專利名稱：計(jì)算機(jī)安全風(fēng)險(xiǎn)評估方法和設(shè)備的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及計(jì)算機(jī)信息安全領(lǐng)域，尤其涉及用于對計(jì)算機(jī)的安全狀況進(jìn)行評估的計(jì)算機(jī)安全風(fēng)險(xiǎn)評估設(shè)備和方法。
背景技術(shù)：
對于計(jì)算機(jī)系統(tǒng)來說，由于計(jì)算機(jī)系統(tǒng)中的硬件、軟件和/或協(xié)議的具體實(shí)現(xiàn)或系統(tǒng)安全策略上存在有缺陷，可以使攻擊者在未授權(quán)的情況下訪問或破壞計(jì)算機(jī)系統(tǒng)。這些缺陷也被稱為計(jì)算機(jī)漏洞。一些處于網(wǎng)絡(luò)中的計(jì)算機(jī)由于存在漏洞而存在有網(wǎng)絡(luò)威脅。 隨著計(jì)算機(jī)網(wǎng)絡(luò)的快速發(fā)展，通過計(jì)算機(jī)網(wǎng)絡(luò)提供各種服務(wù)的計(jì)算機(jī)系統(tǒng)也越來越普及， 而這些計(jì)算機(jī)系統(tǒng)所存在的漏洞所導(dǎo)致的損失也就越大。目前，存在各種網(wǎng)絡(luò)漏洞掃描類產(chǎn)品，旨在從攻防角度對計(jì)算機(jī)系統(tǒng)進(jìn)行漏洞掃描，以便找出計(jì)算機(jī)系統(tǒng)中脆弱或者存在漏洞的地方，以便進(jìn)行安全加固。由漏洞掃描工具對計(jì)算機(jī)系統(tǒng)進(jìn)行漏洞掃描時(shí)，需要對掃描結(jié)果進(jìn)行分析，從而對計(jì)算機(jī)系統(tǒng)的安全風(fēng)險(xiǎn)進(jìn)行評估。然而，目前的計(jì)算機(jī)系統(tǒng)風(fēng)險(xiǎn)評估方法要么是基于入侵檢測結(jié)果進(jìn)行分析，要么是直接對服務(wù)器的風(fēng)險(xiǎn)進(jìn)行評估。這些方法都沒有直接對系統(tǒng)的漏洞進(jìn)行分析，都不能很好的反映一個(gè)計(jì)算機(jī)系統(tǒng)的安全風(fēng)險(xiǎn)情況，甚至有時(shí)候錯(cuò)誤地給出了評估結(jié)果。因此，需要一種可以準(zhǔn)確地基于漏洞分析的結(jié)果來對計(jì)算機(jī)系統(tǒng)的安全風(fēng)險(xiǎn)情況給出評估的計(jì)算機(jī)安全風(fēng)險(xiǎn)評估方方式。
發(fā)明內(nèi)容
鑒于上述問題，提出了本發(fā)明以便提供一種克服上述問題或者至少部分地解決或者減緩上述問題的漏洞檢測設(shè)備和方法。根據(jù)本發(fā)明的一個(gè)方面，提供了一種對計(jì)算機(jī)的安全風(fēng)險(xiǎn)進(jìn)行評估的安全風(fēng)險(xiǎn)評估方法，包括步驟獲取計(jì)算機(jī)中存在的一個(gè)或者多個(gè)安全漏洞；根據(jù)安全漏洞的危險(xiǎn)程度為一個(gè)或者多個(gè)安全漏洞中的每個(gè)分配風(fēng)險(xiǎn)等級，其中每個(gè)風(fēng)險(xiǎn)等級具有對應(yīng)的風(fēng)險(xiǎn)等級值，且風(fēng)險(xiǎn)等級值越高，漏洞越危險(xiǎn)；從最低的風(fēng)險(xiǎn)等級開始，逐個(gè)等級地計(jì)算每個(gè)風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值，直到計(jì)算了計(jì)算機(jī)中的安全漏洞所具有的最高風(fēng)險(xiǎn)等級為止；以及基于最高風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值來確定所述計(jì)算機(jī)的安全風(fēng)險(xiǎn)值，其中計(jì)算每個(gè)風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值包括為該風(fēng)險(xiǎn)等級確定該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值，該初始風(fēng)險(xiǎn)值取決于上一風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值和是否存在屬于該風(fēng)險(xiǎn)等級的安全漏洞；以及根據(jù)該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值來確定該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值，其中該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值還取決于屬于該風(fēng)險(xiǎn)等級的安全漏洞數(shù)量。根據(jù)本發(fā)明的另一個(gè)方面，提供了一種對計(jì)算機(jī)的安全風(fēng)險(xiǎn)進(jìn)行評估的安全風(fēng)險(xiǎn)評估設(shè)備，包括漏洞獲取裝置，獲取所述計(jì)算機(jī)中存在的一個(gè)或者多個(gè)安全漏洞；漏洞分級裝置，根據(jù)安全漏洞的危險(xiǎn)程度為所述一個(gè)或者多個(gè)安全漏洞中的每個(gè)分配風(fēng)險(xiǎn)等級， 其中每個(gè)風(fēng)險(xiǎn)等級具有對應(yīng)的風(fēng)險(xiǎn)等級值，且風(fēng)險(xiǎn)等級值越高，漏洞越危險(xiǎn)；以及主機(jī)風(fēng)險(xiǎn)確定裝置，用于根據(jù)所述一個(gè)或者多個(gè)安全漏洞以及相應(yīng)的風(fēng)險(xiǎn)等級來確定所述計(jì)算機(jī)的安全風(fēng)險(xiǎn)值，該主機(jī)風(fēng)險(xiǎn)確定裝置包括初始值計(jì)算裝置，用于為某個(gè)風(fēng)險(xiǎn)等級確定該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值，該初始風(fēng)險(xiǎn)值取決于上一風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值和是否存在屬于該風(fēng)險(xiǎn)等級的安全漏洞；等級值計(jì)算裝置，用于根據(jù)該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值來確定該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值，其中該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值還取決于屬于該風(fēng)險(xiǎn)等級的安全漏洞數(shù)量；以及主機(jī)值確定裝置，用于基于最高風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值來確定所述計(jì)算機(jī)的安全風(fēng)險(xiǎn)值。根據(jù)本發(fā)明的方法和設(shè)備可以為目標(biāo)計(jì)算機(jī)提供一個(gè)直觀且全面地反映該目標(biāo)計(jì)算機(jī)的風(fēng)險(xiǎn)程度的安全風(fēng)險(xiǎn)值。由本發(fā)明的方法和設(shè)備提供的安全風(fēng)險(xiǎn)值不僅取決于漏洞的數(shù)量，而且還取決于漏洞的風(fēng)險(xiǎn)程度。具體而言，漏洞數(shù)越多，給目標(biāo)計(jì)算機(jī)帶來的安全風(fēng)險(xiǎn)也越大。當(dāng)存在較高級別的安全漏洞時(shí)，目標(biāo)計(jì)算機(jī)系統(tǒng)的安全性受到更大的威脅， 其安全風(fēng)險(xiǎn)會較大。總的趨勢來說，計(jì)算機(jī)安全風(fēng)險(xiǎn)曲線走勢是一個(gè)對數(shù)曲線。當(dāng)安全漏洞數(shù)量增加到一定程度后，整個(gè)計(jì)算機(jī)就處在一個(gè)極度不安全的狀態(tài)，這個(gè)時(shí)候漏洞數(shù)的變化對計(jì)算機(jī)風(fēng)險(xiǎn)的影響就會比較小，所以漏洞數(shù)有一個(gè)極限值，計(jì)算機(jī)風(fēng)險(xiǎn)值會收斂在這個(gè)漏洞數(shù)上。收斂速度根據(jù)漏洞風(fēng)險(xiǎn)值的高低有所不同，低風(fēng)險(xiǎn)值的漏洞對漏洞利用成功和危害都比較小，需要較多的漏洞才會對系統(tǒng)有大的影響，所以收斂速度就會小。
通過閱讀下文優(yōu)選實(shí)施方式的詳細(xì)描述，各種其他的優(yōu)點(diǎn)和益處對于本領(lǐng)域普通技術(shù)人員將變得清楚明了。附圖僅用于示出優(yōu)選實(shí)施方式的目的，而并不認(rèn)為是對本發(fā)明的限制。而且在整個(gè)附圖中，用相同的參考符號表示相同的部件。在附圖中
圖1示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的安全風(fēng)險(xiǎn)評估方法； 圖2示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的安全風(fēng)險(xiǎn)評估設(shè)備；
圖3示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的某個(gè)安全風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值與該風(fēng)險(xiǎn)等級中的漏洞數(shù)量的關(guān)系；以及
圖4示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的計(jì)算機(jī)安全風(fēng)險(xiǎn)值和該計(jì)算機(jī)中存在的安全漏洞之間的關(guān)系。
具體實(shí)施例方式下面結(jié)合附圖和具體的實(shí)施方式對本發(fā)明作進(jìn)一步的描述。圖1示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的安全風(fēng)險(xiǎn)評估方法100。如圖1所示，該方法100始于步驟S110，其中盡可能多地獲取目標(biāo)計(jì)算機(jī)中存在的一個(gè)或者多個(gè)安全漏洞。這可以通過目前已知的任意方式來進(jìn)行，例如可以利用現(xiàn)有的安全掃描工具對目標(biāo)計(jì)算機(jī)進(jìn)行各種安全掃描，包含端口掃描、服務(wù)識別、操作系統(tǒng)識別等，以便盡量多的收集到目標(biāo)主機(jī)存在的安全漏洞。隨后，在步驟S120中，根據(jù)安全漏洞的危險(xiǎn)程度為所收集到的安全漏洞中的每個(gè)安全漏洞分配風(fēng)險(xiǎn)等級。可以根據(jù)漏洞利用方式、利用成功率、傳播范圍、危害程度、漏洞之間的依賴性等，來對各個(gè)安全漏洞進(jìn)行評估，并給出一個(gè)風(fēng)險(xiǎn)等級。每個(gè)風(fēng)險(xiǎn)等級具有相應(yīng)的風(fēng)險(xiǎn)等級值。根據(jù)本發(fā)明的一個(gè)實(shí)施例，風(fēng)險(xiǎn)等級分為10級，每個(gè)風(fēng)險(xiǎn)等級具有相應(yīng)的風(fēng)險(xiǎn)等級值，即風(fēng)險(xiǎn)等級1具有風(fēng)險(xiǎn)等級值1，并以此類推，即風(fēng)險(xiǎn)等級值為范圍在1-10之間的整數(shù)。安全漏洞所處的風(fēng)險(xiǎn)等級的風(fēng)險(xiǎn)等級值越大，說明這個(gè)安全漏洞越有可能被利用，而且?guī)淼奈：Τ潭染驮酱?，對目?biāo)計(jì)算機(jī)來說安全風(fēng)險(xiǎn)就越大。目前存在有多種給安全漏洞分配風(fēng)險(xiǎn)等級的方式。例如在由NIAC開發(fā)、HRST維護(hù)的CVSS (通用弱點(diǎn)評價(jià)體系，http://www. first, org/cvss/cvss-guide. html)中提供了一種對安全漏洞進(jìn)行風(fēng)險(xiǎn)等級分級的工業(yè)標(biāo)準(zhǔn)。在步驟S120中對目標(biāo)計(jì)算機(jī)所存在的各個(gè)安全漏洞進(jìn)行分級之后，在步驟 S130-170中，從最低的風(fēng)險(xiǎn)等級開始，逐個(gè)等級地計(jì)算每個(gè)風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值，直到計(jì)算了所述計(jì)算機(jī)中的安全漏洞所具有的最高風(fēng)險(xiǎn)等級為止。具體而言，在步驟S130中，將當(dāng)前要處理的安全風(fēng)險(xiǎn)等級設(shè)置為最低的安全風(fēng)險(xiǎn)等級，即將當(dāng)前的安全風(fēng)險(xiǎn)等級η設(shè)置為1。隨后在步驟S140中，為當(dāng)前安全風(fēng)險(xiǎn)等級確定其初始風(fēng)險(xiǎn)值Vn,μ該初始風(fēng)險(xiǎn)值取決于上一個(gè)風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值Vlri，以及是否存在屬于該風(fēng)險(xiǎn)等級η的安全漏洞。一般而言，如果存在屬于該風(fēng)險(xiǎn)等級η的安全漏洞，初始風(fēng)險(xiǎn)值Vn,^會相對大些。另外， Vn^1越大，初始風(fēng)險(xiǎn)值Vn,C1也就越大。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，首先將初始風(fēng)險(xiǎn)值Vn,^設(shè)置為η，然后如果存在屬于當(dāng)前風(fēng)險(xiǎn)等級η的安全漏洞，則在該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值\’0上還加上與上一風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值Vlri相關(guān)的一個(gè)值，一般而言，該值隨著Vlri變大而變大，但是不會超過 1，更可取的是不超過0.3?？蛇x地，根據(jù)本發(fā)明的一個(gè)實(shí)施例，根據(jù)下列等式來確定初始風(fēng)險(xiǎn)值\’0 當(dāng)Ii = 1 且Nn > O吋Vnfi = η
當(dāng) η=1 且 NB=O 時(shí):Vsj0 = O
當(dāng)η > IMNn > 0且Vf1 > _ 1時(shí)Fk,。= η + ^ -ι ~ + ^ ~
an > IB-Nri > O且V, , = - I時(shí):Vx,= η + 丄——-^―^——f
當(dāng) η > IfiNn > O 且V" = O時(shí)- Fsfi = η 當(dāng)η > IMNn = ORV^1 = 0時(shí)Viifi = O
其中，Nn為在當(dāng)前風(fēng)險(xiǎn)等級η中的安全漏洞數(shù)量，η為當(dāng)前風(fēng)險(xiǎn)等級η的風(fēng)險(xiǎn)等級值， a和b預(yù)先設(shè)置的參數(shù)，其值與風(fēng)險(xiǎn)等級的大小相關(guān)，其中a和b的取值如下 當(dāng) n<=4 時(shí)，a=0. 1，b=l. 1 ； 當(dāng) 4<n<8 時(shí)，a=0. 2，b=l. 3 ；以及當(dāng) n>=8 時(shí)，a=l，b=2。在步驟S140為當(dāng)前風(fēng)險(xiǎn)等級η確定其初始風(fēng)險(xiǎn)值V一之后，在步驟S150中，基于該初始風(fēng)險(xiǎn)值Vn,^以及在當(dāng)前風(fēng)險(xiǎn)等級中的安全漏洞數(shù)量凡來確定該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值\。如果在當(dāng)前風(fēng)險(xiǎn)等級η中存在安全漏洞，即Νη>0時(shí)，則安全風(fēng)險(xiǎn)評估值Vn應(yīng)該比當(dāng)Nn=O時(shí)的Vn值要大。此外，當(dāng)Nn=I時(shí)，將安全風(fēng)險(xiǎn)評估值Vn設(shè)置為在步驟S140中確定的初始風(fēng)險(xiǎn)值^一。隨著Nn的數(shù)量越多，Vn值也越大，但是不會達(dá)到η+1。根據(jù)本發(fā)明的一個(gè)實(shí)施例，Vn值在Nn值較小時(shí)快速增大，但是在Nn值較大時(shí)增大步伐變慢，從而逐步接近η+1，但是不會超過η+1。
7
可選地，根據(jù)本發(fā)明的一個(gè)實(shí)施例，可以根據(jù)下列等式來確定當(dāng)前風(fēng)險(xiǎn)等級η的安全風(fēng)險(xiǎn)評估值Vn
當(dāng)禮=OEF^1 >
κ-1
K
>
sja
V
++1
b + a
(2)
*
A,
2 -! J K.，
其中，Ai b為關(guān)于整數(shù)i的數(shù)列表達(dá)式，其定義為
2b
I 1、
b
(3)t
>1
/根據(jù)上述等式(2)，可以看出隨著在當(dāng)前風(fēng)險(xiǎn)等級η中的安全漏洞數(shù)量Nn的逐步增加，Vn值就從最低值η開始逐步增大，最開始增大幅度較大，隨后增大幅度逐步減少，但是最終不會達(dá)到η+1。圖3示出了根據(jù)本發(fā)明一個(gè)實(shí)施方式的某個(gè)安全風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值與該風(fēng)險(xiǎn)等級中的漏洞數(shù)量的關(guān)系。在圖3中，安全風(fēng)險(xiǎn)等級ri=l，橫軸為該風(fēng)險(xiǎn)等級中的漏洞數(shù)量Nn，縱軸為值Vn-I。從圖3可以看出，隨著漏洞數(shù)量Nn的增加，Vn值逐步增大，但是增大的速度逐步降低，并最終不會超過2。在步驟S150為當(dāng)前風(fēng)險(xiǎn)等級η計(jì)算了安全風(fēng)險(xiǎn)評估值Vn之后，在步驟S160中， 判斷當(dāng)前風(fēng)險(xiǎn)等級η是否為目標(biāo)計(jì)算機(jī)中的安全漏洞所具有的最高風(fēng)險(xiǎn)等級。
如果當(dāng)前風(fēng)險(xiǎn)等級η不是最高風(fēng)險(xiǎn)等級，則在步驟S170中，將當(dāng)前要處理的風(fēng)險(xiǎn)等級增1。并返回到步驟S140來對該風(fēng)險(xiǎn)等級繼續(xù)進(jìn)行處理。相反，如果當(dāng)前風(fēng)險(xiǎn)等級η就是最高風(fēng)險(xiǎn)等級，則該方法繼續(xù)到步驟S180，其中根據(jù)最高風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值\來確定目標(biāo)計(jì)算機(jī)的安全風(fēng)險(xiǎn)值\。可選地，根據(jù)本發(fā)明的一個(gè)實(shí)施例，可以如下所述那樣來計(jì)算安全風(fēng)險(xiǎn)值Vh 當(dāng)&>塒，Hi;
當(dāng)f';=i時(shí)，Vh 當(dāng) <1時(shí),Vk=O-通過上述安全風(fēng)險(xiǎn)評估方法100，可以為目標(biāo)計(jì)算機(jī)給出全面反映該目標(biāo)計(jì)算機(jī)可能具有的風(fēng)險(xiǎn)的評估值，即安全風(fēng)險(xiǎn)值vh，圖4給出了根據(jù)本發(fā)明一個(gè)實(shí)施例的計(jì)算機(jī)安全風(fēng)險(xiǎn)值和該計(jì)算機(jī)中存在的安全漏洞之間的關(guān)系。圖4所示的曲線，根據(jù)上述方法100 計(jì)算得到。從圖4中，縱軸代表目標(biāo)計(jì)算機(jī)的安全風(fēng)險(xiǎn)值Vh的大小，橫軸代表漏洞數(shù)和安全級別的綜合變化。在圖4中，將安全級別分為1-10共10個(gè)級別，并在每個(gè)安全級別上分別以該級別具有0、2、4和6個(gè)漏洞來進(jìn)行計(jì)算，并且當(dāng)每個(gè)級別上的漏洞達(dá)到6個(gè)時(shí)，就增加安全級別。因此，圖4橫軸上的第一個(gè)值代表最高安全級別為1，漏洞數(shù)量為0時(shí)的安全風(fēng)險(xiǎn)值，而最后一個(gè)值代表最高安全級別為10，其每個(gè)安全級別上都有6個(gè)漏洞時(shí)的安全風(fēng)險(xiǎn)值。
-1 2 +ι3
從圖4可以看出漏洞數(shù)越多，給目標(biāo)計(jì)算機(jī)帶來的安全風(fēng)險(xiǎn)也越大。當(dāng)存在較高級別的安全漏洞時(shí)，目標(biāo)計(jì)算機(jī)系統(tǒng)的安全性受到更大的威脅，其安全風(fēng)險(xiǎn)會較大?？偟内厔輥碚f，計(jì)算機(jī)安全風(fēng)險(xiǎn)曲線走勢是一個(gè)對數(shù)曲線。當(dāng)安全漏洞數(shù)量增加到一定程度后，整個(gè)計(jì)算機(jī)就處在一個(gè)極度不安全的狀態(tài)，這個(gè)時(shí)候漏洞數(shù)的變化對計(jì)算機(jī)風(fēng)險(xiǎn)的影響就會比較小，所以漏洞數(shù)有一個(gè)極限值，計(jì)算機(jī)風(fēng)險(xiǎn)值會收斂在這個(gè)漏洞數(shù)上。收斂速度根據(jù)漏洞風(fēng)險(xiǎn)值的高低有所不同，低風(fēng)險(xiǎn)值的漏洞對漏洞利用成功和危害都比較小，需要較多的漏洞才會對系統(tǒng)有大的影響，所以收斂速度就會小。根據(jù)本發(fā)明的安全風(fēng)險(xiǎn)評估方法都正確地體現(xiàn)了這些變化。因此，當(dāng)對目標(biāo)計(jì)算機(jī)進(jìn)行安全加固時(shí)，需要優(yōu)先對高風(fēng)險(xiǎn)的漏洞進(jìn)行修復(fù)，才能將漏洞風(fēng)險(xiǎn)降低到較低的級別，這個(gè)時(shí)候計(jì)算機(jī)的風(fēng)險(xiǎn)也會隨之減少。如果只是對低風(fēng)險(xiǎn)的漏洞進(jìn)行修復(fù)，計(jì)算機(jī)系統(tǒng)仍然處于不安全的狀態(tài)，所以計(jì)算機(jī)的安全風(fēng)險(xiǎn)并沒有明顯的減少。綜上，對計(jì)算機(jī)而言，安全程度取決于計(jì)算機(jī)系統(tǒng)中最脆弱的地方，遵循木桶原理，所以計(jì)算機(jī)的風(fēng)險(xiǎn)程度也是取決于風(fēng)險(xiǎn)值較高的漏洞。根據(jù)本發(fā)明的安全風(fēng)險(xiǎn)評估方法能夠客觀地體現(xiàn)出計(jì)算機(jī)的安全風(fēng)險(xiǎn)程度，最后計(jì)算得到的安全風(fēng)險(xiǎn)值給計(jì)算機(jī)風(fēng)險(xiǎn)評估帶來一個(gè)直觀的感受。圖2示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的安全風(fēng)險(xiǎn)評估設(shè)備200。圖2所示的安全風(fēng)險(xiǎn)評估設(shè)備200適于執(zhí)行圖1所示的安全風(fēng)險(xiǎn)評估方法100。如圖2所示，安全風(fēng)險(xiǎn)評估設(shè)備200包括漏洞獲取裝置210，用于利用各種方法來盡可能地獲取目標(biāo)計(jì)算機(jī)300中存在的安全漏洞，其適于如上述步驟SllO所述來獲取各種安全漏洞。安全風(fēng)險(xiǎn)評估設(shè)備200還包括漏洞分級裝置220，其根據(jù)安全漏洞的危險(xiǎn)程度為漏洞獲取裝置210所獲取的每個(gè)安全漏洞分配風(fēng)險(xiǎn)等級。如上參考步驟S120所述，每個(gè)風(fēng)險(xiǎn)等級具有相應(yīng)的風(fēng)險(xiǎn)等級值，安全漏洞所處的風(fēng)險(xiǎn)等級的風(fēng)險(xiǎn)等級值越大，說明這個(gè)安全漏洞越有可能被利用，而且?guī)淼奈：Τ潭染驮酱?，對目?biāo)計(jì)算機(jī)來說安全風(fēng)險(xiǎn)就越大。 漏洞分級裝置220可以如步驟S120中所述的那樣對安全漏洞進(jìn)行分級。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，可以利用通用弱點(diǎn)評價(jià)體系(CVSS)來對安全漏洞進(jìn)行分級。安全風(fēng)險(xiǎn)評估設(shè)備200還包括主機(jī)風(fēng)險(xiǎn)確定裝置230，用于根據(jù)由漏洞分級裝置 220分級后的安全漏洞分布狀況，來為目標(biāo)計(jì)算機(jī)300確定其安全風(fēng)險(xiǎn)值Vh。主機(jī)風(fēng)險(xiǎn)確定裝置230包括初始值計(jì)算裝置232、等級值計(jì)算裝置234以及主機(jī)值計(jì)算裝置236。主機(jī)風(fēng)險(xiǎn)確定裝置230確定目標(biāo)計(jì)算機(jī)的安全漏洞所具有的最高風(fēng)險(xiǎn)等級，然后從最低風(fēng)險(xiǎn)等級開始直至最高風(fēng)險(xiǎn)等級為止，對于每個(gè)風(fēng)險(xiǎn)等級，由初始值計(jì)算裝置232來確定該風(fēng)險(xiǎn)等級的初始值Vn,^，隨后由等級值計(jì)算裝置234來計(jì)算該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值Vn。在確定了目標(biāo)計(jì)算機(jī)中存在的安全漏洞的最高風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值Vn之后，由主機(jī)值計(jì)算裝置236基于值Vn來計(jì)算安全風(fēng)險(xiǎn)值Vh。初始值計(jì)算裝置232適于為某個(gè)風(fēng)險(xiǎn)等級η確定該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值\’0， 該初始風(fēng)險(xiǎn)值取決于上一個(gè)風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值Vlri和是否存在屬于該風(fēng)險(xiǎn)等級的安全漏洞。初始值計(jì)算裝置232可以如上面參考步驟S140所述的那樣來計(jì)算初始風(fēng)險(xiǎn)值 Vn, 0。等級值計(jì)算裝置234適于根據(jù)該風(fēng)險(xiǎn)等級η的初始風(fēng)險(xiǎn)值\0來確定該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值Vn，其中該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值還取決于屬于該風(fēng)險(xiǎn)等級的安全漏洞數(shù)量Nn。具體而言，等級值計(jì)算裝置234還可以如上面參考步驟S150所具體陳述的那樣來計(jì)算該風(fēng)險(xiǎn)等級η的安全風(fēng)險(xiǎn)評估值Vn。主機(jī)風(fēng)險(xiǎn)值確定裝置236適于基于目標(biāo)計(jì)算機(jī)300所具有的最高風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值來確定安全風(fēng)險(xiǎn)值Vh。具體而言，主機(jī)風(fēng)險(xiǎn)值確定裝置236可以如上面參考步驟S180所述的那樣來確定安全風(fēng)險(xiǎn)值Vh。應(yīng)當(dāng)注意的是，在本發(fā)明的安全風(fēng)險(xiǎn)評估設(shè)備200的各個(gè)部件中，根據(jù)其要實(shí)現(xiàn)的功能而對其中的部件進(jìn)行了邏輯劃分，但是，本發(fā)明不受限于此，可以根據(jù)需要對各個(gè)部件進(jìn)行重新劃分或者組合，例如，可以將一些部件組合為單個(gè)部件，或者可以將一些部件進(jìn)一步分解為更多的子部件。本發(fā)明的各個(gè)部件實(shí)施例可以以硬件實(shí)現(xiàn)，或者以在一個(gè)或者多個(gè)處理器上運(yùn)行的軟件模塊實(shí)現(xiàn)，或者以它們的組合實(shí)現(xiàn)。本領(lǐng)域的技術(shù)人員應(yīng)當(dāng)理解，可以在實(shí)踐中使用微處理器或者數(shù)字信號處理器(DSP )來實(shí)現(xiàn)根據(jù)本發(fā)明實(shí)施例的安全風(fēng)險(xiǎn)評估設(shè)備中的一些或者全部部件的一些或者全部功能。本發(fā)明還可以實(shí)現(xiàn)為用于執(zhí)行這里所描述的方法的一部分或者全部的設(shè)備或者裝置程序(例如，計(jì)算機(jī)程序和計(jì)算機(jī)程序產(chǎn)品)。這樣的實(shí)現(xiàn)本發(fā)明的程序可以存儲在計(jì)算機(jī)可讀介質(zhì)上，或者可以具有一個(gè)或者多個(gè)信號的形式。這樣的信號可以從因特網(wǎng)網(wǎng)站上下載得到，或者在載體信號上提供，或者以任何其他形式提 {共。應(yīng)該注意的是上述實(shí)施例對本發(fā)明進(jìn)行說明而不是對本發(fā)明進(jìn)行限制，并且本領(lǐng)域技術(shù)人員在不脫離所附權(quán)利要求的范圍的情況下可設(shè)計(jì)出替換實(shí)施例。在權(quán)利要求中， 不應(yīng)將位于括號之間的任何參考符號構(gòu)造成對權(quán)利要求的限制。單詞“包含”不排除存在未列在權(quán)利要求中的元件或步驟。位于元件之前的單詞“一”或“一個(gè)”不排除存在多個(gè)這樣的元件。本發(fā)明可以借助于包括有若干不同元件的硬件以及借助于適當(dāng)編程的計(jì)算機(jī)來實(shí)現(xiàn)。在列舉了若干裝置的單元權(quán)利要求中，這些裝置中的若干個(gè)可以是通過同一個(gè)硬件項(xiàng)來具體體現(xiàn)。單詞第一、第二、以及第三等的使用不表示任何順序。可將這些單詞解釋為名稱。
權(quán)利要求
1.一種對計(jì)算機(jī)的安全風(fēng)險(xiǎn)進(jìn)行評估的安全風(fēng)險(xiǎn)評估方法，包括步驟 獲取所述計(jì)算機(jī)中存在的一個(gè)或者多個(gè)安全漏洞；根據(jù)安全漏洞的危險(xiǎn)程度為所述一個(gè)或者多個(gè)安全漏洞中的每個(gè)分配風(fēng)險(xiǎn)等級(n)， 其中每個(gè)風(fēng)險(xiǎn)等級具有對應(yīng)的風(fēng)險(xiǎn)等級值，且風(fēng)險(xiǎn)等級值越高，漏洞越危險(xiǎn)；從最低的風(fēng)險(xiǎn)等級開始，逐個(gè)等級地計(jì)算每個(gè)風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vn)，直到計(jì)算了所述計(jì)算機(jī)中的安全漏洞所具有的最高風(fēng)險(xiǎn)等級為止；以及基于所述最高風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值來確定所述計(jì)算機(jī)的安全風(fēng)險(xiǎn)值(\)， 其中所述計(jì)算每個(gè)風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vn)包括為該風(fēng)險(xiǎn)等級確定該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值(V")，該初始風(fēng)險(xiǎn)值取決于上一風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vlri)和是否存在屬于該風(fēng)險(xiǎn)等級的安全漏洞；以及根據(jù)該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值(Vn, J來確定該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vn)，其中該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值還取決于屬于該風(fēng)險(xiǎn)等級的安全漏洞數(shù)量(Nn)。
2.如權(quán)利要求1所述的安全風(fēng)險(xiǎn)評估方法，其中所述為風(fēng)險(xiǎn)等級確定該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值(Vn, J的步驟包括將該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值(V")設(shè)置為與該風(fēng)險(xiǎn)等級相對應(yīng)的風(fēng)險(xiǎn)等級值(η)； 如果存在屬于該風(fēng)險(xiǎn)等級的安全漏洞數(shù)量，則該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值(V")還包括與上一風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值Vlri相關(guān)的第一值，其中所述安全風(fēng)險(xiǎn)評估值Vlri越大， 所述初始風(fēng)險(xiǎn)值Vn,ο也越大，但是不會超過η+1。
3.如權(quán)利要求1或者2所述的安全風(fēng)險(xiǎn)評估方法，其中根據(jù)該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值 (Vn,0)來確定該風(fēng)險(xiǎn)等級的該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vn)包括如果該風(fēng)險(xiǎn)等級的安全漏洞數(shù)量(Nn)為零，則將該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vn)設(shè)置為與該風(fēng)險(xiǎn)等級相對應(yīng)的風(fēng)險(xiǎn)等級值(η)和與上一風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vlri)相關(guān)的第二值之和，其中所述第二值隨著上一風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vlri)的增大而增大，但是不會超過1 ；如果該風(fēng)險(xiǎn)等級的安全漏洞數(shù)量(Nn)為1個(gè)，則將該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vn) 設(shè)置為該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值(Vn, J ；以及如果該風(fēng)險(xiǎn)等級的安全漏洞數(shù)量(Nn)不止1個(gè)，則將該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值 (Vn)設(shè)置為與該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值(V")和該風(fēng)險(xiǎn)等級的安全漏洞數(shù)量(Nn)相關(guān)聯(lián)的第三值，其中安全漏洞數(shù)量(Nn)越多，該第三值越接近與下一個(gè)風(fēng)險(xiǎn)等級相對應(yīng)的風(fēng)險(xiǎn)等級值(η+1)，但是不會超過η+1。
4.如權(quán)利要求1-3中的任一個(gè)所述的安全風(fēng)險(xiǎn)評估方法，其中當(dāng)該上一風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vlri)等于與上一風(fēng)險(xiǎn)等級相對應(yīng)的風(fēng)險(xiǎn)等級值 (η-1)時(shí)，所述第一值被設(shè)置為( -1)2 2 *(3 +1 + α)；以及當(dāng)該上一風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vlri)大于與上一風(fēng)險(xiǎn)等級相對應(yīng)的風(fēng)險(xiǎn)等級值(η-1)時(shí)，所述第一值被設(shè)置為
5.如權(quán)利要求4所述的安全風(fēng)險(xiǎn)評估方法，其中所述第二值被設(shè)置為
6.如權(quán)利要求5所述的安全風(fēng)險(xiǎn)評估方法，其中所述基于所述最高風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值來確定所述計(jì)算機(jī)的安全風(fēng)險(xiǎn)值Vh包括Vh=Vn-I。
7.如權(quán)利要求1-6中的任一個(gè)所述的安全風(fēng)險(xiǎn)評估方法，其中所述獲取所述計(jì)算機(jī)中存在的一個(gè)或者多個(gè)安全漏洞的步驟包括通過以下方式中的一個(gè)或者多個(gè)來獲取所述計(jì)算機(jī)中存在的一個(gè)或者多個(gè)安全漏洞 對所述計(jì)算機(jī)進(jìn)行端口掃描、服務(wù)識別和操作系統(tǒng)識別。
8.如權(quán)利要求1-7中的任一個(gè)所述的安全風(fēng)險(xiǎn)評估方法，其中為所述一個(gè)或者多個(gè)安全漏洞中的每個(gè)分配風(fēng)險(xiǎn)等級(η)包括根據(jù)安全漏洞的漏洞利用方式、利用成功率、傳播范圍、危害程度和漏洞之間的依賴性中的一個(gè)或者多個(gè)來為該安全漏洞分配風(fēng)險(xiǎn)等級。
9.如權(quán)利要求8所述的安全風(fēng)險(xiǎn)評估方法，其中為所述一個(gè)或者多個(gè)安全漏洞中的每個(gè)分配風(fēng)險(xiǎn)等級(η)包括根據(jù)通用弱點(diǎn)評價(jià)體系來為每個(gè)安全漏洞分配風(fēng)險(xiǎn)等級(η)。
10.一種對計(jì)算機(jī)的安全風(fēng)險(xiǎn)進(jìn)行評估的安全風(fēng)險(xiǎn)評估設(shè)備，包括漏洞獲取裝置，獲取所述計(jì)算機(jī)中存在的一個(gè)或者多個(gè)安全漏洞；漏洞分級裝置，根據(jù)安全漏洞的危險(xiǎn)程度為所述一個(gè)或者多個(gè)安全漏洞中的每個(gè)分配風(fēng)險(xiǎn)等級(η)，其中每個(gè)風(fēng)險(xiǎn)等級具有對應(yīng)的風(fēng)險(xiǎn)等級值，且風(fēng)險(xiǎn)等級值越高，漏洞越危險(xiǎn)； 以及主機(jī)風(fēng)險(xiǎn)確定裝置，用于根據(jù)所述一個(gè)或者多個(gè)安全漏洞以及相應(yīng)的風(fēng)險(xiǎn)等級來確定所述計(jì)算機(jī)的安全風(fēng)險(xiǎn)值，該主機(jī)風(fēng)險(xiǎn)確定裝置包括初始值計(jì)算裝置，用于為某個(gè)風(fēng)險(xiǎn)等級確定該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值(V")，該初始風(fēng)險(xiǎn)值取決于上一風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vlri)和是否存在屬于該風(fēng)險(xiǎn)等級的安全漏洞；等級值計(jì)算裝置，用于根據(jù)該風(fēng)險(xiǎn)等級的初始風(fēng)險(xiǎn)值(Vn, J來確定該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值(Vn)，其中該風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值還取決于屬于該風(fēng)險(xiǎn)等級的安全漏洞數(shù)量(Nn);以及主機(jī)值確定裝置，用于基于最高風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值來確定所述計(jì)算機(jī)的安全風(fēng)險(xiǎn)值(Vh)。
全文摘要
本發(fā)明公開了對計(jì)算機(jī)的安全風(fēng)險(xiǎn)進(jìn)行評估的安全風(fēng)險(xiǎn)評估方法，包括步驟獲取計(jì)算機(jī)中存在的一個(gè)或者多個(gè)安全漏洞；根據(jù)安全漏洞的危險(xiǎn)程度為每個(gè)安全漏洞分配風(fēng)險(xiǎn)等級；逐個(gè)等級地計(jì)算每個(gè)風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值，直到計(jì)算了計(jì)算機(jī)中的安全漏洞所具有的最高風(fēng)險(xiǎn)等級為止；以及基于最高風(fēng)險(xiǎn)等級的安全風(fēng)險(xiǎn)評估值來確定所述計(jì)算機(jī)的安全風(fēng)險(xiǎn)值。本發(fā)明還公開了用于執(zhí)行安全風(fēng)險(xiǎn)評估方法的安全風(fēng)險(xiǎn)評估設(shè)備。
文檔編號G06F21/00GK102354355SQ20111029299
公開日2012年2月15日 申請日期2011年9月30日 優(yōu)先權(quán)日2011年9月30日
發(fā)明者張?jiān)鲵E 申請人:北京神州綠盟信息安全科技股份有限公司