王秉政，许玉娜

（中国电子技术标准化研究院，北京100007）

1 引言

自动化网络攻击技术飞速发展，使得信息系统面临的网络攻击与日俱增，系统的安全缺陷很快就会被攻击者挖掘并利用。大多数组织会采取必要的手动缺陷检测和评估措施，包括安全控制评估技术和系统安全信息分析技术。然而，面对攻击者利用大量的安全缺陷快速实施网络攻击的现状，手动检测评估时间和资本投入高，并很难取得预期的评估效果。

近年来，美国NIST发布了NISTIR 8011系列研究报告，卷1《安全控制评估自动化支撑》提出了一个可操作的安全控制措施自动化评估通用方法，卷2、卷3和卷4分别就硬件资产、软件资产、软件漏洞等安全管理的自动化评估给出了实现案例。系列研究报告最终由13卷组成，其他卷将分别对安全配置、信任、边界、事件等管理能力进行自动化评估方案描述。

2 安全风险管理框架

美国国家标准与技术研究院（NIST）从生命周期的角度定义了风险管理框架（RMF），以信息系统分类为起点，依次经过安全控制选择、安全控制实施、安全控制评估、信息系统授权、安全状态监控等环节，如图1所示。框架各环节实施过程可参考NISTSP 800相关标准。风险管理框架提供了将信息安全和风险管理活动整合于系统开发生命周期的结构化流程，持续监控是风险管理流程中的关键部分，通常可在初始评估和授权环节之后实施ISCM策略下的自动化评估过程，进行系统安全操作和维护阶段的安全控制性能持续监控。……