CN108629474A - 基于攻击图模型的流程安全评估方法 - Google Patents

Abstract

本发明属于流程安全评估技术领域，具体涉及一种基于攻击图模型的流程安全评估方法。包括如下步骤：根据安全控制系统的安全属性进行安全节点设计；将设计好的节点根据业务流程逻辑形成一个流程方案；以建立树状图的方式实现流程方案的设计；对设计好的流程方案进行评估建模，评估计算生成评估结论；流程方案评价包括建立流程安全评价体系、可靠性评价体系和运行效率评价体系，并基于这三个评价体系指标的评估值，通过综合评分模型给出系统综合评价结果；根据安全薄弱节点的重要程度、可实现性和复杂程度参数等级，给出针对当前流程方案的优化策略。本发明解决了人为干预带来的不确定性，提高了安全评估结果的准确性、可靠性和高效性。

Description

基于攻击图模型的流程安全评估方法

技术领域

本发明属于流程安全评估技术领域，具体涉及一种基于攻击图模型的流程安全评估方法。

背景技术

在现有的流程安全评估技术中，尚没有一个统一的评估标准，对于某些难以定量描述的指标，大多数是依据专家评价法和试验统计分析法。这种评估方法在很大程度上具有不可避免的主观性和倾向性，导致对同一流程安全性得出不同的评估结果，大大降低了流程安全评估结果的准确性和合理性。此外，受评估标准和评估方法现状的制约，现有评估工具所涉及的评估源数据需要人工采集，这样降低了整个评估过程的效率。

近年来，国内外研究者在安全性评估取得了一定成果，提出了攻击图生成模型和算法，攻击图模型描述了攻击者在一套安全系统中利用系统的脆弱性进行渗透、逐步提升权限的过程。然而利用已有方法生成的攻击图适用于小规模网络，对受诸多因素影响的复杂系统的流程评估无法进行深入分析。

发明内容

本发明针对以上问题，提供一种基于攻击图模型的流程安全评估方法，为安全控制系统设计、评估提供一种有效评估手段，通过评估模型给出评估结论和修改策略，以验证安全控制系统的关键技术和指标满足情况。

为达到上述目的，本发明所采取的技术方案为：

一种基于攻击图模型的流程安全评估方法，包括如下步骤：

步骤一、根据安全控制系统的安全属性进行安全节点设计；安全节点设计包含安全值、重要程度、可实现性、复杂程度和运行时间、估计可靠度属性；

步骤二、将设计好的节点根据业务流程逻辑形成一个流程方案；以建立树状图的方式实现流程方案的设计；

步骤三、对设计好的流程方案进行评估建模，评估计算生成评估结论；流程方案评价包括建立流程安全评价体系、可靠性评价体系和运行效率评价体系，并基于这三个评价体系指标的评估值，通过综合评分模型给出系统综合评价结果；根据安全值、可靠度和时间分值通过加权评分的方法给出系统综合评价，M为综合分值，P为安全值，R为可靠度，C为时间分值，W为属性权重，系统的综合评分M为：

M＝P×W_P+R×W_R+C×W_C

步骤四、根据安全薄弱节点的重要程度、可实现性和复杂程度参数等级，给出针对当前流程方案的优化策略，以及修改流程方案的切入点，并可根据修改后的流程方案进行二次评估。

所述的步骤一中安全值代表当前节点被攻破的难易程度，通过列表评分的方法给出符合客观实际的分值；对重要程度、可实现性、复杂程度采用评级方法赋值；估计可靠度由可靠度、置信水平通过二项分布计算求出；运行时间由实际使用确定。

所述的步骤二中树状图的根节点为基节点，其子节点为下一级别的安全控制流程节点，以最初的子节点为开始流程，通过线条的连接建立各节点之间的逻辑关系，建立标准评估指标树，表现整个安全控制流程的演进关系。

所述的步骤三中流程安全评价体系通过优化攻击图模型，根据节点和节点之间授权信息的安全值属性进行流程安全属性的评价；安全评价体系在运行时根据每一个节点的安全属性和上级节点发送的授权信息，通过攻击图模型计算出安全薄弱节点和攻击路径，最后计算出整个流程的安全值评分；流程运行效率评价体系，用来衡量系统运行效率，基于节点的运行时间属性，根据流程树状图的逻辑关系，计算出全流程的最小运行时间，每一个进程在运行到交叉节点时时间以兄弟进程中时间最大的为基准。

安全评估模型的具体计算步骤如下：

(1)从最底层节点开始计算，计算节点完全被攻破的危险值Q_i，它包含攻破节点自身的防范措施的危险值D_i和攻破该节点上级发来的授权信息安全属性值K_i两个方面，即Q_i受到D_i和K_i两个值的影响，若节点为最底层节点，则Q_i＝D_i；

(2)计算当前节点1与兄弟节点2、节点3……节点N的联合危险值ΠQ_i；

(3)比较各子节点的联合危险值∏Q_i与其父节点的危险值大小，F_i＝1-K_i，若父节点危险值高，则父节点列入攻击路径，并认为各子节点为相对安全节点；若子节点和兄弟节点的联合危险值高，则将子节点和父节点同时列入攻击路径，并将父节点的危险值置为∏Q_i，参与下一轮计算；如果该节点的父节点状态已经变成了路径节点则该节点不用计算；

(4)遍历所有的底层节点，将节点状态进入判断状态重复步骤(2)和(3)，得到最初的路径节点；

(5)遍历所有的路径节点，将节点状态进入判断状态重复步骤(2)和(3)，直到攻破根节点；

(6)将所有的路径节点标记生成攻击路径，计算攻击路径的成功概率，根据攻击序列的节点数量，即可求出整个流程方案的总安全值P。

本发明所取得的有益效果为：

本发明建立了流程安全评价体系、可靠性评价体系和运行效率评价体系评价模型，基于以上评价体系的评估值和权重进行计算，生成系统综合评估结论。另外，根据安全薄弱节点的重要程度、可实现性和复杂程度参数等级，给出针对当前流程方案的优化策略，解决了人为干预带来的不确定性，提高了安全评估结果的准确性、可靠性和高效性。

附图说明

图1为基于攻击图模型的流程安全评估方法流程图；

图2为实施例中流程安全评估工作流程图；

图3为实施例中所述的安全节点属性；

图4为实施例中所述的攻击图危险值。

具体实施方式

下面结合附图和具体实施例对本发明进行详细说明。

如图1所示，本发明基于攻击图模型的流程安全评估方法包括如下步骤：

步骤一、安全节点设计，根据安全控制系统的安全属性进行安全节点设计。

所述的安全节点设计，其包含安全值、重要程度、可实现性、复杂程度和运行时间、估计可靠度等属性。安全值代表当前节点被攻破的难易程度，通过列表评分的方法给出符合客观实际的分值；对重要程度、可实现性、复杂程度采用评级方法赋值；估计可靠度由可靠度、置信水平通过二项分布计算求出；运行时间由实际使用确定。

步骤二、流程方案设计，将设计好的节点根据业务流程逻辑形成一个流程方案。

所述的流程方案设计，以建立树状图的方式实现流程方案的设计。树状图的根节点为基节点，其子节点为下一级别的安全控制流程节点，以最初的子节点为开始流程，通过线条的连接建立各节点之间的逻辑关系，建立标准评估指标树，表现整个安全控制流程的演进关系。

步骤三、流程方案评价，对设计好的流程方案进行评估建模，评估计算生成评估结论。

所述的流程方案评价包括建立流程安全评价体系、可靠性评价体系和运行效率评价体系，并基于这三个评价体系指标的评估值，通过综合评分模型给出系统综合评价结果。流程安全评价体系通过优化攻击图模型，根据节点和节点之间授权信息的安全值属性进行流程安全属性的评价。安全评价体系在运行时根据每一个节点的安全属性和上级节点发送的授权信息，通过攻击图模型计算出安全薄弱节点和攻击路径，最后计算出整个流程的安全值评分。

安全评估模型的具体计算步骤如下：

(1)从最底层节点开始计算，计算节点完全被攻破的危险值Q_i，它包含攻破节点自身的防范措施的危险值D_i和攻破该节点上级发来的授权信息安全属性值K_i两个方面，即Q_i受到D_i和K_i两个值的影响，若节点为最底层节点，则Q_i＝D_i；

(2)计算当前节点1与兄弟节点2、节点3……节点N的联合危险值ΠQ_i；

(3)比较各子节点的联合危险值ΠQ_i与其父节点的危险值大小，F_i＝1-K_i，若父节点危险值高，则父节点列入攻击路径，并认为各子节点为相对安全节点；若子节点和兄弟节点的联合危险值高，则将子节点和父节点同时列入攻击路径，并将父节点的危险值置为∏Q_i，参与下一轮计算。如果该节点的父节点状态已经变成了路径节点则该节点不用计算；

(4)遍历所有的底层节点，将节点状态进入判断状态重复步骤(2)和(3)，得到最初的路径节点。

(5)遍历所有的路径节点，将节点状态进入判断状态重复步骤(2)和(3)，直到攻破根节点。

(6)将所有的路径节点标记生成攻击路径，计算攻击路径的成功概率。根据攻击序列的节点数量，即可求出整个流程方案的总安全值P。

流程运行效率评价体系，用来衡量系统运行效率，基于节点的运行时间属性，根据流程树状图的逻辑关系，计算出全流程的最小运行时间，每一个进程在运行到交叉节点时时间以兄弟进程中时间最大的为基准。

建立综合评分模型，最后根据安全值、可靠度和时间分值通过加权评分的方法给出系统综合评价。M为综合分值，P为安全值，R为可靠度，C为时间分值，W为属性权重，系统的综合评分M为

M＝P×W_P+R×W_R+C×W_C

步骤四、优化策略推荐，根据安全薄弱节点的重要程度、可实现性和复杂程度参数等级，给出针对当前流程方案的优化策略，以及修改流程方案的切入点，并可根据修改后的流程方案进行二次评估。

以下实施例将攻击图的安全分析方法应用在流程安全评估中，根据节点的安全值和其他节点属性，通过优化算法，找到整个流程树中最易被攻击的路径和节点，为设计者提供流程修改的思路和数据支持。

如图2所示，提供了一种流程安全评估工作流程图，具体实施步骤如下：

步骤一、根据安全控制系统的特点及安全参数，是否设置系统属性和流程方案，如果需要设置则执行步骤二，如果不设置则执行步骤五；

步骤二、设置系统属性，对节点安全值属性的评分标准及综合评分权重等进行相应的设置；

步骤三、设计节点属性，设计人员可在流程节点设计中对各安全节点的参数进行设置，根据节点的实际情况，通过列表评分的方法为每一个节点的安全值属性给出量化分值，并根据系统自身特性，对每个节点的安全值、重要程度、可实现性、复杂程度和等属性进行安全设计。

步骤四、设计流程方案，将设计好的节点根据业务流程逻辑组合成一个树状流程图，形成一个流程方案；树状图的根节点为基节点，其子节点为下一级别的安全控制流程，以最初的子节点为开始流程，通过线条的连接建立各节点之间的逻辑关系，建立标准评估指标树。在新建和修改完方案之后将方案的整体信息、节点顺序信息、节点在方案中的坐标层次等信息，并存储到安全评估数据库中。

步骤五、选择当前流程方案；

步骤六、读取各个属性进行评估，建立流程安全评价体系、可靠性评价体系和运行效率评价体系模型，根据指标的评估值和权重进行评估计算，如果停止评估则返回步骤一；

其中，运行效率评价模型以流程运行时间作为流程运行效率的评价指标，每一个进程在运行到交叉节点时时间以兄弟进程中时间最大的为基准。具体执行步骤如下：

(1)从底层节点开始计算，遍历所有的最底层节点；

(2)判断当前节点是否拥有兄弟节点，如果有，则判断是否为兄弟节点中时间最长的节点，将时间最长的节点运行时间累加到父节点作为运算值，并将父节点进行标记；

(3)遍历完所有的底层节点之后逐层向上级层重复步骤二直到最高层，运行时间就是根节点的运算值。

所述的流程安全评价体系，通过攻击图模型进行系统的安全评价，攻击图模型基于攻破该节点自身防范措施的危险值和攻破其子节点到该节点的授权信息的危险值进行计算。计算模型从最底层节点开始，通过节点完全被攻破的危险值计算该节点是否加入攻击路径成为路径节点。判断节点是否加入攻击路径的计算方法是，根据攻破该节点自身防范措施的危险值和攻破其子节点到该节点的授权信息的危险值计算与该节点完全被攻破的危险值，定义该节点的上一个流程节点为该节点的子节点。计算各子节点联合的危险值和该节点完全被攻破的危险值。比较二者，危险值较高意味着该节点更容易被攻破，加入攻击路径。遍历所有节点，最终得到攻击路径。

基于流程安全评价体系、可靠性评价体系和运行效率评价体系指标的评估值，通过综合评分模型给出系统综合评价结果。

步骤七、显示评估结果以及优化策略，当流程方案评估完成之后，自动显示该方案的安全评分以及攻击的路径和薄弱节点，并给出优化策略表单。

在评估评分结束后对当前的流程方案评估结果进行显示，评估系统将在树状流程图的基础上标注出评估结果，给出安全薄弱节点和对应的攻击路径图，显示综合评估结论。

如图3所示，所述的安全节点设计，其属性包含安全值、重要程度、可实现性、复杂程度和运行时间、估计可靠度等属性。安全值代表当前节点被攻破的难易程度，通过列表评分的办法给出符合客观实际的具体分值；可实现性代表着当前节点设计实现的难易程度，采用评级方法赋值，由设计人员通过设计指标判断给出。可实现性代表着当前节点设计实现的难易程度，分为5级，I级为最难实现，V级为最容易实现。重要程度代表着当前节点操作的复杂程度，分为5级，I级表示该节点重要程度最高，V级表示节点重要程度最低。

如图4所示，设节点的安全属性值为L_i，则D_i＝1-L_i表示攻破该节点自身防范措施的危险值，对应攻击图中各节点的危险属性；设子节点到父节点的授权信息安全属性值为K_i，则F_i＝1-K_i表示攻破该子节点到父节点的授权信息，对应攻击图中子节点到父节点连线的危险属性。

本实施例，根据节点的安全值和节点属性，通过优化攻击图算法，计算出系统综合评价值，并标示出攻击路径和安全薄弱节点，为设计者提供流程修改的思路和数据支持，提高了整个系统流程的安全性和易用性。

Claims (5)

1.一种基于攻击图模型的流程安全评估方法，其特征在于：包括如下步骤：

步骤一、根据安全控制系统的安全属性进行安全节点设计；安全节点设计包含安全值、重要程度、可实现性、复杂程度和运行时间、估计可靠度属性；

步骤二、将设计好的节点根据业务流程逻辑形成一个流程方案；以建立树状图的方式实现流程方案的设计；

步骤三、对设计好的流程方案进行评估建模，评估计算生成评估结论；流程方案评价包括建立流程安全评价体系、可靠性评价体系和运行效率评价体系，并基于这三个评价体系指标的评估值，通过综合评分模型给出系统综合评价结果；根据安全值、可靠度和时间分值通过加权评分的方法给出系统综合评价，M为综合分值，P为安全值，R为可靠度，C为时间分值，W为属性权重，系统的综合评分M为：

M＝P×W_P+R×W_R+C×W_C

步骤四、根据安全薄弱节点的重要程度、可实现性和复杂程度参数等级，给出针对当前流程方案的优化策略，以及修改流程方案的切入点，并可根据修改后的流程方案进行二次评估。

2.根据权利要求1所述的基于攻击图模型的流程安全评估方法，其特征在于：所述的步骤一中安全值代表当前节点被攻破的难易程度，通过列表评分的方法给出符合客观实际的分值；对重要程度、可实现性、复杂程度采用评级方法赋值；估计可靠度由可靠度、置信水平通过二项分布计算求出；运行时间由实际使用确定。

3.根据权利要求1所述的基于攻击图模型的流程安全评估方法，其特征在于：所述的步骤二中树状图的根节点为基节点，其子节点为下一级别的安全控制流程节点，以最初的子节点为开始流程，通过线条的连接建立各节点之间的逻辑关系，建立标准评估指标树，表现整个安全控制流程的演进关系。

4.根据权利要求1所述的基于攻击图模型的流程安全评估方法，其特征在于：所述的步骤三中流程安全评价体系通过优化攻击图模型，根据节点和节点之间授权信息的安全值属性进行流程安全属性的评价；安全评价体系在运行时根据每一个节点的安全属性和上级节点发送的授权信息，通过攻击图模型计算出安全薄弱节点和攻击路径，最后计算出整个流程的安全值评分；流程运行效率评价体系，用来衡量系统运行效率，基于节点的运行时间属性，根据流程树状图的逻辑关系，计算出全流程的最小运行时间，每一个进程在运行到交叉节点时时间以兄弟进程中时间最大的为基准。

5.根据权利要求4所述的基于攻击图模型的流程安全评估方法，其特征在于：安全评估模型的具体计算步骤如下：

(1)从最底层节点开始计算，计算节点完全被攻破的危险值Q_i，它包含攻破节点自身的防范措施的危险值D_i和攻破该节点上级发来的授权信息安全属性值K_i两个方面，即Q_i受到D_i和K_i两个值的影响，若节点为最底层节点，则Q_i＝D_i；

(2)计算当前节点1与兄弟节点2、节点3……节点N的联合危险值ΠQ_i；

(3)比较各子节点的联合危险值ΠQ_i与其父节点的危险值大小，F_i＝1-K_i，若父节点危险值高，则父节点列入攻击路径，并认为各子节点为相对安全节点；若子节点和兄弟节点的联合危险值高，则将子节点和父节点同时列入攻击路径，并将父节点的危险值置为ΠQ_i，参与下一轮计算；如果该节点的父节点状态已经变成了路径节点则该节点不用计算；

(4)遍历所有的底层节点，将节点状态进入判断状态重复步骤(2)和(3)，得到最初的路径节点；

(5)遍历所有的路径节点，将节点状态进入判断状态重复步骤(2)和(3)，直到攻破根节点；

(6)将所有的路径节点标记生成攻击路径，计算攻击路径的成功概率，根据攻击序列的节点数量，即可求出整个流程方案的总安全值P。