实时网络安全风险量化措施的优化研究

Ｉ ｓ ＳＮ １ ０ ０ ９ － ３ ０ ４ ４
Ｅ—ｍａ ｉ ｌ ：ｉ ｎ ｆ ｏ ＠ｄ ｎｚ ｓ ． ｎ ｅ ｔ ． ｃ ｎ
Ｃ ｏ ｍｐ ｕ ｔ ｅ ｒ Ｋ ｎ ｏ ｗ ｌ ｅ ｄ ｇ ｅ ａ ｎ ｄ Ｔ ｅ ｃ ｈ ｎ ｏ ｌ ｏ ｇ ｙ电脑 知 识 与技术
Ｖｏ １ ． ９ ， Ｎｏ ． ２ ８ ， Ｏｃ ｔ ｏ ｂ ｅ ｒ ２ ０１ ３ ．
￡
Ｒ ＝ ∑Ｒ
１
（ ３ ）
输 入方式选 取 Ｉ Ｄ Ｓ 告警 ， 并 通过 ＨＭＭ对 网络安全 风险进行 量化 ， 具有下 面这些优 点 ： １ ） 输 出通 常是 和输入相 对应 的 ， 而 由于
Ｉ Ｄ Ｓ 告警为动态输入 ， 因此输 出亦是动态 ， 这 样就能够根据系统遭受攻击 的具体情 况 ， 实时 的对系统 的风 险作 出反应 。能够正确 的 体现 出风 险的含义 ， 对 于不影响到 内部 网络 的一些攻击 或漏洞 ， 如被 Ｉ Ｐ Ｓ 或边界 防火墙 阻断的攻 击 ， 或是存在于 内部 网络 的一些漏 洞等 ， 都 不会将它们 视为风 险。２ ） 量化 简单 ， 能够通过 当前 主机一个 明确风险值 的大小 ， 对主机安全 事故的具体情况 进行直观观 察， 如事故 的严重程度 或里面的一些细微变化 等。这个风险值 能够通过 为主机的每个 状态配备一个风 险代价 ， 并与没各状态 的概 率相综合来 获取。３ ） 能够进行参数配置 ， 能够采用不同 的初始状态矩 阵、 Ｏ ｂ ｓ 矩阵 、 Ｔ ｒ ａ ｎ ｓ 矩 阵与风 险代 价向量对 不同的网络进行风 险评估 ， 获得 结果 也不尽相 同 ， 因此对 于所 有的 网络环境都 具有相当强 的适应 性。４ ） 通常情况下 ， 内部网络 中的主机都不是很 多 ， 而所采用 的隐马尔 可夫模 型计算 量亦不大 ， 所 以能够快速地进行风险评估 ， 该文 曾经对一个 Ｃ类地址网络进行一次风险评估 ， 整个 计算过程仅消耗不超过 １ ０ ｍｓ 的时间 。因此在 网络遭受攻击时 ， 能够对对其风 险值进行 即时更新 。 然而有 两个显著 的问题 在通过 ＨＭＭ方法对 网络 安全风险进行量化 的过程 中出现 ， 首先 ， 就是 对 Ｏ ｂ ｓ 矩 阵与Ｔ ｒ ａ ｎ ｓ 矩阵的具体
摘要： 提 高网络安全性 的核 心就是 能够对 网络安全风险进行精准的评估。采用隐马 尔卡夫模 型对实时网络安全风 险进行 量化 ， 输入 方式则选 用入侵检 测 系统 的告警 ， 在对 网络 风险进行 实施 量化的 同时， 并 能够对 网络遭 受的危 险进 行有效评 估。但 由于此项操 作配置过 于复杂 ， 容 易在评估 过程 中出现误 差 ， 为 了简化其配置复杂度 ， 该文针对其存在的一些 问题提
Ｎ
Ｒ ＝ ∑ｒ ｃ
ｉ ＝ｌ
（ ２ ）
通过主机 的风险值就 能够知道 主机 的被攻击程度 ， 当风险值处于 １ 至１ ０ 范 围内时 ， 就表示 主机 受到风险 的几 率十分大 ， 处于 １ ０ 到２ Ｏ 的范 围时 ， 就表示 攻击已经发生 ， 假若 数值 大于 ２ ０ 时， 就表 明主机受 到非 常严重 的攻击 。假若某个 网络是 由Ｌ 台主机构成 ， 那么这个 网络的风险值 就能够通过式子 （ ３ ） 轻易算 出 ， 公式为 ：
ｈ ｔ ｔ ｐ ： ／ ／ ｗ ｗｗ． ｄ ｎ ｚ ｓ ． ｎ ｅ ｔ ． ａ ｎ Ｔ ｅ １ ： ＋ ８ ６ — ５ ５ ｌ 一 ６ ５ ６ ９ ０ ９ ６ ３ ６ ５ ６ ９ Ｏ ９ ６ ４
实时网络安全风险量化措施的优化研究
谭啸
（ 株洲市气象局 ， 湖南 株 洲 ４ １ ２ ０ ０ ３ ）
Ａ＝ （ Ｔ ｒ ａ ｎ ｓ ， Ｏ ｂ ｓ ， Ｉ ｎ ｉ ｔ ） 这样 的三元组 ， 这样 就能够对状态进行计算 。其中 ， 主机状态之 间的转换概 率通过状 态转矩阵 Ｔ ｒ ａ ｎ ｓ 来表示 ， 当ｔ 时刻 的状 态是 ｓ 时， 用Ｔ ｒ ａ ｎ ｓ 来 表示 ， 那 么就可 以通 过 Ｔ ｒ ａ ｎ ｓ ＝ Ｐ （ ｘ ） ： ｓ ｉ ［ ｘ 一 ） ， １ ≤ｉ ｊ ＜Ｎ 。来 表示到 ｔ ＋ １ 时刻状 态 ｓ 时 的概率 。 通过观察矩 阵 Ｏ ｂ ｓ 能够知道某种攻击 在主机处于某一特定状 态时所观察到的发生概率 ， 主机处 于 Ｓ 状 态时 ， 在 时刻 ｔ 观察到 ａ 的 概率 ， 就用 Ｏ ｂ ｓ 来表示 ， 即Ｏ ｂ ｓ ＝ Ｐ （ ｙ ＝ ａ ｍ ［ Ｘ 一 ） ， １ ≤ｎ ≤Ⅳ， １ ≤ｍ≤ 。对于 主机 在一开始所处 的各个状态 的概率计算通过 向量
通过 Ｆ ｔ ＝ ｝ ， １ ≤ｉ ≤Ⅳ来表示在 ｔ 时刻的状态分布 ， 状 态的ห้องสมุดไป่ตู้布概率公式 为
ｒ ｉ ） ＝ Ｐ 一 ｌ ｙ ） （ １ ）
为了表示一 台主机在 每个状态的风 险值 ， 需要再 引人 一个代价响亮 ， 这样 一来 就可 以用主机状态 的定量分析取代原来 的定性 分析。假若将此主机在每种状态下 的风 险设为 ， ｃ ＝ ｆ １ ， １ ０ ， ２ ０ ， １ ０ ０ ｌ ， 那么就能够通过公式（ ２ ） 来求 出当前主机 的风险值 ， 计算公式为 ：
采取 Ｈ Ｍ Ｍ方法实施网络安全量化的重点就是将每台网络中的主机定义为具有Ｎ 个状态 ， 采用 Ｓ ＝ ， …， ｝ 表示 ， 由此可以得 出该主机状态序列是 ｘ＝ ， …， 研｝ ， ∈ ， 一般将主机定义为拥有 ４ 种状态 ； 分别用Ａ ， Ｐ ， Ｇ ， Ｃ 表示 Ａ ｔ ｔ ａ ｃ ｋ ｅ ｄ ， Ｐ ｒ ｏ ｂ ｅ ｄ ， Ｇ ｏ ｏ ｄ ， Ｃ ｏ ｍ ．
出 了一 些优 化 措 施 。
关键词 ： 网络安全； 风险评估 ； 隐 马 尔卡 夫模 型 ； 优 化
中图分类 号 ： Ｔ Ｐ ３ ９ ３ 文献标识码 ： Ａ 文章编号 ： １ ０ ０ ９ — ３ ０ ４ ４ （ ２ ０ １ ３ ） ２ ８ — ６ ２ ８ ７ — ０ ２
１ 基于ｌ Ｉ １ Ⅵ】 Ⅵ的网络 安全 风 险量化
ｐ ｒ ｏ ｍ ｉ ｓ ｅ ｄ ， 因此 ｓ ： ｆ Ａ， Ｐ ， Ｇ， Ｃ ｝ 。对 主体 的风 险进行定量 分析 ， 能够通过 对主机状态 的准确定位来进行 。假若将 能够 观察到 的主机
遭受 的攻击 设为 Ｍ种 ， 用Ａ ＝ ｆ ａ － ． ， ａ ｝表示 ， 就能够获得攻 击序列 Ｙ＝ Ｙ 一 ， Ｙ ， 其中Ｙ 属于 Ａ 。Ｈ Ｍ Ｍ中还包含 了一个
Ｉ ｎ ｉ ｔ 来 进行 ， 即 Ｉ ｎ ｉ ｔ ＝ （ ｒ Ｉ ， …， ， ）， Ｉ ｎ ｉ ｔ 表 示 主 机 的 初 始 状 态 。 而 主 机 实 时 各 状 态 的概 率 计 算 则 利 用 Ｔ ｒ ａ ｎ ｓ 与Ｏ ｂ ｓ 来进行 ， 即
Ｐ ： （ ， …， ｒ Ⅳ ） 。