论文研究-基于攻击树与CVSS的工业控制系统风险量化评估.pdf

针对如何进行工业控制系统（ICS）全面客观的风险量化评估与分析，提出了一种新的ICS风险量化评估方法。该方法首先建立系统攻击树与攻击者模型；然后根据ICS的安全特性利用CVSS对攻击树叶子节点进行综合客观的量化，并给出资产价值损失的复数表达式，结合概率风险评估方法分别计算得到攻击序列、目标节点的风险概率与风险值；最后通过攻击者模型综合攻击序列与攻防两端的分析，提取系统最大风险环节与组件。案例分析表明，该方法能减少风险要素量化过程中人为主观因素的影响，得到风险的综合定量描述，并找到系统最大风险环节和最需要防护的组件，从而采取有针对性的防护措施以实现合理高效的风险消除和规避，验证了该方法的有效性与可行性。