基于关联分析与fce的网络安全风险评估

《基于关联分析与fce的网络安全风险评估》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于关联分析与FCE的网络安全风险评估摘要：传统的网络安全风险评估方法中，存在评估结果单一性和过分主观性依赖性等问题。为使评估结果更切合实际及解决不确定性因素难以量化及定量评估睢的问题，首先，设计了一个用来衡量安全防御措施能力与节点脆弱性对攻击结果的影响的成功率算法；之后，采用攻击威胁严重度算法，通用安全漏洞评分对脆弱性进行评估。最后，提出基于熵权理论的模糊综合评判分析方法计算系统整体的风险态势值，从而能更好的辅助网络分析人员及时掌握系统实时的风险态势。针对本文方法进行仿真实验分析，结果表明此法可以准确并客观的评估网络面临的风险，进而避兔传统方法存在的主观性和片面性问题

2、，证明了该方法的合理性。关键词：网络安全风险评估；模糊综合评判(FCE);熵权理论文献标志码：A中图分类号：****1引言连续运行的入侵检测系统(IntrusionDetectionSystem,IDS)告警的数量往往短时间内就可达到G数量级，其屮大部分均是误报和无关报警

3、1］,网络分析人员虽然可以采集到海量的告警信息，却很难了解系统的真实安全状况，不能及时采取有效的响砬措施。因此，如何对系统面临的实时风险态势进行准确的评估，并为管理员制定有效的安企防护策略提供支撑成为急需解决的研究挑战。在对网络安全风险分析研宄中，文献［2_31均建立了层次化的评估模型，并给出了相应的

4、威胁量化方法，将评估过程模型化、定量化，但仍存在主观性较强，网络安全评估数据来源较为单一，使评估结果不够准确及客观性不高。车载自组网中，Du等人141利用攻防树表示其潜在攻击与防御策略，并结合博弈论实现了对其安全状况的评佔，由于未描述和:W:化风险因素与安全防御措施的防御能力间的关系，使获得的安全态势的评价结果不够准确。葛海慧等人151针对实时告警具有关联性的特点，采用一种动态的实时的风险评估方法，进而对特定时段内的告警进行关联分析，具有较高理论意义和实用价值，但存在量化程度不高、缺乏对脆弱性等关键要素的关联。文献［61考虑到从吋间维度上和空间维度上对网络威胁进行多角度

5、的深入分析，提出了一种基于时空关联分析的威胁识别与量化评估方法，但存在时空复杂度较高、准确性不卨而II不易操作等问题。为描述系统紊乱程度的测度，Shannor?71把熵的概念应用到信息领域，称之为“信息熵”。文献［81为解决信息系统中不确定性信息难以量化的问题，提出了一种基于信息熵的信息系统安全风险分析方法，此方法利用信息熵来度量M络系统风险，采用定性与定量相结合的方法得到各个风险因素的风险值，对系统屮主要的风险因素采取相应的控制措施、14.501士1^等191提出了一种基于AHP(AnalyticHierarchyProcess)和嫡权理论评估方法；Wang等人ll

6、Qj也提出了利用改进的AHP和熵权理论的方法，建立电子银行的风险评估模型。上述网络安全风险分析方法，证实了评判法与AHP1111的优势，可实现网络威胁综合评估。由于获得各层权重是采用的AHP法，因而风险综合评估结果易受人为主观性因素影响，此外网络环境中还存在不确定性因素难以S:化及定ft评估难的问题。刘勇等人1121为避免信息系统风险评估中过分依赖专家主观判断的情况，采用信息熵的评佔方法，并构建三要素矩阵，有效降低了评估的主观性，但对于信息的模糊性未有更好的解决办法。本文利用模糊层次分析法和熵权法对各层每个风险指标进行评估，使之S终能够达到模糊综合评判(FuzzyCom

7、prehensiveEvaluation,FCE)的目的，解决风险评估过程中定量评估的难题。2相关定义网络安全风险评估是对网络系统的安全风险进行系统、全面的估计。本文所指的安全风险，是指由网络告警事件和安全事件发生的可能性及其影响所决定。要识别此类网络系统的安全风险，需依据对网络安全事件、告警事件及其他负而影响的评估，本文首先对相关术语进行定义。定义1网络节点(//)。指各种不同类型的服务器或计算机终端，由一个五元组表示为H=(nID,vv,sw,svcs,vuls)»其中是网络节点的唯一标识；W是节点的重要性权重；SW是节点上运行的软件信息，包含操作系统版本、配罝信息

8、等；svcy是该节点上所运行的服务；W也是节点上的漏洞包括软件漏洞及失误配賈等。定义2告警(Tf/erz)。指触发IDS对攻击行为产生告警信号，表示为A=(a/ZXt/wwignlEbTcIRdstZ/^src/^dst/^seve，)。其中，ez/D是告警唯一标识，…ne是发生告警的时间，signlD是告筲触发的关联规则标识；srcIP表示源IP地址也Z/户表示目的IP地址；srcP、办/P分别指源、H的端口。sever是告警的严重度。定义3聚合告警(Z/J)。对IDS原始告警进行聚合处理后产生的一种数据表示形式，HA={ID，sign