黑客随机攻击下的企业信息系统安全投资策略

□潘崇霞 周 玮 李立望 谢吉刚

一、引言

在企业信息系统安全投资策略研究中，主要分析影响企业信息系统安全投资策略的内部因素，但在互联网环境下,企业信息系统安全投资策略不仅要考虑企业内部因素的影响，还要考虑企业外部环境中各种因素的影响。影响企业信息系统安全投资策略的内部因素，除了企业资金预算、信息系统安全需求和信息资产，还包括决策者行为、企业信息系统安全现状、企业产品类型等。影响企业信息系统安全投资策略的外部因素不仅包括黑客行为、客户需求、政府管理、市场环境等，还包括该企业与其他企业信息系统的关联关系，如企业间的信息共享、产品互补型企业间的合作、产品替代型企业的竞争、多个企业信息系统安全服务外包后安全风险的关联性等。只有在综合考虑各种因素的情况下，才能确定企业的信息系统安全投资重点、投资规模、投资时机，制定适合该企业的信息系统安全投资策略。

在影响企业信息系统安全投资策略的众多因素中，有些因素是企业可以控制的，如企业的信息系统安全投资预算等；有些因素是不可控的，如黑客行为及其攻击方式等。正是这些不可控因素的存在使得信息系统安全投资变得复杂化。投资决策不当很可能产生过度投资或投资不足，过度投资会浪费企业资金资源，投资不足则起不到安全防御的作用。因此，企业信息系统安全投资决策对企业信息化与网络化运营战略具有重要的现实意义，正成为企业信息系统应用中的重要决策，是企业预算中不可或缺的一个组成部分。

本文采用演化博弈模型对黑客随机攻击下的企业信息系统安全投资策略进行研究。黑客攻击方式是影响企业信息系统安全投资的外部因素之一，以往有关黑客攻击方式对企业信息系统安全投资策略影响的研究中存在以下两种情况：一是有些文献采用演化博弈模型对信息安全投资、信息安全中的攻防博弈等相关问题进行研究，但没有具体考虑黑客的攻击方式对信息系统安全投资策略的影响，没有详细分析黑客攻击概率、企业网络对外联接度对信息系统安全投资策略的影响；二是以前的研究大多是对单个企业信息系统安全投资策略进行研究，较少考虑多个关联企业面对多个黑客的动态演化博弈分析。实际上，在现实网络环境下企业信息系统安全投资决策中，多个关联企业常常会面对多个黑客攻击，如供应链上下游企业、供应商、服务商和零售商之间、安全服务外包中各企业，这些关联企业在信息系统安全投资上有着不同的投资策略，也常常受到多个黑客的攻击，因而形成了黑客群体与企业群体的投资博弈。而且，企业与黑客并不总是完全理性的，双方的投资博弈是一个动态交互的过程，需要一定时间的调整才能达到一个稳定的状态。所以，需要对多个黑客与多个关联企业的安全投资进行演化博弈研究。

因此，本文主要着力在以下几个方面进行剖析：一是在考虑黑客攻击方式对信息系统安全投资策略影响的同时，详细分析有关黑客攻击方式中具体因素，如黑客攻击概率、企业网络对外联接度对信息系统安全投资策略的影响，方便量化分析，使研究更加深入；二是考虑多个黑客与多个关联企业的安全投资博弈，符合现实网络环境下企业群体与黑客群体之间的投资博弈，更具有现实意义；三是构建企业群体与黑客群体投资的动态演化博弈模型，企业与黑客并不总是完全理性的，双方的投资博弈是一个动态交互的过程，需要一定时间的调整才能达到一个稳定的状态，通过对企业群体与黑客群体投资博弈的动态演化分析，增加了企业信息系统安全投资最优策略的准确性和可靠性；四是在综合考虑黑客攻击概率、企业网络对外联接度和安全投资效率等因素对企业信息系统安全投资策略影响的情况下，详细分析博弈各方的复制动态和复制稳定性，对企业与黑客的演化稳定策略进行求解和分析，最后根据分析提出投资建议。

二、文献综述

在企业信息系统安全投资策略研究中，影响企业信息系统安全投资策略的内部因素，包括企业资金预算、信息系统安全需求和信息资产，还包括决策者行为、企业信息系统安全现状、企业产品类型等。影响企业信息系统安全投资策略的外部因素包括黑客行为、客户需求、政府管理、市场环境、企业间信息系统的关联关系。根据本文研究主题，相关文献研究可概括为黑客攻击行为对企业信息系统安全投资策略影响的研究和关联安全投资策略研究。

（一）黑客攻击行为对企业信息系统安全投资策略影响的研究

Gao 和Zhong[1]讨论了两个竞争企业与一个黑客在随机攻击与定向攻击两种攻击方式下的安全投资策略，结果发现，黑客采用定向攻击比采用随机攻击能够获得更高的期望收益。Gao 和Zhong[2]采用微分博弈方法对处于黑客定向攻击方式下的两个产品竞争型企业的安全投资策略进行了研究，分析了黑客定向攻击强度、企业信息共享、安全投资水平等因素在两企业不同博弈状态下对顾客需求和企业利润的影响。Bandyopadhyay 等[3]采用微分博弈模型对两个企业与一个黑客的信息安全投资博弈进行研究，文献中黑客根据攻击偏好在两个信息资产相似的企业之间选择攻击目标，从而造成两企业的投资竞争，黑客选择攻击目标的偏好，一是信息系统的脆弱程度；二是信息资产价值。研究表明，为减少过度投资，信息资产价值高的企业应首先提供投资激励。

Ransbotham 和Mitra[4]通过对信息系统入侵检测数据的实证分析指出，具有较强吸引力的企业信息系统更容易遭受黑客的定向攻击。Png 和Wang[5]通过建立黑客与企业的信息系统安全投资博弈模型指出，企业在面临黑客随机攻击与定向攻击两种攻击方式时，应该加强对防御随机攻击的信息系统安全投资。Mookerjee V，Mookerjee R 和Bensoussan[6]研究了黑客攻击和黑客知识扩散对信息系统安全投资策略的影响，不同攻击方式下，黑客知识扩散和企业系统检测能力较低的情况下总是引起企业投资成本增高。Wan，Li 和Jin 等[7]采用演化博弈模型对复杂网络中的关联安全进行分析，当企业面对黑客的“全力以赴”、“最弱”和“最好”三种攻击情形时，对社会收益与投资状态产生不同的动态影响。

（二）关联安全投资策略研究

企业会因为各种关系，如供应链上下游关系、企业间的信息共享和信息系统安全服务外包中信息系统的安全风险关联等与外部多个企业存在关联关系，这种关联关系影响企业的信息系统安全投资策略。

Heal 和Kunreuther 从2002 年到2007 年先后发表了数篇文章，为关联企业的信息系统安全投资问题研究打下了基础。2002 年2 月，他们对一家航空公司的行李安全检查系统的安全投资策略进行研究，通过建立关联安全投资博弈模型，分析了保险、责任、罚款和补贴等因素对其他航空公司安全投资的影响，并对此案例进行了模拟仿真[8]；2005 年，他们在考虑信息系统安全投资负外部性影响的情况下，建立了航空公司之间的关联安全投资模型，通过对模型临界值的分析找到纳什均衡[9]；2006 年，改进了Thomas Schelling 的关联安全投资博弈模型，讨论了超模博弈、临界点均衡等问题[10]。2007 年，Geoffrey 和Howard[11]在参考航空安全问题和传染病模型的基础上，建立了基于关联风险的安全投资模型。

Michael、Hau 和Luis[12]在Heal 和Kunreuther 关联安全投资模型的基础上考虑了黑客的行为，提出了相互关联的防御模型，指出此模型是基于现实的Internet 框架图，比关联安全投资模型更为实用和更具有扩展性。Hausken[13]采用竞争函数模型研究了一个黑客与多个关联企业之间的安全投资博弈，研究了企业的收入、企业之间的相互关联性与效用替代性对博弈的影响，该研究表明，随着两企业关联程度的提高，两企业都有可能互相搭便车从而进行更少的安全投资，也因此获得更少的利润，反而令黑客获得更多的利润；替代效果可促进黑客对攻击目标进行攻击成本的优化分配。Gordon，Loeb 和Lucyshyn[14]从经济学角度对计算机信息系统间的信息共享进行研究，指出企业间的安全信息共享可以帮助企业减少信息系统安全投资，提高企业信息安全水平。Ha，Tian 和Tong[15]通过建立竞争博弈模型，对供应链中制造商与零售商之间的信息共享问题进行研究，指出价格竞争情况下，如果制造商能够有效削减成本或者竞争比较激烈，企业间会产生信息共享；数量竞争情况下，如果制造商能够有效削减成本，企业间会产生信息共享。Wu，Wang 和Cheng 等[16]分析了关联风险对企业信息安全投资决策的影响，发现信息资产互补型和替代型这两种不同类型的关联风险对企业具有不同的投资激励效果。

吕俊杰,邱菀华和王元卓[17]建立了相互关联的信息安全风险模型，分别对单次入侵风险和多次入侵风险下的企业信息系统安全投资均衡策略进行了研究，指出在具有关联风险的情况下，企业同时采取安全投资措施是最优选择，可以通过企业间的协议、购买保险和政府宏观调控的方式，降低关联企业间安全投资的外部性影响。

三、多对多演化博弈分析模型构建

黑客攻击方式是影响企业信息系统安全投资策略的重要因素，黑客不同的攻击方式会对企业造成不同的损失。为便于研究，学者一般把黑客的攻击方式分为随机攻击与定向攻击[18][19]。随机攻击并不针对特定的企业信息系统目标进行攻击，只是对可以连接的、容易访问的信息系统进行攻击，采取的主要方式为蠕虫病毒、间谍软件、网络钓鱼和垃圾邮件等。蠕虫病毒攻击方式会破坏客户的重要数据。当一个银行的信息系统瘫痪的时候，客户的交易将被迫中断；当一个商业网站例如京东商城、阿里巴巴的网站系统瘫痪的时候，将失去很多交易机会，由于客户对该网站安全水平的不信任，造成客户流失，从而给企业造成不可估量的损失。防御黑客的随机攻击的信息系统安全技术包括防病毒技术、脆弱性补丁管理、网页过滤等技术等。

Huang C D,Hu Q 和Behara R S[20]对随机攻击函数进行了定义，随机攻击方式的入侵概率函数为p（ξ，c，z）=ξkz+1。其中，ξ∈[0，1]表示黑客的攻击概率，黑客频繁的攻击最后可能使网络系统被成功入侵，从而造成企业信息资产的损失L；c 表示企业网络对外联接度，取值范围[0，1]，其取值取决于企业网络系统的商业要求和安全技术特性，反映了企业网络系统与其他企业的联接程度和开放程度，与之联接的企业网络结点越多，网络对外联接度就会越高；z 表示企业信息安全投资水平，并不是所有的安全投资都具有效果；k 则表示企业安全投资效率。当信息系统安全投资水平z=0 时，p（ξ，c，z）=ξc。企业信息资产的损失L，对黑客来说则是攻击入侵后获得的信息资产价值，黑客可以通过非法渠道对这些信息资产进行买卖获取利益。

在企业群体与黑客群体的演化博弈过程中，黑客群体中采取入侵策略的黑客比例为x，则采取不入侵策略的黑客比例为1-x；企业群体中进行安全投资策略的企业比例为y，不进行安全投资策略的企业比例为1-y。建立以下黑客群体和企业群体的投资演化博弈模型，如表1 所示。

表1 黑客与企业演化博弈收益矩阵

在黑客群体采取入侵策略，企业群体采取投资策略的情况下，黑客群体的收益为p（ξ，c，z）L-ch，企业群体的收益为π-p（ξ，c，z）L-z；在黑客群体采取入侵策略，企业群体采取不投资策略的情况下，黑客群体的收益为p（ξ，c，0）L-ch，企业群体的收益为π-p（ξ，c，0）L；在黑客群体采取不入侵策略，企业群体采取投资策略的情况下，黑客群体的收益为0，企业群体的收益为π-z；在黑客群体采取不入侵策略，企业群体采取不投资策略的情况下，黑客群体的收益为0，企业群体的收益为π。

因表1 可知，采取入侵策略的黑客群体收益为：

四、随机攻击下企业与黑客的演化稳定策略分析

以下将对演化稳定策略ESS 进行求解，并对博弈各方的复制动态和复制稳定性进行分析。

（一）企业与黑客两群体的演化稳定状态

图1 黑客群体的复制动态相位图

图2 企业群体的复制动态相位图

因此，在分析企业信息系统投资和黑客攻击成本的关系中，对企业群体与黑客群体在黑客随机攻击下的动态博弈和稳定性分六种情况进行讨论。

（二）第一种情况：企业与黑客两群体演化过程及模拟仿真分析

图3 随机攻击下第一种情况时黑客群体与企业群体的复制动态关系与稳定图

对第一种情况进行模拟仿真：假设企业群体投资为5000（设为企业信息资产潜在损失的5%），企业潜在损失为100000，对外联结度为0.2，一般情况下，对外联结度的取值小于e-1=0.368，[20]投资效率为0.0005，黑客攻击成本为1000，黑客攻击概率为0.4。在这种情况下，可知黑客群体采用入侵策略的比例为0.64，企业群体采取安全投资策略的比例为0.90。对两群体演化过程分析如表2。

表2 第一种情况企业与黑客两群体演化过程模拟仿真分析

在第一种情况下，黑客群体与企业群体的投资演化博弈始终处于不停的循环过程，体现了现实中黑客与企业的投资博弈状态。

（三）第二种情况：企业与黑客两群体演化过程及模拟仿真分析

图4 随机攻击下第二种情况时黑客群体与企业群体的复制动态关系与稳定图

对第二种情况进行模拟仿真：把企业投资水平提高到9000（设为企业信息资产潜在损失的9%），其他参数和第一种情况相同，在满足第二种情况的条件下，黑客群体采用入侵策略的比例范围区间为（0,1），企业群体采取安全投资策略的比例为0.87。对两群体演化过程分析如表3。

表3 第二种情况企业与黑客两群体演化过程模拟仿真分析

在第二种情况下，企业的状态始终是不进行安全投资，对于黑客来说放弃一个极不安全的信息系统是不可能的，最终对企业是毁灭性打击，这是由于企业的安全投资成本始终过高而造成的。因此，对企业而言，提高信息安全技术，减少投资成本是最优选择。由z>（1-ckz）ξcL 可知，在当前技术条件下，也可以在估算黑客攻击概率的情况下，通过调整网络对外联接度、减少潜在损失和提高安全投资效率的方法来达到降低成本的目的。

（四）第三种情况：企业与黑客两群体演化过程及模拟仿真分析

图5 随机攻击下第三种情况时黑客群体与企业群体的复制动态关系与稳定图

对第三种情况进行模拟仿真：黑客大大提高入侵成本到9000，其他参数和第一种情况相同，在满足第三种情况的条件下，此时黑客群体采用入侵策略的比例为0.64，企业群体采取安全投资策略的比例范围为（0，1），对两群体演化过程分析如表4。

表4 第三种情况企业与黑客两群体演化过程模拟仿真分析

在第三种情况下，黑客始终不入侵企业系统，因此企业可以采取最小的投资就可以保证企业系统安全。这是由于黑客攻击成本始终过高造成的。因此，企业一开始就要提高企业信息系统安全水平，这样可以增加黑客的入侵难度和提高黑客的入侵成本，让黑客知难而退，从而使企业不需要再增加安全投资就可以达到和平状态。在不考虑黑客知识学习的情况下，对企业来说是一种短暂的理想状态。

（五）第四种情况：企业与黑客两群体演化过程及模拟仿真分析

图6 随机攻击下第四种情况时黑客群体与企业群体的复制动态关系与稳定图

对第四种情况进行模拟仿真：提高企业之间的关联性，设置对外联结度值为0.35，其他参数和第一种情况相同，在满足第四种情况的条件下，此时黑客群体采取入侵策略的比例为0.38，企业群体采取安全投资策略比例范围y∈（0，1），对两群体演化过程分析如表5。

表5 第四种情况企业与黑客两群体演化过程模拟仿真分析

在第四种情况下，企业存在两种状态：进行安全投资或者不进行投资，而黑客始终不会采取入侵策略，一方面可能是因为企业为了保证和其他企业贸易往来网络渠道的畅通，注重信息系统安全而增加投资；另一方面也可能是因为黑客面对关联企业的信息系统采取随机攻击方式并不能获得理想的收益。在这种情况下，企业除了注重日常的信息系统安全投资还需要警惕黑客定向攻击的可能性。

（六）第五种情况：企业与黑客两群体演化过程及模拟仿真分析

图7 随机攻击下第五种情况时黑客群体与企业群体的复制动态关系与稳定图

对第五种情况进行模拟仿真：降低企业的信息系统安全投资效率，设置安全投资效率值为0.00005（第一种情况效率的10%），其他参数和第一种情况相同，在满足第五种情况的条件下，对两群体演化过程分析如表6。

表6 第五种情况企业与黑客两群体演化过程模拟仿真分析

在第五种情况下，企业信息系统安全投资效率起到了至关重要的作用，在投资效率不高的情况下，信息系统也不够安全，如果信息系统管理人员不够专业，出现问题不会处理等，一旦黑客入侵对企业信息系统就会造成毁灭性的打击，将给企业带来不可估量的损失。

（七）第六种情况：企业与黑客两群体演化过程及模拟仿真分析

图8 随机攻击下第六种情况时黑客群体与企业群体的复制动态关系与稳定图

对第六种情况进行模拟仿真：大大降低企业信息资产价值为10000（第一种情况的10%），其他参数和第一种情况相同，在满足第一种情况的条件下，对两群体演化过程分析如表7。

表7 第六种情况企业与黑客两群体演化过程模拟仿真分析

在第六种情况下，企业信息资产价值较低，黑客入侵系统不能获得较多收益，攻击愿望也比较低，因此，企业在信息资产价值不大的情况下只需要维护信息系统日常运行就可以了，可以使用一些免费的安全软件等，减少额外的投资成本。

五、研究结论与对策建议

（一）研究结论

企业信息系统安全投资策略研究涉及多个企业与多个黑客间的动态博弈，本文考虑的因素比较多，除了影响单个企业和黑客演化稳定策略的因素，如企业的投资成本、企业被入侵潜在损失和黑客的入侵概率之外，还考虑了影响关联企业和黑客演化稳定策略的因素，如企业网络对外联接度、黑客攻击概率和企业信息系统安全投资效率等[22][23][24]，在此情况下，对黑客随机攻击情形下的企业群体与黑客群体动态博弈和稳定性的六种情况分别进行了讨论，并作数字模拟分析。

研究发现，第一种情况下，黑客群体与企业群体的投资演化博弈始终处于不停的循环过程，企业可以通过调整网络对外联接度、估算黑客攻击概率和提高企业信息系统安全投资效率等因素，采取不同的投资策略，改变演化博弈的稳定状态，也体现了现实中黑客与企业的投资博弈状态；随机攻击下，企业对外联结度的增加可以降低黑客群体入侵比例；在一定情况下，企业信息系统安全投资效率对信息系统安全起到了关键作用等。

（二）对策建议

基于对模型六种情况下企业群体与黑客群体的演化过程分析，可给出以下对策建议。

1.黑客与企业的演化博弈始终处于不停的循环过程，企业可以通过调整网络对外联接度、黑客攻击概率和企业信息系统安全投资效率等因素改变投资策略，使演化稳定状态朝着有利于企业的方向进行，从而达到减少投资实现利润最大化的目的。

2.当企业投资水平过高时，提高信息安全技术，减少投资成本是最优选择。否则，因为投资成本过高而不进行投资或投资过少，对企业来说可能是毁灭性打击。在信息技术水平一定的情况下，也可以通过调整黑客攻击概率，调整网络对外联接度、减少潜在损失和提高安全投资效率的方法来达到降低成本的目的。

3.当黑客成本过高，企业可以增加较小投资保证企业系统安全，前提是在不考虑黑客知识学习的情况下，企业一开始就要提高企业信息系统安全水平，这样可以增加黑客的入侵难度和提高黑客的入侵成本，让黑客知难而退，从而使企业不需要再增加安全投资就可以达到短暂的和平状态。

4.随机攻击下，提高企业之间的关联性，增加企业对外联结度可以降低黑客群体入侵比例，但要警惕黑客定向攻击的可能性。

5.企业信息系统安全投资效率在一定情况下起到了至关重要的作用，投资效率不高有可能给企业带来不可估量的安全投资损失。

6.在企业信息资产价值较低的情况下，黑客群体入侵比例较低，最终的稳定状态是黑客不攻击和企业不投资，为维护信息系统日常运行，企业可以使用一些免费的安全软件等，以减少额外的投资成本。

综上所述，随机攻击情形下，多个关联企业面对多个黑客时，应根据具体情况选择和调整投资策略，否则容易造成过度投资，或投资过少给企业带来毁灭性的打击；当企业信息系统安全投资成本过高，为防止黑客攻击，在企业信息系统安全投资满足一定条件时，企业应该在估算黑客攻击概率的基础上，通过调整网络对外联接度、减少潜在损失和提高安全投资效率来达到降低投资成本和提高信息系统安全水平的目的。