1、隨著網(wǎng)絡應用的普及和網(wǎng)絡結構的日益復雜，網(wǎng)絡安全問題愈發(fā)嚴峻。風險評估作為網(wǎng)絡安全技術從被動防御到主動防御的有效轉變，對解決網(wǎng)絡安全問題有重大意義。然而，早期的風險評估方法大多是針對單個弱點的危害性評估，忽略了真實網(wǎng)絡環(huán)境中攻擊者利用弱點依賴關系和主機連通關系進行多步攻擊而造成的危害。因此，作為能夠模擬弱點依賴關系及主機連通關系的攻擊圖被應用于網(wǎng)絡安全風險評估方法中。但目前基于攻擊圖的風險評估方法在計算節(jié)點概率時大多忽略了攻擊者實施攻擊

2、的可能性，給評估結果帶來了偏差;同時由于安全風險評估指標大多單一，只能體現(xiàn)網(wǎng)絡安全狀態(tài)的一個側面，導致風險評估結果不準確，給將來的安全防御工作帶來了困難。
　　針對上述問題，本文首先將OVAL、MulVAL、攻擊圖模型、CVSS評分與貝葉斯網(wǎng)絡相結合，提出了一種擴展貝葉斯攻擊圖模型;然后將擴展貝葉斯攻擊圖中的節(jié)點概率與已有的基礎安全指標相結合形成了概率安全指標;最終對該指標進行融合提出了一種基于擴展貝葉斯攻擊圖的多指標風險評估方法

3、。該方法不僅將攻擊實施概率考慮在內(nèi)，提高了節(jié)點概率的準確性，而且對基礎安全指標進行了改進與融合，使評估結果更加全面準確，為將來的防御工作提供了依據(jù)。主要工作包含以下幾個方面:
　　(1)詳細闡述了OVAL的三種模式及其標準格式，對其結果文件中的系統(tǒng)特征信息及弱點信息進行了深入研究，并對其通過MulVAL攻擊圖自動構建工具生成攻擊圖的工作流程進行了深入分析，為后期構建擴展貝葉斯攻擊圖奠定了基礎。
　　(2)深入研究了貝葉斯網(wǎng)絡

4、的計算方法，同時結合由CVSS評分、專家經(jīng)驗和MulVAL中的規(guī)則得出的攻擊實施概率及攻擊成功概率提出了擴展貝葉斯攻擊圖模型，使得節(jié)點概率的計算結果更加準確，為后期的風險評估工作提供了依據(jù)。
　　(3)詳細論述了基礎安全指標的特點與不足，并將其與擴展貝葉斯攻擊圖中的節(jié)點概率相結合形成了最大累積概率指標、歸一化平均路徑概率指標等概率安全指標，同時對其進行算法融合從而提出了一種基于擴展貝葉斯攻擊圖的多指標風險評估方法。該方法能全面展現(xiàn)