CN108183887B - 一种基于自主授权的云端漏洞扫描策略配置方法及装置 - Google Patents

Abstract

本发明涉及计算机网络技术，旨在提供一种基于自主授权的云端漏洞扫描策略配置方法及装置。该种基于自主授权的云端漏洞扫描策略配置方法具体为：通过用户提交的策略需求，在云端记录用户特征识别码与策略需求单；在云端进行安全策略配置，并生成用户授权码；将授权码下发用户，执行对应的扫描策略后获得扫描日志文件。该种基于自主授权的云端漏洞扫描策略配置装置包括策略需求用户信息记录单元、授权码生成单元、扫描单元、机器学习单元。本发明对用户需求的针对性强，可根据用户策略需求精确配置扫描策略，不会扫描用户不需要的漏洞。

Description

一种基于自主授权的云端漏洞扫描策略配置方法及装置

技术领域

本发明是关于计算机网络技术领域，特别涉及一种基于自主授权的云端漏洞扫描策略配置方法及装置。

背景技术

由于因特网的迅速发展，信息社会时代里计算机网络技术得到了广泛的应用，使得信息的处理和传递突破了时间和地域的限制，实现了人们生活与工作的网络化与全球化。然而，随着网络逐渐渗透到人们工作和生活的每个角落，网络安全日益成为关系到人们生活安全、国家安全和主权、社会稳定和繁荣的重要问题。大多数情况下，黑客通过一些简单的扫描程序去寻找存在安全漏洞的服务器，进而攻击那些配置不当的服务器，并以此为跳板攻击更多的服务器。所以，针对安全漏洞的扫描，打上相应补丁或者修改相应的配置可以有效的阻止绝大部分攻击行为。

由于漏洞扫描产品的特殊性，扫描策略的更新十分频繁，人工授权无法做到实时响应所有用户的每一个扫描策略授权管理。故现有授权方式均采用批量授权整个扫描策略组的形式，而采用此种授权方式的主要缺点为，针对客户需求的响应速度慢；针对性差，无法根据用户策略需求精确配置扫描策略；并且需要人工授权，容易产生错误，不易于管理，不易维护，灵活度差。

现有专利中，专利CN 102624717 A采用扫描漏洞并自动配置安全策略的方式，虽然摆脱了人工授权管理的模式，但无法针对客户需求精确配置扫描策略，而是笼统的将所有漏洞一律均加入安全策略配置中，降低了针对用户特定需求的扫描效率。

专利CN 103944882 A利用计算环境下进行云桌面授权管理，虽然同样摆脱了人工授权方式，但局限于云桌面管理，对于漏洞扫描这种适用平台广泛，需要管理策略数量庞大的情况并不适用。

专利CN 105938533 A仅从漏洞扫描的算法方式上进行了改进，并未从根本上精确针对用户策略需求配置扫描策略。

专利CN 102903029 A采用了云计算的方式对资源进行分域授权，但仍旧没有摆脱需要管理人员的弊端，无法实现自主授权模式。

专利CN 104412561 A用于云服务器的凭证授权，主要用于不同客户端设备之间的授权传递，但是不同客户端之间的授权传递会导致产品利益受损，并不适用于商业授权中的集中管理授权模式。

专利CN 103152319 A则主要是根据控制计算机系统通信连接的位置进行授权延展，这种授权方式强烈依赖于通信连接的位置信息，这样的授权方式会导致在无法确定连接位置的时候不能进行授权延展，使此种授权方式适用范围不够广泛。

上述云授权与漏洞扫描策略配置集中在对少量策略配置、人工授权、客户端之间授权或者基于位置等信息进行授权。而对自主授权的云端漏洞扫描策略配置方法均无涉及。

因此，研制一种基于自主授权的云端漏洞扫描策略配置方法及相应装置，无疑具有良好的前景。

发明内容

本发明的主要目的在于克服现有技术中的不足，提供一种基于自主授权的云端漏洞扫描策略配置方法，能有效提高用户扫描效率与准确性，可迅速对用户策略需求单进行响应，并减少认证管理人员的误操作与负担。为解决上述技术问题，本发明的解决方案是：

提供一种基于自主授权的云端漏洞扫描策略配置方法，包括下述步骤：

1)通过用户提交的策略需求(即需要扫描漏洞的类型范围，例如只用扫描apache漏洞，或者只用扫描struts2相关漏洞等等，针对不同的用户需求制定不同的对应策略，此处策略为行业术语)，在云端(云端是部署好基于自主授权的云端漏洞扫描策略配置装置的服务器端)记录用户特征识别码与策略需求单；

所述用户特征识别码，是指能够识别出特定计算机的唯一标示(比如计算机主板ID、网卡MAC地址等唯一标示，可采用算法根据这些唯一标示得到用户特征识别码，算法包括但不限于：SHA1、MD5等开源的数字签名标准算法或简单的校验和算法，只要能够保证用户特征识别码与所采用的唯一标示之间的唯一映射关系即可，算法包括各种标示之间的独立验证或者组合验证)；

所述策略需求单，是根据预先设置好的每条策略对应的漏洞序号映射表，利用用户提交的策略需求而生成的漏洞序号的组合(策略需求单可以只有单条策略需求生成的漏洞序号，也可以有多条策略需求生成的漏洞序号组合)；漏洞序号用于表示漏洞类型范围，每个漏洞类型的子范围对应一个唯一的漏洞序号；

2)根据在云端记录的用户特征识别码与策略需求单，在云端进行安全策略配置，并生成用户授权码；

在云端进行安全策略配置，具体是指：根据策略需求单的漏洞序号的组合，生成唯一对应的策略配置码；策略配置码能反解出漏洞序号的组合，即能知道此配置的安全策略中包含的漏洞类型信息；

用户授权码的生成，具体是指：基于用户特征识别码、用户操作环境(用户操作环境包括但不限于桌面操作系统、服务器软件系统、移动端操作系统等)，以及每条策略的授权方式、授权次数、授权有效时间(授权方式，即指每条策略是采用按使用时间授权、按使用次数授权或者按自购买时刻起总时长授权的方式；授权次数，即按照用户使用次数进行授权，用户每执行一次扫描，授权次数减1，当授权次数为0，用户无法再次扫描；授权时间，即授权某段时间范围，在此时间范围内用户可无限次扫描，但超过授权时间段，用户无法再次扫描；这里的策略是指步骤1)中用户提交的策略需求)，生成授权码；

3)将授权码下发用户，执行对应的扫描策略后获得扫描日志文件；并在云端中，对已下发授权码的用户进行记录，分配好用户相关(扫描漏洞等)基础功能与(仿真环境演示等)扩展功能需要的物理资源(包括但不限于网络带宽资源、服务器资源等)，对用户后续的登录、扫描、仿真操作进行记录，后续能根据此操作记录动态调整不同子策略包的资源权重。

在本发明中，所述步骤3)中的扩展功能，是指基于用户特征识别码(即在识别清楚用户的身份条件下)，提供仿真环境演示的功能(模拟云端漏洞环境学习授权、云端靶机演示授权等)。

提供一种基于自主授权的云端漏洞扫描策略配置装置，具体包括下述单元(软件程序模块)：

策略需求用户信息记录单元，用于获取用户对不同漏洞的策略需求以及用户自身的特征识别码；

授权码生成单元，用于根据策略需求、策略定制方式以及用户操作环境来生成对应的授权码，并在云端数据库进行记录；

扫描单元，用于根据授权码，解析出用户策略需求，并执行对应的扫描策略，并将扫描日志文件在云端数据库进行记录；

机器学习单元，用于根据用户操作环境、扫描日志文件(即步骤3)执行扫描策略后获得的扫描日志文件)和客户的相关类型(客户的相关类型包括但不限于客户机构类型、客户购买的授权方式类型、客户的行业、客户是否会购买扩展服务等)，对漏洞的分布(漏洞的分布包括但不限于统计出不同用户所属的机构中扫描得到的漏洞类型分布，不同机构用户购买的扫描策略分布等)进行机器学习(以便后续对不同机构的用户进行有针对行的排查漏洞和推广本产品)。

在本发明中，所述扫描单元解析的授权码，能由用户提供授权码或源自云端数据库。

在本发明中，所述机器学习单元能根据学习数据进行相关归纳，并针对新用户进行策略组推荐。

与现有技术相比，本发明的有益效果是：

1、本发明针对客户需求的响应速度快，可在第一时间自主给予用户授权码。

2、本发明对用户需求的针对性强，可根据用户策略需求精确配置扫描策略，不会扫描用户不需要的漏洞。

3、本发明无需人工授权，不易产生错误，易于管理，维护，针对不断新增的策略，此产品的柔性好。

附图说明

图1为本发明基于自主授权的云端漏洞扫描策略配置方法流程图。

图2为本发明基于自主授权的云端漏洞扫描策略配置装置的结构示意图。

具体实施方式

首先需要说明的是，本发明是计算机技术在信息安全技术领域的一种应用。在本发明的实现过程中，会涉及到多个算法的应用。申请人认为，如在仔细阅读申请文件、准确理解本发明的实现原理和发明目的以后，在结合现有公知技术的情况下，本领域技术人员完全可以运用其掌握的软件编程技能实现本发明。前述方法功能包括但不限于：策略需求用户信息记录单元、机器学习单元等，凡本发明申请文件提及的均属此范畴，申请人不再一一列举。下面结合附图与具体实施方式对本发明作进一步详细描述：

如图1所示的一种基于自主授权的云端漏洞扫描策略配置方法的流程图，下面结合图1对基于自主授权的云端漏洞扫描策略配置方法进行详细描述。

步骤S10，通过用户提交的策略需求，在云端记录用户特征识别码与策略需求单。

在本发明实施例中，用户可通过Web端或者安装客户端进行策略需求提交。对于策略需求，可选择全局扫描模式自匹配云端现有漏洞库的模式，或者高级用户自定义配置模式，也可选择根据用户环境特征，按照云端数据库推荐配置模式进行。与此同时上传与漏洞扫描相关的环境参数与用户特征识别码提取，并记录于云端数据库中。

所述云端数据库匹配模式基于用户配置相关信息和云端扫描的漏洞结果统计，根据机器学习归纳出推荐的搭配模式。此学习模式可根据产品之前扫描的相关信息进行样本学习，并根据后期不同漏洞的情况，对推荐权重值采用神经网络算法进行相关调整。

步骤S11，根据记录的相关参数，在云端进行安全策略配置，并生成用户授权码。

在本发明实施例中，基于步骤S10中云端数据库的相关参数，包括但不限于用户特征识别码，用户操作环境，每条策略的授权方式，每条策略授权次数，每条策略授权有效时间，是否需要模拟云端漏洞环境学习授权，是否需要云端靶机演示授权，按使用时间授权、按使用次数授权和按自购买时刻起总时长授权的方式等，进行相关安全策略配置和用户授权码生成。

步骤S12，将授权码下发用户，并在云端数据库中进行相关资源配置与记录。

在本发明实施例中，基于步骤S11生成的此用户此配置下唯一的授权码，授权码同时下发用户端与云端数据库。后续用户使用可按照特征识别方式登录，无需再认证用户授权码，系统真正达到自主授权模式。

为便于理解，下面结合附图2的示意图对本发明的自主授权的云端漏洞扫描策略配置装置进行详细描述。值得注意的是，所能够解决的用户请求包括但不限于用户漏洞扫描策略配置、用户漏洞环境学习及演示。

用户漏洞扫描请求，此请求的表现形式可以选择全局扫描模式自匹配云端现有漏洞库的模式，或者高级用户自定义配置模式，也可选择根据用户环境特征，按照云端数据库推荐配置模式进行。

在本发明实施例中，用户漏洞扫描请求采用软件端高级用户自定义配置模式，用户根据自己的需求配置漏洞扫描策略组，并根据自己的需求定义每个策略的需求方式为按次需求。自定义配置完后，软件端收集用户的主板ID与MAC地址与用户操作环境，本实施例中为Windows桌面操作系统，并上传至自主授权的云端漏洞扫描策略配置装置中。

策略需求用户信息记录单元，此单元针对多用户并发请求进行相关优化、并可有效拦截恶意攻击请求。在确定请求真实有效的情况下，将用户请求与云端数据库中记录进行比对，识别此用户是否已经存在于云端数据库中。如果存在，则加载对应用户配置和历史日志文件，如果不存在，则新建用户，记录于云端数据库。

在本发明实施例中，策略需求用户信息记录单元对应此新用户进行建立相关云端数据库。针对用户漏洞扫描请求提交的相关信息，经过验证身份真实性，并将用户特征信息记录云端数据库，将扫描策略配置需求下发至策略配置与授权码生成单元。

策略配置与授权码生成单元，此单元根据策略配置与用户信息两方面生成特定用户对应唯一的授权码，并将此授权码记录于云端数据库。

在本发明实施例中，策略配置与授权码生成单元根据软件端收集用户的主板ID与MAC地址与Windows桌面操作系统和按次需求的策略组配置信息，生成对应的授权码，记录于云端数据库，并为此用户分配对应扫描所需的相关硬件与网络资源。

扫描单元，此单元根据策略配置与授权码生成单元生成的策略配置信息对用户进行特定的策略组扫描，并生成扫描日志，同时下发给用户端和云数据库端。

在本发明实施例中，扫描单元对用户选定策略组进行精准扫描，被将扫描日志同时返回软件端与云端数据库。

机器学习单元，此单元根据扫描单元返回给云端数据库的数据与曾经训练过的其他用户的数据对不同的权重因子进行基于神经网络的判断与学习，并给出用户未选策略中可能存在的隐患与推荐报告。

在本发明实施例中，机器学习单元根据扫描单元对用户进行的扫描日志与云端数据库中同类用户日志结果进行比对，给出此用户的进一步修改意见，并且向用户推荐对某些未选中的漏洞进行试查，并将试查作为可选项增值服务，进行深度筛查。

云端靶机单元，此单元可响应用户学习与演示漏洞的请求，在云端分配资源给用户进行特定漏洞或漏洞组进行调试与学习。

在本发明实施例中，云端靶机单元在接受用户学习请求后，经过策略需求用户信息记录单元检查用户授权码是否匹配或者存在云端数据库中。确认后，根据用户申请漏洞组的数量分配相应的网络与硬件资源供用户使用与学习漏洞。并且在此过程中，云端数据库同时提供相应的解决方案与日志记录支持。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

最后，需要注意的是，以上列举的仅是本发明的具体实施例。显然，本发明不限于以上实施例，还可以有很多变形。本领域的普通技术人员能从本发明公开的内容中直接导出或联想到的所有变形，均应认为是本发明的保护范围。

Claims (2)

1.一种基于自主授权的云端漏洞扫描策略配置方法，其特征在于，包括下述步骤：

1）通过用户提交的策略需求，在云端记录用户特征识别码与策略需求单；

所述用户特征识别码，是指能够识别出特定计算机的唯一标示；

所述策略需求单，是根据预先设置好的每条策略对应的漏洞序号映射表，利用用户提交的策略需求而生成的漏洞序号的组合；漏洞序号用于表示漏洞类型范围，每个漏洞类型的子范围对应一个唯一的漏洞序号；

2）根据在云端记录的用户特征识别码与策略需求单，在云端进行安全策略配置，并生成用户授权码；

在云端进行安全策略配置，具体是指：根据策略需求单的漏洞序号的组合，生成唯一对应的策略配置码；策略配置码能反解出漏洞序号的组合，即能知道此配置的安全策略中包含的漏洞类型信息；

用户授权码的生成，具体是指：基于用户特征识别码、用户操作环境，以及每条策略的授权方式、授权次数、授权有效时间，生成授权码；

3）将授权码下发用户，执行对应的扫描策略后获得扫描日志文件；并在云端中，对已下发授权码的用户进行记录，分配好用户相关基础功能与扩展功能需要的物理资源，对用户后续的登录、扫描、仿真操作进行记录，后续能根据此操作记录动态调整不同子策略包的资源权重。

2.根据权利要求1所述的一种基于自主授权的云端漏洞扫描策略配置方法，其特征在于，所述3）中的扩展功能，是指基于用户特征识别码，提供仿真环境演示的功能。

Images