[發明專利]一種網絡安全狀態評估系統及方法

有效

• 申請號: 200910083385.1
• 申請日: 2009-05-04
• 公開（公告）號: CN101883017A
• 公開（公告）日: 2010-11-10
• 發明（設計）人: 周濤;石堅;吳恩平;楊立純;力立
• 申請（專利權）人: 北京啟明星辰信息技術股份有限公司;北京啟明星辰信息安全技術有限公司;上海市計算機病毒防范服務中心
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/24;H04L29/06
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 龍洪;霍育棟

1.一種網絡安全狀態評估方法，用于入侵檢測設備評估網絡安全狀態，其特征在于，包括：

根據入侵檢測設備當前觀測周期之前的歷史日志，提取網絡安全狀態指標，建立網絡安全狀態指標的正態分布模型；

所述評估時，根據所述入侵檢測設備當前觀測周期的實時日志，獲得所述實時日志的網絡安全狀態指標值，根據所述實時日志的網絡安全狀態指標值及正態分布模型，獲得所述入侵檢測設備在所述當前觀測周期的網絡安全狀態評估結果。

2.如權利要求1所述的方法，其特征在于，所述建立網絡安全狀態指標的正態分布模型的步驟，包括：

通過對所述歷史日志進行學習，根據所述歷史日志的網絡安全狀態指標值，獲得所述網絡安全狀態指標的模型參數，建立所述正態分布模型。

3.如權利要求2所述的方法，其特征在于，根據所述歷史日志的網絡安全狀態指標值，獲得所述網絡安全狀態指標的模型參數的步驟，包括：

計算所述歷史日志若干個觀測周期中的網絡安全狀態指標值；

計算所述若干個觀測周期中的網絡安全狀態指標值的均值和方差，將所述均值和方差作為所述網絡安全狀態指標的模型參數。

4.如權利要求1所述的方法，其特征在于：

所述網絡安全狀態指標，包括安全事件數量指標、地址熵指標及安全事件擴散指標。

5.如權利要求1所述的方法，其特征在于，根據所述實時日志的網絡安全狀態指標值及正態分布模型，獲得所述入侵檢測設備在所述當前觀測周期的網絡安全狀態評估結果的步驟，包括：

采用異常檢驗與假設檢驗相結合的方式，獲得所述實時日志的網絡安全狀態指標值與正態分布模型的偏離程度；

根據所述偏離程度，評估所述當前觀測周期的網絡安全狀態，獲得所述網絡安全狀態評估結果。

6.一種網絡安全狀態評估系統，用于入侵檢測設備評估網絡安全狀態，其特征在于，包括：

存儲模塊，用于存儲所述入侵檢測設備的日志，包括當前觀測周期的實時日志，以及所述當前觀測周期之前的歷史日志；

指標提取模塊，與所述存儲模塊相連，根據所述入侵檢測設備的日志，提取網絡安全狀態指標，獲得網絡安全狀態指標值；

模型建立模塊，與所述存儲模塊及指標提取模塊相連，根據所述歷史日志的網絡安全狀態指標值，建立所述網絡安全狀態指標的正態分布模型；

評估模塊，與所述指標提取模塊及模型建立模塊相連，根據所述實時日志的網絡安全狀態指標值與正態分布模型，獲得所述入侵檢測設備在所述當前觀測周期的網絡安全狀態評估結果。

7.如權利要求6所述的系統，其特征在于，所述模型建立模塊，通過對所述歷史日志進行學習，根據所述歷史日志的網絡安全狀態指標值，獲得所述網絡安全狀態指標的模型參數，建立所述正態分布模型。

8.如權利要求7所述的系統，其特征在于：所述模型建立模塊計算所述歷史日志若干個觀測周期中的網絡安全狀態指標值，再計算所述若干個觀測周期中的網絡安全狀態指標值的均值和方差，將所述均值和方差作為所述網絡安全狀態指標的模型參數。

9.如權利要求6所述的系統，其特征在于，所述指標提取模塊，包括：

安全事件數量指標提取單元，與所述存儲模塊、模型建立模塊及評估模塊相連，用于過濾一個觀測周期內入侵檢測設備的日志，獲得安全事件數量；

地址熵指標提取單元，與所述存儲模塊、模型建立模塊及評估模塊相連，用于利用信息熵的計算方法，計算一個觀測周期內入侵檢測設備日志源地址、目的地址的地址分布熵；及

安全事件擴散指標提取單元，與所述存儲模塊、模型建立模塊及評估模塊相連，用于獲得一個觀測周期內的安全事件擴散指標值。

10.如權利要求1所述的系統，其特征在于：

所述評估模塊，采用異常檢驗與假設檢驗相結合的方式，獲得實時日志的網絡安全狀態指標值與正態分布模型的偏離程度，根據所述偏離程度評估所述當前觀測周期的網絡安全狀態，獲得所述網絡安全狀態評估結果。