安全漏洞多维度分析与量化评估方法研究

论文摘要

借助于科技进步,因特网迅猛发展,信息系统规模不断扩大,其复杂性也越来越高。我们在享受信息技术给我们带来的高效、智能服务的同时,也深刻体会到其安全发生问题时,所造成的各种损失,而安全漏洞则是导致这些网络系统不安全的关键因素。信息系统安全漏洞作为信息时代存在的一种客观对象,已成为安全管理人员与恶意攻击者双方争夺的焦点。几乎每天都有新的安全漏洞被发现,加上用户疏于补救等,网络主机的安全性时刻存在威胁。另外,由于攻击技术的提高,攻击行为日趋复杂,防火墙、入侵检测系统等网络安全措施不能完全阻挡各种攻击,确定安全漏洞的优先级,进行重点防护等变得尤为重要。因此,安全漏洞评估作为信息系统安全的基础与前提,成为新的网络安全研究领域分支,特别对安全漏洞量化评估逐渐成为众多学者的研究热点。本文概述了目前的安全漏洞评估研究现状,并介绍了通用漏洞评分系统(CVSS)。在分析其评估方法的不足之处后,提出了一种多维度的安全漏洞风险评估方法。在对多维安全漏洞评估方法进行了整体介绍之后,又对各个维度的评估内容进行了具体阐述：在第一维度上,主要考虑安全漏洞固有属性对系统安全危害,即针对安全漏洞被利用后直接对系统保密性(C)、完整性(I)以及可用性(A)方面造成的影响进行量化分级。在第二维度,考虑到安全漏洞在不同时间段,其攻击数量与攻击方式的不同,结合产品生命周期理论,提出基于Gompertz模型的分析方法,利用预测结果对安全漏洞的攻击热度进行计算,再结合安全漏洞攻击发展状况作为模糊推理的输入,运用Mamdani模糊模型的推理机制得出安全漏洞在时间维度上的风险状况。在第三维度,主要是考虑安全漏洞对于网络的整体危害性。通过逻辑语言建立漏洞关联攻击关系,从而构建相关安全漏洞的空间网络结构,根据安全漏洞在整个空间网络中的不同攻击链的攻击深度与广度进行权重分析,利用加权的网络流中心度度量方法得出每个漏洞的中心度值,作为安全漏洞在空间维度的风险评估结果。该评估方法从固有属性维度、时间维度和空间维度对安全漏洞的风险进行全面评估,评估结果会随着评估系统的安全漏洞集合以及时间的不同而动态变化,使得风险分析更具有动态性与真实性。这将为安全人员快速、有效的制定有针对性的防御策略提供有力理论依据。

论文目录

• 摘要
• Abstract
• 1 绪论
• 1.1 研究背景及意义
• 1.1.1 研究背景
• 1.1.2 研究意义
• 1.2 国内外研究现状
• 1.2.1 国内外学者对安全漏洞相关研究现状
• 1.2.2 不同的组织、机构对于安全漏洞的评级体系、标准
• 1.2.3 国内外安全漏洞评估产品现状
• 1.3 本文主要研究内容及组织结构
• 1.3.1 本文主要研究内容及贡献
• 1.3.2 本文组织结构
• 2 安全漏洞相关内容
• 2.1 安全漏洞基础知识
• 2.1.1 安全漏洞的定义
• 2.1.2 安全漏洞的属性
• 2.1.3 安全漏洞的分类
• 2.2 通用漏洞评分系统（CVSS）
• 2.2.1 通用漏洞评分系统（CVSS）介绍
• 2.2.2 CVSS的优点与不足分析
• 3 安全漏洞多维度分析与量化评估模型框架
• 3.1 安全漏洞多维度分析与量化评估关键问题及相关技术
• 3.1.1 分析与评估中的关键问题
• 3.1.2 分析与评估中的相关方法与技术
• 3.2 多维度分析与量化评估模型整体概述
• 3.2.1 安全漏洞多维度分析与量化评估过程
• 3.2.2 安全漏洞多维度分析与量化评估框架
• 4 安全漏洞固有属性维度分析与量化评估
• 4.1 安全漏洞固有属性定义
• 4.2 安全漏洞固有属性值量化
• 4.3 固有属性的评估方法
• 4.3.1 基于信息融合的模糊推理规则
• 4.3.2 安全漏洞固有属性维度的模糊规则
• 4.3.3 安全漏洞固有属性维度的模糊推理
• 5 安全漏洞时间维度分析与量化评估
• 5.1 安全漏洞生命周期理论
• 5.1.1 安全漏洞生命周期概念的引入
• 5.1.2 安全漏洞生命周期风险类型划分
• 5.2 安全漏洞时间维度分析
• 5.2.1 安全漏洞攻击热度
• 5.2.2 安全漏洞攻击技术
• 5.3 安全漏洞时间维度的分析与量化评估方法
• 5.3.1 安全漏洞时间风险的模糊规则
• 5.3.2 安全漏洞时间风险的模糊推理
• 5.4 分步实例验证
• 6 安全漏洞空间维度分析与量化评估
• 6.1 安全漏洞空间维度分析
• 6.1.1 安全漏洞关联关系定义
• 6.1.2 关联攻击关系建立
• 6.1.3 安全漏洞空间网络结构
• 6.2 安全漏洞空间维度的量化评估
• 6.2.1 安全漏洞的网络中心性
• 6.2.2 空间维度的评估计算方法
• 6.2.3 权重的确定
• 6.2.4 安全漏洞空间关联风险的无量纲化
• 6.3 分步实例验证
• 6.3.1 实例网络环境
• 6.3.2 实验网络中安全漏洞空间网络结构
• 6.3.3 安全漏洞的空间关联风险计算
• 7 安全漏洞综合评估结果
• 结论
• 参考文献
• 攻读硕士学位期间发表学术论文情况
• 致谢