CN103023889A - 一种安全域风险量化方法 - Google Patents

Abstract

本发明公开了一种安全域风险量化方法，通过获取安全域资产、威胁、脆弱性、已有安全防护措施信息量化安全域的风险值。所述方法包括通过安全域中特定资产的机密性、完整性、可用性评分值，对资产的价值进行量化；通过采集单位时间内所述资产遭受的攻击报警事件，以及资产的脆弱性扫描结果、已有的安全防护措施对所述资产的防护程度，对所述资产的受损可能性进行量化；通过将资产的价值和受损可能性进行计算所述资产的风险量化值；通过计算出的单位时间内安全域内所有资产的风险量化值，计算安全域的风险量化值。所述系统包括资产价值定义模块、威胁检测模块、脆弱性检测模块、安全防护措施定义模块、资产风险量化模块和安全域风险量化模块。

Description

一种安全域风险量化方法

技术领域

本发明涉及信息安全领域，具体涉及一种安全域风险量化方法及系统。

背景技术

在对安全域进行风险评估时，往往需要对安全域的风险进行量化，以便对不同安全域、同一安全域在不同时间点的风险进行比较。

经对现有技术的文献检索发现，中国专利申请号CN201110292996,专利名称“计算机安全风险评估方法和设备”，提出了一种安全风险评估方法：获取计算机中存在的一个或者多个安全漏洞，根据安全漏洞的危险程度为每个安全漏洞分配风险等级，逐个等级地计算每个风险等级的安全风险评估值，直到计算了计算机中的安全漏洞所具有的最高风险等级为止。这种风险量化方法存在以下局限性：未考虑攻击行为、脆弱性和防护措施之间的关联关系。网络攻击行为总是针对特定操作系统、特定漏洞的，只有满足特定条件才能攻击成功，也才能够破坏目标的安全性。例如对于windows操作系统的RPC服务漏洞的远程溢出攻击行为，如果被攻击的目标主机的操作系统类型不是windows，或者虽然是windows系统但不存在RPC服务漏洞，或者虽然是windows系统、也存在RPC服务漏洞，但目标主机前的防火墙禁止对该服务的远程访问，则攻击都不可能成功，也不会影响目标主机的安全性。因此只有将攻击、脆弱性、防护措施间进行关联分析，才能准确评估和量化安全风险。

中国专利申请号CN201010187196，专利名称“一种安全风险评估模型、评估方法及评估参数确定方法”，提出了一种用于电力二次系统的安全风险评估模型，该模型包括攻击层、服务层、主机层和系统层，所述的攻击层包括攻击事件，服务层包括与攻击事件数量相等的服务，系统层包括网络系统；评估模型采用自下而上、先局部后整体的评估策略，首先由攻击事件所针对的服务计算服务风险，再由主机上开放的服务计算主机风险，最终由系统中全部主机风险计算系统风险，在计算时采用了加权求和的方法。这种风险量化方法首先没有考虑已有的防护措施对攻击事件的影响，导致风险量化结果不准确；其次该专利中通过加权求和的方式计算系统的风险量化值，会导致系统的风险值会随着系统规模的增加而增加，难以将风险量化值限制在一个固定的区间，从而为风险等级划分带来不便。例如，假设有系统1和系统2两个安全域，其中系统1内包含10台主机，系统2内包含100台主机，每个主机的资产价值、脆弱性、收到的攻击、所采取的安全保护措施均相同，显然可见系统1与系统2的安全风险是大致相同的，但如果通过加权求和方式计算，会得出系统2比系统1的安全风险高10倍的结论，这与实际情况存在较大的差异。

发明内容

本发明的目的在于针对现有发明的不足，提出了一种安全域风险量化方法及系统，使得能够根据安全域内的资产、威胁、脆弱性、保护措施间的关联关系，将安全域风险量化在固定的数值区间，并依据安全域风险量化值的大小，划分安全域风险的等级。

本发明是通过以下技术方案实现的：一种安全域风险量化方法，通过获取信息系统的资产、威胁、脆弱性、已有的安全防护措施信息量化所述安全域的风险值，包括以下步骤：

A：通过安全域中特定资产的机密性、完整性、可用性评分值，对所述资产的价值进行量化；

B：通过采集单位时间内所述资产遭受的攻击报警事件，以及所述资产的脆弱性扫描结果、已有的安全防护措施对所述资产的防护程度，对所述资产的受损可能性进行量化；

C：通过将所述资产的价值和受损可能性进行乘积，计算所述资产的风险量化值；

D：通过计算出的单位时间内安全域内所有资产的风险量化值，计算所述安全域的风险量化值。

优选的是，所述步骤A中，通过指数计算的方法，将资产价值量化为0至100之间的数值。

优选的是，所述步骤B中，根据攻击行为所针对的操作系统类型、漏洞类型，与被攻击资产的实际操作系统类型、实际存在的漏洞情况，以及现有的安全防护措施对被攻击资产的保护情况，将资产受损可能性量化为0至1之间的数值。

优选的是，所述步骤D中，按照概率模型将安全域内全部资产的风险量化值计算所述安全域的整体风险量化值。

一种安全域风险量化系统，通过获取信息系统的资产、威胁、脆弱性、已有的安全防护措施信息量化所述安全域的风险值，包括资产价值定义模块、威胁检测模块、脆弱性检测模块、安全防护措施定义模块、资产风险量化模块和安全域风险量化模块；

所述资产价值定义模块用于设置资产的机密性、完整性、可用性分值，并根据设定的分值将资产价值量化为0至100之间的数值；

所述威胁检测模块采用入侵检测的方法检测攻击者对安全域内资产的攻击行为，或者通过导入其它入侵检测设备报警结果的方式获取攻击者对安全域内资产的攻击行为；

所述脆弱性检测模块采用扫描的方法检测安全域内各个资产上存在的安全漏洞，或者通过导入其它漏洞扫描设备扫描结果的方式获取安全域内各个资产上存在的漏洞情况；

所述安全防护措施定义模块用于定义已有的安全防护设备对资产上存在的漏洞的防护情况；

所述资产风险量化模块用于根据资产价值、资产遭受到的攻击行为、资产上存在的漏洞情况、现有安全设备对资产的防护情况，将资产的风险值量化为0至100之间的数值；

所述安全域风险量化模块用于根据安全域内各个资产的风险量化值，按照概率模型将整体安全域的风险量化为0至100之间的数值。

本发明的有益效果是：

1.  通过将威胁、脆弱性、已有的安全防护措施间进行关联分析，能够更准确地判断一次攻击行为能否真正影响到被攻击的目标，从而更准确地量化资产风险和安全域风险；

2.  通过概率模型将安全域中各资产的风险量化为安全域的风险，能够将风险量化在固定的0至100之间的区间范围内，从而方便不同规模的安全域进行风险评估结果的对比。

附图说明

图1为安全域风险量化方法流程图。

图2为安全域风险量化系统结构图。

具体实施方式

实施例一：

本实施例为安全域风险量化流程，如图1所示，包含以下步骤：

步骤101：通过资产的机密性、完整性、可用性评分值，将资产价值量化为0-100之间的具体数值。（关于资产的机密性、完整性、可用性的定义和计算方法请参见中华人民共和国国家标准《GBT 20984—2007信息安全技术信息安全风险评估规范》）。

步骤102：通过漏洞扫描的方式，或者通过导入其它漏洞扫描设备检测结果的方式，获取资产上存在的漏洞信息。

步骤103：通过入侵检测的方式，或者通过导入其它入侵检测设备检测结果的方式，获取针对资产的攻击报警事件。

步骤104：根据现有安全设备的配置情况，针对步骤102中资产上存在的漏洞情况，定义现有安全设备对各个特定漏洞的保护系数。

步骤105：通过步骤102中得到的资产漏洞情况、步骤103中得到的针对资产攻击情况、步骤104中得到的现有安全设备的防护情况，计算资产安全性受损的可能性，乘以步骤101中得到的资产价值，得到资产风险量化值。

步骤106：通过计算安全域中各个资产的风险量化值，采用概率模型计算安全域的风险量化值。

实施例二：

      本实施例为资产价值量化的具体方法，包括以下过程：

（1）分别对资产机密性C、完整性I和可用性A进行评级，其中各个属性均分为5个等级：无关、普通、中等、较高、极高；每个等级用分值1-5表示。

（2）采用下述方法对资产价值进行量化：

           

其中： M——资产价值量化值；

             round()——四舍五入的取整函数；

             C、I、A——资产机密性、完整性、可用性分值。

实施例三：

      本实施例为资产安全性受损可能性的计算方法，计算过程为：

其中：T——资产安全性受损可能性；

         Evt——攻击行为威胁等级量化值；

f()——攻击-资产相关性判断函数；

s()——现有安全措施对漏洞的保护因子。

下面说明计算公式中每个因子的计算过程。

首先根据攻击行为造成的危害程度、攻击行为实施的难易程度，将攻击行为威胁程度划分为5个等级，如表1所示：

，

然后采用下述方法将攻击行为威胁等级进行量化：

其中： Evt——攻击行为威胁等级量化值；

level——攻击行为威胁程度等级。

-资产相关性判断函数

本发明基于如下条件判断攻击事件与资产的相关性：

f=1：目标资产上存在可被攻击利用的漏洞；

f=0.8：目标资产上不存在可被攻击利用的漏洞，但被攻击端口开放；

f=0.4：漏洞、开放端口均不相符，但操作系统类型相符；

f=0.2：漏洞、开放端口、操作系统类型均不相符，且目标资产存在漏扫结果；

f=0.1：漏洞、开放端口、操作系统类型均不相符，且系统中不存在目标资产的漏扫结果；

(3)  现有安全措施对漏洞的保护因子

本发明基于如下条件判断现有安全措施对漏洞的保护因子：

s=0：现有安全措施能够完全阻止对存在漏洞的服务的访问，从而避免漏洞被攻击者利用并破坏资产的安全性；

s=0.7：现有安全措施不能够完全阻止对存在漏洞的服务的访问，只是对访问的内容进行了一定过滤；

s=1：现有的安全措施完全放行了对存在漏洞的服务的访问。

实施例四：

本实施例为资产风险量化方法，在完成资产价值及安全性受损可能性量化后，即可基于如下公式计算单个攻击事件造成的资产风险：

其中：

——事件e造成的资产风险；

        M——资产价值量化值；

           T——事件e导致资产安全性受损的可能性。

在一个周期内，一个资产可能会遭受多次攻击，对于多次攻击造成的资产风险采取概率求和的方式计算：

其中： R——资产在单位事件内的总风险；

Rei——单个事件i造成的风险；

              n——单位时间内的攻击事件总数。

实施例五：

本实施例为安全域风险量化方法。在完成资产风险量化后，通过概率模型计算的安全域风险量化方法为：

其中：     Ra——安全域风险量化值；

                 Ri——资产i风险量化值；

                 n——资产总数。

实施例六：

本实施例为安全域风险量化系统结构介绍，如图2所示。

本发明所述的安全域风险量化系统包括资产价值定义模块201、威胁检测模块202、脆弱性检测模块203、安全防护措施定义模块204、资产风险量化模块205和安全域风险量化模块206；

资产价值定义模块201通过资产的机密性、完整性、可用性评分值，将资产价值量化为0-100之间的具体数值；

脆弱性检测模块202通过漏洞扫描的方式，或者通过导入其它漏洞扫描设备检测结果的方式，获取资产上存在的漏洞信息；

威胁检测模块203通过入侵检测的方式，或者通过导入其它入侵检测设备检测结果的方式，获取针对资产的攻击报警事件；

安全防护措施定义模块204根据现有安全设备的配置情况，针对脆弱性检测模块202中得到的资产上存在的漏洞情况，定义现有安全设备对各个特定漏洞的保护系数；

资产风险量化模块205通过脆弱性检测模块202中得到的资产漏洞情况、威胁检测模块203中得到的针对资产攻击情况、安全防护措施定义模块204中得到的现有安全设备的防护情况，计算资产安全性受损的可能性，乘以资产价值定义模块201中得到的资产价值，得到资产风险量化值；

安全域风险量化模块206通过计算安全域中各个资产的风险量化值，采用概率模型计算安全域的风险量化值Ra。

依据安全域风险量化值Ra的大小，按照下列方法划分安全域风险的等级：

当0<Ra<1时，安全域为低风险，当1≤Ra<5时，安全域为中低风险，当5≤Ra<20时，安全域为中风险， 当20≤Ra<50时，安全域为中高风险，当50≤Ra<100时，安全域为高风险。

Claims (6)

1.一种安全域风险量化方法，通过获取安全域的资产、威胁、脆弱性、已有的安全防护措施信息量化所述安全域的风险值，其特征在于包括以下步骤：

A：通过安全域中特定资产的机密性C、完整性I、可用性A评分值，对所述资产价值进行量化，得到资产价值量化值M，0≤M≤100；

B：通过采集单位时间内所述资产遭受的攻击报警事件，以及所述资产的脆弱性扫描结果、已有的安全防护措施对所述资产的防护程度，对所述资产受损可能性进行量化，得到资产受损可能性量化值T，0≤Ｔ≤1；

C：通过将所述资产的价值和受损可能性进行乘积，计算所述资产风险量化值R；

D：通过计算出的单位时间内安全域内所有资产的风险量化值，计算所述安全域的风险量化值Ra。

2.根据权利要求1所述的安全域风险量化方法，其特征在于，采用下列方法，计算所述步骤A的资产价值量化值M：

（1）分别将资产的机密性C、完整性I和可用性A分为：无关、普通、中等、较高和极高5个等级，各等级对应的分值分别为1、2、3、4和5；

（2）按照下式计算资产价值量化值M

其中：round()为四舍五入的取整函数，C、I、A为资产机密性、完整性、可用性分值。

3.根据权利要求1所述的安全域风险量化方法，其特征在于，采用下列方法，计算所述步骤B的资产受损可能性量化值T：

    

其中：Evt为攻击行为威胁等级量化值，f()为攻击-资产相关性判断函数，s()为现有安全措施对漏洞的保护因子；

Evt的计算：先将攻击行为威胁程度划分为无关、低级、中级、高级和严重5个等级，各等级对应的分值分别为1、2、3、4和5，按照下式计算攻击行为威胁等级量化值Evt

其中：level——攻击行为威胁程度等级；

f()值的确定：

f=1：目标资产上存在可被攻击利用的漏洞；

f=0.8：目标资产上不存在可被攻击利用的漏洞，但被攻击端口开放；

f=0.4：漏洞、开放端口均不相符，但操作系统类型相符；

f=0.2：漏洞、开放端口、操作系统类型均不相符，且目标资产存在漏扫结果；

f=0.1：漏洞、开放端口、操作系统类型均不相符，且系统中不存在目标资产的漏扫结果；

 s()值的确定：

s=0：现有安全措施能够完全阻止对存在漏洞的服务的访问，从而避免漏洞被攻击者利用并破坏资产的安全性；

s=0.7：现有安全措施不能够完全阻止对存在漏洞的服务的访问，只是对访问的内容进行了一定过滤；

s=1：现有的安全措施完全放行了对存在漏洞的服务的访问。

4.根据权利要求1所述的安全域风险量化方法，其特征在于，采用下列方法，计算所述步骤C的资产风险量化值R：

先按照如下公式计算单个攻击事件e造成的资产风险量化值

：

其中：M为资产价值量化值，T为事件e导致资产安全性受损的可能性

在一个周期内，一个资产可能会遭受多次攻击，对于多次攻击造成的资产风险采取概率求和的方式计算：

其中：Rei为单个事件i造成的风险，  n为单位时间内的攻击事件总数。

5.根据权利要求1所述的安全域风险量化方法，其特征在于，采用下列公式计算所述步骤D的安全域风险量化值Ra；

其中：Ra为安全域风险量化值，Ri为资产i风险量化值，n为资产总数。

6.根据权利要求1所述的安全域风险量化方法，其特征在于，依据所述步骤D安全域风险量化值Ra的大小，按照下列方法划分安全域风险的等级：

当0<Ra<1时，安全域为低风险， 当1≤Ra<5时，安全域为中低风险， 当5≤Ra<20时，安全域为中风险， 当20≤Ra<50时，安全域为中高风险， 当50≤Ra<100时，安全域为高风险。

Images