一种基于专家知识库的渗透测试风险评估方法以及模型
专利汇可以提供一种基于专家知识库的渗透测试风险评估方法以及模型专利检索，专利查询，专利分析的服务。并且本 发明 公开了一种基于专家 知识库 的渗透测试 风 险评估方法以及模型，属于渗透测试技术领域。现有的渗透方案无法对渗透测试结果信息进行全面分析， 稳定性 差、 精度 不高，不能为风险评估人员提供有效的决策支持。本发明提供一种基于专家知识库的渗透测试风险评估方法以及模型，能够发现存在的未 覆盖 风险的检测项目和与该环境相关的风险发生路径和影响范围，能够准确的评估出该次渗透测试风险评估的全面性；同时解决渗透测试风险评估活动中，评估规则相关知识库的智能化应用问题，为知识间的关联检索提供样本数据，具有辅助决策效率高、稳定性强、精度高，能有效的为风险评估人员提供决策支持。，下面是一种基于专家知识库的渗透测试风险评估方法以及模型专利的具体信息内容。
1.一种基于专家知识库的渗透测试风险评估方法，其特征在于，
其具体包括以下步骤：
S101、信息收集：通过工具对信息系统的IP地址、主机、开放端口、数据库、Web服务等信息进行收集，对评估系统的信息资产相关信息进行梳理，绘制局域网的网络拓扑，网络设备位置，以及内网防护手段和防护等级；将该信息进行保存，作为下一步知识库进行推理评估的信息；
S102、漏洞扫描：针对收集到的主机、数据库、Web系统进行漏洞探测扫描，判断目标是否存在漏洞，以及确定漏洞的级别、影响组件和相关的可以相互访问的系统；
S103、风险知识库：存储漏洞信息、错误配置以及可以导致网络攻击发生的风险的数据库，作为下一步进行风险识别的依据；
S104、评估规则：专家知识库中录入的评估风险评估的规则，用以描述评估目标风险评定的准则，判断威胁在对应的环境中是否为存在的风险；评估规则存储与数据库中，采用结构化数据查询语句进行表达；
S105、威胁关系：用以判断当某个威胁发现以后，可能影响的范围，返回结果中的威胁等级用于后续评估时的分值计算因素；
S106、评估模型：通过对收集到的多方面信息，依据信息安全风险评估的方式方法对指定的目标系统根据风险计算公式进行评估当前的系统的风险值，以及输出风险影响范围；
S107、评估报告：通过收集信息，对给定信息进行分析将最终评估的结果以报告的形式输出。
2.如权利要求1所述的一种基于专家知识库的渗透测试风险评估方法，其特征在于，所述专家知识库：用于对输入的IT资产收集信息、漏洞扫描信息进行评估，输出资产权重、漏洞权重和风险关联结果。
3.如权利要求2所述的一种基于专家知识库的渗透测试风险评估方法，其特征在于，所述专家知识库包括：
(1)基于专家经验的判断性规则；
(2)用于推理、问题求解的控制性规则；
(3)用于说明问题的状态、事实和概念，以及当前条件和常识等的数据。
4.如权利要求3所述的一种基于专家知识库的渗透测试风险评估方法，其特征在于，所述专家知识库包括多种功能模块，主要有知识查询、检索、增删、修改和扩充，专家知识库通过人机接口与领域专家相沟通，实现知识的获取。
5.如权利要求1所述的一种基于专家知识库的渗透测试风险评估方法，其特征在于，所述威胁关系是用于专家系统进行推导的一个方面的依据，采用结构化数据库进行静态存储，通过数据库检索相关威胁前置条件，返回匹配的相关威胁等级。
6.如权利要求5所述的一种基于专家知识库的渗透测试风险评估方法，其特征在于，威胁关系包括：威胁编号、威胁前置条件、威胁等级、威胁描述，在知识库查询推理中，知识库系统对该模块输入威胁前置条件，该模块返回对应的威胁数据。
7.一种基于专家知识库的渗透测试风险评估模型，其特征在于，
应用如权利要求1-6任一所述的一种基于专家知识库的渗透测试风险评估方法，其包括以下内容：
S201、资产边界：对渗透测试过程中收集到的信息进行梳理分析，分析标系统的网络边界和资产范围，形成系统资产树和大致的资产拓扑结构；
S202、资产权重：对收集到的资产进行识别判断，自动和手动对资产的权重进行标注；
S203、攻击面暴露：将渗透测试中收集到的资产信息漏洞和脆弱性信息进行归纳，梳理目标系统暴露的攻击面，计算该系统可能发生的威胁；
S204、漏洞级别：对资产进行漏洞扫描，判断资产中存在的漏洞数量和对应的漏洞等级，结合资产权重计算资产风险值，并且对有漏洞的资产进行标注；
S205、漏洞爆发周期：根据资产漏洞相关信息的爆发周期，对资产漏洞的权值进行重新计算；
S206、威胁危害：根据威胁的类型对资产的危害进行分级，给不同危害程度的威胁进行评分，输出目标系统威胁分值；
S207、风险知识库：根据漏洞信息、错误配置以及脆弱性风险数据库与目标系统的漏洞信息和资产信息进行匹配，输出目标风险点；
S208、风险关联：计算当前资产与风险知识库中存在的风险相关度，具体标示相关资产存在的风险与脆弱性；
S209、评估矩阵：通过威胁危害与风险关联信息，计算当前系统资产中威胁可利用的脆弱性，评估威胁发生的可能性与评估威胁发生的危害范围；
S210、评估结果：通过该模型最终评估的结果，包含目标风险值、资产威胁程度和受攻击范围。
一种基于专家知识库的渗透测试风险评估方法以及模型
技术领域
背景技术
发明内容
一种基于专家知识库的渗透测试风险评估方法，
其具体包括以下步骤：
S101、信息收集：通过工具对信息系统的IP地址、主机、开放端口、数据库、Web服务等信息进行收集，对评估系统的信息资产相关信息进行梳理，绘制局域网的网络拓扑，网络设备位置，以及内网防护手段和防护等级；将该信息进行保存，作为下一步知识库进行推理评估的信息；
S102、漏洞扫描：针对收集到的主机、数据库、Web系统进行漏洞探测扫描，判断目标是否存在漏洞，以及确定漏洞的级别、影响组件和相关的可以相互访问的系统；
S103、风险知识库：存储漏洞信息、错误配置以及可以导致网络攻击发生的风险的数据库，作为下一步进行风险识别的依据；
S104、评估规则：专家知识库中录入的评估风险评估的规则，用以描述评估目标风险评定的准则，判断威胁在对应的环境中是否为存在的风险；评估规则存储与数据库中，采用结构化数据查询语句进行表达，如：SELECT （风险分值） INPUT （资产信息） WHERE （漏洞信息 包含 资产组件信息 ）；
S105、威胁关系：用以判断当某个威胁发现以后，可能影响的范围，返回结果中的威胁等级用于后续评估时的分值计算因素；
S106、评估模型：通过对收集到的多方面信息，依据信息安全风险评估的方式方法对指定的目标系统根据风险计算公式进行评估当前的系统的风险值，以及输出风险影响范围；
S107、评估报告：通过收集信息，对给定信息进行分析将最终评估的结果以报告的形式输出。
(1)基于专家经验的判断性规则，例如：存在Redis未授权访问威胁分值 +5；
(2)用于推理、问题求解的控制性规则，例如：资产存在Redis中间件，存在未授权访问推导出SSH公钥文件，尝试通过SSH登录受害服务器；
(3)用于说明问题的状态、事实和概念，以及当前条件和常识等的数据。
S201、资产边界：对渗透测试过程中收集到的信息进行梳理分析，分析标系统的网络边界和资产范围，形成系统资产树和大致的资产拓扑结构；
S202、资产权重：对收集到的资产进行识别判断，自动和手动对资产的权重进行标注；
S203、攻击面暴露：将渗透测试中收集到的资产信息漏洞和脆弱性信息进行归纳，梳理目标系统暴露的攻击面，计算该系统可能发生的威胁；
S204、漏洞级别：对资产进行漏洞扫描，判断资产中存在的漏洞数量和对应的漏洞等级，结合资产权重计算资产风险值，并且对有漏洞的资产进行标注；
S205、漏洞爆发周期：根据资产漏洞相关信息的爆发周期，对资产漏洞的权值进行重新计算；
S206、威胁危害：根据威胁的类型对资产的危害进行分级，给不同危害程度的威胁进行评分，输出目标系统威胁分值；
S207、风险知识库：根据漏洞信息、错误配置以及脆弱性风险数据库与目标系统的漏洞信息和资产信息进行匹配，输出目标风险点；
S208、风险关联：计算当前资产与风险知识库中存在的风险相关度，具体标示相关资产存在的风险与脆弱性；
S209、评估矩阵：通过威胁危害与风险关联信息，计算当前系统资产中威胁可利用的脆弱性，评估威胁发生的可能性与评估威胁发生的危害范围；
S210、评估结果：通过该模型最终评估的结果，包含目标风险值、资产威胁程度和受攻击范围。
附图说明
具体实施方式
| 标题 | 发布/更新时间 | 阅读量 |
|---|---|---|
| 基于关联数据的自治数据湖构建系统及方法 | 2020-05-11 | 984 |
| 供应链金融的风险分析方法、装置、计算终端及存储介质 | 2020-05-14 | 947 |
| 基于ATT&CK的欺骗性防御系统、构建方法及全链路防御实现方法 | 2020-05-15 | 827 |
| 大数据风控管理系统 | 2020-05-08 | 562 |
| 一种基于知识图谱的漏洞知识库构建方法 | 2020-05-13 | 945 |
| 一种面向在线教育的实时反作弊检测和预警方法 | 2020-05-14 | 770 |
| 一种用于大型赛事赛时运行管理的系统及方法 | 2020-05-15 | 830 |
| 一种基于专家知识库的渗透测试风险评估方法以及模型 | 2020-05-08 | 277 |
| 一种基于知识图谱的医疗保障骗保行为发现方法 | 2020-05-12 | 166 |
| 一种油气田钻井现场智能安全管控系统 | 2020-05-14 | 855 |
高效检索全球专利专利汇是专利免费检索,专利查询,专利分析-国家发明专利查询检索分析平台，是提供专利分析，专利查询，专利检索等数据服务功能的知识产权数据服务商。
我们的产品包含105个国家的1.26亿组数据，免费查、免费专利分析。
专利汇分析报告产品可以对行业情报数据进行梳理分析，涉及维度包括行业专利基本状况分析、地域分析、技术分析、发明人分析、申请人分析、专利权人分析、失效分析、核心专利分析、法律分析、研发重点分析、企业专利处境分析、技术处境分析、专利寿命分析、企业定位分析、引证分析等超过60个分析角度，系统通过AI智能系统对图表进行解读，只需1分钟，一键生成行业专利分析报告。
