[发明专利]一种信息系统安全风险评估的方法和装置

说明书

本发明公开了一种信息系统安全风险评估的方法，构造威胁行为模式库，将信息系统记录的调用行为与威胁行为模式库中的威胁行为进行匹配，获取匹配上的各调用行为的判定值，根据匹配上的各调用行为的判定值确定威胁行为权值；将威胁行为权值结合脆弱性的权值、弥补措施的权值获得风险等级；本发明同时还公开了一种信息系统安全风险评估的装置，通过本发明的方案，能够多维度的对信息系统安全风险进行度量，大大弥补现有风险评价量化的不足，提高威胁判断的精确性和可信程度，并能够解决信息系统风险量化的核心问题，使得用户能够比较方便客观的了解信息系统运行的风险状况，使信息系统安全风险可感知。

技术领域

本发明涉及信息安全技术，尤其涉及一种信息系统安全风险评估的方法和装置。

背景技术

随着IT技术的日新月异，整个国民经济发展都离不开信息系统的运行和支撑，如何保障这些信息系统安全运行成为重中之重；依据《2006-2020年国家信息化发展战略》要求，要全面加强国家信息安全保障体系建设，要求各组织坚持积极防御、综合防范，探索和把握信息化与信息安全的内在规律，主动应对信息安全挑战。

要想实现信息安全主动化，关键要解决如何评价信息系统安全风险或早期感知风险的状况。风险状况又和诸多方面因素相关，主要包括：信息系统本身脆弱性因素、系统外威胁因素、控制措施和弥补措施等因素；这些因素又相互作用，相互影响。

现有技术主要通过以下三种方式评价信息系统安全风险：一、从威胁角度出发，即对相关设备的安全事件量来判断，主要分析来自安全设备和IT设备的日志，并从中提取风险等级高的日志进行判断；二、从脆弱性角度出发，即对承载信息系统相关的网络设施、主机资源、代码资源等进行脆弱性评价，从而得出风险状况的高低；三、结合威胁、脆弱性及资产价值进行综合评价。

现有的风险评价体系存在较大的缺陷和不足，主要体现在以下几个方面：

一、评价指标要么依赖单一因素，要么太复杂，都无法反应真实的风险状况；从威胁角度出发可以较真实的反应外界攻击状况，但由于外界的威胁数量众多，来源复杂，既有新型攻击、又有非常老的攻击，且攻击适用性也需要精确甄别，因此普遍会出现风险状况偏高的评价，不利于威胁处置和弥补措施的开展；从脆弱性角度出发可以真实的反映信息系统的漏洞状况，但由于脆弱性是静态的，要形成风险是需要有威胁攻击参与的，因此往往出现风险状况评价失真，不利于将有效的资源投入到风险控制中，成本过大；从威胁、脆弱性和资产价值进行综合评价是比较能反映风险状况水平的，但这种综合评价由于涉及三维体系，且三个因素是多对多的关系，映射关系和计算异常复杂，在现实使用中很难实现。

二、目前的评价体系往往仅关注风险威胁、脆弱性和资产价值，而往往忽视了很重要的弥补措施环节，而弥补措施环节实际上是风险控制的重要因素。

发明内容

有鉴于此，本发明的主要目的在于提供一种信息系统安全风险评估的方法和装置，能够多维度的对信息系统安全风险进行度量。

为达到上述目的，本发明的技术方案是这样实现的：

本发明提供的一种信息系统安全风险评估的方法，该方法包括：

构造威胁行为模式库，将信息系统记录的调用行为与威胁行为模式库中的威胁行为进行匹配，获取匹配上的各调用行为的判定值，根据匹配上的各调用行为的判定值确定威胁行为权值；

将威胁行为权值结合脆弱性的权值、弥补措施的权值获得风险等级。

上述方案中，所述构造威胁行为模式库为：以具体的威胁行为作为分类原则，每一类型的威胁行为映射一个系统函数调用集，每个系统函数调用集都包括一个以上由三元组<模块号，函数号，细则号>来表示的系统应用程序编程接口API函数的调用行为，所有威胁行为组成威胁行为模式库。