[發明專利]一種信息系統安全風險評估的方法和裝置

有效

• 申請號: 201310050945.X
• 申請日: 2013-02-17
• 公開（公告）號: CN103996006B
• 公開（公告）日: 2018-09-04
• 發明（設計）人: 李斌;常樂
• 申請（專利權）人: 中國移動通信集團山西有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 北京派特恩知識產權代理有限公司 11270
• 代理人: 張穎玲;程立民

本發明公開了一種信息系統安全風險評估的方法，構造威脅行為模式庫，將信息系統記錄的調用行為與威脅行為模式庫中的威脅行為進行匹配，獲取匹配上的各調用行為的判定值，根據匹配上的各調用行為的判定值確定威脅行為權值；將威脅行為權值結合脆弱性的權值、彌補措施的權值獲得風險等級；本發明同時還公開了一種信息系統安全風險評估的裝置，通過本發明的方案，能夠多維度的對信息系統安全風險進行度量，大大彌補現有風險評價量化的不足，提高威脅判斷的精確性和可信程度，并能夠解決信息系統風險量化的核心問題，使得用戶能夠比較方便客觀的了解信息系統運行的風險狀況，使信息系統安全風險可感知。

技術領域

本發明涉及信息安全技術，尤其涉及一種信息系統安全風險評估的方法和裝置。

背景技術

隨著IT技術的日新月異，整個國民經濟發展都離不開信息系統的運行和支撐，如何保障這些信息系統安全運行成為重中之重；依據《2006-2020年國家信息化發展戰略》要求，要全面加強國家信息安全保障體系建設，要求各組織堅持積極防御、綜合防范，探索和把握信息化與信息安全的內在規律，主動應對信息安全挑戰。

要想實現信息安全主動化，關鍵要解決如何評價信息系統安全風險或早期感知風險的狀況。風險狀況又和諸多方面因素相關，主要包括：信息系統本身脆弱性因素、系統外威脅因素、控制措施和彌補措施等因素；這些因素又相互作用，相互影響。

現有技術主要通過以下三種方式評價信息系統安全風險：一、從威脅角度出發，即對相關設備的安全事件量來判斷，主要分析來自安全設備和IT設備的日志，并從中提取風險等級高的日志進行判斷；二、從脆弱性角度出發，即對承載信息系統相關的網絡設施、主機資源、代碼資源等進行脆弱性評價，從而得出風險狀況的高低；三、結合威脅、脆弱性及資產價值進行綜合評價。

現有的風險評價體系存在較大的缺陷和不足，主要體現在以下幾個方面：

一、評價指標要么依賴單一因素，要么太復雜，都無法反應真實的風險狀況；從威脅角度出發可以較真實的反應外界攻擊狀況，但由于外界的威脅數量眾多，來源復雜，既有新型攻擊、又有非常老的攻擊，且攻擊適用性也需要精確甄別，因此普遍會出現風險狀況偏高的評價，不利于威脅處置和彌補措施的開展；從脆弱性角度出發可以真實的反映信息系統的漏洞狀況，但由于脆弱性是靜態的，要形成風險是需要有威脅攻擊參與的，因此往往出現風險狀況評價失真，不利于將有效的資源投入到風險控制中，成本過大；從威脅、脆弱性和資產價值進行綜合評價是比較能反映風險狀況水平的，但這種綜合評價由于涉及三維體系，且三個因素是多對多的關系，映射關系和計算異常復雜，在現實使用中很難實現。

二、目前的評價體系往往僅關注風險威脅、脆弱性和資產價值，而往往忽視了很重要的彌補措施環節，而彌補措施環節實際上是風險控制的重要因素。

發明內容

有鑒于此，本發明的主要目的在于提供一種信息系統安全風險評估的方法和裝置，能夠多維度的對信息系統安全風險進行度量。

為達到上述目的，本發明的技術方案是這樣實現的：

本發明提供的一種信息系統安全風險評估的方法，該方法包括：

構造威脅行為模式庫，將信息系統記錄的調用行為與威脅行為模式庫中的威脅行為進行匹配，獲取匹配上的各調用行為的判定值，根據匹配上的各調用行為的判定值確定威脅行為權值；

將威脅行為權值結合脆弱性的權值、彌補措施的權值獲得風險等級。

上述方案中，所述構造威脅行為模式庫為：以具體的威脅行為作為分類原則，每一類型的威脅行為映射一個系統函數調用集，每個系統函數調用集都包括一個以上由三元組<模塊號，函數號，細則號>來表示的系統應用程序編程接口API函數的調用行為，所有威脅行為組成威脅行為模式庫。