相似云下的网络安全风险评估
摘要：针对当前网络安全风险评估指标体系不全面、实践操作复杂和评估结果不精确等问题，提出了一种基于相似云的网络安全风险评估方法。结合网络攻击威胁程度、漏洞利用情况和网络稳定性三要素建立指标体系，并采用正态云重叠面积定量描述云模型的相似度，实现对网络风险的模糊量化评估。实验表明，该方法能有效地评估网络风险，提高评估结果的精确性。
关键词：网络安全；风险评估；云模型；指标体系；相似性度量
随着网络的多样化和复杂化，网络安全问题变得日益突出。因此，对当前网络风险进行评估，并依据评估结果在风险发生之前采取相应的防御措施，降低风险发生概率，提高网络安全就变得十分重要。目前网络安全风险评估存在的主要问题是评估主观性强，评估结果不精确。针对这些问题，一些学者提出通过建立合理的指标体系，选取适当的指标对网络安全状况进行评估。如瓮迟迟等依据国家等级保护技术标准，从技术要求和管理要求两方面建立主机安全评估指标体系，对主机安全风险进行了全面的模糊量化评估♒［１］。王娟等针对网络层次、信息来源和不同需求三方面，拟定了２５个指标，建立了完善的网络安全态势评估体系，对网络安全态势量化评估提供了可靠的依据［２］。程玉珍从技术风险和非技术风险两个角度建立指标体系，并利用多层次模糊综合评估模型进行多层次的评估，为云服务的风险管理提供了理论参考［３］。一些学者采取定量或定性定量相结合的方法对网络安全状况进行评估，如攻击图［４］、Ｐｅｔｒｉ网［５］、神经网络［６］、博弈论［７］、马尔科夫模型［８］等方法，以避免纯粹定性评估结果的不精确等问题。依据云模型把定性概念的模糊性和随机性有效地结合在一起，实现定性与定量之间相互转换的特点［９］，本文提出了基于云模型的风险评估方法。通过完善网络风险评估指标体系，建立云风险评估模型，改进云相似性度量算法，有效地提高了网络风险评估结果的精确性和可信性。
１网络安全风险评估指标体系
网络安全状态评估涉及众多因素，而各因素的影响程度均不同。只有综合考虑影响网络安全的各种因素，才能对网络状态进行科学、合理的评价。因此，本文从网络安全风险因素中选取具有代表性的评估指标，构建网络安全风险评估指标体系，如图１所示。指标体系由目标、子目标和指标三个层次构成，Ｕ代表目标层，表示网络安全状态评估结果；Ｕ１、Ｕ２、Ｕ３代表子目标层，表示影响网络风险的因素；指标层是子目标层的细化，表示网络安全评估的具体因素。图１从脆弱性、威胁性和稳定性三个方面选取了影响网络安全风险的１２个指标。其中，脆弱性子目标层的指标反映评估对象自身在系统软、硬件配置和服务配置上 ☺的安全性不足；威胁性子目标层的指标反映当前网络状态下的危害程度；稳定性子目标层的指标反映连续时间内网络性能变化情况。
２基于云模型的网络安全风险评估方法
利用云模型对网络安全风险评估指标进行评估量化处理，并把这种模型定义为云风险评估模型。具体定义如下：云风险评估模型ＣＲＡＭ（ＣｌｏｕｄＲｉｓｋＡｓｓｅｓｓｍｅｎｔＭｏｄｅｌ）是一个五元组，即ＣＲＡＭ＝｛Ｒ，ｔ，Ｃ，Ｖ，Ｅ｝。（１）Ｒ＝（α１，α２，…，αｋ）表示网络评估综合风险值集合。综合风险值αｉ＝∑ｎｊ＝１Ｉｉｊ×ｗｊ。其中：Ｉｉｊ表示第ｉ次采样时，风险评估指标中第ｊ个指标的样本值；ｋ表示取样次数；ｎ表示网络风险评估指标个数；ｗｊ表示第ｊ个指标所对应的权重，且∑ｎｊ＝１ｗｊ＝１。（２）ｔ表示每次采样间隔时间。（３）Ｃ＝（Ｅｘ，Ｅｎ，Ｈｅ）表示云向量。其中３个特征值Ｅｘ，Ｅｎ，Ｈｅ分别为期望、熵和超熵。（４）Ｖ＝（正常，较正常，较危险，危险）为系统状态集合，表示风险评估时的４种不同网络状态。（５）Ｅ＝（低，较低，较高，高）为评估等级集合，表示系统状态所对应的４种评估结果。
２．１正常状态云的构造
每间隔时间ｔ对当前网络参数进行采样，获取ｋ组样本点作为正常状态下的样本值。首先通过层次分析法（ＡＨＰ）［１０］计算各指标权重并求取当前状态下不同时刻的综合风险值αｉ（要多次对网络参数进行采样，以确保综合风险值的样本量足够多）；然后通过无确定度逆向云算法得到正常状态云的数字特征（Ｅｘ，Ｅｎ，Ｈｅ）；最后通过正向云算法生成正常状态云集合。２．１．１无确定度逆向云生成算法输入：网络安全评估指标体系中各指标的样本值Ｉｉｊ和每个风险指 ﭢ标所对应的权重ｗｊ，其中ｉ＝１，２，…，ｋ，ｊ＝１，２，…，ｎ（ｎ表示风险指标个数，本文有１２个指标值，所以ｎ＝１２）。输出：云数字特征值Ｅｘ、Ｅｎ、Ｈｅ。Ｓｔｅｐ１：计算不同时刻的综合风险值αｉ；αｉ＝∑ｎｊ＝１Ｉｉｊ×ｗｊ（１）Ｓｔｅｐ２：计算综合风险值的３个数字特征：（１）依据不同时刻的综合风险值，求取综合风险均值珨Ｍ＝１ｋ∑ｋｉ＝１αｉ，样本方差Ｓ２＝１ｋ－１∑ｋｉ＝１（αｉ－珨Ｍ）２；（２）期望值Ｅｘ＝珨Ｍ；（３）熵值Ｅｎ＝（珨Ｍ２－Ｓ２２）１／４；（４）超熵值Ｈｅ＝（珨Ｍ－（珨Ｍ２－Ｓ２２）１／２）１／２。２．１．２正向云生成算法输入：正常状态下云的数字特征（Ｅｘ，Ｅｎ，Ｈｅ）和云滴个数Ｎ。输出：Ｎ个云滴和正常状态下每个云滴的确定度ｕｉ。Ｓｔｅｐ１：生成一个以Ｅｎ为期望值，Ｈｅ为标准差的一个正态随机数Ｅｎ′；Ｓｔｅｐ２：生成一个以Ｅｘ为期望值，Ｈｅ为标准差的正态随机数ｘｉ；Ｓｔｅｐ３：计算ｕｉ＝ｅｘｐ（－（ｘｉ－Ｅｘ）２／２（Ｅｎ′）２），其中ｘｉ表示一个云滴，ｕｉ为其确定度；Ｓｔｅｐ４：重复ｓｔｅｐ１－ｓｔｅｐ３，直到按照上述要求产生Ｎ个云滴为止。
２．２四尺度概念云的构造
为了准确描述网络风险状态，首先将网络状态划分为安全、较安全、较危险和危险４种，分别对不同状态下的网络参数值进行采样；然后依据正常状态云的构造步骤分别建立４种网络状态下的正态云；最后生成四尺度的概念云（正常、较正常、较危险、危险），其相应的风险结果为（低、较低、较高、高）。
２．３基于相似云的风险评估算法
通过改进文献［１１］的云相似度算法，计算出当前状态下生成的正态云与标准状态下四尺度的概念云的相似度，将相似度最高的概念云所对应的风险等级作为最终输出结果。具体的相似云风险评估算法如下：输入：当前网络状态下云Ｃ０的数字特征（Ｅｘ０，Ｅｎ０，Ｈｅ０），标准状态下概念云Ｃ１的数字特征（Ｅｘ１，Ｅｎ１，Ｈｅ１）。输出：风险评估结果δ。Ｓｔｅｐ１：令ｆｉ（ｘ）＝ｅｘｐ（－（ｘ－Ｅｘｉ）２／２Ｅｎｉ２），ｉ＝０，１，求出云Ｃ０和云Ｃ１的两条期望曲线ｙ＝ｆ０（ｘ）和ｙ＝ｆ１（ｘ）在［Ｅｘ１－３Ｅｎ１，Ｅｘ１＋３Ｅｎ１］范围内的相交点ｘ１、ｘ２，设ｘ１≤ｘ２，Ｅｘ０≤Ｅｘ１；Ｓｔｅｐ２：由于交点的分布不同，正态云重叠面积Ａ分为３种情况：（１）若ｘ１与ｘ２落在［Ｅｘ１－３Ｅｎ１，Ｅｘ１＋３Ｅｎ１］范围外，则Ａ＝０；（２）若ｘ１与ｘ２有一点落在［Ｅｘ１－３Ｅｎ１，Ｅｘ１＋３Ｅｎ１］范围内，则Ａ＝∫ｘ１Ｅｘ１－３Ｅｎ１ｆ１（ｘ）ｄｘ＋∫Ｅｘ１＋３Ｅｎ１ｘ１ｆ０（ｘ）ｄｘ；（３）若ｘ１与ｘ２同时落在［Ｅｘ１－３Ｅｎ１，Ｅｘ１＋３Ｅｎ１］范围内，则Ａ＝∫ｘ１Ｅｘ１－３Ｅｎ１ｆ１（ｘ）ｄｘ＋∫ｘ２ｘ１ｆ０（ｘ）ｄｘ＋∫Ｅｘ１＋３Ｅｎ１ｘ２ｆ１（ｘ）ｄｘ（当Ｅｎ１＜Ｅｎ０时），或Ａ＝∫ｘ１Ｅｘ１－３Ｅｎ１ｆ０（ｘ）ｄｘ＋∫ｘ２ｘ１ｆ１（ｘ）ｄｘ＋∫Ｅｘ１＋３Ｅｎ１ｘ２ｆ０（ｘ）ｄｘ（当Ｅｎ１≥Ｅｎ０时）；Ｓｔｅｐ３：对面积Ａ做标准化处理，最终可得云模型相似度为：ｓｉｍ（Ｃ０，Ｃ１）＝Ａ２槡πＥｎ１∈［０，１］（２）Ｓｔｅｐ４：依次计算待评价云Ｃ０与４个概念云Ｃ１，Ｃ２，Ｃ３，Ｃ４的相似度值，其中最大相似度值所对应的风险等级为最终的输出结果，记为δ。
３实验结果与分析
３．１实验过程与结果
本实验基于Ｗｉｎｄｏｗｓ７环境，编程工具为Ｍａｔｌａｂ７．１１，在校园网络环境下进行测试。采用美国林肯实验室Ｋｄｄｃｕｐ９９数据集中的数据，分别对非攻击、ＰＲＯＢＥ（端口扫描）攻击、Ｒ２Ｌ（远程登录）攻击和ＤｏＳ（拒绝服务）攻击４种状态下的数据进行采集，按照１∶１０００的比例随机选取子网带宽占用率、子网流量增长率、子网流量变化率和不同协议数据包分布比值变化率４个指标值。利用逆向云算法得到各状态下云的特征值（见表１），然后通过正向云算法生成四尺度的概念云（正常，较正常，较危险，危险），其相应的风险评估结果为（低，较低，较高，高）。进行随机网络攻击，每隔１０ｓ对当前网络进行一次采样，每次实验采样２０组，利用ＡＨＰ依次计算此时的综合风险值并作为输入参数，通过逆向云算法求出此时的云特征值Ｃ（Ｅｘ，Ｅｎ，Ｈｅ）。重复实验多次，并取４次实验采样值进行相似度计算。利用相似云风险评估算法，依次计算４°次不同实验下的云与标准状态下四尺度概念云的相似度，相似度最大的为最终输出结果.
３．２实验结果分析
将正态云相似性度量方法与传统的基于云滴距离［１２］和余弦夹角［１３］求相似性的方法进行比较.３种云相似性度量方法均可以得出正确的结果。基于云滴距离的相似性度量方法，因云滴的分布带有局部性和随机性，各云滴之间选取和排序问题不仅会增加算法的复杂度，还会直接影响到结果的准确性。基于夹角余弦求相似度的方法虽然计算简单，但是通过逆向云算法生成的期望值远大于熵和超熵，使得该方法在求相似度时容易忽视熵和超熵的作用，直接影响到结果的精确性。本文利用正态云重叠面积求相似度的方法充分考虑到正态云的全局相似性和３个数字特征值的作用，使得评估结果更加精确。
４结语
本文通过建立完善的网络风险评估指标体系和改进云相似性度量算法对网络风险状态进行了评估。实验结果表明，改进方法与传统方法相比不仅使实验结果更加精确，还提高了网络安全评估效率。如何获取和处理异常的网络采样数据，使评估结果更全面，是下一步研究的主要内容。
参考文献：
［１］翁迟迟，齐法制，陈刚．基于层次分析法与云模型的主机安全风险评估［Ｊ］．计算机工程，２０１６，４２（２）：１－６．
［２］王娟，张凤荔，傅翀，等．网络态势感知中的指标体系研究［Ｊ］．计算机应用，２００７，２７（８）：１９０７－１９０９．
［３］程玉珍．云服务信息安全风险评估指标与方法研究［Ｄ］．北京：北京交通大学，２０１３．
［４］ＰｈｉｌｌｉｐｓＣ，ＳｗｉｌｅｒＬＰ．Ａｇｒａｐｈ－ｂａｓｅｄｓｙｓｔｅｍｆｏｒｎｅｔ－ｗｏｒｋ－ｖｕｌｎｅｒａｂｉｌｉｔｙａｎａｌｙｓｉｓ［Ｃ］／／ＰｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅＷｏｒｋｓｈｏｐｏｎＮｅｗＳｅｃｕｒｉｔｙＰａｒａｄｉｇｍｓ．Ｖｉｒｇｉｎｉａ，ＵＳＡ：ＡＣＭ，１９９８：７１－７９．
［５］高翔，祝跃飞，刘胜利，等．基于模糊Ｐｅｔｒｉ网的网络风险评估模型［Ｊ］．通信学报，２０１３（Ｓ１）：１２６－１３２．
［６］刘芳，蔡志平，肖侬，等．基于神经网络的安全风险概率预测模型［Ｊ］．计算机科学，２００８，３５（１２）：２８－３３．
［７］姜伟，方滨兴，田志宏，等．基于攻防博弈模型的网络安全测评和最优主动防御［Ｊ］．计算机学报，２００９，３２（４）：８１７－８２７．
［８］王笑，李千目，戚湧．一种基于马尔科夫模型的网络安全风险实时分析方法［Ｊ］．计算机科学，２０１６，４３（Ｓ２）：３３８－３４１．
［９］李德毅，刘常昱．论正态云模型的普适性［Ｊ］．中国工程科学，２００４，６（８）ฌ：２８－３４．
［１０］廖红强，邱勇，杨侠，等．对应用层次分析法确定权重系数的探讨［Ｊ］．机械工程师，２０１２（６）：２２－２５．
［１１］李海林，郭崇慧，邱望仁．正态云模型相似度计算方法［Ｊ］．电子学报，２０１１，３９（１１）：２５６１－２５６７．
［１２］张勇，赵东宁，李德毅．相似云及其度量分析方法［Ｊ］．信息与控制，２００４，３３（２）：１２９－１３２．
［１３］张光卫，李德毅，李鹏，等．基于云模型的协同过滤推荐算法［Ｊ］．软件学报，２００７，１８（１０）：２４０３－２４１１．
作者:王锦潘恒单位:中原工学院计算机学院
