電信級互聯(lián)網(wǎng)安全風(fēng)險(xiǎn)評估模型的設(shè)計(jì)與應(yīng)用.pdf

1、電信業(yè)是國民經(jīng)濟(jì)戰(zhàn)略性產(chǎn)業(yè)，電信網(wǎng)是信息化最重要的信息基礎(chǔ)設(shè)施，電信級互聯(lián)網(wǎng)則是關(guān)系到居民生產(chǎn)生活安全穩(wěn)定重要保障的基礎(chǔ)網(wǎng)絡(luò)平臺，其安全性倍受關(guān)注。
　　 汪立冬在文章《一種量化的計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估方法》[1]中（以下簡稱“汪氏量化風(fēng)險(xiǎn)評估法”），提出了一種基于特權(quán)提升的量化方法來評估計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)狀況。此方法從計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)安全的脆弱性出發(fā)，詳細(xì)描述了以脆弱性識別量化為主，評估計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)的風(fēng)險(xiǎn)的方

2、法。但是此方法只研究脆弱性在風(fēng)險(xiǎn)評估中的作用，而沒有考慮風(fēng)險(xiǎn)評估中的資產(chǎn)和威脅因素，也沒有考慮到電信級互聯(lián)網(wǎng)的一些特點(diǎn)。
　　 本文在分析了國內(nèi)外電信級互聯(lián)網(wǎng)絡(luò)安全現(xiàn)狀的基礎(chǔ)上，深入研究了常用的風(fēng)險(xiǎn)評估參考標(biāo)準(zhǔn)和網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估模型，并且提出了基于電信級網(wǎng)絡(luò)和國內(nèi)通信行業(yè)標(biāo)準(zhǔn)的評估架構(gòu)，在汪氏量化風(fēng)險(xiǎn)評估法的基礎(chǔ)上，設(shè)計(jì)了基于安全事件的風(fēng)險(xiǎn)評估模型。本模型描述了風(fēng)險(xiǎn)評估的完整過程，并對評估過程的每個(gè)環(huán)節(jié)的工作內(nèi)容進(jìn)行了較詳細(xì)的論

3、述，探討了風(fēng)險(xiǎn)評估過程中的資產(chǎn)識別、威脅識別、脆弱性識別的量化方法，并運(yùn)用相乘法計(jì)算每個(gè)安全事件的風(fēng)險(xiǎn)值，以及用加權(quán)平均的方法計(jì)算整個(gè)網(wǎng)絡(luò)的風(fēng)險(xiǎn)值。
　　 將此模型運(yùn)用到中國電信A省互聯(lián)網(wǎng)應(yīng)用中的Web服務(wù)進(jìn)行了全面徹底的風(fēng)險(xiǎn)評估，并對其中的潛在的安全隱患進(jìn)行風(fēng)險(xiǎn)分析，提出了合理的加固建議。運(yùn)用定量定性相結(jié)合的方式對汪氏量化風(fēng)險(xiǎn)評估法的模型與本文提出的風(fēng)險(xiǎn)評估模型進(jìn)行比較分析，最終得出基于安全事件的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估模型更加適用于