本發(fā)明屬于網(wǎng)絡(luò)空間安全
技術(shù)領(lǐng)域：
，具體涉及一種利用模糊度量方法實現(xiàn)對網(wǎng)絡(luò)設(shè)備信息安全的評估。
背景技術(shù)：
：目前互聯(lián)網(wǎng)發(fā)展越來越快，帶來了便利化，同時受到網(wǎng)絡(luò)攻擊越來越多，如DDoS(分布式拒絕服務(wù))攻擊、ARP(地址解析協(xié)議)攻擊、腳本攻擊、嗅探掃描等，導致信息泄露等問題，使得人們遭受巨大的經(jīng)濟損失。網(wǎng)絡(luò)中的漏洞、脆弱性環(huán)節(jié)使得網(wǎng)絡(luò)安全問題日益嚴重。隨著互聯(lián)網(wǎng)規(guī)模的日益擴大，需要大量網(wǎng)絡(luò)設(shè)備，如路由器、交換機、服務(wù)器等。這些網(wǎng)絡(luò)設(shè)備構(gòu)成了互聯(lián)網(wǎng)的網(wǎng)絡(luò)節(jié)點，進行著大量的數(shù)據(jù)存儲與轉(zhuǎn)發(fā)的工作。這些數(shù)據(jù)涉及到用戶隱私，其安全保護狀況得到社會的廣泛關(guān)注。大部分的網(wǎng)絡(luò)設(shè)備供應商只關(guān)注設(shè)備的性能，缺乏安全性的重視。如何確保網(wǎng)絡(luò)設(shè)備的安全性，是當下亟需解決的問題。安全評估是保障信息安全性的有效方式，對路由器、交換機等進行有效的安全評估，可以及時發(fā)現(xiàn)其存在的漏洞，并對其提出改進性意見。目前國家對于網(wǎng)絡(luò)設(shè)備沒有具體統(tǒng)一的評估準則，《服務(wù)器安全技術(shù)要求》、《路由器安全技術(shù)要求》、《網(wǎng)絡(luò)交換機安全技術(shù)要求》等標準只是單純提供指標和準則，缺乏具體實際的評估方案。對于網(wǎng)絡(luò)設(shè)備信息安全的主流評估主要還是在建立主觀評價的基礎(chǔ)上，其評估結(jié)果缺乏客觀性，目前缺乏建立在客觀測試以及定量和定性相結(jié)合之上的評估基準。為了解決網(wǎng)絡(luò)設(shè)備安全性問題，提出避免主觀性、可量化、準確一致的評估方法，是非常必要的。技術(shù)實現(xiàn)要素：本發(fā)明針對目前存在的評估結(jié)果不準確的問題，提供了一種面向網(wǎng)絡(luò)設(shè)備信息安全評估的模糊度量方法，依據(jù)某認證機構(gòu)提供的針對網(wǎng)絡(luò)設(shè)備的數(shù)據(jù)與指標，結(jié)合網(wǎng)絡(luò)設(shè)備自身特點，在建立完善的指標體系的基礎(chǔ)上，從評估存在的模糊性角度，利用評估中獲得的信息，設(shè)計權(quán)重，綜合指標來對網(wǎng)絡(luò)設(shè)備的安全性進行判斷。本發(fā)明提供的面向網(wǎng)絡(luò)設(shè)備信息安全評估的模糊度量方法，包括如下步驟：步驟一，設(shè)置指標權(quán)重；設(shè)網(wǎng)絡(luò)設(shè)備信息安全分層樹形指標體系共有T層，求出各層子指標的權(quán)重；設(shè)第t-1層的某一指標的子指標集合n為子指標個數(shù)，1≤t-1≤T；建立A中兩兩指標相對重要程度的模糊判斷矩陣，模糊判斷矩陣中元素表示指標相對于指標的重要程度；根據(jù)已知的評估數(shù)據(jù)，將模糊判斷矩陣中每個元素表示為一個三角模糊數(shù)；設(shè)用1～9的數(shù)字標度法對指標相對重要程度進行標度，由機構(gòu)的評估數(shù)據(jù)得到的標度值集合P，集合P中的值pi出現(xiàn)的頻數(shù)為f(pi)，集合P的算數(shù)平均數(shù)為將元素表示為一個三角模糊數(shù)為：其中，最小可能值m1和最大可能值m2為：若滿足條件的m1或m2的數(shù)量大于1，則選取距離最近的值；確定第i個子指標的初始權(quán)重為：確定去模糊化后的各子指標的權(quán)重；去模糊化后的子指標的權(quán)重為：表示兩個三角模糊數(shù)與進行比較；若計算得出某個子指標的權(quán)重為0，對其重新賦值，重新賦值方法為：然后，對去模糊化后權(quán)重進行歸一化處理，得到子指標的最終權(quán)重為：步驟二，對網(wǎng)絡(luò)設(shè)備進行交叉測試，獲得測試數(shù)據(jù)結(jié)果，專家根據(jù)測試結(jié)果進行風險量化，給出風險值。采用單指標預估；對每個評估指標，利用指標權(quán)重及風險值對平均評估值設(shè)定閾值，若平均評估值超閾值，則確認產(chǎn)品安全性不合格。若所有評估指標的平均評估值均小于閾值，則全部指標進入整體評估。本發(fā)明的優(yōu)點和積極效果在于：(1)本發(fā)明實現(xiàn)了對網(wǎng)絡(luò)設(shè)備的安全性的判斷，針對評估中存在的模糊性問題，在分析模糊性的基礎(chǔ)上，解決了信息安全評估中的評估不準問題，保障評估結(jié)果的客觀性。(2)本發(fā)明的指標權(quán)重設(shè)計方法，克服了傳統(tǒng)上單純依賴專家的主觀性，利用客觀和主觀相結(jié)合的方式，增加了指標權(quán)重的客觀性和準確性。(3)本發(fā)明依據(jù)網(wǎng)絡(luò)設(shè)備實際需求，設(shè)計單指標預估方案，可實現(xiàn)對網(wǎng)絡(luò)設(shè)備安全性的快速判斷，增加了評價結(jié)果的科學性、準確性和權(quán)威性。附圖說明圖1是網(wǎng)絡(luò)設(shè)備三層部分度量指標結(jié)構(gòu)示意圖；圖2是本發(fā)明的面向網(wǎng)絡(luò)設(shè)備信息安全評估的模糊度量方法的整體流程示意圖。具體實施方式下面將結(jié)合附圖和實施例對本發(fā)明作進一步的詳細說明。顯然，所描述的實施例也僅僅是本發(fā)明的一部分實施例，而不是全部實施例?；诒景l(fā)明中的實施例，本領(lǐng)域普通技術(shù)人員在沒有做出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明保護的范圍。本發(fā)明提供的面向網(wǎng)絡(luò)設(shè)備信息安全評估的模糊度量方法包括兩部分：指標權(quán)重設(shè)計、指標綜合。下面分別對這兩部分進行說明。(1)指標權(quán)重設(shè)計。網(wǎng)絡(luò)設(shè)備是互聯(lián)網(wǎng)中轉(zhuǎn)發(fā)數(shù)據(jù)的節(jié)點，有數(shù)據(jù)私密性、完整性、真實性等重要信息安全指標。這些指標被稱為虛擬指標，依賴下層具體信息安全指標，并能被具體指標綜合體現(xiàn)，對網(wǎng)絡(luò)設(shè)備的安全極其重要。虛擬指標和具體指標依據(jù)相互關(guān)系，構(gòu)成了信息安全分層樹形指標體系。網(wǎng)絡(luò)設(shè)備安全性總體指標主要包含：網(wǎng)絡(luò)安全、主機安全、應用安全、物理安全和數(shù)據(jù)安全與備份恢復，其各個指標又包含眾多子指標，指標體系龐大，指標體系部分內(nèi)容如圖1所示。假設(shè)網(wǎng)絡(luò)設(shè)備信息安全分層樹形指標體系，簡稱指標體系，共有T層，第1層為網(wǎng)絡(luò)設(shè)備的總安全指標，其中第t-1層的某一指標有多個子指標，1≤t-1≤T，T為正整數(shù)。這里用表示該指標的子指標集，比較A中指標，得到兩兩指標相對重要程度的模糊判斷矩陣。該模糊判斷矩陣Rt可表示為：其中，表示相對于的重要程度。設(shè)置為1。用1～9的數(shù)字標度法對兩兩指標相對重要程度進行標度，如表1所示。表1模糊判斷矩陣中兩指標相對重要程度取值表尺度含義1第i個指標與第j個指標的影響相同3第i個指標比第j個指標的影響稍強5第i個指標比第j個指標的影響強7第i個指標比第j個指標的影響明強9第i個指標比第j個指標的影響絕對地強根據(jù)某信息安全認證機構(gòu)的指標與評估數(shù)據(jù)，確定模糊判斷矩陣中每個元素的隸屬度函數(shù)及相應的三角模糊數(shù)。下面以為例說明。由機構(gòu)的評估數(shù)據(jù)得到的標度值集合P＝{p1,p2,p3,…,pf}，f為集合P中標度值個數(shù)，則以的隸屬度函數(shù)表示為其中，表示取標度值x的可能性，表示集合P的算數(shù)平均數(shù)，m1為最小可能值，m2為最大可能值。取值為的可能性最高。則元素的三角模糊數(shù)表示為：記f(pi)為pi在P中出現(xiàn)的頻數(shù)，則：若滿足條件的m1或m2的數(shù)量大于1，則選取距離最近的值。重復以上過程，得到n×n的模糊判斷矩陣中各元素的隸屬度函數(shù)和三角模糊數(shù)。算出第i個子指標的初始權(quán)重為：定義兩個模糊數(shù)D1(a1,b1,c1)與D2(a2,b2,c2)的比較原則為：算出去模糊化后的各個子指標的權(quán)重為表示去模糊化后的子指標的權(quán)重。若計算得出某個子指標權(quán)重為0，需要對其進行重新賦值，重新賦值方法為：然后，對去模糊化后權(quán)重進行歸一化處理，得到子指標的最終權(quán)重為：采用上述權(quán)重計算方法求出同層及其他層子指標權(quán)值，直至得出所有層子指標權(quán)重。將子指標權(quán)重與所屬的上層指標權(quán)重逐級相乘，得到最底層所有子指標占總指標集的權(quán)重。傳統(tǒng)的權(quán)重方法一般是多個專家只給出一個相對權(quán)重的值，或者一位專家給出三個值，即最低概率，最可能概率、最高概率。前者方式太過單一，主要是求統(tǒng)計平均獲得最終結(jié)果，缺乏考慮實際中存在的模糊性問題，即在“重要”和“很重要”之間是沒有明確的劃分。后者方式是只需要一個專家評估，較為單一，沒有考慮宏觀上專家的整體意見。利用本發(fā)明方法設(shè)計權(quán)重，在處理專家意見數(shù)據(jù)的過程中，不僅考慮到模糊性問題，使用模糊數(shù)處理，還從統(tǒng)計角度獲得整體的專家意見，較為全面，沒有丟失信息。(2)指標綜合評估網(wǎng)絡(luò)設(shè)備安全性。指標綜合是依據(jù)子指標值及權(quán)重，計算出綜合得分的過程，主要包括單指標預估和整體評估兩個階段。權(quán)重確定后，對設(shè)備進行交叉測試，獲得測試數(shù)據(jù)結(jié)果。專家根據(jù)測試結(jié)果進行風險量化，根據(jù)表2確定設(shè)備各指標的情況。1)單指標預估。評估指標有越大的權(quán)重，表示越重要。本發(fā)明利用評估指標權(quán)重及評估風險值對平均評估值設(shè)定閾值，發(fā)現(xiàn)有超過該閾值的指標，則確認產(chǎn)品安全性不合格。其具體操作如下：設(shè)得到某一指標下所有n個子指標的評估權(quán)重W＝{w1,w2,w3,…wi,…wn}，模型評語集為Q＝{q1,q2,…,qk}，其中qh(h＝1,2,…,k)為具體評語，k為評語總數(shù)。設(shè)R(Q)＝{r(q1),r(q2),…,r(qk)}為專家對評語集量化的風險程度，這里規(guī)定安全性等級逐漸降低，即量化的風險數(shù)值依次增高，令K＝max(R(Q))，K為量化的風險值的最大取值。本發(fā)明實施例中規(guī)定評語集和風險程度如下：表2評語集和風險程度風險值12345評語集好較好一般較差差則K為5。專家根據(jù)測試結(jié)果按照規(guī)定的評語集風險值對產(chǎn)品的各項指標進行評估，設(shè)共有l(wèi)位專家，專家對各指標的評估結(jié)果為：E＝{e11,…,e1n,e21,…,e2n,…,eij,…,eln},1≤i≤l,1≤j≤n其中，eij表示第i個專家對產(chǎn)品的第j個指標的量化風險評估結(jié)果。計算專家們對同一指標的平均評估值若滿足條件：則該產(chǎn)品被判定為不安全產(chǎn)品，1≤j≤n。其中，wj為第j個指標的權(quán)重，根據(jù)指標權(quán)重設(shè)置中公式(5)計算得到。若所有指標均小于閾值，則全部指標集進入整體評估。2)整體評估。設(shè)指標體系共有T層，統(tǒng)計專家們針對某T-1層目標集所包含的n個子指標的評估情況，得出專家對某一指標各個安全等級的評語分布。設(shè)對某一指標，統(tǒng)計給出相同評語的專家人數(shù)，對代表不同安全等級的評語，計算給出該評語的專家人數(shù)占總專家數(shù)的比例，作為該安全等級的評語分布。設(shè)對第i個指標專家給出評語qh的比例為mih，滿足0≤mih≤1且則根據(jù)專家們的評估權(quán)重，獲得評估權(quán)重矩陣M，即：則評估結(jié)果Z＝W·M＝(z1,z2,…,zk)。將Z進行歸一化得獲得最終該父指標的評估風險值其他父指標的風險值依次類推，最后得到所有第T-1層的目標集權(quán)重。T-1層以上的指標的風險值由該指標的子指標集的權(quán)重和風險值的加權(quán)和獲得，設(shè)第t層的第i個指標在第t+1層有f個子指標，其中得到位于第t+1層的第j個子指標的權(quán)重為根據(jù)f個子指標的評估風險值得到第t層的第i個指標的評估風險值為：依此類推，最終獲得該設(shè)備的風險值R1，根據(jù)該風險值來判斷設(shè)備的安全性是否合格。實例:首先構(gòu)建三層度量框架如圖1。第一層為度量目標層，即安全層。第二層為度量指標層，根據(jù)網(wǎng)絡(luò)設(shè)備的特性擬出。第三層為形式化度量指標層，依據(jù)根據(jù)國家信息安全等級保護制度第三級要求擬出。以主機安全指標為例，首先由11位專家給出各自的模糊判斷數(shù)據(jù)，如表3所示。表3專家給出的模糊判斷數(shù)據(jù)處理得到模糊判斷矩陣R如表4所示；表4本發(fā)明實例的模糊判斷矩陣進一步計算出最終權(quán)重向量：W＝(0.6312,0.1983,0.0226,0.1457,0.0023)。設(shè)定模型評語集Q為{好,較好,一般,較差,差}，對應的風險值R(Q)為{1,2,3,4,5}，專家對各指標評估結(jié)果E如表5所示，表5本發(fā)明實例中11個專家對各指標的評估風險值經(jīng)計算，5個指標閾值分別為:w1＝4.6234；w2＝4.8745；w3＝4.9853；w4＝4.9071；w5＝4.9985.經(jīng)判斷，所有指標均小于閾值，進入整體評估。對評估結(jié)果E做統(tǒng)計計算，得出評估矩陣M，如表6所示。表6本發(fā)明實例中11個專家對主機安全的子指標集的評估權(quán)重矩陣計算得出各指標最終得分Z＝W·M,歸一化結(jié)果為:得出主機安全的風險值為R＝3.04037；同理可求出其它同層，如網(wǎng)絡(luò)安全、應用安全等各指標風險值然后根據(jù)第二層的各指標權(quán)重和風險值，求出產(chǎn)品最終風險值為：根據(jù)得到的最終風險值，來與所要求的風險閾值比較，來監(jiān)控產(chǎn)品的安全性。本發(fā)明的應用于網(wǎng)絡(luò)設(shè)備信息安全評估方法，通過降低評估主觀性，分析測試結(jié)果，進行定量與定性相結(jié)合的評估，最終獲得評估結(jié)果。當前第1頁1 2 3