CN105119874A - 一种信息安全防护体系有效性评价的方法 - Google Patents

Abstract

本发明公开了一种信息安全防护体系有效性评价的方法，其特征在于，包括以下步骤：建立一个隔离与防御技术模型，模型包括了基础对象、评估算法、参与者、知识库几大方面，然后基于技术模型对信息进行搜集；根据采集的数据信息进行算法分析，分析业务系统由于自身缺陷问题受到攻击时安全策略抵御各种攻击的能力，以定性定量相结合的方法来评估安全措施效用；通过算法逻辑流程分析攻击过程中攻击者所获得的攻击能力是否影响到业务系统安全运行，验证系统隔离与防御技术是否发挥预期的安全保障作用，并采取相应防护措施。本发明信息安全防护能力好、信息安全防护措施完善、算法的复杂程度低、评估效率高、稳定性和客观性好、对信息系统的隔离好。

Description

一种信息安全防护体系有效性评价的方法

技术领域

本发明涉及信息管理技术领域，尤其是涉及一种信息安全防护体系有效性评价的方法。

背景技术

随着信息化建设的日益深入，企业特别是国有大中型企业对信息安全越来越重视，信息安全建设的投入也更加的偏重。现有的信息安全防护体系评估技术，主要是针对内部防护目标的安全性进行论述，着重于分析现有防护技术对信息系统的机密性、完整性、可用性等安全特征的防护效率。

目前，信息安全防护有效性评估方法大致有下面几种：

1.基于综合评价方法的信息系统安全防护有效性评估；

2.基于图论的信息系统安全防护有效性评估；

3.基于图论与综合评价方法相结合的信息系统安全防护有效性评估。

基于综合评价方法的信息系统安全防护有效性评估，是将描述被评估事物特征的多项指标进行融合的一系列方法的总称。通常运用专家评议法对各指标的权重进行赋值，基于建立的具有权重的指标体系运用基于模糊数学理论的模糊综合评价法对安全防护措施的全面性进行分析评估。

基于图论的信息系统安全防护有效性评估，提出了一种基于图形建模、模拟仿真、模型分析来判定安全策略是否合理的综合分析评估框架。

基于图论与综合评价方法相结合的信息系统安全防护有效性评估，将基于图论建模的评估方法与综合评价方法相结合，确定了以分析安全措施抵御威胁效果为途径来评估安全防护有效性，对从图论和综合评价方法相结合的角度评估安全防护有效性进行分析。

多指标综合评价方法在指标体系建立得当的情况下能够较好的描述安全防护体系特征，但指标是安全防护有效性相关特征信息的抽象，必然造成抽象过程中评估信息的损失，影响评估结果准确性；权重赋值没有固定的方法，因此其偏差无法忽略。这些问题都体现了综合评价方法易实施不易建立的特征。

信息系统防护能力构成较复杂，因此无论是图形建模阶段还是评估实施阶段方法的复杂程度都是难以预计的，即使在对稍微复杂的信息系统环境建模过程中使用图论的思路，其对降低复杂程度的作用意义也不大。基于图论的评估方法需要评估人员有一定的理论基础，方法复用性较差，评估周期相对较长。

基于图论与综合评价方法相结合的信息系统安全防护有效性评估，其图形建模的复杂程度仍值得深入研究，目前此方法还不适用于稍微复杂的信息系统的安全防护有效性评估。

发明内容

本发明所要解决的技术问题在于针对上述现有技术中的不足，提供一种信息安全防护体系有效性评价的方法，本发明信息安全防护能力好、信息安全防护措施完善、算法的复杂程度低、评估效率高、稳定性和客观性好、对信息系统的隔离与防护好。

为解决上述技术问题，本发明采用的技术方案是：一种信息安全防护体系有效性评价的方法，其特征在于,包括以下步骤：

S1、建立一个隔离与防御技术模型，模型包括了基础对象、评估算法、参与者、知识库几大方面，然后基于技术模型对信息进行搜集，包括企业的资产、缺陷库、资产关联关系、有资产所构建的场景、安全策略、参与者信息；

S2、根据采集的数据信息进行算法分析，分析业务系统由于自身缺陷问题受到攻击时安全策略抵御各种攻击的能力，以定性定量相结合的方法来评估安全措施效用；

S3、通过算法逻辑流程分析攻击过程中攻击者所获得的攻击能力是否影响到业务系统安全运行，验证系统隔离与防御技术是否发挥预期的安全保障作用，并采取相应防护措施。

上述的一种信息安全防护体系有效性评价的方法，其特征在于，所述步骤S2中的评估安全措施效用的定性定量相结合的方法包括分析攻击者能力、独立防护有效性分值、攻击路径、攻击路径防护成功率、最短攻击路径、最短攻击路径算法。

上述的一种信息安全防护体系有效性评价的方法，其特征在于，所述攻击者能力分最高管理员权限、普通用户权限、匿名访问权限、无权限，其权限取值分别为1、0.5、0.25和0。

上述的一种信息安全防护体系有效性评价的方法，其特征在于，所述独立防护有效性分值受攻击类型、漏洞和缺陷信息、攻击方法和攻击工具以及其他相关因素影响。

上述的一种信息安全防护体系有效性评价的方法，其特征在于，所述攻击路径是虚拟场景中开始于源S和终止于目的D的一个有向序列，其中源S和目D不限定为外部、内部，攻击者的起始点可来自内部。

上述的一种信息安全防护体系有效性评价的方法，其特征在于，所述攻击路径防护成功率的分析采用攻击路径防护成功率计算公式。

上述的一种信息安全防护体系有效性评价的方法，其特征在于，所述最短攻击路径为具有最小防护有效性的攻击路径。

上述的一种信息安全防护体系有效性评价的方法，其特征在于，所述步骤S3的算法逻辑流程包括：

S31、确定攻击者的起源S和目的D，所述攻击者的起源S为防火墙、路由器、服务器、入侵检测系统、核心服务器或者数据库服务器；

S32、分析攻击者起源系统或设备是否存在风险漏洞，若有风险漏洞则确定风险漏洞库以及分析漏洞取值；

S33、确定攻击者是否通过起源节点的风险漏洞使其权限得到提升；

S34、计算防护结果和隔离与防护有效性分值；

S35、通过最短路径的计算结果，确定要增加的防护设备，提升系统的防护能力。

本发明与现有技术相比的技术优点是：

1、本发明基于纵深隔离与防御技术有效性分析算法能够对企业信息安全防护能力的提升、安全措施的完善提供指导作用；

2、本发明新的技术方案降低了算法的复杂程度，具有易复用的特点，提高了评估效率；

3、本发明评估过程中运用的资源信息、数据易于搜集获取(大部分数据均可以通过现场调研获取)，具有相对的稳定性、客观性；

4、本发明的评估模型考虑了在一定网络纵深程度下，隔离与防护技术对信息系统的防护效率，考虑了企业实际环境下的防护策略，任意源到任意目的的路径防护成功率等与实际相关的特征。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

图1为本发明的总体算法逻辑流程图；

图2为本发明的隔离与防御技术有效性算法模型图；

图3为本发明的一个具体算法计算过程图。

具体实施方式

如图1所示，一种信息安全防护体系有效性评价的方法，其特征在于,包括以下步骤：

S1、建立一个隔离与防御技术模型，模型包括了基础对象、评估算法、参与者、知识库几大方面，然后基于技术模型对信息进行搜集，包括企业的资产、缺陷库、资产关联关系、有资产所构建的场景、安全策略、参与者信息；

S2、根据采集的数据信息进行算法分析，分析业务系统由于自身缺陷问题受到攻击时安全策略抵御各种攻击的能力，以定性定量相结合的方法来评估安全措施效用；

S3、通过算法逻辑流程分析攻击过程中攻击者所获得的攻击能力是否影响到业务系统安全运行，验证系统隔离与防御技术是否发挥预期的安全保障作用，并采取相应防护措施。

进一步地，所述步骤S2中的评估安全措施效用的定性定量相结合的方法包括分析攻击者能力、独立防护有效性分值、攻击路径、攻击路径防护成功率、最短攻击路径、最短攻击路径算法。

进一步地，所述攻击者能力分最高管理员权限、普通用户权限、匿名访问权限、无权限，其权限取值分别为1、0.5、0.25和0。攻击者能力是指攻击者当前在系统各终端上所获取的用户权限的集合。权限是被评估系统用户权限级别集合，根据事先订立的数据字典，最高管理员权限、普通用户权限、匿名访问权限、无权限这四个值。攻击者能力集合AttackerCapability＝{Hostname,Priv}，攻击者在攻击过程中攻击能力逐渐增长时，对应的Hostname,Priv值需要变更。攻击者所获取的权限赋值表如表1所示：

表1

本实施例中，所述独立防护有效性分值受攻击类型、漏洞和缺陷信息、攻击方法和攻击工具以及其他相关因素影响。独立防护有效性分值用于评估系统中某一漏洞或缺陷被攻击者成功利用，以实施攻击的难易程度，记为Pr(Protect简写)。基于并借鉴国内外成熟的研究成果，参考一些通用漏洞评价体系，根据数据字典中数据项风险漏洞的取值方式，给出独立防护有效性赋值公式：Pr＝1-(I+M+T)——Information，Method，Tools。其中，I为漏洞信息发布情况，I取值[0,0.1]，没有发布漏洞信息时为0，已发布漏洞信息取0.1；M取[0,0.4]为攻击方法公布情况，没有发布攻击方法取0，有已发布的简单的攻击方法取0.2，有发布详细的攻击方法和步骤时取值0.4；T取值范围为[0,0.4]表示攻击工具发布情况，当漏洞利用需要攻击工具但未有相关发布信息时取值为0，当需要且有可用攻击工具时取值为0.2，如漏洞缺陷利用不需要攻击工具时取值为0.4。相应的独立防护有效性赋值基准如表2所示：

表2

本实施例中，所述攻击路径是虚拟场景中开始于源S和终止于目的D的一个有向序列，其中源S和目D不限定为外部、内部，攻击者的起始点可来自内部。

本实施例中，所述攻击路径防护成功率的分析采用攻击路径防护成功率计算公式。

本实施例中，威胁是可能导致业务系统受损的不期望事件发生的潜在原因。攻击者在实施攻击时，需要不断尝试利用系统漏洞或缺陷，以非法获取信息系统资源访问权限的方式。我们的研究基于攻击者能力会放大的3个假设，实现对系统面临的威胁分析：1)

攻击者能够获取漏洞缺陷、网络拓扑等可利用的系统信息；2)

攻击者能获取并掌握系统相关漏洞或缺陷的攻击方法、最大限度的拥有各类攻击工具；3)攻击者是贪心的，会基于已有攻击资源扩大攻击范围和攻击影响，破坏安全目标。

如图2所示，本实施例中，所述步骤S3的算法逻辑流程包括：

S31、确定攻击者的起源S和目的D，所述攻击者的起源S为防火墙、路由器、服务器、入侵检测系统、核心服务器或者数据库服务器；

S32、分析攻击者起源系统或设备是否存在风险漏洞，若有风险漏洞则确定风险漏洞库以及分析漏洞取值；

S33、确定攻击者是否通过起源节点的风险漏洞使其权限得到提升；

S34、计算防护结果和隔离与防护有效性分值；

S35、通过最短路径的计算结果，确定要增加的防护设备，提升系统的防护能力。

本实施例的算法逻辑流程为：攻击者发起攻击，从任意起始节点到目标节点，两者之间具有至少一条物理通路，通路上有N(n≥2)个节点，每一个节点具有从用户权限集合输入的权限值Q(Q∈(0,0.25,0.5,1))，节点本身具有防护能力Pr，节点存在风险漏洞L(L≥0)。我们需要假定攻击者事先已取得匿名输入权限，从任意起始节点到目标节点物理上连通，计算攻击者利用风险漏洞能够获取到路径上不同节点的访问权限的能力，从而最终到达目标节点，并获取到≥初始权限的权限输出，达到攻击目的。

在实际攻击过程中,攻击者能力体现为利用系统中存在的漏洞缺陷(或脆弱性)非法获取系统访问权限。这种攻击能力会在攻击过程中逐渐增长，表现为如下两个方面：1)

攻击者在获取某一主机或设备的匿名用户、普通用户权限后，可利用本地权限提升脆弱性，将攻击者权限提升为普通用户、管理员权限；2)

攻击者在获得某一主机或设备匿名用户、普通用户权限后，可利用其他主机或设备的漏洞缺陷，进一步获取其他主机或设备的用户权限。通过分析攻击过程中攻击者所获得的攻击能力是否影响到业务系统安全运行，可以验证系统隔离与防御技术是否发挥预期的安全保障作用。

攻击者的一个具体攻击过程如下：

首先，确定攻击者的起源，起源可以为任意系统或设备，并非一定为外网攻击者。假定任意攻击者能获取起源设备的匿名权限anonymous，也即其能查看到起源设备或系统的信息，但无法登录；

其次，确定攻击者起源系统或设备是否存在风险漏洞——攻击者拥有全面的风险漏洞库字典、攻击类型字典、风险漏洞影响系统字典以及掌握所有的攻击方法，如存在风险漏洞则攻击者攻击行为具有延续性，否则攻击过程结束；

最后，攻击者通过起源节点的风险漏洞，使其权限得到提升，同样的，如果攻击者不能得到下一节点的权限(anonymous或更高)，则攻击过程终止；如攻击者能够到达下一个节点或系统，进而重复攻击步骤，到达任意目标节点，造成危害。

具体地，如图3所示，首先计算最短攻击路径。若攻击者攻击目标为服务器A、B，其攻击起源为网络A区：经过防火墙A、路由器A再到达目标。网络B区核心服务器：经过入侵检测系统、路由器B、路由器A再到达目标。根据攻击路径防护成功率计算公式。

由以上可知，上述拓扑连接图示中，攻击成功率为0.25，即该拓扑对应的隔离与防护有效性分值为0.75。再通过最短路径的计算结果可知，如能够在防火墙A之后增加一台防护设备IPS/IDS，为服务器A、服务器B、路由器A安装漏洞补丁，则可以有效的提升系统的防护能力。

以上所述，仅是本发明的较佳实施例，并非对本发明作任何限制，凡是根据本发明技术实质对以上实施例所作的任何简单修改、变更以及等效结构变化，均仍属于本发明技术方案的保护范围内。

Claims (8)

1.一种信息安全防护体系有效性评价的方法，其特征在于，包括以下步骤：

S1、建立一个隔离与防御技术模型，模型包括了基础对象、评估算法、参与者、知识库几大方面，然后基于技术模型对信息进行搜集，包括企业的资产、缺陷库、资产关联关系、有资产所构建的场景、安全策略、参与者信息；

S2、根据采集的数据信息进行算法分析，分析业务系统由于自身缺陷问题受到攻击时安全策略抵御各种攻击的能力，以定性定量相结合的方法来评估安全措施效用；

S3、通过算法逻辑流程分析攻击过程中攻击者所获得的攻击能力是否影响到业务系统安全运行，验证系统隔离与防御技术是否发挥预期的安全保障作用，并采取相应防护措施。

2.按照权利要求1所述的一种信息安全防护体系有效性评价的方法，其特征在于，所述步骤S2中的评估安全措施效用的定性定量相结合的方法包括分析攻击者能力、独立防护有效性分值、攻击路径、攻击路径防护成功率、最短攻击路径、最短攻击路径算法。

3.按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所述攻击者能力分最高管理员权限、普通用户权限、匿名访问权限、无权限，其权限取值分别为1、0.5、0.25和0。

4.按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所述独立防护有效性分值受攻击类型、漏洞和缺陷信息、攻击方法和攻击工具以及其他相关因素影响。

5.按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所述攻击路径是虚拟场景中开始于源S和终止于目的D的一个有向序列，其中源S和目D不限定为外部、内部，攻击者的起始点可来自内部。

6.按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所述攻击路径防护成功率的分析采用攻击路径防护成功率计算公式。

7.按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所述最短攻击路径为具有最小防护有效性的攻击路径。

8.按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所述步骤S3的算法逻辑流程包括：

S31、确定攻击者的起源S和目的D，所述攻击者的起源S为防火墙、路由器、服务器、入侵检测系统、核心服务器或者数据库服务器；

S32、分析攻击者起源系统或设备是否存在风险漏洞，若有风险漏洞则确定风险漏洞库以及分析漏洞取值；

S33、确定攻击者是否通过起源节点的风险漏洞使其权限得到提升；

S34、计算防护结果和隔离与防护有效性分值；

S35、通过最短路径的计算结果，确定要增加的防护设备，提升系统的防护能力。