[发明专利]一种网络安全态势评估方法

摘要

本发明提供一种网络安全态势评估方法，包括根据采集的脆弱性信息、网络攻击信息、攻击证据生成脆弱性列表、原子攻击列表、攻击证据列表；建立贝叶斯网络；获取原子攻击后验概率；检测贝叶斯网络中原子攻击与攻击证据之间的因果关系是否真实；建立网络攻击系统架构，生成贝叶斯攻击图；获取原子攻击节点攻击概率；获取脆弱性威胁度，并将其分为Root权限级、User权限级、None权限级三个层次；根据脆弱性威胁度的三个层次及与该三个层次对应的预警值，显示网络安全态势整体评估结果，当脆弱性威胁度超过三个级别对应的预警值时报警。本发明具有模型简单、评估结果准确、应用范围较广等特点，可广泛应用于网络安全领域。

主权项

一种网络安全态势评估方法，其特征在于，所述评估方法包括如下步骤：步骤1、对脆弱性扫描工具或入侵检测系统采集的相对应的脆弱性信息、网络攻击信息、攻击证据进行统一编号后，分别生成脆弱性列表、原子攻击列表、攻击证据列表；步骤2、将相对应的原子攻击、攻击证据作为节点，以相对应的原子攻击与攻击证据之间的因果关系为有向弧，建立贝叶斯网络；步骤3、根据相对应的原子攻击与攻击证据中的基本操作数获取原子攻击后验概率其中，aj为第j个原子攻击，ol为与原子攻击aj对应的攻击证据，ks为原子攻击aj的基本操作数，nl为攻击证据ol的基本操作数，j、l、ks、nl为自然数；步骤4、根据原子攻击后验概率，检测贝叶斯网络中原子攻击与攻击证据之间的因果关系是否真实：与攻击证据可能存在因果关系的各原子攻击中，原子攻击后验概率最大的原子攻击对应的因果关系为真实的；步骤5、根据步骤4的检测结果、脆弱性列表、原子攻击列表、攻击证据列表，将原子攻击对应的脆弱点作为节点加入贝叶斯网络中，建立网络攻击系统架构；步骤6、根据网络攻击系统架构，生成贝叶斯攻击图BAG＝(T，W，Π，E，C)；其中，T为确定的贝叶斯网络中原子攻击、攻击证据、脆弱点三类节点的集合，W为原子攻击权集合，Π为概率集合，E为依赖关系集合，C为约束条件集合；步骤7、根据贝叶斯攻击图，获取原子攻击节点攻击概率：其中，原子攻击节点afj为原子攻击节点aj的父节点；p(afj)为父节点afj攻击概率；s(aj)为原子攻击节点自身概率；s(vi)为脆弱性节点自身概率；步骤8、获取脆弱性威胁度并根据目的主机各级权限攻击比率，将脆弱性威胁度对应分为Root权限级、User权限级、None权限级三个层次；步骤9、根据脆弱性威胁度的三个层次及与该三个层次对应的预警值，显示网络安全态势整体评估结果为：网络安全态势属于Root权限级威胁、网络安全态势属于User权限级威胁或者网络安全态势属于None权限级威胁，以及网络安全态势分别在三个层次中所处的严重程度；当脆弱性威胁度超过三个级别对应的预警值时报警；步骤8中，所述根据目的主机各级权限攻击比率，将脆弱性威胁度对应分为Root权限级、User权限级、None权限级三个层次，具体包括如下步骤：步骤81、获取目的主机Root权限攻击比率qR＝(T(Root)+T(User)+T(None))/N、目的主机User权限攻击比率qU＝(T(User)+T(None))/N、目的主机None权限攻击比率qN＝T(None)/N；其中，T(Root)表示攻击者为获取目的主机Root权限而实施的原子攻击次数，T(User)表示攻击者为获取目的主机User权限而实施的原子攻击次数，T(None)表示攻击者为获取目的主机None权限而实施的原子攻击次数；N为原子攻击总数，且N≥T(Root)+T(User)+T(None)；步骤82、当qN≤pmax＜qU时，脆弱性威胁度pmax属于None权限级；当qU≤pmax＜qR时，脆弱性威胁度pmax属于User权限级；当qR≤pmax＜1时，脆弱性威胁度pmax属于Root权限级。