[发明专利]一种网络安全态势评估方法及系统

说明书

技术领域

本发明涉及网络安全领域，特别是涉及一种网络安全态势评估方法和系统。

背景技术

网络安全态势评估是信息安全领域的重要研究内容。所谓网络安全态势评估是指利用评估算法综合分析网络空间的各个安全元素，将元素之间的影响关系以及影响程度以宏观指数的方式呈现给管理员，让管理员从全局的角度感知、觉察网络系统的安全态势，进而促使管理员做出合理、准确的决策。网络安全态势评估是整个安全管理的基础。

目前基于静态加权的量化分级技术在网络安全态势评估中应用较为普遍，它的工作原理是：当网络空间中有攻击活动发生时，攻击活动会触发各个分布式部署的安全设备，如入侵检测系统、防火墙等，产生安全事件。安全事件以记录的形式给出了攻击的相关属性，如攻击类型、源地址、目标地址、攻击风险等级等。静态加权的量化分级技术通常会按照网络资源的粒度从系统级、主机级再到服务级结合事件的目的地址对事件进行分类，这样就产生了一个层次式的事件集，如图1所示。图1的树形结构中，每一个叶节点都是一个事件集合。当一个安全事件产生时，根据事件的目标主机和目标服务将该事件归类到某一个叶节点中，这样一个叶节点就代表针对某个目标主机上某个服务的所有安全事件。评估的时候首先对各个叶节点进行分别处理，将叶节点中各个事件的攻击风险等级累加得到主机i上服务j的态势指数Service_i，j，然后再通过式(1)计算出各个主机的态势指数Node_i，其中Weight(Service_i，j)表示主机i上服务j的权重，得到各个主机的态势指数Node_i根据式(2)计算出整个系统的态势指数System，完成整个评估过程。System从宏观角度反映了当全网络空间的安全状况。

Nodei=Σj=1kServicei,j*Weight(Servicei,j)---(1)]]>

System=Σi=1nNodei*Weight(Nodei)---(2)]]>

但由于静态加权的量化分级技术是遵循从系统级、主机级，再到服务级结合事件的目标地址对事件进行归并分类的，这种方案至少存在以下缺点：首先，由于对事件的归类划分依赖于目标地址，使得在目标地址不存在或不唯一的情况下，该方法将不适用。例如利用ICMP报文进行洪泛攻击，其没有明确的目标地址，这时该方法将不适用，具有明显的局限性。另外，当网络中同时发生多种类型的攻击活动时，其处理特点仅仅停留在静态加权层面，使得该技术的融合过程不能体现出不同攻击活动行为特征之间的区别差异，使得评估最终结果的准确性下降。

发明内容

为解决上述技术问题，本发明实施例提供一种网络安全态势评估方法及系统，以提高网络安全态势评估的适用范围和准确性，技术方案如下：