2022年电子技术应用第4期

潘 刚，米士超，郭荣华，黄丽刚，王金锁，李 凯

光电对抗测试评估技术重点实验室，河南 洛阳471003

摘要：

为有效解决网络攻击效果评估中对指标数据的过度依赖性，提高网络攻击效果评估的准确性，提出了一种基于攻击树和CVSS的网络攻击效果评估方法。首先，采用攻击树模型描述系统可能存在的攻击路径，并利用模糊层次分析法对各叶节点的发生概率进行求解；然后，基于CVSS漏洞信息建立网络攻击效果量化评估模型；最后，采用实例进行验证分析说明。该方法能够充分利用己有的攻击行为研究成果，评估结果较为客观，且思路清晰，算法简单，具有较强的通用性和工程应用价值。

关键词：

攻击树，模糊层次分析法，CVSS漏洞，网络攻击，效果评估

0 引言：

网络攻击效果评估就是对处于复杂网络环境下系统的安全性给出定性或定量的评价，并提出针对性的防护建议，促进系统安全性和可靠性的提升。当前研究成果主要通过攻击效果指标量化和相关评估算法构建来开展网络攻击效果评估研究，具体表现为：(1)基于层次分析法的网络攻击效果评估方法[1-2]，该方法可通过定性和定量相结合的决策方法实现对复杂目标评估的系统性分析方法，且所需的定量数据信息较少。但分析过程过多依赖于专家的经验，评估结果主观性较强，当指标过多时，数据统计量较大，致使权重难以确定。(2)基于模糊综合评判的网络攻击效果评估方法[3-6]，该方法的不足在于模糊综合评价过程本身并不能解决评价指标间相关造成的评价信息重复问题，此外，对各被评价对象的指标信息量考虑不全，有可能影响评价结果的区分度。(3)基于模糊层次分析法的网络攻击效果评估方法[7-8]，该方法是对层次分析法的一种改进，可以量化不确定性因素，能够一定程度上弥补层次分析法存在的不足，但是比较适合于定性评估分析。(4)基于粗糙集理论的网络攻击效果评估方法[9-11]，该方法的不足之处在于评估选取的样本数据必须具有一定代表性，否则随着样本量的增加，评估结果的偏差可能较大。(5)基于灰色理论的网络攻击效果评估方法[10，12-13]，该方法在处理评估数据少、信息不完备等问题上具有一定优势，但是存在聚类系数差异不显著时，无法对评估对象进行准确评估的问题。