專利名稱：一種計(jì)算機(jī)信息系統(tǒng)綜合風(fēng)險(xiǎn)計(jì)算方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明屬于信息安全領(lǐng)域，具體涉及一種計(jì)算機(jī)信息系統(tǒng)綜合風(fēng)險(xiǎn)計(jì) 算方法和系統(tǒng)。
背景技術(shù)：
隨著信息技術(shù)的不斷發(fā)展和普及，信息系統(tǒng)的風(fēng)險(xiǎn)評(píng)估也占有越來(lái)越 重要的地位。在實(shí)際的評(píng)估過(guò)程中，評(píng)估人員常常是采用解析的方法，將 復(fù)雜的評(píng)估對(duì)象分割成若干個(gè)相對(duì)簡(jiǎn)單的評(píng)估要素，然后由各評(píng)估要素的 評(píng)估結(jié)果，推算出評(píng)估對(duì)象的風(fēng)險(xiǎn)。由于當(dāng)前的計(jì)算機(jī)信息系統(tǒng)通常都是 一個(gè)網(wǎng)絡(luò)組成的復(fù)雜系統(tǒng)，其間各組件之間，以及組件與系統(tǒng)之間相互關(guān) 聯(lián)，存在安全依賴。由于這各關(guān)聯(lián)的不確定性，使得在評(píng)估過(guò)程中存在相 當(dāng)多的隨機(jī)性、模糊性和主觀隨意性，導(dǎo)致最后的評(píng)估結(jié)果難以令人信 服。
為了表達(dá)評(píng)估過(guò)程中的不確定性，減少要評(píng)估素合成時(shí)的主觀隨意性 等因素，發(fā)明"一種計(jì)算機(jī)信息安全模糊風(fēng)險(xiǎn)評(píng)估系統(tǒng)和方法"(申請(qǐng)?zhí)?br> 200710303984.0)曾提出了一種量化的安全評(píng)估方法，該發(fā)明在評(píng)估對(duì)象 可解析的基礎(chǔ)上，給了出一種的模糊風(fēng)險(xiǎn)的評(píng)估方法。如果一個(gè)評(píng)估對(duì)象 可以解析成若干評(píng)估要素，該發(fā)明的評(píng)估方法包含
1. 評(píng)估要素的模糊風(fēng)險(xiǎn)矩陣計(jì)算。根據(jù)用戶對(duì)評(píng)估要素的風(fēng)險(xiǎn)判 斷，計(jì)算出評(píng)估要素的模糊級(jí)別隸屬程度矩陣。
2. 根據(jù)模糊風(fēng)險(xiǎn)矩陣，和評(píng)估要素的權(quán)重向量，計(jì)算評(píng)估對(duì)象的綜 合模糊風(fēng)險(xiǎn)。
53.根據(jù)綜合模糊風(fēng)險(xiǎn)，以及用戶建立的風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)，量化評(píng)估對(duì) 象的風(fēng)險(xiǎn)。
發(fā)明"一種計(jì)算機(jī)信息安全模糊風(fēng)險(xiǎn)評(píng)估系統(tǒng)和方法"(申請(qǐng)?zhí)?br> 200710303984.0)充分考慮到評(píng)估過(guò)程中的不確定性，通過(guò)模糊技術(shù)完成 對(duì)評(píng)估要素的合成，減少了合成過(guò)程中的主觀隨意性。但是，在用模糊計(jì) 算技術(shù)進(jìn)行評(píng)估因素的合成時(shí)，評(píng)估過(guò)程的中存在"不確定"或"不知 道"的性質(zhì)卻沒(méi)能很好地體現(xiàn)出來(lái)。
本發(fā)明提出了一種基于信度理論的安全評(píng)估方法和系統(tǒng)。從證據(jù)的角 度對(duì)評(píng)估要素的結(jié)果進(jìn)行合成。從而能夠直接表達(dá)評(píng)估過(guò)程的中"不確 定"或"不知道"的能力，并在評(píng)估要素的合成過(guò)程中保留這些信息。

發(fā)明內(nèi)容
本發(fā)明針對(duì)評(píng)估過(guò)程的中存在的不確定性，從證據(jù)理論的角度給出一 種計(jì)算綜合風(fēng)險(xiǎn)的系統(tǒng)和方法，是對(duì)發(fā)明"一種計(jì)算機(jī)信息安全模糊風(fēng)險(xiǎn)
評(píng)估系統(tǒng)和方法"的一個(gè)補(bǔ)充。具體發(fā)明內(nèi)容包括
一種計(jì)算機(jī)信息系統(tǒng)綜合風(fēng)險(xiǎn)計(jì)算系統(tǒng)，根據(jù)原始要素的風(fēng)險(xiǎn)評(píng)測(cè)， 計(jì)算出整個(gè)系統(tǒng)的風(fēng)險(xiǎn)信度。包括以下功能模塊
1) 原始要素初始風(fēng)險(xiǎn)信度賦值器，形成原始要素的初始風(fēng)險(xiǎn)信度向
2) 與原始要素初始風(fēng)險(xiǎn)信度賦值器連接的綜合風(fēng)險(xiǎn)信度計(jì)算器，計(jì) 算評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)信度。
原始要素初始風(fēng)險(xiǎn)信度賦值器與綜合風(fēng)險(xiǎn)信度計(jì)算器連接，前者的輸
出作為后者的輸入。其中的原始要素初始風(fēng)險(xiǎn)信度賦值器，根據(jù)對(duì)原始評(píng)估要素的評(píng)測(cè)， 對(duì)原始評(píng)估要素相對(duì)于既定的風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)的信度賦值。它包括以下裝 置
1) 輸入裝置，輸入原始評(píng)估要素的初始風(fēng)險(xiǎn)評(píng)估值S，以及風(fēng)險(xiǎn)等級(jí)
標(biāo)準(zhǔn)向量D。
2) 與輸入裝置連接的初始風(fēng)險(xiǎn)信度計(jì)算裝置，根據(jù)原始評(píng)估要素的 初始風(fēng)險(xiǎn)評(píng)估值，計(jì)算一個(gè)原始評(píng)估要素的初始風(fēng)險(xiǎn)信度向量。
3) 與初始風(fēng)險(xiǎn)信度計(jì)算裝置連接的輸出裝置，輸出一個(gè)原始評(píng)估要 素的初始風(fēng)險(xiǎn)信度向量。
其中的綜合風(fēng)險(xiǎn)信度計(jì)算器，根據(jù)所有評(píng)估要素的風(fēng)險(xiǎn)信度矩陣和
評(píng)估要素的權(quán)重向量，計(jì)算評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)信度。它包括以下裝置
1) 風(fēng)險(xiǎn)信度矩陣輸入裝置，輸入評(píng)估要素的風(fēng)險(xiǎn)信度矩陣R。當(dāng)評(píng)估 要素是原始評(píng)估要素時(shí)，風(fēng)險(xiǎn)信度矩陣R是初始風(fēng)險(xiǎn)信度賦值器輸出的初 始風(fēng)險(xiǎn)信度向量組成的矩陣。
2) 評(píng)估要素的權(quán)重向量輸入裝置，輸入一個(gè)評(píng)估對(duì)象的所有評(píng)估要 素的權(quán)重。
3) 與風(fēng)險(xiǎn)信度矩陣輸入裝置以及評(píng)估要素的權(quán)重向量輸入裝置連接 的綜合風(fēng)險(xiǎn)計(jì)算機(jī)裝置，完成評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)信度的計(jì)算。
4) 與綜合風(fēng)險(xiǎn)計(jì)算機(jī)裝置連接的評(píng)估對(duì)象的風(fēng)險(xiǎn)信度向量輸出裝 置，輸出一個(gè)l Xn矩陣(&，U") 。 6i表示評(píng)估對(duì)象的風(fēng)險(xiǎn)屬于級(jí)別/ 的信任程度，n表示風(fēng)險(xiǎn)級(jí)別的總數(shù)。
一種計(jì)算機(jī)信息系統(tǒng)綜合風(fēng)險(xiǎn)計(jì)算方法，包括以下步驟
7建立風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)，對(duì)象解析并建立權(quán)重，原始要素初始風(fēng)險(xiǎn)信度賦 值，建立風(fēng)險(xiǎn)信度矩陣，計(jì)算綜合風(fēng)險(xiǎn)信度和量化綜合風(fēng)險(xiǎn)。 綜合風(fēng)險(xiǎn)信度的計(jì)算，包括以下步驟
設(shè)一個(gè)評(píng)估對(duì)象的所有評(píng)估要素的風(fēng)險(xiǎn)信度矩陣為R二 ，評(píng)估
要素的權(quán)重向量WKwp ... , w4)，其中"表示預(yù)設(shè)的風(fēng)險(xiǎn)級(jí)別數(shù)，A:表 示該評(píng)估對(duì)象具有的評(píng)估要素的數(shù)目。則評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)為一個(gè)l Xm 的矩陣B^(^， ...， &}， ^代表最后的綜合評(píng)估對(duì)于第/個(gè)風(fēng)險(xiǎn)級(jí)
別的信度。其中^的計(jì)算方法如下
^I-1,,,)) 『，…，力；
其中《=2^rTw^j)是歸一化因子。 原始要素初始風(fēng)險(xiǎn)信度賦值方法步驟，按下面的方法進(jìn)行初始的風(fēng)險(xiǎn)
信度指派
對(duì)于被評(píng)估系統(tǒng)進(jìn)行劃分后，最后不能再分割的各個(gè)評(píng)估要素稱之為 原始要素，這些原始要素的風(fēng)險(xiǎn)信度稱為初始風(fēng)險(xiǎn)信度?？梢允褂孟舐┒?掃描這樣的工具對(duì)原始要素進(jìn)行安全評(píng)測(cè)，將得到的原始評(píng)估要素的風(fēng)險(xiǎn)
評(píng)估值s (比如CVE分值)歸一化，變成
之間的小數(shù)。再與設(shè)定的風(fēng)險(xiǎn) 等級(jí)值比較，找出兩個(gè)相鄰的式和A，使得歸一化后的風(fēng)險(xiǎn)s值滿足
4SS^/y。然后該原始要素對(duì)于等級(jí)標(biāo)準(zhǔn)4的初始風(fēng)險(xiǎn)信度按下面的方法進(jìn)
行指派
—J(1《-《i-《■《I， "'=1 o， 其它
8一個(gè)評(píng)估對(duì)象的所有原始評(píng)估要素的初始風(fēng)險(xiǎn)信度向量組成該評(píng)估要 素的風(fēng)險(xiǎn)信度矩陣。
對(duì)信息系統(tǒng)的風(fēng)險(xiǎn)評(píng)估或判斷屬于不確定性決策問(wèn)題。當(dāng)有多個(gè)評(píng)估 因素交織在一起時(shí)，就需要對(duì)這些評(píng)估因素的評(píng)估結(jié)果進(jìn)行合成，從而不 可避免地會(huì)造成評(píng)估過(guò)程的不確定性的傳播。簡(jiǎn)單的分值累加和求算術(shù)平 均值的做法，顯然不沒(méi)滿足要求。發(fā)明"一種計(jì)算機(jī)信息安全模糊風(fēng)險(xiǎn)評(píng)
估系統(tǒng)和方法"(申請(qǐng)?zhí)?00710303984.0)雖然用模糊的技術(shù)承認(rèn)評(píng)估過(guò) 程中存在的不確定性，但在評(píng)估結(jié)果的合成時(shí)所用的方法未能使評(píng)估過(guò)程 中的不確定性很好地保留或傳播下去。證據(jù)理論中信度更貼近專家對(duì)不確 定事件的判斷，因而評(píng)估中的不確定性決策可用證據(jù)理論來(lái)表示，并用證 據(jù)理論中的法則進(jìn)行合成，使得從融合結(jié)果可以看到對(duì)不確定性事件判斷 的分布狀態(tài)。本發(fā)明從證據(jù)的角度對(duì)評(píng)估要素的結(jié)果進(jìn)行合成，能夠直接 表達(dá)評(píng)估過(guò)程的中"不確定"或"不知道"的因素，并在評(píng)估要素的合成 過(guò)程中保留這些信息，從而使評(píng)估結(jié)果更加客觀真實(shí)。


圖l為本發(fā)明的原始要素初始風(fēng)險(xiǎn)信度賦值器與綜合風(fēng)險(xiǎn)信度計(jì)算器之 間的連接關(guān)系示意圖。
圖2為是評(píng)估對(duì)象的樹(shù)狀解析結(jié)構(gòu)示意圖。 圖3是利用本發(fā)明進(jìn)行評(píng)估的工作流程圖。 圖4是利用本發(fā)明實(shí)施的原始要素初始風(fēng)險(xiǎn)信度賦值器結(jié)構(gòu)圖。 圖5是利用本發(fā)明實(shí)施的綜合風(fēng)險(xiǎn)信度計(jì)算器結(jié)構(gòu)圖。 下面結(jié)合附圖和實(shí)施例對(duì)本發(fā)明進(jìn)一步說(shuō)明。
9
具體實(shí)施例方式
實(shí)施例l.利用本發(fā)明進(jìn)行風(fēng)險(xiǎn)評(píng)估的具體方法和步驟，如圖3所示。
1.步驟301建立風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)
假設(shè)定義風(fēng)險(xiǎn)的7分位等級(jí)標(biāo)準(zhǔn)如表1所示。
表l:風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)
等級(jí)因子等級(jí)符 號(hào)描述
0山可忽略。風(fēng)險(xiǎn)事件的發(fā)生對(duì)系統(tǒng)幾乎沒(méi)有影響
0.1d2微小。有影響但很小。風(fēng)險(xiǎn)事件一旦發(fā)生，至 多造成10%的價(jià)值損失。
0.3d3稍明顯。能感覺(jué)到引起系統(tǒng)的變化，但不很嚴(yán) 重。風(fēng)險(xiǎn)事件一旦發(fā)生，至多造成30%的價(jià)值損 失。
0.5d4中等。能引起系統(tǒng)聲望的損害，或是對(duì)系統(tǒng)資 源或服務(wù)信任程度的降低，需要支付重要資源維修 費(fèi)。風(fēng)險(xiǎn)事件一旦發(fā)生，可造成50%的價(jià)值損失。
0.7d5嚴(yán)重。可引起重要系統(tǒng)的中斷，商業(yè)信任受 損。風(fēng)險(xiǎn)事件一旦發(fā)生，可能會(huì)造成70%的價(jià)值損 失。
0.9d6很嚴(yán)重?？梢鹬匾到y(tǒng)中斷，或客戶服務(wù)或 商業(yè)信任嚴(yán)重?fù)p失。風(fēng)險(xiǎn)事件一旦發(fā)生，可能會(huì)造 成90%的價(jià)值損失。
10關(guān)鍵?？梢鹣到y(tǒng)持續(xù)中斷或永久關(guān)閉?？梢?br> 1d7起代理信息或服務(wù)的重大損失。風(fēng)險(xiǎn)事件一旦發(fā)
生，價(jià)值損失接近100%。
2. 步驟302對(duì)象解析并建立權(quán)重向量
一般情況下，要評(píng)估的信息系統(tǒng)是一個(gè)由多個(gè)模塊組成的綜合系統(tǒng)。 按從簡(jiǎn)單到復(fù)雜的原則，在評(píng)估時(shí)，先對(duì)評(píng)估對(duì)象進(jìn)行分解，將其分解成 若干個(gè)相對(duì)獨(dú)立的評(píng)估要素。 一般來(lái)說(shuō)，當(dāng)把一個(gè)評(píng)估對(duì)象分析成若干個(gè) 評(píng)估要素時(shí)，各評(píng)估要素之間的重要程度應(yīng)該不會(huì)完全相同。這時(shí)就需要 確定不同的評(píng)估要素之間的權(quán)重。在各個(gè)評(píng)估要素的評(píng)估中，通過(guò)層次分 析法計(jì)算出這些評(píng)估要素的重要性權(quán)值。如果有A個(gè)評(píng)估要素，則得到一
個(gè)A:維的權(quán)重向量W二 {Wl,w2，...，w}，其中2]w';1。
/=1
最后形成整個(gè)信息系統(tǒng)的樹(shù)狀結(jié)構(gòu)，如圖2所示。
3. 步驟303建立初始風(fēng)險(xiǎn)信度矩陣
對(duì)各原始要素進(jìn)行評(píng)估，可以使用通常的漏洞評(píng)估工具進(jìn)行評(píng)測(cè)，將 得到的CVE安全分值s (02^1)，先將其歸一化，變成
之間的小數(shù)。 再與設(shè)定的風(fēng)險(xiǎn)等級(jí)值比較，找出兩個(gè)相鄰的式和"y，使得歸一化后的風(fēng) 險(xiǎn)s值滿足式3^/y。然后該要素有對(duì)于等級(jí)標(biāo)準(zhǔn)^按下面的方法進(jìn)行信度賦
-《卜卜-《|)/|《-《I， / = x，_y 0, 其它
ii假設(shè)采用7分位的風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn){《,^2，...，力} = {0， 0.1， 0.3， 0.5， 0.7， 0.9， 1}，如果一個(gè)要素的CVE分值s:7.6，則歸一化后介于^和 4之間，于是該要素的風(fēng)險(xiǎn)信度向量{0， 0， 0， 0， 0.7， 0.3， 1}。把一
個(gè)評(píng)估對(duì)象的所有評(píng)估要素的風(fēng)險(xiǎn)信度向量合起來(lái)，形成該評(píng)估對(duì)象的風(fēng) 險(xiǎn)信度矩陣。
4. 步驟304計(jì)算綜合風(fēng)險(xiǎn)信度
進(jìn)行單項(xiàng)評(píng)估并配以權(quán)重后，可以得到一個(gè)評(píng)估對(duì)象的所有評(píng)估要素 的一個(gè)風(fēng)險(xiǎn)信度矩陣R二(/^)hw，和一個(gè)權(quán)重向量W=(w; , ... , w"。
對(duì)于假定的7分位風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)來(lái)說(shuō)，則該評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)信度為一 個(gè)l X7的矩陣B二(&' Z>3， 65， 67} ， 6,代表最后的
綜合評(píng)估對(duì)于第/個(gè)風(fēng)險(xiǎn)級(jí)別的信度。其中^的計(jì)算方法如下
,，》 ，…，7)
! =1
7
其中《=i^riw,^)是歸一化因子。
重復(fù)第4步，直到把根結(jié)點(diǎn)的綜合風(fēng)險(xiǎn)信度計(jì)算出來(lái)。
5. 步驟305量化綜合風(fēng)險(xiǎn)
如果要對(duì)最終的綜合評(píng)估結(jié)果進(jìn)行量化，則計(jì)算U^BXD，作為一個(gè) 最終的綜合風(fēng)險(xiǎn)的數(shù)值結(jié)果，其中D^0， 0.1， 0.3， 0.5, 0.7, 0.9, lf是風(fēng)險(xiǎn)等 級(jí)定義(一個(gè)列向量，參見(jiàn)表l)。
在上面的定義中，通過(guò)風(fēng)險(xiǎn)信度矩陣和權(quán)重矩陣，對(duì)各評(píng)估對(duì)象間的 相關(guān)依賴與重要程度進(jìn)行合成，從而得到綜合對(duì)象的評(píng)測(cè)結(jié)果。值得注意
12的是，當(dāng)對(duì)各評(píng)估的結(jié)果進(jìn)行合成時(shí)，若歸一化因子《=0，則不能用該方 法合成，此時(shí)就考慮應(yīng)用其它方法。
實(shí)施例2.原始要素初始風(fēng)險(xiǎn)信度賦值器的實(shí)施(如圖4)。該賦值
器根據(jù)對(duì)原始評(píng)估要素的評(píng)測(cè)，對(duì)原始評(píng)估要素相對(duì)于既定的風(fēng)險(xiǎn)等級(jí)標(biāo)
準(zhǔn)的信度賦值。它包括以下裝置
1) 輸入裝置401，輸入原始評(píng)估要素的初始風(fēng)險(xiǎn)評(píng)估值s，以及風(fēng)險(xiǎn) 等級(jí)標(biāo)準(zhǔn)向量D。
2) 初始風(fēng)險(xiǎn)信度計(jì)算裝置402，根據(jù)原始評(píng)估要素的初始風(fēng)險(xiǎn)評(píng)估 值，計(jì)算一個(gè)原始評(píng)估要素的初始風(fēng)險(xiǎn)信度向量。
2)輸出裝置403，輸出一個(gè)原始評(píng)估要素的初始風(fēng)險(xiǎn)信度向量。 假設(shè)采用7分位的風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)(4"2,…，力)={0， 0.1， 0.3， 0.5， 0.7， 0.9， 1}，如果一個(gè)要素的CVE分值s二7.6，則輸入裝置401的接 收的輸入為s:7.6， D= {0， 0.1， 0.3， 0.5， 0.7， 0.9， 1}。
將輸入裝置401接收到一個(gè)要素的評(píng)估值s和風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)向量D后， 初始風(fēng)險(xiǎn)信度計(jì)算裝置402按下面的方法對(duì)該評(píng)估要素進(jìn)行初始風(fēng)險(xiǎn)信度 賦值先將s其歸一化，變成
之間的小數(shù)。再與設(shè)定的風(fēng)險(xiǎn)等級(jí)值比 較，找出兩個(gè)相鄰的式和《，使得歸一化后的風(fēng)險(xiǎn)s值滿足4^s^/y。然后該 要素有對(duì)于等級(jí)標(biāo)準(zhǔn)4按下面的方法進(jìn)行信度賦值
對(duì)于 D= {0， 0.1， 0.3， 0.5， 0.7， 0.9， 1} ， s=7.6，則歸一化后介 于^和4之間，于是該要素的風(fēng)險(xiǎn)信度矩陣為(0， 0， 0， 0， 0.7， 0.3，
1}，是一個(gè)初始風(fēng)險(xiǎn)信度向量。當(dāng)一個(gè)評(píng)估對(duì)象的所有原始評(píng)估要素的初始風(fēng)險(xiǎn)信度向量計(jì)算完畢
后，輸出裝置403輸出由這些初始風(fēng)險(xiǎn)信度向量組成的初始風(fēng)險(xiǎn)信度矩陣。
實(shí)施例3，綜合風(fēng)險(xiǎn)信度計(jì)算器的實(shí)施(如圖5)。該計(jì)算器根據(jù)所 有評(píng)估要素的風(fēng)險(xiǎn)信度矩陣和評(píng)估要素的權(quán)重向量，計(jì)算評(píng)估對(duì)象的綜合
風(fēng)險(xiǎn)信度。它包括以下裝置
1) 風(fēng)險(xiǎn)信度矩陣輸入裝置501，輸入評(píng)估要素的風(fēng)險(xiǎn)信度矩陣R。當(dāng) 評(píng)估要素是原始評(píng)估要素時(shí)，風(fēng)險(xiǎn)信度矩陣R是初始風(fēng)險(xiǎn)信度賦值器輸出 的初始風(fēng)險(xiǎn)信度矩陣。
2) 評(píng)估要素的權(quán)重向量輸入裝置502，輸入一個(gè)評(píng)估對(duì)象的所有評(píng)估 要素的權(quán)重。
3) 綜合風(fēng)險(xiǎn)計(jì)算機(jī)裝置503，完成評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)信度的計(jì)算。
4) 評(píng)估對(duì)象的風(fēng)險(xiǎn)信度向量輸出裝置504，輸出一個(gè)l Xn矩陣(&，
。 ^表示評(píng)估對(duì)象的風(fēng)險(xiǎn)屬于級(jí)別/的信任程度，n表示風(fēng)險(xiǎn)級(jí)別
的總數(shù)。
該計(jì)算器的輸入裝置501和502分別輸入一個(gè)評(píng)估對(duì)象的評(píng)估要素的風(fēng) 險(xiǎn)信度矩陣R，以及評(píng)估要素的權(quán)重向量。當(dāng)評(píng)估要素是原始評(píng)估要素 時(shí)，風(fēng)險(xiǎn)信度矩陣R是初始風(fēng)險(xiǎn)信度賦值器輸出的初始風(fēng)險(xiǎn)信度矩陣。
輸入裝置501和502完成輸入后，綜合風(fēng)險(xiǎn)計(jì)算機(jī)裝置503按下面的方 法計(jì)算一個(gè)評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)信度對(duì)于假定的7分位風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)來(lái)說(shuō)，則該評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)信度
為一個(gè)l X7的矩陣B二(&, 62， ~} ， 6,代表最
后的綜合評(píng)估對(duì)于第/個(gè)風(fēng)險(xiǎn)級(jí)別的信度。其中^的計(jì)算方法如下
—r"nd) h，…，7)
7
其中《二 i!(riw,^)是歸一化因子。 >i '.=i
評(píng)估對(duì)象的風(fēng)險(xiǎn)信度向量輸出裝置504，將綜合風(fēng)險(xiǎn)計(jì)算機(jī)裝置503 的計(jì)算結(jié)果輸出。
在計(jì)算綜合風(fēng)險(xiǎn)中，如果K二0，則計(jì)算無(wú)意義，表示不能用本發(fā)明的 方法計(jì)算綜合風(fēng)險(xiǎn)信度。
權(quán)利要求
1. 一種計(jì)算機(jī)信息系統(tǒng)綜合風(fēng)險(xiǎn)計(jì)算系統(tǒng)，其特征在于根據(jù)原始要素的風(fēng)險(xiǎn)評(píng)測(cè)，計(jì)算出整個(gè)系統(tǒng)的風(fēng)險(xiǎn)信度；包括以下功能模塊1)原始要素初始風(fēng)險(xiǎn)信度賦值器，形成原始要素的初始風(fēng)險(xiǎn)信度向量；2)與原始要素初始風(fēng)險(xiǎn)信度賦值器連接的綜合風(fēng)險(xiǎn)信度計(jì)算器，計(jì)算評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)信度；原始要素初始風(fēng)險(xiǎn)信度賦值器與綜合風(fēng)險(xiǎn)信度計(jì)算器連接，前者的輸出作為后者的輸入。
2. 如權(quán)利要求1所述的一種計(jì)算機(jī)信息系統(tǒng)綜合風(fēng)險(xiǎn)計(jì)算系統(tǒng)，其特 征在于其中的原始要素初始風(fēng)險(xiǎn)信度賦值器，根據(jù)對(duì)原始評(píng)估要素的評(píng) 測(cè)，對(duì)原始評(píng)估要素相對(duì)于既定的風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)的信度賦值；它包括以下 裝置1) 輸入裝置，輸入原始評(píng)估要素的初始風(fēng)險(xiǎn)評(píng)估值S，以及風(fēng)險(xiǎn)等級(jí) 標(biāo)準(zhǔn)向量D;2) 與輸入裝置連接的初始風(fēng)險(xiǎn)信度計(jì)算裝置，根據(jù)原始評(píng)估要素的 初始風(fēng)險(xiǎn)評(píng)估值，計(jì)算一個(gè)原始評(píng)估要素的初始風(fēng)險(xiǎn)信度向量；3) 與初始風(fēng)險(xiǎn)信度計(jì)算裝置連接的輸出裝置，輸出一個(gè)原始評(píng)估要 素的初始風(fēng)險(xiǎn)信度向量。
3. 如權(quán)利要求1所述的一種計(jì)算機(jī)信息系統(tǒng)綜合風(fēng)險(xiǎn)計(jì)算系統(tǒng)，其特 征在于其中的綜合風(fēng)險(xiǎn)信度計(jì)算器，根據(jù)所有評(píng)估要素的風(fēng)險(xiǎn)信度矩陣和 評(píng)估要素的權(quán)重向量，計(jì)算評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)信度；它包括以下裝置1) 風(fēng)險(xiǎn)信度矩陣輸入裝置，輸入評(píng)估要素的風(fēng)險(xiǎn)信度矩陣R。當(dāng)評(píng)估 要素是原始評(píng)估要素時(shí)，風(fēng)險(xiǎn)信度矩陣R就是由初始風(fēng)險(xiǎn)信度賦值器輸出的初始風(fēng)險(xiǎn)信度向量組成的矩陣；2) 評(píng)估要素的權(quán)重向量輸入裝置，輸入一個(gè)評(píng)估對(duì)象的所有評(píng)估要 素的權(quán)重；3) 與風(fēng)險(xiǎn)信度矩陣輸入裝置以及評(píng)估要素的權(quán)重向量輸入裝置連接 的綜合風(fēng)險(xiǎn)計(jì)算機(jī)裝置，完成評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)信度的計(jì)算；4) 與綜合風(fēng)險(xiǎn)計(jì)算機(jī)裝置連接的評(píng)估對(duì)象的風(fēng)險(xiǎn)信度向量輸出裝 置，輸出一個(gè)l Xn矩陣(&， ; Z)i表示評(píng)估對(duì)象的風(fēng)險(xiǎn)屬于級(jí)別/ 的信任程度，n表示風(fēng)險(xiǎn)級(jí)別的總數(shù)。
4. 一種計(jì)算機(jī)信息系統(tǒng)綜合風(fēng)險(xiǎn)計(jì)算方法，其特征在于包括以下步 驟建立風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)，對(duì)象解析并建立權(quán)重，原始要素初始風(fēng)險(xiǎn)信度賦 值，建立風(fēng)險(xiǎn)信度矩陣，計(jì)算綜合風(fēng)險(xiǎn)信度和量化綜合風(fēng)險(xiǎn)。
5. 如權(quán)利要求4所述的一種計(jì)算機(jī)信息系統(tǒng)綜合風(fēng)險(xiǎn)計(jì)算方法，其 特征在于原始要素初始風(fēng)險(xiǎn)信度賦值步驟，對(duì)于原始要素，按下面的步驟 進(jìn)行初始的風(fēng)險(xiǎn)信度指派對(duì)于被評(píng)估系統(tǒng)進(jìn)行劃分后，最后不能再分割的各個(gè)評(píng)估要素稱之為 原始要素，這些原始要素的風(fēng)險(xiǎn)信度稱為初始風(fēng)險(xiǎn)信度；可以使用象漏洞 掃描這樣的工具對(duì)原始要素進(jìn)行安全評(píng)測(cè)，將得到的原始評(píng)估要素的風(fēng)險(xiǎn) 評(píng)估值s比如CVE分值歸一化，變成
之間的小數(shù)；再與設(shè)定的風(fēng)險(xiǎn)等級(jí)值比較，找出兩個(gè)相鄰的《和《，使得歸一化后的風(fēng)險(xiǎn)S值滿足式^S^/y;然 后該原始要素對(duì)于等級(jí)標(biāo)準(zhǔn)^的初始風(fēng)險(xiǎn)信度按下面的方法進(jìn)行指派J(l《-《,I-k-《IVI《-《I, =義，j
6.如權(quán)利要求4所述的一種計(jì)算機(jī)信息系統(tǒng)綜合風(fēng)險(xiǎn)計(jì)算方法，其 特征在于所述的綜合風(fēng)險(xiǎn)信度計(jì)算步驟，按下面的步驟計(jì)算評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)的信度設(shè)一個(gè)評(píng)估對(duì)象的所有評(píng)估要素的風(fēng)險(xiǎn)信度矩陣為R二 ，評(píng)估要素的權(quán)重向量w-(w ，…，w)，其中w表示預(yù)設(shè)的風(fēng)險(xiǎn)級(jí)別數(shù)，rt示該評(píng)估對(duì)象具有的評(píng)估要素的數(shù)目，則評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)為一個(gè)l x" 的矩陣8 = {~， &， &}， ^代表最后的綜合評(píng)估對(duì)于第/個(gè)風(fēng)險(xiǎn)級(jí) 別的信度；其中6,的計(jì)算方法如下(/=i ，...，")其中《=2](11^,7)是歸一化因子。
全文摘要
一種計(jì)算機(jī)信息系統(tǒng)綜合風(fēng)險(xiǎn)計(jì)算方法和系統(tǒng)，包括以下功能模塊原始要素初始風(fēng)險(xiǎn)信度賦值器，形成原始要素的初始風(fēng)險(xiǎn)信度向量和與原始要素初始風(fēng)險(xiǎn)信度賦值器連接的綜合風(fēng)險(xiǎn)信度計(jì)算器，計(jì)算評(píng)估對(duì)象的綜合風(fēng)險(xiǎn)信度。包括以下步驟建立風(fēng)險(xiǎn)等級(jí)標(biāo)準(zhǔn)，對(duì)象解析并建立權(quán)重，原始要素初始風(fēng)險(xiǎn)信度賦值，建立風(fēng)險(xiǎn)信度矩陣，計(jì)算綜合風(fēng)險(xiǎn)信度和量化綜合風(fēng)險(xiǎn)。將評(píng)估要素作為評(píng)估對(duì)象的證據(jù)，用證據(jù)合成的方法來(lái)計(jì)算評(píng)估對(duì)象的風(fēng)險(xiǎn)，本發(fā)明從證據(jù)的角度對(duì)評(píng)估要素的結(jié)果進(jìn)行合成，能夠直接表達(dá)評(píng)估過(guò)程的中“不確定”或“不知道”的因素，并在評(píng)估要素的合成過(guò)程中保留這些信息，從而使評(píng)估結(jié)果更加客觀真實(shí)。
文檔編號(hào)G06F21/00GK101488168SQ200810056358
公開(kāi)日2009年7月22日 申請(qǐng)日期2008年1月17日 優(yōu)先權(quán)日2008年1月17日
發(fā)明者史萍萍, 杰 李, 胡振宇, 謝瑞璇, 駱擁政 申請(qǐng)人:北京啟明星辰信息技術(shù)股份有限公司