基于CVSS的漏洞风险基础评估方法与流程

本发明属于系统安全技术领域，特别是涉及一种基于cvss的漏洞风险基础评估方法。

背景技术：

近几年来，信息系统的漏洞数量呈指数级数增长，高级持续性威胁(advancedpersistentthreat,apt)攻击不断涌现，并且具有极强的针对性和隐蔽性。以入侵检测、防火墙等技术为代表的传统防护手段已不足以应对这些安全威胁。漏洞威胁评分方法可根据漏洞自身的相关属性和危害程度的不同做出排序，并优先处理破坏性较强的安全漏洞，将漏洞可能引起的风险降低到最小。

依据评分结果的多样性，漏洞威胁评分分为定性评估和定量评估两种方法。根据相关要素以高、中、低三个量级评定漏洞风险等级的方法称为定性评估。但定性评估具有主观性强和可重复性差等特点，因此风险评估与应急响应过程中存在许多不确定因素。定量评估则是参照既定的评分标准，以量化数值的形式反映出漏洞的威胁程度。通用漏洞评分系统(commonvulnerabilityscoringsystem，cvss)给出了一个简洁统一的漏洞评分标准，以量化评分的形式，通过添加漏洞的相关属性，使安全机构能够量化计算漏洞的威胁程度，更好地降低漏洞带来的安全风险。

唐成华等提出了一种利用遗传模糊层次分析漏洞威胁的分析方法，利用改进的模糊层次分析法求出各种风险因素的权重，建立模糊矩阵，利用遗传算法求解分析。张恒巍等提出了基于博弈模型和风险矩阵的漏洞风险评分方法，针对安全漏洞，建立漏洞攻防博弈模型，结合攻击图和风险矩阵对漏洞连通关系进行定量分析。付志耀等采用粗糙集理论中可辨识矩阵算法，提出了基于粗糙集的漏洞评估方法，在漏洞属性约简和属性权重计算上有所提高。

但上述方法都是以单个安全漏洞威胁的量化评分为基础，依据cvss并结合多个漏洞间的相互关联进行评分，量化计算出漏洞可能引起的风险程度。但cvss自身存在不足，在制定时基础评估指标权重分配过多依赖于专家学者的主观经验决策，度量标准缺乏客观性。并且cvss在对漏洞威胁进行基础评分的过程中对机密性影响、完整性影响及可利用性影响做均等权重分配而没有考虑其相对重要性，不能明确区分评分相近的漏洞的内部属性差异性，导致资源的重复和浪费。

技术实现要素：

为了解决上述问题，本发明的目的在于提供一种基于cvss的漏洞风险基础评估方法。

为了达到上述目的，本发明提供的基于cvss的漏洞风险基础评估方法包括按顺序进行的下列步骤：

1)对数据进行预处理的s01阶段：从nvd漏洞数据库内近三年收录的漏洞中随机选取若干漏洞数据作为数据样本，然后根据机密性影响、完整性影响和可利用性影响这三项基础评估指标的属性将上述每一漏洞的数据分成三类，并统计出每类数据中包含的完全影响、部分影响及无影响这三种属性的数据各自占比及类别间相互关联性，然后进入s02阶段；

2)确定上述三项基础评估指标的权重并进行最优化的s02阶段：为避免漏洞对系统机密性的影响远高于对系统完整性和可利用性的影响，确定上述三项基础评估指标的权重，并利用最优搜索方法进行优化而得到基础评估指标最优权重组合方案，然后进入s03阶段；

3)求解基础评估指标权重的s03阶段：利用基于灰色关联度指标权重求解方法将上述最优权重组合方案先生成基础评估指标权值矩阵，然后从基础评估指标权值矩阵中每一列选取权值最大的数值组成参考数据列，之后求解出三项基础评估指标的权重，进入s04阶段；

4)计算出每一漏洞威胁的基础评估值的s04阶段：将上一步骤获得的三项基础评估指标的权值带入cvss中关于漏洞基本评价公式内，计算出每一漏洞威胁的基础评估值，并利用该值对漏洞威胁进行评估。

在步骤1)中，所述的从nvd漏洞数据库内近三年收录的漏洞中随机选取若干漏洞数据作为数据样本，然后根据机密性影响、完整性影响和可利用性影响这三项基础评估指标的属性将上述每一漏洞的数据分成三类，并统计出每类数据中包含的完全影响、部分影响及无影响这三种属性的数据各自占比及类别间相互关联性的方法是：从nvd漏洞数据库内近三年收录的漏洞中随机选取5000个漏洞数据作为数据样本，然后根据机密性影响、完整性影响和可利用性影响这三项基础评估指标的属性将上述每一漏洞的数据分成三类，并统计出每类数据中包含的完全影响、部分影响及无影响这三种属性的数据各自占比，然后利用上述统计结果对机密性影响、完整性影响和可利用性影响进行双因素交叉作用下的列联表分析，分析两两因素间有无显著性影响。

在步骤2)中，所述的确定上述三项基础评估指标的权重，并利用最优搜索方法进行优化而得到基础评估指标最优权重组合方案的方法是：依据漏洞被成功利用后对系统的机密性影响、完整性影响和可利用性影响所造成的危害程度进行权重分配，并且由cvss的权重分配结果可知：当系统的机密性、完整性和可用性没有受到破坏时，将权重值均设定为0；将造成完全影响的权重设定为部分影响的权重的2倍；所有权重值设定范围为0—7.0；为避免出现无法真实反映漏洞威胁的极端值，应保证完整性的完全影响大于机密性的部分影响，且可用性的完全影响大于完整性的部分影响，推导得出基础评估指标权重分配组合最优搜索方法，执行该搜索方法可得到14组满足条件的权重分配方案。

在步骤3)中，所述的利用基于灰色关联度指标权重求解方法将上述最优权重组合方案先生成基础评估指标权值矩阵，然后从基础评估指标权值矩阵中每一列选取权值最大的数值组成参考数据列，之后求解出三项基础评估指标的权重的方法是：对机密性影响、完整性影响和可利用性影响所包含的“无”、“部分”以及“完全”影响三个属性类别分别作基于灰色关联度分析的指标权重求解，得到基于灰色关联度分析的三项基础评估指标的权重。

在步骤4)中，所述的将上一步骤获得的三项基础评估指标的权值带入cvss中关于漏洞基本评价公式内，计算出每一漏洞威胁的基础评估值，并利用该值对漏洞威胁进行评估的方法是：将上述获得的机密性影响权值、完整性影响权值、可利用性影响权值分别带入如公式(13)～(16)所示的cvss中关于漏洞基本评价公式而计算出漏洞威胁的基础评估值，公式(15)中所包含的攻击途径、攻击复杂度及认证权值由表5列出：

基础评分值＝(0.6×影响性+0.4×可利用性影响-1.5)×f(13)

影响性＝10.41×(1-(1-机密性影响权值)×(1-完整性影响权值)×(1-可利用性影响权值))(14)

可利用性影响＝20×攻击途径权值×攻击复杂度权值×认证权值(15)

如果影响性＝0则f＝0,否则f＝1.176(16)

然后在上述基础评分值的基础上添加时效性评估指标影响因子，最后再添加环境评估指标影响因子，最后得到一个最终的评估分数，取值范围为0～10，定义得分区间0～3.9为低级漏洞，4～6.9为中级漏洞，7～10为严重漏洞，最后依据最终的评估分数判断出漏洞威胁优先等级，进而确定出安全漏洞的修复顺序；

表5

本发明提供的基于cvss的漏洞风险基础评估方法从漏洞威胁成功利用后可能造成的经济损失及威胁破坏后果是否可逆的角度切入，将机密性影响、完整性影响及可利用性影响三项基础评分指标依据其相对重要性排序，并与cvss相结合提出了一种指标权重分配最优搜索方法模型。该模型执行所得权重分配结果为下文提出的基于灰色关联度的指标权重求解方法提供了计算模型输入值。

然后，提出了基于灰色关联度的指标权重求解方法。该方法将灰色关联度分析融合进漏洞基础评分指标权重分配求解过程中，使得权重分配结果更具客观性。借鉴灰色关联度思想方法及相关数学模型，将执行指标权重分配最优搜索方法后得到的权重分配结果作为模型输入值进行相关计算，并将所得运算结果归一化。

与现有技术相比，本发明提供的基于cvss的漏洞风险基础评估方法是在cvss评估基础上，重新设计基础评估指标权重分配方法，根据基础评估指标的相对重要性对其权重进行优化分配，并与灰色关联度指标权重求解方法结合，使评估结果更具客观性，提高了评估结果的多样性，便于直观地对漏洞威胁性加以区分。

附图说明

图1为本发明提供的基于cvss的漏洞风险基础评估方法流程图。

图2为本发明提供的基于cvss的漏洞风险基础评估方法中基础评估指标权重组合最优搜索方法流程图。

具体实施方式

下面结合附图及具体实施例对本发明做进一步的说明，但下述实施例绝非对本发明有任何限制。

如图1所示，本发明提供的基于cvss的漏洞风险基础评估方法包括按顺序进行的下列步骤：

1)收集系统中的漏洞数据并对数据进行预处理的s01阶段：从nvd漏洞数据库内近三年收录的漏洞中随机选取若干漏洞数据作为数据样本，然后根据机密性影响、完整性影响和可利用性影响这三项基础评估指标的属性将上述每一漏洞的数据分成三类，并统计出每类数据中包含的完全影响、部分影响及无影响这三种属性的数据各自占比及类别间相互关联性，然后进入s02阶段；

首先，从nvd漏洞数据库内近三年收录的漏洞中随机选取5000个漏洞数据作为数据样本，然后根据机密性影响、完整性影响和可利用性影响这三项基础评估指标的属性将上述每一漏洞的数据分成三类，并统计出每类数据中包含的完全影响、部分影响及无影响这三种属性的数据各自占比，以每项基础评估指标作为一个因素，根据上述统计结果对三项基础评估指标进行双因素交叉作用下的列联表分析，如表1—表3所示，分别设定三项基础评估指标为列联表的行列变量，作频数列联分析，以分析两两因素间有无显著性影响。

由上述分析结果可知，漏洞产生的影响较为复杂，并且具有相互关联性，而cvss赋予三项基础评估指标相同的权值，因此无法突显漏洞成功利用后所造成的威胁后果的差异性，从而限制了漏洞威胁基础评估结果的多样性，导致无法区分具有不同威胁属性的漏洞。因此本发明依据如下分析从漏洞被成功利用后对系统的机密性影响、完整性影响和可利用性影响所造成的危害严重性及危害可逆性方面对三项基础评估指标的重要性进行排序，分析过程如下：

(1)漏洞被成功利用后对系统的机密性造成的危害很难被发现，且机密性一旦遭到破坏是不可逆的，无法对其进行恢复。更为严重的是，攻击者会利用漏洞将受保护的信息泄露给非授权的个人和实体，使授权机构及合法用户处于“失控”状态，极大地危害系统的信息安全并造成不可估量的经济损失。故本发明将机密性影响设定为最主要的影响因素。

(2)完整性影响对系统造成的影响也较难被发现，且通常会对可利用性影响产生一定的影响，故本发明将完整性影响设定为次要的影响因素。

(3)与机密性影响和完整性影响相比，漏洞被成功利用后，对信息系统可利用性的影响具有易被发现的特点，且造成的破坏也较容易恢复，故本发明将可利用性影响设定为一般的影响因素。

由上述分析结构可知，当系统中的漏洞被成功利用并造成破坏后，对系统机密性的影响远高于对系统完整性和可利用性的影响。

2)确定上述三项基础评估指标的权重并进行最优化的s02阶段：为避免漏洞对系统机密性的影响远高于对系统完整性和可利用性的影响，确定上述三项基础评估指标的权重，并利用最优搜索方法进行优化而得到基础评估指标最优权重组合方案，然后进入s03阶段；

依据上述分析结果，为提高漏洞评估的多样性和精确性，达到真实反映漏洞威胁程度的目的，本发明提出了一种漏洞基础评估指标权重组合最优搜索方法。为避免出现无法真实反映漏洞威胁的极端值，应保证完整性影响的完全影响大于机密性影响的部分影响，且可利用性影响的完全影响大于完整性影响的部分影响。由于最终漏洞评分结果需要保留一位小数，且部分影响权重为完全影响权重的一半，故将最小增减量的步长t设定为0.2。

根据cvss基础评估指标权重设定范围，确定本发明中基础评估指标权重范围为0—7.0,即：

wc+wi+wa＝7(1)

其中，wc表示机密性影响权重，wi表示完整性影响权重，wa表示可利用性影响权重；

根据下面的公式(2)—公式(9)并结合公式(1)可计算出可利用性影响权重wa的取值范围为1.2—2.0。具体计算方法如下：

由于部分影响为完全影响的一半，完整性影响的完全影响大于机密性影响的部分影响，可利用性影响的完全影响要大于完整性影响的部分影响，故：

2*wa>wi(2)

且：

2*wi>wc(3)

由式(2)和(3)可得，4*wa>wc，2*wa>wi，代入式(1)，可得：

7*wa>7(4)

即：

wa>1(5)

由于最小增量的步长t为0.2，则：

wa≥1.2(6)

所以，可利用性影响权重wa的最小取值为1.2。

由于wa≤wi，最小增量的步长t为0.2，则：

wa≤wi-0.2(7)

且：

wi≤wc-0.2(8)

采用与可利用性影响权重wa最小取值推导相同的方法，可得：

3*wa≤7-0.6

即：

wa≤(7-0.6)/3(9)

同理，由于最小增量的步长t为0.2，可得可利用性影响权重wa的最大取值为2.0。

同理可得到相对应的机密性影响权重wc和完整性权重影响wi的取值范围。

最后，利用图2所示的基础评估指标权重组合最优搜索方法进行搜索，可得到可利用性影响权重wa、完整性影响权重wi及机密性影响权重wc的14组最优权重组合方案，如表4所示。

3)求解基础评估指标权重的s03阶段：利用基于灰色关联度指标权重求解方法将上述最优权重组合方案先生成基础评估指标权值矩阵，然后从基础评估指标权值矩阵中每一列选取权值最大的数值组成参考数据列，之后求解出三项基础评估指标的权重，进入s04阶段；

首先将上一步骤得到的14组最优权重组合方案中不同权重分配方案的数据形式化表示为权重矩阵形式z＝(z1,z2,…z3)^t，z1＝(z1(1),z1(2),…，z1(14)),公式如下：

z1、z2、z3分别对应机密性影响、完整性影响及可用性影响权重分配方案序列。

由表4内容可知，属于机密性影响、完整性影响和可利用性影响的漏洞数据分别包含无影响、部分影响及完全影响三种类别，其中无影响类别数据的基础评估指标权重均为0，无需计算，因此分别从部分影响及完全影响类别的权重矩阵中每一列选取一个最大值而组成该类别的参考数据列z0，即z0＝(z0(1)，z0(2)，…，z0(14))；

接着，分别计算部分影响及完全影响类别的参考数据列z0与上述权重矩阵z中基础评估指标序列z1，z2，z3的间距值，计算公式如下；

最后，利用上述间距值根据公式(12)求解出三项基础评估指标的权值w，i＝1,2,3。

当i＝1时，w表示机密性影响权值wc；i＝2时，w表示完整性影响权值wi；i＝3时，w表示可利用性影响权值wa；

4)计算出每一漏洞威胁的基础评估值的s04阶段：将上一步骤获得的三项基础评估指标的权值带入cvss中关于漏洞基本评价公式内，计算出每一漏洞威胁的基础评估值，并利用该值对漏洞威胁进行评估。

将上述获得的机密性影响权值wc、完整性影响权值wi、可利用性影响权值wa分别带入如公式(13)～(16)所示的cvss中关于漏洞基本评价公式而计算出漏洞威胁的基础评估值，公式(15)中所包含的攻击途径、攻击复杂度及认证权值由表5列出：

基础评分值＝(0.6×影响性+0.4×可利用性影响-1.5)×f(13)

影响性＝10.41×(1-(1-机密性影响权值)×(1-完整性影响权值)×(1-可利用性影响权值))(14)

可利用性影响＝20×攻击途径权值×攻击复杂度权值×认证权值(15)

如果影响性＝0则f＝0,否则f＝1.176(16)

上式计算结果为cvss安全漏洞的基础评分值，然后参照上述nvd漏洞库中漏洞数据的属性，在基础评分值上添加时效性评估指标影响因子，最后再添加环境评估指标影响因子，nvd漏洞库中每个漏洞的各项指标都有记录，时效性评估指标影响因子和添加环境评估指标影响因子可直接从该漏洞库中查出，最后得到一个最终的评估分数，取值范围为0～10，定义得分区间0～3.9为低级漏洞，4～6.9为中级漏洞，7～10为严重漏洞，依据相应评估分数判断出漏洞威胁优先等级，进而确定出安全漏洞的修复顺序。安全漏洞的级别评定可以定性地确定一个漏洞所造成的安全威胁和影响程度,可以帮助用户确定安全隐患在系统中的优先级,从而在计算机网络系统安全保卫战中做到“有的放矢”，及时修补重大漏洞。

表1机密性-完整性列联表

表2机密性-可利用性列联表

表3完整性-可利用性列联表

表4

表5