网络安全风险可视化应用研究

网络安全风险可视化应用研究

摘要：针对目前网络安全态势全局信息掌握的不足，建立网络环境下的安全态势显示模型，基于全局网络定位（GNP思想），通过网络拓扑的坐标化来实现网络风险场的构建，利用主机风险评估技术和网络环境下的风险融合技术，研究网络环境下的风险态势可视化，为网络管理员全局掌握网络安全风险态势，提供直观的安全态势视图，为风险阻断和策略制定提供辅助。

关键词：全局网络定位；网络安全；风险可视 中图分类号：TP393文献标识码：A文章编号：1009-3044(2011)13-3028-04

Network Security Risk Fusion Model Based on Data Field TU Hang1, SHE Xin-he2, YANG Can2

(1.Computing Technology Institute of China Navy, Beijing 100086, China;2.No.96411 Army PLA, Baoji 721006, China) Abstract: As there are shortcomings of current network security risk evaluation based on global information, we build a new network security risk amalgamation model which evaluates network security factors from local to global. Based on the fuzzy evaluation and stastitical analysis, we use

GNP(Global Network Position) to plot network topology, and then according to add all the relevant factors between important nodes with weight, we implement risk amalgamation effect of relevant nodes under the idea of Data Field. After building the Data Field, we found that our new model could reflect the law of risk amalgation correctly, and control the tendency of the global network security risk, and supply a straighter graph of security tendency for administrators to terminate risk propagation and set policies.

Key words: risk evaluation; global network position; risk field; security tendency

网络安全风险评估是信息系统安全保障体系建立过程中的重要的评估方法和决策机制，作为指定和调整安全策略的基础和前提，既是实施网络信息系统安全等级保护的前提，又是信息系统安全建设和安全管理的基础工作。目前主要的定量评估方法有故障树法、层次分析法、模糊评判法、贝叶斯网络概率分析法等，这些传统评估方式主要立足于现有模型对网络中个体评估，实施量化后进行简单的风险累加。在网络整体风险的融合和可视化方面，目前缺乏成熟的理论与模型。由于网络化时代的安全具有动态传播性和不可预测性，因此网络化背景下的网络安全必须使用网络化思维的方法。网络安全行为不能单纯依靠还原论的方法，把组件分解并分

别进行分析，这样只能是保护局部网络的利益而损失整体网络的利益。

如果将网络系统风险评估与网络整体拓扑有机结合起来，就能实现网络的风险评估从还原论走向整体论。本文以网络系统的几何空间定位和网络风险的融合与评估为出发点，基于网络全局定位思想，通过网络风险场的构建，把网络系统的整体风险置于整体的网络拓扑当中，能够为管理终用户实时准确的依据当前网络遭受的强度和风险等级等调整自己的防御策略，提供全局的可视化管理手段。 1 网络风险可视化模型

现实中的网络拓扑，并不是简单地由数学意义上的节点和边组成，它们都有具体丰富的物理含义。借鉴认知物理学中的场空间的概念，将节点之间的相互位置和相互作用通过场描述引入抽象的数域空间。通过可视化三维视图来展现网络拓扑中节点风险融合规律，实现网络环境的几何空间分布和风险汇聚与评估相结合，网络安全风险场的构建模型如图1所示。

网络安全风险可视化模型主要解决两个问题：网络拓扑的几何空间化和网络风险的融合实现与表达。网络风险的融合可通过基于数据场的思想实现，本文主要解决网络安全风险场的几何空间的点位与可视化，其主要思路可分为以下三个方面：

1) 确定数据对象。把信息系统网络拓扑看成一个数据集合，按照节点之间的空间点映射为一个数据对象。 2) 确定场分布。根据GNP思想计算网络空间节点的网络坐标，按照节点之间的空间位置分布确定节点之间的场空间位置。

3) 确定主机评估和网络风险融合方法，利用主流的评估模型计算单个节点风险量化值，采用数据场思想的势函数及其表达式。计算网络环境下的风险融合效果。

4) 网络环境风险的可视化，利用场空间的三维分布，实现该网络节点几何分布相对应的几何空间视图。 2 网络空间的几何定位 2.1 全局网络定位

网络拓扑的结构和性质对于寻找网络中的节点保护对象和病毒传播行为的影响非常重要，而风险又是与节点位置和距离相关的。网络中节点与节点的风险传递也是通过一定路径进行传播的，基于网络坐标的方式预测网络距离，网络距离最早由Ng等人提出，主要利用一组路标节点作为静态的集中探测点,基于迭代的非线性优化集中计算坐标位置。其理论基础是网络中节点间的距离(延迟等)大部分满足三角不等式，因此可以根据极少量的测量结果将节点映射到欧几里德空间中的一个点上,从而根据任意两个节点的坐标,就可以估算出他们之间的距离[7]（图1）。测量网络距离的最直接做

法就是利用ping或者traceroute等工具进行端到端的测量，本文以环回时延作为网络距离的度量。

由于考虑到网络中的几何主机坐标的计算是可扩展的，首先将整个系统结构分为两部分：第一部分包括少量被称为路标(1andmark)主机的分布式集合，首先在选定的几何空间中计算它们的坐标，以它们的坐标作为参考，并散布到任何想参与定位的主机中;第二部分包括任何主机只要拥有路标主机的坐标，就可以计算出自己与这些路标相关的坐标[9]。 为了更好的描述GNP思想,我们将网络空间模型化为一个几何坐标空间S，再将网络中的节点放入这个Ｎ维几何空间S中，那么在S中的主机H的坐标记为CH S，在这些坐标上求解距离的函数记为fS(?),计算出的主机H1和H2的距离fS(Ch1 S,Ch2 S )记为SH1H2 [13]。 2.1.1 路标主机坐标确定

首先在网络中找出一些主机节点作为路标

（Landmark）,如图2，L1,…LN,目的是为网络其他主机提供参数坐标，以便为S中的其他主机确定各自的坐标。利用ICMP ping包测量这些路标节点间的往返时间（RTT），作为它们之间的实测网络距离。然后使用测量的距离dLiLj(i＞j)的一个主机来计算路标在S中的坐标。目的是使得测量的距离与S中计算距离的整体误差最小。构造目标函数fobjl(?)以确定一系列路标在N维坐标系中的坐标CL1S,…,ClnS。