李軍+熊飛+鈕焱

摘要：建立一個(gè)基于貝葉斯網(wǎng)絡(luò)的風(fēng)險(xiǎn)評(píng)估模型，通過風(fēng)險(xiǎn)因素識(shí)別、建模和定量計(jì)算對(duì)網(wǎng)絡(luò)運(yùn)行過程中產(chǎn)生的風(fēng)險(xiǎn)進(jìn)行評(píng)估。選取流量、CPU和內(nèi)存這3個(gè)網(wǎng)絡(luò)性能指標(biāo)參數(shù)作為網(wǎng)絡(luò)發(fā)生風(fēng)險(xiǎn)的定性分析因素，通過貝葉斯網(wǎng)絡(luò)來計(jì)算出各風(fēng)險(xiǎn)因素造成網(wǎng)絡(luò)發(fā)生風(fēng)險(xiǎn)的概率并對(duì)其進(jìn)行排序，確定各風(fēng)險(xiǎn)因素對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)的影響程度，并計(jì)算出網(wǎng)絡(luò)風(fēng)險(xiǎn)率。

關(guān)鍵詞：貝葉斯網(wǎng)絡(luò)；網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估；性能指標(biāo)

中圖分類號(hào)：TP309

文獻(xiàn)標(biāo)識(shí)碼：A

文章編號(hào)：16727800（2017）004019704

0引言

隨著互聯(lián)網(wǎng)的迅猛發(fā)展，網(wǎng)絡(luò)規(guī)模及其應(yīng)用的復(fù)雜性日益加大，網(wǎng)絡(luò)及電腦設(shè)備的負(fù)荷不斷增長(zhǎng)，導(dǎo)致網(wǎng)絡(luò)性能不斷降低，運(yùn)行緩慢、系統(tǒng)崩潰等現(xiàn)象時(shí)有發(fā)生，給用戶帶來了許多風(fēng)險(xiǎn)。網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估是指對(duì)網(wǎng)絡(luò)中已知或潛在的安全風(fēng)險(xiǎn)進(jìn)行探測(cè)、識(shí)別、計(jì)算、評(píng)價(jià)的過程。通過對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)進(jìn)行評(píng)估，可以了解潛在的危害，有針對(duì)性地加以安全防范，從而保障網(wǎng)絡(luò)的安全運(yùn)行。 近年來，風(fēng)險(xiǎn)評(píng)估相關(guān)研究受到國(guó)內(nèi)外學(xué)者的廣泛關(guān)注，提出了許多研究方法。孫鵬程、陳吉寧[1]通過貝葉斯網(wǎng)絡(luò)直觀地表示事故風(fēng)險(xiǎn)源和河流水質(zhì)之間的相關(guān)性，并用時(shí)序蒙特卡洛算法將風(fēng)險(xiǎn)源狀態(tài)模擬、水質(zhì)模擬和貝葉斯網(wǎng)絡(luò)推理過程結(jié)合，對(duì)多個(gè)風(fēng)險(xiǎn)源進(jìn)行量化評(píng)估。吳欣[2]提出了一種新的基于貝葉斯網(wǎng)絡(luò)的方法有效地處理故障診斷中存在的問題，同時(shí)根據(jù)提出方法的特點(diǎn)設(shè)計(jì)了基于多代理系統(tǒng)（MAS）的故障診斷體系結(jié)構(gòu)。閆峰[3]提出基于攻擊圖的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估方法，將攻擊圖技術(shù)應(yīng)用到網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估中，通過攻擊圖展示攻擊者利用網(wǎng)絡(luò)中脆弱性及脆弱性間依賴關(guān)系綜合入侵目標(biāo)網(wǎng)絡(luò)的攻擊場(chǎng)景，并在此基礎(chǔ)上計(jì)算網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)并尋找最小代價(jià)的網(wǎng)絡(luò)加固措施。由于貝葉斯網(wǎng)絡(luò)本質(zhì)上是一個(gè)有序無環(huán)圖，基于貝葉斯網(wǎng)絡(luò)的概率計(jì)算方法也只能適用于無環(huán)的攻擊圖，且計(jì)算繁雜度為指數(shù)級(jí)，不適合大規(guī)模網(wǎng)絡(luò)使用。 國(guó)外學(xué)者S Kondakci[4]提出了一種基于貝葉斯信念網(wǎng)絡(luò)的因果關(guān)系評(píng)價(jià)模型，用來分析和量化由各種威脅源造成的信息安全風(fēng)險(xiǎn)。TT Chen和SS Leu[5]建立了一種基于故障樹轉(zhuǎn)換的貝葉斯網(wǎng)絡(luò)，對(duì)橋梁建設(shè)項(xiàng)目進(jìn)行下跌風(fēng)險(xiǎn)評(píng)估。S Barua，X Gao[6]等提出了一種基于貝葉斯網(wǎng)絡(luò)的動(dòng)態(tài)系統(tǒng)風(fēng)險(xiǎn)評(píng)估方法，建立了一個(gè)化工過程系統(tǒng)動(dòng)態(tài)故障樹，將它映射到貝葉斯網(wǎng)絡(luò)，通過動(dòng)態(tài)貝葉斯網(wǎng)絡(luò)來演示動(dòng)態(tài)操作風(fēng)險(xiǎn)評(píng)估方法。傳統(tǒng)推理方法不適合確定風(fēng)險(xiǎn)因素的后驗(yàn)概率，不同專家提供的數(shù)據(jù)會(huì)直接影響精確度和評(píng)估質(zhì)量。 貝葉斯網(wǎng)絡(luò)分析方法是一種新的定量分析方法，通過使用概率理論來描述不同因素之間的關(guān)系，這種概率推理方法本質(zhì)上是基于一個(gè)有向無環(huán)圖，它代表著節(jié)點(diǎn)間的概率相關(guān)性。并且，它能夠有效地處理現(xiàn)實(shí)生活中的不確定性問題。許多專家都使用貝葉斯網(wǎng)絡(luò)分析方法來進(jìn)行風(fēng)險(xiǎn)評(píng)估，并應(yīng)用于交通事故、水污染事故、電力故障和信息安全等。貝葉斯網(wǎng)絡(luò)能夠有效地處理不確定性問題，它提供了強(qiáng)大的計(jì)算能力，能夠通過已知信息計(jì)算未知信息，進(jìn)而進(jìn)行有效推理。由于在網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估方面也有許多不確定性因素，且存在著一定的相似性，故本文使用貝葉斯網(wǎng)絡(luò)方法對(duì)網(wǎng)絡(luò)運(yùn)行過程中的風(fēng)險(xiǎn)進(jìn)行評(píng)估。

1貝葉斯網(wǎng)絡(luò)

1.1貝葉斯網(wǎng)絡(luò)的描述

作為描述不確定性信息和推理的最有效理論模型之一，貝葉斯網(wǎng)絡(luò)應(yīng)用于人工智能的幾大分領(lǐng)域包括因果推理、不確定性知識(shí)表示、模式識(shí)別和分類等，它結(jié)合了人工智能、概率理論以及圖形理論，是一種將因果知識(shí)和概率知識(shí)相結(jié)合的信息表示框架。它可以直觀地表達(dá)出各風(fēng)險(xiǎn)因素之間的相互關(guān)系，便于從不完整或不確定的信息中進(jìn)行推理。貝葉斯網(wǎng)絡(luò)包含2個(gè)部分：一個(gè)是網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，另一個(gè)是條件概率表。網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)是模型的定性描述部分，是一個(gè)有向無環(huán)圖，其中每個(gè)節(jié)點(diǎn)代表論域中的隨機(jī)變量，變量之間存在一條有向弧連接相鄰節(jié)點(diǎn)，有向弧代表變量間的依賴關(guān)系，如果兩個(gè)節(jié)點(diǎn)之間沒有邊連接，那么它們沒有直接依賴關(guān)系相互獨(dú)立；節(jié)點(diǎn)與其父節(jié)點(diǎn)之間的條件概率表用來描述變量之間的關(guān)系強(qiáng)度。節(jié)點(diǎn)與父節(jié)點(diǎn)之間存在一種因果聯(lián)系，這種因果聯(lián)系可以準(zhǔn)確地反映出它們之間的依賴關(guān)系。在貝葉斯網(wǎng)絡(luò)中，定性信息主要通過網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)表達(dá)，而定量信息主要通過節(jié)點(diǎn)的聯(lián)合概率密度表示。 貝葉斯網(wǎng)絡(luò)的條件獨(dú)立性假設(shè)是一個(gè)非常重要的特性，它顯著地減少了使用先驗(yàn)概率進(jìn)行網(wǎng)絡(luò)推測(cè)的計(jì)算難度。對(duì)于任何一個(gè)節(jié)點(diǎn)，當(dāng)給定它所有父節(jié)點(diǎn)的狀態(tài)時(shí)，該節(jié)點(diǎn)與其所有祖先節(jié)點(diǎn)條件獨(dú)立[7]。

貝葉斯網(wǎng)絡(luò)模型構(gòu)建包括2個(gè)步驟：①構(gòu)建網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，定性描述各節(jié)點(diǎn)之間的因果關(guān)系；②構(gòu)建一個(gè)條件概率表，定量描述網(wǎng)絡(luò)中各節(jié)點(diǎn)的關(guān)系強(qiáng)度。

1.2基于貝葉斯網(wǎng)絡(luò)模型的網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估結(jié)構(gòu)

基于貝葉斯網(wǎng)絡(luò)的風(fēng)險(xiǎn)評(píng)估流程如圖1所示。①風(fēng)險(xiǎn)因素識(shí)別，從所有網(wǎng)絡(luò)性能指標(biāo)中，選取適當(dāng)?shù)膸讉€(gè)指標(biāo)進(jìn)行實(shí)驗(yàn)；②構(gòu)建網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，通過貝葉斯網(wǎng)絡(luò)進(jìn)行分析，確定各指標(biāo)之間的依賴關(guān)系，畫出貝葉斯網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；③風(fēng)險(xiǎn)因素概率計(jì)算，首先，采集數(shù)據(jù)并進(jìn)行歸一化處理，得到對(duì)應(yīng)指標(biāo)某一時(shí)間段的時(shí)間序列圖，然后進(jìn)行統(tǒng)計(jì)分析，計(jì)算出各指標(biāo)的先驗(yàn)概率，最后，通過BNT工具箱計(jì)算出各指標(biāo)的后驗(yàn)概率；④網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估。通過上述計(jì)算結(jié)果，結(jié)合給定的評(píng)估系數(shù)公式，求出各指標(biāo)的φ（xi）并進(jìn)行排序，最后，計(jì)算網(wǎng)絡(luò)風(fēng)險(xiǎn)率p（R），結(jié)合風(fēng)險(xiǎn)等級(jí)表查看當(dāng)前時(shí)刻的網(wǎng)絡(luò)風(fēng)險(xiǎn)等級(jí)。

1.2.1風(fēng)險(xiǎn)識(shí)別在網(wǎng)絡(luò)運(yùn)行過程中，由于用戶使用不當(dāng)或者網(wǎng)絡(luò)攻擊可能造成網(wǎng)絡(luò)性能降低，產(chǎn)生網(wǎng)絡(luò)風(fēng)險(xiǎn)，網(wǎng)絡(luò)風(fēng)險(xiǎn)可能由多種風(fēng)險(xiǎn)因素的相互作用而引起。本文通過相關(guān)文獻(xiàn)查閱、實(shí)驗(yàn)調(diào)查和數(shù)據(jù)采集，選取了流量、CPU和內(nèi)存3個(gè)風(fēng)險(xiǎn)因素，對(duì)應(yīng)的狀態(tài)如表1所示。

1.2.2網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)構(gòu)建通過一個(gè)鄰接矩陣LJ=（aij）n×n構(gòu)建網(wǎng)絡(luò)結(jié)構(gòu)，當(dāng)節(jié)點(diǎn)i是節(jié)點(diǎn)j的父節(jié)點(diǎn)時(shí)，aij=1；否則aij=0。然后，通過矩陣對(duì)角元素來確定最終矩陣。如果，鄰接矩陣的對(duì)角元素不全為0，那么該網(wǎng)絡(luò)結(jié)構(gòu)就不符合有向無環(huán)圖，反之，則適合。由于在網(wǎng)絡(luò)運(yùn)行過程中，流量、CPU、內(nèi)存的超標(biāo)都可能引起網(wǎng)絡(luò)風(fēng)險(xiǎn)，所以網(wǎng)絡(luò)風(fēng)險(xiǎn)與流量、CPU、內(nèi)存之間存在直接依賴關(guān)系。而流量的超標(biāo)也有可能導(dǎo)致CPU、內(nèi)存超標(biāo)，所以CPU、內(nèi)存與流量之間也存在直接依賴關(guān)系。因此，可得到如下鄰接矩陣：

由式（4）可知，鄰接矩陣LJ中所有對(duì)角元素均為0，所以該結(jié)構(gòu)是一個(gè)有向無環(huán)圖，滿足模型需求。因此，圖2中的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)是一個(gè)合理的貝葉斯網(wǎng)絡(luò)結(jié)構(gòu)。

其中，節(jié)點(diǎn)1代表流量，節(jié)點(diǎn)2代表CPU，節(jié)點(diǎn)3代表內(nèi)存，節(jié)點(diǎn)4代表網(wǎng)絡(luò)風(fēng)險(xiǎn)。

1.2.3風(fēng)險(xiǎn)因素概率計(jì)算通過實(shí)驗(yàn)，分別監(jiān)測(cè)一段時(shí)間內(nèi)看視頻、看網(wǎng)頁、下載以及網(wǎng)絡(luò)攻擊情況下的網(wǎng)絡(luò)性能指標(biāo)情況，得到流量、CPU、內(nèi)存的時(shí)間序列圖，經(jīng)過歸一化后如圖3-圖5所示。

現(xiàn)假定流量、CPU、內(nèi)存超標(biāo)的臨界值分別為0.7、0.6、0.6[810]，從2 000個(gè)數(shù)據(jù)中分別進(jìn)行統(tǒng)計(jì)，得到各指標(biāo)的條件概率表（見表2-表5）。

由表2、表3、表4、表5可獲得先驗(yàn)概率分布，如圖6所示。接下來通過BNT工具箱，輸入流量、CPU、內(nèi)存的條件概率，得到各指標(biāo)的后驗(yàn)概率，如圖7所示。圖6是根據(jù)實(shí)驗(yàn)數(shù)據(jù)統(tǒng)計(jì)得出的流量、CPU、內(nèi)存各狀態(tài)發(fā)生風(fēng)險(xiǎn)的先驗(yàn)概率，而圖7是通過BNT工具箱計(jì)算得到的當(dāng)風(fēng)險(xiǎn)發(fā)生情況下流量、CPU、內(nèi)存各狀態(tài)發(fā)生風(fēng)險(xiǎn)的后驗(yàn)概率。通過比較圖6和圖7可知，當(dāng)確定有網(wǎng)絡(luò)風(fēng)險(xiǎn)發(fā)生時(shí)，流量、CPU、內(nèi)存為True狀態(tài)時(shí)的概率都增加了，其中流量變化最明顯。通過BNT工具箱還可以得出，當(dāng)只有流量超標(biāo)情況下，發(fā)生風(fēng)險(xiǎn)的概率為0.018 8，而當(dāng)增加一個(gè)風(fēng)險(xiǎn)因素，即流量、CPU都超標(biāo)的情況下，發(fā)生風(fēng)險(xiǎn)的概率為0.026 0。由此可見，當(dāng)更多的不利因素呈現(xiàn)時(shí)，網(wǎng)絡(luò)風(fēng)險(xiǎn)的概率就會(huì)增加。

1.2.4網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估通過對(duì)造成網(wǎng)絡(luò)風(fēng)險(xiǎn)主要因素的討論，給定一個(gè)參考系數(shù)，作為某個(gè)風(fēng)險(xiǎn)因素的概率變化的最大允許量[11]，表達(dá)如下：

其中，Xi是某個(gè)風(fēng)險(xiǎn)因素，i=1，2，3；RT表示發(fā)生網(wǎng)絡(luò)風(fēng)險(xiǎn)，RF表示沒有發(fā)生網(wǎng)絡(luò)風(fēng)險(xiǎn)，S是風(fēng)險(xiǎn)因素的狀態(tài)，u取T（True）或者F（False）。根據(jù)上文計(jì)算結(jié)果結(jié)合式（5）可以得到φ（X1）=76.07，φ（X2）=14.87，φ（X3）=21.56，即φ（X1）>φ（X3）>φ（X2） 。其中，X1、X2、X3分別代表流量、CPU、內(nèi)存，φ越高則它造成網(wǎng)絡(luò)風(fēng)險(xiǎn)的可能性就越大。因此，由上述排序可知，在該段時(shí)間內(nèi)，流量造成網(wǎng)絡(luò)風(fēng)險(xiǎn)的可能性最大，其次是內(nèi)存，最后是CPU。得到流量、CPU、內(nèi)存的后驗(yàn)概率后，給定一個(gè)網(wǎng)絡(luò)風(fēng)險(xiǎn)率公式[11]如下：P（R）=P（L）×P（C）×P（M）〖JY〗（6）其中，P（L）、P（C）、P（M）分別表示在風(fēng)險(xiǎn)發(fā)生的情況下，是由流量引起的概率、是由CPU引起的概率以及是由內(nèi)存引起的概率。將上文計(jì)算結(jié)果代入式（6）可得，P（R）=0.042 1。文獻(xiàn)[12]給出了風(fēng)險(xiǎn)頻率范圍的分類標(biāo)準(zhǔn)，如表6所示。由此可知：①網(wǎng)絡(luò)風(fēng)險(xiǎn)率結(jié)果顯示，該段時(shí)間的概率為0.042 1，屬于略高風(fēng)險(xiǎn)級(jí)別，需要加以重視；②由各網(wǎng)絡(luò)風(fēng)險(xiǎn)因素的影響程度可知，該時(shí)刻流量對(duì)網(wǎng)絡(luò)的影響程度最大，因此，需要對(duì)流量進(jìn)行重點(diǎn)監(jiān)控，必要時(shí)可進(jìn)行限制。

2結(jié)語

本文主要研究了基于貝葉斯網(wǎng)絡(luò)方法的網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估問題，提出了相應(yīng)的計(jì)算模型，并進(jìn)行了實(shí)例計(jì)算。風(fēng)險(xiǎn)評(píng)估的過程主要包括風(fēng)險(xiǎn)識(shí)別、模型構(gòu)造、定量計(jì)算。本文利用貝葉斯的條件獨(dú)立性假設(shè)這一特性，簡(jiǎn)化了模型的計(jì)算復(fù)雜度，具有一定的應(yīng)用價(jià)值。

參考文獻(xiàn)：

[1]孫鵬程，陳吉寧.基于貝葉斯網(wǎng)絡(luò)的河流突發(fā)性水質(zhì)污染事故風(fēng)險(xiǎn)評(píng)估[J].環(huán)境科學(xué)，2009，30（1）：4751.

[2]吳欣.基于改進(jìn)貝葉斯網(wǎng)絡(luò)方法的電力系統(tǒng)故障診斷研究[D].杭州：浙江大學(xué)，2005.

[3]閆峰.基于攻擊圖的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估技術(shù)研究[D].長(zhǎng)春：吉林大學(xué)，2014.

[4]S KONDAKCI.Network security risk assessment using bayesian belief networks[C].IEEE Second International Conference on Social Computing，2010：952960.

[5]TT CHEN，SS LEU.Fall risk assessment of cantilever bridge projects using Bayesian network[J].Safety Science，2014，70（70）：161171.

[6]S BARUA，X GAO，H PASMAN，et al.Bayesian network based dynamic operational risk assessment[J].Journal of Loss Prevention in the Process Industries，2015（41）：399410.

[7]WANG L，WANG B，PENG Y.Research the information security risk assessment technique based on Bayesian network[C].International Conference on Advanced Computer Theory and Engineering，2010：600604.

[8]楊嶸，張國(guó)清，韋衛(wèi)，等.基于NetFlow流量分析的網(wǎng)絡(luò)攻擊行為發(fā)現(xiàn)[J].計(jì)算機(jī)工程， 2005，31（13）：137139.

[9]孫知信，唐益慰，張偉，等.基于特征聚類的路由器異常流量過濾算法[J].軟件學(xué)報(bào)，2006，17（2）：295304.

[10]李小爽.IP網(wǎng)流量流向分析及異常流量監(jiān)控的研究[D].北京：北京郵電大學(xué)，2008.

[11]WANG X，ZHU J，MA F，et al.Bayesian networkbased risk assessment for hazmat transportation on the middle route of the SouthtoNorth water transfer project in China[J].Stochastic Environmental Research and Risk Assessment，2016，30（3）：841857.

[12]ESKESEN S D，TENGBORG P，KAMPMANN J，et al.Guidelines for tunnelling risk management：international tunnelling association， working group No.2[J].Tunnelling & Underground Space Technology，2004，19（3）：217237.

（責(zé)任編輯：孫娟）