76、网络抵御未知攻击的 k - 零日安全度量

网络抵御未知攻击的 k - 零日安全度量

在当今数字化时代，关键基础设施和企业对联网计算机系统的依赖程度与日俱增。保障这些系统免受潜在网络入侵的威胁，成为了至关重要的任务。然而，在提升网络安全性之前，我们首先需要能够对其进行准确的度量，因为无法度量就难以改善。

1. 引言

传统的网络安全度量方法通常会根据已知漏洞的相对可利用性或可能性为其分配数值分数，这些分配往往基于每个漏洞的已知信息，例如是否需要经过身份验证的用户账户。但当涉及到零日漏洞时，由于我们对其缺乏先验知识和经验，这种方法就不再适用。

无法度量未知零日漏洞可能会降低安全机制的价值，因为攻击者可以绕过现有的安全措施为所欲为。例如，即使网络配置看似更加安全，但如果它对零日攻击同样脆弱，那么这种配置的价值就会大打折扣。因此，我们需要一种新的安全度量方法来解决这个问题。

本文提出了一种名为 k - 零日安全的新型安全度量指标。该指标不关注哪个零日漏洞更有可能被利用，而是统计攻破一个网络资产所需的不同零日漏洞的数量。这个数量越大，说明网络相对越安全，因为同时存在多个未知漏洞，且这些漏洞适用于同一网络并能被同一攻击者利用的可能性会更低。

2. 动机示例

我们通过一个简单的网络示例来直观理解 k - 零日安全的概念。在这个示例中，主机 1 提供 HTTP 服务（http）和安全外壳服务（ssh），主机 2 仅提供 ssh 服务。防火墙允许与主机 1 之间的流量，但只允许来自主机 2 的连接。假设主要的安全关注点是主机 2 的根权限。

如果所有服务都没有已知漏洞，漏洞扫描器或攻击图都会得出网络安全的结论，即主机 0 上的攻击者永远无法获得主机 2 的根