信息安全风险评估技术

文档，

信息在组织

中的各种载体中传播，包括纸 质载体、人员等，因此信息安全包括更广泛的范围。同时，信

息安全管理者发现解决信息 安全的问题在于预防。

在此基础上，

许多国家和组织都建立了针

对于预防安全事件发生的风险评估指南和方法。基于这些方法，开发出了一些工具，如< /p>

CRAMM

、

RA

等，这些工具统称为风险评估工具。这些工具主要从管理的层面上，考虑包

括信息安全 技术在内的一系列与信息安全有关的问题，如安全规定、人员管理、通信保障、

业务连续 性以及法律法规等各方面的因素，

对信息安全有一个整体宏观的评价。

< br>其实，

一个

完整的风险评估所考虑的问题不只关键资产在 是某个时间状态下的威胁、

脆弱点情况，

以往

< br>一段时间内的攻击情况和安全事故都是风险分析过程中用于确定风险的客观支持。

那么对这

些攻击事件的检测和记录工具也是风险评估过程中不可缺少的工具。因此，文献

[1]

中将入

侵监测系统也作为风险评 估工具的一种。

可见，

对风险评估工具的类型划分是人们在对信 息

安全风险评估不断认识、

以及对评估过程不断完善的过程中逐 渐形成的。

本文根据在风险评

估过程中的主要任务和作用原理的 不同，

将风险评分为三类：

综合风险评估与管理工具、

信

息基础设施风险评估工具、风险评估辅助工具。

2

综合风险评估与管理工具。 这种工具根据信息所面临的威胁的不同分布进行全面考虑，

在风险评估的同时根据面临的 风险提供相应的控制措施和解决办法。

这种风险评估工具通常

建 立在一定的算法之上，

风险由关键信息资产、

资产所面临的威胁 以及威胁所利用的脆弱点

三者来确定，

如

RA

。

也有通过建立专家系统，

利用 专家经验进行风险分析，

给出专家结论，

这种评估工具需要不断 进行知识库的扩充，以适应不同的需要，如

COBRA

。

信息基础设施风险评估工具。

包括脆弱点评 估工具和渗透性测试工具。

脆弱点评估工具

也称为安全扫描、< /p>

漏洞扫描器，

评估网络或主机系统的安全性并且报告系统脆弱点。

这些工

具能够扫描网络、服务器、防火墙、路由器和应用程序发 现其中的漏洞。通常情况下，这些

工具能够发现软件和硬件中已知的安全漏洞，

以决定系统是否易受已知攻击的影响，

并且寻

找 系统脆弱点，

比如安装方面与建立的安全策略相悖等。

渗透性测 试工具是根据漏洞扫描工

具提供的漏洞，

进行模拟黑客测试，< /p>

判断是否这些漏洞能够被他人利用。

这种工具通常包括

风险评 估辅助工具。

这种工具在风险评估过程中不可缺少，

它用来收集 评估所需要的数

据和资料，

帮助完成现状分析和趋势分析。

如入侵监测系统，

帮助检测各种攻击试探和误造

作，它可以作为一个警报器，提醒管理员发生的安全状况。同时安全漏洞库、知识库都是风

< br>险评估不可或缺的支持手段。

从风险评估工具的分类来 看，

风险评估辅助工具涉及到信息安全的其他技术体系，

因此< /p>

这里只分析综合风险评估与管理工具和脆弱点评估工具，

他们构成 了风险评估工具的主体部

分。

三

.

综合风险评估与管理工具的研究与开发现状

下面从不同角度比较综合风险评估与管理工具的研究现状。

1

、

基于国 家或政府颁布的信息安全管理标准或指南建立风险评估工具。

目前世界上存在多种不同的风险分析指南和方法。如，

NIST(National

Institute

of

standards

and

Technology)

的

FIPS

65

[

3

]< /p>

；

DoJ

（

De partment

of

Justice

）

的

SRAG

和

< br>GAO(Government

Accounting Office)

[4]

的信息安全管理的实施指南。针对这些方法，由美国