CN105991521B - 网络风险评估方法和装置 - Google Patents
网络风险评估方法和装置 Download PDFInfo
- Publication number
- CN105991521B CN105991521B CN201510050340.XA CN201510050340A CN105991521B CN 105991521 B CN105991521 B CN 105991521B CN 201510050340 A CN201510050340 A CN 201510050340A CN 105991521 B CN105991521 B CN 105991521B
- Authority
- CN
- China
- Prior art keywords
- fragility
- attack
- network
- node
- attacking ability
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 117
- 238000012502 risk assessment Methods 0.000 title claims abstract description 72
- 238000012546 transfer Methods 0.000 claims description 89
- 230000008859 change Effects 0.000 claims description 10
- 238000003860 storage Methods 0.000 claims description 8
- 108010001267 Protein Subunits Proteins 0.000 claims description 6
- 230000000977 initiatory effect Effects 0.000 claims 1
- 230000000694 effects Effects 0.000 abstract description 3
- 230000000116 mitigating effect Effects 0.000 abstract 1
- 238000004422 calculation algorithm Methods 0.000 description 26
- 230000008569 process Effects 0.000 description 26
- 230000000875 corresponding effect Effects 0.000 description 24
- 238000001514 detection method Methods 0.000 description 12
- 238000013139 quantization Methods 0.000 description 11
- 238000009434 installation Methods 0.000 description 8
- 238000011160 research Methods 0.000 description 6
- 238000010586 diagram Methods 0.000 description 5
- 238000007726 management method Methods 0.000 description 5
- 238000005457 optimization Methods 0.000 description 5
- 230000008901 benefit Effects 0.000 description 4
- 230000035515 penetration Effects 0.000 description 4
- 238000004458 analytical method Methods 0.000 description 3
- 230000006399 behavior Effects 0.000 description 3
- 238000010276 construction Methods 0.000 description 3
- 238000011156 evaluation Methods 0.000 description 3
- 238000012360 testing method Methods 0.000 description 3
- 238000006243 chemical reaction Methods 0.000 description 2
- 238000004590 computer program Methods 0.000 description 2
- 238000013461 design Methods 0.000 description 2
- 230000008595 infiltration Effects 0.000 description 2
- 238000001764 infiltration Methods 0.000 description 2
- 238000011835 investigation Methods 0.000 description 2
- 238000013507 mapping Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 230000003287 optical effect Effects 0.000 description 2
- 238000004064 recycling Methods 0.000 description 2
- 230000009471 action Effects 0.000 description 1
- 238000013459 approach Methods 0.000 description 1
- 238000013473 artificial intelligence Methods 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 238000004364 calculation method Methods 0.000 description 1
- 230000002596 correlated effect Effects 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 206010022000 influenza Diseases 0.000 description 1
- 238000007689 inspection Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 230000008439 repair process Effects 0.000 description 1
- 238000013468 resource allocation Methods 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
- 230000004083 survival effect Effects 0.000 description 1
- 238000003786 synthesis reaction Methods 0.000 description 1
- 230000007704 transition Effects 0.000 description 1
- 238000012038 vulnerability analysis Methods 0.000 description 1
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
本发明公开了一种网络风险评估方法和装置。其中所述网络风险评估方法包括：接收指定的起始攻击节点和终止攻击节点；根据网络攻击图，获取从所述起始攻击节点到所述终止攻击节点之间的各个攻击路径；根据所述攻击路径，获取所述攻击路径中的关键脆弱性。采用本申请提供的方法，通过遍历网络攻击图，获取指定的起始攻击节点和终止攻击节点在网络攻击图中的攻击路径，并分析攻击路径，从而提取出关键脆弱性，使得网络安全人员获取到关键脆弱性后，仅需要将这些关键脆弱性解决，从起始攻击节点到终止攻击节点之间的各个攻击路径就均被切断，从而达到减轻网络管理人员排查网络风险工作量的效果。
Description
技术领域
本申请涉及网络安全技术领域，具体涉及一种网络风险评估方法和装置。
背景技术
随着计算机网络的不断发展，各种针对计算机网络的攻击也越来越多。如何对一个网络进行风险评估，是广大安全人员必须考虑的重要问题。所谓网络系统风险，是指由于系统存在的脆弱性、人为或自然的威胁导致安全事件发生的可能性及其造成的影响。网络风险评估，也称为安全风险评估、网络安全风险评估，是指对网络中已知或潜在的安全风险、安全隐患，进行探测、识别、控制、消除的全过程，是企业网络安全管理工作的必备措施之一。通过网络安全评估，可以全面梳理网络中的资产，了解当前存在的安全风险和安全隐患，并有针对性地进行安全加固，从而保障网络的安全运行。
网络风险评估能够提供网络系统存在的漏洞、脆弱性等方面的信息，评估并识别系统面临的安全风险，指出网络当前的安全状态，为网络系统安全体系的构建提供依据，进而提升网络系统的生存能力。根据网络风险评估处理对象的不同，网络风险评估方法分为如下两种类别：
1)基于入侵检测系统的输出的网络风险评估方法
以入侵检测系统的输出(报警事件)为处理对象，具体可以采用隐马尔可夫随机过程作为分析手段，建立描述主机系统受到攻击后状态转化的隐马尔可夫模型(HMM)，根据模型计算主机系统风险指数，并经过简单叠加得到整个网络风险的定量评价。
2)基于网络攻击图的网络风险评估方法
以网络攻击图为处理对象，通过分析网络攻击图，探测网络的薄弱点，获取网络系统所存在的漏洞、脆弱性等方面的信息。网络攻击图是网络安全评估和测试的重要手段之一，是基于系统状态的转移来描述网络安全的一种表示方法，网络攻击图的节点代表可能的攻击状态，网络攻击图的边代表攻击者的原子攻击行为引起的状态变迁，具有形象、直观的特点。网络攻击图被广泛应用于自动化网络攻击和网络渗透测试中。传统的网络攻击图都较为复杂，网络攻击图所包含的图形表示仅仅是方便直观理解，并没有给用户带来真正有用的安全性分析和进一步建议，即：网络攻击图存在使用结果不完善的问题。因此，基于网络攻击图的网络风险评估成为研究重点。
通常，在一个具有多个脆弱性、存在安全风险的网络系统中，可能只有部分脆弱性才是关键的脆弱性，安全人员只要解决这些关键脆弱性的安全问题，整个网络系统存在的安全风险就能够得以控制、消除，从而整个网络的安全就得到了保证。然而，已有的基于网络攻击图的网络风险评估方法并没有评估网络系统中存在的关键脆弱性。
因此，现有技术存在无法获取网络系统的关键脆弱性的问题。
发明内容
本申请提供一种网络风险评估方法和装置，以解决现有技术存在无法获取网络系统的关键脆弱性的问题。
本申请提供一种网络风险评估方法，包括：
接收指定的起始攻击节点和终止攻击节点；
根据网络攻击图，获取从所述起始攻击节点到所述终止攻击节点之间的各个攻击路径；
根据所述攻击路径，获取所述攻击路径中的关键脆弱性。
可选的，所述根据网络攻击图，获取从所述起始攻击节点到所述终止攻击节点之间的各个攻击路径，具体为：
自所述起始攻击节点开始，深度优先遍历所述网络攻击图，获取从所述起始攻击节点到所述终止攻击节点的各个攻击路径。
可选的，所述根据所述攻击路径，获取所述攻击路径中的关键脆弱性，包括：
将各个所述攻击路径作为当前攻击路径集；
根据脆弱性在所述攻击路径中出现的次数，对所述脆弱性进行排序，形成排序的脆弱性集合；
将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性；
从所述当前路径集中删除包括所述关键脆弱性的所述攻击路径，并从所述脆弱性集合中删除所述关键脆弱性；
判断所述当前路径集是否为空；若否，则返回执行将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性的步骤。
可选的，在所述接收指定的起始攻击节点和终止攻击节点之前，还包括：
生成所述网络攻击图。
可选的，所述生成所述网络攻击图包括：
将攻击者的攻击能力作为所述网络攻击图的当前节点；
根据所述当前节点的攻击能力，在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素；
判断是否存在所述攻击能力转移元素；若否，则结束；
当存在所述攻击能力转移元素时，遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中转移后的攻击能力添加到所述网络攻击图中，以所述当前节点为起始点、所述转移后的攻击能力为终止点，与所述攻击能力转移元素中的脆弱性子集的各个脆弱性相对应，在所述起始点和所述终止点之间设置边；
遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中的转移后的攻击能力作为所述网络攻击图的当前节点，返回执行在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素的步骤。
可选的，所述攻击能力转移集合采用如下步骤生成：
获取网络拓扑结构、网络主机中的脆弱性，以及所述脆弱性的利用规则；
遍历所述网络拓扑结构中任意两个主机的排列，按照排列顺序，将第一个主机称为源主机，第二个主机称为目的主机；
遍历所述源主机的各个攻击能力，针对所述目的主机的每一个脆弱性，判断所述源主机的攻击能力是否满足所述目的主机的脆弱性利用的前提条件；
当所述源主机的攻击能力满足所述目的主机的脆弱性利用的前提条件时，则根据所述目的主机的脆弱性利用的后果条件，确定所述目的主机的攻击能力，并将所述目的主机的脆弱性作为与所述源主机的攻击能力和所述目的主机的攻击能力对应的所述攻击能力转移元素中脆弱性子集的元素。
可选的，所述前提条件包括操作系统类型、服务名称、端口号和权限值；所述后果条件包括提升后的权限值、引发的拒绝服务、改变后的攻击主机与目标主机之间信任关系、机密性、完整性和可用性。
可选的，所述前提条件和后果条件存储在漏洞数据库中。
相应的，本申请还提供一种网络风险评估装置，包括：
接收指定单元，用于接收指定的起始攻击节点和终止攻击节点；
获取攻击路径单元，用于根据网络攻击图，获取从所述起始攻击节点到所述终止攻击节点之间的各个攻击路径；
获取关键脆弱性单元，用于根据所述攻击路径，获取所述攻击路径中的关键脆弱性。
可选的，所述获取关键脆弱性单元包括：
设置子单元，用于将各个所述攻击路径作为当前攻击路径集；
排序子单元，用于根据脆弱性在所述攻击路径中出现的次数，对所述脆弱性进行排序，形成排序的脆弱性集合；
查找子单元，用于将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性；
删除子单元，用于从所述当前路径集中删除包括所述关键脆弱性的所述攻击路径，并从所述脆弱性集合中删除所述关键脆弱性；
判断子单元，用于判断所述当前路径集是否为空；若否，则返回执行将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性的步骤。
可选的，还包括：
生成攻击图单元，用于生成所述网络攻击图。
可选的，所述生成攻击图单元包括：
设置子单元，用于将攻击者的攻击能力作为所述网络攻击图的当前节点；
查找子单元，用于根据所述当前节点的攻击能力，在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素；
判断子单元，用于判断是否存在所述攻击能力转移元素；若否，则结束；
第一遍历子单元，用于当存在所述攻击能力转移元素时，遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中转移后的攻击能力添加到所述网络攻击图中，以所述当前节点为起始点、所述转移后的攻击能力为终止点，与所述攻击能力转移元素中的脆弱性子集的各个脆弱性相对应，在所述起始点和所述终止点之间设置边；
第二遍历子单元，用于遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中的转移后的攻击能力作为所述网络攻击图的当前节点，返回执行在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素的步骤。
可选的，所述生成攻击图单元还包括：
生成子单元，用于生成所述攻击能力转移集合；
所述生成子单元包括：
获取子单元，用于获取网络拓扑结构、网络主机中的脆弱性，以及所述脆弱性的利用规则；
第一遍历子单元，用于遍历所述网络拓扑结构中任意两个主机的排列，按照排列顺序，将第一个主机称为源主机，第二个主机称为目的主机；
第二遍历子单元，用于遍历所述源主机的各个攻击能力，针对所述目的主机的每一个脆弱性，判断所述源主机的攻击能力是否满足所述目的主机的脆弱性利用的前提条件；
判定子单元，用于当所述源主机的攻击能力满足所述目的主机的脆弱性利用的前提条件时，则根据所述目的主机的脆弱性利用的后果条件，确定所述目的主机的攻击能力，并将所述目的主机的脆弱性作为与所述源主机的攻击能力和所述目的主机的攻击能力对应的所述攻击能力转移元素中脆弱性子集的元素。
此外，本申请还提供一种网络风险评估方法，包括：
针对网络攻击图中除初始节点以外的各个节点，获取所述节点的父节点；
根据各个所述父节点被攻击的可能性，以及所述父节点转移到所述节点可利用的各个脆弱性的被利用概率，计算所述节点被攻击的可能性。
可选的，所述脆弱性的被利用概率采用下述公式计算生成：
脆弱性的被利用概率＝脆弱性的访问复杂度值*脆弱性的可行性值。
可选的，所述脆弱性的访问复杂度值和所述脆弱性的可行性值采用如下步骤生成：
根据所述脆弱性的标识，获取所述脆弱性的访问复杂度级别和所述脆弱性的可行性级别；
根据所述脆弱性的访问复杂度级别和所述脆弱性的可行性级别，以及访问复杂度的量化对应关系和可行性的量化对应关系，获取所述脆弱性的访问复杂度值和所述脆弱性的可行性值。
可选的，所述计算所述节点被攻击的可能性采用下述公式计算：
其中，Si为所述节点，Fi为Si的父节点，Mi为Si的父节点个数，Di为从Fi转移到Si能够利用的脆弱性的个数，P(vuln)表示脆弱性vuln的利用概率，Vul_Assess(Si)为节点Si被攻击的可能性，Vul_Assess(Fi)为父节点Fi被攻击的可能性。
可选的，还包括：
根据各个所述节点被攻击的可能性，计算整个网络被攻击的可能性。
可选的，还包括：
根据所述节点被攻击的可能性和攻击者在所述节点上的特权，计算所述节点的威胁值。
可选的，还包括：
根据各个所述节点的威胁值，计算整个网络的威胁值。
相应地，本申请还提供一种网络风险评估装置，包括：
获取单元，用于针对网络攻击图中除初始节点以外的各个节点，获取所述节点的父节点；
第一计算单元，用于根据各个所述父节点被攻击的可能性，以及所述父节点转移到所述节点可利用的各个脆弱性的被利用概率，计算所述节点被攻击的可能性。
可选的，还包括：
生成单元，用于所述脆弱性的访问复杂度值和所述脆弱性的可行性值；
所述生成单元包括：
获取子单元，用于根据所述脆弱性的标识，获取所述脆弱性的访问复杂度级别和所述脆弱性的可行性级别；
映射子单元，用于根据所述脆弱性的访问复杂度级别和所述脆弱性的可行性级别，以及访问复杂度的量化对应关系和可行性的量化对应关系，获取所述脆弱性的访问复杂度值和所述脆弱性的可行性值。
可选的，还包括：
第二计算单元，用于根据各个所述节点被攻击的可能性，计算整个网络被攻击的可能性。
可选的，还包括：
第三计算单元，用于根据所述节点被攻击的可能性和攻击者在所述节点上的特权，计算所述节点的威胁值。
可选的，还包括：
第四计算单元，用于根据各个所述节点的威胁值，计算整个网络的威胁值。
与现有技术相比，本申请具有以下优点：
本申请提供的网络风险评估方法和装置，通过遍历网络攻击图，获取指定的起始攻击节点和终止攻击节点在网络攻击图中的攻击路径，并分析攻击路径，从而提取出关键脆弱性，使得网络安全人员获取到关键脆弱性后，仅需要将这些关键脆弱性解决，从起始攻击节点到终止攻击节点之间的各个攻击路径就均被切断，从而达到减轻网络管理人员排查网络风险工作量的效果。
附图说明
图1是本申请的网络风险评估方法实施例的流程图；
图2是本申请的网络风险评估方法实施例的网络攻击图；
图3是网络风险评估方法实施例生成网络攻击图的具体流程图；
图4是网络风险评估方法实施例生成攻击能力转移集合的具体流程图；
图5是网络风险评估方法实施例步骤S105的具体流程图；
图6是本申请的网络风险评估装置实施例的示意图；
图7是本申请的网络风险评估方法实施例的流程图；
图8是本申请的网络风险评估装置实施例的示意图。
具体实施方式
在下面的描述中阐述了很多具体细节以便于充分理解本发明。但是本发明能够以很多不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下做类似推广，因此本发明不受下面公开的具体实施的限制。
在本申请中，提供了两种网络风险评估方法和各自对应的装置。在下面的实施例中逐一进行详细说明。
请参考图1，其为本申请的网络风险评估方法实施例的流程图。所述方法包括如下步骤：
步骤S101：接收指定的起始攻击节点和终止攻击节点。
本申请提供的网络风险评估方法，是一种基于网络攻击图的网络风险评估方法。该方法以网络攻击图为处理对象，通过分析网络攻击图，探测网络的薄弱点，获取网络系统所存在的关键脆弱性方面的信息。
信息安全服务上的脆弱性，又称弱点或漏洞，是资产或资产组中存在的可能被威胁利用造成损害的薄弱环节，脆弱性一旦被威胁成功利用就可能对资产造成损害。漏洞可能存在于物理环境、组织、过程、人员、管理、配置、硬件、软件和信息等各个方面。
本申请所述的脆弱性是指在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷。脆弱性是受限制的计算机、组件、应用程序或其他联机资源的无意中留下的不受保护的入口点。利用本申请所述的脆弱性，攻击者能够在未授权的情况下访问或破坏系统。例如，在Intel Pentium芯片中存在的逻辑错误，在Sendmail早期版本中的编程错误，在NFS协议中认证方式上的弱点，在Unix系统管理员设置匿名Ftp服务时配置不当的问题都可能被攻击者使用，威胁到系统的安全。因而这些都可以认为是系统中存在的安全漏洞，即：脆弱性。
本申请提供的网络风险评估方法，通过遍历网络攻击图，获取指定的起始攻击节点和终止攻击节点在网络攻击图中的攻击路径，并分析攻击路径，从而提取出关键脆弱性。因此，要实施本申请提供的方法，首先要接收由网络安全人员指定的起始攻击节点和终止攻击节点。
本申请所述的起始攻击节点和终止攻击节点分别是指攻击者的初始攻击能力和目标攻击能力，在网络攻击图中不同的攻击能力表示为不同的节点。网络攻击图中的每一个节点表示攻击者拥有的一种攻击能力，例如：节点的值为192.168.1.97：2，其含义为攻击者在主机192.168.1.97中拥有权限2。根据具体的应用需求，安全人员可以指定网络攻击图中的节点作为起始攻击节点和终止攻击节点。起始攻击节点和终止攻击节点既可以是同一节点，也可以是不同的节点。例如：当起始攻击节点和终止攻击节点是同一节点时，攻击者可以利用本机存在的安全漏洞获得权限的提升。通过实施本申请提供的网络风险评估方法，能够获取从起始攻击节点到终止攻击节点之间的各个关键脆弱性。网络安全人员获取到关键脆弱性后，仅需要将这些关键脆弱性解决，从起始攻击节点到终止攻击节点之间的各个攻击路径就均被切断，即：攻击者从起始攻击节点无法攻击到终止攻击节点。
要实施本申请提供的方法，还需要预先生成网络攻击图。在本实施例中，在步骤S101接收指定的起始攻击节点和终止攻击节点之前，还包括：
步骤S100：生成所述网络攻击图。
从攻击者角度来对网络进行渗透攻击，首先是从攻击者所在的主机攻击网络中具有弱点的主机。当攻击成功后就在被攻击主机上获得了一定的权限，在能力允许的条件下，攻击者可能从已经攻克的主机上再次发起攻击，如此往复，直到攻击者达到其攻击的最终目的。攻击者在网络中具有的所有能力构成了一个网络状态，则攻击者实施攻击的过程就是从前提网络状态到结果网络状态的跃迁。同时，在现实的攻击中，攻击者是贪婪的，即攻击者不会发动一次对自己能力没有提高的攻击，因此，结果网络状态必然包含前提网络状态。正是基于上述分析，在应用于自动化渗透攻击时，网络攻击图的构造过程是对网络状态空间正向搜索的过程，同时在搜索过程中要保证攻击者贪婪的特性。
本申请所述的网络攻击图是一个有向图，由节点和有向边组成，通常采用(N，E)的形式表示。其中，N是网络攻击图中节点的集合，每一个节点表示攻击者能够达到的各种攻击能力，节点中包括有主机的基本信息，例如：主机IP地址，主机拥有的服务，主机上存在的漏洞信息等。E是网络攻击图中边的集合，表示攻击能力的转移。网络攻击图中的每一条边均为一个三元组(Ns，VulId，Nd)，其中Ns是源节点，Nd是目的节点，VulId表示攻击者从源节点的攻击能力转移到目的节点的攻击能力的过程中，可以利用的目的节点的主机中存在的脆弱性的编号。
综上所述，在本申请实施例的网络攻击图中，节点代表可能的攻击状态，边代表攻击者的原子攻击行为引起的状态变迁，网络攻击图具有形象、直观的特点。
请参考图2，其为本申请的网络风险评估方法实施例的网络攻击图。在本实施例中，网络攻击图存在6个节点和22条边，其中节点分别为：192.168.1.95：2、192.168.1.96：2、192.168.1.97：2、192.168.1.98：2、192.168.1.99：1和192.168.1.100：2；边上的编号为：该边的目标节点的主机中存在的一个脆弱性。例如：节点192.168.1.95：2和节点192.168.1.97：2之间存在一条边，边的编号为2001-0550，该边的含义为：攻击者在主机192.168.1.95中的攻击能力为权限2，其利用主机192.168.1.97中的脆弱性2001-0550能够攻击主机192.168.1.97，在主机192.168.1.97中达到的权限为2。
请参考图3，其为本申请的网络风险评估方法实施例生成网络攻击图的具体流程图。在本实施例中，生成所述网络攻击图包括如下步骤：
步骤S301：将攻击者的攻击能力作为所述网络攻击图的当前节点。
本申请所述的攻击能力(Attack_Capability)是由攻击者获得的主机及在该主机上可以达到的权限构成的二元组，即Attack_Capability∈{Host×Privilege}。其中，Host表示网络中的主机，Privilege表示攻击者获得特权。在本实施例中，将特权划分为四个等级：None、Access、User、Root，即：Privilege∈{None，Access，User，Root}，其中，None的值为0，Access的值为1，User的值为2，Root的值为3。例如：在图2中，攻击能力192.168.1.95：2表示攻击者在主机192.168.1.95中的权限为User级。
通过对攻击者攻击的过程进行分析，可以发现攻击者发动攻击的过程实质上是其基于已经获得的攻击能力，以及网络中主机的脆弱性，不断获得新的攻击能力的过程。因此，可以利用攻击能力的转移来刻画攻击者在攻击过程中，其攻击能力不断增长的过程。通过捕获每一步攻击能力的转移，将攻击能力的转移过程图形化，从而生成网络攻击图。
步骤S302：根据所述当前节点的攻击能力，在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素。
通过步骤S301，首先将攻击者的初始攻击能力添加到网络攻击图中，将其作为网络攻击图的起始节点。然后，基于该初始攻击能力、网络拓扑结构、主机中存在的脆弱性信息和脆弱性利用规则，逐步获取新的攻击能力，将其增加到网络攻击图，直至生成完整的网络攻击图。
本申请所述的攻击能力转移集合实质是对网络中各个主机中存在的脆弱性进行分类，即将每台主机中具有相同攻击能力转移的脆弱性置于同一集合中。例如：主机192.168.1.95中存在10个脆弱性{Vul1，Vul2，…Vul10}，其中脆弱性Vul2、Vul3或Vul9被成功利用后，可以使攻击者的权限达到User，则这三个漏洞被置于同一个脆弱性子集{Vul2，Vul3，Vul9}。在构造出攻击能力转移集合后，可以通过对其进行搜索来构造网络攻击图。
在本实施例中，攻击能力转移集合的元素为由攻击能力及脆弱性集合组成的三元组，即(Attack_Capability(i),Vul_set,Attack_Capability(j))。其中，攻击能力Attack_Capability(i)、Attack_Capability(j)∈{Host×Privilege}，Vul_set是攻击能力Attack_Capability(j)的主机上的一个脆弱性子集。三元组表示一个攻击能力转移元素，含义为：攻击者基于已经获得的攻击能力Attack_Capability(i)，利用脆弱性子集Vul_set中的脆弱性，能够获得攻击能力Attack_Capability(j)。其中，Attack_Capability(i)和Attack_Capability(j)的主机既可以是相同的主机也可以是不同的主机，这主要取决于脆弱性的利用范围。
脆弱性的利用范围分为本地和远程两类。本地脆弱性是指攻击者必须在本机拥有访问权限前提下才能发起攻击的脆弱性。比较典型的是本地权限提升漏洞，这类漏洞在Unix系统中广泛存在，能让普通用户获得最高管理员权限。
本申请实施例提供的网络风险评估方法，构造攻击能力转移集合的基本思想是检查任意两种攻击能力，如Attack_Capability(i)与Attack_Capability(j)之间是否具有转移关系。具体而言，即Attack_Capability(i)的主机与Attack_Capability(j)的主机之间的网络连通关系、攻击者在Attack_Capability(i)的主机上已经具有的特权Privilege，以及Attack_Capability(j)的主机上的脆弱性集合是否可以使攻击者获得攻击能力Attack_Capability(j)。例如：一个攻击能力转移元素为：(192.168.1.99：1,{2001-0872,2007-2447},192.168.1.96：2)，其含义为：攻击者可以基于在主机192.168.1.99上已经获得的攻击能力192.168.1.99：1，利用脆弱性2001-0872或2007-2447，获得主机上192.168.1.96的攻击能力192.168.1.96：2。
在构造网络攻击图过程中，需要对攻击能力转移集合进行搜索，从而获取新的攻击能力。请参考图4，其为本申请的网络风险评估方法实施例生成攻击能力转移集合的具体流程图。在本实施例中，所述攻击能力转移集合采用如下步骤生成：
步骤S401：获取网络拓扑结构、网络主机中的脆弱性，以及所述脆弱性的利用规则。
本申请所述的网络拓扑结构是指在构建网络攻击图时已知所有主机间的可达性，或者简单地使用扫描工具即能得到网络拓扑结构。网络拓扑结构中包含了整个网络中主机的连接状况，网络攻击能力的转移只有在连接好的主机之间进行。网络中各个主机的连接关系，采用一个三元组来描述：(Hsrc、Hdst、Protocols)。Hsrc、Hdst、Protocols分别表示：源主机、目的主机、源主机和目的主机之间的连接关系。当源主机和目的主机之间不存在连接关系时，Protocols为空集。当源主机和目的主机相同时，则其连接关系为本地连接，此时Protocols＝{Local host}。例如，(h1，h2，{IP、TCP、HTTP})表示：h1发往h2的IP数据报可以到达，h1可以与h2的某个TCP端口建立连接，h1可以访问h2的HTTP服务。
获取网络拓扑结构的过程是网络可达性计算的过程。可达性是指网络中主机之间是否可达，可达性计算则指从一个给定的主机计算能否到达其他的某个主机。在实际应用中，计算网络可达性不仅仅需要考虑主机间物理连接的需求，还需要考虑防火墙和网关的设置。精确计算两个子网内的两台主机之间的可达性是相当复杂的，因为需要考虑网关、防火墙、个人防火墙(软件)、路由器、交换机、虚拟网以及其他一些网络因素的存在。以防火墙为例，一个防火墙可能包含数千条(通行和转换)规则，而且有些规则是动态变化的(随时间变化)。因此，总体上来说，判断两台主机之间的可达性是一个复杂的过程。
在本实施例中，使用IP地址表示网络主机，使用漏洞库中的号码标识主机中存在的脆弱性。脆弱性的属性包括脆弱性类型。脆弱性类型可以划分为保密性类脆弱性、完整性类脆弱性、Dos类脆弱性和特权提升类脆弱性。对于前三类脆弱性，攻击者在成功利用该脆弱性后所拥有的权限与在攻击前所拥有的权限相同，而对于特权提升类脆弱性，攻击者在成功利用该脆弱性后所拥有的权限要大于在攻击前所拥有的权限。
本申请所述的脆弱性利用规则是对一种攻击行动的形式化描述，包括利用脆弱性所必需的前提条件和成功利用脆弱性后所获得的结果，即：后果条件。脆弱性利用的前提条件包括操作系统类型、服务名称、端口号和权限值；所述后果条件包括提升后的权限值、引发的拒绝服务、改变后的攻击主机与目标主机之间信任关系、机密性、完整性和可用性。
在本实施例中，网络主机中的脆弱性以及脆弱性的利用规则存储在漏洞数据库中。漏洞数据库可以在CVE(Common Vulnerabilities and Exposures)、NVD(NationalVulnerability Database，美国国家漏洞数据库)和OSVDB(Open Source VulnerabilityDatabase，开源漏洞数据库)等国内外专业安全机构提供的信息基础上构建的。网络上计算机安全漏洞资源的种类繁多，下面简述一些常用的漏洞数据库：
1)CVE，它是一个漏洞字典，其目的是用于关联并共享不同漏洞数据库中同一漏洞的信息，使各漏洞数据库能够相互兼容。该字典为每个漏洞分配了一个区别于其他漏洞的唯一编号，漏洞字典针对每个漏洞都进行相应的描述，这些描述包括漏洞编号(比如漏洞编号CVE-2001-0550)，漏洞描述，与该漏洞相关的引用信息，以及该漏洞资源的相关状态以及评价信息等。
2)NVD采用了安全内容自动化协议(SCAP)来对漏洞资源进行标准管理，在该数据库中对每个漏洞的描述信息包括了该漏洞的最初发布时间，漏洞资源的最近修改时间，对该漏洞的简单描述，漏洞的CVSS取值，漏洞的利用方式，利用复杂度以及漏洞利用的后果等，此外，还引用了与该漏洞相关的安全建议，解决方案及修复工具等。Bugtraq是专门讨论计算机安全的邮件列表，其主要目的是对漏洞利用方法，修复方法等进行讨论，在该列表中，对每个漏洞都分配一个bugtraq ID，并建立了该编号与CVE编号的映射关系，此外，还有漏洞的利用方式，漏洞资源的发布时间、更新时间、漏洞影响的应用程序等基本信息。
3)OSVDB的主要目的是提供与安全漏洞相关的最新的、准确的、详细的技术信息。在该数据库中，对每条漏洞的描述包括了在OSVDB库中的唯一编号，漏洞的时间属性，漏洞的简单描述及关键词，漏洞的分类属性，漏洞利用所影响的应用软件，以及对漏洞资源的引用等。
4)Cert/CC也对每个漏洞进行了独立的命名和编号，对漏洞资源的描述信息包括了漏洞产生的影响，漏洞的修复方式，漏洞影响的系统，并对与该漏洞相关的关联信息也进行了详细的描述。
此外，针对漏洞的描述语言，比较有代表性的有AVDL(ApplicationVulnerability Description Language，应用漏洞描述语言)和OVDL(Open Vulnerabilityand Assessment Language，开放的漏洞评估语言)。AVDL是由OASIS发布的安全互操作标准，该标准利用XML来对Web应用的安全漏洞进行统一的描述，从而保证了应用软件、安全产品、漏洞资源之间灵活的信息交换和共享。但该标准主要面向于Web应用的漏洞检测，侧重于对检测方法的描述，但对于漏洞属性的描述不够全面，此外该标准还不支持对非Web类漏洞的描述及检测。OVAL是由MITRE公司提出的用于解决安全工具和服务之间信息交互和共享的标准。该标准解决了之前漏洞评估中采用非结构化的漏洞描述所带来的耗时费力，且评估结果不准确的问题。OVAL中对如何进行漏洞探测进行了精确的描述，并利用CVE中的漏洞定义对主机的配置进行评估，可以获得更为标准、准确的评估结果。OVAL利用XML来对漏洞进行定义和描述。虽然，OVAL解决了漏洞检测和评估工作标准化、自动化的问题，但是由于其基于CVE中的漏洞定义作为其探测和评估的基础，因而其受到CVE中漏洞描述属性不全面的制约，对于新出现的未列入CVE中的漏洞也无法进行及时的评估。
由于存在上述这些众多的安全组织给漏洞进行归类整理，因此针对同一漏洞会产生不同的漏洞标识，因此在构建本申请实施例的漏洞数据库时，需要将这些不同的漏洞标识关联起来，在漏洞数据库中建立对应关系。此外，内部网内的漏洞信息还可以采用商业的或者开源的入侵检测系统和漏洞扫描系统获得。
网络攻击图的生成基于脆弱性的利用模式，脆弱性的利用需要具备基本的前提条件，利用后会产生一定的结果。脆弱性利用的前提条件包括了主机上运行的特定操作系统、应用程序开放的服务及端口，以及脆弱性利用的前提权限；脆弱性利用的结果条件反映了脆弱性利用后对网络状态的影响，这些影响包括了访问权限得到提升、引发了目标主机上的拒绝服务、造成了攻击主机与目标主机之间信任关系的改变、对目标主机上的机密性、完整性、可用性带来了影响等，脆弱性的利用模式通常可以表示为从前提条件到后果条件的映射关系。例如，一种远程的特权提升类脆弱性的利用规则描述如下：如果攻击者在主机Host1上可以以user权限执行代码，主机Host1可以访问Host2的端口Port，主机Host2的端口Port对应的服务存在一个远程特权提升漏洞VulId，则攻击者可以在主机Host2上以Privilege权限执行代码。
步骤S402：遍历所述网络拓扑结构中任意两个主机的排列，按照排列顺序，将第一个主机称为源主机，第二个主机称为目的主机。
由于本申请实施例构造攻击能力转移集合的基本思想是检查任意两种攻击能力，因此针对网络拓扑结构中任意两个主机的排列，生成与所述源主机、目的主机相关的攻击能力转移元素。
步骤S403：遍历所述源主机的各个攻击能力，针对所述目的主机的每一个脆弱性，判断所述源主机的攻击能力是否满足所述目的主机的脆弱性利用的前提条件。
步骤S404：当所述源主机的攻击能力满足所述目的主机的脆弱性利用的前提条件时，则根据所述目的主机的脆弱性利用的后果条件，确定所述目的主机的攻击能力，并将所述目的主机的脆弱性作为与所述源主机的攻击能力和所述目的主机的攻击能力对应的所述攻击能力转移元素中脆弱性子集的元素。
在本实施例中，攻击能力转移集合的生成算法描述如下：
Input：网络中主机的连通关系Conn(Host(i)，Host(j))；主机上的脆弱性分布情况Vul(Host(i))，脆弱性的利用模式Precondition(Vul(i))，PostCondition(Vul(i))；
其中，第1、2两步对应步骤S402，遍历网络拓扑结构中任意两个主机的排列。第3步遍历源主机的各个攻击能力。第4、5和6三步针对目的主机的每一个脆弱性，判断源主机的攻击能力是否满足该脆弱性利用的前提条件；当源主机的攻击能力满足该前提条件时，则根据目的主机的脆弱性利用的后果条件，确定目的主机的攻击能力，并将该脆弱性添加到与源主机的攻击能力和目的主机的攻击能力对应的攻击能力转移元素中脆弱性子集中。
假设网络中的主机数量为n台，单台主机上的最大脆弱性数量为m个，脆弱性利用的前提条件检测过程，即步骤S403中判断所述源主机的攻击能力是否满足所述目的主机的脆弱性利用的前提条件，可以在常数时间内完成，则生成攻击能力转移集合的算法复杂度为O(4mn2)。其中，4是指主机包括的权限等级数量，对于一般的网络而言，可以将m作为常数考虑，因而生成攻击能力转移集合的算法的复杂度为O(n2)。
在生成攻击能力转移集合后，执行步骤S302，根据网络攻击图中当前节点的攻击能力，在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素。
步骤S303：判断是否存在所述攻击能力转移元素，若是，则执行步骤S304；若否，则结束。
如果在攻击能力转移集合中查找到使所述当前节点的攻击能力发生转移的攻击能力转移元素，则表示根据当前节点的攻击能力，能够获取新的攻击能力，因此执行步骤S304。否则，如果不存在所述攻击能力转移元素，则表示根据当前节点的攻击能力，无法获取新的攻击能力，至此遍历完网络中的所有节点，获取了网络攻击图中的节点信息和边的信息。
步骤S304：遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中转移后的攻击能力添加到所述网络攻击图中，以所述当前节点为起始点、所述转移后的攻击能力为终止点，与所述攻击能力转移元素中的脆弱性子集的各个脆弱性相对应，在所述起始点和所述终止点之间设置边。
由于转移前的攻击能力可以利用在所述转移后的攻击能力的主机中存在的不同脆弱性转移到所述转移后的攻击能力，因此在同一转移前的攻击能力和同一转移后的攻击能力之间可能存在多条有向边，每一条边对应脆弱性子集的一个脆弱性。
在本实施例中，网络攻击图的节点用攻击能力来表示，其中包含了主机IP和拥有此主机的权限，边代表主机间的脆弱性利用关系，边的标识为脆弱性编号，表示攻击者通过此脆弱性实现其攻击能力转移的目的。随着攻击者对网络的不断渗透，从一种攻击能力转移到另外一种攻击能力，因此网络攻击图描述了攻击者这种渗透的行为。
步骤S305：遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中的转移后的攻击能力作为所述网络攻击图的当前节点，返回执行步骤S302。
本申请实施例提供的网络攻击图生成算法，将攻击者主机IP地址、权限、网络的拓扑信息、脆弱性分布信息以及脆弱性的利用信息作为输入信息，通过广度优先搜索，逐层寻找符合脆弱性利用条件的攻击者的相邻节点，以此类推直到遍历完网络中的所有节点，最后将产生的节点信息和边的信息用graphviz组织成图。由于采用广度优先遍历网络攻击图，整个算法的时间复杂度为O(n2)。
在本实施例中，网络攻击图的生成算法描述如下：
在上述算法描述中，先初始化攻击状态队列ASQ和攻击状态集合ASS，把攻击者初始攻击状态入队ASQ，标记每台主机的状态为”begin”，弹出队头元素将其赋值为Scurrent并保存进ASS，判断Scurrent的状态，如果不为”finished”，就在攻击能力转移集合中寻找Scurrent相邻的元素，赋值为Snew，并将Snew放入ASQ中，如此循环往复，直到ASQ为空。在算法中，用ES保存下状态节点间的关联关系，最后用graphviz将图可视化。
步骤S103：根据网络攻击图，获取从所述起始攻击节点到所述终止攻击节点之间的各个攻击路径。
为了获取从起始攻击节点到终止攻击节点之间的各个关键脆弱性，首先需要根据网络攻击图，获取从所述起始攻击节点到所述终止攻击节点之间的各个攻击路径。在本实施例中，步骤S103具体为：自所述起始攻击节点开始，深度优先遍历所述网络攻击图，获取从所述起始攻击节点到所述终止攻击节点的各个攻击路径。获取攻击路径的算法描述如下：
在上述算法描述中，首先通过第2步将网络攻击图组织成一种类似邻接表的数据结构，用来描述网络攻击图中的每一个节点。该数据结构中的节点分为表头节点和内部节点，每个节点有左指针和右指针，网络拓扑结构中的每台主机都用相应的表头节点表示，表头节点的左指针指向其相邻节点，内部节点的左指针指向图中所有和表头节点相邻接的点，而节点的右指针指向和它具有相同标志的表头节点。在获取从起始攻击节点到终止攻击节点之间的各个攻击路径的过程中，先通过第3步将起始攻击节点的左指针入栈，通过第6步取出栈顶元素为当前节点，通过第7步判断如果当前节点不是终止攻击节点且不为空，则判断此节点是否被访问过；如果没有被访问过，则跳转到该节点的右指针所指的链表中寻找与其相邻的下一节点，将这一节点入栈顶，当通过第26步找到目标节点时，逆序记录下栈里的元素，然后弹出栈顶元素，若当前元素的左指针不为空，将其左指针入栈，继续后续工作，若左指针为空且栈为空，则标记该元素为完成状态。在上述过程中，遇到完成状态的节点时，出栈并将其左指针的节点入栈，若左指针为空则直接出栈顶，循环此过程直到栈为空。通过上述算法，实现自起始攻击节点开始，深度优先遍历网络攻击图，获取从起始攻击节点到终止攻击节点的各个攻击路径。
在步骤S103中，根据指定的起始攻击节点和终止攻击节点，遍历网络攻击图，获取从起始攻击节点和终止攻击节点的所有可能的攻击路径。由于网络攻击图中可能存在环，所以在遍历网络攻击图前需要采取消除部分环的措施。在本实施例中，采用一种假设，即：假设攻击者能够直接攻击到的主机，则在以后的攻击中，不会再重复来攻击这些主机。通过上述假设，可以消除网络攻击图中存在的环对获取的攻击路径的影响。在上述算法中，通过第9步判断节点是否被访问过，以消除环的影响。
例如，在图2所示的网络攻击图中，网络安全人员指定起始攻击节点为192.168.1.95：2、终止攻击节点为192.168.1.96：2，通过步骤S103可以计算得到从所述起始攻击节点到所述终止攻击节点的各个攻击路径。具体包括：路径1、攻击者利用主机192.168.1.97中的脆弱性2001-0550，将攻击能力转移为192.168.1.97：2，再利用主机192.168.1.96中的脆弱性2007-2447，将攻击能力转移为192.168.1.96：2；路径2、攻击者利用主机192.168.1.97中的脆弱性2001-0550，将攻击能力转移为192.168.1.97：2，再利用主机192.168.1.96中的脆弱性2001-0872，将攻击能力转移为192.168.1.96：2等多条攻击路径。
获取攻击路径的算法是在给定起始攻击节点和终止攻击节点的前提下，从起始攻击节点开始深度优先整个网络攻击图并记录下所遍历的脆弱性直到到达终止攻击节点。此算法复杂度取决于图的深度优先搜索，时间复杂度为O(n2)。
步骤S105：根据所述攻击路径，获取所述攻击路径中的关键脆弱性。
通过步骤S103获取到起始攻击节点和终止攻击节点之间的各条攻击路径后，在此基础上对网络进行脆弱性分析，找到攻击路径中的关键脆弱性。
本申请所述的关键脆弱性是攻击路径中的脆弱性集合的一个子集，该子集表示为其中{vul1,vul2…vuln}为攻击路径中的脆弱性集合。关键脆弱性集合具有两个属性：1)该集合与自起始攻击节点至终止攻击节点的每条攻击路径上的脆弱性子集均存在交集，将某一条攻击路径上的脆弱性子集表示为{vuli1,vuli2,..vulim}；2)且关键脆弱性集合的元素个数最少。获取关键脆弱性集合涉及渗透测试的威胁能效比的研究，即用最少的资源来最大程度地阻碍威胁。找到关键脆弱性集合后，当把该集合中的各个脆弱性都消除后，就不存在从起始攻击节点到终止攻击节点的攻击路径了，从而使得终止攻击节点的安全性得以保证。由于关键脆弱性集合与自起始攻击节点至终止攻击节点的每条攻击路径上的脆弱性子集均存在交集，因此寻找关键脆弱性集合的问题实际上是碰集问题。
碰集是离散数学的集合论中的概念，其含义为：如果集合S与集合簇C中的每个集合都存在着非空交集，那么集合S是集合簇C的碰集。如果在不破坏碰集的前提下，集合S中的元素都无法移除，那么S被称为极小碰集。碰集是计算机科学家们在研究人工智能领域的系统诊断的时候需要解决的问题，最早是由加州大学伯克利分校的计算机专家里查德·曼宁·卡普(Richard Manning Karp，1935-)在1972年提出的。计算碰集的传统算法有HS-Tree、HS-DAG、HST-Tree、BHS-Tree、SE-Tree等等，在此基础上，学者们又陆续提出了一些新的算法。实施本申请提供的网络风险评估方法，可以应用各种计算碰集的算法，从而能够根据所述攻击路径，获取攻击路径中的关键脆弱性。上述这些不同的方式，都只是具体实施方式的变更，都不偏离本申请的核心，因此都在本申请的保护范围之内。
碰集问题与集合覆盖问题是等价的。集合覆盖问题是经典的NP-hard问题，同样也是运筹学研究中典型的组合优化问题，是一个计算机科学问题的典型代表，是日常生活中普遍存在的工程设计问题，在人员调动、网络安全、资源分配、电路设计、运输车辆路径安排等领域有广泛的应用，多年来吸引了众多计算机科学家、运筹学研究人员的研究兴趣。由于集合覆盖问题是NP-hard问题，因此碰集问题也是NP-hard问题，进一步地本申请的获取攻击路径中的关键脆弱性问题也是NP-hard问题。为解决集合覆盖问题，可以采用贪心法、穷举法、迭代法等方法获得问题的多项式近似解。因此，获取自起始攻击节点到终止攻击节点之间攻击路径中的关键脆弱性，也可以采用贪心法、穷举法、迭代法等方法。
在本实施例中，选用贪心算法获得本申请的获取攻击路径中的关键脆弱性问题的多项式近似解。贪心算法(又称贪婪算法)是指，在对问题求解时，总是做出在当前看来是最好的选择。也就是说，不从整体最优上加以考虑，他所做出的仅是在某种意义上的局部最优解。贪心算法不是对所有问题都能得到整体最优解，但对范围相当广泛的许多问题他能产生整体最优解或者是整体最优解的近似解。贪心算法可以解决一些最优性问题，如：求图中的最小生成树、求哈夫曼编码等。对于其他问题，贪心法一般不能得到我们所要求的答案。一旦一个问题可以通过贪心法来解决，那么贪心法一般是解决这个问题的最好办法。由于贪心法的高效性以及其所求得的答案比较接近最优结果，贪心法也可以用作辅助算法或者直接解决一些要求结果不特别精确的问题。
贪心算法的解题特点是在最优求解的过程中都采用一种局部最优策略，把问题范围和规模缩小最后把每一步的结果合并起来得到一个全局最优解。贪心算法解题的一般步骤包括：(1)从问题的某个初始解出发；(2)采用循环语句，当可以向求解目标前进一部时，就根据局部最优策略，得到一个部分解，缩小问题的范围和规模；(3)将所有部分解综合起来，得到问题最终解。
在本实施例中，所述根据所述攻击路径，获取所述攻击路径中的关键脆弱性，包括：将各个所述攻击路径作为当前攻击路径集；根据脆弱性在所述攻击路径中出现的次数，对所述脆弱性进行排序，形成排序的脆弱性集合；将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性；从所述当前路径集中删除包括所述关键脆弱性的所述攻击路径，并从所述脆弱性集合中删除所述关键脆弱性；判断所述当前路径集是否为空；若否，则返回执行将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性的步骤。获取关键脆弱性的具体算法描述如下：
Greedy_Hitting_Set(attack_path_set,vul_set)//其中attack_path_set为攻击路径的集合，而vul_set是自起始攻击节点到终止攻击节点之间攻击路径中所有脆弱性的集合；
上述过程与采用贪心算法获取集合覆盖问题近似解的过程是类似的，因而通过该过程获取的关键脆弱性的近似度是ln|vul_set|+1。请参考图5，其为本申请的网络风险评估方法实施例步骤S105的具体流程图。首先，获取攻击路径集合和脆弱性集合(即：漏洞集合)，然后判断攻击路径集合是否为空，如果攻击路径集合为空，则表示已经获取了所有的关键脆弱性(即：关键漏洞集)；如果攻击路径集合不为空，则将当前攻击路径集合中出现次数最多的脆弱性(即：漏洞)作为关键脆弱性，并删除包含该脆弱性的路径。
在上述的实施例中，提供了一种网络风险评估方法，与之相对应的，本申请还提供一种网络风险评估装置。请参看图6，其为本申请的网络风险评估装置实施例的示意图。由于装置实施例基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。下述描述的装置实施例仅仅是示意性的。
本实施例的一种网络风险评估装置，包括：接收指定单元101，用于接收指定的起始攻击节点和终止攻击节点；获取攻击路径单元102，用于根据网络攻击图，获取从所述起始攻击节点到所述终止攻击节点之间的各个攻击路径；获取关键脆弱性单元103，用于根据所述攻击路径，获取所述攻击路径中的关键脆弱性。
可选的，所述获取关键脆弱性单元103包括：
设置子单元，用于将各个所述攻击路径作为当前攻击路径集；
排序子单元，用于根据脆弱性在所述攻击路径中出现的次数，对所述脆弱性进行排序，形成排序的脆弱性集合；
查找子单元，用于将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性；
删除子单元，用于从所述当前路径集中删除包括所述关键脆弱性的所述攻击路径，并从所述脆弱性集合中删除所述关键脆弱性；
判断子单元，用于判断所述当前路径集是否为空；若否，则返回执行将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性的步骤。
可选的，还包括：
生成攻击图单元，用于生成所述网络攻击图。
可选的，所述生成攻击图单元包括：
设置子单元，用于将攻击者的攻击能力作为所述网络攻击图的当前节点；
查找子单元，用于根据所述当前节点的攻击能力，在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素；
判断子单元，用于判断是否存在所述攻击能力转移元素；若否，则结束；
第一遍历子单元，用于当存在所述攻击能力转移元素时，遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中转移后的攻击能力添加到所述网络攻击图中，以所述当前节点为起始点、所述转移后的攻击能力为终止点，与所述攻击能力转移元素中的脆弱性子集的各个脆弱性相对应，在所述起始点和所述终止点之间设置边；
第二遍历子单元，用于遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中的转移后的攻击能力作为所述网络攻击图的当前节点，返回执行在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素的步骤。
可选的，所述生成攻击图单元还包括：
生成子单元，用于生成所述攻击能力转移集合；
所述生成子单元包括：
获取子单元，用于获取网络拓扑结构、网络主机中的脆弱性，以及所述脆弱性的利用规则；
第一遍历子单元，用于遍历所述网络拓扑结构中任意两个主机的排列，按照排列顺序，将第一个主机称为源主机，第二个主机称为目的主机；
第二遍历子单元，用于遍历所述源主机的各个攻击能力，针对所述目的主机的每一个脆弱性，判断所述源主机的攻击能力是否满足所述目的主机的脆弱性利用的前提条件；
判定子单元，用于当所述源主机的攻击能力满足所述目的主机的脆弱性利用的前提条件时，则根据所述目的主机的脆弱性利用的后果条件，确定所述目的主机的攻击能力，并将所述目的主机的脆弱性作为与所述源主机的攻击能力和所述目的主机的攻击能力对应的所述攻击能力转移元素中脆弱性子集的元素。
本申请提供的网络风险评估方法和装置，通过遍历网络攻击图，获取指定的起始攻击节点和终止攻击节点在网络攻击图中的攻击路径，并分析攻击路径，从而提取出关键脆弱性，使得网络安全人员获取到关键脆弱性后，仅需要将这些关键脆弱性解决，从起始攻击节点到终止攻击节点之间的各个攻击路径就均被切断，从而达到减轻网络管理人员排查网络风险工作量的效果。
上述的第一种网络风险评估方法是一种定性的网络风险评估方法。与上述的第一种网络风险评估方法相对应，本申请还提供另一种网络风险评估方法，该方法是一种定量的网络风险评估方法。请参考图7，其为本申请提供的一种网络风险评估方法的实施例的流程示意图，本实施例与第一实施例内容相同的部分不再赘述，请参见实施例一中的相应部分。本申请提供的一种网络风险评估方法包括：
步骤S701：针对网络攻击图中除初始节点以外的各个节点，获取所述节点的父节点。
本申请提供的网络风险评估方法，在构造出网络攻击图的基础上，通过结合脆弱性的被利用概率以及脆弱性利用后的特权提升的量化结果，可以计算出网络攻击图中不同节点的脆弱性和面临的威胁。
本申请所述的网络攻击图是一个有向图，由节点和有向边组成，图中的每一个节点表示攻击者能够达到的各种攻击能力，图中的每一条边表示攻击能力的转移。网络攻击图中的每一条边均为一个三元组(Ns，VulId，Nd)，其中Ns是源节点，Nd是目的节点，VulId表示攻击者从源节点的攻击能力转移到目的节点的攻击能力的过程中，可以利用的目的节点的主机中存在的脆弱性的编号。节点的上一级是它的父节点，一个节点可以有多个父节点。攻击者的初始攻击能力在网络攻击图中没有父节点。要实施本申请提供的方法，首先需要生成网络攻击图，关于生成网络攻击图的相关说明，请参见实施例一种的相关描述，此处不再赘述。
在本实施例中，针对网络攻击图中除初始节点以外的各个节点，获取所述节点的父节点的步骤，具体包括：根据所述节点的攻击能力，在攻击能力转移集合中查找以所述节点为目的攻击能力的攻击能力转移元素；将所述攻击能力转移元素的源攻击能力作为所述节点的父节点。
其中，攻击能力转移元素为由源攻击能力、目的攻击能力及脆弱性集合组成的三元组，即(Attack_Capability(i),Vul_set,Attack_Capability(j))。其中，攻击能力Attack_Capability(j)在网络攻击图中是攻击能力Attack_Capability(i)的父节点。关于攻击能力转移集合的相关说明，请参见实施例一种的相关描述，此处不再赘述。
步骤S702：根据各个所述父节点被攻击的可能性，以及所述父节点转移到所述节点可利用的各个脆弱性的被利用概率，计算所述节点被攻击的可能性。
为计算所述节点被攻击的可能性，首先要获取该节点的各个所述父节点被攻击的可能性，以及所述父节点转移到所述节点可利用的各个脆弱性的被利用概率。由于攻击者是从网络攻击图中的初始攻击能力发动攻击，因此将初始攻击能力对应的初始节点被攻击的可能性为1。根据网络攻击图中初始节点被攻击的可能性，以及各个脆弱性的被利用概率，自所述初始节点开始，广度优先遍历网络攻击图，计算出图中各个节点的被攻击的可能性。
本申请所述的脆弱性的被利用概率是指脆弱性被成功利用的可能性，它往往与脆弱性的利用属性有关系。在本实施例中，采用如下公式计算脆弱性的被利用概率：脆弱性的被利用概率＝脆弱性的访问复杂度值*脆弱性的可行性值。
在本实施例中，为计算各个脆弱性的被利用概率，首先要获取脆弱性的访问复杂度值和脆弱性的可行性值。
本申请所述的脆弱性的访问复杂度值是漏洞数据库中脆弱性的访问复杂度级别的量化值。该量化值是一个自定义的值，在实际应用中，根据访问复杂度级别，安全人员可以自定义对应各个级别的量化值，只要体现出访问复杂度的不同程度即可。在本实施例中，访问复杂度级别的量化值对照表如表1所示：
表1、访问复杂度级别的量化值对照表
本申请所述的脆弱性的可行性值是漏洞数据库中脆弱性的可行性级别的量化值。同脆弱性的访问复杂度相同，可行性级别的量化值也是一个自定义的值，在实际应用中，根据可行性级别，安全人员可以自定义对应各个级别的量化值，只要体现出可行性的不同程度即可。在本实施例中，可行性级别的量化值对照表如表2所示：
表2、脆弱性的有效性的量化值对照表
在表2中，脆弱性的可行性级别的含义如下所述：
1)Exploit Public：脆弱性的利用方法或者工具已经公开，易于造成大规模影响；
2)Exploit Wormified：脆弱性的利用方法或者工具已经广泛流传，造成大规模影响；
3)Exploit Commercial：脆弱性的利用的方法或者工具商业化；
4)Exploit Private：脆弱性的利用的方法或者工具少数人拥有；
5)Exploit Rumored：脆弱性的利用方法在理论上可行，利用难度比较大；
6)Exploit Unknown：脆弱性的利用的方法或者未知。
在本实施例中，所述脆弱性的访问复杂度值和所述脆弱性的可行性值采用如下步骤生成：根据所述脆弱性的标识，获取所述脆弱性的访问复杂度级别和所述脆弱性的可行性级别；根据所述脆弱性的访问复杂度级别和所述脆弱性的可行性级别，以及访问复杂度的量化对应关系和可行性的量化对应关系，获取所述脆弱性的访问复杂度值和所述脆弱性的可行性值。
为获取脆弱性的访问复杂度值和可行性值，首先根据脆弱性标识，查询漏洞数据库中脆弱性的访问复杂度级别和脆弱性的可行性级别，并所述级别和级别与量化值的对照关系，获取脆弱性的访问复杂度和脆弱性的可行性的量化值。
在获取节点的各个所述父节点被攻击的可能性，以及所述父节点转移到所述节点可利用的各个脆弱性的被利用概率后，根据计算公式计算出节点的被攻击的可能性。
在本实施例中，所述计算所述节点被攻击的可能性采用下述公式计算：
其中，Si为所述节点，Fi为Si的父节点，Mi为Si的父节点个数，Di为从Fi转移到Si能够利用的脆弱性的个数，P(vuln)表示脆弱性vuln的利用概率，Vul_Assess(Si)为节点Si被攻击的可能性，Vul_Assess(Fi)为父节点Fi被攻击的可能性。
节点Si的被攻击的可能性表示了攻击者从网络攻击图中的起始节点S0开始利用脆弱性到达当前节点Si的可能性，它是通过计算父节点的被攻击的可能性与父子节点之间的脆弱性利用的条件概率得到的。从上述公式可以看到，一个节点被攻击的可能性往往与其父亲节点的数量Mi、父节点被攻击的可能性、父节点与子节点之间的脆弱性利用数量Di，以及脆弱性利用的概率P(vuln)都有直接关系。如果上述各项值越大，则攻击者达到节点Si的可能性越大。
本申请实施例提供的网络风险评估方法，还包括：
根据各个所述节点被攻击的可能性，计算整个网络被攻击的可能性。
在本实施例中，将网络中各个节点被攻击的可能性之和作为整个网络被攻击的可能性。
整个网络被攻击的可能性与网络中节点的数量以及单个节点被攻击的可能性有直接关系，当网络中的节点数量越多、脆弱性利用过程越多(即：网络攻击图中边的数量越多)、网络攻击图越复杂时，整个网络被攻击的可能性就越大。因此，在网络攻击图的基础上，通过对网络中各个节点被攻击的可能性的定量评估，能够获得整个网络被攻击的可能性。
本申请实施例提供的网络风险评估方法，还包括：
根据所述节点被攻击的可能性和攻击者在所述节点上的特权，计算所述节点的威胁值。
在本实施例中，将所述节点被攻击的可能性与攻击者在所述节点上的特权之乘积作为所述节点的威胁值。
在本实施例中，将特权划分为四个等级：None、Access、User、Root，其中，None的值为0，Access的值为1，User的值为2，Root的值为3。例如：在图2中，攻击能力192.168.1.95：2表示攻击者在主机192.168.1.95中的权限为User级。
本申请实施例提供的网络风险评估方法，还包括：
根据各个所述节点的威胁值，计算整个网络的威胁值。
在本实施例中，将网络中各个节点的威胁值之和作为整个网络的威胁值。
整个网络的威胁值与网络中节点的数量以及单个节点的威胁值有直接关系，当网络中的节点数量越多、网络攻击图越复杂时，整个网络的威胁值就越大。因此，在网络攻击图的基础上，通过对网络中各个节点的威胁值的定量评估，能够获得整个网络的威胁值。
在上述的实施例中，提供了一种网络风险评估方法，与之相对应的，本申请还提供一种网络风险评估装置。请参看图8，其为本申请的网络风险评估装置实施例的示意图。由于装置实施例基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。下述描述的装置实施例仅仅是示意性的。
本实施例的一种网络风险评估装置，包括：获取单元201，用于针对网络攻击图中除初始节点以外的各个节点，获取所述节点的父节点；第一计算单元202，用于根据各个所述父节点被攻击的可能性，以及所述父节点转移到所述节点可利用的各个脆弱性的被利用概率，计算所述节点被攻击的可能性。
可选的，还包括：
生成单元，用于所述脆弱性的访问复杂度值和所述脆弱性的可行性值；
所述生成单元包括：
获取子单元，用于根据所述脆弱性的标识，获取所述脆弱性的访问复杂度级别和所述脆弱性的可行性级别；
映射子单元，用于根据所述脆弱性的访问复杂度级别和所述脆弱性的可行性级别，以及访问复杂度的量化对应关系和可行性的量化对应关系，获取所述脆弱性的访问复杂度值和所述脆弱性的可行性值。
可选的，还包括：
第二计算单元，用于根据各个所述节点被攻击的可能性，计算整个网络被攻击的可能性。
可选的，还包括：
第三计算单元，用于根据所述节点被攻击的可能性和攻击者在所述节点上的特权，计算所述节点的威胁值。
可选的，还包括：
第四计算单元，用于根据各个所述节点的威胁值，计算整个网络的威胁值。
本申请提供的网络风险评估方法和装置，通过针对网络攻击图中除初始节点以外的各个节点，获取所述节点的父节点，并根据各个所述父节点被攻击的可能性，以及所述父节点转移到所述节点可利用的各个脆弱性的被利用概率，能够计算获取整个网络中各个节点被攻击的可能性，从而对各个节点进行定量的评估。
本发明虽然以较佳实施例公开如上，但其并不是用来限定本发明，任何本领域技术人员在不脱离本发明的精神和范围内，都可以做出可能的变动和修改，因此本发明的保护范围应当以本发明权利要求所界定的范围为准。
在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。
内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。
1、计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括非暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
2、本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
Claims (11)
1.一种网络风险评估方法，其特征在于，包括：
接收指定的起始攻击节点和终止攻击节点；
根据网络攻击图，获取从所述起始攻击节点到所述终止攻击节点之间的各个攻击路径；
根据所述攻击路径，获取所述攻击路径中的关键脆弱性，包括：
将各个所述攻击路径作为当前攻击路径集；
根据脆弱性在所述攻击路径中出现的次数，对所述脆弱性进行排序，形成排序的脆弱性集合；
将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性；
从所述当前路径集中删除包括所述关键脆弱性的所述攻击路径，并从所述脆弱性集合中删除所述关键脆弱性；
判断所述当前路径集是否为空；若否，则返回执行将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性的步骤。
2.根据权利要求1所述的网络风险评估方法，其特征在于，所述根据网络攻击图，获取从所述起始攻击节点到所述终止攻击节点之间的各个攻击路径，具体为：
自所述起始攻击节点开始，深度优先遍历所述网络攻击图，获取从所述起始攻击节点到所述终止攻击节点的各个攻击路径。
3.根据权利要求1所述的网络风险评估方法，其特征在于，在所述接收指定的起始攻击节点和终止攻击节点之前，还包括：
生成所述网络攻击图。
4.根据权利要求3所述的网络风险评估方法，其特征在于，所述生成所述网络攻击图包括：
将攻击者的攻击能力作为所述网络攻击图的当前节点；
根据所述当前节点的攻击能力，在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素；
判断是否存在所述攻击能力转移元素；若否，则结束；
当存在所述攻击能力转移元素时，遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中转移后的攻击能力添加到所述网络攻击图中，以所述当前节点为起始点、所述转移后的攻击能力为终止点，与所述攻击能力转移元素中的脆弱性子集的各个脆弱性相对应，在所述起始点和所述终止点之间设置边；
遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中的转移后的攻击能力作为所述网络攻击图的当前节点，返回执行在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素的步骤。
5.根据权利要求4所述的网络风险评估方法，其特征在于，所述攻击能力转移集合采用如下步骤生成：
获取网络拓扑结构、网络主机中的脆弱性，以及所述脆弱性的利用规则；
遍历所述网络拓扑结构中任意两个主机的排列，按照排列顺序，将第一个主机称为源主机，第二个主机称为目的主机；
遍历所述源主机的各个攻击能力，针对所述目的主机的每一个脆弱性，判断所述源主机的攻击能力是否满足所述目的主机的脆弱性利用的前提条件；
当所述源主机的攻击能力满足所述目的主机的脆弱性利用的前提条件时，则根据所述目的主机的脆弱性利用的后果条件，确定所述目的主机的攻击能力，并将所述目的主机的脆弱性作为与所述源主机的攻击能力和所述目的主机的攻击能力对应的所述攻击能力转移元素中脆弱性子集的元素。
6.根据权利要求5所述的网络风险评估方法，其特征在于，所述前提条件包括操作系统类型、服务名称、端口号和权限值；所述后果条件包括提升后的权限值、引发的拒绝服务、改变后的攻击主机与目标主机之间信任关系、机密性、完整性和可用性。
7.根据权利要求5所述的网络风险评估方法，其特征在于，所述前提条件和后果条件存储在漏洞数据库中。
8.一种网络风险评估装置，其特征在于，包括：
接收指定单元，用于接收指定的起始攻击节点和终止攻击节点；
获取攻击路径单元，用于根据网络攻击图，获取从所述起始攻击节点到所述终止攻击节点之间的各个攻击路径；
获取关键脆弱性单元，用于根据所述攻击路径，获取所述攻击路径中的关键脆弱性；
所述获取关键脆弱性单元包括：
设置子单元，用于将各个所述攻击路径作为当前攻击路径集；
排序子单元，用于根据脆弱性在所述攻击路径中出现的次数，对所述脆弱性进行排序，形成排序的脆弱性集合；
查找子单元，用于将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性；
删除子单元，用于从所述当前路径集中删除包括所述关键脆弱性的所述攻击路径，并从所述脆弱性集合中删除所述关键脆弱性；
判断子单元，用于判断所述当前路径集是否为空；若否，则返回执行将所述脆弱性集合中出现次数最多的脆弱性作为关键脆弱性的步骤。
9.根据权利要求8所述的网络风险评估装置，其特征在于，还包括：
生成攻击图单元，用于生成所述网络攻击图。
10.根据权利要求9所述的网络风险评估装置，其特征在于，所述生成攻击图单元包括：
设置子单元，用于将攻击者的攻击能力作为所述网络攻击图的当前节点；
查找子单元，用于根据所述当前节点的攻击能力，在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素；
判断子单元，用于判断是否存在所述攻击能力转移元素；若否，则结束；
第一遍历子单元，用于当存在所述攻击能力转移元素时，遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中转移后的攻击能力添加到所述网络攻击图中，以所述当前节点为起始点、所述转移后的攻击能力为终止点，与所述攻击能力转移元素中的脆弱性子集的各个脆弱性相对应，在所述起始点和所述终止点之间设置边；
第二遍历子单元，用于遍历各个所述攻击能力转移元素，将所述攻击能力转移元素中的转移后的攻击能力作为所述网络攻击图的当前节点，返回执行在攻击能力转移集合中查找使所述当前节点的攻击能力发生转移的攻击能力转移元素的步骤。
11.根据权利要求10所述的网络风险评估装置，其特征在于，所述生成攻击图单元还包括：
生成子单元，用于生成所述攻击能力转移集合；
所述生成子单元包括：
获取子单元，用于获取网络拓扑结构、网络主机中的脆弱性，以及所述脆弱性的利用规则；
第一遍历子单元，用于遍历所述网络拓扑结构中任意两个主机的排列，按照排列顺序，将第一个主机称为源主机，第二个主机称为目的主机；
第二遍历子单元，用于遍历所述源主机的各个攻击能力，针对所述目的主机的每一个脆弱性，判断所述源主机的攻击能力是否满足所述目的主机的脆弱性利用的前提条件；
判定子单元，用于当所述源主机的攻击能力满足所述目的主机的脆弱性利用的前提条件时，则根据所述目的主机的脆弱性利用的后果条件，确定所述目的主机的攻击能力，并将所述目的主机的脆弱性作为与所述源主机的攻击能力和所述目的主机的攻击能力对应的所述攻击能力转移元素中脆弱性子集的元素。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510050340.XA CN105991521B (zh) | 2015-01-30 | 2015-01-30 | 网络风险评估方法和装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510050340.XA CN105991521B (zh) | 2015-01-30 | 2015-01-30 | 网络风险评估方法和装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN105991521A CN105991521A (zh) | 2016-10-05 |
| CN105991521B true CN105991521B (zh) | 2019-06-21 |
Family
ID=57035552
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201510050340.XA Active CN105991521B (zh) | 2015-01-30 | 2015-01-30 | 网络风险评估方法和装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN105991521B (zh) |
Families Citing this family (29)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106453403B (zh) * | 2016-11-21 | 2019-10-01 | 国家电网公司 | 一种基于攻击链的漏洞整改顺序确定方法及系统 |
| CN106534195B (zh) * | 2016-12-19 | 2019-10-08 | 杭州信雅达数码科技有限公司 | 一种基于攻击图的网络攻击者行为分析方法 |
| CN106657144B (zh) * | 2017-01-20 | 2019-06-28 | 北京理工大学 | 一种基于增强学习的动态保护路径规划方法 |
| CN106921653B (zh) * | 2017-01-25 | 2022-03-18 | 全球能源互联网研究院 | 一种针对网络脆弱性的加固策略生成方法 |
| CN106997437B (zh) * | 2017-03-02 | 2020-09-11 | 北京理工大学 | 一种系统漏洞防护方法和装置 |
| CN106991325B (zh) * | 2017-03-02 | 2020-10-02 | 北京理工大学 | 一种软件漏洞的防护方法和装置 |
| CN107273752B (zh) * | 2017-06-26 | 2020-12-11 | 北京理工大学 | 基于词频统计和朴素贝叶斯融合模型的漏洞自动分类方法 |
| CN107517201B (zh) * | 2017-07-28 | 2020-11-13 | 北京航空航天大学 | 一种基于时序移除的网络脆弱性辨识方法 |
| CN109218276A (zh) * | 2017-08-01 | 2019-01-15 | 全球能源互联网研究院 | 一种网络攻击图生成方法和系统 |
| CN107807812A (zh) * | 2017-11-10 | 2018-03-16 | 电子科技大学 | 一种基于hdl代码的硬件脆弱性评估方法 |
| CN110971579A (zh) * | 2018-09-30 | 2020-04-07 | 北京国双科技有限公司 | 一种网络攻击展示方法及装置 |
| CN110730128B (zh) * | 2018-11-05 | 2021-09-21 | 安天科技集团股份有限公司 | 信息传播路径的处理方法、装置、电子设备、存储介质 |
| CN109543419B (zh) * | 2018-11-30 | 2020-12-04 | 杭州迪普科技股份有限公司 | 检测资产安全的方法及装置 |
| CN110138762B (zh) * | 2019-05-09 | 2020-08-11 | 南京邮电大学 | 基于攻击图网络的脆弱点检测系统、方法及存储介质 |
| CN110191056A (zh) * | 2019-05-30 | 2019-08-30 | 深圳市中航比特通讯技术有限公司 | 一种网络拓扑自动路由算法 |
| CN110378121B (zh) * | 2019-06-19 | 2021-03-16 | 全球能源互联网研究院有限公司 | 一种边缘计算终端安全评估方法、装置、设备及存储介质 |
| WO2021084961A1 (ja) * | 2019-10-29 | 2021-05-06 | 日立Astemo株式会社 | 分析装置及び分析方法 |
| CN110881050A (zh) * | 2019-12-20 | 2020-03-13 | 万翼科技有限公司 | 安全威胁检测方法及相关产品 |
| CN110855722A (zh) * | 2020-01-16 | 2020-02-28 | 北京安博通科技股份有限公司 | 一种主机风险评估方法及装置 |
| CN112104639B (zh) * | 2020-09-11 | 2021-06-15 | 湖南大学 | 一种面向电力系统网络的攻击路径并行预测方法 |
| CN112380532A (zh) * | 2020-11-13 | 2021-02-19 | 深信服科技股份有限公司 | 一种主机风险状态确定方法、装置、电子设备及存储介质 |
| CN112600800B (zh) * | 2020-12-03 | 2022-07-05 | 中国电子科技网络信息安全有限公司 | 基于图谱的网络风险评估方法 |
| CN113329026B (zh) * | 2021-06-08 | 2022-09-16 | 中国传媒大学 | 一种基于网络靶场漏洞演练的攻击能力确定方法及系统 |
| CN114039862B (zh) * | 2022-01-10 | 2022-04-26 | 南京赛宁信息技术有限公司 | 基于动态拓扑分析的ctf题解检测节点构建方法与系统 |
| CN114915475B (zh) * | 2022-05-18 | 2023-06-27 | 中国联合网络通信集团有限公司 | 攻击路径的确定方法、装置、设备及存储介质 |
| CN115333829A (zh) * | 2022-08-10 | 2022-11-11 | 国网智能电网研究院有限公司 | 一种攻击行为轨迹发现方法、装置、设备及存储介质 |
| CN115913640B (zh) * | 2022-10-19 | 2023-09-05 | 南京南瑞信息通信科技有限公司 | 一种基于攻击图的大型网络攻击推演及风险预警方法 |
| CN115801591B (zh) * | 2023-02-15 | 2023-04-18 | 聊城金恒智慧城市运营有限公司 | 网络安全脆弱性评估定量计算方法 |
| CN116232774B (zh) * | 2023-05-09 | 2023-07-07 | 天津丈八网络安全科技有限公司 | 用于网络安全异常检测的网络路径分析系统及方法 |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101162993A (zh) * | 2007-11-29 | 2008-04-16 | 哈尔滨工程大学 | 一种网络风险分析方法 |
| CN101442533A (zh) * | 2008-12-25 | 2009-05-27 | 上海交通大学 | 基于数据挖掘技术的网络权限提升路径的生成方法 |
| CN101695033A (zh) * | 2009-09-25 | 2010-04-14 | 上海交通大学 | 基于权限提升的网络脆弱性分析系统 |
| CN102413003A (zh) * | 2010-09-20 | 2012-04-11 | 中国科学院计算技术研究所 | 检测网络安全性的方法及系统 |
| CN103368976A (zh) * | 2013-07-31 | 2013-10-23 | 电子科技大学 | 一种基于攻击图邻接矩阵的网络安全评估装置 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7194769B2 (en) * | 2003-12-11 | 2007-03-20 | Massachusetts Institute Of Technology | Network security planning architecture |
-
2015
- 2015-01-30 CN CN201510050340.XA patent/CN105991521B/zh active Active
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101162993A (zh) * | 2007-11-29 | 2008-04-16 | 哈尔滨工程大学 | 一种网络风险分析方法 |
| CN101442533A (zh) * | 2008-12-25 | 2009-05-27 | 上海交通大学 | 基于数据挖掘技术的网络权限提升路径的生成方法 |
| CN101695033A (zh) * | 2009-09-25 | 2010-04-14 | 上海交通大学 | 基于权限提升的网络脆弱性分析系统 |
| CN102413003A (zh) * | 2010-09-20 | 2012-04-11 | 中国科学院计算技术研究所 | 检测网络安全性的方法及系统 |
| CN103368976A (zh) * | 2013-07-31 | 2013-10-23 | 电子科技大学 | 一种基于攻击图邻接矩阵的网络安全评估装置 |
Non-Patent Citations (3)
| Title |
|---|
| 一种基于攻击图的安全威胁识别和分析方法;吴迪、连一峰、陈恺、刘玉岭;《计算机学报》;20120930;第35卷(第9期);第1938-1950页 |
| 计算机网络脆弱性评估方法研究;贾炜;《中国博士学位论文全文库 信息科技辑》;20130115(第1期);第25-51页 |
| 计算机网络脆弱性评估方法研究;贾炜;《中国博士学位论文全文数据库 信息科技辑》;20130115(第1期);第25-51页 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN105991521A (zh) | 2016-10-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN105991521B (zh) | 网络风险评估方法和装置 | |
| CN111935192B (zh) | 网络攻击事件溯源处理方法、装置、设备和存储介质 | |
| CN108933793B (zh) | 基于知识图谱的攻击图生成方法及其装置 | |
| US11194905B2 (en) | Affectedness scoring engine for cyber threat intelligence services | |
| Wang et al. | k-zero day safety: A network security metric for measuring the risk of unknown vulnerabilities | |
| US11483318B2 (en) | Providing network security through autonomous simulated environments | |
| Zeng et al. | Survey of attack graph analysis methods from the perspective of data and knowledge processing | |
| Mohmand et al. | A machine learning-based classification and prediction technique for DDoS attacks | |
| KR102295654B1 (ko) | 공격 그래프 기반의 공격 대상 예측 방법 및 그를 위한 장치 | |
| Thuraisingham et al. | A data driven approach for the science of cyber security: Challenges and directions | |
| Zhang et al. | Privacy Risk in Anonymized Heterogeneous Information Networks. | |
| Zouave et al. | Artificially intelligent cyberattacks | |
| Li et al. | An approach to model network exploitations using exploitation graphs | |
| Zhang et al. | Sybil detection in social-activity networks: Modeling, algorithms and evaluations | |
| Ma et al. | The construction method of computer network security defense system based on multisource big data | |
| Baiardi et al. | A scenario method to automatically assess ict risk | |
| Pecharich et al. | Mission-centric cyber security assessment of critical systems | |
| Khoury et al. | Jbeil: Temporal Graph-Based Inductive Learning to Infer Lateral Movement in Evolving Enterprise Networks | |
| Li et al. | SRAM: a state-aware risk assessment model for intrusion response | |
| Garg et al. | A systematic review of attack graph generation and analysis techniques | |
| Kim et al. | Time-Based Moving Target Defense Using Bayesian Attack Graph Analysis | |
| Rush et al. | Dcafe: A distributed cyber security automation framework for experiments | |
| Liu et al. | SEAG: A novel dynamic security risk assessment method for industrial control systems with consideration of social engineering | |
| Xiuguo | A security-aware data replica placement strategy based on fuzzy evaluation in the cloud | |
| CN117176476B (zh) | 一种基于节点权重的网络安全评估方法及系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20240222 Address after: Room 01, 45th Floor, AXA Building, 8 Shanton Road, Singapore Patentee after: Alibaba Singapore Holdings Ltd. Country or region after: Singapore Address before: A four-storey 847 mailbox in Grand Cayman Capital Building, British Cayman Islands Patentee before: ALIBABA GROUP HOLDING Ltd. Country or region before: Cayman Islands |
|
| TR01 | Transfer of patent right |