一种通用漏洞评级方法

漏洞是网络安全事件的主要根源,漏洞的大量存在及其带来的危害使漏洞评级变得尤为重要。该文分析目前著名安全机构和生产厂商对漏洞进行评级的特点,介绍通用缺陷评估系统(CVSS)及其存在的缺点,在CVSS的基础上提出一种更完善的定量评级方法CVRS,通过评估实例说明了CVRS的有效性和优越性。     

基于关联性的漏洞评估方法

为了更加有效地评估漏洞威胁, 在原有的基于关联性漏洞评估方法的基础上, 从漏洞的可利用性出发, 分析了通用漏洞评估系统（CVSS）作为漏洞可利用性评价指标的缺点。在改进CVSS评价指标的基础上, 提出了更为合理的漏洞可利用性评估体系, 并改进了原有的漏洞评估方法。该方法能够有效地挖掘漏洞自身特点, 科学地进行漏洞评估, 并通过实验验证了该方法的合理性和有效性。     

一种服务端口风险评估模型

网络漏洞评估方法用于决策漏洞的修补优先级。文章在CVSS评级系统基础上,综合攻击者获取权限,端口连接数量,漏洞历史等因素,提出一种服务端口风险评估模型,提高了漏洞评估的准确度。之后,根据风险值大小,利用访问控制对服务端口进行屏蔽,可以防范目前缺乏补丁的最新漏洞。     

CVSS环境指标变量对系统安全的影响研究

通用漏洞评分体系(CVSS)分三个层次对漏洞的威胁进行评估,特定系统的安全性反映在最终的环境分层面上。在CVSS的三组指标变量中,仅环境指标变量取决于特定组织机构、特定系统,难以自动获取,是用户实施安全风险管理和控制策略中关键的和最困难的环节。在分析CVSS计算方法基础上,研究环境指标变量对最终CVSS总分的影响,给出了环境指标向量对CVSS环境分影响的总体估计式,同时给出了环境向量各分量单独影响的估计式。实验表明,本文在CVSS环境指标变量的总体影响和分项指标影响两方面,实现了精度提升,进入了实际标准完全可接受的范围。     

面向智能汽车的信息安全漏洞评分模型

随着汽车智能化、网联化的发展,汽车中集成了越来越多的电子器件,数量庞大的硬件、固件和软件中隐藏着各种设计缺陷和漏洞,这从根本上导致了智能汽车信息安全问题。大量汽车漏洞的披露,严重影响了汽车安全,制约了智能汽车的广泛应用。漏洞管理是降低漏洞危害、改善汽车安全的有效手段。在漏洞管理流程中,漏洞评估是决定漏洞处置优先级的重要一环。但是,现有的漏洞评分系统不能合理地评估智能汽车安全漏洞。为了解决智能汽车漏洞评估不合理的问题,提出面向智能汽车的信息安全漏洞评分模型。基于通用漏洞评分系统（CVSS）漏洞评分原理,根据智能汽车的特点,优化了CVSS的攻击向量和攻击复杂度,并添加了财产安全、隐私安全、功能安全和生命安全4个指标来刻画漏洞可能对智能汽车造成的影响;结合机器学习的方法,对CVSS评分公式参数进行了调整,以使其更好地刻画智能汽车信息安全漏洞特点,适应调整后的指标权重。通过实例评估和统计系统特征分布发现,模型拥有更好的多样性和更稳定连续的特征分布,表明模型可以更好地对不同漏洞进行评分;并且基于模型评估得到的漏洞评分,应用层次分析法给出整车脆弱性评估,表征整车风险水平。所提模型相比现有模型可以更...     

基于攻击树和CVSS的网络攻击效果评估方法

为有效解决网络攻击效果评估中对指标数据的过度依赖性,提高网络攻击效果评估的准确性,提出了一种基于攻击树和CVSS的网络攻击效果评估方法 。首先,采用攻击树模型描述系统可能存在的攻击路径,并利用模糊层次分析法对各叶节点的发生概率进行求解;然后,基于CVSS漏洞信息建立网络攻击效果量化评估模型;最后,采用实例进行验证分析说明。该方法能够充分利用己有的攻击行为研究成果,评估结果较为客观,且思路清晰,算法简单,具有较强的通用性和工程应用价值。     

动静态特征结合的漏洞风险评估及缓解方法

针对如何提高漏洞风险评估的准确性进行了研究,提出一种动静态特征结合的漏洞风险评估及缓解方法。通过将传统风险评估方法中常用的来源于通用漏洞评分系统（CVSS）的攻击复杂度、影响程度、攻击向量等固定属性作为静态特征,将防御能力、漏洞修复情况、攻击者的攻击能力等随时间推移可能发生变化的属性作为动态特征,两者结合对漏洞的风险程度进行更加全面的评估。给出了在实际应用中各特征的量化计算方法,以及漏洞修复策略的推荐方法。以单个漏洞的风险评估过程和多个漏洞的风险评估结果为例,将评估结果与CVSS评分进行对比实验。结果表明该方法能结合具体的网络环境给出更加准确的漏洞风险评估结果及合理的漏洞修复策略,验证了该方法的可行性和有效性。     

基于OVAL的安卓漏洞检测评估系统

传统漏洞检测工具检测时间长,占用大量系统资源,需要对系统进行模拟攻击,难以应对越来越复杂的安卓漏洞威胁。提出了一种“C/S”架构的、基于开放漏洞评估语言(OVAL)的安卓漏洞检测评估系统。这种架构将大部分评估工作放在控制台端执行,减少了对安卓系统性能的影响,其以OVAL作为漏洞评估标准,在保证评估高精度的同时也具有更好的开放性和可扩展性。     

基于网络安全态势感知的校园网安全配置评估研究

本文提出一种基于网络安全态势感知的校园网安全配置评估模型,利用网络安全态势评估中的漏洞扫描、聚类分析和关联分析等技术对校园网中的通信设备和网络配置进行评估。通过评估发现网络安全策略的漏洞、重复布防问题并促成新的基于协同的网络策略,形成统一的、完备的校园网整体安全布防。     

改进漏洞基础评分指标权重分配方法

针对通用漏洞评分系统（CVSS）的基础评分指标权重分配过多依赖专家经验导致客观性不足的问题,提出一种漏洞威胁基础评分指标权重分配方法。首先,对评分要素的相对重要性进行排序;然后,采用指标权重组合最优搜索方法搜索权重组合方案;最后,结合灰色关联度分析方法,将基于专家经验决策的多个权重分配方案作为输入,获得权重组合方案。实验结果表明,与CVSS相比,从定量角度对比分析,所提方法评分结果分值分布比CVSS更为平缓连续,有效地避免了过多极端值的出现,并且评分分值分布的离散化更能客观有效地区分不同漏洞威胁的严重性;从定性角度对比分析,与CVSS中绝大多数漏洞（92.9%）被定为中高严重级别相比,所提方法在漏洞严重等级分配上实现了更为均衡的特征分布。     

互联网自动配置研究

互联网越来越复杂,网络设备支持的功能和服务越来越多,导致配置错误多发.配置错误已成为网络中断和异常产生的主要原因之一.互联网配置问题引起众多研究者的兴趣和重视,成为网络管理领域的一个重要研究课题.自2002年以来,研究者先后从不同角度对互联网配置问题进行了大量的研究,这些研究极大地促进了网络自动配置技术的发展.首先对互联网自动配置及配置案例进行概述;然后,按照配置自动生成、配置验证、配置自动实现这3个方面对互联网自动配置研究进行分类总结和分析评价;最后,总结了当前研究中存在的问题,并对未来研究发展趋势进行展望,希望能为该领域的研究者提供一些有益的启示.     

基于关系数据库策略驱动的网络安全评估系统

在归纳网络安全漏洞特点的基础上,提出了基于关系数据库策略驱动的漏洞探测方法,提高了网络安全评估系统的效率,增强了漏洞探测准确性,并使系统的整体分析能力大大提高,论文从原理、实现上对该方法进行了阐述,并分析了其性能。     

安全基线之网络设备配置

安全基线提供了一种自查和接受外部评估的方法和手段,网络越来越复杂,各种品牌的网络设备集成在网络中,设备要配置到什么样的程度才能达到最高程度的安全?要达到什么样的标准才能符合国家和行业的规范和标准?利用安全基线我们可以发现网络设备的安全隐患,提高网络的安全性。     

三维组态软件设计中场景快速组态及交互方法研究

针对三维组态软件三维监控场景组态困难以及人机交互复杂的问题,提出一种基于本体的三维场景快速组态方法以及分层三维交互模型。在三维组态软件设计中给监控设备模型加入语义信息,使组态过程智能化,从而使监控场景的组态更加简便,人机交互更加自然。采用分层的人机交互模型,实现了高层交互的设备无关性,有利于系统的扩展。采用以上方法增强了三维组态软件开发及使用的有效性。     

基于Web的产品配置原型系统设计与应用研究

通过对基于Web的产品功能树配置方法、产品结构树配置方法的探讨,在分析了通用的基于Web的产品配置系统程序设计中几个关键技术问题的基础上,提出了该系统的功能结构、体系结构,开发了原型系统,并以砂带磨床为对象,给出了该系统的应用示例。     

漏洞挖掘技术研究

漏洞挖掘是网络攻防技术的重要组成部分。首先介绍了漏洞的概念、漏洞的成因、漏洞的主要分类以及漏洞挖掘一般流程,然后研究了补丁分析和测试技术两种漏洞挖掘方法,重点对二进制补丁比较、白盒测试、黑盒测试等具体漏洞挖掘技术进行了分析,比较了各种漏洞挖掘技术的优缺点。     

Web网站SSL/TLS协议配置安全研究

SSL/TLS协议是目前通信安全和身份认证方面应用最为广泛的安全协议之一,对于保障信息系统的安全有着十分重要的作用.然而,由于SSL/TLS协议的复杂性,使得Web网站在实现和部署SSL/TLS协议时,很容易出现代码实现漏洞、部署配置缺陷和证书密钥管理问题等安全缺陷.这类安全问题在Web网站中经常发生,也造成了许多安全事件,影响了大批网站.因此,本文首先针对Web网站中安全检测与分析存在工具匮乏、检测内容单一、欠缺详细分析与建议等问题,设计并实现了Web网站SSL/TLS协议部署配置安全漏洞扫描分析系统,本系统主要从SSL/TLS协议基础配置、密码套件支持以及主流攻击测试三方面进行扫描分析;之后使用该检测系统对Alexa排名前100万网站进行扫描,并做了详细的统计与分析,发现了不安全密码套件3DES普遍被支持、关键扩展OCSP Stapling支持率不足25%、仍然有不少网站存在HeartBleed攻击等严重问题;最后,针对扫描结果中出现的主要问题给出了相应的解决方案或建议.     

电力调度系统组态软件的设计与实现

该文简要叙述了工业组态软件的一般思想和相应产品应用于电力调度系统的局限性,同时根据电力调度系统的特点分析了调度系统组态软件设计的一般方法,并给出了一个电力调度系统组态软件的完整设计和实现的简要方案,对实现组态软件的关键技术进行了剖析并给出了具体的解决方法。