CN110099041A - 一种物联网防护方法及设备、系统 - Google Patents

Abstract

本发明的实施例公开一种物联网防护方法及设备、系统，涉及网络安全技术领域，能够通过采用虚拟补丁技术及时的对物联网设备的网络漏洞进行修补。该方法包括：IOT云代理平台首先确定IOT设备存在漏洞后，将根据基线数据查找的漏洞虚拟补丁发送至IOT设备，以便IOT设备根据漏洞虚拟补丁对软件包a进行修复生成软件包c；然后接收IOT设备发送的响应信息；其中响应信息由IOT设备根据软件包c、依据IOT云代理平台发送的软件包b的版本号查找的渗透测试软件以及IOT云代理平台发送的软件包b的威胁攻击等级和漏洞虚拟补丁的等级验证漏洞虚拟补丁的有效性生成；最后若响应信息为漏洞虚拟补丁有效，将漏洞虚拟补丁发送至其它IOT设备。本发明实施例应用于网络系统。

Description

一种物联网防护方法及设备、系统

本申请要求于2018年12月13日提交中国专利局、申请号为201811527383.2、发明名称为“一种物联网防护方法及装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。

技术领域

本发明的实施例涉及网络安全技术领域，尤其涉及一种物联网防护方法及设备、系统。

背景技术

物联网IOT(internet of things)的安全问题日益突出，物联网僵尸网络病毒“Mirai”成功发起大规模分布式DDoS攻击，借助于这类攻击，物联网还可以被用来“挖矿”。黑客攻击物联网设备主要利用其弱密码和系统漏洞，目前“零日攻击”越来越普遍，留给安全防护的抢救时间越来越短。由于物联网设备形态各异，系统差异巨大，系统资源紧张，漏洞发现后，要集中对其安装系统补丁或者修改默认密码均耗时耗力。目前为止，针对IOT的安全问题，主要的技术方案集中在漏洞的发现方法、加密传输以及身份识别等方面，而对漏洞发现后的防护，主要是通过提醒用户修改默认密码，升级系统补丁来解决。但这种防护方法需要终端用户与物理网设备进行物理接触来进行漏洞修补，这样就需要大量的人力投入才能解决漏洞问题，但是巨大的人力投入很容易导致多数的物联网设备不能及时得到漏洞修复，只能任由这些漏洞的存在。

发明内容

本发明的实施例提供一种物联网防护方法及设备、系统，能够通过采用虚拟补丁技术及时的对物联网设备的网络漏洞进行修补。

为达到上述目的，本发明采用如下技术方案：

第一方面，提供一种物联网防护方法，该方法包括：IOT云代理平台确定IOT设备存在漏洞后，根据基线数据查找第一数据库中对应的漏洞虚拟补丁，并将漏洞虚拟补丁发送至IOT设备，以便IOT设备根据漏洞虚拟补丁对软件包a进行修复生成软件包c；其中，基线数据包括软件包a的标识以及软件包a的版本号，软件包a为在IOT设备中安装的业务功能软件；IOT云代理平台将软件包b的版本号、漏洞虚拟补丁的等级以及软件包b的威胁攻击等级发送至IOT设备，并接收IOT设备发送的响应信息；其中，响应信息由IOT设备根据软件包b的威胁攻击等级、漏洞虚拟补丁的等级、软件包c以及渗透测试软件验证漏洞虚拟补丁的有效性生成；渗透测试软件由IOT设备根据软件包b的版本号查找第二数据库获取，软件包b为对IOT设备产生威胁的软件；IOT云代理平台确定响应信息为漏洞虚拟补丁有效时，将漏洞虚拟补丁发送至其它IOT设备。

在上述方法中，IOT云代理平台首先确定IOT设备存在漏洞后，根据基线数据查找第一数据库中对应的漏洞虚拟补丁，并将漏洞虚拟补丁发送至IOT设备，以便IOT设备根据漏洞虚拟补丁对软件包a进行修复生成软件包c；其中，基线数据包括软件包a的标识以及软件包a的版本号，软件包a为在IOT设备中安装的业务功能软件；然后，将软件包b的版本号、漏洞虚拟补丁的等级以及软件包b的威胁攻击等级发送至IOT设备，并接收IOT设备发送的响应信息；其中，响应信息由IOT设备根据软件包b的威胁攻击等级、漏洞虚拟补丁的等级、软件包c以及渗透测试软件验证漏洞虚拟补丁的有效性生成；渗透测试软件由IOT设备根据软件包b的版本号查找第二数据库获取，软件包b为对IOT设备产生威胁的软件；最后，确定响应信息为漏洞虚拟补丁有效时，将漏洞虚拟补丁发送至其它IOT设备。因此，本发明实施例能够通过采用虚拟补丁技术及时的对物联网设备的网络漏洞进行修补。

第二方面，提供一种物联网防护方法，该方法包括：IOT设备接收IOT云代理平台发送的漏洞虚拟补丁；漏洞虚拟补丁由IOT云代理平台根据基线数据查找第一数据库获取，基线数据包括软件包a的标识以及软件包a的版本号，软件包a为在IOT设备中安装的业务功能软件；IOT设备根据漏洞虚拟补丁对软件包a进行修复生成软件包c；IOT设备接收IOT云代理平台发送的软件包b的版本号、漏洞虚拟补丁的等级以及软件包b的威胁攻击等级；其中软件包b为对IOT设备产生威胁的软件；IOT设备根据软件包b的版本号查找第二数据库获取渗透测试软件；IOT设备根据渗透测试软件、漏洞虚拟补丁的等级、软件包c以及软件包b的威胁攻击等级验证漏洞虚拟补丁的有效性，并生成响应信息发送至IOT云代理平台，以便IOT云代理平台确定响应信息为漏洞虚拟补丁有效时，将漏洞虚拟补丁发送至其它IOT设备。

第三方面，提供一种IOT云代理平台，该IOT云代理平台包括：处理单元，用于确定IOT设备存在漏洞后，根据基线数据查找第一数据库中对应的漏洞虚拟补丁；发送单元，用于将处理樊元查找的漏洞虚拟补丁发送至IOT设备，以便IOT设备根据漏洞虚拟补丁对软件包a进行修复生成软件包c；其中，基线数据包括软件包a的标识以及软件包a的版本号，软件包a为在IOT设备中安装的业务功能软件；发送单元，还用于将软件包b的版本号、漏洞虚拟补丁的等级以及软件包b的威胁攻击等级发送至IOT设备；其中软件包b为对IOT设备产生威胁的软件；接收单元，用于接收IOT设备发送的响应信息；其中，响应信息由IOT设备根据软件包b的威胁攻击等级、漏洞虚拟补丁的等级、软件包c以及渗透测试软件验证漏洞虚拟补丁的有效性生成；渗透测试软件由IOT设备根据软件包b的版本号查找第二数据库获取；发送单元，还用于处理单元确定响应信息为漏洞虚拟补丁有效时，将漏洞虚拟补丁发送至其它IOT设备。

可以理解地，上述提供的IOT云代理平台用于执行上文所提供的第一方面对应的方法，因此，其所能达到的有益效果可参考上文第一方面对应的方法以及下文具体实施方式中对应的方案的有益效果，此处不再赘述。

第四方面，提供一种IOT设备，该IOT设备包括：接收单元，用于接收IOT云代理平台发送的漏洞虚拟补丁；漏洞虚拟补丁由IOT云代理平台根据基线数据查找第一数据库获取，基线数据包括软件包a的标识以及软件包a的版本号，软件包a为在IOT设备中安装的业务功能软件；处理单元，用于根据接收单元接收的漏洞虚拟补丁对软件包a进行修复生成软件包c；接收单元，还用于接收IOT云代理平台发送的软件包b的版本号、漏洞虚拟补丁的等级以及软件包b的威胁攻击等级；其中软件包b为对IOT设备产生威胁的软件；处理单元，用于根据接收单元接收的软件包b的版本号查找第二数据库获取渗透测试软件；处理单元，还用于根据渗透测试软件、接收单元接收的漏洞虚拟补丁的等级、软件包c以及接收单元接收的软件包b的威胁攻击等级验证漏洞虚拟补丁的有效性，并生成响应信息；发送单元，用于将处理单元生成的响应信息发送至IOT云代理平台，以便IOT云代理平台确定响应信息为漏洞虚拟补丁有效时，将漏洞虚拟补丁发送至其它IOT设备。

可以理解地，上述提供的IOT设备用于执行上文所提供的第二方面对应的方法，因此，其所能达到的有益效果可参考上文第二方面对应的方法以及下文具体实施方式中对应的方案的有益效果，此处不再赘述。

第五方面，提供一种物联网防护系统，该系统包括如第三方面的IOT云代理平台以及第四方面的IOT设备。

可以理解地，上述提供的物联网防护系统用于执行上文所提供的第一方面或第二方面对应的方法，因此，其所能达到的有益效果可参考上文第一方面或第二方面对应的方法以及下文具体实施方式中对应的方案的有益效果，此处不再赘述。

第六方面，提供了一种IOT云代理平台，该IOT云代理平台的结构中包括处理器和存储器，存储器用于与处理器耦合，保存该IOT云代理平台必要的程序指令和数据，处理器用于执行存储器中存储的程序指令，使得该IOT云代理平台执行第一方面的方法。

第七方面，提供了一种IOT设备，该IOT设备的结构中包括处理器和存储器，存储器用于与处理器耦合，保存该IOT设备必要的程序指令和数据，处理器用于执行存储器中存储的程序指令，使得该IOT设备执行第二方面的方法。

第八方面，提供一种计算机存储介质，计算机存储介质中存储有计算机程序代码，当计算机程序代码在如第六方面的IOT云代理平台上运行时，使得该IOT云代理平台执行上述第一方面的方法。

或者，当计算机程序代码在如第七方面的IOT设备上运行时，使得该IOT设备执行上述第二方面的方法。

第九方面，提供一种计算机程序产品，该计算机程序产品储存有上述计算机软件指令，当计算机软件指令在如第六方面的IOT云代理平台上运行时，使得该IOT云代理平台执行如上述第一方面方案的程序。

或者，当计算机软件指令在如第七方面的IOT设备上运行时，使得该IOT设备执行上述第二方面的方法。

附图说明

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明的实施例提供的一种物联网防护系统的结构示意图；

图2为本发明的实施例提供的一种异常行为检测方法的流程示意图；

图3为本发明的实施例提供的一种IOT云代理平台的结构示意图；

图4为本发明的实施例提供的一种IOT设备的结构示意图；

图5为本发明的实施例提供的又一种IOT云代理平台的结构示意图；

图6为本发明的实施例提供的再一种IOT云代理平台的结构示意图；

图7为本发明的实施例提供的又一种IOT设备的结构示意图；

图8为本发明的实施例提供的再一种IOT设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，本发明实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本发明实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。

还需要说明的是，本发明实施例中，“的(英文：of)”，“相应的(英文：corresponding，relevant)”和“对应的(英文：corresponding)”有时可以混用，应当指出的是，在不强调其区别时，其所要表达的含义是一致的。

为了便于清楚描述本发明实施例的技术方案，在本发明的实施例中，采用了“第一”、“第二”等字样对功能和作用基本相同的相同项或相似项进行区分，本领域技术人员可以理解“第一”、“第二”等字样并不是在对数量和执行次序进行限定。

物联网的安全问题日益突出，如物联网僵尸网络病毒“Mirai”成功发起大规模分布式DDoS攻击，借助于这类攻击，物联网还可以被用来“挖矿”。黑客攻击物联网设备主要利用其弱密码和系统漏洞，目前“零日攻击”越来越普遍，留给安全防护的抢救时间越来越短。物联网设备形态各异，系统差异巨大，系统资源紧张，漏洞发现后，要集中对其安装系统补丁或者修改默认密码均耗时耗力。

针对上述技术背景以及现有技术存在的问题，参照图1，本发明实施例提供一种物联网防护系统TX，该物联网防护系统TX包括：IOT云代理平台10、IOT设备20以及情报设备30。其中，IOT云代理平台10为该系统的中枢大脑，负责漏洞的发现、情报(威胁信息)的收集、漏洞虚拟补丁的验证以及漏洞虚拟补丁的下发等工作。另外，虚拟补丁代理软件安装于IOT设备20，主要工作内容是向IOT云代理平台10上传基线数据以及基于漏洞虚拟补丁对漏洞进行修补。示例性的，(1)针对共享单车，车联网，智能充电桩等设备，虚拟补丁代理软件安装在业务云平台(即IOT设备20)中，业务云平台的系统一般是嵌入式Linux系统或Windows系统；(2)针对工业摄像头，道闸等工业和园区设备，虚拟补丁代理软件安装在上位机(即IOT设备20)上，上位机的系统一般是Linux系统或Windows系统；(3)针对智能家居产品，虚拟补丁代理软件安装在智能网关上面，智能网关的系统一般是Linux系统；(4)针对家用摄像头产品，虚拟补丁代理软件可以直接出厂安装于家用摄像头产品内部，一般是嵌入式系统。

IOT设备20可以是但不限于以下的任一项：网络摄像头，车联网，工业设备，智能家居，机器人，可穿戴，智能家电。

参照图2，本发明实施例提供一种物联网防护方法，该方法包括：

201、IOT云代理平台确定IOT设备存在漏洞后，根据基线数据查找第一数据库中对应的漏洞虚拟补丁，并将漏洞虚拟补丁发送至IOT设备。

其中，基线数据包括软件包a的标识以及软件包a的版本号，软件包a为在IOT设备中安装的业务功能软件。

另外，IOT云代理平台确定IOT设备存在漏洞，具体包括：IOT云代理平台确定软件包a的标识与软件包b的标识一致、软件包a的版本号与软件包b的版本号一致时，确定IOT设备存在漏洞。

此外，在步骤201之前还包括：

101、IOT云代理平台接收IOT设备发送的基线数据以及情报设备发送的威胁信息；其中，威胁信息包括软件包b的标识、软件包b的版本号以及软件包b的威胁攻击等级。

202、IOT设备根据漏洞虚拟补丁对软件包a进行修复生成软件包c。

203、IOT云代理平台将软件包b的版本号、漏洞虚拟补丁的等级以及软件包b的威胁攻击等级发送至IOT设备。

204、IOT设备根据软件包b的版本号查找第二数据库获取渗透测试软件。

205、IOT设备根据软件包b的威胁攻击等级、漏洞虚拟补丁的等级、软件包c以及渗透测试软件验证漏洞虚拟补丁的有效性，并生成响应信息。

具体的，IOT设备若确定软件包b的威胁攻击等级与漏洞虚拟补丁的等级匹配，且软件包c能够抵挡渗透测试软件的攻击时，则漏洞虚拟补丁有效。

206、IOT云代理平台接收IOT设备发送的响应信息。

207、IOT云代理平台确定响应信息为漏洞虚拟补丁有效时，将漏洞虚拟补丁发送至其它IOT设备。

为了更好的理解，将本发明实施例的物联网防护方法与现有技术在同一应用场景下进行对比性的优势说明，以城市中的网络公共摄像头为例，具体如下：

城市中的网络公共摄像头采用不同厂家的多种型号的摄像设备，每种摄像设备软硬件皆不相同。此时，披露了一个针对网络公共摄像头的安全漏洞，可能感染不同厂家的不同设备。按照目前现有技术的处置流程，要等待厂家出具官方补丁，然后由代理商采取物理接触的方式进行软件升级，对如此巨大的人力投入很可能导致多数摄像头设备根本不会进行升级，任由这些漏洞存在，只能祈祷不要被恶意利用。而采用本发明实施例的物联网防护方法，对于不同厂家不同型号的摄像头，只要内置一个虚拟补丁代理软件，剩下的事情都可以由IOT云代理平台远程管理，以此前出现的openssl Heart Blood漏洞为例，该漏洞影响极为广泛，需要升级openssl版本才能解决，使用本发明实施例的方案，只要将黑客对该漏洞的攻击过程进行指纹定义(比如分析使用该漏洞的核心代码)制作漏洞虚拟补丁进而远程实施，即可有效阻断黑客攻击，从而在漏洞刚披露时就可以马上做出反馈，保障整个城市的公共基础实施安全。

在上述方法中，IOT云代理平台首先确定IOT设备存在漏洞后，根据基线数据查找第一数据库中对应的漏洞虚拟补丁，并将漏洞虚拟补丁发送至IOT设备，以便IOT设备根据漏洞虚拟补丁对软件包a进行修复生成软件包c；其中，基线数据包括软件包a的标识以及软件包a的版本号，软件包a为在IOT设备中安装的业务功能软件；然后，将软件包b的版本号、漏洞虚拟补丁的等级以及软件包b的威胁攻击等级发送至IOT设备，并接收IOT设备发送的响应信息；其中，响应信息由IOT设备根据软件包b的威胁攻击等级、漏洞虚拟补丁的等级、软件包c以及渗透测试软件验证漏洞虚拟补丁的有效性生成；渗透测试软件由IOT设备根据软件包b的版本号查找第二数据库获取，软件包b为对IOT设备产生威胁的软件；最后，确定响应信息为漏洞虚拟补丁有效时，将漏洞虚拟补丁发送至其它IOT设备。因此，本发明实施例能够通过采用虚拟补丁技术及时的对物联网设备的网络漏洞进行修补。

参照图3，本发明实施例提供一种IOT云代理平台10，该IOT云代理平台10包括：

处理单元301，用于确定IOT设备存在漏洞后，根据基线数据查找第一数据库中对应的漏洞虚拟补丁。

发送单元302，用于将处理樊元查找的漏洞虚拟补丁发送至IOT设备，以便IOT设备根据漏洞虚拟补丁对软件包a进行修复生成软件包c；其中，基线数据包括软件包a的标识以及软件包a的版本号，软件包a为在IOT设备中安装的业务功能软件。

发送单元302，还用于将软件包b的版本号、漏洞虚拟补丁的等级以及软件包b的威胁攻击等级发送至IOT设备；其中软件包b为对IOT设备产生威胁的软件。

接收单元303，用于接收IOT设备发送的响应信息；其中，响应信息由IOT设备根据软件包b的威胁攻击等级、漏洞虚拟补丁的等级、软件包c以及渗透测试软件验证漏洞虚拟补丁的有效性生成；渗透测试软件由IOT设备根据软件包b的版本号查找第二数据库获取。

发送单元302，还用于处理单元301确定响应信息为漏洞虚拟补丁有效时，将漏洞虚拟补丁发送至其它IOT设备。

在一种示例性的方案中，处理单元301，具体用于确定软件包a的标识与软件包b的标识一致、软件包a的版本号与软件包b的版本号一致时，确定IOT设备存在漏洞。

在一种示例性的方案中，接收单元303，还用于接收IOT设备发送的基线数据以及情报设备发送的威胁信息；其中，威胁信息包括软件包b的标识、软件包b的版本号以及软件包b的威胁攻击等级。

由于本发明实施例中的IOT云代理平台可以应用于实施上述方法实施例，因此，其所能获得的技术效果也可参考上述方法实施例，本发明实施例在此不再赘述。

参照图4，本发明实施例提供一种IOT设备20，该IOT设备20包括：

接收单元401，用于接收IOT云代理平台发送的漏洞虚拟补丁；漏洞虚拟补丁由IOT云代理平台根据基线数据查找第一数据库获取，基线数据包括软件包a的标识以及软件包a的版本号，软件包a为在IOT设备中安装的业务功能软件。

处理单元402，用于根据接收单元401接收的漏洞虚拟补丁对软件包a进行修复生成软件包c。

接收单元401，还用于接收IOT云代理平台发送的软件包b的版本号、漏洞虚拟补丁的等级以及软件包b的威胁攻击等级；其中软件包b为对IOT设备产生威胁的软件。

处理单元402，用于根据接收单元401接收的软件包b的版本号查找第二数据库获取渗透测试软件。

处理单元402，还用于根据渗透测试软件、软件包c、接收单元401接收的漏洞虚拟补丁的等级以及接收单元401接收的软件包b的威胁攻击等级验证漏洞虚拟补丁的有效性，并生成响应信息。

发送单元403，用于将处理单元402生成的响应信息发送至IOT云代理平台，以便IOT云代理平台确定响应信息为漏洞虚拟补丁有效时，将漏洞虚拟补丁发送至其它IOT设备。

在一种示例性的方案中，处理单元402，具体用于确定软件包b的威胁攻击等级与漏洞虚拟补丁的等级匹配，且软件包c能够抵挡渗透测试软件的攻击时，则漏洞虚拟补丁有效。

由于本发明实施例中的IOT设备可以应用于实施上述方法实施例，因此，其所能获得的技术效果也可参考上述方法实施例，本发明实施例在此不再赘述。

参照图1，本发明实施例提供一种物联网防护系统TX，该物联网防护系统TX包括上述的IOT云代理平台10以及IOT设备20。

由于本发明实施例中的物联网防护系统可以应用于实施上述方法实施例，因此，其所能获得的技术效果也可参考上述方法实施例，本发明实施例在此不再赘述。

在采用集成的单元的情况下，图5示出了上述实施例中所涉及的IOT云代理平台10的一种可能的结构示意图。IOT云代理平台10包括：处理模块501、通信模块502和存储模块503。处理模块501用于对IOT云代理平台10的动作进行控制管理，例如，处理模块501用于支持IOT云代理平台10执行图2中的过程201、207。通信模块502用于支持IOT云代理平台10与其他实体的通信。存储模块503用于存储IOT云代理平台10的程序代码和数据。

其中，处理模块501可以是处理器或控制器，例如可以是中央处理器(centralprocessing unit，CPU)，通用处理器，数字信号处理器(digital signal processor，DSP)，专用集成电路(application-specific integrated circuit，ASIC)，现场可编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等等。通信模块502可以是收发器、收发电路或通信接口等。存储模块503可以是存储器。

当处理模块501为如图6所示的处理器，通信模块502为图6的收发器，存储模块503为图6的存储器时，本申请实施例所涉及的IOT云代理平台10可以为如下的IOT云代理平台10。

参照图6所示，该IOT云代理平台10包括：处理器601、收发器602、存储器603和总线604。

其中，处理器601、收发器602、存储器603通过总线604相互连接；总线604可以是外设部件互连标准(peripheral component interconnect，PCI)总线或扩展工业标准结构(extended industry standard architecture，EISA)总线等。总线可以分为地址总线、数据总线、控制总线等。为便于表示，图中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

处理器601可以是一个通用中央处理器(Central Processing Unit，CPU)，微处理器，特定应用集成电路(Application-Specific Integrated Circuit，ASIC)，或一个或多个用于控制本申请方案程序执行的集成电路。

存储器603可以是只读存储器(Read-Only Memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(Random Access Memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(ElectricallyErasable Programmable Read-only Memory，EEPROM)、只读光盘(Compact Disc Read-Only Memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器可以是独立存在，通过总线与处理器相连接。存储器也可以和处理器集成在一起。

其中，存储器603用于存储执行本申请方案的应用程序代码，并由处理器601来控制执行。收发器602用于接收外部设备输入的内容，处理器601用于执行存储器603中存储的应用程序代码，从而实现本申请实施例中的物联网防护方法。

应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的设备、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、设备和方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件程序实现时，可以全部或部分地以计算机程序产品的形式来实现。该计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行计算机程序指令时，全部或部分地产生按照本申请实施例的流程或功能。计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，计算机指令可以从一个网站站点、计算机、服务器或者数据中心通过有线(例如同轴电缆、光纤、数字用户线(DigitalSubscriber Line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可以用介质集成的服务器、数据中心等数据存储设备。可用介质可以是磁性介质(例如，软盘、硬盘、磁带)，光介质(例如，DVD)、或者半导体介质(例如固态硬盘(Solid State Disk，SSD))等。

本发明实施例还提供一种计算机程序产品，该计算机程序产品可直接加载到存储器中，并含有软件代码，该计算机程序产品经由计算机载入并执行后能够实现上述的物联网防护方法。

在采用集成的单元的情况下，图7示出了上述实施例中所涉及的IOT设备20的一种可能的结构示意图。IOT设备20包括：处理模块701、通信模块702和存储模块703。处理模块701用于对IOT设备20的动作进行控制管理，例如，处理模块701用于支持IOT设备20执行图2中的过程202、204、205。通信模块702用于支持IOT设备20与其他实体的通信。存储模块703用于存储IOT设备20的程序代码和数据。

其中，处理模块701可以是处理器或控制器，例如可以是中央处理器(centralprocessing unit，CPU)，通用处理器，数字信号处理器(digital signal processor，DSP)，专用集成电路(application-specific integrated circuit，ASIC)，现场可编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等等。通信模块702可以是收发器、收发电路或通信接口等。存储模块703可以是存储器。

当处理模块701为如图8所示的处理器，通信模块702为图8的收发器，存储模块703为图8的存储器时，本申请实施例所涉及的IOT设备20可以为如下的IOT设备20。

参照图8所示，该IOT设备20包括：处理器801、收发器802、存储器803和总线804。

其中，处理器801、收发器802、存储器803通过总线804相互连接；总线804可以是外设部件互连标准(peripheral component interconnect，PCI)总线或扩展工业标准结构(extended industry standard architecture，EISA)总线等。总线可以分为地址总线、数据总线、控制总线等。为便于表示，图中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

处理器801可以是一个通用中央处理器(Central Processing Unit，CPU)，微处理器，特定应用集成电路(Application-Specific Integrated Circuit，ASIC)，或一个或多个用于控制本申请方案程序执行的集成电路。

存储器803可以是只读存储器(Read-Only Memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(Random Access Memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(ElectricallyErasable Programmable Read-only Memory，EEPROM)、只读光盘(Compact Disc Read-Only Memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器可以是独立存在，通过总线与处理器相连接。存储器也可以和处理器集成在一起。

其中，存储器803用于存储执行本申请方案的应用程序代码，并由处理器801来控制执行。收发器802用于接收外部设备输入的内容，处理器801用于执行存储器803中存储的应用程序代码，从而实现本申请实施例中的物联网防护方法。

应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的设备、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、设备和方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件程序实现时，可以全部或部分地以计算机程序产品的形式来实现。该计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行计算机程序指令时，全部或部分地产生按照本申请实施例的流程或功能。计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，计算机指令可以从一个网站站点、计算机、服务器或者数据中心通过有线(例如同轴电缆、光纤、数字用户线(DigitalSubscriber Line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可以用介质集成的服务器、数据中心等数据存储设备。可用介质可以是磁性介质(例如，软盘、硬盘、磁带)，光介质(例如，DVD)、或者半导体介质(例如固态硬盘(Solid State Disk，SSD))等。

本发明实施例还提供一种计算机程序产品，该计算机程序产品可直接加载到存储器中，并含有软件代码，该计算机程序产品经由计算机载入并执行后能够实现上述的物联网防护方法。

以上，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (11)

1.一种物联网防护方法，其特征在于，包括：

IOT云代理平台确定IOT设备存在漏洞后，根据基线数据查找第一数据库中对应的漏洞虚拟补丁，并将所述漏洞虚拟补丁发送至所述IOT设备，以便所述IOT设备根据所述漏洞虚拟补丁对软件包a进行修复生成软件包c；其中，所述基线数据包括所述软件包a的标识以及所述软件包a的版本号，所述软件包a为在所述IOT设备中安装的业务功能软件；

所述IOT云代理平台将软件包b的版本号、所述漏洞虚拟补丁的等级以及所述软件包b的威胁攻击等级发送至所述IOT设备，并接收所述IOT设备发送的响应信息；其中，所述响应信息由所述IOT设备根据所述软件包b的威胁攻击等级、所述漏洞虚拟补丁的等级、所述软件包c以及渗透测试软件验证所述漏洞虚拟补丁的有效性生成；所述渗透测试软件由所述IOT设备根据所述软件包b的版本号查找第二数据库获取，所述软件包b为对所述IOT设备产生威胁的软件；

所述IOT云代理平台确定所述响应信息为所述漏洞虚拟补丁有效时，将所述漏洞虚拟补丁发送至其它IOT设备。

2.根据权利要求1所述的物联网防护方法，其特征在于，所述IOT云代理平台确定IOT设备存在漏洞，具体包括：

所述IOT云代理平台确定所述软件包a的标识与所述软件包b的标识一致、所述软件包a的版本号与所述软件包b的版本号一致时，确定所述IOT设备存在漏洞。

3.根据权利要求2所述的物联网防护方法，其特征在于，所述IOT云代理平台确定IOT设备存在漏洞之前，还包括：

所述IOT云代理平台接收所述IOT设备发送的基线数据以及情报设备发送的威胁信息；其中，所述威胁信息包括所述软件包b的标识、所述软件包b的版本号以及所述软件包b的威胁攻击等级。

4.一种物联网防护方法，其特征在于，包括：

IOT设备接收IOT云代理平台发送的漏洞虚拟补丁；所述漏洞虚拟补丁由所述IOT云代理平台根据基线数据查找第一数据库获取，所述基线数据包括软件包a的标识以及所述软件包a的版本号，所述软件包a为在所述IOT设备中安装的业务功能软件；

所述IOT设备根据所述漏洞虚拟补丁对所述软件包a进行修复生成软件包c；

所述IOT设备接收所述IOT云代理平台发送的软件包b的版本号、所述漏洞虚拟补丁的等级、所述软件包c以及所述软件包b的威胁攻击等级；其中所述软件包b为对所述IOT设备产生威胁的软件；

所述IOT设备根据所述软件包b的版本号查找第二数据库获取渗透测试软件；

所述IOT设备根据所述渗透测试软件、所述漏洞虚拟补丁的等级以及所述软件包b的威胁攻击等级验证所述漏洞虚拟补丁的有效性，并生成响应信息发送至所述IOT云代理平台，以便所述IOT云代理平台确定所述响应信息为所述漏洞虚拟补丁有效时，将所述漏洞虚拟补丁发送至其它IOT设备。

5.根据权利要求4所述的物联网防护方法，其特征在于，所述IOT设备根据所述渗透测试软件、所述漏洞虚拟补丁的等级、所述软件包c以及所述软件包b的威胁攻击等级验证所述漏洞虚拟补丁的有效性，具体包括：

所述IOT设备若确定所述软件包b的威胁攻击等级与所述漏洞虚拟补丁的等级匹配，且所述软件包c能够抵挡所述渗透测试软件的攻击时，则所述漏洞虚拟补丁有效。

6.一种IOT云代理平台，其特征在于，包括：

处理单元，用于确定IOT设备存在漏洞后，根据基线数据查找第一数据库中对应的漏洞虚拟补丁；

发送单元，用于将所述处理樊元查找的所述漏洞虚拟补丁发送至所述IOT设备，以便所述IOT设备根据所述漏洞虚拟补丁对软件包a进行修复生成软件包c；其中，所述基线数据包括所述软件包a的标识以及所述软件包a的版本号，所述软件包a为在所述IOT设备中安装的业务功能软件；

所述发送单元，还用于将软件包b的版本号、所述漏洞虚拟补丁的等级以及所述软件包b的威胁攻击等级发送至所述IOT设备；其中所述软件包b为对所述IOT设备产生威胁的软件；

接收单元，用于接收所述IOT设备发送的响应信息；其中，所述响应信息由所述IOT设备根据所述软件包b的威胁攻击等级、所述漏洞虚拟补丁的等级、所述软件包c以及渗透测试软件验证所述漏洞虚拟补丁的有效性生成；所述渗透测试软件由所述IOT设备根据所述软件包b的版本号查找第二数据库获取；

所述发送单元，还用于所述处理单元确定所述响应信息为所述漏洞虚拟补丁有效时，将所述漏洞虚拟补丁发送至其它IOT设备。

7.根据权利要求6所述的IOT云代理平台，其特征在于，包括：

所述处理单元，具体用于确定所述软件包a的标识与所述软件包b的标识一致、所述软件包a的版本号与所述软件包b的版本号一致时，确定所述IOT设备存在漏洞。

8.根据权利要求7所述的IOT云代理平台，其特征在于，包括：

所述接收单元，还用于接收所述IOT设备发送的基线数据以及情报设备发送的威胁信息；其中，所述威胁信息包括所述软件包b的标识、所述软件包b的版本号以及所述软件包b的威胁攻击等级。

9.一种IOT设备，其特征在于，包括：

接收单元，用于接收IOT云代理平台发送的漏洞虚拟补丁；所述漏洞虚拟补丁由所述IOT云代理平台根据基线数据查找第一数据库获取，所述基线数据包括软件包a的标识以及所述软件包a的版本号，所述软件包a为在所述IOT设备中安装的业务功能软件；

处理单元，用于根据所述接收单元接收的所述漏洞虚拟补丁对所述软件包a进行修复生成软件包c；

所述接收单元，还用于接收所述IOT云代理平台发送的软件包b的版本号、所述漏洞虚拟补丁的等级、所述软件包c以及所述软件包b的威胁攻击等级；其中所述软件包b为对所述IOT设备产生威胁的软件；

所述处理单元，用于根据所述接收单元接收的所述软件包b的版本号查找第二数据库获取渗透测试软件；

所述处理单元，还用于根据所述渗透测试软件、所述接收单元接收的所述漏洞虚拟补丁的等级以及所述接收单元接收的所述软件包b的威胁攻击等级验证所述漏洞虚拟补丁的有效性，并生成响应信息；

发送单元，用于将所述处理单元生成的所述响应信息发送至所述IOT云代理平台，以便所述IOT云代理平台确定所述响应信息为所述漏洞虚拟补丁有效时，将所述漏洞虚拟补丁发送至其它IOT设备。

10.根据权利要求9所述的IOT设备，其特征在于，包括：

所述处理单元，具体用于确定所述软件包b的威胁攻击等级与所述漏洞虚拟补丁的等级匹配，且所述软件包c能够抵挡所述渗透测试软件的攻击时，则所述漏洞虚拟补丁有效。

11.一种物联网防护系统，其特征在于，包括：如权利要求6-8任一项所述的IOT云代理平台以及如权利要求9或10所述的IOT设备。