基于信息熵与三角模糊数的信息安全风险评估研究

付 沙,肖叶枝

(湖南财政经济学院 信息技术与管理学院,湖南 长沙 410205)

人类迈入信息社会,网络信息无处不在、无时不有,各行各业及人们的日常工作和生活都依赖于信息网络,离不开信息网络。人们在利用信息网络进行生产、生活、交流和管理等过程活动的同时,信息网络对人类社会的正常生活与生产秩序进行了有效的保护,改善或提高了人类的整体素质和生活质量,也促进了人类社会的交流和进步。然而,信息网络的开放互联性及软、硬件固有的脆弱性会给信息的存储、传输和使用带来潜在的安全风险[1]。

信息安全风险评估作为预防和控制信息安全风险的重要手段,对解决信息安全问题起着至关重要的作用。风险评估涉及众多复杂的评价要素,各因素之间存在相互作用关系;此外,风险评估的要素较难量化,致使信息安全风险评估工作具有一定的主观性[2]。在原有理论的基础上又涌现出许多优秀的研究成果,高志方[3]提出一种基于妥协率法的信息安全风险评估方法,运用妥协率方法对方案进行排序,该方法不仅考虑了方案与正、负理想点之间的距离,还探究了相对距离的重要性。黄慧萍[4]提出了一种基于攻击防御树和博弈论的信息安全评估方法。柴继文[5]对现有风险评估模型进行分层细化,改进风险评估标准中各要素的识别与定量计算方法,减少风险计算所涉及要素之间的耦合。陈卓[6]提出一种可以包含更多信息的评判矩阵形式,评判矩阵最大限度地保留了评判过程中涉及到的信息。此外,引入与理想解的关联度这项指标,使用逼近理想解法对专家意见进行分析排序。高凯[7]从风险来源视角,识别智慧城市信息安全主要风险源,通过分析指标间的相互依存关系,构建网络层次分析法结构模型。王萍[8]研究了信息安全风险评估及其应用,提出了基于模糊综合评估法的信息安全风险评估模型,结合信息安全风险评估流程,设计开发了一套适用于中小型企业的信息安全风险评估平台。基于上述方面的考虑,本文提出将三角模糊数与信息熵理论应用于信息安全风险评估中的研究。

1 理论基础

1.1 信息安全风险评估原理

依据2007年正式发布实施的国家标准《信息安全技术信息安全风险评估规范》(GB/T 20984-2007),风险评估就是利用资产识别、脆弱性识别、威胁识别与评估结果以及已有安全措施识别,对资产面临的风险进行分析与评价。由于安全风险总是以威胁利用脆弱性导致一系列安全事件的形式体现出来的,风险的大小由安全事件产生后的损失及其发生的可能性决定,因此风险评估的主要任务是分析当前环境下安全事件的可能性和影响,然后使用特定方法来计算风险[3]。风险评估原理图,如图1所示。

图1 风险评估原理图

1.2 三角模糊数及其运算规则

|xU-yU|

(1)

(2)

(3)

称s(X,Y)为决策方案X与Y的相似度。

(4)

(5)

1.3 确定相似度的相对比率

对决策方案集进行排序,使决策方案Ai与正理想决策方案之间的相似度越大越好,而决策方案与负理想决策方案的相似度越小越好。然而,当某个决策方案接近正理想决策方案时,它不一定会远离负理想决策方案。为了解决上述问题,使用相对比率Rs(Ai)来表示接近正理想决策方案且远离负理想决策方案的备选决策方案之间的相对差异。

(6)

2 基于信息熵与三角模糊数的风险评估方法

2.1 问题描述

2.2 决策步骤

针对上述问题,不确定多属性决策的相似规划模型具体步骤描述如下:

步骤1 构造三角模糊数形式的决策信息矩阵,分析确定的安全风险事件,针对m个方案,选择n项指标,邀请专家组对信息安全风险状况进行评估,经整理统计后得到三角模糊数决策信息矩阵R。

步骤2 规范化决策矩阵。对于成本型指标,将最大值赋值0,最小值赋值1,中间值按在[0,1]中的比例赋值,然后将区间前后互换;对于效益型指标,将最大值赋值1,最小值赋值0,中间值按在[0,1]中的比例赋值。最终可得到规范化决策矩阵R′。

步骤3 确定指标权重。首先,根据规范化决策矩阵R′确定各指标的信息熵Hj[12]。

(7)

信息熵的确定分为两部分,分别是指标的重心点bij和三角模糊数的方差Vij。其中,ρ为决策者的判断系数,0≤ρ≤1。

根据信息熵理论及公式(7),确定各指标的权重wj。

(8)

步骤5 通过公式(2)和公式(3),求解每个决策方案分别与正理想决策方案之间的相似度Sω(Ai,C+*),以及与负理想决策方案之间的相似度Sω(Ai,C-*)。

步骤6 根据公式(6),计算各决策方案Ai与理想决策方案C*的相似度在决策方案集中的相对比率Rs(Ai),并按照Rs(Ai)大小对方案进行排序,其值越大则方案越优。

3 实例分析

在质量工程奖项评估过程中,信息安全风险是评估基础设施的一个重要方面。为申报省级质量工程奖项,某市质量技术监督局组织来自北京、上海、质量发展研究院的多位风险评估专家,在与当地五家知名公司(A1,A2,…,A5)网络信息部门的相关管理和技术人员进行深入沟通,并详细获知其网络信息系统近三年的技术和运营状况后,主要考虑以下7个指标:保密性(C1) 、完整性(C2) 、可用性(C3) 、严重程度(C4) 、难易程度(C5) 、发生频率(C6)和发生概率(C7)。专家组根据上述方面对5家公司的信息安全风险进行评估,得到各公司每项风险指标评价信息组成的决策信息矩阵,各公司在各指标下的评价值以三角模糊数形式给出,如表1所示。

表1 决策信息矩阵

1) 将专家组给出的决策信息矩阵进行规范化处理,其中,指标C1、C2和C3为风险评估的成本型指标,指标C4、C5、C6和C7为风险评估的效益型指标。

依据步骤2,规范化处理决策信息矩阵,得到规范化决策矩阵R′,如表2所示。

2)确定指标权重。首先,根据规范化决策矩阵R′确定各指标的信息熵Hj。

令决策者判断系数ρ=0.5,计算各指标的信息熵Hj,即:

H1=0.9347,H2=0.9419,H3=0.9248,H4=0.9665,H5=0.8512,H6=0.9144,H7=0.9511,

然后,根据信息熵理论及公式(7),求得各指标的权重wj,即:

w1=0.1266,w2=0.1128,w3=0.1459,w4=0.0650,w5=0.2887,w6=0.1661,w7=0.0949

3)确定规范化决策矩阵的三角模糊数正、负理想决策方案。

根据公式(4)和公式(5),三角模糊数正理想决策方案C+*为:

C+*={[0.072,0.099,0.127],[0.075,0.103,0.113],[0.082,0.119,0.146],[0.022,0.043,0.065],[0.115,0.202,0.289],[0.111,0.138,0.166],[0.014,0.068,0.095]}

三角模糊数负理想决策方案C-*为:

C-*={[0.000,0.027,0.045],[0.000,0.047,0.066],[0.000,0.036,0.064],[0.000,0.014,0.036],[0.000,0.029,0.058],[0.000,0.042,0.097],[0.000,0.027,0.068]}

4)通过公式(2)和公式(3),求解各决策方案Ai分别与正、负理想决策方案之间的相似度。

Ai与正理想决策方案的相似度Sω(Ai,C+*)为:

Sω(A1,C+*)=0.958,Sω(A2,C+*)=0.971,Sω(A3,C+*)=0.967,Sω(A4,C+*)=0.948,Sω(A5,C+*)=0.946

Ai与负理想决策方案的相似度Sω(Ai,C-*)为:

Sω(A1,C-*)=0.966,Sω(A2,C-*)=0.953,Sω(A3,C-*)=0.956,Sω(A4,C-*)=0.976,Sω(A5,C-*)=0.977

5)依据公式(6),计算Ai与C*的相似度在决策方案集中的相对比率Rs(Ai)。

Rs(A1)=-0.0266,Rs(A2)=0,Rs(A3)=-0.0073,Rs(A4)=-0.0474,Rs(A5)=-0.0503

根据Rs(Ai)值的大小对各备选方案进行排序,可得到最终的排序结果为A2≻A3≻A1≻A4≻A5,可确定最优方案为A2,其评价结果能为该组织决策者提供科学依据。对风险评估实例的分析表明,运用该风险评估模型能够有效地量化风险评估因素的影响,在考虑已有安全措施成本的同时,为选择有效的安全控制措施提供客观、准确的择优排序,也进一步提高了信息安全风险评估的准确性。

4 结束语

本文采用三角模糊数的形式建立信息安全风险评估矩阵,运用信息熵理论确定评价指标的权重,基于相似度关系理论,建立了三角模糊数不确定多属性决策的相似规划模型,并对实现步骤进行了详细探讨。采用本文模型和计算方法所得到的资产风险评估结果,为信息安全保障工作提供了客观、准确的决策依据,也为后期风险控制提供了更加确切合理的建议。