淺談模糊判斷在網絡安全風險評估中的應用研究論文
引言
模糊判斷綜合評價方法在網絡安全風險評估中是針對多種影響因素進行安全評價的一種方法，其運用模糊數學原理對具有一定模糊性的事物進行系統的分析評價，是在模糊推理基礎上進行的定量定性判斷，也是精確判斷與非精確判斷方法的統一體，極大程度上解決了評估指標單一或者評估過程不甚合理等網絡安全風險評估問題。
一、問題的提出
眾所周知，網絡信息系統是非常復雜的，可能會受到各方面條件的限制，某個運作階段環境、科學技術條件、網絡系統本身問題等因素的不足都會造成網絡系統安全漏洞的存在，為不法分子提供進行網絡系統侵害的漏洞，對網絡安全造成威脅。此外，網絡本身的開放性和系統的脆弱性也會帶來一定的信息風險。所以，要想全面地解決網絡信息安全問題，及時地解決網絡系統可能存在的各種未知或已知風險，需要對網絡系統有一個全面的掌握與了解，對系統進行有效地安全風險評估分析，降低網絡風險對系統安全的影響; 并且盡可能地預測將來一段時間內，網絡系統可能會形成的漏洞或遭受的攻擊，并以此為依據，建立安全完善的網絡信息安全防護系統及安全隱患解決措施體系。
二、評估信息的原則與方法
網絡安全風險評估過程紛繁復雜，系統運行的主機、環境、管理等的安全防護及必要的網絡安全、危險應急體系都具有非常大的影響，在如此廣泛的網絡安全影響范圍內，要想保證整個網絡系統的安全運行，必須詳細地了解網絡系統的方方面面的問題，對系統形成一個全面的網絡信息風險評估。并且，要想完美得做到網絡安全防護，還需要對網絡系統的整體構架和運行方式認識清楚，并進行全面的網絡系統實踐調研，通過各種高科技綜合技術手段獲得更多更完善的安全風險信息。
( 一) 評估信息獲取原則
網絡安全風險評估信息獲取不同于在信息傳輸過程中的信息獲取，主要是針對的網絡系統風險評估分析過程中的各種信息進行篩選，進而及時準確地獲得這些信息，同時這也是保證網絡風險信息評估的基本正確性與高度精確性的前提。在準確地獲取信息傳輸過程中所需信息，直接關系到網絡系統安全風險評估及信息管理工作的高質量進行，所以，我們在進行網絡的安全評估信息獲取時，必須堅持全面、準確、時效的基本原則，以能夠系統完善及時地獲取相關的準確信息，防止網絡安全隱患的發生。
( 二) 評估方法
對于網絡安全評估，其評估方法使決定風險評估效率的重要因素之一，直接貫穿于整個網絡風險評估的各個環節，甚至會嚴重影響到風險評估的最終結果。所以，我們在獲取網絡信息安全風險評估信息時，必須依照網絡系統的運行具體情況，科學合理地選擇相應的評估方法。一般來說，常見的評估方法可以基本分為三類，即定量分析方法、定性分析方法和定量、定性兩種角度相結合的風險分析方法。通過對風險信息的多角度、全方位評估，對于數量方法在網絡信息科學及目前社會科學中的應用，我們需要重新進行思考與定位，以在網絡安全風險評估應用的決策問題上，將精確的數學分析與基本的人類思維決策規律有效地結合運用，并在此基礎上，發展出了更為準確、全面的層次分析方法。
三、網絡安全風險評估模型
( 一) 網絡安全風險評估要素
對網絡安全進行風險評估，主要要從資產評估、威脅評估及脆弱性評估三方面進行綜合的識別評價，以建立完備的網絡風險等級、評估方法原則以及科學安全防患措施體系，及時準確的確定網絡風險的存在于等級大小。所以，我們在進行網絡安全風險評估時，要從安全風險的角度對網絡信息系統資產、威脅與脆弱性三個至關重要的元素進行衡量，以保障網絡系統的整體安全性運行。其中，需要我們對其明確地了解與注意的是風險、資產、威脅、脆弱點等幾個重點概念: 風險即某些網絡系統特定威脅有可能發生的概率，并且會產生相應的綜合結果，具有潛在威脅性; 資產是網絡系統中具有一定價值的軟件、硬件、信息等資源; 威脅是有可能對資產造成一定損害的可能發生的意外事件; 脆弱點是網絡系統資產中可能會被威脅利用的脆弱部分。
( 二) 資產評估
資產評估主要是以企業的整體運作有相關性的安全資產進行的風險評估過程，通過對資產安全性的評估以及網絡系統的安全需求，及時篩選出對企業直觀重要的資產項目，避免這些可能會威脅到企業的資產出現安全性問題。對于資產評估，需要從資產的價值與重要性兩方面進行評估，價值評估是評估有形的資產的整體或部分價值，重要性則值得是資產及其安全屬性對企業的影響作用，通過資產評估可以了解企業中重要資產的有效價值和重要性，并對企業內部的資產進行合理有效的管理，以準確地確定相應的漏洞掃描設備的安裝位置。
( 三) 威脅評估
網絡系統的安全威脅對整個網絡運作體系都是十分關鍵的，極有可能造成企業的信息資產的重大損失，造成一些不可挽回的資產安全事故。我們在獲取網絡安全因子過程中，經常綜合使用顧問訪談、IDS 取樣、人工評估以及模擬入侵測試等手段，依據具體情況采取合適的威脅評估手段，進行策略分析與安全審計，在了解相關的網絡安全組織信息環境的同時，針對安全威脅使用不同的半定量賦值標識安全威脅的不同強度。對網絡安全威脅的評估主要可以從重要財產與其價值的安全要求確定、資產薄弱環節的明確、威脅損壞能力的分析、受到威脅攻擊的代價分析、解決威脅措施費用要求等方面實施。
( 四) 脆弱性評估
網絡安全系統的脆弱性表現在其自身缺陷形成的安全漏洞上，包括網絡漏洞的信息掃描、收集、安全事件的相關信息收集以及網絡系統漏洞的風險結果評估等，通過對企業網絡脆弱性掃描結果，可分析出企業的相關設備及其服務系統存在的安全風險，得出不同的網絡服務設備風險值，并結合相應的資產占據總資產價值權重以及服務系統的風險等級，以得到最終的網絡信息資產服務的漏洞風險值。
四、評估方法
( 一) 傳統評估方法
我們通常使用的傳統的網絡安全風險評估方法是以簡單的數學模型為基礎的，并依此來計算網絡安全的風險值，可根據“風險= 威脅值+ 脆弱值+ 資產值; 風險= 威脅值·脆弱值·資產值”進行邏輯計算，進而評估網絡安全風險值。
( 二) 模糊判斷的評估方法
為了計算出準確的風險值，需要針對各個風險組成要素進行單獨計量，現有的網絡風險評估方法是使用數字指標作為簡單的分界線，分成兩個不同的級別，但各風險要素的風險賦值是非連續性的'，相對比較離散，所以具有非常大的風險主觀性，同時會造成更多的不精確性。通過模糊判斷的評估方法對網絡安全風險進行分析研究，可以較大程度地解決安全評估的模糊性問題，也在一定程度上緩解了定性定量難題。模糊判斷模型通過借鑒模糊數學的相關方法，得到的結果直觀簡單，而且對影響因素及影響精度考慮全面，最大限度上消除了評估的主觀性帶來的普遍誤差，將復雜的評估工作變得更為方便、容易。這種評估方法在實際運用過程中，首先要確定隸屬函數以刻畫模糊界限及風險等級; 其次要建立出關系模糊矩陣，對安全風險的各單項評估指標進行分別評價; 接下來建立權重模糊矩陣; 最后，通過模糊綜合的評價算法進行風險值計算評估。
五、模糊判斷在網絡安全風險評估中的應用
模糊判斷評價方法適合于在不確定因素較多的網絡系統安全評估工作中應用，其中校園網路便是十分常見的適用實例。在校園網絡系統應用中，首先要綜合考慮對校園網絡安全具有影響的各種因素，建立完善的網絡安全評價體系; 然后通過對每個指標的風險評價指標確定相應的隸屬函數，確定模糊運算的模糊界限，同時根據其離散型特點進行資產等級劃分。因此，在這一基礎上，對資產的隸屬函數進行定義，可根據資產等級進行劃分，也可根據評估對象及其具體的威脅值與脆弱性進行定義，同時建立相應的關系模糊矩陣和權重模糊矩陣，并依據矩陣結果進行計算分析，進而可知校園網絡安全系統中具有的危險系數等級，
結語
綜上所述，模糊判斷方法在網絡安全評價體系中具有較大的實用價值，適用于復雜的多指標影響、大系統的網絡中，具有直觀、簡單的優勢。但在實際應用中，我們仍需要綜合考慮風險評估的實際情況及各項影響指標風險值，并結合傳統的風險評估方法，在層次分析法的基礎上，實現最高效的模糊判斷網絡安全評估模型，并科學合理地應用于企業的網絡安全服務系統，以取得符合企業發展意愿的良好結果。
【淺談模糊判斷在網絡安全風險評估中的應用研究論文】相關文章：
審計風險評估論文03-07
施工風險評估的論文05-12
網絡安全風險的評估及其關鍵技術決議論文08-03
關于建筑雷擊風險評估論文06-01
教學中的應用研究教學中的應用研究論文06-25
基坑工程施工的風險評估研究論文11-05
市級雷電災害風險評估探討論文04-26
關于協同效應價值判斷評估論文04-27
淺談企業風險管理論文04-01