MAGIC：一种网络事件发生评估方法

网络风险评估对网络安全管理至关重要，且已成为某些类型公司与组织的强制性任务。这使得对可靠网络风险评估工具的需求持续增长，尤其是基于统计方法的定量工具。然而，概率网络风险评估方法遵循概率风险评估的通用范式，需要以事件的影响程度和发生可能性为输入。遗憾的是，对于网络事件，其发生可能性难以基于历史和公开可用数据估计；因此通常使用专家评估，但这留下了主观性的空间。本文提出一种称为MAGIC（Method for AssessinG cyber Incidents oCcurrence，网络事件发生评估方法）的新概率模型，基于目标组织的网络态势评估来计算网络事件的发生可能性。这可为HTMA（How To Measure Anything in cybersecurity risk，网络安全风险中的任何事物如何度量）、FAIR（Factor Analysis of Information Risk，信息风险因子分析）等概率风险评估方法推导量身定制的输入，从而大幅降低网络风险评估中的主观性余量。我们通过与若干经典方法的定性与定量比较证实了该方案。