CN115834188A - 一种漏洞扫描监控方法、系统、电子设备及存储介质 - Google Patents

Abstract

本申请实施例提供一种漏洞扫描监控方法、系统、电子设备及存储介质，涉及网络安全技术领域。该方法包括获取流量日志；利用预先配置的规则对所述流量日志进行离线分析，筛选出漏洞结果；将所述漏洞结果发送至SDP漏洞管理平台，可根据自身业务场景灵活定义规则，高效使用探针，能够实现安全、高效的离线检测，使用成本低，解决了现有方法检测效率低、成本高的问题。

Description

一种漏洞扫描监控方法、系统、电子设备及存储介质

技术领域

本申请涉及网络安全技术领域，具体而言，涉及一种漏洞扫描监控方法、系统、电子设备及存储介质。

背景技术

应用安全传统扫描技术主要有主被动扫描、IAST等等。传统主被动扫描技术，通过获取正常的数据包，修改参数的值为安全测试向量，用来向服务器发送数据包，查看服务器的响应。但是误报率高、覆盖率不够、会在系统中插入脏数据，与敏捷开发流程契合不够。

传统IAST技术，会占用额外的性能，增加服务器的负担以及字节码对业务将产生影响。不同的部署环境有不同的情况发生，在大量的应用中使用IAST技术难度太大，在复杂的部署环境下，如果加上探针会对产品产生负面影响，负面影响会让其他部门对安全工作的不认可，此时需要一个公共服务作为平台支撑，成本较高。

发明内容

本申请实施例的目的在于提供一种漏洞扫描监控方法、系统、电子设备及存储介质，可根据自身业务场景灵活定义规则，高效使用探针，能够实现安全、高效的离线检测，使用成本低，解决了现有方法检测效率低、成本高的问题。

本申请实施例提供了一种漏洞扫描监控方法，所述方法包括：

获取流量日志；

利用预先配置的规则对所述流量日志进行离线分析，筛选出漏洞结果；

将所述漏洞结果发送至SDP漏洞管理平台。

在上述实现过程中，可以根据自身业务场景灵活自定义规则，高效使用探针；中间态插桩式的漏扫监控系统，具有安全检测、监控能力；漏洞检测的精度更高、扫描产生的脏数据极少；无需在业务代码层进行漏洞检测逻辑，只需要将关注变量推向安全团队的kafka集群，能够实现安全、高效的离线检测，使用成本低，解决了现有方法检测效率低、成本高的问题。

进一步地，所述获取流量日志，包括：

获取Kafka集群中的流量日志，所述流量日志包括堆栈结果流量和http原始流量；

所述流量日志来自于所述CAT平台通过公共埋点从应用服务器采集的正常访问流量、测试流量和Hydra扫描器重放流量。

在上述实现过程中，只需要应用接入CAT平台即可，使用成本低，通过CAT平台已接入的应用埋点数据，实现行内大范围的应用安全检测覆盖。

进一步地，在所述利用预先配置的规则对所述流量日志进行离线分析，筛选出漏洞结果的步骤之前，所述方法还包括：

利用唯一序列号将所述堆栈结果流量和http原始流量进行关联，并将关联结果存储至Redis集群。

在上述实现过程中，通过唯一序列号将堆栈结果流量和http原始流量进行关联，以便后续进行漏洞检测。

进一步地，所述利用预先配置的规则对所述流量日志进行离线分析，筛选出漏洞结果，包括：

基于所述规则对所述关联结果进行离线分析，以判断是否存在漏洞。

在上述实现过程中，使用预设的规则对关联结果进行离线分析，可以根据自身业务场景灵活自定义规则，高效使用探针。

进一步地，所述基于所述规则对所述关联结果进行离线分析，以判断是否存在漏洞，包括：

若所述流量日志中的参数值被带入SQL语句进行落地执行，则对应的流量含有漏洞；

若所述流量日志中的安全标记被带入SQL语句进行落地执行，则所述流量日志对应的流量含有SQL注入漏洞；

若流量经过Hydra扫描器重放，并加入了安全测试向量，且被带入SQL语句进行落地执行，则所述流量含有SQL注入漏洞。

在上述实现过程中，给出了具体的检测规则，漏洞检测的精度更高、扫描产生的脏数据极少，无需在业务代码层设置漏洞检测逻辑。

本申请实施例还提供一种漏洞扫描监控系统，所述系统包括：

Blackcat集群，用于获取流量日志；利用预先配置的规则对所述流量日志进行离线分析，筛选出漏洞结果；将所述漏洞结果发送至SDP漏洞管理平台。

在上述实现过程中，可以根据自身业务场景灵活自定义规则，高效使用探针；中间态插桩式的漏扫监控系统，具有安全检测、监控能力；漏洞检测的精度更高、扫描产生的脏数据极少；无需在业务代码层设置漏洞检测逻辑，只需要将关注变量推向安全团队的kafka集群，能够实现安全、高效的离线检测，使用成本低，解决了现有方法检测效率低、成本高的问题。

进一步地，所述系统还包括：

CAT平台，用于通过公共埋点从应用服务器采集流量日志，并存储至Kafka集群，以使所述Blackcat集群从所述Kafka集群获得流量日志，所述流量日志包括堆栈结果流量和http原始流量。

在上述实现过程中，CAT平台通过hook关键函数抓取程序运行时的流量日志，只需要应用接入CAT即可，使用成本低，借用公共服务CAT平台的现有模式，中间态插桩式的漏扫监控系统，具有了安全检测、监控能力。

进一步地，所述系统还包括：

Redis集群，用于存储利用唯一序列号将所述堆栈结果流量和http原始流量进行关联得到的关联结果，使得所述Blackcat集群基于所述规则对所述关联结果进行离线分析。

在上述实现过程中，通过CAT采集数据直接进行离线安全分析，实现了分布式的架构，依托于框架形成了多节点高可用的形态。

本申请实施例还提供一种电子设备，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行计算机程序以使所述电子设备执行上述中任一项所述的漏洞扫描监控方法。

本申请实施例还提供一种可读存储介质，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行上述中任一项所述的漏洞扫描监控方法。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的一种漏洞扫描监控方法的流程图；

图2为本申请实施例提供的漏洞检测流程图；

图3为本申请实施例提供的漏洞扫描监控方法的具体实现流程图；

图4为本申请实施例提供的漏洞扫描监控系统系统架构图。

图标：

100-Hydra扫描器；200-CAT平台；300-Kafka集群；400-Redis集群；500-Blackcat集群；600-SDP漏洞管理平台。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

实施例1

请参看图1，图1为本申请实施例提供的一种漏洞扫描监控方法的流程图。应用于Blackcat集群500，如图2所示，为漏洞检测流程图，所述方法具体可以包括以下步骤：

步骤S100：获取流量日志；

步骤S200：利用预先配置的规则对所述流量日志进行离线分析，筛选出漏洞结果；

步骤S300：将所述漏洞结果发送至SDP漏洞管理平台600。

其中，获取流量日志，具体包括：

获取Kafka集群300中的流量日志，所述流量日志包括堆栈结果流量和http原始流量；

所述流量日志来自于所述CAT平台200通过公共埋点从应用服务器采集的正常访问流量、测试流量和Hydra扫描器100重放流量。

只需要应用接入CAT平台200即可，使用成本低，通过CAT平台200已接入的应用埋点数据，实现行内大范围的应用安全检测覆盖。

在正常访问、测试系统、Hydra扫描器100重放流量三种场景，系统都会记录生成流量堆栈日志。这些日志会被实时采集上传到CAT平台200，处理后再存储到Kafka集群300。

Hydra扫描器100，获取用户到应用服务器之间的镜像流量，并重放流量，发包时计入安全测试Payload。

在步骤S200之前，所述方法还包括：

利用唯一序列号将所述堆栈结果流量和http原始流量进行关联，并将关联结果存储至Redis集群400。

通过唯一序列号将堆栈结果流量和http原始流量进行关联，以便后续进行漏洞检测。

步骤S200具体可以包括：

基于所述规则对所述关联结果进行离线分析，以判断是否存在漏洞，具体地：

若所述流量日志中的参数值被带入SQL语句进行落地执行，则对应的流量含有漏洞；

若所述流量日志中的安全标记被带入SQL语句进行落地执行，则所述流量日志对应的流量含有SQL注入漏洞；

若流量经过Hydra扫描器100重放，并加入了安全测试向量，且被带入SQL语句进行落地执行，则所述流量含有SQL注入漏洞。

具体地，发现正常参数值存在于sql执行结果，则疑似存在漏洞；

发现特殊安全标记存在于sql执行结果，则疑似存在漏洞；

发现安全测试Payload存在于sql执行结果，则大概率存在漏洞。

给出了具体的检测规则，漏洞检测的精度更高、扫描产生的脏数据极少，无需在业务代码层设置漏洞检测逻辑。

如图3所示，为漏洞扫描监控方法的具体实现流程图，具体地，CAT平台200通过hook关键函数抓取程序运行时的堆栈数据，堆栈数据为接入CAT的各应用的运行数据，抓取到的埋点数据推送至Blackcat集群500进行漏洞检测，漏洞会被上报至SDP漏洞管理平台600的mysql数据库，以可视化形式展现出来。

Blackcat集群500包括采集节点和规则分析节点，采集节点用户采集Kafka集群300中的流量日志，并通过规则分析节点进行漏洞检测。

以SQL注入检测场景为例，基于CAT平台200的能力，已集成CAT的应用打点关键类，如JDBC相关，拿到所有SQL执行语句。测试环境中的中间态插桩式的漏扫监控系统，可作为IAST，具备漏洞发现能力，生产环境中的中间态插桩式的漏扫监控系统，可作为RASP，具备攻击检测能力。获得原始sqllog后，可直接判断应用是否使用拼接；通过关键字检索监测真实存在的SQL注入攻击；通过被动扫描器盲打流量，插入标识位，sqllog中检索到标识符即可确认存在SQL注入漏洞，误报极少。

可以根据自身业务场景灵活自定义规则，高效使用探针；中间态插桩式的漏扫监控系统，具有安全检测、监控能力；漏洞检测的精度更高、扫描产生的脏数据极少；无需在业务代码层进行漏洞检测逻辑，只需要将关注变量推向安全团队的Kafka集群300，能够实现安全、高效的离线检测，使用成本低，解决了现有方法检测效率低、成本高的问题。

实施例2

本申请实施例还提供一种漏洞扫描监控系统，如图4所示，为漏洞扫描监控系统系统架构图，该系统是一种中间态插桩式的漏扫监控系统，依托于分布式框架实现多节点部署，基于IAST(Interactive application security testing，交互式应用安全测试，是一个在应用和API中自动化识别和诊断软件漏洞的技术)的理念，实现的中间态插桩式的漏扫监控系统，通过复用公共服务对应用进行埋点，进而对被动流量进行分析，最终实现入侵检测和漏洞校验。且实现了分布式的架构，依托于框架形成了多节点高可用的形态。所述系统包括：

Blackcat集群500，用于获取流量日志；利用预先配置的规则对所述流量日志进行离线分析，筛选出漏洞结果；将所述漏洞结果发送至SDP漏洞管理平台600。

CAT平台200，用于通过公共埋点从应用服务器采集流量日志，并存储至Kafka集群300，以使所述Blackcat集群500从所述Kafka集群300获得流量日志，所述流量日志包括堆栈结果流量和http原始流量。

流量包括正常访问流量、测试流量和Hydra扫描器100重放流量，在正常访问、测试系统、Hydra扫描器100重放流量三种场景，系统都会记录生成流量堆栈日志，这些日志会被实时采集上传到CAT平台200，处理后再存储到Kafka集群300。

Hydra扫描器100，镜像获取用户到应用服务器的流量，并用于重放流量，发包时加入安全测试Payload(有效载荷)；

CAT平台200，提供客户端埋点功能，并采集流量日志并存储至Kafka集群300；

Blackcat集群500，提取Kafka集群300的流量日志，根据唯一序列号匹配把关联结果写入Redis集群400；Blackcat规则分析节点对Redis集群400里面的关联结果做离线分析，判定漏洞是否存在。

具体判断规则为：

若所述流量日志中的参数值被带入SQL语句进行落地执行，则对应的流量含有漏洞；

若所述流量日志中的安全标记被带入SQL语句进行落地执行，则所述流量日志对应的流量含有SQL注入漏洞；

若流量经过Hydra扫描器100重放，并加入了安全测试向量，且被带入SQL语句进行落地执行，则所述流量含有SQL注入漏洞。

具体地，发现正常参数值存在于sql执行结果，则疑似存在漏洞；

发现特殊安全标记存在于sql执行结果，则疑似存在漏洞；

发现安全测试Payload存在于sql执行结果，则大概率存在漏洞。

该规则可以基于具体的应用场景进行具体测试，从而提高检测结果的准确性。

CAT平台200，与安全类产品的RASP、IAST同样是使用Java字节码技术。CAT平台200通过hook关键函数抓取程序运行时的堆栈数据，堆栈数据为接入CAT平台200的各应用的运行数据，抓取到的埋点数据推送至Kafka集群300。

CAT平台200通过hook关键函数抓取程序运行时的流量日志，只需要应用接入CAT即可，使用成本低，借用公共服务CAT平台200的现有模式，中间态插桩式的漏扫监控系统，具有了安全检测、监控能力。

中间态插桩式的漏扫监控系统，会根据Kafka集群300内的流量日志对堆栈内传入敏感函数的关键变量进行分析，对测试环境或生产中CAT平台200推送的数据报文中的参数、响应、应用执行的SQL或命令等进行漏洞检测。

Redis集群400，用于存储利用唯一序列号将所述堆栈结果流量和http原始流量进行关联得到的关联结果，使得所述Blackcat集群500基于所述规则对所述关联结果进行离线分析。

通过CAT采集数据直接进行离线安全分析，实现了分布式的架构，依托于框架形成了多节点高可用的形态。

中间态插桩式的漏扫监控系统，对应用进行攻击行为的检测告警，以及主动检测漏洞。借助CAT平台200已有的推广度，绕开IAST agent的部署难、兼容弱等问题，通过CAT平台200采集数据直接进行离线安全分析，同时借助被动扫描器Hydra，可以极为高效准确的判断应用是否存在安全漏洞。

分析CAT平台200记录的流量日志，如果匹配到中间态插桩式的漏扫监控系统配置的规则，则存在漏洞。

采集节点会拉取Kafka集群300里的流量日志进行分析，不同Kafka topic会分开缓存到Redis集群400，topic catlog是堆栈结果流量，topic urllog是http初始流量。规则分析节点对拉取到的日志进行匹配和离线分析，筛选出存在漏洞的结果，最后存储到SDP漏洞管理平台600的mysql数据库。

该系统只需要应用接入CAT平台200即可，使用成本低；可以根据自身业务场景灵活自定义规则，高效使用探针；借用公共服务CAT平台200的现有模式，中间态插桩式的漏扫监控系统，具有安全检测、监控能力；通过CAT平台200已接入的应用埋点数据，实现行内大范围的应用安全检测覆盖；漏洞检测的精度更高、扫描产生的脏数据极少，无需在业务代码层设置漏洞检测逻辑，只需要将关注变量推向安全团队的Kafka集群300，离线进行检测，根据堆栈对开发的编码是否安全进行识别，既能起到旁路入侵检测的功能，又能配合被动扫描器进行漏洞探测，上报漏洞至SOP漏洞管理平台，与行内应用相关联，在综合安全运营系统中管理。

可以根据自身业务场景灵活自定义规则，高效使用探针；中间态插桩式的漏扫监控系统，具有安全检测、监控能力；漏洞检测的精度更高、扫描产生的脏数据极少；无需在业务代码层进行漏洞检测逻辑，只需要将关注变量推向安全团队的Kafka集群300，能够实现安全、高效的离线检测，使用成本低，解决了现有方法检测效率低、成本高的问题，保证了金融科技领域的网络安全。

本申请实施例还提供一种电子设备，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行计算机程序以使所述电子设备执行实施例1所述的漏洞扫描监控方法。

本申请实施例还提供一种可读存储介质，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行实施例1所述的漏洞扫描监控方法。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应所述以权利要求的保护范围为准。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (10)

1.一种漏洞扫描监控方法，其特征在于，所述方法包括：

获取流量日志；

利用预先配置的规则对所述流量日志进行离线分析，筛选出漏洞结果；

将所述漏洞结果发送至SDP漏洞管理平台。

2.根据权利要求1所述的漏洞扫描监控方法，其特征在于，所述获取流量日志，包括：

获取Kafka集群中的流量日志，所述流量日志包括堆栈结果流量和http原始流量；

所述流量日志来自于CAT平台通过公共埋点从应用服务器采集的正常访问流量、测试流量和Hydra扫描器重放流量。

3.根据权利要求2所述的漏洞扫描监控方法，其特征在于，在所述利用预先配置的规则对所述流量日志进行离线分析，筛选出漏洞结果的步骤之前，所述方法还包括：

利用唯一序列号将所述堆栈结果流量和http原始流量进行关联，并将关联结果存储至Redis集群。

4.根据权利要求3所述的漏洞扫描监控方法，其特征在于，所述利用预先配置的规则对所述流量日志进行离线分析，筛选出漏洞结果，包括：

基于所述规则对所述关联结果进行离线分析，以判断是否存在漏洞。

5.根据权利要求4所述的漏洞扫描监控方法，其特征在于，所述基于所述规则对所述关联结果进行离线分析，以判断是否存在漏洞，包括：

若所述流量日志中的参数值被带入SQL语句进行落地执行，则对应的流量含有漏洞；

若所述流量日志中的安全标记被带入SQL语句进行落地执行，则所述流量日志对应的流量含有SQL注入漏洞；

若流量经过Hydra扫描器重放，并加入了安全测试向量，且被带入SQL语句进行落地执行，则所述流量含有SQL注入漏洞。

6.一种漏洞扫描监控系统，其特征在于，所述系统包括：

Blackcat集群，用于获取流量日志；利用预先配置的规则对所述流量日志进行离线分析，筛选出漏洞结果；将所述漏洞结果发送至SDP漏洞管理平台。

7.根据权利要求6所述的漏洞扫描监控系统，其特征在于，所述系统还包括：

CAT平台，用于通过公共埋点从应用服务器采集流量日志，并存储至Kafka集群，以使所述Blackcat集群从所述Kafka集群获得流量日志，所述流量日志包括堆栈结果流量和http原始流量。

8.根据权利要求7所述的漏洞扫描监控系统，其特征在于，所述系统还包括：

Redis集群，用于存储利用唯一序列号将所述堆栈结果流量和http原始流量进行关联得到的关联结果，使得所述Blackcat集群基于所述规则对所述关联结果进行离线分析。

9.一种电子设备，其特征在于，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行计算机程序以使所述电子设备执行根据权利要求1至5中任一项所述的漏洞扫描监控方法。

10.一种可读存储介质，其特征在于，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行权利要求1至5任一项所述的漏洞扫描监控方法。

Images