CN107483487A - 一种基于topsis的多维网络安全度量方法 - Google Patents

Abstract

本发明提供一种基于TOPSIS的多维网络安全度量方法。该方法从环境安全、漏洞安全、可靠性安全三个维度对网络安全进行度量，在每个维度下选取相关的度量指标并对指标进行量化，然后结合TOPSIS综合评估方法，对不同维度下的度量指标进行评估，得到网络安全度量结果，以期于发现网络中的缺陷，提高网络的安全性。

Description

一种基于TOPSIS的多维网络安全度量方法

技术领域

本发明涉及一种基于TOPSIS的多维网络安全度量方法，属于网络安全技术领域。

背景技术

在网络安全度量的研究方法中，有很多方法可以用来对网络安全进行度量、评估，其中使用最广泛和最有实际意义的有基于图的网络安全度量方法和划分维度的网络安全度量方法。

基于图的网络安全度量方法的优点是可以将网络中的主机与主机之间的联系以图形的方式直观地展现出来，并且结合图论的理论知识对其进行计算，如利用图论等理论知识构建攻击图、贝叶斯网络或者人工神经网络，从而根据网络拓扑图中的节点和边进行一系列操作，通过计算攻击图中的节点概率对网络安全进行度量，对贝叶斯网络或者人工神经网络中的节点和边进行反复的训练操作，最终得到符合规律的网络安全度量结果。但是，基于图的网络安全度量方法也存在着缺点，如将大型网络或者多漏洞的网络抽象为攻击图，将出现攻击路径爆炸的问题，根据图理论计算攻击路径将有庞大的计算量、计算能力不足；贝叶斯网络和人工神经网络针对大型复杂网络结构的训练也都存着学习时间过长、计算量大的问题。

划分维度的网络安全度量方法的优点是可以将网络分成不同的度量维度，每个维度下都有各自的度量指标，可以较为全面地对网络安全进行度量，将网络安全细分到各个维度、各个指标点，在度量结果中既可以对网络安全得出一个整体的评分，又可以将网络安全落实到细微的指标点处。但是，划分维度的网络安全度量方法也存在着缺点，如在维度划分上，不同的研究在维度划分的角度上也不尽相同，如何选取有代表性的维度和度量指标比较困难，许多研究选取的维度无法全面地反映网络的安全状态，选取的指标量化也存在着困难。此外，对于度量指标的选取上，目前的研究存在着可操作性困难的问题。

因此，网络安全度量的全面性和可操作性十分重要，缺失了全面性网络安全度量的结果将会是不准确的，缺失了可操作性便无法将网络安全度量落实到实践中。鉴于此，如果可以比较全面地对网络安全进行度量并且度量指标的量化具有可操作性，那么可以有效地对网络安全进行度量，得出度量结果，改善网络的安全性。因此，如何确保网络安全度量的全面性和可操作性是当前要做的工作。

前人在划分维度的网络安全度量的基础上进行度量指标量化的相关研究，其本身提供了划分相对全面的维度，从安全特性、数据特征、计算依据、对象规模、数据对象、计算形式、现象性质、基期、地域、网络对象十个维度对网络安全进行划分，但在各个维度的指标量化上可操作性不强，无法将网络安全度量较好地落实到实践中。

现有的网络安全度量方法主要存在着两个问题，第一个问题是现有的方法大都存在着主观性较强的问题，指标需要专家确定，缺乏客观性；第二个问题是现有方法的指标量化困难，指标项较多，无法提取可以较为全面反映网络安全度量的指标项。

以上两个问题将导致无法对网络安全进行有效地度量和评估，无法较好地对网络中存在的安全问题进行评估、定位，使得网络评估结果不准确，网络陷入了一种未知的安全状态。因此，为了解决网络安全度量主观性较大、指标量化困难的问题，本技术将网络安全划分为三个具有代表性的维度，以网络中的基础设施安全度量为基础，再结合复杂网络相关知识和网络自身所具备的图属性对网络的可靠性安全进行度量，最后再对网络本身存在的安全漏洞进行度量，三个维度的度量较大程度上覆盖了网络安全度量的指标，全方位地对网络安全给出一个综合的评估来解决网络安全的维度选取范围小的问题。此外，在网络安全度量指标数据量化方面，本技术以可操作性为原则进行量化方法和量化工具的选取工作，以此来解决网络安全指标量化困难的问题。

发明内容

为了解决网络安全度量主观性较大、指标量化困难的问题，本发明提供一种基于TOPSIS的多维网络安全度量方法。

本发明的技术方案如下：

一种基于TOPSIS的多维网络安全度量方法，包括以下步骤：

步骤一、采集环境安全和漏洞安全维度下的元度量指标，根据网络拓扑图计算可靠性安全维度下的元度量指标，得到环境安全、漏洞安全、可靠性安全三个维度下的元度量指标的量化结果，并根据各元度量指标的量化结果计算三个维度下的安全指数；

步骤二、根据步骤一得到的安全指数计算得到三个维度下各个安全指数的度量指数；

步骤三、对三个维度下的度量指数进行权重分配，并根据度量指数计算该维度的度量值，得到三个维度的评估结果；

步骤四、对三个维度进行权重分配，使用TOPSIS方法对三个维度的评估结果进行加权的综合评估，得到整个网络的安全度量结果。

本发明的有益效果：

1、本发明提出的基于TOPSIS的多维网络安全度量模型比较全面地对网络安全进行了维度划分，维度下指标的采集和量化也都相对方便、可行，还给出了整体网络、维度层、中间层和各个指标的度量结果；

2、本发明的重点在于对网络安全划分维度进行度量，减少网络安全度量的主观性，所以需要从各个维度中采集度量所需的指标，对其进行量化、计算。其次，本发明的创新点在于将网络安全划分成环境安全、可靠性安全和漏洞安全三个方面，本发明从网络的内部原因出发，把对网络中基础设备的检测作为根本；从网络的整体结构出发，把对网络拓扑结构的计算作为轴心；从网络存在的隐患出发，把对网络中的漏洞的检测作为关键。

附图说明

图1是本发明基于TOPSIS的多维网络安全度量模型流程图；

图2是本发明环境安全度量实现流程图；

图3是本发明可靠性安全度量实现流程图；

图4是本发明漏洞安全度量实现流程图。

具体实施方式

下面结合附图和具体实施例对本发明做进一步阐述。

本发明的基本思想是：基于TOPSIS综合评估方法构建多维网络安全度量模型，给出度量方法，该方法从多个维度对网络安全进行度量，在每个维度下选取相关的度量指标并对指标进行量化，然后结合TOPSIS综合评估方法，对不同维度下的度量指标进行评估，得到网络安全度量结果，以期于发现网络中的缺陷，提高网络的安全性。

本发明的基于TOPSIS的多维网络安全度量方法将网络安全分为三个维度，即环境安全、可靠性安全和漏洞安全。在环境安全维度上，从主机状态指数、网络状态指数和网络中关键设备健康指数三个方面中选取度量指标并对指标进行量化；在可靠性安全维度上，从网络的抗毁性、生存性和有效性三个方面中选取度量指标，并基于复杂网络理论对选取的指标进行量化；在漏洞安全维度上，从网络中的漏洞威胁指数、漏洞防范代价指数两个方面选取度量指标，并结合两个方面的数据对漏洞指标进行量化。在指标项的选取上，从环境安全维度上对网络中基础指标进行度量，如基础设备包括主机、路由器和交换机，基础数据包括网络流量、带宽；从可靠性安全维度上以网络拓扑为基础，通过度量可以分析得到如果网络受到攻击，其抗毁能力、生存能力和传输的有效性将如何变化；从漏洞安全维度上对网络中每个节点存在的漏洞进行度量，既可以得出整个网络的漏洞情况，又可以得到每个主机的漏洞细节。在每个维度的度量点下有相应的元度量指标，使用工具采集网络的元度量指标数据，将元度量指标数据进行量化得到元度量指标的量化值，通过得到元度量指标的量化值来对每个度量点进行量化，然后再对维度进行量化，最后得到整个网络的度量结果。本技术选取以上指标项，不仅可以在各个维度上给出比较全面的整体网络的度量结果，还可以通过维度下的指标项得到相对具体的安全评估结果。

本发明选取的三个维度包含了网络的基础环境、基础设施、网络拓扑结构、网络中存在的漏洞等指标项，既从网络的物理设施进行度量，又从网络的拓扑结构和漏洞上对网络进行度量，可以较为全面的对网络安全进行度量。此外，本发明所选取的三个维度的指标项是可以扩展的，可以根据各个维度的特征和度量的广度对指标项进行增加，以达到更细致地网络安全度量。因此，本技术提出的三个维度和指标项是较为完备的，可以做到网络全覆盖。

基于TOPSIS的多维网络安全度量方法构建流程如图1所示。首先使用工具采集环境安全和漏洞安全维度下的元度量指标，根据网络拓扑图计算可靠性安全维度下的元度量指标，得到三个维度下的元度量指标的量化结果；其次计算三个维度下的安全指数并得到三个维度下各个指数的度量结果；然后对各个维度下的度量指数进行权重分配并根据度量指数计算该维度下的综合评估结果，得到三个维度的评估结果；最后对三个维度进行权重分配和综合评估，得到整个网络的安全度量结果。

多维网络安全度量方法选取的具体指标如表1所示。在环境安全维度上，需要对网络的基础运行状态进行度量，本发明将网络的基础指标分成基础设备和基础数据，因此将中间层度量指标分为对网络中的主机、运行状态和关键设备的度量，其中对主机的度量包括对其关键指标CPU、内存、磁盘和端口的度量，对网络运行状态度量包括对网络中最重要的流量和带宽的度量，对关键设备的度量包括对组成网络的重要设备交换机和路由器的度量；在可靠性安全维度上，选取可靠性维度的度量指标抗毁性、生存性和有效性，对以上三个中间层度量指标，结合复杂网络和图论的知识，计算全网效能、连通系数和全网完成度，可以对网络受到攻击后的抗毁能力、生存能力和业务完成能力进行评估；在漏洞安全维度上，需要对网络中存在的漏洞进行评估，因此本技术选取网络中漏洞的威胁性和对漏洞的防范能力作为中间层度量指标，并根据网络中漏洞的数量、等级等进行计算。

表1基于TOPSIS的多维网络安全度量方法指标设计

一、环境安全度量模块的设计

本发明在环境安全维度上的度量主要为对网络中的基础数据、基础设备的度量，因此需要对基础设备和网络的基础度量指标进行数据采集。数据采集的工具有perfmon以及系统命令。在数据采集完毕之后，对数据进行整理、量化、分配权重，计算各个指数值。环境安全度量的实现过程如图2所示。

对主机状态指数进行度量。使用Perfmon工具对磁盘、CPU和内存进行监控，得到1小时时间里的正常状态下的的网络度量数据，从监控的数据中统计出磁盘占用率的平均值、CPU占用率的平均值和内存占用率的平均值。使用控制台命令netstat统计本机开放的端口号，统计具有危险程度为严重、高、中、低等级的端口数量。

对网络状态指数进行度量。使用Perfmon工具统计网络的流量和带宽等数据，计算峰值流量、平均流量和带宽利用率，计算相对应的指数。

对关键设备健康指数进行度量。使用路由器和交换机自带的超级终端，可以对路由器和交换机的包转发率、丢包率、错误率、CPU利用率和内存利用率进行度量，从而利用算法计算出其健康指数。通过路由器和交换机的终端指令得到需要统计的各个指标值。

二、可靠性安全度量模块的设计

可靠性安全是结合复杂网络的理论基础对网络的抗毁性、生存性和有效性进行度量。对可靠性安全进行度量，首先要将度量网络的节点之间的连接情况用图来表示，然后根据网络拓扑图和复杂网络相关知识，计算衡量抗毁性指数的全网效能和衡量生存性指数的连通系数，接着结合网络的传输时延以及报文的到达率计算衡量生存性指数的全网完成度，得到三个元度量指标值，得到了三个中间层指数值，最后再计算可靠性维度的指标值。可靠性安全度量实现过程如图3所示。

对抗毁性指数进行度量。网络的抗毁性指数通过计算网络的全网效能来获得，通过使用pajek工具得出网络图，计算图中各节点间的最短路径的长度，得到网络的全网效能。

对生存性指数进行度量。通过计算网络的连通分支数以及各连通分支的最短路径的平均值得到网络拓扑图的连通系数。

对有效性指数进行度量。全网完成度是根据网络图和网络的传输时延和报文到达率根据公式计算得到的。使用APKKPING工具在两个真实网络中对“www.baidu.com”进行持续的ping操作，获取网络中的时延的平均值。

三、漏洞安全度量模块设计

使用Nessus工具作为漏洞扫描工具。Nessus工具是目前世界上最流行的漏洞扫描与分析工具，它提供完整的漏洞扫描服务，并且它的漏洞库的更新也是十分及时的。Nessus不仅仅可以对漏洞进行扫描，还对漏洞的等级进行了划分，并且结合CVE漏洞库和CVSS评分系统对一些扣动给出了解决方案。漏洞安全度量实现过程如图4所示。

对漏洞威胁指数进行度量。漏洞威胁指数的度量指标包括漏洞数量和漏洞等级，对漏洞数量和漏洞等级进行加权计算得出漏洞威胁指数。

对漏洞防范代价指数进行度量。漏洞防范代价指数的度量指标包括漏洞数量、漏洞是否存在修复方案、若漏洞无修复方案漏洞的修复代价。

Claims (10)

1.一种基于TOPSIS的多维网络安全度量方法，其特征在于，包括以下步骤：

步骤一、采集环境安全和漏洞安全维度下的元度量指标，根据网络拓扑图计算可靠性安全维度下的元度量指标，得到环境安全、漏洞安全、可靠性安全三个维度下的元度量指标的量化结果，并根据各元度量指标的量化结果计算三个维度下的安全指数；

步骤二、根据步骤一得到的安全指数计算得到三个维度下各个安全指数的度量指数；

步骤三、对三个维度下的度量指数进行权重分配，并根据度量指数计算该维度的度量值，得到三个维度的评估结果；

步骤四、对三个维度进行权重分配，使用TOPSIS方法对三个维度的评估结果进行加权的综合评估，得到整个网络的安全度量结果。

2.如权利要求1所述的一种基于TOPSIS的多维网络安全度量方法，其特征在于，所述环境安全指数包括主机状态指数、网络状态指数和网络中关键设备健康指数；漏洞安全指数包括网络的漏洞威胁指数、漏洞防范代价指数；可靠性安全指数包括抗毁性指数、生存性指数、有效性指数。

3.如权利要求1或2所述的一种基于TOPSIS的多维网络安全度量方法，其特征在于，所述的三个维度是可扩展的，可以根据各个维度的特征和度量的广度对指标进行增加，以达到更细致地网络安全度量。

4.如权利要求2所述的一种基于TOPSIS的多维网络安全度量方法，其特征在于，所述主机状态指数包括CPU占用指数、内存占用指数、磁盘占用指数和端口占用指数；网络状态指数包括峰值流量指数、平均流量指数、带宽利用指数；关键设备健康指数包括路由器健康指数、交换机健康指数。

5.如权利要求2或4所述的一种基于TOPSIS的多维网络安全度量方法，其特征在于，对主机状态指数进行计算采用以下方法：

使用Perfmon工具对磁盘、CPU和内存进行监控，得到1小时时间里的正常状态下的的网络度量数据，从监控的数据中统计出磁盘占用率的平均值、CPU占用率的平均值和内存占用率的平均值；使用控制台命令netstat统计本机开放的端口号，统计具有危险程度为严重、高、中、低等级的端口数量。

6.如权利要求2或4所述的一种基于TOPSIS的多维网络安全度量方法，其特征在于，对网络状态指数进行计算采用以下方法：使用Perfmon工具统计网络的流量和带宽数据，计算峰值流量、平均流量和带宽利用率，计算相对应的指数。

7.如权利要求2或4所述的一种基于TOPSIS的多维网络安全度量方法，其特征在于，对关键设备健康指数进行计算采用以下方法：使用路由器和交换机自带的超级终端，对路由器和交换机的包转发率、丢包率、错误率、CPU利用率和内存利用率进行度量，从而计算出其健康指数，通过路由器和交换机的终端指令得到需要统计的各个指标值。

8.如权利要求1或2所述的一种基于TOPSIS的多维网络安全度量方法，其特征在于，步骤二中对可靠性安全进行计算采用以下方法：首先将度量网络的节点之间的连接情况用图表示，形成网络拓扑图，然后根据所述网络拓扑图和复杂网络知识，计算衡量抗毁性指数的全网效能和衡量生存性指数的连通系数，其次根据网络的传输时延以及报文的到达率计算衡量生存性指数的全网完成度，得到三个元度量指标值，得到了三个中间层指数值，最后再计算可靠性维度的指标值。

9.如权利要求1或2所述的一种基于TOPSIS的多维网络安全度量方法，其特征在于，对抗毁性指数进行计算采用以下方法：网络的抗毁性指数通过计算网络的全网效能来获得，通过使用pajek工具得出网络图，计算图中各节点间的最短路径的长度，得到网络的全网效能。

10.如权利要求1或2所述的一种基于TOPSIS的多维网络安全度量方法，其特征在于，其中对生存性指数进行计算采用以下方法：通过计算网络的连通分支数以及各连通分支的最短路径的平均值得到网络拓扑图的连通系数；其中对有效性指数进行度量采用以下方法：全网完成度根据网络图和网络的传输时延和报文到达率根据公式计算得到的，使用APKKPING工具在两个真实网络中对网址进行持续的ping操作，获取网络中的时延的平均值。