计算机与网络通信技术的快速发展和进步使得各行各业对网络空间的依赖性越来越强,网络空间安全已经成为国家战略组成部分。然而网络攻击造成的威胁逐渐增强,网络环境日益复杂,网络安全面临着前所未有的挑战。传统的针对某类攻击的安全防护措施已经不能够满足安全需求,即使一些暂时的威胁被缓解,网络安全水平仍然不为所知。为了更好的了解网络安全状态,加强网络安全管理,网络安全度量作为网络关键性基础研究已经受到越来越多的关注。网络安全度量是发现网络安全问题,评估网络安全态势,提出安全对策的基础,是保护任何网络的前提。网络安全度量可以帮助安全研究人员就选择安全体系结构,设计安全对策以及修改设备安全配置等问题做出最佳决策。传统的安全度量工作主要包含信息技术管理和产品的度量研究以及网络安全风险评估等理论和方法的研究,并已形成相应的标准与规范,例如信息技术安全评估通用准则(CC),美国国家标准与技术研究院(NIST)网络安全框架,通用漏洞评估方法(CVSS)和策略保护检测响应模型(PPDR)等。这些标准为网络安全度量提供了参考依据,但是只侧重某一类对象或某一方面的安全度量,例如网络风险评估仅测量网络潜在的安全风险,并不能全面反映网络的安全状态。此外,很多标准和框架中的度量指标难以测量和量化,这会给系统安全的评估实践带来困难。为了更好解决上述问题,基于网络攻防对抗过程,我们从网络攻防角度提出一个全面的、动态的、可量化和可比较的安全度量指标体系。与现有的安全标准和框架相比,指标体系中的指标都是可量化的,每个指标都有明确的定义或计算公式。此外,指标体系不仅考虑网络系统自身的防护能力,也关注外界安全环境的变化,例如攻击强度的改变,同时通过网络性能指标的测量从一定程度上弥补未知攻击或零日攻击造成的度量误差。建立指标体系的目的是更准确、客观的实现网络安全度量。为了实现网络安全度量的目标,我们基于指标体系提出一个安全度量模型,描述了对网络系统进行安全度量的过程,并根据指标体系选择合适的度量方法,最终将所有量化的指标融合成表征网络安全状态的数值。为了验证提出安全指标体系的合理性和正确性,我们在NS3模拟器中仿真一个中等规模的企业网,并实现了多种网络攻击和防御模块。通过多次调整企业网的防护能力和对其的攻击强度,实时地对网络安全指标进行测量、计算,并融合成网络安全状态值。度量结果不仅验证了指标体系的合理性和正确性,而且准确的显示了不同的攻击强度和防御强度对网络安全状态的动态影响过程,使安全度量人员能够更深刻的了解影响网络安全的因素,可以为进一步增强网络安全防护提供决策支持。