CN114036523A - 一种基于虚拟化技术的漏洞靶场自动化搭建方法和装置 - Google Patents

Abstract

本申请的实施例提供了一种基于虚拟化技术的漏洞靶场自动化搭建方法和装置。所述方法包括配置脚本文件，所述脚本文件用于根据漏洞环境名称和预设的调取模型调取服务，以及根据服务名称指定基础镜像；根据待搭建漏洞环境名称，通过配置完成的脚本文件，搭建漏洞环境。以此方式，可以简化了漏洞环境的搭建步骤；并且在漏洞环境经过试炼后需要复原时，只需执行关闭命令便可复原漏洞环境，与传统的漏洞环境搭建方式相比节省大量人力和时间。

Description

一种基于虚拟化技术的漏洞靶场自动化搭建方法和装置

技术领域

本申请的实施例涉及网络安全技术领域，并且更具体地，涉及一种基于虚拟化技术的漏洞靶场自动化搭建方法和装置。

背景技术

随着互联网技术的快速发展，网络安全问题成为人们日益关注的重要问题，在出现漏洞安全事件后，对于漏洞的分析和验证十分重要；搭建漏洞环境是分析和验证漏洞的主要方式，然而搭建漏洞环境的步骤十分繁琐，搭建过程往往耗费大量时间；此外，在漏洞环境使用之后，为了达到反复试验的目的，需对漏洞环境进行复原操作，传统虚拟机需要通过快照的方式进行还原，占用存储器空间的同时还占用资源，操作十分不便。

发明内容

根据本申请的实施例，提供了一种基于虚拟化技术的漏洞靶场自动化搭建方案。

在本申请的第一方面，提供了一种基于虚拟化技术的漏洞靶场自动化搭建方法。该方法包括：

配置脚本文件，所述脚本文件用于根据漏洞环境名称和预设的调取模型调取服务，以及根据服务名称指定基础镜像；

根据待搭建漏洞环境名称，通过配置完成的脚本文件，搭建漏洞环境。

在一种可能实现的方式中，所述调取模型包括：

提取所述漏洞环境名称中的关键词；

根据所述关键词在预设服务仓库中调取与所述关键词匹配的多个服务；

根据所述多个服务的依赖关系确定所述多个服务的优先级，所述多个服务用于根据所述优先级依次运行。

在一种可能实现的方式中，所述多个服务之间依据所述优先级通过depends_on指定。

在一种可能实现的方式中，所述根据服务名称指定基础镜像包括：

根据服务名称和docker search命令引用基础镜像。

本申请提供的一种基于虚拟化技术的漏洞靶场自动化搭建方法，预先在容器中配置脚本文件，通过根据待搭建的漏洞环境名称，确定需要开启的服务名称，根据服务名称确定引用基础镜像，根据多个服务之间的依赖关系，确定多个服务之间的优先级，以完成漏洞环境的配置，执行启动命令，运行漏洞环境，与传统的漏洞环境搭建方式相比，本申请在获取漏洞环境的名称后，配合文件便可自动化部署漏洞环境，简化了漏洞环境的搭建步骤；并且在漏洞环境经过试炼后需要复原时，只需执行关闭命令便可复原漏洞环境，与传统的漏洞环境搭建方式相比节省大量人力和时间。

在本申请的第二方面，提供了一种装置，包括：

配置模块，用于配置脚本文件，所述脚本文件用于根据漏洞环境名称和预设的调取模型调取服务，以及根据服务名称指定基础镜像；

执行模块，用于根据待搭建漏洞环境名称，通过配置完成的脚本文件，搭建漏洞环境。

在一种可能实现的方式中，所述配置模块包括：

提取单元，用于提取所述漏洞环境名称中的关键词；

匹配单元，用于根据所述关键词在预设服务仓库中调取与所述关键词匹配的多个服务；

确定单元，用于根据所述多个服务的依赖关系确定所述多个服务的优先级，所述多个服务用于根据所述优先级依次运行。

在一种可能实现的方式中，所述确定单元还用于：

依据所述多个服务之间所述优先级，通过depends_on指定。

在一种可能实现的方式中，所述配置模块还用于根据服务名称和docker search命令引用基础镜像。

在本申请的第三方面，提供了一种电子设备。该电子设备包括：存储器和处理器，所述存储器上存储有计算机程序，所述处理器执行所述程序时实现如以上所述的方法。

在本申请的第四方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如根据本申请的第一方面的方法。

应当理解，发明内容部分中所描述的内容并非旨在限定本申请的实施例的关键或重要特征，亦非用于限制本申请的范围。本申请的其它特征将通过以下的描述变得容易理解。

附图说明

结合附图并参考以下详细说明，本申请各实施例的上述和其他特征、优点及方面将变得更加明显。在附图中，相同或相似的附图标记表示相同或相似的元素，其中：

图1示出了根据本申请的实施例的一种基于虚拟化技术的漏洞靶场自动化搭建方法的流程图；

图2示出了根据本申请的实施例的一种基于虚拟化技术的漏洞靶场自动化搭建装置的方框图；

图3示出了适于用来实现本申请实施例的终端设备或服务器的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的全部其他实施例，都属于本申请保护的范围。

随着互联网技术的快速发展，网络安全问题成为人们日益关注的重要问题；在出现包括漏洞在内的一些网络安全问题时，需要搭建漏洞环境以供技术人员对该漏洞分析和验证。相关技术中，对于漏洞环境的搭建常从底层环境开始，这样存在的问题在于操作步骤十分繁琐、对于技术人员的要求高、上手难度大且需要花费较长时间；此外，漏洞环境在试炼过后需要进行复原操作，传统的虚拟机通过快照的方式对漏洞环境进行还原，这种方式占用空间的同时还十分占用资源且操作不便。

本申请中，基于docker技术，通过待搭建的漏洞环境名称和预先配置的脚本文件，对漏洞环境进行自动化部署。具体的，在获取到待搭建的漏洞环境名称后，根据漏洞环境名称和预设的调取模型调取需要开启的服务，再根据服务名称指定基础镜像；在基础镜像引用完成后，执行启动命令以运行漏洞环境。这种部署漏洞环境的方式，简化了漏洞环境的搭建步骤，并且在漏洞环境经过试炼后需要复原时，只需执行关闭命令便可复原漏洞环境，与传统的漏洞环境搭建方式相比节省大量人力和时间。

图1示出了根据本申请实施例的一种基于虚拟化技术的漏洞靶场自动化搭建方法的流程图，由电子设备执行。

步骤S100、配置脚本文件，所述脚本文件用于根据漏洞环境名称和预设的调取模型调取服务，以及根据服务名称指定基础镜像；

在本申请实施例中，脚本文件包括服务名称字段、基础镜像字段、优先级字段以及端口指定字段等。

调取模型表征为：

在接收到漏洞环境名称后，获取漏洞环境名称的关键词，并根据并根据关键词在预设服务仓库中调取与关键词匹配的服务，一关键词一般匹配有多个服务，依据多个服务之间的依赖关系，可以确定多个服务之间的优先级，多个服务按照优先级依次运行，具体的，多个服务之间依据优先级可以通过depends_on进行指定，服务之间需要映射的端口可以用过port指定。

其中，可以在预设关键词仓库中存储有关键词群，在获取到漏洞环境名称后，将漏洞环境名称与预设仓库中的关键词群匹配，确定关键词。

关键词与服务之间的匹配关系可以通过大量的数据样本来训练卷积神经网络建立，服务的命名可以是自定义的，例如web服务可以命名为web，数据库服务可以命名为database。

在一个具体的示例中，一待搭建的漏洞环境需要开启web服务和数据库服务，web服务的运行依赖数据，因此数据库服务的优先级高于web服务。在启动服务时，可以以services开始，先启动web服务，在通过depends_on指定数据库服务。

在一些实施例中，在根据关键词匹配服务之前，判断关键词所属类型，若关键词与服务名称一致，则确定关键词为服务名称；若关键词与服务名称不一致，则根据关键词和卷积神经网络模型匹配服务。

在确定漏洞环境需要开启的服务后，可以根据服务的名称和docker search命令，在docker远程仓库中拉取与服务匹配的基础镜像，通过networks将服务和对应服务的基础镜像引用至同一网络下，以完成对基础配置。

步骤S200、根据待搭建漏洞环境名称，通过配置完成的脚本文件，搭建漏洞环境。

在本申请实施例中，获取漏洞环境名称的方式可以是通过人机交互单元获取技术人员手动输入的漏洞环境名称，也可以是通过语音识别技术，在接收到触发信息后，通过识别的语音信息确定漏洞环境名称。

在服务和基础镜像配置完成后，可以执行启动命令以运行漏洞环境，还可以执行关闭命令关闭基础镜像。具体的，可以在编写的脚本文件的同一路径下运行docker-compose up以启动漏洞环境，运行docker-compose down以关闭漏洞环境。

本申请公开的一种基于虚拟化技术的漏洞靶场自动化搭建方法，相比于传统的虚拟机部署漏洞环境的方式，通过在容器内预先配置脚本文件，在确定待搭建漏洞环境名称后，便可自动化部署漏洞环境，简化了漏洞环境的搭建过程，并且避免了传统的环境搭建过程中不同服务之间报错的问题。并且，本申请由脚本文件基于容器的方式进行部署，相对于传统的部署方式具有占用空间更小，运行速度更快的优点。此外，部署完成的漏洞环境往往用于反复试验，在经过一次试炼后，需对漏洞环境进行复原操作，相对于传统的通过快照的方式还原漏洞环境，本申请只需再次执行关闭命令，便可复原漏洞环境，十分便捷，可以节省大量人力和时间。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作和模块并不一定是本申请所必须的。

以上是关于方法实施例的介绍，以下通过装置实施例，对本申请所述方案进行进一步说明。

图2示出了根据本申请的实施例的一种基于虚拟化技术的漏洞靶场自动化搭建装置的方框图，如图2所示，装置包括：

配置模块201，用于配置脚本文件，所述脚本文件用于根据漏洞环境名称和预设的调取模型调取服务，以及根据服务名称指定基础镜像；

执行模块202，用于根据待搭建漏洞环境名称，通过配置完成的脚本文件，搭建漏洞环境。

在一种可能实现的方式中，所述配置模块201包括：

提取单元，用于提取所述漏洞环境名称中的关键词；

匹配单元，用于根据所述关键词在预设服务仓库中调取与所述关键词匹配的多个服务；

确定单元，用于根据所述多个服务的依赖关系确定所述多个服务的优先级，所述多个服务用于根据所述优先级依次运行。

在一种可能实现的方式中，所述确定单元还用于：

依据所述多个服务之间所述优先级，通过depends_on指定。

在一种可能实现的方式中，所述配置模块201还用于根据服务名称和dockersearch命令引用基础镜像。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，所述描述的模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

图3示出了适于用来实现本申请实施例的电子设备的结构示意图。

如图3所示，电子设备包括中央处理单元(CPU)301，其可以根据存储在只读存储器(ROM)302中的程序或者从存储部分308加载到随机访问存储器(RAM)303中的程序而执行各种适当的动作和处理。在RAM 303中，还存储有系统300操作所需的各种程序和数据。CPU301、ROM 302以及RAM 303通过总线304彼此相连。输入/输出(I/O)接口305也连接至总线304。

以下部件连接至I/O接口305：包括键盘、鼠标等的输入部分306；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分307；包括硬盘等的存储部分308；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分309。通信部分309经由诸如因特网的网络执行通信处理。驱动器310也根据需要连接至I/O接口305。可拆卸介质311，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器310上，以便于从其上读出的计算机程序根据需要被安装入存储部分308。

特别地，根据本申请的实施例，上文参考流程图图1描述的过程可以被实现为计算机软件程序。例如，本申请的实施例包括一种计算机程序产品，其包括承载在机器可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分309从网络上被下载和安装，和/或从可拆卸介质311被安装。在该计算机程序被中央处理单元(CPU)301执行时，执行本申请的系统中限定的上述功能。

需要说明的是，本申请所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，前述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的单元或模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元或模块也可以设置在处理器中，例如，可以描述为：一种处理器包括配置模块和执行模块。其中，这些单元或模块的名称在某种情况下并不构成对该单元或模块本身的限定，例如，执行模块还可以被描述为“用于根据待搭建漏洞环境名称，通过配置完成的脚本文件，搭建漏洞环境”。

作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中的。上述计算机可读存储介质存储有一个或者多个程序，当上述前述程序被一个或者一个以上的处理器用来执行描述于本申请的基于虚拟化技术的漏洞环境自动化搭建方法。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的申请范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离前述申请构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中申请的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (10)

1.一种基于虚拟化技术的漏洞靶场自动化搭建方法，其特征在于，包括：

配置脚本文件，所述脚本文件用于根据漏洞环境名称和预设的调取模型调取服务，以及根据服务名称指定基础镜像；

根据待搭建漏洞环境名称，通过配置完成的脚本文件，搭建漏洞环境。

2.根据权利要求1所述的一种基于虚拟化技术的漏洞靶场自动化搭建方法，其特征在于，所述调取模型包括：

提取所述漏洞环境名称中的关键词；

根据所述关键词在预设服务仓库中调取与所述关键词匹配的多个服务；

根据所述多个服务的依赖关系确定所述多个服务的优先级，所述多个服务用于根据所述优先级依次运行。

3.根据权利要求2所述的一种基于虚拟化技术的漏洞靶场自动化搭建方法，其特征在于，所述多个服务之间依据所述优先级通过depends_on指定。

4.根据权利要求1所述的一种基于虚拟化技术的漏洞靶场自动化搭建方法，其特征在于，所述根据服务名称指定基础镜像包括：

根据服务名称和docker search命令引用基础镜像。

5.一种基于虚拟化技术的漏洞靶场自动化搭建装置，其特征在于，包括：

配置模块（201），用于配置脚本文件，所述脚本文件用于根据漏洞环境名称和预设的调取模型调取服务，以及根据服务名称指定基础镜像；

执行模块（201），用于根据待搭建漏洞环境名称，通过配置完成的脚本文件，搭建漏洞环境。

6.根据权利要求5所述的一种基于虚拟化技术的漏洞靶场自动化搭建装置，其特征在于，所述配置模块（201）包括：

提取单元，用于提取所述漏洞环境名称中的关键词；

匹配单元，用于根据所述关键词在预设服务仓库中调取与所述关键词匹配的多个服务；

确定单元，用于根据所述多个服务的依赖关系确定所述多个服务的优先级，所述多个服务用于根据所述优先级依次运行。

7.根据权利要求6所述的一种基于虚拟化技术的漏洞靶场自动化搭建装置，其特征在于，所述确定单元还用于：

依据所述多个服务之间所述优先级，通过depends_on指定。

8.根据权利要求5所述的一种基于虚拟化技术的漏洞靶场自动化搭建装置，其特征在于，所述配置模块（201）还用于根据服务名称和docker search命令引用基础镜像。

9.一种电子设备，包括存储器和处理器，所述存储器上存储有计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1~4中任一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1~4中任一项所述的方法。

Images