网络资产的安全评估方法及应用技术

本发明专利技术公开了网络资产的安全评估方法及应用，涉及网络安全信息处理技术领域。所述方法包括步骤：采集等级保护对象的网络资产结构数据，将采集后的网络资产结构数据按照物理连接关系进行关联分析后生成网络资产分布图，在所述网络资产分布图中显示各设备资产的物理位置信息和物理连接关系；采集用户对网络资产分布图中目标设备资产的选择操作，对前述目标设备资产进行安全评估后生成安全评估信息；将所述安全评估信息对应着网络资产分布图输出。本发明专利技术通过网络资产分布图将等级保护对象的资产信息可视化呈现，并基于网络资产分布图提供设备的安全评估接口，显示直观、操作简单且灵活。灵活。灵活。

【技术实现步骤摘要】
网络资产的安全评估方法及应用


[0001]本专利技术涉及网络安全信息处理
，具体涉及一种网络资产的安全评估方法及应用。

技术介绍

[0002]在互联网快速发展的今天，网络安全问题是互联网平台/系统的最大威胁之一，也是各大电子商务网站、平台系统关注的热点技术。网络资产可以包括信息系统中使用的服务器、主机、软件、系统、数据、网络安全设备等。按照资产类型主要可以分为设备资产和数据资产，所述设备资产主要是信息系统中使用的各种设备，即设备资源，比如主要可以包括主机、网络通信设备(路由器、交换机等)和网络安全设备(防火墙等)；所述数据资产是信息系统中的数据，即信息资源。网络资产作为互联网公司的重要资产，被国家纳入网络资产的保护条例中，成为互联网安全的重要保护对象。
[0003]在对网络资产进行保护时，对网络资产进行安全评估是非常重要的一环。当前，网络资产的安全评估方法主要可以基于等级保护、渗透测试、漏洞扫描、基线核查、风险评估等方法，每一种方法都有其各自特点。其中，网络安全等级保护是指对等级保护对象分等级实行安全保护。所述等级保护对象是指网络安全等级保护的对象，通常指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。等级保护对象根据其在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，由低到高被划分为五个安全保护等级。
[0004]目前，对于等级保护对象的网络资产进行安全评估时，传统做法是依据历史经验，人为地对网络资产的资产信息按等级保护的要求事项进行匹配后，根据要求事项中的要求内容来人工判断网络资产的安全性。然而，传统的网络资产评估依赖人工，管理效率低下，网络资产管理难度大，在涉及网络安全的前提下，很难具体回答“设置在哪里的设备有安全风险，有多少台设备面临安全风险，有安全风险的设备是否影响其他区域设备的安全性”这种关键而具体的问题，因为当前等级保护对象的网络资产信息数据割裂、难以有效协同，使得运维人员很难具体、快速、直观地评估等级保护对象（即信息系统）中各资产设备的安全风险。
[0005]另一方面，为了适应云计算、移动互联、物联网、工业控制和大数据等新技术、新应用情况下网络安全等级保护工作的展开，各种与等级保护相关的标准文件被公布以指导用户开展网络安全等级保护的建设整改、等级测评等工作，作为举例，比如《信息安全技术
‑
网络安全等级保护基本要求》（GB/T 22239
‑
2019）、《信息安全技术
‑
网络安全等级保护测评要求》（GB/T 28448
‑
2019）、《信息安全技术
‑
网络安全等级保护安全设计技术要求》（GB/T 25070
‑
2019）等指导文件就在我国推行网络安全等级保护制度的过程中起到了非常重要的作用，被广泛应用于各个行业或领域。然而，现有技术提供的网络资产安全评估方案中，在分析信息系统的网络资产结构数据时，缺乏资产与指导文件之间的关联性分析信息，影响
了安全评估信息的完整性。
[0006]综上所述，如何提供一种能够体现等级保护对象的整体资产分布、操作简单、灵活的安全评估方法，是当前亟需解决的技术问题。

技术实现思路

[0007]本专利技术的目的是提供一种网络资产的安全评估方法及应用，本专利技术能够通过网络资产分布图显示等级保护对象的各设备资产的物理位置信息和物理连接关系，然后根据用户选择的目标设备资产进行目标设备资产的安全评估信息，并将所述安全评估信息对应着网络资产分布图输出。本专利技术通过网络资产分布图将等级保护对象的资产信息可视化呈现，并基于网络资产分布图提供设备的安全评估接口，显示直观、操作简单且灵活。
[0008]为实现上述目标，本专利技术提供了如下技术方案：一种网络资产的安全评估方法，包括步骤：采集等级保护对象的网络资产结构数据，将采集后的网络资产结构数据按照物理连接关系进行关联分析后生成网络资产分布图，在所述网络资产分布图中显示各设备资产的物理位置信息和物理连接关系；采集用户对网络资产分布图中目标设备资产的选择操作，对前述目标设备资产进行安全评估后生成安全评估信息；将所述安全评估信息对应着网络资产分布图输出。
[0009]进一步，所述物理位置信息为三维空间坐标位置；其中，对位于不同物理区域的设备资产进行分区显示，并在网络资产分布图中显示不同物理区域之间的三维距离信息和/或行进导航信息。
[0010]进一步，对前述目标设备资产进行安全评估后生成安全评估信息的步骤为：获取目标设备资产的设备类型信息；根据所述设备类型从预设的设备测试数据库中选择与前述设备类型匹配的设备安全测试脚本；其中，所述设备测试数据库中配置有多个设备安全测试脚本，所述设备安全测试脚本与设备类型对应设置，不同类型的设备对应于不同的设备安全测试脚本；通过前述匹配的设备安全测试脚本对前述目标设备资产进行安全评估后，按照预设数据格式生成安全评估结果文件。
[0011]进一步，所述网络资产结构数据包括等级保护对象关联的事项适用列表信息，所述事项适用列表信息中显示有适用该等级保护对象的信息系统表现形式的要求事项信息，所述要求事项信息来自于与网络安全等级保护相关的标准文档；获取每个要求事项信息中涉及的设备资产，建立要求事项与设备资产的对应关系后，在前述网络资产分布图中对应着每个设备资产显示对应的要求事项信息。
[0012]进一步，在采集等级保护对象的网络资产结构数据之前还包括步骤：采集用户选择的等级保护对象，生成该等级保护对象的事项适用列表。
[0013]进一步，生成该等级保护对象的事项适用列表的步骤如下：从预设的标准数据库中获取与网络安全等级保护相关的所有标准文档，对标准文档进行文档解析以获取标准文档中记载的各等保级别的要求事项信息；对各标准文档中的要求事项进行汇总，生成各等保级别的要求事项汇总列表，不
同的等保级别对应不同的要求事项汇总列表；在要求事项汇总列表中，对应着每个要求事项标识该要求事项适用的信息系统表现形式；根据用户选择的等级保护对象，获取该等级保护对象的安全保护等级和表现形式；根据前述安全保护等级获取匹配的要求事项汇总列表后，再根据该等级保护对象的表现形式从要求事项汇总列表中提取适用前述表现形式的要求事项信息，生成该等级保护对象的事项适用列表。
[0014]进一步，获取用户或系统对事项适用列表中各要求事项设置的完成时间要求信息，在所述事项适用列表中根据完成时间要求对要求事项进行排序；以及，基于预设的时间阈值判断该要求事项是紧急处理事项还是普通处理事项，判定该要求事项为紧急处理事项时，在网络资产分布图中对应着该要求事项显示加急标识。
[0015]进一步，在网络资产分布图中设置有事项日程表选项，当用户触发前述事项日程表选项时，依据前述事项适用列表中的完成时间要求生成事项日程表，在所述事项日程表中基于各要求事项的完成本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种网络资产的安全评估方法，其特征在于包括步骤：采集等级保护对象的网络资产结构数据，将采集后的网络资产结构数据按照物理连接关系进行关联分析后生成网络资产分布图，在所述网络资产分布图中显示各设备资产的物理位置信息和物理连接关系；采集用户对网络资产分布图中目标设备资产的选择操作，对前述目标设备资产进行安全评估后生成安全评估信息；将所述安全评估信息对应着网络资产分布图输出。2.根据权利要求1所述的方法，其特征在于：所述物理位置信息为三维空间坐标位置；其中，对位于不同物理区域的设备资产进行分区显示，并在网络资产分布图中显示不同物理区域之间的三维距离信息和/或行进导航信息。3.根据权利要求1所述的方法，其特征在于，对前述目标设备资产进行安全评估后生成安全评估信息的步骤为：获取目标设备资产的设备类型信息；根据所述设备类型从预设的设备测试数据库中选择与前述设备类型匹配的设备安全测试脚本；其中，所述设备测试数据库中配置有多个设备安全测试脚本，所述设备安全测试脚本与设备类型对应设置，不同类型的设备对应于不同的设备安全测试脚本；通过前述匹配的设备安全测试脚本对前述目标设备资产进行安全评估后，按照预设数据格式生成安全评估结果文件。4.根据权利要求3所述的方法，其特征在于：所述网络资产结构数据包括等级保护对象关联的事项适用列表信息，所述事项适用列表信息中显示有适用该等级保护对象的信息系统表现形式的要求事项信息，所述要求事项信息来自于与网络安全等级保护相关的标准文档；获取每个要求事项信息中涉及的设备资产，建立要求事项与设备资产的对应关系后，在前述网络资产分布图中对应着每个设备资产显示对应的要求事项信息。5.根据权利要求4所述的方法，其特征在于，在采集等级保护对象的网络资产结构数据之前还包括步骤：采集用户选择的等级保护对象，生成该等级保护对象的事项适用列表。6.根据权利要求5所述的方法，其特征在于，生成该等级保护对象的事项适用列表的步骤如下：从预设的标准数据库中获取与网络安全等级保护相关的所有标准文档，对标准文档进行文档解析以获取标准文档中记载的各等保级别的要求事项信息；对各标准文档中的要求事项进行汇总，生成各等保级别的要求事项汇总列表，不同的等保级别对应不同的要求事项汇总列表；在要求事项汇总列表中，对应着每个要求事项标识该要求事项...

【专利技术属性】
技术研发人员：马宇尘，杨腾霄，崔政强，
申请(专利权)人：上海纽盾科技股份有限公司，
类型：发明
国别省市：