一种网络安全风险评估系统技术方案

本发明专利技术涉及网络风险评估领域，具体为一种网络安全风险评估系统，其包括服务器端和客户端；服务器端包括服务模块、资产评估标准模块、资产识别模块、资产赋值及排序模块、风险评估模块a、评估结果展示模块、现有安全手段分析模块和风险评估模块b；资产赋值及排序模块用来根据重要性对资产进行赋值，并进行排序；风险评估模块a用来对用户选取的资产进行风险评估；现有安全手段分析模块用来分析统计现有网络上设置的内部安全手段；风险评估模块b用来结合现有的安全手段得出具体资产的风险等级；客户端包括登录模块和显示模块。本发明专利技术中，能根据客户需求，对特定的资产进行风险评估，大大降低了信息风险管理预算，适用范围广。适用范围广。适用范围广。

【技术实现步骤摘要】
一种网络安全风险评估系统


[0001]本专利技术涉及网络风险评估领域，具体是一种网络安全风险评估系统。

技术介绍

[0002]网络安全风险评估可帮助组织了解、控制和减轻所有形式的网络风险。它是风险管理策略和数据保护工作的重要组成部分。现有的网络安全风险评估通常围绕资产识别、威胁识别和脆弱性识别三个方面展开，现有的安全风险评估识别资产后对资产进行赋值，再结合威胁识别和脆弱性识别得出风险排序，此种识别方式需要对所有资产进行风险评估，成本极高，但在实际过程中，企业没有无限的信息风险管理预算，导致此种风险评估方式难以运行。
[0003]授权公告号为CN112351028A的中国专利公开了一种基于网络安全风险评估系统，该系统包括控制单元、资产识别单元、资产赋值单元、威胁识别单元、威胁赋值单元、脆弱性识别单元、脆弱性赋值单元、确认单元、判断单元、损失计算单元、风险计算单元和评估单元。可进行安全数据的分类、关联、聚类、回归等大数据处理，为用户提供安全态势感知、资产安全评估、安全状况统计分析、安全预警、资源查询等功能。
[0004]但是上述已公开方案存在如下不足之处：资产识别单元对用户所有资产进行处理，后续再对所有识别的资产进行风险评估，成本巨大，无法对小范围、高风险的资产进行风险评估。

技术实现思路

[0005]本专利技术目的是针对
技术介绍
中存在的问题，提出一种能够根据客户需求对小范围、高风险的资产进行风险评估的网络安全风险评估系统。
[0006]本专利技术的技术方案：一种网络安全风险评估系统，包括服务器端和客户端；
[0007]服务器端包括服务模块、资产评估标准模块、资产识别模块、资产赋值及排序模块、风险评估模块a、评估结果展示模块、现有安全手段分析模块和风险评估模块b；
[0008]服务模块用于接收客户端的登录请求、修改参数请求、修改资产评估标准请求和执行风险评估请求；资产评估标准模块用来存储用户输入的资产评估标准；资产识别模块用来识别系统的构成元素进行资产分类和标记；资产赋值及排序模块用来根据重要性对资产进行赋值，赋值越高，资产重要性越高，并根据赋值大小进行排序；风险评估模块a用来对用户选取的资产进行风险评估，生成各项资产的网络安全风险评估报告；评估结果展示模块用来将各项资产的网络安全风险评估报告发送至客户端供用户查看；现有安全手段分析模块用来分析统计现有网络上设置的内部安全手段，内部安全手段包括入侵检测、入侵拦截、系统强制更新、病毒查杀和信息自毁；风险评估模块b用来结合现有的安全手段得出具体资产的风险等级，出具最终风险评估报告并发送至客户端供用户查看；
[0009]客户端包括登录模块和显示模块；登录模块用来向服务器端的服务模块发送用户名和密码，并请求登陆，登陆验证通过后，显示模块上分区显示风险评估参数调整区、资产
评估标准调整区和风险评估执行确认区；显示模块用来完成客户的各项操作，实现人机交互。
[0010]优选的，风险评估模块a中，风险评估手段包括漏洞评估、病毒查杀、日志告警分析和评估目标系统代理端返回的异常检测结果。
[0011]优选的，资产评估标准模块内设置资产评估参照单元，资产评估参照单元内存储众多网络已知的资产评估标准，供用户参考。
[0012]优选的，风险评估模块a中，风险评估手段还包括物理风险评估，具体包括自然灾害评估、系统故障评估、人为错误评估和对抗性威胁评估，客户端设置对应的物理风险评估模块，物理风险评估由用户填写，最终的网络安全风险评估报告结合物理风险评估得出。
[0013]优选的，现有安全手段分析模块中安全手段还包括外部安全手段，外部安全手段包括重要设备上锁和身份验证，外部安全手段由用户从客户端填入，客户端对应设置有外部安全手段填写界面。
[0014]优选的，服务器端还包括风险确认模块；风险确认模块用来向客户端发送风险确认信息，即具体资产的风险用户是否接受，对于用户接受风险的资产保持现有的安全手段，将所有用户不接受风险的资产按照最终风险评估进行排序整理并发送至客户端，提示用户制定风险处理计划。
[0015]优选的，风险评估参数调整区内包括赋值参数和百分比参数两种，赋值参数是根据资产赋值模块对资产进行的赋值选择后续对哪些资产进行风险评估，例如输入赋值参数A，即表明后续风险评估只对赋值为A或A以上的资产进行风险评估，再例如输入百分比参数B％，即表明对风险排名前B％的资产进行后续的风险评估。
[0016]优选的，风险评估执行确认区内的操作，在向服务器端发送信息表明根据设定好的参数开展后续的风险评估操作之前，需要进行二次身份验证。
[0017]与现有技术相比，本专利技术具有如下有益的技术效果：能根据客户需求，对小范围、高风险的资产进行风险评估，不需要对所有资产进行风险评估，大大降低了信息风险管理预算，便于适用于低预算的风险评估环境，适用范围广。
附图说明
[0018]图1为本专利技术一种实施例的结构示意图；
[0019]图2为网络安全风险评估方法的流程图。
具体实施方式
[0020]实施例一
[0021]如图1所示，本专利技术提出的一种网络安全风险评估系统，包括服务器端和客户端；
[0022]服务器端包括服务模块、资产评估标准模块、资产识别模块、资产赋值及排序模块、风险评估模块a、评估结果展示模块、现有安全手段分析模块和风险评估模块b；
[0023]服务模块用于接收客户端的登录请求、修改参数请求、修改资产评估标准请求和执行风险评估请求；资产评估标准模块用来存储用户输入的资产评估标准，资产评估标准模块内设置资产评估参照单元，资产评估参照单元内存储众多网络已知的资产评估标准，供用户参考；资产识别模块用来识别系统的构成元素进行资产分类和标记；资产赋值及排
序模块用来根据重要性对资产进行赋值，赋值越高，资产重要性越高，并根据赋值大小进行排序；风险评估模块a用来对用户选取的资产进行风险评估，风险评估手段包括漏洞评估、病毒查杀、日志告警分析和评估目标系统代理端返回的异常检测结果，风险评估手段还包括物理风险评估，具体包括自然灾害评估、系统故障评估、人为错误评估和对抗性威胁评估，客户端设置对应的物理风险评估模块，物理风险评估由用户填写，最终的网络安全风险评估报告结合物理风险评估得出；评估结果展示模块用来将各项资产的网络安全风险评估报告发送至客户端供用户查看；现有安全手段分析模块用来分析统计现有网络上设置的内部安全手段，内部安全手段包括入侵检测、入侵拦截、系统强制更新、病毒查杀和信息自毁，现有安全手段分析模块中安全手段还包括外部安全手段，外部安全手段包括重要设备上锁和身份验证，外部安全手段由用户从客户端填入，客户端对应设置有外部安全手段填写界面；风险评估模块b用来结合现有的安全手段得出具体资产的风险等级，出具最终风险评估报告并发送至客户端供用户查看；
[0024]客户端包括登录模块和显示模块；登录模块用来向服务器端的服务模块发送用户名和密码，并请求登陆，登陆验证通过后，本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种网络安全风险评估系统，其特征在于，包括服务器端和客户端；服务器端包括服务模块、资产评估标准模块、资产识别模块、资产赋值及排序模块、风险评估模块a、评估结果展示模块、现有安全手段分析模块和风险评估模块b；服务模块用于接收客户端的登录请求、修改参数请求、修改资产评估标准请求和执行风险评估请求；资产评估标准模块用来存储用户输入的资产评估标准；资产识别模块用来识别系统的构成元素进行资产分类和标记；资产赋值及排序模块用来根据重要性对资产进行赋值，赋值越高，资产重要性越高，并根据赋值大小进行排序；风险评估模块a用来对用户选取的资产进行风险评估，生成各项资产的网络安全风险评估报告；评估结果展示模块用来将各项资产的网络安全风险评估报告发送至客户端供用户查看；现有安全手段分析模块用来分析统计现有网络上设置的内部安全手段，内部安全手段包括入侵检测、入侵拦截、系统强制更新、病毒查杀和信息自毁；风险评估模块b用来结合现有的安全手段得出具体资产的风险等级，出具最终风险评估报告并发送至客户端供用户查看；客户端包括登录模块和显示模块；登录模块用来向服务器端的服务模块发送用户名和密码，并请求登陆，登陆验证通过后，显示模块上分区显示风险评估参数调整区、资产评估标准调整区和风险评估执行确认区；显示模块用来完成客户的各项操作，实现人机交互。2.根据权利要求1所述的网络安全风险评估系统，其特征在于，风险评估模块a中，风险评估手段包括漏洞评估、病毒查杀、日志告警分析和评估目标系统代理端返回的异常检测结果。3.根据权利要求1所述的网络安全风险评估系统，其特征在于，资产评估标准模块内设置资产评估参照单元，资...

【专利技术属性】
技术研发人员：王蓓，李勇，刘妍蕾，俞超宇，潘涛，
申请(专利权)人：内蒙古电力集团有限责任公司内蒙古电力科学研究院分公司，
类型：发明
国别省市：