CN1741472A - 网络入侵事件风险评估方法及系统 - Google Patents

Abstract

本发明涉及一种网络入侵事件的有效性分析过滤、风险评估的方法及系统，它包括：1.按照设定的条件对入侵事件进行有效性分析过滤和风险评估计算的引擎模块单元；2.对引擎模块的控制和管理单元；3.入侵事件风险评估结果显示和报表模块单元。入侵风险评估主要是在入侵检测系统(IDS)中引入了周期性的漏洞扫描结果，这样，在综合比较入侵特征和漏洞扫描得到的结果后就可以对网络中所存在的漏洞与攻击所产生的威胁进行一个更加全面和更加准确的描述与评价，从而极大的降低了IDS的误报率和提高了准确率，弥补了IDS本身固有的缺陷。

Description

网络入侵事件风险评估方法及系统

技术领域

本发明涉及计算机网络安全领域，是一种网络入侵监测系统(NIDS：Network Intrusion Detection System)和脆弱性扫描系统(Scanner)协同工作的方法和系统，以降低IDS报警事件的数据量和提高IDS报警事件的精确程度。

背景技术

NIDS安装在被保护的网段中，其监听网卡工作在混杂模式下，依据网络行为特征同特征库(知识库)进行模式匹配分析网段中所有的数据包，进行网络安全事件的实时检测和响应。在事件上报的数据量和检测的准确性方面，这种单一的匹配检测方法存在着一定程度的缺陷。简单地举个例子就可以说明这一点，设想下面的一个环境：

某企业内网中运行这一台WEB服务器Server_WEB，运行的操作系统是Linux，出于安全考虑，这台服务器仅开放端口80提供WEB服务，而关闭了FTP端口20、21和TELNET端口23等其它端口。这台WEB服务器位于企业内网部署的IDS的监控范围之内，即如果IDS不存在漏报，那么IDS就可以有效地检测到一切对于Server_WEB进行的入侵攻击。假设处于企业外网的一名黑客对该服务器进行了基于FTP服务的用户口令穷举猜解，那么事实上由于该服务器没有提供FTP服务并且关闭了21端口，所以此次入侵并不能真正形成威胁，但由于传统的IDS并没有关于该服务器系统配置的记录，也会报出这条事件来。因此有必要结合其他手段和技术来提高IDS报警事件的精确程度。

而脆弱性扫描系统则可以比较准确的扫描出内部网络中的各主机的操作系统、开放的端口和存在的漏洞等信息。这样IDS的入侵事件通过与脆弱性扫描系统周期性的扫描结果进行关联分析，将无效事件进行过滤，将有效事件的风险程度进行计算，就能大大提高IDS报警结果的可用性。

发明内容

本发明的目的就是设计一种与IDS协同工作的方法和系统，以提高IDS报警事件的准确度，使IDS用户从巨大的事件数据量中解脱出来，而将更多的精力放在解决真正是有效的网络攻击事件上。为实现上述目的，本发明实现了一种网络入侵事件进行有效性分析和风险评估计算方法和系统，通过它可以结合IDS和Scanner的安全功能，使它们能够协同工作，从而降低IDS报警事件的数据量和提高IDS报警事件的精确程度。

该系统包括：

1、引擎模块单元：按照设定的条件对入侵事件进行有效性分析过滤和风险评估计算的，主要是将IDS上报的入侵事件与Scanner最新的扫描结果进行匹配分析；

其中使用的分析方法包含：

(1)对入侵检测系统报出事件的端口和所宿主机的端口扫描结果进行匹配，包括TCP和UDP端口；

(2)对入侵检测系统报出事件的所属操作系统和所宿主机的操作系统扫描结果进行匹配；

(3)对入侵检测系统报出事件所对应的漏洞和所宿主机的漏洞扫描结果进行匹配；

(4)根据以上的匹配结果以及漏洞的危险级别、事件的威胁程度进行的风险评估计算；

(5)输出分析计算后的匹配结果和风险指数；

2、引擎的控制和设置模块单元：主要是对引擎工作状态进行控制及查询，设置需要监控的IP范围及引擎的工作匹配模式。

其主要功能包括：

(1)控制及查询引擎的工作状态，如是否启动、停止等；

(2)设置需要进行入侵风险评估的主机的IP范围，也就是需要进行脆弱性扫描的主机IP范围；

(3)设置引擎的工作匹配模式，包括是否设置端口匹配、主机操作系统匹配以及漏洞匹配等。

3、脆弱性扫描设置模块单元：设置对监控主机周期性脆弱扫描的相关参数，包括是否周期性扫描、每次扫描的日期时间、每次扫描工作的最大线程数，设置完毕后，扫描任务就立即生效。

4、网络资产管理模块单元：设置和管理网络主机的资产信息，资产信息可以从脆弱性扫描的结果中导入，并可以进行修改和删除。

5、入侵事件风险评估结果显示和报表模块单元：将引擎对入侵事件与扫描结果进行匹配和风险评估计算的结果在用户界面上显示出来，以便于用户查看和分析；同时在报表模块中还可以对结果进行统计、分析、归档等。

本专利中所申请的网络入侵事件风险评估方法及系统，具有以下优点：

1、将两个主要的网络安全产品IDS和Scanner进行了无缝结合，突出的体现了各自的优点和互补性，弥补了各自的缺陷，提高了它们的使用价值；

2、对入侵事件的风险程度进行了全面准确的分析，使用户能够将主要精力集中在高风险程度的入侵事件上；

3、可以有效地降低入侵检测系统的误报率，提高其报告事件的准确率。

附图说明

图1.系统实现框架图。

图2.系统实现流程图。

具体实施方式

对行为关联事件描述语言的软件实现结构，见说明书附图2。本系统工作于IDS和SCANNER之上，它主要是利用IDS和SCANNER所报的结果进行分析，剔除误报的事件，并对有效事件进行风险评估。

引擎启动后会定时根据指定IP范围取得所有IP的最新脆弱性扫描结果，其数据结构如下：

typedef struct

{

//指定IP范围扫描任务的ID

DWORD dwTID；

//扫描任务dwTID扫描完成时间，用以标定是否是最新的结果

time_t tCurrentTime；

//扫描任务dwTID的扫描结果

map<DWORD，Single IPScanLog>map_ScanLog；

//标定该扫描结果是否正在使用

LONG nSLCounter；

}MapScanLog；

其中map_ScanLog根据事件漏洞对应表对扫描结果与相关的事件ID进行关联和排序，以提高引擎对上报事件查询、检索和分析的速度。

每当IDS上报一条攻击事件时，引擎首先分析该事件是与事件的源IP相关还是目的IP相关，也就是该攻击特征是针对源IP还是目的IP的；然后检查该相关的IP是否在指定的IP范围内：如果不在指定的IP范围内就放弃这条事件；如果在指定的IP范围内，则分别与扫描结果中的端口信息、操作系统信息、事件ID进行匹配，并取得匹配结果。然后根据匹配结果MV(取值范围0～3)、该事件的风险级别EL(四个级别：1～4)、对应漏洞的危险级别VL(三个级别：2～4)来得到该事件的风险评估结果RV。事件的风险评估计算公式为：RV＝(MV*EL*VL)/(3*4*4)*100％。RV值越高表示该入侵事件的攻击可能性越大，反之就越小。

Claims (3)

1.一种网络入侵事件风险评估方法，其特征在于：根据所宿主机的脆弱性扫描结果对入侵检测系统报出事件进行关联分析和风险评估计算或根据脆弱性扫描系统的周期性扫描结果对IDS上报事件的准确性和威胁性进行关联分析和风险评估计算。

2.根据权利要求1所述的网络入侵事件风险评估方法，其特征在于：关联分析包含：

(1)对入侵检测系统所报事件的端口和所宿主机开放的端口扫描结果进行匹配，包括TCP和UDP端口；

(2)对入侵检测系统报出事件的所属操作系统和所宿主机的操作系统扫描结果进行匹配；

(3)对入侵检测系统报出事件所对应的漏洞和所宿主机的漏洞扫描结果进行匹配；

(4)根据以上的匹配结果以及漏洞的危险级别、事件的威胁程度进行的风险评估计算；

(5)输出分析计算后的匹配结果和风险。

3.一种网络入侵事件风险评估系统，该系统包括一计算机主机，一网络服务器，多个终端服务器，数据存储装置，网卡，以及数据输入装置和输出装置，其特征在于：

该系统还包括：

(1)分析引擎模块单元：按照设定的条件对入侵事件进行有效性分析过滤和风险评估计算，将IDS上报的入侵事件与Scanner最新的扫描结果进行匹配分析；

(2)引擎的控制和设置模块单元：是对引擎工作状态的启动、停止进行控制及查询，设置需要监控的IP范围及匹配方式；

(3)脆弱性扫描设置模块单元：设置对监控主机周期性脆弱扫描的相关参数，包括是否周期性扫描、每次扫描的日期时间、每次扫描工作的最大线程数，设置完毕后，扫描任务就立即生效；

(4)网络资产管理模块单元：设置对监控主机周期性脆弱扫描的相关参数，管理网络主机的资产信息；

(5)事件风险评估结果显示和报表模块单元：将引擎对入侵事件与扫描结果进行匹配和风险评估计算的结果在用户界面上显示出来，便于用户查看和分析；同时在报表模块中还可以对结果进行统计、分析、归档。

Images