CN102591732A - 信息系统安全评测系统及其评测方法 - Google Patents

Abstract

本发明提供了信息安全评测系统及其评测方法，本发明包括依次相连的XML准则模块、层次权重模块、证据融合模块和结果分析模块；XML模块从安全评测准则中抽取评测体系结构以及待评测信息系统的准则层和措施层元素；层次权重模块根据评测体系结构，通过层次分析法确定准则层的每个元素在评测体系中的权重；证据融合模块根据评测体系结构，根据证据理论确定准则层和措施层的每个元素在评测体系中的逻辑位置，并对元素进行评分；结果分析模块根据元素评分得出待评测信息系统的安全等级、安全评估量化分数和分数的置信度。本发明除了可以根据人工评测的情况对待评测的信息系统的安全等级进行定性，还可以给出待评测系统的安全状态的定量结果。

Description

信息系统安全评测系统及其评测方法

技术领域

本发明属于信息安全领域，具体涉及一种基于AHP(Analytic Hierarchy Process，层次分析法)/DS(Dempster-Shafer Theory，证据理论)理论的信息系统安全评测方法。

背景技术

随着计算机的日益发展和普及，计算机病毒、计算机盗窃、服务器的非法入侵破坏已变得日益普遍和错综复杂。任何企业及其信息系统都可能面临着包括计算机辅助欺诈、刺探、阴谋破坏、火灾、水灾等大范围的安全威胁。因此有必要对信息系统的安全性进行评估。对信息系统进行风险评估即对系统的脆弱性、系统面临的威胁、威胁发生的可能性，以及脆弱性被威胁源利用后所产生的负面影响的评估，系统安全的风险评估结果对组织机构在信息安全措施的选择、信息安全保障体系的建设等问题中做出合理的决策具有重要的指导作用。

《信息系统安全等级保护测评准则》定义了评估信息产品及系统的安全属性的基本原则，它既是面向开发者和评估者的准则，也是面向用户的一个实用安全指南。评估方法以安全评估标准为依据，从不同的角度对信息产品及系统的安全属性进行评估。评估过程是为满足这些要求的产品和系统的安全功能以及相应的保证措施确定一个可信级别。评估结果可以帮助消费者确定信息产品和系统对他们的应用而言是否足够安全、使用中潜在的安全风险是否可以接受。评估过程还可以从两个方面对信息产品及系统的生产产生积极的作用：一方面，评估可以发现评估对象存在的错误和脆弱性，开发者通过纠正这些错误和脆弱性，可以降低今后操作中发生安全问题的可能性；另一方面，面对严格的评估要求，开发者在评估对象的设计和开发中将会更加专注。因此评估过程对信息产品及系统的需求定义、开发、实现及最终的操作环境都将产生间接而又积极的影响。

但是，《信息系统安全等级保护测评准则》的评测是一个定性评测系统，不能对实现评测结果的量化。所以，提出能够对《信息系统安全等级保护测评准则》标准进行改进、定性和定量相结合的安全评估方法，以克服单一评估方法的不足，具有理论和现实应用的价值。

发明內容

本发明所要解决的技术问题是：提供一种信息系统安全评测系统及其评测方法，本发明除了可以根据人工评测的情况对待评测的信息系统的安全等级进行定性，还可以给出待评测系统的安全状态的定量结果。

本发明所采用的技术方案是：信息安全评测系统，包括依次相连的XML准则模块、层次权重模块、证据融合模块和结果分析模块；XML模块从安全评测准则中抽取评测体系结构以及待评测信息系统的准则层和措施层元素；层次权重模块根据评测体系结构，通过层次分析法确定准则层的每个元素在评测体系中的权重；证据融合模块根据评测体系结构，根据证据理论确定准则层和措施层的每个元素在评测体系中的逻辑位置，并对元素进行评分；结果分析模块根据元素评分得出待评测信息系统的安全等级、安全评估量化分数和分数的置信度。

所述的系统，评测体系结构为：从上至下依次包括目标层、第一准则层、第二准则层和措施层。目标层包括安全控制测评，第一准则层包括安全技术测评和安全管理测评。第二准则层中，隶属于安全技术测评的子准则元素包括物理安全、网络安全、主机系统安全、应用安全和数据安全，隶属于安全管理测评的子准则元素包括安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理。措施层中，隶属于物理安全的原子准则包括物理访问控制、防偷窥防破坏、防雷击、防火，隶属于安全管理机构的原子准则包括岗位设置、人员配备、授权与审批和沟通与合作。

所述的系统的评测方法，确定准则层元素权重的方法依次包括以下步骤：

S2.1)针对待评测的信息系统，基于层次分析法，给出准则层的某一层的比较矩阵A₁，A₂，A₃，…，A_m，m为评测人员个数；

S2.2)依次求出求出比较矩阵的最大特征值λ_max1，λ_max2，λ_max3，…，λ_maxm；

S2.3)根据公式

计算每个比较矩阵的一致性指标CI_i，其中n为每个比较矩阵的阶数，i取值1、2、3、…、m；

S2.4)针对不同的n获得每个比较矩阵的随机一致性指标RI_i，再根据公式

计算每个比较矩阵的一致性比率CR_i；如果CR_i小于0.1，则比较矩阵满足一致性判断，如果CR_i大于0.1，则比较矩阵不满足一致性判断，需要重新给出比较矩阵；

S2.5)对于满足一直性判断的比较矩阵，求出每个矩阵最大特征值对应的特征向量，并且标准化这个特征向量，分别设为u₁，u₂，u₃，…，u_m；

S2.6)计算得到标准化的特征向量

S2.7)根据u值确定准则层每个元素的权重。

所述的方法，步骤S2.1得出比较矩阵的判断准则见下表1：

表1

所述的方法，步骤S2.4通过n得到随机一致性指标RI_i的过程是根据下表2进行的：

表2

n	3	4	5	6	7	8	9
								RI	0.58	0.90	1.12	1.24	1.32	1.41	1.45
n	10	11	12	13	14	15
								RI	1.49	1.52	1.54	1.56	1.58	1.59

所述系统的评测方法，确定准则层和措施层的每个元素在评测体系中的逻辑位置的方法为：准则层第一层中每个准则元素的关系为逻辑与；准则层第二层隶属于同一个父准则元素的子准则元素之间的关系为逻辑与；措施层的每个原子准则元素为其父准则元素的直接证据。

所述系统的评测方法，证据融合模块对元素进行评分的步骤为：

S3.1)将评测体系的等级划分为五个，然后确立待评测系统需要通过的等级；

S3.2)根据措施层原子准则元素的内容，在每个等级内部，由评测人员给每个原子准则元素打分，所打分的分数包括这一原子准则元素的分数S，以及评测人员给出的对分数S的肯定程度p。分数的格式为(S，p)。

所述的系统的评测方法，结果分析模块得出待评测信息系统的安全等级的方法为：如果措施层的打分中出现0分，即待评测系统没有通过此等级的评测，结果显示为未通过，并且给出得分为0分的所有准则；如果得分没有0分项目，则待评测系统通过该等级的安全评测，同时进入安全评估量化分数的分析过程。

所述的系统的评测方法，得到安全评估量化分数的步骤为：

A)根据措施层每一项原子准则元素的得分S，计算算术平均值，作为其第二准则层相应父准则元素的分数SS；

B)设第二准则层隶属于同一个父准则元素的子准则元素的分数为(SS₁，SS₂，SS₃，...，SS_n)’子准则元素的权重对应为(m₁，m₂，m₃，...，m_n)，则第一准则层每个相应父准则元素的分数

其中i为子准则元素序号，n为子准则元素个数；

C)设第一准则层各准则元素的得分为(SSS₁，SSS₂，SSS₃，...，SSS_m)，各准则元素对应的权重为(v₁，v₂，v₃，...，v_m)，则安全评估量化分数

其中m为第一准则层准则元素的个数，j为准则元素的序号。

所述的系统的评测方法，得到安全评估量化分数的置信度的步骤包括：

1)设措施层隶属于同一个父准则元素的原子准则元素的肯定程度为(p₁，p₂，p₃，...，p_r)，那么第二准则层相应父准则元素的分数置信度

其中r为原子准则元素的个数，s为原子准则元素的序号；

2)设第二准则层隶属于同一个父准则元素的子准则元素的分数置信度为(pp₁，pp₂，pp₃，...，pp_n)，那么其第一准则层相应父准则元素的分数置信度

3)设第一准则层各准则元素的分数置信度为(ppp₁，ppp₂，ppp₃，...，ppp_m)，那么待评测信息系统的分数置信度

本发明的优点：本发明通过使用XML(Extensible Markup Language，可扩展标记语言)描述的《信息系统安全等级保护测评准则》，对待评测系统安全等级进行定性判断，同时，基于AHP/DS理论，建立评测安全评测模型，对待评测系统安全进行量化分析。这种使用XML/AHP/DS的评测方法克服了以往信息系统评测只能定性分析，无定量计算的问题，量化的结果便于系统管理者全面的了解系统风险。

附图说明

图1为评估方法流程图。

图2为XML描述示意图。

图3为评测体系结构图。

图4为DS证据理论层次图。

具体实施方式

本发明基于AHP/DS理论的信息系统安全评测方法，涉及《信息系统安全等级保护测评准则》，AHP模型，DS证据模型；该方法首先基于《信息系统安全等级保护测评准则》，抽取其中的原子评测准则，然后使用XML语言对准则进行标准化描述；该方法根据《信息系统安全等级保护测评准则》的评测框架，基于AHP理论，确定各个评测准则层元素的权重；该方法还根据已经建立的评测框架，设置各个准则层和措施层的关系，确定DS证据评测框架，对每一个准则的评分进行不确定性控制，最后既可以定性得出每一个待评测系统所属的安全等级，也可以定量得出在改系统所处等级的量化分数。这种使用XML/AHP/DS的评测方法克服了以往信息系统评测只能定性分析，无定量计算的问题，量化的结果便于系统管理者全面的了解系统风险。

本发明的评测方法，除了可以根据人工评测的情况对待评测的信息系统的安全等级进行定性，还可以给出待评测系统的安全状态的定量结果。

下面结合附图和具体实施例对本发明作进一步说明。

系统安全评测流程如图1所示，整个系统包括三个模块，XML准则模块，AHP层次权重模块和DS证据融合模块。

XML模块是指从《信息系统安全等级保护测评准则》中抽取评测体系结构以及评测的准则层和措施层元素。

AHP模块如图2所示，根据XML模块所抽取出来的评测体系结构，对评测体系中准则层的每个元素，根据AHP理论，确定其在评测体系中的权重。

DS融合模块如图3所示，根据XML模块所抽取出来的评测体系结构，对评测体系中准则层和措施层的每个元素，根据DS理论，确定其在评测体系中的逻辑位置。

具体实施方法如下：

S1)准则抽取

根据《信息系统安全等级保护测评准则》，提取其中的安全等级以及每一个安全等级下准则层和措施层，如图2所示，建立每条准则层和措施层的XML描述。

S2)准则层权重确定

根据《信息系统安全等级保护测评准则》，我们可以抽取出信息系统安全评测的层次结构图，如图3所示。根据AHP理论，前两层都为准则层，第三层为措施层，我们找到若干安全评测专家，基于AHP理论，准则层的每一个因素确定其权重。确定权重的步骤如下：

S2.1)请四位专家，针对要评测的信息系统，基于AHP理论，给出准则层的第一层的比较矩阵A₁，A₂，A₃，A₄，矩阵得出的判断准则如表格1所示。

表1 1-9比较尺度表

S2.2)求出四个比较矩阵的最大特征值λ_max1，λ_max2，λ_max3，λ_max4。

S2.3)根据公式

计算每个矩阵的一致性指标CI_i，n为每个矩阵的阶数。

S2.4)针对不同的n，查表2获得每个矩阵的RI(随机一致性指标)，根据公式

计算每个矩阵的CR_i(一致性比率)，如果CR_i小于0.1，则矩阵满足一致性判断，如果CR_i大于0.1，则矩阵不满足一致性判断，需要重新给出比较矩阵。

表2平均随机一致性指标RI

n	3	4	5	6	7	8	9
								RI	0.58	0.90	1.12	1.24	1.32	1.41	1.45
n	10	11	12	13	14	15
								RI	1.49	1.52	1.54	1.56	1.58	1.59

S2.5)对于满足一直性的矩阵，求出每个矩阵最大特征值对应的特征向量，并且标准化这个特征向量，为u₁，u₂，u₃，u₄。

S2.6)那么4个专家给出的最终标准化的特征向量为：

S2.7)根据u的值，我们就可以确定评测体系中准则层每个元素的权重。

如图2所示，在本方法中，我们只确定准则层第一层和准则层第二层每个元素的权重。第一层两个元素的权重为(v₁，v₂)，第二层10个元素的权重分别为(m₁，m₂，m₃，m₄，m₅)，(c₁，c₂，c₃，c₄，c₅)。

其中， $\underset{i=1}{\overset{2}{\mathrm{\Σ}}}{v}_i=1,$ $\underset{i=1}{\overset{5}{\mathrm{\Σ}}}{m}_i=1,$ $\underset{i=1}{\overset{5}{\mathrm{\Σ}}}{c}_i=1.$

S3)评测流程

根据《信息系统安全等级保护测评准则》，我们确定评测体系的每个元素在DS理论中的逻辑位置，如图4所示，措施层的每个原子准则为其父准则的直接证据，准则层第二层前5个元素的关系为&；后5个元素的关系为&；准则层第一层中2个元素的关系为&。

S3.1)评测体系中一共分五个等级，首先确立待评测系统需要通过的等级。

S3.2)根据措施层每个原子准则的内容，由评测人员给出这个等级内部措施层每个原子准则打分，分数的格式为(S，p)，其中S表示这一原子准则的分数，p为评测人员给出的对分数S的肯定程度。

S4)结果分析

在评测人员对所有的评测条目给出分数以后，进行结果分析阶段。

S4.1)定性分析

如果原则层的打分中出现0分，即待评测系统没有通过此等级的评测，结果显示为未通过，并且给出得分为0分的所有准则；

如果得分没有0分项目，则待评测系统通过该等级的安全评测，同时进入步骤4.2进行量化分析。

S4.2)定量分析

1)对于准则层2中的每一项元素，根据其下的措施层每一项元素的得分S，计算算术平均值，作为其父节点的分数。

2)对于准则层2，前五项分数为(S₁₁，S₁₂，S₁₃，S₁₄，S₁₅)，后五项分数为(S₂₁，S₂₂，S₂₃，S₂₄，S₂₅)。

3)根据步骤2.5，准则层2中，前五项权重为(m₁，m₂，m₃，m₄，m₅)，后五项权重为(c₁，c₂，c₃，c₄，c₅)。所以准则层1的第一项得分为

准则层1的第二项得分为 ${\mathrm{SS}}_2=\underset{i=1}{\overset{5}{\mathrm{\Σ}}}{c}_i*S_{2i}.$

4)最终待评测系统的得分为SSS＝v₁*SS₁+v₂*SS₂

S4.2)不确定性判断

在给予待评测系统的量化分数之后，由于评测人员给出每一个评测项时，都包含一个不确定性，根据DS理论，本方法除了给出分数，还要给出评测人员所给出的分数的置信度。

1)对于措施层每一项，评测人员在给出分数S时，也给出置信度p。

2)以图4为例，物理安全的措施层，包含四个原子评测项，是物理访问控制，仿偷窃仿破坏，仿雷击，仿火，其置信度为(p₁，p₂，p₃，p₄)，那么物理安全这一项得分的置信度 $p=\underset{i=1}{\overset{4}{\mathrm{\Π}}}(1-p_i).$

3)对于准则层2中，由第二步可以计算出每一项得分的置信度，假设物理安全，网络安全，主机安全，数据安全，应用安全的置信度为(p₁₁，p₁₂，p₁₃，p₁₄)，那么其父节点技术评测得分的置信度

4)对于准则层1中，由第三步可以计算出技术评测和管理测评的置信度为(p₂₁，p₂₂)，那么待评测系统得分的置信度

使用以上的方法，步骤4.1可以给出待评测系统的安全等级，步骤4.2可以给出待评测系统的安全评估量化分数，步骤4.3可以给出4.2中所给出的分数的置信度。

所以，本方法可以实现对信息系统进行定性/定量分析，同时给出定量结果的置信度。

Claims (10)

1.信息安全评测系统，其特征在于：包括依次相连的XML准则模块、层次权重模块、证据融合模块和结果分析模块；XML模块从安全评测准则中抽取评测体系结构以及待评测信息系统的准则层和措施层元素；层次权重模块根据评测体系结构，通过层次分析法确定准则层的每个元素在评测体系中的权重；证据融合模块根据评测体系结构，根据证据理论确定准则层和措施层的每个元素在评测体系中的逻辑位置，并对元素进行评分；结果分析模块根据元素评分得出待评测信息系统的安全等级、安全评估量化分数和分数的置信度。

2.根据权利要求1所述的系统，其特征在于，评测体系结构为：从上至下依次包括目标层、第一准则层、第二准则层和措施层。

3.根据权利要求1或2所述的系统的评测方法，其特征在于，确定准则层元素权重的方法依次包括以下步骤：

S2.1)针对待评测的信息系统，基于层次分析法，给出准则层的某一层的比较矩阵A₁，A₂，A₃，…，A_m，m为评测人员个数；

S2.2)依次求出求出比较矩阵的最大特征值λ_max1，λ_max2，λ_max3，…，λ_maxm；

S2.3)根据公式计算每个比较矩阵的一致性指标CI_i，其中n为每个比较矩阵的阶数，i取值1、2、3、…、m；

S2.4)针对不同的n获得每个比较矩阵的随机一致性指标RI_i，再根据公式

计算每个比较矩阵的一致性比率CR_i；如果CR_i小于0.1，则比较矩阵满足一致性判断，如果CR_i大于0.1，则比较矩阵不满足一致性判断，需要重新给出比较矩阵；

S2.5)对于满足一直性判断的比较矩阵，求出每个矩阵最大特征值对应的特征向量，并且标准化这个特征向量，分别设为u₁，u₂，u₃，…，u_m；

S2.6)计算得到标准化的特征向量

S2.7)根据u值确定准则层每个元素的权重。

4.根据权利要求3所述的方法，其特征在于，步骤S2.1得出比较矩阵的判断准则见下表1：

表1

5.根据权利要求3所述的方法，其特征在于，步骤S2.4通过n得到随机一致性指标RIi的过程是根据下表2进行的：

表2

  n   3   4   5   6   7   8   9   RI   0.58   0.90   1.12   1.24   1.32   1.41   1.45   n   10   11   12   13   14   15   RI   1.49   1.52   1.54   1.56   1.58   1.59

。

6.根据权利要求2所述系统的评测方法，其特征在于，确定准则层和措施层的每个元素在评测体系中的逻辑位置的方法为：准则层第一层中每个准则元素的关系为逻辑与；准则层第二层隶属于同一个父准则元素的子准则元素之间的关系为逻辑与；措施层的每个原子准则元素为其父准则元素的直接证据。

7.根据权利要求6所述系统的评测方法，其特征在于：证据融合模块对元素进行评分的步骤为：

S3.1)将评测体系的等级划分为五个，然后确立待评测系统需要通过的等级；

S3.2)根据措施层原子准则元素的内容，在每个等级内部，由评测人员给每个原子准则元素打分，所打分的分数包括这一原子准则元素的分数S，以及评测人员给出的对分数S的肯定程度p。

8.根据权利要求7所述的系统的评测方法，其特征在于，结果分析模块得出待评测信息系统的安全等级的方法为：如果措施层的打分中出现0分，即待评测系统没有通过此等级的评测，结果显示为未通过，并且给出得分为0分的所有准则；如果得分没有0分项目，则待评测系统通过该等级的安全评测，同时进入安全评估量化分数的分析过程。

9.根据权利要求8所述的系统的评测方法，其特征在于，得到安全评估量化分数的步骤为：

A)根据措施层每一项原子准则元素的得分S，计算算术平均值，作为其第二准则层相应父准则元素的分数SS；

B)设第二准则层隶属于同一个父准则元素的子准则元素的分数为(SS₁，SS₂，SS₃，...，SS_n)，子准则元素的权重对应为(m₁，m₂，m₃，...，m_n)，则第一准则层每个相应父准则元素的分数其中i为子准则元素序号，n为子准则元素个数；

C)设第一准则层各准则元素的得分为(SSS₁，SSS₂，SSS₃，...，SSS_m)，各准则元素对应的权重为(v₁，v₂，v₃，...，v_m)，则安全评估量化分数

其中m为第一准则层准则元素的个数，j为准则元素的序号。

10.根据权利要求9所述的系统的评测方法，其特征在于，得到安全评估量化分数的置信度的步骤包括：

1)设措施层隶属于同一个父准则元素的原子准则元素的肯定程度为(p₁，p₂，p₃，...，p_r)，那么第二准则层相应父准则元素的分数置信度其中r为原子准则元素的个数，s为原子准则元素的序号；

2)设第二准则层隶属于同一个父准则元素的子准则元素的分数置信度为(pp₁，pp₂，pp₃，...，pp_n)，那么其第一准则层相应父准则元素的分数置信度

3)设第一准则层各准则元素的分数置信度为(ppp₁，ppp₂，ppp₃，...，ppp_m)，那么待评测信息系统的分数置信度

Images