基于图论的网络安全分析方法研究与应用

周利琴

绍兴市柯桥区妇幼保健院，浙江绍兴，312000

0 引言

现阶段，人们对于信息技术的依赖逐步增加，互联网已经成为人们日常生活当中不可或缺的一部分，而在信息技术飞速发展的过程中，网络安全工作越来越受到人们的重视。当前，许多专家学者针对网络安全这一话题已经开展了一些研究，从网络漏洞（或者是网络安全脆弱性）这一角度出发得到了许多提升网络安全性的措施；也有部分专家学者结合网络程序代码这一内容，系统性地分析了网络运行过程中相关错误代码和执行错误情况，并且借助软件错误注入的方式提升网络整体安全性[1]。不过值得注意的是，上述方法大多与新的网络脆弱性相关，尽管能够起到一定的效果，但是却往往存在着难度较大且数量有限的缺陷，无法从根本上提升网络整体的安全性能。

结合现有调查和分析数据发现，大多数网络安全事故都是由已知的安全脆弱性所引发的。鉴于此，本文创造性地从入侵者的角度对网络安全状况进行了系统性分析，通过相应的扫描程序，收集了现有网络安全中可能存在的安全脆弱信息，并且对这些信息之间的关联性进行了分析，随后依托图论的方法把这些具有关联性的信息制作成了入侵关系图。在此基础上，本文还通过相应的措施系统性地分析和评估了网络系统的安全性，构筑了一个量化的现有网络安全漏洞分析模型。调研显示，当前尽管有部分研究实现了对网络安全数据的层级研究，但是这些研究却没有结合当前网络安全的整体状况，并且相关模型的构建也较为理想化和浅层性，在研究广度和深度方面存在着一定的不足之处[2]。

另外，当前人们一般借助SAINT以及ISS等软件进行网络漏洞的检测和评估，尽管这些软件具有较强的单机检查功能，但是其在整体的能力分析上面却存在一定的问题，无法结合网络运行的实际状况，对相应的配件漏洞、软件漏洞和这些漏洞之间的关系进行系统整合。除此之外，这些软件也无法实现对新漏洞的分析和检测，存在着一定的局限性。因此，本文融合了现有的网络安全机制和技术，并且在此基础上提出了一个能够对网络安全状况进行整体收集与分析的系统模型。

1 网络多点入侵关系图模型

在互联网信息技术飞速发展的今天，人们除了需要做好各种网络安全问题的防范工作之外，还需要实现对现有网络安全问题的整体预警与分析。当前许多专家和学者已经构造了诸如非干扰模型以及访问控制模型等的模型，尽管其在网络安全设计方面有着一定的优势，但是却不能够在网络安全的系统分析过程中发挥作用[3]。

通过对现有大量的网络安全事故进行分析发现，网络入侵呈现出如下特点：单一的机器无法实现对网络的入侵，必须结合多个服务内在的相应逻辑联系来出现“多点脆弱性”，即通过多种漏洞来暴露网络系统的问题所在，入侵者进而以此为基础提高自己的权限，从而实现入侵目的。针对这一特点，我们在分析网络安全脆弱性时，就可以结合信息采集系统对现有网络安全信息的收集，建立一个网络安全脆弱性量化库以及入侵的关系图，其具体内容表达如下。

定义1：在计算机系统中，所谓的优先权主要包括指数对（x,m）。其中，x为计算机系统当中包含的对象，而m为该系统中的一个非空访问权集合。

定义2：所谓的角色主要包含带有标识的优先权集合，一般来说可以用数对表示。

定义3：事实上，从本质上看，脆弱性指的是违反了网络中相关的角色规则，通常用（host、privilege）表示。其中，前者主要是网络中的主机标识，后者则可以指由脆弱性而引发的主机权利。

定义4：在信息系统中，不同的主机能够被一个包含有不同维度向量的集合所表示，这是多点脆弱性传播的主要逻辑。

定义5：一般来说可以用ekj=(gkj,tkj)来表示网络系统中的边，在此处，前者表示k主机侵入到j主机可能获得的利益，而后者则能够反映出入侵对主机所造成的威胁程度。

定义6：前者表示k主机侵入到j主机可能获得的利益，而后者则能够反映出入侵对主机所造成的威胁程度。

定义7：一般来说，边主要有如下三个种类。①在系统中由于某一网络安全漏洞而引起入侵，例如口令较为简单或对于系统的权限没有进行合理控制等。②信息系统所使用的网络较为方便，而系统与入侵系统共用一套信任关系准则，由此引发了主机入侵。③系统借助自身可以使用的权利进行了入侵。

定义8：从粒度上看，网络多点入侵还具有如下内容。从网络多点入侵的实质和实际情况来看，通过边来表示入侵，可以看作是相关信息逐步累加以及其权限逐步获得提升的一个过程。这个过程具有不同的分段条件与分段步骤，可以借助数据融合分析寻找到其在关联性方面的特点[4]。

定义9：对于信任关系的脆弱性，需要切实分析网络入侵过程中主机借助信任关系而开展的入侵过程，要将能够检测到的、信任关系层次各不相同的主机扩展形成一个关联树，从而能够实现网络安全分析过程的严谨性和科学性。

定义10：所谓的入侵目标主要指的是网络入侵所要到达的主机以及主机群体，这一目标在数量上没有明确的规定，只要是处于相同条件的主机即可。

定义11：所谓的入侵起始主要指的是网络入侵所起始的主机以及主机群体，这一目标在数量上没有明确的规定，只要是处于相同条件的主机即可。

定义12：割集指的是在网络系统中，部分主机的合集，只有将这一合集当中所有的主机都进行入侵，那么入侵者才能实现其既定的入侵目标。

定义13：所谓的路集，主要指的是在网络系统中，部分主机的合集，只有将这一合集当中所有的主机都进行了入侵，入侵者才能实现其既定的入侵目标。

除此之外，在网络入侵关系中多点脆弱性主要有如下几个方面的特征。

（1）动态性。因为初始知识较为片面，在入侵目标逐步达成的情况下，入侵者能够获取更加充足的主机信息，从而能够更加全面低了解网络系统的资源和配置情况。因此在入侵模型中，必须确立动态的点和边。

（2）边信息具有多样性。介于两个顶点中的边，一般来说需要具有一定的方法、收益、风险以及代价信息等。

（3）具有多联通边的特点。这一特点主要指的是在两个顶点位置可以存在不止一条边，从开始点到其他节点能够检测到多条路径。

2 安全脆弱性威胁量化的层次分析模型

为了对网络系统开展较为全面和准确的分析与评价，现阶段已经建立了相应的安全脆弱性数据库，同时结合网络安全决策这一问题提供了相应的模块接口。分析网络系统已有的安全事故情况以及安全机制运行状况，可以将网络系统中的安全脆弱性特点进行系统总结，同时也可以结合一定的方法定量评估相关安全脆弱性的风险等级。在这其中，层次分析法是一种较为常用的分析方法，该法能够实现定性和定量分析的有机结合，并且能将安全脆弱性中的相关威胁要素进行层次分析[5]。实际上，层次分析法的利用也与网络安全决策较为吻合，其在实施过程中需要遵循以下几个步骤：

（1）建立一个层次结构模型；

（2）建立一个判断矩阵；

（3）对系统中的层次进行单排序，并且计算其一致性；

（4）对系统中的层次进行总排序，并且计算其一致性；

（5）在特殊情况下，还需要对判断矩阵和层次模型进行及时的修正与调节。

值得注意的是，在各模型中包含着一定的底层要素，这些底层要素具体有：

（1）条件关联性，这一要素主要指的是入侵时所需满足的条件以及相关条件的确定性；

（2）入侵的可检测性，这一要素主要指入侵者所采取的入侵方式能否实现检测，以及在检测过程中所出现的漏检率；

（3）入侵的可处理性，这一要素主要指的是在解决入侵者所造成的问题时所产生的资源消耗量；

（4）入侵存在的条件普遍性，这一要素主要指的是入侵者实施入侵行为时，在网络系统中发生的具体概率；

（5）入侵条件存在的时间，这一要素主要指的是结合现有网络漏洞库，分析入侵行为的存在时间；

（6）入侵的可操作性，这些要素主要指的是分析入侵者产生入侵行为时的技术特点与操作难度的大小；

（7）入侵的可持续性，这一要素主要指的是入侵者在实现其入侵目标之前所消耗的时间；

（8）入侵所产生的后果，这一要素主要指的是入侵对系统所产生的破坏程度；

（9）入侵对象的重要程度，这些要素主要指的是入侵者所攻击的对象在角色量级上的重要程度。

3 基于入侵关系图的网络安全决策分析方法

在对所建立的基于图论的安全决策进行分析时，首先需要对相应的网络安全信息进行预处理，一般来说，包含以下几个方面的内容。

步骤一：通过信息采集系统来对所使用的主机网络实现内部和外部的全方位扫描，以此来得到网络中操作系统、网络服务器端口等方面的信息[6]。

步骤二：将上述步骤中获取的扫描信息进行格式转换，并且统一置于安全漏洞信息库中，其中所包含的主要内容有操作系统的版本号以及操作系统与服务之间的关系等。

步骤三：实现对不同安全漏洞之间的逻辑分析，融合其信任度，这一过程一般需要利用到证据理论，能够解决不同信息之间的冲突。

步骤四：将上述步骤中的处理结果构造成一个完整的网络入侵关系图。

现阶段，笔者团队通过原型系统建立了一个安全漏洞库，该漏洞库除了现有的近300条漏洞信息之外，还能够依托网络技术实现漏洞库内容的实时更新。在此基础上，网络安全决策分析方法的主要实施步骤如下。

（1）路径分析方法的实施步骤：①选择合适的入侵起始和目标集；②搜索现有的入侵关系图，寻找可能性最大的入侵路径；③对上述步骤中可能出现的路径开展价值分析和标记；④使用表格以及图形显示分析结果[7]。

（2）威胁分析的实施步骤：①分析并且记录不同的边在可能出现的路径中出现的次数；②定量计算不同路径中不同边的威胁程度，把最低值作为该边入侵路径的威胁等级；③对计算出的威胁值大小进行比较，把最大值作为入侵起始集到目标集过程中的最大威胁等级；④统计不同边在相应路径当中出现的频率，按照由大到小的顺序排列，该顺序就是网络脆弱环节[8]。

（3）态势分析的实施步骤：①统计所有路径中的边数，并且将该数值记录为n；②统计并计算上述边中可能会被入侵的主机数量，并且将该数值记录为m；③n和m比值的大小，即为整个系统网络的威胁程度；④在入侵关系图中，路集元素数量表示为a，可以用来指代系统的脆弱程度；⑤在入侵关系图中，割集元素数量表示为b，可以用来指代系统的坚固程度[9]。

（4）防御分析的实施步骤：该步骤需要结合网络入侵的实际情况，判断对网络整体以及局部入侵的危险等级，提出具有针对性的防御措施和建议，并且可以智能化地实现对相关建议和措施的付出和收益的量化分析。

4 系统实现原型分析

在实验室中，基于图论的网络安全分析包含如下几个方面的内容以及具体功能：信息采集系统主要包括对相关硬件的端口扫描、操作系统的识别以及相关主机的内部扫描功能。漏洞库系统能够实现对现有各种安全脆性的实时查询与分析，并且能够结合网络安全的变化，实现对漏洞信息的实时更新。决策分析系统能够结合漏洞的特性以及其中的关联度来进行整体分析，进而为安全管理员的操作行为提供准确的数据支撑。图形显示系统主要能够借助表格或图形等形式，将系统的决策分析内容进行及时发布[10]。除此之外，尽管该系统模型能够起到一定程度的网络安全效果，但是客观来看，仍然存在一些不足之处，例如整个系统的智能化程度有待提升、系统中相关细节仍然需要完善等。

5 结论

综上所述，借助图论的方法，对算机网络安全进行系统分析，能够突破传统网络安全分析过程中的不足之处，全面高效低寻找到网络系统中的多点脆弱性，从而减轻管理员在安全分析过程中的工作压力，提升安全管理的质量和效果。不过，本研究同样也存在一定的不足之处，今后可以从不断完善和补充网络脆弱性库、提升网络系统参数抽象的准确性以及进一步简化该模型的图形等方面改进。