[發明專利]基于SCAP的安全基線評估方法

在審

• 申請號: 201410180456.0
• 申請日: 2014-04-30
• 公開（公告）號: CN103927491A
• 公開（公告）日: 2014-07-16
• 發明（設計）人: 蔣屹新;蒙家曉;關澤武;郭曉斌;文紅;許愛東;李鵬;陳華軍;李騰飛
• 申請（專利權）人: 南方電網科學研究院有限責任公司;電子科技大學
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 成都金英專利代理事務所(普通合伙) 51218
• 代理人: 袁英

1.基于SCAP的安全基線評估方法，其特征在于：它包括以下步驟：

S1：資產識別：對被評估對象使用通用平臺枚舉CPE命名規則，為各項的評估提供基本的管理依據；

S2：CVE漏洞掃描：使用開放漏洞和評估語言OVAL對資產被評估目標對象進行漏洞掃描，；

S3：CCE安全配置檢查：使用可擴展配置清單說明格式XCCDF對資產的安全配置進行核查；

S4：安全評分：使用通用漏洞評價體系CVSS對資產安全級別進行評分；

S5：基線狀態監控：對達到制定的安全基線的被評估目標對象進行基線狀態監控。

2.根據權利要求1所述的基于SCAP的安全基線評估方法，其特征在于：所述資產識別的具體步驟為：

S11：建立被評估對象范圍；

S12：按照統一資源識別URI語法規范對被評估的對象進行命名。

3.根據權利要求1所述的基于SCAP的安全基線評估方法，其特征在于：所述CVE漏洞掃描的具體步驟為：

S21：從NIST導入標準漏洞數據庫；

S22：通過OVAL對被評估目標對象進行漏洞掃描。

4.根據權利要求1所述的基于SCAP的安全基線評估方法，其特征在于：所述CCE安全配置檢查設計的具體步驟為：

S31：建立檢查列表模板；

S32：根據被評估目標對象的安全級別，選擇不同的模板，并對規則、組以及值的共性進行收集；

S33：根據被評估目標對象的安全級別/模板選擇控制點，這些控制點包括除步驟S12中的規則、組以及值對象以外的其它規則、組以及值；

S34：根據控制點選擇具體的檢測規則。

5.根據權利要求1所述的基于SCAP的安全基線評估方法，其特征在于：所述安全評分設計從CVSS體系，根據漏洞的攻擊途徑、復雜度和對系統的影響對系統的安全進行評分。

6.根據權利要求1所述的基于SCAP的安全基線評估方法，其特征在于：所述基線狀態監控主要包括對進程黑白名單、端口白名單、賬號白名單和文件列表的監控。

7.根據權利要求6所述的基于SCAP的安全基線評估方法，其特征在于：所述的進程黑白名單中的進程白名單為對于一種類型的被評估目標對象，根據其服務或者應用屬性，限定該類被評估目標對象允許運行的進行集合。

8.根據權利要求6所述的基于SCAP的安全基線評估方法，其特征在于：所述的端口白名單為對于一種類型的被評估目標對象，根據其服務或者應用屬性，限定該類被評估目標對象運行開放的端口。

9.根據權利要求6所述的基于SCAP的安全基線評估方法，其特征在于：所述的賬號白名單為對于一種類型的被評估目標對象，根據其服務或者應用屬性以及使用人范圍，限定該類被評估目標對象上所創建的系統登錄賬號、應用服務登錄賬號的集合。

10.根據權利要求6所述的基于SCAP的安全基線評估方法，其特征在于：所述的文件列表為對于一種類型的被評估目標對象，根據其系統和服務屬性，經過配置后不允許修改的文件，為了保護和監視這些文件改動情況而建立的文件列表。