[发明专利]一种网络安全态势评估方法

说明书

技术领域

本发明属于网络安全技术领域，特别是一种网络安全态势评估方法。

技术背景

网络是信息时代的产物，目前几乎覆盖了世界上所有重要领域。随着网络规模不断扩大，网络攻击和破坏行为日益频繁，网络安全形势日趋严峻。为形成网络安全主动防护能力，首先需要了解网络的内外部威胁和整体安全状态。

网络安全态势评估技术通过对网络中影响安全的因素进行深层次综合处理分析，对网络整体安全状况进行实时评估，为网络安全管理指挥、决策提供指导。

目前用于网络安全态势评估的方法主要分为3类：基于数学模型的方法、基于知识推理的方法和基于模式识别的方法。但从应用的角度看，目前的研究还存在以下不足：

1、数据源单一：用于网络安全态势评估的基础数据来源偏少，导致网络安全态势评估结果存在片面性，无法全面反映网络安全整体状况；

2、评估结果不够精确：网络安全态势评估算法设计不合理，导致评估结果不够精确，无法真实反映网络安全整体状况；

3、评估结果难于理解：评估结果仅仅是网络安全一个方面的数值或者等级，很难直接用于指导网络安全管理指挥、决策。

发明内容

本发明的目的在于，通过提供一种网络安全态势评估方法，对网络中影响网络安全的因素进行综合处理分析，对外部和内部威胁态势分别进行评估，再对网络安全态势进行综合评估。

本发明是采用以下技术手段实现的：

一种网络安全态势评估方法，包括：安全事件信息、网络拓扑信息、资产基本信息和资产状态信息；包括以下步骤：

步骤1：对原始数据进行预处理，消除重复信息和错误信息，生成格式化的安全事件信息、网络拓扑信息、资产基本信息和资产状态信息；

用于网络安全态势评估的数据来源包括防火墙、入侵检测系统、防病毒软件、漏洞扫描系统、拓扑发现工具、性能采集工具；经过去冗余、消除错误信息，再进行格式化，形成安全事件信息、网络拓扑信息、资产基本信息和资产状态信息。

步骤2：基于网络拓扑信息、资产基本信息，计算各资产在子网中的权重和各子网在整个网络中的权重；

设定网络中有n个网络设备类资产ASSET₁，ASSET₂，...，ASSET_n，每个网络设备类资产与其连接的终端类资产构成一个子网，根据网络拓扑信息，设定有m个终端类资产与网络设备类资产ASSET_k(1≤k≤n)相连接：ASSET_k1，ASSET_k2，...，ASSET_km；

计算网络设备类资产ASSET_k的子网总资产值；

在计算权重时，设定权值为资产值的平方；

计算终端类资产ASSET_kf在网络设备类资产ASSET_k的子网中的权重；

计算网络设备类资产ASSET_k在其子网中的权重；

计算网络设备类资产ASSET_k的子网在整个网络中的权重。

步骤3：基于入侵信息，对各资产进行外部威胁态势评估；基于病毒信息、漏洞信息，对各资产进行内部威胁态势评估；

在时间段[t₀，t₁]内，无论入侵是否成功，对入侵信息进行统计，设定针对资产ASSET_w的所有入侵信息为IDS₁，IDS₂，...，IDS_p；

计算资产ASSET_w的外部威胁态势值；

计算资产ASSET_w的内部威胁态势值。

步骤4：基于各资产在子网中的权重，采用权重分析法，进行各子网外部威胁态势评估和内部威胁态势评估；

网络设备类资产的子网外部威胁态势值就是该子网内所有资产的外部威胁态势值的加权和；

网络设备类资产的子网内部威胁态势值就是该子网内所有资产的内部威胁态势值的加权和。

步骤5：基于各子网在整个网络中的权重，采用权重分析法，进行网络外部威胁态势评估和内部威胁态势评估；

网络外部威胁态势值就是所有子网的外部威胁态势值的加权和；

网络内部威胁态势值就是所有子网的内部威胁态势值的加权和。

步骤6：对防火墙日志信息、入侵信息和漏洞信息进行交叉关联，消除无效告警；