[发明专利]一种基于层次化漏洞威胁评估的漏洞修复方法

说明书

技术领域

本发明主要属于漏洞威胁评估领域，涉及一种漏洞修复方法，特别涉及到一种基于层次化漏洞威胁评估的漏洞修复方法。

背景技术

漏洞是计算机信息系统在需求、设计、实现、配置、运行等过程中，有意或无意产生的缺陷，这些缺陷以不同形式存在于计算机信息系统的各个层次和环节之中，一旦被恶意主体所利用，就会对计算机信息系统造成损害，从而影响构建于计算机信息系统之上正常服务的运行。近年来，对我国政治、经济和社会造成危害的计算机病毒、蠕虫、木马和黑客攻击等安全威胁，绝大多数都是恶意主体通过漏洞达到传播、破坏、窃密等目的的。

随着漏洞数量的日趋增加，攻击行为的日趋复杂，防火墙、入侵监测系统等网络安全设备并不能完全抵御各种各样的攻击形式，这使得及时了解并修复已知漏洞变得尤为重要。如果用户对漏洞的危害程度不能很好的区分，那么最先修复的漏洞很可能是无关紧要，而最后安装补丁的却是高危漏洞，就可能导致整个网络暴露于危险之中。漏洞威胁评估方法能够根据漏洞的有关属性，将大量的漏洞根据其危害程度区分开来，进而保证危害最为严重的漏洞优先得到修复。

目前，国内外存在两种类型的漏洞评级方法：定性评级和定量评分。定性评级即根据漏洞威胁评级要素，给漏洞确定一个威胁级别，例如：高、中、低三个级别；定量评分则根据既定的评分因素，给漏洞确定一个威胁分值，例如范围在0-10之间的任意整数。以微软为代表的大多数厂商都是从各自不同的角度对产品漏洞进行定性的评估，最终确定漏洞的威胁级别。微软根据危害程度将漏洞划分为紧急、重要、中、低四个级别。美国基础设施顾问委员会NIAC(National Iranian American Council)于2004年提出的CVSS(Common Vulnerability Scoring System)，是一种定量的漏洞威胁评估方法，旨在建立一种通用的漏洞威胁评估系统，然后根据分值高低，对漏洞进行顺序修复。CVSS根据漏洞的基本特征，将漏洞的危害程度定量的评定为一个介于0-10之间的分值，然后根据分值高低，对漏洞进行顺序修复。

定性评级能够直观的给出漏洞的威胁程度，定量评分能够把漏洞根据其危害程度细分。然而正是定性和定量这两种不同的漏洞威胁评估方法，导致了目前漏洞评估“各自为政”的局面；同时现有的技术均是将所有评级要素结合在一起并直接得出最终的评级或评分结果，而这种非层次化的漏洞评估方法在一定程度上无法将漏洞更加细致的划分。因此，结合定性评级和定性评分的优点，制定先定性评级后定量评分的层次化的漏洞威胁评估方法得到一分值，然后根据漏洞分值高低，对漏洞进行顺序修复，是十分必要的。

发明内容

本发明的目的在于提出一种基于层次化漏洞威胁评估的漏洞修复方法。该方法能够结合定性和定量两种漏洞评估方法的优点，尽可能的将漏洞更加细致的划分，进而为用户在修复大量漏洞时提供帮助。

针对上述问题，本发明的解决方案是：首先，根据漏洞对目标系统信息安全属性的影响程度对漏洞进行定性的评级；然后，基于漏洞定性评级结果和漏洞在利用过程中的各种条件，对漏洞危害程度作进一步的定量评分，最后根据漏洞分值高低，对漏洞进行顺序修复。其中定性评级和定性评分过程分别选用不同的评估要素对漏洞进行威胁评估。

本发明包括定性评级和定量评分两个层次，其体系结构如图1所示。本发明中的定性评级通过分析漏洞对目标系统信息安全属性的影响程度，进而得到漏洞定性评级级别。定性评级的具体方法如下：

1)分析漏洞在被利用成功之后，目标系统“机密性”、“完整性”、“可用性”等信息安全属性的损失程度。漏洞利用成功之后对目标信息安全属性的影响是评估漏洞威胁的最重要的因素。

2)根据目标系统“机密性”、“完整性”、“可用性”等属性受影响的程度，得出该漏洞的“定性等级分值”。

3)根据“定性等级分值”进而得到“定性评级级别结果”，例如“高”、“中”和“低”三个级别。

具体的，“机密性”、“完整性”和“可用性”与漏洞威胁的映射关系可以描述为类似于表1-表4的形式，表1中涉及到的关键内容介绍如下：

1)机密性指只有授权的实体才可以访问信息。机密性影响有三种可能的取值：完全、部分和无，取值方法如表2所示。

2)完整性意为确保文件等信息内容不会被未授权实体所更改，并且确保被授权用户所更改信息是可靠的。完整性影响有三种可能的取值：完全、部分和无，取值方法如表3所示。