セキュリティメトリックの分類は何ですか？

セキュリティメトリックは、システムのセキュリティレベルを評価し、セキュリティ目標を実装するために使用されます。セキュリティ分析には複数のセキュリティメトリックがありますが、ネットワーク到達可能性情報に基づくセキュリティメトリックの体系的な説明はありません。これに対処するために、ネットワーク到達可能性情報に基づいた既存のセキュリティメトリックの体系的な説明を提案します。主に、セキュリティメトリックをホストベースのメトリックとネットワークベースのメトリックに分類できます。

ホストベースのメトリックは確率なしと確率ありのメトリックに定義され、ネットワークベースのメトリックはパスベースと非パスベースに定義されます。

セキュリティメトリクスの分類は次のとおりです-

• ホストベースのセキュリティメトリクス −ホストレベルのメトリックは、ネットワーク内の単一ホストのセキュリティレベルを定量化するために使用されます。ホストレベルのメトリックを、確率なしと確率ありなどの2つのタイプに分類できます。この分類の理由は次のとおりです-

  • 攻撃の確率値を見つけることが不可能な場合があります。

  • 一部の分析と最適化は、確率の割り当ての有無にかかわらず完了することができます。

• 確率値のない指標 −確率なしでメトリックを要約できます。確率値のないメトリックのインスタンスは、攻撃の影響、攻撃コスト、基本的な必須測定、ミンカット分析、平均修復時間（MTTC）、平均修復時間（MTTR）などです。

  確率値のある指標 −逆に、確率のあるセキュリティメトリックには、確率セキュリティメトリック、Common Vulnerability Scoring System（CVSS）メトリックなどが含まれます。攻撃グラフ（AG）は、攻撃者がターゲットの脆弱性に到達するためのいくつかの可能な方法を定義する非循環有向グラフです。

• ネットワークベースのセキュリティメトリクス −このカテゴリのメトリックは、ネットワークのメカニズムを使用して、ネットワークのセキュリティプロパティを集約します。これらのメトリックは、パスベースのメトリックと非パスベースのメトリックを含む2つのタイプに分類できます。

  非パスベースの指標 −非パスベースのメトリックでは、ネットワークの構造と属性は処理されません。代わりに、ネットワークのセキュリティはネットワーク構造に関して定量化されます。このタイプのメトリックのインスタンスは、ネットワーク侵害率（NCP）メトリックです。

  このメトリックは、攻撃者がネゴシエートできるネットワーク資産の割合を示します。 NCPメトリックの目的は、このパーセンテージを最小化することです。もう1つの例は、攻撃者がそれらをネットワークへのエントリポイントとして使用できるようにする脆弱性のグループです。

  たとえば、ホスト上で実行されているWebサービスは、攻撃者がネゴシエートする最初のターゲットになる可能性があります。最も弱い敵対者（WA）メトリックは、ネットワークのセキュリティを評価するために使用できるネットワークベースのメトリックでもあります。 WAメトリックでは、強力な属性セットに対して脆弱なネットワーク構成は、元の攻撃者属性の弱いセットに対して脆弱なネットワーク構成よりも保護が強いと定義されています。

  パスベースの指標 −パスベースのメトリックは、ネットワークの到達可能性データ（たとえば、ホスト間の到達可能性、ホストXからホストYへの最短パスなど）を使用して、ネットワークのセキュリティレベルを定量化します。