CN102075356A - 一种网络风险评估方法与系统 - Google Patents

Abstract

本发明提供了一种网络风险评估方法，该方法主要包括以下步骤：根据所管理网络的要求，使用多维数据探测器采集各种数据；计算属性已知的事件发生的概率，根据历史样本中该世间发生的次数与总样本事件数的比值来确定该事件发生的概率；计算属性未知的事件发生的概率；预测复杂事件概率；计算单个事件引起的安全风险；计算多个事件的整体安全风险，计算系统的整体风险值，其中，根据前述步骤中得到的每个事件的损失计算和概率计算。本发明还提供了实现该方法的系统。

Description

一种网络风险评估方法与系统

技术领域

本发明涉及信息安全领域，尤其是对网络风险评估系统与方法。

背景技术

信息安全风险评估是信息安全保障的基础工作，是明确安全需求、确定保障重点地科学方法和手段，是科学地进行信息安全建设和管理的重要保证。

从理论上来说国际上提出了一些广义传统的风险评估理论，从计算方法区分，有定性方法，定量方法，和部分定量方法。定性分法有初步风险分析，危险和可操作性研究，失效模式及影响方法。基于树的分析，有故障树，实践树，因果分析管理失败因果树等一些技术。动态系统方法有偿使方法，有向图，马尔克夫建模，动态事件逻辑分析方法学等。

风险评估工具分为：一类是扫描工具、用于分析系统的常见漏洞、第二入侵检测系统，用于收集威胁数据。第三渗透性测试工具，利用黑客工具用于人工渗透，评估系统深层次漏洞。主机安全性审查工具，安全管理评价与系统，风险综合分析系统，以及评估支撑环境工具，有这个几个系统组成风险评估类，国内目前水平前三、四项比较好的，在后面几项处在正发展的过程当中。

基于模糊层次分析法的信息安全风险综合评估模型，从主观评测和工具检测两方面对各个风险因素分别评价其重要程度.利用模糊偏好法求出各个风险因素在系统风险评估中的优先级排序，给出目标系统在不同安全侧面上的量化风险。

网络信息的广泛传播导致在传播的过程中出现大量的隐患，对网路安全构成很大的威胁，实时有效的对网络进行动态风险评估变得十分必要。常用的方法有在隐马尔可夫模型的基础上借助于攻击威胁度及遗传算法，借鉴风险量化的概念对风险评估算法进行改进。

对风险识别也可以基于关联模式的风险分析算法模型的算法。基于关联模式的算法模型就是对脆弱性和威胁的识别与赋值使用了关联的方式，对只有关联到的威胁才会有相对的威胁频率赋值。其特点是以资产识别为基础，对资产的资产价值和资产脆弱性的CVSS(通用弱点评价体系)取值，根据存在的脆弱性使用关联模型找到威胁，并对威胁出现的频率赋值。由资产价值和脆弱性的CVSS值计算事件造成损失的赋值，由脆弱性的CVSS值和威胁出现的频率来计算事件的可能性赋值，最后由事件造成的损失取值和事件可能性取值来计算最终风险值。

现存技术主要有以下几个方面的缺陷：

1、风险识别使用单一的标准，数据都归纳成单一的标准格式，所以，在数据初步处理过程中，就丢失了很多的信息。这样就影响了风险识别的结果；

2、风险识别从一个维度去评价，缺乏多维的思维；

3、识别算法也是比较单一，缺乏融合集成的机制与思想。

发明内容

本发明目的是针对目前计算机网络风险识别方法存在的缺陷，提出了一种风险识别方法和系统。

本发明提供了一种网络风险评估方法，该方法主要包括以下步骤：根据所管理网络的要求，使用多维数据探测器采集各种数据；计算属性已知的事件发生的概率，根据历史样本中该世间发生的次数与总样本事件数的比值来确定该事件发生的概率；计算属性未知的事件发生的概率；预测复杂事件概率；计算单个事件引起的安全风险；计算多个事件的整体安全风险以及计算系统的整体风险值，其中，根据前述步骤中得到的每个事件的损失计算和概率计算，如果系统有n个事件发生，事件集合E＝{e₁，e₂，...，e_n}，则计算系统的总体风险为

其中，i为事件标识号，t为时间段，事件利用漏洞的概率p_i，安全漏洞被利用的个数与时间t的比值几乎是一个常数；因此，可知τ_α(α∈{C，I，A}几乎不变；记实体上发生的每个事件的属性利用资产实体漏洞产生的风险率为λ(t)，则对各个安全指标的风险率为λ_α(α∈{C，I，A})；若事件发生概率为p_i，则可得到

则安全度为 $\mathrm{Sec}=\stackrel{\→}{I}-\stackrel{\→}{R}=\left[\mathrm{1,1,1}\right]-[e^{{\mathrm{\λ}}_{C}t},e^{{\mathrm{\λ}}_{I}t},e^{{\mathrm{\λ}}_{A}t}]..$

本发明还提供了一种网络风险评估系统，该系统包括多个数据探测器，通过总线接收由多个数据探测器探测到的关于待测系统的数据的多维数据风险识别单元，以及计算单个事件的安全风险以及多个事件的整体安全风险，并计算系统的整体风险值的风险智能决策单元；其中，该多维数据风险识别单元被配置为：计算属性已知的事件发生的概率，根据历史样本中该世间发生的次数与总样本事件数的比值来确定该事件发生的概率；计算属性未知的事件发生的概率；预测复杂事件概率；该风险智能决策单元被配置为：计算单个事件引起的安全风险；计算多个事件的整体安全风险，计算系统的整体风险值，其中，根据前述步骤中得到的每个事件的损失计算和概率计算，如果系统有n个事件发生，事件集合E＝{e₁，e₂，...，e_n}，则计算系统的总体风险为其中，i为事件标识号，t为时间段，事件利用漏洞的概率p_i，安全漏洞被利用的个数与时间t的比值几乎是一个常数；因此，可知τ_α(α∈{C，I，A}几乎不变；记实体上发生的每个事件的属性利用资产实体漏洞产生的风险率为λ(t)，则对各个安全指标的风险率为λ_α(α∈{C，I，A})；若事件发生概率为p_i，则可得到

则安全度为

本系统根据数据的固有属性，数据的呈现面是多种多样的，也根据识别的过程是一个融合和集成的过程，来设计风险识别系统。

本发明的方法和系统的有益效果在于解决了其它系统不能解决的三个问题：

在数据采集的阶段，采用多种类型的数据探测器和多个数据采集器，使信息采集的容量加大，把所有的信息都加以采集。

把采集来的数据从多个维度去观测和识别，也就是本系统的核心技术之一，就是从数据各维来识别数据风险。然后在综合各维风险，达到对网络总体风险的总体把控。

对数据进行各维识别的时候采用多个算法，最后对各算法的识别结果进行融合，使识别的结果比较稳定。

附图说明

图1为本发明所述生成基于数字水印的安全字库的系统的结构示意图；

具体实施方式

本系统总体结构图如图1所示。系统总体分为三个部分：一、数据探测器；二、多维风险识别中心；三、风险智能决策。

对于采集来的数据，每一个数据用一个向量表示，也称一个事件；事件可能使系统处于风险状态，所述系统就是识别网络的风险状态。

用下面的算法进行处理和计算。

算法一：计算属性已知的事件发生的概率，根据历史样本中该事件发生的次数与总样本事件数的比值来确定该事件发生的概率：

$p_{{\mathrm{ei}}^{*}}=m_{\mathrm{ei}}/\left(\underset{i=1}{\overset{n}{\mathrm{\Σ}}}{m}_{\mathrm{ei}}\right)*100\%$

其中，m_ei表示事件e_i发生的次数

算法二：计算属性未知的事件发生的概率

1)将原始数据归一化，用数据中的最大值与每个值相除，即X＝(x_ij/max(x_ij))_n×m，任用原矩阵符号表示；计算上述归一化矩阵的相关系数矩阵，即协方差阵如下，

$\mathrm{\Σ}=\frac{1}{n-1}\underset{i=1}{\overset{n}{\mathrm{\Σ}}}(x_i-\stackrel{\‾}{x}){(x_i-\stackrel{\‾}{x})}^T$

2)计算相关矩阵的特征根，计算|∑-λI|＝0，得到m个特征根，排列为λ₁≥λ₂≥...≥λ_m≥0

3)根据上述特征根，计算特征向量。得到：

a₁＝(a₁₁，a₂₁，...a_m1)^T，a₂＝(a₁₂，a₂₂，...a_m2)^T。。。a_m＝(a_1m，a_2m，...a_mm)^T

4)写出主属性：

F_i＝(a_1ix₁+a_2ix₂+...+a_mix_m)，i＝1，...，m，取其中的p(p＜m)个主属性作为新的属性向量，来取代原始数据，得到X_new＝[F₁，F₂，...，F_p]＝X[a₁，a₂，...，a_p]；

5)计算各主成分的贡献率

该贡献率表示各个属性之间的相关度，相关度越大，表示该属性成分综合原数据的能力越强，p的取值满足

一般情况取β∈[0.8～0.9]；

算法三：用BP神经网络预测复杂事件概率

算法过程：BP神经元(节点)(模仿了生物神经元所具有的三个最基本也是最重要的功能：加权、求和与转移。其中x1、x2...xi...xn分别代表来自神经元1、2...i...n的输入；wj1、wj2...wji...wjn则分别表示神经元1、2...i...n与第j个神经元的连接强度，即权值；bj为阈值；f(·)为传递函数；yj为第j个神经元的输出。第j个神经元的净输入值Sj为：

$S_j=\underset{i=1}{\overset{n}{\mathrm{\Σ}}}{w}_{\mathrm{ji}}\·x_i+b_j=W_{j}X+b_j$

其中：X＝[x₁，x₂…x_i…x_n]^T  W_j＝[w_j1，w_j2…w_ji…w_jn]。若视x0＝1，wj0＝bj，即令X及wj包括x0及wj0，则X＝[x₀，x₁，x₂…x_i…x_n]^T  W_j＝[w_j0，w_j1，w_j2…w_ji…w_jn]于是节点j的净输入Sj可表示为：

$S_j=\underset{i=0}{\overset{n}{\mathrm{\Σ}}}{w}_{\mathrm{ji}}{x}_i=W_{j}X$

净输入S_j通过传递函数(Transfer Function)f(·)后，便得到第j个神经元的输出yi：

$y_j=f\left(s_j\right)=f\left(\underset{i=0}{\overset{n}{\mathrm{\Σ}}}{w}_{\mathrm{ji}}{x}_i\right)=F\left(W_{j}X\right)$

式中f(·)是单调上升函数，而且必须是有界函数，因为细胞传递的信号不可能无限增加，必有一最大值。正向传播方法，设BP网络的输入层有n个节点，隐层有q个节点，输出层有m个节点，输入层与隐层之间的权值为v_ki，隐层与输出层之间的权值为w_jk，如图5.4所示。隐层的传递函数为f₁(·)，输出层的传递函数为f₂(·)，则隐层节点的输出为(将阈值写入求和项中)：

$z_k=f_1\left(\underset{i=0}{\overset{n}{\mathrm{\Σ}}}{v}_{\mathrm{ki}}{x}_i\right)k=\mathrm{1,2},......q$

输出层节点的输出为：

$y_j=f_2\left(\underset{k=0}{\overset{q}{\mathrm{\Σ}}}{w}_{\mathrm{jk}}{z}_k\right)j=\mathrm{1,2},......m$

至此B-P网络就完成了n维空间向量对m维空间的近似映射。

反向传播方法，输入P个学习样本，用x₁，x₂，…，x_F，…x_p来表示。第P个样本输入到网络后得到输出采用平方型误差函数，于是得到第p个样本的误差Ep：式中：

为期望输出。对于P个样本，全局误差为：

输出层权值的变化，采用累计误差BP算法调整w_jk，使全局误差E变小，即

式中：η为学习率；定义误差信号为：

其中第一项：

其中第二项：

是输出层传递函数的偏微分。于是：

由链定理得：

于是输出层各神经元的权值调整公式为：

隐层权值的变化，

${\mathrm{\Δv}}_{\mathrm{ki}}=-\mathrm{\η}\frac{\∂E}{\∂v_{\mathrm{ki}}}=-\mathrm{\η}\frac{\∂}{\∂v_{\mathrm{ki}}}\left(\underset{F=1}{\overset{P}{\mathrm{\Σ}}}{E}_P\right)=\underset{F=1}{\overset{P}{\mathrm{\Σ}}}(-\mathrm{\η}\frac{{\∂E}_P}{{\∂v}_{\mathrm{ki}}})$

定义误差信号为：

其中第一项：

依链定理有：

第二项：

是隐层传递函数的偏微分。于是：

由链定理得：

从而得到隐层各神经元的权值调整公式为：

${\mathrm{\Δv}}_{\mathrm{ki}}=\underset{F=1}{\overset{P}{\mathrm{\Σ}}}\underset{j=1}{\overset{m}{\mathrm{\Σ}}}\mathrm{\η}(t_j^p-y_j^p)f_2^{\′}\left(S_j\right)w_{\mathrm{jk}}{f}_1^{\′}\left(S_k\right)\·x_i$

算法四：计算单个事件引起的安全风险：

$R_{\mathrm{ei}}=f(P_{\mathrm{ei}},L_{\mathrm{ei}})=G\frac{\mathrm{lost}\left(e_i\right)*p_{\mathrm{ei}}}{\mathrm{Effect}\left(e_i\right)}$

算法五：计算多个事件的整体安全风险，计算系统的整体风险值

根据上述四个算法得到每个事件的损失计算和概率计算，如果系统有n个事件发生，事件集合E＝{e₁，e₂，...，e_n}，则暂时不考虑事件之间关联的情况下，计算系统的总体风险如下：

$\mathrm{Risk}=\underset{i=1}{\overset{n}{\mathrm{\Σ}}}{R}_{\mathrm{ei}}=\underset{i=1}{\overset{n}{\mathrm{\Σ}}}G\frac{\mathrm{lost}\left(e_i\right)*p_{\mathrm{ei}}}{\mathrm{Effect}\left(e_i\right)}$

或者可以再归一化计算为：

$\mathrm{Risk}=G^1\underset{i=1}{\overset{n}{\mathrm{\Σ}}}{R}_{\mathrm{ei}}=G^1\underset{i=1}{\overset{n}{\mathrm{\Σ}}}G\frac{\mathrm{lost}\left(e_i\right)*p_{\mathrm{ei}}}{\mathrm{Effect}\left(e_i\right)}$

从机密性、完整性、可用性三方面分别计算系统风险值

令

设映射：

C(t)：R→K，表示系统的机密性风险度；

I(t)：R→K，表示系统的完整性风险度；

A(t)：R→K，表示系统的可用性风险度；

则令X＝{实体：：系统，子系统，模块，组件，…}，

x的风险度为：

表示从[0，t]的这一段时间，实体的各个安全指标处于风险状态的概率。各分量在系统初始时刻的取值安全度均假定为1，风险度均假定为0，最后将趋向于一个常数，记为τ_α(α∈{C，I，A}，则有：

$\stackrel{\→}{R}=[C(\∞),I(\∞),A(\∞)]=\left[({\mathrm{\τ}}_C,{\mathrm{\τ}}_I,{\mathrm{\τ}}_A)\right].$

整体风险计算过程根据现有常识，安全漏洞被利用的个数与时间t的比值几乎是一个常数。因此，可知τ_α(α∈{C，I，A}几乎不变。记实体上发生的每个事件的属性利用资产实体漏洞产生的风险率为λ(t)，则对各个安全指标的风险率为λ_α(α∈{C，I，A}；若事件发生概率为p_i，则可得到则安全度为

根据系统的结构，只考虑串联结构和并联结构，分别计算实体i上发生的每个事件产生的风险。设定事件i在实体i上导致的风险率为(λ_iC，λ_iI，λ_iA)，以及事件利用漏洞的概率p_i，则事件i引起的风险度为：

${\stackrel{\→}{R}}_i=\stackrel{\→}{I}-\mathrm{Sec}\×p_i=\stackrel{\→}{I}-(\stackrel{\←}{I}-[e^{{\mathrm{\λ}}_{C}t},e^{{\mathrm{\λ}}_{I}t},e^{{\mathrm{\λ}}_{A}t}\left]\right)p_i$

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (2)

1.一种网络风险评估方法，该方法主要包括以下步骤：

根据所管理网络的要求，使用多维数据探测器采集各种数据；

计算属性已知的事件发生的概率，根据历史样本中该世间发生的次数与总样本事件数的比值来确定该事件发生的概率；

计算属性未知的事件发生的概率；

预测复杂事件概率；

计算单个事件引起的安全风险；

计算多个事件的整体安全风险，计算系统的整体风险值，其中，

根据前述步骤中得到的每个事件的损失计算和概率计算，如果系统有n个事件发生，事件集合E＝{e₁，e₂，...，e_n}，则计算系统的总体风险为

其中，i为事件标识号，t为时间段，事件利用漏洞的概率p_i，安全漏洞被利用的个数与时间t的比值几乎是一个常数；因此，可知τ_α(α∈{C，I，A}几乎不变；记实体上发生的每个事件的属性利用资产实体漏洞产生的风险率为λ(t)，则对各个安全指标的风险率为λ_α(α∈{C，I，A})；若事件发生概率为p_i，则可得到

则安全度为

2.一种网络风险评估系统，该系统包括多个数据探测器，通过总线接收由多个数据探测器探测到的关于待测系统的数据的多维数据风险识别单元，以及计算单个事件的安全风险以及多个事件的整体安全风险，并计算系统的整体风险值的风险智能决策单元；其中，该多维数据风险识别单元被配置为：

计算属性已知的事件发生的概率，根据历史样本中该世间发生的次数与总样本事件数的比值来确定该事件发生的概率；

计算属性未知的事件发生的概率；

预测复杂事件概率；

该风险智能决策单元被配置为：

计算单个事件引起的安全风险；

计算多个事件的整体安全风险，计算系统的整体风险值，其中，根据前述步骤中得到的每个事件的损失计算和概率计算，如果系统有n个事件发生，事件集合E＝{e₁，e₂，...，e_n}，则计算系统的总体风险为

其中，i为事件标识号，t为时间段，事件利用漏洞的概率p_i，安全漏洞被利用的个数与时间t的比值几乎是一个常数；因此，可知τ_α(α∈{C，I，A}几乎不变；记实体上发生的每个事件的属性利用资产实体漏洞产生的风险率为λ(t)，则对各个安全指标的风险率为λ_α(α∈{C，I，A})；若事件发生概率为p_i，则可得到

则安全度为

Images