CN110401625B - 基于关联分析的风险评估方法和系统 - Google Patents
基于关联分析的风险评估方法和系统 Download PDFInfo
- Publication number
- CN110401625B CN110401625B CN201910172197.XA CN201910172197A CN110401625B CN 110401625 B CN110401625 B CN 110401625B CN 201910172197 A CN201910172197 A CN 201910172197A CN 110401625 B CN110401625 B CN 110401625B
- Authority
- CN
- China
- Prior art keywords
- asset
- assets
- analysis
- value
- risk
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 92
- 238000012502 risk assessment Methods 0.000 title claims abstract description 62
- 238000010219 correlation analysis Methods 0.000 title claims abstract description 52
- 238000004458 analytical method Methods 0.000 claims abstract description 102
- 238000012098 association analyses Methods 0.000 claims abstract description 43
- 238000012038 vulnerability analysis Methods 0.000 claims abstract description 32
- 238000007689 inspection Methods 0.000 claims description 7
- 238000004364 calculation method Methods 0.000 claims description 5
- 238000011156 evaluation Methods 0.000 claims description 2
- 238000012097 association analysis method Methods 0.000 claims 2
- 238000001514 detection method Methods 0.000 description 5
- 238000007621 cluster analysis Methods 0.000 description 2
- 238000010586 diagram Methods 0.000 description 2
- 238000012550 audit Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 238000004140 cleaning Methods 0.000 description 1
- 238000009472 formulation Methods 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 238000007726 management method Methods 0.000 description 1
- 239000000203 mixture Substances 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 238000012954 risk control Methods 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
本发明提供一种基于关联分析的风险评估方法和系统。该方法首先使用基于关联分析的资产分析方法，采用基于属性和面向聚类的资产关联方法找到资产的关联资产集，并采用分级的方式依次对信息资产、应用系统、软件资产、硬件资产和人员资产进行分析，确定资产的机密性价值、完整性价值、可用性价值，进而得到资产的重要性价值；其次使用基于关联分析的威胁分析方法对信息系统进行威胁分析，得到信息系统所面临的威胁；然后使用基于关联分析的脆弱性分析方法进行脆弱性分析，得到系统存在的脆弱性信息的集合；接着采用基于关联分析的风险分析方法进行风险分析，确定存在的风险和风险等级；最后采用威胁和脆弱性关联分析方法调整其中某些风险的等级。
Description
技术领域
本发明属于网络安全技术领域，尤其涉及针对信息系统的风险评估领域，具体涉及一种基于关联分析的风险评估方法和系统。
背景技术
随着人们对信息系统安全性的重视，如何有效的评估信息系统面临的风险变得越来越重要，并越来越受到人们的重视。风险评估则是最常用的一种评估信息系统风险的方法：一方面风险评估可以让安全管理人员了解系统目前和未来的风险所在，并评估风险发生的可能性和造成的后果，进而为安全策略的制定和信息系统的安全运行提供支撑；另一方面通过风险评估可以进一步确定风险控制的优先等级，从而对信息系统的风险实施有效控制，将其控制在可以接受的范围之内。所以针对信息系统开展风险评估是十分必要且迫切的。
目前的风险评估一般包括资产分析、威胁分析、脆弱性分析、安全措施有效性分析和风险分析及风险计算的全部或者部分，风险评估方法的过程一般为：首先通过资产分析确定被评估信息系统中资产的重要性价值；然后通过威胁分析得出资产面临的威胁，通过脆弱性分析得出资产具有的脆弱性并通过安全措施有效性分析得出当前已有安全措施的有效性；最后综合上述分析结果确定风险发生的可能性和风险可能产生的影响，进而得到信息系统面临的风险。上述方法一方面只是孤立的考虑了每一个资产的情况，没有考虑由于资产互相关联、互相影响对资产重要性价值计算的影响；另一方面没有考虑由于资产间存在着关联关系而对脆弱性分析和风险分析的影响。
发明内容
本发明的目的是提供一种风险评估方法，在现有风险评估方法的基础上引入关联分析，考虑关联关系的存在对风险评估中资产分析、威胁分析、脆弱性分析、威胁和脆弱性关联分析和风险分析的影响，提供了一种新的基于关联分析的风险评估方法和系统。
本发明的技术方案如下：
一种基于关联分析的风险评估方法，包括以下步骤：
1)用基于关联分析的资产分析方法分析信息系统中的所有资产，确定资产的CIA(机密性、完整性、可用性)价值和资产的重要性价值；
2)用基于关联分析的威胁分析方法进行威胁分析，确定信息系统中资产所面临的威胁(威胁集)；
3)用基于关联分析的脆弱性分析方法进行脆弱性分析，确定信息系统中资产的脆弱性信息(脆弱性集)；
4)根据资产的重要性价值、资产面临的威胁、资产的脆弱性，用基于关联分析的风险分析方法确定信息系统中资产存在的风险(风险集)。
进一步地，步骤1)中基于关联分析的资产分析方法把所有资产分为信息资产、应用系统、软件资产、硬件资产和人员资产；其中，信息资产是指在服务器或个人终端上以文档、视频、音频等形式呈现的信息，应用系统是指Web应用、FTP应用、邮件应用等系统应用以及实际的业务应用，软件资产是指应用系统内部署的操作系统、数据库、浏览器等基础性，硬件资产是指路由器、交换机、网关等信息交互资产以及防火墙、入侵检测设备、流量清洗设备等信息安全防护设备，人员资产是指应用系统的审计管理员、安全管理员、普通用户等。
进一步地，步骤1)中基于关联分析的资产分析方法把分类后的资产进行分级处理，信息资产、应用系统和软件资产为第一级，硬件资产为第二级，人员资产为第三级；
进一步地，步骤1)中基于关联分析的资产分析方法确定资产分析的顺序依次为信息资产、应用系统、软件资产、硬件资产、人员资产；
进一步地，步骤1)中基于关联分析的资产分析方法通过自动探测工具和手工检查的形式，采集每一个资产的信息；
进一步地，步骤1)中基于关联分析的资产分析方法把资产的信息分为资产基本信息，资产价值评定信息，资产其它信息；
进一步地，资产的基本信息包括系统编号、资产名称、资产编号、资产所有者、资产管理员、手工检查人员、资产数量、资产IP地址；
进一步地，资产价值评定信息包括资产完整性价值及权重、资产机密性价值及权重、资产可用性价值及权重、资产重要性价值和关键性；
进一步地，资产其它信息包括功能需求、性能需求、备注信息；
进一步地，步骤1)中基于关联分析的资产分析方法对信息资产、应用系统和软件资产进行资产分析：使用自动探测工具和手工检查得出的信息确定信息资产、应用系统和软件资产的CIA(机密性、完整性、可用性)的值和重要性价值，此时不考虑关联资产；
进一步地，步骤1)中基于关联分析的资产分析方法对硬件资产进行资产分析，具体步骤为：首先使用基于属性和面向聚类的资产关联方法对每一个资产进行聚类分析，聚类分析的结果为按照关联属性属于一类的资产集，称为关联资产集；然后使用结合关联资产集的资产分析方法，确定资产的重要性价值；
进一步地，基于属性和面向聚类的资产关联方法具体步骤为：首先提取要进行聚类分析的资产A的关联属性p，并设置资产A具有关联属性p的资产集合Ap为空；然后在预期存在关联关系的资产集合M中，查找具有关联属性p的资产Ma，并把查找到的资产加入到集合Ap中；重复上述过程直到没有新的资产可以加入到集合Ap中为止；最后得到的集合Ap就是资产A的具有关联属性p的资产集；
进一步地，资产集合M为所有等级不大于该资产等级的资产集合，如对硬件进行资产分析则为所有信息资产、应用系统、软件资产和硬件资产的集合；
进一步地，关联属性p可以由系统按照默认值自动确定，也可以人工指定；
进一步地，结合关联资产集的资产分析方法采用了“关联资产价值大者优先”和“关联资产数量多者为大”两大原则，依次确定该资产的机密性、完整性和可用性价值，然后再根据机密性、完整性和可用性的权重，加权求和得到该资产的重要性价值；
进一步地，关联资产价值大者优先原则具体为：如果资产M的关联资产集为N，则在计算资产M的机密性(完整性、可用性)价值时，从集合M∪N中采用机密性(完整性、可用性)价值最大的资产为计算基础，最后得到的资产M的机密性(完整性、可用性)价值不小于该最大值；
进一步地，关联资产数量多者为大原则具体为：对于同一个资产而讲，在其他条件同等的情况下，其关联资产集中关联资产的数量越多，该资产的价值越大；
进一步地，步骤1)中基于关联分析的资产分析方法的资产机密性价值计算方法具体步骤为：如果资产为M，其关联资产集N＝(N1，N2，…,Nn),则首先按照机密性价值的大小对资产从小到大进行分类得到(H1，H2，H3，H4，H5)，它们之中的资产数量分别为(h1，h2，h3，h4，h5)，其中h1+h2+h3+h4+h5＝n；然后运用关联资产价值大者优先原则，选出机密性价值最大的资产Nj，如果Nj属于集合H5即其机密性价值为系统允许的最大值5，则资产M的机密性价值为5；否则资产M的机密性价值为Min(5，round(l+W1*h1+W2*h2+W3*h3+W4*h4))，即先对值l+W1*h1+W2*h2+W3*h3+W4*h4进行四舍五入，然后取其与5之间的最小值。其中Wi(1<＝i<＝4，且i为正整数)为机密性等级为i的关联资产在最后资产机密性确定中所占的权重，且W1<＝W2<＝W3<＝W4，Wi的值可以由系统默认指定或者人工指定；
进一步地，步骤1)中计算资产完整性和可用性采用与计算资产机密性类似的方法；
进一步地，步骤1)中计算资产的重要性价值采用资产机密性、完整性和可用性价值加权求和的方式；
进一步地，步骤1)中对于人员资产进行资产分析，采用的方法与对硬件资产进行资产分析的方法类似，唯一的区别在于硬件资产的关联资产集不包括人员资产，而人员资产的关联资产集包括所有资产；
进一步地，步骤2)中采用分级的分析方法，采用上述基于关联分析的资产分析方法提出的分级方式；
进一步地，步骤2)首先对信息资产、应用系统和软件资产进行威胁分析，确定其所面临的威胁；
进一步地，步骤2)对硬件资产进行威胁分析，确定硬件资产本身所面临的威胁；
进一步地，步骤2)对硬件资产进行基于关联分析的威胁分析方法，确定该硬件资产所面临的全部威胁；
进一步地，基于关联分析的威胁分析方法具体步骤为：对于要进行威胁分析的资产M，首先采纳上面的基于关联分析的资产分析方法得到的资产M的关联资产集N＝(N1，N2，…,Nn)；资产M自身所面临的威胁集为T(M)；对于关联资产集N中的每一个关联资产Nj(1<＝j<＝n)，如果关联资产Nj所面临的威胁集为T(Nj)，则把威胁集T(Nj)中的所有威胁加入到威胁集T(M)中；最后所得的威胁集T(M)就是资产M所面临的全部威胁的集合；
进一步地，步骤2)对人员资产进行威胁分析，确定人员资产本身所面临的威胁；
进一步地，步骤2)对人员资产进行基于关联分析的威胁分析方法，确定人员资产所面临的全部威胁；
进一步地，步骤3)采用分级的分析方法，采用上述基于关联分析的资产分析方法提出的分级方式；
进一步地，步骤3)对信息资产、应用系统和软件资产进行脆弱性分析，确定其存在的脆弱性信息；
进一步地，步骤3)对硬件资产进行脆弱性分析，确定硬件资产本身所存在的脆弱性信息；
进一步地，步骤3)对硬件资产进行基于关联分析的脆弱性分析方法，确定该硬件资产所面临的全部脆弱性；
进一步地，基于关联分析的脆弱性分析方法具体步骤为：对于要进行脆弱性分析的资产M，首先采纳上面的基于关联分析的资产分析方法得到的资产M的关联资产集N＝(N1，N2，…,Nn)；资产M自身所面临的脆弱性集为V(M)；对于关联资产集N中的每一个关联资产Nj(1<＝j<＝n)，如果关联资产Nj所面临的脆弱性集为V(Nj)，则把脆弱性集V(Nj)中的所有脆弱性加入到脆弱性集V(M)中；最后所得的脆弱性集V(M)就是资产M所面临的全部威胁的集合；
进一步地，步骤3)对人员资产进行脆弱性分析，确定人员资产本身存在的脆弱性集合；
进一步地，步骤3)对人员资产进行基于关联分析的脆弱性分析方法，确定人员资产所存在的全部脆弱性；
进一步地，步骤4)采用分级的方法，采用前面提到的基于关联分析的资产分析方法中所采用的分级方式；
进一步地，步骤4)对信息资产、应用系统和软件资产进行风险分析，根据资产重要性价值、资产面临的威胁、资产存在的脆弱性确定资产本身所面临的风险，并确定风险的等级；
进一步地，步骤4)对硬件资产进行风险分析，根据资产重要性价值、资产面临的威胁、资产存在的脆弱性，确定硬件资产本身所面临的风险和风险等级；
进一步地，步骤4)采用基于关联分析的风险分析方法对硬件资产进行风险分析，确定硬件资产所面临的全部风险及风险等级；
进一步地，基于关联分析的风险分析方法具体步骤为：对于要进行风险分析的资产M，首先采纳上面的基于关联分析的资产分析方法得到的资产M的关联资产集N＝(N1，N2，…,Nn)；资产M自身所面临的风险集为R(M)；对于关联资产集N中的每一个关联资产Nj(1<＝j<＝n)，如果关联资产Nj所面临的风险集为R(Nj)，则把风险集R(Nj)中的所有风险加入到风险集R(M)中；最后所得的风险集R(M)就是资产M所面临的全部风险的集合；
进一步地，步骤4)对人员资产进行风险分析，根据资产重要性价值、资产面临的威胁、资产存在的脆弱性，确定人员资产本身所面临的风险和风险等级；
进一步地，步骤4)采用基于关联分析的风险分析方法对人员资产进行风险分析，确定人员资产所面临的全部风险及风险等级；
进一步地，步骤4)采用威胁和脆弱性关联分析方法，调整其中某些风险的等级，比如把相关风险的风险等级调整为最高级；
进一步地，威胁和脆弱性关联分析方法具体步骤为：资产M，所面临的威胁集合为T(M)，所存在的脆弱性集合为V(M)，所面临的风险集合为R(M)；对于脆弱性集合V(M)的每一个脆弱性Vi，如果在威胁集合T(M)中存在针对该脆弱性的威胁Tj，则在风险集合R(M)中查找得到威胁Tj和脆弱性Vi相关的风险r；把风险r的风险等级调整为最高级。
与上面方法对应地，本发明还提供一种基于关联分析的风险评估系统，其包括：
资产分析模块，负责使用基于关联分析的资产分析方法分析信息系统中的所有资产，确定资产的机密性价值、完整性价值、可用性价值，进而计算得到资产的重要性价值；
威胁分析模块，负责使用基于关联分析的威胁分析方法依次对信息系统中的资产(信息资产、应用系统、软件资产、硬件资产和人员资产)进行分析，得到资产面临的威胁集；
脆弱性分析模块，负责使用基于关联分析的脆弱性分析方法依次对信息系统中的资产(信息资产、应用系统、软件资产、硬件资产和人员资产)进行分析，得到各资产存在的脆弱性集；
风险分析模块，负责根据资产的重要性价值、资产面临的威胁集、资产存在的脆弱性集，使用基于关联分析的风险分析方法依次对信息系统中的资产(信息资产、应用系统、软件资产、硬件资产和人员资产)进行分析，得到资产面临的风险集。
进一步地，上述系统还包括风险等级调整模块，用于使用威胁和脆弱性关联分析方法调整风险集中部分风险的等级。
本发明的有益效果是：
本发明在现有风险评估方法的基础上引入关联分析，考虑关联关系的存在对风险评估中资产分析、威胁分析、脆弱性分析和风险分析的影响，提供了一种新的基于关联分析的风险评估方法和系统，能够对信息系统的风险进行评估，确定风险控制的优先等级，进而为安全策略的制定和信息系统的安全运行提供支撑，以便对信息系统的风险实施有效控制。
附图说明
图1为本发明基于关联分析的风险评估方法示意图；
图2为基于关联分析的资产分析方法示意图。
具体实施方式
为使本发明的上述目的、特征和优点能够更加明显易懂，下面通过具体实施例和附图，对本发明做进一步详细说明。
首先使用基于关联分析的资产分析方法，采用基于属性和面向聚类的资产关联方法找到资产的关联资产集，并采用分级的方式依次对信息资产、应用系统、软件资产、硬件资产和人员资产进行分析，调用结合关联资产集的资产分析方法，确定资产的CIA三性和资产的重要性价值；其次使用基于关联分析的威胁分析方法对信息系统进行威胁分析，得到信息系统所面临的威胁；然后使用基于关联分析的脆弱性分析方法进行脆弱性分析，得到系统存在的脆弱性信息的集合；接着采用基于关联分析的风险分析方法进行风险分析，确定存在的风险和风险的等级；最后采用威胁和脆弱性关联分析方法调整其中某些风险的等级。
参考附图1和2，下面给出详细过程。
一、使用基于关联分析的资产分析方法进行资产分析，详细过程为：
首先使用自动探测和手工检查等方式采集系统中资产的信息；然后运用基于属性和面向聚类的资产关联方法，对资产进行聚类分析，找出资产的关联资产集；接着按照从低向上的方式，依次对信息资产、应用系统、软件资产、硬件资产和人员资产进行分析，调用结合关联资产集的资产分析方法，确定资产的CIA三性和资产的重要性价值。
第一步：采集资产的信息，资产的信息包括资产的基本信息，资产的价值评定信息，资产的其它信息。
1、资产的基本信息具体包括：
系统编号(用来唯一的标识资产所属的系统)
资产编号(用来唯一的标识该资产)
资产名称(用来标识该资产)
所有者(用来标识该资产的所有者)
管理员(用来标识该资产的管理人员)
手工检查人员(在风险分析中，用来标识对该资产进行手工检查的人员)
数量(该资产在系统中的数量)
IP地址(如果存在的话，为该资产的IP地址)
上述信息，都可以通过自动探测设备或者手工检查的形式获得并统一存储。
2、资产的价值评定信息是指不考虑资产关联的情况下获得的资产价值评定信息，可以通过按照系统既定的策略由系统默认指定，也可以由人工指定，具体为：
资产机密性价值(该资产机密性方面的价值的值，取值按照重要性程度从低到高分为五级)
资产机密性价值权重(该资产机密性价值在资产重要性价值中所占的比重，为不大于1的正数)
资产完整性价值(该资产完整性方面的价值的值，取值按照重要性程度从低到高分为五级)
资产完整性价值权重(该资产完整性价值在资产重要性价值中所占的比重，为不大于1的正数)
资产可用性价值(该资产可用性方面的价值的值，取值按照重要性程度从低到高分为五级)
资产可用性价值权重(该资产可用性价值在资产重要性价值中所占的比重，为不大于1的正数)
资产重要性价值(标识该资产重要性程度的值)
资产关键性(标识资产在系统中的关键性程度)
3、资产的其它信息主要包括资产分析的一些辅助信息，可能需要人工来界定
功能需求(资产分析中界定资产的功能)
性能需求(资产分析中界定资产的性能)
第二步：进行资产关联分析，找出资产的关联资产集。
首先提取被关联资产的关联属性，该关联属性可以由系统默认指定，或者人工指定；然后使用面向属性和基于聚类的资产关联方法，得到该资产的关联资产集。
面向属性和基于聚类的资产关联方法，首先用提取的关联属性查找资产集合，使用聚类的方式，找出符合此关联属性的与该资产关联的资产集。具体方法如下：首先提取要进行聚类分析的资产A的关联属性p，并设置资产A具有关联属性p的资产集合Ap为空；然后在预期存在关联关系的资产集合M中，查找具有关联属性p的资产Ma，并把查找到的资产加入到集合Ap中；重复上述过程直到没有新的资产可以加入到集合Ap中为止；最后得到的集合Ap就是资产A的具有关联属性p的资产集。
第三步：采用层次化的资产分析过程，确定资产的重要性价值。
把资产按照类别分为三级：信息资产、应用系统、软件资产为第一级，硬件资产为第二级，人员资产为第三级；按照等级从低到高的顺序，依次对各资产进行资产分析，确定资产的CIA三性和重要性价值，进而完成资产分析过程。对高等级的资产进行分析时，采用结合关联资产集的资产分析方法，考虑等级不高于它并且与其关联的资产的重要性价值，综合确定该资产的重要性价值。
首先对信息资产、应用系统和软件资产进行资产分析，确定资产的机密性价值、完整性价值和可用性价值，然后通过加权求和的方式得到资产的重要性价值。
然后对硬件资产进行资产分析，调用上面第二部分析得到的该资产的关联资产集，并且调用结合关联资产集的资产分析方法，先确定资产的机密性价值、完整性价值和可用性价值，进而通过加权求和得到该资产的重要性价值。
最后对人员资产进行资产分析，分析方法与上面对硬件资产进行分析的方法类似。
结合关联资产集的资产分析方法具体步骤如下：
1)计算资产M的机密性价值CVm
如果资产为M，其关联资产集N＝(N1，N2，…,Nn),则首先按照机密性价值的大小对资产从小到大进行分类得到(H1，H2，H3，H4，H5)，它们之中的资产数量分别为(h1，h2，h3，h4，h5)，其中h1+h2+h3+h4+h5＝n；然后运用关联资产价值大者优先原则，选出机密性价值最大的资产Nj，如果Nj属于集合H5即其机密性价值为系统允许的最大值5，则资产M的机密性价值为5；否则资产M的机密性价值为Min(5，round(l+W1*h1+W2*h2+W3*h3+W4*h4))，即先对值l+W1*h1+W2*h2+W3*h3+W4*h4进行四舍五入，然后取其与5之间的最小值。其中Wi(1<＝i<＝4，且i为正整数)为机密性等级为i的关联资产在最后资产机密性确定中所占的权重，且W1<＝W2<＝W3<＝W4，Wi的值可以由系统默认指定或者人工指定。
2)计算资产M的完整性价值IVm
3)计算资产M的可用性价值AVm
4)计算资产M的重要性价值OVm
资产M的重要性价值OVm由资产M的机密性价值CVm、完整性价值IVm和可用性价值AVm加权求和得到，其中机密价值性、完整性价值和可用性价值的权重可以由系统默认指定，或者人工指定。
二、使用基于关联分析的威胁分析进行威胁分析，详细过程如下：
第一步：确定资产自身的威胁集，按照上面资产分析的分类方式，确定信息资产、应用系统、软件资产、硬件资产和人员资产中每一个资产本身所面临的威胁集。
第二步：通过基于关联关系的威胁分析方法，确定硬件资产和人员资产面临的威胁基于关联关系的威胁分析方法具体如下：对于要进行威胁分析的资产M，首先采纳上面的基于关联分析的资产分析方法得到的资产M的关联资产集N＝(N1，N2，…,Nn)；资产M自身所面临的威胁集为T(M)；对于关联资产集N中的每一个关联资产Nj(1<＝j<＝n)，如果关联资产Nj所面临的威胁集为T(Nj)，则把威胁集T(Nj)中的所有威胁加入到威胁集T(M)中；最后所得的威胁集T(M)就是资产M所面临的全部威胁的集合。
三、使用基于关联分析的脆弱性分析方法进行脆弱性分析，详细步骤如下：
第一步：通过问卷调查、技术测试等方式，确定资产自身存在的脆弱性集，按照上面资产分析的分类方式，确定信息资产、应用系统、软件资产、硬件资产和人员资产中每一个资产自身所存在的脆弱性集。
第二步：通过基于关联关系的脆弱性分析方法，最终确定硬件资产和人员资产存在的脆弱性集合。
基于关联关系的脆弱性分析方法具体如下：对于要进行脆弱性分析的资产M，首先采纳上面的基于关联分析的资产分析方法得到的资产M的关联资产集N＝(N1，N2，…,Nn)；资产M自身所面临的脆弱性集为V(M)；对于关联资产集N中的每一个关联资产Nj(1<＝j<＝n)，如果关联资产Nj所面临的脆弱性集为V(Nj)，则把脆弱性集V(Nj)中的所有脆弱性加入到脆弱性集V(M)中；最后所得的脆弱性集V(M)就是资产M所面临的全部脆弱性的集合。
四、使用基于关联分析的风险分析方法进行风险分析，详细步骤如下：
第一步：确定资产自身存在的风险集合，按照上面资产分析的分类方式，确定信息资产、应用系统、软件资产、硬件资产和人员资产中每一个资产自身所存在的风险集合；设资产M的重要性价值为OVm，该资产面临的威胁集为T(M)，该资产存在的脆弱性集为V(M)，如果存在某威胁Tmi∈T(M)，且存在某脆弱性Vmi∈V(M)，且脆弱性Vmi可被威胁Tmi利用，则资产M存在安全风险，安全风险等级为OVm*Tmi*Vmi。
第二步：通过基于关联关系的风险分析方法，最终确定硬件资产和人员资产存在的风险集合。
基于关联关系的风险分析方法具体如下：对于要进行风险分析的资产M，首先采纳上面的基于关联分析的资产分析方法得到的资产M的关联资产集N＝(N1，N2，…,Nn)；资产M自身所面临的风险集为R(M)；对于关联资产集N中的每一个关联资产Nj(1<＝j<＝n)，如果关联资产Nj所面临的风险集为R(Nj)，则把风险集R(Nj)中的所有风险加入到风险集R(M)中；最后所得的风险集R(M)就是资产M所面临的全部风险的集合。
五、使用威胁和脆弱性关联分析方法进行分析，详细步骤如下：
采用上面资产分析的资产分类方式，依次对信息资产、应用系统、软件资产、硬件资产和人员资产所面临的风险进行分析，运用基于威胁和脆弱性关联分析的方法，调整其中部分风险的风险等级。
威胁和脆弱性关联分析方法具体如下：资产M，所面临的威胁集合为T(M)，所存在的脆弱性集合为V(M)，所面临的风险集合为R(M)；对于脆弱性集合V(M)的每一个脆弱性Vi，如果在威胁集合T(M)中存在针对该脆弱性的威胁Tj，则在风险集合R(M)中查找得到威胁Tj和脆弱性Vi相关的风险r；把风险r的风险等级调整为最高级；
本发明另一实施例提供一种基于关联分析的风险评估系统，其包括：
资产分析模块，负责使用基于关联分析的资产分析方法分析信息系统中的所有资产，确定资产的机密性价值、完整性价值、可用性价值，进而计算得到资产的重要性价值；
威胁分析模块，负责使用基于关联分析的威胁分析方法依次对信息资产、应用系统、软件资产、硬件资产和人员资产进行分析，得到资产面临的威胁集；
脆弱性分析模块，负责使用基于关联分析的脆弱性分析方法依次对信息资产、应用系统、软件资产、硬件资产和人员资产进行分析，得到各资产存在的脆弱性集；
风险分析模块，负责根据资产的重要性价值、资产面临的威胁集、资产存在的脆弱性集，使用基于关联分析的风险分析方法依次对信息资产、应用系统、软件资产、硬件资产和人员资产进行分析，得到资产面临的风险集。
进一步地，上述系统还可包括风险等级调整模块，用于使用威胁和脆弱性关联分析方法调整风险集中部分风险的等级。
上述各模块的具体实现过程参见前文对本发明方法的各步骤的说明。
尽管为说明目的公开了本发明的具体实施例和附图，其目的在于帮助理解本发明的内容并据以实施，但是本领域的技术人员可以理解：在不脱离本发明及所附的权利要求的精神和范围内，各种替换、变化和修改都是可能的。因此，本发明不应局限于最佳实施例和附图所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。
Claims (9)
1.一种基于关联分析的风险评估方法，其特征在于，包括以下步骤：
1)使用基于关联分析的资产分析方法分析信息系统中的所有资产，确定资产的机密性价值、完整性价值、可用性价值，进而计算得到资产的重要性价值；
2)使用基于关联分析的威胁分析方法对信息系统中的资产进行分析，得到资产面临的威胁集；
3)使用基于关联分析的脆弱性分析方法对信息系统中的资产进行分析，得到资产存在的脆弱性集；
4)根据资产的重要性价值、资产面临的威胁集、资产存在的脆弱性集，使用基于关联分析的风险分析方法对信息系统中的资产进行分析，得到资产面临的风险集；
其中，步骤1)使用基于属性和面向聚类的资产关联方法找到资产的关联资产集；然后，步骤1)采用结合关联资产集的资产分析方法进行资产分析，依次确定资产的机密性价值、完整性价值和可用性价值，然后再根据机密性价值、完整性价值和可用性价值的权重，加权求和得到资产的重要性价值；
其中，基于属性和面向聚类的资产关联方法的步骤包括：首先提取要进行聚类分析的资产A的关联属性p，并设置资产A具有关联属性p的资产集合Ap为空；然后在预期存在关联关系的资产集合M中，查找具有关联属性p的资产Ma，并把查找到的资产加入到集合Ap中；重复上述过程直到没有新的资产可以加入到集合Ap中为止；最后得到的集合Ap就是资产A的具有关联属性p的资产集；
其中，步骤4)所述基于关联分析的风险分析方法，包括：
初始时资产的风险集为自身所面临的风险的集合，即确定信息资产、应用系统、软件资产、硬件资产和人员资产中每一个资产自身所存在的风险集合；设资产M的重要性价值为OVm，该资产面临的威胁集为T(M)，该资产存在的脆弱性集为V(M)，如果存在某威胁Tmi∈T(M)，且存在某脆弱性Vmi∈V(M)，且脆弱性Vmi可被威胁Tmi利用，则资产M存在安全风险，安全风险等级为OVm*Tmi*Vmi；
如果某资产存在关联资产集，则把其关联资产集中每个资产的风险集中的风险加入到该资产的风险集中，最后所得的风险集就是该资产面临的风险集。
2.如权利要求1所述的基于关联分析的风险评估方法，其特征在于：步骤1)将信息系统中的资产分为信息资产、应用系统、软件资产、硬件资产和人员资产，并对资产进行分级，把信息资产、应用系统、软件资产为第一级，硬件资产为第二级，人员资产为第三级；依次对信息资产、应用系统、软件资产、硬件资产和人员资产进行分析。
3.如权利要求1所述的基于关联分析的风险评估方法，其特征在于：步骤1)将资产的信息分为资产的基本信息，资产的价值评定信息和资产的其它信息；资产的基本信息包括下列中的一种或多种：系统编号、资产编号、资产名称、所有者、管理员、手工检查人员、数量、IP地址；资产的价值评定信息包括下列中的一种或多种：资产完整性价值、完整性价值权重、资产机密性价值、机密性价值权重、资产可用性价值、可用性价值权重、资产重要性价值；资产的其它信息包括下列中的一种或多种：功能需求、性能需求、备注信息。
4.如权利要求1所述的基于关联分析的风险评估方法，其特征在于：所述结合关联资产集的资产分析方法包括“关联资产价值大者优先”和“关联资产数量多者为大”两大原则；关联资产价值大者优先原则，即在计算资产价值时，以该资产的关联资产集中价值最大的资产的价值为该资产价值的计算基础，最后所得的该资产价值不小于这一最大的资产价值的值；关联资产数量多者为大原则，即对于同一个资产而讲，在其他条件同等的情况下，其关联资产集中关联资产的数量越多，该资产的价值越大。
5.如权利要求1所述的基于关联分析的风险评估方法，其特征在于：步骤2)依次对信息资产、应用系统、软件资产、硬件资产和人员资产进行分析进行威胁分析，所述基于关联分析的威胁分析方法，包括：
初始时资产的威胁集为自身所面临的威胁的集合，如果该资产存在关联资产集，则把其关联资产集中每个资产的威胁集中的威胁加入到该资产的威胁集中，最后所得的威胁集就是该资产的威胁集。
6.如权利要求1所述的基于关联分析的风险评估方法，其特征在于：步骤3)依次对信息资产、应用系统、软件资产、硬件资产和人员资产进行脆弱性分析，所述基于关联分析的脆弱性分析方法，包括：
初始时资产的脆弱性集为自身所存在的脆弱性的集合，如果该资产存在关联资产集，则把其关联资产集中每个资产的脆弱性集中的脆弱性加入到该资产的脆弱性集中，最后所得的脆弱性集就是该资产存在的脆弱性集。
7.如权利要求1所述的基于关联分析的风险评估方法，其特征在于，还包括使用威胁和脆弱性关联分析方法调整风险集中部分风险的等级的步骤；所述威胁和脆弱性关联分析方法，依次对信息资产、应用系统、软件资产、硬件资产和人员资产进行分析，包括：
对于资产脆弱性集中的每一个脆弱性，如果其威胁集中存在针对该脆弱性的威胁，则在其风险集中查找与该脆弱性和威胁相关的风险，把查找到的风险的风险等级调整为最高级。
8.一种采用权利要求1～7中任一权利要求所述方法的基于关联分析的风险评估系统，其特征在于，包括：
资产分析模块，负责使用基于关联分析的资产分析方法分析信息系统中的所有资产，确定资产的机密性价值、完整性价值、可用性价值，进而计算得到资产的重要性价值；
威胁分析模块，负责使用基于关联分析的威胁分析方法对信息系统中的资产进行分析，得到资产面临的威胁集；
脆弱性分析模块，负责使用基于关联分析的脆弱性分析方法对信息系统中的资产进行分析，得到各资产存在的脆弱性集；
风险分析模块，负责根据资产的重要性价值、资产面临的威胁集、资产存在的脆弱性集，使用基于关联分析的风险分析方法对信息系统中的资产进行分析，得到资产面临的风险集。
9.如权利要求8所述的基于关联分析的风险评估系统，其特征在于，还包括风险等级调整模块，用于使用威胁和脆弱性关联分析方法调整风险集中部分风险的等级。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910172197.XA CN110401625B (zh) | 2019-03-07 | 2019-03-07 | 基于关联分析的风险评估方法和系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910172197.XA CN110401625B (zh) | 2019-03-07 | 2019-03-07 | 基于关联分析的风险评估方法和系统 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN110401625A CN110401625A (zh) | 2019-11-01 |
| CN110401625B true CN110401625B (zh) | 2020-12-15 |
Family
ID=68322457
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201910172197.XA Active CN110401625B (zh) | 2019-03-07 | 2019-03-07 | 基于关联分析的风险评估方法和系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN110401625B (zh) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114707599A (zh) * | 2022-04-01 | 2022-07-05 | 北京国信网联科技有限公司 | 一种用于信息资产可视化管理方法库的智能分类分级系统 |
| CN115983645B (zh) * | 2023-01-16 | 2023-08-04 | 浙江御安信息技术有限公司 | 一种基于企业数字轨迹的数字资产风险评估方法 |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107623697A (zh) * | 2017-10-11 | 2018-01-23 | 北京邮电大学 | 一种基于攻防随机博弈模型的网络安全态势评估方法 |
| CN108494787A (zh) * | 2018-03-29 | 2018-09-04 | 北京理工大学 | 一种基于资产关联图的网络风险评估方法 |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| SG115533A1 (en) * | 2003-04-01 | 2005-10-28 | Maximus Consulting Pte Ltd | Risk control system |
| US8577809B2 (en) * | 2011-06-30 | 2013-11-05 | Qualcomm Incorporated | Method and apparatus for determining and utilizing value of digital assets |
| US10789367B2 (en) * | 2014-04-18 | 2020-09-29 | Micro Focus Llc | Pre-cognitive security information and event management |
| CN106101098B (zh) * | 2016-06-13 | 2019-07-02 | 金邦达有限公司 | 一种信息资产识别方法及装置 |
| CN107819771B (zh) * | 2017-11-16 | 2020-03-20 | 国网湖南省电力有限公司 | 一种基于资产依赖关系的信息安全风险评估方法及系统 |
-
2019
- 2019-03-07 CN CN201910172197.XA patent/CN110401625B/zh active Active
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107623697A (zh) * | 2017-10-11 | 2018-01-23 | 北京邮电大学 | 一种基于攻防随机博弈模型的网络安全态势评估方法 |
| CN108494787A (zh) * | 2018-03-29 | 2018-09-04 | 北京理工大学 | 一种基于资产关联图的网络风险评估方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN110401625A (zh) | 2019-11-01 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN107204876B (zh) | 一种网络安全风险评估方法 | |
| Ektefa et al. | Intrusion detection using data mining techniques | |
| Paulauskas et al. | Analysis of data pre-processing influence on intrusion detection using NSL-KDD dataset | |
| KR100980117B1 (ko) | 내부정보 유출위협 분석방법 | |
| Kanimozhi et al. | UNSW-NB15 dataset feature selection and network intrusion detection using deep learning | |
| TW201629824A (zh) | 使用適應性行爲輪廓之異常檢測技術 | |
| CN105009132A (zh) | 基于置信因子的事件关联 | |
| CN103782303A (zh) | 对于恶意过程的基于非签名的检测的系统和方法 | |
| CN102236758A (zh) | 基于安全知识库的安全需求获取方法 | |
| CN110401625B (zh) | 基于关联分析的风险评估方法和系统 | |
| KR20070061009A (ko) | 보안 위험 관리 시스템 및 방법 | |
| CN107846389B (zh) | 基于用户主客观数据融合的内部威胁检测方法及系统 | |
| Kistijantoro | Vitality based feature selection for intrusion detection | |
| CN113468542A (zh) | 一种暴露面资产风险评估方法、装置、设备及介质 | |
| CN109344042A (zh) | 异常操作行为的识别方法、装置、设备及介质 | |
| Chaurasia et al. | A survey on terrorist network mining: current trends and opportunities | |
| CN115329338A (zh) | 基于云计算服务的信息安全风险分析方法及分析系统 | |
| CN110011976B (zh) | 一种网络攻击破坏能力量化评估方法及系统 | |
| CN112287345B (zh) | 基于智能风险检测的可信边缘计算系统 | |
| CN106897880B (zh) | 一种账号风险评估方法和设备 | |
| Goswami et al. | Phishing detection using significant feature selection | |
| Chang et al. | Mining the networks of telecommunication fraud groups using social network analysis | |
| Patil et al. | A comparative performance evaluation of machine learning-based NIDS on benchmark datasets | |
| CN110995465B (zh) | 信通点位全景视图信息运维方法及系统 | |
| CN107623677A (zh) | 数据安全性的确定方法和装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |