CN112016093A - 一种用于漏洞标记的方法 - Google Patents
一种用于漏洞标记的方法 Download PDFInfo
- Publication number
- CN112016093A CN112016093A CN202010802992.5A CN202010802992A CN112016093A CN 112016093 A CN112016093 A CN 112016093A CN 202010802992 A CN202010802992 A CN 202010802992A CN 112016093 A CN112016093 A CN 112016093A
- Authority
- CN
- China
- Prior art keywords
- vulnerability
- information
- component
- library
- loophole
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 27
- 230000008439 repair process Effects 0.000 claims description 9
- 238000011161 development Methods 0.000 claims description 5
- 230000007547 defect Effects 0.000 abstract description 3
- 238000004458 analytical method Methods 0.000 description 2
- 238000007726 management method Methods 0.000 description 2
- 238000004891 communication Methods 0.000 description 1
- 238000012790 confirmation Methods 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000003203 everyday effect Effects 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 230000008569 process Effects 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- 230000004044 response Effects 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 238000013024 troubleshooting Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/577—Assessing vulnerabilities and evaluating computer system security
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1433—Vulnerability analysis
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Computing Systems (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Stored Programmes (AREA)
Abstract
本发明涉及漏洞标记，具体涉及一种用于漏洞标记的方法，访问国内外漏洞披露平台，获取发布的漏洞信息，将漏洞信息以统一格式存储至本地漏洞库，调度组件识别模块自动标记组件库中组件的新增漏洞，并与漏洞信息自动匹配，人工审核自动匹配结果，判断漏洞信息与组件库中组件对应的漏洞是否吻合，将匹配好的漏洞信息存储至标记关系库；本发明提供的技术方案能够有效克服现有技术所存在的漏洞信息与组件对应漏洞匹配的准确度较低、效率较低的缺陷。
Description
技术领域
本发明涉及漏洞标记，具体涉及一种用于漏洞标记的方法。
背景技术
在软硬件系统的开发过程中，通常会引用各类的组件，实现不同的功能。但是，不同的组件会存在各种已知或未知的安全漏洞，部分重要的组件和严重的安全漏洞可能会导致全部产品存在致命性安全隐患，容易被利用造成经济损失，并对产品造成影响。所以，及时对组件漏洞进行修复和升级非常重要。
随着网络技术的日益发展，信息安全越来越得到人们的重视，传统的安全漏洞信息通常由官方或权威机构采集、整理和发布。但是，由于安全漏洞信息通常由多家网站发布，使得安全漏洞消息的来源比较分散，并且各漏洞发布机构之间缺少沟通，每个发布机构所提供的漏洞基础信息也不一致，同一网站在不同板块发布安全漏洞信息的展示方法也不同，从而导致企业不能获取与自身直接相关的全部安全漏洞信息。
安全漏洞事件的预警，最常见的场景是，当一个新漏洞爆发后，网络安全监管部门进行该漏洞事件的预警响应。现阶段对组件漏洞进行处理主要存在如下问题：
1、组件规模日益扩大，导致漏洞种类繁多，数量巨大，而漏洞修补需要人工对每个组件进行发现、确认和研究，分析效率低下；
2、由于每个组件对于新漏洞及修补时间不一致，组件种类过多，导致无法及时发现漏洞并修补，如果要对每类组件及组件每个版本漏洞进行统计追踪，需要人工执行几万次冗余的操作，耗费大量时间、人力成本；
3、当前所有自动化漏洞扫描和管理均是基于扫描探测服务进行的，对于不与外部通信的组件漏洞难以发现，容易造成漏报，给企业和产品带来风险；
4、漏洞扫描都需要定期更新漏洞库，无法及时响应24小时内的0-day漏洞，时间上的滞后容易使漏洞造成更大、更深远的影响。
发明内容
(一)解决的技术问题
针对现有技术所存在的上述缺点，本发明提供了一种用于漏洞标记的方法，能够有效克服现有技术所存在的漏洞信息与组件对应漏洞匹配的准确度较低、效率较低的缺陷。
(二)技术方案
为实现以上目的，本发明通过以下技术方案予以实现：
一种用于漏洞标记的方法，包括以下步骤：
S1、访问国内外漏洞披露平台，获取发布的漏洞信息；
S2、将漏洞信息以统一格式存储至本地漏洞库；
S3、调度组件识别模块自动标记组件库中组件的新增漏洞，并与漏洞信息自动匹配；
S4、人工审核自动匹配结果，判断漏洞信息与组件库中组件对应的漏洞是否吻合；
S5、将匹配好的漏洞信息存储至标记关系库。
优选地，通过模拟HTTP/HTTPS协议或调用浏览器模拟对网站的访问行为对所述国内外漏洞披露平台进行访问；
所述获取发布的漏洞信息包括：成功访问网站后，获取网页源代码，对源代码中的漏洞进行进行定位，解析页面中的漏洞信息。
优选地，所述国内外漏洞披露平台包括CVE、NVD、CNNVD、CNVD。
优选地，所述与漏洞信息自动匹配，包括以下步骤：
S1、对获取发布的漏洞信息提取有效关键信息；
S2、将有效关键信息与组件库中组件对应的漏洞进行自动匹配，并将有效关键信息以预设格式保存至本地漏洞库。
优选地，自动匹配到有效关键信息的所述组件库中组件对应的漏洞置为待标记状态；人工审核后的组件库中组件对应的漏洞置为已标记状态。
优选地，所述有效关键信息的预设格式要求包括：漏洞名称、漏洞内容、漏洞作者、漏洞访问链接、漏洞获取时间、漏洞危害级别、漏洞获取来源、漏洞评分、CVE-ID、CPE、CVSS、漏洞组件、影响组件版本、修复补丁地址、修复版本。
优选地，所述组件库的预设格式要求包括组件名称、组件库信息，所述组件库信息包括特定文件的MD5、正常页面或错误页面中包含的关键字、请求头信息的关键字匹配、部分URL中包含的关键字、开发语言的识别。
优选地，所述组件名称存在于漏洞信息中，并且为该漏洞影响的组件。
优选地，所述人工审核自动匹配结果，判断漏洞信息与组件库中组件对应的漏洞是否吻合包括：人工依照安全经验判断漏洞信息与组件的对应关系是否正确。
(三)有益效果
与现有技术相比，本发明所提供的一种用于漏洞标记的方法，能够利用多个漏洞披露平台，实现从不同的安全漏洞信息发布网站获取全部安全漏洞信息，并且将漏洞信息与组件进行自动匹配，再对自动匹配结果进行人工审核，保证漏洞信息匹配的准确度；省去大量人工统计、分析、跟踪的工作，有效解决因引用第三方组件、中间件、工具而导致的安全漏洞组件不明确问题，提升资产快速排查漏洞的能力。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明流程示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
一种用于漏洞标记的方法，如图1所示，访问国内外漏洞披露平台，获取发布的漏洞信息。
通过模拟HTTP/HTTPS协议或调用浏览器模拟对网站的访问行为对国内外漏洞披露平台进行访问。其中，设定每天定时自动获取包括CVE、NVD、CNNVD、CNVD在内的国内外漏洞披露上发布的漏洞信息。
获取发布的漏洞信息包括：成功访问网站后，获取网页源代码，对源代码中的漏洞进行进行定位，解析页面中的漏洞信息。将漏洞信息以统一格式存储至本地漏洞库。
调度组件识别模块自动标记组件库中组件的新增漏洞，并与漏洞信息自动匹配，包括以下步骤：
S1、对获取发布的漏洞信息提取有效关键信息；
S2、将有效关键信息与组件库中组件对应的漏洞进行自动匹配，并将有效关键信息以预设格式保存至本地漏洞库。
自动匹配到有效关键信息的组件库中组件对应的漏洞置为待标记状态。
有效关键信息的预设格式要求包括：漏洞名称、漏洞内容、漏洞作者、漏洞访问链接、漏洞获取时间、漏洞危害级别、漏洞获取来源、漏洞评分、CVE-ID、CPE、CVSS、漏洞组件、影响组件版本、修复补丁地址、修复版本。
组件库的预设格式要求包括组件名称、组件库信息，组件库信息包括特定文件的MD5、正常页面或错误页面中包含的关键字、请求头信息的关键字匹配、部分URL中包含的关键字、开发语言的识别。组件名称存在于漏洞信息中，并且为该漏洞影响的组件。其中，正常页面就是浏览器访问的正常页面，错误页面就比如页面不存在的页面，请求头就是页面返回的信息。
自动匹配根据组件名称、组件库信息、同一组件的多个别名进行，而查看组件对应的全部漏洞信息，包括以下步骤：
S1、通过组件与漏洞的标记关系库，获取组件漏洞；
S2、识别同一组件的多个别名，并汇总为同一组件对应的漏洞。
组件与漏洞的标记关系库的预设格式要求包括：漏洞名称、漏洞内容、漏洞作者、漏洞访问链接、漏洞获取时间、漏洞危害级别、漏洞获取来源、漏洞评分、CVE-ID、CPE、CVSS、漏洞组件、影响组件版本、修复补丁地址、修复版本、组件ID、标记信息。
人工审核自动匹配结果，判断漏洞信息与组件库中组件对应的漏洞是否吻合，人工依照安全经验判断漏洞信息与组件的对应关系是否正确，人工审核后的组件库中组件对应的漏洞置为已标记状态，再将匹配好的漏洞信息存储至标记关系库。
本申请技术方案中，还可以对人工审核后的匹配结果进行人工统一管理，通过一次匹配进行多次使用，便于直接展示组件的漏洞信息。
以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不会使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。
Claims (9)
1.一种用于漏洞标记的方法，其特征在于：包括以下步骤：
S1、访问国内外漏洞披露平台，获取发布的漏洞信息；
S2、将漏洞信息以统一格式存储至本地漏洞库；
S3、调度组件识别模块自动标记组件库中组件的新增漏洞，并与漏洞信息自动匹配；
S4、人工审核自动匹配结果，判断漏洞信息与组件库中组件对应的漏洞是否吻合；
S5、将匹配好的漏洞信息存储至标记关系库。
2.根据权利要求1所述的用于漏洞标记的方法，其特征在于：通过模拟HTTP/HTTPS协议或调用浏览器模拟对网站的访问行为对所述国内外漏洞披露平台进行访问；
所述获取发布的漏洞信息包括：成功访问网站后，获取网页源代码，对源代码中的漏洞进行进行定位，解析页面中的漏洞信息。
3.根据权利要求2所述的用于漏洞标记的方法，其特征在于：所述国内外漏洞披露平台包括CVE、NVD、CNNVD、CNVD。
4.根据权利要求1所述的用于漏洞标记的方法，其特征在于：所述与漏洞信息自动匹配，包括以下步骤：
S1、对获取发布的漏洞信息提取有效关键信息；
S2、将有效关键信息与组件库中组件对应的漏洞进行自动匹配，并将有效关键信息以预设格式保存至本地漏洞库。
5.根据权利要求4所述的用于漏洞标记的方法，其特征在于：自动匹配到有效关键信息的所述组件库中组件对应的漏洞置为待标记状态；人工审核后的组件库中组件对应的漏洞置为已标记状态。
6.根据权利要求4所述的用于漏洞标记的方法，其特征在于：所述有效关键信息的预设格式要求包括：漏洞名称、漏洞内容、漏洞作者、漏洞访问链接、漏洞获取时间、漏洞危害级别、漏洞获取来源、漏洞评分、CVE-ID、CPE、CVSS、漏洞组件、影响组件版本、修复补丁地址、修复版本。
7.根据权利要求4所述的用于漏洞标记的方法，其特征在于：所述组件库的预设格式要求包括组件名称、组件库信息，所述组件库信息包括特定文件的MD5、正常页面或错误页面中包含的关键字、请求头信息的关键字匹配、部分URL中包含的关键字、开发语言的识别。
8.根据权利要求7所述的用于漏洞标记的方法，其特征在于：所述组件名称存在于漏洞信息中，并且为该漏洞影响的组件。
9.根据权利要求1所述的用于漏洞标记的方法，其特征在于：所述人工审核自动匹配结果，判断漏洞信息与组件库中组件对应的漏洞是否吻合包括：人工依照安全经验判断漏洞信息与组件的对应关系是否正确。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010802992.5A CN112016093A (zh) | 2020-08-11 | 2020-08-11 | 一种用于漏洞标记的方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010802992.5A CN112016093A (zh) | 2020-08-11 | 2020-08-11 | 一种用于漏洞标记的方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN112016093A true CN112016093A (zh) | 2020-12-01 |
Family
ID=73504530
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202010802992.5A Pending CN112016093A (zh) | 2020-08-11 | 2020-08-11 | 一种用于漏洞标记的方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN112016093A (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN113449306A (zh) * | 2021-09-02 | 2021-09-28 | 湖南省佳策测评信息技术服务有限公司 | 一种基于软件源代码分析的安全漏洞预警方法及系统 |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106911694A (zh) * | 2017-02-28 | 2017-06-30 | 广东电网有限责任公司信息中心 | 一种基于android漏洞知识库自动更新的方法 |
| CN109918285A (zh) * | 2018-12-28 | 2019-06-21 | 北京奇安信科技有限公司 | 一种开源软件的安全识别方法及装置 |
| CN110543767A (zh) * | 2019-08-10 | 2019-12-06 | 苏州浪潮智能科技有限公司 | 一种针对开源组件漏洞自动化监控方法及系统 |
| CN110768977A (zh) * | 2019-10-21 | 2020-02-07 | 中国民航信息网络股份有限公司 | 一种安全漏洞信息的抓取方法及系统 |
| CN112016091A (zh) * | 2020-07-17 | 2020-12-01 | 安徽三实信息技术服务有限公司 | 一种基于组件识别的漏洞预警信息生成方法 |
-
2020
- 2020-08-11 CN CN202010802992.5A patent/CN112016093A/zh active Pending
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106911694A (zh) * | 2017-02-28 | 2017-06-30 | 广东电网有限责任公司信息中心 | 一种基于android漏洞知识库自动更新的方法 |
| CN109918285A (zh) * | 2018-12-28 | 2019-06-21 | 北京奇安信科技有限公司 | 一种开源软件的安全识别方法及装置 |
| CN110543767A (zh) * | 2019-08-10 | 2019-12-06 | 苏州浪潮智能科技有限公司 | 一种针对开源组件漏洞自动化监控方法及系统 |
| CN110768977A (zh) * | 2019-10-21 | 2020-02-07 | 中国民航信息网络股份有限公司 | 一种安全漏洞信息的抓取方法及系统 |
| CN112016091A (zh) * | 2020-07-17 | 2020-12-01 | 安徽三实信息技术服务有限公司 | 一种基于组件识别的漏洞预警信息生成方法 |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN113449306A (zh) * | 2021-09-02 | 2021-09-28 | 湖南省佳策测评信息技术服务有限公司 | 一种基于软件源代码分析的安全漏洞预警方法及系统 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN112182588B (zh) | 基于威胁情报的操作系统漏洞分析检测方法及系统 | |
| CN112016091A (zh) | 一种基于组件识别的漏洞预警信息生成方法 | |
| CN106411578A (zh) | 一种适应于电力行业的网站监控系统及方法 | |
| CN109165170B (zh) | 一种自动化请求测试的方法及系统 | |
| CN109254912A (zh) | 一种自动化测试的方法及装置 | |
| CN112540924A (zh) | 接口自动化测试方法、装置、设备及存储介质 | |
| CN103581185A (zh) | 对抗免杀测试的云查杀方法、装置及系统 | |
| CN105069138A (zh) | 一种关联分析系统及方法 | |
| CN104899134A (zh) | 域名注册服务器自动化测试系统和方法 | |
| CN112016093A (zh) | 一种用于漏洞标记的方法 | |
| CN110334523B (zh) | 一种漏洞检测方法、装置、智能终端及存储介质 | |
| CN111125066A (zh) | 检测数据库审计设备功能的方法及装置 | |
| CN116668107A (zh) | 一种自动巡查及网络攻击溯源方法 | |
| CN116248393A (zh) | 一种内网数据传输漏洞扫描装置及系统 | |
| CN114637739B (zh) | 数据库管控方法、系统、计算机设备及计算机存储介质 | |
| CN111831698B (zh) | 一种数据稽核方法、系统和电子设备 | |
| CN111582754B (zh) | 风险排查方法、装置、设备及计算机可读存储介质 | |
| CN110807037B (zh) | 一种数据修改方法、装置、电子设备及存储介质 | |
| CN111680974B (zh) | 电子化承保流程的问题定位方法及装置 | |
| CN112131090B (zh) | 业务系统性能监控方法及装置、设备及介质 | |
| CN113918405A (zh) | 一种日志监控方法及装置、电子设备和存储介质 | |
| CN112613069A (zh) | 一种基于负面清单数据资源的自动脱敏方法 | |
| CN112632247A (zh) | 工时报告检测方法、装置、计算机设备及存储介质 | |
| CN116401714B (zh) | 安全信息获取方法、装置、设备及介质 | |
| CN114860549B (zh) | 埋点数据校验方法、装置、设备和存储介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20201201 |
|
| RJ01 | Rejection of invention patent application after publication |