信息安全風(fēng)險(xiǎn)評(píng)估方法研究與應(yīng)用.pdf

1、隨著計(jì)算機(jī)技術(shù)及網(wǎng)絡(luò)技術(shù)的蓬勃發(fā)展，如何保證信息安全成了一個(gè)日益重要和棘手的問題。因?yàn)殡S著技術(shù)的發(fā)展，影響信息安全的因素也日益增多。為了預(yù)測(cè)和防范可能存在的安全風(fēng)險(xiǎn)，及時(shí)發(fā)現(xiàn)和定位安全威脅的來源，分析安全風(fēng)險(xiǎn)和安全問題的影響，評(píng)估安全風(fēng)險(xiǎn)和安全問題的嚴(yán)重程度，我們需要進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估。 信息安全風(fēng)險(xiǎn)評(píng)估的方法有很多，當(dāng)前使用較多的方法為層次分析法（Analytic Hierarchy Process，AHP）。它的基本思路是

2、：首先找出問題涉及的主要因素，建立信息安全風(fēng)險(xiǎn)的威脅識(shí)別層次模型和脆弱性識(shí)別層次模型；然后再通過比較各要素之間的兩兩關(guān)系，確定各要素的相對(duì)重要性，得到各要素的綜合權(quán)重。但是在評(píng)估過程中使用層次分析法也存在若干不確定因素，比如，各要素之間可能互無聯(lián)系，專家的個(gè)人喜好等主觀因素往往會(huì)左右評(píng)測(cè)結(jié)果。如何改進(jìn)層次分析法，使其在上述情況下也能對(duì)信息安全進(jìn)行科學(xué)的評(píng)估，成了一個(gè)亟待解決的問題。 本文著重研究如何利用灰色系統(tǒng)理論和D—S證據(jù)理

3、論對(duì)層次分析法進(jìn)行改進(jìn)的問題?；疑碚撗芯康氖秦殻╬oor）信息建模問題，或稱信息不足、不充分情況下的建模問題，它為外部信息明確而內(nèi)部規(guī)律不明確的系統(tǒng)提供了貧信息情況下的解決途徑和方法。信息系統(tǒng)的風(fēng)險(xiǎn)信息正符合貧信息建模，因此本文借鑒灰色理論在貧信息建模的過程，構(gòu)建信息風(fēng)險(xiǎn)評(píng)估模型。但是這樣還不能解決評(píng)估過程中的人為影響，因此引入D—S證據(jù)理論。它是一種不確定性推理方法，一種決策理論，與概率決策理論相比，不但能處理由于知識(shí)不準(zhǔn)確所引起的

4、不確定性，而且能滿足比概率更弱的公理系統(tǒng)。本文將打分的數(shù)值，變?yōu)閷?duì)分?jǐn)?shù)處于某個(gè)區(qū)間的概率估計(jì)，以此來規(guī)避因?yàn)閷＜覀€(gè)人因素給整個(gè)評(píng)估過程帶了的誤差。然后使用證據(jù)合成法則，將個(gè)專家意見進(jìn)行融合，使最終結(jié)果能過完全反映所有專家的意見。當(dāng)概率已知時(shí)，證據(jù)理論就變成了概率論，它更符合對(duì)專家不確定性信息的融合。 利用本文所闡述的方法可以彌補(bǔ)層次分析法存在的弊端，例如，信息不夠充分，不能準(zhǔn)確的對(duì)目標(biāo)進(jìn)行定性或定量的評(píng)價(jià)，以及專家的數(shù)量和自身的