一种基于CORAS-Petri的安全策略层次联合建模方法技术

本发明专利技术涉及网络信息安全风险评估领域，公开了一种基于CORAS-Petri的安全策略层次联合建模方法。针对CORAS框架的薄弱环节和不足，对CORAS框架进行改进,在UML建模的基础上，引入Petri网描述网络或信息系统动态行为；在CORAS框架的风险计算方法中引入了基于层次分析法（AnalyticHierarchyProcess,AHP)和模糊综合评价的风险评估方法对风险进行计算，不仅可以减轻评估的工作量、提高评估效率，而且还可以借鉴以前的评估结论，增强评估的准确性和有效性，从而提高我们对信息系统安全风险的认识，采取有效安全防范措施，确保信息系统的安全。

【技术实现步骤摘要】

本专利技术涉及网络信息安全风险评估领域，特别，有效地对信息网络系统进行安全风险评估。
技术介绍
世界各国都十分重视信息安全问题，80年代中期，美国国防部为适应军事计算机的保密需要，在70年代的基础理论研究成果计算机保密模型(Bell & La padula模型)的基础上，制订了 〃可信计算机系统安全评价准则(TCSEC)，其后又对网络系统、数据库等方面作出了系列安全解释，形成了安全信息系统体系结构的最早原则。至今美国已研制出达到TCSEC要求的安全系统多达100多种，但这些系统仍有局限性，还没有真正达到形式化描述和证明的最高级安全系统。90年代初，英、法、德、荷四国针对TCSEC准则只考虑保密性的局限，联合提出了包括保密性、完整性、可用性概念的〃信息技术安全评价准则〃(ITSEC)，但是该准则中并没有给出综合解决以上问题的理论模型和方案。近年来六国七方(美国国家安全局和国家技术标准研究所、加、英、法、德、荷)共同提出“信息技术安全评价通用准贝丨J”(CC for ITSEC)。“信息技术安全评价通用准则”综合了国际上已有的评测准则和技术标准的精华，给出了框架和原则要求，但它本文档来自技高网...

【技术保护点】
一种基于CORAS?Petri的安全策略层次联合建模方法，其特征在于按照以下步骤建模：[1]?风险评估准备：建立项目领导小组和项目实施小组，收集评估对象系统信息，启动评估项目管理，将评估小组组织信息、评估方案和计划输入到CORAS?Petri系统，并通过CORAS?Petri的项目管理功能，建立对评估项目信息归档和管理；[2]?资产识别：分析有关文档确认相关资产并记录到CORAS?Petri工具资产识别模块的相应列表中，调用CORAS平台的CRAMM工具分析系统资产，确认并识别关键资产；[3]威胁和脆弱性识别：查看CORAS?Petri信息库中公用威胁库和脆弱性库知识，将系统分析出的信息情况输...

【技术特征摘要】
1.一种基于CORAS-Petri的安全策略层次联合建模方法，其特征在于按照以下步骤建模: [1]风险评估准备:建立项目领导小组和项目实施小组，收集评估对象系统信息，启动评估项目管理，将评估小组组织信息、评估方案和计划输入到CORAS-Petri系统，并通过CORAS-Petri的项目管理功能，建立对评估项目信息归档和管理； [2]资产识别:分析有关文档确认相关资产并记录到CORAS-Petri工具资产识别模块的相应列表中，调用CORAS平台的CRAMM工具分析系统资产，确认并识别关键资产； [3]威胁和脆弱性识别:查看CORAS-Petri信息库中公用威胁库和脆弱性库知识，将系统分析出的信息情况输入相应列表，调用漏洞扫描工具实施漏洞扫描，用CORAS-Petri问卷调查表确认相关威胁和管理弱点并记录下来； [4]UML建模:对资产识别进行资产UML建模，对威胁和脆弱性进行威胁UML建模，通过对系统分析和风险评估的比较，得到系统分析和开发的预期行为和相反功能或脆弱性； [5]将UML建模转化成风险Petri网描述:根据UML图形转换Petri网图形规则进行转...

【专利技术属性】
技术研发人员：李千目，侍球干，侯君，
申请(专利权)人：无锡南理工科技发展有限公司，
类型：发明
国别省市：