CN108769042A - 一种基于微分流形的网络安全风险评估的方法 - Google Patents

Abstract

本发明公开了一种基于微分流形的网络安全风险评估的方法。使用本发明能够客观、全面地对网络安全风险进行评估。本发明首先根据各设备自身的指标对其安全性进行度量，较为客观，且指标选取涉及网络的可靠性、可用性和连通性，覆盖范围全面，指标的值可由采集工具自动采集并量化，数据采集方便、并避免了指标量化困难的问题。然后，利用网络系统的拓扑不变性和指标之间的特征关系将网络拓扑图映射为高维的微分流形，以微分流形的光滑映射函数作为相邻节点的距离，对网络系统风险特征的刻画更为细致，且能够对网络系统的动态变化进行刻画，从而实时地动态地监控网络系统的安全性。

Description

一种基于微分流形的网络安全风险评估的方法

技术领域

本发明涉及网络安全技术领域，具体涉及一种基于微分流形的网络安全风险评估的方法。

背景技术

在网络安全风险评估的研究方法中，有很多方法可以用来对网络系统安全进行构建、度量、评估，其中使用最广泛和最有实际意义的有基于层次的网络安全评估方法和划分维度、粒度、层次的网络安全评估方法，以及基于图的安全评估方法。

基于层次的评估方法，如：刘东等提出的专利“层次式网络的安全态势聚合方法”，公开号：CN201110377711；蔡志强等提出的专利“一种基于层次分析法的信息安全贝叶斯网络评估方法”，公开号CN201410267853，其的优点是将网络安全按照语义划分不同的层次，相同层次之间形成一个对网络系统的完整性描述，而层与层之间存在交叉映射的关系，最后构建成一个多层的树结构评估模型。树的根节点就是网络系统安全风险评估目标，而树的叶节点就是评估安全的各种指标，层次分析可以表达网络系统内部的逻辑关系，并且计算比较简单，是一种广泛使用的风险评估方法。但是，层次分析也存在着缺点：其内部层次的划分需要依靠专家的先验知识，并且每个指标自身的选取和权重的确立也需要专家意见，主观性太强。

基于网络维度、粒度、层次的网络空间构建方法，如张小松等提出的专利“一种基于攻击图邻接矩阵的网络安全评估装置”，公开号CN201310329096，其优点是将网络采集的指标通过不同的维度、粒度和层次进行划分，对网络系统进行全面的评估。其将网络系统划分成小的部分，将网络安全落实到细微的指标点处。但是，基于维度、粒度、层次划分的评估方法也存在缺点：因为考虑的维度、粒度、层次等问题，指标采集更细微，从而导致计算更复杂。此外，对于维度、粒度和层次的划分没有一个相同的划分标准，选取的维度、层次、粒度存在不能合适地评估安全的现象。

基于图的网络安全评估方法的优点是考虑网络中设备和设备之间的拓扑关系，并通过图的方式展示出来，通过选取的节点不同，可以构建状态图、网络攻击图、属性图，以及贝叶斯属性攻击图等。通过图中节点和边之间的关系，评估整个系统的安全。但是，基于图的网络安全评估方法也存在缺陷：如在攻击图中，会存在路径爆炸的问题，从而导致计算量过大的问题，而基于概率图，贝叶斯属性图等存在主观性强、计算量大的问题。

综上，现有的网络安全评估的方法存在三个问题，一是主观性比较强，包括层次的划分、维度的确定、粒度的选择，以及指标和权重的确定，都缺乏客观性；二是覆盖问题不够全面，不能从整体上对于整个网络系统进行评估；三是，指标量化困难，指标项较多，无法有效并明确地评估网络安全。网络安全评估的全面性和客观性非常重要，如果网络风险评估缺乏全面性，将导致只评估了网络系统的部分，从而导致评估结果不正确。而缺乏客观性将导致评估的重复性差，得到的结果不客观，不能和其他的评估方法进行比较来验证方法的正确性。由此，上述的三个问题导致现有评估方法并不能对网络安全进行有效的评估，计算结果不准确，可比较性和重复性较差。

发明内容

有鉴于此，本发明提供了一种基于微分流形的网络安全风险评估的方法，能够客观、全面地对网络安全风险进行评估。

本发明的基于微分流形的网络安全风险评估的方法，包括如下步骤：

步骤1，提取网络系统中各设备的度量指标，根据网络系统的服务调用关系，构建网络拓扑图；其中，度量指标包括网络系统的可用性指标、连通性指标和可靠性指标；计算网络拓扑图中各节点的安全风险值：节点的安全风险值为由该节点所对应设备的各指标数据组成的方阵的迹；

步骤2，计算网络拓扑图中相邻两节点之间的距离：

其中，w_ij为两个相邻的节点i，j之间的距离，tr(i)和tr(j)分别表示节点i，j的安全风险值；

步骤3，根据步骤2得到的所有相邻节点之间的距离，得到网络拓扑图的邻接矩阵、度矩阵以及拉普拉斯矩阵；

步骤4，所述拉普拉斯矩阵的迹即为网络系统的安全风险评估值。

进一步的，采用Pajek绘制网络拓扑图。

进一步的，所述可用性指标包括：CPU占用值、内存占用值、磁盘占用值和系统负载值；所述连通性指标包括：开放端口值、峰值流量值、宽带利用值、节点连通性值和平均流量值；所述可靠性指标包括：应用漏洞和系统漏洞。

进一步的，采用perfmon，Nessus以及系统命令，对指标数据进行采集。

进一步的，所述网络拓扑图由多个子图组成，则按照步骤2～3的分别计算各子图的相邻两节点的距离，获得各子图的拉普拉斯矩阵的迹；所有子图的拉普拉斯矩阵的迹中的最大值即为网络系统的安全风险评估值。

有益效果：

本发明的节点安全度量主要是对网络中的基础数据和基础设备进行度量，较为客观，且指标选取涉及网络的可靠性、可用性和连通性，覆盖范围全面，指标的值可由采集工具自动采集并量化，数据采集方便、并避免了指标量化困难的问题。同时，利用网络系统的拓扑不变性和指标之间的特征关系将网络拓扑图映射为微分流形的数学模型，不仅可以描述网络中设备的状态信息，并且可以描述设备和设备之间的连接关系；将网络拓扑图映射为高维的微分流形，以微分流形的光滑映射函数作为相邻节点的距离，对网络系统风险特征的刻画更为细致，且能够对网络系统的动态变化进行刻画，从而实时地动态地监控网络系统的安全性。本发明从细节，例如单个设备的观测指标到整体，例如网络的连通性，设备和设备之间的关系对网络的风险进行量化和度量，度量更为全面。

附图说明

图1为本发明网络系统风险评估步骤流程图。

图2为单个节点安全风险评估流程图。

图3网络系统中全部节点组合的评估流程图。

具体实施方式

下面结合附图并举实施例，对本发明进行详细描述。

本发明提供了一种基于微分流形的网络安全风险评估的方法，基于微分流形网络安全风险评估的方法流程如图1所示。首先使用工具采集度量指标，获取网络系统中设备的服务和具体的指标参数；利用服务和设备之间的逻辑关系构建网络拓扑图。从而网络系统初步建立了拓扑空间，通过对于单个设备采集的指标进行比对，从而计算单个设备的安全风险值。再利用光滑函数映射将设备之间的连接关系和设备，映射到高维空间，并得到图的邻接矩阵。并通过数学模型运算，进一步得到图的度矩阵和拉普拉斯矩阵。最后计算拉普拉斯矩阵中的特征值和迹(特征值之和)来度量安全风险值。取各子图中的安全风险最大值作为网络风险安全的评估值，并进行安全风险等级划分，划分风险评级。

本发明流程图如图1所示，具体包括如下步骤：

步骤1，根据网络系统的服务调用关系，构建网络拓扑图；其中，网络系统中的各设备，包括主机、路由、交换机、服务器、终端等可以看成是网络拓扑图中的各节点，设备上的服务等信息可以看成是邻接点，而这些终端设备以及终端设备之间的连通关系构成了网络系统的边缘。

其中，可以采用Pajek画出整个网络系统的网络拓扑图。

节点安全评估的实现过程如图2所示，通过对于单个设备采集的指标特征进行两两比对，从而形成一个指标特征方阵，因为是同一个点上的指标，所以可以直接计算这个方阵的迹来表示单个设备的安全风险值。

其中，指标包括可用性指标、连通性指标和可靠性指标；本实施例选取的指标如表1所示，在网络系统的可用性指标上，对于网络中的主机、服务器、终端等设备，选取CPU占用值、内存占用值、磁盘占用值和系统负载值做为可用性指标，对可用性进行度量；而对于网络中的路由器、交换机等设备，则选取上述指标中的部分进行可用性度量。对于网络连通性，选取网络系统运行状态包括流量、带宽、端口流量和平均流量等信息进行度量，因此，对于网络中的各设备，从开放端口值、峰值流量值、宽带利用值、节点连通性值、平均流量值等作为指标进行连通性度量。针对网络的可靠性，选取网络系统中的应用漏洞和系统漏洞来度量。

表1基于微分流形的网络安全风险评估方法指标设计

其中，本发明选取的指标项是可以进行扩展的，可以根据设备不同对指标项进行增加，只要能够反映网络的可靠性、可用性和连通性就可以。

本发明选取的指标覆盖网络的连通性、可靠性、可用性，保证数据的全面性。硬盘，CPU,内存，系统负载主要体现系统在受到攻击的时候是否表现异常，这些设备是电脑的核心设备，这些设备和指标将能保证系统是否在正常的运行，是否具有可用性。而流量峰值，平均流量，带宽的使用率，端口流量和网络连通性则反应了节点与节点之间的连接关系是否正常。这是保证整个网络系统的连通性的指标。而系统漏洞和应用的漏洞则是反应系统的自身的脆弱性，是最容易产生威胁的地方，是入侵整个网络系统中的门户。所以对网络脆弱性的指标选取将反应网络系统自身的缺陷。

选取指标的个数应该保证在一定范围内，否则过多的指标不仅带来计算复杂而且自身权重不高，应该被舍弃。针对不同的设备，需要采用不同的指标组合，比如有的设备上没有硬盘，没有安装应用等，对于一些没有用到的指标，则不选取，从而减少由指标构成的方阵的大小。所以灵活使用推荐的指标进行组合选取，可以提高计算的效率。

指标数据的获得可以使用现有的对应的自动采集工具，例如perfmon，Nessus以及系统命令，对指标数据进行采集，并转化为量化后的结果。例如：对于网络可用性指标，使用Perfmon工具对磁盘、CPU和内存进行监控，得到1小时时间内的正常状态下的的网络度量数据，从监控的数据中统计出磁盘占用率的平均值、CPU占用率的平均值和内存占用率的平均值。对于网络连通性指标，可以通过Pajek工具得出网络图，并计算每个节点的度作为网络节点的连通性指标。使用Perfmon工具统计网络的流量和带宽等数据，计算峰值流量、平均流量和带宽利用率，计算相对应的指数。针对非终端设备，如路由器和交换机，可以通过终端命令得到CPU,内存等使用率指数。使用控制台命令netstat统计本机开放的端口号，统计具有危险程度为严重、高、中、低等级的端口数量。对于可靠性度量，使用Nessus工具作为漏洞扫描工具。Nessus工具是目前世界上最流行的漏洞扫描与分析工具，它提供完整的漏洞扫描服务，并且它的漏洞库的更新也是十分及时的。Nessus不仅仅可以对漏洞进行扫描，还对漏洞的等级进行了划分，并且结合CVE漏洞库和CVSS评分系统对一些漏洞给出了解决方案。通过对节点的系统和应用进行扫描，从而得到漏洞的个数和评分。从而得到系统漏洞评估和应用漏洞评估。

对采集的指标根据网络拓扑关系和对于同一设备上进行指标之间的两两组合，从而构成方阵。方阵的元素是各个特征指标的值。所以这个由安全风险指标构成的矩阵可以用来评估该设备的安全性。矩阵的迹表示矩阵的所有特征值之和，所以可以用来表示设备的风险值。

单个节点计算出来风险安全值，通过数学模型的方法进行综合，从而得到整体的网络风险评估结果。网络系统中全部节点组合的评估流程图如图3所示。

步骤2，计算网路拓扑图中相邻节点之间的距离：

微分流形是一种数学上定义的空间物体，网络系统在安全评估过程中，将各指标通过光滑变换，从而可以构建一个和欧式空间同胚的高维流形。其他的计算效用的方法都是在欧式空间中进行计算的。由于欧式空间计算的维度较低，设备与设备之间的距离计算也是一种近似，所以其他的方法计算结果都是一种近似。而微分流形将网络系统的风险特征映射到高维空间，可以更加准确的描述风险值的大小，可以得到更精确的风险安全度量值。

由于网络系统具有连续变换特性，即具有微分性质，因此，可以利用微分流形的光滑映射函数，将步骤1获得的网络拓扑图中的各节点以及节点之间的连接关系利用光滑函数映射为一个和欧式空间同胚的、高维的微分流形空间，从而准确计算空间中点之间的距离。然后根据相邻节点的节点风险值，利用微分流形的光滑映射函数，即可计算出相邻两节点之间的距离为：

其中，w_ij为两个相邻的节点i，j之间的距离，tr(i)和tr(j)分别表示节点i，j的安全风险值；

步骤3，根据相邻节点之间的距离，可以得到整个网络拓扑图的邻接矩阵W，进而得到网络拓扑图的度矩阵和拉普拉斯矩阵，拉普拉斯矩阵是半正定矩阵，可以变换为特征值组成的对角矩阵和特征向量组成的正交矩阵的乘积。特征向量的物理意义是表示两个风险状态之间的变换方向特征，而特征值构成的对角矩阵可以用来描述风险改变的大小，所以需要计算拉普拉斯矩阵的特征值来描述网络系统的风险。

其中，节点的度表示和该节点直接连接的个数，度矩阵D是表示所有节点的度构成的矩阵。拉普拉斯矩阵L的计算满足下面的公式：

L＝D-W

步骤4，计算步骤3所获得的拉普拉斯矩阵的特征值，对求得的特征值求和可以得到矩阵的迹tr(L)；拉普拉斯矩阵的迹即为网络系统整体的安全风险评估值Q；

步骤5，通过对安全风险评估值的分等级解释，给出网络系统安全的评估结果。

其中，步骤1的网络拓扑图可能由多个子图组成，子图之间的节点是互不连通的，每个子图构成了网络系统的一个局部。此时，针对各子图，分别采用步骤2～3的方法计算获得各子图的拉普拉斯矩阵的迹，即网络系统的局部安全值。根据短板原理，各子图对应的最大风险值和当前风险值有直接关系，则所有子图对应的局部安全值中的最大者即为整个网络系统的安全值Q，即，

Q＝max(tr(L_i)),i＝1,2,…,n

然后通过对网络系统的安全值Q的分等级解释，给出网络系统安全的评估结果。

本发明将整个网络系统的特征空间看成一个流形，在每个时间点，网络系统中的n个指标值是安全风险的特征输入。将所有设备的特征量通过高维映射，将数据从n维变为(n²-n)/2维，形成高维光滑流形，计算更加精确。

本发明的指标选取覆盖了网络的连通性，可靠性和可用性，建立的微分流形不仅从网络的局部，并从整体对于风险进行度量，另外本文选取的指标项是可以进行扩展的，可以根据考虑的设备不同对指标项进行增加。本发明不仅考虑设备，并考虑设备上的服务、漏洞等内部信息，从而粒度较小，观测视角细微。另外，网络系统内部的子网构成了整个系统，通过对于所有子网的风险评估，本技术完整对网络系统进行了度量。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种基于微分流形的网络安全风险评估的方法，其特征在于，包括如下步骤：

步骤1，提取网络系统中各设备的度量指标，根据网络系统的服务调用关系，构建网络拓扑图；其中，度量指标包括网络系统的可用性指标、连通性指标和可靠性指标；计算网络拓扑图中各节点的安全风险值：节点的安全风险值为由该节点所对应设备的各指标数据组成的方阵的迹；

步骤2，计算网络拓扑图中相邻两节点之间的距离：

其中，w_ij为两个相邻的节点i，j之间的距离，tr(i)和tr(j)分别表示节点i，j的安全风险值；

步骤3，根据步骤2得到的所有相邻节点之间的距离，得到网络拓扑图的邻接矩阵、度矩阵以及拉普拉斯矩阵；

步骤4，所述拉普拉斯矩阵的迹即为网络系统的安全风险评估值。

2.如权利要求1所述的基于微分流形的网络安全风险评估的方法，其特征在于，采用Pajek绘制网络拓扑图。

3.如权利要求1所述的基于微分流形的网络安全风险评估的方法，其特征在于，所述可用性指标包括：CPU占用值、内存占用值、磁盘占用值和系统负载值；所述连通性指标包括：开放端口值、峰值流量值、宽带利用值、节点连通性值和平均流量值；所述可靠性指标包括：应用漏洞和系统漏洞。

4.如权利要求3所述的基于微分流形的网络安全风险评估的方法，其特征在于，采用perfmon，Nessus以及系统命令，对指标数据进行采集。

5.如权利要求1所述的基于微分流形的网络安全风险评估的方法，其特征在于，所述网络拓扑图由多个子图组成，则按照步骤2～3的分别计算各子图的相邻两节点的距离，获得各子图的拉普拉斯矩阵的迹；所有子图的拉普拉斯矩阵的迹中的最大值即为网络系统的安全风险评估值。