CN113326514B - 网络资产的风险评估方法、装置、交换机、设备及服务器 - Google Patents

Abstract

本申请实施例提供了一种网络资产的风险评估方法、装置、交换机、设备及服务器，涉及网络安全技术领域。该方法包括：根据预先建立的安全数据库对获取到的网络资产集合进行扫描，获得网络资产信息集合的初始资产信息，并将初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息；再根据网络资产集合的目标资产信息，确定网络资产信息集合中任意一个网络资产的风险评分；根据所述风险评分，确定网络资产集合的安全状态，提高了网络资产识别扫描的准确性，得到的资产信息更加全面而准确，也能够高效准确的确定网络资产存在的风险威胁，也能够更加直观明确的确定网络资产的健康状态。

Description

网络资产的风险评估方法、装置、交换机、设备及服务器

技术领域

本申请涉及网络安全技术领域，具体而言，本申请涉及一种网络资产的风险评估方法、装置、交换机、设备及服务器。

背景技术

网络资产主要是指计算机或通讯网络中使用的各种设备，在当前网络环境中，会出现利用恶意软件、漏洞、病毒等攻击手段，达到危害者的目的，对网络资产使用单位和用户产生较大危害。

现有技术中探测网络资产和检测漏洞主要采用主动扫描的方式，例如采用Nmap（Network Mapper，网络映射器）网络安全审计工具或漏洞扫描系统，获取网络资产信息以及漏洞，并进行人工判断以及修复漏洞后录入系统。

这种方式需要人工进行判断确认，浪费了大量资源，并且仅能检测到网络资产对外开放的威胁，无法检测出例如网络资产内部安装了哪些应用以及是否感染病毒等来自网络资产内部的威胁。

发明内容

本申请实施例提供一种克服上述问题或者至少部分地解决上述问题的网络资产的风险评估方法、装置、交换机、设备及服务器。

第一方面，提供了一种网络资产的风险评估方法，该方法包括：

获取待扫描的网络资产集合，根据预先构建的安全数据库对网络资产集合进行扫描，或者采用网络设备SNMP服务及主机系统主动安装Agent方式，获得网络资产集合的初始资产信息；

根据网络资产集合的初始资产信息，将网络资产集合中初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息；

根据网络资产集合的目标资产信息，确定网络资产集合中任意一个网络资产的风险评分；

根据风险评分，确定网络资产集合的健康状态；

初始资产信息包括资产IP、系统类型、系统版本、端口、服务、应用、漏洞、病毒、CPU利用率、内存利用率、磁盘利用率以及网络带宽中的一种或多种。

在一个可能的实现方式中，安全数据库包括资产指纹库、漏洞特征库以及病毒特征库；

根据预先构建的安全数据库对网络资产集合进行扫描，或者采用网络设备SNMP服务及主机系统主动安装Agent方式，获得网络资产集合的初始资产信息，包括：

根据资产指纹库，确定网络资产集合的初始资产信息中的资产IP、系统类型、系统版本、端口、服务以及应用；采用网络设备SNMP服务及主机系统主动安装Agent方式，获得网络资产的CPU利用率、内存利用率、磁盘利用率以及网络带宽；

根据漏洞特征库，确定网络资产集合的初始资产信息中的漏洞；

根据病毒特征库，确定网络资产集合的初始资产信息中的病毒。

在另一个可能的实现方式中，根据网络资产集合的初始资产信息，将网络资产集合中初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息，包括：

根据网络资产集合的初始资产信息，确定网络资产集合中任意一个网络资产的资产IP；

将资产IP相同的网络资产的资产信息合并，获得网络资产集合的目标资产信息。

在又一个可能的实现方式中，方法还包括：

将资产IP不同，但CPU利用率、内存利用率、磁盘利用率、资产类别、系统版本、端口、服务、漏洞类型均相同的网络资产的资产信息合并，获得网络资产集合的目标资产信息。

在又一个可能的实现方式中，网络资产集合包括主机类资产以及网络设备类资产；

根据网络资产集合的目标资产信息，确定网络资产集合中任意一个网络资产的风险评分，包括：

若网络资产为主机类资产，则根据网络资产的漏洞个数，漏洞的危害程度、病毒的个数、病毒的危害程度、CPU利用率、内存利用率以及磁盘利用率，确定网络资产的风险评分。

在又一个可能的实现方式中，方法还包括：

若网络资产为网络设备类资产，则根据网络资产的漏洞个数，漏洞的危害程度、CPU利用率、内存利用率以及磁盘利用率，确定网络资产的风险评分。

第二方面，提供了一种网络资产的风险评估装置，包括：

获取模块，用于获取待扫描的网络资产集合，根据预先构建的安全数据库对网络资产集合进行扫描，或者采用网络设备SNMP服务及主机系统主动安装Agent方式，获得网络资产集合的初始资产信息；

去重模块，用于根据网络资产集合的初始资产信息，将网络资产集合中初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息；

评估模块，用于根据网络资产集合的目标资产信息，确定网络资产集合中任意一个网络资产的风险评分；

健康模块，用于根据风险评分，确定网络资产集合的健康状态；

资产信息包括资产IP、系统类型、系统版本、端口、服务、应用、漏洞、病毒、CPU利用率、内存利用率、磁盘利用率以及网络带宽中的一种或多种。

第三方面，本申请实施例提供了一种存储设备，其上存储有计算机程序，计算机程序被处理器执行时实现如第一方面所提供的方法的步骤。

第四方面，本申请实施例提供了一种安全设备，该安全设备包括：

一个或多个处理器；

存储器；

一个或多个应用程序，其中一个或多个应用程序被存储在存储器中并被配置为由一个或多个处理器执行，一个或多个应用程序配置用于：实现如第一方面所提供的方法的步骤。

第五方面，本申请实施例提供了一种交换机，交换机用于实现如第一方面所提供的方法的步骤。

第六方面，本申请实施例提供了一种路由器，路由器用于实现如第一方面所提供的方法的步骤。

第七方面，本申请实施例提供了一种服务器，包括：

存储器，用于存储计算机程序；

处理器，用于实现如第一方面所提供的方法的步骤。

本申请实施例提供的网络资产的风险评估方法、装置、交换机、设备及服务器，通过根据预先建立的安全数据库对获取到的网络资产集合进行扫描，获得网络资产信息集合的初始资产信息，并将初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息，避免了网络资产收集不全，且耗费资源过多的问题，也提高了网络资产识别扫描的准确性，得到的资产信息更加全面而准确。再根据网络资产集合的目标资产信息，确定网络资产信息集合中任意一个网络资产的风险评分，从漏洞、病毒以及资源使用率三个维度进行评价，然后确定整个网络资产信息集合的健康状态，能够高效准确的确定网络资产存在的风险威胁，也能够更加直观明确的确定网络资产的健康状态。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对本申请实施例描述中所需要使用的附图作简单地介绍。

图1为本申请实施例提供的一种网络系统架构图；

图2为本申请实施例提供的一种网络资产的风险评估方法的流程图；

图3为本申请实施例提供的一种网络资产的风险评估装置的结构示意图；

图4为本申请实施例提供的一种安全设备的结构示意图。

具体实施方式

下面详细描述本申请的实施例，实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本申请，而不能解释为对本发明的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”和“该”也可包括复数形式。应该进一步理解的是，本申请的说明书中使用的措辞“包括”是指存在特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或无线耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的全部或任一单元和全部组合。

在当前的网络资产环境中，像主机恶意软件、利用漏洞进行内网渗透，以达到攻击目的，是当前网络资产环境中最常见的攻击手段，例如主机被控制、网络设备被提权、安全设备被绕过，无论是攻击还是攻击者恶作剧或者为了经济利益，对于网络资产使用单位和用户都是伤害比较大的。

如何高效的发现网络资产以及网络资产威胁并及时采取补救措施，将网络资产威胁降到最低，是当前网络资产安全防护管理系统一直不断研究和完善的内容。在当前的网络资产和漏洞检测，主要采用的是主动扫描的方式进行，例如采用开源NAMP工具或者一些漏洞扫描系统，来获取网络资产信息及漏洞，然后将扫描结果经过人工判断确认后录入系统，同时当扫描的结果中出现系统漏洞时，通过人工的方式登录系统来进行修改，这样的方式得到的结果还需要人工判断确认后录入系统，并且只能够检测出资产对外开放的服务威胁，对于资产内部的应用及威胁无法进行检测，比如无法探测资产内部安装了哪些应用，是否感染了病毒等。

另一方面，对于网络杀毒，一般是在每一个终端主机上安装杀毒软件，实现通过统一平台了解网络资产情况以及实时检测中断感染病毒情况并进行查杀。但这主要聚焦于防病毒以及系统补丁修复功能，无法对终端系统软件漏洞进行检测和防御，如浏览器、数据库、web服务、办公软件等应用软件的漏洞，这些应用软件一旦存在漏洞，就很容易被攻击者利用，对整个网络资产环境产生威胁。

本申请提供的网络资产的扫描方法、装置、电子设备及计算机存储介质，旨在解决现有技术的如上技术问题。

为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。

下面以具体地实施例对本申请的技术方案以及本申请的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本申请的实施例进行描述。

图1为本申请实施例提供的一种网络系统架构图，如图1所示，一般用户使用的网络系统架构中包括互联网11、路由器12、主机13、网络摄像机14、网络打印机15、客户机16、客户机17、攻击者主机18等。

攻击者主机18可以通过互联网11攻击用户网络，获取用户网络中网络资产的资产信息，给用户造成损失，也可能将病毒传染至用户网络内部，用户网络中某些主机感染病毒后，还存在感染其他主机的风险，本申请实施例应用在此场景下，可以获取用户网络中所有网络资产的资产信息，并对其中可能存在的病毒、漏洞进行检测。

图2为本申请实施例提供的一种网络资产的风险评估方法的流程图，如图2所示，该方法包括：

S101、获取待扫描的网络资产集合，根据预先构建的安全数据库对网络资产集合进行扫描，或者采用网络设备SNMP服务及主机系统主动安装Agent方式，获得网络资产集合的初始资产信息。

网络资产是计算机（或通讯）网络中使用的各种设备，主要包括主机、网络设备和安全设备，网络设备例如路由器，交换机等，安全设备例如防火墙等。

SNMP服务运行在控制平面，其中，SNMP(Simple Network Management Protocol，简单网络管理协议)是应用级协议。由于其被设计在应用级，因而能够监视安装在不同的网络上由不同厂家制造的网络设备。也就是说，SNMP服务可以用在不同厂家制造的路由器连接起来的不同局域网和广域网的异构互联网中，可以搜集到网络资产集合中的网络设备类资产的初始资产信息。Agent是运行在每台网络主机上的后台程序，长期在后台驻留，使用极低的系统资源。Agent会定时对主机上各种资产信息进行采集，采集完成后，Agent通过增量的方式将这些信息作为所在主机的基础数据发送给后端云服务，减少网络带宽资源的消耗，因此可以采用在网络资产集合中的主机类资产上安装Agent的方式，采集网络资产集合的初始资产信息。

本申请实施例中的网络资产集合包括主机类资产以及网络设备类资产，主机是中计算机出去输入输出设备以外的主要机体部分，通常包括CPU、内存、硬盘、电源等，主机装上软件后就是一台能够独立运行的计算机系统，而在网络环境中，与互联网连接的任何一台计算机可以称之为主机。网络设备是指连接到网络中的各种物理实体，种类繁多，例如路由器、交换机、打印机、网关等等。

本申请实施例中预先构建的安全知识库包括资产指纹库、漏洞特征库以及病毒特征库，通过将终端指纹、应用指纹、系统漏洞、应用漏洞、病毒等检测的规则形成安全数据库。然后根据安全数据库进行扫描，扫描的方式可以包括外部主动扫描以及内部被动上报，外部主动扫描，可以通过在用户使用的网络中内置安全数据库，根据安全数据库中预先确定的检测规则进行主动扫描，例如可以采用基于TCP、HTTP等网络协议对全网资产进行扫描，并根据安全数据库对扫描结果进行关联，即针对不同类型的网络资产建立对应的资产信息表，将资产信息存入资产信息表中进行展示。

S102、根据网络资产集合的初始资产信息，将网络资产集合中初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息。

在扫描获得网络资产集合的初始资产信息后，这些初始资产信息中可能有些资产信息对应的实际上是同一个网络资产，但是在资产信息表中列为了不同的网络资产，那么，需要将网络资产信息集中初始资产信息相同的网络资产进行合并，获得更加全面的目标资产信息。

在根据预先创建的安全数据库扫描得到网络资产集合的初始资产信息后，其中，可能存在一些未知的网络资产，即不知这些网络资产是主机类资产还是网络设备类资产，但这些网络资产是存在于组网环境中，其用于通信的IP是已知的，可以作为这些网络资产的唯一标识，通过这些资产的IP确定这些网络资产的类别，即将资产IP相同的网络资产的资产信息合并，获得网络资产集合的目标资产信息。当然也存在一些资产IP不同，但其他资产信息相同的情况，在本申请后续的实施例中进行描述。

S103、根据网络资产集合的目标资产信息，确定网络资产集合中任意一个网络资产的风险评分。

在经过相同的资产信息合并，也即获得去重后网络资产集合的目标资产信息，本申请实施例通过从漏洞、病毒以及资源使用率三个维度综合考量网络资产集合中的每个网络资产，具体地，分别针对漏洞、病毒以及资源使用率不同的危害程度，设置对应的级别，通过对不同的级别设置不同的权重，并结合漏洞、病毒的个数，分别计算出漏洞的危险评分、病毒的危险评分以及资源使用率的危险评分，然后相加综合得出一个网络资产的风险评分，具体如何实现的在后续的实施例中进行描述。

S104、根据风险评分，确定网络资产集合的健康状态。

在得出网络资产集合中每一个网络资产的风险评分后，可以通过对所有网络资产的风险评分求平均值，得到网络资产集合的风险评分，然后可以针对不同的网络资产长的风险评分设置不同的阈值对应着不同的健康状态，可以根据实际情况进行调整，本申请实施例不作具体限定，例如表1为本申请实施例提供的一种健康状态分类表如表1所示，本申请实施例中以风险评分为百分制，其中，风险评分越高表示网络资产集合的健康状态越差，而风险评分越低则表示网络资产集合的健康状态越差，具体地，0~20分为优；21~40分为中；41~100为差：

健康状态	风险评分
		优	0~20
中	21~40
		差	41~100

表1、健康状态级别分类表

本申请实施例通过根据预先建立的安全数据库对获取到的网络资产集合进行扫描，获得网络资产信息集合的初始资产信息，并将初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息，避免了网络资产收集不全，且耗费资源过多的问题，也提高了网络资产识别扫描的准确性，得到的资产信息更加全面而准确。再根据网络资产集合的目标资产信息，确定网络资产信息集合中任意一个网络资产的风险评分，从漏洞、病毒以及资源使用率三个维度进行评价，然后确定整个网络资产信息集合的健康状态，能够高效准确的确定网络资产存在的风险威胁，也能够更加直观明确的确定网络资产的健康状态。

本申请实施例还提供了一种可能的实现方式，安全数据库包括资产指纹库、漏洞特征库以及病毒特征库；

根据预先构建的安全数据库对网络资产集合进行扫描，获得网络资产集合的初始资产信息，包括：

根据资产指纹库，确定网络资产集合的初始资产信息中的资产IP、系统类型、系统版本、端口、服务以及应用；采用网络设备SNMP服务及主机系统主动安装Agent方式，获得网络资产的CPU利用率、内存利用率、磁盘利用率以及网络带宽；

根据漏洞特征库，确定网络资产集合的初始资产信息中的漏洞；

根据病毒特征库，确定网络资产集合的初始资产信息中的病毒。

资产指纹，是指每个网络资产独有的一些资产信息，例如每个网络资产的资产IP、系统类型、系统版本等信息、拥有的各种开放端口、开放服务等。资产指纹库，可以通过主动搜集网络中的资产信息并内部自定义扫描的方式构建，例如搜集一些主机类资产的发行版本的版本号，基于版本号确定属于该版本号的主机类资产，然后根据每个主机类资产的资产IP关联得到这个主机类资产的其余资产信息并存入资产信息表中进行展示。而采用网络设备SNMP服务及主机系统主动安装Agent方式可以在网络资产内部扫描或采集得到网络资产的CPU利用率、内存利用率、磁盘利用率以及网络带宽等属于网络资产内部动态变化的资产信息，同样可以存入资产信息表中进行展示。

漏洞特征，是指漏洞所具有的特征信息，例如漏洞的种类、个数、危害程度等特征信息。漏洞特征库，可以通过外部搜集网络中存在的公开漏洞，然后在内部自定义扫描的方式创建，例如可以根据搜集到的公开漏洞的漏洞类型，关联出待扫描网络资产集合中每个网络资产中存在的漏洞，获取每个网络资产中存在的漏洞的特征信息，并存入资产信息表中进行展示。

病毒特征，是指病毒所具有的特征信息，例如病毒的种类、个数、危害程度等特征信息。病毒特征库，可以通过与第三方病毒防护系统对接，然后在内部构件病毒检测模块的方式构建，例如可以通过Agent客户端软件，对主机类资产的文件、进程等进行检测，发现其中可能存在的病毒，获取这些病毒的特征信息，并存入资产信息表中进行展示。

本申请实施例中将安全数据库内置在用户使用的网络中，基于内置的安全数据库不仅可以扫描用户内部使用的网络资产，也可以通过用户使用的网络扫描全网中的网络资产，获得网络资产集合。网络资产集合包括主机类资产以及网络设备类资产，如下表2为主机类资产的资产信息表，表3为网络设备类资产的资产信息表，将扫描得到的网络资产集合的资产信息存入资产信息表中进行展示，便于后续资产信息的合并和评分。

序号

资产IP列表

系统类型

系统版本号

开放端口列表

开放服务列表

应用列表

漏洞列表

病毒列表

CPU利用率

内存利用率

磁盘利用率

带宽利用率

其他

1

2

…

n

表2、主机类资产的资产信息表

序号

资产IP列表

资产类型

系统版本号

开放端口列表

开放服务列表

漏洞列表

CPU利用率

内存利用率

磁盘利用率

带宽利用率

其他

1

2

…

n

表3、网络设备类资产的资产信息表

本申请实施例还提供了一种可能的实现方式，根据网络资产集合的初始资产信息，将网络资产集合中初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息，包括：

根据网络资产集合的初始资产信息，确定网络资产集合中任意一个网络资产的资产IP；

将资产IP相同的网络资产的资产信息合并，获得网络资产集合的目标资产信息。

IP是构成互联网的基础，每个网络资产的资产IP是唯一的，可以作为网络资产的唯一标识来确定这个网络资产，在扫描获得了网络资产集合的初始资产信息后，网络资产集合中可能存在一些未知类型的网络资产，也可能存在相同资产IP的网络资产，这些网络资产的资产信息可以进行合并，本申请实施例中通过资产信息表中记录的资产IP列表，将资产IP相同的网络资产的资产信息合并，获得网络资产集合的目标资产信息。

本申请实施例还提供了一种可能的实现方式，根据网络资产集合的初始资产信息，将网络资产集合中相同的网络资产的资产信息进行合并，获得网络资产集合的目标资产信息，还包括：

将资产IP不同，CPU利用率、内存利用率、磁盘利用率、资产类别、系统版本、端口、服务、漏洞类型均相同的网络资产的资产信息合并，获得网络资产集合的目标资产信息。

在资产信息表中还存在资产IP不同，但CPU利用率、内存利用率、磁盘利用率、资产类别、系统版本、端口、服务、漏洞等资产信息均相同的网络资产，是因扫描过程中对于一些未知类型的网络资产，是基于默认无账号的扫描方式，扫描得到的结果可能会有错误，而实际上是同一网络资产，本申请实施例将资产IP不同，CPU利用率、内存利用率、磁盘利用率、资产类别、系统版本、端口、服务、漏洞类型均相同的网络资产的资产信息合并，获得网络资产集合的目标资产信息。

本申请实施例还提供了一种可能的实现方式，根据网络资产集合的目标资产信息，确定网络资产集合中任意一个网络资产的风险评分，包括：

若网络资产集合中的任意一个网络资产为主机类资产，则根据网络资产的漏洞个数，漏洞的危害程度、病毒的个数、病毒的危害程度、CPU利用率、内存利用率以及磁盘利用率，确定网络资产的风险评分。

对于主机类网络资产，本申请实施例通过漏洞、病毒以及资源使用率三个维度进行风险评分，即分别确定漏洞危险评分、病毒危险评分以及资源使用率危险评分，将它们之和作为主机类资产的风险评分。

本申请实施例分别对漏洞、病毒以及资源使用率设置了对应的评分权重，也可以根据实际情况中每种威胁的危害程度确定每种威胁的评分权重，本申请实施例不作具体限定。下表4为本申请实施例提供的一种主机类网络资产的评分权重表，本申请实施例中采用百分制，其中漏洞评分占40%，病毒评分占40%，资源利用率评分占20%，那么漏洞总分为40，病毒总分为40，资源使用率总分为20。

表4、主机类网络资产的评分权重表

本申请实施例针对不同危害程度的漏洞，不同危害程度的病毒，以及不同危害程度的资产使用率也分别设置了不同的级别以及权重，并结合每个网络资产中存在的漏洞的个数，病毒的个数来综合评估风险。

具体地，对于漏洞，如公式（1）所示，根据任意一个漏洞的级别权重乘以漏洞总分，得到这个级别所占的分数，然后在除以漏洞基数，也就是扫描得到的所有漏洞的数量，可以得到每一个漏洞的得分。

表5、主机类资产的单个漏洞得分表

本申请实施例提供了一种主机类资产的单个漏洞的得分表，如上表5所示，根据漏洞的危害程度将漏洞的级别分为高危、中危和低危，高危的权重为50%，中危的权重为30%，低危的权重为20%，漏洞总分为40，漏洞基数为100时，可以计算得到单个高危漏洞的得分为0.2，单个中危漏洞的得分为0.12，单个低危漏洞的氛围0.08。

再结合网络资产中存在的漏洞的个数，计算得到漏洞的危险评分，即漏洞的危险评分=高危漏洞个数*单个高危漏洞得分+中危漏洞个数*单个中危漏洞得分+低危漏洞个数*单个低危漏洞得分。

具体地，对于病毒，如公式（2）所示，根据任意一个病毒的级别权重乘以病毒总分，得到这个级别所占的分数，然后在除以病毒基数，也就是扫描得到的所有病毒的数量，可以得到每一个病毒的得分。

表6、单个病毒得分表

本申请实施例提供了一种单个病毒的得分表，如上表6所示，漏洞的级别包括高危、中危和低危；高危的权重为50%，中危的权重为30%，低危的权重为20%，病毒总分为40，病毒基数为100时，可以计算得到单个高危病毒的得分为0.2，单个中危病毒的得分为0.12，单个低危病毒的氛围0.08。

再结合网络资产中存在的病毒的个数，计算得到病毒的危险评分，即病毒的危险评分=高危病毒个数*单个高危病毒得分+中危病毒个数*单个中危病毒得分+低危病毒个数*单个低危病毒得分。

具体地，对于资源使用率，资源使用率是指网络资产所具备的重要资源使用情况，包括CPU利用率、内存利用率以及磁盘利用率，利用率越高表示资源压力越大，危害越大。

表7、主机类资产的资源使用率的危险评分表

如上表7所示，本申请实施例中当CPU利用率、内存利用率以及磁盘利用率中均超过50%时，该网络资产的级别属于高危；当CPU利用率、内存利用率以及磁盘利用率中有1个超过50%，该网络资产的级别属于中危；当CPU利用率、内存利用率以及磁盘利用率中有无超过50%，该网络资产的级别属于低危。

本申请实施例还提供了一种可能的实现方式，根据网络资产集合的目标资产信息，确定网络资产集合中任意一个网络资产的风险评分，还包括：

若网络资产集合中的任意一个网络资产为网络设备类资产，则根据网络资产的漏洞个数，漏洞的危害程度、CPU利用率、内存利用率以及磁盘利用率，确定网络资产的风险评分。

对于网络设备类资产，本申请实施例通过对漏洞和资源使用率两个维度进行风评分，因网络设备类资产中一般不存在病毒，只有主机类资产中存在病毒，分别确定漏洞危险评分以及资源使用率危险评分，将它们之和作为网络设备类资产的风险评分。

本申请实施例分别对漏洞以及资源使用率设置了对应的评分权重，也可以根据实际情况下每种威胁的危害程度确定每种威胁的评分权重，本申请实施例不做具体限定。下表8为本申请实施例提供的一种网络设备类资产的评分权重表，本申请实施例中采用百分制，其中漏洞评分占60%，资源使用率评分占40%，那么漏洞总分为60，资源使用率总分为40。

表8、网络设备类网络资产的评分权重表

本申请实施例针对不同危害程度的漏洞，不同危害程度的病毒也分别设置了不同的级别以及权重，并集合每个网络资产中存在的漏洞的个数，病毒的个数来综合评估风险。计算的方式与上述对主机类资产的漏洞和资源使用率的计算方式相同，这里不在进行重复的描述。

表9、网络设备类资产的单个漏洞得分表

本申请实施例一种网络设备类资产的单个漏洞的得分表，如上表9所示，根据漏洞的危害程度将漏洞的级别分为高危、中危和低危，高危的权重为50%，中危的权重为30%，低危的权重为20%，漏洞总分为60，漏洞基数为100时，可以计算得到单个高危漏洞的得分为0.3，单个中危漏洞的得分为0.18，单个低危漏洞的氛围0.12。

再结合网络资产中存在的漏洞的个数，计算得到漏洞的危险评分，即漏洞的危险评分=高危漏洞个数*单个高危漏洞得分+中危漏洞个数*单个中危漏洞得分+低危漏洞个数*单个低危漏洞得分。

而对于资源使用率，如下表10所示，计算的方式与上述对主机类资产的漏洞和资源使用率的计算方式相同，这里不在进行重复的描述。

表10、网络设备类资产的资源使用率的危险评分表

本申请实施例提供了一种网络资产的风险评估装置，如图3所示，该装置可以包括：获取模块110、去重模块120、评估模块130以及健康模块140，具体地：

获取模块110，用于获取待扫描的网络资产集合，根据预先构建的安全数据库对网络资产集合进行扫描，或者采用网络设备SNMP服务及主机系统主动安装Agent方式，获得网络资产集合的初始资产信息；

去重模块120，用于根据网络资产集合的初始资产信息，将网络资产集合中初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息；

评估模块130，用于根据网络资产集合的目标资产信息，确定网络资产集合中任意一个网络资产的风险评分；

健康模块140，用于根据风险评分，确定网络资产集合的健康状态；

初始资产信息包括资产IP、系统类型、系统版本、端口、服务、应用、漏洞、病毒、CPU利用率、内存利用率、磁盘利用率以及网络带宽中的一种或多种。

本申请实施例提供的网络资产的风险评估装置，具体执行上述方法实施例流程，具体请详见上述网络资产的风险评估方法实施例的内容，在此不再赘述。本申请实施例提供的网络资产的风险评估装置，通过根据预先建立的安全数据库对获取到的网络资产集合进行扫描，获得网络资产信息集合的初始资产信息，并将初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息，避免了网络资产收集不全，且耗费资源过多的问题，也提高了网络资产识别扫描的准确性，得到的资产信息更加全面而准确。再根据网络资产集合的目标资产信息，确定网络资产信息集合中任意一个网络资产的风险评分，从漏洞、病毒以及资源使用率三个维度进行评价，然后确定整个网络资产信息集合的健康状态，能够高效准确的确定网络资产存在的风险威胁，也能够更加直观明确的确定网络资产的健康状态。

在一个可能的实现方式中，获取模块110包括：

确定模块，用于根据资产指纹库，确定网络资产集合的初始资产信息中的资产IP、系统类型、系统版本、端口、服务以及应用；采用网络设备SNMP服务及主机系统主动安装Agent方式，获得网络资产的CPU利用率、内存利用率、磁盘利用率以及网络带宽；

根据漏洞特征库，确定网络资产集合的初始资产信息中的漏洞；

根据病毒特征库，确定网络资产集合的初始资产信息中的病毒。

在另一个可能的实现方式中，去重模块120包括：

第一合并子单元，用于根据网络资产集合的初始资产信息，确定网络资产集合中任意一个网络资产的资产IP；

将资产IP相同的网络资产的资产信息合并，获得网络资产集合的目标资产信息。

在又一个可能的实现方式中，去重模块120还包括：

第二合并子单元，用于将资产IP不同，但CPU利用率、内存利用率、磁盘利用率、资产类别、系统版本、端口、服务、漏洞类型均相同的网络资产的资产信息合并，获得网络资产集合的目标资产信息。

在又一个可能的实现方式中，评估模块130包括：

主机评估子单元，用于若网络资产为主机类资产，则根据网络资产的漏洞个数，漏洞的危害程度、病毒的个数、病毒的危害程度、CPU利用率、内存利用率以及磁盘利用率，确定网络资产的风险评分。

在又一个可能的实现方式中，评估模块130还包括：

网络设备评估子单元，用于若网络资产为网络设备类资产，则根据网络资产的漏洞个数，漏洞的危害程度、CPU利用率、内存利用率以及磁盘利用率，确定网络资产的风险评分。

本申请实施例提供了一种存储设备，该存储设备能够实现上述实施例所示的内容。与现有技术相比，通过根据预先建立的安全数据库对获取到的网络资产集合进行扫描，获得网络资产信息集合的初始资产信息，并将初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息，避免了网络资产收集不全，且耗费资源过多的问题，也提高了网络资产识别扫描的准确性，得到的资产信息更加全面而准确。再根据网络资产集合的目标资产信息，确定网络资产信息集合中任意一个网络资产的风险评分，从漏洞、病毒以及资源使用率三个维度进行评价，然后确定整个网络资产信息集合的健康状态，能够高效准确的确定网络资产存在的风险威胁，也能够更加直观明确的确定网络资产的健康状态。

在一个可选实施例中提供了一种安全设备，如图4所示，图4所示的安全设备9000包括：处理器9001和存储器9003。其中，处理器9001和存储器9003相连，如通过总线9002相连。可选地，安全设备9000还可以包括收发器9004，收发器9004可以用于该安全设备与其他安全设备之间的数据交互，如数据的发送和/或数据的接收等。需要说明的是，实际应用中收发器9004不限于一个，该安全设备9000的结构并不构成对本申请实施例的限定。

处理器9001可以是CPU（Central Processing Unit，中央处理器），通用处理器，DSP（Digital Signal Processor，数据信号处理器），ASIC（Application SpecificIntegrated Circuit，专用集成电路），FPGA（Field Programmable Gate Array，现场可编程门阵列）或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器9001也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等。

总线9002可包括一通路，在上述组件之间传送信息。总线9002可以是PCI（Peripheral Component Interconnect，外设部件互连标准）总线或EISA（ExtendedIndustry Standard Architecture，扩展工业标准结构）总线等。总线9002可以分为地址总线、数据总线、控制总线等。为便于表示，图4中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

存储器9003可以是ROM（Read Only Memory，只读存储器）或可存储静态信息和指令的其他类型的静态存储设备，RAM（Random Access Memory，随机存取存储器）或者可存储信息和指令的其他类型的动态存储设备，也可以是EEPROM（Electrically ErasableProgrammable Read Only Memory，电可擦可编程只读存储器）、CD-ROM（Compact DiscRead Only Memory，只读光盘）或其他光盘存储、光碟存储（包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等）、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。

存储器9003用于存储执行本申请方案的应用程序代码，并由处理器9001来控制执行。处理器9001用于执行存储器9003中存储的应用程序代码，以实现前述方法实施例所示的内容。

本申请实施例提供了一种交换机，该交换机能够实现上述实施例所示的内容。与现有技术相比，通过根据预先建立的安全数据库对获取到的网络资产集合进行扫描，获得网络资产信息集合的初始资产信息，并将初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息，避免了网络资产收集不全，且耗费资源过多的问题，也提高了网络资产识别扫描的准确性，得到的资产信息更加全面而准确。再根据网络资产集合的目标资产信息，确定网络资产信息集合中任意一个网络资产的风险评分，从漏洞、病毒以及资源使用率三个维度进行评价，然后确定整个网络资产信息集合的健康状态，能够高效准确的确定网络资产存在的风险威胁，也能够更加直观明确的确定网络资产的健康状态。

本申请实施例提供了一种路由器，该路由器能够实现上述实施例所示的内容。与现有技术相比，通过根据预先建立的安全数据库对获取到的网络资产集合进行扫描，获得网络资产信息集合的初始资产信息，并将初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息，避免了网络资产收集不全，且耗费资源过多的问题，也提高了网络资产识别扫描的准确性，得到的资产信息更加全面而准确。再根据网络资产集合的目标资产信息，确定网络资产信息集合中任意一个网络资产的风险评分，从漏洞、病毒以及资源使用率三个维度进行评价，然后确定整个网络资产信息集合的健康状态，能够高效准确的确定网络资产存在的风险威胁，也能够更加直观明确的确定网络资产的健康状态。

本申请实施例提供了一种服务器，该服务器包括存储器和处理器，存储器用于存储计算机程序，处理器用于实现上述实施例所示的内容。与现有技术相比，通过根据预先建立的安全数据库对获取到的网络资产集合进行扫描，获得网络资产信息集合的初始资产信息，并将初始资产信息相同的网络资产进行合并，获得网络资产集合的目标资产信息，避免了网络资产收集不全，且耗费资源过多的问题，也提高了网络资产识别扫描的准确性，得到的资产信息更加全面而准确。再根据网络资产集合的目标资产信息，确定网络资产信息集合中任意一个网络资产的风险评分，从漏洞、病毒以及资源使用率三个维度进行评价，然后确定整个网络资产信息集合的健康状态，能够高效准确的确定网络资产存在的风险威胁，也能够更加直观明确的确定网络资产的健康状态。

应该理解的是，虽然附图的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，其可以以其他的顺序执行。而且，附图的流程图中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，其执行顺序也不必然是依次进行，而是可以与其他步骤或者其他步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

以上仅是本发明的部分实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种网络资产的风险评估方法，其特征在于，所述方法包括：

获取待扫描的网络资产集合，根据预先构建的安全数据库对所述网络资产集合进行扫描，或者采用网络设备SNMP服务及主机系统主动安装Agent方式，获得所述网络资产集合的初始资产信息；

根据所述网络资产集合的初始资产信息，将所述网络资产集合中所述初始资产信息相同的网络资产进行合并，获得所述网络资产集合的目标资产信息；

根据所述网络资产集合的目标资产信息，确定所述网络资产集合中任意一个网络资产的风险评分；

根据所述风险评分，确定所述网络资产集合的健康状态；

所述初始资产信息包括资产IP、系统类型、系统版本、端口、服务、应用、漏洞、病毒、CPU利用率、内存利用率、磁盘利用率以及网络带宽中的一种或多种；

根据所述网络资产集合中任意一个网络资产的漏洞、病毒以及资源使用率，确定所述网络资产的风险评分；

根据所述网络资产的风险评分，确定所述网络资产集合的风险评分；

对于所述网络资产集合的风险评分设置对应不同的预设阈值，确定所述网络资产集合的健康状态；

所述根据所述网络资产集合的初始资产信息，将所述网络资产集合中所述初始资产信息相同的网络资产进行合并，获得所述网络资产集合的目标资产信息，包括：

根据所述网络资产集合的初始资产信息，确定所述网络资产集合中任意一个网络资产的资产IP；

将所述资产IP相同的网络资产的资产信息合并，获得所述网络资产集合的目标资产信息；

所述方法还包括：

将所述资产IP不同，CPU利用率、内存利用率、磁盘利用率、资产类别、系统版本、端口、服务、漏洞类型均相同的网络资产的资产信息合并，获得所述网络资产集合的目标资产信息。

2.根据权利要求1所述的网络资产的风险评估方法，其特征在于，所述安全数据库包括资产指纹库、漏洞特征库以及病毒特征库；

所述根据预先构建的安全数据库对网络资产集合进行扫描，或者采用网络设备SNMP服务及主机系统主动安装Agent方式，获得网络资产集合的初始资产信息，包括：

根据所述资产指纹库，确定所述网络资产集合的初始资产信息中的资产IP、系统类型、系统版本、端口、服务以及应用；采用网络设备SNMP服务及主机系统主动安装Agent方式，获得所述网络资产的CPU利用率、内存利用率、磁盘利用率以及网络带宽；

根据所述漏洞特征库，确定所述网络资产集合的初始资产信息中的漏洞；

根据所述病毒特征库，确定所述网络资产集合的初始资产信息中的病毒。

3.根据权利要求1所述的网络资产的风险评估方法，其特征在于，所述网络资产集合包括主机类资产以及网络设备类资产；

所述根据所述网络资产集合的目标资产信息，确定所述网络资产集合中任意一个网络资产的风险评分，包括：

若所述网络资产集合中的任意一个网络资产为主机类网络资产，则根据所述网络资产的漏洞个数，漏洞的危害程度、病毒的个数、病毒的危害程度、CPU利用率、内存利用率以及磁盘利用率，确定所述网络资产的风险评分。

4.根据权利要求3所述的网络资产的风险评估方法，其特征在于，所述方法还包括：

若所述网络资产集合中的任意一个网络资产为网络设备类资产，则根据所述网络资产的漏洞个数，漏洞的危害程度、CPU利用率、内存利用率以及磁盘利用率，确定所述网络资产的风险评分。

5.一种网络资产的风险评估装置，其特征在于，所述装置包括：

获取模块，用于获取待扫描的网络资产集合，根据预先构建的安全数据库对所述网络资产集合进行扫描，或者采用网络设备SNMP服务及主机系统主动安装Agent方式，获得所述网络资产集合的初始资产信息；

去重模块，用于根据所述网络资产集合的初始资产信息，将所述网络资产集合中相同的网络资产的资产信息进行合并，获得所述网络资产集合的目标资产信息；

评估模块，用于根据所述网络资产集合的目标资产信息，确定所述网络资产集合中任意一个网络资产的风险评分；

健康模块，用于根据所述风险评分，确定所述网络资产集合的健康状态；

所述资产信息包括资产IP、系统类型、系统版本、端口、服务、应用、漏洞、病毒、CPU利用率、内存利用率、磁盘利用率以及网络带宽中的一种或多种；

根据所述网络资产集合中任意一个网络资产的漏洞、病毒以及资源使用率，确定所述网络资产的风险评分；

根据所述网络资产的风险评分，确定所述网络资产集合的风险评分；

对于所述网络资产集合的风险评分设置对应不同的预设阈值，确定所述网络资产集合的健康状态；

第一合并子单元，用于根据所述网络资产集合的初始资产信息，确定所述网络资产集合中任意一个网络资产的资产IP；

将所述资产IP相同的网络资产的资产信息合并，获得所述网络资产集合的目标资产信息；

第二合并子单元，用于将所述资产IP不同，CPU利用率、内存利用率、磁盘利用率、资产类别、系统版本、端口、服务、漏洞类型均相同的网络资产的资产信息合并，获得所述网络资产集合的目标资产信息。

6.一种存储设备，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-4任一项所述的网络资产的风险评估方法。

7.一种安全设备，其特征在于，所述安全设备包括：

一个或多个处理器；

存储器；

一个或多个应用程序，其中所述一个或多个应用程序被存储在所述存储器中并被配置为由所述一个或多个处理器执行，所述一个或多个应用程序配置用于：执行根据权利要求1-4任一项所述的网络资产的风险评估方法。

8.一种交换机，其特征在于，所述交换机用于执行如权利要求1-4任一项所述的网络资产的风险评估方法的步骤。

9.一种路由器，其特征在于，所述路由器用于执行如权利要求1-4任一项所述的网络资产的风险评估方法的步骤。

10.一种服务器，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行如权利要求1-4任一项所述的网络资产的风险评估方法的步骤。

Images