一种融合CVSS的信息安全终端安全评估模型*

王　强　孟浩华

(1.华中电网有限公司　武汉　430077)(2.湖北电力公司信息通信部　武汉　430077)



一种融合CVSS的信息安全终端安全评估模型*

王强1孟浩华2

(1.华中电网有限公司武汉430077)(2.湖北电力公司信息通信部武汉430077)

摘要针对目前电力行业对于安全防护较弱、可控性较低的桌面终端、操作终端没有能够反映电力行业信息安全终端特征的评估方法,论文根据电力行业信息系统安全要求,以及桌面终端、操作终端所面临的安全威胁,提出一种融入CVSS的信息安全终端安全评估模型,对安全评估体系和评分标准进行了研究和探讨。该模型能够满足电力行业桌面终端安全评估的需求和目标,包括详细的评估项目以及可量化的评价体系;最后在该评估模型的基础上实现了对电力行业信息安全终端进行自动化安全评估的工具。

关键词桌面终端; 操作终端; CVSS; 脆弱性量化; 威胁量化

Class NumberTP393

1　引言

随着国家电网公司覆盖面更广、集成度更深的SG-ERP建设,信息安全需求也随之增加,国家电网公司采取了以信息安全技术督查为抓手的一系列安全工作,其是一个技术和管理两个方面结合非常紧密的工作,两方面必须深度融合才能达到安全目标。如何制定电网系统信息安全评估模型、规范信息安全评价体系,指导和优化信息安全技术督查工作,已经成为事关国家安全的急迫问题[1]。

现有信息安全评估方法[2]如CERT/CC[3]、SANS[4]等,它们主要关注的是企业核心网络、核心系统的安全评估,而对于安全防护较弱、可控性更低的桌面终端、操作终端没有制定能反映电力行业信息安全终端特征、满足电力行业信息系统安全要求的评估方法。……