💻 computer science

Bayesian and Multi-Objective Decision Support for Real-Time Incident Mitigation in Critical Infrastructure

本文提出了一种结合分层系统建模、贝叶斯概率推理与多目标优化的实时自适应决策支持框架，旨在通过处理认知不确定性和权衡攻击可能性、影响严重性及系统可用性，为关键基础设施中的网络物理系统安全事件提供高效的缓解策略。

原作者： Shaofei Huang, Christopher M. Poskitt, Lwin Khin Shar

发布于 2026-02-19

📖 1 分钟阅读☕ 轻松阅读

原作者： Shaofei Huang, Christopher M. Poskitt, Lwin Khin Shar

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文提出了一种**“智能应急指挥官”系统，专门用来帮助关键基础设施（比如电网、铁路、太阳能电站）在遭遇网络攻击时，能够实时、聪明地做出防御决策**。

为了让你更容易理解，我们可以把这篇论文的核心思想想象成**“在暴风雨中驾驶一艘巨型邮轮”**。

1. 背景：为什么我们需要这个“指挥官”？

现状：
现在的电网、铁路等关键设施，就像是一艘艘巨大的邮轮，它们不仅由物理机器（引擎、船体）组成，还由复杂的电脑系统（导航仪、通讯器）控制。这些系统互相连接，一旦黑客攻击了电脑系统，可能会导致真实的物理灾难（比如电网瘫痪、火车脱轨）。

痛点：
以前的防御系统就像是一个死板的航海图。

太静态： 它假设风浪是固定的，不知道风暴会突然变大。
信息不全： 它只知道一部分漏洞，不知道黑客手里还有什么新武器。
顾此失彼： 它只考虑“怎么挡住黑客”，却忘了“如果为了挡住黑客而关掉引擎，船也会沉”。它不知道如何在安全、运行和成本之间做平衡。

当黑客真的来了，情况瞬息万变，死板的地图根本帮不上忙。

2. 核心方案：我们的“智能应急指挥官”

这篇论文提出的框架，就像是一个拥有超级大脑的实时船长，它通过三个步骤来指挥防御：

第一步：画一张“动态风险地图” (贝叶斯网络)

比喻： 想象船长手里有一张会呼吸的地图。这张地图不仅画出了船上的所有零件（资产），还标出了哪里可能漏水（漏洞），以及如果这里漏水，船会怎么沉（危害）。
创新点： 这张地图不是画死的。如果黑客攻破了“通讯器”，地图会立刻重新计算：接下来“引擎”被破坏的概率是多少？
处理不确定性： 有时候情报不全（比如不知道某个漏洞的具体编号），船长不会瞎猜，而是用**“概率云”来估算。就像说：“虽然我不确定这个漏洞有多危险，但根据经验，它大概率有 50% 的破坏力。”这种“带置信度的估算”**让决策更靠谱。

第二步：寻找“最佳平衡点” (多目标优化)

比喻： 船长面临一个两难选择：
- 方案 A：彻底关掉所有非核心系统，绝对安全，但船停摆了（可用性低）。
- 方案 B：只修补几个漏洞，船继续跑，但可能被黑客搞坏（风险高）。
创新点： 这个系统不会只选一个答案，而是像**“寻找甜点”一样，在“安全”、“运行”和“成本”之间寻找帕累托最优解**（Pareto-optimal）。
- 它会给出一系列方案：比如“方案 X 能保住 90% 的安全，同时让船保持 80% 的速度”；“方案 Y 能保住 95% 的安全，但船只能开 50% 的速度”。
- 船长（决策者）可以根据当下的紧急情况，从这些方案里挑一个最合适的。

第三步：快速筛选“救命稻草” (基于频率的启发式分析)

比喻： 在暴风雨中，船长没时间慢慢分析几千个方案。系统会快速模拟成千上万次“如果……会怎样”的推演。
创新点： 系统会统计：“在成千上万次模拟中，哪几个补丁被反复证明是最有效的？”
- 如果 90% 的最佳方案都建议先修补“通讯器”，那么系统就会大声告诉船长：“别犹豫了，先修通讯器！”
- 这就像在混乱的战场上，通过观察大多数成功战例，迅速找出那个最关键的防御点。

3. 实战演练：它真的管用吗？

作者用三个真实的“海难”场景测试了这个系统：

太阳能逆变器攻击（像给太阳能板下毒）：
- 黑客试图通过手机 App 控制太阳能板，导致电网频率不稳。
- 结果： 系统成功识别出几个关键的“入口漏洞”，并给出了既能保护电网稳定，又能让太阳能板继续发电的平衡方案。
乌克兰电网攻击（像黑入电力控制中心）：
- 这是历史上著名的黑客攻击事件。
- 结果： 系统发现，仅仅修补一两个漏洞是不够的。它建议**“全面撒网”**，必须同时修补多个环节（从钓鱼邮件到内部权限），否则黑客总能找到路。这解释了为什么以前的防御会失败。
铁路信号系统攻击（像让火车失控）：
- 黑客试图干扰火车的无线信号。
- 结果： 系统发现，一旦黑客突破防线，后果是灾难性的（100% 的撞击风险）。因此，系统建议**“预防重于治疗”**，必须在黑客进入前就层层设防，哪怕牺牲一点运行效率也要确保安全。

4. 总结：这对我们意味着什么？

这篇论文就像给关键基础设施的守护者提供了一套**“智能驾驶辅助系统”**：

不再盲目： 即使情报不全，也能通过概率计算做出最合理的猜测。
不再死板： 能根据黑客的实时动作，动态调整防御策略。
不再顾此失彼： 能在“保安全”和“保运行”之间找到最佳平衡点，而不是为了安全直接“拔电源”。

一句话概括：
这就好比给关键基础设施装上了一个**“会思考、懂权衡、反应快”的超级大脑**，让它在黑客来袭的混乱中，依然能冷静地指挥，既挡住攻击，又保证社会运转不瘫痪。

这篇论文提出了一种针对关键基础设施（Critical Infrastructure, CI）中网络物理系统（CPS）安全事件的实时、自适应决策支持框架。该框架旨在解决现有方法在应对动态威胁时缺乏灵活性、依赖静态假设以及无法有效平衡安全、可用性和风险之间权衡的问题。

以下是该论文的详细技术总结：

1. 研究背景与问题 (Problem)

挑战： 现代关键基础设施（如电网、铁路、可再生能源系统）高度依赖互联的网络物理系统。安全事件可能迅速演变为物理故障和运营中断。
现有方法的局限性：
- 静态假设： 现有决策支持系统通常基于静态模型，无法在事件发生过程中实时更新参数（如漏洞暴露概率）。
- 数据不完整： 依赖单一的漏洞评分（如 CVSS），难以处理缺乏 CVE 编号的专有漏洞或异构数据，且未充分考虑认知不确定性（Epistemic Uncertainty）。
- 单目标优化： 传统方法往往只关注风险最小化，忽略了在资源受限和严格时间约束下，安全加固与系统可用性（Availability）及安全性（Safety）之间的复杂权衡。
- 缺乏实时性： 无法在毫秒级或秒级的时间窗口内为操作员提供可执行的缓解策略。

2. 方法论 (Methodology)

该框架结合了贝叶斯网络（Bayesian Networks, BN）、多目标优化（Multi-Objective Optimisation）和基于频率的启发式分析。其核心流程如下：

2.1 贝叶斯网络建模 (BN Construction)

结构： 构建包含资产节点（Assets）、漏洞节点（Vulnerabilities）和危害节点（Hazards）的有向无环图。
动态更新： 模型使用领域特定语言（DSL，基于 AutomationML）编码，允许在事件发生时快速更新结构和参数。
双图结构： 整合了贝叶斯攻击图（BAG）和贝叶斯影响图（BIG），分别模拟攻击传播路径和后果影响。

2.2 置信度校准的暴露概率计算 (Confidence-Calibrated Exposure Estimation)

为了解决数据不完整和不确定性问题，框架提出了一种混合评估方法：

多源融合： 结合 CVSS（通用漏洞评分系统）、EPSS（漏洞利用预测评分系统）、KEV（已知被利用漏洞）和 LEV（可能被利用漏洞）数据。
贝叶斯校准： 对于没有 CVE 编号的专有漏洞，使用 CVSS 代理分数作为先验，并通过贝叶斯置信校准技术（Bayesian Confidence Calibration）将其转化为具有不确定性感知的后验概率分布。
- 公式核心：将观测到的 CVSS 分数视为潜在真实暴露概率的分布，结合先验信念，计算后验均值和方差。
攻击可行性修饰符 (AF)： 引入 $\phi$ 因子，根据系统防御姿态和攻击者能力调整最终的成功攻击概率。

2.3 多目标优化 (Multi-Objective Optimisation)

目标： 在资源约束下，寻找帕累托最优（Pareto-optimal）的缓解策略组合。
权衡维度：
1. 最小化攻击成功的概率。
2. 最小化严重影响的概率（包括安全、财务、信息、运营和级联影响）。
3. 最大化系统可用性（考虑补丁或缓解措施可能引入的资产故障风险）。
算法： 使用 Optuna 库进行多目标搜索，生成候选的缓解措施组合（Countermeasure Portfolios）。

2.4 基于频率的启发式分析 (Frequency-Based Heuristic Analysis)

目的： 在多次优化运行中，识别出在帕累托最优解集中**最 consistently（一致地）**出现且有效的缓解节点。
机制： 统计不同漏洞节点在最优解中被选中的频率和排名，从而在时间和资源极度受限的实时响应场景中，指导操作员优先处理最关键的控制点。

3. 关键贡献 (Key Contributions)

实时自适应 BN 建模： 提出了一种专为实时响应设计的 BN 建模方法，而非传统的离线风险分析。通过 DSL 编码实现了模型结构的快速动态更新。
混合暴露概率估算框架： 开发了一种结合 CVSS、EPSS、KEV/LEV 的贝叶斯校准技术，能够在缺乏完整元数据的情况下，提供鲁棒的、考虑不确定性的暴露概率估计。
多目标决策支持方法： 将缓解概率作为动态决策变量，通过多目标优化识别平衡安全、安全和运营韧性的帕累托最优策略，并利用频率启发式解决实时决策中的优先级问题。
多场景验证与开源： 在三个代表性场景（乌克兰电网 BlackEnergy 攻击、太阳能光伏逆变器系统、铁路 CBTC 系统）中验证了框架的有效性，并将模型、源代码和数据公开，以促进可复现性。

4. 实验结果与案例分析 (Results & Case Studies)

论文在三个场景下进行了评估：

场景一：太阳能光伏逆变器攻击 (Solar PV Inverter)
- 发现： 优化结果显示了系统内部的规律性。V1-V4 漏洞节点表现出持续的高缓解有效性，是攻击的关键入口。
- 权衡： 部分缓解策略能显著降低严重影响的概率，但对系统可用性的提升有限。
场景二：乌克兰电网 (BlackEnergy Attack)
- 发现： 帕累托前沿显示，攻击概率和系统可用性之间存在线性关系。
- 策略： 需要分布式策略，即同时针对多个漏洞节点（V1-V7）进行缓解。仅针对少数节点（如 V1, V2）的缓解效果极低（约 28.57%）。
- 结论： 即使采取激进的缓解措施，残留风险仍可能存在，需结合实时异常检测。
场景三：铁路 CBTC 系统 (Railway CBTC)
- 发现： 无论使用 CVSS 还是 EPSS 先验，优化结果均倾向于优先保障系统可用性，而非完全阻止攻击。
- 风险： 如果攻击路径被利用，系统缺乏对后果的弹性，导致灾难性影响（概率为 1.0）。
- 对比： 基于 CVSS 校准的分布显示均匀的缓解重点，而基于 EPSS 的分布则显示出更针对性的策略差异。

通用发现：

优化试验次数至少需要 5,000 次 才能生成结构稳定且一致的帕累托前沿（通过 KDE 密度分析验证）。
并发计算（Concurrent Execution）可将优化时间从 15 分钟缩短至 5 分钟，满足实时性要求。

5. 意义与影响 (Significance)

理论意义： 填补了将贝叶斯推理、多目标优化和实时决策支持相结合的空白，特别是在处理认知不确定性和异构漏洞数据方面。
实践价值：
- 为关键基础设施操作员提供了在时间紧迫、资源有限情况下的可执行决策指南。
- 强调了**“权衡”**的重要性：在关键基础设施中，盲目追求最大化的安全可能会牺牲系统可用性，导致运营中断，因此需要寻找帕累托最优解。
- 提供了一种处理未知漏洞（无 CVE）的标准化方法，通过贝叶斯校准将定性或代理数据转化为定量概率。
未来方向： 建议进一步研究频率启发式在安全关键环境中的可靠性，开发收敛诊断工具，并探索动态调整影响权重的机制以适应运行时优先级的变化。

综上所述，该论文提出了一套系统化的、数据驱动的方法，帮助关键基础设施在面对复杂、动态的网络物理攻击时，能够做出更智能、更平衡的实时响应决策。