CN116232768B - 一种信息安全评估方法、系统、电子设备及存储介质 - Google Patents

一种信息安全评估方法、系统、电子设备及存储介质 Download PDF

Info

Publication number
CN116232768B
CN116232768B CN202310504403.9A CN202310504403A CN116232768B CN 116232768 B CN116232768 B CN 116232768B CN 202310504403 A CN202310504403 A CN 202310504403A CN 116232768 B CN116232768 B CN 116232768B
Authority
CN
China
Prior art keywords
information
vulnerability
analysis
security
user object
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202310504403.9A
Other languages
English (en)
Other versions
CN116232768A (zh
Inventor
洪之旭
刘健超
张克佳
张城玮
洪宇轩
张亚
孟繁玉
赵阳彬
冯振涛
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hanxing Tongheng Technology Group Co ltd
Original Assignee
Hanxing Tongheng Technology Group Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hanxing Tongheng Technology Group Co ltd filed Critical Hanxing Tongheng Technology Group Co ltd
Priority to CN202310504403.9A priority Critical patent/CN116232768B/zh
Publication of CN116232768A publication Critical patent/CN116232768A/zh
Application granted granted Critical
Publication of CN116232768B publication Critical patent/CN116232768B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Technology Law (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)

Abstract

本发明涉及网络安全领域，尤其涉及一种信息安全评估方法、系统、电子设备及存储介质。其中，所述方法包括：获取用户对象进行安全评估的待评估信息；其中，所述待评估信息包括资产信息、威胁信息和脆弱性信息；根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息；确定用户对象的风险评估分析模型，并根据所述风险评估分析模型和所述分析结果信息，得到用户对象的安全风险评估报告。本发明的评估方法能够综合技术和管理两大方面实现对用户对象全面性的安全评估检测，且进行多方面分析提高综合评估报告的准确性。

Description

一种信息安全评估方法、系统、电子设备及存储介质
技术领域
本发明涉及网络安全领域，尤其涉及一种信息安全评估方法、系统、电子设备及存储介质。
背景技术
随着数字化转型的不断深入和互联网应用的持续增长，数据和信息的价值不断提高。网络安全攻防演练也暴露了诸多问题。为保障集团网络与信息系统的安全、稳定运行，摸清整体网络安全现状，需尽快开展网络安全评估，从管理、技术等层面对总部及各权属公司的网络安全现状开展风险评估工作，发现潜在安全隐患，将网络安全风险控制在可控的范围内，防止各类重大安全事件发生，保障集团网络安全稳定运行。
然而在现有技术中，评估方法专注于性能和效率，对集团安全检测的全面性有待提高，从而在综合考虑下评估报告的准确度有待提高。
因此，现有技术还有待于改进和发展。
发明内容
鉴于上述现有技术的不足，本发明的目的在于提供一种信息安全评估方法、系统、电子设备及存储介质，旨在解决如何提高对用户安全检测的全面性，以及如何提高综合评估报告的准确性的问题。
本发明的技术方案如下：
第一方面，本发明提供一种信息安全评估方法，其中，所述方法包括：
获取用户对象进行安全评估的待评估信息；其中，所述待评估信息包括资产信息、威胁信息和脆弱性信息；
根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息；其中，所述分析结果信息包括所述脆弱性信息对应的版本脆弱性分析信息和固件脆弱性分析信息；
确定用户对象的风险评估分析模型，并根据所述风险评估分析模型和所述分析结果信息，得到用户对象的安全风险评估报告；
所述根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息，包括：
确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到版本漏洞分析信息；其中，所述组件版本中包括web应用、主机操作系统和数据库；
获取用户对象的固件信息，并对所述固件信息进行脆弱性识别，得到固件脆弱性分析信息。
可选的，所述资产信息为用户对象中存储管理的网络数据；所述脆弱性信息为用户对象组件特性中可被攻击者利用的脆弱性；所述威胁信息为用户对象各组件中的安全配置；
所述根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息，包括：
对所述网络数据的逻辑结构、物理分布及冗余备份信息进行分析，得到第一资产分析信息；
对所述网络数据的敏感程度、访问控制权限设置和脱敏、加密防护信息进行分析，得到第二资产分析信息；
确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到漏洞分析信息；其中，所述组件版本中包括web应用、主机操作系统和数据库；
对用户对象各组件中的安全配置进行基线检查，得到配置分析信息；其中，所述安全配置包括服务器、web应用配置项及日志、网络设备和安全设备。
可选的，所述根据所述风险评估分析模型和所述分析结果信息，得到用户对象的安全风险评估报告，包括：
根据所述风险评估分析模型、所述配置分析信息和所述漏洞分析信息，得到第一风险信息；
根据所述风险评估分析模型、所述第一资产分析信息、所述第二资产分析信息和所述漏洞分析信息，得到第二风险信息；
根据所述第一风险信息和所述第二风险信息，得到用户对象的安全风险评估报告。
可选的，所述根据所述第一风险信息和所述第二风险信息，得到用户对象的安全风险评估报告，包括：
根据所述第一风险信息和所述第二风险信息，得到所述第一风险信息对应的第一权重系数；
根据所述第一风险信息和所述第二风险信息，得到所述第二风险信息对应的第二权重系数；
根据所述第一权重系数、所述第二权重系数和所述待评估信息，得到所述安全风险评估报告。
可选的，所述安全评估报告、资产信息、威胁信息、脆弱性信息、第一权重系数和第二权重系数满足如下表达式：
P=x*(b+c)+y*(a+b)；
其中，P为安全评估报告，a、b、c分别为资产信息、威胁信息和脆弱性信息，x、y分别为第一权重系数和第二权重系数。
可选的，所述确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到漏洞分析信息之后，还包括：
当所述漏洞分析信息的风险等级在预设等级之上时，对所述组件版本进行漏洞修复；
当所述漏洞分析信息的风险等级在预设等级以下时，对所述组件版本进行渗透测试。
可选的，所述确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到漏洞分析信息之后，还包括：
对用户对象的组件版本进行源代码分析，得到代码审计信息；
根据所述代码审计信息，对所述漏洞分析信息进行更新，得到更新后的漏洞分析信息。
第二方面，本发明提供一种信息安全评估系统，所述系统包括：
获取模块，用于获取用户对象进行安全评估的待评估信息；其中，所述待评估信息包括资产信息、威胁信息和脆弱性信息；
分析模块，用于根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息；其中，所述分析结果信息包括所述脆弱性信息对应的版本脆弱性分析信息和固件脆弱性分析信息；
计算模块，用于确定用户对象的风险评估分析模型，并根据所述风险评估分析模型和所述分析结果信息，得到用户对象的安全风险评估报告；
所述分析模块还用于：
确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到版本漏洞分析信息；其中，所述组件版本中包括web应用、主机操作系统和数据库；
获取用户对象的固件信息，并对所述固件信息进行脆弱性识别，得到固件脆弱性分析信息。
第三方面，本发明提供一种电子设备，包括：
至少一个处理器，以及与所述处理器通信连接的至少一个存储器；
所述存储器存储计算机执行指令；
所述处理器执行所述存储器存储的计算机执行指令，以实现如第一方面任一项所述的方法。
第四方面，本发明提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现如第一方面任一项所述的方法。
有益效果：本发明提供一种信息安全评估方法、系统、电子设备及存储介质，所述方法包括：获取用户对象进行安全评估的待评估信息；其中，所述待评估信息包括资产信息、威胁信息和脆弱性信息；根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息；确定用户对象的风险评估分析模型，并根据所述风险评估分析模型和所述分析结果信息，得到用户对象的安全风险评估报告。本发明的评估方法能够综合技术和管理两大方面实现对用户对象全面性的安全评估检测，且进行多方面分析提高综合评估报告的准确性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明提供的一种信息安全评估方法的流程示意图；
图2为本发明提供的一种安全评估关系模型的示意图；
图3为本发明提供的一种风险评估分析模型的示意图；
图4为本发明提供的一种信息安全评估系统的结构示意图；
图5为本发明提供的一种电子设备的硬件结构示意图。
具体实施方式
为使本发明的目的、技术方案及效果更加清楚、明确，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”“第四”等（如果存在）是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例例如能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
在现有技术中，对于用户对象（如安全机关、网信部门、设施企业、制造业企业、服务业企业等单位）在包括技术评估（网络架构分析、资产梳理、互联网暴露面、漏洞扫描、渗透测试）和管理评估（安全方针策略、信息安全组织、应急管理体系）的综合评估方面，对用户对象的安全评估检测不够全面，从而无法满足客户群体的要求，也不能在综合考虑后给出较为准确的评估报告。
基于上述问题，本发明提供的信息安全评估方法，通过对用户对象物理安全、网络安全、主机安全、应用安全、数据安全、安全管理机构、安全管理制度、人员安全管理、安全运维管理、安全建设管理等开展风险评估，梳理资产清单，形成企业信息安全整体分析报告，清晰呈现企业的整体信息安全状况。及时发现网络和信息系统安全短板，从管理和技术维度对主机、网络设备、数据库、中间件、应用系统等提供整改建议，并协助实施合理的风险控制措施，最大程度的防止各类安全事件的产生，保证网络与信息系统的安全、稳定运行。
本发明通过对用户对象的网络设备进行分析，按照技术价值链和信息管理价值链两个维度梳理出各个数据处理环节中用户对象不同组件及外部环境与预设安全目标的关系，构建用于对象安全评估基准模型，其中，构建的基准模型包括：待评估信息以及相关信息，其中，相关信息为在对用户对象进行待评估信息的安全评估过程中使用到的参考信息。例如，版本漏洞信息、参考配置、弱口令规则库等。
在本实施例中，以构建的基准模型作为依据，提供对用户对象的安全评估检测机制，对用户对象进行全面准确的评估检测。
下面以具体地实施例对本发明的技术方案进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例不再赘述。
图1为本发明一实施例提供的一种信息安全评估方法的流程示意图。如图1所示，所述方法的执行主体为信息安全评估系统，该系统在电子设备上，所述方法包括：
步骤S100、获取用户对象进行安全评估的待评估信息；其中，所述待评估信息包括资产信息、威胁信息和脆弱性信息。
在一些实施例中，所述资产信息为用户对象中存储管理的网络数据；所述脆弱性信息为用户对象组件特性中可被攻击者利用的脆弱性；所述威胁信息为用户对象各组件中的安全配置。
所述步骤S100具体包括：
步骤S101、根据用户对象的安全评估目标与要求，结合用户对象的现场环境，确定预设的评估检测模板。其中，预设的评估检测模板根据不同的用户对象安全检查目标，参照相关的法律法规或标准，预先定义的一些典型常见场景下的安全评估项及检查流程。
步骤S102、获取用户对象存储管理的网络数据，用户对象开放端口与对应的组件，用户对象的安全配置。
步骤S200、根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息。
在本实施例中，对用户对象进行漏洞扫描服务，代码评估服务，操作系统/Web应用/网络设备/安全设备等基线检查服务，渗透测试服务，漏洞复测服务、风险评估服务。对存储、传输、处理包含重要敏感信息的对象，按照重要性等级分级进行检测。根据信息系统遭到破坏后的危害程度，划分为不同的安全保护等级，实施不同的保护。
在一些实施例中，网络数据可以为多层结构与多维度的数据，其中多层结构对应于用户对象各组件中存储管理的数据，包括分布式文件系统、数据表和列式存储的键值对等。多维度则对应于资产信息在物理和逻辑上的存储，即在物理主机上的数据分布以及在用户对象上呈现的数据结构。
所述步骤S200具体包括：
步骤S211、对所述网络数据的逻辑结构、物理分布及冗余备份信息进行分析，得到第一资产分析信息；
步骤S212、对所述网络数据的敏感程度、访问控制权限设置和脱敏、加密防护信息进行分析，得到第二资产分析信息。
具体的，敏感程度可以参考敏感数据识别中使用的模式匹配身份证号、手机号等敏感信息。访问控制权限设置可以从相关配置或数据库中直接读取。脱敏、加密防护信息可以从相关配置中读取，或是根据数据的可读性进行判断。从而后续根据第一资产分析信息和第二资产分析信息得到资产信息的评价。
步骤S220、对用户对象各组件中的安全配置进行基线检查，得到配置分析信息；其中，所述安全配置包括服务器、web应用配置项及日志、网络设备和安全设备。
将安全配置与基准模型中的参考配置进行对比，判断所述安全配置是否符合安全防护要求，并生成报告，即配置分析信息。
具体的，登录服务器或终端，对设备进行基线核查及信息记录，包括账户安全、认证授权、安全审计等；
通过对 WEB 应用配置项及日志等文件分析，对应用的安全认证、访问控制、安全审计及交互等配置进行核查；
登录网络设备，对网络设备进行基线核查及信息记录，包括网络设备的配置变更、网络设备工作异常等；
登录安全设备，对网络设备进行基线核查及信息记录，包括检测到攻击行为，设备自身的可疑操作等。
步骤S231、确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到漏洞分析信息；其中，所述组件版本中包括web应用、主机操作系统和数据库。
具体的，对评估目标范围内对象进行漏洞扫描，发现对象存在的web应用漏洞、主机操作系统漏洞、数据库漏洞、逻辑缺陷、弱口令、信息泄露等脆弱性问题。扫描结束后去除误报，生成相关报告并提供加固建议。
步骤S231具体包括：
步骤S2311、获取网络策略配置和安全记录信息；其中，网络策略配置包括物理安全策略、访问控制策略、防火墙控制、信息加密策略和网络安全管理策略；目标系统的安全记录信息包括所属单位信息、安全工作责任制落实情况、网络安全日常管理情况、所述目标系统的基本信息、网络安全防护情况、网络安全应急工作情况、网络安全教育培训情况、以及技术检测及网络安全事件情况。
步骤S2312、获取用户对象组件特性中的组件版本，并根据所述网络策略配置和安全记录信息，生成用户对象的系统拓扑图，根据所述系统拓扑图对所述组件版本进行漏洞检测，得到漏洞分析信息。
步骤S232、获取用户对象的固件信息，并对所述固件信息进行脆弱性识别，得到固件脆弱性分析信息。
具体的，步骤S102具体包括如下步骤：
步骤S2321、获取固件操作系统、内核版本、CPU指令集、加密算法和Web组件信息，通过调试接口、直接读取闪存或访问设备厂商网站获取。首先，进行固件解码，对固件进行检索、识别，分离其头部和主体部分，然后针对固件主体部分识别其压缩算法，得到用于固件运行加载的引导程序、用于管理和存储文件信息的文件系统及内核代码，再对文件系统进行过滤，得到可反汇编的二进制文件。最后，进行固件文件信息提取，对已得到的可反汇编二进制文件进行信息识别和提取，获得固件操作系统、内核版本、CPU指令集、加密算法和Web组件信息，并将得到的信息存储在固件知识库中。
步骤S2322、针对固件中文件、程序、函数和代码块的相似性，实现跨平台和跨架构的固件漏洞检测，包括基于汇编指令的二进制代码同源性比对方式和基于机器学习的二进制程序同源性比对方式。
固件的脆弱性问题包括：秘钥安全性、配置安全性和信息泄露。
步骤S2323、进行秘钥安全性检测，利用反汇编、二进制分析和软件动态调试，对加密应用程序的加解密过程分别进行静态语义分析和动态特征提取，从中发现潜在的密钥安全性漏洞；进行配置安全性检测，对固件初始化配置、权限配置、口令配置和系统配置进行合规性检测，识别固件配置的脆弱性；进行信息泄露检测，从SVN（开放源代码的版本控制系统）信息泄露/Git（开源的分布式版本控制系统）信息泄露、vi/vim（linux系统的文本编辑命令）信息泄露、备份文件泄露和二进制文件中的信息泄露和配置文件泄露进行敏感信息检测，识别固件脆弱性。
所述步骤S231之后还包括步骤：
步骤S2313、当所述漏洞分析信息的风险等级在预设等级以下时，对所述组件版本进行渗透测试。
具体的，通过真实模拟黑客使用的工具、分析方法来对应用进行模拟攻击，进行深入的测试和分析，识别工具弱点扫描无法发现的问题。主要分析内容包括逻辑缺陷、上传绕过、输入输出校验绕过、数据篡改、功能绕过、异常错误等以及其他专项内容测试与分析，渗透结束后生成相关报告并提供加固建议。渗透对象：应用，指1个可以通过浏览器访问，完整能独立运行的web应用程序。如CRM（客户关系管理）系统、OA（办公自动化）系统等（不以同一域名，同一IP地址或者同一台服务器作为划分依据，如涉及一个域名下有多个子站、子系统，需由客户确认应用数量）。
需要说明的是，渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。换句话来，渗透测试是指渗透人员在不同的位置（比如从内网、从外网等位置）利用各种手段对某个特定网络进行测试，以期发现和挖掘系统中存在的漏洞，然后输出渗透测试报告，并提交给网络所有者。网络所有者根据渗透人员提供的渗透测试报告，可以清晰知晓系统中存在的安全隐患和问题。
步骤S2314、当所述漏洞分析信息的风险等级在预设等级之上时，对所述组件版本进行漏洞修复。
具体的，针对漏洞扫描、安全基线检查、安全日志分析、渗透测试中发现的安全漏洞和配置缺陷，根据提交的安全评估报告，将针对报告上存在的问题进行漏洞复测，以确保漏洞已经修复，提供漏洞复测报告。复测对象：漏洞扫描、渗透测试及基线检查报告中指明的一个评估对象。
步骤S2315、对用户对象的组件版本进行源代码分析，得到代码审计信息；
步骤S2316、根据所述代码审计信息，对所述漏洞分析信息进行更新，得到更新后的漏洞分析信息。
具体的，结合代码审计系统和专业代码审计专家分析，对目标系统从源代码层面深入分析和检测，发现漏洞扫描和渗透测试无法发现的安全漏洞，出具代码审计专家报告。
可以理解的是，资产信息的属性信息包括每个互联网资产的IP、互联网资产的开放端口数量、互联网资产的标签、互联网资产的mac地址、互联网资产的所属厂商、互联网资产所在区域。脆弱性信息的属性信息包括该漏洞对应的互联网资产IP、漏洞编号、漏洞名称、检测到的时间，漏洞功能性描述信息、漏洞类型及漏洞等级。
图2为本发明提供的一种安全评估关系模型的示意图。如图2所示，根据相关国际和国内标准（ISO27001、ISO 27002；ISO/IEC 13335；GB17589；GB18336 等）建立了业务系统安全风险关系模型。主要以风险为中心形象的描述了系统所面临的风险、漏洞、威胁及其相应的资产价值、安全需求、安全控制、安全影响等动态循环的复杂关系。
该安全评估关系模型动态的表现了系统所面临的安全风险与其它各个要素之间的内在关系。下面从评估的角度分别对系统进行描述，来帮助更好的理解该模型内涵。
从评估的角度来说，系统面临很多威胁（外部威胁、内部威胁），攻击者利用网络存在的脆弱性（物理环境、网络结构、流量分析、网络服务、网管系统、主机系统、数据、应用系统、安全系统、安全相关人员、业务流程、安全管理制度、安全策略等等）来攻击网络，增加了系统所面临的威胁，攻击事件的成功导致资产的暴露或损失（信息资产、物质资产、软件资产、服务、设备、人员等），造成安全风险的扩大；同时资产的暴露（如网络系统高级管理人员由于不小心而导致重要机密信息的泄露），随着资产价值的大小而形成相应安全风险。对系统安全风险的分析，迫切的提出了系统的安全需求。根据安全需求的级别制定系统的整体安全策略、完成安全体系规划、安全解决方案，进行安全控制措施的实施，降低安全风险，防范威胁。
步骤S300、确定用户对象的风险评估分析模型，并根据所述风险评估分析模型和所述分析结果信息，得到用户对象的安全风险评估报告。
如图3所示，通过风险识别，在掌握了原始风险数据（资产、威胁、脆弱性等）及其属性后，风险分析方法的选择，直接关系到风险分析过程的复杂性、可操作性和分析结果的客观性、准确性、科学性、可信性。一般构建风险分析模型是将资产、威胁、脆弱性三个基本要素及每个要素相关属性，进行关联，并建立各要素之间的相互作用机制关系。
所述步骤S300具体包括：
步骤S310、根据所述风险评估分析模型、所述配置分析信息和所述漏洞分析信息，得到第一风险信息；
步骤S320、根据所述风险评估分析模型、所述第一资产分析信息、所述第二资产分析信息和所述漏洞分析信息，得到第二风险信息；
步骤S330、根据所述第一风险信息和所述第二风险信息，得到用户对象的安全风险评估报告。
具体的，首先通过威胁与脆弱性进行关联，哪些威胁可以利用哪些脆弱性，可引发安全事件，并分析安全事件发生的可能性；其次，通过资产与脆弱性进行关联，哪些资产存在脆弱性，一旦安全事件发生，造成的损失有多大。风险一般由安全事件发生的可能性和安全事件的损失来确定风险大小。在对风险进行分析时，需要通过首先分析资产、脆弱性、威胁的属性，明确其可能的组合；其次通过简便的方式简化风险计算，即由威胁和脆弱性确定安全事件发生可能性，由资产和脆弱性确定安全事件的损失，以及由安全事件发生的可能性和安全事件的损失确定风险值。
在一种实现方式中，所述步骤S330具体包括：
步骤S331、根据所述第一风险信息和所述第二风险信息，得到所述第一风险信息对应的第一权重系数；
步骤S331、根据所述第一风险信息和所述第二风险信息，得到所述第二风险信息对应的第二权重系数；
步骤S331、根据所述第一权重系数、所述第二权重系数和所述待评估信息，得到所述安全风险评估报告。
在一种实现方式中，所述安全评估报告、资产信息、威胁信息、脆弱性信息、第一权重系数和第二权重系数满足如下表达式：
P=x*(b+c)+y*(a+b)；
其中，P为安全评估报告，a、b、c分别为资产信息、威胁信息和脆弱性信息，x、y分别为第一权重系数和第二权重系数。
需要说明的是，上述公式可根据不同用户对象实际检测修正形成特定模型，例如用户的脑电信号对应脑电波波段、图像信息对应脑电波图像以及心理信息对应的特征信息较不明显或较不准确，从而通过上述权重系统进行调整，x、y具有相应的数据，使最终通过资产信息、威胁信息和脆弱性信息得到的用户对象的安全评估报告信息准确，进而实现对用户对象全面的安全检测，且提高安全评估报告的准确性。
获取风险评估分析模型的步骤如下：
获取训练方案和反馈模板，并根据训练方案和反馈模板确定刺激标签；训练方案包括训练样本和所述训练样本对应的真实标签；根据训练方案、反馈模板以及刺激标签，确定训练方案对应的偏差方案；根据偏差方案和真实标签，对反馈模板的参数进行调整，得到风险评估分析模型；将偏差方案输入反馈模板，通过反馈模板得到偏差方案对应的偏差标签；根据偏差标签和真实标签，对反馈模板的参数进行调整，并继续执行根据训练方案、反馈模板以及刺激标签，确定训练方案对应的偏差方案的步骤，直至反馈模板满足预设条件，得到风险评估分析模型。
图4为本发明提供的一种信息安全评估系统的结构示意图。如图4所示，本实施例的信息安全评估系统，可以包括：
获取模块501，用于获取用户对象进行安全评估的待评估信息；其中，所述待评估信息包括资产信息、威胁信息和脆弱性信息；
分析模块502，用于根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息；
计算模块503，用于确定用户对象的风险评估分析模型，并根据所述风险评估分析模型和所述分析结果信息，得到用户对象的安全风险评估报告；
所述分析模块502还用于：
确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到版本漏洞分析信息；其中，所述组件版本中包括web应用、主机操作系统和数据库；
获取用户对象的固件信息，并对所述固件信息进行脆弱性识别，得到固件脆弱性分析信息。
从物理、网络、主机、应用、数据及安全管理、安全运维各个层面分析系统可能存在的风险，判断系统所面临的安全威胁。保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改，全面的了解自身信息安全隐患，加强信息系统的安全保障工作。
可选的，所述资产信息为用户对象中存储管理的网络数据；所述脆弱性信息为用户对象组件特性中可被攻击者利用的脆弱性；所述威胁信息为用户对象各组件中的安全配置；所述分析模块502，在根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息时，具体用于：
对所述网络数据的逻辑结构、物理分布及冗余备份信息进行分析，得到第一资产分析信息；
对所述网络数据的敏感程度、访问控制权限设置和脱敏、加密防护信息进行分析，得到第二资产分析信息；
确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到漏洞分析信息；其中，所述组件版本中包括web应用、主机操作系统和数据库；
对用户对象各组件中的安全配置进行基线检查，得到配置分析信息；其中，所述安全配置包括服务器、web应用配置项及日志、网络设备和安全设备。
可选的，所述分析模块502，在确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到漏洞分析信息时，具体用于：
当所述漏洞分析信息的风险等级在预设等级之上时，对所述组件版本进行漏洞修复；
当所述漏洞分析信息的风险等级在预设等级以下时，对所述组件版本进行渗透测试。
可选的，所述分析模块502，在确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到漏洞分析信息时，具体用于：
对用户对象的组件版本进行源代码分析，得到代码审计信息；
根据所述代码审计信息，对所述漏洞分析信息进行更新，得到更新后的漏洞分析信息。
可选的，所述计算模块503，在根据所述风险评估分析模型和所述分析结果信息，得到用户对象的安全风险评估报告时，具体用于：
根据所述风险评估分析模型、所述配置分析信息和所述漏洞分析信息，得到第一风险信息；
根据所述风险评估分析模型、所述第一资产分析信息、所述第二资产分析信息和所述漏洞分析信息，得到第二风险信息；
根据所述第一风险信息和所述第二风险信息，得到用户对象的安全风险评估报告。
可选的，所述计算模块503，在根据所述第一风险信息和所述第二风险信息，得到用户对象的安全风险评估报告时，具体用于：
根据所述第一风险信息和所述第二风险信息，得到所述第一风险信息对应的第一权重系数；
根据所述第一风险信息和所述第二风险信息，得到所述第二风险信息对应的第二权重系数；
根据所述第一权重系数、所述第二权重系数和所述待评估信息，得到所述安全风险评估报告。
可选的，所述计算模块503，在根据所述第一权重系数、所述第二权重系数和所述待评估信息，得到所述安全风险评估报告时，具体用于：
所述安全评估报告、资产信息、威胁信息、脆弱性信息、第一权重系数和第二权重系数满足如下表达式：
P=x*(b+c)+y*(a+b)；
其中，P为安全评估报告，a、b、c分别为资产信息、威胁信息和脆弱性信息，x、y分别为第一权重系数和第二权重系数。
图5为本发明提供的一种电子设备的硬件结构示意图。如图5所示，本实施例提供的电子设备包括：
至少一个处理器601和存储器602。其中，处理器601、存储器602通过总线603连接。
在具体实现过程中，至少一个处理器601执行所述存储器602存储的计算机执行指令，使得至少一个处理器601执行上述方法实施例中的信息安全评估方法。
处理器601的具体实现过程可参见上述方法实施例，其实现原理和技术效果类似，本实施例此处不再赘述。
在上述的图5所示的实施例中，应理解，处理器可以是中央处理单元（英文：Central Processing Unit，简称：CPU），还可以是其他通用处理器、数字信号处理器（英文：Digital Signal Processor，简称：DSP）、专用集成电路（英文：ApplicationSpecificIntegrated Circuit，简称：ASIC）等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合发明所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。
存储器可能包含高速RAM存储器，也可能还包括非易失性存储NVM，例如至少一个磁盘存储器。
总线可以是工业标准体系结构（Industry Standard Architecture，ISA）总线、外部设备互连（Peripheral Component，PCI）总线或扩展工业标准体系结构（ExtendedIndustry Standard Architecture，EISA）总线等。总线可以分为地址总线、数据总线、控制总线等。为便于表示，本发明附图中的总线并不限定仅有一根总线或一种类型的总线。
本发明还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，当处理器执行所述计算机执行指令时，实现上述方法实施例的信息安全评估方法。
上述的计算机可读存储介质，上述可读存储介质可以是由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器（SRAM），电可擦除可编程只读存储器（EEPROM），可擦除可编程只读存储器（EPROM），可编程只读存储器（PROM），只读存储器（ROM），磁存储器，快闪存储器，磁盘或光盘。可读存储介质可以是通用或专用计算机能够存取的任何可用介质。
一种示例性的可读存储介质耦合至处理器，从而使处理器能够从该可读存储介质读取信息，且可向该可读存储介质写入信息。当然，可读存储介质也可以是处理器的组成部分。处理器和可读存储介质可以位于专用集成电路（Application SpecificIntegratedCircuits，简称：ASIC）中。当然，处理器和可读存储介质也可以作为分立组件存在于设备中。
本发明一个实施例提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如本发明图1至图3所对应的实施例中任意实施例提供的信息安全评估方法。
本领域普通技术人员可以理解：实现上述各方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成。前述的程序可以存储于一计算机可读取存储介质中。该程序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (2)

1.一种信息安全评估方法，其特征在于，包括：
获取用户对象进行安全评估的待评估信息；其中，所述待评估信息包括资产信息、威胁信息和脆弱性信息；
根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息；其中，所述分析结果信息包括所述脆弱性信息对应的版本脆弱性分析信息和固件脆弱性分析信息；
确定用户对象的风险评估分析模型，并根据所述风险评估分析模型和所述分析结果信息，得到用户对象的安全风险评估报告；
根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息，还包括：
确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到漏洞分析信息；其中，所述组件版本中包括web应用、主机操作系统和数据库；
获取用户对象的固件信息，并对所述固件信息进行脆弱性识别，得到固件脆弱性分析信息；所述资产信息为用户对象中存储管理的网络数据；所述脆弱性信息为用户对象组件特性中可被攻击者利用的脆弱性；所述威胁信息为用户对象各组件中的安全配置；
所述根据所述资产信息、威胁信息和脆弱性信息，得到用户对象的分析结果信息，还包括：
对所述网络数据的逻辑结构、物理分布及冗余备份信息进行分析，得到第一资产分析信息；
对所述网络数据的敏感程度、访问控制权限设置和脱敏、加密防护信息进行分析，得到第二资产分析信息；
对用户对象各组件中的安全配置进行基线检查，得到配置分析信息；其中，所述安全配置包括服务器、web应用配置项及日志、网络设备和安全设备；
所述根据所述风险评估分析模型和所述分析结果信息，得到用户对象的安全风险评估报告，包括：
根据所述风险评估分析模型、所述配置分析信息和所述漏洞分析信息，得到第一风险信息；
根据所述风险评估分析模型、所述第一资产分析信息、所述第二资产分析信息和所述漏洞分析信息，得到第二风险信息；
根据所述第一风险信息和所述第二风险信息，得到用户对象的安全风险评估报告；所述根据所述第一风险信息和所述第二风险信息，得到用户对象的安全风险评估报告，包括：
根据所述第一风险信息和所述第二风险信息，得到所述第一风险信息对应的第一权重系数；
根据所述第一风险信息和所述第二风险信息，得到所述第二风险信息对应的第二权重系数；
根据所述第一权重系数、所述第二权重系数和所述待评估信息，得到所述安全风险评估报告；所述安全评估报告、资产信息、威胁信息、脆弱性信息、第一权重系数和第二权重系数满足如下表达式：
P=x*(b+c)+y*(a+b)；
其中，P为安全评估报告，a、b、c分别为资产信息、威胁信息和脆弱性信息，x、y分别为第一权重系数和第二权重系数；所述确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到漏洞分析信息之后，还包括：
当所述漏洞分析信息的风险等级在预设等级之上时，对所述组件版本进行漏洞修复；和/或
当所述漏洞分析信息的风险等级在预设等级以下时，对所述组件版本进行渗透测试；所述确定用户对象组件特性中的组件版本，并对所述组件版本进行漏洞检测，得到漏洞分析信息之后，还包括：
对用户对象的组件版本进行源代码分析，得到代码审计信息；
根据所述代码审计信息，对所述漏洞分析信息进行更新，得到更新后的漏洞分析信息。
2.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现如权利要求1所述的方法。
CN202310504403.9A 2023-05-08 2023-05-08 一种信息安全评估方法、系统、电子设备及存储介质 Active CN116232768B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310504403.9A CN116232768B (zh) 2023-05-08 2023-05-08 一种信息安全评估方法、系统、电子设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310504403.9A CN116232768B (zh) 2023-05-08 2023-05-08 一种信息安全评估方法、系统、电子设备及存储介质

Publications (2)

Publication Number Publication Date
CN116232768A CN116232768A (zh) 2023-06-06
CN116232768B true CN116232768B (zh) 2023-08-01

Family

ID=86587588

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310504403.9A Active CN116232768B (zh) 2023-05-08 2023-05-08 一种信息安全评估方法、系统、电子设备及存储介质

Country Status (1)

Country Link
CN (1) CN116232768B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117395033B (zh) * 2023-09-22 2024-05-03 广州尚全信息技术有限公司 一种数据安全监管方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106790198A (zh) * 2016-12-30 2017-05-31 北京神州绿盟信息安全科技股份有限公司 一种信息系统风险评估方法及系统
CN109064018A (zh) * 2018-07-31 2018-12-21 郑州向心力通信技术股份有限公司 一种信息安全风险评估系统及方法
WO2021082966A1 (zh) * 2019-10-31 2021-05-06 中兴通讯股份有限公司 资产脆弱性的计算方法、装置、存储介质及服务器

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101436967A (zh) * 2008-12-23 2009-05-20 北京邮电大学 一种网络安全态势评估方法及其系统
US20140137257A1 (en) * 2012-11-12 2014-05-15 Board Of Regents, The University Of Texas System System, Method and Apparatus for Assessing a Risk of One or More Assets Within an Operational Technology Infrastructure
CA2968710A1 (en) * 2016-05-31 2017-11-30 Valarie Ann Findlay Security threat information gathering and incident reporting systems and methods
CN106713333A (zh) * 2016-12-30 2017-05-24 北京神州绿盟信息安全科技股份有限公司 一种信息系统风险评估方法及装置
US11343263B2 (en) * 2019-04-15 2022-05-24 Qualys, Inc. Asset remediation trend map generation and utilization for threat mitigation
CN112508435A (zh) * 2020-12-17 2021-03-16 国家工业信息安全发展研究中心 信息系统安全风险评估方法、装置、设备及存储介质
CN114978584A (zh) * 2022-04-12 2022-08-30 深圳市蔚壹科技有限公司 基于单位单元的网络安全防护安全方法及系统
CN115860455A (zh) * 2022-09-29 2023-03-28 国网河南省电力公司超高压公司 一种变电站资产监控风险评估方法
CN115996146A (zh) * 2022-12-19 2023-04-21 华中科技大学 数控系统安全态势感知与分析系统、方法、设备及终端

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106790198A (zh) * 2016-12-30 2017-05-31 北京神州绿盟信息安全科技股份有限公司 一种信息系统风险评估方法及系统
CN109064018A (zh) * 2018-07-31 2018-12-21 郑州向心力通信技术股份有限公司 一种信息安全风险评估系统及方法
WO2021082966A1 (zh) * 2019-10-31 2021-05-06 中兴通讯股份有限公司 资产脆弱性的计算方法、装置、存储介质及服务器

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
信息系统安全风险评估方法的研究;刘守澜;卿昱;;西南民族大学学报(自然科学版)(第02期);全文 *

Also Published As

Publication number Publication date
CN116232768A (zh) 2023-06-06

Similar Documents

Publication Publication Date Title
US7877780B2 (en) System and method for enforcing functionality in computer software through policies
US20150302198A1 (en) Detection of Malicious Code Insertion in Trusted Environments
Balzarotti et al. An experience in testing the security of real-world electronic voting systems
Katole et al. Detection of SQL injection attacks by removing the parameter values of SQL query
Esche et al. Software risk assessment for measuring instruments in legal metrology
Groce et al. What are the actual flaws in important smart contracts (and how can we find them)?
CN116232768B (zh) 一种信息安全评估方法、系统、电子设备及存储介质
Paule et al. Vulnerabilities in continuous delivery pipelines? a case study
Alhassan et al. A fuzzy classifier-based penetration testing for web applications
Soud et al. A fly in the ointment: an empirical study on the characteristics of Ethereum smart contract code weaknesses
Simic et al. Eliminating SQL injection and cross site scripting using aspect oriented programming
Dharam et al. Runtime monitors to detect and prevent union query based SQL injection attacks
Kahtan et al. Evaluation dependability attributes of web application using vulnerability assessments tools
Mead et al. Managing software development for survivable systems
McLaurin A study on the efficacy of small business cybersecurity controls
Kaur et al. Modeling a SQL injection attack
Larsen et al. State-of-the-art resources (soar) for software vulnerability detection, test, and evaluation
McCoy A Relevance Model for Threat-Centric Ranking of Cybersecurity Vulnerabilities
Kaur et al. Mitigation of SQL injection vulnerability during development of web applications
Fong et al. State-of-the-Art Resources (SOAR) for Software Vulnerability Detection, Test, and Evaluation 2016
Nabi et al. A Taxonomy of Logic Attack Vulnerabilities in Component-based e-Commerce System
Wortman et al. Discover Internet of Things
Gracis Next Generation SOC: Automations and Machine Learning in Cybersecurity
Kamble et al. Software Vulnerability Analysis
Kennedy A Framework for the Systematic Evaluation of Malware Forensic Tools

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CB03 Change of inventor or designer information

Inventor after: Hong Zhixu

Inventor after: Liu Jianchao

Inventor after: Zhang Kejia

Inventor after: Zhang Chengwei

Inventor after: Hong Yuxuan

Inventor after: Zhang Ya

Inventor after: Meng Fanyu

Inventor after: Zhao Yangbin

Inventor after: Feng Zhentao

Inventor before: Hong Zhixu

Inventor before: Liu Jianchao

Inventor before: Zhang Kejia

Inventor before: Zhang Chengwei

Inventor before: Hong Yuxuan

Inventor before: Zhang Ya

Inventor before: Meng Fanyu

Inventor before: Zhao Yangbin

Inventor before: Feng Zhentao

CB03 Change of inventor or designer information