專利名稱：一種安全域風(fēng)險(xiǎn)量化方法
技術(shù)領(lǐng)域：
本發(fā)明涉及信息安全領(lǐng)域，具體涉及一種安全域風(fēng)險(xiǎn)量化方法及系統(tǒng)。
背景技術(shù)：
在對(duì)安全域進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)，往往需要對(duì)安全域的風(fēng)險(xiǎn)進(jìn)行量化，以便對(duì)不同安全域、同一安全域在不同時(shí)間點(diǎn)的風(fēng)險(xiǎn)進(jìn)行比較。經(jīng)對(duì)現(xiàn)有技術(shù)的文獻(xiàn)檢索發(fā)現(xiàn)，中國(guó)專利申請(qǐng)?zhí)朇N201110292996，專利名稱“計(jì)算機(jī)安全風(fēng)險(xiǎn)評(píng)估方法和設(shè)備”，提出了一種安全風(fēng)險(xiǎn)評(píng)估方法獲取計(jì)算機(jī)中存在的一個(gè)或者多個(gè)安全漏洞，根據(jù)安全漏洞的危險(xiǎn)程度為每個(gè)安全漏洞分配風(fēng)險(xiǎn)等級(jí)，逐個(gè)等級(jí)地計(jì)算每個(gè)風(fēng)險(xiǎn)等級(jí)的安全風(fēng)險(xiǎn)評(píng)估值，直到計(jì)算了計(jì)算機(jī)中的安全漏洞所具有的最高風(fēng)險(xiǎn)等級(jí)為止。這種風(fēng)險(xiǎn)量化方法存在以下局限性未考慮攻擊行為、脆弱性和防護(hù)措施之間的 關(guān)聯(lián)關(guān)系。網(wǎng)絡(luò)攻擊行為總是針對(duì)特定操作系統(tǒng)、特定漏洞的，只有滿足特定條件才能攻擊成功，也才能夠破壞目標(biāo)的安全性。例如對(duì)于windows操作系統(tǒng)的RPC服務(wù)漏洞的遠(yuǎn)程溢出攻擊行為，如果被攻擊的目標(biāo)主機(jī)的操作系統(tǒng)類型不是windows，或者雖然是windows系統(tǒng)但不存在RPC服務(wù)漏洞，或者雖然是windows系統(tǒng)、也存在RPC服務(wù)漏洞，但目標(biāo)主機(jī)前的防火墻禁止對(duì)該服務(wù)的遠(yuǎn)程訪問(wèn)，則攻擊都不可能成功，也不會(huì)影響目標(biāo)主機(jī)的安全性。因此只有將攻擊、脆弱性、防護(hù)措施間進(jìn)行關(guān)聯(lián)分析，才能準(zhǔn)確評(píng)估和量化安全風(fēng)險(xiǎn)。中國(guó)專利申請(qǐng)?zhí)朇N201010187196，專利名稱“一種安全風(fēng)險(xiǎn)評(píng)估模型、評(píng)估方法及評(píng)估參數(shù)確定方法”，提出了一種用于電力二次系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估模型，該模型包括攻擊層、服務(wù)層、主機(jī)層和系統(tǒng)層，所述的攻擊層包括攻擊事件，服務(wù)層包括與攻擊事件數(shù)量相等的服務(wù)，系統(tǒng)層包括網(wǎng)絡(luò)系統(tǒng)；評(píng)估模型采用自下而上、先局部后整體的評(píng)估策略，首先由攻擊事件所針對(duì)的服務(wù)計(jì)算服務(wù)風(fēng)險(xiǎn)，再由主機(jī)上開(kāi)放的服務(wù)計(jì)算主機(jī)風(fēng)險(xiǎn)，最終由系統(tǒng)中全部主機(jī)風(fēng)險(xiǎn)計(jì)算系統(tǒng)風(fēng)險(xiǎn)，在計(jì)算時(shí)采用了加權(quán)求和的方法。這種風(fēng)險(xiǎn)量化方法首先沒(méi)有考慮已有的防護(hù)措施對(duì)攻擊事件的影響，導(dǎo)致風(fēng)險(xiǎn)量化結(jié)果不準(zhǔn)確；其次該專利中通過(guò)加權(quán)求和的方式計(jì)算系統(tǒng)的風(fēng)險(xiǎn)量化值，會(huì)導(dǎo)致系統(tǒng)的風(fēng)險(xiǎn)值會(huì)隨著系統(tǒng)規(guī)模的增加而增加，難以將風(fēng)險(xiǎn)量化值限制在一個(gè)固定的區(qū)間，從而為風(fēng)險(xiǎn)等級(jí)劃分帶來(lái)不便。例如，假設(shè)有系統(tǒng)I和系統(tǒng)2兩個(gè)安全域，其中系統(tǒng)I內(nèi)包含10臺(tái)主機(jī)，系統(tǒng)2內(nèi)包含100臺(tái)主機(jī)，每個(gè)主機(jī)的資產(chǎn)價(jià)值、脆弱性、收到的攻擊、所采取的安全保護(hù)措施均相同，顯然可見(jiàn)系統(tǒng)I與系統(tǒng)2的安全風(fēng)險(xiǎn)是大致相同的，但如果通過(guò)加權(quán)求和方式計(jì)算，會(huì)得出系統(tǒng)2比系統(tǒng)I的安全風(fēng)險(xiǎn)高10倍的結(jié)論，這與實(shí)際情況存在較大的差異。

發(fā)明內(nèi)容
本發(fā)明的目的在于針對(duì)現(xiàn)有發(fā)明的不足，提出了一種安全域風(fēng)險(xiǎn)量化方法及系統(tǒng)，使得能夠根據(jù)安全域內(nèi)的資產(chǎn)、威脅、脆弱性、保護(hù)措施間的關(guān)聯(lián)關(guān)系，將安全域風(fēng)險(xiǎn)量化在固定的數(shù)值區(qū)間，并依據(jù)安全域風(fēng)險(xiǎn)量化值的大小，劃分安全域風(fēng)險(xiǎn)的等級(jí)。本發(fā)明是通過(guò)以下技術(shù)方案實(shí)現(xiàn)的一種安全域風(fēng)險(xiǎn)量化方法，通過(guò)獲取信息系統(tǒng)的資產(chǎn)、威脅、脆弱性、已有的安全防護(hù)措施信息量化所述安全域的風(fēng)險(xiǎn)值，包括以下步驟
A:通過(guò)安全域中特定資產(chǎn)的機(jī)密性、完整性、可用性評(píng)分值，對(duì)所述資產(chǎn)的價(jià)值進(jìn)行量
化；
B :通過(guò)采集單位時(shí)間內(nèi)所述資產(chǎn)遭受的攻擊報(bào)警事件，以及所述資產(chǎn)的脆弱性掃描結(jié)果、已有的安全防護(hù)措施對(duì)所述資產(chǎn)的防護(hù)程度，對(duì)所述資產(chǎn)的受損可能性進(jìn)行量化；
C :通過(guò)將所述資產(chǎn)的價(jià)值和受損可能性進(jìn)行乘積，計(jì)算所述資產(chǎn)的風(fēng)險(xiǎn)量化值；
D :通過(guò)計(jì)算出的單位時(shí)間內(nèi)安全域內(nèi)所有資產(chǎn)的風(fēng)險(xiǎn)量化值，計(jì)算所述安全域的風(fēng)險(xiǎn)
量化值。
優(yōu)選的是，所述步驟A中，通過(guò)指數(shù)計(jì)算的方法，將資產(chǎn)價(jià)值量化為O至100之間的數(shù)值。優(yōu)選的是，所述步驟B中，根據(jù)攻擊行為所針對(duì)的操作系統(tǒng)類型、漏洞類型，與被攻擊資產(chǎn)的實(shí)際操作系統(tǒng)類型、實(shí)際存在的漏洞情況，以及現(xiàn)有的安全防護(hù)措施對(duì)被攻擊資產(chǎn)的保護(hù)情況，將資產(chǎn)受損可能性量化為O至I之間的數(shù)值。優(yōu)選的是，所述步驟D中，按照概率模型將安全域內(nèi)全部資產(chǎn)的風(fēng)險(xiǎn)量化值計(jì)算所述安全域的整體風(fēng)險(xiǎn)量化值。一種安全域風(fēng)險(xiǎn)量化系統(tǒng)，通過(guò)獲取信息系統(tǒng)的資產(chǎn)、威脅、脆弱性、已有的安全防護(hù)措施信息量化所述安全域的風(fēng)險(xiǎn)值，包括資產(chǎn)價(jià)值定義模塊、威脅檢測(cè)模塊、脆弱性檢測(cè)模塊、安全防護(hù)措施定義模塊、資產(chǎn)風(fēng)險(xiǎn)量化模塊和安全域風(fēng)險(xiǎn)量化模塊；
所述資產(chǎn)價(jià)值定義模塊用于設(shè)置資產(chǎn)的機(jī)密性、完整性、可用性分值，并根據(jù)設(shè)定的分值將資產(chǎn)價(jià)值量化為O至100之間的數(shù)值；
所述威脅檢測(cè)模塊采用入侵檢測(cè)的方法檢測(cè)攻擊者對(duì)安全域內(nèi)資產(chǎn)的攻擊行為，或者通過(guò)導(dǎo)入其它入侵檢測(cè)設(shè)備報(bào)警結(jié)果的方式獲取攻擊者對(duì)安全域內(nèi)資產(chǎn)的攻擊行為；
所述脆弱性檢測(cè)模塊采用掃描的方法檢測(cè)安全域內(nèi)各個(gè)資產(chǎn)上存在的安全漏洞，或者通過(guò)導(dǎo)入其它漏洞掃描設(shè)備掃描結(jié)果的方式獲取安全域內(nèi)各個(gè)資產(chǎn)上存在的漏洞情況；所述安全防護(hù)措施定義模塊用于定義已有的安全防護(hù)設(shè)備對(duì)資產(chǎn)上存在的漏洞的防護(hù)情況；
所述資產(chǎn)風(fēng)險(xiǎn)量化模塊用于根據(jù)資產(chǎn)價(jià)值、資產(chǎn)遭受到的攻擊行為、資產(chǎn)上存在的漏洞情況、現(xiàn)有安全設(shè)備對(duì)資產(chǎn)的防護(hù)情況，將資產(chǎn)的風(fēng)險(xiǎn)值量化為O至100之間的數(shù)值；所述安全域風(fēng)險(xiǎn)量化模塊用于根據(jù)安全域內(nèi)各個(gè)資產(chǎn)的風(fēng)險(xiǎn)量化值，按照概率模型將整體安全域的風(fēng)險(xiǎn)量化為O至100之間的數(shù)值。本發(fā)明的有益效果是
1.通過(guò)將威脅、脆弱性、已有的安全防護(hù)措施間進(jìn)行關(guān)聯(lián)分析，能夠更準(zhǔn)確地判斷一次攻擊行為能否真正影響到被攻擊的目標(biāo)，從而更準(zhǔn)確地量化資產(chǎn)風(fēng)險(xiǎn)和安全域風(fēng)險(xiǎn)；
2.通過(guò)概率模型將安全域中各資產(chǎn)的風(fēng)險(xiǎn)量化為安全域的風(fēng)險(xiǎn)，能夠?qū)L(fēng)險(xiǎn)量化在固定的O至100之間的區(qū)間范圍內(nèi)，從而方便不同規(guī)模的安全域進(jìn)行風(fēng)險(xiǎn)評(píng)估結(jié)果的對(duì)比。


圖1為安全域風(fēng)險(xiǎn)量化方法流程圖。
圖2為安全域風(fēng)險(xiǎn)量化系統(tǒng)結(jié)構(gòu)圖。
具體實(shí)施例方式實(shí)施例一
本實(shí)施例為安全域風(fēng)險(xiǎn)量化流程，如圖1所示，包含以下步驟
步驟101 :通過(guò)資產(chǎn)的機(jī)密性、完整性、可用性評(píng)分值，將資產(chǎn)價(jià)值量化為0-100之間的具體數(shù)值。(關(guān)于資產(chǎn)的機(jī)密性、完整性、可用性的定義和計(jì)算方法請(qǐng)參見(jiàn)中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)《GBT 20984—2007信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》)。步驟102 :通過(guò)漏洞掃描的方式，或者通過(guò)導(dǎo)入其它漏洞掃描設(shè)備檢測(cè)結(jié)果的方式，獲取資產(chǎn)上存在的漏洞信息。步驟103 :通過(guò)入侵檢測(cè)的方式，或者通過(guò)導(dǎo)入其它入侵檢測(cè)設(shè)備檢測(cè)結(jié)果的方式，獲取針對(duì)資產(chǎn)的攻擊報(bào)警事件。步驟104 :根據(jù)現(xiàn)有安全設(shè)備的配置情況，針對(duì)步驟102中資產(chǎn)上存在的漏洞情況，定義現(xiàn)有安全設(shè)備對(duì)各個(gè)特定漏洞的保護(hù)系數(shù)。步驟105 :通過(guò)步驟102中得到的資產(chǎn)漏洞情況、步驟103中得到的針對(duì)資產(chǎn)攻擊情況、步驟104中得到的現(xiàn)有安全設(shè)備的防護(hù)情況，計(jì)算資產(chǎn)安全性受損的可能性，乘以步驟101中得到的資產(chǎn)價(jià)值，得到資產(chǎn)風(fēng)險(xiǎn)量化值。步驟106 :通過(guò)計(jì)算安全域中各個(gè)資產(chǎn)的風(fēng)險(xiǎn)量化值，采用概率模型計(jì)算安全域的風(fēng)險(xiǎn)量化值。實(shí)施例二
本實(shí)施例為資產(chǎn)價(jià)值量化的具體方法，包括以下過(guò)程
(O分別對(duì)資產(chǎn)機(jī)密性C、完整性I和可用性A進(jìn)行評(píng)級(jí)，其中各個(gè)屬性均分為5個(gè)等級(jí)無(wú)關(guān)、普通、中等、較高、極高；每個(gè)等級(jí)用分值1-5表示。(2)采用下述方法對(duì)資產(chǎn)價(jià)值進(jìn)行量化
權(quán)利要求
1.一種安全域風(fēng)險(xiǎn)量化方法，通過(guò)獲取安全域的資產(chǎn)、威脅、脆弱性、已有的安全防護(hù)措施信息量化所述安全域的風(fēng)險(xiǎn)值，其特征在于包括以下步驟 A :通過(guò)安全域中特定資產(chǎn)的機(jī)密性C、完整性1、可用性A評(píng)分值，對(duì)所述資產(chǎn)價(jià)值進(jìn)行量化，得到資產(chǎn)價(jià)值量化值M，O彡M彡100 ; B :通過(guò)采集單位時(shí)間內(nèi)所述資產(chǎn)遭受的攻擊報(bào)警事件，以及所述資產(chǎn)的脆弱性掃描結(jié)果、已有的安全防護(hù)措施對(duì)所述資產(chǎn)的防護(hù)程度，對(duì)所述資產(chǎn)受損可能性進(jìn)行量化，得到資產(chǎn)受損可能性量化值T，O < T < I ; C :通過(guò)將所述資產(chǎn)的價(jià)值和受損可能性進(jìn)行乘積，計(jì)算所述資產(chǎn)風(fēng)險(xiǎn)量化值R ； D :通過(guò)計(jì)算出的單位時(shí)間內(nèi)安全域內(nèi)所有資產(chǎn)的風(fēng)險(xiǎn)量化值，計(jì)算所述安全域的風(fēng)險(xiǎn)量化值Ra。
2.根據(jù)權(quán)利要求1所述的安全域風(fēng)險(xiǎn)量化方法，其特征在于，采用下列方法，計(jì)算所述步驟A的資產(chǎn)價(jià)值量化值M : (1)分別將資產(chǎn)的機(jī)密性C、完整性I和可用性A分為無(wú)關(guān)、普通、中等、較高和極高5個(gè)等級(jí)，各等級(jí)對(duì)應(yīng)的分值分別為1、2、3、4和5 ； (2)按照下式計(jì)算資產(chǎn)價(jià)值量化值M
3.根據(jù)權(quán)利要求1所述的安全域風(fēng)險(xiǎn)量化方法，其特征在于，采用下列方法，計(jì)算所述步驟B的資產(chǎn)受損可能性量化值T
4.根據(jù)權(quán)利要求1所述的安全域風(fēng)險(xiǎn)量化方法，其特征在于，采用下列方法，計(jì)算所述步驟C的資產(chǎn)風(fēng)險(xiǎn)量化值R 先按照如下公式計(jì)算單個(gè)攻擊事件e造成的資產(chǎn)風(fēng)險(xiǎn)量化值1^
5.根據(jù)權(quán)利要求1所述的安全域風(fēng)險(xiǎn)量化方法，其特征在于，采用下列公式計(jì)算所述步驟D的安全域風(fēng)險(xiǎn)量化值Ra ；
6.根據(jù)權(quán)利要求1所述的安全域風(fēng)險(xiǎn)量化方法，其特征在于，依據(jù)所述步驟D安全域風(fēng)險(xiǎn)量化值Ra的大小，按照下列方法劃分安全域風(fēng)險(xiǎn)的等級(jí) 當(dāng)0≤Ra≤l時(shí)，安全域?yàn)榈惋L(fēng)險(xiǎn)，當(dāng)I≤Ra≤5時(shí)，安全域?yàn)橹械惋L(fēng)險(xiǎn)，當(dāng)5≤Ra〈20時(shí)，安全域?yàn)橹酗L(fēng)險(xiǎn)，當(dāng)20≤Ra〈50時(shí)，安全域?yàn)橹懈唢L(fēng)險(xiǎn)，當(dāng)50≤Ra≤100時(shí)，安全域?yàn)楦唢L(fēng)險(xiǎn)。
全文摘要
本發(fā)明公開(kāi)了一種安全域風(fēng)險(xiǎn)量化方法，通過(guò)獲取安全域資產(chǎn)、威脅、脆弱性、已有安全防護(hù)措施信息量化安全域的風(fēng)險(xiǎn)值。所述方法包括通過(guò)安全域中特定資產(chǎn)的機(jī)密性、完整性、可用性評(píng)分值，對(duì)資產(chǎn)的價(jià)值進(jìn)行量化；通過(guò)采集單位時(shí)間內(nèi)所述資產(chǎn)遭受的攻擊報(bào)警事件，以及資產(chǎn)的脆弱性掃描結(jié)果、已有的安全防護(hù)措施對(duì)所述資產(chǎn)的防護(hù)程度，對(duì)所述資產(chǎn)的受損可能性進(jìn)行量化；通過(guò)將資產(chǎn)的價(jià)值和受損可能性進(jìn)行計(jì)算所述資產(chǎn)的風(fēng)險(xiǎn)量化值；通過(guò)計(jì)算出的單位時(shí)間內(nèi)安全域內(nèi)所有資產(chǎn)的風(fēng)險(xiǎn)量化值，計(jì)算安全域的風(fēng)險(xiǎn)量化值。所述系統(tǒng)包括資產(chǎn)價(jià)值定義模塊、威脅檢測(cè)模塊、脆弱性檢測(cè)模塊、安全防護(hù)措施定義模塊、資產(chǎn)風(fēng)險(xiǎn)量化模塊和安全域風(fēng)險(xiǎn)量化模塊。
文檔編號(hào)G06F21/57GK103023889SQ20121049826
公開(kāi)日2013年4月3日 申請(qǐng)日期2012年11月29日 優(yōu)先權(quán)日2012年11月29日
發(fā)明者高飛, 楊杉, 曹波 申請(qǐng)人:武漢華中電力電網(wǎng)技術(shù)有限公司, 國(guó)家電網(wǎng)公司