[发明专利]网络安全脆弱性评估系统及方法

权利要求书

1.一种网络安全脆弱性评估系统，是对目标信息系统的目标资产的脆弱性进行评估的系统，其特征在于，包括：资产评估模块，其对所述目标信息系统的目标资产的种类进行识别，基于所述目标资产的种类和预先设定的资产评分标准对所述目标资产的保密性、完整性和可用性进行赋值，从而获得所述目标资产的资产价值评分，其中，所述资产评估模块通过部署资产探针并依托于态势感知系统对所述目标信息系统的资产进行识别并统计所述资产的种类和数量，所述资产评估模块从所述资产选出目标资产，所述资产评分标准经由价值基准和各个资产的种类而获得，所述价值基准基于所述目标信息系统的种类确定，不同种类的信息系统在保密性、完整性和可用性各方面的要求不同，所述价值基准是针对信息系统在保密性、完整性和可用性各方面的最小赋值，所述资产评分标准针对保密性、完整性和可用性的赋值分别不小于所述价值基准针对保密性、完整性和可用性的赋值，所述目标资产的资产价值评分满足：其中，A_i是目标资产的价值评分，s_i分别为目标资产的价值基准针对保密性s₁、完整性s₂和可用性s₃的赋值，a_i是目标资产的资产评分标准针对保密性a₁、完整性a₂和可用性a₃的赋值；脆弱性评估模块，其对所述目标信息系统进行漏洞扫描获得所述目标信息系统涉及的系统漏洞以及数量，并且所述脆弱性评估模块对所述系统漏洞中的各个漏洞进行评估获得各个漏洞的漏洞评分，所述脆弱性评估模块从所述系统漏洞中获得与所述目标资产对应的目标漏洞及其数量和与各个目标漏洞分别对应的漏洞评分，从而获得漏洞风险值，所述脆弱性评估模块对所述目标信息系统涉及的配置项进行检查获得配置项脆弱性值，并基于所述漏洞风险值和所述配置项脆弱性值获取脆弱性评分，其中，所述脆弱性评估模块对所述系统漏洞中的各个漏洞进行评估获得各个漏洞的漏洞评分，所述脆弱性评估模块从所述系统漏洞中获得与所述目标资产对应的目标漏洞及其数量和与各个目标漏洞分别对应的漏洞评分，从而获得所述漏洞风险值，所述脆弱性评估模块基于各个目标漏洞的漏洞评分按从大到小的顺序进行排序，所述漏洞风险值满足：其中，N表示为系统漏洞数量，b_i表示为第i个漏洞的漏洞评分，表示为影响系数，表示为收敛系数，n表示为目标漏洞的数量，所述脆弱性评估模块基于多个单模板核查表单对所述目标信息系统以及所述目标信息系统的子系统进行基线检查以对所述目标信息系统涉及的配置项进行核查，从而获得与各个单模板核查表单对应的不符合配置项的个数和配置项的个数并统计获得所有单模板核查表单对应的配置项总数，且所述脆弱性评估模块获得各个不符合配置项的权重和各个配置项对应的权重，所述脆弱性评估模块基于各个单模板核查表单对应的各个不符合配置项的个数和权重、以及各个配置项的个数和权重分别获得各个子系统的部分脆弱性值且满足：其中，w_i表示为第i个不符合配置项对应的权重，m表示为不符合配置项的个数，w_j表示为第j个配置项对应的权重，n表示为配置项的个数，Y表示为目标数值，r_bi表示为第i个子系统对应的部分配置项脆弱性值，所述脆弱性评估模块根据各个子系统的部分配置项脆弱性值和单模板核查表单的数量获得所述目标信息系统的配置项脆弱性值且满足：其中，N表示为单模板核查表单的数量，并且所述脆弱性评估模块对所述漏洞风险值和所述配置项脆弱性值进行加权求和以获取脆弱性评分；以及评价模块，其基于所述资产价值评分和所述脆弱性评分获得当发生安全事件时所述目标资产对应的损失估计，其中，所述资产评分标准包含所述目标信息系统所涉及的各类资产分别在保密性、完整性和可用性的评分。

2.如权利要求1所述的网络安全脆弱性评估系统，其特征在于，

所述目标信息系统包括多个资产，所述网络安全脆弱性评估系统依次将多个资产作为目标资产进行评估，获得当发生安全事件时各个资产对应的损失估计。

3.如权利要求1所述的网络安全脆弱性评估系统，其特征在于，

所述损失估计基于所述资产价值评分与所述脆弱性评分相乘获得。