CN104965972A - 一种基于人工智能的信息系统安全风险评估与防护方法 - Google Patents

Abstract

本发明公开了一种基于人工智能的信息系统安全风险评估与防护方法，描述信息系统、确定威胁、确定漏洞、分析防护措施、估计威胁频率和严重等级、评估风险和防护建议。通过本发明的方案，采用人工智能技术，对信息系统安全风险进行度量，大大弥补了现有风险评价量化的不足，提高了威胁判断的精确性和可信程度，同时，解决了信息系统风险量化的核心问题，使得用户能够比较方便客观的了解信息系统运行的风险情况，使信息系统安全风险可感知。

Description

一种基于人工智能的信息系统安全风险评估与防护方法

技术领域

本发明涉及信息安全技术和人工智能技术领域，尤其涉及到信息系统的风险评估与防护的系统与方法。

背景技术

随着计算机信息化应用的不断普及和深入，信息系统已经成为支撑各行各业运作不可缺少的一部分，因此，信息系统的安全运行保障也显得越来越重要。

要保障信息系统的安全，关键要解决如何评价信息系统的安全风险。风险评估又如诸多因素有关，主要包括：信息系统本身脆弱性因素、威胁因素、安全控制措施等因素，这些因素又相互作用、相互影响。

现有技术主要通过以下三种方式来评价信息系统的安全风险：1、从威胁角度出发，即对相关设备的安全事件来判断，主要分析来自安全设备和IT设备的日志，并从中提取风险等级高的日志来进行判断；2、从脆弱性角度出发，即对承载信息系统相关的网络设施、主机资源、代码资源等进行脆弱性评价，从中得出信息系统的安全风险状况的高低；3、结合威胁、脆弱性和资产价值进行评价。

现有的信息系统安全风险评估存在较大的缺陷和不足，主要体现以下几个方面：

1、评价指标要么依赖单一因素，要么太复杂，都无法反映真实的安全风险状况。从威胁角度出发可以真实地反映外界攻击的状况，但由于外界的威胁数量众多，来源复杂；既有新型攻击，又有古老的攻击，且攻击适用性也需要精确甄别，因此，会普遍出现风险状况偏高的评价，不利于风险处置和防护措施的开展。从脆弱性角度出发可以真实地反映信息系统的漏洞情况，但由于脆弱性是静态的，要形成风险是需要有威胁攻击参与的，因此，往往出现风险状况评价失真，不利于将有效的资源投入到风险控制之中，成本过大。从威胁、脆弱性和资产价值进行综合评价是比较能反映风险状况水平的，但这种综合评价由于涉及三维体系，且三个因素是多对多的关系，映射关系和计算是异常复杂，在现实使用中很难实现。

2、目前的评价体系，往往仅关注风险威胁、脆弱性和资产价值，而往往忽略了很重要的人工智能技术、攻击者能力，以及通过改变攻击者能力来消除威胁的安全防护措施，而消除导致产生威胁的攻击者能力实际上是风险控制的重要因素。

为此，如何解决信息系统安全风险评估所面临的问题，以及设计出一种信息系统安全风险评估与防护的方案，使得它能够评估信息系统的安全风险，又有相应的安全控制措施，即成为尤其是信息系统安全运维管理设计上必须要解决的一个重要课题。

发明内容

有鉴于此，本发明的主要目的在于提供一种信息系统的安全风险评估与防护的方法。采用人工智能技术，实现对信息系统安全风险的度量；通过改变攻击者能力，来达到对信息系统的安全控制和消除威胁的目的。

为达到上述目的，本发明的技术方案是这样实现的：

本发明提供的一种基于人工智能的信息系统的安全风险评估与防护的方法，该方法包括：

描述信息系统，确定威胁，确定漏洞，分析防护措施，估计威胁频率和严重等级，评估风险和防护建议。

上述方案中，所述描述信息系统，就是确定要评估的信息系统的边界和软件架构。

上述方案中，所述确定威胁，就是确定需要保护的资产、攻击者的动机和能力。

上述方案中，所述确定漏洞，就是确定信息系统可能被攻击者利用的缺陷和脆弱性。

上述方案中，所述分析防护措施，就是分析已实现的防护措施、或将要实现的防护措施以消除或缩减威胁发生的频率、或降低威胁的严重等级。所分析的防护措施包括技术性的防护措施和非技术性的防护措施。

上述方案中，所述估计威胁频率，可以通过下式来计算威胁数学期望：

L(t)=S(t)                                                O(t)，其中，S(t)是威胁难易程度的得分，O(t)是威胁发生频率得分。

所述估计威胁严重等级，假设由专家评估威胁t的m个因素的得分为{}，那么威胁t的严重程度得分，由下式表示：

I(t)= 。

上述方案中，所述评估风险，也就是信息系统的安全风险评估，由下式来计算：

                                                               R(t)=I(t) L(t)   。

上述方案中，所述防护建议，采用改变攻击者能力的方法来消除和降低信息系统的安全风险。

上述方案中，若是引起威胁t所必须的能力，并且假定由专家们提供了n个因素评估的分数为{}。因此，威胁难易程度的估计如下：

=（=）。

在某种情况下，有些威胁可能与多个能力相关，在这种情况下，威胁难易程度的得分就是所有威胁的难易程度得分的最大值，如下式所：

S(t)=max{}。

上述方案中，O(t)、I(t)的值，都是通过人工智能的方法获得；大大弥补了现有风险评价量化的不足，提高了威胁判断的精确性和可信程度，同时，解决了信息系统风险量化的核心问题，使得用户能够比较方便客观的了解信息系统运行的风险情况，使信息系统安全风险可感知。

附图说明

图1为本发明所述的信息系统安全风险评估流程图；

图2为本发明所述的信息系统安全风险评估的一个实例。

具体实施方式

下面是根据附图和实例对本发明的进一步详细说明：

如图1所示，为本发明所述的信息系统安全风险评估流程图。描述信息系统模块100负责确定信息系统的边界和软件架构。确定威胁模块110负责确定要保护的资产、攻击者的动机和能力。确定信息系统攻击者能力，负责确定访问信息系统的各种方式。攻击者能力可以通过数组<O,A>来表示，其中，O表示对象，而A表示施加于O之上的动作，这里，省略了主体S，因为它代表所有的攻击者。三元组的S、O和A，可以从如下的系统架构得到：

1、将系统分解成一系列的对象或组件；

2、确定每一个对象的类型，例如，硬件、软件、数据库和通信链路等；

3、枚举每个对象的各种访问方式，这可以通过一个模板来实现，该模板列出了当它执行攻击这些对象时的攻击能力，如下表所示。

表1  攻击者能力模板

注意，我们使用的通信链路是指在上表中的数据通信链路之上进行传输数据。这给攻击者具有访问资源的机会，例如，把“阅读信息”作为“拦截信息”。

这些措施足以确定信息系统所有已知攻击者的能力。首先，信息系统的体系结构的使用保证了能够枚举组成系统的所有对象/组件。其次，攻击者能力模板的使用保证了能够枚举对给定对象的所有已知的攻击能力。

确定漏洞模块120，负责确定信息系统可能被攻击者利用的缺陷和脆弱性。

分析防护措施模块130，负责分析已实现的防护措施、或将要实现的防护措施以降低威胁发生的频率、或降低威胁的严重等级。防护措施包括技术性的防护措施和非技术性的防护措施。技术性的防护措施通过软件和硬件来防范，例如，访问控制和入侵检测系统（IDS）。非技术性的防护措施就是管理方面的工作，例如，安全策略和操作维护流程。

估计威胁发生的频率模块143，综合考虑信息系统潜在的漏洞、现有的安全防护的有效性、攻击者的能力与动机，以及潜在的攻击者可以利用的手段和机会，而得分表明威胁发生可能性的高低。

本发明将威胁发生的频率定义为威胁发生的数学期望。估计一个给定的威胁发生的期望值的客观方法就是收集历史数据（例如，操作系统的事件日志）。利用它们来计算威胁在某一特定时间发生的频率。然而，可供用来计算所述频率的数据很少，必须依靠专家意见来评估威胁发生的频率，利用专家的智慧，充分发挥人工智能技术的作用。

一个给定的威胁发生的频率，通过计算两个量来获得：威胁发生的频率和产生威胁的难易程度。威胁难易程度估计攻击信息系统并产生威胁的困难程度，它是攻击者产生威胁所必须的能力、机会和手段的数学期望值。威胁发生的频率就是计算攻击者造成威胁发生频率的数学期望（如果他们有能力、手段和机会的话）。在下面，将讨论如何估计这两个量。

1、威胁难易程度的估计

专家分别分配分数给这些因素：时间、专业、知识、机会，以及所需设备与工具。他们选择每一个因素被要求开发而引起威胁的攻击的复杂性或难度的等级。基于事先定义的量纲，所述复杂度或难度的等级被映射成数字值，如下表所示。

 表2  威胁难易程度的估计

假设是引起威胁t所必须的能力，并且假定由专家们提供了n个因素评估的分数{}，因此，威胁难易程度的估计如下：=（

）。

有些威胁可能与多个能力相关，在这种情况下，威胁难易程度的得分就是所有威胁的难易程度得分的最大值，如下式所示：

S(t)=max{}。

此外，还有能够引起威胁的因素这里没有提到，例如系统配置。因此，威胁难易程度的估计的方法，还可以进一步地扩展。

2、威胁频率的估计

这里，将威胁发生的频率的数学期望定义为攻击者动机的数学期望。例如，财务收益、嬉闹、名声和窃取技术。商务专家（懂信息系统商务的人）确定攻击信息系统的动机，发挥专家的智慧，采用人工智能技术，并且，利用这个信息进行威胁发生频率的评估。

3、威胁数学期望的估计

可以通过下式来计算威胁数学期望：

L（t），其中，S（t）是威胁难易程度的得分，O（t）是威胁发生频率得分。

估计威胁严重程度模块147，专家们关联各种因素的得分：金融、法律、运维、安全、隐私和毁誉，详见下表：

表3  威胁严重程度

这里，假设由商务专家评估威胁t的m个因素的得分为{ }，那么威胁t的严重程度得分，由下式表示：

I(t)= 。

评估风险模块150，下式就是风险评估的计算公式：

R(t)=I(t) L(t)。

进一步地，这个风险得分可以被映射成在0-1之间的等级，也就是说，风险最高得分映射到1，而风险最低得分映射到0。

防护建议模块160，将通过改变攻击者的能力来降低信息系统的安全风险，并通过测量指标来衡量其效果。

1、通过改变攻击者能力来降低安全风险

攻击者的能力作为实施威胁的条件，也就是说，攻击者能够产生威胁，当且仅当，他或她具备引起威胁所必须的能力。因此，消除或缓解某一个威胁的一种方法，就是尽可能地消除或缓解攻击者那个必须的能力，或使用频率较高的那些能力。这样，通过攻击者能力的改变，取代信息系统相应的安全风险防护措施的实施的目的。

消除或缓解攻击者那个必须的能力，即对信息系统发起攻击的那个能力的技术主要与该能力本身有关；然而，至少有两种技术可以使用。第一种技术就是改变信息系统的架构；即修改信息系统中的硬件和软件。第二种技术就是修改信息系统的访问控制策略。例如，攻击者是一个内部员工，有能力访问某一台服务器，并拥有关闭服务器的权限。消除或缓解这个威胁的一种方法就是修改访问策略使得只有系统管理员才有访问该服务器的权限。因此，一个策略的改变可以消除或缓解攻击者的能力和相关的威胁。

同时也注意到，某些情况下，攻击者的能力是不可能消除或缓解的。

2、攻击者能力改变的效率评估

假设信息系统存在两个威胁和，其中依赖于能力，依赖于能力。假设是威胁的风险，是威胁的风险。假定改变了信息系统的架构使得攻击者能力变成和（而非和）。假设是威胁的新的风险（所必须的能力为），是威胁的新的风险（所必须的能力为）。我们认为，信息系统架构的改变降低了风险，当且仅当，在改变之后的风险之和小于改变之前的风险之和。也就是说，攻击者能力的改变改善了信息系统的安全，当且仅当下式成立。+-（+）<0。

这里，定义攻击者能力改变的效率为相对于风险的改善。效率的度量对于软件架构的选择是非常有用的，详见下式：

。

 如图2所示，为本发明所述的信息系统安全风险评估的一个实例。利用本发明所述方法，评估视频会议系统的信息安全风险。

1、描述系统

一个视频会议系统，如图2所示，有两个或以上的用户。每个都配有视频会议终端。不同的终端可以相互之间进行通信，共享应用和文档。这是视频会议常用的功能。会议各方能够进行多媒体会议，能够进行云台控制，例如，改变摄像头的方向，或镜头拉远或拉近等。视频会议终端包括摄像、电视机、麦克风、扬声器和计算机。

具有动机的恶意攻击者可能会有兴趣偷窥某一个组织的会议，查看会议文档，或扰乱某个部门工作人员和合作伙伴的会议日程。他们对视频会议系统造成威胁，让他们实现自己的罪恶目标。

下面采用本专利所提供的方法，对视频会议的安全风险进行评估，并给出怎样改变攻击者的能力来达到消除或缓解威胁的目的。

表4  例举有关视频会议系统的攻击者能力

表5 对系统的威胁并关联攻击者能力（节选）

2、评估信息系统的安全风险

假设我们按照本发明所提供的方法，确定了初始攻击者能力和对视频会议终端系统造成的威胁，现在，我们可以进行如下的风险估计：

（1）评估攻击者能力，其能力的大小等级分为：一定的、简单的、可能的、不可能还是不太可能。这就要求（i）具备这样能力的实体的确定；（ii）评估一个或多个实体成为攻击者的机会（详见表4）。

（2）确定每个威胁的一个或多个攻击场景，以及产生该威胁所需要的能力（详见表5）。

（3）评估每一个威胁因素，通过造成威胁的难易度来衡量，并给每个因素打分，如下表：

表6 威胁因素的评估

基于攻击者能力的考量，对于不同威胁的相同因素的得分可能不一样。例如，企图引起“关闭视频会议终端”的威胁（例如，T5）的攻击者，具有物理访问视频会议终端（例如，C5），不需要时间，也不需要专业、知识、机会、设备与工具。上表中给这些因素都是8分。相反，预谋造成同样威胁的攻击者，但使用插入消息能力（例如，C3），需要时间、专业、知识、工具，来构划出一个命令消息使得视频会议终端的电源关闭。

（4）评估每个威胁的严重程度的因素，并且给出得分，其表示损失的严重程度，如下表所示。

表7 威胁严重程度的评估

（5）利用数学期望和威胁数据，计算每一个威胁的风险（如下表）：

表8 威胁风险暴露的评估

（6）通过改变攻击者能力来缓解风险

下面通过两个例子加以说明。

例1  攻击者希望造成威胁T1（未经授权参加会议）可以利用能力C1（攻击者能够发现视频会议终端）。如果我们改变了系统架构，使得视频会议终端不回复探测消息，那么就废弃了攻击者的能力C1。因此，攻击者只能通过C4或C6来实施威胁，而不是C1。这种改变缓解了威胁T1的风险，T1的风险值也从264降到59.4。

例2  攻击者希望造成威胁T5（关闭视频会议终端）可以利用能力C5（攻击者可以物理访问来控制视频会议终端的使用）。如果去掉视频会议终端的电源按钮，则只能通过远程控制视频会议终端电源的打开和关闭。那么就废弃了攻击者的能力C5。现在，攻击者只能通过C3或C4或C6来实施威胁，而不是C5。这种改变缓解了威胁T5的风险，T5的风险值也从24降到18。

以上所述仅为本发明的较佳实施例，并非用来限定本发明的实施范围；凡是依本发明所作的等效变化与修改，都被视为本发明的专利范围所涵盖。

Claims (10)

1.一种信息系统安全风险评估和防护的方法，其特点在于，该方法包括：描述信息系统，确定威胁，确定漏洞，分析防护措施，估计威胁频率和严重等级，评估风险和防护建议。

2.如权利要求1所述一种信息系统安全风险评估和防护的方法，其特点在于，所述描述信息系统，确定信息系统的边界和软件架构。

3.如权利要求1所述一种信息系统安全风险评估和防护的方法，其特点在于，所述确定威胁，确定要保护的资产、攻击者的动机和能力。

4.如权利要求1所述一种信息系统安全风险评估和防护的方法，其特点在于，所述确定漏洞，确定信息系统可能被攻击者利用的缺陷和脆弱性。

5.如权利要求1所述一种信息系统安全风险评估和防护的方法，其特点在于，所述分析防护措施，分析已实现的防护措施、或将要实现的防护措施以缩减威胁发生的频率、或降低威胁的严重等级；防护措施包括技术性的防护措施和非技术性的防护措施。

6.如权利要求1所述一种信息系统安全风险评估和防护的方法，其特点在于，所述估计威胁频率，可以通过下式来计算威胁数学期望：L(t)=S(t)                                                O(t)其中，S(t)是威胁难易程度的得分，O(t)是威胁发生频率得分。

7.所述估计威胁严重等级，假设由专家评估威胁t的m个因素的得分为{}，那么威胁t的严重程度得分，由下式表示：I(t)=。

8.如权利要求1所述一种信息系统安全风险评估和防护的方法，其特点在于，所述评估风险，由下式来计算：    R(t)=I(t)L(t) 。

9.如权利要求1所述一种信息系统安全风险评估和防护的方法，其特点在于，所述防护建议，通过改变攻击者能力来降低信息系统的安全风险。

10.根据权利要求6所述的方法，其特点在于，若是引起威胁t所必须的能力，并且假定由专家们提供了n个因素评估的分数{}，因此，威胁难易程度的估计如下：=（）在某种情况下，有些威胁可能与多个能力相关，在这种情况下，威胁难易程度的得分就是所有威胁的难易程度得分的最大值，如下式所：S(t)=max{}10、根据权利要求6所述的方法，其特点在于，O(t)、I(t)的值，都通过人工智能的方法获得。