黎学斌, 范九伦, 刘意先

(西安邮电大学 通信与信息工程学院， 陕西 西安 710121)

基于AHP和CVSS的信息系统漏洞评估

黎学斌, 范九伦, 刘意先

(西安邮电大学 通信与信息工程学院， 陕西 西安 710121)

摘要:针对现有信息系统漏洞危害性评估结果缺乏通用性的缺点，提出一种信息系统漏洞评估算法。该算法从漏洞分类和资产分类两个方面建立评价指标体系，以通用漏洞评分系统的评分为基础，运用层次分析法对信息系统进行漏洞危害性评估，得到系统的漏洞危害性评分。仿真结果表明，该信息系统漏洞评估算法结果与通用漏洞评分系统的标准兼容，具有一定的通用性。

关键词:漏洞评估；层次分析法；通用漏洞评分系统

信息系统软硬件安全漏洞评估是信息系统脆弱性评估的重要组成部分。目前,常用的信息系统风险评估方法有：定量评估法、定性评估法以及定量与定性相结合的综合评估法[1]。在综合评估法中，层次分析法(AnalyticHierarchyProcess，AHP)[2]是使用最为广泛的方法之一，已成功应用于层次化网络安全威胁态势量化评估、信息系统漏洞风险定量评估、漏洞严重性的灰色层次分析评估、基于漏洞类别的漏洞威胁评估等方面[3]。文献[4-9]基于AHP及其改进方法进行漏洞评估，并针对实例进行分析验证。现有利用AHP的漏洞评估方法只是关注与漏洞有关的要素的权值分配问题，对进行评价的基础分值没有统一标准，导致漏洞评估结果缺乏说服力和通用性。此外，现有方法只能以单个漏洞作为评价对象而忽略了对整个系统漏洞的综合评价，限制了它们在实际环境中的应用。……