一种基于AHP-BP的工业控制系统风险评估方法

◆宋 宇 李治霖 陈 梅

一种基于AHP-BP的工业控制系统风险评估方法

◆宋 宇 李治霖 陈 梅

（长春工业大学（长春）计算机科学与工程学院 吉林 130012）

该文提出了一种基于由层次分析法和BP神经网络相结合的混合算法模型来对工业控制系统进行风险评估。首先利用信息安全等级测评标准制定了更加科学全面的初始评估模型，然后用AHP算法算出该模型各指标权重，并根据综合权重挑选出比较重要的指标作为BP神经网络的输入，然后依据历史评估数据对神经网络模型进行训练，最后以某冶金工业控制系统为例对该算法进行了验证。

工业控制系统；风险评估；层次分析法；神经网络

目前，根据国家工业信息安全发展研究中心[1]监测到的结果，我国有3000余个工业控制系统暴露在互联网上的，其中95%以上有漏洞，可以轻易被远程控制，约20%的重要工控系统可被远程入侵并完全接管。如果黑客对这些工业控制系统发起攻击，将会对国家的安全和社会的稳定产生不可预期的后果。因此，近年来对工业控制系统进行风险评估的学者和文章越来越多，如卢慧康[2]等人将传统IT系统信息安全风险评估理论与工业控制系统的特点相结合提出了基于模糊层次分析法的工业控制系统信息安全风险评估方法。黄慧萍[3]等人研究了一种基于攻击树的工业控制系统信息安全风险量化的评估方法。贾驰千[4]等人将信息安全评估原理迁移到工业控制系统安全评估原理，完善了层次分析法建模的合理性，但这些方法在各个指标相对重要性的赋值和评价层各要素的综合评判中，受主观不确定性的影响较大。顾兆军[5]等人提出利用攻击图中漏洞间的关联关系来对ICS漏洞进行风险评估，并新增了漏洞价值和漏洞利用率两个评价指标。王作广[6]等人研究了一种基于攻击树与CVSS的叶子节点属性量化的方法来对工业控制系统进行风险评估。梁耀[7]等人基于相对增益阵列设计衡量闭环状态下每个输出对不同攻击输入的敏感程度的指标提出了一种定量分析工业控制系统安全风险的评估方法。但这些方法有些只针对漏洞或只考虑了物理层对安全的影响，不能够全面地对工业控制系统进行评估。而一个工业控制系统被攻击不仅有系统漏洞本身的原因，还可能是人员操作失误或管理失误导致的，甚至是内部员工被收买从而盗取其他计算机或越权访问数据库资料导致机密泄露。因此本文将对人员的管理和对物理主机的安全管理也加入了评估要素中，使评估更全面。

1 工业控制系统风险评估指标体系构建

由于现在的工业控制系统大多采用纵深防御策略，因此，攻击者往往不能直接攻击到重要主机，黑客一般都是寻找网络的边际漏洞或人员管理漏洞来作为切入点，再利用网络拓扑的不合理和主机或主机中应用程序的漏洞对重要数据进行窃取或修改系统执行命令。因此本评估指标参考了信息安全等级测评标准[8]，指标，将一级指标分为六组，分别为：网络安全测评，主机安全测评，应用安全测评，数据安全测评，物理安全测评和安全管理测评，可以对工业控制系统进行更加全面的评估，并在此六个一级指标的基础上再细分了34个二级指标，详情如图1所示。

图1 工业控制系统风险评估指标

我们给出图1中六个一级指标的判断矩阵，如表1所示。

表1 一级指标判断矩阵

通过计算，此判断矩阵的一致性指标CI=0.0144，一致性比例CR=0.0114，其中一致性比例CR<0.1，说明此判断矩阵通过一致性检验。本文通过特征值法求出一级指标的权重，并以此类推，求出全部二级指标的权重，然后将一级指标的权重和二级指标的权重相乘求出二级指标的综合权重，详情如表2所示。

表2 指标权重

根据表中的综合权重，对工业控制系统风险评估指标进行排序，筛选出对最终影响前98%的26个指标作为BP神经网络的输入，去除E4、E5、E6、E7、E8、E10、C4、C9这8个指标。

2 BP神经网络模型构建及应用实例

根据GB/T 20984-2007对风险评估等级进行划分，如表3。

表3 等级划分

本文的BP神经网络模型采用三层结构，输入层有26个节点对应26个指标，隐藏层节点个数为64个，输出节点为5，对应了风险评估的5个等级。用历史数据训练好神经网络后，本文以某冶金工业控制系统为例，对其进行风险评估，该系统的网络拓扑如图2所示。

图2 网络拓扑图

先由5名不同专家按照1~5等级对待选的26个工业控制系统指标进行评分，分数越高则说明此项指标的风险越高，然后将评分放到神经网络中进行评估，虽然5名专家的打分各不相同，但最后的评估等级都是3级，说明该算法可以最大程度地降低主观因素的影响。

3 结束语

本文在研究工业控制系统安全评估的过程中建立了AHP-BP算法模型，这一模型采用AHP算法计算出评估指标的权重，通过筛选，选出对结果影响前98%的指标，使评估指标的数量减少但不影响最后评估结果同时，降低了神经网络的计算复杂性和计算时间。该模型不仅将人员的管理和对物理主机的安全管理也加入了评估要素中，使模型更加全面，还减少了评估时主观因素造成的误差，提高了工业控制系统风险评估结果的准确性和普适性，使得工业控制系统风险评估的结果更加科学。

[1]朱涵，李建发.当心！95%工业控制系统有漏洞，面临巨大安全风险[EB/OL].https://www.sohu.com/a/229361590_99910418.

[2]卢慧康，陈冬青，彭勇，等.工业控制系统信息安全风险评估量化研究[J].自动化仪表，2014.

[3]黄慧萍，肖世德，孟祥印.基于攻击树的工业控制系统信息安全风险评估[J].计算机应用研究，2015．

[4]贾驰千，冯冬芹.基于模糊层次分析法的工业控制系统安全评估[J].浙江大学学报（工学版），2016.

[5]顾兆军，彭辉.工业控制系统的漏洞风险评估方法[J].现代电子技术，2019.

[6]王作广，魏强，刘雯雯.基于攻击树与CVSS的工业控制系统风险评估量化评估[J].计算机应用研究，2016.

[7]梁耀，冯冬芹.基于攻击增益的工业控制物理层安全风险评估[J].浙江大学学报（工学版），2016.

[8]公安部信息安全等级保护中心.信息安全等级测评师培训教程：初级[M].北京：电子工业出版社，2010.