[发明专利]一种网络安全设备的风险评估方法和装置

权利要求书

1.一种网络安全设备的风险评估方法，其特征在于，包括：

确定预定的风险库，所述风险库包括多条风险项；

提取出待评估设备中与所述风险项相关的有效配置信息，并根据有效配置信息的风险分析结果获取所述待评估设备触发的风险项；

分别分析预定的风险库中的风险项和所述待评估设备触发的风险项，采取相应的计算方法，得到所述待评估设备的安全状态值。

2.根据权利要求1所述的方法，其特征在于，在确定预定的风险库之前，还包括：

预先收集各配置类型的风险库，所述配置类型至少包括基线库和/或访问控制列表ACL库。

3.根据权利要求2所述的方法，其特征在于，分析预定的风险库中的风险项，包括：

统计预定的风险库中的风险项的总数；

采用CVSS3.0评分方法分析获取预定的风险库中的风险项的风险值；

确定预定风险库中任意两条风险项之间的关联关系，其中，触发第一条风险项必定会触发第二条风险项，且触发所述第二条风险项不会触发所述第一条风险项，则确定所述第一条风险项和第二条风险项之间存在关联。

4.根据权利要求3所述的方法，其特征在于，分析所述待评估设备触发的风险项，包括：

若预定的风险库包括访问控制列表ACL库时，分析所述待评估设备触发的每条风险项的触发次数、风险项的风险值以及风险项之间的关联关系这三者中的一个或者多个。

5.根据权利要求3所述的方法，其特征在于，分析所述待评估设备触发的风险项，包括：

若预定的风险库包括基线库时，分析所述待评估设备触发的风险项的风险值。

6.一种网络安全设备的风险评估装置，其特征在于，该装置包括：确定模块、提取模块和评估模块；

所述确定模块，设置于确定预定的风险库，所述风险库包括多条风险项的配置信息，所述配置信息包括风险项的识别码和描述内容；

所述提取模块，设置于提取出待评估设备中与所述风险项相关的有效配置信息，并根据有效配置信息的风险分析结果获取所述待评估设备触发的风险项；

所述评估模块，设置于分别分析预定的风险库中的风险项和所述待评估设备触发的风险项，采取相应的计算方法，得到所述待评估设备的安全状态值。

7.根据权利要求6所述的装置，其特征在于，还包括：预处理模块；

所述预处理模块，设置于在确定预定的风险库之前，预先收集各配置类型的风险库，所述配置类型至少包括基线库和/或访问控制列表ACL库。

8.根据权利要求7所述的装置，其特征在于，所述评估模块设置于分析预定的风险库中的风险项，是指：

所述评估模块设置于统计预定的风险库中的风险项的总数；

采用CVSS3.0评分方法分析获取预定的风险库中的风险项的风险值；

确定预定风险库中任意两条风险项之间的关联关系，其中，触发第一条风险项必定会触发第二条风险项，且触发所述第二条风险项不会触发所述第一条风险项，则确定所述第一条风险项和第二条风险项之间存在关联。

9.根据权利要求8所述的装置，其特征在于，所述评估模块设置于分析所述待评估设备触发的风险项，是指：

所述评估模块设置于若预定的风险库包括访问控制列表ACL库时，分析所述待评估设备触发的每条风险项的触发次数、风险项的风险值以及风险项与风险项的关联关系这三者中的一个或者多个。

10.根据权利要求8所述的装置，其特征在于，所述评估模块设置于分析所述待评估设备触发的风险项，是指：

所述评估模块设置于若预定的风险库包括基线库时，分析所述待评估设 备触发的风险项的风险值。