系统安全信息的收 集，安全信息的评估。风险消减子系统包括风险消减层，主要针对安全评估结果 采取响应的措施。消减层又分为预报模块和处理模块，预报模块提供邮件通知措 施；处理模块根据风险评估模块产生的风险评估报告对系统进行风险处理。 风险评估是风险管理的核心，它根据资产分析、漏洞扫描和威胁识别结果采 用相应的风险评估方法对评估系统做出定性或定量的评估。本文提出了一种基于 模糊数学的综合风险评估模型，该模型首先利用模糊数学方法计算出资产的风险 值，然后利用计算的资产风险值和威胁，脆弱性的评估值得到评估结果。该方法 实现了风险的定量评估，可减少由评估的主观性和离散数据带来的偏差，能比较 简单地得到一个直观的、用户易接受的评估结果。 本文在扫描技术、样式比对的入侵检测技术等安全技术、资产录入模块的基 础上，实现了风险评估模块的功能。在预报模块和处理模块的基础上风险消减模 块的功能。 关键字：风险管理模型；风险评估；风险处理；风险管理；脆弱点：威胁 山东轻工业学院硕士学位论文 a b s t r a c t w i t ht h er a p i dd e v e l o p m e n to fi n f o r m a t i o nt e c h n o l o g y , t h en a t i o n a le c o n o m y d e p e n d so nt h ei n f o r m a t i o nm o r ea n dm o r e s o ，t h ei n f o r m a t i o ns e c u r i t yg e t sm o r ca n d m o r ea t t e n t i o n t h ee s s e n c eo ft h ei n f o r m a t i o ns e c u r i t ym a n a g e m e n ti st h e m a n a g e m e n to fr i s kb e c a u s er i s ka n ds e c u r i t yn e v e rb es e p a r a t e d t h e r ei sn e i t h e r a b s o l u t es e c u r i t yn o ra b s o l u t er i s k t h i sp a p e rp r e s e n t sai n f o r m a t i o ns e c u r i t y m a n a g e m e n tm o d e l b a s e do nt h er e l a t e dt e c h n o l o g i e sa n dt h ee x i s t e n t sr i s k m a n a g e m e n tm o d e l s t h i sr i s km a n a g e m e n to fm o d e lc o n s i s t so ft w os u b s y s t e m s i n c l u d e sr i s ke v a l u a t es u b s y s t e m ，r i s kr e d u c es u b s y s t e m t h ef u n c t i o no ft h er i s k e v a l u a t es u b s y s t e mi st oe v a l u a t es y s t e m t h ef u n c t i o no ft h er i s kr e d u c es u b s y s t e mi s t om a n a g et h er i s k ， t h er i s ka s s e s s m e n ts u b s y s t e mc o n s i s t so ft w ol a y e r s i n c l u d i n gi n f o r m a t i o n c o l l e c tl a y e r , i n f o r m a t i o na n a l y z el a y e r 1 1 1 ef u n c t i o no ft h i s p a r t i st oc o l l e c t i n f o r m a t i o na n da s s e s si n f o r m a t i o n i n f o r m a t i o nc o n t r o l s u b s y s t e m i n c l u d e s i n f o r m a t i o nr e d u c el a y e r i tc o n s i s t so ft w om o d u l e si n c l u d e sf o r e c a s tm o d u l e ，m a n a g e m o d u l e f o r e c a s tm o d u l ep r o v i d e si n f o r mf u n c t i o n m a n a g em o d u l eb a s e do nt h e r e s u l to ft h er i s ka s s e s s m e n tm o d e lt om a n a g et h es y s t e mr i s k t h ek e r n e lo ft h er i s km a n a g e m e n ti sa s s e s s m e n t w i t ht h ea p p r o p r i a t em e t h o do f r i s ka s s e s s ，w ec o u l da s s e s st h es y s t e ma c c o r d i n gt oi n f o r m a t i o na n a l y s i s , v u l n e r a b i l i t y s c a na n dt h r e a tr e c o g n i t i o n t h i sp a p e rp r e s e n t sa na s s e s s m e n tm o d e lw h i c hb a s e do n t h ef u z z ym a t h e m a t i c s t h i sm e t h o df i r s tu s e sf u z z ym a t h e m a t i c st oc a l c u l a t et h er i s k o fa s s e tv a l u e ，a n dt h e nu s et h ec a l c u l a t e dr i s ka s s e tv a l u ea n d 廿l et h r e a t ，v u l n e r a b i l i t y v a l u et oc a l c u l a t et h er e s u l t s n l er e s u l t ss h o w e dt h a tt h eq u a n t i f i e dr i s ka s s e s s m e n ti s i m p l e m e n t e d ，t h ed e v i a t i o nw h i c ht h ea p p r a i s e ds u b j e c t i v i t ya n dt h ed i s c r e t ed a t a b r i n g sh a sr e d u c e d ，o b t a i n e da p p r a i s a lr e s u l tw h i c ha ne n t i r ed i r e c t v i e w i n gu s e ri s e a s yt oa c c e p t t h i sp a p e ri m p l e m e n t st h em o d e lo fr i s ka s s e s s m e n ta n dr i s kc o n t r o lb a s e do n s c a nt e c h n o l o g y , i n t r u s i o nd e t e c t i o nb a s e do np a t t e r ns e a r c h ，t h em o d e lo fi n f o r m a t i o n i n p u t k e yw o r d s ：r i s km a n a g e m e n tm o d e l ；r i s ka s s e s s m e n t ；r i s kc o n t r o l ；碰s k m a n a g e m e n t ；v u l n e r a b i l i t y 学位论文独创性声明 本人声明，所呈交的学位论文系在导师指导下本人独立完成的研究成果。文 中引用他人的成果，均已做出明确标注或得到许可。论文内容未包含法律意义上 已属于他人的任何形式的研究成果，也不包含本人已用于其他学位申请的论文或 成果，与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说 明并表示谢意。 论文作者签名：- 4 臼魄臼冰 学位论文知识产权权属声明 本人在导师指导下所完成的论文及相关的职务作品，知识产权归属山东轻工 业学院。山东轻工业学院享有以任何方式发表、复制、公开阅览、借阅以及申请 专利等权利，同意学校保留并向国家有关部门或机构送交论文的复印件和电子 版，本人离校后发表或使用学位论文或与该论文直接相关的学术论文或成果时， 署名单位仍然为山东轻工业学院。 论文作者签名：五盛蒸：日期： 坦星年月王日 导师签名： 日期：丝王年月上日 山东轻工业学院硕士学位论文 1 1 引言 第1 章绪论 随着数字化时代的到来，我们充分享受了计算机技术和网络给我们带来的众 多好处。但与此同时，我们不可否认信息安全与风险问题也日益突出，越来越多 的组织和个人面临着各种各样的信息安全威胁，如计算机病毒、网络黑客、恐怖 分子的破坏、信息处理设旋的滥用、自然灾害等等。根据美国计算机紧急事件响 应小组协调中心c e r t c c 的统计，2 0 0 3 年报告的安全事件数量达到1 3 7 5 2 9 件， 远远超过2 0 0 1 年的5 2 6 5 8 件和2 0 0 2 年的8 2 0 9 4 件。2 0 0 4 年我国网络安全事件报 告数量大大增加，国家计算机网络应急处理协调中一已, ( c n c e r t c c ) 全年共收到国 内外通过应急热线、网站、电子邮件等报告的网络安全事件6 4 6 8 6 件，其中约9 3 为扫描类网络安全事件。非扫描类网络安全事件报告4 4 8 5 件【1 1 。 计算机犯罪已经渗入到政府机构、军事部门、商业和企业，同时也威胁着个 人的隐私安全。尤其对于企业来说，信息的安全问题，更是被提到了直接影响企 业生存和发展的高度。正因如此，信息安全管理已经引起许多国家的高度重视， 并不惜在此领域投入大量的人力、物力和财力，以提高计算机信息系统的安全。 信息安全是一个过程，而不是一个产品，不能期望通过一个安全产品就把安 全问题解决了。安全管理的本质是风险管理，这是因为安全与风险是一对天生又 密不可分的矛盾体，没有绝对的安全，也没有彻底的危险。信息安全是一个复杂 的、相对的、动态的系统工程，它贯穿于信息系统的整个生命周期之中。实施信 息安全风险管理的目的是要在周期性的、反复的评估中及时发现安全隐患，消除 隐患，降低安全风险，提高信息系统安全性，动态的解决信息安全问题。信息安 全风险管理可以看成是一个不断降低安全风险的过程，其最终目的是使安全风险 降低到一个可接受的程度，是用户和决策者可以接受剩余的风险【2 】。信息安全风 险管理体现了信息安全的本质，是信息安全的基础工作和核心任务之一，是解决 信息安全问题的有效措施之一。 1 2 信息安全风险管理概述 目前，人们对信息安全风险管理意识明显增强，对安全的理解也在一步一步 的加深，从早期的杀毒防毒，到后来的安装防火墙，直到现在的购买安全产品。 但是，即使是通过这样的配置，系统安全隐患仍然没有得到彻底的解决，安全问 题也时有发生，风险管理问题还局限在事后、被动、单一、针对出现的安全防护 第l 章绪论 措施上。人们越来越深刻的意识到：纯粹的技术并不能带来真正的安全，信息安 全风险管理应该是包括技术、管理、设备、法律等方方面面的问题。 依据国际标准化组织( i s o ) 的定义及有关信息安全的规定，信息安全的内在属 性就是实现保密性、完整性、可用性、可控性、占用性和可行性等“六性 安全。 信息的安全，就是依赖于信息进行加工、处理、传输和存储的信息系统的安全【3 】。 而信息系统的安全总是与风险处理和风险管理相关。 信息安全风险管理包括风险识别、威胁识别、风险评估和风险消减等内容。 其中风险识别又包括信息资产识别、脆弱性识别和威胁识别。风险识别、风险分 析和风险评估广义上组成了风险评估的过程。风险管理是信息安全的基础工作和 核心任务之一，是最有效的一种措施，也是保证信息安全投资回报率优化的科学 方法。 1 3 国内外信息安全风险管理的研究现状 风险管理理论应用于信息安全领域始于2 0 世纪6 0 年代。此后，信息安全风 险管理的实践和理论的发展大体经过了信息安全风险管理实践与理论发展的初期 阶段，走过起步阶段、成熟阶段从而进入了全球化阶段。 1 3 1 信息安全风险管理的理论基础 2 0 世纪6 0 年代至7 0 年代，随着资源共享计算机系统的出现，进入了以 计算机为对象的保密阶段，安全问题初步显露。 1 9 6 7 年1 1 月，兰德公司、迈特公司( m i t i e ) 及多个科研机构和企业接受美国 国防科学委员会的委托，开始着手研究计算机安全问题，进行了历时两年半的美 国历史上第一个大规模的、主要对当时的大型机和远程终端的计算机安全风险评 估，并于1 9 7 0 年初出版了一个长达数百页的机密报告计算机安全控制。该报 告拉开了信息安全风险管理研究的序幕【4 】。 这一阶段的特点是仅重点针对计算机系统的保密性问题提出要求，因此对风 险管理仅限于保密性。 2 0 世纪8 0 年代至9 0 年代，以网络为对象的保护阶段。 随着计算机系统网络化应用的开展，出现了初期的针对美国军方计算机的黑 客行为，1 9 8 8 年至1 9 8 9 年，美国的计算机网络出现了一系列重大事件。美国的 审计总署( g a o ) 对美国国内主要由国防部使用的计算机网络进行大规模持续评 估。 在这一阶段，评估标准也有了较大发展。1 9 8 1 年至1 9 8 5 年，美国国防部组 织了很大的研究力量研究橘皮书。后来安全工作形成了大约包括四十多个标准的 彩虹系列。这就形成了美国早期的一套比较完整的从理论到方法的有关信息安全 2 山东轻工业学院硕士学位论文 评估准则。1 9 9 3 年美国和欧洲四国( 英、法、德、荷) ，加拿大以及国家标准化机 构( i s o ) 开始共同制定信息技术安全通用评估准则( c c ) ，1 9 9 9 年成为国际 i s o 旺c 1 5 4 0 8 。 这一阶段保障系统安全的重点是对安全产品的质量保证和测评，奠定了安全 产品测评认证的基础和工作程序。 1 3 2 信息安全风险管理的深入研究 由于2 0 世纪9 0 年代以来因特网、移动通信和跨国光缆的高速发展，各国原 本局限于国内的信息网络迅速突破国土疆域的界限连成一体，一些发达国家的军 事、政治、经济和社会生活对信息基础设施的依赖程度达到了空前的高度。与此 同时，国际范围内出现了大规模黑客攻击，信息战的理论逐步走向成熟并成为一 种新型的作战方式，信息安全问题成为世界各国面临的共同挑战。 1 3 3 我国信息安全风险管理发展的趋势 我国的信息安全风险管理工作是随着对信息安全问题认识的逐步深化不断地 发展的。早期的信息安全工作中心是信息保密，通过保密检测来发现问题改进提 高。2 0 世纪8 0 年代后，随着计算机的推广应用，随即提出了计算机安全的问题， 展开了计算机安全检测工作。 进入2 0 世纪9 0 年代，随着互联网在我国得到广泛的社会化应用，国际大环 境的信息安全问题和信息战的威胁直接在我国的信息环境中有所反映。1 9 9 4 年2 月颁布的中华人民共和国计算机信息系统安全保护条例提出了计算机信息系 统实现安全等级保护的要求。其后，在有关部门的组织下，不断开展了有关等级 保护评价准则、安全产品的测评认证、系统安全等级划分指南的研究，初步提出 了一系列相关技术标准和管理规范。信息安全风险意识也开始建立，并逐步有所 加强。 国内外关于信息安全的研究已经有几十年了，经历了从当初以技术为主导( 代 表标准为t c s e c ，c c ) 【5 】到现在用工程的理念来看待和解决这个问题( 代表标准 s s e c m m ，b s 7 7 9 9 ，i s 0 1 3 3 3 5 ) 6 , 7 】，发达国家也都相继建立了相对成熟的标准体 系、技术体系、组织体系和业务体系，但信息安全问题要比信息产品安全问题的 解决复杂得多，所以国外目前也没有很好地解决这个问题，这个课题还有非常大 的研究空间。 1 4 目前主要的安全产品 目前主要的安全产品有：防火墙、v p n 、入侵检测( 网络、主机) 、病毒防护( 病 毒防护中心) 、漏洞扫描( 系统、网络、数据库) 、p k i 类产品等【引。 3 第1 章绪论 1 5 本文主要做的工作 本文着重研究了典型的信息安全风险管理模型、与风险管理相关的技术、风 险管理模型的设计、风险评估子系统以及风险消减子系统的设计与实现。 此外本文提出了一个基于模糊数学的综合风险评估算法和基于样式比对的入 侵检测模型。 本文通过对风险管理相关技术和当前存在的风险管理模型的研究，提出了一 个信息安全风险管理模型，该风险管理模型主要分两个子系统分别为风险评估子 系统和风险消减子系统，分别完成了系统的风险评估和风险处理措施。 1 6 本文的组织结构 第一章阐述了论文的引言，国内外研究发展概况以及本文的主要内容。 第二章中对系统中应用到的理论进行了简单的介绍，并研究了当前几个典型 的信息安全风险管理模型。 第三章研究了与信息安全风险管理相关的技术。 第四章设计了一个信息安全风险管理模型。 第五章实现了信息安全风险管理模型中的两个子系统：风险管理评估子系统 和消减子系统。 第六章总结与展望。 其核心是第四章和第五章两部分，即系统的设计与实现部分。本文的重点是 信息安全风险管理模型的设计与实现。 4 山东轻工业学院硕士学位论文 第2 章信息安全风险管理相关概念及模型 2 1 信息安全 信息入侵者无论采用什么手段，他们都要通过攻击信息的安全属性来达到目 的。所谓“信息安全 ，在技术上的含义就是保证在客观上杜绝对信息属性的安全 威胁，使得信息的主人在主观上对其信息的安全性放心。信息安全的三个基本属 性是： 机密性( c o n f i d e n t i a l i t y ) 机密性是指信息不泄露给非授权的个体和实体，机密 性是针对信息被允许访问对象的多少而不同的，所有人员都可以根据信息的重要 性及保密要求将其分为不同的级别。根据机密性属性的不同，将它分为5 个不同 的等级，分别对应信息在机密性方面的价值或者在机密性方面受到损失时对整个 机构的影响。表2 1 对信息的机密性进行了赋值。 表2 1 信息机密性赋值 完整性( i n t e g r i t y ) 完整性一方面是指信息在利用、存储或传输过程中保持不 被篡改、不缺损、不丢失的特性。另一方面指信息处理的方法的正确性。不正当 的操作，如无删除文件，有可能造成重要文件的丢失。根据信息完整性属性的不 同，将它分为5 个不同的等级，分别对应信息在完整性方面的价值或者在完整性 方面受到损失时对整个机构的影响。表2 2 对信息完整性进行了赋值。 可用一陛( a v a i l a b i l i t y ) 可用性是指信息可被合法用户访问并按要求顺利使用的 特性，即指当需要时可以立即获得所需要的信息。根据信息的可用性属性的不同， 将它分为5 个不同的等级，分别对应信息在可用性方面的价值或者在可用性方面 受到损失时对整个系统的影响。表2 3 将信息的可用性分为5 个等级，并对各个 级别进行赋值。 国内外有人认为技术上的信息安全属性应该增加信息的可靠性( r e l i a b i l i t y ) 和 可控性( c o n t r o l l a b i l i t y ) 。 5 第3 章信息安全风险管理相关技术研究 可靠性( r e l i a b i l i t y ) 可靠性指信息以用户认可的质量连续服务于用户的特性 ( 包括信息的迅速、准确、连续的转移) ，但也有人认为可靠性是人们对系统而不 是对信息本身的要求。 可控性( c o n t r o l l a b i l i t y ) 可控性是指授权机构可以随时控制信息的机密性。美 国政府所提倡的“密钥托管、密钥恢复”等措施就是实现信息安全可控性的例子。 2 2 信息安全风险管理相关概念 2 2 1 资产( a s s e t s ) 在风险理论中，资产代表着一种资源、程序、产品、计算模式以及所有企业 认为必须得到保护的东西【9 1 。 资产是有价值的东西，只要价值存在就有被攻击的可能性，因此资产是风险 存在的根源。资产以各种形式存在着，表2 3 按照物力资源、人力资源、知识资 6 山东轻工业学院硕士学位论文 源、时间资源和信誉资源分类列出了主要信息资产及其相关资产的形态。 表2 3 资产类别与形态 资产类别资产形态 物力资源 人力资源 知识资源 时间资源 信誉资源 计算机、打印机、交换机、电缆、光盘、磁盘等 员工、人才 程序、数据、信息、资料等 时间 信誉、声誉、名誉 资产的流失会在无形中影响信息安全的完整性、保密性或可用性，甚至有时 会带来经济损失。更严重的是，资产的流失会给整个企业带来不可预测的影响， 让企业无法进行正常的运作。这里对资产的赋值采用定性的相对的等级的方式。 与以上安全属性的等级相对应，资产价值的等级分为5 级，从i 到5 由低到高分 别代表5 各级别的资产相对价值，等级越大，资产越重要。表2 4 是资产赋值表。 表2 4 资产赋值 2 2 2 威胁识另) i ( t h r e a d ) 威胁是一种对机构及其资产构成潜在破坏的可能性因素或者事件。无论对于 多么安全的信息系统，安全威胁是一个客观存在的事物。 威胁可以分为人为因素和环境因素，其影响可能微不足道，也可能对一个企 业的安全造成极大的影响。人为因素又可区分为有意和无意两种。环境因素包括 自然界的不可抗的因素和其他物理因素。威胁作用形式可以是对信息系统直接或 间接的攻击，例如非授权的泄露、篡改、删除等，在机密性、完整性或可用性等 方面造成损害；也可能是偶然的或蓄意的事件。一般来说，威胁总是要利用网络、 系统、应用数据的弱点才可能成功的对资产造成伤害。 威胁具有两个属性：可能性( l i k e l i h o o d ) 、影响( i m p a c t ) ，他们可以被赋予一个 7 第3 章信息安全风险管理相关技术研究 数值，来表示该属性。因此安全事件发生的可能性及其后果是分析威胁的重要依 据。这里建议的威胁赋值方法如下： 可能性赋值参考：可能性的赋值按照该威胁实际发生地概率在估算，具体 赋值为1 一1 0 0 ，即o o l l ，最高位百分之一百的概率，赋值为1 ； 影响的赋值：影响的赋值按照该威胁对资产的实际损失进行估算，具体赋 值为l 一1 0 0 ，发生该威胁后，资产完全损失，则赋值为1 0 0 ，其他损失情况进行 估算，范围是1 1 0 0 ； 威胁值= 可能性影响。 可能性属性非常难以估量，它依赖于具体的资产、弱点。而影响也依赖于具 体资产的价值、分类属性。并且，这两个属性都和时间有关系，也就是说，具体 的威胁评估结果会随着时间的变动而需要重新审核【0 1 。 表2 4 列出了可能对系统造成威胁的威胁来源的分类。 表2 4 威胁来源列表 威胁来源威胁来源描述 环境因素、 意外事故 或故障 无恶意内 部人员 恶意内部 人员 第三方 外部人员 攻击 由于断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地 震等环境条件和自然灾害；意外事故或由于软件、硬件、数据、通信线路方面 的故障 内部人员由于缺乏责任心，或者由于不关心和不专注，或者没有遵循规章制度 和操作流程而导致故障或被攻击；内部人员由于缺乏培训，专业技能不足，不 具备岗位技能要求而导致信息系统故障或被攻击 不满的或有预谋的内部人员对信息系统进行恶意破坏；采用自主的或内外勾结 的方式盗窃机密信息或进行篡改，获取利益 第三方合作伙伴和供应商，包括电信、移动、证券、税务等业务合作伙伴以及 软件开发合作伙伴、系统集成商、服务商和产品供应商；包括第三方恶意的和 无恶意的行为 外部人员利用信息系统的脆弱性，对网络和系统的机密性、完整性和可用性进 行破坏，以获取利益或炫耀能力 对威胁进行分类的方式多种多样，表2 5 针对表2 4 威胁来源的不同，对威胁 进行了分类，是威胁种类列表。 表2 5 威胁种类列表 威胁种类威胁描述 软硬件故 障 物理环境 威胁 无作为或 操作失误 由于设备硬件故障、通信链路中断、系统本身或软件b u g 导致对业务高效稳定 运行的影响 断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等 环境条件和自然灾害 由于应该执行而没有执行相应的操作，或无意的执行了错误的操作，对系统造 成影响 8 山东轻工业学院硕士学位论文 越权或滥通过采用一些措施，访问超越自己的权限访问的本来无权访问的资源：或者滥 用用自己职权，作出破坏信息系统的行为 黑客攻击利用黑客工具和技术，例如侦查、密码猜测攻击、缓冲区溢出攻击、安装后门、 技术嗅探、伪造和欺骗、拒绝服务攻击等手段对信息系统进行攻击入侵 物理攻击物理接触、物理破坏、盗窃 泄密 机密泄露，机密信息泄露给他人 篡改非法修改信息，破坏信息的完整性 抵赖不承认收到的信息和所作的操作和交易 管理不到安全管理无法落实，不到位，造成安全管理不规范，或者管理混乱，从而破坏 位信息系统正常有序的运行 恶意代码具有自我复制、自我传播能力，对信息系统构成破坏的程序代码 或病毒 在不同的环境下，威胁行为具备的攻击能力是不同的。比如地震的威胁性在 地震多发区明显要高；洪水的威胁性在沙漠地区的威胁性明显要低。我们对威胁 的赋值采用定性的相对的方式，威胁的等级划分为5 级，等级数值越大，威胁发 生的可能性越大。表2 6 对威胁等级进行了分级。 表2 6 威胁等级级别 2 2 3 脆弱点( v u l n c r a b i l i b , ) 脆弱点是信息本身存在的，它可以被威胁利用、引起信息或商业目标的损害。 脆弱点包括物理环境、机构、过程、人员、管理、配置、硬件、软件和信息等各 种资产的脆弱性【1 1 】。 脆弱性虽然是固有的，但是它只是一种可能被威胁利用而造成损失的一种条 件或环境。如果没有相应的威胁发生，脆弱点并不会对资产造成损害。但是，应 9 第3 章信息安全风险管理相关技术研究 该引起注意的是，不正确的、起不到应有作用的或没有正确实施的安全保护措施 本事就可能是一个安全薄弱环节。 脆弱性分类主要从技术和管理两个方面进行，涉及物理层、网络层、系统层、 应用层、管理层等各个层面的安全问题。其中技术方面主要是通过远程和本地两 种方式进行系统扫描、对网络设备和主机等进行人工抽查，以保证技术脆弱性的 全面性和有效性。表2 7 对脆弱性进行了分类。 表2 7 脆弱性分类 表2 8 对脆弱性的赋值采用了定性的相对等级的方式。分为5 级，等级越大， 脆弱程度越高。 表2 8 脆弱性赋值 2 2 4 影l i b ( i m p a c t ) 威胁的威胁源实施威胁行为所造成的损失，叫做影响。也就是安全事件发生 后对系统产生的后果。 资产受损带来的影响一般与资产的价值成正比。比如，软件产品源代码是公 司最关键和最敏感的资产，如果丢失将给公司带来灾难性的后果，如果失窃也将 给公司带来严重的影响。 2 2 5 事件( e v e n t ) 事件是指在特定的时间间隔内，在特定的地方发生的一个事件或一种情况。 l o 山东轻工业学院硕士学位论文 安全事件是一种存在的、负面的东西，处于已发生的状态，事件是在一定条 件下由风险演变来的，图2 1 给出了风险与事件的关系。 演变 i 一磊卜叫订 i ：1 _ j 潜在显在 ( 未发生状态)( 已发生状态) 图2 1 风险与事件的关系 2 。2 6 风险( r i s k ) 风险是特定的威胁利用资产的一种或一组漏洞，导致资产的丢失或损害的潜 在可能性，即特定威胁事件发生的可能性与后果的结合。 安全风险是一种潜在的、负面的东西，处于未发生的状态。风险的构成包括 五个方面：起源、方式、途径、受体和后果。它们的相互关系可表述为：风险的 一个或多个起源，采用一种或多种方式，通过一种或多种途径，侵害一个或多个 受体，造成不良后果。它们各自的内涵解释如下： 风险的起源是威胁的发起方，叫做威胁源。 风险的方式是威胁源实施所采取的手段，叫做威胁行为。 风险的途径是威胁源实施威胁所利用的薄弱环节，叫做脆弱性或漏洞。 风险的受体是威胁的承受方，即资产。 风险的后果是威胁源实施威胁所造成的损失，叫做影响。 风险的概念可以描述为：威胁源利用漏洞，对资产实施威胁行为，造成影 响。 1 吻 r 一控制措施 脆 j 。 资 弓 弱 卜 对 点 婿 产 、 l y 响 心lj 图2 2 资产、威胁、脆弱点及影响之间的关系 安全策略是安全系统设计、实施、管理和评估的依据。针对具体的信息和网 第3 章信息安全风险管理相关技术研究 络的安全，应保护哪些资源，花费多大代价，采取什么措施，达到什么样的安全 强度，都是由安全策略决定的。 2 2 7 风险评估 风险评估( r i s ka s s e s s m e n t ) 是对信息和信息处理设施的威胁( t h r e a d ) 、影响 ( i m p a c t ) 和薄弱点( v u l n e r a b i l i t y ) 及三者发生的可能性的评估。风险评估也就是确认 安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法， 确定资产风险等级的优先控制顺序。 2 2 8 风险管理 风险管理，以可接受的费用识别、控制、降低或消除可能影响信息系统的安 全风险的过程，风险管理是一个识别、控制、降低或消除安全风险的活动，通过 风险评估来识别风险大小，通过知道信息安全策略，采取适当的控制目标与控制 方式对风险进行控制，使风险被避免、转移或降至一个可接受的水平【1 2 1 。风险管 理过程，如下图2 3 所示。在风险管理方面应考虑控制费用与风险之间的平衡。 风险控制是降低安全风险的惯例、程序或机制。剩余风险是实施安全控制后， 剩余的安全风险。 图2 3 风险管理过程结构 威胁、脆弱点、风险和安全控制之间的关系如图2 4 所示，即： 资产具有价值，并会受到威胁的潜在影响。 脆弱点将资产暴露给威胁，威胁利用脆弱点对资产造成影响。 威胁与脆弱点的增加导致安全风险的增加。 安全风险的存在对组织的信息安全提出要求。 安全控制应满足安全要求。 组织通过实施安全控制防范威胁，以降低安全风险。 1 2 山东轻工业学院硕士学位论文 图2 4 风险评估与管理的概念关系图 2 2 9 风险接受 组织的信息系统要达到零风险是不可能的。组织在实施所选择的控制后，总 会有残留的风险，但要保证这种残余风险应在可接受的范围内，具体可表示为： 残余风险r r = 原有风险r d 控制消除的风险o r 残余风险r r 可接受风险尉 风险接受是一个对残余风险进行确认和评价的过程。在风险控制实施后，组 织应对其实施情况进行评审，即对所选择的控制在多大程度上降低了风险以及残 余风险的可接受性做出判断。对于无法接受的风险不应该容忍，而应考虑增加控 制以降低风险。 组织在完成了风险评估、风险控制和风险接受这样一个全面系统的风险管理 过程之后，将风险控制在可以接受的水平，并不意味着风险评估工作就此结束。 事实上，随着时间的推移，运作环境在变，风险也会随之发生变化，风险管理应 该是一个动态的管理过程，这就要求组织要定期的进行风险评估并加强风险控制， 并在一些特殊情况下临时评估和控制。 2 3 典型的信息安全风险管理模型 目前国际上普遍认为信息安全管理模型应该是一个循环往复的过程，它是动 态的、不断完善的、没有终结的。并由此产生了各类动态安全体系模型，如基于 时间的p d r 模型、p 2 d r 模型【1 3 】、全网动态安全体系a p p d r r 模型f 1 4 1 、安氏的 第3 章信息安全风险管理相关技术研究 p a d i m e e t m 模型【15 1 。其中偏重技术的p 2 d r 模型和偏重管理的p a d i m e e t m 模 型影响最大。下面简单介绍其中几种比较常用的模型： 2 3 1p d c a 模型 基于p d c a ( p l a n d o - c h e c k a c t i o n 策划一实施一检查一执行) 思想的信息安 全管理体系( i s m s ) 。图2 5 为p d c a 模型： 实现、应用i d o 实施 监督、评估 查 p d c a 模型 图2 5p d c a 模型 p l a n 策划 设计i s m s a c t 执行 维护、改善i s m s 策划：根据组织的商务运作需求及有关法律法规，确定安全管理范围与方 针，执行风险评估，对风险评估处理做出决定，从而建立控制目标与方式。 实施：按照组织的方针、程序、规章等规定要求，也就是按照所选定的控 制目标与方式执行风险评估处理计划，进行信息安全控制，加强人员安全意识培 训，将i s m s 放到操作使用中。 检查：根据方针、目标、安全标准及法律法规要求，对安全管理过程和信 息系统的安全执行监控进程，定期检查剩余风险和可接受的风险，组织内部审计， 并报告结果。 执行：采取行动，实现改进，组织矫j 下性和预防性的活动，传达结果，检 查改进达到的目标，以持续改进过程业绩。 2 3 2p 2 d r 模型 p 2 d r 模型是动态安全模型的代表模型。p 2 d r 模型由：策略( p o l i c y ) 、防护 ( p r o t e c t i o n ) 、检钡, 1 ( d e t e c t i o n ) 和响应( r e s p o n s e ) 构成。其主要特点是动态性和时间 性。防护、检测和响应组成了一个完整的、动态的安全循环过程。在p 2 d r 模型 中：安全策略是整个系统安全的依据。在整体的安全策略控制和指导下，在综合 运用防护工具( 防火墙、操作系统身份认证、加密等手段) 的同时，利用检测工具( 如 漏洞评估、入侵检测等系统) 了解和评估系统的安全状态，将系统调整到“最安全” 和“风险最低”的状态。它的各个目标介绍如下： 1 4 山东轻工业学院硕士学位论文 p o l i c y ( 安全策略) ：安全策略是p 2 d r 安全模型的核心，所有的防护、检测、 响应都是依据安全策略实施的，企业安全策略为安全管理提供管理方向和支持手 段。策略体系的建立包括：安全策略的制定、评估执行等。制定可行的安全策略 取决于对网络信息系统的了解程度。 p r o t e c t i o n ( 保护) ：保护通常是通过采用一些传统的静态安全技术及方法来实 现的，主要有防火墙，加密，操作系统身份认证等方法。 d e t e c t i o n ( 检测) ：在p 2 d r 模型，检测是非常重要的一个环节，检测是动态响 应和加强防护的依据，它也是强制落实安全策略的有力工具，通过不断地检测和 监控网络和系统，来发现新的威胁和弱点，通过循环反馈来及时做出有效地响应。 网络的安全风险是实时存在的，所以我们检测的对象应该主要针对构成安全风险 的两个部分：系统自身的脆弱性及外部威胁。 r e s p o n s e ( 响应) ：紧急响应在安全系统中占有最重要的地位，是解决安全潜在 性最有效的方法。从某种意义上讲，安全问题就是要解决紧急响应和异常处理问 题。要解决好紧急响应问题，就要制订好紧急响应的方案，做好紧急响应方案。 2 3 3 安氏的p ：a d m 伍e 模型 p a d i m e e 模型是安氏公司提出的网络安全解决方案。p a d i m e e 模型在以下 七个核心方面体现信息系统安全的持续循环：策略( p o l i c y ) 、评估( a s s e s s m e n t ) 、 设计( d e s i g n ) 、执行( i m p l e m e n t a t i o n ) 、管理( m a n a g e m e n t ) 、紧急响应( e m e r g e n c y r e s p o n s e ) 、教育( e d u c a t i o n ) ，并将自身业务p a d i m e e 周期中的每个环节紧密的 结合起来。 策略制订阶段( p o l i c yp h a s e ) ：确定安全策略和安全目标。 评估分析阶段( a s s e s s m e n tp h a s e ) ：实现需求分析、风险分析、安全功能分析 和评估准则设计等，明确表述现状和目标之间的差距。 方案设计阶段( d e s i g np h a s e ) ：形成系统安全解决方案，为达到目标给出有效 的方法和步骤。 工程实施阶段( i m p l e m e n t a t i o np h a s e ) ：根据方案设计的框架，建设、调试并 将整个系统投入使用。 运行管理阶段( m a n a g e m e n tp h a s e ) ：在管理阶段包括两种情况，分别是正常状 态下的维护和管理( m a n a g e m e n ts t a t u s ) 、异常状态下的应急响应和异常处理 ( e m e r g e n c yr e s p o n s es t a t u s ) 。客户信息系统对系统中发现的漏洞进行安全加固， 消除安全隐患。 安全教育( e d u c a t i o np h a s e ) ：是贯穿整个安全生命周期的工作，需要对企业决 策层、技术管理层、分析设计人员、工作执行人员等所有相关人员进行教育。 2 3 4 全网动态安全体现a p p d r r 模型 1 5 第3 章信息安全风险管理相关技术研究 a p p d r r 模型是国内启明星辰信息技术有限公司提出的一个动态安全模型， 此模型可以概括成：网络安全( s ) = 风险分析( a ) + 制定策略( p ) + 系统防护( p ) + 实时监 测( d ) + 实时响应( r ) + 灾难恢复( r ) 。 在这个安全模型中，并非各个部分的重要程度都是等同的。在安全策略的指 导下，进行必要的系统防护有积极的意义，但是，无论网络防护的多么牢固，依 旧不能说“网络是安全的”。因为随着技术的发展，任何防护措施都不能保证网络 不出现新的安全事件，不被手段高超的人员成功入侵。在攻击与防御的较量中， 实时监测是处在一个核心的地位。在实时监测中，入侵检测系统是目前最为主要 的一个广泛应用的技术和管理手段。 相比而言，入侵检测系统是动态安全模型中唯一的全天侯运行的系列。利用 入侵检测系统可以了解网络的运行状况和发生的安全事件，并根据安全事件来调 整安全策略和防护手段，同时改进实时响应和事后恢复的有效性，为定期的安全 评估和分析提供依据，从而提高网络安全的整体水平。 2 3 5h t p 信息安全模型 h t p 信息安全模型是由三部分组成：人员与管理( h u m a na n dm a n a g e m e n t ) 、 技术与产品( t e c h n o l o g ya n dp r o d u c t s ) 、流程与体系( p r o c e s sa n df r a m e w o r k ) 。 人员与管理：从国家的角度考虑有法律、法规、政策问题；从组织角度考虑 有安全方针政策程序、安全管理、安全教育与培训、组织文化、应急计划与业务 持续性管理等问题。从个人角度来看有职业要求、个人隐私、行为学、心理学等 问题。 技术与产品：组织可以依据“适度防范 原则综合利用商业密码、防火墙、 防病毒、身份识别、网络隔离、可信服务、安全服务、备份恢复、p k i 服务、取 证、网络入侵陷阱、主动反击等多种技术与产品来保护信息系统安全。 流程与体系：组织应当遵循国内外相关信息安全标准与最佳实践过程，考虑 到组织对信息安全的各个层面的实际需求，在风险分析的基础上引入恰当控制， 建立合理的安全管理体系，从而保证组织赖以生存的信息资产的安全性、完整性 和可用性。 2 4 本章小结 本章主要介绍了信息安全的概念和风险管理相关概念，介绍了风险评估和风 险消减的概念，介绍了当前流行的几种信息安全风险管理模型，并分析了这几种 模型的特点。在下一章中，将结合本章的相关概念，介绍与风险评估相关的技术： 安全技术扫描、入侵检测技术、防火墙技术和风险评估方法等。 1 6 山东轻工业学院硕士学位论文 第3 章信息安全风险管理相关技术研究 信息安全风险管理涉及了大量的安全技术，首先信息