電信網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系研究及應(yīng)用.doc

電信網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系研究及應(yīng)用胡 勇，任德斌，吳少華，胡朝浪（四川大學(xué)信息安全研究所 成都 610064）摘要 為評(píng)估電信網(wǎng)的風(fēng)險(xiǎn)，可通過(guò)分析風(fēng)險(xiǎn)與安全事件的關(guān)系，以安全事件的組成元素構(gòu)建電信網(wǎng)的風(fēng)險(xiǎn)評(píng)估指標(biāo)體系，并進(jìn)行風(fēng)險(xiǎn)的分級(jí)量化。本文分析了電信網(wǎng)的風(fēng)險(xiǎn)模糊綜合評(píng)估方法，并進(jìn)行了實(shí)例計(jì)算。該方法可作為電信網(wǎng)風(fēng)險(xiǎn)評(píng)估的一種有效方法。關(guān)鍵詞電信網(wǎng)；風(fēng)險(xiǎn)評(píng)估；風(fēng)險(xiǎn)評(píng)估指標(biāo)體系；多層模糊綜合評(píng)判1引言電信網(wǎng)絡(luò)是國(guó)民經(jīng)濟(jì)的關(guān)鍵基礎(chǔ)設(shè)施，是眾多關(guān)系國(guó)計(jì)民生的重要信息系統(tǒng)不可或缺的支撐平臺(tái)。由于信息通信技術(shù)的不斷發(fā)展，電信網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)大和電信網(wǎng)絡(luò)開(kāi)放性的不斷提高，使得電信網(wǎng)絡(luò)的安全面臨著越來(lái)越多的威脅，存在著越來(lái)越多的風(fēng)險(xiǎn)和安全問(wèn)題。電信網(wǎng)絡(luò)安全問(wèn)題的產(chǎn)生是由于電信網(wǎng)絡(luò)存在風(fēng)險(xiǎn)，風(fēng)險(xiǎn)是衡量電信網(wǎng)絡(luò)安全狀況的標(biāo)準(zhǔn)。風(fēng)險(xiǎn)大，電信網(wǎng)絡(luò)就是危險(xiǎn)的、不安全的；風(fēng)險(xiǎn)小到可以接受，就可以認(rèn)為是安全的。電信網(wǎng)絡(luò)安全問(wèn)題的產(chǎn)生原因有：互聯(lián)網(wǎng)與電信網(wǎng)的融合給電信網(wǎng)帶來(lái)了許多原來(lái)存在于互聯(lián)網(wǎng)的威脅；NGN、3G、WiMAX、IPTV等新技術(shù)和新業(yè)務(wù)的引入增加了電信網(wǎng)絡(luò)的復(fù)雜性、不可控性，也為其安全帶來(lái)不確定因素；運(yùn)營(yíng)商之間網(wǎng)絡(luò)規(guī)劃、建設(shè)缺乏協(xié)調(diào)配合，網(wǎng)絡(luò)一旦出現(xiàn)重大事故時(shí)難以迅速恢復(fù)；相關(guān)法規(guī)尚不完善，落實(shí)安全保障措施缺乏力度等1。電信網(wǎng)絡(luò)安全建設(shè)的目標(biāo)就是將電信網(wǎng)絡(luò)的風(fēng)險(xiǎn)降低到可以接受的程度，使其處于安全狀態(tài)。電信網(wǎng)絡(luò)的風(fēng)險(xiǎn)評(píng)估是一項(xiàng)艱巨的工作，涉及資源的識(shí)別、威脅的識(shí)別、脆弱性的識(shí)別、風(fēng)險(xiǎn)的識(shí)別和風(fēng)險(xiǎn)大小的量化等。其中，對(duì)風(fēng)險(xiǎn)大小的量化是非常重要的環(huán)節(jié)，直接關(guān)系到對(duì)電信網(wǎng)絡(luò)風(fēng)險(xiǎn)狀況的正確認(rèn)識(shí)，安全投入的多少和安全措施部署的優(yōu)先順序。電信網(wǎng)絡(luò)風(fēng)險(xiǎn)的產(chǎn)生及其大小與資源的重要性、威脅源的動(dòng)機(jī)和能力、脆弱性的暴露時(shí)間、脆弱性被利用的難易程度、行為被發(fā)現(xiàn)和追究的可能性以及攻擊者被發(fā)現(xiàn)后受處罰的嚴(yán)重程度等都有內(nèi)在的聯(lián)系。電信網(wǎng)絡(luò)風(fēng)險(xiǎn)的多樣性，相關(guān)聯(lián)的影響因素眾多，信息不完全等原因使得精確評(píng)估電信網(wǎng)絡(luò)風(fēng)險(xiǎn)存在很大困難。參考文獻(xiàn)2對(duì)電信網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)評(píng)估原則、流程和電信網(wǎng)絡(luò)生命周期各階段的風(fēng)險(xiǎn)評(píng)估進(jìn)行了研究。在標(biāo)準(zhǔn)YD/T 1730-20083中，對(duì)電信網(wǎng)和互聯(lián)網(wǎng)的安全風(fēng)險(xiǎn)評(píng)估框架、流程、實(shí)施步驟、生命周期各階段的風(fēng)險(xiǎn)評(píng)估內(nèi)容進(jìn)行了描述，對(duì)風(fēng)險(xiǎn)的計(jì)算方法也有提及。但由于標(biāo)準(zhǔn)的某些描述不是很詳細(xì)，比如，對(duì)資產(chǎn)、脆弱性、威脅和風(fēng)險(xiǎn)的等級(jí)進(jìn)行了定義，但評(píng)估數(shù)據(jù)如何得到不夠清晰；簡(jiǎn)單地提出了評(píng)估要參考?xì)v史數(shù)據(jù)或各種因素的屬性，但哪些數(shù)據(jù)、哪些屬性需要考慮語(yǔ)焉不詳。為提高標(biāo)準(zhǔn)的可操作性，本文對(duì)風(fēng)險(xiǎn)評(píng)估中需要考慮的屬性進(jìn)行了歸納，提出了電信網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系。本文深入研究了電信網(wǎng)絡(luò)風(fēng)險(xiǎn)的成因、風(fēng)險(xiǎn)與安全事件的關(guān)系，建立了一個(gè)電信網(wǎng)絡(luò)的風(fēng)險(xiǎn)評(píng)估指標(biāo)體系，在現(xiàn)有電信網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估工作中尚未發(fā)現(xiàn)類似的成果。在此基礎(chǔ)上，采用模糊綜合評(píng)判方法對(duì)風(fēng)險(xiǎn)進(jìn)行量化，并對(duì)其中的一些問(wèn)題進(jìn)行了闡述、分析，提出了解決方法。最后，通過(guò)示例驗(yàn)證和說(shuō)明了電信網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估方法的使用方法。該評(píng)估指標(biāo)體系的建立，使得風(fēng)險(xiǎn)評(píng)估和安全建設(shè)都可以針對(duì)其中的各項(xiàng)指標(biāo)有目的地進(jìn)行，有很好的現(xiàn)實(shí)意義和實(shí)用價(jià)值。2電信網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系風(fēng)險(xiǎn)是潛在安全事件發(fā)生的可能性和后果。因此，風(fēng)險(xiǎn)的大小包括安全事件發(fā)生的可能性大小和安全事件一旦發(fā)生后的損失和影響大小。量化風(fēng)險(xiǎn)就是要量化安全事件的可能性和后果，但可能性和后果的影響因素很多，數(shù)據(jù)也很難獲得，直接評(píng)估非常困難。只有在建立電信網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系的基礎(chǔ)上，從專家經(jīng)驗(yàn)、實(shí)際測(cè)試、調(diào)查研究等途徑獲得一些間接的數(shù)據(jù)，采用一些評(píng)估方法，進(jìn)行間接的評(píng)估。建立風(fēng)險(xiǎn)評(píng)估指標(biāo)體系需要對(duì)電信網(wǎng)絡(luò)的風(fēng)險(xiǎn)本質(zhì)進(jìn)行分析。風(fēng)險(xiǎn)是潛在的安全事件發(fā)生的可能性和后果?！皾撛凇闭f(shuō)明安全事件有發(fā)生的可能性；“后果”說(shuō)明安全事件發(fā)生后會(huì)對(duì)電信網(wǎng)絡(luò)造成損失和不利影響，因此，風(fēng)險(xiǎn)是與安全事件緊密相關(guān)的。評(píng)估量化風(fēng)險(xiǎn)，就是量化安全事件發(fā)生的可能性和后果4。通過(guò)分析安全事件及其構(gòu)成要素，可以建立電信網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系。參考文獻(xiàn)5對(duì)評(píng)估指標(biāo)進(jìn)行了初步探討，參考文獻(xiàn)6以安全屬性作指標(biāo)設(shè)計(jì)了風(fēng)險(xiǎn)評(píng)估系統(tǒng)，參考文獻(xiàn)7中提出了信息系統(tǒng)的風(fēng)險(xiǎn)評(píng)估指標(biāo)體系。經(jīng)過(guò)進(jìn)一步分析，本文按照系統(tǒng)分析原理，將某些關(guān)聯(lián)的指標(biāo)合并，只考慮直接影響因素。比如可能性影響因素中，電信網(wǎng)絡(luò)的某些特點(diǎn)會(huì)引發(fā)特定攻擊者的攻擊動(dòng)機(jī)，而攻擊動(dòng)機(jī)可能促使攻擊行為發(fā)生，則只考慮動(dòng)機(jī)而不考慮電信網(wǎng)絡(luò)的特點(diǎn)。這樣得到的風(fēng)險(xiǎn)評(píng)估指標(biāo)體系層次同樣適用于電信網(wǎng)的風(fēng)險(xiǎn)評(píng)估，如圖1所示。安全事件發(fā)生的可能性與攻擊主體、行為及脆弱性有關(guān)，即攻擊者想不想做（動(dòng)機(jī)、興趣等）、能不能做（能力、資源、脆弱性）、敢不敢做（法律、道德等外部壓力），而安全事件的后果僅與安全事件破壞的客體相關(guān)，從受破壞的客體資源會(huì)帶來(lái)的直接、間接損失來(lái)度量。這樣，從安全事件的主體、脆弱性、行為和客體4個(gè)方面選定評(píng)價(jià)指標(biāo)體系，見(jiàn)表1。在對(duì)電信網(wǎng)絡(luò)風(fēng)險(xiǎn)進(jìn)行評(píng)估時(shí)，與信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則一致，可以將風(fēng)險(xiǎn)強(qiáng)度的量化值也劃分為5級(jí)，如：低，較低，中，較高，高。這也與國(guó)際通用的5級(jí)危機(jī)預(yù)警管理體系一致。這樣，風(fēng)險(xiǎn)的各級(jí)影響因素也可分為5級(jí)評(píng)估8。為計(jì)算方便，B11、B12、B13、B14、B15、B21、B22、B23取值逐級(jí)增強(qiáng)，B16、B17取值逐級(jí)降低，因其對(duì)風(fēng)險(xiǎn)的影響是反向的。另外，在風(fēng)險(xiǎn)評(píng)估實(shí)施中，如果能夠直接給出每個(gè)風(fēng)險(xiǎn)（安全事件）的后果（包括直接的和潛在的后果）的量化值，就可省略對(duì)后果的各級(jí)影響因素的評(píng)估，而直接采用該量化值，因?yàn)槲覀冏罱K的關(guān)注點(diǎn)是后果大小。對(duì)安全事件的可能性亦然。比如，通過(guò)對(duì)一段時(shí)間安全事件發(fā)生的頻率及成功率來(lái)估測(cè)其可能性，實(shí)現(xiàn)對(duì)可能性的直接評(píng)估。風(fēng)險(xiǎn)評(píng)估指標(biāo)體系則可用于對(duì)上層影響因素的量化評(píng)估難以直接進(jìn)行的情形，或用于對(duì)評(píng)估結(jié)果進(jìn)行驗(yàn)證。3電信網(wǎng)絡(luò)風(fēng)險(xiǎn)綜合評(píng)估示例基于上述指標(biāo)體系可對(duì)電信網(wǎng)絡(luò)風(fēng)險(xiǎn)采用綜合評(píng)估方法進(jìn)行評(píng)估。如采用層次分析法獲取各級(jí)指標(biāo)的權(quán)值，采用Delphi法獲得最低層指標(biāo)的模糊隸屬度值，采用多級(jí)模糊綜合評(píng)判方法計(jì)算上層指標(biāo)的模糊隸屬度值及結(jié)果值9。應(yīng)用示例：運(yùn)營(yíng)商的某項(xiàng)增值電信業(yè)務(wù)基于IIS5.0提供的WWW服務(wù)，但I(xiàn)IS5.0存在Unicode編碼漏洞，外部攻擊者可利用該漏洞篡改主頁(yè)和相關(guān)內(nèi)容，影響運(yùn)營(yíng)商的形象和正常開(kāi)展業(yè)務(wù)。分析該風(fēng)險(xiǎn)大小，運(yùn)用Delphi和層次分析法分別確定風(fēng)險(xiǎn)的可能性和后果的影響因素指標(biāo)值和權(quán)重值，相應(yīng)的數(shù)據(jù)如表2所示（計(jì)算過(guò)程略）。評(píng)價(jià)指標(biāo)值構(gòu)成評(píng)價(jià)矩陣R，權(quán)值構(gòu)成權(quán)重矩陣A，利用這兩個(gè)矩陣對(duì)安全事件發(fā)生的可能性和后果進(jìn)行評(píng)價(jià)并歸一化，得到初級(jí)模糊評(píng)價(jià)向量，如表3所示。以初級(jí)模糊評(píng)價(jià)向量構(gòu)成二級(jí)評(píng)價(jià)矩陣，結(jié)合二級(jí)權(quán)重矩陣，計(jì)算安全事件發(fā)生的可能性和后果的模糊評(píng)價(jià)并歸一化，得到二級(jí)模糊綜合評(píng)價(jià)向量，如表4所示。對(duì)評(píng)價(jià)集“賦值”，定義V=0,0.2,0.4,0.6,0.8，針對(duì)這一標(biāo)準(zhǔn)，對(duì)應(yīng)的風(fēng)險(xiǎn)等級(jí)分別為低、較低、中、較高、高。利用加權(quán)平均法分別對(duì)安全事件發(fā)生的可能性和后果進(jìn)行綜合評(píng)價(jià)，其中，fi為可能性評(píng)估值，ri為后果評(píng)估值：f=(f1,f2,f3,f4,f5)=（0,0.045,0.205,0.395,0.355），r=(r1,r2,r3,r4,r5)=(0.067, 0.167,0.100,0.267,0.399)，則安全事件發(fā)生的可能性Lf和后果Lr分別為：該風(fēng)險(xiǎn)發(fā)生的可能性為較高，因?yàn)榭赡苄?.612僅比“較高”的下限值0.6多0.012；后果為“中”，風(fēng)險(xiǎn)值0.58在0.40.6段，屬于“中”的風(fēng)險(xiǎn)，符合實(shí)際情況。在這里，之所以要對(duì)可能性和后果的乘積計(jì)算平方根作為風(fēng)險(xiǎn)值，是因?yàn)榭赡苄院秃蠊荚?1取值，相乘將會(huì)小于或等于其原來(lái)的值，與現(xiàn)實(shí)情況不合。比如，可能性和后果都為“高”的值0.62，顯然風(fēng)險(xiǎn)等級(jí)也應(yīng)該處于“高”等級(jí)，但乘積為0.384，是“低”段，與實(shí)際不一致。而且Lf與Lr的乘積是評(píng)估值的相乘，風(fēng)險(xiǎn)值同可能性和后果一樣，是一個(gè)評(píng)估值，量綱也不一致，所以需要對(duì)乘積開(kāi)平方。上述的計(jì)算是假設(shè)風(fēng)險(xiǎn)的可能性和后果的權(quán)重是一樣的。對(duì)于不同的風(fēng)險(xiǎn)，對(duì)風(fēng)險(xiǎn)的可能性和后果的關(guān)注程度不一樣。這時(shí)，需要在計(jì)算風(fēng)險(xiǎn)值時(shí)引入可能性和后果的權(quán)重。對(duì)表4的可能性和后果分別賦權(quán)重0.3和0.7，同樣用評(píng)價(jià)向量矩陣和權(quán)重矩陣計(jì)算得到風(fēng)險(xiǎn)的評(píng)價(jià)向量（0.0469，0.1304，0.1315，0.3054，0.3858）。再依據(jù)類似的算法，得到風(fēng)險(xiǎn)值： 風(fēng)險(xiǎn)居于“中”等級(jí)。對(duì)于電信網(wǎng)絡(luò)這樣的復(fù)雜巨系統(tǒng)，并不只存在單一的風(fēng)險(xiǎn)。在不同的風(fēng)險(xiǎn)域有不同的多個(gè)風(fēng)險(xiǎn)點(diǎn)存在。對(duì)每一個(gè)風(fēng)險(xiǎn)，根據(jù)本文所述的多級(jí)模糊綜合評(píng)判得到其風(fēng)險(xiǎn)度量值Ri(i=1,2,，n)后，然后運(yùn)用綜合評(píng)價(jià)的理論與方法（仍可采用模糊綜合評(píng)價(jià)模型或其他評(píng)價(jià)函數(shù)）評(píng)價(jià)整個(gè)電信網(wǎng)絡(luò)的風(fēng)險(xiǎn)，最終得到系統(tǒng)風(fēng)險(xiǎn)的綜合評(píng)價(jià)值和風(fēng)險(xiǎn)等級(jí)：R=f(w,R)。其中，f( )為待定的綜合評(píng)價(jià)函數(shù)，w=w1,w2,，wnT為電信網(wǎng)絡(luò)各風(fēng)險(xiǎn)的權(quán)重向量，該權(quán)重向量與風(fēng)險(xiǎn)危害的安全性（各電信網(wǎng)絡(luò)對(duì)保密性、可用性、完整性等的要求不同）有關(guān)，R=R1,R2,，RnT為電信網(wǎng)絡(luò)的風(fēng)險(xiǎn)向量。4結(jié)束語(yǔ)本文提出的電信網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系是一個(gè)初步的框架，更完善和更詳細(xì)的指標(biāo)體系需要更深入的研究，并有針對(duì)性地對(duì)具體電信網(wǎng)絡(luò)進(jìn)行分析得到。進(jìn)一步地，對(duì)于電信網(wǎng)絡(luò)來(lái)說(shuō)，風(fēng)險(xiǎn)是隨時(shí)間變化的，通過(guò)層次分析法只能得到系統(tǒng)某一時(shí)刻（=1，2,，N）的風(fēng)險(xiǎn)狀況，而無(wú)法綜合比較系統(tǒng)在不同時(shí)刻的風(fēng)險(xiǎn)整體水平10，可在對(duì)多個(gè)時(shí)刻進(jìn)行賦值的基礎(chǔ)上，通過(guò)BP神經(jīng)網(wǎng)絡(luò)或小波神經(jīng)網(wǎng)絡(luò)對(duì)權(quán)重系數(shù)wi(tk)模擬估值，得到風(fēng)險(xiǎn)xij在t1,tN上的權(quán)重系數(shù)wij(t),i=1,2,3;j=1,2,，n，進(jìn)而計(jì)算以獲得該段時(shí)間的風(fēng)險(xiǎn)總體值。另外，還要進(jìn)一步研究如何減少評(píng)估中的主觀性。參考文獻(xiàn)1熊四皓. 電信網(wǎng)網(wǎng)絡(luò)安全問(wèn)題淺析. 電信網(wǎng)技術(shù)，2006（5）：132魏薇. 對(duì)電信網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的研究. 電信科學(xué)，2007，23（2）：52553YD/T 1730-2008. 電信網(wǎng)和互聯(lián)網(wǎng)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指南. 電信行業(yè)標(biāo)準(zhǔn)，20084Clark K, Tyree S, Dawkins J, et al. Qualitative and quantitative analytical techniques for network security assessment. In: Procedings of the 2004 IEEE Workshop on Information Assurance and Security, United States Military Academy, West Point, June 20045肖龍，戴宗坤. 信息系統(tǒng)風(fēng)險(xiǎn)的多級(jí)模糊綜合評(píng)判模型. 四川大學(xué)學(xué)報(bào)（工程科學(xué)版），2004，36（5）：981026胡萬(wàn)兵，趙彬，周明等