Projekt: SERIMA - IT-Sicherheitsrisikomanageme...
Stammdaten
| SERIMA - IT-Sicherheitsrisikomanagement basierend auf Entscheidungstheorie | |
| Beschreibung: | Risikomanagement ist eine grundlegende Aufgabe bei den heutigen Informations-Infrastrukturen. Zumeist wird die Sicherheit eines Systems in eher qualitativen Aussagen als quantitativen Maßzahlen ausgedrückt. Erschwerend für ein effektives Risiko-Management kommt hinzu, dass viele Sicherheitsmechanismen zudem auf unbewiesenen mathematischen Vermutungen beruhen. Derartige Aussagen sind in der Praxis nicht zweifelsfrei belegbar, und geben somit Anlass zu einem unvermeidbaren und nicht-quantifizierbaren Rest-zweifel an der Gesamtsicherheit eines Systems. Das Ziel dieses Projektes ist es, Werkzeuge zu entwickeln, welche die quantitative Bewertung von Sicherheit in einer gegebenen Kommunikations-Infrastruktur unterstützen. Insbesondere wird hierbei auf eine Grundlage geachtet, deren Annahmen leicht und effektiv verifizierbar sind. Spieltheorie bietet in diesem Zusammenhang wesentliche Vorteile, da die Bewertung des Risikos in einer von der Anwendung abhängigen (und somit optimal angepassten) Skala erfolgen kann. Es entfällt daher die Abbildung oder Anpassung auf bzw. an ein fixes Begriffssystem, was den Modellierungsaufwand verringert und die leichte Kommunizierbarkeit der Risiko-Bemessungen sicherstellt. Auf dieser Grundlage kann die Sicherheit des Systems direkt mit den zu schützenden Business Assets eines Unternehmens in Verbindung gebracht werden. Somit ermöglicht eine spieltheoretische Analyse eine direkte Relation zwischen dem Aufwand für Sicherheitsvorkehrungen und dem erwartetem daraus erwachsendem Nutzen. Darüber hinaus beruht die spieltheoretische Analyse selbst auf keinerlei unbewiesenen Annahmen, und birgt daher auch nicht die oben Gefahren und Restzweifel aufgrund nicht-verifizierbarer Vermutungen im Kern des Analysemodells. Das Verfahren ist allgemein und anwendbar sowohl auf Verfahren der symmetrischen und der Public-Key Kryptographie, als auch auf allgemeine Sicherheitsmechanismen wie Zugangs- und Zugriffskontrollen oder neuere Paradigmen wie Quantenkryptographie. Auf Basis solcher quantitativen Risiko-Bemessungen ist es möglich, ein kostenoptimiertes Design oder eine Ausweitung der Infrastruktur im Sinne einer Risiko-Minimierung durchzuführen. Resultate in dieser Richtung wurden bereits erzielt und bilden eine inner-forschungsmäßige Anwendung der im Projekt angestrebten Ergebnisse. Systemsicherheit ist im Allgemeinen ist dauerhafter und zyklisch ablaufender Prozess, bestehend aus den Vorgängen „Sichern“, „Überwachen“, „Testen“ und „Verbessern“. Das Ziel des Projektes ist es, diesen Ablauf in einem größeren Ausmaß als bisher zu automatisieren und damit Kosten bei der Evaluierung und Überwachung zu sparen. Spieltheorie bietet hierfür eine Grundlage, welche sowohl für die Sicherung, als auch für die Verbesserung kostenoptimierte Maßnahmen aus mathematisch gerechtfertigten Gründen ableiten lässt. |
| Schlagworte: | Systemsicherheit, Sicherheitsaudit, Entscheidungsunterstützung, Risikomanagement, Spieltheorie, Sicherheitsinfrastrukturen |
| SERIMA - IT-Security-Risk-Management based on Decision Theory | |
| Beschreibung: | Risk management is an essential task in nowadays information infrastructures. Letting security exclu-sively rest on qualitative assertions regarding cryptographic primitives can be misleading towards missing possible vulnerabilities arising from imperfect combinations of different security measures. The goal of this project is designing tools aiding the quantitative assessment of security in a given information infrastructure. Game-theory can provide us with risk measures that can be set up in any unit or context suitable for the application at hand. In fact, by using non-cooperative competitions for a security assessment, we obtain risk measures, optimal network provisioning strategies and pointers towards the most severe attack scenarios in a single blow. Neither the theory nor its results employ any computational intractability assumptions, such as most state-of-the-art cryptosystems hinge on. Thus, it applies to classical cryptography, as well as quantum cryptography or other security primitives equally well. This brings considerable advantages over other models, because the context and unit of any subjective trust estimate (such as discrete risk classifications or other methods) is directly carried over to the results of the analysis. Hence, interpretability of any result is ensured at all times, especially for a decision-maker. The ultimate goal of system security is to protect the value tied to secret information. Risk management appears as a natural cover framework in which cryptographic primitives for secret transmission act as basic building blocks. A decision-theoretic (game-theoretic) communication risk assessment enables a decision-maker to estimate the (monetary) loss that can be expected from a given communication infrastructure due to secret information leakage. It thus provides a benchmark to compare and assess the security performance of the infrastructure at hand In addition to this, a cost-optimized design or extension of an infrastructure towards minimal risk is possible. Network security is an endless cycle consisting of securing, monitoring, testing and improving. The project's goal is automating this cycle to a wider extend than currently, thus saving costs on human resources for security evaluation and monitoring. Those latter two can be handled by game-theoretic models, as well as cost-optimized improvements can be facilitated on mathematically justified grounds. |
| Schlagworte: | Risk Management, System Security, Security Infrastructures, Game Theory, Security Auditing, Decision Support |
| Kurztitel: | n.a. |
| Zeitraum: | 01.03.2011 - 30.11.2013 |
| Kontakt-Email: | - |
| Homepage: | http://www.syssec.at/serima |
MitarbeiterInnen
| MitarbeiterInnen | Funktion | Zeitraum |
|---|---|---|
| Matthias Vavti (intern) |
|
|
| Stefan Rass (intern) |
|
|
Zuordnung
| Organisationseinheit | ||||
|---|---|---|---|---|
|
Fakultät für Technische Wissenschaften
Institut für Artificial Intelligence und Cybersecurity
|
Kategorisierung
| Projekttyp | Forschungsförderung (auf Antrag oder Ausschreibung) |
| Förderungstyp | §27 |
| Forschungstyp |
|
| Sachgebiete | |
| Forschungscluster | Kein Forschungscluster ausgewählt |
| Genderrelevanz | 0% |
| Projektfokus |
Klassifikationsraster der zugeordneten Organisationseinheiten:
|
| Arbeitsgruppen | Keine Arbeitsgruppe ausgewählt |
Kooperationen
| Organisation | Adresse | ||||
|---|---|---|---|---|---|
Sitexs-Databusiness IT-Solutions GmbH
|
AT - 1230 Wien |
||||
AIT Austrian Institute of Technology GmbH
|
AT - 1210 Wien |
Forschungsaktivitäten
Hier werden alle mit diesem Projekt in Zusammenhang stehenden Forschungsaktivitäten angezeigt. Mit dem untenstehenden Link können sie sich diese Forschungsaktivitäten in der Suche anzeigen lassen und gegebenenfalls exportieren.
(Achtung: Externe Aktivitäten werden im Suchergebnis nicht mitangezeigt)
Zugehörige Forschungsaktivitäten in der Suche anzeigen
(Achtung: Externe Aktivitäten werden im Suchergebnis nicht mitangezeigt)
| Projekte | Keine verknüpften Projekte vorhanden |
| Publikationen | Keine verknüpften Publikationen vorhanden |
| Veranstaltungen | Keine verknüpften Veranstaltung vorhanden |
| Vorträge | Keine verknüpften Vorträge vorhanden |