CN102355361A - 基于报警信息的安全评估方法 - Google Patents
基于报警信息的安全评估方法 Download PDFInfo
- Publication number
- CN102355361A CN102355361A CN2011101821685A CN201110182168A CN102355361A CN 102355361 A CN102355361 A CN 102355361A CN 2011101821685 A CN2011101821685 A CN 2011101821685A CN 201110182168 A CN201110182168 A CN 201110182168A CN 102355361 A CN102355361 A CN 102355361A
- Authority
- CN
- China
- Prior art keywords
- attack
- node
- warning
- sequence
- scene graph
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 14
- 238000004458 analytical method Methods 0.000 claims abstract description 6
- 238000011156 evaluation Methods 0.000 claims description 5
- 238000010586 diagram Methods 0.000 claims description 4
- 230000000694 effects Effects 0.000 claims description 4
- 125000002015 acyclic group Chemical group 0.000 claims description 3
- 238000012502 risk assessment Methods 0.000 claims description 3
- 238000004364 calculation method Methods 0.000 abstract 1
- 230000008878 coupling Effects 0.000 abstract 1
- 238000010168 coupling process Methods 0.000 abstract 1
- 238000005859 coupling reaction Methods 0.000 abstract 1
- 230000007613 environmental effect Effects 0.000 abstract 1
- 238000001514 detection method Methods 0.000 description 6
- 238000011160 research Methods 0.000 description 6
- 238000011161 development Methods 0.000 description 4
- 238000005516 engineering process Methods 0.000 description 3
- 238000011002 quantification Methods 0.000 description 2
- 238000004445 quantitative analysis Methods 0.000 description 2
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000002596 correlated effect Effects 0.000 description 1
- 230000000875 corresponding effect Effects 0.000 description 1
- 230000006378 damage Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 238000004451 qualitative analysis Methods 0.000 description 1
- 238000011158 quantitative evaluation Methods 0.000 description 1
- 238000011084 recovery Methods 0.000 description 1
- 230000000246 remedial effect Effects 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
基于报警信息的安全评估方法,采用关联报警信息重构攻击场景的方法,使用谓词来表示攻击的前提条件和后果;采用无环有向图来表示重构后的攻击场景:1)根据超报警类型的前提集和后果集生成初始攻击场景图集合;2)对于初始攻击场景图集合中的每一个攻击场景图,计算其中各个节点证据支持度,消去可能的误报;攻击场景图G中误报结点的消去;从报警可信度的基础上对报警关联算法进行改进,并从可信性、危险性及对***造成的风险上,对报警关联后的攻击序列进行了评估;并进行攻击序列的危险性分析和网络***的损失分析。本发明通过对报警信息与目的地***的环境匹配度、攻击类型、相关攻击信息以及目的地***节点安全度的计算得出报警信息。
Description
一、技术领域
本发明涉及基于报警信息的安全评估方法。
二、背景技术
随着网络时代的来临,互联网络的规模和应用领域不断发展,已经渗透到人们日常生活、经济、军事、科技与教育等各个领域,其基础性、全局性的地位和作用日益增强.作为重要基础技术与设施的网络安全问题已经成为影响社会经济发展和国家发展战略的重要因素,是当前世界各国共同关注的焦点.然而面对网络日趋复杂的结构和庞大的规模,特别是随着网络攻击和破坏行为的日益普遍和攻击工具的逐渐多样化,传统的网络安全防护及其研究已经不能满足网络发展的实际需求,迫切需要新的基础理论和研究方法.
网络安全的研究工作的发展主要经历了三个阶段.在第一阶段,人们试图构建绝对安全的***,主要研究如何保护网络***防止恶意入侵,普遍认为网络安全事件发生是由于***设计上存在漏洞,可以通过改进***细节和复杂协议的设计来阻止攻击和安全破坏事件的出现.在第二阶段,人们逐渐认识到存在一部分恶意入侵,很难阻止其发生,因此将注意力转移到研究如何及时检测入侵发生,并提醒管理员采取补救措施,如打补丁等.事实表明,要保证网络的绝对安全是非常困难的,特别是随着网络攻击的日益普遍和加剧,网络攻击和入侵不可避免且很难及时检测和报警.在第三阶段,现在人们更多地考虑网络的容侵容错,即研究如何使网络在受到攻击和破坏后仍能恢复继续实现预定功能.鉴于当前网络安全领域存在的严峻问题,面向用户提供***级的安全服务已经逐渐成为网络安全领域发展的新趋势;如何基于可信性构建支持安全服务的网络是国内外研究的热点.
基于可信性构建支持安全服务的一个重要理论基础是安全评价,特别是定量刻画网络***的安全性,评价容侵容错机制保证的安全程度,并从理论上指导构建网络安全机制和措施.例如,入侵检测机制的参数获取、网络流量的设定等都需要基础理论与分析方法.目前,大部分的网络安全性评价工作针对网络安全属性进行定性分析,验证***是否满足某些安全特征.这种情况下往往得到安全性指标偏差很大,对具体网络***的安全性判断不够准确,很难指导构建新的网络安全措施.因此,网络安全的量化分析,尤其是对网络***中细节上的量化分析是目前的网络安全领域中一个重要的研究方向。
一般来说,在一系列的攻击步骤中,入侵事件不是互相独立的,先进行的攻击步骤总是为后续攻击步骤做准备。假设每一次入侵检测***的报警对应于一个攻击步骤,每一个攻击步骤有其前提条件和后果。攻击的前提条件是这个攻击成功的必要条件,攻击的后果是攻击成功后可能产生的结果。那么当先发生的攻击a的后果满足了后继攻击b的前提条件,就可以说a为b作了准备,可以将ab归入一个攻击场景。
由于目前入侵检测***的具有较高的误报率,直接依靠入侵检测***报警信息进行攻击场景重构的准确率不高,会造成攻击场景重构的混乱。
报警可信度指的是报警信息所报攻击真实发生的可能性。
三、发明内容
本发明目的是提出一种从报警可信度的出发对报警关联进行的方法,此方法大大减少了较高的报警误报率对报警关联的影响。
基于报警信息的安全评估方法,采用关联报警信息重构攻击场景的方法,使用谓词来表示攻击的前提条件和后果;具体步骤如下:
(1)采用无环有向图来表示重构后的攻击场景,攻击场景图的生成分为三步;
1)根据超报警类型的前提集和后果集生成初始攻击场景图集合;
2)对于初始攻击场景图集合中的每一个攻击场景图,计算其中各个节点(攻击步骤)的证据支持度,消去可能的误报;
攻击场景图G中误报结点的消去;
1)对攻击场景图G中每个节点计算其报警可信度Cr,考虑所有Cr≤ε(ε是管理员设定的一极小值,表示当报警可信度小于等于ε的报警可视为误报,(下同)的节点;
2)消去没有前向节点且报警可信度Cr≤ε的节点;
3)消去没有后向节点且报警可信度Cr≤ε的节点;
4)对于剩下的Cr≤ε的节点,分情况讨论:
a)若删去该节点导致攻击场景图***,则保留该节点;
b)若删去该节点攻击场景图仍然连通,则删去该节点;
(2)从报警可信度的基础上对报警关联算法进行改进,并从可信性、危险性及对***造成的风险上,对报警关联后的攻击序列进行了评估,攻击序列的危险性分析的步骤如下:
设攻击序列S={a1,a2,…,an}由n个报警a1,a2,…,an组成,报警ai的自身危险度、节点价值、服务价值分别为ri、ni、si,其定义及取值如下
报警的攻击类型等因素的实际匹配度取值,定义如下:攻击类型可信度的状态分为高、中、低三种,取值分别为1、0.6、0.2,相关攻击的状态分别设为强相关、弱相关和无相关三种,取值分别为1,0.7和0.4,自身危险度按通常IDS的风险等级设为高、中、低三种状态,取值分别为1、0.6和0.2。节点安全度、节点价值、服务价值的状态见下段,计算时的取值要乘上0.1。
节点价值是一个用来表示节点重要性的量化的一个值。我们设节点价值度量的范围从1到N,其中1表示的是最低的重要性,而N表示最高的重要性(本章中为了计算的简便N设为10)。节点价值、服务价值的度量范围和取值是根据整个***的具体情况由***管理员指定的。
和节点价值与服务价值标示的是节点与服务的重要性相似,节点的安全度标示的是节点的安全性。节点的安全度也是一个量化的值,它由节点安装的操作***及版本,应用程序,开放的服务、端口,使用的安全措施以及它在网络中的位置等来确定。它的值在一个范围之间,同节点价值一样,设为1到P,其中1表示最低的安全度,P表示最高安全度(本章中为了计算机的简便设P为10)。节点安全度是由安全管理***或***管理员针对每一个节点的情况进行评估得到的。
则攻击序列S的危险度
表示攻击序列S如果成功的话,造成***的危险程度;
(3)网络***的损失分析;
网络***的损失,归结到攻击关联图上各攻击序列的综合评估值上,定义为该攻击序列总的损失期望;
设攻击序列S={a1,a2,…,an}由n个报警a1,a2,…,an组成,第i个报警ai的损失评估分为θi,第i+1个报警的可信度为pi+1,则从初始报警a1到第i个报警ai可信度为
则该攻击序列给***造成的总的损失为
取报警ai的危险度为其损失评分,即
θi=ri·ni·si (5)
则
根据***损失排名,优先处理危险系数大***损失高的攻击序列,从而提高***安全管理员得工作效率和效果。
本发明从报警关联出发,首先从报警可信度的基础上对报警关联算法进行改进,并从可信性、危险性及对***造成的风险上,对报警关联后的攻击序列进行了评估,提出了一种网络安全量化分析的新方法。这种方法能有效帮助安全管理员从各个不同的角度理解当前网络中的主要的攻击状况,一方面可以对网络***中已经采用的安全机制和措施进行定位评估,即将***的整体安全机制和攻击序列所经过的节点上安全机制进行统一的评估,另一方面能对安全管理员从***的整体安全角度对***中已发生的攻击的进行应对措施选择。
本发明通过对报警关联所反映的攻击序列中每一报警可信度、危险度和给***造成的损失进行综合计算,可得出整个报警序列的可信度、危险度和给***造成的损失。通过对攻击场景图中所有攻击序列进行评估即可对当前网络***的安全性进行细致的量化评估。
本发明的有益效果是:因为攻击场景图中的节点就是各种报警信息,可以通过对报警信息与目的地***的环境匹配度、攻击类型、相关攻击信息以及目的地***节点安全度的计算得出报警信息的。把报警可信的值赋予攻击场景图中的每一个节点中,通过计算每条攻击序列的可信度就可以找到最可能已遭受攻击的攻击序列并计算攻击关联图中各攻击序列的危险度以及网络***的损失。本发明从报警可信度的出发对报警关联,本发明方法大大减少了较高的报警误报率对报警关联的影响。
四、具体实施方式
1、采用无环有向图来表示重构后的攻击场景。攻击场景图的生成分为三步。
1)根据超报警类型的前提集和后果集生成初始攻击场景图的集合。
2)对于初始攻击场景图中的每一个攻击场景图,计算其中各个节点(攻击步骤)的证据支持度,消去可能的误报。
2、攻击场景图G中误报结点的消去
1)对攻击场景图G中每个节点计算其报警可信度Cr,考虑所有Cr≤ε(ε是管理员设定的一极小值,表示当报警可信度小于等于ε的报警可视为误报,下同)的节点。
2)消去没有前向节点且报警可信度Cr≤ε的节点
3)消去没有后向节点且报警可信度Cr≤ε的节点
4)对于剩下的Cr≤ε的节点,分情况讨论:
c)若删去该节点导致攻击场景图***,则保留该节点。
d)若删去该节点攻击场景图仍然连通,则删去该节点。
3、攻击序列的危险性分析
设攻击序列S={a1,a2,…,an}由n个报警a1,a2,…,an组成,报警ai的自身危险度、节点价值、服务价值分别为ri、ni、si,其定义及取值见本文3.2.2节?则攻击序列S的危险度
表示攻击序列S如果成功的话,造成***的危险程度。
4、网络***的损失分析
网络***的损失,可以归结到攻击关联图上各攻击序列的综合评估值上,定义为该攻击序列总的损失期望。
设攻击序列S={a1,a2,…,an}由n个报警a1,a2,…,an组成,第i个报警ai的损失评估分为θi,第i+1个报警的可信度为pi+1,则从初始报警a1到第i个报警ai可信度为
则该攻击序列给***造成的总的损失为
本章取报警ai的危险度为其损失评分,即
θi=ri·ni·si (5)
则
5、根据***损失排名,优先处理危险系数大***损失高的攻击序列,从而提高***安全管理员得工作效率和效果。
Claims (1)
1.基于报警信息的安全评估方法,其特征是采用关联报警信息重构攻击场景的方法,使用谓词来表示攻击的前提条件和后果;具体步骤如下:
(1)采用无环有向图来表示重构后的攻击场景,攻击场景图的生成分为三步;
1)根据超报警类型的前提集和后果集生成初始攻击场景图集合;
2)对于初始攻击场景图集合中的每一个攻击场景图,计算其中各个节点(攻击步骤)的证据支持度,消去可能的误报;
攻击场景图G中误报结点的消去;
3)对攻击场景图G中每个节点计算其报警可信度Cr,考虑所有Cr≤ε(ε是管理员设定的一极小值,表示当报警可信度小于等于ε的报警可视为误报,(下同)的节点;
4)消去没有前向节点且报警可信度Cr≤ε的节点;
5)消去没有后向节点且报警可信度Cr≤ε的节点;
6)对于剩下的Cr≤ε的节点,分情况讨论:
a)若删去该节点导致攻击场景图***,则保留该节点;
b)若删去该节点攻击场景图仍然连通,则删去该节点;
(2)从报警可信度的基础上对报警关联算法进行改进,并从可信性、危险性及对***造成的风险上,对报警关联后的攻击序列进行了评估,攻击序列的危险性分析的步骤如下:
设攻击序列S={a1,a2,…,an}由n个报警a1,a2,…,an组成,报警ai的自身危险度、节点价值、服务价值分别为ri、ni、si,其定义及取值见?,则攻击序列S的危险度
表示攻击序列S如果成功的话,造成***的危险程度;
(3)网络***的损失分析;
网络***的损失,归结到攻击关联图上各攻击序列的综合评估值上,定义为该攻击序列总的损失期望;
设攻击序列S={a1,a2,…,an}由n个报警a1,a2,…,an组成,第i个报警ai的损失评估分为θi,第i+1个报警的可信度为pi+1,则从初始报警a1到第i个报警ai可信度为
则该攻击序列给***造成的总的损失为
取报警ai的危险度为其损失评分,即
θi=ri·ni·si (5)
则
根据***损失排名,优先处理危险系数大***损失高的攻击序列,从而提高***安全管理员得工作效率和效果。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201110182168.5A CN102355361B (zh) | 2011-06-30 | 2011-06-30 | 基于报警信息的安全评估方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201110182168.5A CN102355361B (zh) | 2011-06-30 | 2011-06-30 | 基于报警信息的安全评估方法 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN102355361A true CN102355361A (zh) | 2012-02-15 |
CN102355361B CN102355361B (zh) | 2013-09-04 |
Family
ID=45578858
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201110182168.5A Expired - Fee Related CN102355361B (zh) | 2011-06-30 | 2011-06-30 | 基于报警信息的安全评估方法 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN102355361B (zh) |
Cited By (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103746961A (zh) * | 2013-12-12 | 2014-04-23 | 中国人民解放军63928部队 | 一种网络攻击场景的因果知识挖掘方法、装置及服务器 |
CN106559414A (zh) * | 2016-10-31 | 2017-04-05 | 华中科技大学 | 基于区域态势信息的网络攻击后果动态定量评估方法 |
CN110557393A (zh) * | 2019-09-05 | 2019-12-10 | 腾讯科技(深圳)有限公司 | 网络风险评估方法、装置、电子设备及存储介质 |
CN112385196A (zh) * | 2018-07-18 | 2021-02-19 | 比特梵德知识产权管理有限公司 | 用于报告计算机安全事故的***和方法 |
CN115296849A (zh) * | 2022-07-05 | 2022-11-04 | 中国电信股份有限公司 | 关联告警方法及***、存储介质和电子设备 |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101599855A (zh) * | 2008-11-10 | 2009-12-09 | 南京大学 | 基于攻击模式建模的复合攻击关联及攻击场景构建方法 |
-
2011
- 2011-06-30 CN CN201110182168.5A patent/CN102355361B/zh not_active Expired - Fee Related
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101599855A (zh) * | 2008-11-10 | 2009-12-09 | 南京大学 | 基于攻击模式建模的复合攻击关联及攻击场景构建方法 |
Non-Patent Citations (2)
Title |
---|
石进 等: "基于博弈理论的动态入侵响应", 《计算机研究与发展》 * |
石进 等: "基于威胁度的动态报警管理研究", 《计算机科学》 * |
Cited By (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103746961A (zh) * | 2013-12-12 | 2014-04-23 | 中国人民解放军63928部队 | 一种网络攻击场景的因果知识挖掘方法、装置及服务器 |
CN103746961B (zh) * | 2013-12-12 | 2017-03-15 | 中国人民解放军63928部队 | 一种网络攻击场景的因果知识挖掘方法、装置及服务器 |
CN106559414A (zh) * | 2016-10-31 | 2017-04-05 | 华中科技大学 | 基于区域态势信息的网络攻击后果动态定量评估方法 |
CN106559414B (zh) * | 2016-10-31 | 2018-02-27 | 华中科技大学 | 基于区域态势信息的网络攻击后果动态定量评估方法 |
CN112385196A (zh) * | 2018-07-18 | 2021-02-19 | 比特梵德知识产权管理有限公司 | 用于报告计算机安全事故的***和方法 |
CN110557393A (zh) * | 2019-09-05 | 2019-12-10 | 腾讯科技(深圳)有限公司 | 网络风险评估方法、装置、电子设备及存储介质 |
CN115296849A (zh) * | 2022-07-05 | 2022-11-04 | 中国电信股份有限公司 | 关联告警方法及***、存储介质和电子设备 |
CN115296849B (zh) * | 2022-07-05 | 2024-03-19 | 中国电信股份有限公司 | 关联告警方法及***、存储介质和电子设备 |
Also Published As
Publication number | Publication date |
---|---|
CN102355361B (zh) | 2013-09-04 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
Sánchez et al. | Bibliographical review on cyber attacks from a control oriented perspective | |
Hemsley et al. | A history of cyber incidents and threats involving industrial control systems | |
Al-Ghamdi | Effects of knowledge of cyber security on prevention of attacks | |
CA3041871A1 (en) | System and method for monitoring security attack chains | |
Colabianchi et al. | Discussing resilience in the context of cyber physical systems | |
CN102355361A (zh) | 基于报警信息的安全评估方法 | |
CN105868629B (zh) | 一种适用于电力信息物理***的安全威胁态势评估方法 | |
Samdarshi et al. | A triple layer intrusion detection system for SCADA security of electric utility | |
Williams et al. | A taxonomy of cyber attacks in smart manufacturing systems | |
Choo | High tech criminal threats to the national information infrastructure | |
Hellmann | Acknowledging the Threat: Securing United States Pipeline SCADA Systems | |
Rosenfield | Rethinking cyber war | |
Williams et al. | Small business-a cyber resilience vulnerability | |
CN103200184B (zh) | 一种移动终端安全测评方法 | |
Papa et al. | A transfer function based intrusion detection system for SCADA systems | |
KR101646329B1 (ko) | 지역 기반 사이버 침해 대응 분석 시스템 및 그 방법 | |
Kim et al. | Hybrid intrusion forecasting framework for early warning system | |
Dacier et al. | Network attack detection and defense: Securing industrial control systems for critical infrastructures (dagstuhl seminar 14292) | |
Sharma | Security and Privacy Aspects of Cyber Physical Systems | |
Mohammed et al. | The Exigency for Resilient and Cyber-Secure Critical Infrastructure in the Caribbean. | |
Singh et al. | Concept and proposed architecture of Hybrid Intrusion Detection System using data mining | |
Li et al. | Cross-boundary enterprise security monitoring | |
Bond et al. | Analysis and implications for equifax data breach | |
Dacer et al. | Network attack detection and defense: securing industrial control systems for critical infrastructures (Dagstuhl Seminar 14292) | |
Xiang et al. | A method of network security situation assessment based on hidden Markov model |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C14 | Grant of patent or utility model | ||
GR01 | Patent grant | ||
CF01 | Termination of patent right due to non-payment of annual fee | ||
CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20130904 |