没有合适的资源?快使用搜索试试~ 我知道了~
随着人们对网络系统全面和客观认识的不断提高,网络系统安全度量(NSSM)正在得到更多的研究和应用。目前,网络系统安全量化评价正朝着精确化和客观化发展。NSSM可以为攻防对抗以及应急响应决策提供客观和科学的依据,其中网络系统安全全局度量是安全度量领域的重点。从全局度量的角度,分析总结了全局度量在网络系统安全中的地位和作用,归纳总结了度量的3个发展阶段(感知、认识、深化)及其特点,给出了全局度量的工作过程,梳理了度量模型、度量体系、度量工具等方法,并指出了各自的特点及其在安全度量中的作用和相互关系。同时详尽地分析了网络系统全局度量面临的技术挑战,并以表格方式总结了十大机遇与挑战。最后展望了网络系统安全度量研究的下一步方向与发展趋势。分析表明,NSSM在网络安全中具有良好的应用前景。
资源推荐
资源详情
资源评论
2019 年 6 月 Journal on Communications June 2019
2019148-1
第 40 卷第 6 期 通 信 学 报 Vol.40
No.6
网络系统安全度量综述
吴晨思
1
,谢卫强
1,2
,姬逸潇
1,2
,杨粟
1
,贾紫艺
1
,赵松
1,2
,张玉清
1,2
(1. 中国科学院大学国家计算机网络入侵防范中心,北京 101408;
2. 西安电子科技大学网络与信息安全学院,陕西 西安 710071)
摘 要:随着人们对网络系统全面和客观认识的不断提高,网络系统安全度量(NSSM)正在得到更多的研究和
应用。目前,网络系统安全量化评价正朝着精确化和客观化发展。NSSM 可以为攻防对抗以及应急响应决策提供
客观和科学的依据,其中网络系统安全全局度量是安全度量领域的重点。从全局度量的角度,分析总结了全局度
量在网络系统安全中的地位和作用,归纳总结了度量的 3 个发展阶段(感知、认识、深化)及其特点,给出了全
局度量的工作过程,梳理了度量模型、度量体系、度量工具等方法,并指出了各自的特点及其在安全度量中的作
用和相互关系。同时详尽地分析了网络系统全局度量面临的技术挑战,并以表格方式总结了十大机遇与挑战。最
后展望了网络系统安全度量研究的下一步方向与发展趋势。分析表明,NSSM 在网络安全中具有良好的应用前景。
关键词:网络系统;安全度量;安全评估;全局度量
中图分类号:TP393
文献标识码:A
doi: 10.11959/j.issn.1000−436x.2019148
Survey on network system security metrics
WU Chensi
1
, XIE Weiqiang
1,2
, JI Yixiao
1,2
, YANG Su
1
, JIA Ziyi
1
, ZHAO Song
1,2
, ZHANG Yuqing
1,2
1. National Computer Network Intrusion Protection Center, University of Chinese Academy of Sciences, Beijing 101408, China
2. School of Cyber Engineering, Xidian University, Xi’an 710071, China
Abstract: With the improvement for comprehensive and objective understanding of the network system, the research and
application of network system security metrics (NSSM) are noticed more. The quantitative evaluation of network system se-
curity is developing towards precision and objectification. NSSM can provide the objective and scientific basis for the con-
frontation of attack-defense and decision of emergency response. The global metrics of network system security is a crucial
point in the field of security metrics. From the perspective of global metrics, the status and role of global metrics in security
evaluation were pointed out. Three development stages of metrics (perceiving, cognizing and deepening) and their character-
istics were analyzed and summarized. The process of global metrics was described. The metrics models, metrics systems and
metrics tools were analyzed, and their functions, interrelations, and features in security metrics were pointed out. Then the
technical challenges of global metrics of network systems were explained in detail, and ten opportunities and challenges were
summarized in tabular form. Finally, the next direction and development trend of network system security metrics research
were forecasted. The survey shows that NSSM has a good application prospect in network security.
Key words: network system, security metrics, security evaluation, global metrics
收稿日期:2019−03−22;修回日期:2019−06−04
通信作者:张玉清,zhangyq@nipc.org.cn
基金项目:国家重点研发计划基金资助项目(No.2016YFB0800700);国家自然科学基金资助项目(No.U1836210,
N
o.61572460);信息安全国家重点实验室开放课题基金资助项目(No.2017-ZD-01);国家发改委信息安全专项基金资助项目
(No.(2012)1424)
Foundation Items: The National Key R & D Program of China (No.2016YFB0800700), The National Natural Science Foundatio
n
of China (No.U1836210, No.61572460), The Open Project Program of the State Key Laboratory of Information Security
(No.2017-ZD-01), The National Information Security Special Projects of National Development and Reform Commission of Chin
a
(No.(2012)1424)
第 6 期 吴晨思等:网络系统安全度量综述 ·15·
1 引言
网络系统安全的重要性日益突出,其安全问题
已经被提到战略性高度。提高人们对网络系统整体
安全性认知的准确性,可以更好地保障网络系统安
全且能够有效应对未知问题
[1]
。对网络系统安全状
况进行客观、全面的认知比以往任何时候都显得更
重要、更迫切。
目前,人们对网络系统安全的认知主要有管
理安全和技术安全 2 个角度。网络系统管理安全
是对人们管理网络系统活动中涉及的安全性因素
的分析,如制度建设、流程控制、日常操作等;
网络系统技术安全是对网络安全技术及系统安全
属性(可用性、完整性和机密性等)进行再认识,
以更科学地评价安全性。本文主要讨论技术安全
范围内的内容。
网络系统安全性评价分为定性评价与定量评
价。安全性定性评价依据知识、经验等资料,通过
观察、分析、归纳等方法对网络系统的安全状况做
出判断,一般以安全级别等非数值化的形式呈现结
论;安全性定量评价依据数学模型和数量指标,通
过分析、量化等方法对网络系统安全状况做出判
断,一般以数值化的形式呈现结论
[2]
。相比于定量
评价,网络系统安全性定性评价稍侧重主观判断。
随着网络系统复杂性的增加,人们需要更科
学、更直观地分析安全性,因此对网络系统安全定
量分析也产生了新的要求,即以客观化数值来描述
系统的安全性。量化评价朝着更精确化、更客观化
发展,从而有效提升了评价结果的严密度和可信度
[3]
,
进而形成了安全度量(security metrics)。因此,为
增强评估结果的客观性,一些量化安全评估问题的
研究也朝着安全度量转变
[4-6]
。
目前,安全度量没有标准的定义。IEEE 术语标
准辞典给出:度量是对一个系统、构件或过程具有
的某个给定属性的度的一个定量测量
[7]
。所以,人
们可以认为安全度量是基于某一尺度衡量安全性
和保护数据的一种有效过程
[8]
。网络系统需要量化
与系统安全质量相关的安全要素,如脆弱性、风险、
攻击、防御等,用于表征、描述或预测系统安全的
信任程度
[9]
。为了使度量结果具有可比性,将网络
系统的最小安全保证设置为安全基线(security
baseline),且安全基线随着网络系统规模的变化而
变化。将度量结果与安全基线进行比较,可以了解
网络系统不同时段的安全状况
[10]
。安全度量的主要
目的是发现安全要素间的相互联系、相互作用,有
助于深入理解网络系统安全,其对增强网络系统安
全的认知至关重要。安全度量通过量化复杂的安全
活动、分析相关数据,能够确定系统优势和劣势,
降低部署成本,是客观分析网络系统安全性的关键
手段
[11]
。
与安全度量容易混淆的是安全测量(security
measure)、安全测度(security measurement)。安全
测量只是获取安全要素的直观原始数据;安全测度
则是通过量化安全问题空间,使用以百分数、频率、
平均数或其他相似术语对具体定量的安全指标进
行数字化的描述
[12]
。安全度量进一步利用安全测度
得到的数据,通过比较或计算等方法来分析安全要
素的变化,深入挖掘系统安全情况,准确反映网络
系统安全的各个方面。之后利用安全度量得到的安
全要素的相关值来确定网络系统的安全程度并制
定安全策略。
网络系统安全度量(NSSM, network system
security metrics)对网络系统中的安全要素进行客观
分析,给出网络系统安全性的综合性或某个方面的
描述。根据安全指标维度大小,当把具体网络系统
看成一个整体时,维度相对最大,涉及的安全要素
也最多,对整体度量表现为全局度量(GM, global
metrics)。GM 是 NSSM 的重要组成部分,参照度
量基线能跟踪网络系统安全性变化。GM 反映的是
网络系统安全程度。针对网络系统中指定对象的度
量,如主机脆弱性程度、网络风险大小、业务子系
统安全程度等,可以看作对系统局部的度量。局部
度量(local metrics)的维度可扩展,其结果在一定
维度上能代表全局度量说明网络系统的安全性,但
缺少客观性、全局性。
网络系统安全度量是网络系统安全分析工作
的重点与难点。目前,人们对网络系统安全度量方
法的研究仍处于探索阶段,相关问题还未形成统一
的认识。
鉴于网络系统安全度量对网络安全的积极作
用,本文将主要围绕全局度量,对网络系统安全
全局度量问题的发展历程、现状(度量过程、度
量方法)、未来(挑战、展望)进行综述,具体贡
献如下。
1) 从客观量化的角度,对网络系统安全度量相
关概念进行了梳理。按照人们的理解,总结了度量
2019148-2
·16· 通 信 学 报 第 40 卷
的发展历程,首次将其划分为 3 个阶段。
2) 对网络系统安全全局度量过程进行了总结,
分析了全局度量过程中每一步骤的作用,为标准化
网络系统安全度量提供参考。
3) 对网络系统安全全局度量方法进行了梳
理,包括度量模型、度量体系、度量工具,阐述
了各自的特点,指出了它们在全局度量方法中所
起到的作用。
4) 探讨了网络系统安全度量目前的机遇与挑
战,并在此基础上给出了网络系统安全度量下一步
的研究方向。
2 度量发展阶段
安全度量的发展伴随着安全评估的发展,全局
度量蕴于度量之中。经过 30 多年的发展,全局度
量开始逐渐显现。本文依据度量方法或过程的复杂
性,对全局度量发展过程中具有里程碑性质的节点
进行了梳理,得到发展历程如图 1 所示。以对网络
系统安全度量认识程度为主线,将度量主要分为 3
个阶段:感知度量阶段、认识度量阶段、深化度量
阶段。这也是第一次在时间上对度量发展进行分段
总结。
2.1 感知度量阶段
感知度量阶段,人们对度量的存在形式有了初
步理解与认识,但对网络系统安全度量这一概念的
整体反映属于浅显的层次。特点是主观性强,认识
不够深刻。这一阶段人们所理解的网络系统安全性
度量主要是以安全测量和简单量化的形式,对数据
进行单一的统计计算。人们从实际中总结经验,通
过制定安全准则来规定系统应达到的安全性。依据
安全体系,以度量脆弱性为主来说明系统的安全
性。大部分工作都是通过手工进行的,安全性量化
分析效率较低。随着网络系统规模的增大,分析工
作量越来越大,且很容易出现疏漏。自动化的分析
技术及工具应运而生。网络扫描技术是早期用来分
析网络安全性的技术,现在依然不断地进行改进与
发展
[20]
,如 Satan
[21]
、Nessus
[22]
、Nmap
[20]
等。受限
于此阶段网络技术发展的情况,表面上简单的度量
安全性即可满足当时的量化分析需求。
2.2 认识度量阶段
认识度量阶段,学者们开始对网络系统安全度
量深入理解、赋予意义并做出进一步的解释。表现
为研究安全要素的度量,提出了多种度量方法。此
阶段以粗略度量为主,如风险度量、攻击度量,并
以此代表系统整体度量。度量的实际操作是由安全
分析人员基于其自身知识和经验印象而进行的,偏
主观因素,网络系统安全性不能得到完全客观的反
映
[23]
。不过人们的观念相较于感知阶段有了重大变
化。人们开始对全局度量有所认识,由重视度量过
程转为重视全局指标体系建设。Villarrubia 等
[14]
提
出的一系列用于对安全指标进行分类的特性很具
有参考价值,指出指标的质量及指标量化的质量好
坏对度量结果影响较大。
认识度量阶段主要存在的问题是人们将一部
分指标测度研究认为是对系统的度量研究,这是因
为对度量理解不够准确。美国国家标准与技术研究
院(NIST, National Institute of Standards and Tech-
nology)在 2008 年发布的《信息安全性能测量指南》
取代了旧版的度量指南
[15]
,国际标准信息安全管理
测量 ISO/IEC 27004 于 2009 年发布
[24]
。2 个文献的
更改与发布一方面说明了人们对测度与度量区别
的认识有所深入;另一方面也反映了网络系统整体
图 1 度量发展历程
201
9
148-3
剩余17页未读,继续阅读
资源评论
weixin_38708841
- 粉丝: 3
- 资源: 945
上传资源 快速赚钱
- 我的内容管理 展开
- 我的资源 快来上传第一个资源
- 我的收益 登录查看自己的收益
- 我的积分 登录查看自己的积分
- 我的C币 登录后查看C币余额
- 我的收藏
- 我的下载
- 下载帮助
最新资源
- 2024年新的全的2024年新的全的《建设工程造价鉴定规范》GBT51262-2017
- SimHei字体包(支持中文,正负号等)
- 基于Django+MySQL实现的校园智能点餐系统源码+数据库(高分项目)
- 基于Django实现校园智能点餐系统源码+数据库(高分期末大作业)
- 知识付费pc付费模板系统知识付费付费模板
- ARM Developer Guide
- Lazarus IDE 3.3-Free Pascal Windows版本
- 20190312-180244-旋转磁体产生的场造成激光功率减小
- 个人课程设计基于PCA和滑动窗口的网络入侵检测系统源码+项目说明.zip
- 基于尺度空间流的端到端视频压缩优化方法
资源上传下载、课程学习等过程中有任何疑问或建议,欢迎提出宝贵意见哦~我们会及时处理!
点击此处反馈
安全验证
文档复制为VIP权益,开通VIP直接复制
信息提交成功