基于弱点关联和安全需求的网络安全评估方法new

《基于弱点关联和安全需求的网络安全评估方法new》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、高技术通讯)%%0年第$0卷第)期：$/$<$/1!"#：$%&’(()*+&#,,-&$%%).%/(%&)%%0&%)&%%1基于弱点关联和安全需求的网络安全评估方法!苘大鹏!杨武杨永田周渊!张冰!（哈尔滨工程大学信息安全研究中心哈尔滨$2%%%$）（!国家计算机网络应急技术处理协调中心北京$%%%)0）摘要针对传统的网络安全量化评估方法忽略了网络弱点间的关联性和目标主机的安全需求，导致评估结果不够准确的问题，提出了一种基于弱点关联和安全需求的网络安全量化评估方法。该方法利用攻击图来计算各弱点被网络攻击者成功利用的概率。在此基础上，计

2、算各弱点对主机可用性、保密性和完整性的影响。最后，根据目标主机的安全需求评估主机和网络的安全性。实例分析表明，该评估方法克服了传统方法孤立地评估各弱点对主机的网络安全性评估的不利影响，获得的评估结果较传统方法更为准确。关键词安全评估，弱点关联，安全需求，攻击图的存在，使得一些原本受防火墙保护的主机同样存%引言在被黑客攻击的危险，已有的量化评估方法往往忽为了保证网络正常运行，需要对网络进行安全略了这类风险，导致评估结果不够准确。（)）没有考性评估，主动发现安全隐患，并据此制定有效的安全虑安全需求。不同网络甚至同一网络下的不同主机策略。对于保

3、密性、完整性和可用性的需求是不同的，如果网络安全评估方法按照评估数据的来源可以分在安全评估时不考虑各主机在安全需求上的差异，为动态评估和静态评估。动态评估［$，)］根据网络攻得到的评估结果必定是不准确的。为了解决上述问击事件发生的频率和影响来评估网络的安全性。这题，本文提出一种基于弱点关联和安全需求的网络类方法多为定量分析，但是由于入侵检测工具的误安全量化评估方法，并以一实例阐明了该方法在网报率和漏报率较高，并且缺乏对攻击事件的关联分络安全量化评估中的应用，最后将获得的量化评估析，使得评估结果不够准确。静态评估通过分析目结果与传统评估方法

4、的评估结果进行了对比，验证标网络存在的系统弱点来对网络的安全性进行评了该方法在评估结果的准确性优于传统方法。估。目前，静态评估方法的相关研究工作较多。［’］等人使用56"7"8系统关联网络弱点，根据弱点34$量化评估模型间的依赖关系评估网络的安全性。9:;:6#;6［#/］等人根据网络主机间的访问控制关系，提出了一种网络!&!相关定义弱点分析方法。上述工作属于定性的安全评估，而首先给出一系列相关概念和定义。本文将从定量评估的角度展开研究。在此方面，肖定义（!主机安全度量值）主机安全度量值是道举等人［2］根据服务重要度和漏洞威胁度提出了一指

5、目标主机存在的弱点给主机资产价值可能造成的种量化的安全评估模型。张永铮等人［1，(］在分析了损失之和。网络节点关联性的基础上，提出了一种网络风险传主机的安全度量值由/个因素决定：（$）主机资播模型。产价值的大小；（)）主机存在的弱点数量；（’）各弱点概括而言，已有的网络安全量化评估方法普遍被攻击者成功利用的概率；（/）各弱点对主机保密存在以下缺点：（$）缺乏对弱点间关联性的分析。由性、完整性和可用性的影响。此外，本文将网络安全于网络内主机之间的高度互联以及渗透式攻击手段度量值定义为网络内各主机安全度量值之和，用于"=1’计划（)%%1EE

6、%$F/2$）和0(’计划（)%%(GH’$$$%%）资助项目。!男，$0=%年生，博士生；研究方向：网络安全评估；联系人，>.?;#7：?;-!;@A-8B:"C?;#7&D"?（收稿日期：)%%(.$).$(）万方数据—$/$—高技术通讯-//<年第)<卷第-期表达网络的整体安全性。表&主机重要度量化标准定义（!攻击复杂度）攻击复杂度是用来衡量等级类别设备重要度+)网关或防火墙,攻击者成功利用主机存在的弱点的难易程度的一种+-重要服务器.度量。+*一般服务器*攻击复杂度是弱点的一个内在属性，它不受网+.重要主机-络环境的影响，也就是说

7、，不同网络环境下的同一个+,一般主机)弱点的攻击复杂度是相同的。定义（"弱点）弱点用五元组（!"，#!$，%，&，定义’（网络）网络用三元组（1，*，*0）表"）表示。其中，!"为弱点所在的主机名；#!$为弱示。其中，1为网络中存在弱点的主机集合；*为点在!"#$%&’漏洞库中的号码；%’（%(，%!，不存在弱点的主机集合；*0用于存储网络的综合%)），%(、%!和%)分别为弱点对主机保密性、完整安全度量值。性和服务可用性的影响系数；&为弱点的攻击复杂定义（(网络弱点关联性）如果攻击者在成功度；"为用于存储网络外部攻击者通过各条攻击路利用

8、主机)上的弱点2之后，能够利用新获得的攻径成功利用此弱点的概率之和。击结果，继续攻击主机3上的弱点4，那么我们就说文献［(］给出了弱点的攻击复杂度以及弱点对弱点2到弱点4存在关联性，简写为*#