网络安全能力评价方法、装置、设备、介质及程序产品与流程

本发明涉及网络与信息安全，特别是涉及一种网络安全能力评价方法、一种网络安全能力评价装置、一种电子设备以及一种计算机可读存储介质。

背景技术：

1、网络安全能力评价是企业掌握自身安全运营水平、指导安全建设投入的重要依据。其中，在实际应用中，评价过程需要综合管理行为、运营行为、技术防护数据、安全日志、漏洞处置记录以及攻防演练结果等多维度信息，通过设定评价指标并赋予相应权重，最终形成对整体安全能力的量化评估结论。目前，业界普遍采用层次分析法、模糊综合评价法等经典方法构建评价体系，由专家预先确定各指标的权重值，再结合采集到的运营数据进行评分计算。

2、然而，在上述过程中，第一，相关评价体系中的指标权重一经人工设定即保持固定，无法根据实际安全运营过程中持续积累的正向与负向结果数据进行自适应修正。当安全态势发生变化或运营策略调整后，静态权重难以反映各指标对当前安全能力的真实贡献程度，导致评价结果与实际安全运营状况之间产生滞后性偏差。第二，相关评价方法在面对来自多个渠道、多种类型的异构行为数据时，采用统一的融合策略，难以根据证据的强弱或重要程度进行适应性区分与加权处理，致使低频但具有关键指示意义的安全事件信号容易被淹没，评价结果对实际安全能力变化的敏感度和区分度不足。

技术实现思路

1、本发明实施例是提供一种网络安全能力评价方法、装置、设备、介质及程序产品，以解决或部分解决网络安全能力评价过程中指标权重无法随实际运营数据自适应更新，以及多源证据融合时缺乏对弱信号与关键证据的差异化处理，导致评价结果滞后且区分度不足的问题。

2、本发明实施例公开了一种网络安全能力评价方法，包括：

3、获取多个评价指标对应的多周期观测数据，以及每个所述评价指标对应的证据数据；

4、根据所述多周期观测数据，更新所述评价指标在评价体系中的权重值；

5、构建包含所述证据数据的证据矩阵，并确定各个所述评价指标在所述证据矩阵中的第一证据值和第二证据值，根据所述权重值、所述第一证据值以及所述第二证据值进行加权融合计算，获得所述评价指标的安全能力评分；

6、基于各个所述评价指标的安全能力评分，生成网络安全能力评价结果。

7、在一些可行的实现方式中，所述多周期观测数据包括各个所述评价指标在多个历史周期中的历史正向结果次数和历史负向结果次数，所述根据所述多周期观测数据，更新所述评价指标在评价体系中的权重值，包括：

8、根据所述历史正向结果次数以及所述历史负向结果次数，确定各所述评价指标的先验概率分布参数；

9、采集各所述评价指标在当前评价周期内的目标正向结果次数和目标负向结果次数，作为当前周期观测数据；

10、根据所述先验概率分布参数与所述当前周期观测数据，生成后验概率分布；

11、根据所述后验概率分布的特征值，确定各所述评价指标的权重值。

12、在一些可行的实现方式中，所述根据所述历史正向结果次数以及所述历史负向结果次数，确定各所述评价指标的先验概率分布参数，包括：

13、将各个所述评价指标在多个所述历史周期中的历史正向结果次数之和，作为先验正向次数，并将各个所述评价指标在多个所述历史周期中的历史负向结果次数之和，作为先验负向次数；

14、将所述先验正向次数与所述先验负向次数组合为各所述评价指标的先验概率分布参数。

15、在一些可行的实现方式中，所述根据所述先验概率分布参数与所述当前周期观测数据，生成后验概率分布，包括：

16、将所述先验正向次数与当前周期采集的目标正向结果次数之和作为后验正向次数，并将所述先验负向次数与当前周期采集的负向结果次数之和作为后验负向次数；

17、将所述后验正向次数与所述后验负向次数组合为对应的后验概率分布。

18、在一些可行的实现方式中，所述根据所述后验概率分布的特征值，确定各所述评价指标的权重值，包括：

19、计算所述后验概率分布对应的期望值；

20、将所述期望值作为各个所述评价指标的权重值。

21、在一些可行的实现方式中，所述证据数据包括管理行为数据、运营行为数据、技术防护数据、安全日志数据、漏洞处置数据和攻防演练结果数据中的至少两种。

22、在一些可行的实现方式中，所述构建包含所述证据数据的证据矩阵，包括：

23、获取所述证据数据的证据来源；

24、获取所述评价指标在所述证据来源下的量化值；

25、由各所述评价指标在所述证据来源下的量化值构建对应的证据矩阵；

26、其中，所述证据矩阵的每一行对应于一个所述评价指标，每一列对应于一个所述证据来源。

27、在一些可行的实现方式中，所述确定各个所述评价指标在所述证据矩阵中的第一证据值和第二证据值，包括：

28、从所述证据矩阵中提取各所述评价指标对应的证据向量，所述证据向量包含所述评价指标在所述证据来源下的量化值；

29、将所述证据向量中的最大值作为第一证据值，并将所述证据向量中的最小值作为第二证据值。

30、在一些可行的实现方式中，所述根据所述权重值、所述第一证据值以及所述第二证据值进行加权融合计算，获得所述评价指标的安全能力评分，包括：

31、获取第一调节参数以及第二调节参数；

32、计算所述第一证据值的所述第一调节参数次幂与所述第二证据值的所述第二调节参数次幂的乘积；

33、将所述乘积与所述评价指标对应的所述权重值相乘，得到所述评价指标的安全能力评分。

34、在一些可行的实现方式中，所述获取第一调节参数和第二调节参数，包括：

35、提取所述证据矩阵的特征参数，所述特征参数包括证据冲突度、证据覆盖率和数据新鲜度中的至少一种；

36、根据所述证据冲突度确定第一初始值，所述第一初始值与所述证据冲突度负相关；

37、根据所述证据覆盖率和所述数据新鲜度确定第二初始值，所述第二初始值与所述证据覆盖率和所述数据新鲜度正相关；

38、将所述第一初始值作为第一调节参数，并将所述第二初始值作为第二调节参数。

39、在一些可行的实现方式中，所述根据所述证据冲突度确定第一初始值，包括：

40、计算第一预设值与所述证据冲突度之间的和值，将所述和值的倒数作为第一初始值；

41、其中，所述根据所述证据覆盖率和所述数据新鲜度确定第二初始值，包括：

42、计算以自然常数为底、指数为负的预设衰减系数与所述数据新鲜度之间的乘积的指数幂，并将所述证据覆盖率与所述指数幂的乘积作为第二初始值。

43、在一些可行的实现方式中，所述将所述第一初始值作为第一调节参数，并将所述第二初始值作为第二调节参数，包括：

44、以所述特征参数作为输入特征，对所述第一初始值和所述第二初始值进行微调，将微调后的第一初始值作为第一调节参数、以及将微调后的第二初始值作为第二调节参数。

45、在一些可行的实现方式中，所述对所述第一初始值和所述第二初始值进行微调，将微调后的第一初始值作为第一调节参数、以及将微调后的第二初始值作为第二调节参数，包括：

46、以历史评价周期中的所述特征参数作为训练样本，以所述历史评价周期中人工标注的调节参数或标准评价结果所对应的调节参数作为标签进行训练，获得训练好的机器学习模型；

47、将当前评价周期的所述特征参数输入训练好的机器学习模型中进行调整，获得针对所述第一初始值的第一调整量以及针对所述第二初始值的第二调整量；

48、将所述第一初始值与所述第一调整量之和作为第一调节参数，将所述第二初始值与所述第二调整量之和作为第二调节参数。

49、本发明实施例还公开了一种网络安全能力评价装置，包括：

50、数据获取模块，用于获取多个评价指标对应的多周期观测数据，以及每个所述评价指标对应的证据数据；

51、权重更新模块，用于根据所述多周期观测数据，更新所述评价指标在评价体系中的权重值；

52、评价模块，用于构建包含所述证据数据的证据矩阵，并确定各个所述评价指标在所述证据矩阵中的第一证据值和第二证据值，根据所述权重值、所述第一证据值以及所述第二证据值进行加权融合计算，获得所述评价指标的安全能力评分；

53、结果生成模块，用于基于各个所述评价指标的安全能力评分，生成网络安全能力评价结果。

54、在一些可行的实现方式中，所述多周期观测数据包括各个所述评价指标在多个历史周期中的历史正向结果次数和历史负向结果次数，所述权重更新模块具体用于：

55、根据所述历史正向结果次数以及所述历史负向结果次数，确定各所述评价指标的先验概率分布参数；

56、采集各所述评价指标在当前评价周期内的目标正向结果次数和目标负向结果次数，作为当前周期观测数据；

57、根据所述先验概率分布参数与所述当前周期观测数据，生成后验概率分布；

58、根据所述后验概率分布的特征值，确定各所述评价指标的权重值。

59、在一些可行的实现方式中，所述权重更新模块具体用于：

60、将各个所述评价指标在多个所述历史周期中的历史正向结果次数之和，作为先验正向次数，并将各个所述评价指标在多个所述历史周期中的历史负向结果次数之和，作为先验负向次数；

61、将所述先验正向次数与所述先验负向次数组合为各所述评价指标的先验概率分布参数。

62、在一些可行的实现方式中，所述权重更新模块具体用于：

63、将所述先验正向次数与当前周期采集的目标正向结果次数之和作为后验正向次数，并将所述先验负向次数与当前周期采集的负向结果次数之和作为后验负向次数；

64、将所述后验正向次数与所述后验负向次数组合为对应的后验概率分布。

65、在一些可行的实现方式中，所述权重更新模块具体用于：

66、计算所述后验概率分布对应的期望值；

67、将所述期望值作为各个所述评价指标的权重值。

68、在一些可行的实现方式中，所述证据数据包括管理行为数据、运营行为数据、技术防护数据、安全日志数据、漏洞处置数据和攻防演练结果数据中的至少两种。

69、在一些可行的实现方式中，所述评价模块具体用于：

70、获取所述证据数据的证据来源；

71、获取所述评价指标在所述证据来源下的量化值；

72、由各所述评价指标在所述证据来源下的量化值构建对应的证据矩阵；

73、其中，所述证据矩阵的每一行对应于一个所述评价指标，每一列对应于一个所述证据来源。

74、在一些可行的实现方式中，所述评价模块具体用于：

75、从所述证据矩阵中提取各所述评价指标对应的证据向量，所述证据向量包含所述评价指标在所述证据来源下的量化值；

76、将所述证据向量中的最大值作为第一证据值，并将所述证据向量中的最小值作为第二证据值。

77、在一些可行的实现方式中，所述评价模块具体用于：

78、获取第一调节参数以及第二调节参数；

79、计算所述第一证据值的所述第一调节参数次幂与所述第二证据值的所述第二调节参数次幂的乘积；

80、将所述乘积与所述评价指标对应的所述权重值相乘，得到所述评价指标的安全能力评分。

81、在一些可行的实现方式中，所述评价模块具体用于：

82、提取所述证据矩阵的特征参数，所述特征参数包括证据冲突度、证据覆盖率和数据新鲜度中的至少一种；

83、根据所述证据冲突度确定第一初始值，所述第一初始值与所述证据冲突度负相关；

84、根据所述证据覆盖率和所述数据新鲜度确定第二初始值，所述第二初始值与所述证据覆盖率和所述数据新鲜度正相关；

85、将所述第一初始值作为第一调节参数，并将所述第二初始值作为第二调节参数。

86、在一些可行的实现方式中，所述评价模块具体用于：

87、计算第一预设值与所述证据冲突度之间的和值，将所述和值的倒数作为第一初始值；

88、其中，所述根据所述证据覆盖率和所述数据新鲜度确定第二初始值，包括：

89、计算以自然常数为底、指数为负的预设衰减系数与所述数据新鲜度之间的乘积的指数幂，并将所述证据覆盖率与所述指数幂的乘积作为第二初始值。

90、在一些可行的实现方式中，所述评价模块具体用于：

91、以所述特征参数作为输入特征，对所述第一初始值和所述第二初始值进行微调，将微调后的第一初始值作为第一调节参数、以及将微调后的第二初始值作为第二调节参数。

92、在一些可行的实现方式中，所述评价模块具体用于：

93、以历史评价周期中的所述特征参数作为训练样本，以所述历史评价周期中人工标注的调节参数或标准评价结果所对应的调节参数作为标签进行训练，获得训练好的机器学习模型；

94、将当前评价周期的所述特征参数输入训练好的机器学习模型中进行调整，获得针对所述第一初始值的第一调整量以及针对所述第二初始值的第二调整量；

95、将所述第一初始值与所述第一调整量之和作为第一调节参数，将所述第二初始值与所述第二调整量之和作为第二调节参数。

96、本发明实施例还公开了一种电子设备，包括处理器、通信接口、存储器和通信总线，其中，所述处理器、所述通信接口以及所述存储器通过所述通信总线完成相互间的通信；

97、所述存储器，用于存放计算机程序；

98、所述处理器，用于执行存储器上所存放的程序时，实现如本发明实施例所述的方法。

99、本发明实施例还公开了一种计算机可读存储介质，其上存储有指令，当由一个或多个处理器执行时，使得所述处理器执行如本发明实施例所述的方法。

100、本发明实施例还公开了一种计算机程序产品，其特征在于，包括计算机执行指令，所述计算机执行指令被处理器执行时，实现如本发明实施例中所述的方法。

101、本发明实施例包括以下优点：

102、在本发明实施例中，通过获取多个评价指标对应的多周期观测数据以及每个评价指标对应的证据数据，接着根据多周期观测数据更新各评价指标在评价体系中的权重值，然后构建包含证据数据的证据矩阵并确定各评价指标在证据矩阵中的第一证据值和第二证据值，根据权重值、第一证据值以及第二证据值进行加权融合计算获得各评价指标的安全能力评分，最终基于各安全能力评分生成网络安全能力评价结果，从而通过将评价指标的权重设定与实际安全运营过程中持续积累的多周期观测数据进行动态关联，不仅使权重值能够随安全态势的变化而自适应修正，克服了传统静态权重导致评价结果滞后于实际安全状况的缺陷，而且通过构建证据矩阵并从中区分出代表强证据的第一证据值与代表弱证据的第二证据值，在融合计算时对不同强度的证据施加差异化的影响，使低频但具有关键指示意义的安全事件信号能够被有效保留而非被淹没，同时，动态权重更新与差异化证据融合两者相互配合，分别从指标重要程度的时变适应性和多源证据的贡献度区分两个维度共同提升了评价结果对实际安全能力变化的敏感度和区分度，提高了评价体系的客观性和评价结果的可信度。