面向主机的安全合规性审计系统的设计与实现

论文摘要

随着全球信息化和信息技术的不断发展,各领域信息化应用程度的不断推进,信息安全显得越来越重要,信息安全形势日趋严峻,确保计算机信息系统和网络的安全,特别是国家重要基础设施信息系统的安全,已成为信息化建设过程中必须解决的重大问题。传统的风险评估与合规性审计需要大量的占用大量的人力资源,一般由多名顾问组成项目组定期对系统进行风险评估或审计,一次审计耗费周期长,多次审计之间可复用资源低。随着几年的信息安全审计技术的发展,信息安全审计已成为一个信息化单位的常态化工作,而信息安全审计的人力成本限制了审计工作的频率,目前风险评估系统急需产品化、系统化、软件化、自动化,客户急需一套经过配置完毕,就可以实现定期、定时自动化风险评估与审计的系统,实时监视与控制信息系统的安全风险与合规性情况。本文在分析了国内外安全审计的基础上,充分地对多种安全检测工具进行研究,对优缺点进行总结,与潜在的用户进行交流和访谈,对信息安全市场进行调研,做到既符合等级保护标准,又简单易用；随后使用软件工程基本方法与理论,结合多年的信息安全从业经验,根据风险评估方法和等级保护测评方法,并实地调研、走访了多个行业特点明显的单位,充分分析了用户的安全需求,设计实现了一套适用于主机的自动化风险评估与安全审计的系统。本系统帮助用户在风险评估与等级保护自评工作中自动化代替手工检测,从而降低大量的人力成本,有效地协助信息化安全的发展建设。

论文目录

• 摘要
• ABSTRACT
• 第一章 引言
• 1.1 安全合规性审计背景
• 1.2 安全合规性审计意义
• 1.3 课题任务
• 1.4 论文结构
• 第二章 安全审计的相关技术
• 2.1 主机安全审计概述
• 2.2 主机安全审计技术
• 2.2.1 主机审计
• 2.2.2 网络审计
• 2.2.3 数据库审计
• 2.2.4 应用审计
• 2.2.5 运维审计
• 2.2.6 业务审计
• 第三章 安全合规性审计的需求分析
• 3.1 系统概述
• 3.2 系统结构
• 3.3 接口需求
• 3.3.1 用户接口
• 3.3.2 硬件接口
• 3.3.3 软件接口
• 3.3.4 通讯接口
• 3.4 功能性需求
• 3.4.1 系统登入模块
• 3.4.2 用户管理模块
• 3.4.3 资产类型模板管理
• 3.4.4 软件类型知识库模板管理
• 3.4.5 软件漏洞知识库模板管理
• 3.4.6 软件配置知识库模板管理
• 3.4.7 访谈知识库模板管理
• 3.4.8 威胁类型模板管理
• 3.4.9 威胁来源模板管理
• 3.4.10 威胁种类模板管理
• 3.4.11 法规模板管理
• 3.4.12 安全审计管理模块
• 3.4.13 项目管理模块
• 3.4.14 资产管理模块
• 3.4.15 被访谈用户管理
• 3.4.16 任务管理模块
• 3.4.17 结果显示模块
• 3.4.18 生成报表模块
• 3.4.19 资产评估模块
• 3.4.20 资产信息采集模块
• 3.4.21 资产重要性模块
• 3.4.22 资产价值计算模块
• 3.4.23 脆弱性信息采集
• 3.4.24 脆弱性评估的目标与标准
• 3.4.25 脆弱性赋值
• 3.4.26 威胁评估
• 3.5 非功能性需求
• 3.5.1 性能需求
• 3.5.2 安全需求
• 3.5.3 保密需求
• 第四章 安全合规性审计系统设计与实现
• 4.1 系统平台概述
• 4.1.1 系统设计策略
• 4.1.2 系统体系框架
• 4.1.3 运行部署环境
• 4.2 业务流程设计
• 4.2.1 业务流程关系
• 4.2.2 用户登录
• 4.2.3 用户管理
• 4.2.4 日志管理
• 4.2.5 模板管理
• 4.2.6 系统升级
• 4.2.7 项目管理
• 4.2.8 资产管理
• 4.2.9 任务管理
• 4.2.10 安全审计
• 4.2.11 结果查询
• 4.3 模块设计
• 4.3.1 系统管理模块
• 4.3.2 用户管理子模块
• 4.3.3 用户角色与权限管理子模块
• 4.3.4 日志管理子模块
• 4.3.5 模板管理子模块
• 4.3.6 系统升级子模块
• 4.3.7 项目管理模块
• 4.3.8 任务管理子模块
• 4.3.9 项目查询子模块
• 4.3.10 资产管理子模块
• 4.3.11 资产评估子模块
• 4.3.12 脆弱性评估模块
• 4.3.13 威胁评估模块
• 4.3.14 资产威胁识别子模块
• 4.3.15 脆弱性威胁识别子模块
• 4.3.16 威胁赋值子模块
• 4.3.17 人工审计模块
• 4.3.18 结果查询子模块设计
• 4.3.19 结果统计子模块设计
• 4.3.20 报告生成子模块设计
• 第五章 安全合规性审计系统的效果
• 5.1 用户登录
• 5.2 用户管理
• 5.3 安全审计
• 5.3.1 建立项目
• 5.3.2 建立任务
• 5.3.3 设置任务
• 5.3.4 开始审计
• 5.3.5 结果显示
• 5.3.6 生成报告
• 5.4 审计报告
• 第六章 总结
• 6.1 论文总结
• 6.2 问题和展望
• 参考文献
• 致谢