当前,信息系统的使用越来越广泛,规模也达到空前。这使得信息系统成为攻击者的攻击目标。因此,怎样保护好信息系统,避免其受攻击是亟待解决的问题。风险评估是解决信息系统安全问题的有效方法之一,与传统的“事后”方式不同的是,它是一种“主动”的防御方式。其主要思想是分析系统潜在的风险,评估这些风险可能带来的影响,为安全策略的确定、信息系统的建立及安全运行提供依据,最终将系统的风险降到一个可以接受的程度。攻击树是一种图形化的描述方式,它能很直观地分析系统存在的风险。在其基础上进行扩展,给出了一种基于扩展攻击树模型的风险评估方法。同时,详细介绍了利用该方法进行风险评估的具体步骤,并给出了各步骤具体的算法,如攻击链算法,攻击序列算法等。在对叶子节点(原子攻击)风险值的量化中,采用了多属性效用理论,对各叶子节点的风险值进行量化计算,减少了评估过程中的主观性。针对一些大型的复杂系统,其攻击链、攻击树复杂性问题,给出了攻击树剪枝算法,有效地降低了计算的复杂度。在风险控制过程中,给出了选择控制措施的一些参考度量标准或指标(如风险值指标,成本指标等)以及要考虑的问题。利用Visual C++ 6.0作为开发工具,给出了基于扩展攻击树模型的自动化风险评估工具原型。该工具原型很好地模拟了评估方法的每一步骤,计算得到的结果也非常合理。验证了基于扩展攻击树的风险评估方法是一种切实可行的、有效的评估方法。它为今后建立更自动化、更完备的定量风险评估工具打下了基础。