周 潔

（公安消防部隊(duì)昆明指揮學(xué)校 云南 650000）

0 引言

網(wǎng)絡(luò)在給人們帶來(lái)便利的同時(shí)，也由于其自身的脆弱性被黑客加以利用給人們帶來(lái)諸多網(wǎng)絡(luò)安全方面的問(wèn)題。

網(wǎng)絡(luò)入侵者在攻擊網(wǎng)絡(luò)的時(shí)候都是通過(guò)利用操作系統(tǒng)和應(yīng)用程序的弱點(diǎn)來(lái)進(jìn)行的。網(wǎng)絡(luò)安全遵循"木桶"理論，網(wǎng)絡(luò)安全不是取決于安全性的平均值，而是取決于薄弱的環(huán)節(jié)，任何一個(gè)環(huán)節(jié)遭到攻擊，整個(gè)系統(tǒng)的安全就受到威脅。所以從檢測(cè)網(wǎng)絡(luò)系統(tǒng)中的薄弱環(huán)節(jié)入手，可以最大程度地保證網(wǎng)絡(luò)系統(tǒng)的安全。目前，最有效的手段就是周期性的對(duì)整個(gè)網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全性檢測(cè)，挖掘安全隱患和找出可能被入侵者利用的系統(tǒng)缺陷，根據(jù)檢測(cè)結(jié)果評(píng)估系統(tǒng)的安全狀況，根據(jù)評(píng)估結(jié)果制定最為有效的安全策略，使網(wǎng)絡(luò)系統(tǒng)動(dòng)態(tài)運(yùn)行的風(fēng)險(xiǎn)等級(jí)始終處于可接受的范圍之內(nèi)。要實(shí)現(xiàn)這個(gè)目標(biāo)，所做工作量大并且復(fù)雜，單純依靠人力難以完成，通常，系統(tǒng)管理員借助網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)來(lái)完成。

1 安全評(píng)估模型

信息安全的最終目的就是降低安全風(fēng)險(xiǎn)，最大程度的保護(hù)資產(chǎn)的安全。網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評(píng)估對(duì)整個(gè)網(wǎng)絡(luò)系統(tǒng)自身存在的脆弱性（也就是漏洞），將會(huì)面臨的威脅，所采取的安全措施，以及一旦安全事件發(fā)生對(duì)這個(gè)系統(tǒng)造成的損失和危害程度進(jìn)行綜合的分析，從而對(duì)整個(gè)系統(tǒng)面臨的安全風(fēng)險(xiǎn)進(jìn)行評(píng)估，為進(jìn)一步提高系統(tǒng)的安全性提供依據(jù)。風(fēng)險(xiǎn)評(píng)估模型為衡量風(fēng)險(xiǎn)的大小提供標(biāo)準(zhǔn)和具體的方法，通過(guò)風(fēng)險(xiǎn)評(píng)估，確定各種類型的風(fēng)險(xiǎn)的等級(jí)，根據(jù)不同的等級(jí)制定不同的安全策略。

2 安全評(píng)估的方法

網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估從發(fā)展方向上看，是由單一的技術(shù)評(píng)估向綜合化整體評(píng)估發(fā)展，由定性評(píng)估向定性和定量相結(jié)合發(fā)展，由基于經(jīng)驗(yàn)的評(píng)估向基于模型的評(píng)估發(fā)展。

目前，比較常見(jiàn)的兩種分析方法：定性和定量分析法，都存在一定缺陷。定性分析方法只關(guān)注威脅事件所帶來(lái)的損失，而并不關(guān)心威脅事件發(fā)生的概率，具體操作的時(shí)候并不使用具體的數(shù)值，而是指定期望值，這種方法由于分析者的經(jīng)驗(yàn)和直覺(jué)的主觀性容易出現(xiàn)偏差和錯(cuò)誤。定量分析方法雖然既關(guān)注威脅事件發(fā)生的概率又關(guān)注威脅事件可能造成的損失，但威脅的頻率和威脅影響系數(shù)很難進(jìn)行精確計(jì)算，并且，由于威脅事件之間的相互關(guān)聯(lián)性使得定量的評(píng)估過(guò)程考慮的因素復(fù)雜，評(píng)估難度大?，F(xiàn)有的評(píng)估方法通常使用一個(gè)數(shù)字指標(biāo)作為分界線，分界線兩邊分別為兩個(gè)級(jí)別，存在一定的不合理性。同時(shí)，因?yàn)轱L(fēng)險(xiǎn)要素的賦值是離散的，所以對(duì)于風(fēng)險(xiǎn)要素的確定和評(píng)估本身也有很大的主觀性和不精確性，因此最后得到的風(fēng)險(xiǎn)值有很大的偏差。本文是論述一種定性與定量相結(jié)合，綜合化程度較高的評(píng)估方法——模糊綜合評(píng)估法。

在本評(píng)估模型中，采用了模糊數(shù)學(xué)中的重要概念和方法對(duì)網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)評(píng)估進(jìn)行研究，既充分考慮風(fēng)險(xiǎn)評(píng)估中各要素的精度，又盡量消除因?yàn)樵u(píng)估中確定分界線的主觀性和為風(fēng)險(xiǎn)要素賦值離散化所帶來(lái)的偏差，能較好地解決評(píng)估的模糊性，也在一定程度上解決了從定性到定量的難題。具體步驟如下：

（1）確定隸屬函數(shù)

隸屬函數(shù)是一種表達(dá)模糊界限的數(shù)學(xué)工具。對(duì)于一個(gè)模糊集合A，它可以理解為某個(gè)論域U上的一個(gè)子集，為了描述論域U中任一元素u對(duì)模糊集合A的隸屬程度，通常使用區(qū)間[0，1]中所取的數(shù)值來(lái)描述。例如，采取專家打分的方法，邀請(qǐng)十位專家為目前的系統(tǒng)風(fēng)險(xiǎn)級(jí)別投票，在五種風(fēng)險(xiǎn)級(jí)別中，每位專家只能選擇一種風(fēng)險(xiǎn)級(jí)別進(jìn)行評(píng)價(jià)，假設(shè)投票統(tǒng)計(jì)的結(jié)果如下表：

風(fēng)險(xiǎn)級(jí)別 較低 低 中 高 較高打分 4 5 1 0 0

那么當(dāng)前系統(tǒng)風(fēng)險(xiǎn)隸屬于較低風(fēng)險(xiǎn)級(jí)別的程度為40%，隸屬于低風(fēng)險(xiǎn)級(jí)別的程度為50%，隸屬于低級(jí)別風(fēng)險(xiǎn)級(jí)別的程度為10%。這樣反映出來(lái)的數(shù)據(jù)具有一定的科學(xué)性。

（2）建立關(guān)系模糊矩陣

建立一個(gè)集合，該集合為網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估中涉及到的各要素的集合，例如U＝（資產(chǎn)，漏洞，威脅）；建立一個(gè)集合，該集合為網(wǎng)絡(luò)安全風(fēng)險(xiǎn)系統(tǒng)的風(fēng)險(xiǎn)級(jí)別的集合，例如V＝（低，較低，中，較高，高）。根據(jù)實(shí)際測(cè)算的數(shù)據(jù)，對(duì) U中的各個(gè)要素分別使用各自的隸屬度函數(shù)計(jì)算對(duì)集合V中各個(gè)元素的隸屬程度。例如，根據(jù)威脅要素的實(shí)測(cè)數(shù)據(jù)，使用為威脅要素事先選擇好的隸屬度函數(shù)就可以求出對(duì)于各個(gè)風(fēng)險(xiǎn)級(jí)別的隸屬度，一組五個(gè)數(shù)據(jù)。同理，資產(chǎn)和威脅要素也可以得到一組五個(gè)數(shù)據(jù)，這樣組成一個(gè)3*5的矩陣，稱為模糊矩陣R。

（3）權(quán)重模糊矩陣

對(duì)于一個(gè)綜合評(píng)價(jià)體系來(lái)說(shuō)，涉及到若干個(gè)指標(biāo)，每個(gè)指標(biāo)對(duì)于評(píng)價(jià)對(duì)象來(lái)說(shuō)重要程度是不同的，在進(jìn)行綜合評(píng)價(jià)的時(shí)候，給予重視的指標(biāo)，賦予的權(quán)值就大，反之，就小。從不同角度考慮，確定權(quán)值的方法有很多種，但無(wú)論采用什么樣的方法來(lái)確定權(quán)重值，關(guān)鍵在于確定各個(gè)指標(biāo)之間的對(duì)比，對(duì)比是否準(zhǔn)確很重要。我們將資產(chǎn)的權(quán)重寫為 B1，威脅的權(quán)重寫為B2，漏洞的權(quán)重寫為B3，得到的權(quán)重模糊矩陣為B=（B1，B2，B3）。

（4）模糊綜合評(píng)價(jià)算法

模糊綜合評(píng)估結(jié)果為Y，Y=模糊矩陣R×權(quán)重模糊矩陣B。Y為一個(gè)1x 5的矩陣：Y＝（y1，y2，y3，y4，y5）。yi代表最后的模糊綜合評(píng)估結(jié)果對(duì)第 i個(gè)風(fēng)險(xiǎn)級(jí)別的隸屬程度?？梢詫?duì)這個(gè)結(jié)果進(jìn)一步量化處理，得到一個(gè)具體的數(shù)值評(píng)估結(jié)果。

3 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估示例

本文選取某單位的局域網(wǎng)作為網(wǎng)絡(luò)安全風(fēng)險(xiǎn)模糊綜合評(píng)估的實(shí)例。全部采用專家打分的方法確定涉及到的影響因素對(duì)評(píng)價(jià)等級(jí)集合{很好，優(yōu)，良，中，差}的隸屬度和各影響因素所占的權(quán)重。首先將影響因素劃分為三大模塊，為一級(jí)影響因素，然后再對(duì)每個(gè)模塊進(jìn)行細(xì)化分解，為二級(jí)影響因素，如圖1所示：

圖1 評(píng)估示例

3.1 影響因素權(quán)重和隸屬度的確定

（1）權(quán)重的確定

本文全部采取專家打分的方法確定權(quán)重和隸屬度，具體的做法是邀請(qǐng)10位專家，每位專家根據(jù)各自的經(jīng)驗(yàn)和專業(yè)背景，從不同的角度對(duì)某單位的網(wǎng)絡(luò)安全進(jìn)行打分。在打分之前，先由作者對(duì)該單位的網(wǎng)絡(luò)建設(shè)情況和各項(xiàng)評(píng)價(jià)指標(biāo)的具體含義進(jìn)行解釋，并帶領(lǐng)專家進(jìn)行實(shí)地的參觀并回答相應(yīng)的問(wèn)題。一級(jí)影響因素權(quán)重打分分為三個(gè)檔次：3分，2分，1分，專家根據(jù)三項(xiàng)指標(biāo)的重要性對(duì)比，依次為最重要，次重要和最不重要的指標(biāo)分別打3分，2分，1分，也可以認(rèn)為三項(xiàng)指標(biāo)同等重要那么，三項(xiàng)指標(biāo)均打3分。十位專家打分完畢后統(tǒng)計(jì)并計(jì)算權(quán)重結(jié)果如下：硬件安全：23分（權(quán)重0.40），軟件安全：19分（權(quán)重0.33），安全管理：16分（權(quán)重0.27）。同理，二級(jí)影響因素權(quán)重也做如此打分，并對(duì)各項(xiàng)指標(biāo)進(jìn)行權(quán)重的統(tǒng)計(jì)。

（2）隸屬度的確定

每位專家為二級(jí)影響因素中的每項(xiàng)指標(biāo)打分，只能在很好，優(yōu)，良，中，差五個(gè)等級(jí)中選擇一個(gè)作為對(duì)每項(xiàng)指標(biāo)的打分。

表1 統(tǒng)計(jì)打分結(jié)果并計(jì)算隸屬度

360安全衛(wèi)士8.1企業(yè)定制版部署0.04 0 0.10.20.50.2桌面管理系統(tǒng)的部署0.11 0 0.20.70.10補(bǔ)丁分發(fā)系統(tǒng)的部署0.13 0.60.30.10 0認(rèn)證系統(tǒng)的部署0.11 0.20.60.20 0系統(tǒng)安全審計(jì)0.07 0 0.40.30.30數(shù)據(jù)恢復(fù)機(jī)制0.06 0.40.40.20 0全重要數(shù)據(jù)的備份0.09 0.90.10 0 0信息安全管理制度的建立0.17 0.30.30.40 0信息安全管理員周期性培訓(xùn)的開(kāi)展0.24 0.40.50.10 0設(shè)備和數(shù)據(jù)管理制度的完備程度0.17 0.60.30.10 0機(jī)房使用登記制度的落實(shí)0.14 0 00.20.60.2典型事故應(yīng)急預(yù)案0.16 0.20.40.30.10安全管理防丟失措施0.12 0.90.10 0 0

3.2 模糊綜合評(píng)價(jià)

（1）一級(jí)評(píng)價(jià)：

硬件安全：

同理：軟件安全：Y2=R2×B2={0.447，0.324，0.169，0.052，0.008}安全管理：Y3=R3×B3={0.389，0.298，0.185，0.100，0.028}（2）二級(jí)評(píng)價(jià)：

（3）為使結(jié)果更加明確，進(jìn)一步處理數(shù)據(jù)為五個(gè)風(fēng)險(xiǎn)等級(jí)賦值：很好-5 優(yōu)-4 良-3 中-2 差-1計(jì)算加權(quán)平均值：模糊綜合評(píng)估值4.1067介于4和5之間，更接近4，說(shuō)明某單位的網(wǎng)絡(luò)信息系統(tǒng)的安全狀況處于“優(yōu)”的狀態(tài)。

[1]韓立巖，汪培莊.應(yīng)用模糊數(shù)學(xué)［M］.北京：首都經(jīng)濟(jì)貿(mào)易大學(xué)出版社.

[2]衛(wèi)成業(yè).信息安全風(fēng)險(xiǎn)評(píng)估模型［J］.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用.

[3]Chinese Research Council of Technical Economy.The manual of technological economy：communication volume[M].Beijing：Academic Books&Periodicals Publishing House，1990.611-618.