CN113411303A - 基于层次聚类和层次分析法的评估指标体系构建方法 - Google Patents

Abstract

本发明涉及网络安全态势评估技术领域，具体涉及一种基于层次聚类和层次分析法的评估指标体系构建方法；基于层次聚类和层次分析法的评估指标体系构建方法包括如下步骤：数据处理，收集网络环境的安全检测日志作为实验数据；评估因素量化，以网络安全态势评估指标体系的指标的来源信息作为评估的属性；使用聚类的方法将功能作用相似的评估因素自动聚成一类；评估指标优化，利用层次分析法计算每类中评估因素的重要程度，进而选取具有代表性的评估因素，根据构建的指标体系和指标度量方法给指标赋值，度量后的指标进行归一化，防止指标的不同量纲影响评估结果，以解决评估结果可信度低的问题。

Description

基于层次聚类和层次分析法的评估指标体系构建方法

技术领域

本发明涉及网络安全态势评估技术领域，尤其涉及一种基于层次聚类和层次分析法的评估指标体系构建方法。

背景技术

随着网络技术不断发展，网络规模不断扩大，网络结构日益复杂，网络安全是网络系统正常运行的基础，其重要性愈发重要。

但是目前存在着对于网络安全态势的评估指标选取主观性强、指标体系缺乏完整性，导致态势评估不全面，进而使得评估结果出现可信度较低的问题。

网络安全态势评估涉及多领域知识，评估工作受到多方面因素影响，因此很难提出客观且系统的评估准则，导致很多安全评估方法仅从特定的场合去定义准则，目前，国内外还没有成熟的全局度量指标体系，研究者们主要借鉴已有的安全标准，针对不同的网络环境直接给出指标体系，大部分工作具有一定的局限性，当前关于网络安全态势评估指标体系的研究不多，尤其是针对指标体系构建方法的专门研究几乎空白。

发明内容

本发明的目的在于提供一种基于层次聚类和层次分析法的评估指标体系构建方法，以解决现有技术中网络安全态势评估缺乏完整性，且评估指标选取主观性强，导致评估结果可信度低的问题。

为实现上述目的，本发明提供了一种基于层次聚类和层次分析法的评估指标体系构建方法，所述基于层次聚类和层次分析法的评估指标体系构建方法包括如下步骤：

数据处理，基于网络环境，利用搭建的深信服潜伏威胁探针作为数据采集设备，收集网络环境的安全检测日志作为实验数据，并统计评估因素；

评估因素量化，以网络安全态势评估指标体系的来源信息作为评估因素的属性，用来表示评估因素与指标的隶属关系，并确定评估因素的属性向量量化值：

评估因素聚类，使用层次聚类的方法将功能作用相似的评估因素自动聚成一类，聚类结果与指标形成层次关系，代替人为地直接选取评估因素，以减少构建网络安全态势评估指标体系时的主观性；

评估指标体系优化，利用层次分析法计算每类中评估因素的重要程度，并筛选出有代表性的评估因素构建最终的指标体系，避免不重要的评估因素对评估结果的误导。

通过收集真实网络中大量有效的实验数据，提高了指标体系评估的可操作性，并减小了实验的偶然性；使用定性定量相结合的层次分析法量化评估因素的属性向量，减少赋值时的主观性；层次聚类可以有效地利用数据之间的层次关系，并以可以直观表示出来，有利于指标体系的层次划分，层次聚类不需要提前指定聚类中心数，避免被大量复杂的网络环境影响聚类效果，进而得到更合理的类簇。

其中，所述所述网络安全态势评估指标体系包括网络域和行为域，所述网络域包括脆弱性、威胁性、可靠性和可用性四个综合性指标，所述行为域则包括账号登录、外联服务、外发数据、访问行为和数据库登录及访问五个综合性指标。

其中，所述数据处理包括如下步骤：

从所述深信服潜伏威胁探针的服务器中将安全检测日志读取并解密到日志处理工作站中；

针对所述深信服潜伏威胁探针采集到的每台主机的安全检测日志，以发生的安全事件和存在的漏洞作为评估因素；

针对所述深信服潜伏威胁探针采集到的整个网络环境的安全检测日志，以网络流量、数据包分布情况和网络设备信息作为评估因素。

其中，所述评估因素量化包括如下步骤：

建立层次结构，将网络安全态势评估指标体系的指标来源划分为静态配置信息、设备信息、访问信息、流量信息、报警信息和漏洞信息，并将来源信息作为评估因素的属性；

构建判断矩阵，根据评估因素属于任一类所述来源信息的可能性以形成属于评估因素的判断矩阵；

层次单排序及一致性检验，求出所述判断矩阵的最大特征值及其对应的特征向量，并对所述最大特征值对应的所述特征向量进行归一化处理得到权重向量，再使用所述最大特征值计算所述判断矩阵的一致性比率，进而判断所述判断矩阵的一致性能否被接受，若所述判断矩阵通过一致性检验，则所述权重向量作为评估因素的属性向量量化值；若不通过，则重新调整所述判断矩阵再检验。

通过将来源信息作为评估因素的属性，用来表示评估指标与评估因素之间的隶属关系。

其中，所述评估因素聚类包括如下步骤：

初始化类簇，每个评估因素作为一个单独的初始类簇，并计算初始簇间的属性相似度；

合并更新，层次聚类的迭代过程中，每次选择相似度相近的两个簇，将这两个簇合并形成新的簇，为了下次合并，需要计算新的簇与其它簇之间的相似度，不断迭代“合并-更新”的过程，直至聚类状态满足所有节点都聚在一类，最后形成完整的树状结构后结束层次聚类。

本发明的一种基于层次聚类和层次分析法的评估指标体系构建方法，根据构建的指标体系和指标度量方法给指标赋值，度量后的指标进行归一化，防止指标的不同量纲影响评估结果，再结合层次分析法计算网络安全态势值，能够反映实际网络的安全态势变化情况，并且筛选了有代表性的指标使评估结果更准确，以解决评估结果可信度低的问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明提供的基于层次聚类和层次分析法的评估指标体系构建方法的步骤示意图。

图2是本发明提供的基于层次聚类和层次分析法的评估指标体系构建方法的数据处理的步骤示意图。

图3是本发明提供的基于层次聚类和层次分析法的评估指标体系构建方法的评估因素量化的步骤示意图。

图4是本发明提供的基于层次聚类和层次分析法的评估指标体系构建方法的评估因素聚类的步骤示意图。

图5是本发明提供的基于层次聚类和层次分析法的评估指标体系构建方法的评估指标优化的步骤示意图。

图6是根据指标体系计算得到的态势值与网络系统中安全日志数量的对比。

图7是使用本申请的方法构建的指标体系与没有经过聚类得到的指标体系的对比。

图8是本发明提供的基于层次聚类和层次分析法的评估指标体系构建方法的分域指标体系层次结构模型。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。

请参阅图1至图8，本发明提供一种基于层次聚类和层次分析法的评估指标体系构建方法，所述基于层次聚类和层次分析法的评估指标体系构建方法包括如下步骤：

S101：数据处理，基于网络环境，利用搭建的深信服潜伏威胁探针作为数据采集设备，收集网络环境的安全检测日志作为实验数据，并统计评估因素；

S102：评估因素量化，以网络安全态势评估指标体系的来源信息作为评估因素的属性，用来表示评估因素与指标的隶属关系，并确定评估因素的属性向量量化值；

S103：评估因素聚类，使用层次聚类的方法将功能作用相似的评估因素自动聚成一类，聚类结果与指标形成层次关系，代替人为地直接选取评估因素，以减少构建网络安全态势评估指标体系时的主观性；

S104：评估指标体系优化，利用层次分析法计算每类中评估因素的重要程度，并筛选出有代表性的评估因素构建最终的指标体系，避免不重要的评估因素对评估结果的误导。

在本实施方式中，当前网络环境的评估因素呈现出动态多变的特点，本申请的指标体系是基于分域多层的思想划分的，从网络域和行为域的角度互补分析网络态势，在网络域中，不局限于特定场景下的安全态势评估，而考虑了整个网络中的安全评估因素；在评估指标中纳入用户行为的评估因素，加入了行为域的安全态势评估，保证了网络安全态势评估的完整性，并结合了层次聚类和层次分析法，使用层次聚类可以在复杂多变的网络数据中挖掘评估因素之间的层次关系，并将具有类似特征的评估因素聚到一起，按照在指标体系中的作用划分给不同的准则层指标，减少了人为划分指标层次的主观性，使用层次分析法筛选指标，选出各指标簇中有代表性评估因素，减小不重要的、作用重复的指标对评估结果的误导，进而提高了评估结果的准确性。

态势评估结果分析：

详见图6，网络系统中的安全事件发生数量可以一定程度代表网络安全态势，安全事件发生的越多代表网络面临的风险越严重，根据本申请指标体系计算得到的态势值与网络系统中安全日志数量的对比，可以看出两条曲线的走向和极值点大致相同，说明本申请通过聚类构建的指标体系具有评估网络安全态势的能力。

不同指标体系对比：

通过图7，HC是使用本申请的方法构建的指标体系，NC代表没有经过聚类得到的指标体系，图中的折线表示两种方法计算的态势值的变化情况，上图两条曲线的走向大致相同，大多数时间计算的态势值相近，说明以上两种方法具有可比性，NC容易被单一指标影响而产生误差，以及忽略了指标之间的联系，导致在2月20日和3月5日的态势评估结果不准确；

通过实验结果可知，基于层次聚类和层次分析法构建的指标体系能够反映实际网络的安全态势变化情况，该指标体系具有合理的层次结构能够充分利用指标之间的关系，并且筛选了有代表性的指标使评估结果更准确。

进一步的，所述网络安全态势评估指标体系包括网络域和行为域，所述网络域包括脆弱性、威胁性、可靠性和可用性四个综合性指标，所述行为域则包括账号登录、外联服务、外发数据、访问行为和数据库登录及访问五个综合性指标。

在本实施方式中，分域指标体系层次结构具体为：

网络域：分析网络构成及网络运行状态存在的风险，主要从以下四个综合性指标分析：

脆弱性：指资产中能被威胁所利用的弱点，使得网络系统或其应用数据面临保密性、可用性、完整性、可控性等威胁；

威胁性：指未经网络系统授权的访问、破坏、披露或修改信息等行为而产生不利影响的情况或事件；

可靠性：指与预期行为和结果一致的属性，网络中的可靠性通常被描述为网络硬件和通信环境无故障地运行以及网络系统提供服务的能力或可能性；

可用性：指某个考察时间内，被授权的实体访问和使用功能的特性，反映在网络中是网络系统正常运行并为用户稳定提供服务；

行为域：分析用户行为及操作执行过程出现的风险，主要从以下五个综合性指标分析：

账号登录：描述用户的身份鉴别和服务的访问控制；

外联服务：分析服务所依赖的协议信息是否异常；

外发数据：对相关访问数据和日志文件进行统计、分析，从中发现问题；

访问行为：分析用户的行为模式和流量数据发现敏感行为；

数据库登录及访问：对数据库的监控和诊断。

进一步的，所述数据处理包括如下步骤：

S201：从所述深信服潜伏威胁探针的服务器中将安全检测日志读取并解密到日志处理工作站中；

S202：针对所述深信服潜伏威胁探针采集到的每台主机的安全检测日志，以发生的安全事件和存在的漏洞作为评估因素；

S203：针对所述深信服潜伏威胁探针采集到的整个网络环境的安全检测日志，以网络流量、数据包分布情况和网络设备信息作为评估因素。

在本实施方式中，首先从所述深信服潜伏威胁探针的服务器中将加密数据读取并解密到实验室的一台日志处理工作站；针对每台主机，统计所发生的安全事件和存在的漏洞等评估因素，针对整个网络环境，统计网络流量、数据包分布情况和网络设备信息等评估因素。

进一步的，所述评估因素量化包括如下步骤：

S301：建立层次结构，将网络安全态势评估指标体系的指标来源划分为静态配置信息、设备信息、访问信息、流量信息、报警信息和漏洞信息，并将来源信息作为评估因素的属性；

S302：构建判断矩阵，根据评估因素属于任一类所述来源信息的可能性以形成属于评估因素的判断矩阵；

S303：层次单排序及一致性检验，求出所述判断矩阵的最大特征值及其对应的特征向量，并对所述最大特征值对应的所述特征向量进行归一化处理得到权重向量，再使用所述最大特征值计算所述判断矩阵的一致性比率，进而判断所述判断矩阵的一致性能否被接受，若所述判断矩阵通过一致性检验，则所述权重向量作为评估因素的属性向量量化值；若不通过，则重新调整所述判断矩阵再检验。

在本实施方式中，评估因素的量化是指标聚类的前提，聚类需要根据评估因素的属性相似度才能进行，为了将相似作用的评估因素聚在一起，首先需要指定评估因素的属性，这些属性要能反映评估因素的特点，指标的来源很大程度影响了指标的类型，也涵盖了评估因素的来源，所以本申请使用指标的来源信息作为评估的属性，用来表示评估因素与准则层指标的隶属关系，记作source＝{s₁,s₂,…,s_n}(n∈N)，其中n为来源信息的种类数目，进而得到评估因素的属性向量f＝(f₁,f₂,…,f_n)，表示评估因素与source每个元素的隶属度关系，f中元素的值越大代表该评估因素越有可能属于对应的来源信息，接着在量化评估因素的属性过程中，本申请使用定性定量相结合的层次分析法作为量化方法，以减少赋值时的主观性，具体步骤包括：

建立层次结构，本申请将网络域的指标来源划分为静态配置信息、设备信息、访问信息、流量信息、报警信息和漏洞信息，一共6种来源信息种类，进而将来源信息总结为source＝{configuration,element,access,netflow,threat,vulnerability}，评估因素的属性向量为f＝(f_c,f_e,f_a,f_n,f_t,f_v)，用层次分析法前需要确定决策目标和决策准则的层次结构，以评估因素作为上层(目标层)的决策目标，来源信息作为下层(准则层)的决策准则；

构建判断矩阵，准则层中的来源信息相互比较与评估因素的关系，即评估因素属于某类来源信息的可能性，根据这些可能性关系形成属于评估因素的判断矩阵，假设有K(K∈N)个评估因素，第k(1≤k≤K)个评估因素的属性向量记作X_k＝{x₁,x₂,…,x₆}，x_i(1≤i≤6)为评估因素的属性向量中第i个来源信息，那么第k个评估因素对应6*6组关于来源信息的可能性关系，形成判断矩阵R_k；

层次单排序及一致性检验，求出判断矩阵R_k的最大特征值

及其对应的特征向量

对μ_k归一化处理后所得到的权重向量

表示第k个评估因素属于某类来源信息可能性，再使用

计算R_k的一致性比率，进而判断R_k的一致性是否能被接受，若R_k通过一致性检验，则f_k可以作为第k个评估因素的属性向量量化值；若不通过，需要重新调整R_k再检验。

进一步的，所述评估因素聚类包括如下步骤：

S401：初始化类簇，每个评估因素作为一个单独的初始类簇，并计算初始簇间的属性相似度；

S402：合并更新，层次聚类的迭代过程中，每次选择相似度相近的两个簇，将这两个簇合并形成新的簇，为了下次合并，需要计算新的簇与其它簇之间的相似度，不断迭代“合并-更新”的过程，直至聚类状态满足所有节点都聚在一类，最后形成完整的树状结构后结束层次聚类。

在本实施方式中，现有技术中的网络安全评估指标体系往往是直接给出，指标选取过分依赖专家经验，而本申请使用聚类的方法将功能作用相似的评估因素自动聚成一类，聚类结果与综合性指标形成层次关系，代替人为地直接选取评估因素，以减少构建指标体系时的主观性；

层次聚类的结果是类似树状的层次结构，正好对应指标体系的层次结构；层次聚类可以得到不同类簇之间的差异，正好对应指标间的独立性关系，所以，使用层次聚类可以直观的选择出合适的指标层次结构，使用层次聚类前需要明确评估因素之间的相似度和簇间相似度计算方式；

在评估因素相似度时：

本申请使用欧几里得聚类计算评估因素相似度，设

为第k个评估因素的6个来源属性，令dist_index(f_k,f_v)为第k个评估因素与第v个评估因素之间的相似度，其计算公式为：

其中，

表示第k个评估因素的第i个属性，

表示第v个评估因素的第i个属性；

在计算簇间相似度时：

簇中可能存在多个评估因素，本申请使用平均连接的方式计算簇间相似度，设C_i＝(f₁,f₂,…,f_p,.…,f_|Ci|)(p|C_i|,p∈N)，其中，|C_i|为C_i中评估因素个数，f_p表示C_i中的评估因素，dist_cluster(i,j)为C_i与C_j之间的相似度，其计算公式为：

所述评估因素聚类具体步骤为：

初始化类簇，假设初始有K个评估因素，用C表示层次聚类结果的集合，|C|表示层次聚类形成的聚类中心数，则初始状态满足|C|＝K，即每个评估因素作为一个单独的初始类簇，并计算初始簇间的属性相似度；

合并更新，层次聚类的迭代过程中，每次选择相似度最近的两个簇，将这两个簇合并形成新的簇，为了下次合并，需要计算新的簇与其它簇之间的相似度，不断迭代“合并-更新”的过程，直至聚类状态满足|C|＝1，即所有节点都聚在一类，最后形成完整的树状结构后结束层次聚类。

进一步的，所述评估指标优化包括如下步骤：

S501：建立层次结构，以网络域中脆弱性、威胁性、可靠性和可用性指标作为决策目标，对应的聚类结果的评估因素作为准则层；

S502：构建判断矩阵，根据层次结构比较评估因素相对于决策目标的综合性指标的重要关系构建判断矩阵；

S503：计算判断矩阵的最大特征值，检验判断矩阵的一致性；

S504：在各综合性指标下按照数量最少权值最重要的一组评估因素筛选评估因素。

在本实施方式中，网络安全态势感知的评估因素具有复杂冗余的特点，本申请使用层次分析法计算每类中评估因素的重要程度，并筛选出有代表性的评估因素构建最终的指标体系，避免不重要的评估因素对评估结果的误导，从而提高指标体系的有效性和可操作性，以下是网络域中评估指标优化具体过程：

建立层次结构，以网络域中脆弱性、威胁性、可靠性和可用性指标作为决策目标，对应的聚类结果的评估因素作为准则层；

构建判断矩阵，根据层次结构比较评估因素相对于决策目标的综合性指标的重要关系构建判断矩阵；

计算判断矩阵的最大特征值，检验判断矩阵的一致性；

在各综合性指标下按照“最少最重要”策略筛选评估因素，即数量最少权值最重要的一组评估因素，将评估因素按照重要性权值排序，选择权值和第一次大于80％的N个评估因素。

具体实施例1：

影响脆弱性指标的8个评估因素为漏洞数量、漏洞严重等级、漏洞检测可信度、漏洞发现时间、漏洞类型、补丁质量、漏洞处理策略和漏洞所在传输层协议，记作f_v＝{f₁,f₂,f₃,f₄,f₅,f₆,f₇,f₈}，

对应的重要性权值为w_v＝{0.19,0.26,0.22,0.04,0.1,0.07,0.08,0.03}，按照重要性权值逆序后的评估因素顺序为{f₂,f₃,f₁,f₅,f₇,f₆,f₄,f₈}，对应的重要性权值w'_v＝{0.26,0.22,0.19,0.1,0.08,0.07,0.04,0.03}，从f₂开始计算权值和，直至f₇得到权值和第一次大于80％，则最终选择的评估因素为{f₂,f₃,f₁,f₅,f₇}，筛去了{f₄,f₆,f₈}。该策略可选出一组数量最少的评估因素，并保证这组评估因素具有代表。

以上所揭露的仅为本发明一种较佳实施例而已，当然不能以此来限定本发明之权利范围，本领域普通技术人员可以理解实现上述实施例的全部或部分流程，并依本发明权利要求所作的等同变化，仍属于发明所涵盖的范围。

Claims (5)

1.一种基于层次聚类和层次分析法的评估指标体系构建方法，其特征在于，

所述基于层次聚类和层次分析法的评估指标体系构建方法包括如下步骤：

数据处理，基于网络环境，利用搭建的深信服潜伏威胁探针作为数据采集设备，收集网络环境的安全检测日志作为实验数据，并统计评估因素；

评估因素量化，以网络安全态势评估指标体系的来源信息作为评估因素的属性，用来表示评估因素与指标的隶属关系，并确定评估因素的属性向量量化值；

评估因素聚类，使用层次聚类的方法将功能作用相似的评估因素自动聚成一类，聚类结果与指标形成层次关系，代替人为地直接选取评估因素，以减少构建网络安全态势评估指标体系时的主观性；

评估指标体系优化，利用层次分析法计算每类中评估因素的重要程度，并筛选出有代表性的评估因素构建最终的指标体系，避免不重要的评估因素对评估结果的误导。

2.如权利要求1所述的基于层次聚类和层次分析法的评估指标体系构建方法，其特征在于，所述网络安全态势评估指标体系包括网络域和行为域，所述网络域包括脆弱性、威胁性、可靠性和可用性四个综合性指标，所述行为域则包括账号登录、外联服务、外发数据、访问行为和数据库登录及访问五个综合性指标。

3.如权利要求1所述的基于层次聚类和层次分析法的评估指标体系构建方法，其特征在于，

所述数据处理包括如下步骤：

从所述深信服潜伏威胁探针的服务器中将安全检测日志读取并解密到日志处理工作站中；

针对所述深信服潜伏威胁探针采集到的每台主机的安全检测日志，以发生的安全事件和存在的漏洞作为评估因素；

针对所述深信服潜伏威胁探针采集到的整个网络环境的安全检测日志，以网络流量、数据包分布情况和网络设备信息作为评估因素。

4.如权利要求1所述的基于层次聚类和层次分析法的评估指标体系构建方法，其特征在于，

所述评估因素量化包括如下步骤：

建立层次结构，将网络安全态势评估指标体系的指标来源划分为静态配置信息、设备信息、访问信息、流量信息、报警信息和漏洞信息，并将来源信息作为评估因素的属性；

构建判断矩阵，根据评估因素属于任一类所述来源信息的可能性以形成属于评估因素的判断矩阵；

层次单排序及一致性检验，求出所述判断矩阵的最大特征值及其对应的特征向量，并对所述最大特征值对应的所述特征向量进行归一化处理得到权重向量，再使用所述最大特征值计算所述判断矩阵的一致性比率，进而判断所述判断矩阵的一致性能否被接受，若所述判断矩阵通过一致性检验，则所述权重向量作为评估因素的属性向量量化值；若不通过，则重新调整所述判断矩阵再检验。

5.如权利要求1所述的基于层次聚类和层次分析法的评估指标体系构建方法，其特征在于，

所述评估因素聚类包括如下步骤：

初始化类簇，每个评估因素作为一个单独的初始类簇，并计算初始簇间的属性相似度；

合并更新，层次聚类的迭代过程中，每次选择相似度相近的两个簇，将这两个簇合并形成新的簇，为了下次合并，需要计算新的簇与其它簇之间的相似度，不断迭代“合并-更新”的过程，直至聚类状态满足所有节点都聚在一类，最后形成完整的树状结构后结束层次聚类。

Images