陳歲歲 李娟

摘要：隨著網(wǎng)絡(luò)科技的不斷進(jìn)步，傳統(tǒng)的軟件攻擊面威脅評(píng)估方法，在面對(duì)層出不窮的軟件攻擊方式時(shí)對(duì)攻擊面威脅的評(píng)估與處理分離，因此威脅評(píng)估效率低，無法實(shí)現(xiàn)對(duì)軟件攻擊面威脅的精準(zhǔn)評(píng)估。針對(duì)這一問題，進(jìn)行基于信息熵的軟件攻擊面威脅評(píng)估方法研究。通過確定軟件攻擊面的威脅評(píng)估指標(biāo)，建立軟件攻擊面二級(jí)威脅指標(biāo)賦值矩陣，基于信息熵計(jì)算軟件攻擊面威脅權(quán)值，評(píng)估軟件攻擊面威脅。通過對(duì)比實(shí)驗(yàn)證明基于信息熵的軟件攻擊面威脅評(píng)估方法可以提高軟件攻擊面威脅評(píng)估的威脅評(píng)估效率。

關(guān)鍵詞：信息熵;軟件攻擊面;威脅評(píng)估方法

中圖分類號(hào)：TP311.522 文獻(xiàn)標(biāo)識(shí)碼：A

文章編號(hào)：1009-3044（2020）12-0027-02

由于智能化的多遠(yuǎn)融合發(fā)展，軟件已經(jīng)成為網(wǎng)絡(luò)信息中必不可少的內(nèi)容。由于軟件應(yīng)用范圍越來越廣，所遭受的攻擊也越來越多。軟件安全是當(dāng)下需要重點(diǎn)關(guān)注的問題。軟件攻擊面威脅評(píng)估方法成為保證網(wǎng)絡(luò)平穩(wěn)、安全運(yùn)行的重要手段?？紤]到傳統(tǒng)的軟件攻擊面威脅評(píng)估方法對(duì)軟件攻擊面威脅的評(píng)估只能做出單調(diào)性假設(shè)，其評(píng)估結(jié)果不具有全面性及準(zhǔn)確性，因此對(duì)軟件攻擊面威脅的評(píng)估必須結(jié)合信息熵。

1基于信息熵的軟件攻擊面威脅評(píng)估方法研究

針對(duì)基于信息熵的軟件攻擊面威脅評(píng)估方法研究可以從計(jì)算威脅權(quán)值人手，為軟件攻擊面威脅評(píng)估提供虛擬現(xiàn)實(shí)技術(shù)支持。本文在基于信息熵的軟件攻擊面威脅評(píng)估方法研究中，首先，確定軟件攻擊面的威脅評(píng)估指標(biāo)，再通過建立軟件攻擊面二級(jí)威脅指標(biāo)賦值矩陣，基于信息熵計(jì)算軟件攻擊面威脅權(quán)值，進(jìn)而評(píng)估軟件攻擊面威脅。

1.1確定軟件攻擊面的威脅評(píng)估指標(biāo)

確定軟件攻擊面的威脅評(píng)估指標(biāo)是基于信息熵的軟件攻擊面威脅評(píng)估方法中的一級(jí)指標(biāo)，具有內(nèi)容包括函數(shù)（M）、通道（C）以及數(shù)據(jù)項(xiàng)（I）三大類。二級(jí)指標(biāo)突出基于信息熵的軟件攻擊面威脅評(píng)估方法的特征，強(qiáng)調(diào)軟件攻擊面的威脅評(píng)估指標(biāo)屬性，要求評(píng)估內(nèi)容及時(shí)反映或聯(lián)系科學(xué)發(fā)展的新技術(shù)、新概念和新成果。必須突出過程性威脅評(píng)估的特征，函數(shù)（M）包括：函數(shù)出、入點(diǎn)和函數(shù)訪問權(quán)限。通道（C）包括：通道協(xié)議及通道訪問權(quán)限。數(shù)據(jù)項(xiàng)（I）包括：文件數(shù)據(jù)項(xiàng)以及數(shù)據(jù)項(xiàng)訪問權(quán)限。軟件攻擊面的威脅評(píng)估指標(biāo)屬性圖，如圖1所示。

1.2建立軟件攻擊面二級(jí)威脅指標(biāo)賦值矩陣

在確定軟件攻擊面的威脅評(píng)估指標(biāo)的基礎(chǔ)上，建立軟件攻擊面二級(jí)威脅指標(biāo)賦值矩陣。軟件攻擊面二級(jí)威脅指標(biāo)賦值矩陣的主要內(nèi)容包括軟件攻擊面、威脅指標(biāo)賦值及威脅程度。那么，軟件攻擊面二級(jí)威脅指標(biāo)賦值矩陣，如表1所示。

通過表1可知，軟件攻擊面的威脅指標(biāo)賦值越大，威脅程度也隨之變大。因此，面對(duì)威脅程度高的軟件攻擊面應(yīng)采取優(yōu)先處理的原則。

1.3基于信息熵計(jì)算軟件攻擊面威脅權(quán)值

軟件攻擊面的威脅權(quán)值是基于信息熵的軟件攻擊面威脅評(píng)估方法中，能夠直接對(duì)威脅評(píng)估效率產(chǎn)生影響的指標(biāo)。通過軟件攻擊面的保密性威脅及完整性威脅，進(jìn)而確定軟件攻擊面的威脅權(quán)值。設(shè)威脅權(quán)值為Fi，利用信息熵計(jì)算軟件攻擊面威脅權(quán)值的計(jì)算公式為：

表2中的軟件攻擊面威脅權(quán)值顯示了，軟件攻擊面所受到的保密性威脅和完整性威脅。威脅權(quán)值越大，意味著軟件攻擊面威脅越大。

1.4評(píng)估軟件攻擊面威脅

考慮到攻擊者的攻擊行為在本質(zhì)意義上來講是概率行為，因此，必須基于信息熵加大對(duì)威脅程度的評(píng)估。通過以上對(duì)基于信息熵的軟件攻擊面威脅評(píng)估方法的研究，發(fā)現(xiàn)基于信息熵的軟件攻擊面威脅評(píng)估方法計(jì)算出來的威脅權(quán)值更加能夠體現(xiàn)該軟件攻擊面所面臨的潛在威脅。在無特殊情況下，基于信息熵的軟件攻擊面威脅評(píng)估方法的威脅評(píng)估效率明顯優(yōu)于傳統(tǒng)的軟件攻擊面威脅評(píng)估方法的威脅評(píng)估效率。本文設(shè)計(jì)的基于信息熵的軟件攻擊面威脅評(píng)估方法與傳統(tǒng)的軟件攻擊面威脅評(píng)估方法最大的不同在于，傳統(tǒng)的軟件攻擊面威脅評(píng)估方法以攻擊者為核心進(jìn)行評(píng)估，而基于信息熵的軟件攻擊面威脅評(píng)估方法則是以軟件為中心，這樣一來，可以更加科學(xué)、高效的針對(duì)軟件攻擊面所受到的威脅進(jìn)行合理評(píng)估。

2對(duì)比實(shí)驗(yàn)

2.1實(shí)驗(yàn)準(zhǔn)備

本文通過對(duì)比實(shí)驗(yàn)，證明基于信息熵的軟件攻擊面威脅評(píng)估方法的可行性，實(shí)驗(yàn)內(nèi)容針對(duì)軟件攻擊面威脅評(píng)估的威脅評(píng)估效率進(jìn)行。首先采用傳統(tǒng)的軟件攻擊面威脅評(píng)估方法進(jìn)行實(shí)驗(yàn)，再采用文章設(shè)計(jì)的基于信息熵的軟件攻擊面威脅評(píng)估方法同樣操作步驟，設(shè)置傳統(tǒng)的軟件攻擊面威脅評(píng)估方法為對(duì)照組。將實(shí)驗(yàn)次數(shù)設(shè)為3次，分別使用兩種方法進(jìn)行對(duì)比實(shí)驗(yàn)。在實(shí)驗(yàn)過程中，軟件攻擊面生產(chǎn)的方式是由正常的公網(wǎng)訪問流量，疊加上內(nèi)部攻擊者A和攻擊者B的攻擊面。利用系統(tǒng)狀態(tài)S和系統(tǒng)狀態(tài)St對(duì)軟件攻擊面威脅評(píng)估效率進(jìn)行檢測(cè)，通過決策模塊得出實(shí)驗(yàn)數(shù)據(jù)。實(shí)驗(yàn)具體流程圖，如圖2所示。

2.2實(shí)驗(yàn)結(jié)果分析與結(jié)論

根據(jù)上述的設(shè)計(jì)的實(shí)驗(yàn)，實(shí)驗(yàn)結(jié)果如圖3所示。

通過圖3可得出如下的結(jié)論，本文設(shè)計(jì)的基于信息熵的軟件攻擊面威脅評(píng)估方法的威脅評(píng)估效率相較于實(shí)驗(yàn)對(duì)照組具有明顯的優(yōu)勢(shì)。

3結(jié)束語

在大數(shù)據(jù)背景下，人工智能、網(wǎng)絡(luò)保險(xiǎn)和更快的安全響應(yīng)等防御能力也將逐步增強(qiáng)，有助于防御企業(yè)面臨的迫在眉睫的軟件攻擊面威脅。針對(duì)基于信息熵的軟件攻擊面威脅評(píng)估方法研究，可以為網(wǎng)絡(luò)安全的發(fā)展提供技術(shù)支撐。通過基于信息熵對(duì)軟件攻擊面威脅的評(píng)估，提高軟件攻擊面的可避免性，防止網(wǎng)絡(luò)安全形勢(shì)進(jìn)一步復(fù)雜化。綜上所述，有理由加大基于信息熵的軟件攻擊面威脅評(píng)估方法在軟件攻擊面威脅評(píng)估效率中的應(yīng)用。

通過對(duì)基于信息熵的軟件攻擊面威脅評(píng)估方法的研究，認(rèn)為未來軟件攻擊面威脅評(píng)估的趨勢(shì)是進(jìn)入降熵的時(shí)代。