[发明专利]一种基于知识图谱的工控网络安全态势量化评估方法

摘要

本发明涉及工控网络安全领域，尤其涉及一种基于知识图谱的工控网络安全态势量化评估方法，主要步骤包括：定义和构造网络安全知识图谱、定义网络安全知识图谱中节点的业务权重、根据攻击事件计算威胁指数，本发明所述基于知识图谱的工控网络安全态势量化评估方法使用知识图谱技术，基于图数据库，支持快速进行图计算，通过广度遍历和深度遍历，计算攻击事件带来的间接威胁，更全面评估风险，方便对未发生的威胁进行预警。

主权项

1.一种基于知识图谱的工控网络安全态势量化评估方法，其特征在于，包括如下步骤：步骤1，定义和构造网络安全知识图谱：1)把知识图谱定义为KG，KG＝{E，R}，其中E代表网络安全知识图谱中所有节点的集合，包括主机和漏洞；R代表网络安全知识图谱中节点之间关系的集合，包括具有、通信、关联；2)对网络安全知识图谱中的E、R设定具体的规范和定义：E包括的节点分：主机、漏洞；主机具有的属性包括：Name、IP、MAC、OS、Version、Weights；漏洞具有的属性包括：ID、Name、Describe、Type、Score、Soft、Patch、AV、AC、PR、UI、Scope、Confidentiality、Integrity、Availability；R包括主机和主机的关联关系、主机和漏洞的关联关系；主机和主机的关系标记为Connection，表示一个主机到另一个主机的网络连接，具有的属性包括：Direction、Bandwidth，Direction的取值范围包括In、Out、All、Unknown；主机和漏洞的关系标记为Has，Has标识主机具有某个漏洞；步骤2，定义网络安全知识图谱中节点的业务权重：节点的业务权重用Weights标识，代表节点在工控业务中的重要程度，定义分值范围为1～10，分数越高权重越大；步骤3，根据攻击事件计算威胁指数：1)对攻击事件进行分类，把攻击事件分为4大类：DoS、R2L、U2R、PROBING；2)计算被攻击主机的直接威胁指数HRS：结合攻击目标业务权重、漏洞评分、攻击事件和漏洞的匹配程度，进行单个主机的直接威胁指数评估；漏洞评分记为Score，Score的取值范围是0～10；定义：VS＝{Score₁,Score₂,Score₃,...Score_m}，其中，m为漏洞数量；漏洞攻击事件和漏洞的匹配程度记为Match，Match的分值范围为0～10，攻击事件和漏洞的匹配分值参考攻击类型和漏洞的CVSS评分进行综合评定；定义：VM＝{Match₁,Match₂,Match₃,...Match_m}，其中，m为漏洞数量；单个主机存在多个漏洞，受到多种攻击事件时，直接威胁指数HRS选择攻击事件和攻击事件匹配的漏洞的分数乘积的最大值；被攻击的单个主机的直接威胁指数HRS的计算公式如下：其中，0≤HRS≤100；3)计算主机的间接威胁指数NRS：间接威胁指数NRS受攻击事件扩散的影响，攻击事件的扩散指数用Spread标识，取值范围为0～10；设定深度遍历的深度为Depth，与被攻击的节点紧邻的节点Depth为1，逐级递增；单个被攻击的节点对邻接节点的间接威胁指数NRS_ONE计算公式为：NRS_ONE＝Max{Score|Score∈VS}*Spread*0.8^Depth，Depth≤8，0≤NRS_ONE≤100，叠加多个被攻击节点的影响，所述邻接节点的间接威胁指数NRS计算公式为：4)计算主机的完整威胁指数RS：主机的完整威胁指数RS取直接威胁指数和间接威胁指数的最大值为：RS＝Max{HRS|NRS}，0≤RS≤100；5)计算整网的威胁指数NetworkRS：根据所有主机的威胁指数及权重，通过加权平均数算法，计算整网的威胁指数NetworkRS，计算公式如下：k为主机数量。