一种网络安全状态的判断与保护方法技术

本发明专利技术提供一种网络安全状态的判断与保护方法，通过确定网络的安全基准线值及网络安全状态的度量指标的初始权重值；检测安全威胁事件及调整度量指标的权重值；判断安全威胁事件是否消除；减小网络状态度量计算结果与安全基准线值间的差值。本发明专利技术提出的方法能够动态地进行在线更新，并明确网络安全态势感知中度量指标计算结果值的物理含义；使得网络安全态势感知结果能迅速反映出当前网络的安全问题；当安全威胁事件消除后，保证了态势感知结果的一致性；当网络未检测出安全威胁，网络安全态势感知计算结果趋近于安全基准线值，从而让度量指标的计算结果值更贴近网络实际情形，有效且客观地反映出当前网络的整体安全状态。

Method for judging and protecting network security state

The present invention provides a method for judging and protection of network security, by determining the initial weight measure of security baseline value of network and network security status and the value of the weight; detect security threats and adjust the event metrics; determine whether security events eliminate; decrease difference of network state metric calculation results and safety standards the value of the line. The method of the invention can be dynamically updated on-line, and a clear measure of network security situation awareness in the physical meaning of the value of the calculation results; the results of network security situation awareness can quickly reflect the current security issues of network security threats; when the event is eliminated, ensure the consistency of the results of the situational awareness; when the network is not detected security threats, network security situation awareness results are approaching the security baseline value, so that the calculation results of measurement index is close to the actual network situation, effectively and objectively reflect the overall state of the current network security.

【技术实现步骤摘要】
一种网络安全状态的判断与保护方法
本专利技术涉及网络安全与管理领域，具体涉及一种网络安全状态的判断与保护方法。
技术介绍
随着计算机、通信等信息技术的快速发展，Internet在全球日益普及，已应用到人们工作、学习和生活的方方面面。到2013年底，Internet已经覆盖全球近40％的人口，用户数达到了27亿，在中国，网民数量也快速发展到6.18亿。其应用也在快速增长，其中电子商务、社交网络的发展进一步促进了Internet的繁荣。然而，随着Internet的广泛应用，其安全问题也日益凸显。那些网络攻击者、黑客们在追逐利益、报复、破坏等心理的驱动下，针对计算机网络系统的漏洞和脆弱环节，采用各种各样的攻击手段，窃取、篡改和删除网络数据，破坏系统的可用性，造成系统瘫痪，等等。面对当前严重的网络安全威胁，传统的安全防护手段，如入侵检测、防火墙以及用户认证等，虽然从一定程度上提高了网络的安全性，但是这些技术相互孤立，彼此之间没有有效的统一管理调度机制，不能互相支撑、协同工作，使其安全防护没有针对性，其防护功能也未得到充分发挥。因此，需要网络安全管理员对整个网络的安全状况有一个全局的把握，实现对网络安全事件的预警，并以此来进行决策，实施具体的安全防护措施。而如何评估网络的总体安全状况，可采用网络安全态势感知技术。网络安全态势感知是实时地监测网络安全状态，快速准确地做出安全状态评判，并能利用网络安全属性的历史记录，以多角度、多尺度的可视化方式，为用户提供一个准确直观的网络安全态势走向图。现有关于网络安全态势感知的研究成果和实际系统大多数采用层次化的指标体系和指标加权的评估模型。其中，指标权重参数的选择对网络安全态势感知结果准确与否有着重大影响。现有的指标权重参数选取方法可以分为以下三种：(1)专家人为地根据各指标体系的重要程度进行打分，最后根据打分值来确定指标的加权参数，在实际应用中缺乏灵活性，无法准确反映出当前的网络环境状态；(2)根据通用漏洞评分系统确定指标体系的权重值，该方法只适用于安全漏洞相关的指标体系，对于网络异常、攻击事件等指标体系的权重无法确定；(3)依据攻击图谱，由易受攻击的脆弱程度来确定指标体系的权重值，但现有的攻击图谱建立方法只适用于小规模网络，因此,如何快速高效地建立大规模网络的攻击图谱目前是一个挑战。
技术实现思路
有鉴于此，本专利技术提供一种网络安全状态的判断与保护方法，该方法能够动态地进行在线更新，并明确网络安全态势感知中度量指标计算结果值的物理含义；使得网络安全态势感知结果能迅速反映出当前网络的安全问题；当安全威胁事件消除后，相应度量指标的权重值恢复至原始值，保证了态势感知结果的一致性；当网络未检测出安全威胁，整体运行正常时，网络安全态势感知计算结果趋近于安全基准线值，从而让度量指标的计算结果值更贴近网络实际情形，有效且客观地反映出当前网络的整体安全状态。本专利技术的目的是通过以下技术方案实现的：一种网络安全状态的判断与保护方法，所述方法包括如下步骤：步骤1.确定网络的安全基准线值；步骤2.确定所述网络安全状态的度量指标的初始权重值；步骤3.检测所述网络是否存发生安全威胁事件；若是，则进入步骤4；若否，则判断所述网络运行正常，并进入步骤6；步骤4.记录所述安全威胁事件的参数值，并调整相应的所述度量指标的权重值；进入步骤5；步骤5.判断所述安全威胁事件是否消除；若是，则将所述度量指标的权重值恢复为调整前的原始数值，进入步骤6；若否，则返回步骤4；步骤6.调整所述度量指标的权重值，减小所述网络状态度量计算结果与安全基准线值间的差值。优选的，所述步骤1包括：1-1.记录网络在记录时间段T内正常运行的天数A，且T>A；1-2.根据网络态势感知计算结果的最大值为N及最小值为M，得到网络安全态势感知计算的结果区间[M，N]；确定在结果区间[M，N]中的网络态势感知计算结果值Q；1-3.判断所述结果值Q是否满足若是，则确定网络的所述安全基准线值L为：若否，则确定网络的所述安全基准线值L为：优选的，所述步骤2包括：2-1.构造由矩阵元素aij构成的所述网络安全状态的度量指标的判断矩阵B，所述矩阵元素aij为指标ai对指标aj的相对重要性数值，即判断矩阵B中第i行第j列的元素值；2-2.计算所述判断矩阵B中每行的各个元素乘积的n次方根值vi：2-3.归一化向量V＝(v1,v2,…,vn)T，得到最大特征值对应的特征向量、即所述网络安全状态的度量指标的初始权重值集W：W＝(w1,w2,…,wn)T(4)式(4)中，wi为第i个被比较元素对于准则的相对权重，且2-4.进行一致性检验，确定所述判断矩阵B的最大特征值λmax：2-5.根据最大特征值λmax，分别确定一致性指标CI和一致性比例CR：式(6)中，RI为平均随机一致性指标标准值；2-6.根据RI对所述网络安全状态的度量指标进行一致性检验，合格的度量指标ai进入步骤3，不合格的度量指标返回步骤2-1。优选的，所述步骤4包括：4-1.记录所述安全威胁事件的参数值，所述参数值包括威胁内容、威胁源头、威胁对象及检测时间tai的值；其中，所述安全威胁事件与网络安全态势感知的指标一一对应；所述安全威胁事件包括网络攻击事件、病毒木马检测事件、网络流量吞吐量异常事件、网络拓扑异常事件及主机漏洞事件；4-2.根据所述威胁内容及威胁对象，得到所述安全威胁事件的威胁严重程度dai；4-3.判断所述结果值Q是否满足若是，则调整所述安全威胁事件直接对应的度量指标ai的现有权重值wo(ai)为新权重值wn(ai)：wn(ai)＝wo(ai)-(tc-tai)*dai(8)若否，则调整所述安全威胁事件直接对应的度量指标ai的现有权重值wo(ai)为新权重值wn(ai)：wn(ai)＝wo(ai)-(tc-tai)*dai(9)式(8)和(9)中，tc为更新权重的系统的当前时间，且tc>tai；4-4.计算权重调整后的差值Δw(ai)：w(ai)＝wn(ai)-wo(ai)(10)若多次权重调整差值的累计和|ΣΔw(ai)超过设定的阈值thw，则进入步骤4-5；若多次权重调整差值的累计和|ΣΔw(ai)未超过设定的阈值thw，则进入步骤5；4-5.调整上一级指标的现有权重判断所述结果值Q是否满足若是，则上一级指标的新的权重为：若否，则上一级指标的新的权重为：式(11)和(12)中，λ为调整的幅度乘积因子，其值由网络管理人员配置；若指标的权重调整差值的累计和超过设定的阈值thw，使用步骤3-4中计算方法调整其上一级指标，以此类推，直至最上层指标；进入步骤5。优选的，所述4-2包括：根据所述威胁内容及威胁对象统计所述安全威胁事件发生的次数n；根据通用漏洞评分系统确定所述威胁内容对应的评分分数c；根据网络资产重要性评估方法，确定威胁对象的重要性的分值z；得到所述安全威胁事件的威胁严重程度dai为：dai＝e-(n*c*z)(7)。优选的，所述步骤5包括：5-1.统计度量指标对应的权重调整的最大差值Δwmax(ai)；5-2.判断所述度量指标ai对应的安全威胁事件是否已全部消除；若是，则将所述度量指标的权重值恢复为调整前的原始数值，进入步骤6；若否，则所述度量指标的权重本文档来自技高网...

【技术保护点】
一种网络安全状态的判断与保护方法，其特征在于，所述方法包括如下步骤：步骤1.确定网络的安全基准线值；步骤2.确定所述网络安全状态的度量指标的初始权重值；步骤3.检测所述网络是否存发生安全威胁事件；若是，则进入步骤4；若否，则判断所述网络运行正常，并进入步骤6；步骤4.记录所述安全威胁事件的参数值，并调整相应的所述度量指标的权重值；进入步骤5；步骤5.判断所述安全威胁事件是否消除；若是，则将所述度量指标的权重值恢复为调整前的原始数值，进入步骤6；若否，则返回步骤4；步骤6.调整所述度量指标的权重值，减小所述网络状态度量计算结果与安全基准线值间的差值。

【技术特征摘要】
1.一种网络安全状态的判断与保护方法，其特征在于，所述方法包括如下步骤：步骤1.确定网络的安全基准线值；步骤2.确定所述网络安全状态的度量指标的初始权重值；步骤3.检测所述网络是否存发生安全威胁事件；若是，则进入步骤4；若否，则判断所述网络运行正常，并进入步骤6；步骤4.记录所述安全威胁事件的参数值，并调整相应的所述度量指标的权重值；进入步骤5；步骤5.判断所述安全威胁事件是否消除；若是，则将所述度量指标的权重值恢复为调整前的原始数值，进入步骤6；若否，则返回步骤4；步骤6.调整所述度量指标的权重值，减小所述网络状态度量计算结果与安全基准线值间的差值。2.如权利要求1所述的方法，其特征在于，所述步骤1包括：1-1.记录网络在记录时间段T内正常运行的天数A，且T>A；1-2.根据网络态势感知计算结果的最大值为N及最小值为M，得到网络安全态势感知计算的结果区间[M，N]；确定在结果区间[M，N]中的网络态势感知计算结果值Q；1-3.判断所述结果值Q是否满足若是，则确定网络的所述安全基准线值L为：若否，则确定网络的所述安全基准线值L为：3.如权利要求2所述的方法，其特征在于，所述步骤2包括：2-1.构造由矩阵元素aij构成的所述网络安全状态的度量指标的判断矩阵B，所述矩阵元素aij为指标ai对指标aj的相对重要性数值，即判断矩阵B中第i行第j列的元素值；2-2.计算所述判断矩阵B中每行的各个元素乘积的n次方根值vi：2-3.归一化向量V＝(v1,v2,…,vn)T，得到最大特征值对应的特征向量、即所述网络安全状态的度量指标的初始权重值集W：W＝(w1,w2,…,wn)T(4)式(4)中，wi为第i个被比较元素对于准则的相对权重，且2-4.进行一致性检验，确定所述判断矩阵B的最大特征值λmax：2-5.根据最大特征值λmax，分别确定一致性指标CI和一致性比例CR：式(6)中，RI为平均随机一致性指标标准值；2-6.根据RI对所述网络安全状态的度量指标进行一致性检验，合格的度量指标ai进入步骤3，不合格的度量指标返回步骤2-1。4.如权利要求3所述的方法，其特征在于，所述步骤4包括：4-1.记录所述安全威胁事件的参数值，所述参数值包括威胁内容、威胁源头、威胁对象及检测时间tai的值；其中，所述安全威胁事件与网络安全态势感知的指标一一对应；所述安全威胁事件包括网络攻击事件、病毒木马检测事件、网络流量吞吐量异常事件、网络拓扑异常事件及主机漏洞事件；4-2.根据所述威胁内容及威胁对象，得到所述安全威胁事件的威胁严重程度dai；4-3.判断所述结果值Q是否满足若是，则调整所述安全威胁事件直接对应的度量指标ai的现有权重值wo(ai)为新权重值wn(ai)：w...

【专利技术属性】
技术研发人员：何高峰，马媛媛，张涛，戴造建，费稼轩，黄秀丽，陈璐，管小娟，华晔，
申请(专利权)人：国网智能电网研究院，江苏省电力公司，国家电网公司，
类型：发明
国别省市：北京,11