一种网络安全风险评估方法、系统及装置与流程

1.本技术涉及网络安全技术领域，更具体地说，是涉及一种网络安全风险评估方法、系统及装置。


背景技术：

2.随着互联网技术的迅速发展和日益普及，针对网络的攻击事件日益增多，其攻击手段、攻击技术均不断更新，虽然有类似于防火墙、入侵检测等网络安全技术的保障，但在现实中，攻击者总能找到办法绕过安全防护，完成对网络系统的攻击。
3.理论和实践均表明，计算机网络安全风险事件的识别、预测以及对网络进行安全性评估的工作是非常重要的，这就要求我们应该有一套相对于完善的网络安全风险评估系统，以此来加强对网络安全事件的监控和网络系统的安全评估工作。
4.网络安全事件指的是造成信息系统异常的特别攻击事件，在系统运行期间，时刻会产生各种各样的网络安全事件，为保证实体的正常运行，需要对这些网络安全事件进行监控、识别以及进行提前预防。
5.然而，现有的网络安全风险评估方法和系统关注的重点往往是信息系统上的技术漏洞，但这只是信息系统脆弱性的一个方面，因而此类评估方法具有一定的片面性。
6.此外，现有的大部分网络安全风险评估方法仅仅只针对企业自身实体及其相关安全事件进行评估，忽略了企业所置身的整个网络环境中的其他实体的安全风险状态。


技术实现要素：

7.有鉴于此，本技术提供了一种网络安全风险评估方法、系统及装置，以实现对用户的信息系统进行网络安全风险评估。
8.为实现上述目的，本技术第一方面提供了一种网络安全风险评估方法，包括：
9.根据互联网上公开的网络安全事件，结合用户的信息系统所面临的风险，确定用户的信息系统可能存在的网络安全风险场景，其中，所述网络安全风险场景至少有两个；
10.针对每个网络安全风险场景，对网络安全风险场景中的威胁、脆弱性和损失进行量化计算，得到所述网络安全风险场景的风险值；
11.根据各个网络安全风险场景的风险值，计算得到用户的信息系统的网络安全风险值。
12.优选地，所述根据互联网上公开的网络安全事件，结合用户的信息系统所面临的风险，确定用户的信息系统可能存在的网络安全风险场景的过程，包括：
13.通过信息爬虫技术，收集互联网上公开的网络安全事件，并根据所述网络安全事件构建网络安全风险场景数据库；
14.分别从用户的信息系统外部及内部两个维度，获取用户的信息系统所面临的风险；
15.根据所述网络安全风险场景数据库以及用户的信息系统所面临的风险，确定用户
的信息系统可能存在的网络安全风险场景。
16.优选地，所述分别从用户的信息系统外部及内部两个维度，获取用户的信息系统所面临的风险的过程，包括：
17.从用户的信息系统外部，采集用户的信息系统中的安全设备所产生的数据，并根据所述数据获取用户的信息系统存在的第一风险；
18.从用户的信息系统内部，通过分析用户的信息系统的日志文件，获取用户的信息系统存在的第二风险；
19.结合所述第一风险和所述第二风险，获取用户的信息系统所面临的风险。
20.优选地，所述对网络安全风险场景中的威胁、脆弱性和损失进行量化计算，得到所述网络安全风险场景的风险值的过程，包括：
21.计算在所述网络安全风险场景下被攻击的可能性，得到威胁值；
22.对用户的信息系统进行网络安全能力评估，得到脆弱性值；
23.计算用户在所述网络安全风险场景下被攻击后的损失，得到损失值；
24.根据威胁值、脆弱性值以及损失值，计算得到所述网络安全风险场景的风险值。
25.优选地，所述计算在所述网络安全风险场景下被攻击的可能性，得到威胁值的过程，包括：
26.获取当前时间段中网络空间的安全趋势，以及获取所述网络安全风险场景中各种威胁源；
27.根据所述安全趋势以及所述威胁源，确定所述网络安全风险场景下被攻击的可能性，并将所述可能性量化成所述威胁值。
28.优选地，所述对用户的信息系统进行网络安全能力评估，获取脆弱性值的过程，包括：
29.通过漏洞扫描和/或渗透测试，对用户的信息系统的网络防御能力进行评估，得到第一弱点信息；
30.从用户的信息系统的安全识别、安全防护、监测评估、监测分析和/或应急响应的角度，获取第二弱点信息；
31.根据第一弱点信息和第二弱点信息，计算得到所述脆弱性值。
32.优选地，所述计算用户在所述网络安全风险场景下被攻击后的损失，得到损失值的过程，包括：
33.获取用户的信息系统的相关信息；
34.获取用户的历史网络安全事件以及用户在历史网络安全事件中的损失；
35.获取与用户相同行业的其他用户在类似的网络安全事件中的损失；其中，所述类似的网络安全事件为与所述历史网络安全事件相关性系数在预设范围内的网络安全事件；
36.根据所述相关信息、所述历史网络安全事件以及在所述历史网络安全事件中的损失、所述与用户相同行业的其他用户在类似的网络安全事件中的损失，确定用户在所述网络安全风险场景下被攻击后的损失，得到所述损失值。
37.优选地，所述根据威胁值、脆弱性值以及损失值，计算得到所述网络安全风险场景的风险值的过程，包括：
38.通过如下公式计算得到所述风险值：
39.r＝k(t
×
v
×
l)
40.其中，r为所述风险值，t为所述威胁值，v为所述脆弱性值，l为所述损失值，k为预设的调节系数。
41.本技术第二方面提供了一种网络安全风险评估系统，包括：
42.网络安全态势感知模块，用于收集互联网上公开的网络安全事件，根据所述网络安全事件构建网络安全风险场景数据库；
43.风险场景获取模块，用于确定用户的信息系统可能存在的网络安全风险场景；
44.威胁分析模块，用于对用户的信息系统在网络安全风险场景下所面临的威胁进行评估，以得到威胁值；
45.脆弱性分析模块，用于对用户的信息系统的脆弱性进行评估，以得到脆弱性值；
46.损失计算模块，用于对用户在网络安全风险场景下的可能损失进行计算，以得到损失值；
47.风险评估模块，用于根据所述脆弱性值以及网络安全风险场景下的威胁值、损失值，计算得到用户在网络安全风险场景下的风险值。
48.本技术第三方面提供了一种网络安全风险评估装置，包括：
49.风险场景获取单元，用于根据互联网上公开的网络安全事件，结合用户的信息系统所面临的风险，确定用户的信息系统可能存在的网络安全风险场景，其中，所述网络安全风险场景至少有两个；
50.场景风险值获取单元，用于针对每个网络安全风险场景，对网络安全风险场景中的威胁、脆弱性和损失进行量化计算，得到所述网络安全风险场景的风险值；
51.综合评估单元，用于根据各个网络安全风险场景的风险值，计算得到用户的信息系统的网络安全风险值。
52.经由上述的技术方案可知，本技术在确定用户的信息系统可能存在的网络安全风险场景时，不仅考虑用户的信息系统自身所面临的风险，还参考了互联网上公开的网络安全事件，更加全面地评估出用户的信息系统可能存在的网络安全风险场景。
53.在确定了用户的信息系统可能存在的网络安全风险场景后，针对各个网络安全风险场景，不仅对用户的信息系统的脆弱性进行评估，还对所述网络安全风险场景中所面临的威胁以及由此而产生的损失进行量化计算，得到所述网络安全风险场景的风险值；最后对各个网络安全风险场景的风险值进行综合分析计算，所得到的用户的信息系统的网络安全风险值，能够更加全面而准确地反映用户的信息系统的网络安全风险状况。
附图说明
54.为了更清楚地说明本技术实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本技术的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
55.图1为本技术实施例公开的网络安全风险评估方法的示意图；
56.图2为本技术实施例公开的网络安全风险评估系统的示意图；
57.图3为本技术实施例公开的网络安全风险评估装置的示意图；
58.图4为本技术实施例公开的网络安全风险评估设备的硬件结构框图。
具体实施方式
59.下面将结合本技术实施例中的附图，对本技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本技术一部分实施例，而不是全部的实施例。基于本技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本技术保护的范围。
60.请参阅图1，本技术实施例提供的网络安全风险评估方法，可以包括如下步骤：
61.步骤s100，获取可能存在的网络安全风险场景。
62.具体地，根据互联网上公开的网络安全事件，结合用户的信息系统所面临的风险，确定用户的信息系统可能存在的网络安全风险场景。其中，该网络安全风险场景至少有两个。
63.互联网上公开的网络安全事件包括由用户自身的信息系统所产生的网络安全事件，还包括由其他实体所产生的网络安全事件，其涵盖了世界范围内的网络安全事件，且时效性比较强，能够较为全面且准确地反映用户的信息系统所处的网络环境。
64.根据所收集到的网络安全事件，再结合用户的信息系统具体所面临的风险，能够构建一个全面且详细的网络安全风险场景数据库。该网络安全风险场景数据库可以包括多种网络安全事件，例如，x企业遭受黑客发起的ddos攻击，导致营业中断y小时；x企业由于内部人员故意泄露数据，导致y数目的客户数据发生泄露；x企业由于员工点击恶意邮件链接而激活了勒索软件，被要求支付y数目的赎金。
65.通过网络安全风险场景数据库可以从一个更为宏观的层面去分析用户所面临的风险(如黑客对企业发起ddos攻击、企业遭遇软件勒索的情况、企业遭受数据泄露的情况等)。相对于传统的基于用户的网络资产的安全事件来分析的，本技术的该做法可以更加直接且准确的评估用户的信息系统的网络安全风险。
66.步骤s200，针对每个网络安全风险场景，计算得到单个网络安全风险场景的风险值。
67.具体地，在步骤s100中获得用户的信息系统可能存在的多个网络安全风险场景后，针对每个网络安全风险场景，对网络安全风险场景中各要素进行分析，具体地，对威胁、脆弱性和损失进行量化计算，得到该单个网络安全风险场景的风险值。
68.其中，威胁指代用户的信息系统在具体网络安全风险场景中可能面临的威胁；脆弱性指代用户的信息系统所存在的脆弱性；损失指代用户由于其信息系统遭受攻击而导致的经济损失。
69.综合分析威胁、脆弱性及损失的计算结果，最后得出用户的信息系统在该单个网络安全风险场景下的风险值。
70.步骤s300，根据各个网络安全场景的风险值，计算网络安全风险值。
71.具体地，根据步骤s200中所计算得到的各个网络安全风险场景的风险值，通过汇总分析，计算得到用户的信息系统整体的网络安全风险值。
72.本技术在确定用户的信息系统可能存在的网络安全风险场景时，不仅考虑用户的信息系统自身所面临的风险，还参考了互联网上公开的网络安全事件，更加全面地评估出
用户的信息系统可能存在的网络安全风险场景。
73.在确定了用户的信息系统可能存在的网络安全风险场景后，针对各个网络安全风险场景，不仅对用户的信息系统的脆弱性进行评估，还对所述网络安全风险场景中所面临的威胁以及由此而产生的损失进行量化计算，得到所述网络安全风险场景的风险值；最后对各个网络安全风险场景的风险值进行综合分析计算，所得到的用户的信息系统的网络安全风险值，能够更加全面而准确地反映用户的信息系统的网络安全风险状况。
74.上述步骤s100中可以有多种方式来确定用户的信息系统可能存在的网络安全风险场景。基于此，在一个可选的实施例中，上述步骤s100根据互联网上公开的网络安全事件，结合用户的信息系统所面临的风险，确定用户的信息系统可能存在的网络安全风险场景的过程，可以包括：
75.a1，通过信息爬虫技术，收集互联网上公开的网络安全事件，并根据所收集到的网络安全事件构建网络安全风险场景数据库；
76.a2，分别从用户的信息系统外部及内部两个维度，获取用户的信息系统所面临的风险；
77.a3，根据a1中所构建的网络安全风险场景数据库以及a2中所获取的用户的信息系统所面临的风险，确定用户的信息系统可能存在的网络安全风险场景。
78.其中，在上述a1中，对于该网络安全风险场景数据库，可以依据所收集到的最新的网络安全事件，对其进行更新。使得该网络安全风险场景数据库能够反映最新最全的网络安全事件信息。
79.在上述a2中，从用户的信息系统外部及内部两个维度，获取用户的信息系统所面临的风险的具体实施方式可以有多种。例如，可以在用户的信息系统内部部署相关的第三方硬件或软件，对用户的信息系统内部进行网络安全监控，以及利用针对用户的信息系统的网络安全分析工具对这些第三方硬件或软件所采集的数据进行汇总聚合，并通过分析汇总聚合后的数据来获取用户的信息系统所面临的风险。
80.其中，现有的网络安全分析工具可以是市场上成熟的安全态势感知平台。结合用户的信息系统中所安装的安全产品设备，如防火墙、入侵防护设备、入侵检测设备等，该安全态势感知平台可实时获取用户的信息系统中的安全状况数据。然后对该安全态势感知平台输出的安全状况数据进行分析，来获取用户的信息系统所面临的风险，例如用户最近遭遇异常流量访问的情况，是否有远程溢出攻击，是否有暴力密码破解登录系统等攻击事件。
81.基于此，在一个可选的实施例中，上述步骤a2中分别从用户的信息系统外部及内部两个维度，获取用户的信息系统所面临的风险的过程，可以包括：
82.b1，从用户的信息系统外部，采集用户的信息系统中的安全设备所产生的数据，并根据所述数据获取用户的信息系统存在的第一风险；
83.b2，从用户的信息系统内部，通过分析用户的信息系统的日志文件，获取用户的信息系统存在的第二风险；
84.b3，结合所述第一风险和所述第二风险，获取用户的信息系统所面临的风险。
85.具体地，上述b1中可以利用对用户的信息系统的网络安全态势感知技术，从用户的信息系统外部，非侵入地收集分析用户的信息系统中的安全设备所产生的数据，然后根据该数据确定其所面临的网络安全风险。
86.其中，该安全设备可以是用户的信息系统中设置有防火墙、入侵检测系统(intrusion detection system，ids)、入侵防御系统(intrusion prevention system，ips)和杀毒软件中的一种或多种软件的设备，其从不同角度保障信息设备的安全。
87.上述b2中对日志文件进行分析的过程可以是分析用户的信息系统中，是否遭受恶意代码篡改系统信息，是否有数据库遭受暴力密码破解登录，是否有非授权的数据读写等事件。
88.上述步骤s200中，通过对网络安全风险场景中各要素进行分析，最后得到该单个网络安全风险场景的风险值可以有多种实施方式。基于此，在一个可选的实施例中，上述步骤s200中对网络安全风险场景中的威胁、脆弱性和损失进行量化计算，得到所述网络安全风险场景的风险值的过程，可以包括：
89.c1，计算在所述网络安全风险场景下被攻击的可能性，得到威胁值；
90.c2，对用户的信息系统进行网络安全能力评估，得到脆弱性值；
91.c3，计算用户在所述网络安全风险场景下被攻击后的损失，得到损失值；
92.c4，根据威胁值、脆弱性值以及损失值，计算得到所述网络安全风险场景的风险值。
93.上述的威胁值、脆弱性值以及损失值的具体获取方法可以有多种实施方式。基于此，在一个可选的实施例中，上述c1计算在所述网络安全风险场景下被攻击的可能性，得到威胁值的过程，可以包括：
94.d1，获取当前时间段中网络空间的安全趋势，以及获取该网络安全风险场景中各种威胁源；
95.d2，根据所述安全趋势以及所述威胁源，确定该网络安全风险场景下被攻击的可能性，并将所述可能性量化成该威胁值。
96.具体地，可以通过全球网络里安全态势感知平台，分析当前时间段中网络空间的安全趋势，获取该网络安全风险场景中各种威胁源，如某种威胁发生的频率、威胁持续的时间、威胁影响的范围等。然后结合对该网络安全风险场景中的威胁源的分析，确定该网络安全风险场景下被攻击的可能性，将该可能性进行量化计算，得到网络安全风险场景下的威胁值。
97.在一个可选的实施例中，上述c2对用户的信息系统进行网络安全能力评估，获取脆弱性值的过程，可以包括：
98.e1，通过漏洞扫描和渗透测试中的至少一种方式，对用户的信息系统的网络防御能力进行评估，得到第一弱点信息；
99.e2，从用户的信息系统的安全识别、安全防护、监测评估、监测分析和/或应急响应的角度，获取第二弱点信息；
100.e3，根据第一弱点信息和第二弱点信息，计算得到该脆弱性值。
101.其中，上述e2中可以预先结合问卷调查、资料查阅、人员访谈等手段，获取用户的信息系统在网络安全设置上的资料信息，然后对于该资料信息，从安全识别、安全防护、检测评估、检测分析、应急响应等角度，去分析用户的信息系统在安全制度、组织架构、安全建设、风险监控、应急响应等方面存在的脆弱性，并对其进行量化计算以得到该第二弱点信息。
102.上述e3中的该脆弱性值表征在具体的网络安全风险场景中，攻击者成功利用脆弱性发起的网络攻击的可能性。
103.在一个可选的实施例中，上述c3计算用户在所述网络安全风险场景下被攻击后的损失，得到损失值的过程，可以包括：
104.f1，获取用户的信息系统的相关信息；
105.f2，获取用户的历史网络安全事件以及用户在历史网络安全事件中的损失；
106.f3，获取与用户相同行业的其他用户在类似的网络安全事件中的损失；
107.f4，根据该相关信息、所述历史网络安全事件以及在该历史网络安全事件中的损失、与用户相同行业的其他用户在类似的网络安全事件中的损失，确定用户在该网络安全风险场景下被攻击后的损失，得到该损失值。
108.其中，上述f1中用户的信息系统的相关信息可以包括用户的财务信息、用户所处的行业信息以及用户的信息系统所处理的业务数据中的一种或多种信息；上述f3中类似的网络安全事件为与该历史网络安全事件相关性系数在预设范围内的网络安全事件。
109.在一个可选的实施例中，上述c4根据威胁值、脆弱性值以及损失值，计算得到该网络安全风险场景的风险值的过程，可以包括：
110.通过如下公式计算得到所述风险值：
111.r＝k(t
×
v
×
l)
112.其中，r为所述风险值，t为威胁值，v为脆弱性值，l为损失值，k为预设的调节系数。
113.具体地，以威胁值和脆弱性值相乘的结果作为概率值，该概率值可以用来表征该网络安全风险场景出现的概率；将该概率值与损失值相乘，得到标准风险大小的数值，最后再乘以预设的调节系数，将该数值归一化在预设的范围中，并作为该网络安全风险场景的风险值的最终结果。
114.下面对本技术实施例提供的网络安全风险评估系统进行描述。请参阅图2，本技术实施例提供的网络安全风险评估系统，可以包括网络安全态势感知模块11、风险场景获取模块12、威胁分析模块13、脆弱性分析模块14、损失计算模块15和风险评估模块16。
115.其中，网络安全态势感知模块11用于收集互联网上公开的网络安全事件，根据所述网络安全事件构建网络安全风险场景数据库。
116.具体地，网络安全态势感知模块11可以负责收集世界范围内的网络安全事件，结合大数据分析手段，构建一个全面的网络安全风险场景数据库；以及实时分析网络空间中的各种安全威胁的具体情况，包括威胁发生的频率、威胁持续的时间、威胁影响的范围等。
117.风险场景获取模块12用于确定用户的信息系统可能存在的网络安全风险场景。
118.具体地，风险场景获取模块12可以结合针对企业信息系统的网络安全态势感知技术，从用户的信息系统的外部分析获得的用户的信息系统的安全态势，通过对用户的信息系统的安全日志分析得到其面临的风险结果，然后结合网络安全风险场景数据库，来对用户的信息系统整体的风险场景进行全面系统的分析。
119.威胁分析模块13用于对用户的信息系统在网络安全风险场景下所面临的威胁进行评估，以得到威胁值。
120.脆弱性分析模块14用于对用户的信息系统的脆弱性进行评估，以得到脆弱性值。
121.具体地，脆弱性分析模块14可以借助通过漏洞扫描和渗透测试等技术对用户的信
息系统进行扫描、测试，以及对用户的信息系统的安全建设能力分析评估，来对企业的整体脆弱性进行分析评估。
122.损失计算模块15用于对用户在网络安全风险场景下的可能损失进行计算，以得到损失值。
123.具体地，损失计算模块15可以结合用户的信息系统的相关信息、历史安全事件分析结果和所在行业的风险损失分析结果，来对用户的信息系统所面临的网络安全风险场景中的可能损失进行计算。
124.其中，所在行业的风险损失分析结果可以是与用户相同行业的其他用户在类似的网络安全事件中的损失；其中，该类似的网络安全事件为与所述历史网络安全事件相关性系数在预设范围内的网络安全事件。
125.风险评估模块16用于根据所述脆弱性值以及网络安全风险场景下的威胁值、损失值，计算得到用户在网络安全风险场景下的风险值。
126.具体地，风险评估模块16可以分为两部分：第一部分为针对用户的信息系统所面临的每个网络安全风险场景，计算得出该网络安全风险场景的风险值；第二部分为对所有网络安全风险场景下的风险值进行汇总分析，得出整体的网络安全风险评估结果。
127.下面对本技术实施例提供的网络安全风险评估装置进行描述，下文描述的网络安全风险评估装置与上文描述的网络安全风险评估方法可相互对应参照。
128.请参见图3，本技术实施例提供的网络安全风险评估装置，可以包括：
129.风险场景获取单元21，用于根据互联网上公开的网络安全事件，结合用户的信息系统所面临的风险，确定用户的信息系统可能存在的网络安全风险场景，其中，所述网络安全风险场景至少有两个；
130.场景风险值获取单元22，用于针对每个网络安全风险场景，对网络安全风险场景中的威胁、脆弱性和损失进行量化计算，得到所述网络安全风险场景的风险值；
131.综合评估单元23，用于根据各个网络安全风险场景的风险值，计算得到用户的信息系统的网络安全风险值。
132.在一个可选的实施例中，风险场景获取单元21根据互联网上公开的网络安全事件，结合用户的信息系统所面临的风险，确定用户的信息系统可能存在的网络安全风险场景的过程，可以包括：
133.通过信息爬虫技术，收集互联网上公开的网络安全事件，并根据所述网络安全事件构建网络安全风险场景数据库；
134.分别从用户的信息系统外部及内部两个维度，获取用户的信息系统所面临的风险；
135.根据所述网络安全风险场景数据库以及用户的信息系统所面临的风险，确定用户的信息系统可能存在的网络安全风险场景。
136.在一个可选的实施例中，风险场景获取单元21分别从用户的信息系统外部及内部两个维度，获取用户的信息系统所面临的风险的过程，可以包括：
137.从用户的信息系统外部，采集用户的信息系统中的安全设备所产生的数据，并根据所述数据获取用户的信息系统存在的第一风险；
138.从用户的信息系统内部，通过分析用户的信息系统的日志文件，获取用户的信息
系统存在的第二风险；
139.结合所述第一风险和所述第二风险，获取用户的信息系统所面临的风险。
140.在一个可选的实施例中，场景风险值获取单元22对网络安全风险场景中的威胁、脆弱性和损失进行量化计算，得到所述网络安全风险场景的风险值的过程，可以包括：
141.计算在所述网络安全风险场景下被攻击的可能性，得到威胁值；
142.对用户的信息系统进行网络安全能力评估，得到脆弱性值；
143.计算用户在所述网络安全风险场景下被攻击后的损失，得到损失值；
144.根据威胁值、脆弱性值以及损失值，计算得到所述网络安全风险场景的风险值。
145.在一个可选的实施例中，场景风险值获取单元22计算在所述网络安全风险场景下被攻击的可能性，得到威胁值的过程，可以包括：
146.获取当前时间段中网络空间的安全趋势，以及获取所述网络安全风险场景中各种威胁源；
147.根据所述安全趋势以及所述威胁源，确定所述网络安全风险场景下被攻击的可能性，并将所述可能性量化成所述威胁值。
148.在一个可选的实施例中，场景风险值获取单元22对用户的信息系统进行网络安全能力评估，获取脆弱性值的过程，可以包括：
149.通过漏洞扫描和/或渗透测试，对用户的信息系统的网络防御能力进行评估，得到第一弱点信息；
150.从用户的信息系统的安全识别、安全防护、监测评估、监测分析和/或应急响应的角度，获取第二弱点信息；
151.根据第一弱点信息和第二弱点信息，计算得到所述脆弱性值。
152.在一个可选的实施例中，场景风险值获取单元22计算用户在所述网络安全风险场景下被攻击后的损失，得到损失值的过程，可以包括：
153.获取用户的信息系统的相关信息；
154.获取用户的历史网络安全事件以及用户在历史网络安全事件中的损失；
155.获取与用户相同行业的其他用户在类似的网络安全事件中的损失；其中，所述类似的网络安全事件为与所述历史网络安全事件相关性系数在预设范围内的网络安全事件；
156.根据所述相关信息、所述历史网络安全事件以及在所述历史网络安全事件中的损失、所述与用户相同行业的其他用户在类似的网络安全事件中的损失，确定用户在所述网络安全风险场景下被攻击后的损失，得到所述损失值。
157.在一个可选的实施例中，场景风险值获取单元22根据威胁值、脆弱性值以及损失值，计算得到所述网络安全风险场景的风险值的过程，可以包括：
158.通过如下公式计算得到所述风险值：
159.r＝k(t
×
v
×
l)
160.其中，r为所述风险值，t为所述威胁值，v为所述脆弱性值，l为所述损失值，k为预设的调节系数。
161.本技术实施例提供的网络安全风险评估装置可应用于网络安全风险评估设备，如网站服务器等。可选的，图4示出了网络安全风险评估设备的硬件结构框图，参照图4，网络安全风险评估设备的硬件结构可以包括：至少一个处理器31，至少一个通信接口32，至少一
个存储器33和至少一个通信总线34。
162.在本技术实施例中，处理器31、通信接口32、存储器33、通信总线34的数量为至少一个，且处理器31、通信接口32、存储器33通过通信总线34完成相互间的通信；
163.处理器31可能是一个中央处理器cpu，或者是特定集成电路asic(application specific integrated circuit)，或者是被配置成实施本技术实施例的一个或多个集成电路等；
164.存储器32可能包含高速ram存储器，也可能还包括非易失性存储器(non
‑
volatile memory)等，例如至少一个磁盘存储器；
165.其中，存储器33存储有程序，处理器31可调用存储器33存储的程序，所述程序用于：
166.根据互联网上公开的网络安全事件，结合用户的信息系统所面临的风险，确定用户的信息系统可能存在的网络安全风险场景，其中，所述网络安全风险场景至少有两个；
167.针对每个网络安全风险场景，对网络安全风险场景中的威胁、脆弱性和损失进行量化计算，得到所述网络安全风险场景的风险值；
168.根据各个网络安全风险场景的风险值，计算得到用户的信息系统的网络安全风险值。
169.可选的，所述程序的细化功能和扩展功能可参照上文描述。
170.本技术实施例还提供一种存储介质，该存储介质可存储有适于处理器执行的程序，所述程序用于：
171.根据互联网上公开的网络安全事件，结合用户的信息系统所面临的风险，确定用户的信息系统可能存在的网络安全风险场景，其中，所述网络安全风险场景至少有两个；
172.针对每个网络安全风险场景，对网络安全风险场景中的威胁、脆弱性和损失进行量化计算，得到所述网络安全风险场景的风险值；
173.根据各个网络安全风险场景的风险值，计算得到用户的信息系统的网络安全风险值。
174.可选的，所述程序的细化功能和扩展功能可参照上文描述。
175.综上所述：
176.本技术实施例在确定用户的信息系统可能存在的网络安全风险场景时，不仅考虑用户的信息系统自身所面临的风险，还参考了互联网上公开的网络安全事件，更加全面地评估出用户的信息系统可能存在的网络安全风险场景。
177.在确定了用户的信息系统可能存在的网络安全风险场景后，针对各个网络安全风险场景，不仅对用户的信息系统的脆弱性进行评估，还对所述网络安全风险场景中所面临的威胁以及由此而产生的损失进行量化计算，得到所述网络安全风险场景的风险值；最后对各个网络安全风险场景的风险值进行综合分析计算，所得到的用户的信息系统的网络安全风险值，能够更加全面而准确地反映用户的信息系统的网络安全风险状况。
178.最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那
些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个
……”
限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
179.本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间可以根据需要进行组合，且相同相似部分互相参见即可。
180.对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本技术。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本技术的精神或范围的情况下，在其它实施例中实现。因此，本技术将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。