具体实施方式

下面结合附图及具体实施例对本发明做进一步的说明，但下述实施例绝非对本发明有任何限制。

如图1所示，本发明提供的基于主机重要度的网络主机节点安全风险评估方法包括按顺序进行的下列步骤：

1)搜集网络信息建立主机攻击图的S1阶段：首先根据网络拓扑获取主机节点、主机节点的漏洞及主机节点访问关系在内的网络信息，然后将所有主机节点构成主机节点集合、各主机节点的漏洞构成漏洞集合、主机节点访问关系构成主机节点访问关系列表，最后遍历主机节点集合和漏洞集合，如果从主机节点访问关系列表中可以查到两个主机节点之间能够访问且主机节点的漏洞满足漏洞利用关系，则将这两个主机节点添加到边集合中，以此类推，得到主机攻击图；

2)计算漏洞的原子攻击概率的S2阶段：计算上述主机节点的漏洞的可利用性值及漏洞的代码可利用性值，然后将漏洞所在主机节点的防御强度划分等级并取值，之后利用漏洞的可利用性值、漏洞的代码可利用性值和主机节点的防御强度等级值计算漏洞的原子攻击概率；

具体方法如下：

I)根据通用漏洞评分系统的通用公式计算漏洞的可利用性值：

E_i＝2×AV_i×AC_i×AU_i (1)

其中，E_i表示第i个漏洞的可利用性值，AV_i、AC_i、AU_i分别表示攻击路径、攻击复杂度和身份认证；

然后依据漏洞披露时间，由下式得到各漏洞的代码可利用性值：

CA_i(x_i)＝1-(k/x_i)^a (2)

其中，CA_i表示第i个漏洞的代码可利用性值，k和a表示帕累托分布中的参数，分别取0.26和0.00161；x_i表示第i个漏洞从漏洞披露时开始到当前评估日期的天数；

将漏洞所在主机节点的防御强度划分成较高、高、一般、低和很低五个等级，各等级对应的取值分别为0.1，0.3，0.5，0.7，0.9；

II)根据漏洞的可利用性值、漏洞的代码可利用性值和主机节点的防御强度等级值，计算出各漏洞的原子攻击概率：

AAP_i＝E_i×CA_i×DI_i (3)

其中AAP_i表示第i个漏洞的原子攻击概率，E_i表示第i个漏洞的可利用性值，CA_i表示第i个漏洞的代码可利用性值，DI_i表示第i个漏洞所在主机节点的防御强度等级值。

3)计算主机节点的最大路径攻击概率的S3阶段：根据步骤1)中得到的主机攻击图获得到达各主机节点的所有攻击路径，然后根据步骤2)中得到的漏洞的原子攻击概率和攻击路径上的漏洞数量计算得到各主机节点的最大路径攻击概率；

具体方法如下：

I)依据主机攻击图获取从初始攻击节点到达各主机节点的全部攻击路径；

II)计算上述所有攻击路径上主机节点的攻击概率：

其中，P_j表示第j条攻击路径上主机节点的攻击概率，AAP_i表示该攻击路径上所有主机节点中第i个漏洞的原子攻击概率，n表示该条攻击路径上的漏洞数量；

从上述所有攻击路径上主机节点的攻击概率中选择最大值max(P_j)作为该主机节点的最大路径攻击概率。

4)计算主机节点的改进加权介数中心性值的S4阶段：利用步骤2)中得到的漏洞的原子攻击概率的倒数对步骤1)中得到的主机攻击图进行加权，得到加权主机攻击图，然后根据加权主机攻击图计算各主机节点的加权介数中心性值，之后根据步骤1)中得到的主机攻击图计算各主机节点的局部重要度，最后根据主机节点的加权介数中心性和局部重要度计算得到各主机节点的改进加权介数中心性值；

具体方法如下：

I)根据步骤2)中得到的漏洞的原子攻击概率，取倒数后作为主机攻击图中对应边的权值，得到加权主机攻击图；

II)基于加权主机攻击图，计算各主机节点的加权介数中心性值：

其中，μ_sk表示所有从主机节点s到主机节点k的最短攻击路径数量，h_i表示加权主机攻击图中的主机节点，μ_sk(h_i)表示从主机节点s到主机节点k的最短攻击路径中，经过主机节点h_i的攻击路径数量；

III)根据步骤1)中得到的主机攻击图计算各主机节点的局部重要度：

其中，r_i表示主机攻击图中主机节点h_i的出入度之和，r_j表示和主机节点h_j相连的邻居主机节点的出入度，m表示和主机节点h_i相连的邻居主机节点的个数，n表示所有主机节点的个数；

IV)根据主机节点的加权介数中心性和局部重要度计算得到各主机节点的改进加权介数中心性值：

其中PI(h_i)表示第i个主机节点的改进加权介数中心性值，G(h_i)表示第i个主机节点的加权介数中心性值，N(h_i)表示第i个主机节点的局部重要度。

5)计算主机节点资产价值的S5阶段：根据步骤1)中获得的主机节点集合，依据主机节点对保密性、可用性和完整性指标的不同要求，采用CRITIC法计算主机节点资产价值指标权重，并依据专家评分结果计算各主机节点资产价值；

具体方法如下：

I)根据不同主机节点对保密性C、可用性A和完整性I指标的不同要求，将主机节点的保密性C、可用性A和完整性I指标的评分值由低至高划分为1至5共5个等级，然后依据专家评分值获得资产价值指标得分矩阵D：

其中，元素d_ij表示第i个专家对第j个指标的评分值，m表示专家个数，n表示指标个数；

II)利用下式对资产价值指标得分矩阵D进行归一化处理，得到归一化后资产价值指标得分矩阵D’：

x_ij＝d_ij-min(d_i)/max(d_i)-min(d_i) (8)

其中，x_ij表示归一化后资产价值指标得分矩阵D’中各指标的评分值，min(d_i)＝min{d_1j,d_2j,…,d_mj}，max(d_i)＝max{d_1j,d_2j,…,d_mj}；

III)根据归一化后资产价值指标得分矩阵D’，计算保密性C、可用性A和完整性I指标的平均值：

其中，表示归一化后资产价值指标得分矩阵D’中第j列所有指标的平均值，x_ij表示归一化后资产价值指标得分矩阵D’中的各元素，m表示对应矩阵的行数；

IV)根据上述保密性C、可用性A和完整性I指标的平均值，计算保密性C、可用性A和完整性I指标的标准差：

其中，σ_j表示第j列所有指标的标准差；

V)根据保密性C、可用性A和完整性I指标的标准差，分别计算各指标的冲突性系数：

其中，u_ij表示指标的评分值i和指标的评分值j间的皮尔逊相关系数；

VI)根据上述各指标的冲突性系数，计算客观权重值：

其中，n表示指标个数；

VII)根据归一化后资产价值指标得分矩阵D’，将归一化后资产价值指标得分矩阵D’的每一列取平均值后的结果作为各主机节点在保密性C、可用性A和完整性I指标上的评分值，然后根据上述保密性C、可用性A和完整性I指标的客观权重值计算出主机节点资产价值：

其中，AS(h_i)表示第i个主机节点资产价值，C_i，I_i，A_i分别表示对应第i个主机节点资产价值的保密性C、可用性A和完整性I指标的评分值，w_i1、w_i2、w_i3分别表示求解得到的第i个主机节点的保密性C、可用性A和完整性I指标C的客观权重值。

6)计算主机节点重要度和风险值的S6阶段：在此阶段，根据步骤4)中计算得到的各主机节点的改进加权介数中心性值、步骤5)中计算得到的各主机节点资产价值计算各主机节点的主机重要度，然后根据主机重要度和步骤3)中得到的最大路径攻击概率计算各主机节点的风险值。

具体方法如下：

I)计算主机节点h_i的主机重要度HI(h_i)：

HI(h_i)＝PI(h_i)+AS(h_i) (14)

其中，PI(h_i)表示每个主机节点的改进加权介数中心性值，AS(h_i)表示每个主机节点资产价值指标值；

II)根据上述主机节点资产价值指标值计算主机节点h_i风险值R(h_i)：

R(h_i)＝HI(h_i)×max(P_j) (15)

其中，max(P_j)表示主机节点的最大路径攻击概率。

图2为本发明方法与传统CVSS方法和专家打分法计算得到的漏洞的原子攻击概率值对比图。由图2可知，与其他两种方法相比，本发明方法综合考虑时间和环境因素对原子攻击概率的影响，计算得到的结果更加符合实际。

图3为本发明方法与资产关联图方法、马尔可夫攻击图方法和贝叶斯攻击图方法计算得到的主机节点风险值对比图。由图3可知，相比于其他三种方法，本发明方法所得的各主机节点的风险值差异性更大，能够明显表征不同主机节点间的风险差异性。马尔可夫攻击图方法仅从状态转移概率的角度计算各主机节点的风险值，导致不同主机节点的风险值结果相近。资产关联图方法和贝叶斯攻击图方法虽然综合考虑了主机节点资产价值和路径攻击概率，但是忽略了主机节点在攻击图中的位置信息，没有考虑到主机攻击图中主机节点间的关联性对各主机节点风险值的影响。本发明方法利用改进的加权介数中心性从主机攻击图拓扑结构角度衡量主机节点的重要程度，同时依据主机节点资产价值评估各个主机节点面临的风险，所以得到的各主机节点风险值差异性更大且更加准确、合理。