網(wǎng)絡(luò)安全多維動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)

文/趙祥

網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估主要指的是對(duì)網(wǎng)絡(luò)系統(tǒng)中存在的資產(chǎn)、漏洞以及威脅進(jìn)行識(shí)別，準(zhǔn)確評(píng)估網(wǎng)絡(luò)系統(tǒng)受到成功利用威脅、漏洞之后的風(fēng)險(xiǎn)大小，并針對(duì)風(fēng)險(xiǎn)評(píng)估結(jié)果實(shí)施相關(guān)安全防護(hù)策略，進(jìn)而對(duì)威脅進(jìn)行抵御，讓威脅負(fù)面影響得到降低。

1　網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估原理

在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估中，資產(chǎn)要素、漏洞要素和威脅要素是其主要組成部分，通過(guò)漏洞識(shí)別與威脅識(shí)別，可以得到網(wǎng)絡(luò)攻擊事件發(fā)生概率；通過(guò)漏洞識(shí)別與資產(chǎn)識(shí)別，可以得出網(wǎng)絡(luò)攻擊事件帶來(lái)的損失；結(jié)合事件發(fā)生概率和攻擊事件損失，可以得出網(wǎng)絡(luò)安全風(fēng)險(xiǎn)值。其中資產(chǎn)識(shí)別主要指的是度量網(wǎng)絡(luò)系統(tǒng)安全的重要程度和資產(chǎn)成本價(jià)格；漏洞識(shí)別主要指的是對(duì)漏洞進(jìn)行識(shí)別，對(duì)漏洞危害性進(jìn)行量化評(píng)估；威脅識(shí)別主要指的是對(duì)各類威脅進(jìn)行識(shí)別，對(duì)各類威脅出現(xiàn)概率進(jìn)行計(jì)算。依照網(wǎng)絡(luò)攻擊成功可能和利用漏洞可能，可以量化網(wǎng)絡(luò)攻擊事件出現(xiàn)可能性；依照網(wǎng)絡(luò)攻擊成功的收益與漏洞危害性可以量化網(wǎng)絡(luò)攻擊事件產(chǎn)生損失指標(biāo)；依照此類指標(biāo)，可以對(duì)網(wǎng)絡(luò)系統(tǒng)受到網(wǎng)絡(luò)攻擊行為發(fā)生時(shí)的負(fù)面影響進(jìn)行計(jì)算。

2　網(wǎng)絡(luò)安全多維動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)

2.1　基于深度學(xué)習(xí)的風(fēng)險(xiǎn)識(shí)別

在CD算法、馬爾可夫鏈模型、RB網(wǎng)絡(luò)模型基礎(chǔ)上，考慮到高維非線性海量數(shù)據(jù)降維優(yōu)勢(shì)，可以提出兩種模型：

（1）在信念網(wǎng)絡(luò)基礎(chǔ)上的入侵檢測(cè)模型，

（2）在自編碼網(wǎng)絡(luò)基礎(chǔ)上的支持向量機(jī)入侵檢測(cè)模型。

經(jīng)過(guò)實(shí)驗(yàn)，可以發(fā)現(xiàn)基于深度度學(xué)習(xí)的風(fēng)險(xiǎn)識(shí)別模型在高維空間信息的任務(wù)抽取中具有良好效果，可以讓入侵檢測(cè)模型中的測(cè)試時(shí)間與訓(xùn)練時(shí)間的分類得到降低，可以讓風(fēng)險(xiǎn)識(shí)別實(shí)時(shí)要求得到滿足，具有高度可行性。

2.2　基于漏洞類型聚類的層次化漏洞修復(fù)

考慮到漏洞評(píng)估和漏洞修復(fù)中當(dāng)前存在的主要問(wèn)題，考慮到漏洞危害評(píng)估受到補(bǔ)丁升級(jí)以及代碼可利用的動(dòng)態(tài)影響，可以構(gòu)建一種基于漏洞類型聚類的層次化漏洞修復(fù)模型。在傳統(tǒng)CVSS標(biāo)準(zhǔn)漏洞評(píng)分當(dāng)中，一個(gè)CVSS分值、一個(gè)危害等級(jí)問(wèn)題會(huì)對(duì)應(yīng)多個(gè)漏洞，對(duì)此，可采用漏洞危害動(dòng)態(tài)綜合量化的評(píng)分方式，其可以對(duì)漏洞差異性進(jìn)行精準(zhǔn)區(qū)分，進(jìn)而讓評(píng)估結(jié)果多樣性、準(zhǔn)確性得到提升。利用PSOKmeans漏洞信息聚類方法，可以自動(dòng)分類管理漏洞。利用層次化漏洞修復(fù)方法，可以讓漏洞修復(fù)在同一危害等級(jí)下的次序問(wèn)題。

2.3　基于貝葉斯攻擊圖的動(dòng)態(tài)安全風(fēng)險(xiǎn)評(píng)估

2.3.1模型設(shè)計(jì)

著眼于動(dòng)態(tài)視角，可以對(duì)攻擊圖屬性狀態(tài)節(jié)點(diǎn)安全性受到攻擊事件置信度的影響進(jìn)行分析，考慮到供給成功概率以及網(wǎng)絡(luò)攻擊中的漏洞里利用成功率因素，可以設(shè)計(jì)一種基于貝葉斯攻擊圖的動(dòng)態(tài)安全風(fēng)險(xiǎn)評(píng)估模型。

在模型設(shè)計(jì)中，主要包含兩個(gè)階段：

（1）風(fēng)險(xiǎn)檢測(cè)?？梢宰R(shí)別網(wǎng)絡(luò)資產(chǎn)，賦值資產(chǎn)價(jià)值，分析漏洞與資產(chǎn)的關(guān)聯(lián)，使用基于OVAL漏洞掃描器可以以識(shí)別網(wǎng)絡(luò)主機(jī)漏洞，通過(guò)CVSS評(píng)估指標(biāo)可以對(duì)其漏洞利用率進(jìn)行賦值。

（2）風(fēng)險(xiǎn)評(píng)估。依照漏洞、關(guān)聯(lián)關(guān)系以及網(wǎng)絡(luò)連通等相關(guān)信息，利用MulVAL工具可以形成原始攻擊圖，使用貝葉斯信念網(wǎng)絡(luò)可以構(gòu)建攻擊行為多步原子攻擊的因果關(guān)系的概率攻擊圖。利用屬性狀態(tài)節(jié)點(diǎn)局部條件概率分布表，可以對(duì)其先驗(yàn)概率進(jìn)行計(jì)算，對(duì)靜態(tài)安全風(fēng)險(xiǎn)進(jìn)行評(píng)估。與IDS結(jié)合，可以得到實(shí)時(shí)供給事件，利用貝葉斯推理法，可以對(duì)單步攻擊行為發(fā)生后驗(yàn)概率進(jìn)行動(dòng)態(tài)更新，推測(cè)網(wǎng)絡(luò)面臨潛在攻擊意圖最大路徑。依照屬性節(jié)點(diǎn)LCPD表和對(duì)應(yīng)先驗(yàn)概率可以對(duì)其進(jìn)行計(jì)算，進(jìn)而構(gòu)建靜態(tài)貝葉斯攻擊圖。和IDS捕獲供給事件進(jìn)行有效結(jié)合，對(duì)每個(gè)屬相節(jié)點(diǎn)后驗(yàn)概率進(jìn)行計(jì)算，可以讓步驟得到動(dòng)態(tài)更新。

2.3.2實(shí)驗(yàn)分析

在真實(shí)網(wǎng)絡(luò)實(shí)驗(yàn)環(huán)境中，可以對(duì)DRABAG模型可行性進(jìn)行驗(yàn)證，在網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)中，主要包含了隔離區(qū)域、Internet區(qū)域以及信任區(qū)域這三個(gè)子網(wǎng)絡(luò)，隔離區(qū)域主要包含了郵件服務(wù)器、網(wǎng)頁(yè)服務(wù)器、域名服務(wù)器，信任區(qū)域主要包含了網(wǎng)關(guān)服務(wù)器、文件傳輸服務(wù)器、DBS和管理員服務(wù)器。

利用OVAL漏洞掃描器可以得到漏洞信息，之后對(duì)其等級(jí)進(jìn)行打分，計(jì)算漏洞利用成功率，將漏洞、網(wǎng)絡(luò)配置以及關(guān)聯(lián)關(guān)系等信息輸入MulVAL工具，在邊文件ARCS.CSV與節(jié)點(diǎn)文件VERTICES.CSV存儲(chǔ)輸出攻擊圖信息，利用AttackGraph.pdf可以輸出文件可視化攻擊圖。通過(guò)實(shí)驗(yàn)，發(fā)現(xiàn)在修正先驗(yàn)概率后得到的后驗(yàn)概率和實(shí)際網(wǎng)絡(luò)的安全潛在風(fēng)險(xiǎn)值相符，動(dòng)態(tài)評(píng)估較為準(zhǔn)確。

2.4　基于貝葉斯攻擊圖的最優(yōu)安全防護(hù)策略選擇

為確保網(wǎng)絡(luò)關(guān)鍵設(shè)備的安全性，需要在安全風(fēng)險(xiǎn)評(píng)估基礎(chǔ)之上，有效實(shí)施最優(yōu)化的安全防護(hù)策略，以對(duì)網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險(xiǎn)進(jìn)行有效控制。對(duì)此，可以設(shè)計(jì)基于貝葉斯攻擊圖的最優(yōu)防護(hù)策略選擇模型。

利用前文所說(shuō)的動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)估模型，可以得到現(xiàn)階段網(wǎng)絡(luò)所面臨的最大攻擊意圖攻擊路徑，對(duì)面向防護(hù)策略貝葉斯攻擊圖與基本防護(hù)操作進(jìn)行定義，可以量化防護(hù)措施實(shí)施后的概率。結(jié)合攻擊收益指標(biāo)，可以完成成本與攻擊收益經(jīng)濟(jì)學(xué)指標(biāo)的量化措施，對(duì)防護(hù)成本與攻擊收益進(jìn)行分析，形式化描述防護(hù)策略選擇問(wèn)題，利用PSO算法，可以對(duì)最優(yōu)安全防護(hù)策略予以計(jì)算并實(shí)施，進(jìn)而讓網(wǎng)絡(luò)安全風(fēng)險(xiǎn)得以降低。

3　結(jié)論

綜上所述，資產(chǎn)要素、漏洞要素和威脅要素是網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估中的重要組成內(nèi)容，通過(guò)基于深度學(xué)習(xí)的風(fēng)險(xiǎn)識(shí)別、基于漏洞類型聚類的層次化漏洞修復(fù)、基于貝葉斯攻擊圖的動(dòng)態(tài)安全風(fēng)險(xiǎn)評(píng)估和基于貝葉斯攻擊圖的最優(yōu)安全防護(hù)策略選擇，可以讓網(wǎng)絡(luò)安全多維動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)估模型得以實(shí)現(xiàn)，進(jìn)而讓網(wǎng)絡(luò)安全風(fēng)險(xiǎn)得到有效降低。