一種信息安全風險評估可視化模型*

王 喆,趙 剛,吳天水

(北京信息科技大學信息管理學院,北京100192)

一種信息安全風險評估可視化模型*

王 喆,趙 剛,吳天水

(北京信息科技大學信息管理學院,北京100192)

隨著信息安全風險因素和控制措施之間關聯性的不斷增長,傳統的風險分析方式顯現出了一定的弊端。面對這些變化,日漸成熟的可視化技術為風險分析提供了一個新的思路。提出一種信息安全風險評估可視化模型,實現對風險評估中過程數據和結果數據的可視化,并且提供多種風險評估算法,在幫助研究人員處理大量數據的同時,提高風險評估的客觀性和有效性,為信息安全風險評估可視化的研究提供了一個新方向。

風險評估 可視化模型 層次分析法 交互性

0 引 言

隨著信息技術的迅猛發展和大數據時代的到來,人們對信息系統的依賴程度不斷增加。但是,信息系統的廣泛使用也帶來了越來越嚴重的安全問題。信息安全風險評估是發現和解決信息安全問題的前提和基礎,隨著可視化技術的日趨成熟和發展,將可視化技術運用到信息安全風險評估的實際應用領域存在著廣泛的需求,同時這也是順應大形勢發展的必然趨勢。

風險評估[1]是指對可能引起風險的事件進行全方面的預測分析其發展的可能性及其所帶來的損失程度。

一般來講,一個信息系統要完全實現零風險是不可能的,如果有足夠的安全措施可以將風險控制在信息系統能夠接受的風險范圍之內,就可以認為該信息系統是相對安全的[2]。

信息安全風險評估是指從風險管理的角度,以相關信息安全管理與技術的標準和準則為基礎,運用科學的方法,對信息系統中處理、傳輸和存儲信息的保密性、完整性以及可用性等安全屬性進行科學全面地分析；對信息系統與網絡所面臨的威脅以及存在的脆弱性進行系統的評價；對安全事件發生時可能造成的危害程度進行評估,并提出有針對性地抵御風險和威脅的防護對策和整改措施[3]。實施信息安全風險評估就是要盡可能將風險控制在可以接受的水平內,為最大限度地保障信息安全提供科學的依據。

信息安全風險評估會產生很多過程數據和結果數據,隨著這些數據量的增加,僅通過一些基本圖形將結果數據可視化的傳統信息安全風險評估系統顯現出了一定的局限性。

文中提出了一種將風險評估算法模型可視化的模型,該可視化模型不僅可以幫助研究人員處理和分析風險評估過程中的大量數據,還可以將研究人員在分析和和處理過程中各個階段產生的數據以非傳統圖形的形式顯示出來,并實現了可交互式的人機操作,為研究人員分析信息安全風險評估過程中的過程和結果數據提供了很大的幫助。

除此之外,傳統的信息安全風險評估模型基本都是運用簡單的風險評估方法,這些簡單的風險評估方法在去除主觀性等方面有一定的弊端,鑒于此,文中設計的信息安全風險評估可視化系統實現了多種評估算法的組合,這樣既可以提高風險評估的效率,還能通過多種方法的比較分析問題。

1 風險評估可視化模型

1.1 可視化分析

信息安全風險評估是較為依賴數據處理的領域。信息安全風險評估的方法通常分為三種,即定性的風險評估、定量的風險評估以及定性和定量相結合的風險評估[4]。定性的和定量的風險評估分別有其自身的劣勢,在信息安全風險評估中,目前比較常用的是定性與定量相結合的方法。基于可視化的定性與定量相結合的風險評估方法,將更加有效地提高信息安全風險評估中風險因素以及控制措施關聯性分析與處理的效率、進一步提高風險評估的客觀性以及控制措施選擇的準確性。可視化分析的優勢在于可以充分調用人的智能,對復雜的大量數據進行更精確的分析,對不確定性的問題進行多方面的分析。數據經過處理后以圖形或圖像的形式展現給風險評估人員,風險評估人員通過直觀的圖形顯示,可以更加準確地進行定量分析,使得風險評估的結果更加準確、直觀、易于理解。圖1為數據可視化分析示意圖。

圖1 可視化分析示意Fig.1 Schematic visualization analysis

1.2 風險評估可視化模型的設計

Card(Card et al.,1999)等人提出了信息可視化的一般流程[5],該模型在可視化領域得到了廣泛的認可。在該模型中,首先將原始數據轉換并映射到關系型數據庫的數據表中,再將數據表向可視化結構進行轉換,從而實現了信息可視化。其中,將數據表向可視化結構進行轉換是最關鍵的步驟。參照文獻[5]中Card等人提出的信息可視化模型,文中建立了一種適用于信息安全風險評估可視化研究的概念模型,如圖2所示。

圖2 信息安全風險評估可視化模型Fig.2 Information security risk assessment visualization model

從圖2中可以看出,信息安全風險評估可視化過程大致分為4個部分:數據轉換過程,可視化映射過程,視圖變換過程和交互操作過程。具體來講,數據轉換過程首先將專家給出的原始數據進行處理,分別達到所選擇計算權重算法和計算風險等級算法的數據要求,然后根據所選算法,計算控制措施的權重,結合所得出控制措施的權重再計算資產的風險等級和信息系統的風險等級。在可視化映射和數據變化階段,選擇一種可以將控制措施、威脅和脆弱性以及風險等級之間的關聯關系表現出來的可視化視圖,并選擇一種易于理解和分析的可視化視圖將資產風險等級和信息系統的風險等級表現出來,這樣更加有利于研究人員對結果的分析和對算法的研究。最后,為研究人員提供可交互式的操作來對控制措施進行調整,從而實現對風險等級的調整,同時也可以進一步研究控制措施、威脅和脆弱性以及風險等級之間的關聯關系。

2 風險評估可視化系統

2.1 系統架構

根據上述的可視化技術及信息安全風險評估的需求,同時參照可視化模型,文中設計了一個信息安全風險評估可視化系統。系統以基本的編程語言和數據庫為基礎,構建了三層架構,即數據訪問層、邏輯業務層和綜合應用層,并結合WebService技術,完成了基本功能的實現。具體的系統架構如圖3所示。

圖3 信息安全風險評估可視化系統架構Fig.3 Information security risk assessment visualization system structure

通過信息安全風險評估可視化系統的架構圖,可以看到數據訪問和轉換是整個系統的基礎。首先,基礎數據庫存放各算法均通用的基礎數據,包括專家對系統的評價情況等。對于同一個信息系統,由于選取的算法不同,需要的專家評價的標準也可能不同,而數據表的存儲格式是一致的,基礎功能服務(Webservice)就是要解決這種數據異構的問題,它可以根據不同的調用請求返回相應的數據格式。業務數據庫存放的是算法中的過程數據和結果數據,這些數據既是可視化的基礎數據,同時還可以作為研究人員分析或比較風險評估算法的歷史數據。

圖3中的業務邏輯層是信息安全風險評估可視化系統的核心。它包含了資產可視化、風險等級可視化、計算控制措施權重的算法、計算風險等級的算法以及如何交互處理操作的全部方法。資產等級可視化和風險等級可視化的方法可以根據不同研究人員的不同風險評估算法的需求來實現,計算控制措施權重算法和計算風險等級算法也可以從系統提供的不同算法中選擇。

2.2 風險評估算法

目前有很多風險評估算法,考慮到與可視化結合的需求,信息安全風險評估可視化系統所選擇的風險評估算法要既能夠充分體現出控制措施、威脅和脆弱性、風險等級之間的關聯關系,還必須在解決實際工程問題上有一定的價值。根據以上要求,系統實現了計算控制措施權重的層次分析法,以及計算風險等級的灰統計算法和模糊綜合評判算法。

2.2.1 層次分析法(AHP算法)

AHP算法已經在信息安全風險評估領域證明了其在風險評估過程中的應用價值,而且經過多年的應用與改進,AHP算法是一個相對成熟的算法。通過AHP算法得到各個控制措施在風險評估中所占的權重,算法步驟如下:

1)通過對系統的認識確定該系統的總目標,并明確規劃決策所涉及的范圍、所要采取的措施方案和政策、實現目標的準則、策略和各種約束條件等。

2)建立一個多層次的遞階結構,按目標的不同和實現功能的差異,將系統分為幾個等級層次。

3)確定以上遞階結構中相鄰層次元素間相關程度。通過構造兩兩比較判斷矩陣及矩陣運算的數學方法,確定對于上一層次的某個元素而言,本層次中與其相關元素的重要性排序——相對權值。

4)計算各層元素對系統目標的合成權重,進行總排序,以確定遞階結構圖中最底層各個元素的總目標中的重要程度,得出權重矩陣W。

2.2.2 灰統計算法

灰統計評估是以灰數的白化權函數生成為基礎,將具體數據,按某類灰數所描述的類別進行整理歸納,從而判斷得出統計指標所屬的灰類[6]。

信息安全風險評估是一個確定整個信息系統所面臨的風險等級大小的過程。灰統計評估算法可以描述為:在灰類與風險等級之間建立一一映射的關系,將設定的每一個風險等級與一個灰類相對應,以基于風險等級的灰類和白化權函數作為基礎,對專家給出的控制措施評分數據進行灰統計量化,得到控制措施的灰統計權向量,在此基礎上對其進行單值化處理,得到評價指標的綜合評價值,從而確定評估指標所屬的風險等級[7]。

灰統計評估算法的要素包括:項目,對象,樣本,灰類和白化權函數。具體的步驟如圖4所示。

圖4 信息安全風險灰統計算法評估模型Fig.4 Information security risk gray calculating assessment model

2.2.3 模糊綜合評判法

模糊綜合評判就是對多重因素所影響的事物或現象作出總體的評價。也就是根據所給條件,給每個對象賦予一個評價指標,再根據此排序結果擇優選擇。

模糊綜合評判方法主要包括單級因素集評判和多級因素集評判[8]。其一般算法步驟為:

1)確定評價對象的因素集,將因素按照某一準則進行分組,通常是將性質相近的因素分為一組,設U中的因素分為m組,即:

2)確定評價集,其中Vi代表的是第i個評價結果,n是評價結果的總個數:

3)建立模糊關系矩陣R。R中的元素rij表示某個被評價的對象從因素ui來看對等級模糊子集vj的隸屬度。

4)得到因素評判式B:

式中,W是層次分析法所得到的權重矩陣,根據最大隸屬原則,從B向量中選擇最優的評價結果。

3 應用案例

為了驗證上述可視化模型的可行性,文中根據某高校的實際情況建立信息安全風險評估指標體系,并采用實際的評估數據進行驗證。具體指標體系如圖5所示。

圖5 信息安全風險評估指標體系Fig.5 Information security risk assessment index

3.1 系統實施

根據可視化模型和系統架構,完成了信息安全風險評估可視化系統的實施。

為了更好的體現實驗結果,選擇10位專家對實際的信息系統進行評價,根據這些評價結果,結合層次分析法得出的控制措施權重,分別用灰統計算法和模糊綜合評判法對信息系統進行風險評估,得出如圖6所示的結果。

圖6 信息安全風險評估可視化系統結果Fig.6 Information security risk assessment visualization system result

從圖6中可以看到,餅狀圖清晰的顯示了由層次分析法得出的7個控制措施(C1-C7分別表示7個不同的控制措施)的權重。雷達圖分別顯示了用灰統計算法和模糊綜合評判法所得出的資產的風險等級(其中A代表應用服務器,M代表管理信息系統,P代表個人內網辦公電腦)。而兩個類似于溫度計似的刻度尺分別表現的是兩種算法所得出的最終的信息系統的風險等級。

這種可視化方法可以讓研究人員直觀清晰的看到控制措施的權重和最后的風險等級結果。控制措施權重的顯示也方便了研究人員在交互操作時對控制措施的調整。同時能看到資產風險等級和信息系統風險等級的變化,為研究人員的分析提供了很大的幫助。通過多種算法的結果對比和可交互的操作,為決策提供有力的支持。

3.2 與傳統方法的比較

傳統的風險評估系統所用的風險評估方法相對比較簡單,而且一個風險評估系統所用的評估方法基本只有一種,而文中設計的系統可以實現多種算法的計算和結果的比較,研究人員可以選擇不同的算法組合計算控制措施的權重和風險等級。這樣既可以研究風險評估算法的有效性和準確性,也可以使評估結果更加精確。

傳統的信息安全風險評估系統對可視化技術的要求并不很高,絕大多數系統以基本的圖形將信息安全風險評估結果表現出來。而信息安全風險評估可視化系統對可視化技術的要求相對高一些,采用更多易于人們理解數據和分析數據的圖形或圖形組合,同時提供可交互的操作,將靜態可視化轉變為動態可視化,既為風險評估的實際應用提供了決策支持,同時也為風險評估的研究人員提供了一個研究的新方向。

4 結 語

隨著可視化技術的日趨發展和日漸成熟,將可視化技術應用到信息安全風險評估領域是必然的發展需求。根據文中提出的信息安全風險評估可視化模型所實現的信息安全風險評估可視化系統在可視化技術方面、可提供的風險評估算法方面以及交互操作方面都較傳統的信息安全風險評估系統有很大的不同,通過可交互操作為風險評估的實際應用提供決策的支持,同時通過多種風險評估算法為研究風險評估算法和分析比較風險評估算法提供了一個新思路。

[1] MELLADO D,FERNANDEZ-MEDINA E,PIATTINI M. A Common Criteria Based Security Requirements Engineering Process for the Development of Secure Information Systems[J].ComputerStandards&Interfaces,2007, 29(02):244-253.

[2] 蔡皖東.網絡與信息安全[M].西安:西北工業大學出版社,2004.

CAI Wan-Dong.Network and Information Security[M]. Xián:Northwest Industrial University Press,2004.

[3] GB/T 20984-2007信息安全技術信息安全風險評估規范[S].北京:中華人民共和國國家質量監督檢驗檢疫總局,中國國家標準化管理委員會,2007. Chinese GB/T 20984-2007,Information Security Technology Information Security Risk Assessment Criterion [S].Beijing:General Administration of Quality Supervision,Inspection and Quarantine of the People′s Republic of China,2007.

[4] 王鶯潔,杜偉娜,羅為.一個灰色信息安全風險評估應用模型[J].通信技術,2010,43(12):126-127.

WANG Ying-jie,DU Wei-na,LUO-Wei.A Grey Risk Assessment Model for Practical Information Security[J]. Communications Technology,2010,43(12):126-127.

[5] CARD S,MACKINLAY J,SHNEIDERMAN B.Readings in Information Visualization:Using Vision to Think [M].USA:Morgan Kaufmann,1999:256.

[6] 肖新平,宋中民,李峰.灰技術基礎及其應用[M].北京:科學出版社,2005.

XIAO Xin-ping,SONG Zhong-min,LI Feng.Base and Application of Grey technology[M].Beijing:Science-Press,2005.

[7] 趙越,黃遵國.基于灰色系統理論的信息安全風險評估方法的研究與應用[D].長沙:國防科技大學,2011.

ZHAO Yue,HUANG Zun-guo.Research and Application of Information Security Risk Assessment Method based on Grey System Theory[D].Changsha:Defence Science University,2011.

[8] 曹志梅,王凱.基于動態模糊依賴關系的圖書館用戶評價系統設計與實現[J].圖書館自動化,2005(25): 260-261.

CAO Zhi-mei,WANG-Kai.Design and Realization of Library Users Evaluation System based on Dynamic Fuzzy Dependent Relation[J].Library Automation,2005(25): 260-261.

WANG Zhe(1989-),male,graduate student,majoring in information security risk assessment and risk visualization.

趙 剛(1965—),男,博士,副教授,碩士生導師,主要研究方向為信息安全風險評估、機器學習、數據可視化；

ZHAO Gang(1965-),male,Ph.D.,associate professor, master tutor,mainly engaged in information security risk assessment,machine learning and data visualization.

吳天水(1988—),男,碩士研究生,主要研究方向為信息安全風險評估。

WU Tian-shui(1988-),male,graduate student,majoring in information security risk assessment and risk analysis.

A Visualized Model of Information Security Risk Assessment

WANG Zhe,ZHAO Gang,WU Tian-shui
(School of Information Management,Beijing Information Science&Technology University,Beijing 100192,China)

With the growth of correlation between risk factors and control measures,there exist some drawbacks in traditional risk analysis approaches.With these changes,the maturing visualization may provide a new concept of risk analysis.This paper proposes a visualized model for the information security risk assessment,thus to realize the visualization of process data and result data in risk analysis.In addition,this paper also proposes a variety of risk assessment algorithms,those could help the risk assessment staff deal with large-scale data and improve the objectivity and effectiveness of risk assessment,and provide a new direction for the study of visualization for information security risk assessment.

risk assessment；model visualization；AHP algorithm；interactivity

TP309.2

A

1002-0802(2014)03-0314-05

10.3969/j.issn.1002-0802.2014.03.016

王 喆(1989—),男,碩士研究生,主要研究方向為風險評估可視化；

國家“十二五”科技支撐計劃課題基金資助項目(No.2012BAH08B02);北京市屬高等學校高層次人才引進與培養三年行動計劃(No.CIT&TCD201304117)

Foundation Item:The state“12th five-year plan”science and technology support program supported by the fund(No.2012BAH08B02),Beijing higher school high-level talent introduction and training three-year action plan(No.CIT&TCD201304117)