CN112989353A - 一种区域安全评分方法及装置 - Google Patents

Abstract

本说明书提供一种区域安全评分方法及装置，涉及通信技术领域。一种区域安全评分方法，包括：获取安全设备所生成的安全日志，根据配置的基础分析规则集对安全日志进行匹配；根据匹配结果，对区域中的每台设备的安全状态进行标记；根据深度分析模型对匹配结果进行分析；根据分析结果更新设备的安全状态；基于区域与设备的对应关系，确定区域的安全评分。通过上述方法，可以进一步提升网络的安全性。

Description

一种区域安全评分方法及装置

技术领域

本说明书涉及通信技术领域，尤其涉及一种区域安全评分方法及装置。

背景技术

随着互联网的普及，人们的生活和工作都对互联网有着极大的依赖。伴 随着上网人数的增多，极大的干扰和影响了人们对互联网的使用。

在当前的安全防护中，服务器会收集网络中的网络设备所记录的安全日 志，并根据安全日志对一个网络范围中的主机进行安全状态的标记，从而能 够使得工作人员能够获知哪些主机处于何种安全状态。由于当前的服务器在 进行安全状态的标记时，都是通过网络设备所记录的安全日志内所记录的内 容进行标记，无法对更复杂的安全事件作出判断，网络安全性较低。

发明内容

为克服相关技术中存在的问题，本说明书提供了一种区域安全评分方法 及装置。

根据本说明书实施方式的第一方面，提供了一种区域安全评分方法，包 括：

获取安全设备所生成的安全日志，根据配置的基础分析规则集对安全日志 进行匹配；

根据匹配结果，对区域中的每台设备的安全状态进行标记；

根据深度分析模型对匹配结果进行分析；

根据分析结果更新设备的安全状态；

基于区域与设备的对应关系，确定区域的安全评分。

可选的，该方法，还包括：

获取流量分析设备所记录的流量行为；

根据深度分析模型对匹配结果进行分析，具体为根据深度分析模型对匹配 结果和流量行为进行分析。

进一步的，根据匹配结果，对区域中的每台设备的安全状态进行标记，包 括：

根据匹配结果，确定区域中每台设备的至少一个基础分析规则；

针对一台设备，将至少一个基础分析规则中所对应的危险度最高的安全状 态作为该设备的安全状态。

进一步的，基于区域与设备的对应关系，确定区域的安全评分，包括：

基于区域与设备的对应关系，确定区域内所包含的设备；

根据第一公式确定一台设备的安全分值，其中，第一公式为：S＝R×P+M× Q，R为该设备根据基础分析规则集所确定的安全状态的风险等级，M为该设备 根据深度分析模型所确定的安全状态的风险等级，P和Q为根据基础分析规则 集所确定的安全状态和根据深度分析模型所确定的安全状态的权重值；

根据区域中每台设备的安全分值确定区域的安全评分。

可选的，在确定区域的安全评分之后，还包括：

当安全评分超出预设范围时，进行告警。

根据本说明书实施方式的第二方面，提供了一种区域安全评分装置，包括：

获取单元，用于获取安全设备所生成的安全日志；

匹配单元，用于根据配置的基础分析规则集对安全日志进行匹配；

标记单元，用于根据匹配结果，对区域中的每台设备的安全状态进行标记；

分析单元，用于根据深度分析模型对匹配结果进行分析；

更新单元，用于根据分析结果更新设备的安全状态；

评分单元，用于基于区域与设备的对应关系，确定区域的安全评分。

可选的，该装置，还包括：

获取单元，还用于获取流量分析设备所记录的流量行为；

分析单元，具体用于根据深度分析模型对匹配结果和流量行为进行分析。

进一步的，标记单元，还包括：

确定模块，用于根据匹配结果，确定区域中每台设备的至少一个基础分析 规则；

标记模块，用于针对一台设备，将至少一个基础分析规则中所对应的危险 度最高的安全状态作为该设备的安全状态。

进一步的，评分单元，包括：

区域模块，用于基于区域与设备的对应关系，确定区域内所包含的设备；

计算模块，用于根据第一公式确定一台设备的安全分值，其中，第一公式 为：S＝R×P+M×Q，R为该设备根据基础分析规则集所确定的安全状态的风险 等级，M为该设备根据深度分析模型所确定的安全状态的风险等级，P和Q为 根据基础分析规则集所确定的安全状态和根据深度分析模型所确定的安全状态 的权重值；

评分模块，用于根据区域中每台设备的安全分值确定区域的安全评分。

可选的，还包括：

告警单元，用于当安全评分超出预设范围时，进行告警。

本说明书的实施方式提供的技术方案可以包括以下有益效果：

本说明书实施方式中，在通过基础分析规则集对安全日志进行匹配后， 通过深度分析模型对匹配结果进行深度分析以确定更复杂的安全事件，并对 根据基础分析规则集所确定的安全状态进行更新，进而确定所设置的区域的 安全评分，从而使得安全状态更加准确地反馈当前网络的安全状态，提升网 络的安全性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性 的，并不能限制本说明书。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本说明 书的实施方式，并与说明书一起用于解释本说明书的原理。

图1是本申请所涉及的一种区域安全评分方法所应用的网络系统的示意图；

图2是本申请所涉及的一种区域安全评分方法的流程图；

图3是本申请所涉及的一种区域安全评分装置的结构示意图。

具体实施方式

这里将详细地对示例性实施方式进行说明，其示例表示在附图中。下面的 描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要 素。以下示例性实施方式中所描述的实施方式并不代表与本说明书相一致的所 有实施方式。

在常见的网络系统中，如图1所示，可以包括主机、网络设备、安全设备、 流量分析设备和服务器。其中，主机可以是个人电脑和移动终端等；网络设备 用于数据交换，并生成网络系统出所出现的安全事件，可以为路由器和交换机 等；安全设备用于收集网络设备发送的安全日志并存储，可以为防火墙等；流 量分析设备用于探测主机所发送的流量类别；服务器用于从安全设备处获取安 全日志，也可以从流量分析设备处获取主机所发送的流量类别。

本申请提供了一种区域安全评分方法，如图2所示，包括：

S100、获取安全设备所生成的安全日志，根据配置的基础分析规则集对安 全日志进行匹配。

在网络运行过程中，网络设备持续检测网络系统中所出现的安全事件，并 根据该安全事件生成安全日志，服务器持续收集网络设备所生成的安全日志。

在服务器中，配置有包括若干基础分析规则的基础分析规则集，通过基础 分析规则匹配安全日志中所包含的特征。比如，安全日志1匹配基础分析规则1， 那么根据安全日志1中所记录的主机名和主机地址(IP地址或MAC地址)等信 息，可以为主机1附加风险标签1，该风险标签1对应的风险等级为低危。

其中，风险标签可以为漏洞攻击、恶意文件、数据库注入、内存溢出和风 险访问等等，以不同的标识进行标记，此处是根据基础分析规则中所配置的内 容为依据，可以由工作人员进行设置，对此不做限制。

S101、根据匹配结果，对区域中的每台设备的安全状态进行标记。

需要说明的是，这里所说的设备指主机，该区域在服务器中进行了配置， 比如，可以按照省、市和区县的等级进行划分，区县之间、市之间和省之间属 于同一等级，在一个等级中设置有对应的主机、网络设备和安全设备的标识， 比如，主机名、设备名以及对应的地址(如IP地址和MAC地址)。这样一来， 就可以确定出所选定的区域中包含有哪些设备。

步骤S101，具体包括：

S101A、根据匹配结果，确定区域中每台设备的至少一个基础分析规则；

S101B、针对一台设备，将至少一个基础分析规则中危险度最高的安全状态 作为该设备的安全状态。

在根据基础分析规则集对安全日志进行匹配时，一个安全日志可能会匹配 到多个基础分析规则，相对应的，针对一台设备，在匹配结果中可以包含有多 个风险标签和对应的风险等级。此时，将会以危险度最高的安全状态作为该设 备的安全状态进行记录。

举例来说，根据安全日志2中的字段能够匹配到基础分析规则集中的基础 分析规则2和基础分析规则3。此时，安全日志2所对应的主机2可能被记录有 两个风险标签，即，风险标签2和风险标签3，其中风险标签2对应的风险等级 为低危，风险标签3对应的风险等级为高危。此时，对于主机2将以高危作为 其安全状态。在服务器中，可以以表格的形式记录设备、风险标签和风险等级 的对应关系，对于记录的方式不做限制。此时所记录的风险等级为基于基础分 析规则集所匹配到的风险等级。

此时，如果安全日志为匹配到对应的基础分析规则，该安全日志则不会被 标记和处理。

S102、根据深度分析模型对匹配结果进行分析。

S103、根据分析结果更新设备的安全状态。

在服务器中还预先配置有深度分析模型，基于深度分析模型进一步地对每 台设备所存在的风险进行分析。比如，在主机2匹配到风险标签2和风险标签3 时，基于基础分析规则集可以确定该主机2的安全状态处于高危，此时，在深 度分析模型中，可以确定对同时具有风险标签2和风险标签3的设备进行进一 步的分析。比如，基于深度分析模块，可以确定主机进行了分布式拒绝服务攻 击、散播勒索病毒等等。

这样一来，便可以在一台设备分别具有了多种风险标签的情况下，进一步 确定这些风险标签是否表示该设备进行了危险度更高的操作，从而使得服务器 可以更新一台设备的安全状态。比如基于主机2所具有的风险标签2、3可以确 定该主机已经进行了分布式拒绝服务攻击，风险等级为失陷，相对于主机2原 有的风险等级(高危)更高。此时，可以根据深度分析模块，将主机2的风险 等级更新为失陷，从而更准确地确定该网络中的设备所存在的风险，提升了网 络的安全性。

根据深度分析模型所确定的安全状态进行更新时，可以在上述的表格中分 别记录基础分析规则集所确定的安全状态以及根据深度分析模型所确定分析状 态。当然，也可以是根据基础分析规则集和深度分析模型确定一个危险度最高 的风险等级进行记录。

S104、基于区域与设备的对应关系，确定区域的安全评分。

具体的，在执行步骤S104时，包括：

S104A、基于区域与设备的对应关系，确定区域内所包含的设备。

服务器根据预设的区域以及与设备的对应关系，可以在确定中每一个区域 以及该区域内所包含的设备。此处的对应关系，即可以为上述提到的区域与设 备的名称、地址之间的对应关系。

比如，针对区域1对应有主机1和主机2，因此，根据对应关系则可以确定 区域1中所包含的设备。

S104B、根据第一公式确定一台设备的安全分值。

其中，第一公式为：S＝R×P+M×Q，R为该设备根据基础分析规则集所确 定的安全状态的风险等级，M为该设备根据深度分析模型所确定的安全状态的 风险等级，P和Q为根据基础分析规则集所确定的安全状态和根据深度分析模 型所确定的安全状态的权重值。

需要说明的是，为了方便计算风险等级为一量化值，比如，风险等级为低 危时对应的量化值为1，风险等级为高危时对应的量化值为2，风险等级为失陷 时对应的量化值为为4。

并且，P和Q可以根据实际的情况进行配置，比如可以设置基础分析规则 集所确定的风险等级所占的比例为40％，深度分析模型所确定的风险等级所占 的比例为60％。

S104C、根据区域中每台设备的安全分值确定区域的安全评分。

在确定出区域中每台设备的安全分值后，可以进而确定该区域整体的安全 评分。该安全评分可以根据具体的情况进行设置。比如，可以是每台设备的安 全分值的叠加，每台设备的安全分值的均值等等。

通过网路中每一个区域的安全评分，可以确定该区域的安全性，从而可以 使得工作人员更准确地确定在一个特定区域内的安全性是否满足要求，当无法 满足时，则可以通过人工干预的方式去改进该区域内的网络安全策略，以改善 当前的网络安全性。

当然，需要说明的是，安全分值的计算方式，各风险等级所占的比例以及 安全评分所采用的公式不限于上述提到的，可以根据实际需求进行设置。

本说明书实施方式中，在通过基础分析规则集对安全日志进行匹配后， 通过深度分析模型对匹配结果进行深度分析以确定更复杂的安全事件，并对 根据基础分析规则集所确定的安全状态进行更新，进而确定所设置的区域的 安全评分，从而使得安全状态更加准确地反馈当前网络的安全状态，提升网 络的安全性。

在步骤S102进行深度分析的过程中，可选的，该方法，还包括：

S105、获取流量分析设备所记录的流量行为。

S106、根据深度分析模型对匹配结果进行分析，具体为根据深度分析模型 对匹配结果和流量行为进行分析。

针对深度分析模型，除了可以参考安全日志外，还可以通过流量分析设备 来获取一台设备的流量行为，比如，视频流量、文件传输和音频流量等等。

通过流量行为和基础分析规则集的匹配结果进一步地可以对主机进行深度 分析，从而使深度分析的分析结果更加全面可靠，安全性更高。

可选的，在步骤S104确定区域的安全评分之后，还包括：

S107、当安全评分超出预设范围时，进行告警。

在服务器中还可以设置针对安全评分的分值范围，当该安全评分超出预设 的范围时，则表明一个区域中已经超出了预设的风险范围，需要工作人员对该 区域中的进行改进，比如在安全设备中增加对应的安全策略等来过滤对应的风 险流量，或防止对应的攻击，从而使得网络更具安全性。

相对应的，本申请还提供了一种区域安全评分装置，如图3所示，包括：

获取单元，用于获取安全设备所生成的安全日志；

匹配单元，用于根据配置的基础分析规则集对安全日志进行匹配；

标记单元，用于根据匹配结果，对区域中的每台设备的安全状态进行标记；

分析单元，用于根据深度分析模型对匹配结果进行分析；

更新单元，用于根据分析结果更新设备的安全状态；

评分单元，用于基于区域与设备的对应关系，确定区域的安全评分。

可选的，该装置，还包括：

获取单元，还用于获取流量分析设备所记录的流量行为；

分析单元，具体用于根据深度分析模型对匹配结果和流量行为进行分析。

进一步的，标记单元，还包括：

确定模块，用于根据匹配结果，确定区域中每台设备的至少一个安全状态；

标记模块，用于针对一台设备，将至少一个安全状态中危险度最高的安全 状态作为该设备的安全状态。

进一步的，评分单元，包括：

区域模块，用于基于区域与设备的对应关系，确定区域内所包含的设备；

计算模块，用于根据第一公式确定一台设备的安全分值，其中，第一公式 为：S＝R×P+M×Q，R为该设备根据基础分析规则集所确定的安全状态的风险 等级，M为该设备根据深度分析模型所确定的安全状态的风险等级，P和Q为 根据基础分析规则集所确定的安全状态和根据深度分析模型所确定的安全状态 的权重值；

评分模块，用于根据区域中每台设备的安全分值确定区域的安全评分。

可选的，还包括：

告警单元，用于当安全评分超出预设范围时，进行告警。

应当理解的是，本说明书并不局限于上面已经描述并在附图中示出的精 确结构，并且可以在不脱离其范围进行各种修改和改变。

以上所述仅为本说明书的较佳实施方式而已，并不用以限制本说明书， 凡在本说明书的精神和原则之内，所做的任何修改、等同替换、改进等，均 应包含在本说明书保护的范围之内。

Claims (10)

1.一种区域安全评分方法，其特征在于，包括：

获取安全设备所生成的安全日志，根据配置的基础分析规则集对所述安全日志进行匹配；

根据所述匹配结果，对区域中的每台设备的安全状态进行标记；

根据深度分析模型对所述匹配结果进行分析；

根据分析结果更新所述设备的安全状态；

基于所述区域与所述设备的对应关系，确定所述区域的安全评分。

2.根据权利要求1所述的方法，其特征在于，还包括：

获取流量分析设备所记录的流量行为；

所述根据深度分析模型对所述匹配结果进行分析，具体为根据深度分析模型对所述匹配结果和所述流量行为进行分析。

3.根据权利要求1所述的方法，其特征在于，所述根据所述匹配结果，对区域中的每台设备的安全状态进行标记，包括：

根据所述匹配结果，确定所述区域中每台设备的至少一个基础分析规则；

针对一台设备，将所述至少一个基础分析规则中所对应的危险度最高的安全状态作为该设备的安全状态。

4.根据权利要求1所述的方法，其特征在于，所述基于所述区域与所述设备的对应关系，确定所述区域的安全评分，包括：

基于所述区域与所述设备的对应关系，确定所述区域内所包含的设备；

根据第一公式确定一台设备的安全分值，其中，所述第一公式为：S＝R×P+M×Q，R为该设备根据基础分析规则集所确定的安全状态的风险等级，M为该设备根据深度分析模型所确定的安全状态的风险等级，P和Q为根据基础分析规则集所确定的安全状态和根据深度分析模型所确定的安全状态的权重值；

根据所述区域中每台设备的安全分值确定所述区域的安全评分。

5.根据权利要求1所述的方法，其特征在于，在所述确定所述区域的安全评分之后，还包括：

当所述安全评分超出预设范围时，进行告警。

6.一种区域安全评分装置，其特征在于，包括：

获取单元，用于获取安全设备所生成的安全日志；

匹配单元，用于根据配置的基础分析规则集对所述安全日志进行匹配；

标记单元，用于根据所述匹配结果，对区域中的每台设备的安全状态进行标记；

分析单元，用于根据深度分析模型对所述匹配结果进行分析；

更新单元，用于根据分析结果更新所述设备的安全状态；

评分单元，用于基于所述区域与所述设备的对应关系，确定所述区域的安全评分。

7.根据权利要求6所述的装置，其特征在于，还包括：

所述获取单元，还用于获取流量分析设备所记录的流量行为；

所述分析单元，具体用于根据深度分析模型对所述匹配结果和所述流量行为进行分析。

8.根据权利要求6所述的装置，其特征在于，所述标记单元，还包括：

确定模块，用于根据所述匹配结果，确定所述区域中每台设备的至少一个基础分析规则；

标记模块，用于针对一台设备，将所述至少一个基础分析规则中所对应的危险度最高的安全状态作为该设备的安全状态。

9.根据权利要求6所述的装置，其特征在于，所述评分单元，包括：

区域模块，用于基于所述区域与所述设备的对应关系，确定所述区域内所包含的设备；

计算模块，用于根据第一公式确定一台设备的安全分值，其中，所述第一公式为：S＝R×P+M×Q，R为该设备根据基础分析规则集所确定的安全状态的风险等级，M为该设备根据深度分析模型所确定的安全状态的风险等级，P和Q为根据基础分析规则集所确定的安全状态和根据深度分析模型所确定的安全状态的权重值；

评分模块，用于根据所述区域中每台设备的安全分值确定所述区域的安全评分。

10.根据权利要求6所述的装置，其特征在于，还包括：

告警单元，用于当所述安全评分超出预设范围时，进行告警。

Images