CN102710641A - 一种安全配置优化的方法及装置 - Google Patents

Abstract

本发明公开了一种安全配置优化的方法及装置，用以解决现有技术中配置后的系统使用性较低的问题。该方法根据系统中包括的每个配置项对应的安全性权值，确定所包含的每个配置项对应的安全性权值的和值大于设定安全阈值的配置项组合，根据每个配置相对应的使用性损失权值，在确定的配置项组合中，选择所包含的每个配置相对应的使用性损失权值的和值最小的配置项组合，根据选择出的配置项组合中包含的配置项配置该系统。通过上述方法，选择出的配置项组合为既满足系统的安全性要求，又对系统的使用性影响程度最低的配置项组合，因此根据选择出的配置项组合配置系统，可以使配置后的系统在满足安全性要求的同时，提高系统的使用性。

Description

一种安全配置优化的方法及装置

技术领域

本发明涉及网络安全领域，尤其涉及一种安全配置优化的方法及装置。

背景技术

随着网络安全问题的日益突出，各企业根据业务需求、网络环境建立了各自的安全配置规范，并依据安全配置规范对操作系统、数据库、应用软件和网络设备进行系统配置，在系统配置过程中，通常仅考虑安全性的要求，忽略了使用的方便性。另一方面，也很难从众多的配置项中找到既满足安全性，又提高使用性的配置项组合。

以一个简单的例子说明。假设将一个系统的网线接口、通用串行总线（Universal Serial Bus，USB）接口、光驱、软驱四个配置项设置为禁用，配置后的系统与外界隔离，是非常安全的。但是，由于配置后的系统不能与外界发生任何的信息交互，导致该系统的使用性较低。

发明内容

本发明实施例提供一种安全配置优化的方法及装置，用以解决现有技术中配置后的系统虽然可以满足安全性的要求，但是使用性较低的问题。

本发明实施例提供的一种安全配置优化的方法，包括：

优化装置确定系统中包括的配置项；并

根据预先设定的每个配置项对应的安全性权值，确定满足指定条件的配置项组合，其中，满足指定条件的配置项组合具体为：所包含的每个配置项对应的安全性权值的和值大于设定安全阈值的配置项组合；以及

根据预先设定的每个配置项对应的使用性损失权值，在确定的满足指定条件的配置项组合中，选择所包含的每个配置项对应的使用性损失权值的和值最小的配置项组合；

所述优化装置根据选择出的配置项组合中包含的配置项，配置所述系统。

本发明实施例提供的一种安全配置优化的装置，包括：

配置项确定模块，用于确定系统中包括的配置项；

配置项组合确定模块，用于根据预先设定的每个配置项对应的安全性权值，确定满足指定条件的配置项组合，其中，满足指定条件的配置项组合具体为：所包含的每个配置项对应的安全性权值的和值大于设定安全与之的配置项组合；

选择模块，用于根据预先设定的每个配置项对应的使用性损失权值，在确定的满足指定条件的配置项组合中，选择所包含的每个配置项对应的使用性损失权值的和值最小的配置项组合；

优化模块，用于根据选择出的配置项组合中包含的配置项，配置所述系统。

本发明实施例提供一种安全配置优化的方法及装置，该方法根据系统中包括的每个配置项对应的安全性权值，确定所包含的每个配置项对应的安全性权值的和值大于设定安全阈值的配置项组合，根据每个配置相对应的使用性损失权值，在确定的配置项组合中，选择所包含的每个配置相对应的使用性损失权值的和值最小的配置项组合，根据选择出的配置项组合中包含的配置项配置该系统。通过上述方法，选择出的配置项组合为既满足系统的安全性要求，又对系统的使用性影响程度最低的配置项组合，因此根据选择出的配置项组合配置系统，可以使配置后的系统在满足安全性要求的同时，提高系统的使用性。

附图说明

图1为本发明实施例提供的安全配置优化的过程；

图2为本发明实施例提供的确定所包含的每个配置项对应的安全性权值的和值大于设定安全阈值，且，所包含的每个配置相对应的使用性损失权值的和值最小的配置项组合的过程；

图3为本发明实施例提供的第一种调整向量集合的过程；

图4为本发明实施例提供的第二种调整向量集合的过程；

图5为本发明实施例提供的第三种调整向量集合的过程；

图6为本发明实施例提供的安全配置优化的详细过程；

图7为本发明实施例提供的安全配置优化的装置结构示意图。

具体实施方式

由于现有技术中在配置系统中的配置项时，只考虑了配置项对系统安全性的影响，并未考虑配置项对系统使用性的影响，因此往往使配置后的系统虽然可以满足安全性的要求，但使用性很低。本发明实施例旨在从系统包括的配置项中，选择出在满足系统安全性要求的前提下，使系统使用性的降低程度最小的一种配置项组合，则按照选择出的配置项组合配置系统后，可以使配置后的系统在满足安全性要求的前提下，尽量提高系统的使用性。

下面结合说明书附图，对本发明实施例进行详细描述。

图1为本发明实施例提供的安全配置优化的过程，具体包括以下步骤：

S101：优化装置确定系统中包括的配置项。

在本发明实施例中，优化装置首先确定系统中包括哪些配置项。

S102：根据预先设定的每个配置项对应的安全性权值，确定满足指定条件的配置项组合。

其中，满足指定条件的配置项组合具体为：所包含的每个配置项对应的安全性权值的和值大于设定安全阈值的配置项组合。

对于不同的系统来说，不同的系统所要求的安全性不同，而对于同一个系统来说，同一个系统在不同的环境下所要求的安全性也不同。因此在实际应用中，通常针对不同的系统和不同的环境设定不同的安全基线，用来对相应环境下相应系统的安全性进行评估。具体的，安全基线中设定了系统中每个配置项对应的安全性权值，在通过安全基线对系统的安全性进行评估时，如果系统中配置的各配置项对应的安全性权值的和值大于该安全基线中的设定安全阈值，则说明该系统满足该安全基线规定的安全性要求，否则，说明该系统不满足该安全基线规定的安全性要求。其中，对于系统中的同一个配置项而言，该同一个配置项在不同的安全基线中所对应的安全性权值可能不同，安全性权值越大，说明该配置项可以提高该系统的安全性的程度越高，安全性权值越小，说明该配置项可以提高该系统的安全性的程度越低。

在本发明实施例中，优化装置根据当前的安全基线，确定当前的安全基线中设定的该系统中每个配置项对应的安全性权值，根据确定的每个配置项对应的安全性权值，确定所包含的每个配置相对应的安全性权值的和值大于设定安全阈值的配置项组合，也即确定可以使该系统满足当前的安全基线规定的安全性要求的配置项组合。

例如，该系统中包括三个配置项：配置项1、配置项2、配置项3，根据当前的安全基线，配置项1对应的安全性权值为3，配置项2对应的安全性权值为2，配置项3对应的安全性权值为5。

假设当前的安全基线中设定安全阈值为6，则由于包含配置项1和配置项3的配置项组合中，配置项1对应的安全性权值3和配置项3对应的安全性权值5的和值为8，大于设定安全阈值6，因此包含配置项1和配置项3的配置项组合可以使系统满足当前的安全基线规定的安全性要求，从而包含配置项1和配置项3的配置项组合为满足指定条件的配置项组合。

相应的，包含配置项2和配置项3的配置项组合、包含配置项1、配置项2和配置项3的配置项组合也是满足指定条件的组合。

对于包含配置项1和配置项2的配置项组合，由于该配置项组合中配置项1对应的安全性权值3与配置项2对应的安全性权值2的和值为5，小于设定安全阈值6，因此包含配置项1和配置项2的配置项组合不是满足指定条件的配置项组合。

S103：根据预先设定的每个配置项对应的使用性损失权值，在确定的满足指定条件的配置项组合中，选择所包含的每个配置项对应的使用性损失权值的和值最小的配置项组合。

在本发明实施例中，可以针对该系统中包含的每个配置项，预先设定每个配置项对应的使用性损失权值。对于一个配置项而言，该配置项对应的使用性损失权值即为该配置项对系统的使用性降低的程度的量化值，使用性损失权值越大，说明该配置项对系统的使用性降低的程度越大，使用性损失权值越小，说明该配置项对系统的使用性降低的程度越小。

为了保证在满足系统安全性要求的前提下，尽量提高系统的使用性，本发明实施例在上述步骤S102中确定的满足指定条件的配置项组合中，选择出包含的每个配置项对应的使用性损失权值的和值最小的配置项组合，因此选择出的配置项组合可以使系统满足安全性的要求，并且对系统的使用性降低的程度最低。

继续沿用上例，假设预先设置的配置项1对应的使用性损失权值为3，配置项2对应的使用性损失权值为4，配置项3对应的使用性损失权值为3，则包含配置项1和配置项3的配置项组合中每个配置项对应的使用性损失权值为6，包含配置项2和配置项3的配置项组合中每个配置项对应的使用性损失权值为7，包含配置项1、配置项2和配置项3的配置项组合中每个配置项对应的使用性损失权值的和值为10。因此，选择出的配置项组合即为包含配置项1和配置项3的配置项组合。

S104：优化装置根据选择出的配置项组合中包含的配置项，配置该系统。

也即，优化装置为该系统配置选择出的配置项中所包含的每个配置项。

继续沿用上例，为该系统配置配置项1和配置项3。配置后的系统既可以满足当前安全基线规定的安全性要求，又可以尽量提高系统的使用性。

在上述过程中，优化装置先根据系统中包括的每个配置项对应的安全性权值，确定所包含的每个配置项对应的安全性权值的和值大于设定安全阈值的配置项组合，再根据每个配置相对应的使用性损失权值，在确定的配置项组合中，选择所包含的每个配置相对应的使用性损失权值的和值最小的配置项组合，选择出的配置项组合为既满足系统的安全性要求，又对系统的使用性影响程度最低的配置项组合，因此根据选择出的配置项组合配置系统，可以使配置后的系统在满足安全性要求的同时，提高系统的使用性。

考虑到实际应用中一个系统中包括的配置项的数量会很庞大，在数量庞大的配置项中确定出所包含的每个配置项对应的安全性权值的和值大于设定安全阈值，且，所包含的每个配置相对应的使用性损失权值的和值最小的配置项组合的效率会很低，而且也需要很大的计算量，因此本发明实施例中采用遗传算法确定所包含的每个配置项对应的安全性权值的和值大于设定安全阈值，且，所包含的每个配置相对应的使用性损失权值的和值最小的配置项组合，如图2所示。

图2为本发明实施例提供的确定所包含的每个配置项对应的安全性权值的和值大于设定安全阈值，且，所包含的每个配置相对应的使用性损失权值的和值最小的配置项组合的过程，具体包括以下步骤：

S201：确定设定数量的满足指定条件的配置项组合。

该步骤对应图1所示的步骤S102，也即在图1所示的步骤S102中，优化装置根据预先设定的每个配置项对应的安全性权值，确定满足指定条件的配置项组合时，确定设定数量的满足指定条件的配置项组合。其中，该设定数量可以根据需要进行设定。

例如，该系统中包括n个配置项，根据预先为这n个配置项设定的安全性权值，可以确定出的所有所包含的每个配置项对应的安全性权值的和值大于设定安全阈值的配置项组合的数量可能是很庞大的，也即可以确定出的所有满足指定条件的配置项组合的数量可能是很庞大的，因此先只确定设定数量的满足指定条件的配置项组合。假设该设定数量为100，则先确定100个满足指定条件的配置项组合。

当然，确定的该设定数量的满足指定条件的配置项组合各不相同。

S202：针对确定的满足指定条件的配置项组合，采用设定的方法生成该配置项组合对应的向量。

其中，采用设定的方法生成该配置项组合对应的向量具体为：生成包含的每个元素与该系统中包括的每个配置项一一对应的向量，针对生成的向量中的每个元素，如果该元素对应的配置项包含在该配置项组合中，则将该元素的值置为第一数值，如果该元素对应的配置项未包含在该配置项组合中，则将该元素的值置为第二数值。其中，该第一数值和第二数值均可以根据需要设定，只要保证第一数值和第二数值不同即可。

该步骤是图1所示的步骤S102和步骤S103之间插入的步骤，主要是将确定出的满足指定条件的配置项组合以向量进行表示，以便于后续选择出使系统的使用性降低的程度最低的配置项组合。

继续沿用上例，由于该系统中包括n个配置项，因此生成向量[x₁，x₂,x₃，……,x_n]，其中该向量中的第一个元素x₁与这n个配置项中的第1个配置项对应，第二个元素x₂与这n个配置项中的第2个配置项对应，以此类推，第n个元素x_n与这n个配置项中的第n个配置项对应。

假设将第一数值设定为1，第二数值设定为0，针对确定出的100个满足指定条件的配置项组合中的某个配置项组合，如果该配置项组合包括这n个配置项中的第1个配置项、第3个配置项和第n个配置项，则将生成的上述向量中的第1个元素、第3个元素和第n个元素的值置为1，其他元素的值置为0，得到向量[1,0,1,0,0,……,1]，该向量即为该配置项对应的向量。相应的，采用上述方法分别生成这100个满足指定条件的配置项组合对应的向量，共生成了100个向量。

S203：以生成的各配置项组合对应的向量构成向量集合。

继续沿用上例，针对确定的100个满足指定条件的配置项组合，将生成的第1个配置项组合对应的向量记为X₁，第2个配置项组合对应的向量记为X₂，以此类推，第100个配置项组合对应的向量记为X₁₀₀，则生成的这100个向量构成的向量集合为{X₁,X₂,X₃,……X₁₀₀}。

S204：采用公式

确定该向量集合中每个向量对应的适应性系数。

其中，F_i为该向量集合中第i个向量对应的适应性系数，U_i为第i个向量中所有数值为第一数值的元素对应的配置项的使用性损失权值的和值，M为该系统中包括的每个配置项的使用性损失权值的和值。

继续沿用上例，确定该系统中包括的每个配置项对应的使用性损失权值的和值M，针对向量集合{X₁,X₂,X₃,……X₁₀₀}中的第i个向量X_i，确定该向量X_i中所有数值为1的元素对应的配置项的使用性损失权值的和值U_i，也即，确定该向量X_i对应的配置项组合中包含的每个配置项对应的使用性损失权值的和值U_i，确定U_i与M的比值，确定1与该比值的差值，将该差值作为该向量X_i的适应性系数。

S205：确定该向量集合中适应性系数最大的向量为备选向量。

继续沿用上例，确定了向量集合{X₁,X₂,X₃,……X₁₀₀}中每个向量的适应性系数后，假设向量集合{X₁,X₂,X₃,……X₁₀₀}中第j个向量X_j的适应性系数最大，则将该第j个向量X_j确定为备选向量。

S206：调整该向量集合中的一个或几个向量，得到调整后的向量集合。

在本发明实施例中，可以采用任何方法对该向量集合中的一个或几个向量进行调整，例如将某个向量（或者某几个向量）中的一个或几个值为第一数值的元素调整为第二数值，或者值为第二数值的元素调整为第一数值等等。调整某个向量或某几个向量，将得到的调整后的向量与该向量集合中的其他向量构成的向量集合作为得到的调整后的向量集合。

S207：将调整后的向量集合中适应性系数最大的向量重新确定为备选向量。

继续沿用上例，假设对向量集合{X₁,X₂,X₃,……X₁₀₀}中的第1个向量X₁进行了调整，得到向量X′₁，对第2个向量X₂也进行了调整，得到向量X′₂，则将调整后的向量X′₁和X′₂，以及该向量集合中的其他向量X₃、X₄、……X₁₀₀构成的向量集合{X′₁,X′₂,X₃,X₄……X₁₀₀}作为得到的调整后的向量集合。

按照与上述步骤S204基本相同的方法确定调整后的向量X′₁和X′₂的适应性系数，假设得到的调整后的向量集合{X′₁,X′₂,X₃,X₄……X₁₀₀}中适应性系数最大的向量是X′₂，则将X′₂重新确定为备选向量。

S208：判断重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值是否在设定范围内，若是，则执行步骤S209，否则执行步骤S210。

由于本发明实施例中向量集合中每个向量对应的配置项组合都是满足指定条件的配置项组合，也即所包含的每个配置项对应的安全性权值的和值大于设定安全阈值的配置项组合，而其中适应性系数最大的向量对应的配置项组合就是所包含的每个配置项对应的使用性损失权值的和值最小的配置项组合，因此，步骤S205中确定的备选向量对应的配置项组合就是在确定的设定数量的满足指定条件的配置项组合中，所包含的每个配置项对应的使用性损失权值的和值最小的配置项组合。

但是由于可以确定出的满足指定条件的配置项组合的数量很庞大，步骤S205中确定出的备选向量对应的配置项组合只是在设定数量的满足指定条件的配置项组合中，所包含的每个配置项对应的使用性损失权值的和值最小的配置项组合，因此还要通过步骤S206对向量进行调整，通过步骤S207重新确定备选向量，并通过步骤S208，判断重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值是否在设定范围内，该设定范围可以设定为(0,w)，其中w可以为任何大于0的正数。

较佳的，w可以设定为大于0且较小的正数。也即，判断重新确定的备选向量对应的配置项组合使系统的使用性降低的程度是否明显低于上一次确定的备选向量对应的配置项组合使系统的使用性降低的程度。

S209：将重新确定的备选向量对应的配置项组合确定为选择出的配置项组合。

也即，如果重新确定的备选向量对应的配置项组合使系统的使用性降低的程度低于上一次确定的备选向量对应的配置项组合使系统的使用性降低的程度，但比较接近，则认为即使再调整向量集合，得到的适应性系数最大的向量对应的配置项组合，也不会再进一步降低使系统的使用性降低的程度了，因此将该重新确定的备选向量对应的配置项组合确定为选择出的配置项组合。在后续的步骤中，则根据选择出的该配置项组合所包含的配置项，配置该系统。

S210：继续对调整后的向量集合进行调整，并返回步骤S207。

也即，如果重新确定的备选向量对应的配置项组合使系统的使用性降低的程度明显低于上一次确定的备选向量对应的配置项组合使系统的使用性降低的程度，或者，重新确定的备选向量对应的配置项组合使系统的使用性降低的程度明显高于上一次确定的备选向量对应的配置项组合使系统的使用性降低的程度，则需要再次调整向量集合，重新得到的适应性系数最大的向量对应的配置项组合，因此继续对调整后的向量集合进行调整，直至重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值在设定范围内为止。

上述步骤S203~S210对应图1所示的步骤S103，也即在确定出的满足指定条件的配置项组合中，选择出所包含的每个配置项对应的使用性损失权值的和值最小的配置项集合。

另外，针对图2所示的步骤S206中对向量集合进行调整的方法，本发明实施例提供了以下三种较佳的调整方法，如图3、图4、图5所示。

第一种：交叉调整，如图3所示。图3为本发明实施例提供的第一种调整向量集合的过程，具体包括以下步骤：

S301：在该向量集合中随机选择两个向量。

继续沿用上例，优化装置在向量集合{X₁,X₂,X₃,……X₁₀₀}中随机选择两个向量，假设选择的两个向量为向量X₁和向量X₂。

S302：将选择的两个向量中随机数量的相同位置上的元素相互调换，得到调整后的两个向量。

继续沿用上例，假设向量X₁为[x_1，1,x_1，2，x_1，3,……,x_1，n]，向量X₂为[x_2，1，x_2，2，x_2，3，……,x_2,n]，其中，这两个向量中的每个元素为1或0。将这两个向量中随机数量的相同位置上的元素相互调换为：假设随机数量为3个，则可以将向量X₁中的前3个元素与向量X₂中相同位置的元素进行调换，也即，调整后的向量X′₁为[x_2，1，x_2，2，x_2，3，x_1，4，x_1，5，……,x_1,n]，调整后的向量X′₂为[x_1,1,x_1,2,x_1,3,x_2,4,x_2,5,……,x_2,n]。

S303：确定调整后的两个向量分别对应的配置项组合。

继续沿用上例，分别确定调整后的向量X′₁和向量X′₂对应的配置项组合。

S304：判断调整后的两个向量分别对应的配置项组合是否均满足指定条件，若是，则执行步骤S305，否则执行步骤S306。

也即，针对调整后的两个向量，判断调整后的向量对应的配置项组合中所包含的每个配置项对应的安全性权值的和值是否大于设定安全阈值。这是因为后续仍然要从调整后的向量集合中确定出备选向量，因此要保证调整后的向量集合中的每个向量对应的配置项组合仍然都是满足指定条件的配置项组合。

S305：将调整后的两个向量与该向量集合中的其他向量构成的向量集合确定为得到的调整后的向量集合。

如果调整后的两个向量分别对应的配置项组合均满足指定条件，则交叉调整成功，将调整后的两个向量与该向量集合中的其他向量构成的向量集合确定为得到的调整后的向量集合。

S306：在该向量集合中重新选择两个向量，返回步骤S302。

如果调整后的两个向量分别对应的配置项组合中至少一个不满足指定条件，则交叉调整失败，在该向量集合中重新选择两个向量进行调整，直至调整后的两个向量分别对应的配置项组合均满足指定条件为止。

第二种、变异调整，如图4所示。图4为本发明实施例提供的第二种调整向量集合的过程，具体包括以下步骤：

S401：在该向量集合中随机选择一个向量，并在选择的向量中随机选择一个元素，执行步骤S402或S403。

继续沿用上例，优化装置在向量集合{X₁,X₂,X₃,……X₁₀₀}中随机选择一个向量，假设选择的一个向量为向量X₂＝[x_2，1,x_2，2，x_2，3，……,x_2,n]，则在选择的向量X₂中随机选择一个元素，假设选择的元素为x_2，1，则当选择的该元素x_2，1的值为1（第一数值）时，执行步骤S402，当选择的该元素x_2，1的值为0（第二数值）时，执行步骤S403。

S402：当选择的元素的值为第一数值时，根据预先为该选择的元素对应的配置项设置的由第一数值变为第二数值的概率，以该概率将选择的元素的值由第一数值调整为第二数值，执行步骤S404。

在本发明实施例中，可以预先针对系统中包括的每个配置项，设定配置项对应的元素由第一数值变为第二数值的概率。

继续沿用上例，可以预先设定系统中包括的n个配置项分别对应的x₁,x₂,x₃,……,x_n这n个元素由1（第一数值）变为0（第二数值）的概率。具体的，对于某个配置项来说，如果该配置项可以较大的提升系统的安全性，又可以使系统的使用性降低的程度较小，则设定该配置项对应的元素由1变为0的概率较小，例如为0.1。反之，如果该配置项对系统的安全性提升的较小，但是却会使系统的使用性降低的程度较大，则设定该配置项对应的元素由1变为0的概率较大，例如为0.9。

当选择的该元素x_2，1的值为1（第一数值）时，假设预先设定的该元素x_2，1由1变为0的概率为0.9，则以0.9的概率将该元素x_2，1的值由1调整为0。

S403：当选择的元素的值为第二数值时，根据预先为该选择的元素对应的配置项设置的由第二数值变为第一数值的概率，以该概率将选择的元素的值由第二数值调整为第一数值，执行步骤S404。

在本发明实施例中，可以预先针对系统中包括的每个配置项，设定配置项对应的元素由第二数值变为第一数值的概率。

继续沿用上例，可以预先设定系统中包括的n个配置项分别对应的x₁,x₂,x₃,……,x_n这n个元素由0（第二数值）变为1（第一数值）的概率。具体的，对于某个配置项来说，如果该配置项可以较大的提升系统的安全性，又可以使系统的使用性降低的程度较小，则设定该配置项对应的元素由0变为1的概率较大，例如为0.9。反之，如果该配置项对系统的安全性提升的较小，但是却会使系统的使用性降低的程度较大，则设定该配置项对应的元素由0变为1的概率较小，例如为0.1。

当选择的该元素x_2，1的值为0（第二数值）时，假设预先设定的该元素x_2，1由0变为1的概率为0.9，则以0.9的概率将该元素x_2，1的值由0调整为1。

S404：判断调整后的向量对应的配置项组合是否满足指定条件，若是，则执行步骤S405，否则返回步骤S401。

同样的，为了保证调整后的向量集合中的每个向量对应的配置项组合仍然都是满足指定条件的配置项组合，因此要判断调整后的向量对应的配置项组合中所包含的每个配置项对应的安全性权值的和值是否大于设定安全阈值。

若大于，则调整后的向量对应的配置项组合满足指定条件，将调整后的向量与该向量集合中的其他向量构成的向量集合确定为得到的调整后的向量集合，也即执行步骤S405。

若不大于，则重新在该向量集合中随机选择一个向量进行调整，直至调整后的向量对应的配置项组合满足指定条件为止。

S405：将调整后的向量与该向量集合中的其他向量构成的向量集合确定为得到的调整后的向量集合。

第三种、选择调整，如图5所示。图5为本发明实施例提供的第三种调整向量集合的过程，具体包括以下步骤：

S501：根据该向量集合中的每个向量对应的适应性系数，采用公式

确定每个向量的选择概率，其中，P_i为该向量集合中第i个向量的选择概率，N为所述设定数量。

继续沿用上例，对于向量集合{X₁,X₂,X₃,……X₁₀₀}中的第i个向量X_i，由于之前已经采用公式

确定了该第i个向量X_i的适应性系数，因此可以采用公式

确定向量X_i的选择概率。可见，由于是固定不变的，因此向量X_i的适应性系数越大，该向量X_i的选择概率越大，也即，该向量X_i对应的配置项组合可以使系统的使用性降低的程度越低，该向量X_i的选择概率越大。

S502：针对向量集合中的每个向量执行：确定该向量的选择概率与该设定数量的乘积，对确定的乘积进行四舍五入取整，将得到的取整值作为该向量的复制数量，并复制该向量，复制该向量的数量为该向量的复制数量。

继续沿用上例，优化装置在该向量集合{X₁,X₂,X₃,……X₁₀₀}中，针对第i个向量X_i，假设上述步骤S501计算出的该向量X_i的选择概率为0.046，则确定该向量X_i的选择概率0.046与设定数量100的乘积为4.6，对该乘积4.6进行四舍五入取整得到的取整值为5，则该向量X_i的复制数量即为5，复制该向量X_i，复制向量X_i的数量即为5个，也即复制5个向量X_i。其中，如果确定的某个向量的复制数量为0，则不复制该向量。同样的，针对该向量集合{X₁,X₂,X₃,……X₁₀₀}都进行步骤S502的操作后，就会得到复制的各向量。

S503：以复制的各向量构成的向量集合作为得到的调整后的向量集合。

继续沿用上例，假设上述步骤S502中针对向量集合{X₁,X₂,X₃,……X₁₀₀}中的每个向量，复制了30个向量X₁，复制了20个向量X₂，复制了45个向量X₃，复制了5个向量X_i，则以复制的这30个向量X₁、20个向量X₂、45个向量X₃、5个向量X_i构成的向量集合作为得到的调整后的向量集合。

其中，由于步骤S502中是按照四舍五入的方式对向量集合中每个向量的选择概率与设定数量的乘积进行取整，得到每个向量的复制数量的，因此步骤S503中以复制的各向量构成的向量集合作为得到的调整后的向量集合时，调整后的向量集合中所包含的向量的数量可能会超过该设定数量或少于该设定数量。

如果调整后的向量集合中所包含的向量的数量超过该设定数量，则可以随机将调整后的向量集合中的一个或几个向量删除，使删除了一个或几个向量后的向量集合中包含的向量的数量为该设定数量。当然，删除一个或几个向量时，可以按照各向量的适应性系数从小到大的顺序进行删除，直至调整后的向量集合中包含的向量的数量为该设定数量为止。

如果调整后的向量集合中所包含的向量的数量少于该设定数量，则可以将调整后的向量集合中的向量复制一个或几个并添加到调整后的向量集合中，使添加了向量后的向量集合中包含的向量的数量为该设定数量。当然，将调整后的向量集合中的向量复制一个或几个并添加到调整后的向量集合中时，可以将调整后的向量集合中适应性系数最大的向量复制一个或几个，并添加到调整后的向量集合中，直至调整后的向量集合中包含的向量的数量为该设定数量为止。

通过上述选择调整，调整后的向量集合则可能会包含相同的向量，并且调整后的向量集合相对于调整前的向量集合而言，也相当于删掉了调整前的向量集合中的某个或某几个向量。

较佳的，本发明实施例中在调整向量集合中的向量时，可以将上述交叉调整、变异调整和选择调整三种调整方法。结合了上述三种调整方法时，具体的配置优化的过程如图6所示。

图6为本发明实施例提供的安全配置优化的详细过程，具体包括以下步骤：

S601：优化装置确定系统中包括的配置项。

S602：根据预先设定的每个配置项对应的安全性权值，确定设定数量的满足指定条件的配置项组合。

在本发明实施例中，满足指定条件的配置项组合具体为：所包含的每个配置项对应的安全性权值的和值大于设定安全阈值的配置项组合。还可以为：所包含的每个配置项对应的安全性权值的和值与该系统中包括的所有配置项对应的安全性权值的和值的比值，大于设定安全阈值的配置项组合。

S603：针对确定的满足指定条件的配置项组合，采用设定的方法生成该配置项组合对应的向量。

其中，采用设定的方法生成该配置项组合对应的向量具体为：生成包含的每个元素与该系统中包括的每个配置项一一对应的向量，针对生成的向量中的每个元素，如果该元素对应的配置项包含在该配置项组合中，则将该元素的值置为第一数值，如果该元素对应的配置项未包含在该配置项组合中，则将该元素的值置为第二数值。

S604：以生成的各配置项组合对应的向量构成向量集合。

S605：采用公式

确定该向量集合中每个向量对应的适应性系数。

S606：确定该向量集合中适应性系数最大的向量为备选向量。

S607：采用选择调整的方法调整该向量集合。

也即，采用如图5所示的选择调整的方法调整该向量集合。

S608：采用交叉调整的方法，对步骤S607得到的向量集合进行调整。

也即，采用如图3所示的交叉调整的方法，对步骤S607得到的向量集合进行进一步调整。

S609：采用变异调整的方法，对步骤S608得到的向量集合进行调整。

也即，采用如图4所示的变异调整的方法，对步骤S608得到的向量集合在一次进行调整，得到调整后的向量集合。

S610：将调整后的向量集合中适应性系数最大的向量重新确定为备选向量。

S611：判断重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值是否在设定范围内，若是，则执行步骤S612，否则返回步骤S607。

S612：将重新确定的备选向量对应的配置项组合确定为选择出的配置项组合。

在图6所示的过程中，步骤S607、S608、S609的执行顺序不分先后。

并且为了进一步提高系统的使用性，在图6所示的步骤S611之前，也即判断重新确定的备选向量的适应性系数与上一次确定的备选向量的使用性系数的差值是否在设定范围内之前，还要确定调整该向量集合的次数已经超过设定次数。也即，在重复执行步骤S608~S609设定次数之后，再判断重新确定的备选向量的适应性系数与上一次确定的备选向量的使用性系数的差值是否在设定范围内。其中，该设定次数可以根据要进行设定，例如200次。

图7为本发明实施例提供的安全配置优化的装置结构示意图，具体包括：

配置项确定模块701，用于确定系统中包括的配置项；

配置项组合确定模块702，用于根据预先设定的每个配置项对应的安全性权值，确定满足指定条件的配置项组合，其中，满足指定条件的配置项组合具体为：所包含的每个配置项对应的安全性权值的和值大于设定安全与之的配置项组合；

选择模块703，用于根据预先设定的每个配置项对应的使用性损失权值，在确定的满足指定条件的配置项组合中，选择所包含的每个配置项对应的使用性损失权值的和值最小的配置项组合；

优化模块704，用于根据选择出的配置项组合中包含的配置项，配置所述系统。

所述配置项组合确定模块702具体用于，确定设定数量的满足指定条件的配置项组合；

所述装置还包括：

向量确定模块705，用于针对确定的满足指定条件的配置项组合，采用设定的方法生成该配置项组合对应的向量，其中，采用设定的方法生成该配置项组合对应的向量具体为：生成包含的每个元素与所述系统中包括的每个配置项一一对应的向量，针对生成的向量中的每个元素，如果该元素对应的配置项包含在该配置项组合中，则将该元素的值置为第一数值，如果该元素对应的配置项未包含在该配置项组合中，则将该元素的值置为第二数值；

所述选择模块703具体用于，以生成的各配置项组合对应的向量构成向量集合；采用公式

确定所述向量集合中每个向量对应的适应性系数，其中，F_i为所述向量集合中第i个向量对应的适应性系数，U_i为第i个向量中所有数值为所述第一数值的元素对应的配置项的使用性损失权值的和值，M为所述系统中包括的每个配置项的使用性损失权值的和值；确定所述向量集合中适应性系数最大的向量为备选向量；调整所述向量集合中的一个或几个向量，得到调整后的向量集合，将调整后的向量集合中适应性系数最大的向量重新确定为备选向量；判断重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值是否在设定范围内，若是，则将重新确定的备选向量对应的配置项组合确定为选择出的配置项组合，否则，继续对调整后的向量集合进行调整，直至重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值在设定范围为止。

所述选择模块703具体包括：

第一调整单元7031，用于在所述向量集合中随机选择两个向量；将选择的两个向量中相同位置上的元素相互调换，得到调整后的两个向量；确定调整后的两个向量分别对应的配置项组合，判断调整后的两个向量分别对应的配置项组合是否均满足指定条件，若是，则将调整后的两个向量与所述向量集合中的其他向量构成的向量集合确定为得到的调整后的向量集合，否则，在所述向量集合中重新选择两个向量进行调整，直至调整后的两个向量分别对应的配置项组合均满足指定条件为止。

所述选择模块703具体包括：

第二调整单元7032，用于在所述向量集合中随机选择一个向量，并在选择的向量中随机选择一个元素；当选择的元素的值为第一数值时，根据预先为该选择的元素对应的配置项设置的由第一数值变为第二数值的概率，以该概率将选择的元素的值由第一数值调整为第二数值；当选择的元素的值为第二数值时，根据预先为该选择的元素对应的配置项设置的由第二数值变为第一数值的概率，以该概率将选择的元素的值由第二数值调整为第一数值；判断调整后的向量对应的配置项组合是否满足指定条件，若是，则将调整后的向量与所述向量集合中的其他向量构成的向量集合确定为得到的调整后的向量集合，否则，在所述向量集合中重新选择一个向量进行调整，直至调整后的向量对应的配置项组合满足指定条件为止。

所述选择模块703具体包括：

第三调整单元7033，用于根据所述向量集合中的每个向量对应的适应性系数，采用公式确定每个向量的选择概率，其中，P_i为所述向量集合中第i个向量的选择概率，N为所述设定数量；针对所述向量集合中的每个向量执行：确定该向量的选择概率与所述设定数量的乘积，对确定的乘积进行四舍五入取整，将得到的取整值作为该向量的复制数量，并复制该向量，复制该向量的数量为该向量的复制数量；以复制的各向量构成的向量集合作为得到的调整后的向量集合。

所述选择模块703还用于，在判断重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值是否在设定为范围之前，确定调整所述向量集合的次数已经超过设定次数。

本发明实施例提供一种安全配置优化的方法及装置，该方法根据系统中包括的每个配置项对应的安全性权值，确定所包含的每个配置项对应的安全性权值的和值大于设定安全阈值的配置项组合，根据每个配置相对应的使用性损失权值，在确定的配置项组合中，选择所包含的每个配置相对应的使用性损失权值的和值最小的配置项组合，根据选择出的配置项组合中包含的配置项配置该系统。通过上述方法，选择出的配置项组合为既满足系统的安全性要求，又对系统的使用性影响程度最低的配置项组合，因此根据选择出的配置项组合配置系统，可以使配置后的系统在满足安全性要求的同时，提高系统的使用性。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (12)

1.一种安全配置优化的方法，其特征在于，包括：

优化装置确定系统中包括的配置项；并

根据预先设定的每个配置项对应的安全性权值，确定满足指定条件的配置项组合，其中，满足指定条件的配置项组合具体为：所包含的每个配置项对应的安全性权值的和值大于设定安全阈值的配置项组合；以及

根据预先设定的每个配置项对应的使用性损失权值，在确定的满足指定条件的配置项组合中，选择所包含的每个配置项对应的使用性损失权值的和值最小的配置项组合；

所述优化装置根据选择出的配置项组合中包含的配置项，配置所述系统。

2.如权利要求1所述的方法，其特征在于，确定满足指定条件的配置项组合，具体包括：

确定设定数量的满足指定条件的配置项组合；

在确定的满足指定条件的配置项组合中，选择所包含的每个配置项对应的使用性损失权值的和值最小的配置项组合之前，所述方法还包括：

针对确定的满足指定条件的配置项组合，采用设定的方法生成该配置项组合对应的向量，其中，采用设定的方法生成该配置项组合对应的向量具体为：生成包含的每个元素与所述系统中包括的每个配置项一一对应的向量，针对生成的向量中的每个元素，如果该元素对应的配置项包含在该配置项组合中，则将该元素的值置为第一数值，如果该元素对应的配置项未包含在该配置项组合中，则将该元素的值置为第二数值；

在确定的满足指定条件的配置项组合中，选择所包含的每个配置项对应的使用性损失权值的和值最小的配置项组合，具体包括：

以生成的各配置项组合对应的向量构成向量集合；

采用公式

确定所述向量集合中每个向量对应的适应性系数，其中，F_i为所述向量集合中第i个向量对应的适应性系数，U_i为第i个向量中所有数值为所述第一数值的元素对应的配置项的使用性损失权值的和值，M为所述系统中包括的每个配置项的使用性损失权值的和值；

确定所述向量集合中适应性系数最大的向量为备选向量；

调整所述向量集合中的一个或几个向量，得到调整后的向量集合，将调整后的向量集合中适应性系数最大的向量重新确定为备选向量；

判断重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值是否在设定范围内，若是，则将重新确定的备选向量对应的配置项组合确定为选择出的配置项组合，否则，继续对调整后的向量集合进行调整，直至重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值在设定范围内为止。

3.如权利要求2所述的方法，其特征在于，调整所述向量集合中的一个或几个向量，得到调整后的向量集合，具体包括：

在所述向量集合中随机选择两个向量；

将选择的两个向量中随机数量的相同位置上的元素相互调换，得到调整后的两个向量；

确定调整后的两个向量分别对应的配置项组合，判断调整后的两个向量分别对应的配置项组合是否均满足指定条件，若是，则将调整后的两个向量与所述向量集合中的其他向量构成的向量集合确定为得到的调整后的向量集合，否则，在所述向量集合中重新选择两个向量进行调整，直至调整后的两个向量分别对应的配置项组合均满足指定条件为止。

4.如权利要求2所述的方法，其特征在于，调整所述向量集合中的一个或几个向量，得到调整后的向量集合，具体包括：

在所述向量集合中随机选择一个向量，并在选择的向量中随机选择一个元素；

当选择的元素的值为第一数值时，根据预先为该选择的元素对应的配置项设置的由第一数值变为第二数值的概率，以该概率将选择的元素的值由第一数值调整为第二数值；

当选择的元素的值为第二数值时，根据预先为该选择的元素对应的配置项设置的由第二数值变为第一数值的概率，以该概率将选择的元素的值由第二数值调整为第一数值；

判断调整后的向量对应的配置项组合是否满足指定条件，若是，则将调整后的向量与所述向量集合中的其他向量构成的向量集合确定为得到的调整后的向量集合，否则，在所述向量集合中重新选择一个向量进行调整，直至调整后的向量对应的配置项组合满足指定条件为止。

5.如权利要求2所述的方法，其特征在于，调整所述向量集合中的一个或几个向量，得到调整后的向量集合，具体包括：

根据所述向量集合中的每个向量对应的适应性系数，采用公式

确定每个向量的选择概率，其中，P_i为所述向量集合中第i个向量的选择概率，N为所述设定数量；

针对所述向量集合中的每个向量执行：确定该向量的选择概率与所述设定数量的乘积，对确定的乘积进行四舍五入取整，将得到的取整值作为该向量的复制数量，并复制该向量，复制该向量的数量为该向量的复制数量；

以复制的各向量构成的向量集合作为得到的调整后的向量集合。

6.如权利要求2所述的方法，其特征在于，判断重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值是否在设定范围内之前，所述方法还包括：

确定调整所述向量集合的次数已经超过设定次数。

7.一种安全配置优化的装置，其特征在于，包括：

配置项确定模块，用于确定系统中包括的配置项；

配置项组合确定模块，用于根据预先设定的每个配置项对应的安全性权值，确定满足指定条件的配置项组合，其中，满足指定条件的配置项组合具体为：所包含的每个配置项对应的安全性权值的和值大于设定安全与之的配置项组合；

选择模块，用于根据预先设定的每个配置项对应的使用性损失权值，在确定的满足指定条件的配置项组合中，选择所包含的每个配置项对应的使用性损失权值的和值最小的配置项组合；

优化模块，用于根据选择出的配置项组合中包含的配置项，配置所述系统。

8.如权利要求7所述的装置，其特征在于，所述配置项组合确定模块具体用于，确定设定数量的满足指定条件的配置项组合；

所述装置还包括：

向量确定模块，用于针对确定的满足指定条件的配置项组合，采用设定的方法生成该配置项组合对应的向量，其中，采用设定的方法生成该配置项组合对应的向量具体为：生成包含的每个元素与所述系统中包括的每个配置项一一对应的向量，针对生成的向量中的每个元素，如果该元素对应的配置项包含在该配置项组合中，则将该元素的值置为第一数值，如果该元素对应的配置项未包含在该配置项组合中，则将该元素的值置为第二数值；

所述选择模块具体用于，以生成的各配置项组合对应的向量构成向量集合；采用公式确定所述向量集合中每个向量对应的适应性系数，其中，F_i为所述向量集合中第i个向量对应的适应性系数，U_i为第i个向量中所有数值为所述第一数值的元素对应的配置项的使用性损失权值的和值，M为所述系统中包括的每个配置项的使用性损失权值的和值；确定所述向量集合中适应性系数最大的向量为备选向量；调整所述向量集合中的一个或几个向量，得到调整后的向量集合，将调整后的向量集合中适应性系数最大的向量重新确定为备选向量；判断重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值是否在设定范围内，若是，则将重新确定的备选向量对应的配置项组合确定为选择出的配置项组合，否则，继续对调整后的向量集合进行调整，直至重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值在设定范围为止。

9.如权利要求8所述的装置，其特征在于，所述选择模块具体包括：

第一调整单元，用于在所述向量集合中随机选择两个向量；将选择的两个向量中相同位置上的元素相互调换，得到调整后的两个向量；确定调整后的两个向量分别对应的配置项组合，判断调整后的两个向量分别对应的配置项组合是否均满足指定条件，若是，则将调整后的两个向量与所述向量集合中的其他向量构成的向量集合确定为得到的调整后的向量集合，否则，在所述向量集合中重新选择两个向量进行调整，直至调整后的两个向量分别对应的配置项组合均满足指定条件为止。

10.如权利要求8所述的装置，其特征在于，所述选择模块具体包括：

第二调整单元，用于在所述向量集合中随机选择一个向量，并在选择的向量中随机选择一个元素；当选择的元素的值为第一数值时，根据预先为该选择的元素对应的配置项设置的由第一数值变为第二数值的概率，以该概率将选择的元素的值由第一数值调整为第二数值；当选择的元素的值为第二数值时，根据预先为该选择的元素对应的配置项设置的由第二数值变为第一数值的概率，以该概率将选择的元素的值由第二数值调整为第一数值；判断调整后的向量对应的配置项组合是否满足指定条件，若是，则将调整后的向量与所述向量集合中的其他向量构成的向量集合确定为得到的调整后的向量集合，否则，在所述向量集合中重新选择一个向量进行调整，直至调整后的向量对应的配置项组合满足指定条件为止。

11.如权利要求8所述的装置，其特征在于，所述选择模块具体包括：

第三调整单元，用于根据所述向量集合中的每个向量对应的适应性系数，采用公式确定每个向量的选择概率，其中，P_i为所述向量集合中第i个向量的选择概率，N为所述设定数量；针对所述向量集合中的每个向量执行：确定该向量的选择概率与所述设定数量的乘积，对确定的乘积进行四舍五入取整，将得到的取整值作为该向量的复制数量，并复制该向量，复制该向量的数量为该向量的复制数量；以复制的各向量构成的向量集合作为得到的调整后的向量集合。

12.如权利要求8所述的装置，其特征在于，所述选择模块还用于，在判断重新确定的备选向量的适应性系数与上一次确定的备选向量的适应性系数的差值是否在设定为范围之前，确定调整所述向量集合的次数已经超过设定次数。

Images