CN116561769B - 厂商推荐方法、装置、设备及存储介质 - Google Patents
厂商推荐方法、装置、设备及存储介质 Download PDFInfo
- Publication number
- CN116561769B CN116561769B CN202310575793.9A CN202310575793A CN116561769B CN 116561769 B CN116561769 B CN 116561769B CN 202310575793 A CN202310575793 A CN 202310575793A CN 116561769 B CN116561769 B CN 116561769B
- Authority
- CN
- China
- Prior art keywords
- vulnerability
- vendor
- iot
- information
- level
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 63
- 230000009467 reduction Effects 0.000 claims description 28
- 238000009434 installation Methods 0.000 claims description 18
- 238000004088 simulation Methods 0.000 claims description 18
- 238000011156 evaluation Methods 0.000 claims description 15
- 238000004458 analytical method Methods 0.000 claims description 12
- 230000008569 process Effects 0.000 claims description 10
- 230000026676 system process Effects 0.000 claims description 4
- 230000008439 repair process Effects 0.000 description 14
- 238000013507 mapping Methods 0.000 description 12
- 230000006870 function Effects 0.000 description 10
- 238000004891 communication Methods 0.000 description 5
- 238000010586 diagram Methods 0.000 description 4
- 238000012545 processing Methods 0.000 description 2
- 238000004364 calculation method Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000012038 vulnerability analysis Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/577—Assessing vulnerabilities and evaluating computer system security
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
- G06F16/90—Details of database functions independent of the retrieved data types
- G06F16/95—Retrieval from the web
- G06F16/953—Querying, e.g. by the use of web search engines
- G06F16/9535—Search customisation based on user profiles and personalisation
-
- G—PHYSICS
- G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
- G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
- G16Y30/00—IoT infrastructure
- G16Y30/10—Security thereof
-
- G—PHYSICS
- G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
- G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
- G16Y40/00—IoT characterised by the purpose of the information processing
- G16Y40/50—Safety; Security of things, users, data or systems
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02P—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN THE PRODUCTION OR PROCESSING OF GOODS
- Y02P90/00—Enabling technologies with a potential contribution to greenhouse gas [GHG] emissions mitigation
- Y02P90/30—Computing systems specially adapted for manufacturing
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- Databases & Information Systems (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Data Mining & Analysis (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
本发明属于设备安全技术领域，公开了一种厂商推荐方法、装置、设备及存储介质。本申请通过从漏洞信息库中提取各IoT厂商对应的设备漏洞集；对设备漏洞集中的漏洞信息进行分析，获得设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别；根据漏洞严重等级及漏洞影响级别确定各IoT厂商对应的厂商安全等级；根据厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。由于是根据可表征对设备性能造成影响的严重程度的漏洞严重等级，及可表征对设备功能造成影响范围的漏洞影响级别确定IoT厂商的厂商安全级别，保证厂商安全级别可准确反应厂商的设备安全性，从而使得用户可基于厂商推荐选取合适的IoT设备。
Description
技术领域
本发明涉及设备安全技术领域，尤其涉及一种厂商推荐方法、装置、设备及存储介质。
背景技术
近年来，物联网设备数量持续激增，由于缺乏网络安全的重视，物联网设备分散、权责不清，部分设备部署之后基本处于无人监管状态，且厂商对存在漏洞的物联网(Internet of Things，IoT)设备存在修复不及时、不修复、修复不了的情况，导致物联网设备存在大量安全隐患，很容易被攻击者发现漏洞并利用，导致基于物联网的攻击流量呈现逐渐增加的趋势，也导致了用户难以选择安全的IoT设备进行使用。
上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是现有技术。
发明内容
本发明的主要目的在于提供一种厂商推荐方法、装置、设备及存储介质，旨在解决现有技术用户难以选择合适的IoT设备进行使用的技术问题。
为实现上述目的，本发明提供了一种厂商推荐方法，所述方法包括以下步骤：
从漏洞信息库中提取各IoT厂商对应的设备漏洞集；
对所述设备漏洞集中的漏洞信息进行分析，获得所述设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别；
根据所述漏洞严重等级及所述漏洞影响级别确定各IoT厂商对应的厂商安全等级；
根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。
可选的，所述对所述设备漏洞集中的漏洞信息进行分析，获得所述设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别的步骤，包括：
获取所述设备漏洞集中各漏洞信息对应的漏洞影响项；
对所述漏洞影响项进行统计，确定对应的影响项数量及影响项分布数据；
根据所述影响项数量及所述影响项分布数据确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别；
查找所述漏洞影响项关联的设备服务，基于所述设备服务确定所述设备漏洞集中各漏洞信息对应的漏洞严重等级。
可选的，所述根据所述影响项数量及所述影响项分布数据确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别的步骤，包括：
根据所述影响项分布数据确定对应的漏洞分布级别；
获取所述漏洞分布级别对应的等级划分规则；
将所述影响项数量与所述等级划分规则进行匹配，确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别。
可选的，所述从漏洞信息库中提取各IoT厂商对应的设备漏洞集的步骤之前，还包括：
从预设漏洞源读取新增漏洞信息；
获取所述新增漏洞信息对应的固件环境信息；
根据所述固件环境信息确定所述新增漏洞信息对应的IoT厂商；
基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中。
可选的，所述基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中的步骤之后，还包括：
从所述新增漏洞信息中提取漏洞攻击特征；
根据所述固件环境信息查找对应的固件安装包；
根据所述固件安装包构建攻击模拟环境；
基于所述漏洞攻击特征对所述攻击模拟环境进行模拟攻击，并根据攻击结果获取漏洞影响项；
将所述漏洞影响项与所述新增漏洞信息绑定存储至所述漏洞信息库中。
可选的，所述基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中的步骤之后，还包括：
获取各IoT厂商的新版固件发布公告；
从所述新版固件发布公告中提取漏洞修复数据；
根据所述漏洞修复数据对所述漏洞信息库进行漏洞状态更新。
可选的，所述根据所述漏洞严重等级及所述漏洞影响级别确定各IoT厂商对应的厂商安全等级的步骤，包括：
基于所述漏洞严重等级及所述漏洞影响级别确定所述设备漏洞集对应的安全削减总分值；
基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全评估分值；
将所述安全评估分值与预设等级划分规则进行匹配，确定各IoT厂商对应的厂商安全等级。
可选的，所述基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全评估分值的步骤，包括：
获取各IoT厂商对应的平均漏洞修复时长；
查找所述平均漏洞修复时长对应的分值调整系数；
基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全参考分值；
根据所述分值调整系数对所述安全参考分值进行调整，获得各IoT厂商对应的安全评估分值。
可选的，所述基于所述漏洞严重等级及所述漏洞影响级别确定所述设备漏洞集对应的安全削减总分值的步骤，包括：
获取所述漏洞严重等级对应的严重等级削减分值，并获取所述漏洞影响级别对应的影响级别削减分值；
基于预设权值系数对所述严重等级削减分值及所述影响级别削减分值进行加权求和，获得所述设备漏洞集对应的安全削减总分值。
可选的，所述从漏洞信息库中提取各IoT厂商对应的设备漏洞集的步骤，包括：
从漏洞信息库中提取对应的状态为未修复的漏洞信息，获得未修复漏洞集；
基于所述未修复漏洞集中各漏洞信息对应的厂商标识对所述未修复漏洞集进行分组，获得各IoT厂商对应的设备漏洞集。
可选的，所述根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐的步骤，包括：
获取结果应用场景，并查找所述结果应用场景对应的厂商推荐需求；
基于所述厂商推荐需求确定厂商排名规则；
基于所述厂商排名规则根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。
此外，为实现上述目的，本发明还提出一种厂商推荐装置，所述厂商推荐装置包括以下模块：
获取模块，用于从漏洞信息库中提取各IoT厂商对应的设备漏洞集；
分析模块，用于对所述设备漏洞集中的漏洞信息进行分析，获得所述设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别；
判定模块，用于根据所述漏洞严重等级及所述漏洞影响级别确定各IoT厂商对应的厂商安全等级；
推荐模块，用于根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。
可选的，所述分析模块，还用于获取所述设备漏洞集中各漏洞信息对应的漏洞影响项；对所述漏洞影响项进行统计，确定对应的影响项数量及影响项分布数据；根据所述影响项数量及所述影响项分布数据确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别；查找所述漏洞影响项关联的设备服务，基于所述设备服务确定所述设备漏洞集中各漏洞信息对应的漏洞严重等级。
可选的，所述分析模块，还用于根据所述影响项分布数据确定对应的漏洞分布级别；获取所述漏洞分布级别对应的等级划分规则；将所述影响项数量与所述等级划分规则进行匹配，确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别。
可选的，所述获取模块，还用于从预设漏洞源读取新增漏洞信息；获取所述新增漏洞信息对应的固件环境信息；根据所述固件环境信息确定所述新增漏洞信息对应的IoT厂商；基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中。
可选的，所述获取模块，还用于从所述新增漏洞信息中提取漏洞攻击特征；根据所述固件环境信息查找对应的固件安装包；根据所述固件安装包构建攻击模拟环境；基于所述漏洞攻击特征对所述攻击模拟环境进行模拟攻击，并根据攻击结果获取漏洞影响项；将所述漏洞影响项与所述新增漏洞信息绑定存储至所述漏洞信息库中。
可选的，所述获取模块，还用于获取各IoT厂商的新版固件发布公告；从所述新版固件发布公告中提取漏洞修复数据；根据所述漏洞修复数据对所述漏洞信息库进行漏洞状态更新。
可选的，所述判定模块，还用于基于所述漏洞严重等级及所述漏洞影响级别确定所述设备漏洞集对应的安全削减总分值；基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全评估分值；将所述安全评估分值与预设等级划分规则进行匹配，确定各IoT厂商对应的厂商安全等级。
此外，为实现上述目的，本发明还提出一种厂商推荐设备，所述厂商推荐设备包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的厂商推荐程序，所述厂商推荐程序被处理器执行时实现如上所述的厂商推荐方法的步骤。
此外，为实现上述目的，本发明还提出一种计算机可读存储介质，所述计算机可读存储介质上存储有厂商推荐程序，所述厂商推荐程序执行时实现如上所述的厂商推荐方法的步骤。
本发明通过从漏洞信息库中提取各IoT厂商对应的设备漏洞集；对设备漏洞集中的漏洞信息进行分析，获得设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别；根据漏洞严重等级及漏洞影响级别确定各IoT厂商对应的厂商安全等级；根据厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。由于是根据可表征对设备性能造成影响的严重程度的漏洞严重等级，以及可表征对设备功能造成影响范围的漏洞影响级别确定IoT厂商的厂商安全级别，保证厂商安全级别可以准确反应厂商的设备安全性，从而使得用户可基于厂商推荐选取合适的IoT设备进行使用。
附图说明
图1是本发明实施例方案涉及的硬件运行环境的电子设备的结构示意图；
图2为本发明厂商推荐方法第一实施例的流程示意图；
图3为本发明厂商推荐方法第二实施例的流程示意图；
图4为本发明厂商推荐方法第三实施例的流程示意图；
图5为本发明厂商推荐装置第一实施例的结构框图。
本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。
具体实施方式
应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。
参照图1，图1为本发明实施例方案涉及的硬件运行环境的厂商推荐设备结构示意图。
如图1所示，该电子设备可以包括：处理器1001，例如中央处理器(CentralProcessing Unit，CPU)，通信总线1002、用户接口1003，网络接口1004，存储器1005。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏(Display)、输入单元比如键盘(Keyboard)，可选用户接口1003还可以包括标准的有线接口、无线接口。网络接口1004可选的可以包括标准的有线接口、无线接口(如无线保真(Wireless-Fidelity，WI-FI)接口)。存储器1005可以是高速的随机存取存储器(RandomAccess Memory，RAM)，也可以是稳定的非易失性存储器(Non-Volatile Memory，NVM)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。
本领域技术人员可以理解，图1中示出的结构并不构成对电子设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。
如图1所示，作为一种存储介质的存储器1005中可以包括操作系统、网络通信模块、用户接口模块以及厂商推荐程序。
在图1所示的电子设备中，网络接口1004主要用于与网络服务器进行数据通信；用户接口1003主要用于与用户进行数据交互；本发明电子设备中的处理器1001、存储器1005可以设置在厂商推荐设备中，所述电子设备通过处理器1001调用存储器1005中存储的厂商推荐程序，并执行本发明实施例提供的厂商推荐方法。
本发明实施例提供了一种厂商推荐方法，参照图2，图2为本发明一种厂商推荐方法第一实施例的流程示意图。
本实施例中，所述厂商推荐方法包括以下步骤：
步骤S10：从漏洞信息库中提取各IoT厂商对应的设备漏洞集。
需要说明的是，本实施例的执行主体可以是所述厂商推荐设备，所述厂商推荐设备可以是个人电脑、服务器或智能手机等电子设备，也可以是其他可实现相同或相似功能的其他设备，本实施例对此不加以限制，在本实施例及下述各实施例中，以厂商推荐设备为例对本发明厂商推荐方法进行说明。
需要说明的是，漏洞信息库可以是用于存储漏洞信息的数据库，漏洞信息库可以部署在厂商推荐设备本地，也可以设置在云端服务器中，本实施例对此不加以限制。
在实际使用中，从漏洞信息库中提取各IoT厂商对应的设备漏洞集可以是从漏洞信息库中提取漏洞信息，并将提取到的漏洞信息按对应的IoT厂商进行分组，从而获得各IoT厂商对应的设备漏洞集。
在具体实现中，由于漏洞信息库可能因为完整性需求，会存储已经修复的漏洞信息，为了保证对IoT厂商的合理推荐，本实施例所述步骤S10，可以包括：
从漏洞信息库中提取对应的状态为未修复的漏洞信息，获得未修复漏洞集；
基于所述未修复漏洞集中各漏洞信息对应的厂商标识对所述未修复漏洞集进行分组，获得各IoT厂商对应的设备漏洞集。
需要说明的是，根据漏洞是否被修复，漏洞信息对应的状态可以包括已修复和未修复两种。厂商标识可以是为各IoT厂商设置的唯一标识。
可以理解的是，从漏洞信息库中提取对应的状态为未修复的漏洞信息，再对未修复的漏洞信息进行分组，则可以保证获取到的各IoT厂商对应的设备漏洞集中的漏洞信息均为未被修复的漏洞对应的漏洞信息，从而保证在对IoT厂商进行安全评估时，尽可能减少出现错漏评估，从而保证对IoT厂商的合理推荐。
步骤S20：对所述设备漏洞集中的漏洞信息进行分析，获得所述设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别。
需要说明的是，漏洞严重等级可以用于表征对设备性能造成影响的严重程度的量化数据，漏洞严重等级越高，则对设备性能造成影响的严重程度越高。漏洞影响级别可以用于表征对设备功能造成影响范围的量化数据，漏洞影响级别越高，则对设备造成影响的影响范围越大，即影响的设备功能的数量会越多。
在实际使用中，对设备漏洞集中的漏洞信息进行分析，获得设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别可以是对设备漏洞集中的漏洞信息进行分析，确定基于该漏洞信息进行的攻击在攻击成功之后，会波及的设备功能数量及对设备正常运行的影响程度，从而获得设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别。
步骤S30：根据所述漏洞严重等级及所述漏洞影响级别确定各IoT厂商对应的厂商安全等级。
需要说明的是，漏洞严重等级越高，漏洞影响级别越高，则相对的IoT设备的安全等级越低，因此，在确定厂商安全等级时，可以是预先设置一个预设安全分值总值(如100)，然后根据各IoT厂商对应的设备漏洞集中各漏洞信息的漏洞严重等级和漏洞影响级别对基础安全分值进行削减，获得各IoT厂商对应的安全评估分值，再根据安全评估分值确定各IoT厂商对应的厂商安全等级。
步骤S40：根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。
需要说明的是，在确定各IoT厂商对应的厂商安全等级之后，可以根据厂商安全等级从高至低对各IoT厂商进行排名，并根据排名结果向用户推荐IoT厂商，以便于用户根据实际需要选取更加安全的IoT厂商提供的IoT设备进行使用。
进一步的，厂商推荐不仅仅可以用于对用户推荐，还可以用于其他应用场景(如向IoT厂商进行推荐，以督促IoT厂商修复设备漏洞，或其他需要排名的场景)，而不同的应用场景的推荐方式会存在一定的差异，为了适应各种场景，本实施例所述步骤S40，可以包括：
获取结果应用场景，并查找所述结果应用场景对应的厂商推荐需求；
基于所述厂商推荐需求确定厂商排名规则；
基于所述厂商排名规则根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。
需要说明的是，结果应用场景可以是对排名结果进行应用的场景，如向用户进行厂商推荐、向用户推送不推荐厂商、向厂商或供应商进行推荐等医用场景。厂商推荐需求可以包括推荐数量、推荐次数、排序规则等，其中，排序规则可以包括安全优先、不安全优先等。
在实际使用中，基于厂商推荐需求确定厂商排名规则可以是从厂商推荐需求中提取推荐数量及排序规则，根据推荐数量及排序规则构建厂商排名规则。基于厂商排名规则根据厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐可以是根据厂商排名规则中的排序规则根据厂商安全等级对各IoT厂商进行排名，并根据厂商排名规则中的推荐数量从排名结果中选取IoT厂商进行推荐。
本实施例通过从漏洞信息库中提取各IoT厂商对应的设备漏洞集；对设备漏洞集中的漏洞信息进行分析，获得设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别；根据漏洞严重等级及漏洞影响级别确定各IoT厂商对应的厂商安全等级；根据厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。由于是根据可表征对设备性能造成影响的严重程度的漏洞严重等级，以及可表征对设备功能造成影响范围的漏洞影响级别确定IoT厂商的厂商安全级别，保证厂商安全级别可以准确反应厂商的设备安全性，从而使得用户可基于厂商推荐选取合适的IoT设备进行使用。
参考图3，图3为本发明一种厂商推荐方法第二实施例的流程示意图。
基于上述第一实施例，本实施例厂商推荐方法在所述步骤S10之前，还包括：
步骤S01：从预设漏洞源读取新增漏洞信息。
需要说明的是，预设漏洞源可以是厂商推荐设备预先设置的获取漏洞公布信息的网站、论坛等，新增漏洞信息可以是新发现的漏洞信息。
在实际使用中，厂商推荐设备可以以预设间隔时长周期性的访问预设漏洞源，从预设漏洞源中读取新增的漏洞信息。其中，预设间隔时长可以由厂商推荐设备的管理人员根据实际需要预先进行设置，例如：将预设间隔时长设置为1分钟。
步骤S02：获取所述新增漏洞信息对应的固件环境信息。
需要说明的是，固件环境信息可以包括固件名称、固件版本、固件大小、固件类型等信息。获取新增漏洞信息对应的固件环境信息可以是获取新增漏洞信息的产生环境，从而获得对应的固件环境信息。
在实际使用中，若新增漏洞信息在公布时包含了固件环境信息，则可以直接从新增漏洞信息中读取，而若是新增漏洞信息中不包含固件环境信息，则可以从预设漏洞源读取新增漏洞信息对应的漏洞公布文献，从漏洞公布文献中提取固件环境信息。
步骤S03：根据所述固件环境信息确定所述新增漏洞信息对应的IoT厂商。
需要说明的是，根据固件环境信息确定新增漏洞信息对应的IoT厂商可以是将固件环境信息与各IoT厂商提供的固件的固件信息进行匹配，确定新增漏洞信息对应的IoT产商。
在具体实现中，厂商推荐设备的管理人员可以预先设置厂商固件映射表，通过厂商固件映射表存储厂商标识与固件信息之间的映射关系，在需要根据固件环境信息时，根据固件环境信息在厂商固件映射表中查找相应的映射关系，从而确定新增漏洞信息对应的IoT厂商。
步骤S04：基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中。
需要说明的是，基于对应的IoT厂商的厂商标识将新增漏洞信息存储至漏洞信息库中可以是将对应的IoT厂商的厂商标识与新增漏洞信息进行关联，并在关联完成之后存储至漏洞信息库中。
进一步的，为了便于后续对漏洞信息的分析，本实施例所述步骤S04之后，还可以包括：
从所述新增漏洞信息中提取漏洞攻击特征；
根据所述固件环境信息查找对应的固件安装包；
根据所述固件安装包构建攻击模拟环境；
基于所述漏洞攻击特征对所述攻击模拟环境进行模拟攻击，并根据攻击结果获取漏洞影响项；
将所述漏洞影响项与所述新增漏洞信息绑定存储至所述漏洞信息库中。
需要说明的是，漏洞攻击特征可以是利用漏洞进行攻击时的攻击特征。根据固件环境信息查找对应的固件安装包可以是根据固件环境信息中记录的固件版本、固件名称等信息查找对应的固件安装包。
在实际使用中，根据固件安装包构建攻击模拟环境可以是创建虚拟机，并将固件安装包安装至虚拟机中，以创建和实体IoT设备环境保持一致的攻击模拟环境。
可以理解的是，在基于漏洞攻击特征对攻击模拟环境进行模拟攻击，并在攻击成功时，获取攻击模拟环境中受攻击之后被影响的漏洞影响项(如应用程序、应用进程、系统进程或系统注册表等)。在获取到漏洞影响项之后，为了便于后续的漏洞分析，可以将漏洞影响项与所述新增漏洞信息关联，编订存储至漏洞信息库中。
进一步的，为了保证漏洞信息库中各漏洞的状态保证最新，本实施例所述步骤S04之后，还可以包括：
获取各IoT厂商的新版固件发布公告；
从所述新版固件发布公告中提取漏洞修复数据；
根据所述漏洞修复数据对所述漏洞信息库进行漏洞状态更新。
需要说明的是，IoT厂商在发布新版固件时，一般会说明新版固件与旧版固件之间的差异，如具体提供了新功能，还是优化了此前存在的问题，因此，可以通过获取IoT厂商发布的新版固件发布公告，从新版固件发布公告中提取漏洞修复数据，根据漏洞修复数据确定已修复的漏洞，从而对漏洞信息库中各漏洞信息的状态进行更新。
可以理解的是，通过对漏洞信息库进行漏洞状态更新可以保证漏洞信息库中各漏洞信息的状态与最新的实际状态相匹配，从而保证对各IoT厂商的评估更加的准确、合理。
在本实施例中，所述步骤S20，可以包括：
步骤S201：获取所述设备漏洞集中各漏洞信息对应的漏洞影响项。
需要说明的是，漏洞信息对应的漏洞影响项可以是在基于该漏洞信息成功进行攻击之后，受攻击的IoT设备中受影响的应用程序、应用进程、系统进程或系统注册表等。
步骤S202：对所述漏洞影响项进行统计，确定对应的影响项数量及影响项分布数据。
可以理解的是，漏洞影响级别为用于表征对设备功能造成影响范围的量化数据，为了准确的判断影响范围，此时可以先对漏洞影响项进行统计，确定漏洞影响项的总数，获得影响项数量，并确定各漏洞影响项的归属位置分布，从而获得影响项分布数据。其中，归属位置分布可以是漏洞影响项对应的系统位置的分布情况。
步骤S203：根据所述影响项数量及所述影响项分布数据确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别。
可以理解的是，在影响项分布在不同的系统位置时，对IoT设备的影响也是明显不同的(如影响项分布在系统核心程序中，其影响相对分布在不重要的应用中更高)，因此，可以结合影响项数量及影响项分布数据共同判断设备漏洞集中各漏洞信息对应的漏洞影响级别。
在具体实现中，为了准确的判定漏洞影响级别，本实施例所述步骤S203，可以包括：
根据所述影响项分布数据确定对应的漏洞分布级别；
获取所述漏洞分布级别对应的等级划分规则；
将所述影响项数量与所述等级划分规则进行匹配，确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别。
需要说明的是，漏洞分布级别可以包括核心级别、一般级别、边缘级别等多种，当然，根据实际需要，厂商推荐设备的管理人员也可以设置更多的级别，本实施例对此不加以限制。
在实际使用中，根据影响项分布数据确定对应的漏洞分布级别可以是将影响项分布数据中各影响项对应的系统位置对应的最高级别。其中，系统位置对应的级别可以由厂商推荐设备的管理人员预先进行设置，例如：系统位置为系统核心程序，则其级别为核心级别；系统位置为IoT设备主功能应用程序/进程，则其级别为一般级别；系统位置为其他功能应用程序/进程，则其级别为边缘级别。
需要说明的是，不同漏洞分布级别可以对应不同的登记划分规则，等级划分规则中可以包括各个等级对应的项数数量区间。
在实际使用中，将影响项数量与等级划分规则进行匹配，确定设备漏洞集中各漏洞信息对应的漏洞影响级别可以是将影响项数量与等级划分规则进行匹配，即可确定影响项数量对应的项数数量区间，并将影响项数量对应的项数数量区间对应的等级作为设备漏洞集中各漏洞信息对应的漏洞影响级别。
步骤S204：查找所述漏洞影响项关联的设备服务，基于所述设备服务确定所述设备漏洞集中各漏洞信息对应的漏洞严重等级。
可以理解的是，漏洞严重等级是用于表征对设备性能造成影响的严重程度的量化数据，因此，若需要确定漏洞信息对应的漏洞严重等级，此时可以获取与漏洞影响项相关的设备服务，根据设备服务的重要性判断漏洞信息对应的漏洞严重等级。
例如：假设漏洞影响项相关的设备服务为网络连接、CPU控制、内存管理相关的核心服务，则此时可以判定漏洞严重等级为高；而若是相关的设备服务为时间、日期等相对重要程度较低的边缘服务，则此时可以判定漏洞严重等级为低。
当然，在具体实现中，还可以根据设备服务是否可正常运行，将漏洞严重等级进行进一步细化的划分，例如：假设漏洞影响项相关的设备服务为核心服务，则可以进一步检测设备服务的运行状态，若该设备服务的运行状态为无法运行，可以判定漏洞严重等级为极高；若该设备服务的运行状态为运行迟缓，可以判定漏洞严重等级为较高。
本实施例通过从预设漏洞源读取新增漏洞信息；获取所述新增漏洞信息对应的固件环境信息；根据所述固件环境信息确定所述新增漏洞信息对应的IoT厂商；基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中。由于会根据新增漏洞信息对应的固件环境信息确定新增漏洞信息对饮的IoT产商，并基于对应的IoT厂商的厂商标识将所述新增漏洞信息进行存储，保证在后续进行厂商推荐时可以准确的区分各漏洞信息对应的IoT厂商，从而保证厂商推荐的合理性。
参考图4，图4为本发明一种厂商推荐方法第三实施例的流程示意图。
基于上述第一实施例，本实施例厂商推荐方法的所述步骤S30，包括：
步骤S301：基于所述漏洞严重等级及所述漏洞影响级别确定所述设备漏洞集对应的安全削减总分值。
需要说明的是，基于漏洞严重等级及漏洞影响级别确定设备漏洞集对应的安全削减总分值可以是获取设备漏洞集中各漏洞信息的漏洞严重等级对应的严重等级削减分值以及漏洞影响级别对应的影响级别削减分值，然后将设备漏洞集中各漏洞信息对应的严重等级削减分值及影响级别削减分值相加，从而获得设备漏洞集对应的安全削减总分值。
在具体实现中，由于为了适应各种评估需求，计算设备漏洞集对应的安全削减总分值时，还可以引入相应的权值，以调整漏洞严重等级及漏洞影响级别所占的分值比重，则此时本实施例所述步骤S301，可以包括：
获取所述漏洞严重等级对应的严重等级削减分值，并获取所述漏洞影响级别对应的影响级别削减分值；
基于预设权值系数对所述严重等级削减分值及所述影响级别削减分值进行加权求和，获得所述设备漏洞集对应的安全削减总分值。
需要说明的是，获取漏洞严重等级对应的严重等级削减分值可以是在预设严重等级分值映射表中查找漏洞严重等级对应的严重等级削减分值。获取漏洞影响级别对应的影响级别削减分值可以是在预设影响级别分值映射表中查找漏洞影响级别对应的影响级别削减分值。其中，预设严重等级分值映射表及预设影响级别分值映射表可以由厂商推荐设备的管理人员预先进行设置。
在具体实现中，基于预设权值系数对严重等级削减分值及影响级别削减分值进行加权求和，获得所述设备漏洞集对应的安全削减总分值可以是基于预设权值系数对设备漏洞集中各漏洞信息对应的严重等级削减分值及影响级别削减分值进行加权求和，获得设备漏洞集中各漏洞信息对应的分值，并将设备漏洞集中各漏洞信息对应的分值进行求和，从而获得设备漏洞集对应的安全削减总分值。
步骤S302：基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全评估分值。
需要说明的是，基于预设安全分值总值及安全削减总分值确定IoT厂商对应的安全评估分值可以是将预设安全分值总值减去IoT厂商对应的设备漏洞集所对应的安全削减总分值，从而获得IoT厂商对应的安全评估分值。
步骤S303：将所述安全评估分值与预设等级划分规则进行匹配，确定各IoT厂商对应的厂商安全等级。
需要说明的是，将安全评估分值与预设等级划分规则进行匹配，确定IoT厂商对应的厂商安全等级可以是将IoT厂商对应的安全评估分值与预设等级划分规则中各级别对应的分值区间进行匹配，确定安全评估分值对应的目标区间，并将目标区间对应的安全级别作为IoT厂商对应的厂商安全等级。
进一步的，由于厂商修复漏洞的间隔时长，也可以用于反应厂商的安全级别高低，则此时本实施例所述步骤S302，可以包括：
获取各IoT厂商对应的平均漏洞修复时长；
查找所述平均漏洞修复时长对应的分值调整系数；
基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全参考分值；
根据所述分值调整系数对所述安全参考分值进行调整，获得各IoT厂商对应的安全评估分值。
需要说明的是，获取IoT厂商对应的平均漏洞修复时长可以是获取IoT产商对应的历史已修复漏洞，计算历史已修复漏洞的漏洞信息公布的时间及修复时间之间的差值，确定各历史已修复漏洞的修复间隔时长，求取各历史已修复漏洞的修复间隔时长的平均值，从而获得IoT厂商对应的平均漏洞修复时长。
在实际使用中，查找平均漏洞修复时长对应的分值调整系数可以是在预设时长分值映射表中查找平均漏洞修复时长对应的分值调整系数。其中，预设时长分值映射表中可以存储有修复时长与分值调整系数之间的映射关系，该映射关系可以由厂商推荐设备的管理人员根据实际需要预先进行设置。
在具体实现中，根据分值调整系数对安全参考分值进行调整，获得IoT厂商对应的安全评估分值可以是将分值调整系数与安全参考分值相加或相乘，并将计算结果作为IoT厂商对应的安全评估分值。
本实施例通过基于所述漏洞严重等级及所述漏洞影响级别确定所述设备漏洞集对应的安全削减总分值；基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全评估分值；将所述安全评估分值与预设等级划分规则进行匹配，确定各IoT厂商对应的厂商安全等级。由于会根据漏洞严重等级及漏洞影响级别，并根据预设安全分值总值及安全削减总分值确定各IoT厂商对应的安全评估分值，保证计算得到的安全评估分值可以准确反应IoT厂商的设备安全情况，从而保证后续确定的厂商安全等级的合理性，使得厂商推荐更加合理。
此外，本发明实施例还提出一种存储介质，所述存储介质上存储有厂商推荐程序，所述厂商推荐程序被处理器执行时实现如上文所述的厂商推荐方法的步骤。
参照图5，图5为本发明厂商推荐装置第一实施例的结构框图。
如图5所示，本发明实施例提出的厂商推荐装置包括：
获取模块10，用于从漏洞信息库中提取各IoT厂商对应的设备漏洞集；
分析模块20，用于对所述设备漏洞集中的漏洞信息进行分析，获得所述设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别；
判定模块30，用于根据所述漏洞严重等级及所述漏洞影响级别确定各IoT厂商对应的厂商安全等级；
推荐模块40，用于根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。
本实施例通过从漏洞信息库中提取各IoT厂商对应的设备漏洞集；对设备漏洞集中的漏洞信息进行分析，获得设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别；根据漏洞严重等级及漏洞影响级别确定各IoT厂商对应的厂商安全等级；根据厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。由于是根据可表征对设备性能造成影响的严重程度的漏洞严重等级，以及可表征对设备功能造成影响范围的漏洞影响级别确定IoT厂商的厂商安全级别，保证厂商安全级别可以准确反应厂商的设备安全性，从而使得用户可基于厂商推荐选取合适的IoT设备进行使用。
进一步的，所述分析模块20，还用于获取所述设备漏洞集中各漏洞信息对应的漏洞影响项；对所述漏洞影响项进行统计，确定对应的影响项数量及影响项分布数据；根据所述影响项数量及所述影响项分布数据确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别；查找所述漏洞影响项关联的设备服务，基于所述设备服务确定所述设备漏洞集中各漏洞信息对应的漏洞严重等级。
进一步的，所述分析模块20，还用于根据所述影响项分布数据确定对应的漏洞分布级别；获取所述漏洞分布级别对应的等级划分规则；将所述影响项数量与所述等级划分规则进行匹配，确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别。
进一步的，所述获取模块10，还用于从预设漏洞源读取新增漏洞信息；获取所述新增漏洞信息对应的固件环境信息；根据所述固件环境信息确定所述新增漏洞信息对应的IoT厂商；基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中。
进一步的，所述获取模块10，还用于从所述新增漏洞信息中提取漏洞攻击特征；根据所述固件环境信息查找对应的固件安装包；根据所述固件安装包构建攻击模拟环境；基于所述漏洞攻击特征对所述攻击模拟环境进行模拟攻击，并根据攻击结果获取漏洞影响项；将所述漏洞影响项与所述新增漏洞信息绑定存储至所述漏洞信息库中。
进一步的，所述获取模块10，还用于获取各IoT厂商的新版固件发布公告；从所述新版固件发布公告中提取漏洞修复数据；根据所述漏洞修复数据对所述漏洞信息库进行漏洞状态更新。
进一步的，所述判定模块30，还用于基于所述漏洞严重等级及所述漏洞影响级别确定所述设备漏洞集对应的安全削减总分值；基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全评估分值；将所述安全评估分值与预设等级划分规则进行匹配，确定各IoT厂商对应的厂商安全等级。
进一步的，所述判定模块30，还用于获取各IoT厂商对应的平均漏洞修复时长；查找所述平均漏洞修复时长对应的分值调整系数；基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全参考分值；根据所述分值调整系数对所述安全参考分值进行调整，获得各IoT厂商对应的安全评估分值。
进一步的，所述判定模块30，还用于获取所述漏洞严重等级对应的严重等级削减分值，并获取所述漏洞影响级别对应的影响级别削减分值；基于预设权值系数对所述严重等级削减分值及所述影响级别削减分值进行加权求和，获得所述设备漏洞集对应的安全削减总分值。
进一步的，所述获取模块10，还用于从漏洞信息库中提取对应的状态为未修复的漏洞信息，获得未修复漏洞集；基于所述未修复漏洞集中各漏洞信息对应的厂商标识对所述未修复漏洞集进行分组，获得各IoT厂商对应的设备漏洞集。
进一步的，所述推荐模块40，还用于获取结果应用场景，并查找所述结果应用场景对应的厂商推荐需求；基于所述厂商推荐需求确定厂商排名规则；基于所述厂商排名规则根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。
应当理解的是，以上仅为举例说明，对本发明的技术方案并不构成任何限定，在具体应用中，本领域的技术人员可以根据需要进行设置，本发明对此不做限制。
需要说明的是，以上所描述的工作流程仅仅是示意性的，并不对本发明的保护范围构成限定，在实际应用中，本领域的技术人员可以根据实际的需要选择其中的部分或者全部来实现本实施例方案的目的，此处不做限制。
另外，未在本实施例中详尽描述的技术细节，可参见本发明任意实施例所提供的厂商推荐方法，此处不再赘述。
此外，需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者系统中还存在另外的相同要素。
上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如只读存储器(Read Only Memory，ROM)/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。
本申请公开了A1、一种厂商推荐方法，所述厂商推荐方法包括以下步骤：
从漏洞信息库中提取各IoT厂商对应的设备漏洞集；
对所述设备漏洞集中的漏洞信息进行分析，获得所述设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别；
根据所述漏洞严重等级及所述漏洞影响级别确定各IoT厂商对应的厂商安全等级；
根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。
A2、如A1所述的厂商推荐方法，所述对所述设备漏洞集中的漏洞信息进行分析，获得所述设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别的步骤，包括：
获取所述设备漏洞集中各漏洞信息对应的漏洞影响项；
对所述漏洞影响项进行统计，确定对应的影响项数量及影响项分布数据；
根据所述影响项数量及所述影响项分布数据确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别；
查找所述漏洞影响项关联的设备服务，基于所述设备服务确定所述设备漏洞集中各漏洞信息对应的漏洞严重等级。
A3、如A2所述的厂商推荐方法，所述根据所述影响项数量及所述影响项分布数据确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别的步骤，包括：
根据所述影响项分布数据确定对应的漏洞分布级别；
获取所述漏洞分布级别对应的等级划分规则；
将所述影响项数量与所述等级划分规则进行匹配，确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别。
A4、如A1所述的厂商推荐方法，所述从漏洞信息库中提取各IoT厂商对应的设备漏洞集的步骤之前，还包括：
从预设漏洞源读取新增漏洞信息；
获取所述新增漏洞信息对应的固件环境信息；
根据所述固件环境信息确定所述新增漏洞信息对应的IoT厂商；
基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中。
A5、如A4所述的厂商推荐方法，所述基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中的步骤之后，还包括：
从所述新增漏洞信息中提取漏洞攻击特征；
根据所述固件环境信息查找对应的固件安装包；
根据所述固件安装包构建攻击模拟环境；
基于所述漏洞攻击特征对所述攻击模拟环境进行模拟攻击，并根据攻击结果获取漏洞影响项；
将所述漏洞影响项与所述新增漏洞信息绑定存储至所述漏洞信息库中。
A6、如A4所述的厂商推荐方法，所述基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中的步骤之后，还包括：
获取各IoT厂商的新版固件发布公告；
从所述新版固件发布公告中提取漏洞修复数据；
根据所述漏洞修复数据对所述漏洞信息库进行漏洞状态更新。
A7、如A1所述的厂商推荐方法，所述根据所述漏洞严重等级及所述漏洞影响级别确定各IoT厂商对应的厂商安全等级的步骤，包括：
基于所述漏洞严重等级及所述漏洞影响级别确定所述设备漏洞集对应的安全削减总分值；
基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全评估分值；
将所述安全评估分值与预设等级划分规则进行匹配，确定各IoT厂商对应的厂商安全等级。
A8、如A7所述的厂商推荐方法，所述基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全评估分值的步骤，包括：
获取各IoT厂商对应的平均漏洞修复时长；
查找所述平均漏洞修复时长对应的分值调整系数；
基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全参考分值；
根据所述分值调整系数对所述安全参考分值进行调整，获得各IoT厂商对应的安全评估分值。
A9、如A7所述的厂商推荐方法，所述基于所述漏洞严重等级及所述漏洞影响级别确定所述设备漏洞集对应的安全削减总分值的步骤，包括：
获取所述漏洞严重等级对应的严重等级削减分值，并获取所述漏洞影响级别对应的影响级别削减分值；
基于预设权值系数对所述严重等级削减分值及所述影响级别削减分值进行加权求和，获得所述设备漏洞集对应的安全削减总分值。
A10、如A1-A9任一项所述的厂商推荐方法，所述从漏洞信息库中提取各IoT厂商对应的设备漏洞集的步骤，包括：
从漏洞信息库中提取对应的状态为未修复的漏洞信息，获得未修复漏洞集；
基于所述未修复漏洞集中各漏洞信息对应的厂商标识对所述未修复漏洞集进行分组，获得各IoT厂商对应的设备漏洞集。
A11、如A1-A9任一项所述的厂商推荐方法，所述根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐的步骤，包括：
获取结果应用场景，并查找所述结果应用场景对应的厂商推荐需求；
基于所述厂商推荐需求确定厂商排名规则；
基于所述厂商排名规则根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。
本申请还公开了B12、一种厂商推荐装置，所述厂商推荐装置包括以下模块：
获取模块，用于从漏洞信息库中提取各IoT厂商对应的设备漏洞集；
分析模块，用于对所述设备漏洞集中的漏洞信息进行分析，获得所述设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别；
判定模块，用于根据所述漏洞严重等级及所述漏洞影响级别确定各IoT厂商对应的厂商安全等级；
推荐模块，用于根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐。
B13、如B12所述的厂商推荐装置，所述分析模块，还用于获取所述设备漏洞集中各漏洞信息对应的漏洞影响项；对所述漏洞影响项进行统计，确定对应的影响项数量及影响项分布数据；根据所述影响项数量及所述影响项分布数据确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别；查找所述漏洞影响项关联的设备服务，基于所述设备服务确定所述设备漏洞集中各漏洞信息对应的漏洞严重等级。
B14、如B13所述的厂商推荐装置，所述分析模块，还用于根据所述影响项分布数据确定对应的漏洞分布级别；获取所述漏洞分布级别对应的等级划分规则；将所述影响项数量与所述等级划分规则进行匹配，确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别。
B15、如B12所述的厂商推荐装置，所述获取模块，还用于从预设漏洞源读取新增漏洞信息；获取所述新增漏洞信息对应的固件环境信息；根据所述固件环境信息确定所述新增漏洞信息对应的IoT厂商；基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中。
B16、如B15所述的厂商推荐装置，所述获取模块，还用于从所述新增漏洞信息中提取漏洞攻击特征；根据所述固件环境信息查找对应的固件安装包；根据所述固件安装包构建攻击模拟环境；基于所述漏洞攻击特征对所述攻击模拟环境进行模拟攻击，并根据攻击结果获取漏洞影响项；将所述漏洞影响项与所述新增漏洞信息绑定存储至所述漏洞信息库中。
B17、如B15所述的厂商推荐装置，所述获取模块，还用于获取各IoT厂商的新版固件发布公告；从所述新版固件发布公告中提取漏洞修复数据；根据所述漏洞修复数据对所述漏洞信息库进行漏洞状态更新。
B18、如B12所述的厂商推荐装置，所述判定模块，还用于基于所述漏洞严重等级及所述漏洞影响级别确定所述设备漏洞集对应的安全削减总分值；基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全评估分值；将所述安全评估分值与预设等级划分规则进行匹配，确定各IoT厂商对应的厂商安全等级。
本申请还公开了C19、一种厂商推荐设备，所述厂商推荐设备包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的厂商推荐程序，所述厂商推荐程序被处理器执行时实现如上所述的厂商推荐方法的步骤。
本申请还公开了D20、一种计算机可读存储介质，所述计算机可读存储介质上存储有厂商推荐程序，所述厂商推荐程序执行时实现如上所述的厂商推荐方法的步骤。
Claims (8)
1.一种厂商推荐方法，其特征在于，所述厂商推荐方法包括以下步骤：
从漏洞信息库中提取各IoT厂商对应的设备漏洞集；
对所述设备漏洞集中的漏洞信息进行分析，获得所述设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别；
根据所述漏洞严重等级及所述漏洞影响级别确定各IoT厂商对应的厂商安全等级；
根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐；
其中，所述对所述设备漏洞集中的漏洞信息进行分析，获得所述设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别的步骤，包括：
获取所述设备漏洞集中各漏洞信息对应的漏洞影响项，漏洞信息对应的漏洞影响项为基于漏洞信息攻击成功后，受攻击IoT设备中受影响的应用程序、应用进程、系统进程或系统注册表；
对所述漏洞影响项进行统计，确定对应的影响项数量及影响项分布数据；
根据所述影响项数量及所述影响项分布数据确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别；
查找所述漏洞影响项关联的设备服务，基于所述设备服务确定所述设备漏洞集中各漏洞信息对应的漏洞严重等级；
其中，所述根据所述漏洞严重等级及所述漏洞影响级别确定各IoT厂商对应的厂商安全等级的步骤，包括：
基于所述漏洞严重等级及所述漏洞影响级别确定所述设备漏洞集对应的安全削减总分值；
获取各IoT厂商对应的平均漏洞修复时长；
查找所述平均漏洞修复时长对应的分值调整系数；
基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全参考分值；
根据所述分值调整系数对所述安全参考分值进行调整，获得各IoT厂商对应的安全评估分值；
将所述安全评估分值与预设等级划分规则进行匹配，确定各IoT厂商对应的厂商安全等级。
2.如权利要求1所述的厂商推荐方法，其特征在于，所述根据所述影响项数量及所述影响项分布数据确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别的步骤，包括：
根据所述影响项分布数据确定对应的漏洞分布级别；
获取所述漏洞分布级别对应的等级划分规则；
将所述影响项数量与所述等级划分规则进行匹配，确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别。
3.如权利要求1所述的厂商推荐方法，其特征在于，所述从漏洞信息库中提取各IoT厂商对应的设备漏洞集的步骤之前，还包括：
从预设漏洞源读取新增漏洞信息；
获取所述新增漏洞信息对应的固件环境信息；
根据所述固件环境信息确定所述新增漏洞信息对应的IoT厂商；
基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中。
4.如权利要求3所述的厂商推荐方法，其特征在于，所述基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中的步骤之后，还包括：
从所述新增漏洞信息中提取漏洞攻击特征；
根据所述固件环境信息查找对应的固件安装包；
根据所述固件安装包构建攻击模拟环境；
基于所述漏洞攻击特征对所述攻击模拟环境进行模拟攻击，并根据攻击结果获取漏洞影响项；
将所述漏洞影响项与所述新增漏洞信息绑定存储至所述漏洞信息库中。
5.如权利要求3所述的厂商推荐方法，其特征在于，所述基于对应的IoT厂商的厂商标识将所述新增漏洞信息存储至漏洞信息库中的步骤之后，还包括：
获取各IoT厂商的新版固件发布公告；
从所述新版固件发布公告中提取漏洞修复数据；
根据所述漏洞修复数据对所述漏洞信息库进行漏洞状态更新。
6.一种厂商推荐装置，其特征在于，所述厂商推荐装置包括以下模块：
获取模块，用于从漏洞信息库中提取各IoT厂商对应的设备漏洞集；
分析模块，用于对所述设备漏洞集中的漏洞信息进行分析，获得所述设备漏洞集中各漏洞信息对应的漏洞严重等级和漏洞影响级别；
判定模块，用于根据所述漏洞严重等级及所述漏洞影响级别确定各IoT厂商对应的厂商安全等级；
推荐模块，用于根据所述厂商安全等级对各IoT厂商进行排名，并基于排名结果进行IoT厂商推荐；
所述分析模块，还用于获取所述设备漏洞集中各漏洞信息对应的漏洞影响项，漏洞信息对应的漏洞影响项为基于漏洞信息攻击成功后，受攻击IoT设备中受影响的应用程序、应用进程、系统进程或系统注册表；对所述漏洞影响项进行统计，确定对应的影响项数量及影响项分布数据；根据所述影响项数量及所述影响项分布数据确定所述设备漏洞集中各漏洞信息对应的漏洞影响级别；查找所述漏洞影响项关联的设备服务，基于所述设备服务确定所述设备漏洞集中各漏洞信息对应的漏洞严重等级；
所述判定模块，还用于基于所述漏洞严重等级及所述漏洞影响级别确定所述设备漏洞集对应的安全削减总分值；获取各IoT厂商对应的平均漏洞修复时长；查找所述平均漏洞修复时长对应的分值调整系数；基于预设安全分值总值及所述安全削减总分值确定各IoT厂商对应的安全参考分值；根据所述分值调整系数对所述安全参考分值进行调整，获得各IoT厂商对应的安全评估分值；将所述安全评估分值与预设等级划分规则进行匹配，确定各IoT厂商对应的厂商安全等级。
7.一种厂商推荐设备，其特征在于，所述厂商推荐设备包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的厂商推荐程序，所述厂商推荐程序被处理器执行时实现如权利要求1-5中任一项所述的厂商推荐方法的步骤。
8.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有厂商推荐程序，所述厂商推荐程序执行时实现如权利要求1-5中任一项所述的厂商推荐方法的步骤。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310575793.9A CN116561769B (zh) | 2023-05-19 | 2023-05-19 | 厂商推荐方法、装置、设备及存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310575793.9A CN116561769B (zh) | 2023-05-19 | 2023-05-19 | 厂商推荐方法、装置、设备及存储介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN116561769A CN116561769A (zh) | 2023-08-08 |
| CN116561769B true CN116561769B (zh) | 2024-05-14 |
Family
ID=87501637
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202310575793.9A Active CN116561769B (zh) | 2023-05-19 | 2023-05-19 | 厂商推荐方法、装置、设备及存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN116561769B (zh) |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105635121A (zh) * | 2015-12-23 | 2016-06-01 | 赛尔网络有限公司 | 一种基于厂商的漏洞严重等级分布统计方法、装置与系统 |
| CN107645510A (zh) * | 2017-10-19 | 2018-01-30 | 北京知道创宇信息技术有限公司 | 一种地区安全防范能力的计算方法及计算设备 |
| CN112287352A (zh) * | 2020-09-25 | 2021-01-29 | 长沙市到家悠享网络科技有限公司 | 软件质量评估方法、设备及存储介质 |
| CN113360790A (zh) * | 2021-06-08 | 2021-09-07 | 口碑(上海)信息技术有限公司 | 信息推荐方法、装置及电子设备 |
| CN114861186A (zh) * | 2021-01-20 | 2022-08-05 | 苏州三六零智能安全科技有限公司 | 漏洞固件的验证方法、装置、设备及存储介质 |
| CN115033891A (zh) * | 2022-07-18 | 2022-09-09 | 中国工商银行股份有限公司 | 漏洞评估方法及装置、存储介质、电子设备 |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20200311233A1 (en) * | 2016-06-10 | 2020-10-01 | OneTrust, LLC | Data processing and scanning systems for assessing vendor risk |
| US11164133B2 (en) * | 2018-08-22 | 2021-11-02 | Jpmorgan Chase Bank, N.A. | System and method for a supplier risk index |
-
2023
- 2023-05-19 CN CN202310575793.9A patent/CN116561769B/zh active Active
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105635121A (zh) * | 2015-12-23 | 2016-06-01 | 赛尔网络有限公司 | 一种基于厂商的漏洞严重等级分布统计方法、装置与系统 |
| CN107645510A (zh) * | 2017-10-19 | 2018-01-30 | 北京知道创宇信息技术有限公司 | 一种地区安全防范能力的计算方法及计算设备 |
| CN112287352A (zh) * | 2020-09-25 | 2021-01-29 | 长沙市到家悠享网络科技有限公司 | 软件质量评估方法、设备及存储介质 |
| CN114861186A (zh) * | 2021-01-20 | 2022-08-05 | 苏州三六零智能安全科技有限公司 | 漏洞固件的验证方法、装置、设备及存储介质 |
| CN113360790A (zh) * | 2021-06-08 | 2021-09-07 | 口碑(上海)信息技术有限公司 | 信息推荐方法、装置及电子设备 |
| CN115033891A (zh) * | 2022-07-18 | 2022-09-09 | 中国工商银行股份有限公司 | 漏洞评估方法及装置、存储介质、电子设备 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN116561769A (zh) | 2023-08-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| AU2021273576B2 (en) | Model integration tool | |
| US10419499B2 (en) | Method and system for application security evaluation | |
| CN107729252B (zh) | 用于降低升级软件时的不稳定性的方法和系统 | |
| JP6876801B2 (ja) | 処理対象のトランザクションに関するリスクを識別する方法、装置、及び電子機器 | |
| US10614223B2 (en) | Security vulnerability detection | |
| CN109409641A (zh) | 风险评价方法、装置、计算机设备和存储介质 | |
| US20180203684A1 (en) | Staged application rollout | |
| CN113448862B (zh) | 软件版本测试方法、装置及计算机设备 | |
| CN112529575A (zh) | 风险预警方法、设备、存储介质及装置 | |
| WO2014204470A1 (en) | Generating a fingerprint representing a response of an application to a simulation of a fault of an external service | |
| CN116561769B (zh) | 厂商推荐方法、装置、设备及存储介质 | |
| CN112613974A (zh) | 一种风险预警方法、装置、设备及可读存储介质 | |
| CN110990249A (zh) | 代码扫描结果处理方法、装置、计算机设备及存储介质 | |
| CN111147441A (zh) | 网络购票的舞弊行为自动检测方法、设备及可读存储介质 | |
| CN115809384A (zh) | 网页更新方法、装置、计算机设备及计算机可读介质 | |
| CN115455414A (zh) | 一种安全检测方法和装置 | |
| CN113449308A (zh) | 一种漏洞处理方法、装置、计算机设备及可读存储介质 | |
| CN110891097A (zh) | 一种跨设备用户识别方法及装置 | |
| CN114217820A (zh) | 一种基于SaaS软件的容器部署方法、装置、设备和介质 | |
| CN114117535A (zh) | 访问安全控制方法、装置、计算机设备和存储介质 | |
| US20070239672A1 (en) | Client Category Configuration | |
| US10262353B1 (en) | Method and system to estimate mobile device performance based on personal behavior patterns | |
| CN115719167A (zh) | 一种车辆信息安全的监控方法及装置 | |
| CN117201119A (zh) | 开源组件的风险识别方法、装置及电子设备 | |
| CN113448849A (zh) | 页面元素测试方法、装置、设备及存储介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |