网络安全评估的量化研究.pdfVIP

0弓l言 系统评估主要分以。F)L个方面：管理制度评估、物理安 现有的信息安全标准和模型，都是以风险为核心，这也 全评估、网络和主机检测、保障措施评估、检测结果分析及风 是信息安全的最终日的决定的。因为信息安全的最终日的是 险评估分析、评测结果评分及报告生成。其中主机和网络检测 流程图如图1。 尽可能地降低安全风险，和最大程度地保护信息资产。从信 息安全和资产保护的角度出发，最直观的风险安全模型应包 1．2管理制度的评估 括两个因素：信息资产和安全风险。而安全威胁应该考虑两 管理制度是否健全是做好网络安全的有力保证，包括机 个方面：严重性(破坏强度)和破坏率(被攻击的可能性)。从风房管理制度、文档设备管理制度、管理人员培训制度、系统使 险评估的角度看，信息资产的脆弱性与威胁的严蘑性相结合， 用管理制度等。 可以获得威胁产生时实际造成损失的成功率，面将此成功率 1．3物理安全的评估 和威胁的暴露率相结合，并可以得出安全风险的可能性。信 物理安全一般包括场地安全、机房环境、建筑物安全、设 息资产的影响价值刚直接关系弱安全威胁可能遗成的影响后 备可靠性、辐射控制与防泄露、通讯线路安全性，动力安全性、 果。在考虑了资产的影响价值和脆弱性、威胁的严重性和暴露 灾难预防与恢复措施等几方面。 。 率后，就可以确定安全风险的晒个因素，从而确定安全风险。 1．4主机和应用系统安全的评估 1评估内容 平台安全泛指操作系统和通用基础服务安全，主要用于 1．1安全评估的流程 防范黑客攻击手段，目前市场上大多数安全产品均限于解决 系统的安全评估淹程为：依次对管理嗣度评估，物理安 平台安全，我们以通用信息安全评估准则为依据，确定平台 全评估，网络和主机检测，保障措施评估，检溯结果分析及 安全。 风险评估分析，评测结果评分及报告生成。 (1)操作系统需要及时的打补丁、弱口令等，攻击者的渗 透程度。 (2)系统统一的管理策略，如权限管理，用户管理。 (3)数据库系统的弱点。 (4)安全工具的配置。 1．5网络和通信系统的评估 网络与通信的安全性在很大程度上决定着整个网络系统 的安全性，因此网络与通信安全的评估是整个网络系统安全 性评估的关键。 (I)网络基础设施。 (2)通信线路的安全。 (3)通用基础应用程序。 (4)网络安全产品部署，如：防火墙、入侵检测、防病 毒．漏洞扫描等产品在系统中的部署。 图1 主机和网络检测流程图 (5)整体网络安全平台测试。 万方数据 (6)网络加密设施和通信设施加密。 3评估方法 (7)设置身份鉴别机制。