北京電大信息安全風(fēng)險(xiǎn)評(píng)價(jià)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、北京電大是一所以城域校園網(wǎng)和互聯(lián)網(wǎng)為主要學(xué)習(xí)環(huán)境的大規(guī)模遠(yuǎn)程教育機(jī)構(gòu),各種教學(xué)和管理業(yè)務(wù)主要使用局域網(wǎng)和互聯(lián)網(wǎng)環(huán)境。由于其業(yè)務(wù)和管理系統(tǒng)都很復(fù)雜并且信息基礎(chǔ)設(shè)施規(guī)模較大,涉及更多信息安全問題,面臨更復(fù)雜的信息安全風(fēng)險(xiǎn)。信息安全風(fēng)險(xiǎn)評(píng)估是信息安全保障的基礎(chǔ)性工作,因此北京電大通過開發(fā)簡(jiǎn)便實(shí)用的風(fēng)險(xiǎn)評(píng)價(jià)軟件,使風(fēng)險(xiǎn)評(píng)估工作具有持續(xù)性并使它成為檢查信息系統(tǒng)本身有力手段。本文詳細(xì)敘述了北京電大風(fēng)險(xiǎn)評(píng)價(jià)系統(tǒng)的設(shè)計(jì)和實(shí)現(xiàn)過程。 本文首先介紹

2、了信息安全風(fēng)險(xiǎn)評(píng)估的一般方法和流程,并依據(jù)《信息安全風(fēng)險(xiǎn)評(píng)估指南》、《信息安全風(fēng)險(xiǎn)管理指南》等國(guó)家標(biāo)準(zhǔn)和規(guī)范對(duì)系統(tǒng)進(jìn)行用戶需求分析、可行性分析和系統(tǒng)總體設(shè)計(jì),給出了系統(tǒng)模塊圖。 本文依據(jù)系統(tǒng)需求和總體設(shè)計(jì),進(jìn)一步細(xì)化系統(tǒng)設(shè)計(jì),包括數(shù)據(jù)庫(kù)和數(shù)據(jù)表設(shè)計(jì)、技術(shù)選擇、流程設(shè)計(jì)等。在詳細(xì)設(shè)計(jì)的基礎(chǔ)上,本文詳細(xì)敘述了系統(tǒng)的實(shí)現(xiàn)。系統(tǒng)實(shí)現(xiàn)的重點(diǎn)包括資產(chǎn)、威脅、脆弱性等評(píng)估關(guān)鍵要素的識(shí)別,風(fēng)險(xiǎn)分析計(jì)算過程,處理意見專家決策系統(tǒng)、評(píng)估過程和最終報(bào)

3、告的動(dòng)態(tài)報(bào)表輸出等。 評(píng)估關(guān)鍵要素的識(shí)別采用數(shù)據(jù)源定義為基礎(chǔ)的多元數(shù)據(jù)處理技術(shù)。對(duì)于資產(chǎn)管理情況、安全管理文件數(shù)據(jù)庫(kù)等使用通用數(shù)據(jù)管理平臺(tái)的數(shù)據(jù)可以直接定義數(shù)據(jù)源；網(wǎng)絡(luò)設(shè)備狀態(tài)、運(yùn)行時(shí)間等數(shù)據(jù)通過SNMP協(xié)議獲得；已知威脅和脆弱點(diǎn)的影響分類分級(jí)情況、可能性、應(yīng)對(duì)策略表等其他數(shù)據(jù),都存儲(chǔ)在系統(tǒng)的數(shù)據(jù)表中。 風(fēng)險(xiǎn)處理意見專家系統(tǒng)根據(jù)風(fēng)險(xiǎn)分析評(píng)估得到結(jié)果,即各個(gè)設(shè)備的威脅、脆弱性、風(fēng)險(xiǎn)值分析給出相應(yīng)的處理意見。專家系統(tǒng)還具有學(xué)

4、習(xí)能力,主要通過專家主動(dòng)補(bǔ)充更新意見庫(kù)和采納評(píng)估人員向?qū)＜蚁到y(tǒng)反饋意見兩種途徑提高專家系統(tǒng)解決問題的能力。 風(fēng)險(xiǎn)評(píng)估過程文檔和評(píng)估報(bào)告都采用MS-SQLServer報(bào)表輸出的方式實(shí)現(xiàn),主要采用報(bào)表設(shè)計(jì)器。報(bào)表可以通過報(bào)表管理器、SharePoint Web組件、Visual Studio控件和定制的用戶界面顯示,還可以文件、打印等方式輸出。 本文最后對(duì)系統(tǒng)的設(shè)計(jì)和實(shí)現(xiàn)過程進(jìn)行了總結(jié),歸納了主要的設(shè)計(jì)思想和實(shí)現(xiàn)技術(shù),明確了