淺談模糊判斷在網路安全風險評估中的應用研究論文
引言
模糊判斷綜合評價方法在網路安全風險評估中是針對多種影響因素進行安全評價的一種方法，其運用模糊數學原理對具有一定模糊性的事物進行系統的分析評價，是在模糊推理基礎上進行的定量定性判斷，也是精確判斷與非精確判斷方法的統一體，極大程度上解決了評估指標單一或者評估過程不甚合理等網路安全風險評估問題。
一、問題的提出
眾所周知，網路資訊系統是非常複雜的，可能會受到各方面條件的限制，某個運作階段環境、科學技術條件、網路系統本身問題等因素的不足都會造成網路系統安全漏洞的存在，為不法分子提供進行網路系統侵害的漏洞，對網路安全造成威脅。此外，網路本身的開放性和系統的脆弱性也會帶來一定的資訊風險。所以，要想全面地解決網路資訊保安問題，及時地解決網路系統可能存在的各種未知或已知風險，需要對網路系統有一個全面的掌握與瞭解，對系統進行有效地安全風險評估分析，降低網路風險對系統安全的影響; 並且儘可能地預測將來一段時間內，網路系統可能會形成的漏洞或遭受的攻擊，並以此為依據，建立安全完善的網路資訊保安防護系統及安全隱患解決措施體系。
二、評估資訊的原則與方法
網路安全風險評估過程紛繁複雜，系統執行的主機、環境、管理等的安全防護及必要的網路安全、危險應急體系都具有非常大的影響，在如此廣泛的網路安全影響範圍內，要想保證整個網路系統的安全執行，必須詳細地瞭解網路系統的方方面面的問題，對系統形成一個全面的網路資訊風險評估。並且，要想完美得做到網路安全防護，還需要對網路系統的整體構架和執行方式認識清楚，並進行全面的網路系統實踐調研，透過各種高科技綜合技術手段獲得更多更完善的安全風險資訊。
( 一) 評估資訊獲取原則
網路安全風險評估資訊獲取不同於在資訊傳輸過程中的資訊獲取，主要是針對的網路系統風險評估分析過程中的各種資訊進行篩選，進而及時準確地獲得這些資訊，同時這也是保證網路風險資訊評估的基本正確性與高度精確性的前提。在準確地獲取資訊傳輸過程中所需資訊，直接關係到網路系統安全風險評估及資訊管理工作的高質量進行，所以，我們在進行網路的安全評估資訊獲取時，必須堅持全面、準確、時效的基本原則，以能夠系統完善及時地獲取相關的準確資訊，防止網路安全隱患的發生。
( 二) 評估方法
對於網路安全評估，其評估方法使決定風險評估效率的重要因素之一，直接貫穿於整個網路風險評估的各個環節，甚至會嚴重影響到風險評估的最終結果。所以，我們在獲取網路資訊保安風險評估資訊時，必須依照網路系統的執行具體情況，科學合理地選擇相應的評估方法。一般來說，常見的評估方法可以基本分為三類，即定量分析方法、定性分析方法和定量、定性兩種角度相結合的風險分析方法。透過對風險資訊的多角度、全方位評估，對於數量方法在網路資訊科學及目前社會科學中的應用，我們需要重新進行思考與定位，以在網路安全風險評估應用的決策問題上，將精確的數學分析與基本的人類思維決策規律有效地結合運用，並在此基礎上，發展出了更為準確、全面的層次分析方法。
三、網路安全風險評估模型
( 一) 網路安全風險評估要素
對網路安全進行風險評估，主要要從資產評估、威脅評估及脆弱性評估三方面進行綜合的識別評價，以建立完備的網路風險等級、評估方法原則以及科學安全防患措施體系，及時準確的確定網路風險的存在於等級大小。所以，我們在進行網路安全風險評估時，要從安全風險的角度對網路資訊系統資產、威脅與脆弱性三個至關重要的元素進行衡量，以保障網路系統的整體安全性執行。其中，需要我們對其明確地瞭解與注意的是風險、資產、威脅、脆弱點等幾個重點概念: 風險即某些網路系統特定威脅有可能發生的機率，並且會產生相應的綜合結果，具有潛在威脅性; 資產是網路系統中具有一定價值的軟體、硬體、資訊等資源; 威脅是有可能對資產造成一定損害的可能發生的意外事件; 脆弱點是網路系統資產中可能會被威脅利用的脆弱部分。
( 二) 資產評估
資產評估主要是以企業的整體運作有相關性的安全資產進行的風險評估過程，透過對資產安全性的評估以及網路系統的安全需求，及時篩選出對企業直觀重要的資產專案，避免這些可能會威脅到企業的資產出現安全性問題。對於資產評估，需要從資產的價值與重要性兩方面進行評估，價值評估是評估有形的資產的整體或部分價值，重要性則值得是資產及其安全屬性對企業的影響作用，透過資產評估可以瞭解企業中重要資產的有效價值和重要性，並對企業內部的資產進行合理有效的管理，以準確地確定相應的漏洞掃描裝置的安裝位置。
( 三) 威脅評估
網路系統的安全威脅對整個網路運作體系都是十分關鍵的，極有可能造成企業的資訊資產的重大損失，造成一些不可挽回的資產安全事故。我們在獲取網路安全因子過程中，經常綜合使用顧問訪談、IDS 取樣、人工評估以及模擬入侵測試等手段，依據具體情況採取合適的威脅評估手段，進行策略分析與安全審計，在瞭解相關的網路安全組織資訊環境的同時，針對安全威脅使用不同的半定量賦值標識安全威脅的不同強度。對網路安全威脅的評估主要可以從重要財產與其價值的安全要求確定、資產薄弱環節的明確、威脅損壞能力的分析、受到威脅攻擊的代價分析、解決威脅措施費用要求等方面實施。
( 四) 脆弱性評估
網路安全系統的脆弱性表現在其自身缺陷形成的安全漏洞上，包括網路漏洞的資訊掃描、收集、安全事件的相關資訊收集以及網路系統漏洞的風險結果評估等，透過對企業網路脆弱性掃描結果，可分析出企業的相關裝置及其服務系統存在的安全風險，得出不同的網路服務裝置風險值，並結合相應的資產佔據總資產價值權重以及服務系統的風險等級，以得到最終的網路資訊資產服務的漏洞風險值。
四、評估方法
( 一) 傳統評估方法
我們通常使用的傳統的網路安全風險評估方法是以簡單的數學模型為基礎的，並依此來計算網路安全的風險值，可根據“風險= 威脅值+ 脆弱值+ 資產值; 風險= 威脅值·脆弱值·資產值”進行邏輯計算，進而評估網路安全風險值。
( 二) 模糊判斷的評估方法
為了計算出準確的風險值，需要針對各個風險組成要素進行單獨計量，現有的網路風險評估方法是使用數字指標作為簡單的分界線，分成兩個不同的級別，但各風險要素的風險賦值是非連續性的'，相對比較離散，所以具有非常大的風險主觀性，同時會造成更多的不精確性。透過模糊判斷的評估方法對網路安全風險進行分析研究，可以較大程度地解決安全評估的模糊性問題，也在一定程度上緩解了定性定量難題。模糊判斷模型透過借鑑模糊數學的相關方法，得到的結果直觀簡單，而且對影響因素及影響精度考慮全面，最大限度上消除了評估的主觀性帶來的普遍誤差，將複雜的評估工作變得更為方便、容易。這種評估方法在實際運用過程中，首先要確定隸屬函式以刻畫模糊界限及風險等級; 其次要建立出關系模糊矩陣，對安全風險的各單項評估指標進行分別評價; 接下來建立權重模糊矩陣; 最後，透過模糊綜合的評價演算法進行風險值計算評估。
五、模糊判斷在網路安全風險評估中的應用
模糊判斷評價方法適合於在不確定因素較多的網路系統安全評估工作中應用，其中校園網路便是十分常見的適用例項。在校園網路系統應用中，首先要綜合考慮對校園網路安全具有影響的各種因素，建立完善的網路安全評價體系; 然後透過對每個指標的風險評價指標確定相應的隸屬函式，確定模糊運算的模糊界限，同時根據其離散型特點進行資產等級劃分。因此，在這一基礎上，對資產的隸屬函式進行定義，可根據資產等級進行劃分，也可根據評估物件及其具體的威脅值與脆弱性進行定義，同時建立相應的關係模糊矩陣和權重模糊矩陣，並依據矩陣結果進行計算分析，進而可知校園網路安全系統中具有的危險係數等級，
結語
綜上所述，模糊判斷方法在網路安全評價體系中具有較大的實用價值，適用於複雜的多指標影響、大系統的網路中，具有直觀、簡單的優勢。但在實際應用中，我們仍需要綜合考慮風險評估的實際情況及各項影響指標風險值，並結合傳統的風險評估方法，在層次分析法的基礎上，實現最高效的模糊判斷網路安全評估模型，併科學合理地應用於企業的網路安全服務系統，以取得符合企業發展意願的良好結果。