CN106506564B - 一种漏洞管理方法及装置 - Google Patents

Abstract

本发明涉及信息安全领域，尤其涉及一种漏洞管理方法及装置，该方法为，针对获得的每一个漏洞，根据预设的风险评分方法，分别计算每一个漏洞的脆弱性值；其中，所述脆弱性值表征漏洞的风险评分；根据获得的每一个漏洞的脆弱性值，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级，这样，引入了处置优先级的概念，可以根据用户需求设定优先级构成因子，在现有风险评分基础上量化了漏洞的处置优先级，有利于区分风险和处置优先级，更为贴近用户的需求，便于用户对漏洞风险的量化管理，提高了用户管理漏洞的效率。

Description

一种漏洞管理方法及装置

技术领域

本发明涉及信息安全领域，尤其涉及一种漏洞管理方法及装置。

背景技术

实际中，对漏洞进行合理、有效的管理，是信息安全保障体系的重要组成部分，目前，主要是通过对漏洞进行风险评估，进而根据风险评分，即漏洞的脆弱性值，分别依次处置漏洞。

现有技术中，对于漏洞的风险的量化评估方法主要是通过对漏洞即脆弱性维度，划分固化的细分评估项，分别打分并加总而得，例如，通用漏洞评分系统(CommonVulnerability Scoring System，CVSS)、通用缺陷评分系统(Common Weakness ScoringSystem，CWSS)等评分体系。为保证评分的一致性和可操作性，这里的细分评估项是固定的，每项的评分一般是离散的取值。

现有技术在使用过程中，虽然一定程度上量化了脆弱性的属性，但由于评分项不可扩展，无法紧密贴合客户和使用者的环境，得到的漏洞的脆弱性值难以表示用户想要的处置优先级，在实际使用中往往难以满足客户需求。例如，客户通过扫描器发现其部分资产带有大量高危漏洞，但是长期带洞运行，亦未发现不良后果。又例如，部分低危漏洞，由于具有较高人气，造成的恶劣影响比高危还大。

发明内容

本发明实施例提供一种漏洞管理方法及装置，以解决现有技术中不能充分反映漏洞自身属性的动态扩展，以及客户漏洞处置需求差异化的问题。

本发明实施例提供的具体技术方案如下：

一种漏洞管理方法，包括：

针对获得的每一个漏洞，根据预设的风险评分方法，分别计算每一个漏洞的脆弱性值；其中，所述脆弱性值表征漏洞的风险评分；

根据获得的每一个漏洞的脆弱性值，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；

根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级；其中，所述处置优先级，表示处理漏洞的优先等级。

较佳的，进一步包括：

根据用户的选择，确定所述预设的优先级构成因子；其中，所述预设的优先级构成因子，为以下一种或任意组合：

漏洞热度、POC状态、防护措施、误报率、暴露程度；其中，漏洞热度表示漏洞被关注的程度，POC状态表示漏洞是否能够被具体算法检测，防护措施表示是否有对漏洞的防护措施，误报率表示漏洞的历史误报情况，暴露程度表示漏洞对应的资产能够被外部访问的程度。

较佳的，进一步包括：

确定计算的每一个漏洞的脆弱性值对应的第一预设取值区间和计算加权脆弱性值时脆弱性值输入的第二预设取值区间；

分别将每一个漏洞的脆弱性值映射到第二预设取值区间中，获得每一个漏洞的映射后的脆弱性值。

较佳的，若所述预设的优先级构成因子为漏洞热度，则分别计算每一个漏洞在漏洞热度下的加权脆弱性值，具体包括：

分别确定每一个漏洞的漏洞热度值，并分别将所述漏洞热度值映射到计算加权脆弱性值时漏洞热度输入的第三预设取值区间中，获得每一个漏洞的映射后的漏洞热度值；

分别根据第三预设取值区间、第二预设取值区间、每一个漏洞的映射后的脆弱性值和每一个漏洞的映射后的漏洞热度值，计算每一个漏洞在漏洞热度下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为POC状态，则分别计算每一个漏洞在POC状态下的加权脆弱性值，具体包括：

分别确定每一个漏洞的POC状态的取值；

分别根据每一个漏洞的POC状态的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在POC状态下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为防护措施，则分别计算每一个漏洞在防护措施下的加权脆弱性值，具体包括：

分别确定每一个漏洞的防护措施的取值；

分别根据每一个漏洞的防护措施的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在防护措施下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为误报率，则分别计算每一个漏洞在误报率下的加权脆弱性值，具体包括：

分别确定每一个漏洞的误报率，并确定预设的误报率阈值；

分别根据每一个漏洞的误报率、预设的误报率阈值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在误报率下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为暴露程度，则进一步包括：

分别确定每一个漏洞对应的资产的权重值和暴露程度的取值，并确定资产的权重值对应的第四预设取值区间；

分别根据每一个漏洞对应的资产的权重值和暴露程度的取值，以及第四预设取值区间，计算每一个漏洞对应的资产的加权权重值。

较佳的，进一步包括：

分别根据所述每一个漏洞对应的资产的加权权重值和预设的算法，计算每一个漏洞的处置优先级。

较佳的，根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级，具体包括：

确定加权脆弱性值的第五预设取值区间和处置优先级对应的优先级评分的第六预设取值区间；

分别根据每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值、第五预设取值区间和第六预设取值区间，计算每一个漏洞的处置优先级。

一种漏洞管理装置，包括：

第一计算单元，用于针对获得的每一个漏洞，根据预设的风险评分方法，分别计算每一个漏洞的脆弱性值；其中，所述脆弱性值表征漏洞的风险评分；

第二计算单元，用于根据获得的每一个漏洞的脆弱性值，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；

第三计算单元，用于根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级；所述处置优先级，表示处理漏洞的优先等级。

较佳的，进一步包括：

第一确定单元，用于根据用户的选择，确定所述预设的优先级构成因子；其中，所述预设的优先级构成因子，为以下一种或任意组合：

漏洞热度、POC状态、防护措施、误报率、暴露程度；其中，漏洞热度表示漏洞被关注的程度，POC状态表示漏洞是否能够被具体算法检测，防护措施表示是否有对漏洞的防护措施，误报率表示漏洞的历史误报情况，暴露程度表示漏洞对应的资产能够被外部访问的程度。

较佳的，进一步包括：

第二确定单元，用于确定计算的每一个漏洞的脆弱性值对应的第一预设取值区间和计算加权脆弱性值时脆弱性值输入的第二预设取值区间；

映射单元，用于分别将每一个漏洞的脆弱性值映射到第二预设取值区间中，获得每一个漏洞的映射后的脆弱性值。

较佳的，若所述预设的优先级构成因子为漏洞热度，则分别计算每一个漏洞在漏洞热度下的加权脆弱性值时，第二计算单元具体用于：

分别确定每一个漏洞的漏洞热度值，并分别将所述漏洞热度值映射到计算加权脆弱性值时漏洞热度输入的第三预设取值区间中，获得每一个漏洞的映射后的漏洞热度值；

分别根据第三预设取值区间、第二预设取值区间、每一个漏洞的映射后的脆弱性值和每一个漏洞的映射后的漏洞热度值，计算每一个漏洞在漏洞热度下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为POC状态，则分别计算每一个漏洞在POC状态下的加权脆弱性值时，第二计算单元具体用于：

分别确定每一个漏洞的POC状态的取值；

分别根据每一个漏洞的POC状态的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在POC状态下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为防护措施，则分别计算每一个漏洞在防护措施下的加权脆弱性值时，第二计算单元具体用于：

分别确定每一个漏洞的防护措施的取值；

分别根据每一个漏洞的防护措施的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在防护措施下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为误报率，则分别计算每一个漏洞在误报率下的加权脆弱性值时，第二计算单元具体用于：

分别确定每一个漏洞的误报率，并确定预设的误报率阈值；

分别根据每一个漏洞的误报率、预设的误报率阈值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在误报率下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为暴露程度，则进一步包括，第四计算单元，用于：

分别确定每一个漏洞对应的资产的权重值和暴露程度的取值，并确定资产的权重值对应的第四预设取值区间；

分别根据每一个漏洞对应的资产的权重值和暴露程度的取值，以及第四预设取值区间，计算每一个漏洞对应的资产的加权权重值。

较佳的，第三计算单元进一步用于：

分别根据所述每一个漏洞对应的资产的加权权重值和预设的算法，计算每一个漏洞的处置优先级。

较佳的，根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级时，第三计算单元具体用于：

确定加权脆弱性值的第五预设取值区间和处置优先级对应的优先级评分的第六预设取值区间；

分别根据每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值、第五预设取值区间和第六预设取值区间，计算每一个漏洞的处置优先级。

本发明实施例中，针对获得的每一个漏洞，根据预设的风险评分方法，分别计算每一个漏洞的脆弱性值；其中，所述脆弱性值表征漏洞的风险评分；根据获得的每一个漏洞的脆弱性值，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级，其中，所述处置优先级，表示处理漏洞的优先等级，这样，引入了处置优先级的概念，可以根据用户需求设定优先级构成因子，在现有风险评分基础上量化了漏洞的处置优先级，有利于区分风险和处置优先级，更为贴近用户的需求，便于用户对漏洞风险的量化管理，提高了用户管理漏洞的效率。

附图说明

图1为本发明实施例中，漏洞管理方法概述流程图；

图2为本发明实施例中，不同脆弱性值在不同漏洞热度下的加权脆弱性值变化的示意图；

图3为本发明实施例中，不同漏洞热度在不同脆弱性值下加权脆弱性值变化的示意图；

图4为本发明实施例中，为POC状态对加权脆弱性值的影响的示意图；

图5为本发明实施例中，为防护措施对加权脆弱性值的影响的示意图；

图6为本发明实施例中，为误报率对加权脆弱性值的影响的示意图；

图7为本发明实施例中，漏洞管理装置结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，并不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了解决现有技术中在漏洞管理时评分项固定、不能充分考虑用户需求的问题，本发明实施例中，根据预设的风险评分方法，计算获取每一个漏洞的脆弱性值，并根据用户需求，预先设置优先级构成因子，进而分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，最后得到每一个漏洞的处置优先级，引入了处置优先级的概念，有利于区分风险和用户的处置优先级，考虑了用户需求。

下面通过具体实施例对本发明方案进行详细描述，当然，本发明并不限于以下实施例。

参阅图1所示，本发明实施例中，漏洞管理方法的具体流程如下：

步骤100：针对获得的每一个漏洞，根据预设的风险评分方法，分别计算每一个漏洞的脆弱性值；其中，上述脆弱性值表征漏洞的风险评分。

其中，预设的风险评分方法，可以使用现有技术中的风险评分方法，本发明实施例中，并不进行限定，例如，为CVSS、CWSS等。

实际中，仅是通过风险评分方法，对漏洞进行评分，得到漏洞的风险评分即脆弱性值，进而根据漏洞的脆弱性值来依次处理漏洞，评分项相对固定，没有考虑用户的实际需求，并没有处置优先级的概念，本发明实施例中，在现有漏洞的风险评分基础上，引入处置优先级的概念，综合评定每个漏洞的处置优先级，便于用户进行漏洞管理。

并且，根据是否绑定具体资产，漏洞可以分为通用漏洞类型和具体漏洞类型，本发明实施例中的处置优先级可适用于这两种漏洞类型。

步骤110：根据获得的每一个漏洞的脆弱性值，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值。

本发明实施例中，上述预设的优先级构成因子，为以下一种或任意组合：漏洞热度、POC状态、防护措施、误报率、暴露程度。

其中，漏洞热度表示漏洞被关注的程度，POC状态表示漏洞是否能够被具体算法检测，防护措施表示是否有对漏洞的防护措施，误报率表示漏洞的历史误报情况，暴露程度表示漏洞对应的资产能够被外部访问的程度。

参阅表1所示，为本发明实施例中，预设的优先级构成因子的具体介绍。

值得说明的是，本发明实施例中，上述几种优先级构成因子可以提前进行设定，在使用时，不区分web资产类型，可以统一生效，并且，上述优先级构成因子的取值范围和默认值，只是一种较佳的实施方式，并不限于上述实施方式。

进一步地，本发明实施例中，可以根据用户选择，确定上述预设的优先级构成因子，并不仅限于上述几种优先级构成因子，支持扩展，用户可以根据自身需求进行设置，这样，能够进一步满足不同用户的需求，快速满足市场需求。

步骤120：根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级；其中，所述处置优先级，表示处理漏洞的优先等级。

执行完步骤120之后，进一步地，就可以根据计算的每一个漏洞的处置优先级，依次处理每一个漏洞。

这样，根据预设的优先级构成因子，对漏洞进行优先级评分，获得漏洞的处置优先级，更加突出了漏洞的风险对用户的实际价值，提高了用户的漏洞处置效率。

下面具体介绍上述步骤110的执行过程，具体为：

首先，确定计算的每一个漏洞的脆弱性值对应的第一预设取值区间和计算加权脆弱性值时脆弱性值输入的第二预设取值区间，并分别将每一个漏洞的脆弱性值映射到第二预设取值区间中，获得每一个漏洞的映射后的脆弱性值。

这是因为，不同漏洞计算得到的脆弱性值是不同的，为便于后续对加权脆弱性值统一进行比较和处理，设置计算加权脆弱性值的输入取值区间，因此，先需要将步骤100中计算得到的脆弱性值映射到加权脆弱性值输入的第二预设取值区间。

例如，脆弱性值为v，映射后的脆弱性值为v_p，第一预设取值区间为v₀≤v≤v₁，第二预设取值区间为a₀≤v_p≤a₁，则将其映射到第二预设取值区间中时，可以采用线性映射，具体为：

然后，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，具体分为以下几种情况：

1)第一种情况：若预设的优先级构成因子为漏洞热度，则分别计算每一个漏洞在漏洞热度下的加权脆弱性值，具体包括：

首先，分别确定每一个漏洞的漏洞热度值，并分别将上述漏洞热度值映射到计算加权脆弱性值时漏洞热度输入的第三预设取值区间中，获得每一个漏洞的映射后的漏洞热度值。

其中，每一个漏洞的漏洞热度值，可以来源于任意漏洞检测平台，例如为绿盟科技威胁情报中心(NTI)，同样地，得到的漏洞热度值也都是不同的，取值也比较复杂，不利用比较和管理，因此，最开始先将得到漏洞热度值映射到计算加权脆弱性值时漏洞热度输入的第三预设取值区间中。

例如，漏洞的漏洞热度值为rh，映射后的漏洞热度值为h，第三预设取值区间为{0:h1}，则将rh映射到第三预设取值区间时，具体可以为：

若0＜rh≤100，则h＝rh*h1/100；

若0<rh，则h＝ln(1+rh)。

然后，分别根据第三预设取值区间、第二预设取值区间、每一个漏洞的映射后的脆弱性值和每一个漏洞的映射后的漏洞热度值，计算每一个漏洞在漏洞热度下的加权脆弱性值。

例如，第三预设取值区间为{0:h1}，并设置默认值为H，其中H表示平均漏洞热度值，第二预设取值区间为a₀≤v_p≤a₁，并设置默认值为A，其中A表示平均脆弱性值，映射后的脆弱性值为v_p，加权脆弱性值为v_c，则

例如，参阅图2所示，为当a₀＝0，a₁＝10，A＝5，h1＝10时，得到的不同v_p在不同h下加权脆弱性值变化的示意图，其中，图2中每条曲线代表一个固定的映射后的脆弱性值v_p在不同映射后的漏洞热度值h作用下的变化，从上到下分别对应v_p从10到0。其中，为方便仿真时进行描述，图2和下述的图3-图5中的x表示v_p，z(x)表示加权脆弱性值。

从图2中可知，v_p取值为5时，变化最均匀，对于高危漏洞，即v_p取值为10和低危漏洞，即v_p取值为0，漏洞热度的影响较小。

又例如，参阅图3所示，为当a₀＝0，a₁＝10，A＝5，h1＝10时，得到的不同h在不同v_p下加权脆弱性值变化的示意图，其中，图3中每条曲线代表一个固定的映射后的漏洞热度值h在不同映射后的脆弱性值下对加权脆弱性值的影响，从上到下分别对应h从10到0。

从图3中可知，h取值为5时，为直线不影响原有漏洞的脆弱性值；高漏洞热度，即h取值为10时，对低危漏洞影响较为明显；低漏洞热度，即h取值为0时，对高危漏洞影响较小。

2)第二种情况：若上述预设的优先级构成因子为POC状态，则分别计算每一个漏洞在POC状态下的加权脆弱性值，具体包括：

首先，分别确定每一个漏洞的POC状态的取值。

例如，预设的POC状态的取值为0或1，并取值为0时表示有POC，取值为1时表示无POC。当然，也可以根据用户实际需求，将取值为0表示无POC，取值为1表示有POC，本发明实施例中，并不进行限制。

以下，本发明实施例中，以POC状态的取值为0或1，并取值为0时表示有POC，取值为1时表示无POC为例进行介绍。

然后，分别根据每一个漏洞的POC状态的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在POC状态下的加权脆弱性值。

例如，POC状态的取值为bp，映射后的脆弱性值为v_p，加权脆弱性值为v_c，则

例如，参阅图4所示，为POC状态对加权脆弱性值的影响，其中，图4中每条曲线代表一个固定的POC状态的取值在不同映射后的脆弱性值下对加权脆弱性值的影响，从上到下分别对应bp从0到1。

从图4可知，当POC状态的取值为1时漏洞的脆弱性值保持不变，POC状态的取值为0时，增加了风险等级。

3)第三种情况：若上述预设的优先级构成因子为防护措施，则分别计算每一个漏洞在防护措施下的加权脆弱性值，具体包括：

首先，分别确定每一个漏洞的防护措施的取值。

例如，预设的防护措施的取值为0或1，并取值为0时表示无防护措施，取值为1时表示有防护措施。当然，也可以根据用户实际需求，将取值为0表示有防护措施，取值为1表示无防护措施，本发明实施例中，并不进行限制。

以下，本发明实施例中，以防护措施的取值为0或1，并取值为0时表示无防护措施，取值为1时表示有防护措施为例进行介绍。

然后，分别根据每一个漏洞的防护措施的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在防护措施下的加权脆弱性值。

例如，防护措施为df，映射后的脆弱性值为v_p，加权脆弱性值为v_c，则v_c＝v_p ^(4-df)/4。

例如，参阅图5所示，为防护措施对加权脆弱性值的影响，其中，图5中每条曲线代表一个固定的防护措施的取值在不同映射后的脆弱性值下对加权脆弱性值的影响，从上到下分别对应df从0到1。

从图5可知，防护措施df的取值为0时，漏洞的脆弱性值保持不变，防护措施df的取值为1时，会降低适当风险等级。

4)第四种情况：若上述预设的优先级构成因子为误报率，则分别计算每一个漏洞在误报率下的加权脆弱性值，具体包括：

首先，分别确定每一个漏洞的误报率，并确定预设的误报率阈值。

然后，分别根据每一个漏洞的误报率、预设的误报率阈值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在误报率下的加权脆弱性值。

例如，漏洞的误报率为hg，取值区间为{0:1:100}，预设的误报率阈值为gc，取值区间为{1:1:100}，并较佳的，设置hg＝0，gc＝1，则

例如，参阅图6所示，为当hg取值区间为{0:1:100}，gc取值区间为{1:1:100}时，得到的误报率对加权脆弱性值的影响，其中，图6中每条曲线代表一个固定误报率阈值gc在不同历史误报率hg作用下的变化，从左到右分别对应gc从1到100(间隔为10)。其中，图6中x表示hg，z(x)表示加权脆弱性值。

从图6可知，误报率超过阈值后迅速衰减，未超过阈值时则缓慢衰减。

5)进一步地，本发明实施例中，若上述预设的优先级构成因子为暴露程度，则还可以根据暴露程度对资产的权重值进行加权，进而将经过暴露程度加权后的资产的权重值用于进一步计算漏洞的处置优先级，具体为：

首先，分别确定每一个漏洞对应的资产的权重值和暴露程度的取值，并确定资产的权重值对应的第四预设取值区间。

例如，资产的权重值为w_p，第四预设取值区间为p₁≤w_p≤p₂，暴露程度为ep，并设置暴露程度的取值区间为{1---无外部物理访问，2---安全内网授权访问，3---内网授权访问，4---可信互联网授权访问，5---互联网授权访问}，较佳的，设置暴露程度的默认取值为1。

然后，分别根据每一个漏洞对应的资产的权重值和暴露程度的取值，以及第四预设取值区间，计算每一个漏洞对应的资产的加权权重值。

例如，资产的加权权重值为w_c，p₁≤w_c≤p₂，则

进一步地，分别根据上述每一个漏洞对应的资产的加权权重值和预设的算法，计算每一个漏洞的处置优先级。

其中，预设的算法，例如，可以使用现有的资产风险算法，本发明实施例中，并不进行限定。

基于上述实施例，下面具体介绍上述步骤120的执行过程，具体为：

首先，确定加权脆弱性值的第五预设取值区间和处置优先级对应的优先级评分的第六预设取值区间。

例如，加权脆弱性值为t，第五预设取值区间为t₀≤t≤t₁，优先级评分为b，第六预设取值区间为b₀≤b≤b₁。

然后，分别根据每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值、第五预设取值区间和第六预设取值区间，计算每一个漏洞的处置优先级。

例如，可以采用线性映射，则

又例如，如果处置优先级的优先级评分使用百分制，在不同场景下采用一个或多个优先级构成因子加权完成后，需要将优先级评分提升到[0～100]区间，则若0≤t≤10，则得到的处置优先级的优先级评分取值范围为0≤b≤100，即b＝10*t。

进一步地，若有多个优先级构成因子，则执行步骤110时，可以采用以下两种计算方式：

第一种方式：串行计算方式。

例如，有两个优先级构成因子，分别为优先级构成因子1和优先级构成因子2，以计算一个漏洞的处置优先级为例，则先计算该漏洞在优先级构成因子1下的加权脆弱性值，例如得到加权脆弱性值1，然后，将加权脆弱性值1作为输入，计算加权脆弱性值1在优先级构成因子2下的加权脆弱性值，例如得到加权脆弱性值2，则得到的加权脆弱性值2，即为该漏洞在优先级构成因子1和优先级构成因子2下的加权脆弱性值，最后就基于该加权脆弱性值2，得到该漏洞的处置优先级。

值得说明的是，对于多个优先级构成因子，在串行计算方式下，各个优先级构成因子的计算顺序，可以根据用户需求提前进行设定。

较佳的，可以根据各个优先级构成因子的重要程度，确定计算顺序。例如，有2个优先级构成因子，分别为a、b、c，若重要程度a>b>c，则先计算漏洞在a下的加权脆弱性值，得到a1，然后，将a1作为输入，计算a1在b下的加权脆弱性值，得到b1，最后，将b1作为输入，计算b1在c下的加权脆弱性值，得到c1。

第二种方式：并行计算方式。

例如，有两个优先级构成因子，分别为m和n，以计算一个漏洞的处置优先级为例，则首先，并行计算该漏洞在m和在n下的加权脆弱性值，分别得到加权脆弱性值m1和加权脆弱性值n1，然后，根据预设的加权系数，将加权脆弱性值m1和加权脆弱性值n1进行加权平均，得到k，即将k作为该漏洞在优先级构成因子m和优先级构成因子n下的加权脆弱性值，最后，基于k，得到该漏洞的处置优先级。

基于上述实施例，参阅图7所示，本发明实施例中，漏洞管理装置，具体包括：

第一计算单元70，用于针对获得的每一个漏洞，根据预设的风险评分方法，分别计算每一个漏洞的脆弱性值；其中，所述脆弱性值表征漏洞的风险评分；

第二计算单元71，用于根据获得的每一个漏洞的脆弱性值，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；

第三计算单元72，用于根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级；其中，所述处置优先级，表示处理漏洞的优先等级。

较佳的，进一步包括：

第一确定单元73，用于根据用户的选择，确定所述预设的优先级构成因子；其中，所述预设的优先级构成因子，为以下一种或任意组合：

漏洞热度、POC状态、防护措施、误报率、暴露程度；其中，漏洞热度表示漏洞被关注的程度，POC状态表示漏洞是否能够被具体算法检测，防护措施表示是否有对漏洞的防护措施，误报率表示漏洞的历史误报情况，暴露程度表示漏洞对应的资产能够被外部访问的程度。

较佳的，进一步包括：

第二确定单元74，用于确定计算的每一个漏洞的脆弱性值对应的第一预设取值区间和计算加权脆弱性值时脆弱性值输入的第二预设取值区间；

映射单元75，用于分别将每一个漏洞的脆弱性值映射到第二预设取值区间中，获得每一个漏洞的映射后的脆弱性值。

较佳的，若所述预设的优先级构成因子为漏洞热度，则分别计算每一个漏洞在漏洞热度下的加权脆弱性值时，第二计算单元71具体用于：

分别确定每一个漏洞的漏洞热度值，并分别将所述漏洞热度值映射到计算加权脆弱性值时漏洞热度输入的第三预设取值区间中，获得每一个漏洞的映射后的漏洞热度值；

分别根据第三预设取值区间、第二预设取值区间、每一个漏洞的映射后的脆弱性值和每一个漏洞的映射后的漏洞热度值，计算每一个漏洞在漏洞热度下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为POC状态，则分别计算每一个漏洞在POC状态下的加权脆弱性值时，第二计算单元71具体用于：

分别确定每一个漏洞的POC状态的取值；

分别根据每一个漏洞的POC状态的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在POC状态下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为防护措施，则分别计算每一个漏洞在防护措施下的加权脆弱性值时，第二计算单元71具体用于：

分别确定每一个漏洞的防护措施的取值；

分别根据每一个漏洞的防护措施的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在防护措施下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为误报率，则分别计算每一个漏洞在误报率下的加权脆弱性值时，第二计算单元71具体用于：

分别确定每一个漏洞的误报率，并确定预设的误报率阈值；

分别根据每一个漏洞的误报率、预设的误报率阈值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在误报率下的加权脆弱性值。

较佳的，若所述预设的优先级构成因子为暴露程度，则进一步包括，第四计算单元76，用于：

分别确定每一个漏洞对应的资产的权重值和暴露程度的取值，并确定资产的权重值对应的第四预设取值区间；

分别根据每一个漏洞对应的资产的权重值和暴露程度的取值，以及第四预设取值区间，计算每一个漏洞对应的资产的加权权重值。

较佳的，第三计算单元72进一步用于：

分别根据所述每一个漏洞对应的资产的加权权重值和预设的算法，计算每一个漏洞的处置优先级。

较佳的，根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级时，第三计算单元72具体用于：

确定加权脆弱性值的第五预设取值区间和处置优先级对应的优先级评分的第六预设取值区间；

分别根据每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值、第五预设取值区间和第六预设取值区间，计算每一个漏洞的处置优先级。

综上所述，本发明实施例中，针对获得的每一个漏洞，根据预设的风险评分方法，分别计算每一个漏洞的脆弱性值；其中，所述脆弱性值表征漏洞的风险评分；根据获得的每一个漏洞的脆弱性值，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级，其中，所述处置优先级，表示处理漏洞的优先等级，这样，引入了处置优先级的概念，可以根据用户需求设定优先级构成因子，在现有风险评分基础上量化了漏洞的处置优先级，有利于区分风险和处置优先级，更为贴近用户的需求，便于用户对漏洞风险的量化管理，提高了用户管理漏洞的效率。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明实施例进行各种改动和变型而不脱离本发明实施例的精神和范围。这样，倘若本发明实施例的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (18)

1.一种漏洞管理方法，其特征在于，包括：

针对获得的每一个漏洞，根据预设的风险评分方法，分别计算每一个漏洞的脆弱性值；其中，所述脆弱性值表征漏洞的风险评分；

根据获得的每一个漏洞的脆弱性值，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；还包括：根据用户的选择，确定所述预设的优先级构成因子；具体地：若有多个优先级构成因子，则根据各个优先级构成因子的计算顺序，采用串行计算方式，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；或者，采用并行计算方式，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；其中，所述预设的优先级构成因子，为以下一种或任意组合：漏洞热度、POC状态、防护措施、误报率、暴露程度；其中，漏洞热度表示漏洞被关注的程度，POC状态表示漏洞是否能够被具体算法检测，防护措施表示是否有对漏洞的防护措施，误报率表示漏洞的历史误报情况，暴露程度表示漏洞对应的资产能够被外部访问的程度；

根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级；其中，所述处置优先级，表示处理漏洞的优先等级。

2.如权利要求1所述的方法，其特征在于，进一步包括：

确定计算的每一个漏洞的脆弱性值对应的第一预设取值区间和计算加权脆弱性值时脆弱性值输入的第二预设取值区间；

分别将每一个漏洞的脆弱性值映射到第二预设取值区间中，获得每一个漏洞的映射后的脆弱性值。

3.如权利要求2所述的方法，其特征在于，若所述预设的优先级构成因子为漏洞热度，则分别计算每一个漏洞在漏洞热度下的加权脆弱性值，具体包括：

分别确定每一个漏洞的漏洞热度值，并分别将所述漏洞热度值映射到计算加权脆弱性值时漏洞热度输入的第三预设取值区间中，获得每一个漏洞的映射后的漏洞热度值；

分别根据第三预设取值区间、第二预设取值区间、每一个漏洞的映射后的脆弱性值和每一个漏洞的映射后的漏洞热度值，计算每一个漏洞在漏洞热度下的加权脆弱性值。

4.如权利要求2所述的方法，其特征在于，若所述预设的优先级构成因子为POC状态，则分别计算每一个漏洞在POC状态下的加权脆弱性值，具体包括：

分别确定每一个漏洞的POC状态的取值；

分别根据每一个漏洞的POC状态的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在POC状态下的加权脆弱性值。

5.如权利要求2所述的方法，其特征在于，若所述预设的优先级构成因子为防护措施，则分别计算每一个漏洞在防护措施下的加权脆弱性值，具体包括：

分别确定每一个漏洞的防护措施的取值；

分别根据每一个漏洞的防护措施的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在防护措施下的加权脆弱性值。

6.如权利要求2所述的方法，其特征在于，若所述预设的优先级构成因子为误报率，则分别计算每一个漏洞在误报率下的加权脆弱性值，具体包括：

分别确定每一个漏洞的误报率，并确定预设的误报率阈值；

分别根据每一个漏洞的误报率、预设的误报率阈值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在误报率下的加权脆弱性值。

7.如权利要求1所述的方法，其特征在于，若所述预设的优先级构成因子为暴露程度，则进一步包括：

分别确定每一个漏洞对应的资产的权重值和暴露程度的取值，并确定资产的权重值对应的第四预设取值区间；

分别根据每一个漏洞对应的资产的权重值和暴露程度的取值，以及第四预设取值区间，计算每一个漏洞对应的资产的加权权重值。

8.如权利要求7所述的方法，其特征在于，进一步包括：

分别根据所述每一个漏洞对应的资产的加权权重值和预设的算法，计算每一个漏洞的处置优先级。

9.如权利要求1-6任意一项所述的方法，其特征在于，根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级，具体包括：

确定加权脆弱性值的第五预设取值区间和处置优先级对应的优先级评分的第六预设取值区间；

分别根据每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值、第五预设取值区间和第六预设取值区间，计算每一个漏洞的处置优先级。

10.一种漏洞管理装置，其特征在于，包括：

第一计算单元，用于针对获得的每一个漏洞，根据预设的风险评分方法，分别计算每一个漏洞的脆弱性值；其中，所述脆弱性值表征漏洞的风险评分；

第二计算单元，用于根据获得的每一个漏洞的脆弱性值，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；还包括：第一确定单元，用于根据用户的选择，确定所述预设的优先级构成因子；其中，第二计算单元具体用于：若有多个优先级构成因子，则根据各个优先级构成因子的计算顺序，采用串行计算方式，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；或者，采用并行计算方式，分别计算每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值；其中，所述预设的优先级构成因子，为以下一种或任意组合：漏洞热度、POC状态、防护措施、误报率、暴露程度；其中，漏洞热度表示漏洞被关注的程度，POC状态表示漏洞是否能够被具体算法检测，防护措施表示是否有对漏洞的防护措施，误报率表示漏洞的历史误报情况，暴露程度表示漏洞对应的资产能够被外部访问的程度；

第三计算单元，用于根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级；其中，所述处置优先级，表示处理漏洞的优先等级。

11.如权利要求10所述的装置，其特征在于，进一步包括：

第二确定单元，用于确定计算的每一个漏洞的脆弱性值对应的第一预设取值区间和计算加权脆弱性值时脆弱性值输入的第二预设取值区间；

映射单元，用于分别将每一个漏洞的脆弱性值映射到第二预设取值区间中，获得每一个漏洞的映射后的脆弱性值。

12.如权利要求11所述的装置，其特征在于，若所述预设的优先级构成因子为漏洞热度，则分别计算每一个漏洞在漏洞热度下的加权脆弱性值时，第二计算单元具体用于：

分别确定每一个漏洞的漏洞热度值，并分别将所述漏洞热度值映射到计算加权脆弱性值时漏洞热度输入的第三预设取值区间中，获得每一个漏洞的映射后的漏洞热度值；

分别根据第三预设取值区间、第二预设取值区间、每一个漏洞的映射后的脆弱性值和每一个漏洞的映射后的漏洞热度值，计算每一个漏洞在漏洞热度下的加权脆弱性值。

13.如权利要求11所述的装置，其特征在于，若所述预设的优先级构成因子为POC状态，则分别计算每一个漏洞在POC状态下的加权脆弱性值时，第二计算单元具体用于：

分别确定每一个漏洞的POC状态的取值；

分别根据每一个漏洞的POC状态的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在POC状态下的加权脆弱性值。

14.如权利要求11所述的装置，其特征在于，若所述预设的优先级构成因子为防护措施，则分别计算每一个漏洞在防护措施下的加权脆弱性值时，第二计算单元具体用于：

分别确定每一个漏洞的防护措施的取值；

分别根据每一个漏洞的防护措施的取值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在防护措施下的加权脆弱性值。

15.如权利要求11所述的装置，其特征在于，若所述预设的优先级构成因子为误报率，则分别计算每一个漏洞在误报率下的加权脆弱性值时，第二计算单元具体用于：

分别确定每一个漏洞的误报率，并确定预设的误报率阈值；

分别根据每一个漏洞的误报率、预设的误报率阈值和每一个漏洞的映射后的脆弱性值，计算每一个漏洞在误报率下的加权脆弱性值。

16.如权利要求10所述的装置，其特征在于，若所述预设的优先级构成因子为暴露程度，则进一步包括，第四计算单元，用于：

分别确定每一个漏洞对应的资产的权重值和暴露程度的取值，并确定资产的权重值对应的第四预设取值区间；

分别根据每一个漏洞对应的资产的权重值和暴露程度的取值，以及第四预设取值区间，计算每一个漏洞对应的资产的加权权重值。

17.如权利要求16所述的装置，其特征在于，第三计算单元进一步用于：

分别根据所述每一个漏洞对应的资产的加权权重值和预设的算法，计算每一个漏洞的处置优先级。

18.如权利要求10-15任意一项所述的装置，其特征在于，根据计算获得的每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值，分别计算每一个漏洞的处置优先级时，第三计算单元具体用于：

确定加权脆弱性值的第五预设取值区间和处置优先级对应的优先级评分的第六预设取值区间；

分别根据每一个漏洞在各个预设的优先级构成因子下的加权脆弱性值、第五预设取值区间和第六预设取值区间，计算每一个漏洞的处置优先级。

Images