[发明专利]基于关联分析的系统安全评估方法和装置

权利要求书

1.一种基于关联分析的系统安全评估方法，其特征在于按照以下步骤进行：

a．基于OVAL的漏洞检测收集网络主机配置信息及其拓扑信息；

b．对收集网络信息进行整理分析，获取网络安全要素，安全要素构成网络初始状态，将初始状态放入安全状态队列；

c．对网络漏洞信息进行收集，通过漏洞信息库，分析并建立转换规则，将漏洞信息转换成攻击状态队列；

d．通过前向后向搜索的攻击图生成算法遍历攻击状态节点队列，经过前向搜索会生成完整的网络攻击图，经过后向搜索，排除攻击图中不可达目标状态节点的攻击序列和冗余序列将发生转换的新状态加入队列，直至所有状态转换结束；

e．根据状态节点的转换关系和渗透依赖关系构建网络攻击图，用PageRank计算模型对攻击图中不同状态节点的重要性进行权值计算，判断攻击图的关键节点及关键路径，设定安全权值，所述的步骤e中的状态节点的权值与安全权值比较，如果小于安全权值则为安全。

2.根据权利要求1所述的基于关联分析的系统安全评估方法，其特征在于：所述的步骤e中的网络攻击图不存在回路，即攻击者不会经过一系列的攻击状态的转移又回到之前经历过的攻击状态。

3.根据权利要求1所述的基于关联分析的系统安全评估方法，其特征在于：所述的步骤a中收集目标网络中的网络布局、路由规则和防火墙信息等网络拓扑信息，利用扫描工具或网管软件获取网络设备和主机配置信息。

4.根据权利要求1所述的基于关联分析的系统安全评估方法，其特征在于：所述的步骤c中的漏洞信息库建立的转换规则有两种建立方法：

（1）、通过分析已知的攻击方式，根据先验知识建立漏洞规则；

（2）、利用权限提升方式，对漏洞权限提升能力进行分析建立漏洞利用规则。

5.根据权利要求1所述的基于关联分析的系统安全评估方法，其特征在于：所述的步骤d中前向后向搜索的攻击图生成算法设置最大跳数，利用前向搜索从初始状态节点开始进行广度优先搜索遍历，如果前向搜索延伸路径超过最大跳数，则认为目标不可达而放弃该攻击序列；再利用后向搜索算法，设定关注的目标状态节点集合，依次对进行后向搜索，排除攻击图中不可达目标状态节点的攻击序列和冗余序列，简化网络攻击图为指定目标攻击图。

6. 一种基于关联分析的系统安全评估装置，其特征在于包括以下部分：

信息采集单元，用于基于OVAL的漏洞检测收集网络主机配置信息及其拓扑信息；

网络安全初始化单元，用于对收集网络信息进行整理分析，获取网络安全要素，安全要素构成网络初始状态，将初始状态放入安全状态队列；

漏洞信息采集单元，用于对网络漏洞信息进行收集，通过漏洞信息库，分析并建立转换规则，将漏洞信息转换成攻击状态队列；

网络扫描单元，用于通过前向后向搜索的攻击图生成算法遍历攻击状态节点队列，经过前向搜索会生成完整的网络攻击图，经过后向搜索，排除攻击图中不可达目标状态节点的攻击序列和冗余序列将发生转换的新状态加入队列，直至所有状态转换结束；

系统安全判断单元，用于根据状态节点的转换关系和渗透依赖关系构建网络攻击图，用PageRank计算模型对攻击图中不同状态节点的重要性进行权值计算，判断攻击图的关键节点及关键路径，设定安全权值，所述的步骤e中的状态节点的权值与安全权值比较，如果小于安全权值则为安全。

7.根据权利要求6所述的基于关联分析的系统安全评估装置，其特征在于：所述的漏洞信息采集装置的漏洞信息库建立的转换规则有两种建立方法：

（1）、通过分析已知的攻击方式，根据先验知识建立漏洞规则；

（2）、利用权限提升方式，对漏洞权限提升能力进行分析建立漏洞利用规则。

8.根据权利要求6所述的基于关联分析的系统安全评估装置，其特征在于：网络扫描单元中前向后向搜索的攻击图生成算法设置最大跳数，利用前向搜索从初始状态节点开始进行广度优先搜索遍历，如果前向搜索延伸路径超过最大跳数，则认为目标不可达而放弃该攻击序列；再利用后向搜索算法，设定关注的目标状态节点集合，依次对进行后向搜索，排除攻击图中不可达目标状态节点的攻击序列和冗余序列，简化网络攻击图为指定目标攻击图。