[发明专利]基于博弈论的网络中资产的安全风险评估方法

摘要

基于博弈论的网络中资产的安全风险评估方法，通过博弈论构建了系统管理员和攻击方在每个漏洞上进行博弈的评估模型，系统管理员对漏洞有进行关注和忽略的选择，而攻击者则对该漏洞有进行攻击或不攻击的选择，从双方的收益情况进行分析，无论是系统管理员还是攻击者都不能通过选择一个行动保证博弈达到平衡，因此双方需要通过混合的策略使得收益最大，根据博弈模型推导出了系统管理员和攻击者在博弈达到平衡时的策略，然后得到了资产的风险程度；本发明的优点是能够结合漏洞库信息实现对网络中资产的风险进行分析，并能为整体的网络安全风险评估提供支持。

主权项

1.基于博弈论的网络中资产的安全风险评估方法，其特征在于，包括以下步骤：步骤1，构建资产风险分析的博弈模型，具体做法是：将对漏洞进行防御和攻击看做是一个博弈，那么博弈的双方是系统管理员和攻击者；对于每个漏洞，系统管理员的选择是忽略和关注，而攻击者选择的是攻击或者不攻击；然后考虑双方行动的收益，最终找到该博弈的均衡点，实现对该漏洞被攻击的可能性进行分析，然后将该资产上所有的漏洞被利用可能带来的风险进行综合考虑，计算该资产上的总体风险；步骤2，利用步骤1构建的博弈模型计算攻击者的收益，具体做法是：通过系统管理员对漏洞vi的关注情况计算攻击者的收益，当攻击者选择攻击该漏洞时的收益为pfe‑i可用公式(2)表示，pf_e‑i＝p_i·(‑c_atk‑i)+(1‑p_i)·(prt_i‑c_atk‑i)        (2)式中：pf_e‑i——攻击者利用漏洞v_i获得的收益，p_i——系统管理员关注漏洞v_i的概率，c_atk‑i——攻击者攻击漏洞v_i投入的成本，prt_i——攻击者利用漏洞v_i成功获得的利益，而任何情况下攻击者都选择不攻击漏洞vi的收益pfne‑i显然是0，当系统管理员和攻击者的博弈达到均衡时，意味着采取混合策略的攻击者选择对漏洞vi或不利用都可获得相同的收益，即得到公式(3)，p_i·(‑c_atk‑i)+(1‑p_i)·(prt_i‑c_atk‑i)＝0            (3)式中：p_i——系统管理员关注漏洞v_i的概率,c_atk‑i——攻击者攻击漏洞v_i投入的成本,prt_i——攻击者利用漏洞v_i成功获得的利益；由此可得到系统管理员对漏洞vi关注的概率pi，其计算方法由公式(4)表示，式中：p_i——系统管理员关注漏洞v_i的概率，c_atk‑i——攻击者攻击漏洞v_i投入的成本，prt_i——攻击者利用漏洞v_i成功获得的利益；步骤3，通过攻击者对漏洞vi进行攻击的情况来计算系统管理员的收益，当系统管理员选择关注该漏洞时，其收益pfa‑i可由公式(5)表示，pf_a‑i＝q_i·(‑c_adm‑i)+(1‑q_i)·(‑c_adm‑i)           (5)式中：pf_a‑i——系统管理员关注漏洞v_i获得的收益，q_i——攻击者利用漏洞v_i的概率，c_adm‑i——系统管理员关注漏洞v_i投入的成本，当系统管理员选择忽略漏洞vi时，其收益pfna‑i可用公式(6)来表示，pf_na‑i＝q_i·(‑l_i)+(1‑q_i)·0               (6)式中：pf_na‑i——系统管理员忽略漏洞v_i获得的收益，q_i——攻击者利用漏洞v_i的概率，l_i——系统管理员由于漏洞v_i被攻击者成功利用遭受的损失，参照攻击者的行为模式来分析系统管理员的行为，可得到，若博弈达到平衡时，系统管理员无论采取何种行动所取得的收益是相等的，即pfa‑i和pfna‑i是相等，所以可以得到攻击者攻击漏洞vi的概率qi的计算公式(7)，式中：l_i——系统管理员由于漏洞v_i被攻击者成功利用遭受的损失，q_i——攻击者利用漏洞v_i的概率，c_adm‑i——系统管理员关注漏洞v_i投入的成本，漏洞vi被攻击而发生安全事件是由于于系统管理员忽略该漏洞，同时攻击者对该漏洞进行了攻击，设这个为事件为Ei，可以得到资产a上针对漏洞v_i的概率P(Ei)如公式(8)，式中：E_i——漏洞v_i被攻击者成功利用的事件,c_atk‑i——攻击者攻击漏洞v_i投入的成本，c_adm‑i——系统管理员关注漏洞v_i投入的成本，l_i——系统管理员由于漏洞v_i被攻击者成功利用遭受的损失，prt_i——攻击者利用漏洞v_i成功获得的利益，如果资产A上的每个漏洞v_i被攻击者发现的机会是等同的，因此利用每个漏洞v_i被发现的概率为1/n，若发现漏洞vi的事件为Di，利用漏洞发生安全事件的事件为Ei，则发现漏洞vi并利用该漏洞v_i成功的概率P(DiEi)可由贝叶斯公式(9)计算，P(D_iE_i)＝P(E_i|D_i)·P(D_i)               (9)式中：D_i——攻击者发现漏洞v_i的事件，E_i——漏洞v_i被攻击者成功利用的事件，若将攻击者发现漏洞vi和漏洞vi被攻击者成功攻击看作是相互独立的事件，则有公式(10)，P(D_iE_i)＝P(E_i)·P(D_i)                 (10)式中：D_i——攻击者发现漏洞v_i的事件，E_i——漏洞v_i被攻击者成功利用的事件，结合公式(9)和(10)，得到漏洞vi被发现，并被攻击成功产生风险的概率的计算公式(11)，式中：D_i——攻击者发现漏洞v_i的事件，E_i——漏洞v_i被攻击者成功利用的事件，c_atk‑i——攻击者攻击漏洞v_i投入的成本，c_adm‑i——系统管理员关注漏洞v_i投入的成本，l_i——系统管理员由于漏洞v_i被攻击者成功利用遭受的损失，prt_i——攻击者利用漏洞v_i成功获得的利益，n——被评估资产上的漏洞数，结合所有漏洞被攻击产生影响，可以得到资产A的风险计算公式(12)，式中：c_atk‑i——攻击者攻击漏洞v_i投入的成本，c_adm‑i——系统管理员关注漏洞v_i投入的成本，l_i——系统管理员由于漏洞v_i被攻击者成功利用遭受的损失，prt_i——攻击者利用漏洞v_i成功获得的利益，n——被评估资产A上的漏洞数，imp_i——漏洞i的影响程度，r_A——被评估资产A的风险程度；步骤4若imp_i的取值范围为[0,Risk_max]，则针对计算得到的资产A的风险值r_A，按照下表进行对资产A的风险程度的判断: