[发明专利]一种网络运维脆弱性分析方法

摘要

本发明公开了一种网络运维脆弱性分析方法。包括如下步骤1、收集网络基础信息；步骤2、建立网络运维基础信息表示模型；步骤3、建立用户应得权限矩阵；步骤4、建立权限变化规则集合；步骤5、建立用户实际权限矩阵；步骤6、计算网络运维脆弱性指标。本发明在网络运维管理活动中为网络额外引入的脆弱性，偏重于发现网络具体实现和网络规划设计之间的安全性差距；本发明在发现网络运维脆弱性时，不仅仅使用了传统网络域内的信息，而且使用了物理域、信息域内的大量语义信息，使得脆弱性分析结果更加具体和真实；本发明采用目标网络中各个用户实际的权限与其应得权限之间的差作为网络脆弱性的度量，关注当前网络运维活动对网络脆弱性的影响。

主权项

1.一种网络运维脆弱性分析方法，其特征在于包括如下步骤：步骤1、收集网络基础信息：从网络的多域配置中发现网络多域实体、实体关系、安全防护策略和用户初始权限；其中多域配置的实体为：网络空间物理域、网络域、信息域、社会域内的实体，即网络多域实体，包括空间实体、物理实体、接口实体、服务实体、文件实体、数字信息实体、人员实体；步骤2、建立网络运维基础信息表示模型：根据收集到的网络基础信息，建立相应的多域信息表示图；所述的步骤2中，网络运维基础信息可以用多域信息表示图G＝(N,E,P,A,Γ,Π)进行统一表示；其中各符号的含义分别为：N代表节点，表示多域信息实体，共有7种，分别空间实体节点N_p，表示物理空间；物理实体节点N_o，表示网络设备或其它物体；接口实体节点N_n，表示网络设备的接口；服务实体节点N_v，表示网络服务；文件实体节点N_f，表示数字文件；数字信息实体节点N_i，表示数字信息，包括口令、私钥；人员实体节点N_s，包括网络的使用者、管理者和攻击者；对于节点集合N，有N＝N_p∪N_o∪N_n∪N_v∪N_f∪N_i∪N_s；E代表边，代表多域信息实体之间的关系，共有13种，即：E＝E_pp∪E_op∪E_no∪E_vn∪E_fv∪E_iv∪E_ff∪E_if∪E_ii∪E_nn∪E_vv∪E_vi∪E_ov；其中边E_pp从某个空间实体N_p1指向另一个空间实体N_p2，表示在物理空间p2包含物理空间p1；边E_op从物理实体节点N_o指向空间实体节点N_p，表示物体o放置于空间p之内；边E_no从接口实体节点N_n指向物理实体节点N_o，表示接口n隶属于物体o；边E_vn从服务实体节点N_v指向接口实体节点N_n，表示服务v部署于接口n上；边E_fv从文件实体节点N_f指向服务实体节点N_v，表示通过访问服务v可以得到文件f；边E_iv从信息实体节点N_i指向服务实体节点N_v，表示通过访问服务v可以得到信息i；边E_ff从文件实体节点N_f1指向另一个文件实体节点N_f2，表示文件f1是文件f2的一部分；边E_if从信息实体节点N_i指向文件实体节点N_f，表示信息i存储在文件f之中；边E_ii从信息实体节点N_i1指向另一个信息实体节点N_i2，表示信息i1包含在信息i2之中；边E_nn从接口实体节点N_n1指向另一个接口实体节点N_n2，表示网络流量可以从接口n1流向n2；边E_vv从服务实体节点N_v1指向另一个服务实体节点N_v2，表示服务v1正常提供服务依赖于服务v2；边E_vi从服务实体节点N_v指向信息实体节点N_i，表示访问服务v需要知晓信息i；边E_ov从物理实体节点N_o指向服务实体节点N_v，表示服务v可以用来控制物体；P代表网络路径，表示流量如何从一个网络端口流向另一个网络端口；对于任意p∈P，有即表示网络流量通过的边的序列，这些序列中的边首尾相接，构成相应的网络路径；对于一个拥有|N_n|个网络接口的多域信息表示图，共有|N_n|²‑|N_n|条路径；A代表安全防护策略，表示网络空间如何控制人或信息的流动，共有5种，即：A＝A_b∪A_a∪A_c∪A_n∪A_e，其中A_b，A_a，A_c分别代表三种物理域安全防护策略；A_n代表网络域安全防护策略；A_e代表信息域安全防护策略；A_b表示通过生物特征对人员进行认证，对于任意a_b∈A_b，有a_b∈N_s，即只有人员a_b能够通过该安全防护策略；A_a表示通过附属物对人员进行认证，对于任意a_a∈A_a，有a_a∈N_o∪N_i，即只有可以支配a_a才能够通过该安全防护策略；A_c表示通过人员和附属物的相应关系来对人员进行认证，对于任意a_c∈A_c，有a_c＝(a_b,a_a)，其中a_b∈N_s，a_a∈N_o∪N_i，表示特定人员a_b，同时可以支配a_a才能够通过该安全防护策略；A_n表示网络安全防护策略，对于任意a_n∈A_n，有a_n＝(n_n1,n_n2,n_v)∈N_n×N_n×N_v，即源地址为n_n1，目的地址为n_n2，访问服务n_v的流量能够通过该安全防护策略；A_e表示信息安全防护策略，即对信息进行加密，对于任意a_e∈A_e，有a_e∈N_i，即拥有信息a_e才可以通过该安全防护策略；Γ代表边安全能力约束，为从边到集合{True,False}的映射,表示边e是否存在安全防护策略；对于每个e∈E，如果该边执行安全策略检查，则Γ(e)＝True，否则Γ(e)＝False；Π代表边安全策略约束，为从边到安全策略集合的映射,即对于每个e∈E，均有表示边e上执行的安全策略；对于不同类型的边，其可以设置的安全策略也不同，如果e∈E_pp，则如果e∈E_nn，则如果e∈E_ii∪E_if∪E_ff，则步骤3、建立用户应得权限矩阵：根据在步骤1中获取到的实体信息和权限信息，预设用户应得权限矩阵；预设用户应得权限矩阵具体为：根据在步骤1中获取到的实体信息和权限信息，建立用户应得权限矩阵PD^(s)；用户应得权限矩阵PD^(s)的行数M，列数为U，其中M为当前网络配置中涉及到的人的数量，有M＝|N_s|；列数N为当前网络配置所有可能出现的权限，有U＝|N_p|+2×|N_o|+2×|N_n|+2×|N_v|+|N_f|+|N_s|；如果用户应得权限矩阵PD^(s)第i行代表的用户拥有第j列代表的权限，则置PD^(s)(i,j)＝1，否则置PD^(s)(i,j)＝0；步骤4、建立权限变化规则集合：建立权限变化规则集合，描述目标网络空间内用户的权限会如何变化,采用一阶逻辑谓词将目标网络空间和用户的权限互相影响建立逻辑推理的方式；步骤5、建立用户实际权限矩阵：基于步骤2中多域信息表示图，使用在步骤4中定义的权限变化规则集合，利用基于一阶逻辑谓词建立逻辑推理的方式，从步骤1中获取的用户初始权限开始，迭代分析用户实际的真实权限；用户实际权限矩阵建立具体为：如果用PF^(s)代表在当前网络状态s下用户实际权限矩阵，PI^(s)代表其初始权限矩阵，M和U分别代表权限矩阵的行数和列数，通过权限变化规则集合可以推导出用户实际权限矩阵；步骤6、计算网络运维脆弱性指标：网络运维脆弱性的度量主要采取用户实际权限矩阵和应得权限矩阵之间的差值二范数的归一值来粗略估计该状态下的运维脆弱性。