[发明专利]一种网络安全态势评估方法

说明书

技术领域

本发明涉及评估技术，特别是涉及一种网络安全态势评估方法。

背景技术

随着科技发展，网络安全问题早已成为人们关注的焦点。近年来，网络攻击事件数量持续增长，各科研单位研究各种安全技术措施，评估网络安全态势，并防范甚至解决网络攻击问题。在网络安全态势评估技术中，脆弱性利用威胁评估技术一直是安全态势评估领域的一个关键技术。

脆弱性利用威胁评估方法包括脆弱性严重程度评估法、全局安全态势评估法两类。脆弱性严重程度评估法主要根据脆弱性易被利用的特性评估各脆弱性严重程度，其评价结果的准确性较低。全局安全态势评估法首先基于攻击图或贝叶斯网络建立脆弱性评估模型，然后根据系统中所有脆弱性的状态来评估系统整体安全状态，并基于经验或者脆弱性评估系统(CVSS，Common Vulnerability Scoring System)获取各脆弱性被成功利用的概率；但现有的全局安全态势评估方法的脆弱性评估模型比较复杂，且评估结果的准确性较低。

由此可见，在现有技术中，网络安全态势评估方法存在评估结果准确性较低等问题。

发明内容

有鉴于此，本发明的主要目的在于提供一种关于全局的模型比较简单、评估结果准确性较高、应用范围较广的网络安全态势评估方法。

为了达到上述目的，本发明提出的技术方案为：

一种网络安全态势评估方法，包括如下步骤：

步骤1、对脆弱性扫描工具或入侵检测系统采集的相对应的脆弱性信息、网络攻击信息、攻击证据进行统一编号后，分别生成脆弱性列表、原子攻击列表、攻击证据列表。

步骤2、将相对应的原子攻击、攻击证据作为节点，以相对应的原子攻击与攻击证据之间的因果关系为有向弧，建立贝叶斯网络。

步骤3、根据相对应的原子攻击与攻击证据中的基本操作数获取原子攻击后验概率其中，a_j为第j个原子攻击，o_l为与原子攻击a_j对应的攻击证据，k_s为原子攻击a_j的基本操作数，n_l为攻击证据o_l的基本操作数，j、l、k_s、n_l为自然数。

步骤4、根据原子攻击后验概率，检测贝叶斯网络中原子攻击与攻击证据之间的因果关系是否真实：与攻击证据可能存在因果关系的各原子攻击中，原子攻击后验概率最大的原子攻击对应的因果关系为真实的。

步骤5、根据步骤4的检测结果、脆弱性列表、原子攻击列表、攻击证据列表，将原子攻击对应的脆弱点作为节点加入贝叶斯网络中，建立网络攻击系统架构。

步骤6、根据网络攻击系统架构，生成贝叶斯攻击图BAG＝(T，W，∏，E，C)；其中，T为确定的贝叶斯网络中原子攻击、攻击证据、脆弱点三类节点的集合，W为原子攻击权集合，∏为概率集合，E为依赖关系集合，C为约束条件集合；

步骤7、根据贝叶斯攻击图，获取原子攻击节点攻击概率：

其中，原子攻击节点a_fj为原子攻击节点a_j的父节点；p(a_fj)为父节点a_fj攻击概率；s(a_j)为原子攻击节点自身概率；s(v_i)为脆弱性节点自身概率。

步骤8、获取脆弱性威胁度并根据目的主机各级权限攻击比率，将脆弱性威胁度对应分为Root权限级、User权限级、None权限级三个层次。

步骤8中，所述根据目的主机各级权限攻击比率，将脆弱性威胁度对应分为Root权限级、User权限级、None权限级三个层次，具体包括如下步骤：

步骤81、获取目的主机Root权限攻击比率q_R＝(T(Root)+T(User)+T(None))/N、目的主机User权限攻击比率q_U＝(T(User)+T(None))/N、目的主机None权限攻击比率q_N＝T(None)/N；其中，T(Root)表示攻击者为获取目的主机Root权限而实施的原子攻击次数，T(User)表示攻击者为获取目的主机User权限而实施的原子攻击次数，T(None)表示攻击者为获取目的主机None权限而实施的原子攻击次数；N为原子攻击总数，且N≥T(Root)+T(User)+T(None)。