CN102354310B - 一种自动化信息安全评估的方法及装置 - Google Patents

Abstract

本发明公开了一种自动化信息安全评估的方法及装置，其方法包括以下步骤：建立风险漏洞库；建立风险漏洞库的风险等级；通过接口调用扫描工具对被评估系统进行扫描，并对扫描结果数据进行采集存储；将采集的扫描结果数据与风险漏洞库中的漏洞数据进行比较判断，识别被评估系统存在的安全漏洞及其风险等级。本发明所提供的自动化信息安全评估的方法及装置，由于采取通过与扫描工具直接做接口分析，读取扫描工具的扫描结果数据，通过评估装置的安全映射识别机制，可对扫描结果进行完整、客观、智能的数据分析，保证了准确性，提高了工作效率，降低了人力成本。

Description

一种自动化信息安全评估的方法及装置

技术领域

本发明涉及系统自动评估技术领域，尤其涉及的是一种对系统风险进行自动化信息安全评估的方法及装置。

背景技术

风险评估工作是一项费时、费人力以及需要大量相关专业或业务知识支持的工作。通常，这项工作由专业的顾问来完成，这些顾问可以是来自被评估的组织或顾问公司，这些具有专业素质的顾问在风险评估中发挥重要的作用。为了使风险评估工作能够在各行各业中广泛开展，风险评估工具成为不可或缺的技术支持手段。目前，许多组织根据一些安全管理指南和标注开发出风险评估工具，为风险评估的进行提供了便利条件。随着风险评估的过程逐渐转向自动化和标准化，应用于风险评估的工具层出不穷，越来越多的科研人员发现，自动化的风险评估工具不仅将分析人员从繁重的手工劳动中解脱出来，同时有助于提高风险评估的工作效率和评估的准确性。

风险评估主要分为管理评估和技术评估两部分，针对技术评估目前主要是通过独立安全扫描、漏洞扫描工具完成，通过该工具对核心业务信息系统中的重要资产进行漏洞扫描，然后由分析人员对扫描结果进行分析，分析系统存在的漏洞、不合理配置以及存在的风险等问题。

然后，安全扫描、漏洞扫描工具虽然能减轻评估人员的部分工作量，但还是存在一些不足：

1、通过扫描工具可以减轻人员手工对系统、网络等漏洞方面的识别工作，但分析人员还需对大量的扫描结果数据进行分析，分析评估信息系统中存在的各种各样的漏洞和风险；这样加重了工作人员的工作量，无法提高工作效率；

2、分析人员难于对扫描结果进行风险定级，由此也加大了评估工作的工作量；

3、分析人员由于自身种种原因，难于保证对扫描结果数据分析得全面、客观、完整，容易出错。

因此，现有技术还有待于改进和发展。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种更自动化、智能化的信息安全评估和装置。通过与扫描工具直接做接口分析，读取扫描工具的扫描结果数据，以及通过风险评估装置的安全映射识别机制，可对扫描结果进行完整、客观、智能的数据分析，避免人为评估带来的种种困扰，保证了准确性，提高了工作效率，降低了人力成本。     本发明解决技术问题所采用的技术方案如下：    一种自动化信息安全评估的方法，其中，包括以下步骤：

A、通过扫描工具自动识别多个系统中的安全漏洞，并采集各系统的风险漏洞，利用CVE编码和关键识别特征内容两种方式对采集的漏洞信息进行唯一识别标记，以建立风险漏洞库；

B、根据风险等级不同，划分不同的风险值范围，对风险漏洞库建立不同的风险等级；

C、通过接口调用扫描工具对被评估系统进行扫描，获取扫描结果并对扫描结果数据进行采集存储；

D、将采集存储的扫描结果数据与风险漏洞库中的漏洞数据进行比较判断，通过CVE编码和关键识别特征码关联自动分析处理风险漏洞信息，自动识别出被评估系统存在的安全漏洞及其风险等级。

所述的自动化信息安全评估的方法，其中，所述步骤A建立风险漏洞库包括以下进一步的步骤：     预先配置风险漏洞库数据抓取的基本参数，并依据配置的参数自动对指定的数据源进行数据采集分析，以建立风险漏洞库。

所述的自动化信息安全评估的方法，其中，所述的风险漏洞库数据抓取的基本参数包括抓取的数据源页面、抓取的时间间隔。

所述的自动化信息安全评估的方法，其中，所述采集各系统中的漏洞包括以下进一步的步骤：     A1、将风险漏洞库中未存在的风险漏洞信息加入到风险漏洞库中；     A2、对于风险漏洞库中已存在的风险漏洞信息，但信息数据采集源不一致的，则对风险漏洞库数据进行更新；     A3、对于风险漏洞库中已存在且数据采集源一致的风险漏洞信息，则将其过滤掉。

所述的自动化信息安全评估的方法，其中，所述步骤A建立风险漏洞库包括以下进一步的步骤：     接收用户的操作指令直接对风险漏洞库信息进行更新。

所述的自动化信息安全评估的方法，其中，所述步骤C中的获取扫描结果包括：CVE编号、漏洞名称、风险等级。

所述的自动化信息安全评估的方法，其中，所述步骤D的比较判断过程包括以下进一步的步骤：     D1、通过CVE编码进行比较判断，将采集数据信息的CVE编码与风险漏洞库的CVE编码进行对比，当两条记录的CVE编码一致时，自动识别该风险漏洞存在，不一致时，则识别该风险漏洞不存在；     D2、若采集的数据没有CVE编码时，则通过关键识别特征内容进行比较判断，将采集的数据与风险漏洞库的关键识别特征内容进行对比，当内容符合一致时，自动识别该风险漏洞存在，不一致时，则识别该风险漏洞不存在。

一种自动化信息安全评估的装置，其中，包括：

风险漏洞库建立模块，通过扫描工具自动识别多个系统中的安全漏洞，并采集各系统的风险漏洞，利用CVE编码和关键识别特征内容两种方式对采集的漏洞信息进行唯一识别标记，以建立风险漏洞库；

风险等级划分模块，用于根据风险等级不同，划分不同的风险值范围，对风险漏洞库建立不同的风险等级；

扫描模块，用于对被评估系统进行扫描；

采集存储模块，用于通过接口调用扫描工具对被评估系统进行扫描，获取扫描结果并对扫描结果数据进行采集存储；

比较判断模块，用于将采集存储的扫描结果数据与风险漏洞库中的漏洞数据进行比较判断，通过CVE编码和关键识别特征码关联自动分析处理风险漏洞信息，自动识别出被评估系统存在的安全漏洞及其风险等级。

所述的自动化信息安全评估装置，其中，风险漏洞库建立模块包括：

配置与分析单元，用于预先配置风险漏洞库数据抓取的基本参数，并依据配置的参数自动对指定的数据源进行数据采集分析，以建立风险漏洞库；

第一建立单元，用于将采集到的风险漏洞库中未存在的风险漏洞信进行入库处理；对于风险漏洞库中已存在但与数据采集源不一致的风险漏洞信息，则调用风险漏洞库建立模块对风险漏洞库数据进行更新；对于风险漏洞库中已存在且与数据采集源一致的风险漏洞信息，则将其过滤掉；

第二建立单元，用于接收人工操作指令直接对风险漏洞库信息进行更新；

所述数据抓取的基本参数包括：抓取的数据源页面、抓取的时间间隔。

所述的自动化信息安全评估装置，其中，所述比较判断模块包括：

第一对比单元，用于将采集的扫描结果数据与风险漏洞库进行对比，若采集的数据信息有CVE编码，则将采集数据信息的CVE编码与风险漏洞库的CVE编码进行对比，当两条记录的CVE编码一致时，则自动识别该风险漏洞存在，不一致时，则识别该风险漏洞不存在；

第二对比单元，用于若采集的数据信息没有CVE编码，则将采集数据信息与风险漏洞库的关键识别特征内容进行对比，当内容符合一致时，则自动识别该风险漏洞存在，不一致时，则识别该风险漏洞不存在。

    本发明所提供的一种自动化信息安全评估的方法及装置，由于建立了风险漏洞库，并采用与扫描工具直接做接口分析，读取扫描工具的扫描结果数据，将扫描结果数据与风险漏洞库中的信息进行比较，随时对风险漏洞库数据进行更新，通过评估装置的安全映射识别机制，能够对扫描结果进行完整、客观、智能的数据分析，避免人为评估带来的种种困扰，实现了自动化、智能化评固，保证了准确性，提高了工作效率，降低了人力成本。

附图说明

图1是本发明实施例的自动化信息安全评估的方法的工作流程图。

图2是本发明实施例的自动化信息安全评估的方法及装置中风险漏洞数据采集的工作流程图。

图3是本发明实施例的自动化信息安全评估的方法及装置中对扫描结果与风险漏洞库的漏洞数据进行自动对比的工作流程图。

图4是本发明实施例的自动化信息安全评估的装置的方框示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚、明确，以下参照附图并举实施例对本发明进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

如图1所示，本发明提供的一种自动化信息安全评估的方法包括以下步骤：

步骤S110，通过扫描工具自动识别多个系统中的安全漏洞，并采集各系统的风险漏洞，利用CVE（英文全称是“Common Vulnerabilities & Exposures”,即公共漏洞和暴露）编码和关键识别特征内容两种方式对采集的漏洞信息进行唯一识别标记，以建立风险漏洞库。

其中，所述CVE编码是指CVE （Common Vulnerabilities & Exposures，通用漏洞披露）的编码名称，该编码名称是在安全漏洞库里的唯一标识。 CVE 是国际著名的安全漏洞库，也是对目前已知漏洞和安全缺陷的标准化名称的列表，它是一个由企业界、政府界和学术界综合参与的国际性组织，采取一种非盈利的组织形式，其使命是为了能更加快速而有效地鉴别、发现和修复软件产品的安全漏洞。

所述关键识别特征内容是指针对部分非CVE安全漏洞库里的风险漏洞信息，通常采用从风险漏洞的描述信息中截取部分关键字进行识别，这使风险漏洞的识别率更高，更有效。如：漏洞描述为：ISC BIND SIG资源记录拒绝服务漏洞。关键识别特征内容为：ISC,BIND,SIG,拒绝服务

本实施例中，利用专业扫描工具，如：IBM AppScan、绿盟( RSAS)、安信通（AXT-DBS）等，能够对服务器、网络、防火墙、路由器和应用程序自动识别其中的安全漏洞。

其中，建立完善的风险漏洞库，可通过以下两种方式：

第1种、预先在风险评估系统中配置风险漏洞库数据抓取基本参数，如：抓取的数据源页面（http://www.cve.mitre.org/data/downloads/allitems.xml）、抓取的时间间隔（2天），然后系统依据配置的参数自动对指定的数据源进行数据采集分析。采集过程中，主要分三种不同的处理方法：

（1）、对于风险漏洞库中未存在的风险漏洞信息进行入库处理；

（2）、对于风险漏洞库中已存在的风险漏洞信息，但信息与数据采集源不一致的，则对风险漏洞库数据进行更新；

（3）、对于风险漏洞库中已存在的风险漏洞信息，且信息与数据采集源一致的，则将过滤掉。

譬如，如图2所示。

S11、在风险评估装置中配置风险漏洞库数据抓取的基本参数，并依据配置的参数自动对指定的数据源进行数据采集。如前所述：抓取的数据源页面（http://www.cve.mitre.org/data/downloads/allitems.xml）、抓取的时间间隔（2天），然后系统依据配置的参数自动对指定的数据源进行数据采集分析。

S12、判断采集的数据信息是否有CVE编码？当否时，进入S13，当是时进入S14；

S13、若采集的数据信息没有CVE编码，则给该数据信息设置关键识别特征码，并进入S16将该数据信息加入风险漏洞库中；

S14、若采集的数据信息有CVE编码，则判断采集的数据信息的CVE编码与风险漏洞库中的CVE编码是否一致；当是时，进入S15；若采集的数据信息的CVE编码与风险漏洞库中的CVE编码不一致时，则进入S16将该数据信息加入风险漏洞库中；

S15、若采集的数据信息的CVE编码与风险漏洞库中的CVE编码一致，则判断二者的数据采集源是否一致，当否时进入S17，当是时，进入S18；

S17、若采集源不一致，则对风险漏洞库数据进行更新；

S18、若采集源一致，则将该数据信息过滤掉。

第2种、接收用户的操作指令直接对风险漏洞库信息进行更新，例如通过人工导入的方式直接对风险漏洞库信息进行更新；

对于风险漏洞库中的所有漏洞信息系统将通过CVE（英文全称是“Common Vulnerabilities & Exposures”公共漏洞和暴露）唯一编码和关键识别特征内容两种方式进行唯一识别标记。

步骤S120，根据风险等级不同，划分不同的风险值范围，对风险漏洞库建立不同的风险等级。本实施例中，根据《信息安全技术--信息安全风险评估规范》（GB/T20984-2007）风险等级划分准则，将风险分为五个不同等级，系统按标准默认配置有各等级风险值，用户也可根据实际情况对默认值进行修改调整。步骤S130，通过接口调用扫描工具对被评估系统进行扫描，获取扫描结果并对扫描结果数据进行采集存储；譬如、通过API接口数据调用，驱动扫描工具对评估的服务器、网络、路由器等评估设备进行扫描，然后风险评估系统通过数据采集功能将扫描结果数据进行采集存储。此处可以通过API接口数据调用，驱动扫描工具，如IBM AppScan、绿盟（RSAS）、安信通（AXT-DBS）等，对评估的服务器、网络、防火墙、路由器和应用程序等进行扫描，并对扫描结果进行采集存储；

步骤S140，数据采集完成后，将采集存储的扫描结果漏洞数据与风险漏洞库中的漏洞数据进行自动比较判断，通过CVE和关键识别特征码关联自动分析处理风险漏洞信息，自动识别出被评估系统存在的安全漏洞及其风险等级。

步骤S140中将采集的扫描结果漏洞数据与风险漏洞库中的漏洞数据进行自动比较判断的过程包含以下步骤，如图3所述。

S31、判断采集的数据信息是否有CVE编码？当是时进入S32，当否时进入S33；

S32、若采集的数据信息有CVE编码，则将采集数据信息的CVE编码与风险漏洞库的CVE编码进行对比是否一致；当是时进入S35，否则进入S34；

S33、若采集的数据信息没有CVE编码，则将采集数据信息与风险漏洞库的关键识别特征内容进行对比是否一致？当是时入进入S35；当否时进入S36；

S34、识别该风险漏洞不存在；

S35、自动识别该风险漏洞存在。

S36、不一致时，则识别该风险漏洞不存在。

由上可见、本实施例的自动化信息安全评估的方法，通过与扫描工具直接做接口分析，读取扫描工具的扫描结果数据，以及通过风险评估装置的安全映射识别机制，可对扫描结果进行完整、客观、智能的数据分析，避免人为评估带来的种种困扰，保证了准确性，提高了工作效率，降低了人力成本。

其中，安全映射识别机制指的是预先通过在系统中建立脆弱性与扫描漏洞信息关系映射，当系统有扫描数据导入时，系统能根据关系映射进行自动识别。

基于上述实施例，本发明实施例还提供了一种自动化信息安全评估装置，请参阅图4，该图为发明一种自动评估装置的方框示意图。包括有风险漏洞库建立模块、风险等级划分模块、扫描模块、采集存储模块和比较判断模块。

其中，所述风险漏洞库建立模块，用于通过扫描工具自动识别系统中的安全漏洞，并采集各系统的风险漏洞，利用CVE编码和关键识别特征内容两种方式对采集的漏洞信息进行唯一识别标记，以建立风险漏洞库。本实施例中在风险漏洞库建立模块中配置数据抓取的基本参数，如抓取的数据源页面、抓取的时间间隔，然后启动风险漏洞收集功能，收集各系统的风险漏洞，查看采集的风险漏洞是否有CVE编码，若没有CVE编码，则给该漏洞信息设置关键识别特征码，并加入风险漏洞库中，若有CVE编码，则判断采集的数据信息的CVE编码与风险漏洞库中的CVE编码是否一致，若不一致，则将该数据信息加入风险漏洞库中，若一致，则进一步判断采集的数据源是否一致，若采集的数据源不一致，则对风险漏洞库数据进行更新，若采集的数据源一致，则将该数据信息过滤掉，从而建立风险漏洞库；

另外，所述风险漏洞库建立模块可以接收人工操作指令直接对风险漏洞库信息进行更新；具体如上所述。

风险等级划分模块，用于根据风险等级的不同，划分不同的风险值范围，从而建立风险漏洞库的风险等级划分规则；具体如上所述。

扫描模块，用于通过API接口数据调用，驱动扫描工具，如IBM AppScan、绿盟（RSAS）、安信通（AXT-DBS）等，对被评估的系统如服务器、网络、防火墙、路由器和应用程序等进行扫描；具体如上所述。

采集存储模块，用于通过数据采集功能采集扫描结果：CVE编码、漏洞名称、等级等，并对采集的扫描结果数据进行存储；具体如上所述。

比较判断模块，用于将采集的扫描结果数据与风险漏洞库中的数据进行对比，若采集的数据信息有CVE编码，则将采集数据信息的CVE编码与风险漏洞库的CVE编码进行对比，当两条记录的CVE编码一致时，则自动识别该风险漏洞存在，不一致时，则识别该风险漏洞不存在；若采集的数据信息没有CVE编码，则将采集数据信息与风险漏洞库的关键识别特征内容进行对比，当内容符合一致时，则自动识别该风险漏洞存在，不一致时，则识别该风险漏洞不存在；具体如上所述。

应当理解的是，本发明的应用不限于上述的举例，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (7)

1.一种自动化信息安全评估的方法，其特征在于，包括以下步骤：

A、通过扫描工具自动识别多个系统中的安全漏洞，并采集各系统的风险漏洞，利用CVE编码和关键识别特征内容两种方式对采集的漏洞信息进行唯一识别标记，以建立风险漏洞库；

B、根据风险等级不同，划分不同的风险值范围，对风险漏洞库建立不同的风险等级；

C、通过接口调用扫描工具对被评估系统进行扫描，获取扫描结果并对扫描结果数据进行采集存储；

D、将采集存储的扫描结果数据与风险漏洞库中的漏洞数据进行比较判断，通过CVE编码和关键识别特征内容关联自动分析处理风险漏洞信息，自动识别出被评估系统存在的安全漏洞及其风险等级；

所述步骤A建立风险漏洞库包括以下进一步的步骤：     预先配置风险漏洞库数据抓取的基本参数，并依据配置的参数自动对指定的数据源进行数据采集分析，以建立风险漏洞库；

所述步骤D的比较判断过程包括以下进一步的步骤：     D1、若采集的数据有CVE编码，则通过CVE编码进行比较判断，将采集数据信息的CVE编码与风险漏洞库的CVE编码进行对比，当两条记录的CVE编码一致时，自动识别该风险漏洞存在，不一致时，则识别该风险漏洞不存在；     D2、若采集的数据没有CVE编码时，则通过关键识别特征内容进行比较判断，将采集的数据与风险漏洞库的关键识别特征内容进行对比，当内容符合一致时，自动识别该风险漏洞存在，不一致时，则识别该风险漏洞不存在；

所述关键识别特征内容是指针对部分非CVE安全漏洞库里的风险漏洞信息，采用从风险漏洞的描述信息中截取部分关键字进行识别。

2.根据权利要求1所述的自动化信息安全评估的方法，其特征在于，所述的风险漏洞库数据抓取的基本参数包括抓取的数据源页面、抓取的时间间隔。

3.根据权利要求1所述的自动化信息安全评估的方法，其特征在于，所述采集各系统中的漏洞包括以下进一步的步骤：     A1、将采集到的风险漏洞库中未存在的风险漏洞信息加入到风险漏洞库中；     A2、对于风险漏洞库中已存在的风险漏洞信息，但信息数据采集源不一致的，则对风险漏洞库数据进行更新；     A3、对于风险漏洞库中已存在且数据采集源一致的风险漏洞信息，则将其过滤掉。

4.根据权利要求1所述的自动化信息安全评估的方法，其特征在于，所述步骤A建立风险漏洞库包括以下进一步的步骤：     接收用户的操作指令直接对风险漏洞库信息进行更新。

5.根据权利要求1所述的自动化信息安全评估的方法，其特征在于，所述步骤C中的获取扫描结果包括：CVE编号、漏洞名称、风险等级。

6.一种自动化信息安全评估的装置，其特征在于，包括：

风险漏洞库建立模块，通过扫描工具自动识别多个系统中的安全漏洞，并采集各系统的风险漏洞，利用CVE编码和关键识别特征内容两种方式对采集的漏洞信息进行唯一识别标记，以建立风险漏洞库；

风险等级划分模块，用于根据风险等级不同，划分不同的风险值范围，对风险漏洞库建立不同的风险等级；

扫描模块，用于通过接口调用扫描工具对被评估系统进行扫描；

采集存储模块，用于获取扫描结果并对扫描结果数据进行采集存储；

比较判断模块，用于将采集存储的扫描结果数据与风险漏洞库中的漏洞数据进行比较判断，通过CVE编码和关键识别特征内容关联自动分析处理风险漏洞信息，自动识别出被评估系统存在的安全漏洞及其风险等级；

所述风险漏洞库建立模块包括：

配置与分析单元，用于预先配置风险漏洞库数据抓取的基本参数，并依据配置的参数自动对指定的数据源进行数据采集分析，以建立风险漏洞库；

所述比较判断模块包括：

第一对比单元，用于若采集的数据信息有CVE编码，则通过CVE编码进行比较判断，将采集数据信息的CVE编码与风险漏洞库的CVE编码进行对比，当两条记录的CVE编码一致时，则自动识别该风险漏洞存在，不一致时，则识别该风险漏洞不存在；

第二对比单元，用于若采集的数据信息没有CVE编码，则通过关键识别特征内容进行比较判断，将采集数据信息与风险漏洞库的关键识别特征内容进行对比，当内容符合一致时，则自动识别该风险漏洞存在，不一致时，则识别该风险漏洞不存在；

所述关键识别特征内容是指针对部分非CVE安全漏洞库里的风险漏洞信息，采用从风险漏洞的描述信息中截取部分关键字进行识别。

7.根据权利要求6所述的自动化信息安全评估装置，其特征在于，风险漏洞库建立模块包括：

第一建立单元，用于将采集到的风险漏洞库中未存在的风险漏洞信进行入库处理；对于风险漏洞库中已存在，但数据采集源不一致的风险漏洞信息，则调用风险漏洞库建立模块对风险漏洞库数据进行更新；对于风险漏洞库中已存在且数据采集源一致的风险漏洞信息，则将其过滤掉；

第二建立单元，用于接收人工操作指令直接对风险漏洞库信息进行更新；

所述数据抓取的基本参数包括：抓取的数据源页面、抓取的时间间隔。

Images