CN110321708B

CN110321708B - 一种基于资产类别的快速漏洞扫描方法及***

Info

Publication number: CN110321708B
Application number: CN201910219271.9A
Authority: CN
Inventors: 张永元
Original assignee: Sky Sky Safety Technology Co ltd
Current assignee: Sky Sky Safety Technology Co ltd
Priority date: 2019-03-21
Filing date: 2019-03-21
Publication date: 2021-04-23
Anticipated expiration: 2039-03-21
Also published as: CN110321708A

Abstract

本发明提供了一种基于资产类别的快速漏洞扫描方法及***，所述方法包括如下步骤：获取扫描对象列表；根据所述扫描对象列表，获取设备资产类别信息；根据所述资产类别信息获取对应的漏洞列表，作为设备漏洞检查列表；根据所述设备漏洞检查列表执行检查过程，生成检查结果报告。本发明的优点在于：采用该发明，可大大减少漏洞扫描***的扫描发包数量和扫描时间，同时提升漏洞检测的准确性，提升安全检测的总体效率。

Description

一种基于资产类别的快速漏洞扫描方法及***

技术领域

本发明属于信息安全技术领域，具体涉及一种基于资产类别的快速漏洞扫描方法及***。

背景技术

漏洞扫描是指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机***的安全脆弱性进行检测，发现可利用漏洞的一种安全检测(渗透攻击)行为。漏洞扫描***是网络安全中一项基本且重要的安全技术。漏洞扫描***根据扫描执行方式不同，一般分为针对网络的扫描器、针对主机的扫描器、针对数据库的扫描器以及针对WEB的扫描器等种类。漏洞扫描***一般基于漏洞数据库来检查远程主机，漏洞数据库包含了检查安全问题的所有信息(服务、端口、包类型、潜在的攻击路径，等等)，漏洞扫描***根据漏洞库扫描网络中设备和***存在的漏洞，然后提供一个风险列表以及补救的建议等内容的报告。漏洞库是漏洞扫描***的最关键的组成部分，而漏洞库中包含的漏洞的数量则在一定程度上代表了漏洞扫描***生产厂商的技术能力和技术积累，漏洞库中的漏洞涉及各种操作***、业务应用***等各个方面，每种操作***或业务应用***均存在一定数量的漏洞，基本从几条至几千条不等，目前商用的漏洞库条目基本在几万甚至十几万条，且在不断的增加。在进行检测的过程中，漏洞扫描***会根据漏洞库的条目(或者参数设置的检测类别等)对目标对象进行逐条检测验证，每条漏洞检测均需要一定的时间，大多数漏洞扫描***检测一台设备的漏洞就需要消耗很长时间，一套漏洞扫描***无法完成短时间内对大量设备和***的漏洞扫描工作，因此目前常见的漏洞扫描***在对大规模网络进行漏洞扫描时，一般采取抽样检测部分设备***、仅扫描部分指定漏洞、采用分布式部署等方式完成。

传统基于主机漏洞和网络漏洞的漏洞扫描***一般采用基于自身的漏洞库，通过对漏洞逐项验证的方式，对检测目标进行逐条扫描确认，由于漏洞库条目众多，因此扫描检测的效率低下，且误报率较高，无法适用于针对大型网络的快速检查的需要。

发明内容

本发明的目的是通过以下技术方案实现的。

本发明将漏洞库中的所有安全漏洞进行重组分类，按照漏洞所影响的***和对象进行重新组织，在进行漏洞扫描之前，首先进行目标对象的设备资产进行智能判断，然后根据设备的资产类型和业务应用类型，进行标靶式漏洞扫描检测，最后生成检测结果报告。

具体的，根据本发明的第一个方面，提供了一种基于资产类别的快速漏洞扫描方法，包括如下步骤：获取扫描对象列表；根据所述扫描对象列表，获取设备资产类别信息；根据所述资产类别信息获取对应的漏洞列表，作为设备漏洞检查列表；根据所述设备漏洞检查列表执行检查过程，生成检查结果报告。

优选的，所述获取扫描对象列表，包括：根据指定范围确认在线设备的IP地址列表。

优选的，所述根据扫描对象列表，获取设备资产类别信息，包括：针对所述在线设备，通过***指纹、开发端口、应用服务信息，对设备的操作***、设备类别、资产品牌、应用服务、服务类型信息进行判断和获取。

优选的，所述根据资产类别获取对应的漏洞列表，包括：根据所述在线设备的操作***、设备类别、资产品牌、应用服务、服务类型信息，在漏洞库中进行检索，获取该在线设备可能存在的各种漏洞。

优选的，所述漏洞库是包含所有漏洞相关信息的规则库，该漏洞库按照操作***、设备类别、资产品牌、应用服务、服务类型作为关键信息进行组织和排序。

优选的，所述根据设备漏洞检查列表执行检查过程，生成检查结果报告，包括：根据获得的漏洞检查列表，针对漏洞检查列表中的每条漏洞进行检测，确认被检测设备是否存在漏洞；设备漏洞列表逐条检测完成，获得每台设备存在的漏洞结果列表，根据检测结果生成针对每台设备的检测报告。

优选的，所述检测报告包括该设备存在的漏洞、漏洞的危害、修复措施。

根据本发明的第二个方面，提供了一种基于资产类别的快速漏洞扫描***，包括：扫描对象获取模块，用于获取扫描对象列表；资产类别获取模块，用于根据所述扫描对象列表，获取设备资产类别信息；漏洞列表获取模块，用于根据所述资产类别信息获取对应的漏洞列表，作为设备漏洞检查列表；漏洞检测及报告生成模块，用于根据所述设备漏洞检查列表执行检查过程，生成检查结果报告。

优选的，所述资产类别获取模块，针对在线设备，通过***指纹、开发端口、应用服务信息，对设备的操作***、设备类别、资产品牌、应用服务、服务类型信息进行判断和获取。

优选的，所述漏洞列表获取模块，根据所述在线设备的操作***、设备类别、资产品牌、应用服务、服务类型信息，在漏洞库中进行检索，获取该在线设备可能存在的各种漏洞。

本发明的优点在于：采用该发明，可大大减少漏洞扫描***的扫描发包数量和扫描时间，同时提升漏洞检测的准确性，提升安全检测的总体效率。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

附图1示出了根据本发明实施方式的一种基于资产类别的快速漏洞扫描方法流程图。

附图2示出了根据本发明实施方式的获取资产类别对应漏洞列表的实现过程流程图。

附图3示出了根据本发明实施方式的一种基于资产类别的快速漏洞扫描***结构图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施方式。虽然附图中显示了本公开的示例性实施方式，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施方式所限制。相反，提供这些实施方式是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本发明描述了一种基于设备资产类别的快速漏洞扫描技术的实现方法，本方法将漏洞库中的所有安全漏洞按照漏洞所影响的***和对象进行重新组织分类，在进行漏洞扫描之前，首先对目标对象的设备资产类型和业务应用进行识别和判断，然后根据设备的资产类型和业务应用类型，进行标靶式漏洞扫描检测，过滤掉漏洞库中绝大对数无用的漏洞条目，只检测该类设备类型可能存在的安全漏洞，检测完成后生成检测结果报告。在实际的网络中，一台设备一般只运行一种或少量几项业务应用，因此在针对某台设备进行漏洞检测时，只需要检测该设备运行的业务应用相关的漏洞即可准确的反应设备的安全漏洞状态，因此本方法可只需进行常规漏洞扫描***几十分之一甚至几百分之一的漏洞检测条目，从而将单台设备的漏洞扫描周期大量压缩，全面提升漏洞扫描的效率和单台漏洞扫描***的扫描能力。

本发明技术的具体架构逻辑如图1所示，是本发明根据设备资产列表进行快速漏洞扫描的过程，包括如下步骤：

S1、获取扫描对象列表；

根据指定范围(IP地址范围)确认在线设备的IP地址列表，一般采用ping、tcp半开扫描等方式确认正在使用的IP地址。

S2、获取设备资产类别信息；

针对扫描到的在线的IP地址设备，通过***指纹、开发端口、应用服务等信息，对设备的操作***、设备类别、资产品牌、应用服务、服务类型等信息进行判断和获取。

S3、根据资产类别获取对应的漏洞列表，作为设备漏洞检查列表；

根据在线设备的操作***、设备类别、资产品牌、应用服务、服务类型等信息，从漏洞库中进行检索，获取该类别或品牌资产或服务可能会存在的各种漏洞。其中，漏洞库是包含所有漏洞相关信息的规则库，为实现根据资产类别和品牌等信息检索漏洞，该漏洞库按照操作***、设备类别、资产品牌、应用服务、服务类型等信息作为关键信息进行组织和排序。

针对本发明中关键步骤S3根据资产类别获取对应的漏洞列表的实现过程如图2所示：

针对一台设备，主要获取的信息包括设备类别、操作***以及应用服务类型等基本信息，针对设备类型(例如主要包括终端设备、业务应用服务器设备、网络设备、视频类设备、安全运维设备等等)，进而获取设备的品牌、类型、型号(例如视频设备可能为海康、大华等，类型可能为IPC、DVR、NVR等)等详细信息，针对操作***(例如windows、UNIX、Linux等)，将进一步获取操作***的具体类型及版本信息，针对应用服务类型(例如web服务、数据库服务、文件服务等等)，进一步获取服务的型号与版本信息(例如Web服务为IIS、Apache；数据库为MySQL、MS SQL Server、oracle等等)，在获取上述信息后，按照预设规则生成设备标识ID。漏洞库中每个漏洞均包含该漏洞影响的设备标识ID，从而可按照设备标识ID检索出该设备可能存在的漏洞列表。

根据设备资产类别、品牌、应用服务等信息检索漏洞库后，得到针对该设备可能存在的漏洞列表，每台设备均根据其关键信息获得一份漏洞检查列表。

S4、根据资产类别执行检查过程，生成检查结果报告。

根据获得的漏洞检查列表，针对列表中的每条漏洞进行具体的检测，确认被检测设备是否存在漏洞。

设备漏洞列表逐条检测完成，即可获得每台设备存在的漏洞结果列表，根据检测结果生成针对每台设备的检测报告，报告该设备存在的漏洞、漏洞的危害、修复措施等内容，所有设备检查完成后，生成统一的检测统计报告。

传统的漏洞扫描***在漏洞检测过程中，在初步确认设备在线状态后，根据漏洞库中的漏洞列表进行逐一检测确认，由于扫描的漏洞数量较多，目前常见的漏洞扫描***扫描一台设备需要几分钟至几十分钟不等。在实际网络环境中，一台设备一般只运行少量几项服务，而针对一些特殊设备，例如网络设备、视频设备、工控设备等，其漏洞一般与其资产类别或设备品牌相关，因此真正需要检查的漏洞数量相对较少，传统的漏洞扫描***做了大量的无效检测工作，严重影响其检测效率，增加了检测负担。本发明的检测流程在传统漏洞扫描***的基础上，首先进行了针对性的设备资产类别、品牌等信息的检测确认，然后根据资产类别、品牌等信息确认可能存在的漏洞列表，进行针对性的漏洞检测，检测过程中排除了大多数的无效检测内容，针对大多数的设备，实际检测漏洞数量不超过传统漏洞扫描***的20％，因此可大幅提升漏洞检测的效率。由于针对单台设备的漏洞检测效率的提高，单套漏洞扫描***可同时扫描的设备数量也会大幅提升。随着安全漏洞被不断发现，漏洞库的漏洞数量在不断增长，利用本发明的基于设备资产类别的标靶式漏洞检测技术的优势将更加明显。

如图3所示，为根据本发明的一种基于资产类别的快速漏洞扫描***100，包括：

扫描对象获取模块101，用于获取扫描对象列表；

资产类别获取模块102，用于根据所述扫描对象列表，获取设备资产类别信息；

漏洞列表获取模块103，用于根据所述资产类别信息获取对应的漏洞列表，作为设备漏洞检查列表；

漏洞检测及报告生成模块104，用于根据所述设备漏洞检查列表执行检查过程，生成检查结果报告。

需要说明的是：

在此提供的算法和显示不与任何特定计算机、虚拟装置或者其它设备固有相关。各种通用装置也可以与基于在此的示教一起使用。根据上面的描述，构造这类装置所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的虚拟机的创建装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims

1.一种基于资产类别的快速漏洞扫描方法，其特征在于，包括如下步骤：

获取扫描对象列表，包括：根据指定范围确认在线设备的IP地址列表；

根据所述扫描对象列表，获取设备资产类别信息，包括：针对所述在线设备，通过***指纹、开发端口、应用服务信息，对设备的操作***、设备类别、资产品牌、应用服务、服务类型信息进行判断和获取；

根据所述资产类别信息获取对应的漏洞列表，作为设备漏洞检查列表，包括：根据所述在线设备的操作***、设备类别、资产品牌、应用服务、服务类型信息，在漏洞库中进行检索，获取该在线设备可能存在的各种漏洞；针对一台设备，获取的信息包括设备类别、操作***以及应用服务类型基本信息，针对设备类型，进而获取设备的品牌、类型、型号详细信息，针对操作***，将进一步获取操作***的具体类型及版本信息，针对应用服务类型，进一步获取服务的型号与版本信息，在获取上述信息后，按照预设规则生成设备标识ID；漏洞库中每个漏洞均包含该漏洞影响的设备标识ID，从而可按照设备标识ID检索出该设备可能存在的漏洞列表；根据所述设备漏洞检查列表执行检查过程，生成检查结果报告，包括：根据获得的漏洞检查列表，针对漏洞检查列表中的每条漏洞进行检测，确认被检测设备是否存在漏洞；设备漏洞列表逐条检测完成，获得每台设备存在的漏洞结果列表，根据检测结果生成针对每台设备的检测报告。

2.根据权利要求1所述的一种基于资产类别的快速漏洞扫描方法，其特征在于，

所述漏洞库是包含所有漏洞相关信息的规则库，该漏洞库按照操作***、设备类别、资产品牌、应用服务、服务类型作为关键信息进行组织和排序。

3.根据权利要求1所述的一种基于资产类别的快速漏洞扫描方法，其特征在于，

所述检测报告包括该设备存在的漏洞、漏洞的危害、修复措施。

4.一种基于资产类别的快速漏洞扫描***，其特征在于，包括：

扫描对象获取模块，用于获取扫描对象列表，包括：根据指定范围确认在线设备的IP地址列表；

资产类别获取模块，用于根据所述扫描对象列表，获取设备资产类别信息，包括：针对所述在线设备，通过***指纹、开发端口、应用服务信息，对设备的操作***、设备类别、资产品牌、应用服务、服务类型信息进行判断和获取；

漏洞列表获取模块，用于根据所述资产类别信息获取对应的漏洞列表，作为设备漏洞检查列表，包括：根据所述在线设备的操作***、设备类别、资产品牌、应用服务、服务类型信息，在漏洞库中进行检索，获取该在线设备可能存在的各种漏洞；针对一台设备，获取的信息包括设备类别、操作***以及应用服务类型基本信息，针对设备类型，进而获取设备的品牌、类型、型号详细信息，针对操作***，将进一步获取操作***的具体类型及版本信息，针对应用服务类型，进一步获取服务的型号与版本信息，在获取上述信息后，按照预设规则生成设备标识ID；漏洞库中每个漏洞均包含该漏洞影响的设备标识ID，从而可按照设备标识ID检索出该设备可能存在的漏洞列表；

漏洞检测及报告生成模块，用于根据所述设备漏洞检查列表执行检查过程，生成检查结果报告，包括：根据获得的漏洞检查列表，针对漏洞检查列表中的每条漏洞进行检测，确认被检测设备是否存在漏洞；设备漏洞列表逐条检测完成，获得每台设备存在的漏洞结果列表，根据检测结果生成针对每台设备的检测报告。