CN115329338A

CN115329338A - 基于云计算服务的信息安全风险分析方法及分析系统

Info

Publication number: CN115329338A
Application number: CN202210948438.7A
Authority: CN
Inventors: 李思宇; 杨鑫杰; 陈小鹏
Original assignee: Individual
Current assignee: Individual
Priority date: 2022-08-08
Filing date: 2022-08-08
Publication date: 2022-11-11

Abstract

本发明涉及云计算服务的信息安全风险分析方法及分析系统，通过提取云计算服务安全事件中能够直接反应系统运行规律的威胁因子，对威胁因子按其自身属性以不同属性值进行分类，以系统日志作为样本集确定各威胁因子在不同状态下的概率分布状况，然后利用熵权法计算出威胁因子的熵值，熵值越大表示威胁因子的不确定性程度越强，给系统安全分析带来的噪声干扰也就越高；进一步将两两威胁因子的熵值比与专家判断矩阵的标度值结合，得到的综合分析结果能够削弱专家判定结果的主观因素影响，同时也考虑到威胁对象因自身属性特征给系统带来的潜在安全风险，消除风险评估盲点。

Description

基于云计算服务的信息安全风险分析方法及分析系统

技术领域

本发明涉及信息安全风险评估领域，具体涉及基于云计算服务的信息安全风险分析方法和分析系统。

背景技术

信息安全风险评估是根据计算机系统和网络安全等级要求对资产进行识别，评估信息资产在遭受外部威胁对自身的脆弱点进行攻击时导致安全事件发生的可能性及影响程度进行量化的过程，是对威胁、脆弱性以及因此带来的风险大小的评估。对系统进行风险分析和评估，目的是为了对系统当前以及未来所存在的风险有一个整体把握，有效评估这些风险可能带来的威胁与影响。主要分为定性、定量和两者结合的评估方法三大类。

云计算的按需服务能够使得企业部署成本更为节约，加上弹性分配和资源虚拟化能以最少的管理成本与服务提供商互动，实现资源快速有效的配置和发布。云计算在给当前互联网环境带来巨大的发展机遇的同时，还不可避免的带来了相应的安全挑战。不同于传统的网络环境，云计算具有虚拟化、弹性服务等特性，使得一些传统的网络安全方法无法直接使用。相比于前两类评估方法，由于定性与定量结合的评估方法能够定性分析定量化输出，因此能够克服单一定性分析的主观依赖问题，以及降低单一定量分析结构复杂化问题，实现更加准确和全面的对信息网络的风险分析评估，适用于云计算等复杂信息平台的风险评估。其中最为典型和广泛应用的是层次分析法，它可以将复杂的问题分解成递阶层次结构，然后在比原问题简单得多的层次上逐步分析，可以将人的主观判断用数字化表达和处理，可以同时处理可定量和不易定量因素。

但是层次分析法在判断矩阵建立时过分依赖专家经验值，这就在很大程度上对结果直接产生影响。专家的个人偏好很大程度上决定了评估的结果，即专家对风险的态度和目标的偏好不同也会对分析结果产生影响。另外，云计算安全由于其自身的虚拟化服务化等特性呈现出更复杂的表现形式，仅用人工分析无法获取云计算信息的客观变化规律，而这些规律能够在一定程度上反应系统运行稳定度和潜在威胁，有助于挖掘出更深层次的安全问题，这对于传统的层次模型是无法做到的。为此，为了保证云计算系统环境中用户数据的机密性、完整性和可用性，就需要针对其特性设计出更加完善的安全防御机制。

发明内容

为了克服现有的层次分析模型在对云计算服务执行风险分析时，缺乏对客观因素的分析功能，对人为定性知识依赖性过强导致分析结果与实际情况存在较大偏差等问题，本发明提供一种基于云计算服务的信息安全风险分析方法以及分析系统，本发明利用熵理论统计系统日常运行中复杂的数据规律并进行量化，与专家判断指标融合后得出综合评估结果，能够纠正原始模型存在的偏差。

为了实现上述目的，本发明提供的基于云计算服务的信息安全风险分析方法，该方法具体包括以下步骤：

根据云计算服务风险识别数据建立递阶层次结构模型，包括目标层、准则层和方案层，并构造出各层次对象相对于上一层关联对象的专家判断矩阵，所述专家判断矩阵中元素值由专家提供，所述云计算服务风险识别数据包括云计算服务中的资产因子、威胁因子和脆弱性因子识别数据；

提取方案层中各方案的威胁因子，对于每一种威胁因子按其自身属性以不同属性值进行分类；

从系统日志中采集包含有威胁因子的云计算服务事件组成云计算服务事件样本集，累计样本集中各威胁因子的不同类别事件所发生的次数，并计算对应的分类概率；

以威胁因子的所有分类概率作为输入，利用熵权法计算输出威胁因子的熵量，进一步生成熵判断矩阵；

对专家判断矩阵进行一致性检验和修正，为验证合格的专家判断矩阵和熵判断矩阵分配不同的权值，将两个矩阵的对应元素相加后生成组合判断矩阵；

利用组合判断矩阵计算各方案相对于准则层各关联对象的权重，然后计算得出各方案相对于目标层的组合权重。

进一步优选地，所述目标层为云计算服务评估的最终目标，所述准则层包括风险发生的概率、风险发生的影响和风险的可控度；所述方案层包括云计算服务安全事件，该云计算服务安全事件定义为威胁因子利用脆弱性因子作用于资产因子后所产生的后果。

进一步优选地，所述威胁因子的分类概率生成过程为：

对于离散性属性值，按不同的属性值进行分类，对于连续性属性值，根据取值范围将属性值划分为不相交的区间，按不同的区间进行分类；

计算第i种威胁因子第k个类别的分类概率：

其中，x_ik表示在样本集中累计包含第i种威胁因子第k个类别的云计算服务事件次数，n表示样本集中云计算服务事件总数。

进一步优选地，采用信息熵算法计算得到第i种威胁因子的熵量：

其中，K表示第i种威胁因子的分类总数；

所述熵判断矩阵B中元素

表示第i种威胁因子与第j种威胁因子之间的熵量比值；

然后对专家判断矩阵所能达到的最大标度值a_max进行扩展，得到适用于组合判断矩阵运算的最大标度值：

进一步获得适用于组合判断矩阵运算的最小标度值：

其中，α表示熵判断矩阵被分配的权值，0＜α＜1；

所述组合判断矩阵C中元素c_ij＝(1-α)a_ij+αb_ij，表示含有第i种威胁因子的方案与含有第j种威胁因子的方案相对于其中一个准则的重要度比值。

进一步优选地，还包括对组合判断矩阵取值进行标准化处理：

其中，

表示对数值

四舍五入到小数点后第0位，c'_ij表示经标准化处理的重要度比值。

进一步优选地，对专家判断矩阵进行一致性检验的过程为：

计算一致性指标

λ_max为专家判断矩阵A的最大特征值；

进一步计算检验值

当CR≤0.1时，则称专家判断矩阵满足一致性检验要求，否则需要对专家判断矩阵进行修正。

进一步优选地，对专家判断矩阵进行修正的过程为：

提取专家判断矩阵A的下三角元素，计算校验矩阵D对应的下三角元素：

其中，i≥l，l≥j；

然后进一步计算差值矩阵E对应的下三角元素：

e_ij＝d_ij-a_ij

如果e_ij＞δ，则增大元素a_ij的标度值，如果e_ij＜-δ，则减小元素a_ij的标度值，如果-δ≤e_ij≤δ，则保持元素a_ij的标度值不变；

其中，阈值

进一步优选地，所述方案相对于目标层组合权重的生成过程为：

以组合判断矩阵的列向量求和得到行向量的元素：

然后利用行向量的元素对组合判断矩阵相应元素进行归一化处理，得到归一化矩阵元素：

计算准则层中第p个准则下含有第i种威胁因子的方案相对于方案层中其他方案的权重值：

对权重值ω_pi进行归一化处理：

进一步计算含有第i种威胁因子的方案相对于目标层的组合权重：

其中，ω_p表示目标层下第p个准则相对于准则层中其他准则的权重值，P表示准则层中准则总数。

为了实现上述分析方法，本发明还提供了基于云计算服务的信息安全风险分析系统，所述系统包括：

层次模型生成模块：根据云计算服务风险识别数据建立递阶层次结构模型，包括目标层、准则层和方案层，并构造出各层次对象相对于上一层关联对象的专家判断矩阵，所述专家判断矩阵中元素值由专家提供，所述云计算服务风险识别数据包括云计算服务中的资产因子、威胁因子和脆弱性因子识别数据；

威胁分类模块：提取方案层中各方案的威胁因子，对于每一种威胁因子按其自身属性以不同属性值进行分类；

熵量计算模块：从系统日志中采集包含有威胁因子的云计算服务事件组成云计算服务事件样本集，累计样本集中各威胁因子的不同类别事件所发生的次数，并计算对应的分类概率，以威胁因子的所有分类概率作为输入，利用熵权法计算输出威胁因子的熵量，进一步生成熵判断矩阵；

矩阵检验模块：对专家判断矩阵进行一致性检验；

矩阵修正模块：对专家判断矩阵进行一致性修正；

组合矩阵构造模块：为验证合格的专家判断矩阵和熵判断矩阵分配不同的权值，将两个矩阵的对应元素相加后生成组合判断矩阵；

组合权重生成模块：利用组合判断矩阵计算各方案相对于准则层各关联对象的权重，然后计算得出各方案相对于目标层的组合权重。

本发明的信息安全风险分析方法、分析系统有益效果：

1、本发明通过提取云计算服务安全事件中能够直接反应系统运行规律的威胁因子，对威胁因子按其自身属性以不同属性值进行分类，以系统日志作为样本集确定各威胁因子在不同状态下的概率分布状况，然后利用熵权法计算出威胁因子的熵值，熵值越大表示威胁因子的不确定性程度越强，给系统安全分析带来的噪声干扰也就越高；进一步将两两威胁因子的熵值比与专家判断矩阵的标度值结合，得到的综合分析结果能够削弱专家判定结果的主观因素影响，同时也考虑到威胁对象因自身属性特征给系统带来的潜在安全风险，消除风险评估盲点。

2、本发明改进的递阶层次模型保留了原有目标层、准则层结构，只对方案层中用到的判断矩阵进行处理，具体是先对矩阵原始标度范围进行扩容，以便将信息熵转化的量化值添加到矩阵内，防止熵值溢出；同时考虑到在最大程度上保留层次模型原有评价指标，在将两个矩阵对应值进行混合后对组合矩阵进行标准化处理，即将组合矩阵中表征方案重要度的比值重新压缩到原始评价等级对应的指标值上，从而不会破坏模型整体结构，避免模型结构本身被改变导致评估数据不可信问题。

3、由于熵判断矩阵中的元素都是比值，使得该矩阵具有完全一致性，因此只需对专家判断矩阵进行验证和修正即可，从而不会增加系统运算负担；修正过程是利用一致性矩阵本身性质构建起来的校验矩阵，通过比较专家判断矩阵与校验矩阵对应元素之间的差值来确定最终的修正值，且只对偏离超出阈值范围的元素进行单独修正，减少现有批量修正方式带来不可预知的错误或偏差。

4、根据需要为专家判断矩阵和熵判断矩阵分配不同的权值，利用加权法生成组合判断矩阵的元素，同时提供权值系数修正过程，减少元素估算值与真实值之间的差异，避免因原矩阵估算不准确导致最终计算得到的风险评估结果失真问题。

附图说明

图1为本发明提供的基于云计算服务的信息安全风险分析方法流程图；

图2为本发明实施例中构建的层次分析模型结构示意图；

图3为本发明提供的基于云计算服务的信息安全风险分析系统结构图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

层次分析法是一种主观赋权法，根据专家的知识和经验进行赋权，但是该方法确定的指标权重缺乏客观的科学依据，无法克服主观因素的影响。而熵权法实质上是一种客观赋权法，它能够充分挖掘原始数据的内在规律和信息量，由其得出的权重独立于决策者的主观偏好以及经验，使得评价过程能够有较强的数学理论依据支撑，评价结果更具有客观性。但是，熵权法不能反映专家的知识和经验，计算所得权重与实际重要程度可能出现不相符的情况。在本发明中，利用熵权法挖掘系统正常运行数据的变化规律，同时保留原有专家知识库的赋值，能够同时兼顾主观与客观因素影响。

传统信息安全可以在逻辑或物理上划分安全区域从而明确定义安全边界，但云计算所采用的虚拟化技术和多租户模式使得固定不变的安全边界变得模糊，且云环境中用户数量庞大和类别处于不断的动态变化过程，在这种情况下，非规律性变化的数据对象极易成为攻击者选择的理想攻击目标，因为这些数据状态频繁跳动更容易隐藏攻击者的攻击动作，使人不易察觉；而从外界自然环境考虑，非规律性变化也能够在一定程度上反应系统硬件等设备运行状态，能够在系统发生崩溃事件之间提前预警，而这些客观因素恰恰能够由风险内在的威胁因子直接表示，为此，本发明通过分析威胁在系统日常日志数据上的状态概率分布，然后利用信息熵等算法计算出威胁的熵值，该熵值就是当前威胁因子给系统带来的不确定性因素，将这种因素作为风险评估中一个评价标准参与风险估值运算。具体地，本发明提供的一种基于云计算服务的信息安全风险分析方法，该方法包括以下步骤：

在构建层次分析模型之前，首先需要对资产、威胁和脆弱性因子进行识别和赋值，生成云计算服务风险识别数据。

一、资产识别阶段

对信息资产的识别包括识别资产和对资产价值估值。云计算系统资产主要分为数据、软件、硬件、服务、人员和其他类型，如表1所示云计算系统资产分类的一个实例。

资产分类	描述
		数据资产	数据库数据、源代码、组织运行管理线程、系统文档、系统报告等
软件资产	操作系统、应用软件、数据库软件、源程序等
		硬件资产	网络及计算机设备、数据传输线路、安全防护设备、外端输入设备等
服务资产	IaaS服务、PaaS服务、SaaS服务等
		人员资产	掌握重要信息和核心业务的技术人员
其他资产	企业形象、客户关系等

表1资产分类及描述

资产价值应根据资产在保密性(Confidentiality)、完整性(Integrity)和可用性(Availability)上的赋值等级，经过综合评定得出。综合评定方法可根据自身的特点，选择对资产保密性、完整性和可用性中最为重要的一个属性的赋值等级作为资产的最终赋值结果，也可以根据资产CIA性质的不同等级对其赋值进行加权计算得到资产的最终赋值结果，加权算法可根据组织的企业特点确定。

二、威胁识别阶段

云计算系统环境存在的各种威胁是关系到云计算安全的关键对象，是造成资产损失的主要原因，主要分为人为和环境因素两方面，人为因素又分为恶意和非恶意操作，具体参见表2所示的云计算系统威胁分类的一个实例。

表2威胁分类及描述

对于威胁因子进行赋值过程中，可通过已发生的安全事件报告或系统日志记录，统计各种威胁发生的频率，可以等级化处理威胁出现的不同频率，等级的不同代表着威胁出现频率的不同与高低。等级数越大说明威胁出现的频率就越高，以此对威胁进行赋值，也可采用国际安全组织发布的对整个社会或特定行业安全威胁发生频率的统计数据的均值。如果是人为故意威胁，既要考虑资产的吸引力和曝光度，以及组织的知名度，还要考虑资产转化为利益的容易程度，包括财务利益、黑客获得运算能力很强和大带宽的主机使用等利益关系。

三、脆弱性识别阶段

脆弱性评估主要通过系统测试获得资产中存在的缺陷清单，包括物理环境、机构、过程、人员、管理、配置、硬件、软件和信息等各种资产的脆弱性，这些缺陷会导致对信息资产的非授权访问、泄密、失控、破坏等，从而绕过已有的安全机制，脆弱性可通过工具扫描、人工分析、渗透测试、策略文档分析、安全审计、网络架构和业务流程分析等识别，下表描述了云计算系统脆弱性分类的部分实例。

对已识别脆弱性进行赋值时，不仅要考虑其对资产的损害程度、弱点的流行程度、技术实现的难易程度，还要综合考虑多个脆弱性之间的相互影响。主要从保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)、可信性(Dependability)、可审性(Auditability)五方面对云计算系统漏洞展开评估。

在完成上述云计算服务风险识别数据识别之后，即可根据层次分析法对风险进行分析和评估过程，具体包括以下几个步骤。

(1)建立层次分析结构模型

定义三个层次包括目标层、准则层和方案层，其中目标层只有一个元素，为云计算服务风险评估的最终目标，即根据方案层各方案的评估结果选择实施的安全策略，根据风险评估特性，各风险因素的风险大小是由其发生的概率和风险产生的影响程度来决定的，另外就是还应将风险的可控性考虑在内，因此在本实施例中将准则层中添加风险发生的概率、风险发生的影响和风险的可控度三个元素(如图2所示)；所述方案层包括各种方案，每一个方案表示一个云计算服务安全事件，该云计算服务安全事件定义为威胁因子利用脆弱性因子作用于资产因子后所产生的后果，即被分解到最小化单元上的风险子对象。下面给出了一部分云计算服务安全事件实例。

表4云计算服务安全事件

从表4中可以看出，在一般情况下，同一个威胁因子可以作用在多个脆弱性因子上，而同一个脆弱性因子却只受到一个威胁因子影响，因此一个威胁因子可以被分布到多个安全事件上，例如，建立由“恶意扫描”利用“开放端口”这一漏洞发起的安全攻击事件，以及利用“不可用或配置错误的IDS系统”缺陷发起的安全攻击事件，形成两个最小化单元上的风险子对象。

通过对云计算系统的资产、威胁、脆弱性因子评估，计算威胁因子利用脆弱性因子导致安全事件发生的可能性以及评估安全事件发生对资产造成的损害程度，即可计算出系统风险。因此对信息系统风险进行计算原理可以简化定义为风险评估函数R＝f(A,V,T)，A,V,T分别表示风险R所包含的资产、脆弱性、威胁因子的赋值，这一过程由选择的特定算法计算获得。

(2)构造两两安全事件比较判断矩阵

利用以上运算得到的风险初始估值，结合专家的经验及系统调查报告等由专家对判断矩阵中的元素比较值逐一拟定。判断矩阵表示针对上一层某要素而言，本层与它有关联的各要素之间的相对重要程度。建立方案层n个方案与上一层某个准则关联的判断矩阵A表示为：

元素a_ij表示对于上层关联的某个准则，方案(或安全事件)P_i与P_j比较而得到的相对重要程度，对专家赋值本发明仍采用1～9标度法。

(3)计算威胁因子的熵量

提取方案层中各方案的威胁因子，对于每一种威胁因子按其自身属性以不同属性值进行分类。一种简化方式是依照威胁发生的频率对威胁因子进行分类，参见以下表所示的分类过程。

类别	标识	定义
			5	很高	出现的频率很高(大于20次/周)，或在大多数情况下几乎不可避免
4	高	出现的频率较高(大于10次/周)，或在大多数情况下很可能会发生
			3	中	出现的频率中等(大于5次/周)，或在某种情况下会发生
2	低	出现的频率较小(大于等于1次/周)，或发生的次数很少
			1	很低	威胁未发生，或仅可能在非常罕见和例外的情况下发生

表5威胁因子分类表

上述分类是通过设置固定的时间步长，按周统计威胁因子发生的频次，根据计数结果确定当前一周内威胁因子被分到的威胁类别，然后累计当前一整年或数年内不同类别被认定的次数，以此来作为计算威胁因子熵值的参数。此分类方式优点是对所有威胁因子通用，且便于操作，能够对威胁因子进行批量化处理，缺陷在于无法体现因威胁自身特性所带来的规律性变化。以表4所示的诸多安全事件为例，对于恶意扫描、跨虚拟机侧道攻击、DOS攻击、跨站点伪造请求、用户端Cookie篡改、Cookie重播攻击等仍适用于上述频率分类方式，根据上述5个离散性属性值，按不同的属性标识进行相应分类；而对于云中数据上传下载泄露、数据丢失/操纵等，可根据涵盖当前威胁的云计算服务事件导致被攻击的数据流量进行分类，对于缓冲区溢出可根据数据溢出量进行分类，对于字典攻击、连接池等威胁可按攻击事件所造成的严重程度进行分类，对于跨站点脚本、人为和环境破坏既可以按照系统被破坏的严重程度、人为评价等因素进行离散型分类，也可根据具体的安全事件发生情况按连续性属性进行区间划分，如考虑到因网络设备/线路传输不稳定所导致的安全事件，可通过计算不同时段的数据传输带宽，并根据预设的阈值进行按类划分。

在对威胁因子进行以上分类后，需要从系统日志所报告的云计算服务事件中统计出不同威胁类别发生的频次，并生成概率分布结果。云计算服务事件是所有云服务的事件集合，包括所有正常和非正常的系统运行记录和日志数据所记载的事件集，为了便于计算，可根据涉事的威胁对象预先将事件分到不同的子集合内，每个子集合均与一个威胁对象直接相关。

在本发明提供的一个实施例中，通过在系统中设计一个分类器对事件按威胁进行分类和计数。首先对数据库提供的系统日志进行过滤，完成云计算服务事件的采集，然后再交给事件引擎，事件引擎实现对云计算服务事件的完整解析，发现各种异常并将这些异常量化处理，然后按威胁分类脚本对量化值进行相应分类和计数，组成不同威胁对应的云计算服务事件样本集，威胁分类脚本被写入规则库，供事件引擎随时调用。

然后，针对每一个威胁因子，累计样本集中不同类别事件所发生的次数，进一步计算得到第i种威胁因子第k个类别的分类概率可表示为：

其中，x_ik表示在样本集中累计包含第i种威胁因子第k个类别的云计算服务事件发生次数，n表示样本集中云计算服务事件总数。

利用概率分布结果计算威胁因子的熵量，本实施例中采用信息熵理论，对于n种状态下的概率分布p₁、p₂、p₃……p_n，需满足

对系统具有不确定信息量H可表示为

信息熵的特征有：当至少任意一项p_i为1时，H取值必为0，此时信息熵达到最小值，当所有p_i都相等时，即概率

H取值为lnn，信息熵达到最大值。

为此，采用信息熵算法计算得到第i种威胁因子的熵量可表示为：

其中，K表示第i种威胁因子的分类总数，k表示威胁因子的第k个分类，0≤H(i)≤lnK，H值衡量了系统所隐含信息的有序程度，根据信息熵权的内涵可知，当H→0时，威胁因子的有序程度较高，对整体风险评估的不确定性影响较小，当H→lnK时，威胁因子的有序程度较低，对整体风险评估的不确定性影响较大。

(4)生成熵判断矩阵

熵判断矩阵B中的元素是指不同威胁因子之间的熵值比

表示第i种威胁因子与第j种威胁因子之间的熵量比值。为了便于计算，在系统中将某个准则下的专家判断矩阵A中第i个方案与熵判断矩阵B中第i种威胁因子使用相同标识定义，即第i个方案(或安全事件)中包含第i种威胁因子，熵判断矩阵B表示为：

(5)矩阵一致性检验与修正

由于专家判断矩阵A中的元素是由专家逐一写入的，必然存在误差，导致存在元素a_ij≠a_ik·a_kj的情况，但是又无法做到完全一致性的结果，层次分析模型要求矩阵误差满足最低限定条件即可符合要求，即通过检验和修正使得判断矩阵达到满意一致性。对专家判断矩阵A进行一致性检验，首先计算一致性指标

λ_max为专家判断矩阵A的最大特征值；进一步计算检验值

当CR≤0.1时，则称专家判断矩阵满足满意一致性，否则不满足，需要对专家判断矩阵进行修正。根据专家判断矩阵中方案n的数量通过查表找到相应的平均随机一致性指标RI，如下表所示。专家判断矩阵一般不会超过10阶，否则会增加运算复杂度，导致评估结果不准确。

n	1	2	3	4	5	6	7	8	9	10
											RI	0	0	0.52	0.90	1.12	1.26	1.36	1.41	1.46	1.49

表6 1-10阶平均随机一致性指标

在进行一致性比较之前，需要先计算矩阵的最大特征值λ_max和对应的特征向量w，本实施例中采用和法进行计算，具体过程为：

将矩阵A的每一列向量进行归一化处理，先按列向量求和，得到行向量e＝(d₁,d₂,d₃…d_n)，

然后利用列向量对矩阵A的元素进行归一化处理，得到归一化矩阵G＝(g_ij)_n×n，

将矩阵G按行求和得一列向量h＝(h₁,h₂,h₃…h_n)^T，

再将列向量h归一化后得到特征向量w＝(w₁,w₂,w₃…w_n)^T，

进一步求特征向量w所对应的特征值作为最大特征值，

由于一致性矩阵需要满足a_ij＝a_ik·a_kj，根据这一特性生成校验矩阵，通过比较专家判断矩阵与校验矩阵对应元素之间的差值来确定最终的修正值，且只对偏离超出阈值范围的元素进行单独修正，减少现有批量修正带来不可预知的错误或偏差，具体的修正过程为：

首先，提取专家判断矩阵A的下三角元素，计算校验矩阵D对应的下三角元素：

其中，i≥l，l≥j，由于n阶判断矩阵所需专家提供的信息量仅为

因为矩阵对角线上的元素全为1，而其他

个元素与专家赋值互为倒数，假设专家给出下三角矩阵的元素，则上三角矩阵的元素可计算倒数补充完整，因此本发明考虑仅处理下三角矩阵元素，减少冗余运算；

然后进一步计算差值矩阵E对应的下三角元素：

e_ij＝d_ij-a_ij

如果e_ij＞δ，则需要增大元素a_ij的标度值，如果e_ij＜-δ，则需要减小元素a_ij的标度值，如果-δ≤e_ij≤δ，则保持元素a_ij的标度值不变，可通过计算所有下三角元素偏差e_ij绝对值的均值作为阈值δ，表示为：

阈值δ反应了所有差值e_ij的平均偏离度，如果某个元素a_ij超出阈值范围[-δ,δ]，则表明该元素单独具有较高的不一致性，需要进行修正，且对元素独立修正能够降低批量修正带来的误差偏移，具体地：

当e_ij＞δ，表明对应元素过小，需要将其增大，可以采用以下表所示的向上越级调整，最大调整值为9。

修正前	1/9	1/8	1/7	1/6	1/5	1/4	1/3	1/2	1	2	3	4	5	6	7	8	9
																		修正后	1/8	1/7	1/6	1/5	1/4	1/3	1/2	1	2	3	4	5	6	7	8	9	9

当e_ij＜-δ，表明对应元素过大，需要将其减小，可以采用以下表所示的向下越级调整，最小调整值为1/9。

修正前	1/9	1/8	1/7	1/6	1/5	1/4	1/3	1/2	1	2	3	4	5	6	7	8	9
																		修正后	1/9	1/9	1/8	1/7	1/6	1/5	1/4	1/3	1/2	1	2	3	4	5	6	7	8

对修正后的专家判断矩阵A'重新进行一致性检验，如果仍不满足检验要求，则重复执行上述步骤直至达到满意一致性要求为止。

由于熵判断矩阵中的元素都是比值，因此对于任意元素都有

因此熵判断矩阵具有完全一致性无需进行修正，因此不会额外增加评估运算负担。

(6)生成组合判断矩阵

首先，为熵判断矩阵B分配权值α，0＜α＜1，相应的专家判断矩阵A'被分配的权值为1-α，然后通过权值计算得到各自对应的权值矩阵，将两个权值矩阵对应元素相加即得到初始状态的组合判断矩阵C，表示为：

其中，矩阵中元素c_ij＝(1-α)a'_ij+αb_ij，表示含有第i种威胁因子的方案与含有第j种威胁因子的方案相对于上一层其中一个准则的重要度比值，a'_ij表示修正后的专家判断矩阵元素。由于层次分析模型的原有标度法最大赋值为9，当a'_ij取值为9时，通过权值相加后得到的元素c_ij≤9，即熵值b_ij未对计算结果产生作用。因此需要对组合判断矩阵的值域进行扩展，利用专家判断矩阵所能达到的最大标度值a_max进行扩展，得到适用于组合判断矩阵运算的最大标度值：

进一步获得适用于组合判断矩阵运算的最小标度值：

例如，令α＝0.1，

因此元素c_ij的取值范围在[0.09,11.25]之间，此时当a'_ij仍取值为9时，受权值相加影响c_ij最高可达11.25，其中超出的部分就是熵值产生的影响，如果计算结果大于11.25，取最高值11.25，如果计算结果小于0.09，则取最小值0.09。

由于计算得到的元素都是不规范的小数，同时为了能够与其他评估模型很好地兼容，还需要对组合判断矩阵C取值进行标准化处理：

其中，

表示对数值

四舍五入到小数点后第0位，c'_ij表示经标准化处理的重要度比值。上述处理过程其实是将c_ij重新到压缩到1～9标度法取值标准[1/9,9]的过程，按比例值

对c_ij进行压缩，将不小于1的计算结果取整运算获得1～9范围内的整数，而将整数值取倒数，就是沿主对角线对称位置上的元素，即当

时，令

c'_ji表示取整运算后的元素整数值，c'_ij与c'_ji互为对称元素，最后将主对角线上的元素全部赋值为1。

(7)组合判断矩阵归一化处理

首先，以组合判断矩阵的列向量求和得到行向量c＝(c₁,c₂,c₃…c_n)，其中元素c_j表示为：

然后再利用行向量的元素c_j对组合判断矩阵相应元素进行归一化处理，得到归一化矩阵元素，表示为：

(8)计算方案的组合权重

首先，利用方根法计算方案层中各因素相对于上一层某个因素相对重要性的排序权值，即层次单排序。例如，计算准则层中第p个准则下含有第i种威胁因子的方案相对于方案层中其他方案的权重值，表示为：

其中，向量ω_p＝(ω_p1,ω_p2,ω_p3…ω_pn)，表示与第p个准则相关的下层所有方案的权重；

然后，对权重值ω_pi进行归一化处理：

从而得到单排序向量ω'_p＝(ω'_p1,ω'_p2,ω'_p3…ω'_pn)；

最后，利用层次单排序计算层次分析模型中每一层中的所有元素相对于总目标的组合权重，即层次总排序结果。由于本实施例中仅设置了三层结构，因此计算含有第i种威胁因子的方案相对于目标层的组合权重可表示为：

其中，P表示准则层中准则总数，在本实施例中P＝3，总排序向量Ω＝(Ω₁,Ω₂,Ω₁…Ω_n)，Ω_i表示第i个方案相对于目标层总目标的组合权重值，ω_p表示目标层下第p个准则相对于准则层中其他准则的权重值，层次模型前两层结构简单，本实施例中准则层只有三个准则，因此对于ω_p由专家直接赋值即可。

在本发明提供的另外一个实施例中，还包括对权值α的修正过程。在前述实施例的标准化处理时，对于矩阵C取值按比例压缩后如果

小于1，则直接将与其对称位置上的c'_ji取倒数作为当前位置上的估计值，即该估计值表示为：

而真实取值应该通过以下公式计算获得：

因此两者之间必然存在一定的偏差，由此会带来失真性问题，导致风险评估结果会产生较大误差。为此，需要对权值α进行修正得到修正系数α_m，在理想情况下估计值与真实值的比值为1，为此从组合判断矩阵中提取所有

个满足c'_ij＜1条件的元素估计值c'_ij，令每个元素估计值与真实值的比值σ_ij等于1则有：

通过上述等式计算每个元素估计值c'_ij对应的修正系数α_m，

然后进一步计算所有修正系数α_m的均值：

令

利用均值

作为权值的修正结果，重新参与专家判断矩阵与熵判断矩阵权值分配，再次形成的组合判断矩阵中的元素

然后再次执行前一实施例中的步骤(6)-(8)，以上权值修正过程能够有效降低组合判断矩阵估计值与真实值之间的差异，避免因原矩阵估算不准确导致最终计算得到的风险评估结果失真问题。

为了实现上述信息安全风险分析方法，本发明还提供了一种基于云计算服务的信息安全风险分析系统，如图3所示，该分析系统具体包括以下功能模块：

矩阵检验模块：对专家判断矩阵进行一致性检验；

矩阵修正模块：对专家判断矩阵进行一致性修正；

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。