[论文解读] A Survey on Security Metrics

Marcus Pendleton, Richard Garcia-Lebron+1 more|arXiv (Cornell University)|Jan 20, 2016

Information and Cyber Security参考文献 83被引用 8

一句话总结

本综述提出了一种新型四类安全度量分类法——用于衡量系统漏洞、防御措施、威胁以及情境结果，提供了一个系统化的框架，以统一和评估现有度量。它指出了当前研究中的关键空白，并呼吁学术界、产业界和政府合作，以标准化度量定义并推进安全建模的理论与实践发展。

ABSTRACT

The importance of security metrics can hardly be overstated. Despite the attention that has been paid by the academia, government and industry in the past decades, this important problem stubbornly remains open. In this survey, we present a survey of knowledge on security metrics. The survey is centered on a novel taxonomy, which classifies security metrics into four categories: metrics for measuring the system vulnerabilities, metrics for measuring the defenses, metrics for measuring the threats, and metrics for measuring the situations. The insight underlying the taxonomy is that situations (or outcomes of cyber attack-defense interactions) are caused by certain threats (or attacks) against systems that have certain vulnerabilities (including human factors) and employ certain defenses. In addition to systematically reviewing the security metrics that have been proposed in the literature, we discuss the gaps between the state of the art and the ultimate goals.

研究动机与目标

• 为解决美国政府和研究委员会长期认定为难题的安全度量问题，即该领域长期存在的开放性难题。
• 开发一个统一的、系统化的分类法，将安全度量划分为四个相互关联的类别：漏洞、防御、威胁和情境。
• 弥合当前安全度量与实现整体安全建模及实际决策所必需的理想度量之间的差距。
• 倡导在安全出版物和课程中采用标准化的度量定义，以推动安全度量领域的研究与教育发展。

提出的方法

• 基于因果关系提出一种新型分类法：威胁利用系统漏洞，导致受防御影响的情境结果。
• 将现有安全度量划分为四类：漏洞度量、防御度量、威胁度量和情境度量。
• 分析数学属性（如可加性和单调性）以评估度量质量与测量可行性。
• 综述四类度量在安全度量领域的文献，强调其理论与实际应用。
• 识别当前度量的局限性，如缺乏标准化、数学属性差以及真实世界数据获取不足。
• 建议建立学术界、产业界和政府之间的合作模式，以促进数据共享、度量标准化和课程开发。

实验结果

研究问题

• RQ1 哪些是涵盖网络攻击-防御交互全生命周期的根本性安全度量类别？
• RQ2 如何利用可加性、单调性等数学属性对安全度量进行形式化定义与评估？
• RQ3 当前安全度量与实现有效安全建模与决策所必需的度量之间存在哪些关键差距？
• RQ4 学术界、产业界和政府如何协作以弥合安全度量标准化与数据共享方面的差距？
• RQ5 安全度量在时间维度和不同系统配置下的理论建模与实际系统评估中应发挥何种作用？

主要发现

• 所提出的分类法将安全度量组织为四个相互关联的类别：漏洞、防御、威胁和情境结果，提供了一个整体性框架。
• 大多数现有安全度量缺乏形式化的数学属性（如可加性），这阻碍了在不同系统间进行可靠测量与转换。
• 安全出版物中缺乏标准化的度量定义，限制了研究的可复现性与可比性。
• 安全系统中的涌现行为削弱了可加度量的可行性，表明需要采用其他结构属性。
• 产业界掌握着宝贵的真实世界数据，但数据共享受到隐私与保密性担忧的阻碍，需建立机构激励机制。
• 本综述呼吁将安全度量整合进学术课程，并在出版物中标准化度量定义，以推动该领域的发展。