CN112597506A - 物联网设备高效协同安全漏洞评估方法 - Google Patents
物联网设备高效协同安全漏洞评估方法 Download PDFInfo
- Publication number
- CN112597506A CN112597506A CN202110248653.1A CN202110248653A CN112597506A CN 112597506 A CN112597506 A CN 112597506A CN 202110248653 A CN202110248653 A CN 202110248653A CN 112597506 A CN112597506 A CN 112597506A
- Authority
- CN
- China
- Prior art keywords
- equipment
- vulnerability
- information
- internet
- detection
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/577—Assessing vulnerabilities and evaluating computer system security
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
- G06N5/00—Computing arrangements using knowledge-based models
- G06N5/02—Knowledge representation; Symbolic representation
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Computing Systems (AREA)
- Artificial Intelligence (AREA)
- Computational Linguistics (AREA)
- Data Mining & Analysis (AREA)
- Evolutionary Computation (AREA)
- Mathematical Physics (AREA)
- Computer And Data Communications (AREA)
Abstract
本发明属于物联网技术领域，涉及一种物联网设备高效协同安全漏洞评估方法，步骤1：物联网设备信息整理：获取待评估设备的各类设备信息，将所述设备信息写入物联网设备中；步骤2：设备脆弱性知识谱图构建：根据待评估设备安全检测要求和产品特点构建可扩展的设备脆弱性知识图谱；步骤3：设备脆弱性知识图谱与设备信息进行交互映射，自动完成匹配安全检测内容。本发明能解决现有技术中设备的不确定性的问题，有层次的获取物联设备信息，精准安全漏洞评估，对物联网设备进行可扩展的有效分类，按类别明确安全漏洞评估级别；避免安全漏洞评估中的遗漏；自协商机制，无需人为参与，检测主机与检测设备自主协商，效率大幅度提升。
Description
技术领域
本发明涉及一种物联网设备高效协同安全漏洞评估方法，属于物联网技术领域。
背景技术
物联网被称为继互联网和移动通信网之后的第三次信息产业浪潮，它能够实现物与物、人与物的广泛连接。近些年物联网发展迅猛，正加速渗透到生产、消费和社会管理等各领域，设备规模呈现爆发性增长趋势，已经逐步渗透到人们生产生活的方方面面，为人们及时了解自己周围环境以及辅助日常工作带来便利。
然而物联网应用在将外围传感器、网关和云资源结合起来的同时，由于信息量过大，引入大量潜在的攻击面和安全漏洞，导致物联网将面临更大的风险，遭到前所未有的攻击。
其中物联网设备方面受限于资源，无法提供完善的安全防护。且节点群数目庞大，不易管理控制。节点的通信容易被截取、伪造，以及节点本身也容易被攻击与入侵控制。
不同物联网环境下对安全防范内容与防范级别存在区别，再加上物联网设备种类繁多，从硬件、操作系统、应用功能都存在着较大的差异，现有的安全漏洞评估方法仍较为传统，对所有设备都统一通过同一方式进行安全排查，效率太低，且由于检测过程中节点容易被攻击或入侵，同时加重了风险性，非常不利于物联网的管理和风险防控。导致传统安全防范机制在物联网设备多样性领域的识别存在水土不服的情况，导致现阶段物联网设备安全防范的要求落地的进程受到制约，为未来的发展埋下隐患。
现急需要一种物联网设备的高效安全漏洞评估方法，为夯实物联网快速发展下的安全问题提供真正可执行可落地的方法。
发明内容
为了解决上述技术问题，本发明提供一种物联网设备高效协同安全漏洞评估方法，其具体技术方案如下：
一种物联网设备高效协同安全漏洞评估方法，包括如下步骤：
步骤1：物联网设备信息整理：获取待评估设备的各类设备信息，将所述设备信息写入物联网设备中；
步骤2：设备脆弱性知识谱图构建：根据待评估设备安全检测要求和产品特点构建可扩展的设备脆弱性知识图谱；
步骤3：设备脆弱性知识图谱与设备信息进行交互映射，自动完成匹配安全检测内容：通过三部问询方式，将设备信息与脆弱性知识图谱中内容接口进行对应安全检测，得出安全检测结果。
进一步的，步骤1中所述设备信息包括设备软硬件功能接口信息和版本信息中的至少一种，所述设备软硬件功能接口信息包括硬件平台信息、软件平台信息、外部访问接口信息、通信接口信息和鉴权认证信息。
进一步的，步骤2中所述设备脆弱性知识图谱包括应用层安全漏洞检测列表、操作系统层面安全漏洞检测列表、芯片层面安全漏洞检测列表和物联设备类型安全漏洞检测列表。
进一步的，步骤3中所述三部问询方式问询包括设备类型、设备软硬件信息和设备功能接口信息三方面的设备信息。
进一步的，所述步骤3中得到的安全检测结果中包括漏洞等级，所述漏洞影响等级包括高危漏洞等级、中危漏洞等级和低危漏洞等级，根据不同检测漏洞确定对应于所述检测漏洞的漏洞影响等级，具体如下：
若所述检测漏洞为获取待评估设备控制权，确定所述检测漏洞为高危漏洞等级；
若所述检测漏洞为窃取待评估设备的敏感数据，确定所述检测漏洞为中危漏洞等级；
若所述检测漏洞为影响待评估设备工作，确定所述检测漏洞为低危漏洞等级。
本发明的有益效果是：物联网设备的安全漏洞评估，解决现有技术中对于是哪种设备的不确定性的问题，能有层次系统的获取物联设备信息，为精准的评估安全漏洞提供先决条件，简化后续评估步骤；系统化的脆弱性图谱，避免安全漏洞评估中的遗漏；自协商机制，无需人为参与，检测主机与检测设备自主协商，效率大幅度提升；对物联网设备进行可扩展的有效分类，可按照类别明确安全漏洞评估级别。
附图说明
图1是本发明的技术方案逻辑图；
图2是本发明的设备脆弱性知识图谱；
图3是本发明的三步问询流程图；
图4是本发明的实施例试验示意图；
图5是本发明的实施例输出安全漏洞评估结果。
具体实施方式
现在结合附图对本发明作进一步详细的说明。这些附图均为简化的示意图，仅以示意方式说明本发明的基本结构，因此其仅显示与本发明有关的构成。
如图1和图3所示，本发明的物联网设备高效协同安全漏洞评估方法，包括如下步骤：
步骤1：物联网设备信息整理：获取待评估设备的各类设备信息，将所述设备信息写入物联网设备中；所述设备信息包括设备软硬件功能接口信息和版本信息中的至少一种，所述设备软硬件功能接口信息包括硬件平台信息、软件平台信息、外部访问接口信息、通信接口信息和鉴权认证信息。物联网设备的安全漏洞评估，解决现有技术中对于是哪种设备的不确定性的问题，能有层次系统的获取物联设备信息，为精准的评估安全漏洞提供先决条件，简化后续评估步骤。将上述设备信息写入物联网设备中用于与检测系统自动交互，避免人为干预，提高效率。
步骤2：设备脆弱性知识谱图构建：根据待评估设备安全检测要求和产品特点构建可扩展的设备脆弱性知识图谱；所述设备脆弱性知识图谱包括应用层安全漏洞检测列表、操作系统层面安全漏洞检测列表、芯片层面安全漏洞检测列表和物联设备类型安全漏洞检测列表。系统化脆弱性图谱，避免安全漏洞评估中的遗漏。并通过此知识谱图的构建精准评估安全漏洞，简化评估步骤，避免评估时间过长而带来的风险和隐患。
步骤3：设备脆弱性知识图谱与设备信息进行交互映射，自动完成匹配安全检测内容：通过三部问询方式，将设备信息与脆弱性知识图谱中内容接口进行对应安全检测，得出安全检测结果。所述三部问询方式问询包括设备类型、设备软硬件信息和设备功能接口信息三方面的设备信息。自协商机制，无需人为参与，检测主机与检测设备自主协商，效率大幅度提升得到的安全检测结果中包括漏洞等级，所述漏洞影响等级包括高危漏洞等级、中危漏洞等级和低危漏洞等级。
根据不同检测漏洞确定对应于所述检测漏洞的漏洞影响等级，具体如下：
若所述检测漏洞为获取待评估设备控制权，确定所述检测漏洞为高危漏洞等级；
若所述检测漏洞为窃取待评估设备的敏感数据，确定所述检测漏洞为中危漏洞等级；
若所述检测漏洞为影响待评估设备工作，确定所述检测漏洞为低危漏洞等级。对物联网设备进行可扩展的有效分类，可按照类别明确安全漏洞评估级别。此步骤最后可得出设备中的安全漏洞等级，通过前述的物联网设备协同的方式构成快速高效的安全漏洞评估的完整方案。
取以下实施例为例，证明达到所述的效果：
采用定制版DLINK-850路由器产品进行试验，对应关系如图4所示。
步骤1：获取本设备信息为：
设备名称：Dlink 850L
物联网设备类型：网关设备
硬件平台：高通QCA9563平台
操作系统：OpenWRT
应用软件功能列表：
外部硬件接口：USB、LAN/WAN接口、Wifi接口
软件具有如下功能接口：PPPOE、PPTP、L2TP、DS-lite、DHCP、IPv4/v6、Qos、ACL、DNS、网络防火墙。
步骤2：根据本设备安全检测要求和产品特点构建可扩展的设备脆弱性知识图谱，自动匹配安全漏洞有如下检测内容：
OpenWRT操作系统漏洞扫描
物联网关层相关网络服务漏洞扫描
远程攻击与渗透检测
远程故障注入检测
步骤3：将本设备中信息与步骤2中的待检测内容进行对应检测，得出具体安全漏洞评估结果，结果如下：
CVE-2017-14413：
D-Link DIR-850L REV. A (with firmware through FW114WWb07_h2ab_beta1)devices have XSS in the action parameter to htdocs/web/wpsacts.php.
References：
MISC:https://pierrekim.github.io/blog/2017-09-08-dlink-850l-mydlink-cloud-0days-vulnerabilities.html
CVE-2017-14422
D-Link DIR-850L REV. A (with firmware through FW114WWb07_h2ab_beta1)and REV. B (with firmware through FW208WWb02) devices use the same hardcoded/etc/stunnel.key private key across different customers' installations, whichallows remote attackers to defeat the HTTPS cryptographic protectionmechanisms by leveraging knowledge of this key from another installation.
References：
MISC:https://pierrekim.github.io/blog/2017-09-08-dlink-850l-mydlink-cloud-0days-vulnerabilities.html
CVE-2017-14421
E-Link DIR-850L REV. B (with firmware through FW208WWb02) deviceshave a hardcoded password of wrgac25_dlink.2013gui_dir850l for theAlphanetworks account upon device reset, which allows remote attackers toobtain root access via a TELNET session.
References：
MISC:https://pierrekim.github.io/blog/2017-09-08-dlink-850l-mydlink-cloud-0days-vulnerabilities.html
最终得出该设备有42.86%的中风险，57.14%的低风险。
由此可知，测试主机通过本发明的自动化的交互过程，可以快速感知物联设备的类型，具备的功能，精准定制安全漏洞扫描的内容，避免庞大的安全漏洞评估过程，减少了评估过程中带来的隐患和风险，大幅度提升检测效率。
以上述依据本发明的理想实施例为启示，通过上述的说明内容，相关工作人员完全可以在不偏离本项发明技术思想的范围内，进行多样的变更以及修改。本项发明的技术性范围并不局限于说明书上的内容，必须要根据权利要求范围来确定其技术性范围。
Claims (5)
1.一种物联网设备高效协同安全漏洞评估方法，其特征在于：包括如下步骤：
步骤1：物联网设备信息整理：获取待评估设备的各类设备信息，将所述设备信息写入物联网设备中；
步骤2：设备脆弱性知识谱图构建：根据待评估设备安全检测要求和产品特点构建可扩展的设备脆弱性知识图谱；
步骤3：设备脆弱性知识图谱与设备信息进行交互映射，自动完成匹配安全检测内容：通过三部问询方式，将设备信息与脆弱性知识图谱中内容接口进行对应安全检测，得出安全检测结果。
2.根据权利要求1所述的物联网设备高效协同安全漏洞评估方法，其特征在于：步骤1中所述设备信息包括设备软硬件功能接口信息和版本信息中的至少一种，所述设备软硬件功能接口信息包括硬件平台信息、软件平台信息、外部访问接口信息、通信接口信息和鉴权认证信息。
3.根据权利要求1所述的物联网设备高效协同安全漏洞评估方法，其特征在于：步骤2中所述设备脆弱性知识图谱包括应用层安全漏洞检测列表、操作系统层面安全漏洞检测列表、芯片层面安全漏洞检测列表和物联设备类型安全漏洞检测列表。
4.根据权利要求1所述的物联网设备高效协同安全漏洞评估方法，其特征在于：步骤3中所述三部问询方式问询包括设备类型、设备软硬件信息和设备功能接口信息三方面的设备信息。
5.根据权利要求1所述的物联网设备高效协同安全漏洞评估方法，其特征在于：所述步骤3中得到的安全检测结果中包括漏洞等级，所述漏洞影响等级包括高危漏洞等级、中危漏洞等级和低危漏洞等级，根据不同检测漏洞确定对应于所述检测漏洞的漏洞影响等级，具体如下：
若所述检测漏洞为获取待评估设备控制权，确定所述检测漏洞为高危漏洞等级；
若所述检测漏洞为窃取待评估设备的敏感数据，确定所述检测漏洞为中危漏洞等级；
若所述检测漏洞为影响待评估设备工作，确定所述检测漏洞为低危漏洞等级。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110248653.1A CN112597506B (zh) | 2021-03-08 | 2021-03-08 | 物联网设备高效协同安全漏洞评估方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110248653.1A CN112597506B (zh) | 2021-03-08 | 2021-03-08 | 物联网设备高效协同安全漏洞评估方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN112597506A true CN112597506A (zh) | 2021-04-02 |
| CN112597506B CN112597506B (zh) | 2021-05-28 |
Family
ID=75210296
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202110248653.1A Active CN112597506B (zh) | 2021-03-08 | 2021-03-08 | 物联网设备高效协同安全漏洞评估方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN112597506B (zh) |
Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105119783A (zh) * | 2015-09-30 | 2015-12-02 | 北京奇艺世纪科技有限公司 | 网络请求数据的检测方法及装置 |
| CN108737425A (zh) * | 2018-05-24 | 2018-11-02 | 北京凌云信安科技有限公司 | 基于多引擎漏洞扫描关联分析的脆弱性管理系统 |
| CN109948911A (zh) * | 2019-02-27 | 2019-06-28 | 北京邮电大学 | 一种计算网络产品信息安全风险的评估方法 |
| CN111091285A (zh) * | 2019-12-12 | 2020-05-01 | 国网吉林省电力有限公司电力科学研究院 | 电力终端设备安全风险本体构建方法 |
| CN111163115A (zh) * | 2020-04-03 | 2020-05-15 | 深圳市云盾科技有限公司 | 一种基于双引擎的物联网安全监测方法及系统 |
| CN111800427A (zh) * | 2020-07-08 | 2020-10-20 | 华北电力科学研究院有限责任公司 | 一种物联网设备评估方法、装置及系统 |
| CN112445862A (zh) * | 2020-11-27 | 2021-03-05 | 中国科学院信息工程研究所 | 物联网设备数据集构建方法、装置、电子设备和存储介质 |
-
2021
- 2021-03-08 CN CN202110248653.1A patent/CN112597506B/zh active Active
Patent Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105119783A (zh) * | 2015-09-30 | 2015-12-02 | 北京奇艺世纪科技有限公司 | 网络请求数据的检测方法及装置 |
| CN108737425A (zh) * | 2018-05-24 | 2018-11-02 | 北京凌云信安科技有限公司 | 基于多引擎漏洞扫描关联分析的脆弱性管理系统 |
| CN109948911A (zh) * | 2019-02-27 | 2019-06-28 | 北京邮电大学 | 一种计算网络产品信息安全风险的评估方法 |
| CN111091285A (zh) * | 2019-12-12 | 2020-05-01 | 国网吉林省电力有限公司电力科学研究院 | 电力终端设备安全风险本体构建方法 |
| CN111163115A (zh) * | 2020-04-03 | 2020-05-15 | 深圳市云盾科技有限公司 | 一种基于双引擎的物联网安全监测方法及系统 |
| CN111800427A (zh) * | 2020-07-08 | 2020-10-20 | 华北电力科学研究院有限责任公司 | 一种物联网设备评估方法、装置及系统 |
| CN112445862A (zh) * | 2020-11-27 | 2021-03-05 | 中国科学院信息工程研究所 | 物联网设备数据集构建方法、装置、电子设备和存储介质 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN112597506B (zh) | 2021-05-28 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11902321B2 (en) | Secure communication platform for a cybersecurity system | |
| US8640234B2 (en) | Method and apparatus for predictive and actual intrusion detection on a network | |
| CN105493060A (zh) | 蜜端主动网络安全 | |
| CN105391687A (zh) | 一种向中小企业提供信息安全运维服务的系统与方法 | |
| CN109474625A (zh) | 网络安全防护方法、装置及嵌入式系统 | |
| KR102234402B1 (ko) | 커넥티드 차량의 네트워크 이상징후 탐지 시스템 및 방법 | |
| Rahmatullah et al. | Implementation of low interaction web server honeypot using cubieboard | |
| KR20210109292A (ko) | 다기능 측정기를 통해 산업현장 설비 관리하는 빅데이터 서버 시스템 | |
| Alsaleh et al. | Visualizing PHPIDS log files for better understanding of web server attacks | |
| Amanullah et al. | Network security vulnerabilities in SCADA and EMS | |
| CN112597506B (zh) | 物联网设备高效协同安全漏洞评估方法 | |
| Aswani et al. | Topic modeling of SSH logs using latent dirichlet allocation for the application in cyber security | |
| Astrida et al. | Analysis and evaluation of wireless network security with the penetration testing execution standard (ptes) | |
| US11979416B2 (en) | Scored threat signature analysis | |
| KR102444922B1 (ko) | 스마트그리드에서 보안상황 인식을 위한 지능형 접근제어 장치 | |
| Saini et al. | Vulnerability and Attack Detection Techniques: Intrusion Detection System | |
| Ferebee et al. | Security visualization survey | |
| Rakas et al. | Intrusion detection systems in smart grid | |
| Quasim et al. | System Penetration: Concepts, Attack Methods, and Defense Strategies | |
| CN109995762A (zh) | 一种网络安全管理装置 | |
| Ye et al. | An attack-norm separation approach for detecting cyber attacks | |
| CN107508829A (zh) | 一种非侵入式的webshell检测方法 | |
| Crowley et al. | Outsmarting the Smart city | |
| Zimmermann et al. | Developing a Scalable Network of High-Interaction Threat Intelligence Sensors for IoT Security | |
| Yadav et al. | An automated network security checking and alert system: A new framework |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| TR01 | Transfer of patent right | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20220715 Address after: 225700 east of provincial road 351 and north of Shi Naian West Road, Xinghua Economic Development Zone, Taizhou City, Jiangsu Province Patentee after: Jiangsu shanruihe Electronic Technology Co.,Ltd. Address before: 211100 l6029, 6th floor, Youzhi building, 29 Kejian Road, Jiangning District, Nanjing City, Jiangsu Province Patentee before: Nanjing Yisheng Safety Technology Research Institute Co.,Ltd. |
|
| TR01 | Transfer of patent right | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20221202 Address after: L3123, Floor 3, Chuangye Building, No. 1009, Tianyuan East Road, Jiangning District, Nanjing, Jiangsu Province, 211100 (Jiangning Hi tech Zone) Patentee after: Nanjing Shenggang Network Technology Co.,Ltd. Address before: 225700 east of provincial road 351 and north of Shi Naian West Road, Xinghua Economic Development Zone, Taizhou City, Jiangsu Province Patentee before: Jiangsu shanruihe Electronic Technology Co.,Ltd. |