[發明專利]一種資產狀態判別方法及裝置

有效

• 申請號: 201210587606.0
• 申請日: 2012-12-28
• 公開（公告）號: CN103078852A
• 公開（公告）日: 2013-05-01
• 發明（設計）人: 鮑旭華;趙糧
• 申請（專利權）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 郭紅麗

技術領域

本發明涉及網絡安全技術領域，尤其涉及一種資產狀態判別方法及裝置。

背景技術

隨著網絡技術的不斷發展及信息化進程的日漸深入，計算機網絡已成為企業等大型系統高效運營的重要支撐手段，穩定、高效、安全的網絡環境逐漸成為企業等各大型系統的重要需求。與此同時，隨著各種網絡攻擊技術的先進化與普及化，企業等大型系統面臨著隨時被攻擊的危險，經常遭受不同程度的入侵和破壞，嚴重干擾了系統網絡的正常運行。為了應對不斷變化的各類威脅，企業等大型系統開始逐步引入防病毒、防火墻、IDS（Intrusion?DetectionSystems，入侵檢測系統）、VPN（Virtual?Private?Network，虛擬專用網絡）等各類安全防御產品和技術。同時，為了在這些安全產品間建立有效地協作，以避免安全“孤島”，SOC（SecurityOperations?Center，安全運營中心）應運而生，所述SOC為一集中安全管理系統，其以資產為核心，以安全事件管理為關鍵流程，采用安全域劃分的思想，建立一套實時的資產風險模型，協助系統管理員進行事件分析、風險分析、預警管理以及應急響應處理等。

具體地，所述SOC可以采用完全基于先驗知識的關聯方法、部分先驗知識的關聯方法以及不基于先驗知識的關聯方法等關聯方法來建立安全產品之間的協作，其中，所述完全基于先驗知識的關聯方法可以為開放源碼的報警關聯和風險評估軟件OSSIM（Open?Source?Security?Information?Management，開源安全信息管理系統）等，所述部分先驗知識的關聯方法可以為Hyper-Alert（綜合報警）檢測模型等，所述不基于先驗知識的關聯方法可以為SRI國際組織開發的EMERALD等。

但是，無論SOC采用何種關聯方法，資產管理均是SOC正常運行的基石，各類安全信息以此為基礎進行匯總和分析。一般而言，SOC中的資產信息通常可以有以下來源：一是資產管理人員直接提供的資產信息，如通過手工錄入或者從其他資產管理軟件中導入的資產信息；一是漏洞掃描設備產生的報告信息，包括資產IP（網絡協議）地址、系統版本、開啟服務等，但是漏洞掃描設備所產生的報告信息并不能夠包括資產的管理類信息，如責任人、用途、物理位置等；另外一種來源是各類安全防護設備產生的報警和日志信息，如IDS、防火墻、防病毒軟件、內網監控系統等產生的報警和日志信息等，其主要體現威脅事件。通常情況下，上述多種來源的資產信息是彼此符合、相互印證的，但是，在某些情況下仍會產生資產信息不一致的問題，如人工登記資產信息時發生錯誤或是資產信息更新不及時，分配的地址、用途被擅自修改等；或者，設備由于自身原因或遭到攻擊無法正常運行；再或，進入系統內部的人員非惡意或是惡意地接入自帶設備；又或，出現針對完整網段的蠕蟲傳播、自動化掃描或攻擊從而產生大量沒有真實目標的攻擊報警等。

由于SOC的一切匯總和分析工作都是以資產為基礎進行的，因此，當出現上述資產信息不一致問題時，會導致所確定的各資產的狀態并不準確，進而會顯著影響SOC匯總和分析結果的準確度。

發明內容

本發明實施例提供了一種資產狀態判別方法及裝置，用以解決現有技術中存在的資產信息不一致所導致的所確定的資產狀態并不準確的問題。

一種資產狀態判別方法，包括：

預先為系統中的各資產配置包括多個狀態分向量的初始狀態向量，其中，各狀態分向量分別與資產的各潛在狀態一一對應，且各狀態分向量具備相同的初始狀態系數值，所述資產為系統中的物理設備資產或虛擬設備資產；

獲取各資產的資產記錄信息，并針對任一資產，判斷該資產的資產記錄信息中是否存在資產登記記錄信息；

若是，則將該資產的初始狀態向量中與資產的惡意接入狀態、違規接入狀態、疑似狀態分別對應的狀態分向量的狀態系數值進行乘零處理，并判斷該資產的資產記錄信息中是否存在資產掃描記錄信息，若是，則保持該資產當前狀態向量中的各狀態分向量的狀態系數值不變，并對該資產依次進行存活度判別、傷害度判別以及受控度判別，以及，

根據得到的該資產的存活概率、傷害概率以及受控概率依次對該資產的當前狀態向量中的各狀態分向量的狀態系數值進行修正，并根據修正后的各狀態系數值，確定該資產的當前狀態。

一種資產狀態判別裝置，包括：

初始狀態設置模塊，用于預先為系統中的各資產配置包括多個狀態分向量的初始狀態向量，其中，各狀態分向量分別與資產的各潛在狀態一一對應，且各狀態分向量具備相同的初始狀態系數值，所述資產為系統中的物理設備資產或虛擬設備資產；