[发明专利]一种基于多要素融合的信息系统风险评估方法

说明书

技术领域

本发明涉及一种信息系统风险评估方法，特别是一种基于多要素融合的信息系统风险评估方法。

背景技术

信息系统风险评估是了解网络安全状况的手段，通过风险评估可以实现评估被测对象中资产面临的安全威胁、安全脆弱性以及安全风险。现有的信息系统风险评估方法由风险评估系统实现，其中风险评估系统包括实现风险评估功能的模块、实现安全检测结果数据获取功能的模块、风险评估结果库模块、报告模块、日志模块；其中实现风险评估功能的模块采用安全脆弱性等同安全风险、使用定性或定量的计算方法得出风险评估结论；实现安全检测数据获取功能的模块通过分析单一安全检测结果数据为风险评估系统提供安全脆弱性信息。其不足为:首先，无法有效地将各种实现安全脆弱性扫描、渗透性测试、主机安全性检查、安全威胁检测等手段的安全检测工具的检测结果进行统一的分析和处理，从而导致风险评估结论不全面；其次，无法根据不同的被测对象调整相应的评估要素和要素间的融合关系，从而导致风险评估系统适用性差，针对特性存在较大差异的被测对象可能无法有效地完成评估；再次，未全面考虑导致信息系统面临安全风险的各种要素，以及各要素之间存在的因果关系。

发明内容

本发明的目的在于提供一种基于多要素融合的信息系统风险评估方法，解决无法将各种安全检测结果数据进行集中分析和处理、系统适用性差、风险评估要素不全面以及评估要素间的因果关系不突出的问题。

一种基于多要素融合的信息安全风险评估方法，具体步骤为:

第一步，搭建基于多要素融合的风险评估系统；

系统包括风险评估结果库模块、报告模块、日志模块，还包括任务管理模块、风险评估模块、安全检测数据获取模块、评估模板模块、资产调查模块、问卷调查模块、评估库模块、数据传输模块、数据导入模块，其中风险评估模块包括资产评估子模块、威胁评估子模块、脆弱性评估子模块和风险计算子模块。

任务管理模块分别与风险评估模块、资产调查模块和问卷调查模块连接；风险评估模块分别与评估模板模块、数据传输模块、报告模块和日志模块连接；数据传输模块与评估模板模块连接；资产调查模块、问卷调查模块分别与数据传输模块连接；安全检测数据获取模块、数据导入模块、评估库模块、数据传输模块和风险评估结果库模块顺次连接；风险评估模块中的资产评估子模块、威胁评估子模块、脆弱性评估子模块和风险计算子模块顺次连接。

第二步，确定风险评估要素；

风险评估要素为:资产、安全威胁、安全脆弱性；

用户登录系统后，系统通过任务管理模块下发资产调查任务，根据任务信息，资产调查模块获取被测对象的资产信息，包括资产的组成信息、每个资产的相关属性信息，获取的资产数据通过数据传输模块输入评估库模块，并归入评估库模块中的资产分类中；

系统通过任务管理模块下发问卷调查任务，根据任务信息，问卷调查模块获取安全管理方面的安全脆弱性信息，获取的安全脆弱性数据通过数据传输模块输入评估库模块，并归入评估库模块中的安全脆弱性分类中；

安全检测数据获取模块获取实现安全脆弱性扫描、渗透性测试、安全威胁检测等技术手段的检测工具得到的安全威胁数据和安全脆弱性数据，获取的安全威胁数据和安全脆弱性数据通过数据导入模块导入评估库模块，并归入评估库模块中的安全威胁分类、安全脆弱性分类中。

第三步，确定风险评估要素的融合关系；

风险评估要素融合关系为:资产面临安全威胁、资产存在安全脆弱性、安全威胁利用安全脆弱性导致安全风险；

系统通过任务管理模块下发风险评估任务，开始风险评估；

评估模板模块通过数据传输模块获取评估库模块中的资产分类、安全威胁分类、安全脆弱性分类、资产-安全威胁-安全脆弱性融合关系信息，根据被测对象定制评估中的资产、安全威胁、安全脆弱性、资产面临的安全威胁、资产存在的安全脆弱性、安全威胁可利用的安全脆弱性以及使用的风险计算方法。

第四步，风险评估；

系统根据确定的风险评估要素、风险评估要素间的融合关系，通过风险评估模块实现风险评估；

资产评估:

资产评估子模块通过数据传输模块从评估库模块获取本次评估的资产信息，为每个资产的属性信息赋值。

资产评估子模块依据每个资产的赋值，计算资产的价值。资产价值的计算公式为:

A＝F(U₁，U₂，U₃)

其中:A表示资产价值；