[發明專利]一種入侵進程的層次化在線風險評估方法

無效

• 申請號: 201110256627.X
• 申請日: 2011-09-01
• 公開（公告）號: CN102394766A
• 公開（公告）日: 2012-03-28
• 發明（設計）人: 穆成坡
• 申請（專利權）人: 穆成坡
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種入侵進程的層次化在線風險評估方法，其步驟包括：

(1)利用報警信息綜合處理模塊對報警進行報警驗證、關聯和過濾處理，形成針對同一攻擊過程的報警線程，并完成報警相關度、報警嚴重程度、報警線程中報警數量、報警類型數量以及置信度的學習和計算。

(2)使用D-S證據理論來融合并計算服務層次的入侵風險指數。

(3)使用木桶原理對主機中服務進行比較計算，得出主機層的入侵風險指數。

(4)在網絡層面提出了安全依賴網絡概念，利用了改進的風險傳播算法，完成了網絡層面的風險評估。

2.如權利要求1所描述的方法，其特征在于通過對報警信息的綜合處理，得到五個和攻擊方相關性較大的因素信息。這五個因素為別為：

(1)報警線程中的報警數量(Amount?of?alerts)A_k，此參數既代表了入侵的強度，也從另一方面反映了入侵的確信情況。此參數值可由報警關聯模塊獲得。

(2)報警線程k中最新報警所指示的攻擊確信度(Alert?confidence)C_k0∈[0，1]，它表示了報警所指示的異常活動是真正攻擊的可能性，可由本系統的報警置信度學習模塊獲得。

(3)此報警線程中的報警種類數(Number?of?alert?types)B_k，此參數部分地反映了入侵的進行情況，隨著入侵的進展，引發更多報警種類，入侵對目標服務的威脅就越來越嚴重，同時，它也反映了入侵者的技術水平，其值可由報警關聯模塊獲得。

(4)攻擊嚴重程度(Rank?of?alert?severity)P_r0，是報警線程k中最新報警所指示的攻擊嚴重程度。嚴重程度的值由報警直接得到，大部分IDS對攻擊嚴重程度都以類似報警級別這樣的參數在報警中體現出來，并具體規定了哪些級別報警是較嚴重的、哪些是嚴重的和很嚴重的。

(5)攻擊同被攻擊目標的相關度(Alert?relevance?score)R_s0∈[0，1]，是報警線程中最新攻擊所針對的目標情況同實際目標情況的匹配程度。其值可由報警驗證模塊獲得。

3.如權利要求1所描述的方法，其特征在于使用D-S證據理論融合上述五個和攻擊方相關性較大的因素，對入侵所造成的風險進行客觀上的評估，然后結合目標資產重要度，進行服務層的入侵風險評估。

4.如權利要3所描述的方法，首先利用模糊隸屬函數來獲得各焦元的基本概率分配函數，接著融合這5個不同評估因素對安全風險的評判。再根據被保護網絡中各個主機上運行的服務性質賦予各目標主機相應的重要度，并根據目標重要度，確定的目標風險分布。

5.如權利要求1所描述的方法，其特征在于，在得到單個主機中各個服務的入侵風險指數后，利用“木桶原理”，根據主機重要度，確定其風險分布情況，然后按照主機風險指數在風險分布區間中位置確定主機的風險情況。

6.如權利要求5所描述的方法，其特征在于，主機可承受風險程度取決于最不能承受風險的服務，也就是最脆弱或最重要的服務，而確定風險分布的主機重要度不應低于本機所有服務中最重要的服務的重要度。

7.如權利要求1所描述的方法，其特征在于，根據主機的分布情況建立安全依賴網SDN，通過計算主機之前的安全依賴關系SDR，結合水波效應原理，得到主機的重要度，并以此決定其網絡層次的風險分布，然后根據風險指數在網絡層次風險分布中的位置，確定網絡的風險狀況。