本文系統(tǒng)地研究了信息系統(tǒng)風(fēng)險評估的理論及方法，根據(jù)國家相關(guān)法律法規(guī)和標(biāo)準(zhǔn)，結(jié)合高安全等級信息系統(tǒng)的特點(diǎn)，融合了十幾年的風(fēng)險評估經(jīng)驗(yàn)和案例，優(yōu)化了評估指標(biāo)體系和評估模型，改進(jìn)了評估過程中每個階段的具體操作步驟，保證了風(fēng)險評估結(jié)果的可信度和實(shí)用性，提出了切實(shí)可行的高安全等級信息系統(tǒng)安全防護(hù)和管理的合理建議，為深入高效的開展高安全等級信息系統(tǒng)風(fēng)險評估提供有力支撐，為國家相關(guān)行政部門對高安全等級信息系統(tǒng)的管理決策提供關(guān)鍵依據(jù)。

1 引言

1.1 論文背景及意義
高安全等級信息系統(tǒng)安全風(fēng)險評估主要從信息系統(tǒng)的建設(shè)、運(yùn)行、態(tài)勢等方面對高安全等級信息系統(tǒng)的安全保障狀況進(jìn)行風(fēng)險評估和判斷，以明確我國信息安全保障體系的建設(shè)水平和保障能力，為國家信息安全保障宏觀決策提供支持和依據(jù)[3]。
1.1.1 研究背景
隨著信息社會的迅猛發(fā)展，信息系統(tǒng)已經(jīng)被廣泛應(yīng)用到各個領(lǐng)域，與此同時，信息系統(tǒng)的安全保密問題成為了不可忽視的問題，尤其是高安全等級信息系統(tǒng)，由于其存儲和處理關(guān)鍵信息，一旦安全保密工作出現(xiàn)疏忽，就會造成關(guān)鍵信息泄露，嚴(yán)重危害國家經(jīng)濟(jì)及政治生態(tài)安全
（1）信息安全的形勢日益嚴(yán)峻
邁入二十一世紀(jì)的人類生活在一個嶄新的全球化信息時代，信息的觸角已延伸到國家和社會的每一個角落。人們在享受信息帶來的巨大便利的同時，也承受著空前的信息影響和控制。信息作為支撐社會經(jīng)濟(jì)生活的重要戰(zhàn)略資源，是一個國家政治、經(jīng)濟(jì)、軍事、文化各領(lǐng)域活動開展的必要條件。隨著國民經(jīng)濟(jì)和社會發(fā)展對信息和高安全等級信息系統(tǒng)的依賴程度日益增強(qiáng)，電力、電信、交通、銀行等直接關(guān)系國計(jì)民生的高安全等級信息系統(tǒng)在受到傳統(tǒng)的物理性破壞的同時又面臨新興的虛擬化的攻擊，高安全等級信息系統(tǒng)的安全問題隨之凸顯。高安全等級信息系統(tǒng)隨時面臨遭受無意破壞甚至惡意破壞，輕者導(dǎo)致少量的經(jīng)濟(jì)損失或短時間的不便，重者則威脅人民生命財(cái)產(chǎn)安全，甚至危害到國家安全。高安全等級信息系統(tǒng)的安全問題已成為關(guān)系國家安全的戰(zhàn)略性問題。
當(dāng)前，我國信息安全面臨的形勢依然十分嚴(yán)峻，維護(hù)國家信息安全的任務(wù)依然十分艱巨。國外敵對勢力對我國高安全等級信息系統(tǒng)的滲透和顛覆活動從未停止并不斷升級；境內(nèi)外反動勢力在國外敵對勢力的支持下，對高安全等級信息系統(tǒng)頻繁進(jìn)行攻擊和破壞；國內(nèi)網(wǎng)絡(luò)違法犯罪持續(xù)大幅上升，網(wǎng)絡(luò)竊密情況嚴(yán)重，計(jì)算機(jī)病毒傳播和網(wǎng)絡(luò)非法入侵十分嚴(yán)重，犯罪分子利用一些高安全等級信息系統(tǒng)的安全漏洞進(jìn)行違法犯罪，給用戶造成嚴(yán)重?fù)p失，引發(fā)諸多社會問題；高安全等級信息系統(tǒng)安全管理不善，安全措施不到位，高安全等級信息系統(tǒng)運(yùn)行事故時有發(fā)生。
高安全等級信息系統(tǒng)軟件的安全漏洞仍是各種安全威脅的主要根源，利用系統(tǒng)漏洞植入的木馬程序?qū)ξ覈ヂ?lián)網(wǎng)安全構(gòu)成了嚴(yán)重威脅。特別值得注意的是計(jì)算機(jī)黑客和其它信息安全破壞者的一些高技術(shù)行為，例如非授權(quán)訪問和種植病毒，表明入侵者具備高端的計(jì)算機(jī)文化理念，并非常熟悉信息技術(shù)的最新發(fā)展?fàn)顩r。他們甚至能夠使用諸如 Modem 追蹤軟件之類的復(fù)雜設(shè)備和工具，搜索高安全等級信息系統(tǒng)的脆弱點(diǎn)，給全球互聯(lián)網(wǎng)安全造成更大范圍和更深程度的威脅和破壞。
...........................

1.2 國內(nèi)外研究現(xiàn)狀
在信息時代，信息安全內(nèi)涵進(jìn)一步豐富，在內(nèi)容上不僅包括國家秘密，也包括商業(yè)秘密、個人隱私等其他情報(bào)信息資源。信息安全與國家的政治安全、經(jīng)濟(jì)安全、文化安全和國防安全不可分割，對國家經(jīng)濟(jì)和社會發(fā)展基礎(chǔ)性、全局性作用日益凸顯，被稱為“第一安全”。從整個世界范圍看，信息安全的第一地位已經(jīng)成為各國普遍共識。
總體上看，2017-2018 年度，國際信息安全領(lǐng)域威脅加劇，高安全等級信息系統(tǒng)頻遭受密集攻擊，網(wǎng)絡(luò)恐怖主義出現(xiàn)新形勢，斯諾登事件更是將各國政府監(jiān)聽監(jiān)控由暗轉(zhuǎn)明。為了應(yīng)對日益嚴(yán)峻的網(wǎng)絡(luò)安全形勢，各國提供巨大的人力、物力、財(cái)力開展風(fēng)險評估研究工作，本文主要研究高安全等級信息系統(tǒng)的風(fēng)險評估，所以，重點(diǎn)分析了風(fēng)險評估標(biāo)準(zhǔn)及風(fēng)險評估方法、虛擬化系統(tǒng)風(fēng)險評估以及高安全等級信息系統(tǒng)互聯(lián)互通方法三個方面的研究現(xiàn)狀。
1.2.1 風(fēng)險評估標(biāo)準(zhǔn)及方法研究現(xiàn)狀
隨著信息技術(shù)的快速發(fā)展，信息系統(tǒng)的風(fēng)險評估標(biāo)準(zhǔn)及方法也發(fā)生了巨大的變化，國內(nèi)外的相關(guān)政府及安全組織積極制定標(biāo)準(zhǔn)并研究適用于風(fēng)險評估標(biāo)準(zhǔn)的評估方法。
1.風(fēng)險評估標(biāo)準(zhǔn)
信息安全中三分靠技術(shù)和七分靠管理，風(fēng)險評估作為風(fēng)險管理的必備環(huán)節(jié)，承擔(dān)著發(fā)現(xiàn)信息系統(tǒng)風(fēng)險點(diǎn)的重要作用，國內(nèi)外專家在充分研究與分析的基礎(chǔ)上，建立了數(shù)個標(biāo)準(zhǔn)對風(fēng)險評估過程進(jìn)行約束和指導(dǎo)?？傮w而言，國外開展風(fēng)險評估的研究較早，風(fēng)險評估標(biāo)準(zhǔn)更加完善，雖然國內(nèi)風(fēng)險評估的相關(guān)研究起步較晚，但是成果豐碩，已經(jīng)形成并建立了完善的風(fēng)險評估標(biāo)準(zhǔn)體系，極大提高了國內(nèi)信息系統(tǒng)的安全性。
（1）國外風(fēng)險評估標(biāo)準(zhǔn)
從 20 世紀(jì) 80 年代開始，歐美等國家相繼投入到信息安全風(fēng)險評估的標(biāo)準(zhǔn)研究及制定工作中，陸續(xù)頒布了滿足各自國家實(shí)際需求的風(fēng)險評估標(biāo)準(zhǔn)。美國憑借強(qiáng)大的科技實(shí)力和技術(shù)儲備，率先于 1983 年制定《可信計(jì)算化系統(tǒng)評估準(zhǔn)則》（TCSEC）[21]，該標(biāo)準(zhǔn)首次規(guī)定了計(jì)算機(jī)信息系統(tǒng)風(fēng)險評估的技術(shù)細(xì)節(jié)，將計(jì)算機(jī)信息系統(tǒng)依次劃分為最低保護(hù)等級、自主保護(hù)等級、強(qiáng)制保護(hù)等級、驗(yàn)證保護(hù)等級等四個安全性等級，對風(fēng)險評估的相關(guān)研究與發(fā)展產(chǎn)生了非常重要的影響。參照美國的 TCSEC，英國、法國、德國與荷蘭共同制定《信息技術(shù)安全評估準(zhǔn)則》（ITSEC）[22]，同樣把安全評估對象劃分了不同的安全等級。在綜合了 TCSEC 和ITSEC 的優(yōu)點(diǎn)基礎(chǔ)上，美國聯(lián)合歐洲等國家制定《信息技術(shù)安全通用評估準(zhǔn)則》（CC）[23]，用標(biāo)準(zhǔn)化的方法建立安全要求的部件功能集合，對安全評價目標(biāo)提出了安全評價保證級別。 ...............................

2 基礎(chǔ)理論及方法

2.1 相關(guān)概念
本文的研究對象是高安全等級信息系統(tǒng)，所涉及的相關(guān)概念主要包括高安全等級信息系統(tǒng)、虛擬化技術(shù)、工業(yè)控制系統(tǒng)、風(fēng)險評估。
2.1.1 高安全等級信息系統(tǒng)
信息系統(tǒng)風(fēng)險評估根據(jù)信息系統(tǒng)在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等，由低到高劃分為五個安全保護(hù)等級[1]。本文的研究對象為高安全等級信息系統(tǒng)，特指第三級、第四級和和第五級信息系統(tǒng)。
高安全等級環(huán)境是指應(yīng)用于某些領(lǐng)域的，具有特殊安全需求的相對獨(dú)立的網(wǎng)絡(luò)環(huán)境，該網(wǎng)絡(luò)環(huán)境特點(diǎn)如下：
（1）網(wǎng)絡(luò)中存儲、處理和傳輸?shù)男畔⑸婕皣野踩c利益；
（2）網(wǎng)絡(luò)與國際互聯(lián)網(wǎng)、或其他公共信息網(wǎng)絡(luò)之間不存在物理上的連接；
（3）網(wǎng)絡(luò)依據(jù)嚴(yán)格的安全防護(hù)要求建設(shè)、管理與使用。因此，高安全等級網(wǎng)絡(luò)環(huán)境中處理關(guān)系國家安全利益的信息，一般處于孤立的網(wǎng)絡(luò)環(huán)境之中，網(wǎng)絡(luò)規(guī)模相對有限，多數(shù)情況是以局域網(wǎng)或城域網(wǎng)的形式存在。在高安全等級信息系統(tǒng)投入使用后，保密行政管理部門對其進(jìn)行指導(dǎo)、監(jiān)督和檢查。其中國家保密行政管理部門負(fù)責(zé)全國高安全等級信息系統(tǒng)風(fēng)險評估工作的指導(dǎo)、監(jiān)督和檢查；地方各級保密行政管理部門負(fù)責(zé)本行政區(qū)域高安全等級信息系統(tǒng)風(fēng)險評估工作的指導(dǎo)、監(jiān)督和檢查。
2.1.2 虛擬化技術(shù)
虛擬化技術(shù)作為云計(jì)算的主要支撐技術(shù)之一，實(shí)現(xiàn)了以服務(wù)的方式為用戶提供各種軟硬件資源，同時也引入一系列新的安全問題。
虛擬化（Virtualization）的概念在 20 世紀(jì) 60 年代首次出現(xiàn)，利用它可以對屬于稀有而昂貴資源的大型機(jī)硬件進(jìn)行分區(qū)。近年來，隨著云計(jì)算的全面落地實(shí)踐，虛擬化技術(shù)在商業(yè)應(yīng)用上的優(yōu)勢日益體現(xiàn)，不僅降低了 IT 成本，而且增強(qiáng)了系統(tǒng)安全性和可靠性，虛擬化的概念也逐漸深入到人們?nèi)粘５墓ぷ髋c生活中。
虛擬化技術(shù)主要分為以下幾類：硬件虛擬化（Hardware virtualization），即利用物理主機(jī)的硬件及相關(guān)虛擬化軟件，創(chuàng)建一個能夠運(yùn)行操作系統(tǒng)的虛擬機(jī)；桌面虛擬化（Desktop Virtualization），旨在將邏輯桌面與物理主機(jī)分開；其他一些針對不同對象的虛擬化技術(shù)，包括應(yīng)用軟件、內(nèi)存、存儲、數(shù)據(jù)、網(wǎng)絡(luò)等。 ............................

2.2 方法理論概述
本文在研究過程中所應(yīng)用的方法理論主要包括層次分析法、模糊綜合評判法以及博弈論。
2.2.1 層次分析法
層次分析法（AHP）是美國匹茲堡大學(xué)教授薩泰（A.L.Saaty）首次提出，用于對系統(tǒng)問題進(jìn)行分析。
（1）建立層次分析結(jié)構(gòu)
分析系統(tǒng)問題，依據(jù)一定的規(guī)則將其從頂向下拆分為不同的層次結(jié)構(gòu)，通常會拆分為三個層次，第一層為需要實(shí)現(xiàn)的目的，第二層為需要遵守的規(guī)則，第三層為采取的具體措施。
（2）構(gòu)造判斷矩陣
在層次分析結(jié)構(gòu)中，每一個元素的重要性是不一樣的，以每一個元素的權(quán)重值為基礎(chǔ)構(gòu)造判斷矩陣。
2.2.2 模糊綜合評判法
在風(fēng)險評估過程中，評估的因素會存在很多，特別容易忽略掉某些因素，從而使評估結(jié)果出現(xiàn)偏差，而模糊綜合評判法利用模糊數(shù)學(xué)及隸屬度等理論，綜合考慮所有評估因素，使評估結(jié)果更加科學(xué)全面。具體實(shí)現(xiàn)步驟如下：
（1）選取評估指標(biāo)
基于評估對象的特點(diǎn)及環(huán)境，綜合分析能夠?qū)υu估對象產(chǎn)生影響的所有因素，并將這些因素構(gòu)成一個集合。
（2）設(shè)定指標(biāo)權(quán)重
依據(jù)評估指標(biāo)對評估對象的影響程度的大小，這里的影響大小是指標(biāo)之間相對而言，為所有的評估指標(biāo)設(shè)定權(quán)重，記為 Q。
................................

3 傳統(tǒng)高安全等級信息系統(tǒng)風(fēng)險評估的挑戰(zhàn)..........................17
3.1 傳統(tǒng)的高安全等級信息系統(tǒng)風(fēng)險評估..............................18
3.1.1 風(fēng)險評估基本原理.............................18
3.1.2 存在的不足之處........................19
4 基于博弈論的高安全等級信息系統(tǒng)風(fēng)險評估模型構(gòu)建...........................30
4.1 高安全等級信息系統(tǒng)風(fēng)險評估的界定及特點(diǎn).............................31
4.1.1 高安全等級信息系統(tǒng)風(fēng)險評估的界定.............................31
4.1.2 高安全等級信息系統(tǒng)風(fēng)險評估的特點(diǎn)...............................32
5 基于虛擬化技術(shù)的高安全等級信息系統(tǒng)風(fēng)險評估模型構(gòu)建.............................50
5.1 虛擬化系統(tǒng)風(fēng)險評估相關(guān)工作............................51
5.2 虛擬化系統(tǒng)脆弱性分析...................................51

7 高安全等級信息系統(tǒng)安全保密風(fēng)險評估系統(tǒng)的設(shè)計(jì)

7.1 信息系統(tǒng)評估內(nèi)容的關(guān)聯(lián)分析
對高安全等級信息系統(tǒng)進(jìn)行評估時，對應(yīng)的評估標(biāo)準(zhǔn)定義了多種評估內(nèi)容，形成了豐富的評估指標(biāo)，如日常管理、安全審計(jì)、異常事件等，旨在從多個維度描述高安全等級信息系統(tǒng)的風(fēng)險狀況，并指導(dǎo)信息系統(tǒng)建設(shè)人員對高安全等級信息系統(tǒng)進(jìn)行有針對性地修正。然而，不同指標(biāo)可能對應(yīng)了相似甚至相同的評估內(nèi)容，從而出現(xiàn)針對某些評估內(nèi)容的重復(fù)測量的問題。
因而，本問題將基于歷史評估數(shù)據(jù)，從整體上了解各個評估指標(biāo)的關(guān)聯(lián)關(guān)系，定位那些強(qiáng)關(guān)聯(lián)的評估項(xiàng)，一方面輔助隊(duì)評估項(xiàng)包含的評估小項(xiàng)進(jìn)行修正（刪除、調(diào)整等），避免重復(fù)測量，另一方面將輔助生成可靠的評估指標(biāo)體系，指導(dǎo)評估人員工作。
7.1.1 模型構(gòu)
為了挖掘評估內(nèi)容的之間的關(guān)聯(lián)特性，本文設(shè)計(jì)了關(guān)聯(lián)分析模型。該模型旨在為所有評估內(nèi)容，發(fā)現(xiàn)與之相關(guān)的其他評估內(nèi)容。此外，模型構(gòu)建時，仍然考慮了模型運(yùn)行時的時間復(fù)雜度。本節(jié)首先描述了關(guān)聯(lián)分析時的部分名詞定義，隨后描述了具體的建模方法。
2.建模方法
（1）將每個由評估小項(xiàng)構(gòu)成的評估記錄轉(zhuǎn)化為一個向量，并且過濾掉那些評估小項(xiàng)值為滿足的指標(biāo)。向量中的每個元素 ele 由評估小項(xiàng)的唯一標(biāo)識 sign 和評估結(jié)果 result 構(gòu)成，即 ele ＝｛sign，result｝。其中 result 可以為滿足（由 2 表示）、基本滿足（由 1 表示）、不滿足（由 0 表示）。此外，通過過濾一方面能夠降低計(jì)算的復(fù)雜度，另一方面減少滿足的評估指標(biāo)對于評估小項(xiàng)頻繁項(xiàng)挖掘的影響。
（2）利用關(guān)聯(lián)分析方法，從由多個向量組成序列中，挖掘由多個元素組成的具有強(qiáng)關(guān)聯(lián)的頻繁項(xiàng) xi={ele1,ele2,…,elen}。由于元素在序列中出現(xiàn)的頻次 c(ele)，直接影響了頻繁項(xiàng)的提取結(jié)果。為了保證算法的運(yùn)行時間，以及發(fā)現(xiàn)出現(xiàn)頻次不同的元素 elei的頻繁項(xiàng)，對于那些在序列中出現(xiàn)頻率不同的元素，在挖掘其頻繁項(xiàng)時做了如下處理：
.......................

8 總結(jié)與展望

8.1 研究總結(jié)
風(fēng)險評估是指對威脅、漏洞、資產(chǎn)及由此帶來的風(fēng)險大小進(jìn)行評估，通過對高安全等級信息系統(tǒng)進(jìn)行風(fēng)險評估，能夠及時發(fā)現(xiàn)高安全等級信息系統(tǒng)中存在的風(fēng)險及安全隱患，安全管理人員依據(jù)風(fēng)險等級采取必要的安全防護(hù)措施，確保高安全等級信息系統(tǒng)的安全、穩(wěn)定、可靠運(yùn)行。
本文系統(tǒng)地研究了信息系統(tǒng)風(fēng)險評估的理論及方法，根據(jù)國家相關(guān)法律法規(guī)和標(biāo)準(zhǔn)，結(jié)合高安全等級信息系統(tǒng)的特點(diǎn)，融合了十幾年的風(fēng)險評估經(jīng)驗(yàn)和案例，優(yōu)化了評估指標(biāo)體系和評估模型，改進(jìn)了評估過程中每個階段的具體操作步驟，保證了風(fēng)險評估結(jié)果的可信度和實(shí)用性，提出了切實(shí)可行的高安全等級信息系統(tǒng)安全防護(hù)和管理的合理建議，為深入高效的開展高安全等級信息系統(tǒng)風(fēng)險評估提供有力支撐，為國家相關(guān)行政部門對高安全等級信息系統(tǒng)的管理決策提供關(guān)鍵依據(jù)。
8.1.1 風(fēng)險評估模型總結(jié)分析本文分析了三種不同的風(fēng)險評估應(yīng)用場景，分別是傳統(tǒng)的高安全等級信息系統(tǒng)、基于虛擬化技術(shù)的高安全等級信息系統(tǒng)和面向互聯(lián)互通的高安全等級信息系統(tǒng)，針對不同的應(yīng)用場景，本文分別設(shè)計(jì)了不同的風(fēng)險評估模型和方法。
（1）傳統(tǒng)的高安全等級信息系統(tǒng)
在傳統(tǒng)的高安全等級信息系統(tǒng)中，網(wǎng)絡(luò)環(huán)境由服務(wù)器、計(jì)算機(jī)、交換機(jī)、服務(wù)器等基礎(chǔ)網(wǎng)絡(luò)設(shè)備組成，尚未引入虛擬化技術(shù)或互聯(lián)互通功能，網(wǎng)絡(luò)結(jié)構(gòu)比較單一。針對傳統(tǒng)的高安全等級信息系統(tǒng)，在實(shí)際評估過程中，評估指標(biāo)的重要性差異是客觀存在的，并受到?jīng)Q策者的主觀意愿影響。在確定評估指標(biāo)的權(quán)重時，都是依據(jù)專家評估經(jīng)驗(yàn)來設(shè)定，很容易使評估結(jié)果出現(xiàn)偏差。所以風(fēng)險評估方法需要及時更新，研制出切實(shí)可靠實(shí)用的高安全等級信息系統(tǒng)風(fēng)險評估的方法。
本文依據(jù)高安全等級信息系統(tǒng)的特點(diǎn)及防護(hù)要求，選取風(fēng)險評估指標(biāo)，并構(gòu)建多層次指標(biāo)體系?；谠撝笜?biāo)體系，將博弈理論引入到風(fēng)險評估中，把評估人員的防御方法與攻擊人員的攻擊方法作為攻防博弈的基礎(chǔ)，通過構(gòu)建攻防博弈模型，分析評估人員及攻擊人員在攻防過程中獲得的收益及付出的開銷，一方面證明納什均衡點(diǎn)的存在，另一方面為攻防博弈模型提供理論基礎(chǔ)。結(jié)合高安全等級信息系統(tǒng)的安全等級，計(jì)算得到信息系統(tǒng)的風(fēng)險值，使得風(fēng)險評估過程更加科學(xué)合理。
參考文獻(xiàn)（略）