基于GB/T 20274的信息系统的安全技术保障度量与评估模型

为了实现现代信息系统的安全低风险运行,研究了信息系统的安全技术保障度量及评估模型。基于国家标准GB/T 20274定义了信息系统安全技术保障评估的安全技术保障要素集,并建议以能力成熟度等级作为信息系统的安全技术保障程度的度量。依据信息系统中组件组合后的相互关系将信息系统安全技术保障要素划分为组合独立性安全技术保障要素、组合互补性安全技术保障要素以及组合关联性安全技术保障要素,并且通过引入访问路径的定义和组件之间的依赖和关联关系,给出了信息系统安全技术保障的形式化评估模型及项目实现。     

基于《信息系统安全保障评估框架》的CAE证据推理评估模型

为了实现基于《信息系统安全保障评估框架》（SCC）的安全保障评估,该文研究了CAE证据推理模型,通过对SCC结构的梳理,建立SCC与证据推理模型和《信息系统信息安全等级保护基本要求》的映射关系,提出以CAE证据推理模型为统一描述框架、以SCC为评估规约的安全保障评估流程,以实现基于SCC标准的保障评估。     

信息系统安全保障评估的评估结构与方法

信息系统的安全保障评估已经成为信息安全领域的重要研究内容,基于《信息系统安全保障评估框架》(GB/T 20274,简称SCC)标准完成系统的安全保障评估,能实现评估工作的规范化,提升评估结论的权威性和有效性。在SCC评估框架中引入CAE证据推理模型,得到了SCC的安全保障评估的多级层次结构;提出了基于DS证据理论的信息系统安全保障评估方法,实现了安全保障评估的定量推理。基于该评估方法计算了部分算例,实现了安全保障评估工具,并将DS算法与AHP算法进行了评估推理结论的对比。     

RS UM信息系统安全保障评估模型

以GB/T20274信息系统安全保障评估框架为基础,介绍了信息系统安全保障模型及其评估指标体系,给出了评估方法的形式化描述和评估流程,提出了一种基于粗糙集（rough set,RS）和未确知测度（unascertained measure,UM）理论的信息安全评估模型。在标准处理阶段,模型采用粗糙集理论获取关键指标,简化评估指标体系;在综合评估阶段,采用未确知测度模型分析客观数据,实现了对信息系统安全保障能力的定量化综合评价。     

安全信息系统的实现

主要介绍了安全信息系统的层次结构和常见的网络平台漏洞，以及面对网络攻击如何通过一些网络安全技术保障信息系统的安全．     

信息安全等级保护的安全基线研究与实践

<正>日前,在2014中国互联网大会上,工信部部长苗圩表示,要把增强信息安全保障能力摆在更加突出的位置,推动完善网络与信息安全的法律法规、技术标准,加强基础设施和技术手段体系化建设。为提升信息安全防护能力及管理水平,需要规范不同信息系统的安全策略及安全措施,从而建立良好的技术防护标准体系。各个重要信息系统运营使用单位相继开展定级备案、建设整改、等级测评等工作,使系统信息安全防护能力及水平得到了很大提高。     

以风险评估为基础按等级划分构建劳动保障信息系统安全体系

按系统等级保护的建设思想为合理构建劳动保障信息系统安全体系提供了一个基准点,在此基础上还应结合信息系统的安全风险评估方法对信息系统的风险进行科学的评估,从技术和管理两个层面实施信息系统的风险管理,这是构建劳动保障信息系统安全体系的关键点.论文以风险评估为基础,合理使用信息系统安全技术标准,分等级地建设信息系统安全体系.     

基于证据推理及评估用例的信息系统安全评估模型

为了实现信息系统安全评估的规范准确,根据评估过程的实际需要,在《信息系统安全保障评估框架》标准基础上建立了证据推理模型,把系统的安全等级、评估规约、直接证据融合入模型之中。引入软件测试理论中测试用例的概念构造评估用例,定义了安全指标的3种类型,提出了基于这3种类型的评估规则,最后给出了模型的实现方式。从实例分析可以看出,该评估方法提高了评估工作的规范性,减少了人为因素对评估结果的影响。     

机载弹药技术保障的安全风险评估

在执行重大任务的航空机载弹药技术保障过程中,一直以来缺少通用的安全风险评估与分析方法用于指导部队进行技术保障对策及特情处置预案的制定。本文通过分析海军航空兵部队目前在机载弹药技术保障过程中安全风险评估现状,深入研究影响机载弹药技术保障安全的因素,研究制定标准的风险评估分析流程,并提出部队开展机载弹药技术保障安全风险评估工作的措施建议,进一步提高执行重大任务的机载弹药技术保障能力。     

信息系统安全性评估的研究和评估系统的设计

在研究信息系统安全性保障的基础上,深入研究了信息系统的安全性评估。阐述了信息系统安全性评估的重要性和国内外发展现状,描述了信息系统安全性评估技术。为实现针对信息系统安全性的自动评估,设计了信息系统安全性评估系统。     

一个信息安全保障体系模型的研究和设计

随着信息技术和应用的发展,信息安全正日益成为我国信息化道路上的一只拦路虎,研究一个较为全面有效的信息安全保障体系已成为当前各企事业单位亟待解决的一个重要问题.为此分析了目前安全体系的研究状况,在系统工程思想的基础上,提出了一个A2P2DR2动态综合性信息安全保障体系结构模型,并做了进一步的体系设计,供各企事业单位建立自己的信息安全保障体系时参考.     

基于无干扰理论的安全保障方法

近年来,安全保障作为操作系统安全的一个重要方面越来越受到研究者的重视。对于高安全级别操作系统,体系结构层次的结构化是必须要达到的安全保障要求,是其区别于低安全级别系统的本质特征。本文首先分析了传统信息流模型在解决安全保障问题方面的不足,然后以传统无干扰模型为基础,研究了安全保障在其中的描述和体现,提出了能够满足引用监视器假设的结构化规则。其次,提出可信管道的概念,将其应用到无干扰模型的结构化保障中,并对模型的安全性进行了证明。最后,给出了一种基于可信管道的结构化信息流控制的实现方案。     

基于量子安全的电力信息系统安全增强方法研究

电力系统是国家发展的重要基石,电力信息系统的安全必须得到保障。现有电力信息系统的安全主要基于RSA等加密算法,面临互联网算力提升和量子计算机的威胁。根据电力系统对信息安全的迫切需求,以及量子保密通信技术在信息安全领域中的无条件安全性,探索量子保密通信技术在电力信息系统中的应用。通过对作为互联网信息技术基础的标准SSL协议过程及其安全要素解析,设计了同互联网基础相容的量子安全增强方法——利用预置量子随机数(基于量子随机数发生设备、量子密钥分发网络)进行随机数源强化,在开源OPENSSL VPN平台上进行相应实验验证。实验结果表明,提出的利用量子随机数源进行量子化改造的方案能实现系统安全的根本性改善,同时不显著增加系统复杂度或系统开销,对电力信息系统安全实现增强。     

浅析网络安全技术

就信息网络安全内涵发生的根本变化，阐述了我国发展民族信息安全体系及建立有中国特色的网络安全体系的重要性与必要性，论述了网络防火墙安全技术的分类及其主要技术特征。     

CC标准框架下安全确信度的定量描述方法

结合安全操作系统的一个研究实验，对CC标准框架下的安全产品开发过程进行了概括和抽象，借助主观逻辑，针对在CC标准框架下建立的安全产品的安全确信度，提出安全确信度的一种定量描述方法。     

基于安全熵的多级访问控制模型量化分析方法

针对访问控制模型的安全性分析与证明问题,提出了基于安全熵的量化分析方法.首先,结合信息论有关知识引入安全熵的概念,提出了系统对违规访问行为响应的不确定性计算方法;然后,基于安全熵提出了不同等级信息系统的安全性定理;最后,应用该方法对经典安全模型进行了量化分析,验证了该方法的实用性,并比较了这些访问控制模型安全性以及在等级化信息系统中的适用性.结果证明该方法可适用于访问控制模型的安全性度量以及系统的访问控制能力评估.     

基于安全网关的电子政务构架模型研究与分析

依据安全网关的技术原理,文章给出了基于安全网关的电子政务构架模型;论述了模型基于角色的安全访问控制和权限管理机制.严格遵循信息保障技术框架(IATF)的防御目标,在分析模型安全性的基础上,总结了构架模型的脆弱性和不足,并提出了相应的补救措施,为政府构建电子政务系统提供了可实施的应用模型和技术框架.     

攻防对抗环境下的网络安全态势评估技术研究

为了弥补当前网络安全态势评估系统的不足,提出了一种基于攻防对抗环境的网络安全态势量化评估算法。该方法在深入分析影响安全态势各项因素的基础上,将传统的风险评估与网络防护状况、资产安全特性等环境因素相结合,提取出多个量化指标,按照攻击类别进行安全态势的量化评估。实验结果表明,该方法能够为安全管理人员提供更为客观、详实的态势信息,使之更为清晰地把握整个网络的安全状况。     

网络化系统安全态势评估的研究

针对当前网络安全评估系统不能提供有用态势信息的缺陷,利用入侵检测系统的日志库,结合服务、主机自身的重要性及网络系统的组织结构,提出了采用自下而上、先局部后整体评估策略的层次化安全态势定量评估模型及其相应计算方法.该方法在攻击频率及攻击严重性的统计分析基础之上,利用服务和主机自身的重要性因子进行加权,计算网络系统内服务、主机以及整个网络系统的风险指数,进而评估分析安全态势.通过使用HoneyNet数据进行实验测试表明,该模型能够准确评估服务、主机和网络系统3个层次的安全态势,给管理员提供直观的安全态势曲线.