CN112688918A - 网络漏洞的扫描方法及通信装置 - Google Patents

Abstract

本申请公开了一种网络漏洞的扫描方法及通信装置，涉及通信技术领域，用于提高多个接入设备的配置效率并降低人工成本。该方法包括：安全能力管理平台确定对第一网络进行漏洞扫描；安全能力管理平台向SD‑WAN统一管理平台发送用于指示建立第一网关设备与第二网关设备之间的数据信道；安全能力管理平台向漏洞扫描设备发送第二指示信息，第二指示信息用于指示漏洞扫描设备对第一网络进行漏洞扫描；在漏洞扫描设备对第一网络进行漏洞扫描之后，安全能力管理平台向SD‑WAN统一管理平台发送第三指示信息，第三指示信息用于指示断开第一网关设备与第二网关设备之间的数据信道。本申请实施例应用于网络管理设备远程对多个接入设备进行配置的过程。

Description

网络漏洞的扫描方法及通信装置

技术领域

本申请涉及网络安全技术领域，尤其涉及一种网络漏洞的扫描方法及通信装置。

背景技术

随着网络的普及，如何保证网络的安全越来越受到人们的重视。例如，各个企业内部网络不断的升级，网络的漏洞也随之产生。漏洞的产生可能会导致非法用户对企业内部网络进行攻击，带来了网络安全问题。因此，网络运营商需要部署扫描设备对企业内部网络的漏洞进行扫描，以避免企业内部网络受到攻击。

目前，网络运营商主要是将漏洞扫描设备部署在企业本地。在企业数量较多的情况下，每个企业都需要部署漏洞扫描设备，增加了网络运营商的成本。

发明内容

本申请提供一种网络漏洞的扫描方法及通信装置，用于在多个网络需要漏洞扫描时，降低运营商的成本。

为达到上述目的，本申请用如下技术方案：

第一方面，提供了一种网络漏洞的扫描方法，应用于安全能力管理平台，安全能力管理平台通过软件定义广域网(Software-Defined Wide Area Network，SD-WAN)统一管理平台与多个网络的网关设备连接，该方法包括：安全能力管理平台确定对第一网络进行漏洞扫描，第一网络为该多个网络中的任一网络；安全能力管理平台向SD-WAN统一管理平台发送用于指示建立第一网关设备与第二网关设备之间的数据信道，第一网关设备与漏洞扫描设备连接，第二网关设备与第一网络连接；安全能力管理平台向漏洞扫描设备发送第二指示信息，第二指示信息用于指示漏洞扫描设备对第一网络进行漏洞扫描；在漏洞扫描设备对第一网络进行漏洞扫描之后，安全能力管理平台向SD-WAN统一管理平台发送第三指示信息，第三指示信息用于指示断开第一网关设备与第二网关设备之间的数据信道。

基于第一方面的技术方案，安全能力管理平台在确定对多个网络中一个网络进行漏洞扫描之后，可以指示SD-WAN统一管理平台建立该网络的网关设备与管理平台侧的网关设备的数据通道，以使得漏洞扫描设备对需要进行漏洞扫描的网络进行漏洞扫描。在漏洞扫描设备对该网络进行漏洞扫描之后，安全能力管理平台可以指示SD-WAN统一管理平台断开该网络的网关设备与安全能力侧的网关设备的数据通道，保证了网络的安全的同时，通信运营商只需要通过在安全能力侧部署少量的漏洞扫描设备以及网关设备便可以对多个网络进行漏洞扫描，减少了漏洞扫描设备的数量，从而可以降低成本。

第二方面，提供了一种通信装置，该通信装置可以为安全能力管理平台，也可以为应用于安全能力管理平台的芯片，该通信装置可以包括：

处理单元，用于确定对第一网络进行漏洞扫描，第一网络为该多个网络中的任一网络。

通信单元，用于向SD-WAN统一管理平台发送用于指示建立第一网关设备与第二网关设备之间的数据信道，第一网关设备与漏洞扫描设备连接，第二网关设备与第一网络连接。

通信单元，还用于向漏洞扫描设备发送第二指示信息，第二指示信息用于指示漏洞扫描设备对第一网络进行漏洞扫描。

通信单元，还用于在漏洞扫描设备对第一网络进行漏洞扫描之后，向SD-WAN统一管理平台发送第三指示信息，第三指示信息用于指示断开第一网关设备与第二网关设备之间的数据信道。

第三方面，提供了一种计算机可读存储介质，计算机可读存储介质中存储有指令，当指令被执行时，实现如第一方面的方法。

第四方面，提供了一种计算机程序产品，计算机程序产品包含至少一个指令，当至少一个指令在计算机上运行时，使得计算机执行如第一方面的方法。

第五方面，提供一种芯片，芯片包括至少一个处理器及通信接口，通信接口和至少一个处理器耦合，至少一个处理器用于运行计算机程序或指令，以实现第一方面的方法。

第六方面，提供一种通信装置，包括：处理器、存储器和通信接口；其中，通信接口用于所述通信装置和其他设备或网络通信；该存储器用于存储一个或多个程序，该一个或多个程序包括计算机执行指令，当该通信装置运行时，处理器执行该存储器存储的该计算机执行指令，以使该通信装置执行第一方面的方法。

第七方面，提供了一种网络漏洞的扫描方法，应用于SD-WAN统一管理平台，SD-WAN统一管理平台与多个网关设备通信连接，该方法包括：

SD-WAN统一管理平台接收安全能力管理平台的第一指示信息，第一指示信息用于指示建立第一网关设备与第二网关设备之间的数据信道，第一网关设备与漏洞扫描设备连接，第二网关设备与第一网络连接；在SD-WAN统一管理平台建立第一网关设备与第二网关设备之间的数据信道之后，SD-WAN统一管理平台向安全能力管理平台发送第一响应消息，第一响应消息用于表示第一网关设备与所述第二网关设备之间的数据信道建立完成；SD-WAN统一管理平台接收来自安全能力管理平台的第三指示信息，第三指示信息用于指示断开第一网关设备与第二网关设备之间的数据信道。

第八方面，提供了一种通信装置，该通信装置可以为SD-WAN统一管理平台，也可以为应用于SD-WAN统一管理平台的芯片，该通信装置可以包括：

通信单元，用于接收安全能力管理平台的第一指示信息，第一指示信息用于指示建立第一网关设备与第二网关设备之间的数据信道，第一网关设备与漏洞扫描设备连接，第二网关设备与第一网络连接。

通信单元，还用于在SD-WAN统一管理平台建立第一网关设备与第二网关设备之间的数据信道之后，向安全能力管理平台发送第一响应消息，第一响应消息用于表示第一网关设备与第二网关设备之间的数据信道建立完成。

通信单元，还用于接收来自安全能力管理平台的第三指示信息，第三指示信息用于指示断开第一网关设备与第二网关设备之间的数据信道。

第九方面，提供了一种计算机可读存储介质，计算机可读存储介质中存储有指令，当指令被执行时，实现如第七方面的方法。

第十方面，提供了一种计算机程序产品，计算机程序产品包含至少一个指令，当至少一个指令在计算机上运行时，使得计算机执行如第七方面的方法。

第十一方面，提供一种芯片，芯片包括至少一个处理器及通信接口，通信接口和至少一个处理器耦合，至少一个处理器用于运行计算机程序或指令，以实现第七方面的方法。

第十二方面，提供一种通信装置，包括：处理器、存储器和通信接口；其中，通信接口用于所述通信装置和其他设备或网络通信；该存储器用于存储一个或多个程序，该一个或多个程序包括计算机执行指令，当该通信装置运行时，处理器执行该存储器存储的该计算机执行指令，以使该通信装置执行第七方面的方法。

上述提供的通信装置或计算机可读存储介质或计算机程序产品或芯片均用于执行上文所提供的对应的方法，因此，其所能达到的有益效果可参考上文提供的对应的方法中对应方案的有益效果，此处不再赘述。

附图说明

图1为本申请实施例提供的一种通信系统的结构示意图；

图2为本申请实施例提供的一种通信装置200的结构示意图；

图3为本申请实施例提供的一种网络漏洞的扫描方法的流程示意图；

图4为本申请实施例提供的另一种网络漏洞的扫描方法的流程示意图；

图5为本申请实施例提供的一种通信装置500的结构示意图；

图6为本申请实施例提供的另一种通信装置600的结构示意图。

具体实施方式

在描述本申请实施例之前，对本申请实施例涉及的名词术语进行解释说明：

SD-WAN：是将软件定义网络(Software Defined Network，SDN)技术应用到广域网场景中所形成的一种服务。SD-WAN可以用于连接广域地理范围的企业网络、数据中心、互联网应用及云服务，旨在帮助用户降低广域网的开支并提高网络连接灵活性。

SD-WAN的目标就是通过虚拟化技术、应用级的策略和覆盖(Overlay)网络，边缘的客户终端设备(Customer Premise Equipment，CPE)设备实现企业的灵活组网。

网络漏洞：是指网络在硬件、软件和协议等的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏网络。例如，若企业内部网络出现网络漏洞，攻击者可以通过该网络漏洞访问企业内部的网络，导致企业的内部资料被窃取，给企业带来损失。

为了保护企业网络安全，通信运营商或网络安全运营商可以在每个企业本地部署一个或多个漏洞扫描设备，通信运营商可以远程控制该漏洞扫描设备对企业内部网络进行漏洞扫描。但是，在通信运营商远程对企业内部网络进行漏洞扫描的过程中，企业内部网络会暴露到外部。这样，也可能导致企业的内部资料被窃取。另外，在大量的企业内部网络需要保护的情况下，若每个企业本地都部署漏洞扫描设备，增加了通信运营商或网络安全运营商的成本。

鉴于此，本申请实施例提供了一种网络漏洞的扫描方法，该方法包括：安全能力管理平台确定对第一网络进行漏洞扫描，第一网络为该多个网络中的任一网络；安全能力管理平台向SD-WAN统一管理平台发送用于指示建立第一网关设备与第二网关设备之间的数据信道，第一网关设备与漏洞扫描设备连接，第二网关设备与第一网络连接；安全能力管理平台向漏洞扫描设备发送第二指示信息，第二指示信息用于指示漏洞扫描设备对第一网络进行漏洞扫描；在漏洞扫描设备对第一网络进行漏洞扫描之后，安全能力管理平台向SD-WAN统一管理平台发送第三指示信息，第三指示信息用于指示断开第一网关设备与第二网关设备之间的数据信道。

本申请实施例提供的方法中，安全能力管理平台在确定对多个网络中一个网络进行漏洞扫描之后，可以指示SD-WAN统一管理平台建立该网络的网关设备与管理平台侧的网关设备的数据通道，以使得漏洞扫描设备对需要进行漏洞扫描的网络进行漏洞扫描。在SD-WAN管理平台对该网络进行漏洞扫描之后，安全能力管理平台可以指示SD-WAN统一管理平台断开该网络的网关设备与管理平台侧的网关设备的数据通道，保证了网络的安全的同时，通信运营商只需要通过在安全能力侧部署少量的漏洞扫描设备以及网关设备便可以对多个网络进行漏洞扫描，减少了漏洞扫描设备的数据，从而可以降低成本。

下面将结合附图对本申请实施例的实施方式进行详细描述。

本申请实施例描述的系统架构以及业务场景是为了更加清楚的说明本申请实施例的技术方案，并不构成对于本申请实施例提供的技术方案的限定，本领域普通技术人员可知，随着网络架构的演变和新业务场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。

图1是本申请的实施例应用的通信系统的架构示意图。如图1所示，该通信系统可以包括安全能力管理设备110、SD-WAN统一管理平台120、漏洞扫描设备130、网关设备140、以及多个网络(例如，图1中的网络1、网络2、网络3)。其中，SD-WAN统一管理平台120与该多个网络的网关设备连接。例如，SD-WAN统一管理平台120可以通过网关设备1与网络1连接。SD-WAN统一管理平台120可以通过网关设备2与网络2连接。SD-WAN统一管理平台120可以通过网关设备2与网络3连接。

需要说明的是，图1中的“×”表示设备之间的数据信道断开连接。例如，图1中在对网络2进行漏洞扫描时，第一网关设备与网关设备2之间的数据信道建立，第一网关设备与网关设备1和网关设备3之间的数据信道断开连接。

其中，安全能力管理设备110可以接收来自用户的请求信息(也可以称为订单)，该请求信息用于请求对用户使用的网络进行漏洞扫描。

一种示例中，安全能力管理设备110可以具有网络页面。用户可以使用电脑、手机等电子设备登录该网络页面。用户可以在网络页面上填写请求信息。例如，该请求信息可以包括用户的账号、密码以及需要进行漏洞扫描的主机IP、端口号等信息。或者，安全能力管理设备110可以具有对应的应用程序(Application，APP)，用于可以通过该APP输入请求信息。

在安全能力管理设备110确定用户的请求信息包括用户的账号和密码之后，也可以对用户的账号和密码进行安全验证。若用户的账号和密码安全验证通过，安全能力管理设备110可以根据用户的账号，确定需要进行漏洞扫描的网络。例如，安全能力管理设备110可以预先设置有用户的账号与用户使用的网络的对应关系。安全能力管理设备110可以该对应关系，确定用户的账号对应的网络。

其中，SD-WAN统一管理平台120可以用于管理网关设备140与多个网关设备之间的数据通道。例如，网关设备140与多个网关设备中每个网关设备与多个网关设备中每个网关设备之间可以设置有专线网络或虚拟专用网络(Virtual Private Network，VPN)。SD-WAN统一管理平台120可以控制网关设备140与多个网关设备之间的数据信道的建立或断开。

例如，SD-WAN统一管理平台120可以向网关设备140发送网关设备1的配置信息，网关设备140可以对网关设备1的配置信息进行认证，若网关设备1的配置信息认证通过，则网关设备140可以建立与网关设备1之间的数据信道，也即网关设备140可以与网关设备1进行通信连接。

在网关设备140需要与网关设备1之间的数据信道需要断开的情况下，SD-WAN统一管理平台120可以向网关设备140发送用于删除网关设备1的配置信息的指示信息。网关设备140在接收到该指示信息后，可以删除网关设备1的配置信息。网关设备140在删除网关设备1的配置信息后，可以断开与网关设备1之间的数据信道。也即，网关设备140可以无法与网关设备1进行通信连接。

其中，漏洞扫描设备130可以用于对网络进行扫描。例如，漏洞扫描设备130可以根据待扫描网络的IP地址对待扫描网络进行漏洞扫描。具体的，漏洞扫描方式可以参照现有技术，不予赘述。

其中，网关设备140，以及上述多个网关设备也可以称为CPE。网关设备可以用于为网络提供数据转换服务。网关设备140与漏洞扫描设备通信连接，网关设备140可以部署在安全能力侧，也可以部署在安全能力侧与用户侧之间的区域(比如，基站)，不予限制。每个网关设备连接的网络可以为内部网络，如企业内部网络。不同的网络之间一般情况下不能互相访问。

需要说明的是，本申请实施例中，安全能力管理设备110、SD-WAN统一管理平台120、漏洞扫描设备130中的多个集成在同一设备中。例如，安全能力管理设备110、SD-WAN统一管理平台120可以集成在同一服务器。如此，可以便于设备的维护及管理。安全能力管理设备110、SD-WAN统一管理平台120、漏洞扫描设备130中每个设备可以为一个或多个服务器。

需要说明的是，图1为示例性附图，图1所示设备的数量不予限制。且除图1所示设备之外，图1所示通信系统还可以包括其他设备，不予限制。

具体实现时，图1中的设备均可以采用图2所示的组成结构，或者包括图2所示的部件。图2为本申请实施例提供的一种通信装置200的组成示意图，该通信装置200可以为安全能力管理平台或者安全能力管理平台中的芯片或者片上系统。或者，该通信装置200可以为SD-WAN统一管理平台或SD-WAN统一管理平台中的芯片或者片上系统。如图2所示，该通信装置200包括处理器201，通信接口202以及通信线路203。

进一步的，该通信装置200还可以包括存储器204。其中，处理器201，存储器204以及通信接口202之间可以通过通信线路203连接。

其中，处理器201是CPU、通用处理器网络处理器(network processor，NP)、数字信号处理器(digital signal processing，DSP)、微处理器、微控制器、可编程逻辑器件(programmable logic device，PLD)或它们的任意组合。处理器201还可以是其它具有处理功能的装置，例如电路、器件或软件模块，不予限制。

通信接口202，用于与其他设备或其它通信网络进行通信。该其它通信网络可以为以太网，无线接入网(radio access network，RAN)，无线局域网(wireless local areanetworks，WLAN)等。通信接口202可以是模块、电路、通信接口或者任何能够实现通信的装置。

通信线路203，用于在通信装置200所包括的各部件之间传送信息。

存储器204，用于存储指令。其中，指令可以是计算机程序。

其中，存储器204可以是只读存储器(read-only memory，ROM)或可存储静态信息和/或指令的其他类型的静态存储设备，也可以是随机存取存储器(random accessmemory，RAM)或可存储信息和/或指令的其他类型的动态存储设备，还可以是电可擦可编程只读存储器(electrically erasable programmable read-only memory，EEPROM)、只读光盘(compact disc read-only memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或其他磁存储设备等，不予限制。

需要指出的是，存储器204可以独立于处理器201存在，也可以和处理器201集成在一起。存储器204可以用于存储指令或者程序代码或者一些数据等。存储器204可以位于通信装置200内，也可以位于通信装置200外，不予限制。处理器201，用于执行存储器204中存储的指令，以实现本申请下述实施例提供的网络漏洞的扫描方法。

在一种示例中，处理器201可以包括一个或多个CPU，例如图2中的CPU0和CPU1。

作为一种可选的实现方式，通信装置200包括多个处理器，例如，除图2中的处理器201之外，还可以包括处理器207。

作为一种可选的实现方式，通信装置200还包括输出设备205和输入设备206。示例性地，输入设备206是键盘、鼠标、麦克风或操作杆等设备，输出设备205是显示屏、扬声器(speaker)等设备。

需要指出的是，通信装置200可以是台式机、便携式电脑、网络服务器、移动手机、平板电脑、无线终端、嵌入式设备、芯片系统或有图2中类似结构的设备。此外，图2中示出的组成结构并不构成对该终端设备的限定，除图2所示部件之外，该终端设备可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

本申请实施例中，芯片系统可以由芯片构成，也可以包括芯片和其他分立器件。

此外，本申请的各实施例之间涉及的动作、术语等均可以相互参考，不予限制。本申请的实施例中各个设备之间交互的消息名称或消息中的参数名称等只是一个示例，具体实现中也可以采用其他的名称，不予限制。

为了便于清楚描述本申请实施例的技术方案，在本申请的实施例中，采用了“第一”、“第二”等字样对功能和作用基本相同的相同项或相似项进行区分。例如，第一指示信息和第二指示信息仅仅是为了区分不同的指示信息，并不对其先后顺序进行限定。本领域技术人员可以理解“第一”、“第二”等字样并不对数量和执行次序进行限定，并且“第一”、“第二”等字样也并不限定一定不同。

需要说明的是，本申请中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其他实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。

本申请中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B的情况，其中A，B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。“以下至少一项(个)”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a，b，或c中的至少一项(个)，可以表示：a，b，c，a-b，a-c，b-c，或a-b-c，其中a，b，c可以是单个，也可以是多个。

下面结合图1所示通信系统，对本申请实施例提供的网络漏洞的扫描方法进行描述。其中，下述实施例所述的安全能力管理设备、SD-WAN统一管理平台、漏洞扫描设备可以具备图2所示部件，不予赘述。其中，本申请各实施例之间涉及的动作，术语等均可以相互参考，不予限制。本申请的实施例中各个设备之间交互的消息名称或消息中的参数名称等只是一个示例，具体实现中也可以采用其他的名称，不予限制。本申请各实施例涉及的动作只是一个示例，具体实现中也可以采用其他的名称，如：本申请实施例所述的“包括在”还可以替换为“承载于”或者“携带在”等。

图3为本申请实施例提供的一种网络漏洞的扫描方法，如图3所示，该方法包括：

步骤301、安全能力管理平台确定对第一网络进行漏洞扫描。

其中，安全能力管理平台可以为图1中的安全能力管理平台110。

其中，第一网络可以图中的任一个网络，例如，可以为网络1，也可以为网络2或网络3，不予限制。

其中，漏洞扫描可以参照上述描述，不予赘述。

一种可能的实现方式中，安全能力管理平台根据用户的第一请求信息，确定对第一网络进行漏洞扫描。

其中，第一请求信息用于请求对第一网络进行扫描。第一请求信息可以包括第一网络的标识(如网络协议(Internet Protocol，IP)地址)、第一网络中需要扫描的主机IP地址、待扫描的端口的标识。当然，第一请求消息还可以包括其他信息，例如，还可以包括用户的账号以及密码等，不予限制。

一种示例中，用户可以通过网络页面或应用程序向安全能力平台发送第一请求信息。具体的，可以参照上述请求信息的描述，不予赘述。

步骤302、安全能力管理平台向SD-WAN统一管理平台发送第一指示信息。相应的，SD-WAN统一管理平台接收来自安全能力管理平台的第一指示信息。

其中，第一指示信息可以用于指示建立第一网关设备与第二网关设备之间的数据信道。

其中，第一网关设备可以为图1中的网关设备140，第二网关设备为与第一网络连接的网关设备。例如，在第一网络为网络1时，第二网关设备可以为网关设备1。在第一网络为网络2时，第二网关设备可以为网关设备。在第一网络为网络3时，第二网关设备可以为网关设备3。

步骤303、SD-WAN统一管理平台建立第一网关设备与第二网关设备之间的数据信道。

其中，SD-WAN统一管理平台建立第一网关设备与第二网关设备之间的数据信道的方法可以参照上述描述。不予赘述。

其中，SD-WAN统一管理平台建立第一网关设备与第二网关设备之间的数据信道之后，可以向安全能力管理平台发送第一响应消息，该第一响应消息用于表示第一网关设备与第二网关设备之间的数据信道已经建立。

例如，第一响应消息可以包括第一标识。当第一标识为第一字符(比如，为0)时，表示第一网关设备与第二网关设备之间的数据信道建立成功；当第一标识为第二字符(比如，为1)时，表示第一网关设备与第二网关设备之间的数据信道断开连接。当然，也可以包括其他信息，例如，在第一响应消息包括第二网关设备以及第一网关设备的标识时，可以表示第一网关设备与第二网关设备之间的数据信道建立成功。在第一响应消息不包括第二网关设备的标识或者第一网关设备的标识时，可以表示第一网关设备与第二网关设备之间的数据信道断开连接。不予限制。

步骤304、在第一网关设备与第二网关设备之间的数据信道建立之后，安全能力管理平台向漏洞扫描设备发送第二指示信息。相应的，漏洞扫描设备接收来自安全能力管理平台的第二指示信息。

其中，漏洞扫描设备可以为图1中的漏洞扫描设备130。

其中，第二指示信息可以用于指示对第一网络进行扫描。

一种示例中，第二指示信息可以包括扫描任务配置参数。例如，扫描任务配置参数可以包括扫描任务类型(例如，主机扫描、基线核查、弱口令等)、扫描目标(待扫描主机的IP地址)、端口扫描范围(全端口、自定义端口范围)、扫描模板(包括扫描深度、代理、认证等信息)。

其中，漏洞扫描设备对第一网络进行漏洞扫描的方法可以参照现有技术，不予赘述。

步骤305、在漏洞扫描设备对第一网络进行漏洞扫描结束之后，安全能力管理平台向SD-WAN统一管理平台发送第三指示信息。相应的，SD-WAN统一管理平台接收来自安全能力管理平台的第三指示信息。

其中，第三指示信息用于指示断开第一网关设备与第二网关设备之间的数据信道。

其中，漏洞扫描设备对第一网络进行漏洞扫描结束可以是指漏洞扫描设备在根据第二指示信息中的扫描任务对第一网络的扫描完成。漏洞扫描设备在对第一网络扫描完成之后，可以向安全能力管理平台发送扫描完成消息。或者，也可以是指安全能力管理平台在预设时间内未接收到扫描完成响应消息。安全能力管理平台可以确定漏洞扫描设备对第一网络进行漏洞扫描结束。

例如，第三指示信息可以包括第一标志位。在第一标志位为第一状态(如为on)时，表示第一网关设备与第二网关设备之间的数据信道保持连接。在第一标志位为第二状态(如为off)时，表示第一网关设备与第二网关设备之间的数据信道断开连接。

其中，SD-WAN统一管理平台断开第一网关设备与第二网关设备之间的数据信道的方式可以参照上述描述，不予赘述。

基于图3的技术方案，安全能力管理平台在确定对多个网络中一个网络进行漏洞扫描之后，可以指示SD-WAN统一管理平台建立该网络的网关设备与管理平台侧的网关设备的数据通道，以使得漏洞扫描设备对需要进行漏洞扫描的网络进行漏洞扫描。在SD-WAN管理平台对该网络进行漏洞扫描之后，安全能力管理平台可以指示SD-WAN统一管理平台断开该网络的网关设备与管理平台侧的网关设备的数据通道，保证了网络的安全的同时，通信运营商只需要通过在安全能力侧部署少量的漏洞扫描设备以及网关设备便可以对多个网络进行漏洞扫描，减少了漏洞扫描设备的数据，从而可以降低成本。

一种可能的实现方式中，如图4所示，本申请实施例提供的方法，还可以包括：

步骤401、安全能力管理平台确定对第二网络进行漏洞扫描。

其中，第二网络可以为图1中的任一网络。例如，可以为网络1，也可以为网络2或网络3，不予限制。

其中，第二网络可以与第一网络为不同的网络。例如，第一网络为网络1时，第二网络可以为网络2或网络3，不予限制。

步骤402、安全能力管理平台向SD-WAN统一管理平台发送第四指示信息。相应的，SD-WAN统一管理平台接收来自安全能力管理平台的第四指示信息。

其中，第四指示信息可以用于指示建立第一网关设备与第三网关设备之间的数据通道。第三网关设备可以与第二网络连接。例如，第二网络为图1中的网络2时，第三网关设备可以为图1中的网关设备2。

步骤403、SD-WAN统一管理平台建立第一网关设备与第三网关设备之间的数据信道。

步骤404、SD-WAN统一管理平台向安全能力管理平台发送第二响应消息。相应的，安全能力管理平台接收来自SD-WAN统一管理平台的第二响应消息。

其中。第二响应消息可以用于指示第一网关设备与第三网关设备之间的数据信道建立成功。具体的，可以参数第一响应消息的描述，不予赘述。

步骤405、安全能力管理平台向漏洞扫描设备发送第五指示信息。

其中，第五指示信息可以用于指示漏洞扫描设备对第二网络进行漏洞扫描。具体的，第五指示信息可以参照步骤304中的第二指示信息的描述，不予赘述。

步骤406、在漏洞扫描设备对第二网络扫描结束之后，安全能力管理平台可以向SD-WAN统一管理平台发送第六指示信息。相应的，SD-WAN统一管理平台接收来自安全能力管理平台的第六指示信息。

其中，第六指示信息可以用于指示断开第一网关设备与第三网关设备之间的数据信道。具体的，可以参照步骤304中的第三指示信息。不予赘述。

基于该可能的实现方式，安全能力管理平台可以通过部署少量的漏洞扫描设备对多个网络进行扫描。同时，在对一个网络扫描之后，可以断开漏洞扫描设备与该网络之间的连接，以避免网络暴露到外部，保证了网络的安全。

本申请上述实施例中的各个方案在不矛盾的前提下，均可以进行结合。

上述本申请提供的实施例中，分别从安全能力管理平台、SD-WAN统一管理平台、网关设备、漏洞扫描设备之间交互的角度对本申请实施例提供的方法进行了介绍。可以理解的是，各个网元，例如安全能力管理平台、SD-WAN统一管理平台为了实现上述本申请实施例提供的方法中的各功能，安全能力管理平台和SD-WAN统一管理平台包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的算法步骤，本申请能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

本申请实施例可以根据上述方法示例对安全能力管理平台、SD-WAN同意管理平台进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

图5和图6为本申请的实施例提供的可能的通信装置的结构示意图。这些通信装置可以实现上述方法实施例中安全能力管理平台或SD-WAN统一管理平台的功能，因此也能实现上述方法实施例所具备的有益效果。在本申请实施例中，该通信装置可以是如图1所示的安全能力管理平台110或SD-WAN统一管理平台120，还可以是应用于安全能力管理平台110或SD-WAN统一管理平台120的模块(如芯片)。

如图5所示，通信装置500包括收发模块501和处理模块502。通信装置500可用于实现上述图3、图4所示的方法实施例中安全能力管理平台或SD-WAN统一管理平台的功能。

当通信装置500用于实现图3所述方法实施例中安全能力管理平台的功能时：处理模块502，用于确定对第一网络进行漏洞扫描，第一网络为该多个网络中的任一网络。

收发模块501，用于向SD-WAN统一管理平台发送用于指示建立第一网关设备与第二网关设备之间的数据信道，第一网关设备与漏洞扫描设备连接，第二网关设备与第一网络连接。

收发模块501，还用于向漏洞扫描设备发送第二指示信息，第二指示信息用于指示漏洞扫描设备对第一网络进行漏洞扫描。

收发模块501，还用于向SD-WAN统一管理平台发送第三指示信息，第三指示信息用于指示断开第一网关设备与第二网关设备之间的数据信道。

一种可能的实现方式中，收发模块501，还用于接收第一请求信息，第一请求信息用于请求对第一网络进行漏洞扫描。处理模块502，具体用于根据第一请求信息，确定对第一网络进行漏洞扫描。

一种可能的实现方式中，处理模块502，还用于确定对第二网络进行漏洞扫描，第二网络为多个网络中除第一网络之外的其他网络。收发模块501，还用于向SD-WAN统一管理平台发送第四指示信息，第四指示信息用于指示建立第一网关设备与第三网关设备之间的数据通道，第三网关设备与第二网络连接。收发模块501，还用于向漏洞扫描设备发送第五指示信息，第五指示信息用于指示漏洞扫描设备对第二网络进行漏洞扫描。收发模块501，还用于在漏洞扫描设备对第二网络进行漏洞扫描接收之后，向SD-WAN统一管理平台发送第六指示信息，第六指示信息用于指示断开第一网关设备与第三网关设备之间的数据信道。

当通信装置500用于实现图3或图4所述方法实施例中SD-WAN的功能时：收发模块501，用于接收安全能力管理平台的第一指示信息，第一指示信息用于指示建立第一网关设备与第二网关设备之间的数据信道，第一网关设备与漏洞扫描设备连接，第二网关设备与第一网络连接。收发模块501，还用于在SD-WAN统一管理平台建立第一网关设备与第二网关设备之间的数据信道之后，向安全能力管理平台发送第一响应消息，第一响应消息用于表示第一网关设备与第二网关设备之间的数据信道建立完成。收发模块501，还用于接收来自安全能力管理平台的第三指示信息，第三指示信息用于指示断开第一网关设备与第二网关设备之间的数据信道。

一种可能的实现方式中，收发模块501，还用于接收来自安全能力管理平台的第四指示信息，第四指示信息用于指示建立第一网关设备与第三网关设备之间的数据通道，第三网关设备与第二网络连接，第二网络为多个网络中除第一网络之外的其他网络。处理模块502，用于建立第一网关设备与第三网关设备之间的数据通道，以使得漏洞扫描设备通过对数据通道对第二网络进行扫描。

一种可能的实现方式中，收发模块501，还用于接收来自安全能力管理平台的第六指示信息，第六指示信息用于指示断开第一网关设备与第三网关设备之间的数据信道。处理模块502，还用于断开第一网关设备与第三网关设备之间的数据通道。

关于上述收发模块501和处理模块502更详细的描述，可参考上述方法实施例中的相关描述，在此不再说明。

如图6所示，通信装置600包括处理器610和接口电路620。处理器610和接口电路620之间相互耦合。可以理解的是，接口电路620可以为收发器或输入输出接口。可选的，通信装置600还可以包括存储器630，用于存储处理器610执行的指令或存储处理器610运行指令所需要的输入数据或存储处理器610运行指令后产生的数据。

当通信装置600用于实现上述方法实施例中的方法时，处理器1310用于执行上述处理模块502的功能，接口电路620用于执行上述收发模块501的功能。

当上述通信装置为应用于安全能力管理平台的芯片时，该安全能力管理平台芯片实现上述方法实施例中安全能力管理平台的功能。该目安全能力管理平台芯片从安全能力管理平台中的其它模块(如射频模块或天线)接收信息，该信息是其他设备发送给安全能力管理平台的；或者，该安全能力管理平台芯片向安全能力管理平台中的其它模块(如射频模块或天线)发送信息，该信息是其他设备发送给安全能力管理平台的。

当上述通信装置为应用于SD-WAN统一管理平台的芯片时，该SD-WAN统一管理平台芯片实现上述方法实施例中SD-WAN统一管理平台的功能。该SD-WAN统一管理平台芯片从SD-WAN统一管理平台中的其它模块(如射频模块或天线)接收信息，该信息是安全能力管理平台发送给SD-WAN统一管理平台的；或者，该SD-WAN统一管理平台芯片向SD-WAN统一管理平台中的其它模块(如射频模块或天线)发送信息，该信息是安全能力管理平台发送给SD-WAN统一管理平台的。

可以理解的是，本申请的实施例中的处理器可以是中央处理单元(centralprocessing unit，CPU)，还可以是其它通用处理器、数字信号处理器(digital signalprocessor，DSP)、专用集成电路(application specific integrated circuit，ASIC)、现场可编程门阵列(field programmable gate array，FPGA)或者其它可编程逻辑器件、晶体管逻辑器件，硬件部件或者其任意组合。通用处理器可以是微处理器，也可以是任何常规的处理器。

本申请的实施例中的方法步骤可以通过硬件的方式来实现，也可以由处理器执行软件指令的方式来实现。软件指令可以由相应的软件模块组成，软件模块可以被存放于随机存取存储器(random access memory，RAM)、闪存、只读存储器(Read-Only Memory，ROM)、可编程只读存储器(programmable ROM，PROM)、可擦除可编程只读存储器(erasable PROM，EPROM)、电可擦除可编程只读存储器(electrically EPROM，EEPROM)、寄存器、硬盘、移动硬盘、CD-ROM或者本领域熟知的任何其它形式的存储介质中。一种示例性的存储介质耦合至处理器，从而使处理器能够从该存储介质读取信息，且可向该存储介质写入信息。当然，存储介质也可以是处理器的组成部分。处理器和存储介质可以位于ASIC中。另外，该ASIC可以位于安全能力管理平台或SD-WAN统一管理平台中。当然，处理器和存储介质也可以作为分立组件存在于安全能力管理平台或SD-WAN统一管理平台中。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机程序或指令。在计算机上加载和执行所述计算机程序或指令时，全部或部分地执行本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其它可编程装置。所述计算机程序或指令可以存储在计算机可读存储介质中，或者通过所述计算机可读存储介质进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是集成一个或多个可用介质的服务器等数据存储设备。所述可用介质可以是磁性介质，例如，软盘、硬盘、磁带；也可以是光介质，例如，DVD；还可以是半导体介质，例如，固态硬盘(solid state disk，SSD)。

图5中的模块也可以称为单元，例如，处理模块可以称为处理单元。

在实现过程中，本实施例提供的方法中的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。结合本申请实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。

本申请实施例还提供了一种计算机可读存储介质，包括指令，当其在计算机上运行时，使得计算机执行上述任一方法。

本申请实施例还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述任一方法。

本申请实施例还提供了一种芯片，该芯片包括处理器和接口电路，该接口电路和该处理器耦合，该处理器用于运行计算机程序或指令，以实现上述方法，该接口电路用于与该芯片之外的其它模块进行通信。

在本申请的各个实施例中，如果没有特殊说明以及逻辑冲突，不同的实施例之间的术语和/或描述具有一致性、且可以相互引用，不同的实施例中的技术特征根据其内在的逻辑关系可以组合形成新的实施例。

本申请中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B的情况，其中A，B可以是单数或者复数。在本申请的文字描述中，字符“/”，一般表示前后关联对象是一种“或”的关系；在本申请的公式中，字符“/”，表示前后关联对象是一种“相除”的关系。

可以理解的是，在本申请的实施例中涉及的各种数字编号仅为描述方便进行的区分，并不用来限制本申请的实施例的范围。上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定。

Claims (14)

1.一种网络漏洞的扫描方法，其特征在于，应用于安全能力管理平台，所述安全能力管理平台通过软件定义广域网SD-WAN统一管理平台与多个网络的网关设备连接，所述方法包括：

所述安全能力管理平台确定对第一网络进行漏洞扫描，所述第一网络为所述多个网络中的任一网络；

所述安全能力管理平台向所述SD-WAN统一管理平台发送第一指示信息，所述第一指示信息用于指示建立第一网关设备与第二网关设备之间的数据信道，所述第一网关设备与漏洞扫描设备连接，所述第二网关设备与所述第一网络连接；

所述安全能力管理平台向所述漏洞扫描设备发送第二指示信息，所述第二指示信息用于指示所述漏洞扫描设备对所述第一网络进行漏洞扫描；

在所述漏洞扫描设备对所述第一网络进行漏洞扫描结束之后，所述安全能力管理平台向所述SD-WAN统一管理平台发送第三指示信息，所述第三指示信息用于指示断开所述第一网关设备与所述第二网关设备之间的数据信道。

2.根据权利要求1所述的方法，其特征在于，所述安全能力管理平台确定对第一网络进行漏洞扫描，包括：

所述安全能力管理平台接收来自第一请求信息，所述第一请求信息用于请求对所述第一网络进行漏洞扫描；

所述安全能力管理平台根据所述第一请求信息，对所述第一网络进行漏洞扫描。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

所述安全能力管理平台确定对第二网络进行漏洞扫描，所述第二网络为所述多个网络中除所述第一网络之外的其他网络；

所述安全能力管理平台向所述SD-WAN统一管理平台发送第四指示信息，所述第四指示信息用于指示建立所述第一网关设备与第三网关设备之间的数据通道，所述第三网关设备与所述第二网络连接；

所述安全能力管理平台向所述漏洞扫描设备发送第五指示信息，所述第五指示信息用于指示所述漏洞扫描设备对所述第二网络进行漏洞扫描；

在所述漏洞扫描设备对所述第二网络进行漏洞扫描结束之后，所述安全能力管理平台向所述SD-WAN统一管理平台发送第六指示信息，所述第六指示信息用于指示断开所述第一网关设备与所述第三网关设备之间的数据信道。

4.一种网络漏洞的扫描方法，其特征在于，应用于SD-WAN统一管理平台，所述SD-WAN统一管理平台与多个网关设备通信连接，所述方法包括：

所述SD-WAN统一管理平台接收安全能力管理平台的第一指示信息，所述第一指示信息用于指示建立第一网关设备与第二网关设备之间的数据信道，所述第一网关设备与漏洞扫描设备连接，所述第二网关设备与所述第一网络连接；

在所述SD-WAN统一管理平台建立所述第一网关设备与所述第二网关设备之间的数据信道之后，所述SD-WAN统一管理平台向所述安全能力管理平台发送第一响应消息，所述第一响应消息用于表示所述第一网关设备与所述第二网关设备之间的数据信道建立完成；

所述SD-WAN统一管理平台接收来自所述安全能力管理平台的第三指示信息，所述第三指示信息用于指示断开所述第一网关设备与所述第二网关设备之间的数据信道。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

所述SD-WAN统一管理平台接收来自所述安全能力管理平台的第四指示信息，所述第四指示信息用于指示建立所述第一网关设备与第三网关设备之间的数据通道，所述第三网关设备与第二网络连接，所述第二网络为所述多个网络中除所述第一网络之外的其他网络；

所述SD-WAN统一管理平台建立所述第一网关设备与所述第三网关设备之间的数据通道，以使得漏洞扫描设备通过对所述数据通道对所述第二网络进行扫描。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

所述SD-WAN统一管理平台接收来自所述安全能力管理平台的第六指示信息，所述第六指示信息用于指示断开所述第一网关设备与所述第三网关设备之间的数据信道；

所述SD-WAN统一管理平台断开所述第一网关设备与所述第三网关设备之间的数据通道。

7.一种通信装置，其特征在于，应用于安全能力管理平台，所述安全能力管理平台通过软件定义广域网SD-WAN统一管理平台与多个网络的网关设备连接，所述通信装置包括：通信单元和处理单元；

所述处理单元，用于确定对第一网络进行漏洞扫描，所述第一网络为所述多个网络中的任一网络；

所述通信单元，用于向所述SD-WAN统一管理平台发送第一指示信息，所述第一指示信息用于指示建立第一网关设备与第二网关设备之间的数据信道，所述第一网关设备与漏洞扫描设备连接，所述第二网关设备与所述第一网络连接；

所述通信单元，还用于平台向所述漏洞扫描设备发送第二指示信息，所述第二指示信息用于指示所述漏洞扫描设备对所述第一网络进行漏洞扫描；

所述通信单元，还用于在所述漏洞扫描设备对所述第一网络进行漏洞扫描结束之后，向所述SD-WAN统一管理平台发送第三指示信息，所述第三指示信息用于指示断开所述第一网关设备与所述第二网关设备之间的数据信道。

8.根据权利要求7所述的通信装置，其特征在于，

所述通信单元，还用于接收第一请求信息，所述第一请求信息用于请求对所述第一网络进行漏洞扫描；

所述处理单元，具体用于根据所述第一请求信息，确定对所述第一网络进行漏洞扫描。

9.根据权利要求7或8所述的装置，其特征在于，

所述处理单元，还用于确定对第二网络进行漏洞扫描，所述第二网络为所述多个网络中除所述第一网络之外的其他网络；

所述通信单元，还用于向所述SD-WAN统一管理平台发送第四指示信息，所述第四指示信息用于指示建立所述第一网关设备与第三网关设备之间的数据通道，所述第三网关设备与所述第二网络连接；

所述通信单元，还用于向所述漏洞扫描设备发送第五指示信息，所述第五指示信息用于指示所述漏洞扫描设备对所述第二网络进行漏洞扫描；

所述通信单元，还用于在所述漏洞扫描设备对所述第二网络进行漏洞扫描接收之后，向所述SD-WAN统一管理平台发送第六指示信息，所述第六指示信息用于指示断开所述第一网关设备与所述第三网关设备之间的数据信道。

10.一种通信装置，应用于SD-WAN统一管理平台，所述SD-WAN统一管理平台与多个网关设备通信连接，所述通信装置包括：

通信单元，用于接收安全能力管理平台的第一指示信息，所述第一指示信息用于指示建立第一网关设备与第二网关设备之间的数据信道，所述第一网关设备与漏洞扫描设备连接，所述第二网关设备与所述第一网络连接；

所述通信单元，还用于在所述SD-WAN统一管理平台建立所述第一网关设备与所述第二网关设备之间的数据信道之后，向所述安全能力管理平台发送第一响应消息，所述第一响应消息用于表示所述第一网关设备与所述第二网关设备之间的数据信道建立完成；

所述通信单元，还用于接收来自所述安全能力管理平台的第三指示信息，所述第三指示信息用于指示断开所述第一网关设备与所述第二网关设备之间的数据信道。

11.根据权利要求10所述的装置，其特征在于，所述装置还包括处理单元：

所述通信单元，还用于接收来自所述安全能力管理平台的第四指示信息，所述第四指示信息用于指示建立所述第一网关设备与第三网关设备之间的数据通道，所述第三网关设备与第二网络连接，所述第二网络为所述多个网络中除所述第一网络之外的其他网络；

所述处理单元，用于建立所述第一网关设备与所述第三网关设备之间的数据通道，以使得漏洞扫描设备通过对所述数据通道对所述第二网络进行扫描。

12.根据权利要求11所述的装置，其特征在于，

所述通信单元，还用于接收来自所述安全能力管理平台的第六指示信息，所述第六指示信息用于指示断开所述第一网关设备与所述第三网关设备之间的数据信道；

所述处理单元，还用于断开所述第一网关设备与所述第三网关设备之间的数据通道。

13.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有指令，当所述指令被执行时，实现如权利要求1至3中任一项或者权利要求4至6任一项所述的方法。

14.一种通信装置，其特征在于，包括：处理器、存储器和通信接口；其中，通信接口用于所述通信装置和其他设备或网络通信；所述存储器用于存储一个或多个程序，该一个或多个程序包括计算机执行指令，当该通信装置运行时，处理器执行该存储器存储的该计算机执行指令，以使该通信装置执行如权利要求1至3中任一项或者权利要求4至6任一项所述的方法。

Images