一种量化评估舰载超短波通信干扰装备作战性能的方法
一种量化评估舰载超短波通信干扰
装备作战性能的方法
刘光辉
（解放军９１４０４部队，秦皇岛０６６００１
）摘要：针对舰载超短波通信干扰装备在未来海上信息作战中的作战使命和任务，构建了评估舰载超短波通信干扰装
备作战性能的基本指标体系，提出了一种运用模糊综合评估量化评估其作战能力的方法，并通过实例验证了其可行性。
关键词：通信对抗；
指标体系；模糊综合评估中图分类号：ＴＮ９７５文献标识码：Ａ
文章编号：ＣＮ３２－１４１３（２０１４）０４－００７３－
０３Ａ Ｑｕａｎｔｉｔａｔｉｖｅ Ｅｖａｌｕａｔｉｏｎ Ｍｅｔｈｏｄ ｆｏｒ Ｏｐｅｒａｔｉｏｎａｌ Ｐｅｒｆｏｒｍａｎｃｅ ｏｆ Ｓｈｉｐ
ｂｏｒｎｅＵｌｔｒａ－ｓｈｏｒｔｗａｖｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｊａｍｍｉｎｇ
ＥｑｕｉｐｍｅｎｔｓＬＩＵ Ｇｕａｎｇ
－ｈｕｉ（Ｕｎｉｔ ９１４０４ｏｆ ＰＬＡ，Ｑｉｎｈｕａｎｇ
ｄａｏ ０６６００１，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ：Ａｉｍｉｎｇ
ａｔ ｔｈｅ ｃｏｍｂａｔ ｍｉｓｓｉｏｎｓ ａｎｄ ｔａｓｋｓ ｏｆ ｓｈｉｐｂｏａｒｄ ｕｌｔｒａ－ｓｈｏｒｔｗａｖｅ ｃｏｍｍｕｎｉｃａｔｉｏｎｊａｍｍｉｎｇ ｅｑｕｉｐｍｅｎｔｓ ｉｎ ｔｈｅ ｆｕｔｕｒｅ ｉｎｆｏｒｍａｔｉｏｎ ｃａｍｐａｉｇｎ ａｔ ｓｅａ，ｔｈｉｓ ｐａｐｅｒ ｃｏｎｓｔｒｕｃｔｓ ｔｈｅ ｂａｓｉｃ ｉｎ－ｄｅｘ ｓｙｓｔｅｍ ｔｏ ｅｖａｌｕａｔｅ ｔｈｅ ｏｐｅｒａｔｉｏｎａｌ ｐｅｒｆｏｒｍａｎｃｅ ｏｆ ｓｈｉｐ
ｂｏａｒｄ ｕｌｔｒａ－ｓｈｏｒｔｗａｖｅ ｃｏｍｍｕｎｉｃａｔｉｏｎｊａｍｍｉｎｇ ｅｑｕｉｐｍｅｎｔｓ，ｂｒｉｎｇｓ ｆｏｒｗａｒｄ ａ ｍｅｔｈｏｄ ｕｓｉｎｇ ｆｕｚｚｙ ｓｙｎｔｈｅｔｉｃ ｅｖａｌｕａｔｉｏｎ ｔｏ ｅｖａｌｕａｔｅ ｉｔｓ ｏｐｅｒ－ａｔｉｏｎａｌ ｃａｐａｂｉｌｉｔｙ ｑｕａｎｔｉｔａｔｉｖｅｌｙ，ａｎｄ ｖａｌｉｄａｔｅｓ ｉｔｓ ｆｅａｓｉｂｉｌｉｔｙ
ｔｈｒｏｕｇｈ ｔｈｅ ｐｒａｃｔｉｃａｌ ｅｘａｍｐｌｅ．Ｋｅｙ
ｗｏｒｄｓ：ｃｏｍｍｕｎｉｃａｔｉｏｎ ｃｏｕｎｔｅｒｍｅａｓｕｒｅ；ｉｎｄｅｘ ｓｙｓｔｅｍ；ｆｕｚｚｙ ｓｙｎｔｈｅｔｉｃ ｅｖａｌｕａｔｉｏｎ收稿日期：２０１３ ０６ ０
６０ 引 言
在信息化战争中，制信息权成为海上交战双方争夺的关键。舰载超短波通信干扰装备是海战场信息战的主要软武器之一，其主要使命是完成对作战海区敌海空兵力指挥通信的侦察与干扰，重点是切断或干扰敌方空中预警力量与前出水面舰艇的空舰语音和数据链通信，破坏敌空中指挥平台和舰艇群作战指挥信息系统的正常工作，使敌方部队失去海空协同作战能力。评估舰载超短波通信干扰装备的综合作战性能有助于指挥员充分了解装备的作战效能，为指挥员在未来作战中合理使用软硬电子进攻武器，有效攻击敌海空兵力群的指挥信息系统提供决策依据。本文运用模糊综合法对舰载超短波通信干扰装备的实际作战性能进行综合评估，计算其作
战性能指数用于横向比较，该方法理论基础成熟，在数学上属于解析法的一种，适合对具有多层指标体
系的同类装备进行综合性能评估［
１］
。１ 舰载超短波通信干扰装备作战能力
的基本评估指标
要对舰载超短波通信干扰装备战术性能进行综合评估，首先需建立相对完善的作战使用性能评价体系，再确定其基本评估指标。根据通信对抗系统的基本组成和原理，通信对抗装备作战使用性能主要取决于其侦察分系统、测向分系统和干扰分系统的战术能力以及系统决策响应能力，每个分系统的效能依赖于其下属各层的参数。根据装备各分系统承担的不同战术任务，侦察能力可从信号截获能力和信号识别能力两方面评价，干扰能力可从对目标
２０１４年８月舰船电子对抗
Ａｕｇ
．２０１４第３７卷第４期
ＳＨＩＰＢＯＡＲＤ ＥＬＥＣＴＲＯＮＩＣ ＣＯＵＮＴＥＲＭＥＡＳＵＲＥ
Ｖｏｌ．３７Ｎｏ．４
信号干扰压制能力、多目标干扰能力和干扰决策响应速度三方面来评价，测向能力由其对具体信号的测向性能体现，系统稳定性根据其平均无故障连续工作时间来评价。超短波通信干扰装备综合战术性能是一个多指标层次的表征函数，涉及因素多，而且部分因素必须由专家系统或经验数据定性评价。在对通信对抗装备基本战术性能分析的基础上，可建
立图１所示的指标体系［
２－
３］
。图１ 舰载超短波通信干扰装备作战性能基本指标体系
２ 模糊综合法的原理和算法介绍
模糊综合评价法是一种基于模糊数学的综合评价方法，该方法根据模糊数学的隶属度理论把定性评价转化为定量评价，即用模糊数学对受到多种因素制约的事物或对象做出一个总体的评价。它具有结果清晰、系统性强的特点，能较好地解决模糊的、难以量化的问题，适合各种非确定性问题的解决。其算法主要包含以下４个步骤：
２
．１ 进行单因素评价，形成模糊评判矩阵设Ｕ＝（ｕ１，ｕ２，ｕ３，…，ｕｎ）为指标模糊集，即反映评估对象的指标集合，包括定性和定量指标。Ｖ＝（ｖ１，ｖ２，ｖ３，…，ｖｎ）
为评判模糊集，即对指标模糊集中各指标评价结果的集合。Ｒ为模糊评判矩阵，表示Ｕ到Ｖ的模糊逻辑关系。Ｒ可以表示为：
Ｒ＝
ｒ１１ｒ１２ｒ１３
…ｒ１
ｍｒ２１ｒ２２ｒ２３
…ｒ２ ｍ…
…
…
…
ｒｎ１ｒｎ２ｒｎ３…ｒ熿燀燄
燅
ｎｍ
（１
）式中：ｒｉｊ为第ｉ个指标属于第ｊ级的程度，ｒｉｊ∈［０，１］，ｒｉｊ的取值可通过实际测试结果获取。２
．２ 确定评估指标的权重模糊集设Ａ＝（ａ１，ａ２，ａ３，…，ａｎ）
为权重模糊集，与指标模糊集Ｕ一一对应，表征对应指标的重要程度，该值一般由专家系统或经验获取。２
．３ 模糊变换确定综合结果应用模糊矩阵的复合平均法可确定综合结果，即：
Ｂ＝Ａ＊Ｒ＝（ｂ１，ｂ２，ｂ３，…，ｂｎ）
（２）式中：ｂｊ为等级ｖｊ对Ｂ的隶属度（
ｊ＝１，２，…，ｍ），也就是被评判事物对等级ｖｊ的隶属度；“＊”号表示模糊矩阵的一种合成运算。
Ａ＊Ｒ的计算有３种计算模型，
分别是主因素决定型、主因素突出型和加权平均型。本文使用加权平均型进行计算，该模型的优点是在确定各因素对评判等级ｖｊ的隶属度ｂｊ时，考虑了所有的指标因素。该模型的算法为：
ｂｊ＝
∑ｎ
ｉ＝１
ａｉｒ
ｉｊ
，ｊ＝１，２，…，ｍ（３
）２．４ 计算综合性能指数
对于评判结果模糊集Ｂ，
通常运用综合加权平均法来获取综合性能指数，具体算法为：
ε＝
∑ｍ
ｊ＝１
ｂｋ
ｊε
ｊ∑ｍ
ｊ＝１
ｂ
ｋ
ｊ
（４
）式中：εｊ为等级ｖｊ对应的分值；ｋ为各隶属度ｂｊ的幂，一般取ｋ＝２，
用来突出占优势等级的重要性。３ 运用模糊综合法量化评估装备作战
性能的实例
下面以２种不同超短波通信干扰装备的试验数据为例，运用模糊综合法进行综合作战性能评估，表１列出了２种装备的指标模糊集、
权重模糊集和评判模糊集。装备权重模糊集根据专家系统意见确定。
在超短波通信干扰装备１的信号截获能力试验中，对１０组通信信号（每组１０批）进行了侦察截获能力测试，其中第２、３、５、６组截获了８个信号，剩余６组均截获了９个信号，
则模糊评判矩阵Ｒ中对应的行为ｒ１ｊ＝（０，０，０，０，０，０，０，０．４，０．６，０）；在信号识别能力测试中，对侦察到的１０组不同调制信号（每组１０批）进行调制样式分析，第３、４组正确解调信号７个，剩余８组均正确解调了所有信号，则模糊评判矩阵Ｒ中对应的行为ｒ２ｊ＝（０，０，０，０，０，０，０．２，０，０，０．８
）；干扰决策响应时间为从侦察截获到目标４
７舰船电子对抗 第３７卷
信号到发出实际干扰的时间，它主要指自动或人工进行干扰决策的时间，根据耗时的长短划分为１０个等级，１～５ｓ为１０级，６～１０ｓ为９级，依此类推，５
６ｓ以上为１级，该项进行了１０次测试，有４次６级、６次９级，则Ｒ中对应的行为ｒ５ｊ＝（
０，０，０，０，０，０．４，０，０，０．６，０）。根据各型干扰设备具体测试数据整理出的模糊评判参数详见表１。
表１ ２种超短波通信干扰装备的模糊评判参数表
装备指标模糊集Ｕ指标权重
模糊集Ａ权重评判矩阵Ｒ
评判模
糊集
通
信干扰装备１通信干扰装备２ｕ１：
信号截获能力ｕ２：
信号识别能力ｕ３：
干扰决策响应速度ｕ４：
对目标信号压制能力ｕ５：
多目标干扰能力ｕ６：
对目标信号测向能力ｕ７：
平均无故障工作时间０．１８０．１２０．１５０．０５０．２０．１７０．１３
０ ０ ０ ０ ０ ０ ０ ０．４ ０．６ ０
０ ０ ０ ０ ０ ０ ０．２ ０ ０ ０．８０ ０ ０ ０ ０ ０．４ ０ ０ ０．６ ００ ０ ０．４ ０ ０ ０ ０．６ ０ ０ ００ ０ ０ ０ ０．５ ０ ０ ０．５ ０ ００ ０ ０ ０ ０ ０ ０ ０ ０ １０ ０ ０．３ ０ ０ ０ ０ ０ ０．７０ ０ ０ ０ ０ ０ ０．２ ０．８ ０ ００ ０ ０ ０ ０ ０．２ ０ ０ ０ ０．８０ ０ ０ ０ ０ ０．３ ０．７ ０ ０ ００ ０ ０．５ ０．５ ０ ０ ０ ０ ０ ００ ０ ０ ０ ０．４ ０ ０ ０．６ ０ ００ ０ ０ ０ ０ ０ ０ ０ ０ １０ ０ ０ ０ ０．４ ０ ０ ０ ０ ０
．６ｖ１ｖ２ｖ３ｖ４ｖ５ｖ６ｖ７ｖ８ｖ９ｖ１
０备注
评判模糊集中指标ｖ１为最低评判等级，ｖ１
０为最高评判等级 采用加权平均模型求得超短波通信干扰装备１
的模糊综合评估向量为：Ｂ１＝（ｂ１，ｂ２，…，ｂ１０）
＝∑７
ｉ＝１ａｉｒｉ１，∑７
ｉ＝１ａｉｒｉ２，…，∑７
ｉ＝１
ａｉ
ｒｉ（）１０＝（０，０，０．０２，０．０３９，０．１，０．０６，０．０５４，０．１７２，
０．１９８，０．３５７
）同样可求得超短波通信干扰装备２的模糊综合评估向量为：Ｂ２＝（
０，０，０．０２５，０．０２５，０．１３２，０．０６９，０．１０５，０．２６４，０，０．３４４
）采用隶属度综合加权平均法，运用公式（４）可计算得到超短波通信干扰装备１的作战性能指数，取ｋ＝２，ε１ｊ＝
ｊ（ｊ＝１，２，……１０，下标１表示超短波通信干扰装备１
），则有：ε１＝
∑ｍ
ｊ＝１
ｂｋ
ｊε
１
ｊ∑ｍ
ｊ＝１
ｂ
ｋ
ｊ
＝
∑１０
ｊ＝１
ｂ２
ｊε
１ｊ
∑１０
ｊ＝１ｂ
２
ｊ
≈９．
１４ 同样可求得：
ε２＝
∑ｍｊ＝１
ｂｋ
ｊε
２
ｊ∑ｍ
ｊ＝１
ｂ
ｋ
ｊ
＝
∑１
０ｊ＝１
ｂ２ｊε
２ｊ
∑１
０ｊ＝１
ｂ
２ｊ
≈８．
７１ 可见ε１＞ε２，
模糊综合计算结果表明干扰装备１的综合作战性能要强于干扰装备２。可从表１数据
分析，第１、３、５、６项指标权重较大，分别达到０．１８、０．１５、０．２和０．１７，在第１、３项测试中干扰装备１的
成绩比干扰装备２要高得多，第５项测试中干扰装备１略比干扰装备２差，第６项测试中干扰装备１与干扰装备２成绩一样，显而易见干扰装备２由于在信号截获能力和干扰决策响应速度这两方面能力较弱，导致了其整体作战性能指数较低。
４ 结束语
本文从侦察能力、干扰能力、测向能力和系统稳定性角度出发构建了评估舰载超短波通信干扰装备的指标体系，同时将模糊综合评估法应用到通信对抗装备的综合战术性能评价中，通过实例计算，给出了２种超短波通信干扰装备综合性能比较结果，该方法可广泛应用于装备性能评估或部队训练成绩评定中。参考文献
［１］ 姚富强．
通信抗干扰工程与实践［Ｍ］．北京：电子工业出版社，２０１２．
［２］ 孟杰．
联合战斗防空体系作战能力模糊综合评判［Ｊ］．舰船电子工程，２０１２（１）：１４－
１５．［３］ 王烟青，
刘志华．通信对抗作战效能评估方法研究［Ｊ］．无线电工程，２００６（１０）：８－
１０．５７
第４期刘光辉：一种量化评估舰载超短波通信干扰装备作战性能的方法
风险评估实施方案
风险评估实施方案
一、风险评估概述 1、风险服务的重要性 对于构建一套良好的信息安全系统，需要对整个系统的安全风险有一个清晰的认识。只有清晰的了解了自身的弱点和风险的来源，才能够真正的解决和削弱它，并以此来构建有着对性的、合理有效的安全策略，而风险评估既是安全策略规划的第一步，同时也是实施其它安全策略的必要前提。 近几年随着几次计算机蠕虫病毒的大规模肆虐攻击，很对用户的网络都遭受了不同程度的攻击，仔细分析就会发现，几乎所有的用户都部署了防病毒软件和类似的安全防护系统，越来越多的用户发现淡村的安全产品已经不能满足现在的安全防护体系的需求了。 安全是整体的体系建设过程，根据安全的木桶原理，组织网络的整个安全最大强度取决于最短最脆弱的那根木头，因此说在安全建设的过程中，如果不仔细的找到最短的那根木头，而盲目的在外面加钉子，并不能改进整体强度。 信息安全风险评估是信息安全保障体系建立过程中的重要的评价方法和决策机制，只有经过全面的风险评估，才能让客户对自身信息安全的状况做出准确的判断。 2、风险评估服务的目的及其意义 信息安全风险是指人为或自然的威胁利用信息系统及其团里
体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。 信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。她要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组造成的影响。 信息安全风险评估是信息系统安全保障机制建立过程中的一种评价方法，其结果为信息安全更显管理提供依据。 3、风险评估服务机制 在信息系统生命周期里，有许多种情况必须对信息系统所涉及的人员、技术环境、物理环境进行风险评估： ●在设计规划或升级新的信息系统时； ●给当前的信息系统增加新应用时； ●在与其它组织（部门）进行网络互联时； ●在技术平台进行大规模更新（例如，从Linux系统移植到 Sliaris系统）时； ●在发生计算机安全事件之后，或怀疑可能会发生安全事件 时； ●关心组织现有的信息安全措施是否充分或食后具有相应的安 全效力时；
网络与信息安全风险评估管理实施细则V1.0
网络与信息安全风险评估管理实施细则 第一章编制说明 第一条为在确保（以下简称“”）网络安全前提下，高效、可控地推动网络与信息系统风险评估工作，依据《电信网和互联网安全防护管理指南》（YD/T 1728-2008）、《电信网和互联网安全风险评估实施指南》（YD/T 1730-2008）、《网络与信息安全风险评估管理办法》等国家政策、行业 标准和集团公司相关规定，特制定本实施细则。 第二条本实施细则所指的网络和信息系统安全风险评估（以下简称“风险评估”）是指对网络和信息系统等信息资产在技术、管理等方面存在的脆弱性、威 胁、发生概率、安全事件影响等安全风险情况进行分析，找出安全风险， 有针对性的提出改进措施的活动。 第三条本实施细则适用于省公司、各市分公司根据行业监管要求或者自身安全要求，针对通信网、业务网、各支撑系统以及其它服务类信息系统，如电梯 控制系统、门禁系统等发起的各类风险评估。 第四条涉及的部门及单位包括：省公司网络部，各级通信网、业务网和各支撑系统维护部门，如省网管中心、业务支撑中心、发展计划部IT中心、行政 事务中心及各市分公司等等。 1
第二章职责与分工 第五条总体原则 （一）在“谁主管、谁负责”总体原则指导下，按照统一管理、分级负责原则，省公司及各市分公司负责所辖网络和系统的安全风险评估工作。 （二）“自评估为主、第三方评估为辅”原则。省公司应着力推动自有评估队伍的建设，逐步实现自主评估。第三方评估应侧重弥补尤其是在队伍建设初期， 由于对电信网络协议漏洞、编程漏洞了解较少、渗透测试技术水平不高等 方面的不足。 （三）原则上，安全评估服务与系统建设不能采用同一厂家。 第六条发起风险评估的责任主体包括省公司网络部、各级通信网、业务网和各支撑系统维护部门，如省网管中心、业务支撑中心、发展计划部IT中心及 各市分公司等等。 第七条省公司网络部应在网络与信息安全工作领导小组及上级主管部门领导下，组织开展公司层面安全评估工作： （一）落实上级安全风险评估工作总体安排，配合上级组织的风险评估工作。 在重大活动或敏感时期，应根据上级安排或者自身需要发起对特定网络 及信息系统的专项评估工作； （二）建立和完善风险评估工作考核指标和考核办法，组织考核评比。对风险评估相关文档的发布、保存、流转、更改、作废、销毁各环节进行严格 把控，确保风险评估资料的机密性、完整性和可用性； 2
信息安全风险评估报告
1111单位:1111系统安全项目信息安全风险评估报告 我们单位名 日期
报告编写人: 日期： 批准人：日期： 版本号：第一版本日期 第二版本日期 终板
目录 1概述 (5) 1.1项目背景 (5) 1.2工作方法 (5) 1.3评估范围 (5) 1.4基本信息 (5) 2业务系统分析 (6) 2.1业务系统职能 (6) 2.2网络拓扑结构 (6) 2.3边界数据流向 (6) 3资产分析 (6) 3.1信息资产分析 (6) 3.1.1信息资产识别概述 (6) 3.1.2信息资产识别 (7) 4威胁分析 (7) 4.1威胁分析概述 (7) 4.2威胁分类 (8) 4.3威胁主体 (8) 4.4威胁识别 (9) 5脆弱性分析 (9) 5.1脆弱性分析概述 (9) 5.2技术脆弱性分析 (10) 5.2.1网络平台脆弱性分析 (10) 5.2.2操作系统脆弱性分析 (10) 5.2.3脆弱性扫描结果分析 (10) 5.2.3.1扫描资产列表 (10) 5.2.3.2高危漏洞分析 (11) 5.2.3.3系统帐户分析 (11) 5.2.3.4应用帐户分析 (11)
5.3管理脆弱性分析 (11) 5.4脆弱性识别 (13) 6风险分析 (14) 6.1风险分析概述 (14) 6.2资产风险分布 (14) 6.3资产风险列表 (14) 7系统安全加固建议 (15) 7.1管理类建议 (15) 7.2技术类建议 (15) 7.2.1安全措施 (15) 7.2.2网络平台 (16) 7.2.3操作系统 (16) 8制定及确认................................................................................................................. 错误!未定义书签。9附录A：脆弱性编号规则.. (17)
信息安全风险评估方法
从最开始接触风险评估理论到现在，已经有将近5个年头了，从最开始的膜拜捧为必杀技，然后是有一阵子怀疑甚至预弃之不用，到现在重拾之，尊之为做好安全的必备法宝，这么一段起起伏伏的心理历程。对风险的方法在一步步的加深，本文从风险评估工作最突出的问题：如何得到一致的、可比较的、可重复的风险评估结果，来加以分析讨论。 1. 风险评估的现状 风险理论也逐渐被广大信息安全专业人士所熟知，以风险驱动的方法去管理信息安全已经被大部分人所共知和接受，这几年国内等级保护的如火如荼的开展，风险评估工作是水涨船高，加之国内信息安全咨询和服务厂商和机构不遗余力的推动，风险评估实践也在不断的深入。当前的风险评估的方法主要参照两个标准，一个是国际标准《ISO13335信息安全风险管理指南》和国内标准《GB/T 20984-2007信息安全风险评估规范》，其本质上就是以信息资产为对象的定性的风险评估。基本方法是识别并评价组织/企业内部所要关注的信息系统、数据、人员、服务等保护对象，在参照当前流行的国际国内标准如ISO2700 2,COBIT，信息系统等级保护，识别出这些保护对象面临的威胁以及自身所存在的能被威胁利用的弱点，最后从可能性和影响程度这两个方面来评价信息资产的风险，综合后得到企业所面临的信息安全风险。这是大多数组织在做风险评估时使用的方法。当然也有少数的组织/企业开始在资产风险评估的基础上，在实践中摸索和开发出类似与流程风险评估等方法，补充完善了资产风险评估。 2. 风险评估的突出问题 信息安全领域的风险评估甚至风险管理的方法是借鉴了银行业成熟的风险管理方法，银行业业务风险管理的方法已经发展到相当成熟的地步，并且银行业也有非常丰富的基础数据支撑着风险分析方法的运用。但是，风险评估作为信息安全领域的新生事物，或者说舶来之物，尽管信息安全本身在国内开展也不过是10来年，风险评估作为先进思想也存在着类似“马列主义要与中国的实际国情结合走中国特色社会主义道路”的问题。风险评估的定量评估方法缺少必要的土壤，没有基础的、统计数据做支撑，定量风险评估寸步难移;而定性的风险评估其方法的本质是定性，所谓定性，则意味着估计、大概，不准确，其本质的缺陷给实践带来无穷的问题，重要问题之一就是投资回报问题，由于不能从财务的角度去评价一个/组风险所带来的可能损失，因此，也就没有办法得到投资回报率，尽管这是个问题，但是实践当中，一般大的企业都会有个基本的年度预算，IT/安全占企业年度预算的百分之多少，然后就是反正就这么些钱，按照风险从高到低或者再结合其他比如企业现有管理和技术水平，项目实施的难易度等情况综合考虑得到风险处理优先级，从高到低依次排序，钱到哪花完，风险处理今年就处理到哪。这方法到也比较具有实际价值，操作起来也容易，预算多的企业也不怕钱花不完，预算少的企业也有其对付办法，你领导就给这么些钱，哪些不能处理的风险反正我已经告诉你啦，要是万一出了事情你也怪不得我，没有出事情，等明年有钱了再接着处理。
信息安全风险评估服务
1、风险评估概述 风险评估概念 信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT 领域时，就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799 ISO17799国家标准《信息系统安全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/ 管理/ 运行等方面存在的脆弱性为诱因的 信息安全风险评估综合方法及操作模型。 风险评估相关 资产，任何对组织有价值的事物。 威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。 脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。 风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。 风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适 当的风险评估工具，包括定性和定量的方法，去顶资产风险等级和优先控制顺序。
2、风险评估的发展现状 信息安全风险评估在美国的发展 第一阶段（60-70 年代）以计算机为对象的信息保密阶段 1067年11月到1970年2月，美国国防科学委员会委托兰德公司、迈特公司（MITIE）及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究，分析。作为第一次比较大规模的风险评估。 特点： 仅重点针对了计算机系统的保密性问题提出要求，对安全的评估只限于保密性，且重点在于安全评估，对风险问题考虑不多。 第二阶段（80-90 年代）以计算机和网络为对象的信息系统安全保护阶段评估对象多为产品，很少延拓至系统，婴儿在严格意义上扔不是全面的风险评估。 第三阶段（90 年代末，21 世纪初）以信息系统为对象的信息保障阶段随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能力 明确来源于技术、管理和人员三个方面；逐步形成了风险评估、自评估、认证认可的工作思路。 我国风险评估发展 ?2002年在863计划中首次规划了《系统安全风险分析和评估方法研究》课题?2003年8月至2010年在国信办直接指导下，组成了风险评估课题组 ?2004年，国家信息中心《风险评估指南》，《风险管理指南》 ?2005年全国风险评估试点?在试点和调研基础上，由国信办会同公安部，安全部，等起草了《关于开展信息安全风险评估工作的意见》征求意见稿 ?2006 年，所有的部委和所有省市选择1-2 单位开展本地风险评估试点工作?2015 年，国家能源局根据《电力监控系统安全防护规定》（国家发展和改革委
超短波综述
超短波综述 1.超短波的概念、特点、优势 2.超短波的工作原理优势 3.超短波现有应用情况介绍 4.结合我单位的实际情况超短波能做到的业务等 5.超短波的发展前景 一、超短波的概念 1.1无线通信的划分 通常无线通信按工作频段可分为以下几个频段：极长波、超长波、特长波、甚长波、长波、中波、短波、超短波和微波。表1-1列出了无线通信各工作频段所对应的频段名称、频率范围、波段名称和波长范围。 超短波通信是指利用波长为10~1m（频率为30~300MHz）的电磁波进行的无线电通信。由于超短波的波长在1~10m之间，所以也称为米波通信。整个超短波的频带宽度是270MHz，是短波频带宽度的将近10倍。由于频带相对较宽，被广泛应用于电视、调频广播、雷达探测、导航、移动通信、军事通信等领域。 表1-1无线通信按工作频段的划分
1.2 超短波的传播方式 图1-1描绘了几种无线电波的主要传播方式，超短波通信主要依靠地波传播和空间波视距传播，。 优点：频段宽，通信容量大；视距以外的不同网络电台可以用相同频率工作，不会相互干扰；可用方向性较强的天线，有利于抗干扰；受昼夜和季节变化的影响小，通信较稳定。 缺点：通信距离较近；受地形影响较大，电波通过山岳、丘陵、丛林地带和建筑物时，会被部分吸收或阻挡，导致通信困难或中断。 (a ) 射线 (b ) (c ) 电离层(d )
图1-1 无线电波的主要传播方式 （a）直射传播; （b）地波传播; （c）天波传播; （d）散射传播 二、超短波通信的工作原理 超短波电台一般用于近距离通信，其形式主要是车载、机载、背负、手持等，一般要求其体积小、重量轻、功能多、抗干扰能力强。超短波电台经历多年的发展，其电路形式变化不大。但就具体电路而言，新技术、新器件大量地应用于超短波电台，使超短波电台的性能和功能得到明显的提高和改善，特别是扩频通信技术在超短波电台中的应用，使得电台的抗干扰能力、组网能力都有了质的变化。 传统超短波通信系统由终端站和中继站组成，终端站装有发射机、接收机、载波终端机和天线。中继站则仅有通达两个方向的发射机、接收机以及相应的天线。 （1）超短波发射机：一般采用间接调频法，即利用调相获得调频的方法。这样可用频率稳定度较高的晶体振荡器作主振器，而不必用复杂的频率控制系统。但为了减少寄生调幅和非线性失真，调制系数不能太大（一般小于0.5 rad）。因此，在这种发射机中要用多级倍频器，以获取所需的频偏，从而提高发射频率的边带功率。发射机末端使用高频率高功率放大器。在超短波低频段尚可用集中参数元件构成调谐回路，其高频端可用微带部件。 （2）超短波接收机：一般采用典型的调频式超外差接收机。主要由高频放大、本地震荡、变频（一次或二次）、中频放大、限幅、鉴频及基带放大等部件组成。超短波段外来干扰较多，需在接收机输入端加螺旋式滤波器，在中放级加输入带通滤波器以抑制干扰。中放后的调频信号，通过限幅器，可消去混杂近来的脉冲干扰或寄生调幅波，以改善信噪比。然后用鉴频器把原来的基带信号恢复出来，加以放大，再由载波终端机分路输出相应用户。 （3）载波终端机：将超短波发射机和超短波接收机的四线基带信号分路还原合并为多路二线语音信号，接通用户或接至市话交换机的设备。载波终端机只装载超短波终端站。 （4）天线：由于超短波波长较短，一般采用结构简单、增益较高、方向性较好的三单元或五单元八木天线。在接近微波段的高频段，也可采用角形面反射天线。 现代超短波通信系统的组成可归结为发信通道、接收通道、频率合成器、逻辑控制器、跳频单元、电源及其辅助电路等，如图所示。图中，发信通道部分主要由音频信号处理部分、锁相环调频单元、功放、滤波输出单元电路组成，其作用是将音频信号放大后送至锁相环对VCO调制，形成调频波，再经功率放大、
人工智能在信息安全风险评估中的应用研究
人工智能在信息安全风险评估中的应用研究 发表时间：2019-07-17T10:43:16.917Z 来源：《基层建设》2019年第12期作者：郑煦[导读] 摘要：当前随着社会科技的不断发展，人工智能技术被普遍的应用于各个领域。 中国国家博物馆北京 100006摘要：当前随着社会科技的不断发展，人工智能技术被普遍的应用于各个领域。人工智能技术是高技术高含量的计算机学科，在很多行业都有着不可或缺的地位，变得日益重要。对于人工智能在信息安全风险评估中的应用，可以更有效地降低风险发生率和保证经济利益。论文主要对人工智能在信息安全风险评估中的应用进行了研究。 关键词：人工智能；信息安全；风险评估前言 人工智能是进入21世纪以来重要的一项研究和科研课题，通过多年的研究和实践，已经取得了一些成效，且仍然是未来的主要研究课题和方向。人工智能不仅能够解放人工传统劳动力，还可以提升多个领域的工作效率和效果。在安防领域、网络领域、信息安全领域都有非常突出的优秀表现。下面针对于人工智能在安全领域的应用进行如下的分析和探讨，以推动人工智能的发展，实现我国社会的快速进步，下面进行详细的分析和探讨。 1人工智能和信息安全风险评估的概念（1）人工智能的概念。人工智能是研究、开发用于模拟、延伸和扩展人的智能的理论、方法、技术及应用系统的一门新的技术科学，是将信息学科、技术学科等多个学科集合在一起的综合性学科，可以有效地帮助我们提高工作效率。人工智能技术利用计算机系统模拟出人的大脑结构，然后自主分析，对遇到的问题进行自主的思考、规划，可以快速有效的解决复杂的问题，由于其先进化智能化的特点，已被普遍运用于各行业中。 （2）信息安全与信息安全风险评估。信息安全是为了防止信息受到威胁而采用的安全防护措施，其具有可靠性、机密性、完整性的特点，以保障内部信息的安全。信息安全风险主要指受客观和人为的影响，信息系统里较薄弱的地方受到侵害，导致信息发生泄漏，使企业的利益受到严重的影响。通过风险预测防范和防护，可以有效的降低风险发生率。信息安全风险评估主要是采用科学有效的评估方法，对信息会遇到的风险与其本身具有的缺陷，做出防范策略以及预防方法，使得经济利益最大化，有效地保证其经济效益。 2人工智能在信息安全领域的应用网络安全和人工智能这些在当今时代已经不再是新鲜词汇，这些词汇在全球各大媒体中出现或组合出现的频率越来越高，以此可以看出人工智能在网络安全方面的应用和成果也越来越显著，同时在未来的网络安全方面也变得越来越重要。而人工智能则是未来解决网络安全问题和方案的核心内容。现今时代的数据量更是剧增，人工智能技术将是未来网络安全的重要工作内容和组成部分。虽然目前人工智能仍然处在一个比较初期的阶段，但对于未来的发展趋势来看，人工智能在网络安全中的应用研究已经迫在眉睫。 虽然人工智能在生产生活中得到广泛应用，同时也取得了良好的效果，但同时在信息安全方面也带来了安全隐患。去年国务院曾经明确指出，在大力发展人工智能的同时，也应该提高对其带来的威胁和安全问题的重视，确保人工智能可以朝着安全、可靠、可控的方向发展。信息安全领域应用人工智能主要体现在网络入侵、恶意软件防御等方面。同样随着网络的发展，“网络战”也是各国军事对抗中的一项重要内容和手段，而在这其中应用人工智能技术，能够实现军事网络对抗中的需求，不仅可以准确地感知和评估网络战的态势，还能够快速地做出决策，以及诊断出网络入侵，自动对其进行跟踪。 另外将人工智能技术应用在反恶意软件领域，这些恶意软件的防护是当今很多企业的重点关注问题，其中包含了病毒软件和勒索软件等。伴随着人工智能在网络安全领域的应用，也涌现出诸多拥有代表性的企业，比如一些研究的大实验室，如MIT CSAIL等，在该领域内是表现十分突出的实验室，受到了诸多大投资的青睐。当前时期，可以归纳为人工智能的第三次浪潮，美国政府相关部门也早就规划好了人工智能的发展路线和战略，我国的人工智能在网络安全领域的应用也继续提升，我国也应该做好迎接人工智能时代的充分准备。 3人工智能在信息安全风险评估中的应用在信息安全风险评估的研究中，一般需要定性或量化的研究体系。不过，不同类型的风险评估，应依据系统中的数据指标以及信息间的相关指标，选取合适的风险评估方法。在风险评估的过程中，应通过评估人员的主观意识，然后结合智能算法选取最适合的评价方法。人工智能在信息安全风险评估中的价值很高，这是由于其可以提供更多的选择方向并降低由于人工导致的信息安全风险评价不准确的问题。除此之外，人工智能应用于信息安全风险评估也可以有效扩充系统的可拓展性，对于确保信息安全风险评估的客观性也具有一定的帮助。 3.1层次分析法 层次分析法是先对风险进行层次划分，然后再对风险进行评估，评估时主要依据评价者的主观想法。层次分析法进行风险评估时需要结合一定的评估标准与框架，如果标准相对确定那么利用层次分析法的评价效率也就较高且针对性较强，更容易简便并快捷的完成评价任务。然而，根据过去的经验以及总结上看，层次分析法无法使人们完全的信服，还达不到令人满意的效果，因为它涉及的影响因素太多，如果没有达到预定的指标数据，会出现无法有针对性评定的问题，层次分析法仅适用于数据指标有限的情况下，若指标过多，数据量过大，层次分析法就不能有效的展现其特征。 3.2模糊综合评定法 模糊综合评定是采用模糊逻辑对风险展开评估，是先对信息系统进行评价，然后再对风险进行分类组合，来完成对信息安全风险的认识。和层次分析法相比，模糊综合评判法能更加有效全面的评估风险。另外，模糊综合评定法可以利用多种评定标准来进行详细评定，其适用的环境更为广泛，无论是简单环境还是相对复杂的环境都可以取得良好的评定结果，所以模糊综合评定法在应用中更容易进行拓展。 3.3多层次模糊综合评定法 因信息系统十分复杂，影响因素较多，且因素间是带有层次性的，因此应适用分层评估的方法，称为多层次模糊综合评定法。在风险评估当中，适用多层次模糊综合评定法，可以快速的解决评估过程中遇到的困难。多层次模糊综合评定法还可以有效的评定出信息的风险级别，有利于对信息的风险进行防护，能有效的对信息风险选取合适的防护措施。 4结语
信息安全风险评估方案教程文件
信息安全风险评估方 案
第一章网络安全现状与问题 1.1目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部
信息安全风险评估方案
信息安全风险评估方案 第一章网络安全现状与问题 1、1 目前安全解决方案的盲目性现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1、2 网络安全规划上的滞后网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、 DNS、 WWW、 MAIL 及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。
信息安全风险评估方案
第一章网络安全现状与问题 目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而
短波通信概述
短波通信概述 短波通信是无线电通信的一种。波长在50米～10米之间，频率围6兆赫～30兆赫。发射电波要经电离层的反射才能到达接收设备，通信距离较远，是远程通信的主要手段。由于电离层的高度和密度容易受昼夜、季节、气候等因素的影响，所以短波通信的稳定性较差，噪声较大。目前，它广泛应用于电报、、低速传真通信和广播等方面。 尽管当前新型无线电通信系统不断涌现，短波这一古老和传统的通信方式仍然受到全世界普遍重视，不仅没有被淘太，还在快速发展。其原因主要有三：一、短波是唯一不受网络枢钮和有源中继体制约的远程通信手段，一旦发生战争或灾害，各种通信网络都可能受到破坏，卫星也可能受到攻击。无论哪种通信方式，其抗毁能力和自主通信能力与短波无可相比； 二、在山区、戈壁、海洋等地区，超短波覆盖不到，主要依靠短波； 三、与卫星通信相比，短波通信不用支付话费，运行成本低。 近年来，短波通信技术在世界围获得了长足进步。这些技术成果理应被中国这样的短波通信大国所用。用现代化的短波设备改造和充实我国各个重要领域的无线通信网，使之更加先进和有效，满足新时代各项工作的需要，无疑是非常有意义的。 一、短波通信的一般原理 1.无线电波传播 无线电广播、无线电通信、卫星、雷达等都依靠无线电波的传播来实现。无
线电波一般指波长由100,000米到0.75毫米的电磁波。根据电磁波传播的特性，又分为超长波、长波、中波、短波、超短波等若干波段，其中：超长波的波长为100,000米~10,000米，频率3~30千赫；长波的波长为10,000米~1,000米，频率30~300千赫；中波的波长为1,000米~100米，频率300千赫~1.6兆赫；短波的波长为100米~10 米，频率为1.6~30兆赫；超短波的波长为10米~1毫米，频率为30~300,000兆赫（注：波长在1米以下的超短波又称为微波）。频率与波长的关系为：频率=光速／波长。 电波在各种媒介质及其分界面上传播的过程中，由于反射、折射、散射及绕射，其传播方向经历各种变化，由于扩散和媒介质的吸收，其场强不断减弱。为使接收点有足够的场强，必须掌握电波传播的途径、特点和规律，才能达到良好的通信效果。 常见的传播方式有： (1)地波（地表面波）传播 沿与空气的分界面传播的电波叫地表面波，简称地波。其传播途径主要取决于地面的电特性。地波在传播过程中，由于能量逐渐被吸收，很快减弱(波长越短，减弱越快)，因而传播距离不远。但地波不受气候影响，可靠性高。超长波、长波、中波无线电信号，都是利用地波传播的。短波近距离通信也利用地波传播。 (2)直射波传播 直射波又称为空间波，是由发射点从空间直线传播到接收点的无线电波。直射波传播距离一般限于视距围。在传播过程中，它的强度衰减较慢，超短波和微波通信就是利用直射波传播的。 在地面进行直射波通信，其接收点的场强由两路组成：一路由发射天线直达
信息安全风险评估方法研究
信息安全风险评估方法研究 毛捍东1陈锋张维明黄金才 （国防科技大学管理科学与工程系长沙410073） handmao@https://www.360docs.net/doc/487829607.html, 摘要 在信息安全领域，对信息系统进行风险评估十分重要，其最终目的就是要指导决策者在“投资成本”和“安全级别”这两者之间找到平衡，从而为等级化的资产风险制定保护策略和缓和计划。信息安全风险评估方法经历了从手动评估到半自动化评估的阶段，现在正在由技术评估向整体评估发展，由定性评估向定性和定量评估相结合的方法发展，由基于知识的评估向基于模型的评估方法发展。该文阐述了信息安全风险评估所要解决的问题，介绍了目前在信息安全风险评估领域的主要方法以及今后的发展方向。 关键词：信息系统；风险评估；资产；威胁；脆弱性 A Survey of Information Security Risk Assessment Methods Mao Handong, Chen Feng, Zhang Weiming, Huang Jincai ( Department of Management Science and Engineering, National University of Defense Technology Changsha 410073 ) handmao@https://www.360docs.net/doc/487829607.html, Abstract: Information systems risk assessment has experienced the stage of manual-to-automatic. It’s now expanding from technology assessment to holistic, from qualitative to synthetic method of qualitative and quantitative analysis, from knowledge-based to model-based. To make the assessment comprehensive and accurate, the target of assessment must be considered as a whole system with technological, organizational and personnel factors. Specifying an information system is often a complicated task that demands a method that can provide both the details and the overview of the system. Modeling techniques give us the possibility to specify all aspects of the system while keeping a good overview at the same time. Key words: Information System; risk assessment; asset; threat; vulnerability. 一、引言 信息系统已经成为人们生活中重要组成部分，人们总是希望信息系统能够带来更多的便利。但是信息系统自身以及与信息系统相连的网络环境的特点与局限性决定了信息系统的发展和应用将遭受木马、病毒、恶意代码、物理故障、人为破坏等各方面的威胁。由于这个原因，人们在不断的探索和研究防止信息系统威胁的手段和方法，并且迅速在杀毒软件、防火墙和入侵检测技术等方面取得了迅猛的发展。然而，这没有从根本上解决信息系统的安全问题，来自计算机网络的威胁更加多样化和隐蔽化，黑客、病毒等攻击事件也越来越多。据CERT/CC的统计，2003年报告的安全事件（security incident）的数量达到137529件，远远高于2001年的52658件和2002年的82094件①。 1作者简介：毛捍东（1979—），博士研究生，研究方向为网络安全、安全风险评估。陈锋，硕士研究生。张维明，博士教授。黄金才，副教授。 ①https://www.360docs.net/doc/487829607.html,/stats/cert_stats.html
信息安全风险评估需求方案完整版
信息安全风险评估需求 方案 HEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】
信息安全风险评估需求方案 一、项目背景 多年来，天津市财政局（地方税务局）在加快信息化建设和信息系统开发应用的同时，高度重视信息安全工作，采取了很多防范措施，取得了较好的工作效果，但同新形势、新任务的要求相比，还存在有许多不相适应的地方。2009年，国家税务总局和市政府分别对我局信息系统安全情况进行了抽查，在充分肯定成绩的同时，也指出了我局在信息安全方面存在的问题。通过抽查所暴露的这些问题，给我们敲响了警钟，也对我局信息安全工作提出了新的更高的要求。 因此，天津市财政局（地方税务局）在对现有信息安全资源进行整合、整改的同时，按照国家税务总局信息安全管理规定，结合本单位实际情况确定实施信息安全评估、安全加固、应急响应、安全咨询、安全事件通告、安全巡检、安全值守、安全培训、应急演练服务等工作内容（以下简称“安全风险评估”），形成安全规划、实施、检查、处置四位一体的长效机制。 二、项目目标 通过开展信息“安全风险评估”, 完善安全管理机制；通过安全服务的引入，进一步建立健全财税系统安全管理策略，实现安全风险的可知、可控和可管理；通过建立财税系统信息安全风险评估机制，实现财税系统信息安全风险的动态跟踪分析，为财税系统信息安全整体规划提供科学的决策依据，进一步加强财税内部网络的
整体安全防护能力，全面提升我局信息系统整体安全防范能力，极大提高财税系统网络与信息安全管理水平；通过深入挖掘网络与信息系统存在的脆弱点，并以业务系统为关键要素，对现有的信息安全管理制度和技术措施的有效性进行评估，不断增强系统的网络和信息系统抵御风险安全风险能力，促进我局安全管理水平的提高，增强信息安全风险管理意识，培养信息安全专业人才，为财税系统各项业务提供安全可靠的支撑平台。 三、项目需求 （一）服务要求 1基本要求 “安全风险评估服务”全过程要求有据可依，并在产品使用有据可查，并保持项目之后的持续改进。针对用户单位网络中的IT 设备及应用软件，需要有软件产品识别所有设备及其安全配置，或以其他方式收集、保存设备明细及安全配置，进行资产收集作为建立信息安全体系的基础。安全评估的过程及结果要求通过软件或其他形式进行展示。对于风险的处理包括：协助用户制定安全加固方案、在工程建设及日常运维中提供安全值守、咨询及支持服务，通过安全产品解决已知的安全风险。在日常安全管理方面提供安全支持服务，并根据国家及行业标准制定信息安全管理体系，针对安全管理员提供安全培训，遇有可能的安全事件发生时，提供应急的安全分析、紧急响应服务。
信息安全风险评估报告
附件： 国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)
5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
术公司信息安全风险评估管理办法
**信息安全风险评估管理办法 目录 总则 为确保**网络及信息系统安全、高效、可控的运行，提高业务系统安全运行能力，全面降低信息安全风险，特制定本管理办法。 组织与责任 信息安全管理组负责信息安全风险评估的具体实施。 技术支撑部门协助信息安全管理执行组的信息安全风险评估工作，并且实施信息安全管理执行组通过风险评估后提供的解决方案与建议。 其他部门协助信息安全管理执行组开展信息安全风险评估工作。 信息安全风险评估规定
弱点分析 概述 弱点评估是安全风险评估中最主要的内容。弱点是信息资产本身存在的，它可以被威胁利用、引起资产或商业目标的损害。弱点包括物理环境、组织、过程、人员、管理、配置、硬件、软件和信息等各种资产的弱点。 弱点检查 信息安全管理组应定期对集团IT系统进行全面的信息安全弱点检查，了解各IT系统的信息安全现状。 IT系统安全检查的范围包括：主机系统、网络设备、安全设备、数据库系统、应用系统、邮件系统以及其它在用系统。 IT系统安全检查的工具与方法如下： 1. 工具检查：针对IT设备建议采用专用的脆弱性评估工具进行检查，如Nessus、 BurpSuite等工具，针对应用系统及代码安全检查，建议采用商业专用软件进行检查， 如IBM AppScan。 2. 手工检查：由信息安全专员或技术支撑部门相关人员参照相关的指导文档上机进行手 工检查。 信息安全检查工作开展前，信息安全管理组需制定安全检查计划，对于部分可用性要求高的业务系统或设备，计划中要明确执行的时间，并且该计划要通知相关部门与系统维护人员，明确相关人员的及部门的职责与注意事项。 信息安全管理组与外服公司针对信息安全检查须制定《安全检查方案》，方案中，针对工具扫描部分需明确扫描策略，同时方案必须提供规避操作风险的措施与方法。并且该方案必须获得技术支撑部领导批准。 信息安全管理组应对IT系统安全检查的结果进行汇总，并进行详细分析，提供具体的安全解决建议，如安全加固、安全技术引进等。 当发生重大的信息安全事件，信息安全管理组应在事后进行一次全面的安全检查，并通过安全检查结果对重要的安全问题进行及时解决。 常见的弱点种类分为： 1. 技术性弱点：系统，程序，设备中存在的漏洞或缺陷，比如结构设计问题或编程 漏洞；
信息安全风险评估方案.doc
第一章网络安全现状与问题 1.1目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而