信息系统漏洞风险定量评估模型研究.pdf

第30卷第2期通信学报、，b1．30NO-2
20o9年2月J0umal0nCOmmunicadOnsFebnlarv2oo9

信息系统漏洞风险定量评估模型研究

周亮，-，李俊娥，陆天波，刘开培

(1．武汉大学电气工程学院，湖北武汉43o072；2．武汉大学计算机中心，湖北武汉430072；

3．国家计算机网络应急技术处理协调中心，北京1Oo029：4．中国电力科学研究院信息与安全技术研究所，北京1O0l92)

摘要：为解决信息系统漏洞风险的科学定量问题，针对当前漏洞风险评估忽略漏洞之间关联性的现状，提出了

一种信息系统漏洞风险评估的定量方法与实现步骤。首先，讨论了基于漏洞关联网络(VcN，vulnerabilityco咖ection
netWork1的漏洞风险评估模型，引入了路径风险与主体风险的概念；其次，提出了以层次分析法定量主体风险性
中的主体重要性要素，结合主观分析与攻击重现定量转移风险中的关联后果值的具体方法；最后，对电力调度管
理信息系统运用此漏洞风险定量方法进行评估，得出了客观的漏洞风险评估结果。评估示例表明，基于漏洞关联
网络的漏洞风险定量评估模型实现了漏洞风险科学、客观的定量评估。
关键词：信息系统；安全风险；定量评估；漏洞关联
中图分类号：TP393．08文献标识码：A文章编号：1O00-436x(2oo9)02—007l-06

Research0nquantitatiVeassessmentm0del0n
Vulnerabilityriskf0rinf0rmati0nsystem

ZHOULiang1LIJun．e2LUTian-bO3LIUKai．peil
，，，

(1．Scho010fElecmcalEnginen岛WuhaIlUniVersity’Wuhan430O72，China；

2．CoⅡlputerCentcLWuhaIlUnjVeTsity，Wuhall430072，China；

3．NatiOnalComputerNetwOrkEme曜encyResp0nse1hnica1CenterofChina，Being10oo29，China；

4．D印artment0fInf0mati0nSecurity，ChinaEleccPowefResearchInstitu【e，Beingl00192，China)

Abstract：AquaIltitativemethodofvulnerabilityassessmentwasputf0nⅣardontllef0undationofresearchoncurrent

assessmentmeth0dshomea』1dabroadinordertoeva1uatevulnerabilicyIisk0bjectiVely．Vulnerabilitycoru1ectionnetwork
(VCN)wasdiscussedflrstlyf0rmepurposeoftakingconnectionofvulIlerabilityint0acc0um，whichdiVidesVulIlerabil-
ityriskintoentityriskandpamrisk；Secondly，adVaJ1cedmetllodsofquantifyingentiinlportaJ1ceinentityriskaIld

networknodec0nnecdone侬lctsinpamriskwerepmposed；LaSⅡy’al1evaluati0nexaInpleofvulnefabilriskondis—

patctlingmaJ1agementinf0mlatiOnsysteminpowersystemwasgiVenOut．COrrespOndingresuItsshowtllatquaJ1dtatiVe

assessmentm0delbringsoutscientificandcredibleevaluationonvu1nerabilityrisk．

KeywortIs：info肿ati0nsystem；securit)rrisk；quantitativeassessment；vulnerabilityconnection

网络关联性问题。由网络节点间信任依赖关系而产
1引言
生的风险转移，是一个值得探讨的新课题。文献【9]
信息系统的安全评估模型是信息系统安全研究提出了一种基于免疫的网络安全风险检测模型，但
的重要内容卜引，当前的安全评估模型研究忽略了是主要侧重于对网络系统面临攻击时的实时风险

收稿日期：2008．1l—l2；修回日期：2009—0l一05
通信学报第30卷

评估；文献[10】提出了一种网络弱点的模型