CN111695120A

CN111695120A - 信息系统安全深度威胁预警系统及方法

Info

Publication number: CN111695120A
Application number: CN202010537452.9A
Authority: CN
Inventors: 尚旭光; 王李乐; 王胜
Original assignee: Third Research Institute of the Ministry of Public Security
Current assignee: Third Research Institute of the Ministry of Public Security
Priority date: 2020-06-12
Filing date: 2020-06-12
Publication date: 2020-09-22

Abstract

本发明公开了信息系统安全深度威胁预警系统及方法，该方案通过建立信息系统内部资产清单构成基础信息库，以及建立漏洞信息库，实时获取更新漏洞信息；再通过对漏洞信息进行匹配，并精确定位到信息系统中的具体设备；在匹配成功后，自动生成漏洞通报。本方案能够主动及时发现信息系统中所存在的漏洞，并主动及时通知相应的安全维护人员，对存在安全威胁实现精确预警，大大提高信息系统的安全性。

Description

信息系统安全深度威胁预警系统及方法

技术领域

本发明涉及网络安全技术，具体涉及信息系统安全监测技术。

背景技术

网络应用已经深入我们的日常工作、生活，越来越多的系统已经成为人们日常生活、工作的重要依托和扩展。一方面，广泛应用的网络信息系统为我们提高了工作效率、节约了时间、拓展了信息来源；另一方面，信息系统存在的安全漏洞又给我们的个人、单位乃至社会的敏感内容带来了前所未有的潜在的泄露的风险。网络信息系统安全也引起了全社会的广泛重视。在以上背景下，网络安全检测及监测技术越来越多的出现。

传统的安全检测、安全监测，通过互联网络，对信息系统进行远程、本地的监测，但多数技术是被动的发现、基于明显问题的发现，监测结果具有相当的滞后性和局限性。

由此可见，提供一种主动的网络安全检测及监测技术是本领域亟需解决的技术问题。

发明内容

针对现有网络安全检测及监测技术采用被动发现方案，使得监测结果存在相当的滞后性和局限性的问题，本发明的目的在于提供一种主动发现网络系统安全威胁的预警方案，以保证网络系统的高安全性。

为了达到上述目的，本发明具体采用如下方案：

方案1：提供一种信息系统安全深度威胁预警系统，所述预警系统包括：

基础信息库，所述基础信息库内建立信息系统内部资产清单；

漏洞信息库，所述漏洞信息库内实时获取并存储各种漏洞信息；

漏洞影响判断模块，所述漏洞影响判断模块将漏洞信息库中获取到的漏洞信息与基础信息库中内部资产清单对应设备信息进行匹配，并定位到具体的设备；

通报生成模块，所述通报生成模块根据漏洞影响判断模块匹配的结果自动生成漏洞通报。

优选的，所述信息系统内部资产清单包括信息系统中对外及非对外提供服务的所有应用、服务器、网络设备、安全设备的信息。

优选的，所述信息包括名称，操作系统类型及版本，数据库版本，主要应用程序名称及版本，设备唯一标识，运营单位名称，主要负责人员联系方式。

方案2：提供一种信息系统安全深度威胁预警方法，该预警方法包括：

建立信息系统内部资产清单；

实时获取更新漏洞信息；

对漏洞信息进行匹配，并精确定位到信息系统中的具体设备；

在匹配成功后，自动生成漏洞通报。

基于上述方案构成的信息系统安全深度威胁预警方案能够主动及时发现信息系统中所存在的漏洞，并主动及时通知相应的安全维护人员，对存在安全威胁实现精确预警，大大提高信息系统的安全性。

再者，本预警方案性能稳定可靠，其结果精确度高，实时性强，具有极大的应用前景。

附图说明

以下结合附图和具体实施方式来进一步说明本发明。

图1为本发明实例中信息系统安全深度威胁预警系统的原理图；

图2为本发明实例中信息系统安全深度威胁预警的流程图。

具体实施方式

为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体图示，进一步阐述本发明。

参见图1，其所是为本方案中信息系统安全深度威胁预警系统的原理图。由图可知，该预警系统100主要包括基础信息库110、漏洞信息库120、漏洞影响判断模块130以及通报生成模块140四个功能单元。

其中，基础信息库110，用于在内部建立相应的信息系统内部资产清单。

该信息系统内部资产清单主要包括信息系统对外及非对外提供服务的相关应用、服务器、网络设备、安全设备的信息。

相关设备的信息具体包括：名称、操作系统类型及版本、数据库版本、主要应用程序名称及版本、设备唯一标识、运营单位名称、主要负责人员联系方式等。

根据需要相关设备的信息还可以包括其它相关的信息。

对于预警系统中的漏洞信息库120，其用于实时获取并存储各种漏洞信息。

对于预警系统中的漏洞影响判断模块130，其分别与漏洞信息库120和基础信息库110数据通信，用于将漏洞信息库中获取到的漏洞信息与基础信息库中内部资产清单对应设备信息进行深度匹配，并定位到具体的设备。

对于预警系统中的通报生成模块140，其与漏洞影响判断模块130数据通信，用于根据漏洞影响判断模块130匹配的结果自动生成通报。

在具体实施时，本通报生成模块140优选在漏洞影响判断模块130匹配成功后，再进行自动生成漏洞通报。

其中，通报生成模块140可主动向漏洞影响判断模块130发送查询请求，以获取是否有匹配成功的漏洞信息；再收到漏洞影响判断模块130反馈的匹配成功的漏洞信息后，再自动生成响应的漏洞通报。

作为替换方案，由漏洞影响判断模块130主动向通报生成模块140发送匹配成功的漏洞信息。即漏洞影响判断模块130在进行漏洞信息深度匹配时，若匹配不成功，则不向通报生成模块140发送信息，结束本次工作；若匹配成功，则将匹配成功的漏洞信息主动发送至通报生成模块140，通报生成模块140在收到该信息后，再动生成响应的漏洞通报。

另外，由通报生成模块140生成的漏洞通报可通过邮件、短信、即时通讯软件等多种渠道发送至信息系统安全相关人员，信息系统安全的相关人员可根据漏洞通报中相关的漏洞信息对信息系统进行针对性的安全加固，保证系统的安全。

为了进一步提高漏洞通报的安全性，由通报生成模块140生成的漏洞通报在发送信息系统安全相关人员前，可进行相关的过滤(如进行人工过滤)，初步剔除不准确的通报，以降低误报率，提高整个预紧系统的准确度。

据此构成的安全深度威胁预警系统，通过主动、及时的发现最新的漏洞信息，并主动与检测/监测的信息系统中所有的设备进行深度匹配，以发现潜在的安全威胁，并及时提醒信息系统的安全人员，进行针对性的安全加固，消除安全隐患，保证信息系统的安全，真正做到防卫于未然。

基于上述方案构成的信息系统安全深度威胁预警系统，其在对相关信息系统进行检测/监测，并实现安全深度威胁预警的过程如下(参见图2)：

(1)根据检测/监测的信息系统的组成结构，建立信息系统内部资产清单，形成信息系统基础信息库。

这里的清单包括信息系统对外及非对外提供服务的相关应用、服务器、网络设备、安全设备的信息。这些信息具体包括名称、操作系统类型及版本、数据库版本、主要应用程序名称及版本、设备唯一标识、运营单位名称、主要负责人员联系方式等。

(2)建立漏洞信息库，并通过多种渠道实时获取漏洞信息，并更新漏洞信息库中的漏洞信息。

(3)将漏洞信息库的漏洞信息与信息系统基础信息库中信息系统内部资产清单对应的设备信息进行深度匹配，并精确定位到信息系统中的具体设备。

(4)在匹配成功后，根据匹配成功的漏洞信息自动生成漏洞通报。

(5)将生成的漏洞通报发送至信息系统安全相关人员。

根据需要可先将生成的漏洞通报进行人工过滤后，再通过邮件、短信、即时通讯软件等多种渠道发送至信息系统安全相关人员。

由此可实现对信息系统安全威胁的深度发现及预警。

针对上述的信息系统安全深度威胁预警方案，以下通过一具体应用实例来进一步说明。

某对外提供服务的银行系统，在外部购买了渗透测试、网站安全监测等服务，在系统网络边界处部署了防火墙、IDS、病毒墙等安全设备。攻击者从外部网络直接通过应用对内网进行破坏已经比较困难，但是此时网络上突然出现了蠕虫病毒，此病毒可利用邮件、移动存储设备等进入内部，此漏洞可能利用的是几天内刚刚发布的服务器、网络设备或某应用程序的安全漏洞，由于目标在内部网络，可能未能及时更新，导致蠕虫在内部进行破坏。

针对该情况，若在信息系统中应用本信息系统安全深度威胁预警技术，对信息系统进行深度监测。

由此，在以上被蠕虫利用的漏洞刚刚被发布或者未发布但是被深度监测系统的漏洞信息库已经发现；系统安全运维人员将可在第一时间得到漏洞威胁预警，提示某漏洞可能被攻击者或蠕虫利用来进行破坏活动。

此时安全运维人员可在蠕虫发作之前将系统进行安全加固，避免系统遭受一场大规模破坏。

以上显示和描述了本发明的基本原理、主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。

Claims

1.一种信息系统安全深度威胁预警系统，其特征在于，所述预警系统包括：

2.根据权利要求1所述的一种信息系统安全深度威胁预警系统，其特征在于，所述信息系统内部资产清单包括信息系统中对外及非对外提供服务的所有应用、服务器、网络设备、安全设备的信息。

3.根据权利要求2所述的一种信息系统安全深度威胁预警系统，其特征在于，所述信息包括名称，操作系统类型及版本，数据库版本，主要应用程序名称及版本，设备唯一标识，运营单位名称，主要负责人员联系方式。

4.一种信息系统安全深度威胁预警方法，其特征在于，所述预警方法包括：

建立信息系统内部资产清单；

实时获取更新漏洞信息；

在匹配成功后，自动生成漏洞通报。