CN110837645B - 异构冗余内网漏洞库更新方法及系统 - Google Patents

Abstract

本发明属于网络安全技术领域，特别涉及一种异构冗余内网漏洞库更新方法及系统，该方法包含：通过设置与内外网开闭路连接的隔离区，并在所述隔离区内部署至少两个用于运行不同操作系统的异构杀毒服务器；通过隔离区内的异构杀毒服务器对从外网获取的漏洞库文件进行病毒查杀并仲裁；依据病毒查杀仲裁结果得到安全漏洞库文件并将其传输至内网，以实现内网漏洞扫描系统的漏洞库更新。本发明通过使用隔离区分别与外网和内网开闭路连接，将外网自动获取漏洞库文件隔离环境下传输到内网，以实现内部网络自动安全地更新漏洞库，简化手动摆渡更新的繁琐步骤，提高内网漏洞库更新的工作效率，对内网网络安全具有重要的指导意义。

Description

异构冗余内网漏洞库更新方法及系统

技术领域

本发明属于网络安全技术领域，特别涉及一种异构冗余内网漏洞库更新方法及系统。

背景技术

对于隔离的内部网络漏洞扫描系统，其漏洞库必须由外部导入，事实更新的漏洞度数量巨大，使得每一次手动导入漏洞库相当繁琐。很多安全保密级别较高的内部网络服务器不但与外网隔离，而且为了防止摆渡数据携带病毒、木马、蠕虫等造成摆渡攻击，只允许使用光盘刻录在内部网络与外部网络之间进行单向数据流动。在隔离的内部网络之中部署漏洞扫描软件，但是漏洞扫描软件中的漏洞更新服务无法自动获取新发布的更新漏洞库，造成漏洞扫描软件的实时更新非常困难。传统手动摆渡方案使用内网、隔离区、外网。隔离区杀毒软件单一，会跟随摆渡文件引入病毒、木马、蠕虫等有害文件，进而在一定程度上威胁内网网络安全。

发明内容

为此，本发明提供一种异构冗余内网漏洞库更新方法及系统，通过异构冗余的病毒查杀防止被污染的漏洞库文件污染内网，并进一步保证内网运行的安全可靠性。

按照本发明所提供的设计方案，一种异构冗余内网漏洞库更新方法，包含：

通过设置与内外网开闭路连接的隔离区，并在所述隔离区内部署至少两个用于运行不同操作系统的异构杀毒服务器；

通过隔离区内的异构杀毒服务器对从外网获取的漏洞库文件进行病毒查杀并仲裁；

依据病毒查杀仲裁结果得到安全漏洞库文件并将其传输至内网，以实现内网漏洞扫描系统的漏洞库更新。

作为本发明的异构冗余内网漏洞库更新方法，进一步地，外网根据内网软硬件运行环境来访问网络漏洞库，以获取内网当前最新漏洞库文件。

作为本发明的异构冗余内网漏洞库更新方法，进一步地，外网访问网络漏洞库过程中，隔离区与外网处于断开连接状态。

作为本发明的异构冗余内网漏洞库更新方法，进一步地，所述隔离区包含用于与外网开闭路连接的隔离区一，和用于与内网开闭路连接的隔离区二，两者之间开闭路连接；所述异构杀毒服务器部署在隔离区一上，以实现在隔离区一上进行病毒查杀，并对异构杀毒服务器病毒查杀结果进行仲裁；隔离区二接收病毒查杀仲裁后的安全漏洞库文件，并将其传输至内网。

作为本发明的异构冗余内网漏洞库更新方法，进一步地，开闭路连接为：在需要直接传输数据时，待连接的两端处于物理连接状态，其他情形均处于断开连接状态。

作为本发明的异构冗余内网漏洞库更新方法，进一步地，根据仲裁结果对未查出病毒的异构杀毒服务器进行消毒处理；消毒处理过程中，下线异构杀毒服务器并启用其配备的备用杀毒服务器，对下线的异构杀毒服务器进行清洗。

作为本发明的异构冗余内网漏洞库更新方法，进一步地，依据外网下载的漏洞库文件获取其校验特征码，并将其校验特征码与标准校验特征码进行比对，若比对相同，则判定漏洞库文件为安全漏洞库文件；对未获取到校验特征码的情形，依据病毒查杀仲裁结果判定安全漏洞库文件。

进一步地，本发明还提供一种异构冗余内网漏洞库更新系统，包含：

设置在外网，用于从发布漏洞库网站获取漏洞库文件的外网监控服务器；

设置在隔离区，用于与内外网开闭路连接并单向传输漏洞库文件的单向导入服务器，且该单向导入服务器上部署至少两个用于运行不同操作系统的异构杀毒服务器，所述异构杀毒服务器用于对从外网获取的漏洞库文件进行病毒查杀并通过仲裁模块对查杀结果进行仲裁，以获取安全漏洞库文件；

设置在内网，用于接收安全漏洞库文件并进行内网漏洞库更新的内网服务器。

进一步地，本发明还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述的异构冗余内网漏洞库更新方法的步骤。

进一步地，本发明还提供一种服务器，包含存储器和处理器，所述存储器中存有计算机程序，所述处理器调用所述存储器中的计算机程序时实现上述的异构冗余内网漏洞库更新方法的步骤。

本发明的有益效果：

本发明通过使用隔离区分别与外网和内网开闭路连接，将外网自动获取漏洞库文件隔离环境下传输到内网，以实现内部网络自动安全地更新漏洞库，简化手动摆渡更新的繁琐步骤，提高内网漏洞库更新的工作效率，对内网网络安全具有重要的指导意义。

附图说明：

图1为本发明实施例中内网漏洞库更新方法示意图；

图2为本发明实施例中内网补丁更新方法的流程示意图；

图3为本发明实施例中步骤一外网、隔离区A、隔离区B、内网之间的连接关系示意图；

图4为本发明实施例中步骤二外网、隔离区A、隔离区B、内网之间的连接关系示意图；

图5为本发明实施例中步骤三的外网、隔离区A、隔离区B、内网之间的连接关系示意图；

图6为本发明实施例中步骤四的外网、隔离区A、隔离区B、内网之间的连接关系示意图；

图7为本发明实施例中步骤五的外网、隔离区A、隔离区B、内网之间的连接关系示意图。

具体实施方式：

为使本发明的目的、技术方案和优点更加清楚、明白，下面结合附图和技术方案对本发明作进一步详细的说明。

在隔离的内部网络之中部署漏洞扫描软件，但是漏洞扫描软件中的漏洞更新服务无法自动获取新发布的更新漏洞库，造成漏洞扫描软件的实时更新非常困难。为此，本发明实施例中，提供一种异构冗余内网漏洞库更新方法，参见图1所示，包含：

S101、通过设置与内外网开闭路连接的隔离区，并在所述隔离区内部署至少两个用于运行不同操作系统的异构杀毒服务器；

S102、通过隔离区内的异构杀毒服务器对从外网获取的漏洞库文件进行病毒查杀并仲裁；

S103、依据病毒查杀仲裁结果得到安全漏洞库文件并将其传输至内网，以实现内网漏洞扫描系统的漏洞库更新。

通过内外网和隔离区开闭路连接，当外网与隔离区开路时，外网获取漏洞库；当外网与隔离区闭路、内网与隔离区开路时，漏洞库从外网传输至隔离区；当外网与隔离区开路、内网与隔离区闭路时，漏洞库从隔离区传输至内网；当内网与隔离区开路时，并在内网更新漏洞库。防止被污染的漏洞库文件污染内网，能够自动而安全的为内部漏洞扫描系统更新病毒库，提高内网漏洞库文件更新及时性和其更新的效率，有效保证内网信息安全可靠性。

作为本发明实施例中的异构冗余内网漏洞库更新方法，进一步地，外网根据内网软硬件运行环境来访问网络漏洞库，以获取内网当前最新漏洞库文件。外网根据内网的使用的软硬件访问各大漏洞库，下载从内网中以往最新日期漏洞库更新到当前最新漏洞库。

作为本发明实施例中的异构冗余内网漏洞库更新方法，进一步地，外网访问网络漏洞库过程中，隔离区与外网处于断开连接状态。因外网处于因特尔环境下，为保证网络安全应当与隔离区物理隔离，防止发生任何计划外的信息传输。

作为本发明实施例中的异构冗余内网漏洞库更新方法，进一步地，所述隔离区包含用于与外网开闭路连接的隔离区一，和用于与内网开闭路连接的隔离区二，两者之间开闭路连接；所述异构杀毒服务器部署在隔离区一上，以实现在隔离区一上进行病毒查杀，并对异构杀毒服务器病毒查杀结果进行仲裁；隔离区二接收病毒查杀仲裁后的安全漏洞库文件，并将其传输至内网。通过两个隔离区的设置，在漏洞文件传输过程中，能够及时有效地进行文件病毒查杀和内网隔离，保证传输至内网数据的安全性。

作为本发明实施例中的异构冗余内网漏洞库更新方法，进一步地，开闭路连接为：在需要直接传输数据时，待连接的两端处于物理连接状态，其他情形均处于断开连接状态。

参见图2所示，外网与隔离区A物理隔离，并在外网获取漏洞文件；外网与隔离区A物理连接,隔离A区与隔离B区物理相互隔离，内网与隔离区B物理隔离，并将所述漏洞文件从外网传输至隔离A区；外网与隔离区A物理隔离，隔离区A与隔离区B隔离，隔离区B与内网物理隔离，隔离A区对漏洞文件进行分发，可有3种以上运行在不同操作系统的杀毒软件作为异构杀毒服务器分别接收所述漏洞库文件，所述的3种杀毒软件分别对接收的所述漏洞库文件进行查杀，在隔离区A所述的漏洞库文件的查杀结果进行仲裁；外网与隔离区A物理隔离，隔离区A与隔离区B物理连接，隔离区B与内网物理隔离，隔离区B物理接收安全的漏洞库文件；外网与隔离区A物理隔离，隔离区A与隔离区B物理隔离，内网与隔离区B物理连接，并将所述漏洞库文件传输至内网；内网与隔离区B物理断开，并在内网更新漏洞库，以避免被污染的漏洞库文件污染内网，进一步提高内网信息安全。在外网获取漏洞库，可设定为定时访问发布漏洞网站，并获取漏洞文件与索引文件；将漏洞库文件传入隔离区A与隔离B区时，索引文件也传入隔离A区与隔离区B；将漏洞文件从隔离B区传入内网时，索引文件也从隔离B区传入内网。在一些实施方式中，外网包括外网监控服务器，隔离区包括单项导入中间服务器，内网包括内网漏洞存储服务器与多个内网存储终端。外网监控服务器从发布漏洞库的网站下载漏洞库，为一次性下载一个或多个漏洞文件；当一次性下载多个漏洞文件时，所述的杀毒服务器对每个文件分别进行查杀。外网监控服务器从发布漏洞库的网站下载漏洞库，将漏洞库从外网传输至隔离区单项导入中间服务器，通过病毒查杀和仲裁后；漏洞库从单项导入中间服务器传输至内网服务器，以实现内网漏洞库更新。

参加图3所示，外网根据内网的使用的软硬件访问各大漏洞库，下载从内网中以往最新日期漏洞库更新到当前最新漏洞库。在此过程中，外网处于因特尔环境下，为保证网络安全应当与隔离区A物理隔离，防止发生任何计划外的信息传输。参见图4所示，外网在下载完漏洞库之后准备将漏洞库发送到隔离区A。在将补丁发送到隔离区A之前，应当先使隔离区A与隔离区B物理隔离，防止外网与内网之间发生任何计划外的信息传输。参见图5所示，外网与隔离区A物理隔离，隔离区A与隔离区B隔离，并将所述漏洞库在隔离区A中使用异构冗余的杀毒服务器进行脱毒。在隔离A区中漏洞文件传入与杀毒服务器，杀毒服务器1、杀毒服务器2、杀毒服务器3等运行不同操作系统的杀毒服务器，接收漏洞库。并对库文件进行并行查杀。杀毒服务器将杀毒结果输出到仲裁模块上，仲裁模块根据仲裁结果选择一路杀毒服务器输出漏洞文件。

以杀毒服务器种类为3为例，漏洞文件并行传入杀毒服务器1、杀毒服务器2、杀毒服务器3，(0代表无毒、1代表有毒)得到的杀毒结果文件为，000、001、011、111。所述的杀毒文件结果为000，代表所述的漏洞文件无毒，仲裁模块随机选取3个服务器的一个提取漏洞文件；所述杀毒文件结果001，代表漏洞文件有毒，其中有两个杀毒服务器没有发现病毒的存在，仲裁模块选择所述的查杀出病毒，漏洞文件并对文件进行脱毒处理，脱毒处理后的漏洞文件被仲裁模块提取。所述杀毒文件结果为011，代表漏洞文件有毒，其中两个查毒服务器发现病毒，两个查毒发现的病毒相同，对所述的漏洞文件进行脱毒处理，仲裁模块随机选取2个服务器的一个提取漏洞文件，两个查毒服务器发现的病毒不同对所述的漏洞文件各自进行脱毒后，根据查毒文件信息结果对两个文件进行二次脱毒。仲裁器对脱毒后的文件进行随机选取；如果所述杀毒文件的结果为111，代表漏洞文件有毒，其中三个查毒服务器发现病毒，三个查毒发现的病毒相同，对所述的漏洞文件进行脱毒处理，仲裁模块随机选取3个服务器的一个提取漏洞文件，三个查毒服务器发现的病毒不同对所述的漏洞文件各自进行脱毒后，根据查毒文件信息结果对两个文件进行二次脱毒。仲裁器对脱毒后的文件进行随机选取。图5中，外网与隔离区A进行物理隔离，隔离区A与隔离区B进行物理隔离，防止外网与内网之间发生任何计划外的信息传输。

作为本发明实施例中的异构冗余内网漏洞库更新方法，进一步地，根据仲裁结果对未查出病毒的异构杀毒服务器进行消毒处理；消毒处理过程中，下线异构杀毒服务器并启用其配备的备用杀毒服务器，对下线的异构杀毒服务器进行清洗。

图6中，外网与隔离区A物理隔离，隔离区A与隔离区B物理连接，隔离区B与内网物理隔离，隔离区B物理接收安全的漏洞库文件。对未完全查出病毒的查毒服务器进行消毒处理，防止查毒服务器被有毒文件传染，消毒的方式可以是下线启用备用查毒服务器，等再次清洗完成后等待再次启用。

作为本发明实施例中的异构冗余内网漏洞库更新方法，进一步地，依据外网下载的漏洞库文件获取其校验特征码，并将其校验特征码与标准校验特征码进行比对，若比对相同，则判定漏洞库文件为安全漏洞库文件；对未获取到校验特征码的情形，依据病毒查杀仲裁结果判定安全漏洞库文件。

可根据下载到的漏洞库的校验特征码与官方发布的校验特征码相比对，相同可以认为漏洞库传输成功并且没有收到污染，冗余的判定漏洞库是否安全；对于没有校验特征码的漏洞库，以在隔离区A仲裁的结果为准。

图7中，外网与隔离区A物理隔离，隔离区A与隔离区B物理隔离，内网与隔离区B物理连接,并将所述漏洞库文件传输至内网。内网与隔离区开路，并在内网更新所述漏洞库。

进一步地，本发明实施例还提供一种异构冗余内网漏洞库更新系统，包含：

设置在外网，用于从发布漏洞库网站获取漏洞库文件的外网监控服务器；

设置在隔离区，用于与内外网开闭路连接并单向传输漏洞库文件的单向导入服务器，且该单向导入服务器上部署至少两个用于运行不同操作系统的异构杀毒服务器，所述异构杀毒服务器用于对从外网获取的漏洞库文件进行病毒查杀并通过仲裁模块对查杀结果进行仲裁，以获取安全漏洞库文件；

设置在内网，用于接收安全漏洞库文件并进行内网漏洞库更新的内网服务器。

从上述实例中可以看出，本发明实施例提供的内网补丁更新方法，通过使用隔离区分别与外网内网开闭路连接，将外网自动获取的漏洞库独立传输到内网中，防止被污染的漏洞库文件污染内网，能够自动而安全的为内部网络更新病毒库，提高内网漏洞库文件更新效率和及时性。

除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对步骤、数字表达式和数值并不限制本发明的范围。

基于上述的方法，本发明实施例还提供一种服务器，包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现上述的方法。

基于上述的方法，本发明实施例还提供一种计算机可读介质，其上存储有计算机程序，其中，该程序被处理器执行时实现上述的方法。

本发明实施例所提供的系统/装置，其实现原理及产生的技术效果和前述方法实施例相同，为简要描述，系统/装置实施例部分未提及之处，可参考前述方法实施例中相应内容。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统/装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在这里示出和描述的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制，因此，示例性实施例的其他示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可执行的非易失的计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (8)

1.一种异构冗余内网漏洞库更新方法，其特征在于，包含：

通过设置与内外网开闭路连接的隔离区，并在所述隔离区内部署至少两个用于运行不同操作系统的异构杀毒服务器；

通过隔离区内的异构杀毒服务器对从外网获取的漏洞库文件进行病毒查杀并仲裁；

依据病毒查杀仲裁结果得到安全漏洞库文件并将其传输至内网，以实现内网漏洞扫描系统的漏洞库更新；

所述隔离区包含用于与外网开闭路连接的隔离区一，和用于与内网开闭路连接的隔离区二，两者之间开闭路连接；所述异构杀毒服务器部署在隔离区一上，以实现在隔离区一上进行病毒查杀，并对异构杀毒服务器病毒查杀结果进行仲裁；隔离区二接收病毒查杀仲裁后的安全漏洞库文件，并将其传输至内网；

根据仲裁结果对未查出病毒的异构杀毒服务器进行消毒处理；消毒处理过程中，下线异构杀毒服务器并启用其配备的备用杀毒服务器，对下线的异构杀毒服务器进行清洗。

2.根据权利要求1所述的异构冗余内网漏洞库更新方法，其特征在于，外网根据内网软硬件运行环境来访问网络漏洞库，以获取内网当前最新漏洞库文件。

3.根据权利要求2所述的异构冗余内网漏洞库更新方法，其特征在于，外网访问网络漏洞库过程中，隔离区与外网处于断开连接状态。

4.根据权利要求1~3任一项所述的异构冗余内网漏洞库更新方法，其特征在于，开闭路连接为：在需要直接传输数据时，待连接的两端处于物理连接状态，其他情形均处于断开连接状态。

5.根据权利要求1所述的异构冗余内网漏洞库更新方法，其特征在于，依据外网下载的漏洞库文件获取其校验特征码，并将其校验特征码与标准校验特征码进行比对，若比对相同，则判定漏洞库文件为安全漏洞库文件；对未获取到校验特征码的情形，依据病毒查杀仲裁结果判定安全漏洞库文件。

6.一种异构冗余内网漏洞库更新系统，其特征在于，基于权利要求1所述的方法实现，包含：

设置在外网，用于从发布漏洞库网站获取漏洞库文件的外网监控服务器；

设置在隔离区，用于与内外网开闭路连接并单向传输漏洞库文件的单向导入服务器，在该单向导入服务器上部署至少两个用于运行不同操作系统的异构杀毒服务器，所述异构杀毒服务器用于对从外网获取的漏洞库文件进行病毒查杀并通过仲裁模块对查杀结果进行仲裁，以获取安全漏洞库文件；

设置在内网，用于接收安全漏洞库文件并进行内网漏洞库更新的内网服务器。

7.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1~5任一项所述的异构冗余内网漏洞库更新方法的步骤。

8.一种服务器，其特征在于，包含存储器和处理器，所述存储器中存有计算机程序，所述处理器调用所述存储器中的计算机程序时实现如权利要求1~5任一项所述的异构冗余内网漏洞库更新方法的步骤。

Images