專利名稱：計算機安全風險評估方法和設備的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及計算機信息安全領(lǐng)域，尤其涉及用于對計算機的安全狀況進行評估的計算機安全風險評估設備和方法。
背景技術(shù)：
對于計算機系統(tǒng)來說，由于計算機系統(tǒng)中的硬件、軟件和/或協(xié)議的具體實現(xiàn)或系統(tǒng)安全策略上存在有缺陷，可以使攻擊者在未授權(quán)的情況下訪問或破壞計算機系統(tǒng)。這些缺陷也被稱為計算機漏洞。一些處于網(wǎng)絡中的計算機由于存在漏洞而存在有網(wǎng)絡威脅。 隨著計算機網(wǎng)絡的快速發(fā)展，通過計算機網(wǎng)絡提供各種服務的計算機系統(tǒng)也越來越普及， 而這些計算機系統(tǒng)所存在的漏洞所導致的損失也就越大。目前，存在各種網(wǎng)絡漏洞掃描類產(chǎn)品，旨在從攻防角度對計算機系統(tǒng)進行漏洞掃描，以便找出計算機系統(tǒng)中脆弱或者存在漏洞的地方，以便進行安全加固。由漏洞掃描工具對計算機系統(tǒng)進行漏洞掃描時，需要對掃描結(jié)果進行分析，從而對計算機系統(tǒng)的安全風險進行評估。然而，目前的計算機系統(tǒng)風險評估方法要么是基于入侵檢測結(jié)果進行分析，要么是直接對服務器的風險進行評估。這些方法都沒有直接對系統(tǒng)的漏洞進行分析，都不能很好的反映一個計算機系統(tǒng)的安全風險情況，甚至有時候錯誤地給出了評估結(jié)果。因此，需要一種可以準確地基于漏洞分析的結(jié)果來對計算機系統(tǒng)的安全風險情況給出評估的計算機安全風險評估方方式。

發(fā)明內(nèi)容
鑒于上述問題，提出了本發(fā)明以便提供一種克服上述問題或者至少部分地解決或者減緩上述問題的漏洞檢測設備和方法。根據(jù)本發(fā)明的一個方面，提供了一種對計算機的安全風險進行評估的安全風險評估方法，包括步驟獲取計算機中存在的一個或者多個安全漏洞；根據(jù)安全漏洞的危險程度為一個或者多個安全漏洞中的每個分配風險等級，其中每個風險等級具有對應的風險等級值，且風險等級值越高，漏洞越危險；從最低的風險等級開始，逐個等級地計算每個風險等級的安全風險評估值，直到計算了計算機中的安全漏洞所具有的最高風險等級為止；以及基于最高風險等級的安全風險評估值來確定所述計算機的安全風險值，其中計算每個風險等級的安全風險評估值包括為該風險等級確定該風險等級的初始風險值，該初始風險值取決于上一風險等級的安全風險評估值和是否存在屬于該風險等級的安全漏洞；以及根據(jù)該風險等級的初始風險值來確定該風險等級的安全風險評估值，其中該風險等級的安全風險評估值還取決于屬于該風險等級的安全漏洞數(shù)量。根據(jù)本發(fā)明的另一個方面，提供了一種對計算機的安全風險進行評估的安全風險評估設備，包括漏洞獲取裝置，獲取所述計算機中存在的一個或者多個安全漏洞；漏洞分級裝置，根據(jù)安全漏洞的危險程度為所述一個或者多個安全漏洞中的每個分配風險等級， 其中每個風險等級具有對應的風險等級值，且風險等級值越高，漏洞越危險；以及主機風險確定裝置，用于根據(jù)所述一個或者多個安全漏洞以及相應的風險等級來確定所述計算機的安全風險值，該主機風險確定裝置包括初始值計算裝置，用于為某個風險等級確定該風險等級的初始風險值，該初始風險值取決于上一風險等級的安全風險評估值和是否存在屬于該風險等級的安全漏洞；等級值計算裝置，用于根據(jù)該風險等級的初始風險值來確定該風險等級的安全風險評估值，其中該風險等級的安全風險評估值還取決于屬于該風險等級的安全漏洞數(shù)量；以及主機值確定裝置，用于基于最高風險等級的安全風險評估值來確定所述計算機的安全風險值。根據(jù)本發(fā)明的方法和設備可以為目標計算機提供一個直觀且全面地反映該目標計算機的風險程度的安全風險值。由本發(fā)明的方法和設備提供的安全風險值不僅取決于漏洞的數(shù)量，而且還取決于漏洞的風險程度。具體而言，漏洞數(shù)越多，給目標計算機帶來的安全風險也越大。當存在較高級別的安全漏洞時，目標計算機系統(tǒng)的安全性受到更大的威脅， 其安全風險會較大?？偟内厔輥碚f，計算機安全風險曲線走勢是一個對數(shù)曲線。當安全漏洞數(shù)量增加到一定程度后，整個計算機就處在一個極度不安全的狀態(tài)，這個時候漏洞數(shù)的變化對計算機風險的影響就會比較小，所以漏洞數(shù)有一個極限值，計算機風險值會收斂在這個漏洞數(shù)上。收斂速度根據(jù)漏洞風險值的高低有所不同，低風險值的漏洞對漏洞利用成功和危害都比較小，需要較多的漏洞才會對系統(tǒng)有大的影響，所以收斂速度就會小。


通過閱讀下文優(yōu)選實施方式的詳細描述，各種其他的優(yōu)點和益處對于本領(lǐng)域普通技術(shù)人員將變得清楚明了。附圖僅用于示出優(yōu)選實施方式的目的，而并不認為是對本發(fā)明的限制。而且在整個附圖中，用相同的參考符號表示相同的部件。在附圖中
圖1示出了根據(jù)本發(fā)明一個實施例的安全風險評估方法； 圖2示出了根據(jù)本發(fā)明一個實施例的安全風險評估設備；
圖3示出了根據(jù)本發(fā)明一個實施例的某個安全風險等級的安全風險評估值與該風險等級中的漏洞數(shù)量的關(guān)系；以及
圖4示出了根據(jù)本發(fā)明一個實施例的計算機安全風險值和該計算機中存在的安全漏洞之間的關(guān)系。
具體實施例方式下面結(jié)合附圖和具體的實施方式對本發(fā)明作進一步的描述。圖1示出了根據(jù)本發(fā)明一個實施例的安全風險評估方法100。如圖1所示，該方法100始于步驟S110，其中盡可能多地獲取目標計算機中存在的一個或者多個安全漏洞。這可以通過目前已知的任意方式來進行，例如可以利用現(xiàn)有的安全掃描工具對目標計算機進行各種安全掃描，包含端口掃描、服務識別、操作系統(tǒng)識別等，以便盡量多的收集到目標主機存在的安全漏洞。隨后，在步驟S120中，根據(jù)安全漏洞的危險程度為所收集到的安全漏洞中的每個安全漏洞分配風險等級。可以根據(jù)漏洞利用方式、利用成功率、傳播范圍、危害程度、漏洞之間的依賴性等，來對各個安全漏洞進行評估，并給出一個風險等級。每個風險等級具有相應的風險等級值。根據(jù)本發(fā)明的一個實施例，風險等級分為10級，每個風險等級具有相應的風險等級值，即風險等級1具有風險等級值1，并以此類推，即風險等級值為范圍在1-10之間的整數(shù)。安全漏洞所處的風險等級的風險等級值越大，說明這個安全漏洞越有可能被利用，而且?guī)淼奈：Τ潭染驮酱?，對目標計算機來說安全風險就越大。目前存在有多種給安全漏洞分配風險等級的方式。例如在由NIAC開發(fā)、HRST維護的CVSS (通用弱點評價體系，http://www. first, org/cvss/cvss-guide. html)中提供了一種對安全漏洞進行風險等級分級的工業(yè)標準。在步驟S120中對目標計算機所存在的各個安全漏洞進行分級之后，在步驟 S130-170中，從最低的風險等級開始，逐個等級地計算每個風險等級的安全風險評估值，直到計算了所述計算機中的安全漏洞所具有的最高風險等級為止。具體而言，在步驟S130中，將當前要處理的安全風險等級設置為最低的安全風險等級，即將當前的安全風險等級η設置為1。隨后在步驟S140中，為當前安全風險等級確定其初始風險值Vn,μ該初始風險值取決于上一個風險等級的安全風險評估值Vlri，以及是否存在屬于該風險等級η的安全漏洞。一般而言，如果存在屬于該風險等級η的安全漏洞，初始風險值Vn,^會相對大些。另外， Vn^1越大，初始風險值Vn,C1也就越大。根據(jù)本發(fā)明的一個實施方式，首先將初始風險值Vn,^設置為η，然后如果存在屬于當前風險等級η的安全漏洞，則在該風險等級的初始風險值\’0上還加上與上一風險等級的安全風險評估值Vlri相關(guān)的一個值，一般而言，該值隨著Vlri變大而變大，但是不會超過 1，更可取的是不超過0.3?？蛇x地，根據(jù)本發(fā)明的一個實施例，根據(jù)下列等式來確定初始風險值\’0 當Ii = 1 且Nn > O吋Vnfi = η
當 η=1 且 NB=O 時:Vsj0 = O
當η > IMNn > 0且Vf1 > _ 1時Fk,。= η + ^ -ι ~ + ^ ~
an > IB-Nri > O且V, , = - I時:Vx,= η + 丄——-^―^——f
當 η > IfiNn > O 且V" = O時- Fsfi = η 當η > IMNn = ORV^1 = 0時Viifi = O
其中，Nn為在當前風險等級η中的安全漏洞數(shù)量，η為當前風險等級η的風險等級值， a和b預先設置的參數(shù)，其值與風險等級的大小相關(guān)，其中a和b的取值如下 當 n<=4 時，a=0. 1，b=l. 1 ； 當 4<n<8 時，a=0. 2，b=l. 3 ；以及當 n>=8 時，a=l，b=2。在步驟S140為當前風險等級η確定其初始風險值V一之后，在步驟S150中，基于該初始風險值Vn,^以及在當前風險等級中的安全漏洞數(shù)量凡來確定該風險等級的安全風險評估值\。如果在當前風險等級η中存在安全漏洞，即Νη>0時，則安全風險評估值Vn應該比當Nn=O時的Vn值要大。此外，當Nn=I時，將安全風險評估值Vn設置為在步驟S140中確定的初始風險值^一。隨著Nn的數(shù)量越多，Vn值也越大，但是不會達到η+1。根據(jù)本發(fā)明的一個實施例，Vn值在Nn值較小時快速增大，但是在Nn值較大時增大步伐變慢，從而逐步接近η+1，但是不會超過η+1。
7
可選地，根據(jù)本發(fā)明的一個實施例，可以根據(jù)下列等式來確定當前風險等級η的安全風險評估值Vn
當禮=OEF^1 >
κ-1
K
>
sja
V
++1
b + a
(2)
*
A,
2 -! J K.，
其中，Ai b為關(guān)于整數(shù)i的數(shù)列表達式，其定義為
2b
I 1、
b
(3)t
>1
/根據(jù)上述等式(2)，可以看出隨著在當前風險等級η中的安全漏洞數(shù)量Nn的逐步增加，Vn值就從最低值η開始逐步增大，最開始增大幅度較大，隨后增大幅度逐步減少，但是最終不會達到η+1。圖3示出了根據(jù)本發(fā)明一個實施方式的某個安全風險等級的安全風險評估值與該風險等級中的漏洞數(shù)量的關(guān)系。在圖3中，安全風險等級ri=l，橫軸為該風險等級中的漏洞數(shù)量Nn，縱軸為值Vn-I。從圖3可以看出，隨著漏洞數(shù)量Nn的增加，Vn值逐步增大，但是增大的速度逐步降低，并最終不會超過2。在步驟S150為當前風險等級η計算了安全風險評估值Vn之后，在步驟S160中， 判斷當前風險等級η是否為目標計算機中的安全漏洞所具有的最高風險等級。
如果當前風險等級η不是最高風險等級，則在步驟S170中，將當前要處理的風險等級增1。并返回到步驟S140來對該風險等級繼續(xù)進行處理。相反，如果當前風險等級η就是最高風險等級，則該方法繼續(xù)到步驟S180，其中根據(jù)最高風險等級的安全風險評估值\來確定目標計算機的安全風險值\。可選地，根據(jù)本發(fā)明的一個實施例，可以如下所述那樣來計算安全風險值Vh 當&>塒，Hi;
當f';=i時，Vh 當 <1時,Vk=O-通過上述安全風險評估方法100，可以為目標計算機給出全面反映該目標計算機可能具有的風險的評估值，即安全風險值vh，圖4給出了根據(jù)本發(fā)明一個實施例的計算機安全風險值和該計算機中存在的安全漏洞之間的關(guān)系。圖4所示的曲線，根據(jù)上述方法100 計算得到。從圖4中，縱軸代表目標計算機的安全風險值Vh的大小，橫軸代表漏洞數(shù)和安全級別的綜合變化。在圖4中，將安全級別分為1-10共10個級別，并在每個安全級別上分別以該級別具有0、2、4和6個漏洞來進行計算，并且當每個級別上的漏洞達到6個時，就增加安全級別。因此，圖4橫軸上的第一個值代表最高安全級別為1，漏洞數(shù)量為0時的安全風險值，而最后一個值代表最高安全級別為10，其每個安全級別上都有6個漏洞時的安全風險值。
-1 2 +ι3
從圖4可以看出漏洞數(shù)越多，給目標計算機帶來的安全風險也越大。當存在較高級別的安全漏洞時，目標計算機系統(tǒng)的安全性受到更大的威脅，其安全風險會較大?？偟内厔輥碚f，計算機安全風險曲線走勢是一個對數(shù)曲線。當安全漏洞數(shù)量增加到一定程度后，整個計算機就處在一個極度不安全的狀態(tài)，這個時候漏洞數(shù)的變化對計算機風險的影響就會比較小，所以漏洞數(shù)有一個極限值，計算機風險值會收斂在這個漏洞數(shù)上。收斂速度根據(jù)漏洞風險值的高低有所不同，低風險值的漏洞對漏洞利用成功和危害都比較小，需要較多的漏洞才會對系統(tǒng)有大的影響，所以收斂速度就會小。根據(jù)本發(fā)明的安全風險評估方法都正確地體現(xiàn)了這些變化。因此，當對目標計算機進行安全加固時，需要優(yōu)先對高風險的漏洞進行修復，才能將漏洞風險降低到較低的級別，這個時候計算機的風險也會隨之減少。如果只是對低風險的漏洞進行修復，計算機系統(tǒng)仍然處于不安全的狀態(tài)，所以計算機的安全風險并沒有明顯的減少。綜上，對計算機而言，安全程度取決于計算機系統(tǒng)中最脆弱的地方，遵循木桶原理，所以計算機的風險程度也是取決于風險值較高的漏洞。根據(jù)本發(fā)明的安全風險評估方法能夠客觀地體現(xiàn)出計算機的安全風險程度，最后計算得到的安全風險值給計算機風險評估帶來一個直觀的感受。圖2示出了根據(jù)本發(fā)明一個實施例的安全風險評估設備200。圖2所示的安全風險評估設備200適于執(zhí)行圖1所示的安全風險評估方法100。如圖2所示，安全風險評估設備200包括漏洞獲取裝置210，用于利用各種方法來盡可能地獲取目標計算機300中存在的安全漏洞，其適于如上述步驟SllO所述來獲取各種安全漏洞。安全風險評估設備200還包括漏洞分級裝置220，其根據(jù)安全漏洞的危險程度為漏洞獲取裝置210所獲取的每個安全漏洞分配風險等級。如上參考步驟S120所述，每個風險等級具有相應的風險等級值，安全漏洞所處的風險等級的風險等級值越大，說明這個安全漏洞越有可能被利用，而且?guī)淼奈：Τ潭染驮酱?，對目標計算機來說安全風險就越大。 漏洞分級裝置220可以如步驟S120中所述的那樣對安全漏洞進行分級。根據(jù)本發(fā)明的一個實施方式，可以利用通用弱點評價體系(CVSS)來對安全漏洞進行分級。安全風險評估設備200還包括主機風險確定裝置230，用于根據(jù)由漏洞分級裝置 220分級后的安全漏洞分布狀況，來為目標計算機300確定其安全風險值Vh。主機風險確定裝置230包括初始值計算裝置232、等級值計算裝置234以及主機值計算裝置236。主機風險確定裝置230確定目標計算機的安全漏洞所具有的最高風險等級，然后從最低風險等級開始直至最高風險等級為止，對于每個風險等級，由初始值計算裝置232來確定該風險等級的初始值Vn,^，隨后由等級值計算裝置234來計算該風險等級的安全風險評估值Vn。在確定了目標計算機中存在的安全漏洞的最高風險等級的安全風險評估值Vn之后，由主機值計算裝置236基于值Vn來計算安全風險值Vh。初始值計算裝置232適于為某個風險等級η確定該風險等級的初始風險值\’0， 該初始風險值取決于上一個風險等級的安全風險評估值Vlri和是否存在屬于該風險等級的安全漏洞。初始值計算裝置232可以如上面參考步驟S140所述的那樣來計算初始風險值 Vn, 0。等級值計算裝置234適于根據(jù)該風險等級η的初始風險值\0來確定該風險等級的安全風險評估值Vn，其中該風險等級的安全風險評估值還取決于屬于該風險等級的安全漏洞數(shù)量Nn。具體而言，等級值計算裝置234還可以如上面參考步驟S150所具體陳述的那樣來計算該風險等級η的安全風險評估值Vn。主機風險值確定裝置236適于基于目標計算機300所具有的最高風險等級的安全風險評估值來確定安全風險值Vh。具體而言，主機風險值確定裝置236可以如上面參考步驟S180所述的那樣來確定安全風險值Vh。應當注意的是，在本發(fā)明的安全風險評估設備200的各個部件中，根據(jù)其要實現(xiàn)的功能而對其中的部件進行了邏輯劃分，但是，本發(fā)明不受限于此，可以根據(jù)需要對各個部件進行重新劃分或者組合，例如，可以將一些部件組合為單個部件，或者可以將一些部件進一步分解為更多的子部件。本發(fā)明的各個部件實施例可以以硬件實現(xiàn)，或者以在一個或者多個處理器上運行的軟件模塊實現(xiàn)，或者以它們的組合實現(xiàn)。本領(lǐng)域的技術(shù)人員應當理解，可以在實踐中使用微處理器或者數(shù)字信號處理器(DSP )來實現(xiàn)根據(jù)本發(fā)明實施例的安全風險評估設備中的一些或者全部部件的一些或者全部功能。本發(fā)明還可以實現(xiàn)為用于執(zhí)行這里所描述的方法的一部分或者全部的設備或者裝置程序(例如，計算機程序和計算機程序產(chǎn)品)。這樣的實現(xiàn)本發(fā)明的程序可以存儲在計算機可讀介質(zhì)上，或者可以具有一個或者多個信號的形式。這樣的信號可以從因特網(wǎng)網(wǎng)站上下載得到，或者在載體信號上提供，或者以任何其他形式提 {共。應該注意的是上述實施例對本發(fā)明進行說明而不是對本發(fā)明進行限制，并且本領(lǐng)域技術(shù)人員在不脫離所附權(quán)利要求的范圍的情況下可設計出替換實施例。在權(quán)利要求中， 不應將位于括號之間的任何參考符號構(gòu)造成對權(quán)利要求的限制。單詞“包含”不排除存在未列在權(quán)利要求中的元件或步驟。位于元件之前的單詞“一”或“一個”不排除存在多個這樣的元件。本發(fā)明可以借助于包括有若干不同元件的硬件以及借助于適當編程的計算機來實現(xiàn)。在列舉了若干裝置的單元權(quán)利要求中，這些裝置中的若干個可以是通過同一個硬件項來具體體現(xiàn)。單詞第一、第二、以及第三等的使用不表示任何順序?？蓪⑦@些單詞解釋為名稱。
權(quán)利要求
1.一種對計算機的安全風險進行評估的安全風險評估方法，包括步驟 獲取所述計算機中存在的一個或者多個安全漏洞；根據(jù)安全漏洞的危險程度為所述一個或者多個安全漏洞中的每個分配風險等級(n)， 其中每個風險等級具有對應的風險等級值，且風險等級值越高，漏洞越危險；從最低的風險等級開始，逐個等級地計算每個風險等級的安全風險評估值(Vn)，直到計算了所述計算機中的安全漏洞所具有的最高風險等級為止；以及基于所述最高風險等級的安全風險評估值來確定所述計算機的安全風險值(\)， 其中所述計算每個風險等級的安全風險評估值(Vn)包括為該風險等級確定該風險等級的初始風險值(V")，該初始風險值取決于上一風險等級的安全風險評估值(Vlri)和是否存在屬于該風險等級的安全漏洞；以及根據(jù)該風險等級的初始風險值(Vn, J來確定該風險等級的安全風險評估值(Vn)，其中該風險等級的安全風險評估值還取決于屬于該風險等級的安全漏洞數(shù)量(Nn)。
2.如權(quán)利要求1所述的安全風險評估方法，其中所述為風險等級確定該風險等級的初始風險值(Vn, J的步驟包括將該風險等級的初始風險值(V")設置為與該風險等級相對應的風險等級值(η)； 如果存在屬于該風險等級的安全漏洞數(shù)量，則該風險等級的初始風險值(V")還包括與上一風險等級的安全風險評估值Vlri相關(guān)的第一值，其中所述安全風險評估值Vlri越大， 所述初始風險值Vn,ο也越大，但是不會超過η+1。
3.如權(quán)利要求1或者2所述的安全風險評估方法，其中根據(jù)該風險等級的初始風險值 (Vn,0)來確定該風險等級的該風險等級的安全風險評估值(Vn)包括如果該風險等級的安全漏洞數(shù)量(Nn)為零，則將該風險等級的安全風險評估值(Vn)設置為與該風險等級相對應的風險等級值(η)和與上一風險等級的安全風險評估值(Vlri)相關(guān)的第二值之和，其中所述第二值隨著上一風險等級的安全風險評估值(Vlri)的增大而增大，但是不會超過1 ；如果該風險等級的安全漏洞數(shù)量(Nn)為1個，則將該風險等級的安全風險評估值(Vn) 設置為該風險等級的初始風險值(Vn, J ；以及如果該風險等級的安全漏洞數(shù)量(Nn)不止1個，則將該風險等級的安全風險評估值 (Vn)設置為與該風險等級的初始風險值(V")和該風險等級的安全漏洞數(shù)量(Nn)相關(guān)聯(lián)的第三值，其中安全漏洞數(shù)量(Nn)越多，該第三值越接近與下一個風險等級相對應的風險等級值(η+1)，但是不會超過η+1。
4.如權(quán)利要求1-3中的任一個所述的安全風險評估方法，其中當該上一風險等級的安全風險評估值(Vlri)等于與上一風險等級相對應的風險等級值 (η-1)時，所述第一值被設置為( -1)2 2 *(3 +1 + α)；以及當該上一風險等級的安全風險評估值(Vlri)大于與上一風險等級相對應的風險等級值(η-1)時，所述第一值被設置為
5.如權(quán)利要求4所述的安全風險評估方法，其中所述第二值被設置為
6.如權(quán)利要求5所述的安全風險評估方法，其中所述基于所述最高風險等級的安全風險評估值來確定所述計算機的安全風險值Vh包括Vh=Vn-I。
7.如權(quán)利要求1-6中的任一個所述的安全風險評估方法，其中所述獲取所述計算機中存在的一個或者多個安全漏洞的步驟包括通過以下方式中的一個或者多個來獲取所述計算機中存在的一個或者多個安全漏洞 對所述計算機進行端口掃描、服務識別和操作系統(tǒng)識別。
8.如權(quán)利要求1-7中的任一個所述的安全風險評估方法，其中為所述一個或者多個安全漏洞中的每個分配風險等級(η)包括根據(jù)安全漏洞的漏洞利用方式、利用成功率、傳播范圍、危害程度和漏洞之間的依賴性中的一個或者多個來為該安全漏洞分配風險等級。
9.如權(quán)利要求8所述的安全風險評估方法，其中為所述一個或者多個安全漏洞中的每個分配風險等級(η)包括根據(jù)通用弱點評價體系來為每個安全漏洞分配風險等級(η)。
10.一種對計算機的安全風險進行評估的安全風險評估設備，包括漏洞獲取裝置，獲取所述計算機中存在的一個或者多個安全漏洞；漏洞分級裝置，根據(jù)安全漏洞的危險程度為所述一個或者多個安全漏洞中的每個分配風險等級(η)，其中每個風險等級具有對應的風險等級值，且風險等級值越高，漏洞越危險； 以及主機風險確定裝置，用于根據(jù)所述一個或者多個安全漏洞以及相應的風險等級來確定所述計算機的安全風險值，該主機風險確定裝置包括初始值計算裝置，用于為某個風險等級確定該風險等級的初始風險值(V")，該初始風險值取決于上一風險等級的安全風險評估值(Vlri)和是否存在屬于該風險等級的安全漏洞；等級值計算裝置，用于根據(jù)該風險等級的初始風險值(Vn, J來確定該風險等級的安全風險評估值(Vn)，其中該風險等級的安全風險評估值還取決于屬于該風險等級的安全漏洞數(shù)量(Nn);以及主機值確定裝置，用于基于最高風險等級的安全風險評估值來確定所述計算機的安全風險值(Vh)。
全文摘要
本發(fā)明公開了對計算機的安全風險進行評估的安全風險評估方法，包括步驟獲取計算機中存在的一個或者多個安全漏洞；根據(jù)安全漏洞的危險程度為每個安全漏洞分配風險等級；逐個等級地計算每個風險等級的安全風險評估值，直到計算了計算機中的安全漏洞所具有的最高風險等級為止；以及基于最高風險等級的安全風險評估值來確定所述計算機的安全風險值。本發(fā)明還公開了用于執(zhí)行安全風險評估方法的安全風險評估設備。
文檔編號G06F21/00GK102354355SQ20111029299
公開日2012年2月15日 申請日期2011年9月30日 優(yōu)先權(quán)日2011年9月30日
發(fā)明者張增駿 申請人:北京神州綠盟信息安全科技股份有限公司