CN114726651B

CN114726651B - 基于知识图谱的信息系统防御能力的评估方法和装置

Info

Publication number: CN114726651B
Application number: CN202210536725.7A
Authority: CN
Inventors: 吕博良; 张�诚; 叶红; 蒋家堂
Original assignee: Industrial and Commercial Bank of China Ltd ICBC
Current assignee: Industrial and Commercial Bank of China Ltd ICBC
Priority date: 2022-05-18
Filing date: 2022-05-18
Publication date: 2022-08-12
Anticipated expiration: 2042-05-18
Also published as: CN114726651A

Abstract

本发明提供了一种基于知识图谱的信息系统防御能力的评估方法和装置，可用于信息安全技术领域。该评估方法包括：基于多个防御主体和关键信息建立知识图谱，知识图谱包括第一层级和第二层级；根据第一层级，获取信息系统包括的所有所属阶段；根据信息系统包括的所有所属阶段，初步评估信息系统的防御能力等级；在初步评估信息系统的防御能力等级满足规定要求的情况下，根据第二层级，获取信息系统的防御能力得分；根据防御能力得分，评估信息系统的防御能力等级。通过知识图谱的第一层级和第二层级可视化地暴露出信息系统的脆弱点，经过横向及纵向对比，得到较为全面性的信息系统防御能力的评估。

Description

基于知识图谱的信息系统防御能力的评估方法和装置

技术领域

本发明涉及信息安全技术领域，具体涉及一种基于知识图谱的信息系统防御能力的评估方法、装置、设备和介质。

背景技术

在信息技术和应用不断更新下，信息系统的安全问题形势严峻，黑客发动攻击恶意侵袭信息系统的相关安全设备的事件层出不穷，造成信息系统内敏感信息泄露、服务器资源被滥用、资金损失以及声誉遭创等严重后果，更甚者可能会危及到国家安全。目前，由于无法体现信息系统存在的缺陷，导致无法及时采取有效的防御措施。

发明内容

本发明旨在至少解决现有技术中存在的技术问题之一。

例如，本发明提供了一种基于知识图谱的信息系统防御能力的评估方法、装置、设备、介质和程序产品，通过知识图谱可视化地暴露出信息系统的脆弱点，评估信息系统的防御能力，通过多维度量化信息系统内各类防御主体的防御能力，以统一的标准进一步地衡量信息系统的防御能力水平，各类防御主体经过横向对比以及纵向对比，得到较为全面性的信息系统防御能力的评估，有助于针对性的进行风险防御。

为了达到上述目的，本发明的第一个方面提供了一种基于知识图谱的信息系统防御能力的评估方法，所述信息系统包括多个防御主体，包括以下步骤：

提取所述多个防御主体的关键信息，其中，所述关键信息包括本体名称、所属阶段和战术措施；

基于所述多个防御主体和所述关键信息建立知识图谱，其中，所述知识图谱包括第一层级和第二层级，所述知识图谱的第一层级包括实体-关系-实体的三元组，用于表示所述信息系统中各个防御主体之间的横向关系；所述知识图谱的第二层级包括实体-属性-属性值的三元组，用于表示所述信息系统中每一个防御主体自身的防御特征；

根据所述知识图谱的第一层级，获取所述信息系统包括的所有所属阶段；

根据所述信息系统包括的所有所属阶段，初步评估所述信息系统的防御能力等级；

在初步评估所述信息系统的防御能力等级满足规定要求的情况下，根据所述知识图谱的第二层级，获取所述信息系统的防御能力得分；以及

根据所述防御能力得分，评估所述信息系统的防御能力等级。

根据本发明的信息系统防御能力的评估方法，通过第一层级可视化地获得多个防御主体的关联关系以及信息系统的防御部署，横向读取到信息系统的脆弱点，再通过第二层级纵向评估每个防御主体的防御能力，通过评估可以针对信息系统中的脆弱点提供更有价值的决策支持。

进一步地，所述知识图谱的第一层级包括实体-关系-实体的三元组，所述实体-关系-实体的三元组中的两个实体分别表示所述多个防御主体中任意两个不同的防御主体，所述关系表示联结的两个实体具有的相同的所属阶段。

进一步地，所述知识图谱的第二层级包括实体-属性-属性值的三元组，所述实体-属性-属性值的三元组中的实体表示所述多个防御主体中任一个防御主体，所述属性表示所述任一个防御主体自身的属性，所述属性值表示所述任一个防御主体自身的属性所对应的值。

进一步地，根据所述信息系统包括的所有所属阶段，初步评估所述信息系统的防御能力等级，具体包括：

当所述信息系统包括的所有所属阶段中缺失必要防御阶段时，初步评估所述信息系统的防御能力等级不满足规定要求。

进一步地，所述所属阶段包括：加固、检测、隔离、欺骗和驱逐。

进一步地，所述隔离和所述检测为一级防御阶段，所述加固和所述驱逐为二级防御阶段，所述欺骗为三级防御阶段；以及

所述一级防御阶段为必要防御阶段。

当所述信息系统包括的所有所属阶段中包括一级防御阶段和三级防御阶段但缺失二级防御阶段时，初步评估所述信息系统的防御能力等级为第四等级；和/或，

当所述信息系统包括的所有所属阶段中包括一级防御阶段和二级防御阶段但缺失三级防御阶段时，初步评估所述信息系统的防御能力等级为第三等级。

进一步地，所述关键信息还包括信息系统ID，所述评估方法还包括：对所述关键信息进行预处理，其中，在所述预处理过程中，以所述信息系统ID为依据进行分类。

进一步地，所述基于所述多个防御主体和所述关键信息建立知识图谱具体包括：

获取实体a和所述实体a的所属阶段，以及获取实体b和所述实体b的所属阶段，其中，所述实体a和所述实体b分别表示所述多个防御主体中任意两个不同的防御主体；

将所述实体a和所述实体b分别作为所述知识图谱的第一层级的节点；以及

在所述实体a的所属阶段和所述实体b的所属阶段相同时，联结所述实体a和所述实体b，以生成所述知识图谱的第一层级的边，其中，所述边表示联结的两个实体具有的相同的所属阶段。

进一步地，所述基于所述多个防御主体和所述关键信息建立知识图谱，还具体包括：

根据战术措施，从多个维度对其所属的防御主体进行评分，生成防御主体总分；

建立实体i-属性-属性值的三元组，其中，所述实体i为实体a或实体b，所述属性为所述实体i的战术措施和/或防御主体总分，所述属性值为所述属性对应的字段值；以及

根据所述第一层级的实体a或实体b、以及所述第二层级的实体i，将所述第二层级的属性和属性值对应补充到所述知识图谱上，以形成所述知识图谱的第二层级。

进一步地，根据战术措施，从多个维度对其所属的防御主体进行评分，生成防御主体总分，具体包括：

根据战术措施的特征性能的程度，从多个维度进行评分；以及

将所述多个维度的评分加和，生成防御主体总分。

进一步地，根据所述第一层级的实体a或实体b、以及所述第二层级的实体i，将所述第二层级的信息对应补充到所述知识图谱上，具体包括：

获取第一层级的实体a的本体名称和所属阶段；

获取第一层级的实体b的本体名称和所属阶段；

获取第二层级的实体i的本体名称和所属阶段；

当实体a与实体i的本体名称相同、且所属阶段也相同时，将所述第二层级的属性和属性值映射到所述实体a的对应位置上；

当实体b与实体i的本体名称相同、且所属阶段也相同时，将所述第二层级的属性和属性值映射到所述实体b的对应位置上。

进一步地，所述维度包括：防御健壮性、防御灵敏性、防御隐蔽性、防御新颖性、防御可追溯性和防御成本。

进一步地，所述根据所述知识图谱的第二层级，获取所述信息系统的防御能力得分，具体包括：

根据所述知识图谱的第二层级，获取战术措施的步骤；以及

利用所述防御主体总分除以所述战术措施的步骤，生成防御能力得分。

进一步地，根据所述防御能力得分，评估所述信息系统的防御能力等级，具体包括：

当所述防御能力得分在第一区间时，评估所述信息系统的防御能力等级为第一等级，并得出与所述第一等级相应的防御说明；

当所述防御能力得分在第二区间时，评估所述信息系统的防御能力等级为第二等级，并得出与所述第二等级相应的防御说明；

当所述防御能力得分在第三区间时，评估所述信息系统的防御能力等级为第三等级，并得出与所述第三等级相应的防御说明；

当所述防御能力得分在第四区间时，评估所述信息系统的防御能力等级为第四等级，并得出与所述第四等级相应的防御说明；以及

当所述防御能力得分在第五区间时，评估所述信息系统的防御能力等级为第五等级，并得出与所述第五等级相应的防御说明。

本发明的第二方面提供了一种信息系统防御能力的评估装置，所述信息系统包括多个防御主体，包括：

第一提取模块，所述第一提取模块用于：提取所述多个防御主体的关键信息，其中，所述关键信息包括不限于本体名称、所属阶段和战术措施；

构建模块，所述构建模块用于：基于所述多个防御主体和所述关键信息建立知识图谱，其中，所述知识图谱包括第一层级和第二层级，所述知识图谱的第一层级包括实体-关系-实体的三元组，用于表示所述信息系统中各个防御主体之间的横向关系；所述知识图谱的第二层级包括实体-属性-属性值的三元组，用于表示所述信息系统中每一个防御主体自身的防御特征；

第二提取模块，所述第二提取模块用于：根据所述知识图谱的第一层级，获取所述信息系统包括的所有所属阶段；

第一评估模块，所述第一评估模块用于：根据所述信息系统包括的所有所属阶段，初步评估所述信息系统的防御能力等级；

预判提取模块，所述预判提取模块用于：在初步评估所述信息系统的防御能力等级满足规定要求的情况下，根据所述知识图谱的第二层级，获取所述信息系统的防御能力得分；以及

第二评估模块，所述第二评估模块用于：根据所述防御能力得分，评估所述信息系统的防御能力等级。

本发明的第三方面提供了一种电子设备，包括：一个或多个处理器；存储器，用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得一个或多个处理器执行上述评估方法。

本发明的第四方面还提供了一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行上述评估方法。

附图说明

通过以下参照附图对本发明实施例的描述，本发明的上述内容以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本发明实施例信息系统防御能力的评估系统；

图2示意性示出了根据本发明实施例信息系统防御能力的评估方法的流程图；

图3示意性示出了根据本发明实施例利用第一层级构建的知识图谱；

图4示意性示出了根据本发明实施例处理关键信息的方法流程图；

图5示意性示出了根据本发明实施例提取第一层级三元组的方法流程图；

图6示意性示出了根据本发明实施例防御主体的相关信息补充在知识图谱上的流程图；

图7示意性示出了根据本发明实施例防御主体总分生成的方法流程图；

图8示意性示出了根据本发明实施例将第二层级的三元组映射到知识图谱上的流程图；

图9示意性示出了根据本发明实施例利用第一层级和第二层级构建的知识图谱；

图10示意性示出了根据本发明实施例防御主体的评估方法流程图；

图11示意性示出了根据本发明实施例的信息系统防御能力的评估装置的结构框图；以及

图12示意性示出了根据本发明实施例的适于实现评估方法的电子设备的方框图。

具体实施方式

以下，将参照附图来描述本发明的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本发明的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本发明实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本发明。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或补充一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语（包括技术和科学术语）具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释（例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等）。

在信息技术和应用不断更新下，信息系统的安全问题形势严峻，黑客发动攻击恶意侵袭信息系统的相关安全设备的事件层出不穷，造成信息系统内敏感信息泄露、服务器资源被滥用、资金损失以及声誉遭创等严重后果，更甚者可能会危及到国家安全。目前，由于无法评估信息系统存在的缺陷，不能直观展现信息系统的薄弱点，导致无法及时采取有效的防御措施。

本发明提供了一种基于知识图谱的信息系统防御能力的评估方法，将防御主体-所属阶段-防御主体作为第一层级、防御主体-属性-属性值作为第二层级建立的知识图谱，对信息系统内的防御能力进行完整性的展示，目的是从海量数据中通过可视化地、直观的方式暴露出信息系统的脆弱点，从而提供更有价值的决策支持。其中包括通过多维度对信息系统内各类防御主体的防御能力进行统一量化处理，以统一的标准进一步地衡量、解读信息系统中每个防御主体的防御能力水平，将各类防御主体经过横向对比以及纵向对比，得到较为全面的信息系统防御能力的评估数据，有助于基于信息系统脆弱点针对性地进行风险防御。

图1示意性示出了根据本发明实施例信息系统防御能力的评估系统。评估系统是根据处理数据的作用划分的，包括：数据整合单元110、防御能力评估计算单元120、知识图谱构建单元130和防御等级评价单元140。

数据整合单元110负责从待检测信息系统的内网资源探测设备中提取各类防御主体的关键信息。但由于数据整合单元110提取的关键信息来自于多个不同的数据源，因此数据整合单元110还负责对关键信息进行数据合并和格式统一，删除不需要的信息数据，消除因多元数据而造成的格式差异。

在整合完毕后将整合的关键信息传递给防御能力评估计算单元120进行评价匹配。

防御能力评估计算单元120在接收数据整合单元110传递的关键信息后，负责将关键信息放入防御能力评级模型中，以同一防御主体为维度进行战术措施的匹配和防御能力的评分，最终形成以防御主体信息为主键的数据表。

需要注意的是，上述的防御能力评级模型是根据历史数据和经验建立的，战术措施的匹配是根据在数据整合单元110中提取出的防御主体的关键信息进行匹配的，关键信息中包含了防御主体的所属阶段以及所属的各项战术措施。在实际中，一个防御主体可能存在一个或多个所属阶段，也就是对应的包括一项或者多项战术措施（例如七层防火墙，其战术措施不仅包括隔离，还包括检测），将每项战术措施的可防御强度进行评分，得到相关项防御主体的评分。其中，评分的规则是根据业界最佳实践进行的预设置，也可以理解为，是根据历史数据和实际经验设置的。

根据防御能力评估计算单元120的性能，可分为战术措施匹配单元和防御能力得分单元。

战术措施匹配单元负责将关键信息与战术措施匹配，本发明按照信息系统常规的防御策略划分战术措施。

在一个实施例中，将信息系统中各类防御主体的防御特性抽象划分，战术措施划可大致分为5类，分别为加固、检测、隔离、欺骗和驱逐。在匹配过程中，防御主体的关键信息中的所属阶段与战术措施逐一匹配，得到一项或多项防御主体的相关战术措施。

防御能力得分单元是负责将每项战术措施以评分的方式具象化地输出。具体是将每项战术措施根据其防御能力的强度进行评分，由于各项战术措施使用统一的评分标准，可较为客观的度量各类防御主体的防御水平，从而更加科学的度量信息系统的防御能力，为暴露信息系统的脆弱点做出良好的铺垫作用。

知识图谱是对上述数据整合单元110和防御能力评估计算单元120所得到的信息进行的数据整合，可以理解为，知识图谱可直观的、可视化的展示出整个信息系统的防御部署，以及涉及到的所有防御主体的防御强度。

本发明的知识图谱构建单元130包括两个层级，分别为“实体-关系-实体”和“实体-属性-属性值”。其中“实体-关系-实体”是根据数据整合单元110的关键信息构建的，“实体-属性-属性值”是根据防御能力评估计算单元120的输出信息构建的。

防御等级评价单元140综合考量信息系统中所涉及的各类防御主体的防御等级，即对每个防御主体的防御能力进行评估，可针对其反应速率、防御能力、掌控资源等方面进行差异评估，根据每项防御主体的防御等级评价，从而量化防御主体在对抗外界侵入时所能达到的防御等级。

当然，可以理解的是，在构建完知识图谱后已可直接观察到信息系统的薄弱点，在此基础之上，进一步地对防御主体的防御等级进行评价，可完善信息系统的防御能力评估，有助于后期更有针对性地采取弥补措施。

以下通过图2~图10对本发明实施例的信息系统防御能力的评估方法进行详细描述。

图2示意性示出了根据本发明实施例信息系统防御能力的评估方法流程图，该实施例的信息系统包括多个防御主体包括步骤S210-步骤S260。

在步骤S210，提取多个防御主体的关键信息，其中，关键信息包括本体名称、所属阶段和战术措施，各类防御主体包括：网络设备、服务器、安全防护设备、证书、加密凭证、SOC系统、UEBA系统和EDR系统。

从待检测信息系统的内网资源探测设备中提取各类防御主体的关键信息，防御主体可以理解为是信息系统抵御外界入侵的各类设备、系统以及其他相关的带有防御能力的证件，不限于软件和硬件。例如，提取的防御主体为网络设备、服务器、安全防护设备、证书、加密凭证、SOC系统、UEBA系统和EDR系统。

在防御主体中提取关键信息，其中包含：防御主体所属信息系统名称、防御主体的所属阶段、防御主体的本体名称和在所属阶段时匹配的战术措施等。

需要注意的是，一个防御主体至少包括一个所属阶段，为了更清楚的展示关键信息中的各项，在下述描述中仅提取了一个防御主体中的其中一个所属阶段作为解释说明。

需要说明的是，本发明中的战术措施按照防守策略大致划分为5类必需的战术，分别为加固、检测、隔离、欺骗和驱逐，而此5类又囊括了17种基础技术，具体战术措施表如表1所示。

表1 战术措施表

表1可作为战术措施的参考表格，在匹配过程中，防御主体的所属阶段与表1中的战术匹配，然后找到防御主体对应的基础技术，基础技术属于选择性的技术，在确定战术分类后，可以根据防御主体在运用过程中实行的防守计划或策略来选择。

例如，防御主体IPS的所属阶段为检测，将所属阶段“检测”与表1中的5类战术相匹配，可命中战术“检测”的分类，并得到检测中囊括的“文件分析”、“标识符分析”、“消息分析”、“网络流量分析”、“平台监控”、“进程分析”和“用户行为分析”的具体基础技术。通过对IPS的分析，IPS需要采取实施“网络流量分析”，最终输出的战术措施为“检测-网络流量分析”。

另外，从基础技术中也可以衍生出更具体的防御手段。例如，当防御主体对攻击执行“加固”战术时，可采取“凭证加固”基础技术，更具体的，在实际操作过程中可通过多重身份验证、证书加固以及其他具体防御技术措施实现“凭证加固”这一基础技术。再例如，当防御主体执行“欺骗”战术时，可选择“诱饵环境”执行，具体实施手段可以通过互联网蜜罐、集成蜜罐等具体防御技术实现。

需要注意的是，为了加快待测信息系统的评估，本发明的方案也可以具有多个待测信息系统同时执行的能力，即在提取过程中，可以同时对多个待测信息系统的各类防御主体的关键信息进行采集，以加快分析速率。

在步骤S220，基于多个防御主体和关键信息建立知识图谱，其中，知识图谱包括第一层级和第二层级，知识图谱的第一层级包括实体-关系-实体的三元组，用于表示信息系统中各个防御主体之间的横向关系；知识图谱的第二层级包括实体-属性-属性值的三元组，用于表示信息系统中每一个防御主体自身的防御特征。

可以理解的是，知识图谱的第一层级包括实体-关系-实体的三元组，实体-关系-实体的三元组中的两个实体分别表示多个防御主体中任意两个不同的防御主体，关系表示联结的两个实体具有的相同的所属阶段。

可以理解的是，知识图谱的第二层级包括实体-属性-属性值的三元组，实体-属性-属性值的三元组中的实体表示多个防御主体中任一个防御主体，属性表示任一个防御主体自身的属性，属性值表示任一个防御主体自身的属性所对应的值。

在步骤S230，根据知识图谱的第一层级，获取信息系统包括的所有所属阶段。

先利用图向量法将第一层级转化为知识图谱，如图3所示，为一个待测信息系统的防御能力知识图谱示意图。利用图向量法将步骤S220中的第一层级的三元组转化为知识图谱，用于直观展示待测信息系统中的每个防御主体之间的关联关系。图3中的节点为防御主体，连线为所属阶段。获取信息系统中所有的所属阶段，通过横向观察防御主体之间的连线，可初步评估信息系统的防御能力等级。

在步骤S240，根据信息系统包括的所有所属阶段，初步评估信息系统的防御能力等级。

初步评估是仅为横向评估待测信息系统中所有防御主体之间的联接关系，通过对信息系统内所有的所属阶段的读取，可得到信息系统内缺失的所属阶段，缺失的所属阶段即信息系统的脆弱点。

可以理解为，步骤S240是对信息系统的定性，即信息系统内是否缺失必要的所属阶段。

对于步骤S240，当信息系统包括的所有所属阶段中缺失必要防御阶段时，初步评估信息系统的防御能力等级不满足规定要求。

在一个实施例中，按照防御主体的功能划分，将战术措施分为5类，通过观察待测信息系统的联结关系，网状结构在加固、检测、隔离较多时，表征在该待测信息系统中，此三种防御战术部署较多，针对信息系统固定加固、检测、隔离的防御能力较强。

在另一个实施例中，按照防御主体的功能划分，将战术措施分为5类，通过观察待测信息系统的联结关系，在缺少加固、检测、隔离、欺骗和驱逐至少之一时，信息系统的防御能力较差。

可以理解为，在缺少加固时，信息系统在加固方面的防御能力较差，是信息系统的脆弱点。由于缺少“加固”这一防御能力，造成信息系统整体防御存在不完整的情况，可能会遭到入侵破坏，因此可得出信息系统的防御能力较差的结论。

其他四类（检测、隔离、欺骗和驱逐）解释同上，在此不再赘述。

针对脆弱点，在后续中信息系统维护过程中，可增加“加固”方面的防御主体，以增加信息系统的防御能力。

当然，本发明的战术措施按照防御主体的功能划分为5类的方式仅作为一个具体实施例，在其它（例如安全治理）领域中，对于信息系统中所涉及到的企业安全规划可划分为感知、识别和响应3类，此3类可作为战术措施评价信息系统的防御能力。可以理解的是，感知包括信息系统在收到外部威胁时的情报能力，以及遭受网络黑产攻击趋势时的感知能力等；识别包括信息系统对资产识别能力和对用户识别能力等；响应包括信息系统内部的策略优化能力、漏洞修复能力等。通过上述的三类战术措施，可以关联企业及信息系统内部安全治理能力，进而综合评判信息系统的治理防御能力。

在一个实施例中，所属阶段包括：加固、检测、隔离、欺骗和驱逐。预设规则可以为：隔离和检测为一级防御阶段，加固和驱逐为二级防御阶段，欺骗为三级防御阶段，其中的一级防御阶段为必要防御阶段。

在此预设规则中，在缺少一级防御阶段（隔离和检测）时，将信息系统判定为缺少必要防御阶段，信息系统的防御能力等级不满足规定要求。

初步评估信息系统的防御能力可以如下，例如，当信息系统包括的所有所属阶段中包括一级防御阶段和三级防御阶段但缺失二级防御阶段时，初步评估信息系统的防御能力等级为第四等级；和/或，当信息系统包括的所有所属阶段中包括一级防御阶段和二级防御阶段但缺失三级防御阶段时，初步评估信息系统的防御能力等级为第三等级。

在步骤S250，在初步评估信息系统的防御能力等级满足规定要求的情况下，根据知识图谱的第二层级，获取信息系统的防御能力得分。

对信息系统进行横向初步评估后，可根据知识图谱的第二层级进一步地评估，然后对信息系统的防御能力进行打分。

可以理解的是，步骤S250是对信息系统的定量，即用科学的方式对信息系统的防御能力进行打分。

在步骤S260，根据防御能力得分，评估信息系统的防御能力等级。

根据本发明的一个实施例，关键信息还包括信息系统ID，评估方法还包括：对关键信息进行预处理，其中，在预处理过程中，以信息系统ID为依据进行分类。

由于数据整合单元提取过程可能是作用在多个待测信息系统上的，所以在数据整合单元内可能包括多个信息系统的防御主体的关键信息。为了对每个待测信息系统进行分别分析评估，在对待测信息系统中防御主体的关键信息进行处理时，首先要将所有的防御主体以及相关的关键信息以信息系统ID为依据进行分类，整合出同一个信息系统的防御主体和相关的关键信息，即，以同一个信息系统为基础进行数据整合。

基于同一信息系统ID，提取第一层级“实体a-关系-实体b”的三元组，其中，实体a和实体b为两个不同的各类防御主体，关系为实体a和实体b的相同的所属阶段。

知识图谱的基本单位为“实体-关系-实体”构成的三元组，在生成知识图谱之前，先提取待测信息系统的第一层级信息。

其中，第一层级的实体为待测信息系统中的各类防御主体，关系为防御主体的所属阶段，这部分信息可以从表1中读取。在构建过程中，任意两个不同的防御主体的所属阶段相同时，可建立一个三元组。

例如，在信息系统A中防御主体有设备1和设备2，两者的所属阶段均为X，因此实体a对应设备1，实体b对应设备2，关系对应X，构建“设备1-X-设备2”的三元组。

需要注意的是，上述的提取构建过程都是基于同一系统信息ID，以准备为此信息系统实现可视化的数据信息，即后续生成的知识图谱仅是反映了此信息系统的防御能力。当然，知识图谱构建单元可以同时执行多个待测信息系统中三元组的构建。

图4示意性示出了根据本发明实施例处理关键信息的方法流程图。

如图4所示，该实施例以信息系统A为例，包括步骤S310~步骤S320，具体如下。

在步骤S310，清洗关键信息，仅保留每个防御主体的本体名称、所属的信息系统ID、所属阶段和战术措施。

由于关键信息来自于多个不同的数据源，为了消除因多元数据造成的格式差异和数据冗余，对防御主体的关键信息进行数据清洗，仅保留可用于分析、分类或标识作用的数据。

例如，仅保留每个防御主体的本体名称、所属的信息系统ID、所属阶段和战术措施。

在步骤S320，根据信息系统ID，将同一信息系统ID的关键信息进行合并，形成表格。

在清洗关键信息后，将留存的关键信息以所属的信息系统ID为依据进行合并，将关键信息中的其他信息依次排列形成表格，详细格式如下表2。

表2 防御数据整合

需要注意的是，在步骤S210中公开了，从基础技术中也可以衍生出更具体的防御手段，根据战术措施衍生出的更具体的防御技术也可在表中表示出来。战术措施又可分为战术和基础技术，在表2中也可以分为两列展示。

图5示意性示出了根据本发明实施例提取第一层级三元组的方法流程图。

获取实体a和实体a的所属阶段，以及获取实体b和实体b的所属阶段，其中，实体a和实体b分别表示多个防御主体中任意两个不同的防御主体；

将实体a和实体b分别作为知识图谱的第一层级的节点；以及

在实体a的所属阶段和实体b的所属阶段相同时，联结实体a和实体b，以生成知识图谱的第一层级的边，其中，边表示联结的两个实体具有的相同的所属阶段。

如图5所示，该实施例可以结合表2做进一步地解释说明，包括步骤S410~步骤S440，具体如下。

在步骤S410，获取表格内各类防御主体的本体名称。

表2中的本体名称是各类防御主体的名称，在此步骤中，获取表2中本体名称一列的所有信息字段值。

在步骤S420，将本体名称映射在第一层级的三元组的实体a或实体b上。

将步骤S410中获取到的信息字段值映射在三元组的实体上，每个实体为不同的信息字段值，即，每个实体表征不同的防御主体。在本实施例中，防御主体在映射完成后，用实体a、实体b、实体c……表示不同的防御主体。

需要注意的是，为了清楚地解释三元组的构成，将一个三元组内的实体分为实体a和实体b，其中实体a和实体b为两个不同的防御主体。

在步骤S430，获取表格内防御主体的所属阶段。

在防御主体映射完成之后，获取每个防御主体的所属阶段。例如，表2中实体（防御主体）为IPS，其对应的所属阶段为检测；再例如，表2中实体（防御主体）为防火墙，其对应的所属阶段为隔离。

需要注意的是，本发明中的所属阶段与战术进行匹配，所属阶段的字段值与战术的字段值相同，此方式仅作为实施例。可以理解的是，作为另一种实施例，所属阶段也可以与基础技术进行匹配，所属阶段的字段值与基础技术的字段值相同，具体如图3中用所属阶段A、所属阶段B、所属阶段C……表示两个防御主体之间的基础战术的关联关系。

在步骤S440，基于所属阶段，将具备相同的所属阶段的实体a和实体b相关联。

根据步骤S430获取到的所属阶段，将两个具有相同的所属阶段的防御主体产生关联，构建成三元组。可以理解为，在三元组中，其中一个实体为防御主体A，关系为此防御主体对应的所属阶段，另一个实体为具有相同所属阶段的另一个防御主体B。

上述的技术方案是对整个信息系统的防御能力的评估分析，为了进一步地完善信息系统的防御能力的评估，考虑到防御主体的强弱对所属的信息系统也有很大的影响，因此本发明还对每个防御主体进行了评估，如图6-图10所示。

图6示意性示出了根据本发明实施例防御主体的相关信息补充在知识图谱上的流程图。

如图6所示，该实施例包括步骤S510~步骤S530，具体如下。

在步骤S510，根据战术措施，从多个维度对其所属的防御主体进行评分，生成防御主体总分。

目前评价各类防御主体时，仅能粗略的对同一种类的防御主体进行对比。以防火墙为例，防火墙的战术措施为网络隔离，实际应用中可将防火墙分为四层防火墙和七层防火墙，其中的四层防火墙只能根据五元组进行网络请求限制（限制端口），而七层防火墙可进行流检测和包检测（限制端口和传输内容），因此相比于四层防火墙，七层防火墙的防御效果更好。但在现实中，比如上述的同样是防火墙，不同型号、厂家的防火墙具备的性能和细粒度不同，侧重也不同，故无法量化分值，存在对比困难的问题。

因此针对各类防御主体对信息系统的作用不同，存在加固、检测、隔离、欺骗和驱逐多种战术措施，为了具象化地体现各类防御主体的防御能力，将各类防御主体采用统一的评分标准进行评分。

评分表格是人工预先根据实际经验和历史数据建立的，对于一个防御主体，从多个维度对其的防御能力进行打分。其中，多个维度覆盖了各类防御主体均应具备的性能，这样的评分标准具备公平性和科学性。

在一个实施例中，人工预先建立的评分表如表3所示，维度包括6个，分别为：防御健壮性、防御灵敏性、防御隐蔽性、防御新颖性、防御可追溯性和防御成本，每个维度分为4档，对应不同的分值。

表3 防御主体维度评分表

防御主体总分表征防御主体的防御能力。根据表3中的六个维度，分别对每个防御主体的战术措施进行评分，每个维度得到一个分数，然后计算防御主体总分。

在计算完成后，可在表2的基础上补充防御主体总分。表4是最终版的防御主体数据表。

表4 防御主体数据表

在步骤S520，建立“实体i-属性-属性值”的三元组，其中，实体i为实体a或实体b，属性为实体i的战术措施和/或防御主体总分，属性值为属性对应的字段值。

第二层级是在第一层级的基础上构建的，第一层级的实体与第二层级的实体相同，均为防御主体，属性是战术措施（战术和基础技术）、具体防御手段或防御主体总分中的至少一个，属性值是属性对应的字段值。

例如，以表4中防火墙为例，“实体i-属性-属性值”三元组可以根据表4生成“防火墙-战术-隔离”、“防火墙-基础技术-网络隔离”、“防火墙-具体防御手段-防火墙逻辑隔离”和“防火墙-防御主体总分-9”。

在步骤S530，根据第一层级的实体a或实体b、以及第二层级的实体i，将第二层级的属性和属性值对应补充到知识图谱上，以形成知识图谱的第二层级。

根据本发明的信息系统防御能力的评估方法，以统一的计算公式和维度量化防御主体的防御能力，依靠对防御主体纵向加深挖掘，获取到完整的信息系统的防御能力，有助于更有针对性地进行风险防护和评价。

图7示意性示出了根据本发明实施例防御主体总分生成的方法流程图。

如图7所示，该实施例是结合表3和表4的解释说明，包括步骤S610~步骤S620，具体如下。

在步骤S610，根据战术措施的特征性能的程度，从多个维度进行评分。

根据表3中的六个维度，将每个维度内的分值根据战术措施的特征性能的程度进行分配，本发明中将每个维度分为4个分数值。

例如，表4中的防御主体总分列，对IPS的检测战术以及网络流量基础技术进行分析后，六个维度的值分别为：防御健壮性1分、防御灵敏性2分、防御隐蔽性1分、防御新颖性1分、防御可追溯性1分和防御成本2分。

再例如，对防火墙的隔离战术以及网络隔离基础技术进行分析后，六个维度的值分别为：防御健壮性3分、防御灵敏性0分、防御隐蔽性2分、防御新颖性1分、防御可追溯性1分和防御成本2分。

需要注意的是，由于防御主体细分众多，在对特征性能的程度进行衡量时，需要根据实际情况主观定夺，本发明仅提供了客观的衡量方法，即衡量的维度和可实施的力度。

在步骤S620，将多个维度的评分加和，生成防御主体总分。

防御主体总分的计算方法可以简单地将6个维度值的评分直接加和得到，以量化防御主体在实施相关战术措施时的防御能力。

例如，根据步骤S610，在表4中IPS的各项维度评分加和后，得到防御主体总分7分。

再例如，根据步骤S610，在表4中防火墙的各项维度评分加和后，得到防御主体总分9分。

当然，在计算防御主体总分时，也可以针对性地在个别维度或所有维度上加权，得到更具科学性的分值。

图8示意性示出了根据本发明实施例将第二层级的三元组映射到知识图谱上的流程图。

获取第一层级的实体a的本体名称和所属阶段；获取第一层级的实体b的本体名称和所属阶段；获取第二层级的实体i的本体名称和所属阶段。

首先，需要找到同一个主体名称、且在信息系统中作用相同的防御主体，通过比较主体名称和其对应的所属阶段，来判断是否为相同的防御主体。

当实体a与实体i的本体名称相同、且所属阶段也相同时，将第二层级的属性和属性值映射到实体a的对应位置上；当实体b与实体i的本体名称相同、且所属阶段也相同时，将第二层级的属性和属性值映射到实体b的对应位置上。

然后，当判断为同一个防御主体时，可以将第二层级“实体i-属性-属性值”的三元组映射在知识图谱中实体对应的位置上。

图9示意性示出了根据图8中的映射方法，生成的知识图谱的示意图。

图9与图3比较，图3仅包含第一层级，通过各类防御主体的关联关系，可在横向上扩大脆弱点的分析范围，而图9中包含第一层级和第二层级，不仅能体现各类防御主体的关联关系，还经过对各类防御主体的纵向挖掘，识别防御主体的防御能力。

图10示意性示出了根据本发明实施例防御主体的评估方法流程图。

如图10所示，该实施例包括步骤S710~步骤S730，具体如下。

根据防御主体总分和战术措施，评估防御主体的防御能力。

为进一步地细化防御主体的评估，考虑到防御主体之间反应速率、防御能力、掌控资源等方面的差异，可根据防御主体总分和战术措施，评估防御主体的防御能力。

在步骤S710，根据知识图谱的第二层级，获取战术措施的步骤。

结合表1，在现实中，一个防御主体的其中一个战术可能包括多个基础技术，同一个战术下的基础战术的数量为战术措施的步骤。例如，天眼（设备名称）可能不仅包括网络流量分析，还包括用户行为分析，因此在检测战术下，包括两个基础技术，则步骤为2。

在步骤S720，利用防御主体总分除以战术措施的步骤，生成防御能力得分。

根据“防御能力得分=防御主体总分/战术措施的步骤”，其中防御主体总分为步骤S620计算出的，战术措施的步骤为步骤S710获得的。

在步骤S730，根据防御能力得分计算防御等级，并得出防御等级相应的防御说明。

防御等级表征可对抗外界入侵的能力，防御等级越高，防御能力就越强。

在一个实施例中，如表5所示，根据计算出的防御能力得分，将防御能力得分划分为5个防御等级，分别为个人自主防御、系统级防御、组织级防御、结构化级防御和专控级防御，并规定相应的防御说明。

如表5中，从A至E的防御等级递减，从而量化防御主体对攻击威胁的抵抗能力。根据表5中的防御能力得分，将信息系统的防御能力分为五个区间。当防御能力得分在第一区间时，评估信息系统的防御能力等级为第一等级，并得出与第一等级相应的防御说明；当防御能力得分在第二区间时，评估信息系统的防御能力等级为第二等级，并得出与第二等级相应的防御说明；当防御能力得分在第三区间时，评估信息系统的防御能力等级为第三等级，并得出与第三等级相应的防御说明；当防御能力得分在第四区间时，评估信息系统的防御能力等级为第四等级，并得出与第四等级相应的防御说明；以及当防御能力得分在第五区间时，评估信息系统的防御能力等级为第五等级，并得出与第五等级相应的防御说明。

表5 防御等级评价

例如，根据表4和表5，信息系统中的IPS的防御主体总分7分，运用了1项基础战术，则防御能力得分为7，在第三区间，防御等级为第三等级C，相应的防御说明为“对于防御有不同分工的角色进行防御技战术设计、执行，具有开发防御工具的能力，可主动对攻击溯源追踪。通常在单一地理区域内运营。”

根据本发明的信息系统防御能力的评估方法，将防御等级及其对应的规则与知识图谱相结合，不仅可视化地展示出信息系统的防御部署，还能得到每个防御主体的具体防御等级，可以更加针对性的修正弥补信息系统中的脆弱点，有助于更有针对性地进行风险防护评价。

基于上述信息系统防御能力的评估方法，本发明还提供了一种信息系统防御能力的评估装置。以下将结合图11对该装置进行详细描述。

图11示意性示出了根据本发明实施例信息系统防御能力的评估装置的结构框图。

如图11所示，该实施例的评估装置800包括：第一提取模块810、构建模块820、第二提取模块830、第一评估模块840、预判提取模块850和第二评估模块860。

第一提取模块810用于：提取多个防御主体的关键信息，其中，关键信息包括本体名称、所属阶段和战术措施。在一个实施例中，第一提取模块810可以用于执行前文描述的步骤S210，在此不再赘述。

构建模块820用于：基于多个防御主体和关键信息建立知识图谱，其中，知识图谱包括第一层级和第二层级，知识图谱的第一层级包括实体-关系-实体的三元组，用于表示信息系统中各个防御主体之间的横向关系；知识图谱的第二层级包括实体-属性-属性值的三元组，用于表示信息系统中每一个防御主体自身的防御特征。在一个实施例中，构建模块820可以用于执行前文描述的步骤S220，在此不再赘述。

第二提取模块830用于：根据知识图谱的第一层级，获取信息系统包括的所有所属阶段。在一个实施例中，第二提取模块830可以用于执行前文描述的步骤S230，在此不再赘述。

第一评估模块840用于：根据信息系统包括的所有所属阶段，初步评估信息系统的防御能力等级。在一个实施例中，第一评估模块840可以用于执行前文描述的步骤S240，在此不再赘述。

预判提取模块850用于：在初步评估信息系统的防御能力等级满足规定要求的情况下，根据知识图谱的第二层级，获取信息系统的防御能力得分。在一个实施例中，预判提取模块850可以用于执行前文描述的步骤S250，在此不再赘述。

第二评估模块860用于：根据防御能力得分，评估信息系统的防御能力等级。在一个实施例中，第二评估模块860可以用于执行前文描述的步骤S260，在此不再赘述。

根据本发明的实施例的评估装置800，可执行评估方法步骤S210-步骤S260，通过第一层级转化的知识图谱，可从中可视化地获得各类防御主体的关联关系以及信息系统的防御部署，从整体的关联关系中读取到信息系统的脆弱点，针对脆弱点提供更有价值的决策支持。

根据本发明的实施例，第一提取模块810、构建模块820、第二提取模块830、第一评估模块840、预判提取模块850和第二评估模块860中的任意多个模块可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本发明的实施例，第一提取模块810、构建模块820、第二提取模块830、第一评估模块840、预判提取模块850和第二评估模块860中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列（FPGA）、可编程逻辑阵列（PLA）、片上系统、基板上的系统、封装上的系统、专用集成电路（ASIC），或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，第一提取模块810、构建模块820、第二提取模块830、第一评估模块840、预判提取模块850和第二评估模块860中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

如图12所示，根据本发明实施例的电子设备900包括处理器901，其可以根据存储在只读存储器（ROM）902中的程序或者从存储部分908加载到随机访问存储器（RAM）903中的程序而执行各种适当的动作和处理。处理器901例如可以包括通用微处理器（例如CPU）、指令集处理器和/或相关芯片组和/或专用微处理器（例如，专用集成电路（ASIC））等等。处理器901还可以包括用于缓存用途的板载存储器。处理器901可以包括用于执行根据本发明实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 903中，存储有电子设备900操作所需的各种程序和数据。处理器 901、ROM902以及RAM 903通过总线904彼此相连。处理器901通过执行ROM 902和/或RAM 903中的程序来执行根据本发明实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 902和RAM 903以外的一个或多个存储器中。处理器901也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本发明实施例的方法流程的各种操作。

根据本发明的实施例，电子设备900还可以包括输入/输出（I/O）接口905，输入/输出（I/O）接口905也连接至总线904。电子设备900还可以包括连接至I/O接口905的以下部件中的一项或多项：包括键盘、鼠标等的输入部分906；包括诸如阴极射线管（CRT）、液晶显示器（LCD）等以及扬声器等的输出部分907；包括硬盘等的存储部分908；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分909。通信部分909经由诸如因特网的网络执行通信处理。驱动器910也根据需要连接至I/O接口905。可拆卸介质911，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器910上，以便于从其上读出的计算机程序根据需要被安装入存储部分908。

本发明还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本发明实施例的方法。

根据本发明的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、便携式紧凑磁盘只读存储器（CD-ROM）、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。例如，根据本发明的实施例，计算机可读存储介质可以包括上文描述的ROM 902和/或RAM 903和/或ROM 902和RAM 903以外的一个或多个存储器。

本发明的实施例中还包括一种计算机程序产品，其包括计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。当计算机程序产品在计算机系统中运行时，该程序代码用于使计算机系统实现本发明实施例中所提供的评估方法。

在该计算机程序被处理器901执行时执行本发明实施例的系统/装置中限定的上述功能。根据本发明的实施例，上文描述的系统、装置、模块、单元等可以通过计算机程序模块来实现。

在一种实施例中，该计算机程序可以依托于光存储器件、磁存储器件等有形存储介质。在另一种实施例中，该计算机程序也可以在网络介质上以信号的形式进行传输、分发，并通过通信部分909被下载和安装，和/或从可拆卸介质911被安装。该计算机程序包含的程序代码可以用任何适当的网络介质传输，包括但不限于：无线、有线等等，或者上述的任意合适的组合。

在这样的实施例中，该计算机程序可以通过通信部分909从网络上被下载和安装，和/或从可拆卸介质911被安装。在该计算机程序被处理器901执行时，执行本发明实施例的系统中限定的上述功能。根据本发明的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。

根据本发明的实施例，可以以一种或多种程序设计语言的任意组合来编写用于执行本发明实施例中提供的计算机程序的程序代码，具体地，可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。程序设计语言包括但不限于诸如Java，C++，python，“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网（LAN）或广域网（WAN），连接到用户计算设备，或者，可以连接到外部计算设备（例如利用因特网服务提供商来通过因特网连接）。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本发明的各个实施例和/或权利要求中记载的特征可以进行多种组合或/或结合，即使这样的组合或结合没有明确记载于本发明中。特别地，在不脱离本发明精神和教导的情况下，本发明的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本发明的范围。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“实例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

以上对本发明的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本发明的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本发明的范围由所附权利要求及其等同物限定。不脱离本发明的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本发明的范围之内。

Claims

1.一种基于知识图谱的信息系统防御能力的评估方法，所述信息系统包括多个防御主体，其特征在于，包括以下步骤：

2.根据权利要求1所述的评估方法，其特征在于，所述知识图谱的第一层级包括实体-关系-实体的三元组，所述实体-关系-实体的三元组中的两个实体分别表示所述多个防御主体中任意两个不同的防御主体，所述关系表示联结的两个实体具有的相同的所属阶段。

3.根据权利要求1所述的评估方法，其特征在于，所述知识图谱的第二层级包括实体-属性-属性值的三元组，所述实体-属性-属性值的三元组中的实体表示所述多个防御主体中任一个防御主体，所述属性表示所述任一个防御主体自身的属性，所述属性值表示所述任一个防御主体自身的属性所对应的值。

4.根据权利要求1所述的评估方法，其特征在于，根据所述信息系统包括的所有所属阶段，初步评估所述信息系统的防御能力等级，具体包括：

5.根据权利要求4所述的评估方法，其特征在于，所述所属阶段包括：加固、检测、隔离、欺骗和驱逐。

6.根据权利要求5所述的评估方法，其特征在于，所述隔离和所述检测为一级防御阶段，所述加固和所述驱逐为二级防御阶段，所述欺骗为三级防御阶段；以及

所述一级防御阶段为必要防御阶段。

7.根据权利要求6所述的评估方法，其特征在于，根据所述信息系统包括的所有所属阶段，初步评估所述信息系统的防御能力等级，具体包括：

8.根据权利要求1所述的评估方法，其特征在于，所述关键信息还包括信息系统ID，所述评估方法还包括：对所述关键信息进行预处理，其中，在所述预处理过程中，以所述信息系统ID为依据进行分类。

9.根据权利要求2所述的评估方法，其特征在于，所述基于所述多个防御主体和所述关键信息建立知识图谱具体包括：

10.根据权利要求9所述的评估方法，其特征在于，所述基于所述多个防御主体和所述关键信息建立知识图谱，还具体包括：

11.根据权利要求10所述的评估方法，其特征在于，根据战术措施，从多个维度对其所属的防御主体进行评分，生成防御主体总分，具体包括：

将所述多个维度的评分加和，生成防御主体总分。

12.根据权利要求10所述的评估方法，其特征在于，根据所述第一层级的实体a或实体b、以及所述第二层级的实体i，将所述第二层级的信息对应补充到所述知识图谱上，具体包括：

获取第一层级的实体a的本体名称和所属阶段；

获取第一层级的实体b的本体名称和所属阶段；

获取第二层级的实体i的本体名称和所属阶段；

13.根据权利要求10所述的评估方法，其特征在于，所述维度包括：防御健壮性、防御灵敏性、防御隐蔽性、防御新颖性、防御可追溯性和防御成本。

14.根据权利要求10所述的评估方法，其特征在于，所述根据所述知识图谱的第二层级，获取所述信息系统的防御能力得分，具体包括：

根据所述知识图谱的第二层级，获取战术措施的步骤；以及

15.根据权利要求14所述的评估方法，其特征在于，根据所述防御能力得分，评估所述信息系统的防御能力等级，具体包括：

16.一种信息系统防御能力的评估装置，所述信息系统包括多个防御主体，其特征在于，包括：

17.一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行根据权利要求1~15中任一项所述的评估方法。

18.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行根据权利要求1~15中任一项所述的评估方法。