基于FAHP的网络安全态势感知风险评估技术研究∗

陆雨晶 陈 琳

（1.江苏科技大学计算机学院 镇江 212003）（2.中国船舶重工集团公司第七一四研究所 北京 100101）

1 引言

近年来随着网络安全领域的变化和信息技术的快速发展，各企业单位利用各自的业务系统进行业务的处理，这些业务数据信息以及用户个人信息对于各企业单位来说极其重要。面向业务系统的攻击越来越多，攻击手段越来越复杂且广泛，黑客同时针对多个业务系统进行渗透，逐步窃取到企业单位的核心信息。虽然各企业单位针对这些攻击行为进行了诸多安全防范，如增加防火墙、防病毒、漏洞扫描系统等各类安全设备，但还是不能够掌握公司内部全系统安全状况，在与黑客的攻击防斗争中落于下风。针对这样的情况，将公司内部所有的安全监控设备以及安全数据信息整合起来，形成全系统统一检测、集中分析、集中呈现的态势感知系统，通过分析态势感知系统内获取的数据信息，便于各企业单位及时了解到单位内部数据的风险状况，采取防范措施，防止数据的泄露，确保单位内数据的安全。本文运用模糊层次分析法针对态势感知系统内获取到的资产、攻击、漏洞信息进行风险分析，给出实例分析了解到单位内部风险的实际情况，有利于对单位内部风险进行管控。

2 模糊层次分析评价模型

模糊层次分析法是一种将模糊法与层次分析法相结合的新的评价方法。当层次分析法的某一层评价指标很多时，无法保证其思维的一致性，模糊层次分析法可以很好地解决这一问题。模糊层次分析评价模型首先分析评价目标的影响因素，根据因素的不同属性对其进行分类，形成目标层，准则层和指标层这三层，建立指标体系，对准则层和指标层的各因素进行两两比较，得出比较的数值后分别建立准则层评估指标的模糊判断矩阵和指标层评估指标的模糊判断矩阵，并计算各自的权重。然后依据每个因素的重要性确定其隶属度，构建评价矩阵，将评价矩阵和权重结合进行综合运算，得出准则层和指标层的模糊矩阵，最后根据模糊综合评价隶属度最大准则得出对目标的评价结果。运用此评价模型有助于解决单位态势感知中风险评估的问题，其主要步骤如下。

2.1 确定影响因素集U

根据属性的不同对评价目标的影响因素进行划分，建立指标体系，确定目标指标为U，各评价指标为u。

2.2 确定评估指标的模糊判断矩阵及权重

将评价目标的影响因素依据属性和关系的不同进行分组形成递阶层次结构，然后根据各指标的重要程度进行两两比较，构成各指标的模糊判断矩阵，从而确定其权重。

1）比例标度表如表1所示。

表1 比例标度表

2）依据比例标度表，影响因素a1，a2，…，an相互进行比较，得到如下模糊互补判断矩阵。

3）计算模糊互补判断矩阵的权重。

2.3 确立评价集V

依据一定的准则对各评价指标进行量化评定确定评价集V，得出相对应的评价矩阵R，其中各评价指标的量化数值即为其隶属程度。

2.4 模糊层次综合运算

运用准则层的权重W和评价矩阵R可计算得到目标层的模糊矩阵Y：

3 实例分析

本文以北京某单位态势感知项目为分析目标，该单位态势感知系统从资产、攻击、事件、漏洞、告警等多个方面对该单位的资产信息以及攻击漏洞等信息进行态势呈现，方便单位内部人员及时了解到该单位存在的威胁并进行处理，保证单位内信息的安全。本文主要通过该单位态势感知系统内获取到的资产、攻击、漏洞信息对该单位进行风险分析，通过建立目标层、准则层、指标层形成风险评估体系。本文建立的北京某单位态势感知风险评估体系如图1所示。

图1 北京某单位态势感知风险评估体系

该评估模型以北京某单位态势感知风险评估体系为目标层U，准则层包括资产风险u1、攻击风险u2和漏洞风险u3。

资产风险u1可分解为资产被暴露，对其所在管理域会造成的损害程度u11、资产运行结果不准确或处理过程被篡改时产生的不良后果对其所在管理域的损害程度u12和资产不能运行时，对其所在管理域会造成的损害程度u13这三个指标，这三个指标分别对应资产的机密性、完整性和可用性。

攻击风险u2可分解为攻击的类型u21、攻击的分布u22、攻击的趋势u23和攻击是否被阻断u24这四个指标，其中通过观察攻击的分布以及攻击的趋势可以发现攻击行为的目标，及时对外来攻击进行阻断。

漏洞风险u3可分解为漏洞的发现率u31、漏洞是否是高危漏洞u32、漏洞的数量变化u33和漏洞是否已经被处理u34这四个指标，其中根据漏洞是否是高危漏洞优先处理高危漏洞，根据漏洞的数量变化了解系统存在的风险，及时处理发现的漏洞。

根据模糊层次分析法中确定评估指标的模糊判断矩阵及权重的方式，建立准则层评估指标的模糊判断矩阵和权重表（如表2所示）以及指标层评估指标的模糊判断矩阵和权重表（如表3所示）。

表2 准则层评估指标的模糊判断矩阵和权重表

表3 指标层评估指标的模糊判断矩阵和权重表

根据该单位对风险的评估要求，将风险评估等级设置为安全（v1）、较安全（v2）、临界（v3）、危险（v4）、非常危险（v5）。根据防火墙对攻击、漏洞的评级以及对相关管理人员的走访和咨询得出了该单位态势感知的评价矩阵R1、R2、R3如下：

根据Y=W*R，分别计算资产风险、攻击风险、漏洞风险的模糊矩阵Y1、Y2、Y3。

根据模糊综合评价隶属度最大准则，Y1的最大隶属度是0.3312，评价等级为v2，处于较安全状态；Y2的最大隶属度是0.355，评价等级为v4，处于危险状态；Y3的最大隶属度是0.3249，评价等级为v2，处于较安全状态；由此可知，该单位应对攻击风险加强防范。

根据以上得到的一级指标的模糊矩阵构成目标层的评价矩阵R。

再利用Y=W*R，可计算得到目标层的模糊矩阵Y：

可知安全评价等级隶属度为0.0884064，较安全评价等级隶属度为0.3281799，临界评价等级隶属度为0.2261147，危险评价等级隶属度为0.290509，非常危险评价等级隶属度为0.06679，根据模糊综合评价隶属度最大准则，可知该单位态势感知风险综合评估处于较安全状态。

4 结语

运用模糊层次分析法，对态势感知系统内收集到的资产、攻击、漏洞信息进行风险分析，建立模糊层次分析评价模型，对单位内部态势感知风险进行综合评价，及时应对高危风险，做好预防措施。

结合北京某单位态势感知系统，综合运用层次分析法和模糊评价法，从该单位态势感知系统内获取到的资产、攻击、漏洞这三个方面对该单位态势感知风险进行评估。根据各风险评价矩阵可知，资产被暴露，对其所在管理域会造成的损害程度、攻击的趋势、攻击是否被阻断以及漏洞是否是高危漏洞这四个方面风险较大。针对这四个方面该单位应采取一定的风险防范措施，如对资产进行加密传输；利用态势感知系统对外来的攻击进行分析，呈现出攻击的趋势，公司内部的安全管理人员在发现攻击的第一时间对攻击进行阻断；增加漏扫系统的数量，通过态势感知系统获取所有漏扫系统扫描到的漏洞信息，识别高危漏洞，及时处理高危漏洞。根据对各风险的评价等级可知资产风险处于危险状态，该单位应增加入侵检测系统和入侵防御系统，通过这些系统以及态势感知系统查找出攻击的类型以及攻击的目的，及时阻断攻击，确保单位内数据信息的安全。