Chỉ số bảo mật (Security metrics) được dùng để đánh giá mức độ bảo mật của một hệ thống và để thực thi mục tiêu bảo mật. Có nhiều chỉ số bảo mật cho phân tích an ninh, nhưng không có mô tả hệ thống của chỉ số bảo mật dựa trên thông tin khả thi mạng (network reachability information). Để giải quyết vấn đề này, đề xuất một mô tả hệ thống các chỉ số bảo mật hiện có dựa trên thông tin khả thi mạng. Chủ yếu, có thể phân loại chỉ số bảo mật thành chỉ số dựa trên host (host-based) và dựa trên mạng (network-based).
Chỉ số dựa trên host được chia thành chỉ số không có xác suất và có xác suất, trong khi chỉ số dựa trên mạng được chia thành dựa trên đường dẫn (path-based) và không dựa trên đường dẫn (non-path based).
Phân loại chỉ số bảo mật như sau:
- Chỉ số bảo mật dựa trên Host (Host-based Security Metrics): Chỉ số cấp host được dùng để định lượng mức độ bảo mật của các host đơn lẻ trong mạng. Có thể phân loại chỉ số cấp host thành hai loại: không có xác suất và có xác suất. Lý do cho phân loại này:
- Đôi khi không thể tìm thấy giá trị xác suất cho một cuộc tấn công.
- Một số phân tích và tối ưu hóa có thể hoàn thành với hoặc không cần gán xác suất.
- Chỉ số không có giá trị xác suất (Metrics without probability values): Tóm tắt các chỉ số không có xác suất. Ví dụ: tác động tấn công (attack impact), chi phí tấn công (attack cost), đo lường thiết yếu cơ bản (fundamental essential measured), phân tích mincut, thời gian trung bình để xâm phạm (MTTC - mean-time-to-compromise), thời gian trung bình để khôi phục (MTTR - mean-time-to-recovery), v.v.
- Chỉ số có giá trị xác suất (Metrics with probability values): Ngược lại, chỉ số bảo mật với xác suất chứa chỉ số bảo mật xác suất (probability security metric), chỉ số Hệ thống Chấm điểm Lỗ hổng Phổ biến (CVSS - Common Vulnerability Scoring System), v.v. Đồ thị tấn công (AG - Attack Graph) là một đồ thị có hướng không chu trình (acyclic directed graph) để định nghĩa một số phương pháp khả dĩ cho kẻ tấn công để đạt lỗ hổng mục tiêu.
- Chỉ số bảo mật dựa trên Mạng (Network-based Security Metrics): Loại chỉ số này dùng cơ chế của mạng để tổng hợp thuộc tính bảo mật của mạng. Có thể phân loại thành hai loại bao gồm dựa trên đường dẫn (path based) và không dựa trên đường dẫn (non-path based).
- Chỉ số không dựa trên đường dẫn (Non-path based metrics): Trong chỉ số không dựa trên đường dẫn, cấu trúc và thuộc tính của mạng không được xem xét; thay vào đó, an ninh của mạng được định lượng liên quan đến cấu trúc mạng. Ví dụ loại chỉ số này là chỉ số Phần trăm CSDL bị xâm phạm (NCP - Network Compromise Percentage). Chỉ số này biểu thị phần trăm tài sản mạng kẻ tấn công có thể xâm phạm. Mục tiêu của chỉ số NCP là tối thiểu hóa phần trăm này. Ví dụ khác là một nhóm lỗ hổng cho phép kẻ tấn công dùng chúng làm điểm vào (entry points) vào mạng. Ví dụ, web-services chạy trên host có thể là mục tiêu đầu tiên cho kẻ tấn công xâm phạm. Chỉ số Kẻ thù yếu nhất (WA - Weakest Adversary) cũng là chỉ số dựa trên mạng có thể dùng để đánh giá an ninh mạng. Trong chỉ số WA, cấu hình mạng dễ bị tổn thương trước tập thuộc tính mạnh được định nghĩa là an toàn hơn cấu hình mạng dễ bị tổn thương trước tập thuộc tính yếu hơn của kẻ tấn công ban đầu.
- Chỉ số dựa trên đường dẫn (Path based metrics): Chỉ số dựa trên đường dẫn sử dụng dữ liệu khả thi của mạng (ví dụ: khả thi giữa các host, đường đi ngắn nhất từ host X đến host Y, v.v.) để định lượng mức độ an ninh của mạng.