單向傳輸狀態下網絡信息漏洞量化評估

栗維勛，馬斌，栗會峰

(1.國網河北省電力有限公司， 河北 石家莊 050000；2.國網河北省電力有限公司 電力科學研究院， 河北 石家莊 050000)

0 引言

信息技術的不斷普及，使得網絡的發展空間不斷得到拓展，應用前景也愈加廣泛。而與此同時，網絡也面臨著不斷嚴重的安全問題[1]。

脆弱性是網絡信息系統固有的屬性，任何網絡信息系統都具有一定的脆弱性[2]。脆弱性是造成網絡安全隱患的原因和前提。分析網絡脆弱性的手段之一就是對網絡信息漏洞進行分析和度量，確定網絡中存在的信息漏洞以及漏洞的嚴重程度[3]。因此，網絡信息漏洞評估技術成為了相關專家學者研究的重點，隨著研究內容的深入，也產生一些較為成熟的方法。

目前，該領域的學者們通過不同手段實現了對網絡信息漏洞的評估，但這些方法仍存在不同程度的弊端，需要后續的改進。例如文獻[4]中提出的基于博弈模型的物聯網系統漏洞風險評估方法。該方法建立了網絡攻防博弈模型，并設計了多漏洞組合的攻擊策略，運用博弈模型分析攻防雙方的收益預期，以較低復雜度定量網絡中的漏洞危害，在此基礎上評估網絡特定層級的安全風險。文獻[5]中的提出了一種基于風險矩陣的物聯網系統漏洞關聯性危害評估方法，該方法利用CVSS v3評價指標、以漏洞關聯圖和風險矩陣為研究基礎對物流信息漏洞實施關聯性評估。并通過考慮前/后序漏洞節點的關系以及漏洞本身的特點實現高危害漏洞的預防。然而上述傳統的網絡信息漏洞評估方法在評估過程中未設置權重值，使得網絡安防人員難以根據網絡中心度計算值評估信息漏洞風險值的大小，造成評估效果差的問題。且上述方法前期投入過大，而且還需要依賴大量的歷史數據和專家知識，易造成輸出結果中有效信息量少的問題。

單向傳輸狀態是指為了信息傳輸網絡的安全，在實際工作中，使數據信息能且只能由高安全域網絡向低安全域網絡傳輸。因此，在單向傳輸狀態下，為解決傳統方法中存在的不足，本研究提出一種多維度的評估方式，構建單向傳輸狀態下網絡信息漏洞量化評估方法。首先，多維度分析網絡信息漏洞被利用后對系統保密性和可用性方面造成的影響。其次，考慮到在不同時間段，攻擊數量和攻擊方式不同，需要先量化固有屬性維度，這樣評估結果就會隨著時間的不同而動態變化，使得評估結果具有動態性和真實性，具體實現過程如下。

1 網絡信息漏洞多維度分析

從以往的相關研究中不難發現，如果在網絡信息系統的生命周期內，其中出現的信息漏洞呈現出一定的規律，那么其累計攻擊量就會呈一條“s”型曲線分布[6-7]。這符合Compertz增長曲線模型的特點。因此，本研究考慮采用Compertz模型擬合單向傳輸狀態下網絡信息漏洞生命周期內的攻擊數量，分析模型,如式(1)。

V(t)=Vab

(1)

式中，V(t)表示信息漏洞攻擊次數;t表示時間;V表示當t→∞時，信息漏洞在整個生命周期內所遭受到的攻擊總數；b表示信息漏洞攻擊的增長速度；a表示受攻擊量[8-10]。

應用式(1)得出分析結果，由于分析結果的會直接影響攻擊熱度的計算，為此利用信息漏洞整個生命周期后期內的攻擊預測值，計算不同條件下的攻擊熱度，計算過程如下。

首先，細分信息漏洞生命周期，再將其劃分為若干個時間段。假設信息漏洞表示為Vi，將信息漏洞生命周期Ti劃分成n個時間段，則第k個時間段攻擊量,如式(2)。

Vk=Vi(k+1)-Vi(k)

(2)

在此基礎上，利用功效系數法變換攻擊熱度指標。考慮到信息漏洞攻擊量會引起信息漏洞攻擊量增高，需針對不同信息漏洞設置權重，根據攻擊者對信息漏洞整體關注的不同和整個生命周期攻擊總量的不同，利用改進后的功效系數完成權重值的計算，如式(3)。

(3)

式中，wi表示信息漏洞Vi在k個時間段的攻擊熱度;i和j表示正常數。

在進行多維度分析時，若某個信息漏洞的預測攻擊總量過多，且劃分的時間段內存在很大的攻擊量，就需要將在這段時間段內的攻擊熱度分值設置為10，這樣才能保證計算結果固定不變[11-12]。

2 網絡信息漏洞固有屬性值劃分

在對網絡信息漏洞進行多維度分析的基礎上，需要量化網絡信息漏洞的固有屬性值。首先采用定性方法劃分信息漏洞等級，劃分結果,如表1所示。

表1 信息漏洞危害程度等級

從表1可以看出，信息漏洞對系統的危害性具有獨立性、互補性的特點，雖然它們之間不沖突，但每個安全屬性并非完全獨立[13-15]。當信息漏洞一個安全屬性值偏高時，它的分值也會隨之增高。從某種程度上來說，其信息屬性具有破壞能力。根據網絡信息漏洞的特點將信息漏洞固有屬性值分為如下三種形式。

A：共有3個語言值集合，分別為高、中、低。

B：共有4個語言值集合，分別為高、較高、中、低。

C：共有5個語言值集合，分別為高、較高、中、較低、低。

上述的3種形式的語言值都有一個隸屬函數，它們之間是相互對應的。

3 網絡信息漏洞量化評估

在上述多維度分析單向傳輸狀態下的網絡信息漏洞并量化劃分信息漏洞固有屬性值的基礎上，實現網絡信息漏洞的量化評估。

首先利用信息漏洞的網絡流中心性值得出單向傳輸狀態下的攻擊路徑數，如式(4)。

(4)

式中，H表示信息漏洞集合;G表示攻擊者直接利用的新漏洞集合，且G?H;mjk表示信息漏洞j的初始攻擊節點，信息漏洞k是目的攻擊節點所有可能攻擊的位置[16];mjk(i)表示屬于攻擊路徑j中所能利用到信息漏洞的攻擊路徑。應用式(4)即可獲得不同信息漏洞網絡流中心度的大小。若Cf(i)大于總鏈數比之和，表示網絡中有較多的攻擊鏈。考慮計算過程中缺少攻擊深度，無法準確劃分權限級別供給鏈之間差異，因此在本次研究中主要從兩個方向進行權限級別供給鏈差異劃分[17-18]。第一個方向：攻擊路徑j的橫向延伸是否經過多臺主機；第二個方向：路徑j的縱向深入是否經過多臺主機。這一過程中，攻擊鏈分類情況,如圖1所示。

根據圖1所示的攻擊鏈分類結果可知，權重mjk有6種不同的取值，因此，需要利用AHP分析法建立判斷模型，如式(5)。

(5)

圖1 攻擊鏈分類示意圖

式中，lm表示第m種攻擊鏈，m=1,2,…,6。該矩陣是根據不同攻擊鏈所攻擊的危害程度建立的。當求得的矩陣A的最大特征值時，說明所得的單位特征向量是不可信的，還需要一致性檢驗[19]。在處理時，需要重新設置權重，使最小權重值為1。增加權重值后，評估網絡中主機數量與攻擊鏈的攻擊深度對計算結果產生的影響[20]。

最后，為綜合評估信息漏洞，需要量化處理各個維度的指標，利用功效系數法評估信息漏洞關聯風險過程,如式(6)。

R=A×(e+Cf(i)-Ca)

(6)

式中，R表示信息漏洞Vi量化后的關聯風險值;Ca表示信息漏洞中心計算值;e和f表示正值常數。

應用式(6)評估信息漏洞。在計算過程中，指標量化后的取值范圍應為0～10。在計算空間關聯風險值時，e取值為0.1，f取值為9.9。

綜上，實現單項傳輸狀態下網絡信息漏洞量化評估方法的設計。

4 實驗測試與結果分析

為驗證本研究所提的單向傳輸狀態下網絡信息漏洞量化評估方法的有效性和可利用性，設計如下實驗。

設置實驗用網絡結構，共安置4臺計算機，其中有一臺計算機提供Web服務和Mail服務，另外三臺計算機為工作主機。攻擊者可以通過互聯網訪問內部網絡信息。上述三臺工作主機中信息漏洞的設置情況,如表2所示。

表2 網絡中主機存在的信息漏洞

根據信息漏洞自身的特點，運用信息漏洞攻擊規則建立信息漏洞間的攻擊鏈。結合網絡空間結構所描繪的網絡攻擊路線圖，如圖2所示。

圖2 網絡信息漏洞分布情況

圖2中的虛擬節點vi表示攻擊結果，即網絡信息漏洞。其中，i∈[1,7]，且i為整數。

為闡述關聯攻擊的危害性，實驗中認定網絡信息結構出現漏洞后會威脅網絡中其他主機的安全。為使實驗具有說明性，根據圖2所示的網絡攻擊路線和信息漏洞分布情況，分別測試所提的單向傳輸狀態下網絡信息漏洞量化評估方法和文獻[4]中的基于博弈模型的物聯網系統漏洞風險評估方法的網絡中心度計算值，推斷出設置權重后和未設置權重的評估效果的顯著性。應用式(4)得出相應的權重值，實驗結果,如表3所示。

表3 不同方法信息漏洞空間網絡中心度計算值

分析表3可知，信息漏洞v1的網絡中心度計算值結果最大，是信息漏洞網絡的關鍵節點。這與信息漏洞v1位于攻擊鏈的首端有關。從實驗結果可以看出，中心度值越大，對整個信息漏洞網絡的影響也越大。使用本次所建方法信息漏洞v3的中心度值為16.5，重要度僅次于v1。因此，在后續制定防御策略時，需要安防人員重點保護。v1、v3、v7位置作為攻擊鏈防護的重點。表3所示結果也反映出所提方法的有效性。因為利用文獻[4]方法計算網絡中心度值時，難以計算出v2、v4、v5位置處的網絡中心度，而所提方法的計算結果與實際情況相符，因此可以證明所提的單向傳輸狀態下網絡信息漏洞量化評估方法在復雜的信息漏洞空間網絡中實施計算。從理論上來講，產生這樣結果的原因是因為所提方法在設置權重后考慮到了攻擊鏈鏈條深度對網絡中心性的影響，即使在較為復雜的環境中，所建方法評估效果也是最顯著的。

為進一步驗證所提的單向傳輸狀態下網絡信息漏洞量化評估方法的有效性，將所提的單向傳輸狀態下網絡信息漏洞量化評估方法與文獻[4]中的基于博弈模型的物聯網系統漏洞風險評估方法與文獻[5]中的基于風險矩陣的物聯網系統漏洞關聯性危害評估方法進行對比，測試不同方法輸出的網絡信息漏洞量化評估結果的信噪比，對比結果,如表4所示。

表4 不同評估方法輸出結果信噪比對比情況 (單位：dB)

分析表4可知，隨著實驗迭代次數的不斷增加，不同網絡信息漏洞評估方法輸出評估結果的信噪比也在不斷發生變化。但所提的單向傳輸狀態下網絡信息漏洞量化評估方法輸出的信噪比峰值始終保持最高，證明該評估方法輸出結果中的有效信息最多。

5 總結

針對傳統網絡信息漏洞評估方法存在的問題，提出一種單向傳輸狀態下網絡信息漏洞量化評估方法。該方法利用了多維度分析法，分析網絡信息漏洞中存在的問題。在此基礎上，采用定性方法量化固有屬性值，完成上述工作后，實現單向傳輸狀態下網絡信息漏洞量化評估方法的設計。最后設計對比實驗，分別測試不同網絡信息漏洞評估方法的網絡中心度計算值和輸出結果信噪比。根據實驗結果評判不同評估方法評估效果的顯著性。實驗結果表明，所提方法在設置權重后得到的網絡中心度計算結果相比傳統方法更準確，且輸出結果信噪比高，有效信息占有率大，證明該方法的有效性較高。