[發明專利]一種網絡安全態勢評估方法

有效

• 申請號: 200910082181.6
• 申請日: 2009-04-17
• 公開（公告）號: CN101867498A
• 公開（公告）日: 2010-10-20
• 發明（設計）人: 韋勇;連一峰;馮登國
• 申請（專利權）人: 中國科學院軟件研究所
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/24;H04L29/06
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 余長江

1.一種網絡安全態勢評估方法，其步驟為：

1)對輸入的告警信息進行相關性分析，得到主機攻擊圖；

2)根據輸入的主機漏洞信息、攻擊所依賴的漏洞和入侵的期望威脅對主機攻擊圖進行關聯分析，得到主機的期望狀態圖；

3)利用入侵的期望威脅和主機期望狀態圖，計算主機威脅值；

4)利用各主機提供服務的權重信息和各主機的威脅值計算主機綜合安全態勢；

5)利用網絡組件性能信息和各網絡組件權重值計算網絡組件綜合安全態勢；

6)利用主機綜合安全態勢和網絡組件綜合安全態勢計算網絡安全態勢。

2.如權利要求1所述的方法，其特征在于采用基于預定義攻擊場景的告警關聯算法進行所述相關性，得到主機攻擊圖。

3.如權利要求2所述的方法，其特征在于利用網絡內部主機之間的信任關系和攻擊所依賴的漏洞對所述主機攻擊圖進行修正，其方法為：首先將所有主機的成功攻擊進行傳播，傳播對象是主機信任關系中信任被攻擊主機的其它主機；然后再利用傳播對象主機的漏洞信息判斷該風險傳播是否成功，如果不成功則中斷該條傳播路徑，否則傳播成功并繼續從成功主機向信任對象傳播，直至所有信任關系都已進行了分析，從而得到完整的主機攻擊圖。

4.如權利要求1所述的方法，其特征在于所述對主機攻擊圖進行關聯分析，得到主機的期望狀態圖的方法為：對所述主機攻擊圖中每一步所依賴的漏洞進行檢查，如果包含該漏洞則繼續檢查下一轉移過程，否則刪除當前狀態轉移過程，繼續檢查下一轉移過程，最后得到主機期望狀態圖。

5.如權利要求1所述的方法，其特征在于所述主機威脅值的計算方法為：利用入侵的期望威脅和主機期望狀態圖，對期望狀態圖中的各個期望狀態進行賦值，計算期望狀態的變化值并取其中最大值作為所述主機威脅值VoT_max。

6.如權利要求5所述的方法，其特征在于利用實際主機性能參數計算主機性能改變值，對所述主機威脅VoT_max進行修正，得到網絡主機的修正威脅值VoT_cor，其方法為：

1)計算主機某時段內的性能變化量ΔP_H；

2)利用公式VoT_cor＝(1-η)×VoT_max+η×ΔP_H計算網絡主機的修正威脅值；其中η為修正系數，取值為[0，1]。

7.如權利要求6所述的方法，其特征在于所述主機性能的計算公式為其中：τ≥τ₀時，ε≥ε₀時，γ是處理器使用率；μ是內存使用率；τ是服務時間；λ是服務隊列數；κ是連接數；ρ是流量；ε是包延遲時間；δ是丟包率；λ₀是最大服務隊列數；κ₀是最大連接數；ρ₀是最大流量；τ₀是臨界服務時間；ε₀是臨界包延遲時間。

8.如權利要求6所述的方法，其特征在于采用公式計算所述主機綜合安全態勢；其中n為主機數，w_Hi為每個主機所占的權重，m為主機提供的服務數，w_i為每個服務所占的權重。

9.如權利要求1所述的方法，其特征在于所述網絡組件性能信息包括：網絡組件的唯一標識符、網絡組件的類型、網絡組件的入侵檢測和防護能力、網絡組件處理的流量。

10.如權利要求7所述的方法，其特征在于所述網絡組件綜合安全態勢的計算方法為：首先采用公式計算某時段內的網絡組件性能變化量ΔP_N，然后利用公式計算所述網絡組件綜合安全態勢值SA_N，其中：網絡組件的檢測和防護能力β∈[0，1]，處理流量θ∈[0，θ₀]、θ₀是最大處理流量，n為網絡組件數，w_Ni為每個網絡組件所占的權重。

如權利要求1所述的方法，其特征在于利用所述主機綜合安全態勢和所述網絡組件綜合安全態勢進行加權計算，得到所述網絡安全態勢SA；所述計算公式為：SA＝x×SA_H+(1-χ)×SA_N；其中χ為比例系數，取值為[0，1]；SA_H為主機綜合安全態勢；SA_N為網絡組件綜合安全態勢。