基于octave的炮兵指挥信息系统风险评估

《基于octave的炮兵指挥信息系统风险评估》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、基于OCTAVE的炮兵指挥信息系统风险评估风险评估是解决信息系统安全问题的重要手段，本文结合当前部队指挥信息系统存在的安全隐患，在炮兵指挥信息系统中采用OCTAVE风险评估准则的评估方法，找出信息系统存在的安全漏洞，制定风险消减计划，确保指挥信息系统的安全。关键词：炮兵;指挥信息系统;OCTAVE风险评估1.引言目前，信息安全风险评估已成为信息安全领域的研究热点，国内外已建立了一系列信息安全风险评估标准。信息系统在军事领域的广泛应用，部队对信息系统的依赖性越来越大，在未来的炮兵作战行动中,面对复杂的战场电磁环境和敌对我指挥信息系统攻击,

2、炮兵指挥信息系统面临着严重的威胁。炮兵指挥信息系统的系统风险是客观存在的，一旦发生风险事件，对国家和军队将造成无法挽回的损失，对战争的胜败产生重大影响。做好炮兵指挥信息系统安全的风险评估研究工作，就是要在风险辨识的基础上，对信息安全风险进行科学评估，及时发现信息系统存在的安全隐患，找到解决安全隐患的方法，将风险控制在可接受的范围之内并采取一定的措施规避风险。2.炮兵指挥信息系统安全需求分析指挥信息系统[1]是指军队指挥机构中，以计算机系统为基础，收集与处理军事指挥控制所需的信息，并为各级指挥员提供战场军事情报的应用系统。系统以计算机为中

3、心，通过通信X络与各种终端设备相连接，运行专用信息管理软件，实现军事情报信息的收集、传递、处理和显示的功能。指挥信息系统的系统安全风险，是指由于人为或自然的威胁，系统存在的脆弱性，导致泄密事件发生并造成的影响。进行信息系统安全风险评估，就是要找出系统存在的弱点或者漏洞，制定风险消减计划，从而最大限度地保障信息系统的安全[2]。没有及时准确的指挥信息系统风险评估，首长机关将无法对其信息系统安全的状况做出准确的决策，信息就可能无法准确安全地传输到每个作战单元，将会导致一场战争的失败。因而，做好部队信息安全风险评估工作是非常必要的，同时也是部

4、队信息化建设工作中的重要部分。3.OCTAVE风险评估方法简介OCTAVE[3](OperationallyCriticalThreat，AssetandVulnerabilityEvaluation；可操作性关键威胁，资产和脆弱性评估)是美国卡内基·梅隆大学软件工程研究所下属的CERT协调中心在1999年开发的，用来定义一种系统的、综合的、企业范围内的风险评估方法。OCTAVE风险评估方法的基本原则是：自主、适应度量、执行已定义的过程、连续过程的基础，是一种资产驱动的评估方法，它根据组织资产所处的环境条件来构造组织的风险框架。　　OC

5、TAVE最注重可操作性，其次是关键性。OCTAVE方法使用三阶段方法对技术问题和管理问题进行研究。三个阶段为：第一阶段，构建资产威胁配置文件；第二阶段，识别基础结构的弱点；第三阶段，开发安全策略和计划。其评估过程如表1。　　4.OCTAVE评估方法在炮兵指挥信息系统中的应用运用OCTAVE评估方法对炮兵指挥信息系统进行风险评估，并按照该方法的三个阶段将其分为风险识别、脆弱性分析和风险消减计划制定。4.1风险识别在风险识别阶段，要对炮兵指挥信息系统的安全威胁进行识别并分类，然后运用不同的评估方法进行评估。在炮兵指挥信息系统中存在的安全威胁

6、主要可分为人为故意行为、人为意外行为、系统问题、其他问题等。人为故意行为：是指敌对分子通过各种手段对炮兵指挥信息系统进行干扰或攻击，以达到干扰军事行动和窃取军事秘密的目的。具体表现为：利用电磁干扰系统的无线传输、外界电磁注入、对系统传输的数据进行监听或截获、利用系统漏洞攻击指挥信息系统等多种手段。同时内部人员将系统内的重要信息透露给外部人员，也会对指挥信息系统造成非常严重的影响。人为意外行为：是指用户及系统的管理人员业务知识欠缺而误操作造成的系统数据丢失。具体表现为：人员素质不高进行的误操作、操作不当造成系统崩溃、受限用户执行了管理员权

7、限更改系统配置等。系统问题：是指硬件系统或者软件系统造成的信息传输中断。具体表现为：计算机系统、交换机、路由器等设备老化、计算机系统软件或信息系统应用软件崩溃或错误、各种备份数据损坏或者丢失等都将会延误作战的最佳时机，造成作战效果不明显。其他问题：主要包括断电、断水、长途通信不可用、自然灾害、环境影响等。指挥信息系统的风险不仅仅是以上技术层的风险，管理层也会存在很多风险，具体表现为：管理制度不健全、管理手段落后等。4.2脆弱性分析在脆弱性分析阶段，运用风险识别的分类结果对信息系统资产进行脆弱性分析。系统的脆弱性不能对系统的安全造成影响，

8、但是它影响系统的信息安全，炮兵指挥信息系统中脆弱性概况为以下两个方面：人的脆弱性和技术的脆弱性。（1）人的脆弱性:主要是指管理人员的脆弱性和操作人员的脆弱性。管理人员的脆弱性表现为管理人员思想不稳定造成的管