专利名称：一种基于指对数分析的网络安全态势评估系统和方法
技术领域：
本发明属于信息安全技术领域，具体涉及基于指对数分析的网络安全态势评估系 统和方法。
背景技术：
态势感知(Situation Awareness, SA)就是在一定的时间和空间条件下，对环境因 素的感知、理解以及对其未来发展趋势的预测。网络安全态势感知是在大规模网络环境中，对影响网络安全的诸多要素进行获 取、理解、评估以及预测未来的发展趋势，是对网络安全性定量分析的一种手段，是对网络 安全性的精细度量。态势评估是态势感知的核心，是对网络安全状况的定性定量描述。网络安全态势 评估是整个网络安全态势感知的基础和关键部分。风险评估依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存 储的信息的保密性、完整性和可用性等安全属性进行评价，它是一种对系统安全性的定量 描述方法，以安全等级的形式给出系统的安全状态。在《(信息安全风险评估规范(GB/ T20984-2007)》中，介绍了一种使用矩阵法计算风险的方法。风险要素一般为资产、威胁、脆 弱性。矩阵法主要适用于由两个要素值确定一个要素值的情形。基于GB/T 20984-2007的风险评估方法可以借鉴到网络安全态势评估中来，但矩 阵法只使用于由两个要素值确定一个要素值的情形，计算过程不直观，且不能很好地计算 由单个资产、威胁、脆弱性到多个资产、威胁、脆弱性的情况。
发明内容
本发明的目的在于针对现有技术的上述不合理性，提出一种基于指对数分析的网 络安全态势评估系统和方法，既突出了危害大的安全事件和重要资产的影响，又考虑了危 害小的安全事件和不太重要的资产的影响，使之更符合实际情况，以避免随着网络规模的 增加安全态势值线性增大。本发明的基于指对数分析的网络安全态势评估系统和方法，其特征在于包括数 据采集子系统、络安全态势理解子系统、网络安全态势评估子系统；数据采集子系统，通过 多传感器，包括漏洞扫描设备、资产调查设备、网络拓扑扫描设备、入侵检测系统、病毒防护 软硬件、防火墙等，捕获网络系统的资产、威胁、脆弱性方面的数据；网络安全态势理解子系 统，首先在数据库中建立与资产、威胁和脆弱性相关的数据字典，然后对数据采集子系统采 集到的原始数据进行统计分析，去除重复、错误项，修改不一致项，接着将统计分析后的数 据与数据字典进行关联分析，得到规范化格式的资产、威胁和脆弱性数据；基于指对数分析 的网络安全态势评估方法主要用在网络安全态势评估子系统，根据网络安全态势理解子系 统提供的数据，从资产、威胁和脆弱性三方面对网络安全态势从机密性、完整性和可用性三 方面对网络安全态势进行评估，输出评估结果；然后根据网络机密性安全态势值、完整性安全态势值、可用性安全态势值对网络安全态势进行整体评估，输出评估结果。本发明基于指对数分析的网络安全态势评估系统和方法不仅能用到网络安全态 势评估当中，同样也能运用到风险评估当中。计算方法与态势评估的类似。由于本发明采取了先取指数，再加权取对数的计算方法，与现有技术的计算方法 相比较，可以计算由两个及两个以上要素值确定一个要素值的情形，以及可以通过单个资 产、威胁、脆弱性计算多个资产、威胁、脆弱性的情况，既突出了危害大的安全事件和重要资 产的影响，又考虑了危害小的安全事件和不太重要的资产的影响，且计算过程直观、容易理 解。在网络安全态势评估子系统中，采用基于指对数分析的网络安全态势评估方法由于两个低等级安全事件的整体损害没有一个高一级安全事件的损害大，危害大 的安全事件发生在重要的资产造成的影响，远比危害小的安全事件发生在不重要的资产上 大，但是这些影响小的安全事件和资产又对整个网络系统的安全态势造成影响，因此在由 个体影响计算整体影响时，不能采用简单的相加，需要采用公式(1)所示的基于指对数分 析的计算方法，其中，B是指对数分析的底数，k e Φ表示取便所有的个体。Rtotal = IogB Ikeo BRk(1)以k时刻，由单个威胁的保密性态势分量，评估整个网络的保密性态势分量为例， 所采用的计算公式如(2)所示，其中t e (^表示对威胁数据集中的所有威胁的保密性安 全态势综合分析，对完整性和可用性态势分量的分析与之类似。Rc(s(k)) = logBEte TBR^C)(2)基于指对数分析的网络安全态势评估方法的关键是底数B的选择，下面以保密性 安全态势评估为例，说明底数选择问题。GBT20984中对资产保密性的赋值、威胁发生概率的赋值和脆弱性的危害程度的赋 值可以发现，都是分为五个等级，并且可以近似认为随着级数的增加，相应的危害和发生的 概率都是指数增加的，因此在具体应用时级数取值为B = 5，并且在实际应用中发现评估结 果符合网络安全的实际情况。安全态势是目标系统的安全状况，态势评估的最终目的是辅助决策者进行决策， 因此不能太复杂，需要有一个比较简单直观的表示。在评估整个网络的安全态势时，需要针 对不同应用背景的网络区别对待，不同的应用背景对网络的保密性，完整性和可用性的要 求不一样，比如对于政府机关来说，保密性是最重要的，对银行部门来说，完整性是至关重 要的，而诸如VOD的娱乐行业则最关心可用性。在评估整个网络的安全态势时，以对保密 性、完整性和可用性的安全态势分量评估结果为基础，采用加权模型得到整个网络的安全 态势分量，根据不同的加权参数，评估不同应用需求下的系统安全态势。具体的计算方法如 公式C3)所示，其中，《e，· ωχ, · ωΑ为保密性，完整性和可用性的权重，可以根据应用背景 指定。R(s(k)) = Rc(s(k)) · (^+R1(SGO) · (^+Ra(SQO) · ωΑ (3)
图1为本发明的网络安全态势评估系统示意图。
具体实施例方式实施例1 图1给出了本发明的网络安全态势感知系统，该系统包括数据采集子系统、网络 安全态势理解子系统、网络安全态势评估子系统、安全加固方案子系统。其中，数据采集子系统，通过多传感器，包括漏洞扫描设备、资产调查设备、网络拓 扑扫描设备、入侵检测系统、病毒防护软硬件、防火墙等，捕获网络系统的资产、威胁、脆弱 性方面的数据。网络安全态势理解子系统，首先在数据库中建立与资产、威胁和脆弱性相关的数 据字典，然后对数据采集子系统采集到的原始数据进行统计分析，去除重复、错误项，修改 不一致项，接着将统计分析后的数据与数据字典进行关联分析，得到规范化格式的资产、威 胁和脆弱性数据。基于指对数分析的网络安全态势评估方法主要用在网络安全态势评估子系统，根 据网络安全态势理解子系统提供的数据，从资产、威胁和脆弱性三方面对网络安全态势从 机密性、完整性和可用性三方面对网络安全态势进行评估，输出评估结果；然后根据网络机 密性安全态势值、完整性安全态势值、可用性安全态势值对网络安全态势进行整体评估，输 出评估结果。安全加固方案子系统，根据网络系统的安全态势和用户的需求，提供不同的加固 方案，满足用户对网络系统安全性的需要。该子系统将网络当前安全态势值与预先设定的 安全态势阈值比较，然后根据比较结果，对安全态势值大于阈值的部分，生成相应的加固方案。本发明方法不仅能用到网络安全态势评估当中，也能运用到风险评估当中。在本发明方法中，之所以选择指对数来计算的原因如下根据木桶原理，那些危害大的安全事件发生在重要的资产造成的影响，远比危害 小的安全事件发生在不重要的资产上大，但是这些影响小的安全事件和资产又对整个网络 系统的保密性安全态势造成影响，所有采用先加权再取对数的方式，既突出了危害大的安 全事件和重要资产的影响，又考虑了危害小的安全事件和不太重要的资产的影响。根据国家标准《信息安全风险评估规范(GB/T 20984-2007)》，如表1所示，对于脆 弱性来说，取值为1到5，共5个值，如果一个资产上存在两个脆弱性，值分别为2和3，则不 应该简单的和一个值为5的威胁等价，通过分析，我们发现级别之间的差别可以用一个指 数关系来描述(进一步研究发现，底数选择5是比较合理的)，如果采用指数方式来计算， 则对于值为2和3两个脆弱性，计算结果是52+53 = 150，远远小于值为5的脆弱性的55 = 3125。但是这样的计算方法存在一个问题，就是结果很难理解，因此对其再取对数，通过试 验发现，这样的结果具有相当的合理性。对于资产、威胁的相关计算也可以采用类似方法。
表1脆弱性被利用的概率赋值表
权利要求
1.一种基于指对数分析的网络安全态势评估系统和方法，包括数据采集子系统、网络 安全态势理解子系统、网络安全态势评估子系统、安全加固方案子系统，其特征在于数据采集子系统，通过多传感器，包括漏洞扫描设备、资产调查设备、网络拓扑扫描设 备、入侵检测系统、病毒防护软硬件、防火墙等，捕获网络系统的资产、威胁、脆弱性方面的 数据；网络安全态势理解子系统，首先在数据库中建立与资产、威胁和脆弱性相关的数据字 典，然后对数据采集子系统采集到的原始数据进行统计分析，去除重复、错误项，修改不一 致项，接着将统计分析后的数据与数据字典进行关联分析，得到规范化格式的资产、威胁和 脆弱性数据；网络安全态势评估子系统，采用基于指对数分析的网络安全态势评估方法，根据网络 安全态势理解子系统提供的数据，采用指数方法描述资产、威胁、脆弱性的值，采用指对数 方法计算单个资产的安全态势值及整个网络的安全态势值，从资产、威胁和脆弱性三方面 对网络安全态势从机密性、完整性和可用性三方面对网络安全态势进行评估，输出评估结 果；然后根据网络机密性安全态势值、完整性安全态势值、可用性安全态势值对网络安全态 势进行整体评估，输出评估结果。
2.根据权利要求1所述的基于指对数分析的网络安全态势评估系统和方法，其特征在 于，该网络安全态势评估系统和方法进一步包括安全加固方案子系统，根据网络系统的安 全态势和变化规律，提供不同的加固方案，满足不同需求的用户提高网络系统的安全性。
3.实现权利要求1所述基于指对数分析的网络安全态势评估系统和方法，包括以下步骤A.对传感器采集到的网络系统的资产、威胁、脆弱性方面的数据进行统计分析和关联 分析，得到规范化数据，接着执行B ；B.对步骤A融合后的规范化数据进行分析，进行网络安全态势评估，生成评估结果。
4.按照权利要求3所述的方法，其中，步骤A中对传感器采集到的数据的统计数据融合 和关联分析进一步包括首先在数据库中建立与资产、威胁和脆弱性相关的数据字典，然后 对数据采集模块采集到的原始数据进行统计分析，去除重复、错误项，修改不一致项，接着 将统计分析后的数据与数据字典进行关联分析，得到规范化格式的资产、威胁和脆弱性数 据。
5.按照权利要求3所述的方法，其中，步骤B中的网络安全态势评估进一步包括采用 指数方法描述资产、威胁、脆弱性的值，采用指对数方法计算单个资产的安全态势值及整个 网络的安全态势值，从资产、威胁和脆弱性三方面对网络安全态势从机密性、完整性和可用 性三方面对网络安全态势进行评估，输出评估结果；然后根据网络机密性安全态势值、完整 性安全态势值、可用性安全态势值对网络安全态势进行整体评估，输出评估结果。
全文摘要
本发明公开了一种基于指对数分析的网络安全态势评估系统和方法，特征是包括数据采集子系统、网络安全态势理解子系统、网络安全态势评估子系统、安全加固方案子系统，步骤为A.对传感器采集到的网络系统的资产、威胁、脆弱性方面的数据进行统计数据融合和关联分析，得到规范化数据；B.对步骤A融合后的规范化数据进行基于指对数分析的网络安全态势评估。从资产、威胁和脆弱性三方面对网络安全态势从机密性、完整性和可用性三方面对网络安全态势进行评估输出评估结果。本发明不仅能用在态势评估中，也能用于风险评估当中。可避免随着网络规模的增加安全态势值线性增大，既突出了危害大的安全事件和重要资产的影响，又考虑了危害小的安全事件和不太重要的资产的影响，符合实际情况。
文档编号H04L12/24GK102148820SQ20111000861
公开日2011年8月10日 申请日期2011年1月14日 优先权日2011年1月14日
发明者帅建梅, 徐鹏, 秦桂红, 谭小彬 申请人:中国科学技术大学