用于网络安全决策支持的贝叶斯网络：增强技术系统中人机交互

《Applied Sciences》：Bayesian Networks for Cybersecurity Decision Support: Enhancing Human-Machine Interaction in Technical Systems Karla Maradova, Petr Blecha, Vendula Samelova, Tomá? Marada and Daniel Zuth

　　

制造业的日益数字化以及计算机数控（Computer Numerical Control, CNC）和工业控制系统（Industrial Control Systems, ICS）融入工业4.0环境，引入了直接影响运行可靠性的新网络安全风险。用于保护工业控制系统（如数据采集与监视控制系统（Supervisory Control and Data Acquisition, SCADA）、可编程逻辑控制器（Programmable Logic Controller, PLC）和CNC系统）的传统确定性风险评估方法，难以应对不确定性、动态运行条件以及技术与组织因素之间的复杂依赖关系。为克服这些局限性，本研究开发了一个贝叶斯网络（Bayesian Network, BN）模型，该模型捕捉了机器级配置参数、网络条件和潜在安全事件之间的概率关系。该模型应用于一台CNC加工中心（ZPS MCG1000i），支持基于场景的网络安全风险预测，并提供适合操作员决策和人机交互的可解释输出。结果表明，在数据可用性有限和高度不确定的环境中，贝叶斯网络是有效的，为特定配置错误（如启用远程访问或不定期固件更新）如何提升整体系统暴露度提供了透明且可量化的见解。所提出的方法符合当前的监管和标准化要求，包括《NIS2指令》（EU 2022/2555）、《ISO/IEC 27001:2022》、《ISO/IEC 27005:2022》和《法规》（EU）2024/2847（《网络弹性法案》），这些法规定义了具有数字元素的产品的网络安全义务。本研究为在现代工业环境中将网络安全融入机械安全评估提供了一种可重复且面向未来的方法论。

### 基于贝叶斯网络的工业控制系统网络安全决策支持研究解读

#### 研究背景与问题
随着制造业数字化转型的深入，工业控制系统（ICS）和计算机数控（CNC）机床等设备日益融入工业4.0环境，其互联互通性显著扩大了网络攻击面。然而，传统的确定性风险评估方法（如基于通用漏洞评分系统（Common Vulnerability Scoring System, CVSS）评分、攻击树或定性风险矩阵的框架）在处理不确定性、动态威胁态势以及技术与人为因素的复杂交互方面存在局限。这些方法通常依赖静态模型、定性评分或确定性逻辑，难以充分反映现代工业环境中远程诊断、远程服务和数字化决策支持等新型人机交互模式带来的风险。特别是，欧盟新出台的《机械法规》（EU 2024/2847）和《NIS2指令》（EU 2022/2555）等法规框架，明确要求将网络安全风险管理嵌入机械的整个生命周期，但现有方法在量化数字安全配置对整体机械安全的影响、以及满足新法规的具体合规性要求方面仍显不足。因此，亟需一种能够有效整合不确定性推理、支持可解释决策并与现行标准（如ISO/IEC 27005:2022）对齐的风险评估方法。

#### 研究内容与意义
本研究旨在开发并验证一种基于贝叶斯网络（BN）的网络安全风险评估模型，以增强技术系统中的人机交互与决策支持。研究以代表性CNC系统——ZPS MCG1000i加工中心（由捷克Tajmac-ZPS公司生产）为案例，构建了一个概率图模型。该模型能够捕捉机器配置参数、网络条件与安全事件之间的因果关系，支持基于场景的“假设分析”，并为操作员提供透明、可量化的风险洞察。研究的意义在于：1） 提出了一种将ISO/IEC 27005:2022风险登记册元素转化为概率模型的可重复方法论；2） 将贝叶斯网络与NIS2指令、《网络弹性法案》（Cyber Resilience Act, CRA）以及ISO/IEC 27001:2022等关键法规和标准的要求进行映射，为合规性评估提供了透明、可审计的框架；3） 证明了在数据稀缺、不确定性高的工业环境中，贝叶斯网络能够有效量化多重配置弱点交互导致的综合风险，从而支持有针对性的缓解策略优先级排序。该研究成果发表在《Applied Sciences》期刊上。

#### 关键技术方法概述
研究人员采用案例研究设计，以ZPS MCG1000i门式加工中心为研究对象。主要技术方法包括：1） **贝叶斯网络构建**：使用GeNIe Academic 5.0软件，基于专家知识、事件报告和技术文档定义网络结构，节点代表安全因素（如远程访问、固件更新），有向边表示因果关系。2） **条件概率表估计**：采用相对频率估计和狄利克雷先验（Dirichlet Priors）贝叶斯平滑两种互补方法，结合操作日志和专家判断，为节点分配条件概率，以处理稀疏数据并确保模型稳健性。3） **基于场景的评估与验证**：构建反映CNC系统真实配置的网络安全场景，在贝叶斯网络中设置证据（输入节点状态），观察对关键影响节点的后验概率影响，并进行多层面验证（包括结构验证、场景验证和敏感性分析）。

#### 研究结果
**4.1 评估场景的后验概率**
对于设定的场景（远程访问=启用、固件更新=不定期、网络分段=缺失、操作员培训=基础），贝叶斯网络计算出“运行影响=关键”的后验概率P为0.47。这表明在评估配置下，近一半的合理系统状态会导致关键运行影响，量化了多重弱点共同作用下的风险水平。

**4.2 交互效应与模型敏感性**
结果表明，贝叶斯网络对多个控制弱点的交互高度敏感。尽管单个因素可能并不关键，但它们的组合会导致高风险状态概率显著增加。这捕捉了工业网络安全风险的非线性本质，而传统定量方法往往无法体现这一点。

**4.3 数值稳定性与模型稳健性**
后验概率值0.47显示了模型的数值稳定性。敏感性分析表明，输入概率在±10%和±20%的扰动下，并未改变目标节点的定性风险分类，证明了模型的稳健行为。

**4.4 对风险管理和合规性的启示**
量化结果为根据ISO/IEC 27005:2022、ISO/IEC 27001:2022和NIS2指令的要求确定缓解措施优先级提供了数据驱动的、可辩护的论据。贝叶斯网络输出通过将技术配置转化为可测量的风险水平、支持基于场景的缓解策略评估以及提供适合人机交互的可解释结果，来辅助决策制定。

**4.5 对工业环境的实用价值**
在实践中，47%的关键影响概率突显了保护远程访问的紧迫性，证明了定期固件更新的重要性，确认了网络分段的保护效果，并展示了操作员培训如何降低运行后果。因此，贝叶斯网络作为一个透明、可审计的工具，帮助企业建模不同配置、理解风险传播，并在工业控制系统/操作技术环境的各个层面实施有针对性的降风险措施。

#### 讨论与结论总结
**讨论部分**指出，贝叶斯网络为工业环境中的网络安全风险评估提供了一种透明、结构化且基于量化的方法。该模型成功捕捉了技术与组织弱点如何交互以提升整体系统暴露度，这与先前关于工业控制系统的研究一致。研究通过将ISO/IEC 27005:2022风险登记册元素直接集成到贝叶斯网络结构中，贡献了更具操作性的视角，加强了标准与概率建模之间的方法论联系。模型设计有意保持结构简洁，以确保可解释性、透明度和可用性，这符合NIS2指令和相关人因原则对可解释性和人机交互的明确要求。研究还强调了记录和证明先验假设的重要性，尽管先验的微小变化可能轻微影响后验值，但整体风险分类保持稳定。这增强了使用贝叶斯网络支持ISO/IEC 27001:2022和NIS2指令合规性时的透明度和可重复性需求。更广泛地说，该研究说明了贝叶斯网络如何作为一个统一的分析层，整合技术遥测、专家知识和法规要求。未来研究可纳入CNC机床和生产网络的真实操作数据，实现条件概率表的动态更新和更准确的后验推断；或将贝叶斯网络模型与数字孪生环境集成，以支持实时场景模拟和预测性维护。

**结论部分**翻译如下：本研究通过将网络安全风险建模纳入现代CNC系统的评估中，扩展了传统的机械安全评估。虽然现有方法主要关注物理安全措施，但当代工业环境日益依赖联网控制系统、远程访问接口和依赖固件的功能。这些数字元素引入了新的风险类别，这些风险在《法规》（EU）2024/2847、NIS2指令和ISO/IEC 27005:2022中得到了明确阐述，但在传统安全框架中仍未得到充分体现。所提出的贝叶斯网络模型提供了一种结构化和透明的方法，用于量化ZPS MCG1000i等CNC机床的网络安全风险。通过整合反映真实操作配置的先验概率和条件依赖关系，该模型生成可解释的后验概率，支持基于场景的决策制定。结果表明，组合的配置错误（如启用远程访问、不定期固件更新和缺失网络分段）会显著增加关键运行影响的可能性。这一概率层补充了现有的安全评估方法，并提供了一种符合ISO/IEC 27005:2022和ISO/IEC 27001:2022的可重复、可审计的方法。通过将网络安全嵌入机械安全评估过程，本研究为生产企业提供了一种反映当前监管预期和网络物理制造系统现实的、面向未来的方法论。该方法增强了透明度，支持合规性，并支持基于量化风险水平的针对性缓解策略。它也为动态贝叶斯更新、数字孪生集成以及工业环境中网络物理系统的实时监控的进一步研究奠定了基础。