动态风评综述

动态风险评估综述一：信息安全风险评估概念风险评估是要全方面的预测并分析可能导致风险出现的事件发生的可能性，以及当风险出现后对组织造成损失的程度。

通常情况下，一个信息系统是不可能不存在风险的。

判断一个信息系统是否安全，主要看该信息系统的风险等级是否能够通过一些控制措施被控制在组织可接受的范围内。

将传统的风险理论和评估方法应用于信息系统中的过程叫做信息安全风险评估。

通过风险理论识别信息风险，并对其进行评估后作出综合分析，就是风险评估的过程。

除此之外，信息安全风险评估信息系统在各其安全属性上所面临的风险要进行科学的分析与理解，并根据自身情况以及风险的实际情况选择合适的风险控制方案，这些选择一般包括：接受风险、降低风险、转移风险以及规避风险。

1.1静态风险评估大部分的静态风险评估利用一些评估标准来评估。

常用的标准有：TCSEC、ITSEC、CC、ISO/IEC17799、BS7799、ISO13335。

静态网络安全风险评估方法缺乏实时性、只能粗略的估计网络长期处于的安全风险状态，对网络正在遭受的攻击缺乏实时网络安全风险检测。

1.2动态风险评估当前国内外在信息系统尤其是网络安全动态风险评估还是处在不断探索的阶段,包括风险的分析、风险的预测、风险的决策、风险的控制、风险的取证和风险的响应等都通过实时在线进行分析和处理。

动态风险评估架构由5部分组成：包括安全检测模块、信息管理模块、事件资源库模块、规则资源库模块以及风险评估模块。

安全检测模块主要通过安全检测设备实时监控系统中影藏的威胁信息并发出告警信息，信息管理模块主要负责接收告警信息并输出为统一格式，事件资源库模块收集威胁评估，资产脆弱性评估结果，规则资源库用于存储风险评估计算方法，风险评估模块通过整合信息管理模块的输出值，依据规则资源库的风险评估计算方法计算系统的风险值。

结构如下所示：图1：动态风险评估结构图风险评估的主要任务包括：1）对于资产面临的各种风险进行识别评估；2）评估风险发生的概率以及可能导致的负面影响；3）对企业或组织能承受风险的能力进行识别确定；4）对风险的削减和控制优化措施进行确认；二：信息安全风险评估方法2.1定性风险评估根据评估者的知识及经验对系统的风险状况作出判断的评估方法叫做定性评估方法。

其优点是：可以得到更全面深入的评估结论，缺点为：评估结果中带有评估这本身的主观性，而且需要评估者具有很高的素质。

典型的评估方法有：事件树分析法、风险模式影响及危害性分析、原因后果分析、故障树分析等。

2.2定量风险评估将风险发生的概率、风险危害程度量化，并相乘得到的结果ALE 或EAC，然后根据上述结果可以得到威胁事件的风险等级，最后根据不同的结果进行相应选择的评估方法叫做定量的评估方法。

其优点是：具有直观且客观的分析过程和结果，对比性比较强。

但量化过程中过于简单和模糊化也是缺点，这会产生一定的误解和曲解。

典型的定量分析方法有：风险评审技术、故障树分析法。

2.3定性与定量相结合的分析方法定性与定量相结合的评估方法就是要在风险评估中综合使用上述两种方法评估方法。

其优点是：可以在两种方法之间取长补短，得到更加客观、公正和准确的评估结果。

典型的定性与定量相结合的评估方法有：层次分析法、概率风险评估、动态风险概率评估等。

2.4动态风险评估方法动态风险评估方法在静态分析方法的基础上，通常结合层次分析法、灰统计理论法、贝叶斯网络分析法、神经网络法、模糊匹配法等方法对信息系统进行全面实时的监控和分析。

三：信息安全风险评估内容3.1资产评估资产评估包括资产识别和价值评估两部分。

资产识别即首先识别有价值的资产，列入评估清单，通常有物理资产、信息资产、人员、服务、组织的声誉等，通常以网络设备、服务器操作系统、数据库所含的信息为主。

数据信息的保护即为维持其完整性、可用性和保密性，通过收集、分析网络中相关计算机运行属性，以及在整个系统运行过程中的作用和被攻击后需要修复所产生的费用等，确定资产价值。

3.2脆弱性分析脆弱性是指系统存在的安全薄弱环节，容易被威胁利用并造成损失，其主要可以分为管理脆弱性和技术脆弱性，技术脆弱性主要有：信息系统、网络设别、服务器设备中存在的可能导致未授权操作的脆弱性节点，该类脆弱性通常可以使用脆弱性扫描工具、漏洞扫描系统、安全审计工具等方式获得。

3.3威胁性分析威胁主要为损害资产完整性、可用性、保密性的行为，通过安全检测模块如防火墙、防毒墙、IDS以及其他安全防护设备告警、触发形成，经常表现为一种未预期的突发事件。

威胁分析首先需要列出可能存在的所有可能导致资产损害的因素，如物理因素、系统因素、人为因素等，其次执行威胁发生可能性概率分析和潜在损失分析，根据分析结果，定量计算出威胁值，进一步形成应对策略。

四：信息安全风险评估4.1风险评估流程如果对信息没有充分且深入的认识就无法对其进行信息安全风险评估。

因此，信息安全风险评估要先对评估对象的重要资产以及重要资产所面临的威胁进行深入了解，然后根据评估标准进行进一步的深入评估并得出评估报告，最后以评估结果为基础，确定控制措施的实施。

信息安全风险评估具体过程如下图所示：图2：信息安全风险评估流程图4.2风险分析原理风险分析中要涉及资产、威胁、脆弱性三个基本要素。

每个要素有各自的属性，资产的属性是资产价值；威胁的属性可以是威胁主体、影响对象、出现频率、动机等；脆弱性的属性是资产弱点的严重程度等。

风险分析的主要内容有：1）对资产进行识别，并对资产的价值进行赋值；2）对威胁进行识别，描述威胁的属性，并对威胁出现的频率进行赋值；3）对脆弱性进行识别，并对具体资产的脆弱性严重程度进行赋值；4）根据据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性；5）根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件造成的损失；6）根据安全事件发生的可能性及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，及计算风险值。

风险分析原理如图3所示：图3：风险分析原理图4.3风险计算原理在完成了资产识别、威胁识别、脆弱性识别，以及已有安全措施确认后，将采用适当的方法与工具确定威胁利用脆弱性导致安全事件发生的可能性。

综合安全事件所作用的资产价值及脆弱性的严重程度，判断安全事件造成的损失对组织的影响，及安全风险。

计算原理如下：)),(),,((),,(a a V I F V T L R V T A R ==风险值其中R 表示安全风险计算函数；A 表示资产；T 表示威胁；V 表示脆弱性；a I 表示安全事件所作用的资产价值；a V 表示脆弱性严重程度；L 表示威胁利用资产的脆弱性导致安全事件出现的可能性，F 表示安全事件发生后造成的损失。

有以下三个关键计算环节：1）计算安全事件发生的可能性根据威胁出现频率及脆弱性状况，计算威胁利用脆弱性导致安全事件发生的可能性，即：安全事件的可能性=L （威胁出现频率，脆弱性）=L （T ，V ），在具体评估中，应综合攻击者技术能力（专业技术程度、攻击设备等）、资产吸引力等因素来判断安全事件发生的可能性。

2）计算安全事件发生后造成的损失根据资产价值及脆弱性严重程度，计算安全事件一旦发生后造成的损失，即：安全事件造成的损失=F （资产价值，脆弱性严重程度）=),(a a V I F 。

部分安全事件的发生造成的损失不仅仅是针对该资产本身，还可能影响业务的连续性，不同安全事件的发生对组织的影响也是不一样的，在计算某个安全事件的损失时，应将对组织的影响也考虑在内。

部分安全事件造成的损失的判断还应参照安全事件发生可能性的结果，对发生可能性极小的安全事件可以不计其损失。

3）计算风险值根据计算出的安全事件的可能性以及安全事件造成的损失，计算风险值，即：风险值=R （安全事件的可能性，安全事件造成的损失）=)),(),,((a a V I F V T L R 。

评估者可根据自身情况选择相应的风险计算方法计算风险值，如矩阵法或相乘法。

矩阵法通过构造一个二维矩阵，形成安全事件的可能性与安全事件造成的损失之间的二维关系；相乘法通过构造经验函数，将安全事件的可能性与安全事件造成损失进行运算得到风险值。

4.4风险计算方法1）矩阵法矩阵法主要适用于由两个要素值确定一个要素值的情形，首先需要确定二维计算矩阵，矩阵内各个要素的值根据具体情况和函数递增情况采用数学方法确定，然后将两个元素的值在矩阵中进行对比，行列交叉处即为所确定的结果。

即),(y x f z =函数f 采用矩阵法，矩阵法原理是：为正整数为正整数j n j i m i y n j y y y y y y x m i x x x x x x ,1),,,,,(,1),,,,,,(321321≤≤⋅⋅⋅⋅⋅⋅=≤≤⋅⋅⋅⋅⋅⋅=以要素x 和要素y 的取值构建一个二维矩阵，矩阵行值为要素y 的取值矩阵列值为要素x 的取值，矩阵内m*n 个值即为要素z 的取值，为正整数ij m n ij z n j m i z z z z z ,1,1),,,,(1211≤≤≤≤⋅⋅⋅⋅⋅⋅=。

对于ij z 的计算可采用下列公式：j i ij y x z +=，j i ij y x z ⨯=，为正常数，βαβα,j i ij y x z ⨯+⨯=。

ij z 的计算需要根据实际情况而定，矩阵内ij z 的值的计算不一定遵循统一的计算公式，但必须具有统一的增减趋势。

表1：矩阵法计算原理2）相乘法相乘法主要用于两个或多个要素值确定一个要素值的情形。

即),(y x f z =，函数f 可以采用相乘法。

相乘法的原理是：y x y x f z ⊗==),(，当f 为增量函数时，⊗可以直接相乘，也可以为相乘后取模等，例如：,),(y x y x f z ⨯==或y x y x f z ⨯==),(，y x y x f z ⨯==),(⎥⎥⎦⎤⎢⎢⎣⎡+⨯==y x y x y x f z ),(等。

相乘法提供一种定量的计算方法，直接使用两个要素值进行相乘得到另一个要素的值。

4.5风险计算实例1）矩阵法图4：矩阵法计算资产风险值由上图可知：资产A1存在的风险值包括5个，每个风险值的计算过程类似，下面以资产A1面临的威胁T1可以利用的脆弱性V1为例计算安全风险值。

a)计算安全事件发生的可能性：威胁发生频率T1=2脆弱性严重程度V1=2构建安全事件发生可能性矩阵如下：对照表安全事件发生可能性的值为6，安全事件发生可能性将参与风险事件值的计算，为构建风险矩阵，对上述得到的安全风险事件发生可能性进行等级划分。

表3：安全事件可能性等级划分从上表可知：安全事件发生可能性等级为2.b)计算安全事件的损失资产价值A1=2脆弱性严重程度V1=2构建安全事件损失矩阵如下：由上表可知：安全事件损失值为5.由于安全事件损失值将参与风险事件值的计算，为构建风险矩阵，对上述计算得到的安全事件损失进行等级划分，表5：安全事件损失等级划分由上表可知：安全事件损失等级为1.c)计算风险值安全事件发生的可能性为2安全事件损失等级为1构建风险矩阵如下表所示：表6：风险矩阵根据安全事件发生可能性和安全事件损失等级在矩阵中进行对照，确定安全事件风险为6.2）相乘法同矩阵法类似，只是需要选择所使用的公式，假设选择公式为==)z⨯,(也分为三步进行计算，yyfxxa)计算安全事件发生的可能性：威胁发生频率T1=2脆弱性严重程度V1=2安全事件发生的可能性=22=*2b)计算安全事件的损失：资产价值A1=2脆弱性严重程度V1=2安全事件的损失=22=*2c)计算风险值：安全事件发生的可能性=22=2*安全事件的损失=22*2风险值=2*2=4最后进行结果判定。