[发明专利]一种安全域风险量化方法

说明书

技术领域

本发明涉及信息安全领域，具体涉及一种安全域风险量化方法及系统。

背景技术

在对安全域进行风险评估时，往往需要对安全域的风险进行量化，以便对不同安全域、同一安全域在不同时间点的风险进行比较。

经对现有技术的文献检索发现，中国专利申请号CN201110292996,专利名称“计算机安全风险评估方法和设备”，提出了一种安全风险评估方法：获取计算机中存在的一个或者多个安全漏洞，根据安全漏洞的危险程度为每个安全漏洞分配风险等级，逐个等级地计算每个风险等级的安全风险评估值，直到计算了计算机中的安全漏洞所具有的最高风险等级为止。这种风险量化方法存在以下局限性：未考虑攻击行为、脆弱性和防护措施之间的关联关系。网络攻击行为总是针对特定操作系统、特定漏洞的，只有满足特定条件才能攻击成功，也才能够破坏目标的安全性。例如对于windows操作系统的RPC服务漏洞的远程溢出攻击行为，如果被攻击的目标主机的操作系统类型不是windows，或者虽然是windows系统但不存在RPC服务漏洞，或者虽然是windows系统、也存在RPC服务漏洞，但目标主机前的防火墙禁止对该服务的远程访问，则攻击都不可能成功，也不会影响目标主机的安全性。因此只有将攻击、脆弱性、防护措施间进行关联分析，才能准确评估和量化安全风险。

中国专利申请号CN201010187196，专利名称“一种安全风险评估模型、评估方法及评估参数确定方法”，提出了一种用于电力二次系统的安全风险评估模型，该模型包括攻击层、服务层、主机层和系统层，所述的攻击层包括攻击事件，服务层包括与攻击事件数量相等的服务，系统层包括网络系统；评估模型采用自下而上、先局部后整体的评估策略，首先由攻击事件所针对的服务计算服务风险，再由主机上开放的服务计算主机风险，最终由系统中全部主机风险计算系统风险，在计算时采用了加权求和的方法。这种风险量化方法首先没有考虑已有的防护措施对攻击事件的影响，导致风险量化结果不准确；其次该专利中通过加权求和的方式计算系统的风险量化值，会导致系统的风险值会随着系统规模的增加而增加，难以将风险量化值限制在一个固定的区间，从而为风险等级划分带来不便。例如，假设有系统1和系统2两个安全域，其中系统1内包含10台主机，系统2内包含100台主机，每个主机的资产价值、脆弱性、收到的攻击、所采取的安全保护措施均相同，显然可见系统1与系统2的安全风险是大致相同的，但如果通过加权求和方式计算，会得出系统2比系统1的安全风险高10倍的结论，这与实际情况存在较大的差异。

发明内容

本发明的目的在于针对现有发明的不足，提出了一种安全域风险量化方法及系统，使得能够根据安全域内的资产、威胁、脆弱性、保护措施间的关联关系，将安全域风险量化在固定的数值区间，并依据安全域风险量化值的大小，划分安全域风险的等级。

本发明是通过以下技术方案实现的：一种安全域风险量化方法，通过获取信息系统的资产、威胁、脆弱性、已有的安全防护措施信息量化所述安全域的风险值，包括以下步骤：

A：通过安全域中特定资产的机密性、完整性、可用性评分值，对所述资产的价值进行量化；

B：通过采集单位时间内所述资产遭受的攻击报警事件，以及所述资产的脆弱性扫描结果、已有的安全防护措施对所述资产的防护程度，对所述资产的受损可能性进行量化；

C：通过将所述资产的价值和受损可能性进行乘积，计算所述资产的风险量化值；

D：通过计算出的单位时间内安全域内所有资产的风险量化值，计算所述安全域的风险量化值。

优选的是，所述步骤A中，通过指数计算的方法，将资产价值量化为0至100之间的数值。

优选的是，所述步骤B中，根据攻击行为所针对的操作系统类型、漏洞类型，与被攻击资产的实际操作系统类型、实际存在的漏洞情况，以及现有的安全防护措施对被攻击资产的保护情况，将资产受损可能性量化为0至1之间的数值。

优选的是，所述步骤D中，按照概率模型将安全域内全部资产的风险量化值计算所述安全域的整体风险量化值。

一种安全域风险量化系统，通过获取信息系统的资产、威胁、脆弱性、已有的安全防护措施信息量化所述安全域的风险值，包括资产价值定义模块、威胁检测模块、脆弱性检测模块、安全防护措施定义模块、资产风险量化模块和安全域风险量化模块；

所述资产价值定义模块用于设置资产的机密性、完整性、可用性分值，并根据设定的分值将资产价值量化为0至100之间的数值；