CN115550049A - 一种物联网设备的漏洞检测方法及系统 - Google Patents

Abstract

本发明属于安全技术领域，提供了一种物联网设备的漏洞检测方法及系统。该方法包括，建立漏洞库，所述漏洞库至少包括一个漏洞及其对应的可执行文件；响应于获取某一物联网设备的特征指纹，判断所述物联网设备是否发生更新；所述特征指纹为物联网设备的逻辑和数据的组合特征；若发生更新，则基于所述物联网设备的特征指纹，扫描所述物联网设备中的漏洞信息，得到若干漏洞及其对应的可执行文件，记为第一筛查结果；将第一筛查结果中每个漏洞与已知漏洞进行匹配，根据重合度判断，得到同源漏洞筛查结果，以此得到包含有物联网设备所有漏洞集合的漏洞清单；每个漏洞与已知漏洞对应相同的可执行文件；本发明能够对漏洞库中未录入的新漏洞进行精准筛选。

Description

一种物联网设备的漏洞检测方法及系统

技术领域

本发明属于安全技术领域，尤其涉及一种物联网设备的漏洞检测方法及系统。

背景技术

本部分的陈述仅仅是提供了与本发明相关的背景技术信息，不必然构成在先技术。

21世纪以来，随着物联网技术的广泛应用，物联网产品层出不穷，多种多样，随处可见，例如手机、智能音箱、智能摄像头、家用路由器等都是常用的物联网设备。越来越多的物联网产品被投入到生活中使用，安全隐患问题日益突出，为保障物联网设备的使用安全，通常需要对物联网设备进行罗东识别，然而现在物联网设备更新换代极快，现有的漏洞检测方法只能依据与过去漏洞库中已存在的漏洞进行匹配筛选，在物联网设备更新后，易产生与漏洞库中未录入的新漏洞，该类漏洞难以识别，会成为攻击整个物联网的一个突破口，对物联网设备的安全运行带来极大隐患。

发明内容

为了解决上述背景技术中存在的技术问题，本发明提供一种物联网设备的漏洞检测方法及系统，其能够对漏洞库中未录入的新漏洞进行精准筛选，达到自适应排查效果，适用于多种物联网设备的不同版本，提升物联网设备的安全性，适用范围广，易于推广和实施。

为了实现上述目的，本发明采用如下技术方案：

本发明的第一个方面提供一种物联网设备的漏洞检测方法。

一种物联网设备的漏洞检测方法，包括：

建立漏洞库，所述漏洞库至少包括一个漏洞及其对应的可执行文件；

响应于获取某一物联网设备的特征指纹，判断所述物联网设备是否发生更新；其中，所述特征指纹为物联网设备的逻辑和数据的组合特征；

若发生更新，则基于所述物联网设备的特征指纹，扫描所述物联网设备中的漏洞信息，得到若干漏洞及其对应的可执行文件，记为第一筛查结果；

将第一筛查结果中每个漏洞与已知漏洞进行匹配，根据重合度判断，得到同源漏洞筛查结果，以此得到包含有物联网设备所有漏洞集合的漏洞清单；

其中，每个漏洞与已知漏洞对应相同的可执行文件。

本发明的第二个方面提供一种物联网设备的漏洞检测系统。

一种物联网设备的漏洞检测系统，包括：

漏洞库构建模块，其被配置为：建立漏洞库，所述漏洞库至少包括一个漏洞及其对应的可执行文件；

设备更新判断模块，其被配置为：响应于获取某一物联网设备的特征指纹，判断所述物联网设备是否发生更新；其中，所述特征指纹为物联网设备的逻辑和数据的组合特征；

漏洞扫描模块，其被配置为：若发生更新，则基于所述物联网设备的特征指纹，扫描所述物联网设备中的漏洞信息，得到若干漏洞及其对应的可执行文件，记为第一筛查结果；

同源漏洞匹配模块，其被配置为：将第一筛查结果中每个漏洞与已知漏洞进行匹配，根据重合度判断，得到同源漏洞筛查结果，以此得到包含有物联网设备所有漏洞集合的漏洞清单；其中，每个漏洞与已知漏洞对应相同的可执行文件。

本发明的第三个方面提供一种计算机可读存储介质。

一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上述第一个方面所述的物联网设备的漏洞检测方法中的步骤。

本发明的第四个方面提供一种计算机设备。

一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述第一个方面所述的物联网设备的漏洞检测方法中的步骤。

与现有技术相比，本发明的有益效果是：

本发明中通过对已更新设备的首次漏洞扫描结果进行分析处理，获取同源漏洞筛查结果，再根据同源漏洞筛查结果进行侵入场景模拟验证，筛选同源漏洞被侵入几率超出阈值的漏洞，最终得出物联网设备中所有漏洞，并输出漏洞清单，能够对漏洞库中未录入的新漏洞进行精准筛选，达到自适应排查效果，适用于多种物联网设备的不同版本，提升物联网设备的安全性，适用范围广，易于推广和实施。

附图说明

构成本发明的一部分的说明书附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。

图1为本发明实施例一提供的一种物联网设备的漏洞检测方法的流程图；

图2为本发明实施例一提供的一种物联网设备的漏洞检测方法的步骤4的流程图。

具体实施方式

下面结合附图与实施例对本发明作进一步说明。

应该指出，以下详细说明都是例示性的，旨在对本发明提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本发明所属技术领域的普通技术人员通常理解的相同含义。

需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本发明的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

需要注意的是，附图中的流程图和框图示出了根据本公开的各种实施例的方法和系统的可能实现的体系架构、功能和操作。应当注意，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，所述模块、程序段、或代码的一部分可以包括一个或多个用于实现各个实施例中所规定的逻辑功能的可执行指令。也应当注意，在有些作为备选的实现中，方框中所标注的功能也可以按照不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，或者它们有时也可以按照相反的顺序执行，这取决于所涉及的功能。同样应当注意的是，流程图和/或框图中的每个方框、以及流程图和/或框图中的方框的组合，可以使用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以使用专用硬件与计算机指令的组合来实现。

实施例一

如图1所示，本实施例提供了一种物联网设备的漏洞检测方法，本实施例以该方法应用于服务器进行举例说明，可以理解的是，该方法也可以应用于终端，还可以应用于包括终端和服务器和系统，并通过终端和服务器的交互实现。服务器可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务器、云通信、中间件服务、域名服务、安全服务CDN、以及大数据和人工智能平台等基础云计算服务的云服务器。终端可以是智能手机、平板电脑、笔记本电脑、台式计算机、智能音箱、智能手表、智能摄像头、家用路由器等，但并不局限于此。终端以及服务器可以通过有线或无线通信方式进行直接或间接地连接，本申请在此不做限制。本实施例中，该方法包括以下步骤：

步骤1：建立漏洞库，所述漏洞库至少包括一个漏洞及其对应的可执行文件；

步骤2：响应于获取某一物联网设备的特征指纹，判断所述物联网设备是否发生更新；

步骤3：若发生更新，则基于所述物联网设备的特征指纹，采用适用的安全扫描配置，基于设定的扫描约束扫描所述物联网设备中的漏洞信息，得到若干漏洞及其对应的可执行文件，记为第一筛查结果；

步骤4：通过同源漏洞匹配模块，对第一筛查结果进行分析处理获取同源漏洞筛查结果，根据所述同源漏洞筛查结果输出包含有物联网设备所有漏洞集合的漏洞清单。

在本实施例中，特征指纹为物联网设备的逻辑和数据的组合特征，获取物联网设备的特征指纹，能够确定该物联设备的类型，从而针对该类物联网设备配置安全扫描方式，物联网设备分为用户态和内核态。内核态数据是根基，用户态数据是内核态的反馈，可以被非法篡改。为防止非法篡改数据，实现物联网设备的安全管控，保障物联网的安全，在本实施例是由物联网设备在内核态执行物联网设备的漏洞检测。

在对物联网设备进行安全扫描前，首先需要获取待检测物联网设备的IP(Internet Protocol，互联网协议)网段，上述IP网段涵盖了待检测物联网中所有物联网设备的IP地址，IP网段中的IP地址可以为一个，也可以为多个，再对上述IP网段进行扫描，确定出IP网段中每个存活IP的所有开放端口，在本发明实施例中，将开放端口分为两种，一种为设备端开放端口，即供物联网设备设备使用的开放端口，另一种为非设备端开放端口，即供其他非物联网设备使用的开放端口，不同开放端口对应的是不同的协议，例如，502端口对应modbus协议，1922端口对应fox协议，44818端口对应enip(EtherNet/IP，工业以太网)协议。

更为具体的，所述步骤3中采用适用的安全扫描配置，扫描所述物联网设备中得到漏洞信息，具体还包括以下步骤：

步骤31：响应于所述安全扫描配置的启动指令，判断所述物联网设备的整体运行情况是否正常；

步骤32：若所述物联网设备运行正常，则完成扫描，并生成第一筛查结果；若所述物联网设备运行异常，进一步通过安全管理模块判断所述物联网设备的进程是否中断；

步骤33：若是，则终结扫描任务，若否，则将扫描任务挂起。

更为具体的，所述判断该物联网设备是否运行正常时，通过向所述物联网发送心跳包，并根据是否接收到心跳包来判断该物联网设备是否正常，达到心跳检测目的。

心跳检测是在服务端保存下来所有物联网设备的状态信息，然后等待物联网设备定时去访问设定接收心跳检测信号的服务器端，更新物联网设备的当前的信息状态，如果物联网设备超过指定的时间没有去更新信息状态，则认为物联网设备已经宕机或者其状态异常。心跳检测充分利用TCP(Transmission Control Protocol，传输控制协议)本身的可靠性机制来发送心跳包。

更为具体的，对所述扫描约束的设定具体包括选择扫描方式、选择扫描策略、选择扫描频率以及选择扫描插件，所述扫描方式包括人工干预式扫描和非人工干预扫描方式，所述扫描策略包括被动式策略和主动式策略。

根据待测的物联网设备类型进行选择被动式策略或主动式策略，当需要重点检测物联网设备是否存在不合适设置、弱口令及其他与安全规则抵触的对象时选择被动式策略；当需要执行攻击场景模拟对物联网设备中的可执行文件进行攻击的行为并记录设备及系统的反应时选择主动式策略。扫描频率的设定可根据需要选择固定时间下发扫描任务进行扫描，在物联网扫描过程中也可选择智能扫描，包括流量阈值上下限的设定、扫描启动频次等，在显示连续流量较低时表示该时段内业务量较少，开展扫描工作。根据扫描设备的类型，可对自定义的扫描插件进行选择，加载扫描插件后可对待测的物联网设备进行特定的扫描。

如图2所示，更为具体的，所述步骤4还包括以下步骤：

步骤41：同源漏洞匹配模块对第一筛查结果进行分析处理，获取至少一个待匹配目标；

步骤42：提取每一个待匹配目标的至少一个匹配特征，并确定每一个待匹配目标的至少一个匹配特征与已知漏洞的第二匹配特征之间的重合度，所述已知漏洞与所述第一待匹配目标对应相同的可执行文件；

步骤43：若所述重合度超过设定阈值，确定所述已知漏洞为对应的所述第一待匹配目标的同源漏洞集，所有第一待匹配目标的同源漏洞集整合而成所述同源漏洞筛查结果。

通过依据现有已知的漏洞结构生成的漏洞匹配过程，能够对更新后的物联网设备进行同源漏洞识别，实现了对数据库中未录入的漏洞进行检测，有效提高漏洞检测的准确率，为避免重复筛选，采用可执行文件为对标依据，根据可执行文件判断单个可执行文件上所存在的应用于该可执行文件的漏洞，能够进一步保障漏洞检测的准确性，其中重合度的设定阈值可设定为90％。

如图2所示，更为具体的，所述步骤4还包括以下步骤：

步骤44：所述同源漏洞筛查结果至少包括一个同源漏洞及其可执行文件，从若干攻击模拟场景中筛选适用于所述同源漏洞的攻击模拟场景，对所述同源漏洞进行模拟侵入；

步骤45：通过对所述同源漏洞的可执行文件进行被侵入几率验证，筛选侵入几率超出阈值的所述同源漏洞的可执行文件，确定所述同源漏洞的真实性，输出包含有物联网设备所有漏洞集合的漏洞清单。

对可执行文件的侵入几率验证过程以及结果，能够准确分析漏洞存在的真实性，避免将非漏洞数据作为漏洞处理，影响漏洞检测的准确性，更避免了后续针对漏洞时，误将正确文件进行修改，导致物联网设备运行故障的可能性，此处被侵入几率阈值可设为90％，在测验时，需要智能化地筛选出适用于可执行文件的攻击模拟场景，提高检测效率以及准确性，提升用户的体验度，预设的漏洞库中还存储有多个漏洞验证插件，根据设备端开放端口的漏洞类型既可以在漏洞库中确定出对应的漏洞验证插件。

更为具体的，所述步骤44中，从若干攻击模拟场景中筛选适用于漏洞的攻击模拟场景，对漏洞进行模拟侵入，具体还包括以下步骤：

步骤441：对若干攻击模拟场景进行标签分配，所述标签上设定有保障模拟侵入过程成功所必需的可执行文件状态信息；

步骤442：通过将同源漏洞的可执行文件状态信息与攻击模拟场景标签进行逐一匹配，筛选得出匹配成功的攻击示例。

在若干攻击模拟场景中，任一攻击模拟场景的标签均具有唯一性，标签上设定有保障模拟侵入过程成功所必需的可执行文件状态信息，通过依据标签对可执行文件状态信息进行逐一匹配，实现智能化筛选的效果，达到智能筛选攻击验证范围的目的；

设备运行状态类信息。在物联网设备中，设备运行状态信息包括以下至少一个：进程黑名单/白名单、文件黑名单/白名单、网络连接黑名单/白名单、网络流量阈值区间、操作系统配置白名单。可选地，进程黑名单/白名单可包括：进程名，父进程名，进程哈希值。文件黑名单/白名单可包括：文件名，文件哈希值；网络连接黑名单/白名单可包括：IP地址(设备对外连接或外部内联)、端口、协议；网络流量预置区间可为设备正常运行状态下流量预置区间；操作系统配置白名单：操作系统所有功能的正常基线配置。可选地，这里设备运行状态类信息可为设备出厂时的信息。

更为具体的，同源漏洞筛查结果中至少包括一个同源漏洞及其对应的可执行文件，对某一个同源漏洞进行解析后，获得该同源漏洞对应的修补处理，根据修补处理对同源漏洞及其对应的可执行文件进行修补。

实施例二

本实施例提供了一种物联网设备的漏洞检测系统。

一种物联网设备的漏洞检测系统，包括：

漏洞库构建模块，其被配置为：建立漏洞库，所述漏洞库至少包括一个漏洞及其对应的可执行文件；

设备更新判断模块，其被配置为：响应于获取某一物联网设备的特征指纹，判断所述物联网设备是否发生更新；其中，所述特征指纹为物联网设备的逻辑和数据的组合特征；

漏洞扫描模块，其被配置为：若发生更新，则基于所述物联网设备的特征指纹，扫描所述物联网设备中的漏洞信息，得到若干漏洞及其对应的可执行文件，记为第一筛查结果；

同源漏洞匹配模块，其被配置为：将第一筛查结果中每个漏洞与已知漏洞进行匹配，根据重合度判断，得到同源漏洞筛查结果，以此得到包含有物联网设备所有漏洞集合的漏洞清单；其中，每个漏洞与已知漏洞对应相同的可执行文件。

此处需要说明的是，上述漏洞库构建模块、设备更新判断模块、漏洞扫描模块和同源漏洞匹配模块与实施例一中的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为系统的一部分可以在诸如一组计算机可执行指令的计算机系统中执行。

实施例三

本实施例提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上述实施例一所述的物联网设备的漏洞检测方法中的步骤。

实施例四

本实施例提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述实施例一所述的物联网设备的漏洞检测方法中的步骤。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(RandomAccessMemory，RAM)等。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种物联网设备的漏洞检测方法，其特征在于，包括：

建立漏洞库，所述漏洞库至少包括一个漏洞及其对应的可执行文件；

响应于获取某一物联网设备的特征指纹，判断所述物联网设备是否发生更新；其中，所述特征指纹为物联网设备的逻辑和数据的组合特征；

若发生更新，则基于所述物联网设备的特征指纹，扫描所述物联网设备中的漏洞信息，得到若干漏洞及其对应的可执行文件，记为第一筛查结果；

将第一筛查结果中每个漏洞与已知漏洞进行匹配，根据重合度判断，得到同源漏洞筛查结果，以此得到包含有物联网设备所有漏洞集合的漏洞清单；

其中，每个漏洞与已知漏洞对应相同的可执行文件。

2.根据权利要求1所述的物联网设备的漏洞检测方法，其特征在于，所述扫描所述物联网设备中的漏洞信息的过程具体包括：

若所述物联网设备运行正常，则完成扫描，并生成第一筛查结果；若所述物联网设备运行异常，则判断所述物联网设备的进程是否中断；

若是，则终结扫描任务，否则，将扫描任务挂起。

3.根据权利要求2所述的物联网设备的漏洞检测方法，其特征在于，所述判断该物联网设备是否运行正常具体包括：通过向物联网发送心跳包，并根据是否接收到心跳包来判断该物联网设备是否正常，达到心跳检测目的。

4.根据权利要求1所述的物联网设备的漏洞检测方法，其特征在于，所述重合度判断的具体过程包括：

对第一筛查结果进行分析处理，得到至少一个待匹配目标；

提取每一个待匹配目标的至少一个匹配特征，并确定每一个待匹配目标的至少一个匹配特征与已知漏洞的第二匹配特征之间的重合度，所述已知漏洞与所述第一待匹配目标对应相同的可执行文件；

若所述重合度超过设定阈值，确定所述已知漏洞为对应的所述第一待匹配目标的同源漏洞集，将所有第一待匹配目标的同源漏洞集整合得到所述同源漏洞筛查结果。

5.根据权利要求1所述的物联网设备的漏洞检测方法，其特征在于，所述同源漏洞筛查结果至少包括一个同源漏洞及其可执行文件，从若干攻击模拟场景中筛选适用于所述同源漏洞的攻击模拟场景，对所述同源漏洞进行模拟侵入；

通过对所述同源漏洞的可执行文件进行被侵入几率验证，筛选侵入几率超出阈值的所述同源漏洞的可执行文件，确定所述同源漏洞的真实性，输出包含有物联网设备所有漏洞集合的漏洞清单。

6.根据权利要求1所述的物联网设备的漏洞检测方法，其特征在于，从若干攻击模拟场景中筛选适用于漏洞的攻击模拟场景，对漏洞进行模拟侵入，具体具体包括：

对若干攻击模拟场景进行标签分配，所述标签上设定有保障模拟侵入过程成功所必需的可执行文件状态信息；

通过将同源漏洞的可执行文件状态信息与攻击模拟场景标签进行逐一匹配，筛选得出匹配成功的攻击示例。

7.根据权利要求1所述的物联网设备的漏洞检测方法，其特征在于，所述同源漏洞筛查结果中至少包括一个同源漏洞及其对应的可执行文件，对某一个同源漏洞进行解析后，获得该同源漏洞对应的修补处理，根据修补处理对同源漏洞及其对应的可执行文件进行修补。

8.一种物联网设备的漏洞检测系统，其特征在于，包括：

漏洞库构建模块，其被配置为：建立漏洞库，所述漏洞库至少包括一个漏洞及其对应的可执行文件；

设备更新判断模块，其被配置为：响应于获取某一物联网设备的特征指纹，判断所述物联网设备是否发生更新；其中，所述特征指纹为物联网设备的逻辑和数据的组合特征；

漏洞扫描模块，其被配置为：若发生更新，则基于所述物联网设备的特征指纹，扫描所述物联网设备中的漏洞信息，得到若干漏洞及其对应的可执行文件，记为第一筛查结果；

同源漏洞匹配模块，其被配置为：将第一筛查结果中每个漏洞与已知漏洞进行匹配，根据重合度判断，得到同源漏洞筛查结果，以此得到包含有物联网设备所有漏洞集合的漏洞清单；其中，每个漏洞与已知漏洞对应相同的可执行文件。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-7中任一项所述的物联网设备的漏洞检测方法中的步骤。

10.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1-7中任一项所述的物联网设备的漏洞检测方法中的步骤。

Images