CN114884705A - 一种信息安全评估的实施用例的生成方法及系统 - Google Patents

Abstract

本申请提出了一种信息安全评估的实施用例的生成方法及系统，涉及信息安全领域。一种信息安全评估的实施用例的生成方法包括：获取信息安全评估信息中各基本要素值及源数据信息；根据基本要素值及源数据信息建立评估用例模型，评估用例模型包括各项评估标准对应的安全评估内容；利用评估用例模型计算得到待信息安全评估的风险要素值，断定是否处于安全或者不安全的状态。能够增强相关活动的规范性和一致性，改善评价效果，提高评估效率，提高评估项目的自动化管理水平。此外本申请还提出了一种信息安全评估的实施用例的生成系统，包括：信息采集模块、模型建立模块及信息安全评估模块。

Description

一种信息安全评估的实施用例的生成方法及系统

技术领域

本申请涉及信息安全领域，具体而言，涉及一种信息安全评估的实施用例的生成方法及系统。

背景技术

目前，信息安全领域中的系统安全评估在实际的操作过程中一般是依据相关国家信息安全评估标准，采用以人工操作为主的方式实施。因此每个评估项目都会因实施人员的差异带有强烈的个性化特征，导致在相同的标准下，最终评估用的实施用例会也各不相同，评估的质量难以保证。

现有的以计算机为平台的评估系统通常提供一个保存了大量测试用例的数据库，在实际评估时调用相应的测试用例；而信息安全领域的评估中，情况较为复杂多变，评估标准、行业类型、应用场景、系统对象类型繁多，由其组合而成的实际评估项目的情况更是多种多样；如果照搬常规的测试用例数据库的组织思想，针对不同类型特点的系统安全评估项目分别设计一套实施用例，那么最后数据库中的实施用例数量规模将非常庞大，而且仍然有可能无法涵盖所有类型的评估项目；另外每当出现新的标准或新的行业应用时，都需要重新编写相关测试用例，工作很繁复、容易出错，应用的灵活性和扩展性都较差。因此现有的基于计算机实现的评估系统无法很好的适用于信息安全领域。

发明内容

本申请的目的在于提供一种信息安全评估的实施用例的生成方法，其能够增强相关活动的规范性和一致性，改善评价效果，提高评估效率，提高评估项目的自动化管理水平。

本申请的另一目的在于提供一种信息安全评估的实施用例的生成系统，其能够运行一种信息安全评估的实施用例的生成方法。

本申请的实施例是这样实现的：

第一方面，本申请实施例提供一种信息安全评估的实施用例的生成方法，其包括获取信息安全评估信息中各基本要素值及源数据信息；根据基本要素值及源数据信息建立评估用例模型，评估用例模型包括各项评估标准对应的安全评估内容；利用评估用例模型计算得到待信息安全评估的风险要素值，断定是否处于安全或者不安全的状态。

在本申请的一些实施例中，上述获取信息安全评估信息中各基本要素值及源数据信息包括：获取基本要素值及源数据信息中的基础数据、业务类型信息、行业类型信息、测试对象信息。

在本申请的一些实施例中，上述还包括：对源数据信息进行网络抓包，进行网络传输安全测试，得到网络传输安全测试信息，然后将网络传输安全测试信息作为信息安全评估信息。

在本申请的一些实施例中，上述根据基本要素值及源数据信息建立评估用例模型，评估用例模型包括各项评估标准对应的安全评估内容包括：根据各项评估标准的层次化关联关系，在信息安全标准库中建立层次逻辑、多个类别。

在本申请的一些实施例中，上述还包括：在建立评估用例模型时，建立安全评估内容和所保存的基本要素值及源数据信息之间的关联关系。

在本申请的一些实施例中，上述利用评估用例模型计算得到待信息安全评估的风险要素值，断定是否处于安全或者不安全的状态包括：生成的风险要素值对应的风险要素值，包括能够导致风险的安全事件和安全漏洞的概率，以及各种安全事件和安全漏洞所对应的安全风险等级。

在本申请的一些实施例中，上述还包括：利用评估用例模型计算得到待信息安全评估的风险要素值，其中，在评估用例模型中的各个安全域的风险基本要素的最大值对应的权重值最大。

第二方面，本申请实施例提供一种信息安全评估的实施用例的生成系统，其包括信息采集模块，用于获取信息安全评估信息中各基本要素值及源数据信息；

模型建立模块，用于根据基本要素值及源数据信息建立评估用例模型，评估用例模型包括各项评估标准对应的安全评估内容；

信息安全评估模块，用于利用评估用例模型计算得到待信息安全评估的风险要素值，断定是否处于安全或者不安全的状态。

在本申请的一些实施例中，上述包括：用于存储计算机指令的至少一个存储器；与上述存储器通讯的至少一个处理器，其中当上述至少一个处理器执行上述计算机指令时，上述至少一个处理器使上述系统执行：信息采集模块、模型建立模块及信息安全评估模块。

第三方面，本申请实施例提供一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如一种信息安全评估的实施用例的生成方法中任一项的方法。

相对于现有技术，本申请的实施例至少具有如下优点或有益效果：

可以建立一种标准化、自动化、组件化的通用信息安全实施用例，包括评估用例实例及与之相关联的测试用例实例，生成、任务规划和评估数据采集、汇总分析的软件实现框架，从而支持类似的信息安全评估活动能够采用规范、一致的评估要求和实施方法，高效地开展，从而提高评估工作的数据采集效率和评估分析效果。安全风险通过各个层级的风险值、威胁值、脆弱性值立体呈现，使得用户可以通过下钻快速定位顶层风险域或者顶层风险资产，从而便于根据风险值及时作出风险预警。还可以扩展到其他基于特定实施标准的评估活动中，从而增强相关活动的规范性和一致性，改善评价效果，提高评估效率，提高评估项目的自动化管理水平。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的一种信息安全评估的实施用例的生成方法步骤示意图；

图2为本申请实施例提供的一种信息安全评估的实施用例的生成方法详细步骤示意图；

图3为本申请实施例提供的一种信息安全评估的实施用例的生成系统模块示意图；

图4为本申请实施例提供的一种电子设备。

图标：10-信息采集模块；20-模型建立模块；30-信息安全评估模块；101-存储器；102-处理器；103-通信接口。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

需要说明的是，术语“包括”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

下面结合附图，对本申请的一些实施方式作详细说明。在不冲突的情况下，下述的各个实施例及实施例中的各个特征可以相互组合。

实施例1

请参阅图1，图1为本申请实施例提供的一种信息安全评估的实施用例的生成方法步骤示意图，其如下所示：

步骤S100，获取信息安全评估信息中各基本要素值及源数据信息；

在一些实施方式中，保存各项评估标准，其中，所述各项评估标准包含各自对应的安全评估内容；分别形成不同行业类型和业务类型的评估用例模板；所述评估用例模板包括所属行业类型和业务类型所包含的各项评估标准对应的安全评估内容，以及各安全评估内容所对应的测试方法；根据待评估项目的业务类型、行业类型选择对应的评估用例模板，构造该待评估项目的评估用例实例。

步骤S110，根据基本要素值及源数据信息建立评估用例模型，评估用例模型包括各项评估标准对应的安全评估内容；

在一些实施方式中，评估者可根据自身情况选择相应的风险计算方法计算基本要素值，如矩阵法或相乘法。矩阵法通过构造一个二维矩阵，形成安全事件的可能性与安全事件造成的损失之间的二维关系；相乘法通过构造经验函数，将安全事件的可能性与安全事件造成的损失进行运算得到基本要素值。

步骤S120，利用评估用例模型计算得到待信息安全评估的风险要素值，断定是否处于安全或者不安全的状态。

在一些实施方式中，对信息网络中所有传输的数据进行检测、分析、诊断，帮助用户排除网络事故，规避安全风险，提高网络性能，增大网络可用性价值；通过建立一个网络安全评估准则，将网络信息与网络安全评估准则进行对比，断定是否处于安全或者不安全的状态；具体评估是对网络信息与评估系统对比之后进行一个详细的评估，如网络信息的风险值不及安全评估系统，说明网络信息是安全的，若网络信息的风险值超过了安全评估系统，说明网络信息是不安全的。

实施例2

请参阅图2，图2为本申请实施例提供的一种信息安全评估的实施用例的生成方法详细步骤示意图，其如下所示：

步骤S200，获取基本要素值及源数据信息中的基础数据、业务类型信息、行业类型信息、测试对象信息。

步骤S210，对源数据信息进行网络抓包，进行网络传输安全测试，得到网络传输安全测试信息，然后将网络传输安全测试信息作为信息安全评估信息。

步骤S220，根据各项评估标准的层次化关联关系，在信息安全标准库中建立层次逻辑、多个类别。

步骤S230，在建立评估用例模型时，建立安全评估内容和所保存的基本要素值及源数据信息之间的关联关系。

步骤S240，生成的风险要素值对应的风险要素值，包括能够导致风险的安全事件和安全漏洞的概率，以及各种安全事件和安全漏洞所对应的安全风险等级。

步骤S250，利用评估用例模型计算得到待信息安全评估的风险要素值，其中，在评估用例模型中的各个安全域的风险基本要素的最大值对应的权重值最大。

在一些实施方式中，针任意一个风险基本要素，将信息系统内的各个安全域的风险基本要素的值作为模型因子，利用预设的概率计算模型计算得到信息系统的风险基本要素的值，其中，在概率计算模型中信息系统内的各个安全域的风险基本要素的最大值对应的权重值最大；根据信息系统的风险基本要素的值，利用风险评估算法求得信息系统的风险值当安全系统的层级更多时，更多一层的风险值也是根据次一层的三个基本要素的值计算得到的，所以本发明实施例提供的方法可以用来计算安全系统的每个层级的风险值。生成信息系统的安全风险报告，其中安全风险报告包括：能够导致风险的安全事件和安全漏洞的清单，以及各种安全事件和安全漏洞所对应的安全风险等级。安全风险报告是为了实现对风险的控制与管理，可以对风险评估的结果进行等级化处理可将风险划分为五级，等级越高，风险越高。评估者应根据所采用的风险计算方法，计算每种资产面临的风险值，根据风险值的分布状况，为每个等级设定风险值范围，并对所有风险计算结果进行等级处理。

实施例3

请参阅图3，图3为本申请实施例提供的一种信息安全评估的实施用例的生成系统模块示意图，其如下所示：

信息采集模块10，用于获取信息安全评估信息中各基本要素值及源数据信息；

模型建立模块20，用于根据基本要素值及源数据信息建立评估用例模型，评估用例模型包括各项评估标准对应的安全评估内容；

信息安全评估模块30，用于利用评估用例模型计算得到待信息安全评估的风险要素值，断定是否处于安全或者不安全的状态。

如图4所示，本申请实施例提供一种电子设备，其包括存储器101，用于存储一个或多个程序；处理器102。当一个或多个程序被处理器102执行时，实现如上述第一方面中任一项的方法。

还包括通信接口103，该存储器101、处理器102和通信接口103相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通讯总线或信号线实现电性连接。存储器101可用于存储软件程序及模块，处理器102通过执行存储在存储器101内的软件程序及模块，从而执行各种功能应用以及数据处理。该通信接口103可用于与其他节点设备进行信令或数据的通信。

其中，存储器101可以是但不限于，随机存取存储器101(Random Access Memory，RAM)，只读存储器101(Read Only Memory，ROM)，可编程只读存储器101(ProgrammableRead-Only Memory，PROM)，可擦除只读存储器101(Erasable Programmable Read-OnlyMemory，EPROM)，电可擦除只读存储器101(Electric Erasable Programmable Read-OnlyMemory，EEPROM)等。

处理器102可以是一种集成电路芯片，具有信号处理能力。该处理器102可以是通用处理器102，包括中央处理器102(Central Processing Unit，CPU)、网络处理器102(Network Processor，NP)等；还可以是数字信号处理器102(Digital Signal Processing，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

在本申请所提供的实施例中，应该理解到，所揭露的方法及系统，也可以通过其它的方式实现。以上所描述的方法及系统实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的方法及系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

另一方面，本申请实施例提供一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器102执行时实现如上述第一方面中任一项的方法。所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器101(ROM，Read-Only Memory)、随机存取存储器101(RAM，RandomAccess Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

综上所述，本申请实施例提供的一种信息安全评估的实施用例的生成方法及系统，可以建立一种标准化、自动化、组件化的通用信息安全实施用例，包括评估用例实例及与之相关联的测试用例实例，生成、任务规划和评估数据采集、汇总分析的软件实现框架，从而支持类似的信息安全评估活动能够采用规范、一致的评估要求和实施方法，高效地开展，从而提高评估工作的数据采集效率和评估分析效果。安全风险通过各个层级的风险值、威胁值、脆弱性值立体呈现，使得用户可以通过下钻快速定位顶层风险域或者顶层风险资产，从而便于根据风险值及时作出风险预警。还可以扩展到其他基于特定实施标准的评估活动中，从而增强相关活动的规范性和一致性，改善评价效果，提高评估效率，提高评估项目的自动化管理水平。

以上仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

对于本领域技术人员而言，显然本申请不限于上述示范性实施例的细节，而且在不背离本申请的精神或基本特征的情况下，能够以其它的具体形式实现本申请。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本申请的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本申请内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。

Claims (10)

1.一种信息安全评估的实施用例的生成方法，其特征在于，包括：

获取信息安全评估信息中各基本要素值及源数据信息；

根据基本要素值及源数据信息建立评估用例模型，评估用例模型包括各项评估标准对应的安全评估内容；

利用评估用例模型计算得到待信息安全评估的风险要素值，断定是否处于安全或者不安全的状态。

2.如权利要求1所述的一种信息安全评估的实施用例的生成方法，其特征在于，所述获取信息安全评估信息中各基本要素值及源数据信息包括：

获取基本要素值及源数据信息中的基础数据、业务类型信息、行业类型信息、测试对象信息。

3.如权利要求2所述的一种信息安全评估的实施用例的生成方法，其特征在于，还包括：

对源数据信息进行网络抓包，进行网络传输安全测试，得到网络传输安全测试信息，然后将网络传输安全测试信息作为信息安全评估信息。

4.如权利要求1所述的一种信息安全评估的实施用例的生成方法，其特征在于，所述根据基本要素值及源数据信息建立评估用例模型，评估用例模型包括各项评估标准对应的安全评估内容包括：

根据各项评估标准的层次化关联关系，在信息安全标准库中建立层次逻辑、多个类别。

5.如权利要求4所述的一种信息安全评估的实施用例的生成方法，其特征在于，还包括：

在建立评估用例模型时，建立安全评估内容和所保存的基本要素值及源数据信息之间的关联关系。

6.如权利要求1所述的一种信息安全评估的实施用例的生成方法，其特征在于，所述利用评估用例模型计算得到待信息安全评估的风险要素值，断定是否处于安全或者不安全的状态包括：

生成的风险要素值对应的风险要素值，包括能够导致风险的安全事件和安全漏洞的概率，以及各种安全事件和安全漏洞所对应的安全风险等级。

7.如权利要求6所述的一种信息安全评估的实施用例的生成方法，其特征在于，还包括：

利用评估用例模型计算得到待信息安全评估的风险要素值，其中，在评估用例模型中的各个安全域的风险基本要素的最大值对应的权重值最大。

8.一种信息安全评估的实施用例的生成系统，其特征在于，包括：

信息采集模块，用于获取信息安全评估信息中各基本要素值及源数据信息；

模型建立模块，用于根据基本要素值及源数据信息建立评估用例模型，评估用例模型包括各项评估标准对应的安全评估内容；

信息安全评估模块，用于利用评估用例模型计算得到待信息安全评估的风险要素值，断定是否处于安全或者不安全的状态。

9.如权利要求8所述的一种信息安全评估的实施用例的生成系统，其特征在于，包括：

用于存储计算机指令的至少一个存储器；

与所述存储器通讯的至少一个处理器，其中当所述至少一个处理器执行所述计算机指令时，所述至少一个处理器使所述系统执行：信息采集模块、模型建立模块及信息安全评估模块。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1-7中任一项所述的方法。

Images