[发明专利]一种基于量子遗传算法的漏洞修复收益优先级评估方法及电子装置

说明书

本发明提供一种基于量子遗传算法的漏洞修复收益优先级评估方法及电子装置，该方法包括：通过获取的网络系统中存在的漏洞信息及系统的访问连通拓扑结构信息；计算系统受到的总体危害损失及修复系统中一组漏洞所产生的总负面代价；使用有限成本修复一组漏洞，构造约束函数，根据总体危害损失与总负面代价，构造系统损失降低最大的目标函数；通过总体危害损失、总负面代价、约束函数及目标函数，构造适应度函数；根据适应度函数进行适应度计算，获取最优漏洞修复收益的进化方向，得到最优漏洞修复收益方案。本发明运用量子比特对染色体编码，采用量子逻辑门完成种群的进化更新，实现目标的优化求解，避免早熟收敛及陷入局部最优解，寻优能力更强。

技术领域

本发明实施涉及信息安全技术领域，具体涉及一种基于量子遗传算法的漏洞修复收益优先级评估方法及电子装置。

背景技术

随着计算机系统在各行各业广泛地应用，计算机系统已经与人们的生活息息相关。与此同时，各类信息安全漏洞数目急剧增长，频频受到黑客利用，导致巨大的安全风险。根据安全公司Risk Based Security(RBS)的《2019年中漏洞报告》，仅在2019年上半年，就有多达11092个漏洞被披露。因此，检测信息系统中存在的漏洞，并对漏洞进行合理、有效的管理与修复，已经成为信息安全保障体系的关键问题。

目前，对漏洞的管理方法通常根据对漏洞的风险进行量化评估得到的风险值或风险等级，从而制定不同的漏洞修复方案。例如，结合通用漏洞库的测评标准与实际的漏洞所处主机关联的业务信息、网络拓扑结构等信息，对漏洞的风险值进行综合计算，优先对风险值高的漏洞进行修复。又例如中国专利申请CN101950338A公开了一种基于层次化漏洞威胁评估的漏洞修复方法，根据攻击利用分值和定性等级分值进行评估。

然而，当前方法一定程度上缺乏对漏洞修复所需要的成本开销及产生影响的分析，使得根据风险值制定的漏洞修复方案难以取得较优的安全收益。例如，部分高危漏洞的修复过程复杂，需要花费大量的人力、时间、计算资源等开销，且漏洞修复完成后，会带来系统性能降低等负面影响，综合来看，修复漏洞所付出的代价并不亚于漏洞被利用所造成的损失，根据风险值优先修复这类高危漏洞取得的安全收益不高。

在实际中，运维人员能用于修复漏洞的安全资源是有限的，往往期望这些有限的安全资源可以优先修复能取得最优安全收益的漏洞。上述基于风险评估的漏洞管理方法没有充分考虑漏洞修复的收益信息，使得提供的漏洞修复方案难以符合运维人员的需求。

虽然中国专利申请CN109547401A公开了网络安全漏洞优先化和修复，其对网络安全漏洞中的每一个基于影响度量和最终资源度量来计算网络优先安全级，但在计算网络优先安全级时寻优能力不强。

发明内容

基于上述问题，本发明提供一种基于量子遗传算法的漏洞修复收益优先级评估方法及电子装置，以实现对漏洞修复收益进行评估，并输出漏洞优先修复方案，辅助运维人员在有限的漏洞修复资源约束下，优先修复能取得最优安全收益的漏洞。

为实现上述目的，本发明采用如下技术方案：

一种基于量子遗传算法的漏洞修复收益优先级评估方法，其步骤包括：

1)通过获取的网络系统中存在的漏洞信息及系统的访问连通拓扑结构信息，计算系统受到的总体危害损失及修复系统中一组漏洞所产生的总负面代价；

2)使用有限成本随机修复一组漏洞，构造约束函数，并根据总体危害损失与总负面代价，构造系统损失降低最大的目标函数；

3)通过总体危害损失、总负面代价、约束函数及目标函数，构造适应度函数；

4)根据适应度函数进行适应度计算，获取最优漏洞修复收益的进化方向，得到最优漏洞修复收益方案。