延伸型攻擊樹分析法以評估網站安全風險之研究

楊欣哲; 彭勝寶

山西大学，您好！

感谢采购，人社期刊库｜人社论文库，期间：2025/01/01~2025/12/31

感谢试用，科学期刊库｜科学论文库，期间：2024/10/20~2025/01/20

浏览高级检索

关闭
检索检索高级检索出版物检索
浏览期刊主题浏览核心期刊浏览期刊拼音浏览

关闭

查询符号(半角)	查询符号意义说明
空格	表示为「AND」两个查询词之交集
双引号 ( " " )	片语以双引号标示开始及结束，而且只寻找出现顺序相同的字词，例： " image process "
?	表示一个字母切截，输入两个?表两个字母，依此类推，例：输入「Appl?」，查得结果应为appl e , appl y … ( 常用于英文字查询 )
*	表示不限字母切截，由0~n. 例：输入「appl*」，查得结果应为appl e , appl es , appl y , appl ied , appl ication … ( 常用于英文字查询 )
AND、OR、NOT	布尔逻辑组合关键字，用来扩大或缩小查询范围的技巧。 (1) AND ：缩小查询范围 (2) OR ：扩大查询范围(3) NOT：排除不相关的范围

DOI 是数位物件识别码（ D igital O bject I dentifier ）的简称，
为物件在网路上的唯一识别码，可用于永久连结并引用目标物件。

使用DOI作为永久连结

每个DOI号前面加上「 http://dx.doi.org/ 」便成为永久网址。
如以DOI号为 10.5297/ser.1201.002 的文献为例，此文献的永久连结便是： http://dx.doi.org/ 10.5297/ser.1201.002 。
日后不论出版单位如何更动此文献位置，永久连结所指向的位置皆会即时更新，不再错失重要的研究。

引用含有DOI的文献

有DOI的文献在引用时皆应同时引用DOI。若使用APA、Chicago以外未规范DOI的引用格式，可引用DOI永久连结。

DOI可强化引用精确性、增强学术圈连结，并给予使用者跨平台的良好使用经验，目前在全世界已有超过五千万个对象申请DOI。如想对DOI的使用与概念有进一步了解，请参考（）。

ACI:

数据来源：Academic Citation Index，简称ACI

台湾最大的引用文献资料库，目前收录台湾与港澳地区所出版的人文学、社会学领域学术期刊之书目资料与参考文献，总期刊量超过690种，每年定期公布收录期刊的影响指数(Impact Factor)等指标给大众，并提供专家学者与学术单位实用的计量与分析功能。

五年影响指数（5-Year Impact Factor）：某一期刊前五年所出版的文章在当年度的平均被引用次数。

公式：（前五年发表论文在统计年的被引用次数）÷（前五年论文产出论文总篇数）

例如：A期刊2017年之五年影响指数

(A期刊2012-2016年发表论文在2017年的被引总次数)/(A期刊2012-2016年发表的论文总数)

什么是预刊文章？

为提供读者最前线之学术资讯，于期刊文献获同意刊登后、纸本印制完成前，率先于网路线上发表之文章即为预刊文章。预刊文章尚未有卷期、页次及出版日期资讯，但可藉由DOI号识别。 DOI号是文献的数位身份证字号，不论预刊或正式出版皆不会改变，读者可点击DOI连结，或于DOI号前面加上「 http://dx.doi.org/ 」连结到文献目前最新版本。

如何引用预刊文章？

请使用预刊文章的线上发表日期及DOI号来引用该篇文献。

引用范例(视不同引文格式规范可能有所差异)：

作者姓名。文章篇名。期刊名称。 YYYY/MM/DD线上预先发表。

doi:DOI 号

来源数据

P1 - 38

基础与应用科学 > 资讯科学
社会科学 > 管理学

DOI： 10.6382/JIM

书目管理工具

相关连结

问题回报

全文下载

延伸型攻击树分析法以评估网站安全风险之研究

Extended Attack Tree Analysis Method to Assess the Security Risks on the Website

杨欣哲(Shin-Jer Yang) ；彭胜宝(Sheng-Pao Peng)

资讯管理学报； 20 卷 1 期 (2013 / 01 / 01) ， P1 - 38

繁体中文

攻击树；延伸型攻击树分析法；风险分析；资讯安全；网站安全； Attack Tree ； Extended Attack Tree Analysis ； Risk Analysis ； Information Security ； Web Security

0 个人觉得这篇文章赞

摘要 │ 参考文献 (24) │ 被引用文献 (1) │ 国际计量

摘要〈TOP〉

并列摘要〈TOP〉

According to the fast development of network technology and the popularization of extensive Web applications, Web information system faces various kinds of attacks, such as Trojan virus threats, DDoS attacks, system and application's vulnerability attacks, etc. The target of these attacks is for destroying Websites or stealing sensitive data. A variety of risk assessments for current systems cannot effectively identify possible paths of attacks and system vulnerabilities. Thus, the assessment results do not demonstrate a real threat path. This paper utilizes the concept of attack trees and extends and applies it to security risk analysis. Hence, we employ the features of attack tree to illustrate the situations of attacks to propose an extended attack tree analysis approach. We design an enhanced threats computing algorithm for extended attack tree analysis to calculate threats measure with consideration of attack difficulties and detective protections for assessing their influence levels. In essence, this method is different from the general risk assessment. We use 'threat' as the security unit instead of 'assets' in the risk assessment. It improves the general risk analysis approach about the poor descriptions of threats.In this paper, we use a Website system as a practical example for the Web system's security threat analysis. We can get a risk grade in Website security risk assessment for system administrator's evaluation basis. It proves that an effective risk value can be obtained from extended attack tree analysis approach for assessing a Website system. We do a comparison for our extended attack tree analysis and the traditional risk analysis approaches. Consequently, the final results indicate that our proposed method can improve the insufficient points of the traditional risk analysis and increase the availability and objectivity in risk assessment.

参考文献 ( 24 ) 〈TOP〉

林勤经、樊国桢、方仁威、黄景彰(2002)。资讯安全管理系统建置工作之研究。资讯管理研究，四(二)，43-65。
连结：
行政院研究发展考核委员会（2009），『风险管理及危机处理作业手册』，http://sec.nuk.edu.tw/updown/news/931916152171.pdf（存取日期2010/07/12）
政府网际服务网通报（2010），『网路安全服务』，http://gsn.nat.gov.tw/new/05-03.html（存取日期2010/06/18）
Microsoft TechNet (2006), ‘Guidance', available at http://technet.microsoft.com/zh-tw/library/dd548203.aspx (accessed 21 September 2010).
樊国桢、林树国、朱潮昌（2008），『工业控制系统资讯安全风险评监实作初探』，http://fsms.bsmi.gov.tw/cat/epaper/工业控制.doc（存取日期2010/09/26）

被引用文献 ( 1 ) 〈TOP〉

杨欣哲、林裕伦(2014)。企业资讯网站设计之资讯安全的评估模式与评量工具之研究。资讯管理学报，21(2)，107-138。

国际计量

〈TOP〉

E-mail ：

文章公开取用时，将寄通知信至您填写的信箱地址