滚动信息2

摘要:大数据技术在推动数据资源集聚、共享与深度利用的过程中，也使网络信息安全风险呈现来源多元、传播迅速、关联复杂和动态演化等特征。传统风险评估方法主要依赖人工检查、静态指标与周期性分析，难以及时识别跨系统、跨业务和跨层级的复合风险。针对这一问题，文章分析大数据环境下网络信息安全风险的主要特征及现有评估工作的不足，构建由数据采集、指标量化、风险计算、等级判定和动态反馈组成的风险评估模型。模型以资产价值、威胁强度、脆弱性程度、安全防护能力和风险影响范围为核心变量，通过多源数据融合、组合赋权和动态计算提升评估结果的准确性与时效性，为网络安全预警、资源配置和应急处置提供依据。

关键词：大数据，网络信息安全，风险评估，指标体系，动态预警

引言

云计算、物联网、移动互联网和人工智能的发展推动数据规模持续扩大，网络系统之间的连接关系更加复杂。业务数据、用户数据、设备日志和访问行为在多个节点流动，数据泄露、恶意攻击、权限滥用、系统漏洞和供应链风险可能相互叠加，使局部安全事件演变为系统性风险。现有网络信息安全风险评估常采用专家打分、检查清单和固定权重等方式，能够反映特定时点的安全状态，却难以适应风险快速变化和数据实时更新的要求。构建面向大数据环境的动态风险评估模型，需要整合网络流量、终端日志、漏洞信息、资产信息和安全事件等数据，建立覆盖风险识别、计算、分级与反馈的完整机制，使风险评估由经验判断转向数据驱动，由定期检查转向持续监测。

一、大数据环境下网络信息安全风险评估的现实基础

1.网络信息安全风险呈现复合化特征

大数据环境扩大了数据采集、存储、流转与共享的范围，网络信息安全风险由单一设备故障或局部入侵转变为跨终端、跨系统、跨业务的复合风险。云服务器、物联网设备、业务数据库与移动办公终端保持高频连接，任何薄弱节点都可能成为攻击入口。某单位业务系统在凌晨出现一个普通账号异地登录现象，该账号随后连续调用人员信息查询接口，并在十分钟内下载数百份数据文件。防火墙只记录到少量访问请求，终端安全软件也未发现恶意程序，奇安信天擎采集的设备登录日志、深信服防火墙形成的流量日志与数据库审计记录建立关联后，能够识别“异常登录—权限调用—批量查询—数据下载”的风险链条。大数据环境中的风险具有隐蔽触发、关联传播和快速扩散特征，孤立告警不足以反映事件的真实危险程度，风险评估必须面向数据、身份、设备、行为和业务之间的关联关系。

2.传统风险评估方式存在适应局限

传统网络信息安全风险评估多以人工检查、漏洞扫描、制度核验和专家评分为主要手段，评估结果容易受到检查周期、人员经验与固定指标的限制。季度检查发现服务器存在高危漏洞时，漏洞可能已经持续暴露数周，静态风险报告无法反映暴露期间出现的扫描探测、异常连接和权限变更。某单位使用绿盟远程安全评估系统完成漏洞扫描，发现一台文件服务器存在组件版本过旧问题，人工评分仅依据漏洞等级将其判定为中等风险。日志分析显示该服务器保存多类重要业务资料，近期端口探测次数明显增加，关联账号还出现多次登录失败，单纯依据漏洞等级得出的结论低估了实际风险。固定权重也难以体现业务状态变化，普通时期的非核心系统可能在数据集中上报阶段成为关键节点。传统评估方式缺少连续监测、实时计算与关联分析能力，难以支撑大数据环境下快速变化的安全管理需求。

3.大数据技术提供动态评估条件

大数据技术能够汇聚网络流量、设备状态、漏洞信息、访问行为、数据库操作和安全告警，为风险评估提供完整的数据基础。平台可利用华为云日志服务采集多源日志，通过数据清洗统一时间格式、字段名称和资产编号，再采用聚类分析、孤立森林与时序分析识别偏离正常模式的行为。某业务账号日常访问量保持在每小时三十次以内，某日访问量突然上升至三百次，访问对象由普通业务表转向敏感信息表，登录终端也由固定办公设备变为未知设备。模型可将访问频率、数据敏感等级、设备可信状态和历史行为基线纳入计算，自动提升风险分值并触发二次身份核验、临时权限限制和人工复核。风险处置结果还能反馈至模型，用于调整指标权重和预警阈值。多源数据融合、行为基线分析与动态计算构成网络信息安全风险精准评估的技术基础。

二、大数据环境下网络信息安全风险评估模型的构建路径

1.构建多源数据驱动的风险评估指标体系

风险评估模型需要围绕网络资产、外部威胁、系统脆弱性、安全防护和事件影响建立多维指标体系，将分散的安全信息转换为能够比较与计算的数据。网络资产维度设置业务重要程度、数据敏感等级、用户覆盖规模、系统依赖关系、故障恢复时间等指标；外部威胁维度设置攻击频率、恶意地址数量、异常流量比例、攻击技术复杂度、威胁持续时间等指标；系统脆弱性维度设置漏洞数量、漏洞等级、补丁延迟时间、弱口令数量、错误配置比例和开放端口数量等指标；安全防护维度设置身份认证强度、访问控制完整度、数据加密覆盖率、日志留存率、备份有效率和应急响应速度等指标；事件影响维度设置数据泄露规模、业务中断时长、受影响资产数量、经济损失程度和合规责任等级等指标。数据来源可覆盖深信服下一代防火墙、奇安信天擎终端安全管理系统、绿盟远程安全评估系统、安恒数据库审计系统以及单位现有的身份认证和运维管理系统。模型应统一设备编号、用户标识、时间格式和事件类型，对重复告警、缺失字段、异常数值进行清洗，形成以“资产—账号—行为—事件”为主线的数据关联结构。某核心业务服务器检测出三个高危漏洞，基础漏洞数据只能说明系统存在技术缺陷；该服务器保存重要业务资料，近七日遭受多次端口扫描，关联管理员账号出现连续登录失败，备份文件已有较长时间未完成有效性校验，多个指标结合后能够呈现更高的综合风险。不同量纲的指标可采用极差标准化方法映射到统一数值区间，防护能力等逆向指标需要进行反向处理。指标体系还应标明采集频率、数据责任部门、可信程度和更新期限，避免陈旧数据干扰评估结果。多维指标能够将隐蔽、分散和动态变化的安全风险转化为可识别、可计算、可追溯的风险信息。

2.设计组合赋权与动态风险计算方法

风险计算方法应兼顾安全管理经验与客观数据变化，采用层次分析法和熵权法形成组合权重。层次分析法可由网络安全、业务管理、数据管理和设备运维人员对指标重要程度进行两两比较，建立判断矩阵并完成一致性检验，体现核心业务保护和敏感数据管理的实际要求。熵权法依据一定周期内各项指标的离散程度计算客观权重，异常流量增长率、漏洞暴露时间、未知终端接入次数等变化较大的指标能够获得更高关注度。组合权重可按照管理需求设定主观权重与客观权重的比例，并根据真实事件处置结果进行修正。模型将资产价值、威胁强度、脆弱性程度、防护能力和事件影响分别记为A、T、V、C和I，基础风险值可表示为R＝w₁A＋w₂T＋w₃V＋w₄（1－C）＋w₅I。时间衰减系数用于降低早期历史事件对当前结果的影响，风险增长系数用于反映短时间内告警数量快速上升的状态，关联传播系数用于描述风险从一个账号、终端或系统向其他节点扩散的程度。某普通账号在非工作时段通过未知终端登录业务系统，五分钟内连续查询多个敏感数据表，并产生高于日常基线十倍的下载流量，单项指标可能只达到一般风险阈值。账号异常、终端异常、访问对象异常与流量异常形成关联后，模型可提高威胁强度和影响范围分值，将风险等级调整为较高风险。风险值可划分为低风险、一般风险、较高风险和重大风险，分别对应持续观察、限期整改、重点核验和即时处置。模型输出不应局限于风险等级，还要展示主要贡献指标、风险变化曲线、关联资产和计算依据，使管理人员能够判断风险分值上升的原因。经人工确认的真实事件、误报告警与处置损失可作为训练数据，用于优化阈值和参数，动态计算机制能够提升风险判断的及时性与可信度。

结论

大数据环境改变了网络信息安全风险的生成方式、传播路径与影响范围，风险评估需要由周期性人工检查转向多源数据支撑的动态识别。本文围绕网络资产、外部威胁、系统脆弱性、安全防护和事件影响构建多维指标体系，利用层次分析法与熵权法确定组合权重，引入时间衰减系数、风险增长系数和关联传播系数，对网络流量、设备状态、账号行为、漏洞信息与数据库操作进行综合计算。模型通过风险分级、异常预警、处置建议、人工复核和结果反馈形成运行闭环，能够识别孤立告警之间的潜在联系，呈现风险形成原因与扩散过程。模型应用还需严格落实数据分级分类、最小权限控制、国密算法加密和日志全程留痕，定期检验预警准确率、误报率与处置效率。多源数据融合、动态风险计算和持续反馈校正能够提高评估结果的准确性、时效性与可解释性，为网络安全资源配置、风险预警和应急决策提供可靠依据。

参考文献

[1] 全国信息安全标准化技术委员会. GB/T 20984—2022 信息安全技术 信息安全风险评估方法[S]. 北京：中国标准出版社，2022.

[2] 全国信息安全标准化技术委员会. GB/T 22239—2019 信息安全技术 网络安全等级保护基本要求[S]. 北京：中国标准出版社，2019.

[3] 全国信息安全标准化技术委员会. GB/T 28448—2019 信息安全技术 网络安全等级保护测评要求[S]. 北京：中国标准出版社，2019.

[4] 全国信息安全标准化技术委员会. GB/T 36627—2018 信息安全技术 网络安全等级保护测试评估技术指南[S]. 北京：中国标准出版社，2018.

权震

洛阳职业技术学院