基于贝叶斯模型的网络风险动态评估方法

第８卷第１期　信息工程大学学报　Ｖｏ１．８　ＮＯ．１　２００７年３月　Ｊｏｕｒｎａｌ　ｏｆ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｅｎｇｉｎｅｅｒｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ　Ｍａｒ．２００７　基于贝叶斯模型的网络风险动态评估方法　梁　玲，陈庶民，徐孟春，殷石昌　（信息工程大学信息工程学院，河南郑州４５０００２）　摘要：运用贝叶斯理论及方法，建立了网络系统风险的动态评估模型。该评估模型不仅可以评　估网络的总体风险，还可以分别评估各个局部要素可能引起风险的程度。最后的示例表明：本　模型可以有效地实现对实际网络风险问题全面评估。　关键词：网络风险评估；风险因素分析；贝叶斯方法　中图分类号：ＴＰ３０２　文献标识码：Ａ　文章编号：１６７１—０６７３（２００７）０１—００５３—０３　Ｍｅｔｈｏｄｓ　ｆｏｒ　Ｄｙｎａｍｉｃａｌｌｙ　Ｅｖａｌｕａｔｉｎｇ　ｔｈｅ　Ｒｉｓｋ　ｏｆ　Ｎｅｔｗｏｒｋ　Ｂａｓｅｄ・ｏｎ　Ｂａｙｅｓｉａｎ　Ｍｏｄｅｌ　ＬＩＡＮＧ　Ｌｉｎｇ，ＣＨＥＮ　Ｓｈｕ—ｍｉｎ，ＸＵ　Ｍｅｎｇ—ｃｈｕｎ，ＹＩＮ　Ｓｈｉ—ｃｈａｎｇ　（Ｉｎｓｔｉｔｕｔｅ　ｏｆ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｅｎｇｉｎｅｅｉｎｇ，Ｉｎｆｏｒｍａｔｉｏｎ　Ｅｎｇｉｎｅｅｒｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ，Ｚｈｅｎｇｚｈｏｕ　４５０００２，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｂａｓｅｄ　ｏｎ　Ｂａｙｅｓｉａｎ　ｔｈｅｏｒｙ　ａｎｄ　ｃｏｎｃｅｒｎｉｎｇ　ａｐｐｒｏａｃｈｅｓ，ｔｈｉｓ　ｐａｐｅｒ　ｅｓｔａｂｌｉｓｈｅｓ　ａｎ　ｅｖａｌｕａｔｉｎｇ　ｍｏｄｅｌ　ａｎｄ　ｇｉｖｅｓ　ｔｈｅ　ｃｏｒｒｅｓｐｏｎｄｉｎｇ　ｍｅｔｈｏｄ　ｔｏ　ｅｖａｌｕａｔｅ　ｄｙｎａｍｉｃａｌｌｙ　ｔｈｅ　ｎｅｔｗｏｒｋ　ｒｉｓｋ．Ｔｈｅ　ｍｏｄｅｌ　ａｎｄ　ｍｅｔｈｏｄ　ｃａｎ　ｎｏｔ　ｏｎｌｙ　ｅｖａｌｕａｔｅ　ｔｈｅ　ｒｉｓｋ　ｏｆ　ｔｈｅ　ｔｏｔａｌ　ｎｅｔｗｏｒｋ，ｂｕｔ　ａｌｓｏ　ｅｖａｌｕａｔｅ　ｔｈｅ　ｄｅｇｒｅｅ　ｏｆ　ｒｉｓｋｓ　ｏｆ　ｈｔｅ　ｐａｒｔｓ　ｉｎ　ｎｅｔｗｏｒｋ．Ｆｉｎａｌｌｙ，ａｎ　ｅｘａｍｐｌｅ　ｉｓ　ａｐｐｌｉｅｄ　ｔｏ　ｓｈｏｗ　ｔｈｅ　ｐｒｏｃｅｓｓ　ａｎｄ　ｔｈｅ　ｅｆｆｅｃｔｉｖｅｎｅｓｓ　ｏｆ　ｔｈｅ　ｍｅｔｈｏｄ．　Ｋｅｙ　ｗｏｒｄｓ：ｅｖａｌｕａｔｉｏｎ　ｏｆ　ｎｅｔｗｏｒｋ　ｒｉｓｋ；ｆａｃｔｏｒｓ　ａｎａｌｙｓｉｓ　ｆｏｒ　ｒｉｓｋ；Ｂａｙｅｓｉａｎ　ｍｅｔｈｏｄ　随着计算机互联网络的广泛使用以及网络攻　贝叶斯模型的网络风险动态评估方法及其实现方　击技术的飞速发展，网络本身的正常运作及网上资　法。　源保护均面临着巨大的风险。网络信息安全体系　建立在对网络风险的评估、控制与管理的基础上，　１　网络风险评估的基本结构与过程　只有有效地评估网络风险，才可能采取适当的措　施，进而较好保证网络的安全运行¨　。　网络的安全风险状态由系统的脆弱性、外部威　所谓网络系统风险，是指由于系统存在的脆弱　胁以及系统的资产价值３种因素构成。其中，系统　性，人为或自然的威胁导致安全事件发生的可能性　自身的脆弱性是造成系统被攻破的根本原因（内　及其造成的影响　。网络风险评估就是对网络自　因），外部威胁是造成系统被攻破的必要原因（外　身存在的脆弱性状况、外界环境可能导致网络安全　因），系统的资产价值的重要程度则是确定系统出　事件发生的可能性以及可能造成的影响进行系统　现安全事故后可能造成的影响大小的必要指　评价　引。　标　。所以，网络风险是脆弱性、威胁以及资产价　评估过程应该建立在一定的技术手段与评估　值的函数，可以表示为：　模型的基础上。贝叶斯理论与方法是当前国际上　Ｒ：　Ｖ，Ｔ，ｚ），　普遍采用的风险评估方法。本文探讨了一种基于　其中，尺代表风险，　代表脆弱性，　代表外界威胁，　收稿日期：２００６—１１—０９　作者简介：粱玲（１９６２一），女，安徽蚌埠人，信息工程大学副教授，主要研究方向为计算机网络和信息安全。　维普资讯 http://www.cqvip.com

５４　信息工程大学学报　２００７正　ｚ代表资产价值。对网络风险的评估也就是用这　３个变量来构造一个合适函数，使之可以正确地反　映网络真实的风险状态。　记号：　Ｈ　：风险评估结论１正确的假设，Ｈ：：风险评估　结论２正确的假设；Ｐ（Ｈ。）：Ｈ。成立的概率，　网络系统风险评估的基本结构与一般过程可　以用图１描述。　图１　网络风险评估基本结构与过程图　２　基于贝叶斯模型的网络风险动态　评估方法　２．１基本的贝叶斯模型　乘法公式若在事件　发生的条件下，事件Ａ　发生的条件概率记为Ｐ（Ａ　Ｉ　），且当Ｐ（　）＞０时，　Ｐ（ＡＩＢ）＝　；当　）＝０时，Ｐ（ＡＩＢ）：０。　那么，当Ｐ（Ａ）＞０及Ｐ（Ｂ）＞０时，有乘法公式：　Ｐ（ＡｎＢ）＝Ｐ（ＡＢ）：Ｐ（Ｂ）Ｐ（ＡＩＢ）：　Ｐ（Ａ）Ｐ（ＢＩＡ）　（１）　全概率公式　如果事件　。，　：，…，　，满足　下列条件：　①事件　。，　：，…，　互不相容，即事件的交运　算　‘ｎＢ，：　（　≠＿『）；　②事件　。，　：，…，　构成全空间Ｑ，即１＝　Ｐ（Ｑ）＝Ｐｆ　Ｂｉ）＝∑Ｐ（Ｂ　），Ｐ（Ｂ　）＞０则对任　一事件Ａ，全概率公式为　Ｐ（Ａ）＝　』＿，Ｐ（Ａ　Ｉ　　Ｂ　）Ｐ（Ｂ　）。　’　　（２）　贝叶斯公式Ｉ　若对于任一事件Ａ，Ｐ（Ａ）＞　０，全概率公式（２）成立并结合公式（１），则有贝叶　斯公式　Ｐ（Ｂ　Ｉ（ｆ　Ｉ　Ａ）：　　Ａ）＝　二—　（３）　∑Ｐ（Ｂ　）Ｐ（Ａ　Ｉ　Ｂｉ）　其中，Ｐ（Ａ　Ｉ　）称为先验概率，表示“原因”；Ｐ（　Ｉ　Ａ）称为后验概率，表示“结果”，　＝１，…，ｎ。　２．２　基于贝叶斯模型的动态风险评估方法　实际中风险评估结论可以有多个，现假设有两　种可能的风险评估结论：结论１和结论２，给出　Ｐ（Ｈ：）：Ｈ：成立的概率；Ｄ：新的风险信息；Ｐ（Ｈ，Ｉ　Ｄ）：Ｄ出现时，Ｈ．成立的概率，Ｐ（Ｈ：Ｉ　Ｄ）：Ｄ出现　时，Ｈ　成立的概率；Ｐ（Ｄ　Ｉ　Ｈ。）：Ｈ。成立时，Ｄ出现　的概率，Ｐ（Ｄ　Ｉ　Ｈ：）：Ｈ：成立时，Ｄ出现的概率。　按条件概率，借助贝叶斯公式（３），可以得到　当Ｄ出现时，假设Ｈ。正确的概率为Ｐ（Ｈ。Ｉ　Ｄ）＝　Ｐ（日．ｎ　Ｄ）　Ｐ（Ｄ　１日。）Ｐ（日。）　Ｐ（Ｄ）　一Ｐ（Ｄ　Ｉ　Ｈ。）Ｐ（Ｈ。）十Ｐ（Ｄ　Ｉ　）Ｐ（　）’　当Ｄ出现时，假设Ｈ：正确的概率为Ｐ（　Ｉ　Ｄ）＝　Ｐ（Ｈ２　ｎ　Ｄ）Ｐ（Ｄ　Ｉ　）Ｐ（Ｈ２）　Ｐ（Ｄ）Ｐ（Ｄ　Ｉ　Ｈ。）Ｐ（Ｈ。）十Ｐ（Ｄ　Ｉ　）Ｐ（　）　评估结论分析　根据上述公式的计算，可以　作出如下分析：　给定上限（阈）值Ｅ。和下限（阈）值Ｄ　，分别　表示风险评估结论可以接受的最低限和不可以接　受的最高限。记Ｐ　＝Ｐ（Ｈ　Ｉ　Ｄ），Ｐ：＝Ｐ（Ｈ：Ｉ　Ｄ）。　那么，①若Ｐ。≥Ｄ　，Ｐ：≥Ｄ　，则Ｐ。和Ｐ：对应的评　估结论Ｈ。和Ｈ：都有可能被接受，但通过比较Ｐ。　和Ｐ　的大小，较大者对应的评估结论优先被接受；　②若Ｐ。≥Ｄ　，Ｐ：＜Ｄｄ，则Ｐ。对应的评估结论Ｈ１　被接受；③若Ｐ。＜Ｄｄ，Ｐ：≥Ｄ　，则Ｐ：对应的评估　结论Ｈ：被接受；④若Ｐ。＜Ｄｄ，Ｐ：＜Ｄｄ，则Ｐ　和Ｐ２　对应的评估结论Ｈ。和Ｈ：都不能被接受，需要通过　其它渠道获得更多的相关信息。　上述方法中，可能有多个风险评估结论。　３　基于贝叶斯模型的网络风险评估　算法　假设网络ｎ按其资源分为ｎ个互不重叠的部　分Ｂ。，Ｂ：，…，Ｂ　，每个部分都可能产生风险，且产　生风险的概率分别为Ｐ（Ｂ　），Ｐ（Ｂ：），…，Ｐ（Ｂ　）。　那么，有Ｐ（Ｂ　）＞０（　＝１，…，ｎ）且　ｎ　ｓｔ＝　（ｉ　ｎ　。　≠＿『），Ｐ（Ｑ）＝Ｐ（　Ｂ　ｉ：１）＝Ｅ　ｉ—＝—１　Ｐ（Ｂ　）＝１。　对脆弱性　，外界威胁　和资产价值ｚ而言，概　率Ｐ（ＶＩ　Ｂ。），Ｐ（ＴＩ　），Ｐ（ＺＩ曰　）均可以通过以往　的统计数据　获得，ｉ＝１，…，ｎｏＰ（Ｖ），Ｐ（Ｔ）和　Ｐ（Ｚ）分别为　，　和Ｚ发生的概率，也可以通过以　往的统计数据获得。　算法（网络风险的动态评估算法）　给定上限　（阈）值Ｅ。和下限（阈）值Ｄ　。　维普资讯 http://www.cqvip.com

第１期　梁玲等：基于贝叶斯模型的网络风险动态评估方法　５５　①按照数理统计方法，结合以往的统计数据　计算Ｐ（　），Ｐ（　）和Ｐ（ｚ），通过２．２中的结论分析　Ｐ（Ｒ　Ｉ　）Ｐ（　）　Ｐ（Ｒ　Ｉ　Ｖ）Ｐ（Ｖ）＋Ｐ（Ｒ　Ｉ　）Ｐ（Ｔ）＋Ｐ（Ｒ　Ｉ　）Ｐ（Ｔ）　方法，可以得到网络分别在脆弱性，外界威胁和资　产价值方面发生风险的评估结果。如果出现新的风　０　．　２　０而　×　．　０３＋　．　　×４　０等５　．　　＿２　０＋　．　　　４　０×　．　５　－０．５９。　类似的，由外界威胁引起网络风险的可能性为　Ｐ２＝Ｐ（Ｔ　ｌ　Ｒ）＝　０　２　０　险事件Ｒ，且得知Ｐ（Ｒ　ｌ　），Ｐ（Ｒ　ｌ　）和Ｐ（Ｒ　ｌ　ｚ），　转②。　②基本风险评估。分别计算　＝　．　×　．３＋　．０筹　　４　０×　．　　＋Ｏ２　４．　　０－０×　．５　＿２３。　由资产价值引起网络风险的可能性为　Ｐ，＝Ｐ（Ｚ　ｌ　Ｒ）＝　Ｐ（Ｒ　Ｉ　Ｖ）Ｐ（Ｖ）　—　————————一’　∑Ｐ（Ｂ。）Ｐ（Ｒ　Ｉ　Ｂｉ）　ｉ＝１　＝　’　０　．　×２　０　．　　３　０＋　．　　４　０等３×　．　　＋２＿　０　．　　　４　０×　．　５　＝０．１８。　②总体评估结果　根据以上分析，可以得出　评估结论：当前网络的风险隐患水平为　Ｐ（Ｒ）＝Ｐ（Ｖ）Ｐ（Ｒ　ｌ　）＋Ｐ（　）Ｐ（Ｒ　ｌ　）＋　Ｐ（Ｚ）Ｐ（Ｒ　Ｉ　Ｚ）＝０．３４。　Ｐ（ｚ　＝　。　通过２．２中的结论分析，可以得到网络分别在　脆弱性，外界威胁和资产价值方面发生风险的动态　评估结果。转③。　③总体风险评估。计算　Ｐ（Ｒ）＝Ｐ（　ｕ　ｔ．３　Ｚ）＝　Ｐ（　）＋Ｐ（　）＋Ｐ（Ｚ）一Ｐ（　ｎ　）一Ｐ（　ｎ　Ｚ）一　Ｐ（　ｎ　Ｚ）＋Ｐ（　ｎ　Ｚ　ｎ　）。　５　结束语　本文通过对网络风险结构要素及风险特征的　分析，运用贝叶斯理论及方法，建立了网络系统的　风险评估模型。该评估模型不仅可以评估网络的　总体风险，还可以分别评估各个局部要素可能引起　风险的程度。为了便于应用，本文给出了评估模型　的具体算法及相应的示例，参照示例中的计算与分　析过程，可以容易地完成对实际网络风险问题全面　评估。　参考文献：　通过２．２中的结论分析，可以得到总体风险的　动态评估结果，评估结束。特别地，可在上述算法　中，取ｎ＝３，Ｖ＝Ｂ　，Ｔ＝Ｂ　，Ｚ＝Ｂ，。此时的总体　评估结果为Ｐ（Ｒ）＝Ｐ（Ｖ）Ｐ（Ｒ　Ｉ　Ｖ）＋Ｐ（　）Ｐ（Ｒ　Ｉ　）＋Ｐ（Ｚ）Ｐ（Ｒ　Ｉ　Ｚ）。　４　基于贝叶斯模型的网络风险评估　不例　有关网络安全部门注意到某单位的网络存在　［１］Ｓａｎｄｈｕ　Ｒ　Ｓ，Ｃｏｙｎｅ　Ｅ，Ｆｅｉｎｓｔｅｉｎ　Ｈ　Ｌ，ｅｔ　ａ１．Ｒｏｌｅ．Ｂａｓｅｄ　ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ　Ｍｏｄｅｌｓ［Ｊ］．ＩＥＥＥ　Ｃｏｍｐｕｔｅｒ，１９９６，２９　（２）：３８—４７．　［２］Ｒａｖｉ　Ｓａｎｄｈｕ，Ｖｅｎｋａｔａ　Ｂｈａｍｉｄｉｐａｔｉ，Ｑａｍａｒ　Ｍｕｎａｗｅｒ．　Ｔｈｅ　ＡＲＢＡＣ　Ｍｏｄｅｌ　ｆｏｒ　Ｒｏｌｅ．Ｂａｓｅｄ　Ａｄｍｉｎｉｓｔｒａｔｉｏｎ　ｏｆ　风险隐患，脆弱性　，外界威胁　和资产价值ｚ的风　险隐患可能性分别为　Ｐ（Ｖ）＝０．５，Ｐ（Ｔ）＝０．２，Ｐ（Ｚ）＝０．３。　Ｒｏｌｅｓ［Ｊ］．ＡＣＭ　Ｔｒａｎｓａｃｔｉｏｎｓ　ｏｎ　Ｉｎｆｏｒｍａｔｉｏｎ　ａｎｄ　Ｓｙｓｔｅｍ　Ｓｅｃｕｒｉｔｙ，１９９９，２（１）：１０５—１３５．　经过进一步分析断定，由脆弱性，外界威胁和　资产价值引起网络风险Ｒ的可能性分别为　于是，根据前面的算法有下列评估结果：　［３］司马建平，余祥宣，洪帆．基于角色的安全策略［Ｊ］．计　算机研究与发展，１９９８，１３５（５）：４４７—４６０．　刘毅．对信息安全风险评估中几个重要问题　Ｐ（Ｒ　ｌ　Ｖ）＝０．４，Ｐ（Ｒ　ｌ　Ｔ）＝０．４，Ｐ（Ｒ　ｌ　Ｚ）＝０．２。　［４］左晓栋，的认识［Ｊ］．计算机安全，２００４，４：２１—２５．　［５］刘胜航，张翔，曹旭平．基于层次分析法的网络风险状　态评估模型［Ｊ］．计算机安全，２００６，２：１９—２４．　［６］戴锋，邵金宏，王力．军事运筹学导论［Ｍ］．北京：军事　谊文出版社，２００４．　①基本评估结果　如果发生网络风险，得到　由脆弱性引起网络风险的可能性为　Ｐ　＝ｐ（ｖ　　Ｒ）＝　ｌ＝