CN115695039A - 网络安全漏洞检测系统及方法 - Google Patents

Abstract

本发明提供了一种网络安全漏洞检测系统，包括采集模块、处理模块、分析矩阵、判断模块以及机器学习系统，本申请利用安全日志来获取一次接入请求事件对应的证书加载数据及请求验证数据，通过对证书加载数据及请求验证数据的挖掘，得到一次接入请求事件是否出现撞库行为、频繁的验证行为以及频繁的调用证书的行为，这些行为表明当前的一次接入请求可能存在较大可能的网络入侵。通过挖掘、分析这些数据，能够有效的判断是否存在漏洞。

Description

网络安全漏洞检测系统及方法

技术领域

本发明涉及计算机技术领域，特别是涉及一种网络安全漏洞检测系统及方法。

背景技术

现有的网络安全漏洞检测一般采用的是两种方法，一种是利用检测工具，另一种则是利用历史数据，比如网络安全日志来挖掘网络漏洞的概率。

在公开的技术中，比如：“CN111310190A”的专利文献1公开了一种网络安全漏洞的检测方法，包括指定应用程序的网络安全漏洞检测和全部应用程序的网络安全漏洞检测。其用于用户在计算机中安装一个或多个应用程序，对安装的一个或多个应用程序进行安全性能检测，当提示安装后的应用程序存在网络安全漏洞时，应及时对安装的一个或多个应用程序进行更新，修复漏洞即可，或者直接进行卸载，增加计算机的网络安全性能。

在比如公开号为：“CN112187773A”的专利文献2公开了一种网络安全漏洞的挖掘方法和装置，该方法包括：获取目标应用受到历史网络攻击时与所述历史网络攻击对应的行为数据；基于所述行为数据构建攻击行为知识图谱，所述攻击行为知识图谱中包括多条攻击链路，所述多条攻击链路用于描述所述历史网络攻击的攻击行为；对所述多条攻击链路进行分析，确定是否存在潜在的攻击链路；若存在所述潜在的攻击链路，则基于所述潜在的攻击链路确定所述目标应用的网络安全漏洞。

在专利文献1中，采用的是利用检测工具来进行检测，专利文献2则利用的是数据的挖掘。虽然利用检测工具可以发现一些漏洞，而对于一些新型的安全漏洞却很难检测出来。对于数据挖掘的方式，一般的都是分析漏洞出现的概率。而在大多数的情况下，漏洞在发现之前肯定存在频繁的入侵行为，这些入侵行为会在网络安全日志中留下蛛丝马迹，因此，基于这种方式，可以有效的得到漏洞出现的概率，防患于未然。

发明内容

有鉴于此，本发明的主要目的在于提供一种网络安全漏洞检测系统及方法。

本发明采用的技术方案如下：

一种网络安全漏洞检测系统，包括

采集模块，用于实时获取网络中各个端口形成的安全日志；

处理模块，从不同端口得到的安全日志中获取每次接入请求时对应的证书加载数据及请求验证数据；

分析矩阵，具有分配管理单元和多个分析单元，所述分配管理单元依次加载每次接入请求时对应的证书加载数据及请求验证数据，并按照端口对应关系将所述证书加载数据及请求验证数据输入至分析单元，

所述分析单元被配置并且布置成：

将一次证书加载设定为固定规格的方格块；然后将每次接入请求时对应的证书加载的次数作为累积乘积，得到一个柱状方格图；

将一次验证设定为方格块的填充值，设定填充值的不同范围；将每次接入请求时对应的验证作为填充值的累积乘积，并填充每一方格块；

判断模块，用于依据所述柱状方格图的高度和柱状方格图中每一方格块的填充值来判断每次接入请求时是否出现频繁撞库行为，并标定对应的端口；

以及机器学习系统，其被配置成基于判断模块得到的撞库行为来判断端口具有漏洞的概率；其中已通过历史撞库行为和对应检测结果进行迭代训练以配置所述机器学习系统。

进一步地，所述采集模块用于根据对应的链路从存储器或者硬盘中对应的目录中来获取网络中各个端口形成的安全日志，并标记所述安全日志的链路属性。

进一步地，同一端口对应一个链路。

进一步地，所述处理模块具有：

识别单元，所述识别单元被配置成识别所述安全日志的链路属性，并基于所述链路属性将所述安全日志分配至对应的处理单元；

处理单元，被配置成根据控制单元写入的处理规则的配置来进行执行处理；所述执行处理的程序如下：

Ⅰ：从安全日志中获取每次接入请求时对应的事件时间线、证书加载映射表以及请求验证映射表；其中证书加载映射表包括了一次接入请求对应的所有证书加载映射关系，请求验证映射表包括了一次接入请求对应的所有请求验证映射关系；

Ⅱ：由控制单元加载提取指令，执行由所述提取规则限定的提取动作；其中，所述动作包括将所述证书加载映射关系、请求验证映射关系提取到对应的缓存单元中，以形成证书加载数据及请求验证数据。

进一步地，所述分析单元根据所述链路属性与所述端口形成对应。

本发明该提供了一种网络安全漏洞检测方法，包括如下步骤:

①：实时获取网络中各个端口形成的安全日志；

②：从不同端口得到的安全日志中获取每次接入请求时对应的证书加载数据及请求验证数据；

③：分配管理单元依次加载每次接入请求时对应的证书加载数据及请求验证数据，并按照端口对应关系将所述证书加载数据及请求验证数据输入至分析单元；所述分析单元被配置并且布置成：

将一次证书加载设定为固定规格的方格块；然后将每次接入请求时对应的证书加载的次数作为累积乘积，得到一个柱状方格图；

将一次验证设定为方格块的填充值，设定填充值的不同范围；将每次接入请求时对应的验证作为填充值的累积乘积，并填充每一方格块；

④：用于依据所述柱状方格图的高度和柱状方格图中每一方格块的填充值来判断每次接入请求时是否出现频繁撞库行为，并标定对应的端口；

⑤：基于判断模块得到的撞库行为通过机器学习系统来判断端口具有漏洞的概率。

进一步地，在步骤②）中，从不同端口得到的安全日志中获取每次接入请求时对应的证书加载数据及请求验证数据的方法如下：

识别单元被配置成识别所述安全日志的链路属性，并基于所述链路属性将所述安全日志分配至对应的处理单元；

处理单元根据控制单元写入的处理规则的配置来进行执行处理；

所述执行处理的程序如下：

Ⅰ：从安全日志中获取每次接入请求时对应的事件时间线、证书加载映射表以及请求验证映射表；其中证书加载映射表包括了一次接入请求对应的所有证书加载映射关系，请求验证映射表包括了一次接入请求对应的所有请求验证映射关系；

Ⅱ：由控制单元加载提取指令，执行由所述提取规则限定的提取动作；其中，所述动作包括将所述证书加载映射关系、请求验证映射关系提取到对应的缓存单元中，以形成证书加载数据及请求验证数据。

本申请利用安全日志来获取一次接入请求事件对应的证书加载数据及请求验证数据，通过对证书加载数据及请求验证数据的挖掘，得到一次接入请求事件是否出现撞库行为、频繁的验证行为以及频繁的调用证书的行为，这些行为表明当前的一次接入请求可能存在较大可能的网络入侵。通过挖掘、分析这些数据，能够有效的判断是否存在漏洞。

在本申请中，在进行分析时，将一次证书加载设定为固定规格的方格块；然后将每次接入请求时对应的证书加载的次数作为累积乘积，得到一个柱状方格图；将一次验证设定为方格块的填充值，设定填充值的不同范围；将每次接入请求时对应的验证作为填充值的累积乘积，并填充每一方格块；本申请利用了直观的方法来将一次接入请求事件对应的证书加载、验证进行统计，可以直接的得到是否出现撞库行为、频繁的验证行为以及频繁的调用证书的行为。

附图说明

以下附图仅对本发明作示意性的说明和解释，并不用于限定本发明的范围，其中：

图1为本发明的框架原理图；

图2是本发明的方法流程图。

具体实施方式

为了使本发明的目的、技术方案、设计方法及优点更加清楚明了，以下结合附图通过具体实施例对本发明进一步详细说明。应当理解，此处所描述的具体实施例仅用于解释本发明，并不用于限定本发明。

实施例1

参照图1，本发明提供了一种网络安全漏洞检测系统，包括

采集模块，用于实时获取网络中各个端口形成的安全日志；

处理模块，从不同端口得到的安全日志中获取每次接入请求时对应的证书加载数据及请求验证数据；

分析矩阵，具有分配管理单元和多个分析单元，所述分配管理单元依次加载每次接入请求时对应的证书加载数据及请求验证数据，并按照端口对应关系将所述证书加载数据及请求验证数据输入至分析单元，

所述分析单元被配置并且布置成：

将一次证书加载设定为固定规格的方格块；然后将每次接入请求时对应的证书加载的次数作为累积乘积，得到一个柱状方格图；

将一次验证设定为方格块的填充值，设定填充值的不同范围；将每次接入请求时对应的验证作为填充值的累积乘积，并填充每一方格块；

判断模块，用于依据所述柱状方格图的高度和柱状方格图中每一方格块的填充值来判断每次接入请求时是否出现频繁撞库行为，并标定对应的端口；

以及机器学习系统，其被配置成基于判断模块得到的撞库行为来判断端口具有漏洞的概率；其中已通过历史撞库行为和对应检测结果进行迭代训练以配置所述机器学习系统。

在上述中，将一次证书加载设定为固定规格的方格块，其中方格块可以理解为统计手段用的方格，每一个方格代表了一次证书的加载，证书加载后就要进行证书的验证，此时可能会出现1次验证、几次验证或者N多次验证，一般情况下1次验证、几次验证都属于正常的，但是N多次验证就说明出现了撞库行为、频繁的验证行为。当一次加载证书验证不通过后，就会再次加载证书，此时，将每次接入请求时对应的证书加载的次数作为累积乘积，得到一个柱状方格图；将一次验证设定为方格块的填充值，设定填充值的不同范围；将每次接入请求时对应的验证作为填充值的累积乘积，并填充每一方格块。

在上述中，填充值可以表示为以颜色为示例的填充，比如当每次接入请求时对应的三次以内的验证以白色填充方格块，当超过3次以上时可以利用由白至黑的渐变来填充，比如3-10次以灰色填充，10次以上用黑色填充。这样我们可以只管的从柱状方格图和其具有的颜色来对应的识别和判断是否出现了频繁的验证行为以及频繁的调用证书的行为。当然撞库行为一般都需要依赖于频繁的验证行为以及频繁的调用证书的行为。

在上述中，所述采集模块用于根据对应的链路从存储器或者硬盘中对应的目录中来获取网络中各个端口形成的安全日志，并标记所述安全日志的链路属性。

在上述中，同一端口对应一个链路。

在上述中，所述处理模块具有：

识别单元，所述识别单元被配置成识别所述安全日志的链路属性，并基于所述链路属性将所述安全日志分配至对应的处理单元；

处理单元，被配置成根据控制单元写入的处理规则的配置来进行执行处理；所述执行处理的程序如下：

Ⅰ：从安全日志中获取每次接入请求时对应的事件时间线、证书加载映射表以及请求验证映射表；其中证书加载映射表包括了一次接入请求对应的所有证书加载映射关系，请求验证映射表包括了一次接入请求对应的所有请求验证映射关系；

Ⅱ：由控制单元加载提取指令，执行由所述提取规则限定的提取动作；其中，所述动作包括将所述证书加载映射关系、请求验证映射关系提取到对应的缓存单元中，以形成证书加载数据及请求验证数据。

在上述中，所述分析单元根据所述链路属性与所述端口形成对应。

本申请利用安全日志来获取一次接入请求事件对应的证书加载数据及请求验证数据，通过对证书加载数据及请求验证数据的挖掘，得到一次接入请求事件是否出现撞库行为、频繁的验证行为以及频繁的调用证书的行为，这些行为表明当前的一次接入请求可能存在较大可能的网络入侵。通过挖掘、分析这些数据，能够有效的判断是否存在漏洞。

在本申请中，在进行分析时，将一次证书加载设定为固定规格的方格块；然后将每次接入请求时对应的证书加载的次数作为累积乘积，得到一个柱状方格图；将一次验证设定为方格块的填充值，设定填充值的不同范围；将每次接入请求时对应的验证作为填充值的累积乘积，并填充每一方格块；本申请利用了直观的方法来将一次接入请求事件对应的证书加载、验证进行统计，可以直接的得到是否出现撞库行为、频繁的验证行为以及频繁的调用证书的行为。

实施例2

参照图2，本发明该提供了一种网络安全漏洞检测方法，包括如下步骤:

①：实时获取网络中各个端口形成的安全日志；

②：从不同端口得到的安全日志中获取每次接入请求时对应的证书加载数据及请求验证数据；

③：分配管理单元依次加载每次接入请求时对应的证书加载数据及请求验证数据，并按照端口对应关系将所述证书加载数据及请求验证数据输入至分析单元；所述分析单元被配置并且布置成：

将一次证书加载设定为固定规格的方格块；然后将每次接入请求时对应的证书加载的次数作为累积乘积，得到一个柱状方格图；

将一次验证设定为方格块的填充值，设定填充值的不同范围；将每次接入请求时对应的验证作为填充值的累积乘积，并填充每一方格块；

④：用于依据所述柱状方格图的高度和柱状方格图中每一方格块的填充值来判断每次接入请求时是否出现频繁撞库行为，并标定对应的端口；

⑤：基于判断模块得到的撞库行为通过机器学习系统来判断端口具有漏洞的概率。

进一步地，在步骤②）中，从不同端口得到的安全日志中获取每次接入请求时对应的证书加载数据及请求验证数据的方法如下：

识别单元被配置成识别所述安全日志的链路属性，并基于所述链路属性将所述安全日志分配至对应的处理单元；

处理单元根据控制单元写入的处理规则的配置来进行执行处理；

所述执行处理的程序如下：

Ⅰ：从安全日志中获取每次接入请求时对应的事件时间线、证书加载映射表以及请求验证映射表；其中证书加载映射表包括了一次接入请求对应的所有证书加载映射关系，请求验证映射表包括了一次接入请求对应的所有请求验证映射关系；

Ⅱ：由控制单元加载提取指令，执行由所述提取规则限定的提取动作；其中，所述动作包括将所述证书加载映射关系、请求验证映射关系提取到对应的缓存单元中，以形成证书加载数据及请求验证数据。

本申请利用安全日志来获取一次接入请求事件对应的证书加载数据及请求验证数据，通过对证书加载数据及请求验证数据的挖掘，得到一次接入请求事件是否出现撞库行为、频繁的验证行为以及频繁的调用证书的行为，这些行为表明当前的一次接入请求可能存在较大可能的网络入侵。通过挖掘、分析这些数据，能够有效的判断是否存在漏洞。

以上已经描述了本发明的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。

Claims (7)

1.网络安全漏洞检测系统，其特征在于，包括

采集模块，用于实时获取网络中各个端口形成的安全日志；

处理模块，从不同端口得到的安全日志中获取每次接入请求时对应的证书加载数据及请求验证数据；

分析矩阵，具有分配管理单元和多个分析单元，所述分配管理单元依次加载每次接入请求时对应的证书加载数据及请求验证数据，并按照端口对应关系将所述证书加载数据及请求验证数据输入至分析单元，

所述分析单元被配置并且布置成：

将一次证书加载设定为固定规格的方格块；然后将每次接入请求时对应的证书加载的次数作为累积乘积，得到一个柱状方格图；

将一次验证设定为方格块的填充值，设定填充值的不同范围；将每次接入请求时对应的验证作为填充值的累积乘积，并填充每一方格块；

判断模块，用于依据所述柱状方格图的高度和柱状方格图中每一方格块的填充值来判断每次接入请求时是否出现频繁撞库行为，并标定对应的端口；

以及机器学习系统，其被配置成基于判断模块得到的撞库行为来判断端口具有漏洞的概率；其中已通过历史撞库行为和对应检测结果进行迭代训练以配置所述机器学习系统。

2.根据权利要求1所述的网络安全漏洞检测系统，其特征在于，所述采集模块用于根据对应的链路从存储器或者硬盘中对应的目录中来获取网络中各个端口形成的安全日志，并标记所述安全日志的链路属性。

3.根据权利要求2所述的网络安全漏洞检测系统，其特征在于，同一端口对应一个链路。

4.根据权利要求1所述的网络安全漏洞检测系统，其特征在于，所述处理模块具有：

识别单元，所述识别单元被配置成识别所述安全日志的链路属性，并基于所述链路属性将所述安全日志分配至对应的处理单元；

处理单元，被配置成根据控制单元写入的处理规则的配置来进行执行处理；所述执行处理的程序如下：

Ⅰ：从安全日志中获取每次接入请求时对应的事件时间线、证书加载映射表以及请求验证映射表；其中证书加载映射表包括了一次接入请求对应的所有证书加载映射关系，请求验证映射表包括了一次接入请求对应的所有请求验证映射关系；

Ⅱ：由控制单元加载提取指令，执行由所述提取规则限定的提取动作；其中，所述动作包括将所述证书加载映射关系、请求验证映射关系提取到对应的缓存单元中，以形成证书加载数据及请求验证数据。

5.根据权利要求1所述的网络安全漏洞检测系统，其特征在于，所述分析单元根据所述链路属性与所述端口形成对应。

6.网络安全漏洞检测方法，其特征在于，包括如下步骤:

①：实时获取网络中各个端口形成的安全日志；

②：从不同端口得到的安全日志中获取每次接入请求时对应的证书加载数据及请求验证数据；

③：分配管理单元依次加载每次接入请求时对应的证书加载数据及请求验证数据，并按照端口对应关系将所述证书加载数据及请求验证数据输入至分析单元；所述分析单元被配置并且布置成：

将一次证书加载设定为固定规格的方格块；然后将每次接入请求时对应的证书加载的次数作为累积乘积，得到一个柱状方格图；

将一次验证设定为方格块的填充值，设定填充值的不同范围；将每次接入请求时对应的验证作为填充值的累积乘积，并填充每一方格块；

④：用于依据所述柱状方格图的高度和柱状方格图中每一方格块的填充值来判断每次接入请求时是否出现频繁撞库行为，并标定对应的端口；

⑤：基于判断模块得到的撞库行为通过机器学习系统来判断端口具有漏洞的概率。

7.根据权利要求6所述的网络安全漏洞检测方法，其特征在于，在步骤②）中，从不同端口得到的安全日志中获取每次接入请求时对应的证书加载数据及请求验证数据的方法如下：

识别单元被配置成识别所述安全日志的链路属性，并基于所述链路属性将所述安全日志分配至对应的处理单元；

处理单元根据控制单元写入的处理规则的配置来进行执行处理；

所述执行处理的程序如下：

Ⅰ：从安全日志中获取每次接入请求时对应的事件时间线、证书加载映射表以及请求验证映射表；其中证书加载映射表包括了一次接入请求对应的所有证书加载映射关系，请求验证映射表包括了一次接入请求对应的所有请求验证映射关系；

Ⅱ：由控制单元加载提取指令，执行由所述提取规则限定的提取动作；其中，所述动作包括将所述证书加载映射关系、请求验证映射关系提取到对应的缓存单元中，以形成证书加载数据及请求验证数据。

Images