弱性量化值，从两个角度评估了资产的安全性。
[0198] 可选的，本申请实施例公开了上述风险评估系统的另一种可选结构，结合图3和图 4可知，该系统还可以包括：
[0199] 安全域风险量化单元35,用于利用目标安全域内各个资产的资产风险量化值，确 定所述目标安全域的风险量化值；
[0200] 安全域脆弱性量化单元36,用于利用目标安全域内各个资产的脆弱性量化值，确 定所述目标安全域的脆弱性量化值。
[0201 ]其中，各个单元的具体计算过程参见上文相关介绍。
[0202]最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将 一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作 之间存在任何这种实际的关系或者顺序。而且，术语"包括"、"包含"或者其任何其他变体意 在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那 些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者 设备所固有的要素。在没有更多限制的情况下，由语句"包括一个……"限定的要素，并不排 除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
[0203]本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他 实施例的不同之处，各个实施例之间相同相似部分互相参见即可。
[0204]对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。 对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的 一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请 将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一 致的最宽的范围。
【主权项】
1. 一种风险评估方法，其特征在于，包括： 利用资产的机密性量化值、完整性量化值和可用性量化值，确定资产的资产价值量化 值； 利用单位时间内资产遭到的攻击事件，以及资产脆弱性扫描结果，确定资产的攻击事 件威胁量化值； 利用所述资产价值量化值以及所述攻击事件威胁量化值，确定资产的资产风险量化 值； 利用资产的漏洞扫描结果量化值和基线检查结果量化值，确定资产的脆弱性量化值； 其中，所述资产的资产风险量化值用于从资产风险角度衡量资产安全性，所述资产的 脆弱性量化值用于从资产脆弱性角度衡量资产安全性。2. 根据权利要求1所述的方法，其特征在于，还包括： 利用目标安全域内各个资产的资产风险量化值，确定所述目标安全域的风险量化值； 利用目标安全域内各个资产的脆弱性量化值，确定所述目标安全域的脆弱性量化值。3. 根据权利要求1所述的方法，其特征在于，所述利用资产的机密性量化值、完整性量 化值和可用性量化值，确定资产的资产价值量化值，包括： 分别将资产的机密性C、完整性I和可用性A划分为五个等级，各等级对应的分值分别为 1、2、3、4和 5; 按照下式计算资产的资产价值量化值M:其中，M取值区间为[0,100]，round〇函数为四舍五入的取整函数。4. 根据权利要求1所述的方法，其特征在于，所述利用单位时间内资产遭到的攻击事 件，以及资产脆弱性扫描结果，确定资产的攻击事件威胁量化值，包括： 按照下式计算资产的攻击事件威胁量化值T: T = Evt*f(Evt，Vul)*g(SIP) 其中，T取值区间为[0，1 ]，Evt为攻击事件威胁等级量化值，取值区间为[0，1 ]，f ()为事 件-资产相关性判断函数，取值区间为[〇，l]，g()为攻击源属性判断函数，取值区间为[〇， 1]; 上述Evt的确定过程为： 将攻击事件划分为五个等级，各个等级对应的分值level分别为1、2、3、4和5;其中，Evt取值区间为[0,1]，level为攻击事件等级的分值； 上述f (Evt ,Vul)的确定过程为： f = 1:资产上存在可被攻击利用的漏洞； f = 0.8:资产上不存在可被攻击利用的漏洞，但被攻击端口开放； f = 0.4:漏洞、开放端口均不相符，但操作系统类型相符； f = 0.2:漏洞、开放端口、操作系统类型均不相符，且目标资产存在漏扫结果； f = 〇.l:漏洞、开放端口、操作系统类型均不相符，且系统中不存在目标资产的漏扫结 果； 上述g( SIP)的确定过程为： g= 1:攻击源位于预置黑名单列表中； g = 0.7:攻击源既不在预置黑名单，也不在预置白名单中； g=〇:攻击源位于预置白名单。5. 根据权利要求1所述的方法，其特征在于，所述利用所述资产价值量化值以及所述攻 击事件威胁量化值，确定资产的资产风险量化值，包括： 计算单个攻击事件造成的资产风险量化值Re3: Re = M*T 其中，M为资产价值量化值，T为资产的攻击事件威胁量化值； 单位时间内，一个资产遭到的多次攻击所造成的资产风险采取概率求和的方式计算：其中，Re3i为单个攻击事件i造成的风险，η为单位时间内攻击事件总数。6. 根据权利要求2所述的方法，其特征在于，所述利用目标安全域内各个资产的资产风 险量化值，确定所述目标安全域的风险量化值，包括： 计算目标安全域的风险量化值Ra:Ra为目标安全域的风险量化值，取值区间为[〇，I〇〇]，Rj为资产j的风险量化值，取值区 间为[0,100]，n为目标安全域内的资产总数。7. 根据权利要求1所述的方法，其特征在于，所述利用资产的漏洞扫描结果量化值和基 线检查结果量化值，确定资产的脆弱性量化值，包括： 计算资产的脆弱性量化值V:其中，vul为漏洞扫描结果量化值，取值区间为[0,100]，bas为基线检查结果量化值，取 值区间为[〇, 1〇〇]，α和β为权重值，二者和为1; 其中，vul的确定过程为： 对资产上的每个漏洞，将其转换为脆弱性概率值Pk:其中，Pk为漏洞k的脆弱概率值，取值区间为[0，0.8]，Spk为漏洞k的CVSS分值，取值区间 为[1，1〇];其中，bas的确定过程为： bas = 100-res 其中，res为基线检查工具对资产进行扫描后得到的百分制下的评分值。8. 根据权利要求2所述的方法，其特征在于，所述利用目标安全域内各个资产的脆弱性 量化值，确定所述目标安全域的脆弱性量化值，包括： 计算目标安全域的脆弱性量化值Va:其中，A为目标域中资产j脆弱性量化值。9. 一种风险评估系统，其特征在于，包括： 资产价值量化单元，用于利用资产的机密性量化值、完整性量化值和可用性量化值，确 定资产的资产价值量化值； 攻击事件威胁量化单元，用于利用单位时间内资产遭到的攻击事件，以及资产脆弱性 扫描结果，确定资产的攻击事件威胁量化值； 资产风险量化单元，用于利用所述资产价值量化值以及所述攻击事件威胁量化值，确 定资产的资产风险量化值，所述资产的资产风险量化值用于从资产风险角度衡量资产安全 性，； 资产脆弱性量化单元，用于利用资产的漏洞扫描结果量化值和基线检查结果量化值， 确定资产的脆弱性量化值，所述资产的脆弱性量化值用于从资产脆弱性角度衡量资产安全 性。10. 根据权利要求9所述的系统，其特征在于，还包括： 安全域风险量化单元，用于利用目标安全域内各个资产的资产风险量化值，确定所述 目标安全域的风险量化值； 安全域脆弱性量化单元，用于利用目标安全域内各个资产的脆弱性量化值，确定所述 目标安全域的脆弱性量化值。
【专利摘要】本申请公开了一种风险评估方法及系统，方法包括：利用资产的机密性量化值、完整性量化值和可用性量化值，确定资产的资产价值量化值，进一步利用单位时间内资产遭到的攻击事件，以及资产脆弱性扫描结果，确定资产的攻击事件威胁量化值，利用资产价值量化值和攻击事件威胁量化值，确定资产的资产风险量化值，资产风险量化值用于从资产风险角度衡量资产安全性，最后，利用资产的漏洞扫描结果量化值和基线检查结果量化值，确定资产的脆弱性量化值，资产的脆弱性量化值用于从资产脆弱性角度衡量资产安全性。本申请在考虑资产风险量化值的同时，考虑了资产脆弱性量化值，从两个角度评估了资产的安全性。
【IPC分类】G06Q40/06
【公开号】CN105427172
【申请号】CN201510884054
【发明人】诸葛凌啸
【申请人】北京华热科技发展有限公司
【公开日】2016年3月23日
【申请日】2015年12月4日