(支持向量機(jī)理論及其在網(wǎng)絡(luò)安全中的應(yīng)用)第5章支持向量機(jī)在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估

第5章支持向量機(jī)在網(wǎng)絡(luò)平安風(fēng)險(xiǎn)評(píng)估和態(tài)勢(shì)預(yù)測(cè)中的應(yīng)用5.1網(wǎng)絡(luò)平安風(fēng)險(xiǎn)評(píng)估和態(tài)勢(shì)預(yù)測(cè)概述5.2支持向量機(jī)應(yīng)用于網(wǎng)絡(luò)平安風(fēng)險(xiǎn)評(píng)估和態(tài)勢(shì)預(yù)測(cè)的可行性5.3基于支持向量機(jī)的網(wǎng)絡(luò)平安風(fēng)險(xiǎn)評(píng)估方法5.4基于支持向量機(jī)的網(wǎng)絡(luò)態(tài)勢(shì)預(yù)測(cè)方法5.5小結(jié)網(wǎng)絡(luò)平安風(fēng)險(xiǎn)評(píng)估要評(píng)估網(wǎng)絡(luò)信息系統(tǒng)的脆弱性、面臨的威脅以及脆弱性被威脅源利用后所產(chǎn)生的實(shí)際負(fù)面影響，并根據(jù)平安事件發(fā)生的可能性和負(fù)面影響的程度來識(shí)別網(wǎng)絡(luò)信息系統(tǒng)的平安風(fēng)險(xiǎn)。根據(jù)評(píng)估結(jié)果，提出有效的平安措施，消除風(fēng)險(xiǎn)或?qū)L(fēng)險(xiǎn)降低到最低程度。

網(wǎng)絡(luò)平安風(fēng)險(xiǎn)要素關(guān)系模型如下圖，其根本概念及其他們之間的關(guān)系如下[110]。圖5.1.1風(fēng)險(xiǎn)評(píng)估各要素關(guān)系圖(1)威脅(Threat)：就是可能對(duì)資產(chǎn)或組織造成損害的意外事件的潛在原因，風(fēng)險(xiǎn)評(píng)估關(guān)心的是威脅發(fā)生的可能性。

(2)脆弱性(Vulnerability)：也被稱做漏洞，即資產(chǎn)或資產(chǎn)組中存在的可被威脅利用的缺點(diǎn)，脆弱性本身并不能構(gòu)成傷害，但脆弱性一旦被威脅利用，就可能對(duì)資產(chǎn)造成損害。

(3)風(fēng)險(xiǎn)(Risk)：是指特定威脅利用資產(chǎn)的脆弱性帶來損害的潛在可能性。風(fēng)險(xiǎn)是威脅事件發(fā)生的可能性與影響綜合作用的結(jié)果。

(4)資產(chǎn)(Assess)：是指任何對(duì)組織有價(jià)值的東西，包括計(jì)算機(jī)硬件、通信設(shè)施、數(shù)據(jù)庫、文檔信息、軟件、信息效勞和人員等。風(fēng)險(xiǎn)評(píng)估各要素之間的關(guān)系如下：

(1)業(yè)務(wù)戰(zhàn)略依賴于資產(chǎn)去完成；資產(chǎn)具有價(jià)值，單位的業(yè)務(wù)戰(zhàn)略越重要，對(duì)資產(chǎn)的依賴程度越高，資產(chǎn)的價(jià)值就越大，那么風(fēng)險(xiǎn)越大。

(2)風(fēng)險(xiǎn)是由威脅發(fā)起的，威脅越大那么風(fēng)險(xiǎn)越大，并可能演變成平安事件；威脅都要利用脆弱性來危害資產(chǎn)，脆弱性使資產(chǎn)暴露，脆弱性越大那么風(fēng)險(xiǎn)越大。

(3)資產(chǎn)的重要性和對(duì)風(fēng)險(xiǎn)的意識(shí)會(huì)導(dǎo)出平安需求，平安需求通過平安措施來得到滿足；平安措施可以抗擊威脅，降低風(fēng)險(xiǎn)，減弱平安事件的影響。(4)風(fēng)險(xiǎn)不可能也沒有必要降低為零，在實(shí)施了平安措施后還會(huì)有殘留下來的風(fēng)險(xiǎn)，其中一局部剩余風(fēng)險(xiǎn)來自于平安措施不當(dāng)或無效，在以后需要繼續(xù)控制這局部風(fēng)險(xiǎn)；另一局部是綜合考慮了平安的本錢與資產(chǎn)價(jià)值后，有意未去控制的風(fēng)險(xiǎn)，這局部風(fēng)險(xiǎn)是可以接受的。剩余風(fēng)險(xiǎn)應(yīng)受到密切監(jiān)視，因?yàn)樗赡軙?huì)在將來誘發(fā)新的平安事件。

風(fēng)險(xiǎn)計(jì)算模型是對(duì)通過風(fēng)險(xiǎn)分析計(jì)算風(fēng)險(xiǎn)值的過程的抽象，它主要包括資產(chǎn)評(píng)估、威脅評(píng)估、脆弱性評(píng)估以及風(fēng)險(xiǎn)分析，如下圖。圖5.1.2風(fēng)險(xiǎn)計(jì)算模型風(fēng)險(xiǎn)計(jì)算模型包含信息資產(chǎn)、弱點(diǎn)/脆弱性等關(guān)鍵要素。每個(gè)要素有各自的屬性。信息資產(chǎn)的屬性是資產(chǎn)價(jià)值；弱點(diǎn)的屬性是弱點(diǎn)被威脅利用后對(duì)資產(chǎn)帶來的影響的嚴(yán)重程度；威脅的屬性是威脅發(fā)生的可能性。風(fēng)險(xiǎn)計(jì)算的過程如下：

(1)對(duì)信息資產(chǎn)進(jìn)行識(shí)別，并對(duì)資產(chǎn)賦值；

(2)對(duì)威脅進(jìn)行分析，并對(duì)威脅發(fā)生的可能性賦值；

(3)識(shí)別信息資產(chǎn)的脆弱性，并對(duì)弱點(diǎn)的嚴(yán)重程度賦值；

(4)根據(jù)威脅和脆弱性計(jì)算平安事件發(fā)生的可能性；

(5)結(jié)合信息資產(chǎn)的重要性和在此資產(chǎn)上發(fā)生平安事件的可能性計(jì)算信息資產(chǎn)的風(fēng)險(xiǎn)值。(2)依據(jù)運(yùn)行方式分為基于單機(jī)系統(tǒng)、基于客戶端、網(wǎng)絡(luò)探測(cè)型和管理者/代理型評(píng)估軟件。最早的平安評(píng)估工具是基于單機(jī)系統(tǒng)的方法，如COPS、SystemSecurityScanner(S3)；采用客戶端方法的有KaneSecurityAnalyst；網(wǎng)絡(luò)探測(cè)型通過在系統(tǒng)外圍進(jìn)行掃描來發(fā)現(xiàn)漏洞，不需要進(jìn)入到網(wǎng)絡(luò)中不同的系統(tǒng)，比方Nessus；使用管理者/代理型方法的檢測(cè)人員，只需一臺(tái)控制器和管理者通信，管理者依次和網(wǎng)絡(luò)中不同系統(tǒng)上運(yùn)行的檢測(cè)代理通信。(3)按照評(píng)估目標(biāo)分為主機(jī)、網(wǎng)絡(luò)、應(yīng)用系統(tǒng)和平安策略評(píng)估。其中，主機(jī)評(píng)估包括對(duì)用戶、系統(tǒng)、網(wǎng)絡(luò)效勞的平安分析；網(wǎng)絡(luò)評(píng)估涉及網(wǎng)絡(luò)設(shè)備(如交換機(jī)、路由器)和網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)(網(wǎng)絡(luò)平安區(qū)域劃分、訪問控制策略、通信傳輸加密等)的評(píng)估；應(yīng)用系統(tǒng)評(píng)估涉及到非附屬于操作系統(tǒng)的軟件產(chǎn)品(如數(shù)據(jù)庫)的評(píng)估；平安策略評(píng)估針對(duì)軟件的使用問題，涉及對(duì)象是操作系統(tǒng)提供的功能選項(xiàng)設(shè)置，如servicepackandhotfix、帳戶和審計(jì)策略等。(4)根據(jù)相對(duì)位置分為在企業(yè)內(nèi)運(yùn)行評(píng)估軟件的內(nèi)部評(píng)估和模擬黑客的外部評(píng)估。

(5)根據(jù)評(píng)估方法分為手動(dòng)和自動(dòng)評(píng)估。手動(dòng)方法由評(píng)估人員根據(jù)經(jīng)驗(yàn)，檢查各種配置是否正確、補(bǔ)丁是否齊全等；自動(dòng)評(píng)估使用評(píng)估軟件，檢查系統(tǒng)平安漏洞，且對(duì)系統(tǒng)資源的使用狀況進(jìn)行分析。

(6)根據(jù)評(píng)估模式分為基于評(píng)估標(biāo)準(zhǔn)檢查列表(checklist)的靜態(tài)評(píng)估和基于系統(tǒng)配置/黑客行為改變的動(dòng)態(tài)評(píng)估。(2)不依賴于平安漏洞的平安評(píng)估模型，建立量化脆弱性因素的評(píng)估指標(biāo)，通過不同的數(shù)學(xué)模型對(duì)各量化指標(biāo)進(jìn)行融合分析，得出合理的評(píng)估結(jié)果，如應(yīng)用AHP算法對(duì)目標(biāo)網(wǎng)絡(luò)進(jìn)行平安評(píng)估、基于Bayes網(wǎng)絡(luò)的平安評(píng)估等。但是，在應(yīng)用第2種方法的平安評(píng)估工作中，量化指標(biāo)值確實(shí)定包含大量主觀成分，過多依賴專家經(jīng)驗(yàn)。

目前應(yīng)用的風(fēng)險(xiǎn)評(píng)估的方法很多，主要有事件樹分析法[114]、故障樹分析法[115]、層次分析法[116]、模糊綜合評(píng)判法[117]，還有最近出現(xiàn)的神經(jīng)網(wǎng)絡(luò)評(píng)估方法[118]等。表詳細(xì)說明了各種方法的特點(diǎn)及其優(yōu)缺點(diǎn)[119]。5.1.2網(wǎng)絡(luò)態(tài)勢(shì)預(yù)測(cè)根底理論及研究現(xiàn)狀

定義(網(wǎng)絡(luò)態(tài)勢(shì))網(wǎng)絡(luò)態(tài)勢(shì)是指由各種網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)行為以及用戶行為等因素所構(gòu)成的整個(gè)網(wǎng)絡(luò)的當(dāng)前狀態(tài)和變化趨勢(shì)[120]。

需要指出的是，態(tài)勢(shì)是一種狀態(tài)、一種趨勢(shì)，是一個(gè)整體和全局的概念，任何單一的情況或狀態(tài)都不能稱之為態(tài)勢(shì)。

定義(網(wǎng)絡(luò)態(tài)勢(shì)預(yù)測(cè))網(wǎng)絡(luò)態(tài)勢(shì)預(yù)測(cè)是指根據(jù)提取出的歷史網(wǎng)絡(luò)態(tài)勢(shì)，預(yù)測(cè)未來網(wǎng)絡(luò)態(tài)勢(shì)的過程。網(wǎng)絡(luò)態(tài)勢(shì)預(yù)測(cè)是網(wǎng)絡(luò)態(tài)勢(shì)感知的一個(gè)重要的組成局部，網(wǎng)絡(luò)態(tài)勢(shì)感知的定義如下：

定義(網(wǎng)絡(luò)態(tài)勢(shì)感知)網(wǎng)絡(luò)態(tài)勢(shì)感知是指在大規(guī)模網(wǎng)絡(luò)環(huán)境中，對(duì)能夠引起網(wǎng)絡(luò)態(tài)勢(shì)發(fā)生變化的平安要素進(jìn)行獲取、理解、顯示以及預(yù)測(cè)未來的開展趨勢(shì)[120]。

1988年，Endsley在其文章中[121]把態(tài)勢(shì)感知定義為“在一定的時(shí)空條件下，對(duì)環(huán)境因素的獲取、理解以及對(duì)未來狀態(tài)的預(yù)測(cè)〞，整個(gè)態(tài)勢(shì)感知過程可由如下圖的三級(jí)模型直觀地表示出來。

網(wǎng)絡(luò)態(tài)勢(shì)評(píng)估和威脅評(píng)估分別是網(wǎng)絡(luò)態(tài)勢(shì)感知的兩個(gè)環(huán)節(jié)，網(wǎng)絡(luò)威脅評(píng)估建立在網(wǎng)絡(luò)態(tài)勢(shì)評(píng)估的根底之上。三者之間的關(guān)系如下圖。圖態(tài)勢(shì)感知的三級(jí)模型圖網(wǎng)絡(luò)態(tài)勢(shì)感知、態(tài)勢(shì)評(píng)估與威脅評(píng)估關(guān)系圖5.2支持向量機(jī)應(yīng)用于網(wǎng)絡(luò)平安風(fēng)險(xiǎn)

評(píng)估和態(tài)勢(shì)預(yù)測(cè)的可行性

5.2.1支持向量機(jī)應(yīng)用于網(wǎng)絡(luò)平安風(fēng)險(xiǎn)評(píng)估的可行性

使用支持向量機(jī)對(duì)網(wǎng)絡(luò)平安風(fēng)險(xiǎn)進(jìn)行評(píng)估，主要基于如下原因[132]：

(1)網(wǎng)絡(luò)平安風(fēng)險(xiǎn)評(píng)估本質(zhì)上屬于有限樣本(數(shù)據(jù))的、非線性模式識(shí)別問題，支持向量機(jī)是專門針對(duì)有限樣本情況的，它的目標(biāo)是得到現(xiàn)有信息下的最優(yōu)解而不僅僅是樣本數(shù)趨向于無窮大時(shí)的最優(yōu)解。(2)風(fēng)險(xiǎn)評(píng)估追求的是在現(xiàn)有信息情況下的最優(yōu)解，支持向量機(jī)能將分類問題最終轉(zhuǎn)化成一個(gè)二次尋優(yōu)問題，從理論上將得到全局最優(yōu)解，解決了在神經(jīng)網(wǎng)絡(luò)方法中無法防止得到局部極值的情況。

(3)風(fēng)險(xiǎn)評(píng)估對(duì)問題解決方法的泛化能力以及簡(jiǎn)單性要求較高。支持向量機(jī)能將實(shí)際問題通過非線性變換轉(zhuǎn)到高維特征空間，在高維空間中構(gòu)造線性判別函數(shù)使得原始空間具有了非線性判別函數(shù)的功能，不僅保證了模型的推廣能力，并且解決了維數(shù)災(zāi)難問題。5.2.2支持向量機(jī)應(yīng)用于網(wǎng)絡(luò)態(tài)勢(shì)預(yù)測(cè)的可行性

網(wǎng)絡(luò)態(tài)勢(shì)感知系統(tǒng)通過對(duì)提取的網(wǎng)絡(luò)特征值進(jìn)行綜合計(jì)算得出定量描述的網(wǎng)絡(luò)總體狀態(tài)的平安態(tài)勢(shì)值，這是一個(gè)基于時(shí)間序列的數(shù)據(jù)集，基于該數(shù)據(jù)集的態(tài)勢(shì)預(yù)測(cè)具有非線性關(guān)系和非正態(tài)分布的特性[133]。傳統(tǒng)的預(yù)測(cè)方法如線性回歸分析、灰色預(yù)測(cè)等算法可以預(yù)測(cè)一段時(shí)間內(nèi)數(shù)據(jù)變化的大致趨勢(shì)，但在處理具有非線性關(guān)系、非正態(tài)分布特性的網(wǎng)絡(luò)態(tài)勢(shì)值所形成的時(shí)間序列數(shù)據(jù)時(shí)，效果不理想。5.3基于支持向量機(jī)的網(wǎng)絡(luò)平安

風(fēng)險(xiǎn)評(píng)估方法

5.3.1基于二叉樹的多類分類方法

基于支持向量機(jī)的網(wǎng)絡(luò)平安風(fēng)險(xiǎn)評(píng)估方法[119]利用基于二叉樹的多分類方法。其根本原理為首先將所有類別分成兩個(gè)子類，再將子類進(jìn)一步劃分成兩個(gè)次級(jí)子類，如此循環(huán)下去，直到所有的節(jié)點(diǎn)都只包含一個(gè)單獨(dú)的類別為止，此節(jié)點(diǎn)也是二叉樹中的葉子，這樣就得到一個(gè)倒立的二叉分類樹。二叉樹相對(duì)于其他的多分類算法來說，結(jié)構(gòu)簡(jiǎn)單，所需的SVM分類器個(gè)數(shù)較少，對(duì)于K類分類問題只需構(gòu)造K－1個(gè)SVM分類器，所以識(shí)別速度較快，是目前最先進(jìn)的一種多分類方法。先將網(wǎng)絡(luò)的風(fēng)險(xiǎn)等級(jí)分為四級(jí)：分別為一級(jí)，二級(jí)，三級(jí)，四級(jí)，其中一級(jí)為最低風(fēng)險(xiǎn)等級(jí)，四級(jí)為最高風(fēng)險(xiǎn)等級(jí)?；诙鏄涞亩喾诸惙椒ㄓ肧VM1將訓(xùn)練樣本先分為兩類(A，B)，利用SVM2將A類分為兩類(一級(jí)和二級(jí))，利用SVM3將B類分為兩類(三級(jí)和四級(jí))，所以共需3個(gè)SVM就可以把網(wǎng)絡(luò)的平安風(fēng)險(xiǎn)分為四個(gè)不同的等級(jí)，形成倒立的樹狀結(jié)構(gòu)，如下圖。圖5.3.1基于二叉樹的分類框5.3.2基于支持向量機(jī)的網(wǎng)絡(luò)平安評(píng)估模型

基于支持向量機(jī)的網(wǎng)絡(luò)平安風(fēng)險(xiǎn)評(píng)估方法以LIBSVM為核心代碼，以MicrosoftVC++6.0作為開發(fā)工具，優(yōu)化設(shè)計(jì)了SVM工具箱，不僅保證了評(píng)估效果，而且大大縮短了評(píng)估所花費(fèi)的時(shí)間和費(fèi)用，提高了評(píng)估效果，降低了評(píng)估代價(jià)。其評(píng)估模型包括以下幾個(gè)局部[119]。

(1)數(shù)據(jù)預(yù)處理。LIBSVM有專門的數(shù)據(jù)格式，數(shù)據(jù)預(yù)處理功能就是將收集的數(shù)據(jù)轉(zhuǎn)換成LIBSVM數(shù)據(jù)格式。(2)設(shè)置參數(shù)并訓(xùn)練SVM模型。采用RBF核函數(shù)，其參數(shù)為s＝2，C=150，其余各參數(shù)采用默認(rèn)參數(shù)。參數(shù)設(shè)置完成后，就可以進(jìn)行訓(xùn)練和測(cè)試了，首先點(diǎn)擊“Open〞通過瀏覽導(dǎo)入存放訓(xùn)練數(shù)據(jù)的訓(xùn)練文件形成trainfile.txt文件，及其需要存放訓(xùn)練結(jié)果的模型文件model.txt。然后點(diǎn)擊“Train〞按鈕，就可看到訓(xùn)練得到的SVM模型的各個(gè)參數(shù)和訓(xùn)練時(shí)間。采用基于二叉樹的多分類方法，得到3個(gè)SVM訓(xùn)練模型，如下圖。圖5.3.2SVM訓(xùn)練結(jié)果(3)測(cè)試SVM模型。導(dǎo)入存放測(cè)試數(shù)據(jù)的文件，如testfile.txt，輸入存放結(jié)果的輸出文件，如out.txt，然后點(diǎn)擊“Test〞按鈕進(jìn)行測(cè)試，就可對(duì)測(cè)試集的樣本進(jìn)行分類，可以通過結(jié)果顯示區(qū)域看到模型的分類精度和測(cè)試時(shí)間，也可以通過查看和測(cè)試文件存放在同目錄的out.txt文件，得到測(cè)試集各個(gè)樣本的分類結(jié)果，即風(fēng)險(xiǎn)等級(jí)。從而根據(jù)風(fēng)險(xiǎn)等級(jí)采取相應(yīng)的控制措施，使系統(tǒng)的風(fēng)險(xiǎn)控制在可以接受的水平。5.3.3網(wǎng)絡(luò)平安風(fēng)險(xiǎn)評(píng)估實(shí)驗(yàn)和結(jié)果分析

SVM和ANN都是人工智能方法的兩個(gè)分支，且都廣泛的應(yīng)用到風(fēng)險(xiǎn)評(píng)估方面，所以有必要對(duì)兩者的評(píng)估效果進(jìn)行比較。下面利用搜集到的樣本數(shù)據(jù)，從三個(gè)方面對(duì)SVM和ANN評(píng)估效果進(jìn)行比較。為了比較SVM和ANN在小樣本情況下的分類性能，在訓(xùn)練樣本中，分別選取10，20，50，80個(gè)樣本作為訓(xùn)練樣本集進(jìn)行訓(xùn)練，用同樣的900個(gè)樣本作為測(cè)試集，對(duì)SVM和ANN模型進(jìn)行測(cè)試，比較兩者性能的優(yōu)劣。結(jié)果如表所示[119]。5.4基于支持向量機(jī)的網(wǎng)絡(luò)態(tài)勢(shì)預(yù)測(cè)方法

5.4.1e

-支持向量回歸機(jī)

(5.4.1)下面考慮硬e－帶超平面的存在性。顯然，對(duì)于有限個(gè)訓(xùn)練點(diǎn)組成的訓(xùn)練集，當(dāng)e充分大時(shí)，硬e－帶超平面總是存在的。而最小的能使硬e－帶超平面存在的e值emin，那么應(yīng)該是以下最優(yōu)化問題的最優(yōu)值

(5.4.2)

(5.4.3)

e-不敏感損失函數(shù)為

(5.4.4)如果f(x)為單變量線性函數(shù)：

(5.4.5)

當(dāng)樣本點(diǎn)位于兩條虛線之間的帶狀區(qū)域內(nèi)時(shí)，那么認(rèn)為在該點(diǎn)沒有損失；只有當(dāng)樣本點(diǎn)位于e－帶之外時(shí)，才有損失出現(xiàn)，如下圖。圖5.4.1e-帶示意圖

1.線性硬e－帶支持向量回歸機(jī)

線性硬e－帶支持向量回歸機(jī)的原始最優(yōu)化問題為：

(5.4.6)

(5.4.7)

(5.4.8)為了求解式(5.4.6)～(5.4.8)所示的最優(yōu)化問題，引入Lagrange函數(shù)

(5.4.9)

(5.4.10)

(5.4.11)把式(5.4.10)、(5.4.11)所示的極值條件代入式(5.4.9)中，并對(duì)它關(guān)于a(*)求極大，就得到如下的對(duì)偶問題：

(5.4.12)

(5.4.13)

(5.4.14)

2．硬e-帶支持向量回歸機(jī)Step3構(gòu)造并求解最優(yōu)化問題：

(5.4.18)

(5.4.19)

(5.4.20)

(5.4.21)

(5.4.22)

(5.4.23)3．e-支持向量回歸機(jī)

(5.4.24)

(5.4.25)

(5.4.26)

(5.4.27)為了求解式(5.4.24)～(5.4.27)所示的原始問題，引入Lagrange函數(shù)：

(5.4.28)

(5.4.29)

(5.4.30)

(5.4.31)將式(5.4.29)～(5.4.31)代入式(5.4.28)中，并對(duì)之關(guān)于a(*)求極大，就得到了式(5.4.24)～(5.4.27)所示的原始問題的對(duì)偶問題：

(5.4.32)

(5.4.33)

(5.4.34)

(5.4.35)又記

(5.4.36)

(5.4.37)

(5.4.38)

(5.4.39)

(5.4.40)

(5.4.41)又當(dāng)；時(shí)，定義

(5.4.42)

(5.4.43)

那么式(5.4.24)～(5.4.27)所示的原始問題關(guān)于的解所組成的集合可表示為

(5.4