FAIR 网络安全风险蒙特卡洛量化——年度损失预期与敏感性分析的工程化实现

你所解决的问题

网络安全投资决策的传统方式是「高/中/低」风险矩阵——主观、不可加总、不可跨风险比较。FAIR（Factor Analysis of Information Risk）提供一个可量化的替代方案：用蒙特卡洛模拟将每个风险的「频率 × 损失幅度」转化为美元计价的年度损失预期（ALE）。

核心模型

FAIR 风险分解

年度损失预期 (ALE) = 损失事件频率 (LEF) × 损失幅度 (LM)

LEF = 威胁事件频率 (TEF) × 易感性 (Susceptibility)

LM = Σ 六种损失形式:
    ├─ 生产力损失 (Productivity)
    ├─ 响应成本 (Response)
    ├─ 替换成本 (Replacement)
    ├─ 罚款与判决 (Fines & Judgments)
    ├─ 竞争优势损失 (Competitive Advantage)
    └─ 声誉损失 (Reputation)

蒙特卡洛引擎的设计

每个输入参数不是一个点值，而是一个概率分布： - TEF：Poisson 或对数正态（频率事件） - Susceptibility：Beta 分布（0-1 之间的概率） - 各损失形式：对数正态或 PERT 分布（正偏态）

引擎运行 10,000+ 次迭代，每次随机抽取输入→计算输出→汇聚成 ALE 分布。

关键技法

1. 分布的选择影响尾部风险估计

• 对数正态：右偏厚尾，适合「最可能的损失在 $100K 但极端情况可达 $10M+」的损失建模
• PERT 分布：由最小值-最可能值-最大值三个参数定义，适合专家判断（比三角分布更平滑）
• Beta 分布：边界在 [0,1]，适合概率类参数（如易感性）

2. 敏感性分析确定投资优先级

对每个输入参数运行 tornado 分析（一次改变一个输入，看输出变化幅度）→ 识别哪些参数是 ALE 的最大驱动因子 → 投资应优先控制这些高敏感度参数

3. 聚合多个风险的损失分布

不是简单加总各风险的 ALE——用蒙特卡洛同时模拟所有风险，每次迭代将各风险的损失加总。这自动捕获了各风险之间的相关性（即使未显式建模相关性）。

与博弈论×数据驱动决策的对接

1. ALE 作为资源分配博弈的输入：安全团队面临攻击者的策略性对手——攻击者会观测防御措施并调整攻击向量。ALE 量化了「如果防御不变，预期损失是多少」的基线，为博弈分析提供支付矩阵
2. TEF 的战略性依赖：威胁事件频率不仅取决于外部黑客能力，还取决于攻击者的策略性选择——攻击高价值但高防御的目标 vs 低价值但低防御的目标。FAIR 模型可以扩展为博弈模型——防御方选择投资组合，攻击方选择攻击向量
3. 蒙特卡洛与不确定性沟通：安全投资决策的最大障碍不是缺乏数据，而是「不确定性使人瘫痪」。将「这个风险高」转化为「ALE P50=\(2M, P90=\)8M」使决策者能在可理解的风险容忍框架内做出资源分配决策

边界

• FAIR 是风险量化的框架，不是威胁情报或攻击预测模型
• 输入分布依赖基准数据（如 IRIS 2025）+ 专家判断——GIGO 原则适用
• 六种损失形式之间的独立性假设在真实场景中可能不成立（如声誉损失通常会放大罚款）