CN117081868B - 一种基于安全策略的网络安全运营方法 - Google Patents
一种基于安全策略的网络安全运营方法 Download PDFInfo
- Publication number
- CN117081868B CN117081868B CN202311341206.6A CN202311341206A CN117081868B CN 117081868 B CN117081868 B CN 117081868B CN 202311341206 A CN202311341206 A CN 202311341206A CN 117081868 B CN117081868 B CN 117081868B
- Authority
- CN
- China
- Prior art keywords
- security
- attack
- network
- security policy
- behavior
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 87
- 230000006399 behavior Effects 0.000 claims abstract description 140
- 238000011156 evaluation Methods 0.000 claims abstract description 58
- 238000004458 analytical method Methods 0.000 claims abstract description 53
- 238000012544 monitoring process Methods 0.000 claims abstract description 41
- 238000005516 engineering process Methods 0.000 claims abstract description 31
- 230000007246 mechanism Effects 0.000 claims abstract description 22
- 230000007547 defect Effects 0.000 claims abstract description 7
- 230000009977 dual effect Effects 0.000 claims abstract description 6
- 238000000691 measurement method Methods 0.000 claims abstract description 6
- 230000007123 defense Effects 0.000 claims description 75
- 238000011282 treatment Methods 0.000 claims description 69
- 238000007726 management method Methods 0.000 claims description 40
- 230000006870 function Effects 0.000 claims description 39
- 230000002265 prevention Effects 0.000 claims description 32
- 238000005259 measurement Methods 0.000 claims description 28
- 230000008569 process Effects 0.000 claims description 26
- 238000001514 detection method Methods 0.000 claims description 24
- 230000000694 effects Effects 0.000 claims description 20
- 230000014509 gene expression Effects 0.000 claims description 18
- 238000004364 calculation method Methods 0.000 claims description 17
- 238000012706 support-vector machine Methods 0.000 claims description 14
- 238000012545 processing Methods 0.000 claims description 13
- 230000002159 abnormal effect Effects 0.000 claims description 12
- 230000001105 regulatory effect Effects 0.000 claims description 11
- 206010000117 Abnormal behaviour Diseases 0.000 claims description 10
- 238000012550 audit Methods 0.000 claims description 10
- 230000001276 controlling effect Effects 0.000 claims description 10
- 238000010606 normalization Methods 0.000 claims description 10
- 230000009466 transformation Effects 0.000 claims description 9
- 238000004891 communication Methods 0.000 claims description 8
- 230000007613 environmental effect Effects 0.000 claims description 8
- 238000010801 machine learning Methods 0.000 claims description 7
- 238000010276 construction Methods 0.000 claims description 6
- 230000008878 coupling Effects 0.000 claims description 6
- 238000010168 coupling process Methods 0.000 claims description 6
- 238000005859 coupling reaction Methods 0.000 claims description 6
- 239000011159 matrix material Substances 0.000 claims description 6
- 238000013473 artificial intelligence Methods 0.000 claims description 5
- 230000008521 reorganization Effects 0.000 claims description 4
- 230000015556 catabolic process Effects 0.000 claims description 3
- 238000013507 mapping Methods 0.000 claims description 3
- 238000012806 monitoring device Methods 0.000 claims description 3
- 238000013139 quantization Methods 0.000 claims description 3
- 230000004044 response Effects 0.000 abstract description 13
- 238000005457 optimization Methods 0.000 abstract description 5
- 230000000903 blocking effect Effects 0.000 description 12
- 230000006872 improvement Effects 0.000 description 9
- 239000000243 solution Substances 0.000 description 6
- 238000010835 comparative analysis Methods 0.000 description 4
- 230000008439 repair process Effects 0.000 description 4
- 230000010485 coping Effects 0.000 description 3
- 238000001914 filtration Methods 0.000 description 3
- 238000002347 injection Methods 0.000 description 3
- 239000007924 injection Substances 0.000 description 3
- 230000008520 organization Effects 0.000 description 3
- 238000011160 research Methods 0.000 description 3
- 230000016571 aggressive behavior Effects 0.000 description 2
- 230000008901 benefit Effects 0.000 description 2
- 230000008859 change Effects 0.000 description 2
- 230000007812 deficiency Effects 0.000 description 2
- 238000005065 mining Methods 0.000 description 2
- 238000012502 risk assessment Methods 0.000 description 2
- 238000012549 training Methods 0.000 description 2
- 238000012795 verification Methods 0.000 description 2
- 241000700605 Viruses Species 0.000 description 1
- 230000009471 action Effects 0.000 description 1
- 230000002155 anti-virotic effect Effects 0.000 description 1
- 230000003542 behavioural effect Effects 0.000 description 1
- 238000003339 best practice Methods 0.000 description 1
- 125000004122 cyclic group Chemical group 0.000 description 1
- 238000007405 data analysis Methods 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 230000002708 enhancing effect Effects 0.000 description 1
- 230000010354 integration Effects 0.000 description 1
- 230000009545 invasion Effects 0.000 description 1
- 238000011835 investigation Methods 0.000 description 1
- 238000002955 isolation Methods 0.000 description 1
- 239000000203 mixture Substances 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000035515 penetration Effects 0.000 description 1
- 230000000737 periodic effect Effects 0.000 description 1
- 230000006798 recombination Effects 0.000 description 1
- 238000005215 recombination Methods 0.000 description 1
- 238000011084 recovery Methods 0.000 description 1
- 230000002787 reinforcement Effects 0.000 description 1
- 230000035945 sensitivity Effects 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
- 238000012384 transportation and delivery Methods 0.000 description 1
- 238000011277 treatment modality Methods 0.000 description 1
- 238000011269 treatment regimen Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
- H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
Abstract
本发明公开了一种基于安全策略的网络安全运营方法，涉及计算机网络安全领域，包括以下步骤：通过设备和系统生成的日志和流量数据，使用监测设备和技术发现攻击行为，通过分析攻击行为特征确认是否存在真实攻击；根据分析结果确认受害资产，并根据安全策略评估优化系统制定攻击行为的处置方式；在对比分析处置方式和攻击行为的基础上，构建网络安全对抗防御能力评估体系框架及度量方法；以攻击和防御双重视角，评估量化安全对抗防御能力存在的差距，发现处置方式存在的安全漏洞和不足；定期监控网络与安全事件，评估安全策略的有效性，并持续对安全策略和评估体系框架进行优化与改进。本发明实施响应机制，减少安全事件造成的损失。
Description
技术领域
本发明涉及计算机网络安全技术领域，尤其涉及一种基于安全策略的网络安全运营方法。
背景技术
随着互联网的快速发展，网络安全问题日益突出，黑客攻击、病毒侵入、网络钓鱼等安全事件层出不穷，给企业和个人带来了巨大的经济和社会损失，因此，研究网络安全技术，加强网络安全防御，成为当今社会的重要课题。
网络安全是指保护计算机网络、系统和数据免受未经授权的访问、破坏、窃取或篡改的威胁的一系列措施和实践。而网络安全运营是指在网络环境中进行安全管理和操作的过程，其涉及到保护网络免受各种威胁和攻击的影响，确保网络系统和数据的机密性、完整性和可用性。目前，常见的网络安全技术包括防火墙、入侵检测、VPN、防病毒等，然而，这些技术虽然可以在一定程度上提高网络安全防御能力，但并不能完全解决网络安全问题。
通过对当前防火墙和防火墙策略管理的相关产品调查研究认为其存在以下缺陷：安全策略配置是网络安全的解决方案中核心技术，传统的网络安全运营是以资产为基础，以日志、流量为数据基础，以事件、风险、漏洞为运营的主要内容，安全策略并非核心内容，就会造成并未真正的解决安全运营问题。
针对相关技术中的问题，目前尚未提出有效的解决方案。
发明内容
本发明为了解决上述问题，提出了一种基于安全策略的网络安全运营方法，通过借助监测类的设备发出的日志，分析攻击IP和攻击行为，进行对防御类设备的安全策略进行调整，旨在提高网络安全防御能力和应对网络安全事件的能力，实现针对网络安全的防御措施。
为了实现上述目的，本发明采用如下技术方案：
本发明提供一种基于安全策略的网络安全运营方法，该运营方法包括以下步骤：
S1、通过设备和系统生成的日志和流量数据，使用监测设备和技术发现攻击行为，通过分析攻击行为特征确认是否存在真实攻击；
S2、根据分析结果确认受害资产，并根据安全策略评估优化系统制定攻击行为的处置方式；
S3、在对比分析处置方式和攻击行为的基础上，构建网络安全对抗防御能力评估体系框架及度量方法；
S4、以攻击和防御双重视角，评估量化安全对抗防御能力存在的差距，发现处置方式存在的安全漏洞和不足；
S5、定期监控网络与安全事件，评估安全策略的有效性，并持续对安全策略和评估体系框架进行优化与改进。
作为可选择的实施方式，所述通过设备和系统生成的日志和流量数据，使用监测设备和技术发现攻击行为，通过分析攻击行为特征确认是否存在真实攻击包括以下步骤：
S11、确定IDS、NDR、XDR、态势感知及网络审计监测设备已正确配置以生成相关的日志并启用流量监测功能，并通过集中管理日志和流量数据的中心化系统确保设备的日志数据和网络数据被正确收集与记录；
S12、在监测系统中配置和更新检测规则，并使用行为分析、机器学习和人工智能技术对收集的日志和流量数据进行分析异常行为和威胁指标，在检测过程中对出现的攻击行为进行警报；
S13、使用安全分析工具分析攻击行为的IP地址通信协议、使用的恶意软件及攻击流量模式，并与已知的攻击模式进行对比确定攻击行为的可信度；
S14、检查受影响系统的异常行为，包括系统日志、异常流量、应用程序日志及异常网络活动，确认是否存在真实的攻击行为，并根据威胁情报平台查询与攻击行为相关的指标，了解是否存在相同的威胁活动记录；
S15、经过安全分析行为对警报进行人工检测和分析，验证警报的有效性，并将当前警报的攻击行为和过去的攻击行为进行对比，检查是否出现相同的模式。
作为可选择的实施方式，所述根据分析结果确认受害资产，并根据安全策略评估优化系统制定攻击行为的处置方式包括以下步骤：
S21、根据上述步骤得到的分析结果，在确定攻击行为后确定受到攻击的主机、业务数据和相关的数据资产；
S22、使用网络取证技术和恶意代码分析工具分析攻击通道、恶意软件及追踪追击者的行为；
S23、构建基于长短记忆网络和支持向量机的攻击行为处置预测模型，并从充裕度的角度建立常见攻击行为的风险指标，实现对处置方式的越限概率预测；
S24、计算得到安全策略以形成处置机制，对受害资产面对的攻击行为进行主动调控。
作为可选择的实施方式，所述构建基于长短记忆网络和支持向量机的攻击行为处置预测模型，并从充裕度的角度建立常见攻击行为的风险指标，实现对处置方式的越限概率预测包括以下步骤：
S231、采用长短期记忆网络对攻击行为关键变量进行超短期时序预测，作为处置预测模型的基础；
S232、通过支持向量机采用核函数将攻击行为映射至高维空间，并在其内部构造最优处理方式，形成支持向量机决策函数；
S233、通过决策函数对每一种攻击行为进行确定数值的输出，并通过决策分数完成处置方式类别预测；
S234、通过充裕度角度计算可以描述系统可接受风险的范围和当前系统状态与崩溃点之间的距离；
S235、基于严重度函数分别从安全管理制度、入侵防御规则及WEB防御规则角度建立稳定性裕度参数表达式并建立相应的风险指标；
S236、加入对攻击行为越限事件的考虑，构建典型场景的预测模型，输出处置方式在未来时刻的越限概率，计算安全风险。
作为可选择的实施方式，所述基于严重度函数分别从安全管理制度、入侵防御规则及WEB防御规则角度建立稳定性裕度参数表达式并建立相应的风险指标包括以下步骤：
S2351、从安全管理制度角度按照严重度函数建立安全管理制度稳定性裕度参数表达式；
S2352、从入侵防御规则角度按照严重度函数建立入侵防御规则稳定性裕度参数表达式；
S2353、从WEB防御规则角度按照严重度函数建立WEB防御规则稳定性裕度参数表达式；
S2354、采用层次分析法分别计算安全管理制度、入侵防御规则及WEB防御规则权重，并对严重度函数进行归一化处理；
S2355、将归一化处理后的严重度函数计算结果进行加权求和，将求和结果设为风险指标；
S2356、根据网络的实际运行情况设定阈值判断风险指标是否能够接受，若无法接受则对指标下发指令进行优化调控。
作为可选择的实施方式，所述计算得到安全策略以形成处置机制，对受害资产面对的攻击行为进行主动调控包括以下步骤：
S241、根据网络安全的需求和威胁情报，结合对系统和资产的分析，利用机器学习技术，计算得到适用于特定环境的安全策略，其中安全策略包括安全管理制度、访问控制列表、入侵防御规则、web防御规则、数据保护策略及密码策略；
S242、基于得到的安全策略，建立相应的处置机制，其中，处置机制包括制定安全管理制度、通过防火墙封堵IP，封堵端口及通过入侵防御规则、web防御规则封堵应用层攻击；
S243、根据相应的处置机制结合安全策略的指导，对受害资产面对的攻击行为进行主动调控。
作为可选择的实施方式，所述在对比分析处置方式和攻击行为的基础上，构建网络安全对抗防御能力评估体系框架及度量方法包括以下步骤：
S31、从处置方式与攻击行为两个方面构建指标评价框架，并对指标进行标准化处理与正态分布评估；
S32、采用层次分析法与组合赋权法确定权重，并利用正态云模型构建综合评估体系框架；
S33、以攻击行为的动态化度量为切入点，挖掘处置方式中防御、度量及能力三者之间的相互关系，形成面向能力的度量闭环；
S34、从防御集合的动态重组、处置方式的深度耦合、网络系统的环境影响及防御进程的紧密关联四个方面阐述处置方式的动态度量特征；
S35、以实际防御为实例进行体系防御能力的动态化度量与指标构建。
作为可选择的实施方式，所述采用层次分析法与组合赋权法确定权重，并利用正态云模型构建综合评估体系框架包括以下步骤：
S321、确定进行评估的目标，并通过层次分析法将评估目标分解为多个层次和准则，形成层次结构；
S322、使用相对九标度尺度法对层次结构进行两两比较，并将比较结果构成判断矩阵；
S323、根据特征值与特征向量的关系求解判断矩阵的最大特征值及其对应的特征向量，并将定性因素关系向定量化转换，通过归一化方法计算权重；
S324、基于正态云理论确定综合评估体系的划分标准及标准云数字的特征计算，并根据模糊变换确定划分结果，根据划分结果确定综合评估体系框架。
作为可选择的实施方式，所述基于正态云理论确定综合评估体系的划分标准及标准云数字的特征计算，并根据模糊变换确定划分结果包括以下步骤：
S3241、依据处置方式与攻击行为之间的结果将评估等级划分为优秀、良好、中等以及差四组划分标准；
S3242、根据云模型理论模块进行参数计算得到特征期望值；
S3243、根据云模型构建框架，计算每组标准对应的隶属值，并结合上述步骤得到的权重计算综合评估标准的综合隶属度；
S3244、在模糊概念下采用最大隶属度量化评定结果，并将综合隶属度进行模糊变换，并根据模糊集合确定划分结果。
作为可选择的实施方式，所述综合隶属度的计算公式为：
式中，yj表示评估等级关于第j级的隶属度，Vi*表示第i个标准的权重，Vij表示第i个标准对第j级的隶属度，n表示评估使用的样本数量，i表示评价标准的数量，j表示隶属度的等级。
本发明实施例中提供的一个或多个技术方案，至少具有如下技术效果或优点：
1、本发明通过设备和系统生成的日志和流量数据，使用监测设备和技术发现攻击行为，实时监测和分析网络日志和流量数据，以发现并确认是否存在真实的攻击行为，并是根据攻击行为的分析结果，确定受害资产并制定相应的处置方式，以优化系统的安全策略，同时构建网络安全对抗防御能力评估体系的关键步骤，通过对比分析处置方式和攻击行为，建立评估体系框架和度量方法，评估网络的防御能力，同时通过以攻击和防御的双重视角，量化评估网络的安全对抗防御能力之间的差距，以便发现和弥补存在的安全漏洞和不足。
2、本发明提供了一种基于安全策略的网络安全运营方法，可以全面提高网络安全防御能力，降低网络风险，保护企业和个人的信息安全，首先通过监测IDS、NDR、XDR、态势感知、网络审计等设备的日志或通过监测网络流量的方式，发现攻击行为，并将发现的攻击行为，通过查询威胁情报等方式或人工检测方式确认是否是误报，根据分析的攻击行为，在非误报情况下，确认受到攻击的主机、业务系统、数据等资产，通过制定处置的方式方法，并通过审批流程确认具体处置方法，充分考虑企业的需求、风险和法规要求，确保网络安全防御措施的针对性和有效性。
3、本发明使用安全策略评估优化系统等工具，统一管理安全策略，处置方式包括制定安全管理制度、通过防火墙封堵IP，封堵端口，通过入侵防御、web应用防火墙等封堵应用层攻击；且本发明具有持续优化的优势，通过定期监控网络和安全事件，评估安全策略的有效性，优化安全策略和程序，对安全策略进行持续改进，对优化后的安全策略进行整理评估，达到处理安全问题，提高安全防护能力的目的，确保网络安全防御能力不断提升，可以实现安全策略和程序的快速更新和部署，及时适应新的安全威胁。
4、本发明采用基于安全策略的网络安全运营方法，实施自动化的检测和响应机制，可以快速响应安全事件，减少安全事件造成的损失，同时实施严格的身份验证和访问控制机制，可以保证只有经过授权的用户能够访问系统和数据，防止未授权的访问和攻击。
附图说明
构成本发明的一部分的说明书附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。
图1是根据本发明实施例的一种基于安全策略的网络安全运营方法的流程图。
具体实施方式
下面结合附图与实施例对本发明做进一步说明。
应该指出，以下详细说明都是示例性的，旨在对本发明提供进一步的说明。除非另有指明，本发明使用的所有技术和科学术语具有与本发明所属技术领域的普通技术人员通常理解的相同含义。
需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本发明的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。
请参阅图1，本发明提供一种于安全策略的网络安全运营方法，该运营方法包括以下步骤：
S1、通过设备和系统生成的日志和流量数据，使用监测设备和技术发现攻击行为，通过分析攻击行为特征确认是否存在真实攻击。
在本实施例中，所述通过设备和系统生成的日志和流量数据，使用监测设备和技术发现攻击行为，通过分析攻击行为特征确认是否存在真实攻击包括以下步骤：
S11、确定IDS、NDR、XDR、态势感知及网络审计监测设备已正确配置以生成相关的日志并启用流量监测功能，并通过集中管理日志和流量数据的中心化系统确保设备的日志数据和网络数据被正确收集与记录；
其中，IDS是入侵检测系统（Intrusion Detection System）的缩写，是一种用于监控和检测计算机网络中潜在入侵行为的安全工具，IDS可以分为两种类型：主机型IDS（Host-based IDS）和网络型IDS（Network-based IDS）。
主机型IDS在主机上运行，监控主机的系统日志、文件系统和网络连接等，用于检测和报告主机上的潜在入侵活动。
网络型IDS监控整个网络的数据流量和通信活动，通过分析网络流量和特征来检测潜在的入侵行为，它可以检测到网络中的异常流量、恶意软件、未经授权的访问和其他安全威胁。
NDR是网络检测与响应（Network Detection and Response）的缩写，是一种网络安全技术，旨在检测和响应网络中的潜在威胁和入侵活动，NDR组合了网络流量分析、行为分析和威胁情报等技术，通过对网络流量进行实时监控和分析，识别出可能的恶意活动和异常行为。
XDR是扩展检测与响应（Extended Detection and Response）的缩写，是一种综合性的安全解决方案，旨在检测、响应和防御多个安全领域中的威胁和攻击，XDR不仅仅关注网络安全，还包括端点安全、云安全和应用程序安全等多个领域，它通过整合来自不同安全工具、日志和事件数据的信息，进行全面的威胁分析和检测。
S12、在监测系统中配置和更新检测规则，并使用行为分析、机器学习和人工智能技术对收集的日志和流量数据进行分析异常行为和威胁指标，在检测过程中对出现的攻击行为进行警报；
S13、使用安全分析工具分析攻击行为的IP地址通信协议、使用的恶意软件及攻击流量模式，并与已知的攻击模式进行对比确定攻击行为的可信度；
S14、检查受影响系统的异常行为，包括系统日志、异常流量、应用程序日志及异常网络活动，确认是否存在真实的攻击行为，并根据威胁情报平台查询与攻击行为相关的指标，了解是否存在相同的威胁活动记录；
S15、经过安全分析行为对警报进行人工检测和分析，验证警报的有效性，并将当前警报的攻击行为和过去的攻击行为进行对比，检查是否出现相同的模式。
具体的，上述步骤具体如下：
通过IDS、NDR、XDR、态势感知、网络审计等监测类设备提供的日志和交换机提供的流量，指定规则发现攻击行为。
设定合适的日志和流量监测策略，确保设备和系统已正确配置以生成相关的日志并启用流量监测功能，涉及设置适当的日志级别、启用必要的审计和监测功能，并确保日志和流量数据可用于后续分析。
收集设备日志和网络流量数据，确保设备的日志数据和网络流量数据被正确收集和记录，通过集中管理日志和流量数据的中心化系统来实现，例如使用日志审计、态势感知、SIEM（安全信息和事件管理）等工具。
实施实时监测，确保实时监测系统已部署和配置，以能够及时收集和分析设备日志和网络流量，这可以使用IDS、NDR、XDR、态势感知和网络审计等设备和技术来实现。
配置威胁情报和规则，在监测系统中配置和更新检测规则，以便能够检测出已知的攻击模式和恶意行为。
分析和警报：对收集的日志和流量数据进行分析，使用相关算法和规则来识别潜在的攻击行为，涉及使用行为分析、机器学习和人工智能技术来检测异常行为和威胁指标，同时，确保系统能够生成及时的警报以便对发现的攻击做出响应。
确认攻击行为：将发现的攻击行为，通过查询威胁情报等方式或人工检测方式确认是否是误报。
分析攻击特征：使用安全分析工具进行深入分析来了解攻击的特征，包括分析攻击的IP地址、通信协议、使用的恶意软件、攻击流量模式等，以确定攻击的可信度，与已知的攻击模式进行比对，以评估其符合程度。
检查异常行为：检查受影响系统或网络上的异常行为，包括检查系统日志、应用程序日志、异常网络活动、异常流量等，确认是否有异常的系统行为或异常的用户行为，可能提示是否存在真实的攻击。
查询相关攻击指标：使用威胁情报平台或工具，查询与观察到的攻击行为相关的指标，可能包括攻击IP地址、域名、恶意软件的哈希值、攻击方法、利用漏洞等，通过查询这些指标，可以了解是否有类似的威胁活动被记录或报告，不仅仅依赖于单个威胁情报来源，而是比对多个不同的威胁情报源。因为不同机构可能会收集到不同的信息或有不同的分析视角，综合多个来源可以提供更全面的情报，并对发现的攻击行为进行更准确的评估。
人工检测和分析：由专业的安全分析人员对警报进行进一步的人工检测和分析，以验证警报的有效性，可以包括检查警报的原始数据、审查相关日志、进行漏洞扫描、恶意代码分析等，专业人员有经验和技术来判断警报是否为误报，还是表示真实的攻击活动。
环境对比：对比当前警报的行为和过去的攻击行为，检查是否出现类似模式，如果之前已记录类似的攻击行为，并可靠地确认为误报，则有可能当前的警报也是误报。
S2、根据分析结果确认受害资产，并根据安全策略评估优化系统制定攻击行为的处置方式。
在一个实施例中，所述根据分析结果确认受害资产，并根据安全策略评估优化系统制定攻击行为的处置方式包括以下步骤：
S21、根据上述步骤得到的分析结果，在确定攻击行为后确定受到攻击的主机、业务数据和相关的数据资产。
S22、使用网络取证技术和恶意代码分析工具分析攻击通道、恶意软件及追踪追击者的行为。
S23、构建基于长短记忆网络和支持向量机的攻击行为处置预测模型，并从充裕度的角度建立常见攻击行为的风险指标，实现对处置方式的越限概率预测。
具体的，所述构建基于长短记忆网络和支持向量机的攻击行为处置预测模型，并从充裕度的角度建立常见攻击行为的风险指标，实现对处置方式的越限概率预测包括以下步骤：
S231、采用长短期记忆网络对攻击行为关键变量进行超短期时序预测，作为处置预测模型的基础；
S232、通过支持向量机采用核函数将攻击行为映射至高维空间，并在其内部构造最优处理方式，形成支持向量机决策函数；
S233、通过决策函数对每一种攻击行为进行确定数值的输出，并通过决策分数完成处置方式类别预测；
S234、通过充裕度角度计算可以描述系统可接受风险的范围和当前系统状态与崩溃点之间的距离；
S235、基于严重度函数分别从安全管理制度、入侵防御规则及WEB防御规则角度建立稳定性裕度参数表达式并建立相应的风险指标。
其中，所述基于严重度函数分别从安全管理制度、入侵防御规则及WEB防御规则角度建立稳定性裕度参数表达式并建立相应的风险指标包括以下步骤：
S2351、从安全管理制度角度按照严重度函数建立安全管理制度稳定性裕度参数表达式；
具体的，所述从安全管理制度角度按照严重度函数建立安全管理制度稳定性裕度参数表达式为：
式中，Qlim表示安全限值，在计算不同标准时可分别取安全上限Qmax或下限Qmin；
Qk表示攻击行为k发生时的安全值；
Svolt,k表示攻击行为k的严重度。
S2352、从入侵防御规则角度按照严重度函数建立入侵防御规则稳定性裕度参数表达式；
具体的，所述从入侵防御规则角度按照严重度函数建立入侵防御规则稳定性裕度参数表达式为：
式中，Pmax表示入侵防御的完全限值，Pk为攻击行为k发生时的安全值，Sflow,k表示攻击行为k的严重度。
S2353、从WEB防御规则角度按照严重度函数建立WEB防御规则稳定性裕度参数表达式；
具体的，所述从WEB防御规则角度按照严重度函数建立WEB防御规则稳定性裕度参数表达式为：
式中，Io表示WEB防御规则的防御判据，Ik为攻击行为k发生时的安全值，Stran,k表示攻击行为k的严重度。
S2354、采用层次分析法分别计算安全管理制度、入侵防御规则及WEB防御规则权重，并对严重度函数进行归一化处理；
所述归一化处理中计算公式为：
式中，Si,k表示第i类事件中第k个攻击行为的严重度，S'i,k表示归一化后第i类事件中第k个攻击行为件的严重度，Si表示第i类事件的严重度。
S2355、将归一化处理后的严重度函数计算结果进行加权求和，将求和结果设为风险指标；
S2356、根据网络的实际运行情况设定阈值判断风险指标是否能够接受，若无法接受则对指标下发指令进行优化调控。
S236、加入对攻击行为越限事件的考虑，构建典型场景的预测模型，输出处置方式在未来时刻的越限概率，计算安全风险。
S24、计算得到安全策略以形成处置机制，对受害资产面对的攻击行为进行主动调控。
具体的，所述计算得到安全策略以形成处置机制，对受害资产面对的攻击行为进行主动调控包括以下步骤：
S241、根据网络安全的需求和威胁情报，结合对系统和资产的分析，利用机器学习技术，计算得到适用于特定环境的安全策略，其中安全策略包括安全管理制度、访问控制列表、入侵防御规则、web防御规则、数据保护策略及密码策略；
S242、基于得到的安全策略，建立相应的处置机制，其中，处置机制包括制定安全管理制度、通过防火墙封堵IP，封堵端口及通过入侵防御规则、web防御规则封堵应用层攻击；
S243、根据相应的处置机制结合安全策略的指导，对受害资产面对的攻击行为进行主动调控。
具体的，上述步骤具体如下：
确认受害资产：
根据分析的攻击行为，在非误报情况下，确认受到攻击的主机、业务系统、数据等资产；
在非误报情况下，分析攻击通道、恶意软件分析、追踪攻击者的行为等。使用网络取证技术和恶意代码分析工具，可以提供更深入的洞察；
确定受到攻击的主机、业务系统和相关的数据资产，考虑业务关键性和数据敏感性，确定哪些资产可能受到了实质性的攻击。
制定处置方法：
制定处置的方式方法，并通过审批流程确认具体处置方法，使用安全策略评估优化系统等工具，统一管理安全策略，达到处理攻击行为，提高安全防护能力的目的。
根据评估到受影响的资产，根据预定义的响应计划，确定处置方式和处置计划，将处置方式和计划通过内部系统、纸质、邮件等方式申请对攻击行为进行相应；
处置遵循基于安全策略的方法，使用安全策略评估优化系统等工具，统一管理安全策略，达到处理攻击行为，提高安全防护能力的目的；
安全策略包括：安全管理制度、访问控制列表、入侵防御规则、web防御规则、数据保护策略、密码策略等。
处置方式包括制定安全管理制度、通过防火墙封堵IP，封堵端口，通过入侵防御规则、web防御规则等封堵应用层攻击。
通过制定安全管理制度来防范和处置攻击：
定义安全政策：制定明确的安全制度，明确规定组织对安全的期望、原则和目标；
安全意识培训：开展定期的安全意识培训，教育员工关于安全最佳实践、威胁意识和应对策略，确保员工了解安全政策，并知道如何处理威胁和攻击；
物理访问控制和身份验证：建立有效的物理访问控制措施，确保只有经过授权的人员能够访问敏感系统和数据。采用强密码策略、多因素身份验证等技术来增强身份验证的安全性；
安全漏洞管理：建立漏洞管理流程，及时修补系统和应用程序中的漏洞，定期进行漏洞扫描和安全评估，确保系统的安全性和完整性；
安全事件响应计划：制定详细的安全事件响应计划，明确应对各类安全事件的步骤和责任。确保在遭受攻击时可以快速响应、尽快限制损失，并进行事后调查和修复；
日志管理和监测：建立日志管理和监测机制，记录和监控系统活动和事件，使用安全信息和事件管理系统（SIEM）、日志管理系统、态势感知等工具来收集、分析和报告安全事件和异常活动，实时监测潜在的攻击；
威胁情报和情报共享：加入威胁情报共享组织，定期获取关于新兴威胁和攻击技术的情报，通过及时了解新的威胁，加强防御措施，提高对潜在攻击的识别和处理能力；
安全审计和合规性：定期进行安全审计，评估安全管理制度的有效性和合规性，确保组织符合适用的法规和标准，如ISO 27001等，并及时进行必要的改进和调整。
通过制定防火墙封堵IP，封堵端口的安全策略来防范和处置攻击：
确定访问控制策略：通过防火墙设置访问控制规则，仅允许经过授权的IP地址或指定的端口可访问网络资源，例如，可以通过黑名单或白名单机制，禁止或允许特定的IP访问，此外，还可以使用端口过滤来限制对特定端口的访问；
实施安全组策略：安全组是云计算环境中的虚拟防火墙，用于控制虚拟机实例之间和与外部网络的网络流量，通过配置适当的安全组规则，可以限制进出虚拟机实例和云服务的流量，防止未经授权的访问；
更新防火墙规则和软件：定期更新防火墙的规则集和软件版本，以确保其具有最新的安全性修复和威胁情报，及时补丁和升级防火墙，以强化其能力防御不断进化的攻击；
配置网络隔离策略：将网络划分为不同的安全区域，并使用防火墙来隔离这些区域，这样可以减少攻击的扩散范围，使攻击者难以在网络中自由移动。
通过入侵防御规则、web防御规则等封堵应用层攻击：
定期更新IDS/IPS，WAF的软件版本和规则库，以确保其具有最新的安全性修复和威胁情报，强化其能力防御不断进化的攻击；
使用入侵检测和预防系统（IDS/IPS），可将如SQL注入、跨站脚本攻击（XSS）、命令注入等攻击行为，采取相应的阻断措施；
配置规则来限制或过滤特定的应用层协议或流量，例如，可以禁止不必要的协议或端口，限制特定协议的使用频率或限制数据包大小；
用Web应用防火墙（WAF）来保护Web应用程序免受应用层攻击。WAF可以通过分析HTTP请求和响应，检测和阻止恶意行为，如SQL注入、XSS、路径遍历等，根据预定义规则或自定义规则进行配置，并提供阻断、日志记录和警报功能；
输入验证和过滤：对于用户输入数据，进行严格的验证和过滤，以防止恶意输入触发应用层攻击，例如，对于Web表单中的输入字段，应检查输入是否符合预期格式，如数字、字母、特殊字符等，而不是接受任意输入。
S3、在对比分析处置方式和攻击行为的基础上，构建网络安全对抗防御能力评估体系框架及度量方法。
在一个实施例中，所述在对比分析处置方式和攻击行为的基础上，构建网络安全对抗防御能力评估体系框架及度量方法包括以下步骤：
S31、从处置方式与攻击行为两个方面构建指标评价框架，并对指标进行标准化处理与正态分布评估；
S32、采用层次分析法与组合赋权法确定权重，并利用正态云模型构建综合评估体系框架。
具体的，所述采用层次分析法与组合赋权法确定权重，并利用正态云模型构建综合评估体系框架包括以下步骤：
S321、确定进行评估的目标，其中所述目标为处置方式与攻击行为之间的成功率，并通过层次分析法将评估目标分解为多个层次和准则，形成层次结构；
S322、使用相对九标度尺度法对层次结构进行两两比较，并将比较结果构成判断矩阵；
S323、根据特征值与特征向量的关系求解判断矩阵的最大特征值及其对应的特征向量，并将定性因素关系向定量化转换，通过归一化方法计算权重；
S324、基于正态云理论确定综合评估体系的划分标准及标准云数字的特征计算，并根据模糊变换确定划分结果，根据划分结果确定综合评估体系框架。
所述基于正态云理论确定综合评估体系的划分标准及标准云数字的特征计算，并根据模糊变换确定划分结果包括以下步骤：
S3241、依据处置方式与攻击行为之间的结果将评估等级划分为优秀、良好、中等以及差四组划分标准；
S3242、根据云模型理论模块进行参数计算得到特征期望值；
S3243、根据云模型构建框架，计算每组标准对应的隶属值，并结合上述步骤得到的权重计算综合评估标准的综合隶属度；
具体的，所述综合隶属度的计算公式为：
式中，yj表示评估等级关于第j级的隶属度，Vi*表示第i个标准的权重，Vij表示第i个标准对第j级的隶属度，n表示评估使用的样本数量，i表示评价标准的数量，j表示隶属度的等级。
S3244、在模糊概念下采用最大隶属度量化评定结果，并将综合隶属度进行模糊变换，并根据模糊集合确定划分结果。
S33、以攻击行为的动态化度量为切入点，挖掘处置方式中防御、度量及能力三者之间的相互关系，形成面向能力的度量闭环；
具体的，所述以攻击行为的动态化度量为切入点，挖掘处置方式中防御、度量及能力三者之间的相互关系，形成面向能力的度量闭环可包括以下步骤：
挖掘防御、度量和能力之间的相互关系：分析处置方式中防御、度量和能力三者之间的相互关系，以了解它们之间的依赖和影响。
形成面向能力的度量闭环：基于相互关系的分析结果，构建面向能力的度量闭环，即将防御、度量和能力相互关联起来，形成一个循环的度量过程，用于评估和提升网络安全对抗防御能力。
设计动态化度量指标：根据面向能力的度量闭环，设计动态化的度量指标，用于衡量和评估网络安全对抗防御能力的动态变化和提升情况。
确定度量方法和工具：确定适合的度量方法和工具，用于收集和分析与防御、度量和能力相关的数据，以支持动态化度量指标的计算和评估。
S34、从防御集合的动态重组、处置方式的深度耦合、网络系统的环境影响及防御进程的紧密关联四个方面阐述处置方式的动态度量特征。
具体的，所述从防御集合的动态重组、处置方式的深度耦合、网络系统的环境影响及防御进程的紧密关联四个方面阐述处置方式的动态度量特征可包括以下步骤：
动态重组防御集合：分析防御集合的动态性，即不断更新和调整防御措施、工具和策略，以应对不断变化的攻击方式和威胁。
处置方式的深度耦合：探讨处置方式与防御集合、网络系统以及攻击行为之间的深度耦合关系，即处置方式在不同情境下的适用性和效果。
网络系统的环境影响：分析网络系统的环境特点，包括网络拓扑结构、系统组成和配置等，以了解环境因素对处置方式的影响和局限性。
防御进程的紧密关联：研究防御进程中各个环节之间的紧密关联，包括预防、检测、响应和恢复等，以揭示处置方式在整个防御过程中的作用和效果。
S35、以实际防御为实例进行体系防御能力的动态化度量与指标构建。
具体的，所述以实际防御为实例，进行体系防御能力的动态化度量与指标构建可以包括以下步骤：
选择实际防御案例：选取一个实际的网络安全防御案例作为研究对象，可以是过去发生的攻击事件或者模拟的攻击情境。
收集相关数据：收集与选定的实际防御案例相关的数据，包括攻击行为信息、处置方式的应用情况、防御措施的效果等。
分析实际防御过程：对选定的实际防御案例进行详细分析，包括攻击行为的特征、处置方式的选择和应用、防御措施的效果等，以了解实际防御过程中的关键因素和问题。
动态化度量与指标构建：基于实际防御案例的分析结果，构建动态化的度量指标，用于衡量和评估网络安全对抗防御能力的动态变化和提升情况。这些指标可以包括攻击行为的动态化度量、处置方式的效果评估、防御措施的有效性等。
验证与改进：对构建的度量指标进行验证和改进，比较实际防御案例中的实际情况与度量指标的结果，进一步优化和完善评估体系的准确性和实用性。
S4、以攻击和防御双重视角，评估量化安全对抗防御能力存在的差距，发现处置方式存在的安全漏洞和不足。
具体的，所述以攻击和防御双重视角，评估量化安全对抗防御能力存在的差距，发现处置方式存在的安全漏洞和不足可包括以下步骤：
攻击和防御对比分析：对已发现的攻击行为和系统制定的处置方式进行对比分析，评估攻击行为对系统的影响和处置方式的有效性。
安全漏洞和不足分析：在对比分析的基础上，发现处置方式存在的安全漏洞和不足之处，如未能准确识别某类攻击、响应时间过长、缺乏对新型攻击的防御等。
安全对抗防御能力评估：评估量化安全对抗防御能力的存在差距，即评估系统当前的安全防御能力与期望目标之间的差距。
发现改进措施：根据评估结果，发现需要改进的方面，并提出相应的改进措施，旨在提高系统的安全性和防御能力。
S5、定期监控网络与安全事件，评估安全策略的有效性，并持续对安全策略和评估体系框架进行优化与改进。
具体的，持续监控和评估：定期监控网络和安全事件，评估安全策略的有效性，优化安全策略和程序。
评估安全措施的有效性采用定期的渗透测试、漏洞扫描和安全审计等方式实现；
优化安全策略和程序采用数据分析和风险评估等手段，根据实际情况对安全策略进行优化和调整；
优化安全策略和程序采用预测性分析等技术，预测未来可能发生的安全事件，提前采取措施防范；
持续监控和评估采用人工智能等技术，对网络安全事件进行自动化分析和处理，减轻人工负担。
持续改进：对安全策略进行持续改进；
采用漏洞管理、风险评估等技术，及时发现和修复安全漏洞，提高网络安全防御能力；
包括对安全策略和程序的持续优化和完善，确保网络安全防御能力不断提升；
采用监控和评估技术，对安全措施的有效性进行监测和评估，及时调整和改进安全措施；
采用持续集成和持续交付技术，实现安全策略和程序的快速更新和部署，及时适应新的安全威胁。
综上所述，借助于本发明的上述技术方案，本发明通过设备和系统生成的日志和流量数据，使用监测设备和技术发现攻击行为，实时监测和分析网络日志和流量数据，以发现并确认是否存在真实的攻击行为，并是根据攻击行为的分析结果，确定受害资产并制定相应的处置方式，以优化系统的安全策略，同时构建网络安全对抗防御能力评估体系的关键步骤，通过对比分析处置方式和攻击行为，建立评估体系框架和度量方法，评估网络的防御能力，同时通过以攻击和防御的双重视角，量化评估网络的安全对抗防御能力之间的差距，以便发现和弥补存在的安全漏洞和不足。本发明提供了一种基于安全策略的网络安全运营方法，可以全面提高网络安全防御能力，降低网络风险，保护企业和个人的信息安全，首先通过监测IDS、NDR、XDR、态势感知、网络审计等设备的日志或通过监测网络流量的方式，发现攻击行为，并将发现的攻击行为，通过查询威胁情报等方式或人工检测方式确认是否是误报，根据分析的攻击行为，在非误报情况下，确认受到攻击的主机、业务系统、数据等资产，通过制定处置的方式方法，并通过审批流程确认具体处置方法，充分考虑企业的需求、风险和法规要求，确保网络安全防御措施的针对性和有效性。
本发明使用安全策略评估优化系统等工具，统一管理安全策略，达到处理安全问题，提高安全防护能力的目的，处置方式包括制定安全管理制度、通过防火墙封堵IP，封堵端口，通过入侵防御、web应用防火墙等封堵应用层攻击，定期监控网络和安全事件，评估安全策略的有效性，优化安全策略和程序，对安全策略进行持续改进，对优化后的安全策略进行整理评估。本发明采用基于安全策略的网络安全运营方法，实施自动化的检测和响应机制，可以快速响应安全事件，减少安全事件造成的损失，同时实施严格的身份验证和访问控制机制，可以保证只有经过授权的用户能够访问系统和数据，防止未授权的访问和攻击。
本领域普通技术人员可以意识到，结合本实施例描述的各示例的单元即算法步骤，能够以电子硬件或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
上述虽然结合附图对本发明的具体实施方式进行了描述，但并非对本发明保护范围的限制，所属领域技术人员应该明白，在本发明的技术方案的基础上，本领域技术人员不需要付出创造性劳动即可做出的各种修改或变形仍在本发明的保护范围以内。
Claims (8)
1.一种基于安全策略的网络安全运营方法，其特征在于，该运营方法包括以下步骤：
S1、通过设备和系统生成的日志和流量数据，使用监测设备和技术发现攻击行为，通过分析攻击行为特征确认是否存在真实攻击；
S2、根据分析结果确认受害资产，并根据安全策略评估优化系统制定攻击行为的处置方式；其包括以下步骤：
S21、根据上述步骤得到的分析结果，在确定攻击行为后确定受到攻击的主机、业务数据和相关的数据资产；
S22、使用网络取证技术和恶意代码分析工具分析攻击通道、恶意软件及追踪追击者的行为；
S23、构建基于长短记忆网络和支持向量机的攻击行为处置预测模型，并从充裕度的角度建立常见攻击行为的风险指标，实现对处置方式的越限概率预测；其进一步包括以下步骤：S231、采用长短期记忆网络对攻击行为关键变量进行超短期时序预测，作为处置预测模型的基础；S232、通过支持向量机采用核函数将攻击行为映射至高维空间，并在其内部构造最优处理方式，形成支持向量机决策函数；S233、通过决策函数对每一种攻击行为进行确定数值的输出，并通过决策分数完成处置方式类别预测；S234、通过充裕度角度计算可以描述系统可接受风险的范围和当前系统状态与崩溃点之间的距离；S235、基于严重度函数分别从安全管理制度、入侵防御规则及WEB防御规则角度建立稳定性裕度参数表达式并建立相应的风险指标；S236、加入对攻击行为越限事件的考虑，构建典型场景的预测模型，输出处置方式在未来时刻的越限概率，计算安全风险；
S24、计算得到安全策略以形成处置机制，对受害资产面对的攻击行为进行主动调控；
S3、在对比分析处置方式和攻击行为的基础上，构建网络安全对抗防御能力评估体系框架及度量方法；
S4、以攻击和防御双重视角，评估量化安全对抗防御能力存在的差距，发现处置方式存在的安全漏洞和不足；
S5、定期监控网络与安全事件，评估安全策略的有效性，并持续对安全策略和评估体系框架进行优化与改进。
2.根据权利要求1所述的一种基于安全策略的网络安全运营方法，其特征在于，所述通过设备和系统生成的日志和流量数据，使用监测设备和技术发现攻击行为，通过分析攻击行为特征确认是否存在真实攻击包括以下步骤：
S11、确定IDS、NDR、XDR、态势感知及网络审计监测设备已正确配置以生成相关的日志并启用流量监测功能，并通过集中管理日志和流量数据的中心化系统确保设备的日志数据和网络数据被正确收集与记录；
S12、在监测系统中配置和更新检测规则，并使用行为分析、机器学习和人工智能技术对收集的日志和流量数据进行分析异常行为和威胁指标，在检测过程中对出现的攻击行为进行警报；
S13、使用安全分析工具分析攻击行为的IP地址通信协议、使用的恶意软件及攻击流量模式，并与已知的攻击模式进行对比确定攻击行为的可信度；
S14、检查受影响系统的异常行为，包括系统日志、异常流量、应用程序日志及异常网络活动，确认是否存在真实的攻击行为，并根据威胁情报平台查询与攻击行为相关的指标，了解是否存在相同的威胁活动记录；
S15、经过安全分析行为对警报进行人工检测和分析，验证警报的有效性，并将当前警报的攻击行为和过去的攻击行为进行对比，检查是否出现相同的模式。
3.根据权利要求1所述的一种基于安全策略的网络安全运营方法，其特征在于，所述基于严重度函数分别从安全管理制度、入侵防御规则及WEB防御规则角度建立稳定性裕度参数表达式并建立相应的风险指标包括以下步骤：
S2351、从安全管理制度角度按照严重度函数建立安全管理制度稳定性裕度参数表达式；
S2352、从入侵防御规则角度按照严重度函数建立入侵防御规则稳定性裕度参数表达式；
S2353、从WEB防御规则角度按照严重度函数建立WEB防御规则稳定性裕度参数表达式；
S2354、采用层次分析法分别计算安全管理制度、入侵防御规则及WEB防御规则权重，并对严重度函数进行归一化处理；
S2355、将归一化处理后的严重度函数计算结果进行加权求和，将求和结果设为风险指标；
S2356、根据网络的实际运行情况设定阈值判断风险指标是否能够接受，若无法接受则对指标下发指令进行优化调控。
4.根据权利要求1所述的一种基于安全策略的网络安全运营方法，其特征在于，所述计算得到安全策略以形成处置机制，对受害资产面对的攻击行为进行主动调控包括以下步骤：
S241、根据网络安全的需求和威胁情报，结合对系统和资产的分析，利用机器学习技术，计算得到适用于特定环境的安全策略，其中安全策略包括安全管理制度、访问控制列表、入侵防御规则、web防御规则、数据保护策略及密码策略；
S242、基于得到的安全策略，建立相应的处置机制，其中，处置机制包括制定安全管理制度、通过防火墙封堵IP，封堵端口及通过入侵防御规则、web防御规则封堵应用层攻击；
S243、根据相应的处置机制结合安全策略的指导，对受害资产面对的攻击行为进行主动调控。
5.根据权利要求1所述的一种基于安全策略的网络安全运营方法，其特征在于，所述在对比分析处置方式和攻击行为的基础上，构建网络安全对抗防御能力评估体系框架及度量方法包括以下步骤：
S31、从处置方式与攻击行为两个方面构建指标评价框架，并对指标进行标准化处理与正态分布评估；
S32、采用层次分析法与组合赋权法确定权重，并利用正态云模型构建综合评估体系框架；
S33、以攻击行为的动态化度量为切入点，挖掘处置方式中防御、度量及能力三者之间的相互关系，形成面向能力的度量闭环；
S34、从防御集合的动态重组、处置方式的深度耦合、网络系统的环境影响及防御进程的紧密关联四个方面阐述处置方式的动态度量特征；
S35、以实际防御为实例进行体系防御能力的动态化度量与指标构建。
6.根据权利要求5所述的一种基于安全策略的网络安全运营方法，其特征在于，所述采用层次分析法与组合赋权法确定权重，并利用正态云模型构建综合评估体系框架包括以下步骤：
S321、确定进行评估的目标，并通过层次分析法将评估目标分解为多个层次和准则，形成层次结构；
S322、使用相对九标度尺度法对层次结构进行两两比较，并将比较结果构成判断矩阵；
S323、根据特征值与特征向量的关系求解判断矩阵的最大特征值及其对应的特征向量，并将定性因素关系向定量化转换，通过归一化方法计算权重；
S324、基于正态云理论确定综合评估体系的划分标准及标准云数字的特征计算，并根据模糊变换确定划分结果，根据划分结果确定综合评估体系框架。
7.根据权利要求6所述的一种基于安全策略的网络安全运营方法，其特征在于，所述基于正态云理论确定综合评估体系的划分标准及标准云数字的特征计算，并根据模糊变换确定划分结果包括以下步骤：
S3241、依据处置方式与攻击行为之间的结果将评估等级划分为优秀、良好、中等以及差四组划分标准；
S3242、根据云模型理论模块进行参数计算得到特征期望值；
S3243、根据云模型构建框架，计算每组标准对应的隶属值，并结合上述步骤得到的权重计算综合评估标准的综合隶属度；
S3244、在模糊概念下采用最大隶属度量化评定结果，并将综合隶属度进行模糊变换，并根据模糊集合确定划分结果。
8.根据权利要求7所述的一种基于安全策略的网络安全运营方法，其特征在于，所述综合隶属度的计算公式为：
；
式中，yj表示评估等级关于第j级的隶属度，vi*表示第i个标准的权重，vij表示第i个标准对第j级的隶属度，n表示评估使用的样本数量，i表示评价标准的数量，j表示隶属度的等级。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202311341206.6A CN117081868B (zh) | 2023-10-17 | 2023-10-17 | 一种基于安全策略的网络安全运营方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202311341206.6A CN117081868B (zh) | 2023-10-17 | 2023-10-17 | 一种基于安全策略的网络安全运营方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN117081868A CN117081868A (zh) | 2023-11-17 |
| CN117081868B true CN117081868B (zh) | 2023-12-26 |
Family
ID=88706554
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202311341206.6A Active CN117081868B (zh) | 2023-10-17 | 2023-10-17 | 一种基于安全策略的网络安全运营方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN117081868B (zh) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN117272330B (zh) * | 2023-11-22 | 2024-03-08 | 深圳市奥盛通科技有限公司 | 服务器系统加固更新方法及系统 |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109559019A (zh) * | 2018-11-01 | 2019-04-02 | 三峡大学 | 一种基于风险指数的电力系统动态安全评估方法 |
| CN111245807A (zh) * | 2020-01-07 | 2020-06-05 | 北京工业大学 | 基于攻击链因子的网络态势量化评估方法 |
| CN112613676A (zh) * | 2020-12-29 | 2021-04-06 | 国网浙江省电力有限公司经济技术研究院 | 一种高分辨度电网弹性评估方法 |
| CN114119287A (zh) * | 2021-11-30 | 2022-03-01 | 深圳供电局有限公司 | 一种电网预想故障快速定位方法及系统 |
| CN114330865A (zh) * | 2021-12-24 | 2022-04-12 | 中国电力科学研究院有限公司 | 电网备用容量预测方法、系统、计算机设备及存储介质 |
| CN114978584A (zh) * | 2022-04-12 | 2022-08-30 | 深圳市蔚壹科技有限公司 | 基于单位单元的网络安全防护安全方法及系统 |
-
2023
- 2023-10-17 CN CN202311341206.6A patent/CN117081868B/zh active Active
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109559019A (zh) * | 2018-11-01 | 2019-04-02 | 三峡大学 | 一种基于风险指数的电力系统动态安全评估方法 |
| CN111245807A (zh) * | 2020-01-07 | 2020-06-05 | 北京工业大学 | 基于攻击链因子的网络态势量化评估方法 |
| CN112613676A (zh) * | 2020-12-29 | 2021-04-06 | 国网浙江省电力有限公司经济技术研究院 | 一种高分辨度电网弹性评估方法 |
| CN114119287A (zh) * | 2021-11-30 | 2022-03-01 | 深圳供电局有限公司 | 一种电网预想故障快速定位方法及系统 |
| CN114330865A (zh) * | 2021-12-24 | 2022-04-12 | 中国电力科学研究院有限公司 | 电网备用容量预测方法、系统、计算机设备及存储介质 |
| CN114978584A (zh) * | 2022-04-12 | 2022-08-30 | 深圳市蔚壹科技有限公司 | 基于单位单元的网络安全防护安全方法及系统 |
Non-Patent Citations (2)
| Title |
|---|
| 刘新东 ; 江全元 ; 曹一家 ; 陈为化 ; .基于风险理论和模糊推理的电力系统暂态安全风险评估.电力自动化设备.2009,(第02期),全文. * |
| 基于风险理论和模糊推理的电力系统暂态安全风险评估;刘新东;江全元;曹一家;陈为化;;电力自动化设备(第02期);全文 * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN117081868A (zh) | 2023-11-17 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN114978584A (zh) | 基于单位单元的网络安全防护安全方法及系统 | |
| US7281270B2 (en) | Attack impact prediction system | |
| KR100351306B1 (ko) | 다양한 침입탐지모델을 사용하는 침입탐지시스템 및 그 방법 | |
| US20040215972A1 (en) | Computationally intelligent agents for distributed intrusion detection system and method of practicing same | |
| CN117081868B (zh) | 一种基于安全策略的网络安全运营方法 | |
| Arunkumar et al. | Malicious attack detection approach in cloud computing using machine learning techniques | |
| CN116319061A (zh) | 一种智能控制网络系统 | |
| Agrawal et al. | A SURVEY ON ATTACKS AND APPROACHES OF INTRUSION DETECTION SYSTEMS. | |
| CN115766065A (zh) | 面向电力物联网系统的安全防护方法及系统、介质、设备 | |
| Saini et al. | Vulnerability and Attack Detection Techniques: Intrusion Detection System | |
| Bakshi et al. | WSN Security: Intrusion Detection Approaches Using Machine Learning | |
| Moharamkhani et al. | Intrusion detection system based firefly algorithm‐random forest for cloud computing | |
| Lakra | HSNORT: A Hybrid intrusion detection system using artificial intelligence with snort | |
| Janakiraman et al. | An Intelligent Distributed Intrusion Detection System using Genetic Algorithm. | |
| Ali et al. | Intrusion detection and prevention against cyber attacks for an energy management system | |
| Gheorghică et al. | A new framework for enhanced measurable cybersecurity in computer networks | |
| Singh et al. | A review on intrusion detection system | |
| Saeed et al. | Machine Learning Based Intrusion Detection System in Cloud Environment | |
| Parmar et al. | A different approach of intrusion detection and Response System for Relational Databases | |
| Karasaridis et al. | Artificial Intelligence for Cybersecurity | |
| CN113191917B (zh) | 一种基于径向基函数算法的电厂工控系统网络安全威胁分类方法 | |
| Chakraborty | Digital defense: Verification of security intelligence | |
| Rahim et al. | Improving the security of Internet of Things (IoT) using Intrusion Detection System (IDS) | |
| Sindhu et al. | Intelligent multi-agent based genetic fuzzy ensemble network intrusion detection | |
| Archana et al. | Optimizing trust, Cloud Environments Fuzzy Neural Network, Intrusion Detection System |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |