基于證據(jù)推理算法的網(wǎng)絡(luò)安全評(píng)估*

徐興碩，李世明

（哈爾濱師范大學(xué)）

0 引言

隨著全球計(jì)算機(jī)技術(shù)和Internet 的飛速發(fā)展，信息化進(jìn)程加速，互聯(lián)網(wǎng)在日常生活中扮演極其重要的角色，引領(lǐng)人們進(jìn)入以信息化為基礎(chǔ)的新環(huán)境.互聯(lián)網(wǎng)將不同的設(shè)備和組織聯(lián)系起來，提高了資源和信息交換的效率，但也提供了網(wǎng)絡(luò)攻擊的機(jī)會(huì).因此，網(wǎng)絡(luò)安全成為人們越發(fā)關(guān)注的焦點(diǎn).網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不因惡意網(wǎng)絡(luò)攻擊而遭受到破壞、泄露，系統(tǒng)可靠運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷［1］.

近年來，網(wǎng)絡(luò)攻擊事件頻發(fā)，例如：2021 年3月，美國的保險(xiǎn)公司CNA金融遭遇了勒索軟件攻擊，攻擊者要求支付4000萬美元贖金.2021年5月，全球最大的食品加工巨頭JBS Foods 因遭受網(wǎng)絡(luò)攻擊，被迫關(guān)閉全球多個(gè)生產(chǎn)基地.2022年5月，意大利參議院、上議院、國防部等多個(gè)重要政府網(wǎng)站遭到網(wǎng)絡(luò)攻擊，網(wǎng)站至少1 h 無法訪問，受到影響巨大.2022 年6 月，西北工業(yè)大學(xué)的校園電子郵件系統(tǒng)遭到網(wǎng)絡(luò)攻擊，給學(xué)校正常工作和生活秩序造成重大風(fēng)險(xiǎn)隱患.由此可見，網(wǎng)絡(luò)安全問題愈發(fā)嚴(yán)重，給個(gè)人或機(jī)構(gòu)帶來重大的信息損害和利益損失.因此，為了將網(wǎng)絡(luò)安全風(fēng)險(xiǎn)降到最低，有必要對(duì)網(wǎng)絡(luò)安全進(jìn)行合理的評(píng)估，為采取有效安全措施提供科學(xué)地依據(jù)，從而加強(qiáng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)防范能力［2］.

目前，存在的網(wǎng)絡(luò)安全評(píng)估方法主要包括貝葉斯推理方法、模糊熵層次分析法、基于機(jī)器學(xué)習(xí)的評(píng)估方法、基于ATT＆CK 框架［3］的評(píng)估方法、基于標(biāo)準(zhǔn)的評(píng)估方法、故障樹分析法等.貝葉斯推理方法通過將主客觀安全威脅等級(jí)進(jìn)行整合，分析和量化由各種威脅源引起的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，實(shí)現(xiàn)了安全評(píng)估的連續(xù)性和積累性，且可以處理概率不確定性信息［4］.該方法訓(xùn)練難度較大，需反復(fù)訓(xùn)練才可獲得更加精確地概率值.模糊熵層次分析法對(duì)模型中的主觀權(quán)重采用層次分析法求解，客觀權(quán)重利用信息熵計(jì)算，并給出一致性條件用于判斷矩陣，使得評(píng)估結(jié)果足夠準(zhǔn)確［5］，該方法過于依賴專家定性知識(shí)導(dǎo)致評(píng)估結(jié)果不準(zhǔn)確.基于機(jī)器學(xué)習(xí)的評(píng)估方法根據(jù)系統(tǒng)的定量數(shù)據(jù)訓(xùn)練模型參數(shù)，但由于先前專家經(jīng)驗(yàn)和訓(xùn)練樣本有限，使用小規(guī)模樣本計(jì)算定量信息模型獲得的評(píng)估結(jié)果不準(zhǔn)確［6］.基于ATT＆CK 框架的評(píng)估方法是指通過專業(yè)人員對(duì)組織進(jìn)行信息收集，對(duì)數(shù)據(jù)源覆蓋率、能見度覆蓋率和檢測覆蓋率進(jìn)行測算，以評(píng)估信息系統(tǒng)的防護(hù)有效性［7］.該方法的評(píng)估過程強(qiáng)烈依靠人的主觀性，使得評(píng)估結(jié)果的準(zhǔn)確性降低.基于標(biāo)準(zhǔn)的網(wǎng)絡(luò)安全評(píng)估方法將網(wǎng)絡(luò)安全技術(shù)標(biāo)準(zhǔn)作為評(píng)估指標(biāo)，該方法比較依賴各類安全標(biāo)準(zhǔn)，靈活性差［8］.故障樹分析法可以獲得網(wǎng)絡(luò)事故發(fā)生的概率和導(dǎo)致網(wǎng)絡(luò)風(fēng)險(xiǎn)的事故序列，但由于風(fēng)險(xiǎn)因素具有多樣性和不確定性，導(dǎo)致在對(duì)其描述時(shí)，不夠準(zhǔn)確［9］.

綜上所述，現(xiàn)存評(píng)估方法存在以下缺點(diǎn)：（1）準(zhǔn)確性低；（2）受專家經(jīng)驗(yàn)限制，主觀性強(qiáng)；（3）不能綜合利用半定量信息；（4）靈活性和擴(kuò)展性較差；（5）需大量數(shù)據(jù)，訓(xùn)練難度大.

針對(duì)以上問題，為了更準(zhǔn)確地評(píng)估網(wǎng)絡(luò)安全，該文提出了一種采用基于證據(jù)推理（Evidential Reasoning，ER）算法的網(wǎng)絡(luò)安全評(píng)估方法.

1 相關(guān)技術(shù)

1.1 ER算法

ER算法是一種基于置信決策和D－S 理論的多標(biāo)準(zhǔn)決策分析（Multicriteria Decision Analysis，MCDA）方法開發(fā)的，在應(yīng)對(duì)不確定性方面具有說服力和實(shí)用性［10］.目前，ER 算法已經(jīng)被應(yīng)用到多個(gè)領(lǐng)域，周志杰等學(xué)者將其應(yīng)用到無人機(jī)集群協(xié)同態(tài)勢感知一致性評(píng)估［11］；Bi W 等學(xué)者將其應(yīng)用到武器裝備系統(tǒng)效能評(píng)估［12］；程超等學(xué)者將其應(yīng)用到工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全狀態(tài)評(píng)估［13］.因此，將ER算法應(yīng)用于網(wǎng)絡(luò)安全評(píng)估，可以發(fā)揮其優(yōu)勢，從而獲得合理的評(píng)估結(jié)果.

1.2 ER步驟

文獻(xiàn)［14］闡述了ER算法的基本步驟.

假設(shè)存在X 個(gè)基礎(chǔ)屬性｛γ1，γ2，…，γm，…，γX｝，組成多級(jí)評(píng)估體系，其中，｛ω1，ω2，…，ωm，…，ωX｝表示基礎(chǔ)屬性的權(quán)重，且0 ≤ωm≤1.輸出的評(píng)價(jià)等級(jí)有Y級(jí).那么ER算法的基本步驟為：

（1）將置信度轉(zhuǎn)換為基本概率質(zhì)量，步驟如公式（1）～（4）所示：

（2）使用證據(jù)理論對(duì)前m 個(gè)基本屬性進(jìn)行組合，即可得到第n 個(gè)評(píng)價(jià)等級(jí)的概率質(zhì)量，步驟如公式（5）～（8）所示：

其中，PI（m），n表示前m個(gè)基本屬性組合后的第n個(gè)評(píng)價(jià)等級(jí)的概率質(zhì)量.可以由公式（9）求得：

（3）基于求得的概率質(zhì)量，計(jì)算第n 個(gè)評(píng)價(jià)等級(jí)的置信度σn和未被設(shè)置評(píng)價(jià)結(jié)果的剩余置信度σθ，公式如（10），（11）所示：

以上即為ER的基本步驟.

2 基于ER算法的網(wǎng)絡(luò)安全評(píng)估模型

2.1 評(píng)估指標(biāo)

隨著網(wǎng)絡(luò)攻擊技術(shù)的變化，對(duì)網(wǎng)絡(luò)安全防護(hù)能力的要求持續(xù)提升，網(wǎng)絡(luò)安全威脅主要源于外部攻擊，通過評(píng)估外部攻擊對(duì)網(wǎng)絡(luò)的影響從而可以獲得合理的網(wǎng)絡(luò)安全評(píng)估結(jié)果［15］.選取合理的安全指標(biāo)來評(píng)估網(wǎng)絡(luò)安全，可及時(shí)了解其自身安全水平及風(fēng)險(xiǎn)級(jí)別，及時(shí)預(yù)警安全管理人員.在對(duì)評(píng)估指標(biāo)選取的過程中，需要保證選取的指標(biāo)能夠客觀地反映網(wǎng)絡(luò)安全狀態(tài)，同時(shí)滿足符合網(wǎng)絡(luò)安全性的相關(guān)要求，從而保障選取的指標(biāo)可用性.

外部攻擊主要包括DDoS 攻擊、DoS 攻擊、Backdoor 攻擊、Injection 攻擊、Password 攻擊、Ransomware攻擊、Scanning攻擊和XSS攻擊.因此，將網(wǎng)絡(luò)安全的評(píng)估指標(biāo)劃分為DDoS攻擊頻率、DDoS攻擊嚴(yán)重程度、DoS攻擊頻率、DoS攻擊嚴(yán)重程度、Backdoor 攻擊頻率、Backdoor 攻擊嚴(yán)重程度等.該文的評(píng)估指標(biāo)體系結(jié)構(gòu)如圖1所示.

圖1 評(píng)估指標(biāo)體系結(jié)構(gòu)圖

2.2 網(wǎng)絡(luò)安全評(píng)估框架

依據(jù)圖1評(píng)估指標(biāo)體系結(jié)構(gòu)，該文以數(shù)據(jù)集TON＿IoT－Datasets［16］為樣本數(shù)據(jù)新建一種新網(wǎng)絡(luò)安全評(píng)估框架，為了便于辨識(shí)，對(duì)每一個(gè)安全指標(biāo)進(jìn)行了標(biāo)記，記為“R”，同時(shí)根據(jù)評(píng)估指標(biāo)對(duì)于網(wǎng)絡(luò)安全的重要程度賦予不同的權(quán)重，記為“ω”.最終，得到了基于半定量信息辨識(shí)框架下的二級(jí)網(wǎng)絡(luò)安全評(píng)估框架，網(wǎng)絡(luò)安全評(píng)估框架見表1.

表1 網(wǎng)絡(luò)安全評(píng)估框架

2.3 評(píng)估等級(jí)

通過表1建立的網(wǎng)絡(luò)安全評(píng)估框架，需要根據(jù)指標(biāo)的安全范圍對(duì)各個(gè)指標(biāo)配置不同等級(jí)的屬性.該文參考360網(wǎng)絡(luò)安全風(fēng)險(xiǎn)指數(shù)，對(duì)于定量數(shù)據(jù)，劃分為5個(gè)評(píng)估等級(jí)，即“安全，基本安全，輕度危險(xiǎn)，中度危險(xiǎn)，高度危險(xiǎn)”.對(duì)于定性指標(biāo)，評(píng)估的等級(jí)則由專家知識(shí)根據(jù)經(jīng)驗(yàn)給出.通過使用專家知識(shí)的方法對(duì)指標(biāo)劃分合理的區(qū)間有利于反映真實(shí)的網(wǎng)絡(luò)安全狀態(tài)，有了專家知識(shí)作為算法證據(jù)評(píng)價(jià)導(dǎo)師信號(hào)，有助于提高證據(jù)的推理速度，降低了計(jì)算復(fù)雜度，使得評(píng)估值更接近真實(shí)值.各指標(biāo)的評(píng)價(jià)等級(jí)見表2.表2中數(shù)值單位為times／ten mins.

表2 評(píng)估等級(jí)

該文依據(jù)360網(wǎng)絡(luò)安全風(fēng)險(xiǎn)指數(shù)，又將網(wǎng)絡(luò)安全評(píng)估等級(jí)劃分為“安全，基本安全，輕度危險(xiǎn)，中度危險(xiǎn)，高度危險(xiǎn)”，見表3.

表3 網(wǎng)絡(luò)安全評(píng)估等級(jí)

2.4 評(píng)估步驟

Step1：根據(jù)TON＿IoT－Datasets數(shù)據(jù)集計(jì)算出各個(gè)攻擊的攻擊頻率，并根據(jù)專家知識(shí)量化各攻擊的攻擊嚴(yán)重程度.

Step2：使用ER算法按攻擊類型進(jìn)行逐個(gè)融合，得到第一級(jí)的各個(gè)攻擊的評(píng)估結(jié)果.

Step3：將第一級(jí)各個(gè)攻擊的評(píng)估結(jié)果進(jìn)行最終的融合，得到網(wǎng)絡(luò)安全的評(píng)估等級(jí).

詳細(xì)的指標(biāo)數(shù)據(jù)信息的推理過程如圖2 所示.

圖2 指標(biāo)數(shù)據(jù)融合推理過程圖

3 實(shí)驗(yàn)分析

對(duì)TON＿IoT－Datasets 數(shù)據(jù)集進(jìn)行統(tǒng)計(jì)和計(jì)算，并由攻擊頻率和攻擊嚴(yán)重程度來完成各個(gè)攻擊的評(píng)估，其評(píng)估結(jié)果如圖3所示.

圖3 各攻擊評(píng)估結(jié)果

從圖3可以分析出：安全態(tài)勢評(píng)估值最小為0.2，說明網(wǎng)絡(luò)攻擊程度較弱，網(wǎng)絡(luò)處于一個(gè)安全的狀態(tài)，即數(shù)值越小，越靠近x 軸，越安全，數(shù)值越大，越危險(xiǎn)，危險(xiǎn)級(jí)別越高.安全態(tài)勢評(píng)估值較大時(shí)，則說明網(wǎng)絡(luò)受到較為嚴(yán)重的網(wǎng)絡(luò)攻擊.

網(wǎng)絡(luò)安全評(píng)估由各個(gè)攻擊的評(píng)估值進(jìn)行最終的融合，從而得到評(píng)估結(jié)果，如圖4所示.

從圖4 可以分析出：安全態(tài)勢評(píng)估值在0.2～0.3，依據(jù)表3可以看出，可將網(wǎng)絡(luò)所判定的安全評(píng)估結(jié)果表示為“安全”，即數(shù)值越小，越靠近x 軸，網(wǎng)絡(luò)安全狀態(tài)越好.

4 結(jié)束語

網(wǎng)絡(luò)安全評(píng)估是網(wǎng)絡(luò)安全的重要技術(shù)之一，但是目前缺少能夠同時(shí)處理半定量信息和不確定信息、且計(jì)算復(fù)雜度低的方法.因此該文提出一種基于ER的網(wǎng)絡(luò)安全評(píng)估方法，可以解決現(xiàn)存方法存在的問題，首先，從實(shí)際出發(fā)，分析確定評(píng)估方法中評(píng)估指標(biāo)、搭建包含二級(jí)指標(biāo)的網(wǎng)絡(luò)安全評(píng)估框架；其次，確定各指標(biāo)的評(píng)估等級(jí)、參考值及權(quán)重；再次，以ER算法融合出來的安全態(tài)勢評(píng)估值為基礎(chǔ)，確定網(wǎng)絡(luò)安全等級(jí)；最后，通過實(shí)驗(yàn)驗(yàn)證該方法可以得出一個(gè)合理的評(píng)估結(jié)果.該文后續(xù)工作將進(jìn)一步優(yōu)化該評(píng)估方法，提高精準(zhǔn)度.