网络安全风险评估方法分析和比较.pdfVIP

3圜黧 网络安全风险评估方法分析与比较 覃德泽‘蒙军全2 l贺州学院计算机科学与工程系 广西542800 2贺州市科技局广西542800 摘要：本文首先对目前较有代表性的几种网络安全风险评估方法进行简介，然后逐一分析各自优、缺点，最后对各评估 方法进行综合对比，指出网络安全风险评估的发展方向，为研究网络安全风险评估提供参考。 关键词：网络安全风险评估t评估方法；分析；比较 0 前言 1．3模糊综合评判法 关于网络安全风险评估的研究在国内才十多年的历史， 模糊综合评判法就是通过构造风险因素集和评价因素 人们已提出了多种不同的评估方法，其中较有代表性的是故 集，专家直接打分评判出各风险因素的风险水平，定义隶属 Tree 障树分析法(FaultAnalysis，FTA)、层次分析法(Anal”ic 函数来建立权重模糊矩阵和关系模糊矩阵，并把权重模糊矩 Hie娜hy Pnocess，AHP)、模糊综合评判法(Fuz可ComprehenS．ve阵和关系模糊矩阵的乘积作为模糊综合评价结果的方法。 E、，alu撕onmemod’FCE)和基于贝叶斯、BP神经网络、DS证据 理论和基于数据场的网络安全风险融合模型等方法。这些方 单项因素的集合，称为风险因素集l设V={vIv2，v3，v4， 法从不同的角度去探讨网络安全风险评估问题，各有优、缺 v5)=(低，较低，中，较高，高)，为各风险级别的集合，称 点，下面具体分析。 为评价因素集。在对各单项因素进行风险级别评估取得每个 l评估方法简介 单项因素的等级值后，通过各自的隶属函数定义可分别求出 1．1故障树分析法 每个单项因素对评价集V中5个风险级别的隶属度，每个单 所谓故障树分析法，就是对这些可能造成系统失效的各 项因素分别得出一组5个数，三个单项因素便得到3组5个 种因素进行分析，并用故障树反映系统内故障或其它事件之 数，用这3组5个数组成矩阵(3×5)就是关系模糊矩阵Rl 间的交互关系的设计分析方法和评估方法。 设资产、威胁和漏洞三个因素的权重值分别为pl’p2，艮，用 1．2层次分析法 此组成的矩阵(1×3)就是权重模糊矩阵B。 层次分析法(AHP)是在对系统分析的基础上，将复杂关 将权重模糊矩阵B和关系模糊矩阵R相乘，就得到网 系分解为由局部简单关系构成的递增层次关系，将前一级的 络系统风险的模糊综合评价结果Y。Y为一个1×5的矩阵， 评估结果作为下一级的评估输入，构造关系矩阵、权重向量 即Y={y1y2y3y4y5)，此结果代表最后的综合评估结果隶属 和评价矩阵进行模糊综合评估的系统分析和评估方法。通过 于第i个风险级别的程度(i_l，2…，5)。综合评估结果的数 逐层评判，最终得到目标层的模糊评判矩阵，选取隶属度最 大者所对应的评价集元素作为系统的综合评价结果。如果希 3+y3+4+y4+5+ys。 望进行安全系统之间的比较，则取目标层的模糊评判矩阵中 1．4基于贝叶斯 的各元素(值)的加权和作为系统的量化总分。应用层次分析 基于贝叶斯网络的评估方法，是以贝叶斯网络为模型， 法首先要对系统分层，并建立评估指标体系。 对影响风险等级的各种因素采用概率方法结合专家知识进 ∞¨．4 鹏安呈技术与应用23 万方数据 |圜黧 行描述。该方法不仅可以对网络的总体风险进行评估，还能 定性与定量相结合的多目标决策分析方法。这一方法的核心 分别评估各个局部要素可能引起风险的程度。 是将决策者的经验判断给予量化，从而为决策者提供定量形 1．5基于B