[发明专利]一种基于CORAS-Petri的安全策略层次联合建模方法

摘要

本发明涉及网络信息安全风险评估领域，公开了一种基于CORAS-Petri的安全策略层次联合建模方法。针对CORAS框架的薄弱环节和不足，对CORAS框架进行改进,在UML建模的基础上，引入Petri网描述网络或信息系统动态行为；在CORAS框架的风险计算方法中引入了基于层次分析法（AnalyticHierarchyProcess,AHP)和模糊综合评价的风险评估方法对风险进行计算，不仅可以减轻评估的工作量、提高评估效率，而且还可以借鉴以前的评估结论，增强评估的准确性和有效性，从而提高我们对信息系统安全风险的认识，采取有效安全防范措施，确保信息系统的安全。

主权项

一种基于CORAS‑Petri的安全策略层次联合建模方法，其特征在于按照以下步骤建模：[1] 风险评估准备：建立项目领导小组和项目实施小组，收集评估对象系统信息，启动评估项目管理，将评估小组组织信息、评估方案和计划输入到CORAS‑Petri系统，并通过CORAS‑Petri的项目管理功能，建立对评估项目信息归档和管理；[2] 资产识别：分析有关文档确认相关资产并记录到CORAS‑Petri工具资产识别模块的相应列表中，调用CORAS平台的CRAMM工具分析系统资产，确认并识别关键资产；[3]威胁和脆弱性识别：查看CORAS‑Petri信息库中公用威胁库和脆弱性库知识，将系统分析出的信息情况输入相应列表，调用漏洞扫描工具实施漏洞扫描，用CORAS‑Petri问卷调查表确认相关威胁和管理弱点并记录下来；[4]UML建模：对资产识别进行资产UML建模，对威胁和脆弱性进行威胁UML建模，通过对系统分析和风险评估的比较，得到系统分析和开发的预期行为和相反功能或脆弱性；[5]将UML建模转化成风险Petri网描述：根据UML图形转换Petri网图形规则进行转换，利用通用网论将系统设计分成整体设计和局部设计、自然的与面向对象技术相结合；[6] 基于层次分析法（Analytic Hierarchy Process , AHP)和模糊综合评价的信息安全风险评估。