单向传输状态下网络信息漏洞量化评估
2021-03-17栗维勋马斌栗会峰
栗维勋,马斌,栗会峰
(1.国网河北省电力有限公司, 河北 石家庄 050000;2.国网河北省电力有限公司 电力科学研究院, 河北 石家庄 050000)
0 引言
信息技术的不断普及,使得网络的发展空间不断得到拓展,应用前景也愈加广泛。而与此同时,网络也面临着不断严重的安全问题[1]。
脆弱性是网络信息系统固有的属性,任何网络信息系统都具有一定的脆弱性[2]。脆弱性是造成网络安全隐患的原因和前提。分析网络脆弱性的手段之一就是对网络信息漏洞进行分析和度量,确定网络中存在的信息漏洞以及漏洞的严重程度[3]。因此,网络信息漏洞评估技术成为了相关专家学者研究的重点,随着研究内容的深入,也产生一些较为成熟的方法。
目前,该领域的学者们通过不同手段实现了对网络信息漏洞的评估,但这些方法仍存在不同程度的弊端,需要后续的改进。例如文献[4]中提出的基于博弈模型的物联网系统漏洞风险评估方法。该方法建立了网络攻防博弈模型,并设计了多漏洞组合的攻击策略,运用博弈模型分析攻防双方的收益预期,以较低复杂度定量网络中的漏洞危害,在此基础上评估网络特定层级的安全风险。文献[5]中的提出了一种基于风险矩阵的物联网系统漏洞关联性危害评估方法,该方法利用CVSS v3评价指标、以漏洞关联图和风险矩阵为研究基础对物流信息漏洞实施关联性评估。并通过考虑前/后序漏洞节点的关系以及漏洞本身的特点实现高危害漏洞的预防。然而上述传统的网络信息漏洞评估方法在评估过程中未设置权重值,使得网络安防人员难以根据网络中心度计算值评估信息漏洞风险值的大小,造成评估效果差的问题。且上述方法前期投入过大,而且还需要依赖大量的历史数据和专家知识,易造成输出结果中有效信息量少的问题。
单向传输状态是指为了信息传输网络的安全,在实际工作中,使数据信息能且只能由高安全域网络向低安全域网络传输。因此,在单向传输状态下,为解决传统方法中存在的不足,本研究提出一种多维度的评估方式,构建单向传输状态下网络信息漏洞量化评估方法。首先,多维度分析网络信息漏洞被利用后对系统保密性和可用性方面造成的影响。其次,考虑到在不同时间段,攻击数量和攻击方式不同,需要先量化固有属性维度,这样评估结果就会随着时间的不同而动态变化,使得评估结果具有动态性和真实性,具体实现过程如下。
1 网络信息漏洞多维度分析
从以往的相关研究中不难发现,如果在网络信息系统的生命周期内,其中出现的信息漏洞呈现出一定的规律,那么其累计攻击量就会呈一条“s”型曲线分布[6-7]。这符合Compertz增长曲线模型的特点。因此,本研究考虑采用Compertz模型拟合单向传输状态下网络信息漏洞生命周期内的攻击数量,分析模型,如式(1)。
V(t)=Vab
(1)
式中,V(t)表示信息漏洞攻击次数;t表示时间;V表示当t→∞时,信息漏洞在整个生命周期内所遭受到的攻击总数;b表示信息漏洞攻击的增长速度;a表示受攻击量[8-10]。
应用式(1)得出分析结果,由于分析结果的会直接影响攻击热度的计算,为此利用信息漏洞整个生命周期后期内的攻击预测值,计算不同条件下的攻击热度,计算过程如下。
首先,细分信息漏洞生命周期,再将其划分为若干个时间段。假设信息漏洞表示为Vi,将信息漏洞生命周期Ti划分成n个时间段,则第k个时间段攻击量,如式(2)。
Vk=Vi(k+1)-Vi(k)
(2)
在此基础上,利用功效系数法变换攻击热度指标。考虑到信息漏洞攻击量会引起信息漏洞攻击量增高,需针对不同信息漏洞设置权重,根据攻击者对信息漏洞整体关注的不同和整个生命周期攻击总量的不同,利用改进后的功效系数完成权重值的计算,如式(3)。
(3)
式中,wi表示信息漏洞Vi在k个时间段的攻击热度;i和j表示正常数。
在进行多维度分析时,若某个信息漏洞的预测攻击总量过多,且划分的时间段内存在很大的攻击量,就需要将在这段时间段内的攻击热度分值设置为10,这样才能保证计算结果固定不变[11-12]。
2 网络信息漏洞固有属性值划分
在对网络信息漏洞进行多维度分析的基础上,需要量化网络信息漏洞的固有属性值。首先采用定性方法划分信息漏洞等级,划分结果,如表1所示。
表1 信息漏洞危害程度等级
从表1可以看出,信息漏洞对系统的危害性具有独立性、互补性的特点,虽然它们之间不冲突,但每个安全属性并非完全独立[13-15]。当信息漏洞一个安全属性值偏高时,它的分值也会随之增高。从某种程度上来说,其信息属性具有破坏能力。根据网络信息漏洞的特点将信息漏洞固有属性值分为如下三种形式。
A:共有3个语言值集合,分别为高、中、低。
B:共有4个语言值集合,分别为高、较高、中、低。
C:共有5个语言值集合,分别为高、较高、中、较低、低。
上述的3种形式的语言值都有一个隶属函数,它们之间是相互对应的。
3 网络信息漏洞量化评估
在上述多维度分析单向传输状态下的网络信息漏洞并量化划分信息漏洞固有属性值的基础上,实现网络信息漏洞的量化评估。
首先利用信息漏洞的网络流中心性值得出单向传输状态下的攻击路径数,如式(4)。
(4)
式中,H表示信息漏洞集合;G表示攻击者直接利用的新漏洞集合,且G⊂H;mjk表示信息漏洞j的初始攻击节点,信息漏洞k是目的攻击节点所有可能攻击的位置[16];mjk(i)表示属于攻击路径j中所能利用到信息漏洞的攻击路径。应用式(4)即可获得不同信息漏洞网络流中心度的大小。若Cf(i)大于总链数比之和,表示网络中有较多的攻击链。考虑计算过程中缺少攻击深度,无法准确划分权限级别供给链之间差异,因此在本次研究中主要从两个方向进行权限级别供给链差异划分[17-18]。第一个方向:攻击路径j的横向延伸是否经过多台主机;第二个方向:路径j的纵向深入是否经过多台主机。这一过程中,攻击链分类情况,如图1所示。
根据图1所示的攻击链分类结果可知,权重mjk有6种不同的取值,因此,需要利用AHP分析法建立判断模型,如式(5)。
(5)
图1 攻击链分类示意图
式中,lm表示第m种攻击链,m=1,2,…,6。该矩阵是根据不同攻击链所攻击的危害程度建立的。当求得的矩阵A的最大特征值时,说明所得的单位特征向量是不可信的,还需要一致性检验[19]。在处理时,需要重新设置权重,使最小权重值为1。增加权重值后,评估网络中主机数量与攻击链的攻击深度对计算结果产生的影响[20]。
最后,为综合评估信息漏洞,需要量化处理各个维度的指标,利用功效系数法评估信息漏洞关联风险过程,如式(6)。
R=A×(e+Cf(i)-Ca)
(6)
式中,R表示信息漏洞Vi量化后的关联风险值;Ca表示信息漏洞中心计算值;e和f表示正值常数。
应用式(6)评估信息漏洞。在计算过程中,指标量化后的取值范围应为0~10。在计算空间关联风险值时,e取值为0.1,f取值为9.9。
综上,实现单项传输状态下网络信息漏洞量化评估方法的设计。
4 实验测试与结果分析
为验证本研究所提的单向传输状态下网络信息漏洞量化评估方法的有效性和可利用性,设计如下实验。
设置实验用网络结构,共安置4台计算机,其中有一台计算机提供Web服务和Mail服务,另外三台计算机为工作主机。攻击者可以通过互联网访问内部网络信息。上述三台工作主机中信息漏洞的设置情况,如表2所示。
表2 网络中主机存在的信息漏洞
根据信息漏洞自身的特点,运用信息漏洞攻击规则建立信息漏洞间的攻击链。结合网络空间结构所描绘的网络攻击路线图,如图2所示。
图2 网络信息漏洞分布情况
图2中的虚拟节点vi表示攻击结果,即网络信息漏洞。其中,i∈[1,7],且i为整数。
为阐述关联攻击的危害性,实验中认定网络信息结构出现漏洞后会威胁网络中其他主机的安全。为使实验具有说明性,根据图2所示的网络攻击路线和信息漏洞分布情况,分别测试所提的单向传输状态下网络信息漏洞量化评估方法和文献[4]中的基于博弈模型的物联网系统漏洞风险评估方法的网络中心度计算值,推断出设置权重后和未设置权重的评估效果的显著性。应用式(4)得出相应的权重值,实验结果,如表3所示。
表3 不同方法信息漏洞空间网络中心度计算值
分析表3可知,信息漏洞v1的网络中心度计算值结果最大,是信息漏洞网络的关键节点。这与信息漏洞v1位于攻击链的首端有关。从实验结果可以看出,中心度值越大,对整个信息漏洞网络的影响也越大。使用本次所建方法信息漏洞v3的中心度值为16.5,重要度仅次于v1。因此,在后续制定防御策略时,需要安防人员重点保护。v1、v3、v7位置作为攻击链防护的重点。表3所示结果也反映出所提方法的有效性。因为利用文献[4]方法计算网络中心度值时,难以计算出v2、v4、v5位置处的网络中心度,而所提方法的计算结果与实际情况相符,因此可以证明所提的单向传输状态下网络信息漏洞量化评估方法在复杂的信息漏洞空间网络中实施计算。从理论上来讲,产生这样结果的原因是因为所提方法在设置权重后考虑到了攻击链链条深度对网络中心性的影响,即使在较为复杂的环境中,所建方法评估效果也是最显著的。
为进一步验证所提的单向传输状态下网络信息漏洞量化评估方法的有效性,将所提的单向传输状态下网络信息漏洞量化评估方法与文献[4]中的基于博弈模型的物联网系统漏洞风险评估方法与文献[5]中的基于风险矩阵的物联网系统漏洞关联性危害评估方法进行对比,测试不同方法输出的网络信息漏洞量化评估结果的信噪比,对比结果,如表4所示。
表4 不同评估方法输出结果信噪比对比情况 (单位:dB)
分析表4可知,随着实验迭代次数的不断增加,不同网络信息漏洞评估方法输出评估结果的信噪比也在不断发生变化。但所提的单向传输状态下网络信息漏洞量化评估方法输出的信噪比峰值始终保持最高,证明该评估方法输出结果中的有效信息最多。
5 总结
针对传统网络信息漏洞评估方法存在的问题,提出一种单向传输状态下网络信息漏洞量化评估方法。该方法利用了多维度分析法,分析网络信息漏洞中存在的问题。在此基础上,采用定性方法量化固有属性值,完成上述工作后,实现单向传输状态下网络信息漏洞量化评估方法的设计。最后设计对比实验,分别测试不同网络信息漏洞评估方法的网络中心度计算值和输出结果信噪比。根据实验结果评判不同评估方法评估效果的显著性。实验结果表明,所提方法在设置权重后得到的网络中心度计算结果相比传统方法更准确,且输出结果信噪比高,有效信息占有率大,证明该方法的有效性较高。