一种计算网络产品信息安全风险的评估方法技术

本发明专利技术公开了一种计算网络产品信息安全风险的评估方法，涉及自然语言处理、网络技术和信息安全领域。针对指定页面信息，利用网络爬虫从网络上抓取产品漏洞数据；从抓取的产品漏洞数据中选择部分数据作为样本数据，进行预处理；对原始的产品漏洞数据全部进行命名实体识别；利用预处理后的样本数据构建小型知识库，并采用距离监督法提取原始的产品漏洞数据中实体与实体之间的关系；根据实体对及实体与实体之间的关系，构建产品漏洞知识图谱；在建立的知识图谱上进行查询和拓展查询，实现产品漏洞的可视化操作以及产品安全风险评估。本发明专利技术为产品安全风险评估提供了快速有效的方法，为国家信息化安全提供保障，具有很高的实用性。

【技术实现步骤摘要】
一种计算网络产品信息安全风险的评估方法
本专利技术涉及自然语言处理、网络技术和信息安全领域，提出了一种计算网络产品信息安全风险的评估方法。
技术介绍
知识图谱技术是人工智能的重要组成部分，其语义处理能力与开放互联能力在智能搜索、智能问答以及个性化推荐等智能服务中产生了应用价值。知识图谱的关键技术包括知识抽取、知识表示、知识融合和知识推理，通过知识抽取技术，可以从结构化数据、半结构化数据或非结构化数据中提取出实体、关系和属性等知识要素；通过知识融合，可消除实体、关系和属性等指标项与事实对象之间的歧义，形成高质量的知识库。知识推理是在已有的知识库基础上进一步挖掘隐含的知识，从而丰富知识库。在电子商务领域，知识图谱结合推荐算法能够实现更加合适的产品推荐。在生命科学领域，针对药物的发现欧盟设立OpenPhacts项目，吸引了很多制药等巨头参加，使用知识图谱的方式加速了药物研制中的分子筛选工作。在信息检索领域，各大公司都有了自己的知识图谱产品，例如百度知心、搜狗知立方，用户的搜索请求不再局限于简单的关键词匹配，搜索将根据用户查询的情境与意图进行推理，实现概念检索。与此同时，用户的搜索结果将具有层次化和结构化等重要特征。知识图谱将庞大的数据融合成机器可以理解的知识，促进了人工智能的发展。随着网络空间的不断拓展以及“互联网+”概念在社会生活中的深入渗透，越来越多的网络产品涌现出来，用户在享受网络产品、服务带来的便利时，也在承受着其带来的各种信息安全风险。根据美国国家标准与技术局(NIST)管理的国家漏洞数据库(NVD)纪录，2017年有超过1.34万个漏洞，比2016年的漏洞记录数的2倍还多。网络具有良好的开放性与复杂性，因此网络产品遭受的攻击变幻莫测，检测和预测这些动态类型的攻击是一项充满挑战的任务。及时发现产品存在的问题对网络空间安全秩序，保障国家、用户信息财产安全至关重要。现在市场上产品种类众多，并且不断地迭代更新，每个产品都会出现大大小小的漏洞，对于厂商来说，需要根据漏洞来更新产品，同时也要统计产品信息，大量的漏洞信息管理起来比较困难。此外，防火墙已经逐渐失去原有的效果，产品安全性更加强调在某些方面可能会受到攻击，应重点研究潜在的危险。据调查，目前根据知识图谱对网络产品进行安全质量评估还处于空窗期。
技术实现思路
本专利技术针对知识图谱在产品信息安全评估方面还未展开研究，提出了一种计算网络产品信息安全风险的评估方法，对已经存在的数据进行可视化分析，通过挖掘互联网上存在的各种产品漏洞信息，利用自然语言处理的方法构建知识图谱，采用图数据库高效灵活地存储数据，进而提取目标信息进行网络产品安全风险评估，降低数据的复杂度和评估的难度。具体步骤如下：步骤一、针对指定页面信息，利用网络爬虫从网络上抓取产品漏洞数据；指定页面信息包括国家信息安全漏洞共享平台、国家信息安全漏洞库、国家计算机病毒应急处理中心、新闻媒体相关频道以及社区论坛。漏洞数据具体分类有：Web应用、安全产品、应用程序、操作系统、数据库以及网络设备；各分类对应不同URL，按类收集。漏洞数据的内容包含：漏洞标题、漏洞内容、公开日期、影响产品、详细介绍和补丁信息。步骤二、从抓取的产品漏洞数据中选择部分数据作为样本数据，进行预处理；预处理包括jieba分词和词性标注；使用jieba分词时，建立了相关词典并调用。步骤三、对抓取的原始产品漏洞数据全部进行命名实体识别；实体共命名为六类：厂商名称、产品名称、漏洞编号、漏洞时间、漏洞等级和漏洞分数。针对厂商名称和产品名称，建立厂商词典和产品词典，利用自定义词典准确地识别厂商和产品名称的实体信息。针对剩余的四项漏洞属性值实体，通过编写相应正则表达式或者实现语句抽取各自对应的实体信息。步骤四、利用预处理后的样本数据构建小型知识库，并采用距离监督法提取原始的产品漏洞数据中实体与实体之间的关系；距离监督是指：当一对实体存在某种语义关系，那么包含这对实体的所有句子都有可能包含这种关系。首先，根据样本数据中的实体建立小型知识库：父类定义为“厂商”，子类为“产品”，“产品”的子类是“漏洞”，在“漏洞”子类下添加关于漏洞的属性；共四种关系，包括产品—漏洞编号、产品—漏洞时间、产品—漏洞等级以及产品—漏洞分数。然后，将知识库映射到爬取的原始产品漏洞数据中，找出全部实体对以及包含实体对的句子，提取句子中的词性特征和短语句法树特征，并将特征转化为词向量，同时结合全部实体对一同输入到分类器中，分类器对每个实体对分别进行关系预测，输出对应的关系类别以及置信度。步骤五、根据实体对及实体与实体之间的关系，构建产品漏洞知识图谱；将实体对和实体与实体之间的关系形成三元组形式数据：{实体，关系，实体}或{实体，属性，属性值}，将提取出的实体和实体与实体之间的关系以节点和边的形式存储在Neo4j图数据库中，绘制知识图谱。图谱中节点表示实体，边表示实体与实体之间的关系；创建节点时，Neo4j自动为节点设置唯一的ID值，使用CREATE语句创建节点，通过RETURN语句返回；创建关系时，需要指定关系类型。步骤六、在建立的知识图谱上进行查询和拓展查询，实现产品漏洞的可视化操作以及产品安全风险评估。查询语言为Cypher；有增、删、改和查的基本操作；能查询所有的节点和关系并可视化；产品安全风险评估的具体过程为：针对某待查询产品，输入产品名称后，在知识图谱上查询对应的实体节点以及产品的漏洞节点；然后，针对该实体节点下的若干漏洞节点中，通过每个漏洞节点的漏洞分数属性统计该漏洞节点的最高漏洞分数；最后，根据通用漏洞评分系统判断，当产品最高漏洞分数在7-10之间，漏洞等级为高，风险值计算公式如下：q表示最高风险值；为作为基础的S型曲线函数，x表示漏洞个数；当产品最高漏洞分数在4-6.9之间，漏洞等级为中，风险值计算公式如下：当产品最高漏洞分数在0-3.9之间，漏洞等级为低，风险值计算公式如下：漏洞数量越多，风险越高，风险值逐渐接近所属等级上限但不会超出上限范围，综合分数越高，代表产品越不安全。本专利技术的优点在于：1)、一种计算网络产品信息安全风险的评估方法，本专利技术相比现有技术，现有技术对网络安全领域的知识图谱研究较少，尤其是在网络产品安全风险评估，本专利技术具有一定的创新性，通过结合自然语言处理领域，以及网络安全领域，为产品安全风险评估提供了快速有效的方法，具有很高的实用性。2)、一种计算网络产品信息安全风险的评估方法，对厂商来说，不需要人工提取产品的漏洞信息，即可对产品有一定的风险感知，及时发现新的漏洞，比人工更高效、更准确，有利于厂商更好地管理产品，为国家信息化安全提供保障。对用户来说，选择产品时不用面对杂乱无章的数据，可以从知识图谱中快速找到想要的信息，并且能直观地展示出来。3)、一种计算网络产品信息安全风险的评估方法，知识图谱以三元组的形式存储数据，支持多种形式的扩展，当出现新的数据时，不需更改原有的知识图谱，采用知识抽取和知识融合技术，直接增加新数据即可，方便快捷。附图说明图1为本专利技术一种计算网络产品信息安全风险的评估方法的原理图；图2为本专利技术一种计算网络产品信息安全风险的评估方法的流程图。图3为本专利技术采用的小型网络产品漏洞知识库图。具体实施方式为了使本专利技术能够更加清楚本文档来自技高网...

【技术保护点】
1.一种计算网络产品信息安全风险的评估方法，其特征在于，具体步骤如下：步骤一、针对指定页面信息，利用网络爬虫从网络上抓取产品漏洞数据；步骤二、从抓取的产品漏洞数据中选择部分数据作为样本数据，进行预处理；步骤三、对抓取的原始产品漏洞数据全部进行命名实体识别；所述的实体共命名为六类：厂商名称、产品名称、漏洞编号、漏洞时间、漏洞等级和漏洞分数；步骤四、利用预处理后的样本数据构建小型知识库，并采用距离监督法提取原始的产品漏洞数据中实体与实体之间的关系；首先，根据样本数据中的实体建立小型知识库：父类定义为“厂商”，子类为“产品”，“产品”的子类是“漏洞”，在“漏洞”子类下添加关于漏洞的属性；共四种关系，包括产品—漏洞编号、产品—漏洞时间、产品—漏洞等级以及产品—漏洞分数；然后，将知识库映射到爬取的原始产品漏洞数据中，找出全部实体对以及包含实体对的句子，提取句子中的词性特征和短语句法树特征，并将特征转化为词向量，同时结合全部实体对一同输入到分类器中，分类器对每个实体对分别进行关系预测，输出对应的关系类别以及置信度；步骤五、根据实体对及实体与实体之间的关系，构建产品漏洞知识图谱；将实体对和实体与实体之间的关系形成三元组形式数据：{实体，关系，实体}或{实体，属性，属性值}，将提取出的实体和实体与实体之间的关系以节点和边的形式存储在Neo4j图数据库中，绘制知识图谱；图谱中节点表示实体，边表示实体与实体之间的关系；创建节点时，Neo4j自动为节点设置唯一的ID值，使用CREATE语句创建节点，通过RETURN语句返回；创建关系时，需要指定关系类型；步骤六、在建立的知识图谱上进行查询和拓展查询，实现产品漏洞的可视化操作以及产品安全风险评估；产品安全风险评估的具体过程为：针对某待查询产品，输入产品名称后，在知识图谱上查询对应的实体节点以及产品的漏洞节点；然后，针对该实体节点下的若干漏洞节点中，通过每个漏洞节点的漏洞分数属性统计该漏洞节点的最高漏洞分数；最后，根据通用漏洞评分系统判断，当产品最高漏洞分数在7‑10之间，漏洞等级为高，风险值计算公式如下：...

【技术特征摘要】
1.一种计算网络产品信息安全风险的评估方法，其特征在于，具体步骤如下：步骤一、针对指定页面信息，利用网络爬虫从网络上抓取产品漏洞数据；步骤二、从抓取的产品漏洞数据中选择部分数据作为样本数据，进行预处理；步骤三、对抓取的原始产品漏洞数据全部进行命名实体识别；所述的实体共命名为六类：厂商名称、产品名称、漏洞编号、漏洞时间、漏洞等级和漏洞分数；步骤四、利用预处理后的样本数据构建小型知识库，并采用距离监督法提取原始的产品漏洞数据中实体与实体之间的关系；首先，根据样本数据中的实体建立小型知识库：父类定义为“厂商”，子类为“产品”，“产品”的子类是“漏洞”，在“漏洞”子类下添加关于漏洞的属性；共四种关系，包括产品—漏洞编号、产品—漏洞时间、产品—漏洞等级以及产品—漏洞分数；然后，将知识库映射到爬取的原始产品漏洞数据中，找出全部实体对以及包含实体对的句子，提取句子中的词性特征和短语句法树特征，并将特征转化为词向量，同时结合全部实体对一同输入到分类器中，分类器对每个实体对分别进行关系预测，输出对应的关系类别以及置信度；步骤五、根据实体对及实体与实体之间的关系，构建产品漏洞知识图谱；将实体对和实体与实体之间的关系形成三元组形式数据：{实体，关系，实体}或{实体，属性，属性值}，将提取出的实体和实体与实体之间的关系以节点和边的形式存储在Neo4j图数据库中，绘制知识图谱；图谱中节点表示实体，边表示实体与实体之间的关系；创建节点时，Neo4j自动为节点设置唯一的ID值，使用CREATE语句创建节点，通过RETURN语句返回；创建关系时，需要指定关系类型；步骤六、在建立的知识图谱上进行查询和拓展查询，实现产品漏洞的可视化操作以及产品安全风险评估；产品安全风险评估的具体过程为：针对某待查询产品，输入产品名称后，在知识图谱上查询对应的实体节点以及产品的漏洞节点；然后，针对该实体节点下的若干漏洞节点中，通过每个漏洞节点的漏洞分数属性统计该漏...

【专利技术属性】
技术研发人员：陆月明，赵红睿，韩道岐，
申请(专利权)人：北京邮电大学，
类型：发明
国别省市：北京,11