mation，Method，Tools。其中， I为漏洞信息发布情况，I取值[0, ο. 1]，没有发布漏洞信息时为〇,已发布漏洞信息取〇. I ; M取[0, 0. 4]为攻击方法公布情况，没有发布攻击方法取0,有已发布的简单的攻击方法取 0. 2,有发布详细的攻击方法和步骤时取值0. 4 ;T取值范围为[0, 0. 4]表示攻击工具发布情 况，当漏洞利用需要攻击工具但未有相关发布信息时取值为〇,当需要且有可用攻击工具时 取值为〇. 2,如漏洞缺陷利用不需要攻击工具时取值为0. 4。相应的独立防护有效性赋值基 准如表2所示：
[0048]
[0049] CN 105119874 A I兄明书 5/6 页
[0050] 表 2
[0051] 本实施例中，所述攻击路径是虚拟场景中开始于源S和终止于目的D的一个有向 序列，其中源S和目D不限定为外部、内部，攻击者的起始点可来自内部。
[0052] 本实施例中，所述攻击路径防护成功率的分析采用攻击路径防护成功率计算公 式。
[0053] 本实施例中，威胁是可能导致业务系统受损的不期望事件发生的潜在原因。攻击 者在实施攻击时，需要不断尝试利用系统漏洞或缺陷，以非法获取信息系统资源访问权限 的方式。我们的研究基于攻击者能力会放大的3个假设，实现对系统面临的威胁分析：1)
[0054] 攻击者能够获取漏洞缺陷、网络拓扑等可利用的系统信息；2)
[0055] 攻击者能获取并掌握系统相关漏洞或缺陷的攻击方法、最大限度的拥有各类攻 击工具；3)攻击者是贪心的，会基于已有攻击资源扩大攻击范围和攻击影响，破坏安全目 标。
[0056] 如图2所示，本实施例中，所述步骤S3的算法逻辑流程包括：
[0057] S31、确定攻击者的起源S和目的D，所述攻击者的起源S为防火墙、路由器、服务 器、入侵检测系统、核心服务器或者数据库服务器；
[0058] S32、分析攻击者起源系统或设备是否存在风险漏洞，若有风险漏洞则确定风险漏 洞库以及分析漏洞取值；
[0059] S33、确定攻击者是否通过起源节点的风险漏洞使其权限得到提升；
[0060] S34、计算防护结果和隔离与防护有效性分值；
[0061] S35、通过最短路径的计算结果，确定要增加的防护设备，提升系统的防护能力。
[0062] 本实施例的算法逻辑流程为：攻击者发起攻击，从任意起始节点到目标节点，两 者之间具有至少一条物理通路，通路上有N(n多2)个节点，每一个节点具有从用户权限集 合输入的权限值Q(Q e (〇, 〇. 25, 0. 5, 1))，节点本身具有防护能力Pr，节点存在风险漏洞 L(L多0)。我们需要假定攻击者事先已取得匿名输入权限，从任意起始节点到目标节点物 理上连通，计算攻击者利用风险漏洞能够获取到路径上不同节点的访问权限的能力，从而 最终到达目标节点，并获取到多初始权限的权限输出，达到攻击目的。
[0063] 在实际攻击过程中，攻击者能力体现为利用系统中存在的漏洞缺陷（或脆弱性） 非法获取系统访问权限。这种攻击能力会在攻击过程中逐渐增长，表现为如下两个方面：1)
[0064] 攻击者在获取某一主机或设备的匿名用户、普通用户权限后，可利用本地权限提 升脆弱性，将攻击者权限提升为普通用户、管理员权限；2)
[0065] 攻击者在获得某一主机或设备匿名用户、普通用户权限后，可利用其他主机或设 备的漏洞缺陷，进一步获取其他主机或设备的用户权限。通过分析攻击过程中攻击者所获 得的攻击能力是否影响到业务系统安全运行，可以验证系统隔离与防御技术是否发挥预期 的安全保障作用。
[0066] 攻击者的一个具体攻击过程如下：
[0067] 首先，确定攻击者的起源，起源可以为任意系统或设备，并非一定为外网攻击者。 假定任意攻击者能获取起源设备的匿名权限anonymous，也即其能查看到起源设备或系统 的信息，但无法登录；
[0068] 其次，确定攻击者起源系统或设备是否存在风险漏洞一一攻击者拥有全面的风险 漏洞库字典、攻击类型字典、风险漏洞影响系统字典以及掌握所有的攻击方法，如存在风险 漏洞则攻击者攻击行为具有延续性，否则攻击过程结束；
[0069] 最后，攻击者通过起源节点的风险漏洞，使其权限得到提升，同样的，如果攻击者 不能得到下一节点的权限（anonymous或更高），则攻击过程终止；如攻击者能够到达下一 个节点或系统，进而重复攻击步骤，到达任意目标节点，造成危害。
[0070] 具体地，如图3所示，首先计算最短攻击路径。若攻击者攻击目标为服务器A、B， 其攻击起源为网络A区：经过防火墙A、路由器A再到达目标。网络B区核心服务器：经过 入侵检测系统、路由器B、路由器A再到达目标。根据攻击路径防护成功率计算公式。
[0071] 由以上可知，上述拓扑连接图示中，攻击成功率为0.25,即该拓扑对应的隔离与防 护有效性分值为〇. 75。再通过最短路径的计算结果可知，如能够在防火墙A之后增加一台 防护设备IPS/IDS，为服务器A、服务器B、路由器A安装漏洞补丁，则可以有效的提升系统的 防护能力。
[0072] 以上所述，仅是本发明的较佳实施例，并非对本发明作任何限制，凡是根据本发明 技术实质对以上实施例所作的任何简单修改、变更以及等效结构变化，均仍属于本发明技 术方案的保护范围内。
【主权项】
1. 一种信息安全防护体系有效性评价的方法，其特征在于，包括以下步骤： 51、 建立一个隔离与防御技术模型，模型包括了基础对象、评估算法、参与者、知识库几 大方面，然后基于技术模型对信息进行搜集，包括企业的资产、缺陷库、资产关联关系、有资 产所构建的场景、安全策略、参与者信息； 52、 根据采集的数据信息进行算法分析，分析业务系统由于自身缺陷问题受到攻击时 安全策略抵御各种攻击的能力，以定性定量相结合的方法来评估安全措施效用； 53、 通过算法逻辑流程分析攻击过程中攻击者所获得的攻击能力是否影响到业务系统 安全运行，验证系统隔离与防御技术是否发挥预期的安全保障作用，并采取相应防护措施。2. 按照权利要求1所述的一种信息安全防护体系有效性评价的方法，其特征在于，所 述步骤S2中的评估安全措施效用的定性定量相结合的方法包括分析攻击者能力、独立防 护有效性分值、攻击路径、攻击路径防护成功率、最短攻击路径、最短攻击路径算法。3. 按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所 述攻击者能力分最高管理员权限、普通用户权限、匿名访问权限、无权限，其权限取值分别 为 1、0.5、0.25 和 0。4. 按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所 述独立防护有效性分值受攻击类型、漏洞和缺陷信息、攻击方法和攻击工具以及其他相关 因素影响。5. 按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所 述攻击路径是虚拟场景中开始于源S和终止于目的D的一个有向序列，其中源S和目D不 限定为外部、内部，攻击者的起始点可来自内部。6. 按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所 述攻击路径防护成功率的分析采用攻击路径防护成功率计算公式。7. 按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所 述最短攻击路径为具有最小防护有效性的攻击路径。8. 按照权利要求2所述的一种信息安全防护体系有效性评价的方法，其特征在于，所 述步骤S3的算法逻辑流程包括： 531、 确定攻击者的起源S和目的D，所述攻击者的起源S为防火墙、路由器、服务器、入 侵检测系统、核心服务器或者数据库服务器； 532、 分析攻击者起源系统或设备是否存在风险漏洞，若有风险漏洞则确定风险漏洞库 以及分析漏洞取值； 533、 确定攻击者是否通过起源节点的风险漏洞使其权限得到提升； 534、 计算防护结果和隔离与防护有效性分值； 535、 通过最短路径的计算结果，确定要增加的防护设备，提升系统的防护能力。
【专利摘要】本发明公开了一种信息安全防护体系有效性评价的方法，其特征在于，包括以下步骤：建立一个隔离与防御技术模型，模型包括了基础对象、评估算法、参与者、知识库几大方面，然后基于技术模型对信息进行搜集；根据采集的数据信息进行算法分析，分析业务系统由于自身缺陷问题受到攻击时安全策略抵御各种攻击的能力，以定性定量相结合的方法来评估安全措施效用；通过算法逻辑流程分析攻击过程中攻击者所获得的攻击能力是否影响到业务系统安全运行，验证系统隔离与防御技术是否发挥预期的安全保障作用，并采取相应防护措施。本发明信息安全防护能力好、信息安全防护措施完善、算法的复杂程度低、评估效率高、稳定性和客观性好、对信息系统的隔离好。
【IPC分类】H04L29/06
【公开号】CN105119874
【申请号】CN201510338885
【发明人】龙震岳, 魏理豪, 钱扬, 樊凯, 梁志宏, 邹洪, 艾解清, 梁哲恒, 陈锐忠
【申请人】广东电网有限责任公司信息中心
【公开日】2015年12月2日
【申请日】2015年6月17日