王冰 姜琳
北京联通，北京 100000
摘要：文章主要是对人工智能算法在信息风险评估当中的实际应用展开了分析，同时在比较智能以及传统风险评估算法的基础上对信息安全风险评估领域当中的人工智能方法进行了探讨，望能为有关人员提供到一定的参考和帮助。
关键字：信息安全风险评估；人工智能；层次分析法
1前言
信息安全风险能够有效放置到信息受到各方面因素的威胁，从而有效确保到业务的安全性，减少到业务的风险性。信息安全风险能够对即将要发生的风险进行有效的评估以及预测，能够在最大程度上减少到经济的损失以及负面影响。
2风险评估模型中的智能方法
层次分析法是一种对风险问题建立层次结构并根据评价者的主观判断确定各因素变量的传统的风险评估方法，而模糊综合评判是对具有多种属性或总体优劣受多种因素影响的事物做出一种能合理地综合这些属性或因素的总体评价的多因素决策方法。模糊综合评判法是一种智能方法。在信息安全风险评估模型中，模糊综合评判是根据专家对信息系统的评价结果运用模糊逻辑和熵理论求得信息系统的风险等级，确定在某些方面采取一定程度的安全防范措施，以确保信息系统的安全。熵理论是另一种在风险评估中会经常用到的智能方法。在进行信息安全风险评估的过程中，通常会将2种或者多种方法相结合进行综合评估，如结合层次分析法和模糊综合评判法的多层次模糊综合评判法，结合模糊逻辑和熵权理论的综合风险评估方法等。贝叶斯网络通过由节点和连接这些结点的有向边构成的有向无环图编码一组随机变量和它们之间的概率依赖关系，是一种概率图模型。BN方法适用于存在大量主观因素和不确定信息的风险评估问题。由于其本身的限制性，在信息安全风险评估中对它的实例应用还不是很多。证据理论是由Dempster提出并由他的学生Shafer进一步发展起来的一种不精确推理理论。D-S理论和概率论的主要区别是它允许明确表示未知和证据的组合，能够解决包含不确定性的复杂的风险问题。D-S 理论与贝叶斯理论的不同之处在于贝叶斯理论需要有统一的识别框架、完整的先验概率和条件概率知识，只能将概率分派函数指定给完备的互不包含的假设。而D-S理论中各命题下的证据可以相互包含，它满足比贝叶斯理论更弱的评估条件。在对风险发生的概率进行评估时，证据推理方法可以确定出不同的证据模型下不同结果出现的概率。神经网络由多个能够解决一些困难而又重要的问题的高度连接的神经元组成。经过训练后的神经网络能够解决具有相似特点的不同类风险问题。在风险评估中经常用到的神经网络方法有反射传播神经网络和径向基函数神经网络( RBF神经网络，radial basis function neural network)。BP神经网络具有自学习能力，不必先描述数学公式的映射就能够在输入和输出之间实现复杂的非线性关系。在用BP神经网络进行信息安全风险评估时，可以先引入模糊理论，对风险因素进行预处理，从而有效地减少评估过程中专家打分的主观因素，然后采用BP神经网络对预处理后的因素进行学习，获得信息安全风险评估等级。由于BP神经网络结构设计的盲目性和在学习能力、收敛速度等方面存在缺陷，在信息安全风险评估中已经开始引入小波神经网络。遗传算法是一种通过模拟自然进化过程搜索最优解的全局优化搜索算法。遗传算法具有强大的全局搜索能力，且收敛速度较快，可以弥补神经网络进化速度较慢且容易陷入局部最优解的缺点，因而在风险评估中可以综合使用神经网络和遗传算法，通过遗传算法来进化神经网络的权值和阀值。以上这些人工智能中的研究方法都是在信息安全风险评估中经常用到的。虽然智能方法有很多种，信息系统的类别、大小、要求也不尽相同，但对于不同类风险模型需要根据模型中指标的数量、指标之间的关联程度、对应各指标的已知条件选择合适的智能方法。
下文是对几种典型的智能方法在风险评估模型中应用的实例分析。
3智能方法应用分析
下面对几种常用的智能算法在不同类评估模型中的应用作简要概括和比较，为以后在信息安全风险评估过程中针对不同的评估模型选择相应的智能算法提供指引。
3.1层次分析法和模糊综合评判
层次分析法是基于对各个原始指标重要性的主观排序，经过一系列矩阵运算来给每个原始变量确定一个权数。从用层次分析法进行风险评估的文献中可以看出: 层次分析法所依据的定性成分较多，不易令人信服； 层次分析法适合于指标数有限的情况，当指标过多时，数据统计量大且权重难以确定； 其特征值和特征向量的精确求法也比较复杂； 在使用层次分析法的过程中还易出现“完全一致性”问题。而模糊综合评判法是较层次分析法更客观且更专业的一种评估方法。模糊综合评判是基于对信息系统的专家评价，通过风险分类组合信息系统，从而增强对信息系统安全风险的关联性和紧迫性的认识。在复杂的信息系统中，由于要考虑的因素较多，各因素之间又存在一定的层次性，就必须采用分层逐级评判的方法，即多层次模糊综合评判法。根据各指标的权重值和指标所属的风险因素的权重值对它们的权重进行归一化，再通过专家评价法对这9个指标的风险等级进行评价。假设把风险等级分为{ 高，较高，中，较低，低} 5个等级，通过统计，每个专家将每个二级指标归类到哪一个风险等级，可以列出对应这4个风险因素的4个判断矩阵。将这些矩阵归一化，即得到这4个风险因素的模糊关系矩阵。最后再进行两步模糊变换: 将之前用层次分析法算得的各指标的权向量W1、W2、W3、W4 分别与这些模糊关系矩阵进行合成得出4个单层次评价结果，并将这些评价结果组成一个综合模糊关系矩阵R； 将4个风险因素的综合权重W与这个模糊关系矩阵R合成，得到模糊综合评价结果。针对该结果根据最大隶属度原则判断该系统的安全风险等级。通过以上分析可以看出，在风险评估中，多层次模糊综合评判法解决了评估过程中定性指标定量评估的难点。通过此方法，可以确定各要素的相对风险程度和整个信息系统的安全风险等级，从而提高对信息系统安全风险的认识，在控制风险、减少风险和转移风险中做出正确的判断。
3.2基于信度函数的证据理论方法
层次分析法在对各个原始指标的重要性进行排序的过程中，其主观性较强，不能完全使人信服。层次分析法和其他智能方法相结合的多层次模糊综合评判，基于熵权理论的多层次模糊综合评判法等综合评价方法会减弱层次分析法的主观性成分，但同样难以避免。提出了基于信度函数的证据理论来解决这一问题。证据推理方法采用信任函数而不是概率作为度量，与概率论相比，可以不需要先验概率和条件概率密度； 具有比较系统的理论知识，既能处理随机性所导致的不确定性，又能处理模糊性所导致的不确定性； 可以依靠证据的积累，不断缩小假设集。因而证据理论对于解决不确定性问题具有强大的处理能力。
4结束语
由上可知，风险评估模型当中的智能算法的选择应当取决于已经得知的风险，为此在评估开始之前就应当选择最为适合的智能方法，然后结合到智能方法的评估过程能够更加的客观以及合理。
参考文献
[1]李新. 基于人工智能算法的无线移动通信系统风险评价[J]. 现代电子技术, 2020, 043(001):12-15.
[2]刘永磊, 金志刚, 郝琨,等. 基于STRIDE和模糊综合评价法的移动支付系统风险评估[J]. 信息网络安全, 2020(2):49-56.