基于證據(jù)理論物聯(lián)網(wǎng)安全態(tài)勢感知方法研究

李劍，董廷魯，李劼

（1. 北京郵電大學(xué)人工智能學(xué)院，北京 100876；2. 北京郵電大學(xué)計算機學(xué)院（國家示范性軟件學(xué)院），北京 100876）

0 引言

隨著智能化時代到來，物聯(lián)網(wǎng)系統(tǒng)快速發(fā)展，各種基于物聯(lián)網(wǎng)技術(shù)的應(yīng)用日漸成熟。物聯(lián)網(wǎng)是傳統(tǒng)互聯(lián)網(wǎng)在“物”上的延伸，“萬物互聯(lián)”是物聯(lián)網(wǎng)美好愿景。物聯(lián)網(wǎng)在快速構(gòu)建人與物交互場景的同時，產(chǎn)生了很多安全問題。在復(fù)雜網(wǎng)絡(luò)環(huán)境下，物聯(lián)網(wǎng)系統(tǒng)擁有數(shù)量龐大的設(shè)備固件程序，稍有不慎，就會被黑客利用，給社會帶來巨大的損失[1]。日益嚴(yán)峻的物聯(lián)網(wǎng)安全問題使人們不得不重視對物聯(lián)網(wǎng)安全態(tài)勢感知工作的研究。態(tài)勢感知工作主要包括態(tài)勢要素提取、設(shè)備掃描工作、安全性分析工作、態(tài)勢評估和態(tài)勢感知[2]。一般地，需要對物聯(lián)網(wǎng)系統(tǒng)進(jìn)行全面統(tǒng)一的安全數(shù)據(jù)整合工作，形成統(tǒng)一監(jiān)測、集中分析、集中呈現(xiàn)的態(tài)勢感知系統(tǒng)[3]。傳統(tǒng)的信息安全風(fēng)險研究工作只是一種靜態(tài)的評估防護(hù)工作[4]，態(tài)勢感知系統(tǒng)利用時間演化，以期在動態(tài)的過程中進(jìn)行安全防護(hù)工作。

在傳統(tǒng)信息安全風(fēng)險評估領(lǐng)域，采用定性和定量結(jié)合方法進(jìn)行綜合評價的方案占據(jù)主流地位[5-6]。定性分析方法主要有德爾菲法，憑借專家群體的知識和經(jīng)驗給出綜合評價，缺點是主觀性太強；定量分析方法主要包括故障樹分析法和貝葉斯網(wǎng)絡(luò)分析法，強調(diào)特定場景下客觀規(guī)律的重要性，但是不適合于復(fù)雜場景；定性和定量結(jié)合分析方法主要有層次分析法和模糊層次分析法，主觀性和客觀性有機結(jié)合，擴展性較好，但是判斷矩陣仍然是根據(jù)專家意見確定的。除此之外，D-S證據(jù)理論也被廣泛應(yīng)用于信息安全風(fēng)險評估，用來融合多個風(fēng)險證據(jù)[7]。一般地，D-S證據(jù)理論和層次分析法或者模糊層次分析法進(jìn)行聯(lián)合使用，層次分析法建立關(guān)于特定場景下信息安全風(fēng)險評估的評價指標(biāo)集合，在確定層級因素權(quán)重時使用D-S證據(jù)進(jìn)行多特征融合，使參數(shù)的權(quán)重分布更加客觀合理。不過在傳統(tǒng)D-S證據(jù)理論下證據(jù)沖突時融合結(jié)果與常理不一致，很多專家學(xué)者基于此問題對D-S證據(jù)理論進(jìn)行改進(jìn)，使之適應(yīng)更加復(fù)雜的證據(jù)合成場景。

態(tài)勢感知方法主要利用證據(jù)網(wǎng)絡(luò)模型[8]、馬爾可夫模型[9]、神經(jīng)網(wǎng)絡(luò)模型[10-11]、貝葉斯網(wǎng)絡(luò)模型[12]，但是這些模型結(jié)構(gòu)復(fù)雜，訓(xùn)練難度高，在真實場景下容易出現(xiàn)參數(shù)爆炸的情況。

針對上述問題，本文著重研究D-S證據(jù)理論在物聯(lián)網(wǎng)安全態(tài)勢感知模型中的應(yīng)用。

1) 在態(tài)勢評估方面，本文利用改進(jìn)Topsis方法衡量證據(jù)可信度，降低了沖突證據(jù)的可信度，保持了相互支持證據(jù)的可信度，經(jīng)過實驗證明，在不同數(shù)量證據(jù)體和常見沖突證據(jù)方面，融合之后對正確命題基本概率分配更高。

2) 在態(tài)勢感知方面，本文提出了一種基于時間折扣和高風(fēng)險漏洞比例折扣D-S證據(jù)理論，通過融合多個時刻的態(tài)勢評估數(shù)據(jù)得到了良好的態(tài)勢感知結(jié)果。

1 D-S證據(jù)理論

1.1 傳統(tǒng)D-S證據(jù)理論

在傳統(tǒng)D-S證據(jù)理論中，定義標(biāo)準(zhǔn)變量的識別框架θ= {θ1,θ2,… ,θn}，屬于冪集2θ的元素A是關(guān)于變量θ取值的命題，或稱焦元。關(guān)于命題A的函數(shù)被定義成概率分配函數(shù)BPA，一般稱為mass函數(shù)，簡稱m函數(shù)。

信任函數(shù)，被定義為命題子集的概率分配和，表示對命題為真的信任程度。

似然函數(shù)，被定義為與命題交集為空的集合概率分配和，表示對命題為非假的信任程度。

信任函數(shù)定義了命題為真的信任下界，似然函數(shù)定義了命題為非假的信任上界，通過區(qū)間的方式描述不確定性。因為{?A,A} ?θ，Pl(A) ≥ Bel(A)。實際上，[Bel(A) ,Pl(A)]表示命題A的不確定區(qū)間，[0,Bel(A) ]表示對命題A支持的證據(jù)區(qū)間，[0,Pl(A) ]表示對命題A的擬信證據(jù)區(qū)間，[Pl(A) ,1]表示對命題A的拒絕證據(jù)區(qū)間。

當(dāng)有n個證據(jù)m1,m2,m3,… ,mn需要融合時，合成規(guī)則為

其中，K被稱為沖突因子，算符⊕被稱為融合算子。

傳統(tǒng)D-S證據(jù)理論在融合算子上滿足交換律和結(jié)合律。交換律為m1⊕m2=m2⊕m1，結(jié)合律為m1⊕ (m2⊕m3)=(m1⊕m2)⊕m3。

傳統(tǒng)D-S證據(jù)理論在合成規(guī)則上，采用乘積項的方式進(jìn)行融合，然后歸一化得到最終的融合結(jié)果，當(dāng)證據(jù)對命題的基本概率分配為0時，經(jīng)過證據(jù)融合后的結(jié)果仍然是0，即使其他證據(jù)都以大概率確認(rèn)該命題。除了“0置信沖突”，傳統(tǒng)D-S證據(jù)理論還有“1置信沖突”“完全沖突”“高沖突”等特殊情況，在這4種悖論情況下，傳統(tǒng)的證據(jù)合成規(guī)則不再適用[13]。

對傳統(tǒng)的D-S證據(jù)理論改進(jìn)主要體現(xiàn)在兩個方向，改進(jìn)合成規(guī)則或者改進(jìn)證據(jù)分布[13]。改進(jìn)證據(jù)的合成規(guī)則，認(rèn)為引起4種悖論問題的根源在于證據(jù)合成規(guī)則不完善，改進(jìn)的方案中大多在原有乘積項的基礎(chǔ)上進(jìn)行加權(quán)和的改進(jìn)。改進(jìn)證據(jù)分布，認(rèn)為合成規(guī)則普遍適用，證據(jù)分布不合理才是產(chǎn)生4種悖論的問題所在，對證據(jù)間的沖突性充分衡量，并把證據(jù)間的沖突性轉(zhuǎn)移。

1.2 基于改進(jìn)Topsis方法證據(jù)可信度量

Topsis方法一般用在多目標(biāo)的綜合評價場景中[14]，基于評價目標(biāo)在評價指標(biāo)中與期望正負(fù)解的距離確定最優(yōu)目標(biāo)方案。一般地，期望正解是每一個評價指標(biāo)中最大值組成的向量，期望負(fù)解是每一個評價指標(biāo)中最小值組成的向量，在評估之前往往需要對初始數(shù)據(jù)進(jìn)行標(biāo)準(zhǔn)化正向化處理。

假設(shè)有n個評價目標(biāo)、m個評價指標(biāo)，zij表示評價目標(biāo)i在評價指標(biāo)j下的得分，由于不同的評價指標(biāo)有不同的量綱，因此避免“大數(shù)吃小數(shù)”的情況，需要進(jìn)行標(biāo)準(zhǔn)化處理，如下。

定義期望正解為各評價指標(biāo)中最大值組成的向量如下。

定義期望負(fù)解為各評價指標(biāo)中最小值組成的向量如下。

定義評價目標(biāo)i到期望正解的距離為

定義評價目標(biāo)i到期望負(fù)解的距離為

定義評價目標(biāo)i未歸一化得分為

Topsis方法通過計算評價目標(biāo)與正解的相對貼近程度衡量目標(biāo)間優(yōu)劣，如果與正解的距離越近，說明評價目標(biāo)在評價指標(biāo)上的分布與正解越相似，評價目標(biāo)在評價指標(biāo)上的數(shù)值與最大值接近程度越高，甚至等于最大值。

在本場景下，需要充分評估證據(jù)間可信度，降低沖突證據(jù)的可信度，提高相互支持證據(jù)的可信度。經(jīng)過分析發(fā)現(xiàn)，沖突證據(jù)命題間的差距較大，分布不均衡，往往某個單一命題上的基本概率分配接近于1，而其他命題的基本概率分配為0，因此在評估證據(jù)的沖突性時，證據(jù)與最大值向量距離越近，判定為沖突證據(jù)的可能性越高，可信度評分越低，本文采用式(12)衡量證據(jù)間的可信度。

本場景下，先計算兩兩證據(jù)間的可信支持度，然后求和確定證據(jù)整體間的支持度，并把歸一化后的求和結(jié)果作為證據(jù)的最終可信度衡量依據(jù)。

證據(jù)體可信支持度矩陣為

其中，在基于證據(jù)體mi和mj評估時，表示證據(jù)體mi與期望負(fù)解的距離；表示證據(jù)體mi與期望正解的距離；表示證據(jù)體mj對證據(jù)體mi的支持程度。

定義mi證據(jù)體獲得的支持度為Sup(mi)。

歸一化之后得到證據(jù)間的可信度量為

不同數(shù)量證據(jù)體經(jīng)過融合后的結(jié)果如表1所示粗體數(shù)據(jù)表示融合后對正確命題的基本概率分配。文獻(xiàn)[15]提出的方法用Jousselme公式衡量證據(jù)間的距離確定證據(jù)間可信度計算公式，利用可信度對證據(jù)分布進(jìn)行加權(quán)得到加權(quán)平均證據(jù)，然后進(jìn)行迭代融合，根據(jù)表1結(jié)果可知，本文方法對正確命題的指認(rèn)與文獻(xiàn)[15]一致，符合預(yù)期，且本文方法對正確命題的融合結(jié)果高于文獻(xiàn)[15]方法。

表1 不同數(shù)量證據(jù)體融合結(jié)果Table 1 Fusion result of different numbers of evidence

4種常見證據(jù)沖突融合結(jié)果如表2所示，粗體數(shù)據(jù)表示融合后對正確命題的基本概率分配。針對前面提到的4種悖論情況，比較符合常理的正確命題為{AACA}，可以看出兩種方法指認(rèn)結(jié)果與常理相符，本文方法對正確命題指認(rèn)概率高于文獻(xiàn)[15]方法，指認(rèn)效果明顯。

表2 4種常見證據(jù)沖突融合結(jié)果Table 2 Fusion result of four conflicted evidence

1.3 基于動態(tài)折扣率的D-S證據(jù)理論

在改進(jìn)證據(jù)分布的研究方法中，有一種折扣理論，引入折扣度對原始證據(jù)分布進(jìn)行折扣，通常沖突性高的證據(jù)折扣度大，通過折扣的方式把證據(jù)間的沖突性分配給不確定度。

W為一個標(biāo)準(zhǔn)化的證據(jù)折扣集合，可以根據(jù)專家意見得出，也可以基于證據(jù)分布矩陣客觀性地計算得到。上述折扣理論是一種靜態(tài)折扣理論，沒有考慮證據(jù)在時間上的演化，融合的結(jié)果仍然是靜態(tài)性的。

本文著重研究物聯(lián)網(wǎng)安全態(tài)勢演化過程，利用多個時刻的靜態(tài)態(tài)勢評估數(shù)據(jù)進(jìn)行動態(tài)的態(tài)勢感知。經(jīng)過分析發(fā)現(xiàn)，多個時刻的證據(jù)在時間演化過程中有不同的作用，距離當(dāng)前時刻越久的證據(jù)對感知結(jié)果的支持度越低，折扣性越強；距離當(dāng)前時刻越近的證據(jù)對感知結(jié)果的支持度越高，折扣性越弱[7]。假設(shè)目前有k個時刻的證據(jù)，m1,m2,m3,… ,mk，融合后的感知結(jié)果為Rk(m1,m2,m3,… ,mk)，證據(jù)間融合的過程如下。

M表示兩個證據(jù)間的融合函數(shù)，W(t)表示在時間尺度上的折扣率。傳統(tǒng)D-S證據(jù)理論在多證據(jù)融合時具有交換性，考慮到時間的演化過程，有下式成立。

因此，可以選擇特征函數(shù)w(t) =e?αt,α≥ 0，該函數(shù)在時間上是一個遞減函數(shù)。

本文不僅考慮時間折扣的作用，還考慮前一個時刻漏洞危險程度對將來感知結(jié)果的影響，如果某個時刻檢測出的高風(fēng)險和緊急風(fēng)險漏洞數(shù)量較多，說明當(dāng)時系統(tǒng)整體的安保措施有極大的漏洞，對將來態(tài)勢感知的影響較大，折扣度較高，把這種高危影響保留到不確定度中，因此，最終的折扣因子是時間折扣與當(dāng)時高風(fēng)險漏洞比例折扣的綜合結(jié)果。在mk融合時，保留原始乘法合成規(guī)則基礎(chǔ)上，綜合考慮命題間的平均證據(jù)支持，引入加權(quán)平均證據(jù)，使證據(jù)的融合結(jié)果更加全面。

其中，Be(mi)為證據(jù)可信度，K是沖突因子。

2 物聯(lián)網(wǎng)安全態(tài)勢感知模型

2.1 物聯(lián)網(wǎng)安全態(tài)勢感知方法流程

物聯(lián)網(wǎng)安全態(tài)勢感知方法流程如圖1所示。首先根據(jù)固件安全性分析結(jié)果確定漏洞，利用通用漏洞評分系統(tǒng)獲得漏洞評分；其次利用高斯隸屬函數(shù)確定隸屬矩陣，歸一化隸屬度矩陣為證據(jù)分布矩陣；然后利用改進(jìn)Topsis方法確定新的證據(jù)分布，進(jìn)行靜態(tài)態(tài)勢評估；最后利用多個時刻的態(tài)勢評估結(jié)果，基于動態(tài)折扣率D-S證據(jù)理論得到態(tài)勢感知結(jié)果，指導(dǎo)安全人員進(jìn)行后期防護(hù)工作。

圖1 物聯(lián)網(wǎng)安全態(tài)勢感知方法流程 Figure 1 Process of IoT security situational awareness method

2.2 確定隸屬度矩陣

在本文設(shè)計的物聯(lián)網(wǎng)安全態(tài)勢感知模型中，設(shè)識別框架（評語集）θ為{無風(fēng)險N，低風(fēng)險L，中風(fēng)險M，高風(fēng)險H，緊急風(fēng)險C}，利用高斯隸屬函數(shù)基于CVSS評分得到處于識別框架中每一個風(fēng)險評語的隸屬度，歸一化隸屬度矩陣并作為D-S證據(jù)理論的BPA分布。高斯隸屬度函數(shù)

其中，x為輸入，在本文方案中為漏洞的CVSS得分，μ是函數(shù)的中心，δ表示寬度，利用模糊數(shù)學(xué)的方法提高CVSS在單漏洞評估方面的泛化能力，在多漏洞信息融合上D-S證據(jù)理論可以得到更加客觀的評估結(jié)果。參照CVSS，定義5個評語的隸屬度中心為1.0、2.0、5.5、8.0、9.5。

在傳統(tǒng)風(fēng)險評估領(lǐng)域中，δ設(shè)置比較主觀，一般地，由專家給出評價值x，并同時給出該評價不確定度的衡量范圍，缺乏一定的說服力，并且在很多模糊綜合評價方法中，對評語集的考慮總是認(rèn)為評語間互不影響，互不相容，相互獨立，并沒有考慮到評語間的遞進(jìn)關(guān)系。在語義上，這5個評語表征了漏洞在危險程度上不斷增強，位于較高風(fēng)險的漏洞默認(rèn)有較低風(fēng)險的語義基礎(chǔ)和評分基礎(chǔ)，在計算高風(fēng)險漏洞時不能只刻意提高對應(yīng)風(fēng)險的隸屬度，抑制其他風(fēng)險的隸屬度，而應(yīng)該綜合考慮，體現(xiàn)高風(fēng)險漏洞對低風(fēng)險評語的隸屬度增強而不是降低，同時保證較低風(fēng)險的漏洞在較高風(fēng)險評語處的隸屬度仍然較低。為了刻畫這種增強關(guān)系，本文嘗試使用δ描述關(guān)聯(lián)性，δ越大高斯函數(shù)曲線越低寬，較高風(fēng)險漏洞在計算屬于較低風(fēng)險評語的隸屬度會增強，δ越小高斯函數(shù)曲線越高窄，較低風(fēng)險漏洞在計算屬于較高風(fēng)險評語的隸屬度會降低，結(jié)合CVSS漏洞評級劃分區(qū)間，5個評語的隸屬度函數(shù)為

經(jīng)過物聯(lián)網(wǎng)固件安全性模塊分析之后得到系統(tǒng)中的安全性測試報告，定位系統(tǒng)中的安全性問題，利用CVSS計算每一項安全性問題得分，通過隸屬度函數(shù)計算隸屬度矩陣，并將歸一化的隸屬度矩陣作為D-S證據(jù)理論的BPA分布。

其中，V表示發(fā)現(xiàn)的漏洞集合，mv(θi)表示漏洞v在評語θi上的基本概率分配。

2.3 利用矩陣分析法確定沖突值K

假設(shè)有n個證據(jù)，個命題，在傳統(tǒng)方法求沖突值K時所需要的時間復(fù)雜度為，利用矩陣分析法求沖突值K所需要的時間復(fù)雜度為時間復(fù)雜度由原來指數(shù)級降為多項式級[16]。

假設(shè)證據(jù)體分布為

M1證據(jù)體轉(zhuǎn)置為一個列向量和M2證據(jù)體行向量相乘得到一個矩陣。

對角線元素是兩個證據(jù)體對于同一個命題的融合乘積項，如果只有兩個證據(jù)體融合，那么非對角線元素之和是沖突因子K，結(jié)合D-S證據(jù)理論結(jié)合律，將Φ矩陣的對角線元素（排成一個列向量）與M3證據(jù)體行向量相乘得到一個新的矩陣。

新矩陣取出對角線元素依次與剩余的每一個證據(jù)體相乘，直到融合Mn，對角線元素是n個證據(jù)對同一個命題乘積融合結(jié)果，將所有結(jié)果矩陣的非對角線元素相加可得到?jīng)_突因子K。

3 案例分析

本文搭建的實驗環(huán)境如圖2所示，利用虛擬機和常見物聯(lián)網(wǎng)設(shè)備搭建一個物聯(lián)網(wǎng)場景進(jìn)行態(tài)勢感知工作，本文場景中使用了常見物聯(lián)網(wǎng)設(shè)備，如藍(lán)牙手環(huán)、無線路由器、Zigbee設(shè)備等，手環(huán)主要是測試藍(lán)牙模塊的安全性，無線路由器主要是測試Wi-Fi模塊安全性，Zigbee設(shè)備主要是測試Zigbee協(xié)議上的安全性。

圖2 實驗環(huán)境 Figure 2 Experimental environment

經(jīng)過物聯(lián)網(wǎng)固件安全性分析模塊得到各固件的安全性測試報告。選取T時刻的安全性情況進(jìn)行態(tài)勢評估，漏洞分布情況如表3所示。

表3 漏洞分布情況Table 3 Vulnerabilities distribution

當(dāng)前情況下多為中危風(fēng)險項，同時存在一定程度的高風(fēng)險項和緊急風(fēng)險項，經(jīng)過上述理論融合得到的態(tài)勢評估結(jié)果如表4所示，可以看到系統(tǒng)以64%的概率處于中風(fēng)險等級，即該時刻系統(tǒng)風(fēng)險評估等級為中風(fēng)險，在高風(fēng)險等級上的概率接近12%，符合該時刻的真實情況。

表4 T時刻態(tài)勢評估結(jié)果Table 4 T time situation assessment result

對于圖2搭建的物聯(lián)網(wǎng)環(huán)境進(jìn)行連續(xù)監(jiān)測，對同一固件的不同版本進(jìn)行測試，收集一段時間內(nèi)8個時刻的態(tài)勢評估結(jié)果進(jìn)行態(tài)勢感知任務(wù)，收集到的8個時刻態(tài)勢評估結(jié)果如表5所示，可以看出，有兩個時刻系統(tǒng)呈現(xiàn)出高風(fēng)險等級，其余時刻是中風(fēng)險等級。

表5 T1～T8時刻態(tài)勢評估結(jié)果Table 5 T1～T8 time situation assessment result

態(tài)勢感知結(jié)果如表6所示。從表6中可以看出，在該時間段內(nèi)系統(tǒng)以接近49%的概率處于中風(fēng)險等級，受到T7時刻的影響，高風(fēng)險等級概率處于20%左右，未來需要注意加強安全防護(hù)措施。傳統(tǒng)D-S證據(jù)理論融合結(jié)果顯示中風(fēng)險等級概率約99%，但是基本概率分配幾乎接近1，忽視對其他風(fēng)險的感知，而本文方法在各風(fēng)險等級上都有合理的基本概率分配，既與預(yù)期相符合，又能指出高風(fēng)險和緊急風(fēng)險的可能性，更具有指導(dǎo)意義。

表6 態(tài)勢感知結(jié)果Table 6 Situation awareness result

為了定量化描述態(tài)勢感知結(jié)果，繪制態(tài)勢感知曲線，本文方案對5個評語量化值分配[17]{2,4,6, 8,10}，定義態(tài)勢值為

其中，e(θi)是θi評語的分值，m(θi)是融合后的θi評語基本概率分配值。

對T1-T8時刻繪制物聯(lián)網(wǎng)安全態(tài)勢感知趨勢曲線，結(jié)果如圖3所示，從曲線趨勢上來看，態(tài)勢呈上升趨勢，意味著將來風(fēng)險升高，需要加強防護(hù)措施。

圖3 物聯(lián)網(wǎng)安全態(tài)勢感知趨勢曲線 Figure 3 IoT security situational awareness trend curve

4 結(jié)束語

本文通過深入調(diào)研物聯(lián)網(wǎng)態(tài)勢感知系統(tǒng)的現(xiàn)狀，提出了基于改進(jìn)D-S證據(jù)理論的態(tài)勢評估和態(tài)勢感知方法，經(jīng)過實驗對比，主要結(jié)論如下。

1) 利用改進(jìn)的Topsis方法衡量證據(jù)間的可信度，能準(zhǔn)確快速識別沖突證據(jù)，降低沖突證據(jù)的可信度，并保證相互支持證據(jù)間的高可信度。在不同數(shù)量證據(jù)體融合和常見沖突證據(jù)融合時對正確命題的基本概率分配高。

2) 提出基于時間折扣和高風(fēng)險漏洞比例折扣的D-S證據(jù)理論，在態(tài)勢感知過程中，充分預(yù)測了高風(fēng)險和緊急風(fēng)險的概率，并得到了態(tài)勢感知曲線，對將來安全防護(hù)有良好的指導(dǎo)意義。