風(fēng)險評估算法簡析

風(fēng)險評估算法簡析參考文獻：《信息安全風(fēng)險評估規(guī)范》，《基于屬性分解的信息安全風(fēng)險分析與計算模型》主要內(nèi)容1.風(fēng)險評估基礎(chǔ)2.風(fēng)險評估計算方法3.基于屬性分解的信息安全風(fēng)險評估算法4.模型實例對比分析2完整編輯ppt主要內(nèi)容1.風(fēng)險評估基礎(chǔ)2.風(fēng)險評估計算方法3.基于屬性分解的信息安全風(fēng)險評估算法4.模型實例對比分析3完整編輯ppt風(fēng)險評估基礎(chǔ)(1/4)風(fēng)險評估要素關(guān)系圖概念：信息安全風(fēng)險評估就是從風(fēng)險管理角度，運用科學(xué)的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施，為防范和化解信息安全風(fēng)險，將風(fēng)險控制在可接受的水平，最大限度地保障信息安全提供科學(xué)依據(jù)。信息安全技術(shù)信息安全風(fēng)險評估規(guī)范信息系統(tǒng)整改對策保障信息安全威脅脆弱性資產(chǎn)風(fēng)險管理角度+方法4完整編輯ppt風(fēng)險評估基礎(chǔ)(2/4)資產(chǎn)(A)asset概念：對組織具有價值的信息或資源，是安全策略保護的對象。資產(chǎn)值：風(fēng)險評估中資產(chǎn)的價值不是以資產(chǎn)的經(jīng)濟價值來衡量，而是由資產(chǎn)在這三個安全屬性上的達成程度或者其安全屬性未達成時所造成的影響程度來決定的。資產(chǎn)屬性：保密性、完整性、可用性。資產(chǎn)保密性完整性可用性保密性賦值賦值賦值加權(quán)計算得到資產(chǎn)最終賦值結(jié)果風(fēng)險評估中最重要的三個要素依次為資產(chǎn)、威脅、脆弱性。5完整編輯ppt風(fēng)險評估基礎(chǔ)(3/4)威脅(T)threat概念：可能導(dǎo)致對系統(tǒng)或組織危害的不希望事故潛在起因。威脅賦值：威脅出現(xiàn)的頻率是威脅賦值的主要內(nèi)容。示例：以往安全事件報告中出現(xiàn)過的威脅及其頻率的統(tǒng)計實際環(huán)境中通過檢測工具以及各種日志發(fā)現(xiàn)的威脅及其頻率的統(tǒng)計威脅賦值近一兩年來國際組織發(fā)布的對于整個社會或特定行業(yè)的威脅及其頻率統(tǒng)計6完整編輯ppt風(fēng)險評估基礎(chǔ)(4/4)脆弱性(V)vulnerability概念：可能被威脅所利用的資產(chǎn)或若干資產(chǎn)的薄弱環(huán)節(jié)。脆弱性賦值：對資產(chǎn)的損害程度、技術(shù)實現(xiàn)的難易程度、弱點的流行程度對已識別的脆弱性嚴重程度賦值。技術(shù)管理問卷調(diào)查滲透性測試文檔查閱人工檢測工具檢測示例脆弱性嚴重程度賦值表脆弱性識別7完整編輯ppt主要內(nèi)容1.風(fēng)險評估基礎(chǔ)2.風(fēng)險評估計算方法3.基于屬性分解的信息安全風(fēng)險評估算法4.模型實例對比分析8完整編輯ppt風(fēng)險評估算法(1/8)風(fēng)險分析原理

風(fēng)險值=R(A,T,V)=R(L(T,V),F(la，Va))，根據(jù)風(fēng)險值的分布狀況，為每個等級設(shè)定風(fēng)險值范圍。示例如下：9完整編輯ppt風(fēng)險評估算法(2/8)風(fēng)險分析計算風(fēng)險分析計算原理風(fēng)險值=R(A,T,V)=R(L(T,V),F(la，Va))R表示安全風(fēng)險計算函數(shù)；A表示資產(chǎn)；T表示威脅；V表示脆弱性；Ia表示安全事件所作用的資產(chǎn)價值；Va表示脆弱性嚴重程度；L表示威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件發(fā)生的可能性；F表示安全事件發(fā)生后產(chǎn)生的損失。三個關(guān)鍵計算環(huán)節(jié)

a.計算安全事件發(fā)生的可能性

安全事件發(fā)生的可能性=L(威脅出現(xiàn)頻率，脆弱性)＝L(T，V)

b.計算安全事件發(fā)生后的損失

安全事件的損失=F(資產(chǎn)價值，脆弱性嚴重程度)＝F(Ia，Va)

c.計算風(fēng)險值

風(fēng)險值=R(安全事件發(fā)生的可能性，安全事件造成的損失)＝R(L(T，V)，F(xiàn)(Ia，Va))10完整編輯ppt風(fēng)險評估算法(3/8)矩陣法特點：主要適用于由兩個要素值確定一個要素值的情形。于通過構(gòu)造兩兩要素計算矩陣，可以清晰羅列要素的變化趨勢，具備良好靈活性。原理：構(gòu)造z=f(x,y)，函數(shù)f可以采用矩陣法，其中，矩陣構(gòu)造如下所示，m*n個值即為要素z的取值z的計算需要根據(jù)實際情況確定，不一定遵循統(tǒng)一的計算公式，但必須具有統(tǒng)一的增減趨勢，即如果f是遞增函數(shù)，z值應(yīng)隨著x與y的值遞增，反之亦然。11完整編輯ppt風(fēng)險評估算法(4/8)相乘法適用：相乘法主要用于兩個或多個要素值確定一個要素值的情形。原理：z=f(x,y)=x⊙y；計算方式：⊙可以為直接乘，也可以為相乘后取模HOW?12完整編輯ppt風(fēng)險評估算法(5/8)矩陣法示例條件三個要素資產(chǎn)價值A(chǔ)1=2A2=3A3=5T1=2T2=1T3=2T4=5T5=4威脅發(fā)生頻率V1=2V2=3V3=1V4=4V5=2脆弱性嚴重程度V6=4V7=2V8=3V9=513完整編輯ppt風(fēng)險評估算法(6/8)矩陣法示例計算過程計算安全事件發(fā)生的可能性威脅發(fā)生頻率：威脅T1=2脆弱性嚴重程度：脆弱性V1=21231安全事件發(fā)生可能性值=214完整編輯ppt風(fēng)險評估算法(7/8)

計算安全事件的損失資產(chǎn)價值：資產(chǎn)A1=2；脆弱性嚴重程度：脆弱性V1=22安全事件損失值=115完整編輯ppt風(fēng)險評估算法(8/8)

計算安全事件的損失安全事件發(fā)生可能性=2；安全事件損失=1；3依次類推得到風(fēng)險結(jié)果16完整編輯ppt主要內(nèi)容1.風(fēng)險評估基礎(chǔ)2.風(fēng)險評估計算方法3.基于屬性分解的信息安全風(fēng)險評估算法4.模型實例對比分析17完整編輯ppt基于屬性分解的信息安全風(fēng)險評估算法(1/5)現(xiàn)有風(fēng)險評估模型缺陷風(fēng)險值R=R(A,T,V)=R(L(T,V),F(la，Va))威脅資產(chǎn)價值脆弱性脆弱性嚴重程度V和Va如何賦值以及兩者之間的區(qū)別沒有述及，在評估時容易混淆。而在附錄的計算示例中，實際取Va為脆弱性值V有何區(qū)別？18完整編輯ppt基于屬性分解的信息安全風(fēng)險評估算法(2/5)信息安全風(fēng)險屬性分解

風(fēng)險的屬性包括威脅、脆弱性和資產(chǎn)，對組織造成的影響實際就是對于資產(chǎn)屬性的破壞。a.評價資產(chǎn)的三個屬性：保密性，完整性，可用性；

b.威脅屬性可劃分為：威脅發(fā)生頻率（該威脅已經(jīng)發(fā)生的統(tǒng)計結(jié)果）和威脅發(fā)生概率（威脅發(fā)生的可能性）；

c.脆弱性嚴重程度即通過利用該脆弱性能夠?qū)Y產(chǎn)造成的危害或破壞程度，可以參考相關(guān)組織的等級評判標準；脆弱性被利用的難易程度，主要通過評估人員的經(jīng)驗推斷，也可輔以檢測工具、漏洞利用工具等進行驗證。保密性可用性完整性發(fā)生概率發(fā)生頻率可利用的難易程度嚴重程度資產(chǎn)威脅脆弱性信息安全風(fēng)險19完整編輯ppt基于屬性分解的信息安全風(fēng)險評估算法(3/5)風(fēng)險分析模型資產(chǎn)識別脆弱性識別威脅識別保密性嚴重程度可利用的難易程度發(fā)生頻率發(fā)生概率安全事件造成的損失安全事件的可能性風(fēng)險值完整性可用性資產(chǎn)值威脅值不需要對脆弱性進行總體賦值基于屬性分解的風(fēng)險分析模型有兩個顯著優(yōu)點：該模型中不存在屬性被重復(fù)利用的情況20完整編輯ppt基于屬性分解的信息安全風(fēng)險評估算法(4/5)風(fēng)險計算方法風(fēng)險值R=R(A，T，V)=R(L(VT，VVe)，F(xiàn)(VA，VVs))R表示安全風(fēng)險計算函數(shù)；A表示資產(chǎn)；T表示威脅；V表示脆弱性；L表示威脅利用資產(chǎn)的脆弱性，導(dǎo)致安全事件的可能性；F表示安全事件發(fā)生后造成的損失

新賦值含義VTp表示某威脅的發(fā)生可能性VA表示某資產(chǎn)的總體賦值VVs表示某脆弱性的嚴重程度VT表示該威脅的總體賦值VTf表示某威脅的發(fā)生頻率VVe表示某脆弱性被利用的難易程度21完整編輯ppt基于屬性分解的信息安全風(fēng)險評估算法(5/5)風(fēng)險計算公式

風(fēng)險值R=R(A，T，V)=R(L(VT，VVe)，F(xiàn)(VA，VVs))VA=2／3×avg(VAc，VAi，VAa)+1／3×max(VAc，VAi，VAa)VT=3／5×VTf+2／5×VTp參見《風(fēng)險評估中威脅發(fā)生可能性的定量分析方法》主要通過評估人員的技術(shù)能力和評估經(jīng)驗推斷，也可輔以檢測工具、漏洞利用工具等進行驗證其中，VAc、VAi、VAa分別為資產(chǎn)的保密性、完整性和可用性的賦值等級參見風(fēng)險評估規(guī)范參見風(fēng)險評估規(guī)范注：安全事件造成的損失F(VA，VVs)、安全事件發(fā)生的可能性，J(VT，VVe)和風(fēng)險R(L，F(xiàn))的計算公式參考矩陣法22完整編輯ppt主要內(nèi)容1.風(fēng)險評估基礎(chǔ)2.風(fēng)險評估計算方法3.基于屬性分解的信息安全風(fēng)險評估算法4.模型實例對比分析23完整編輯ppt模型實例對比分析(1/2)模型實例

對一個典型環(huán)境，分別采用原有模型和屬性分解模型進行風(fēng)險計算，然后對于計算結(jié)果進行比較分析條件屬性賦值31233224R1R2R3R4原有模型屬性分解模型風(fēng)險值43R5原有模型R1=3，R2=1，R3=2，R4=3，R5=4屬性分解模型R1=3，R2=2，R3=2，R4=4，R5=324完整編輯ppt模型實例對比分析(2/2)結(jié)果比較分析

利用相關(guān)系數(shù)計算比較風(fēng)險對各屬性的相關(guān)程度。屬性分解模型原有模型資產(chǎn)值：0.661威脅值：-0.413脆弱性嚴重程度：0.920資產(chǎn)值：0.758威脅值：-0.579脆弱性嚴重程度：0.110