1基于设备安全性的贝叶斯网络模
影响信息安全性的主要因素有资产、威胁、脆弱性和安全措施四个方面，根据这四个因素之间的逻辑关系可以建立6个基本的贝叶斯网络模型，如图1。上图中T表示威胁，V表示脆弱性，C表示防御措施，S表示安全事件。根据图1中的mod1可知，当T为独立事件时，C可以使得V下降，而T和V则共同影响S。mod2说明C对V和S都有较大影响。Mod3中的T为非独立事件时，T会受到C的影响。Mod4则说明C对其它三个因素都可能产生直接影响。根据Mod5可知，通过V，T的吸引力会增加，由此其发生的可能性也显著上升。Mod6则综合考虑了各因素之间的关系。上图中的不同模型就可以对不同的攻击-防御模式进行详细的表达。对于图1中的各因素，可以利用贝叶斯网络的条件概率来确定相互之间的量化关系。假设P（C）和P（T）代表mod1和mod2中的输入，就可以通过公式1来得到mod1输出S的概率，根据公示2可得到mod2输出S的概率。所以，不同结构的安全模型，其安全事件的概率计算方法也存在一定差异。模型中各节点之间的依赖性越强，模型条件概率表的复制难度也越大。本文基于计算的复杂性和模型表现力之间关系，主要以Mod1、Mod3、Mod5为PCM设备的基本安全模型。
2基于贝叶斯网络的PCM设备安全模型
从图2不难发现，雷击发生后，PCM设备供电电源系统将会严重受损，进而引起设备供电电源发生中断，影响设备系统的正常运行。从这一层面来看，雷击威胁对PCM设备供电电源系统的安全有着深远影响，可作为提高系统安全性的重要切入点。从经验上来看，借助冗余日按原，配置高校防雷系统，能很大程度上避免系统遭到雷击的几率，减轻雷击给系统造成的不良影响。图2贝叶斯建模在图1中Mod.1、Mod.3与Mod.5的基础上，构建电力通信网PCM设备安全模型基本结构详情如图3所示。图中C1-C12代表12项安全防护措施；T1~T7代表7类给定威胁；V1~V8代表PCM设备在物理与信息方面存在的8类安全脆弱性；S1~S9代表PCM设备在系统安全防护措施严重匮乏的情况下，12种安全性事件的发生几率；G1~G5代表安全事件发生后，对各类数据资料的保密性、可用性等5种安全属性的影响程度。图3基于贝叶斯网络的PCM设备安全模型图3作为一个基于贝叶斯网络的电力通信PCM设备安全模型，其结构很大程度上会受到电力通信PCM设备所具备的安全威胁、防护措施、安全事件等多方面因素的影响。有鉴于此，可初步推断该模型用于电力通信PCM设备的安全性分析可行性高。
3安全模型概率分配分析
贝叶斯网络结构定性主要分析了系统各组成部分所存在的因果联系。贝叶斯网络各节点的概率分配定量则阐述了各条件之间的概率关系。从而，安全性模型除了要分析贝叶斯网络结构定性，还要分析贝叶斯网络各节点的概率分配定量。本文主要分析PCM设备安全模型的概率分配过程的两个步骤：
3.1输入节点赋值
如图3所示，安全防御措施的防御程度节点表示为输入节点，输入节点分为多等级赋值和2等级赋值。多等级赋值中的防御等级往往根据其防御强度分为“高”、“较高”、“中”、“较低”和“低”等5个级别。2等级赋值则将防御强度分为“是”和“否”2个等级。生活中常见的多等级赋值系统有防雷系统、设备更换系统和机房环境监控系统等；而2等级赋值则包含电源冗余、定期维护和软件更新等系统手段。防御措施等级的赋值与评价结果之间有着直接的关联，它能科学有效地反应评价结果的等级划分是否细化和正确。但需注意的是，赋值等级划分不能片面地强调细化，以免增加赋值的难度。赋值方案的是否科学需综合考虑赋值难度和赋值分级合理性两个因素。对于能采用2等级赋值的则尽量采用2等级赋值。
3.2条件概率表赋值
条件概率表赋值操作的重点是父节点的中间节点，如图3所示，父节点基本属于中间节点。如节点V3阐述“被雷击后电源故障”安全事件，它包含电源冗余和防雷系统两个父节点。节点V3的条件概率为表1所示。本文主要综合专家主观评价与NIST公共脆弱性标度系统(CommonVulnerabilityScoringSystem，CVSS)对模型中间节点的条件概率予以确定。
作者：仵珺 杨晶 单位：国网渭南供电公司
