[发明专利]一种基于知识图谱的工控网络安全态势量化评估方法

权利要求书

1.一种基于知识图谱的工控网络安全态势量化评估方法，其特征在于，包括如下步骤：

步骤1，定义和构造网络安全知识图谱：

1)把知识图谱定义为KG，KG＝{E，R}，其中E代表网络安全知识图谱中所有节点的集合，包括主机和漏洞；R代表网络安全知识图谱中节点之间关系的集合，包括具有、通信和关联；

2)对网络安全知识图谱中的E、R设定具体的规范和定义：

E包括的节点分：主机、漏洞；

主机具有的属性包括：Name、IP、MAC、OS、Version和Weights；

漏洞具有的属性包括：ID、Name、Describe、Type、Score、Soft、Patch、AV、AC、PR、UI、Scope、Confidentiality、Integrity和Availability；

R包括主机和主机的关系、主机和漏洞的关系；主机和主机的关系标记为Connection，表示一个主机到另一个主机的网络连接，具有的属性包括：Direction和Bandwidth，Direction的取值范围包括In、Out、All和Unknown；

主机和漏洞的关系标记为Has，Has标识主机具有某个漏洞；

步骤2，定义网络安全知识图谱中节点的业务权重：

节点的业务权重用Weights标识，代表节点在工控业务中的重要程度，定义分值范围为1～10，分数越高权重越大；

步骤3，根据攻击事件计算威胁指数：

1)对攻击事件进行分类，把攻击事件分为4大类：DoS、R2L、U2R和PROBING；

2)计算被攻击主机的直接威胁指数HRS：

结合攻击目标业务权重、漏洞评分、攻击事件和漏洞的匹配程度，进行单个主机的直接威胁指数评估；

漏洞评分记为Score，Score的取值范围是0～10；

定义：VS＝{Score₁,Score₂,Score₃,...Score_m}，其中，m为漏洞数量；

漏洞攻击事件和漏洞的匹配程度记为Match，Match的分值范围为0～10，攻击事件和漏洞的匹配分值参考攻击类型和漏洞的CVSS评分进行综合评定；

定义：VM＝{Match₁,Match₂,Match₃,...Match_m}，其中，m为漏洞数量；

单个主机存在多个漏洞，受到多种攻击事件时，直接威胁指数HRS选择攻击事件和攻击事件匹配的漏洞的分数乘积的最大值；

被攻击的单个主机的直接威胁指数HRS的计算公式如下：

其中，0≤HRS≤100；

3)计算主机的间接威胁指数NRS：

间接威胁指数NRS受攻击事件扩散的影响，攻击事件的扩散指数用Spread标识，取值范围为0～10；

设定深度遍历的深度为Depth，与被攻击的节点紧邻的节点Depth为1，逐级递增；

单个被攻击的节点对邻接节点的间接威胁指数NRS_ONE计算公式为：

NRS_ONE＝Max{Score|Score∈VS}*Spread*0.8^Depth，

Depth≤8，0≤NRS_ONE≤100，

叠加多个被攻击节点的影响，所述邻接节点的间接威胁指数NRS计算公式为：

0≤NRS≤100；

4)计算主机的完整威胁指数RS：

主机的完整威胁指数RS取直接威胁指数和间接威胁指数的最大值为：

RS＝Max{HRS|NRS}，0≤RS≤100；

5)计算整网的威胁指数NetworkRS：

根据所有主机的威胁指数及权重，通过加权平均数算法，计算整网的威胁指数NetworkRS，计算公式如下：

0≤NetworkRS≤100，k为主机数量。

2.根据权利要求1所述的一种基于知识图谱的工控网络安全态势量化评估方法，其特征在于，所述步骤1中，E包含的漏洞通过漏洞描工具扫描整个网络获得。

3.根据权利要求1所述的一种基于知识图谱的工控网络安全态势量化评估方法，其特征在于，所述步骤1中，R中主机和漏洞的关联关系采用漏洞扫描工具扫描后得到。