CN112528295B - 工业控制***的漏洞修复方法及装置 - Google Patents

Abstract

本申请适用于网络安全技术领域，提供了一种工业控制***的漏洞修复方法及装置。该漏洞修复方法包括：检测工业控制***存在的待修复漏洞；获取所述待修复漏洞对应的目标漏洞信息；根据所述目标漏洞信息从预先构建的漏洞信息库中查找对应的目标漏洞修复工具，所述漏洞信息库中记录预设的多个已知漏洞信息以及每个已知漏洞信息对应的漏洞修复工具；采用所述目标漏洞修复工具对所述待修复漏洞进行修复。本申请通过预先构建漏洞信息库，并在获取到目标漏洞信息之后从漏洞信息库中确定出目标漏洞修复工具，最后通过目标漏洞修复工具对工业控制***的待修复漏洞进行修复，该方法不仅能够对***漏洞实时修复，且能够提高***的修复效率。

Description

工业控制***的漏洞修复方法及装置

技术领域

本申请属于网络安全技术领域，尤其涉及一种工业控制***的漏洞修复方法、装置、终端设备和存储介质。

背景技术

随着互联网的高速发展，两化融合的理论逐渐成熟，工业控制***逐步采用开放网络互联技术、商业IT标准产品。在数字化、智能化发展推进工业生产发展的同时，也带来了诸多的安全隐患。例如，工业生产中以PLC为代表的一些核心嵌入式设备，其安全防范能力较弱，网络化的结果无疑使得工控设备遭受恶意攻击的风险加大。近年针对工业控制***的各种攻击事件日益增多，暴露出其在安全防护方面上的严重不足，因此加快工业控制***的信息安全建设尤为紧迫。

对于潜在的安全风险，要提前预防；对于已经发现的***漏洞，则要及时修复。目前修复***漏洞都是通过人工进行方案匹配，并查找对应的修复工具进行修复，但该方法不仅修复效率低下，并且在非工作时间段出现的漏洞不能及时被修复，修复时效性较低。

发明内容

有鉴于此，本申请实施例提供了一种工业控制***的漏洞修复方法、装置、终端设备和存储介质，可以实时修复***漏洞，提高***的修复效率。

第一方面，本申请实施例提供了一种工业控制***的漏洞修复方法，包括：

检测工业控制***存在的待修复漏洞；

获取与所述待修复漏洞对应的目标漏洞信息；

根据所述目标漏洞信息从预先构建的漏洞信息库中查找对应的目标漏洞修复工具，所述漏洞信息库中记录预设的多个已知漏洞信息以及每个已知漏洞信息对应的漏洞修复工具；

采用所述目标漏洞修复工具对所述待修复漏洞进行修复。

本申请实施例通过预先构建漏洞信息库，并在获取到目标漏洞信息之后从漏洞信息库中确定出目标漏洞修复工具，最后通过目标漏洞修复工具对工业控制***的待修复漏洞进行修复，该方法不仅能够对***漏洞实时修复，且能够提高***的修复效率。

进一步的，所述漏洞信息库通过以下步骤构建：

通过网络爬取针对所述工业控制***的各个已知漏洞信息以及每个已知漏洞信息的漏洞修复方案，所述漏洞修复方案记录对应的已知漏洞信息所对应的漏洞修复工具；

通过网络爬取各个所述漏洞修复方案中记录的各个漏洞修复工具的下载链接；

通过所述下载链接下载所述各个漏洞修复工具，并根据所述各个已知漏洞信息以及下载的所述各个漏洞修复工具构建得到所述漏洞信息库。

利用网络爬虫的技术，爬取指定网站公布的已知漏洞数据，再从已知漏洞数据中获取对应每个已知漏洞信息的漏洞修复工具并进行下载，最后根据已知漏洞信息及其漏洞修复工具构建出漏洞信息库，以便当内部的工业控制***出现相同漏洞时，及时进行漏洞修复工具的匹配并进行漏洞修复。

进一步的，所述获取与所述待修复漏洞对应的目标漏洞信息，包括：

获取所述工业控制***的日志信息；

解析所述日志信息，得到所述日志信息中包含的各个漏洞信息标识；

根据所述各个漏洞信息标识确定与所述待修复漏洞对应的目标漏洞信息。

待修复漏洞检测出来之后，可以通过获取并解析工业控制***的漏洞信息，得到日志信息中包含的各个漏洞信息标识，并根据该漏洞信息标识确定待修复漏洞对应的目标漏洞信息。

进一步的，若根据所述目标漏洞信息从所述漏洞信息库中未查找到对应的目标漏洞修复工具，则在漏洞修复***的界面显示信息输入按钮；

若检测到对所述信息输入按钮的目标操作指令，则显示与所述目标操作指令的类型对应的漏洞信息输入框；

在检测到信息保存指令后，获取所述漏洞信息输入框中已输入的新漏洞信息，并将所述新漏洞信息添加到所述漏洞信息库中。

目标漏洞信息有可能是漏洞信息库中未记录或者名称不同的漏洞信息，因此无法根据目标漏洞信息从漏洞信息库中查找到对应的目标漏洞修复工具。这时，可以通过用户点击信息输入按钮进行添加或修改的方式对该目标漏洞信息进行新增或修改，并在保存后同步更新到漏洞信息库中，当再次出现该漏洞，即可直接通过漏洞信息库查找到对应的目标漏洞修复工具进行修复，从而提高漏洞修复的效率和可靠性。

进一步的，在检测到对所述信息输入按钮的目标操作指令之后，显示与所述目标操作指令的类型对应的漏洞信息输入框之前，还包括：

获取当前登录所述漏洞修复***的用户身份信息；

若所述用户身份信息属于与所述各个类型的目标操作指令对应的预设身份信息，则执行显示与所述目标操作指令的类型对应的漏洞信息输入框的步骤以及后续步骤；

若所述用户身份信息不属于与所述各个类型的目标操作指令对应的预设身份信息，则输出当前用户无权限操作的指示信息。

不同的用户身份信息，所具有的操作权限不同，因此当接收到用户点击信息输入按钮后，需要确定当前漏洞修复***所登陆的用户身份信息是否具有权限执行目标操作指令，在确定用户身份信息具备相应权限后，即可显示与目标操作指令对应的漏洞信息输入框，并在检测到信息保存指令后对漏洞信息保存并更新到漏洞信息库；但是如果确定用户身份信息不具备相应权限，则会输出当前用户无权操作的相应提示信息。在执行操作指令前，先进行用户身份信息的确认，能够提高漏洞信息的安全性以及更新的准确性，提高漏洞修复***的鲁棒性。

进一步的，获取所述漏洞修复***记录的所述工业控制***的漏洞修复历史数据，所述漏洞修复历史数据包括所述工业控制***的已修复漏洞数据和未修复漏洞数据；

在所述漏洞修复***的界面中以图表的形式显示所述工业控制***的已修复漏洞数据和未修复漏洞数据。

当检测到工业控制***的待修复漏洞和完成漏洞修复后，漏洞修复***都会记录已修复漏洞数据和未修复漏洞数据，为了便于用户直观的了解当前***漏洞修复的情况，可以将工业控制***的已修复漏洞数据和未修复漏洞数据转换为图表的形式，并显示在漏洞修复***的界面中，提高数据的可视化。

第二方面，本申请实施例提供了一种工业控制***的漏洞修复装置，包括：

漏洞信息获取模块，用于检测工业控制***存在的待修复漏洞；

目标漏洞信息获取模块，用于获取与所述待修复漏洞对应的目标漏洞信息；

目标漏洞修复工具查找模块，用于根据所述目标漏洞信息从预先构建的漏洞信息库中查找对应的目标漏洞修复工具，所述漏洞信息库中记录预设的多个已知漏洞信息以及每个已知漏洞信息对应的漏洞修复工具；

漏洞修复模块，用于采用所述目标漏洞修复工具对所述待修复漏洞进行修复。

进一步的，所述装置还包括：

已知漏洞数据爬取模块，用于通过网络爬取针对所述工业控制***的各个已知漏洞信息以及每个已知漏洞信息的漏洞修复方案，所述漏洞修复方案记录对应的已知漏洞信息所对应的漏洞修复工具；

下载链接爬取模块，用于通过网络爬取各个所述漏洞修复方案中记录的各个漏洞修复工具的下载链接；

漏洞信息库构建模块，用于通过所述下载链接下载所述各个漏洞修复工具，并根据所述各个已知漏洞信息以及下载的所述各个漏洞修复工具构建得到所述漏洞信息库。

第三方面，本申请实施例提供了一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如本申请实施例第一方面提出的工业控制***的漏洞修复方法。

第四方面，本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现如本申请实施例第一方面提出的工业控制***的漏洞修复方法。

本申请实施例与现有技术相比存在的有益效果是：可以实时修复***漏洞，提高***的修复效率。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的一种工业控制***的漏洞修复方法的流程图；

图2是本申请实施例提供的一种工业控制***的漏洞修复装置的结构图；

图3是本申请实施例提供的一种终端设备的示意图。

具体实施方式

以下描述中，为了说明而不是为了限定，提出了诸如特定装置结构、技术之类的具体细节，以便透彻理解本申请实施例。然而，本领域的技术人员应当清楚，在没有这些具体细节的其它实施例中也可以实现本申请。在其它情况中，省略对众所周知的装置、电路以及方法的详细说明，以免不必要的细节妨碍本申请的描述。

以下实施例中所使用的术语只是为了描述特定实施例的目的，而并非旨在作为对本申请的限制。如在本申请的说明书和所附权利要求书中所使用的那样，单数表达形式“一个”、“一种”、“所述”、“上述”、“该”和“这一”旨在也包括例如“一个或多个”这种表达形式，除非其上下文中明确地有相反指示。还应当理解，在本申请实施例中，“一个或多个”是指一个、两个或两个以上；“和/或”，描述关联对象的关联关系，表示可以存在三种关系；例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B的情况，其中A、B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。

本申请实施例提供的工业控制***的漏洞修复方法可以应用于手机、平板电脑、医疗设备、可穿戴设备、车载设备、增强现实(augmented reality，AR)/虚拟现实(virtualreality，VR)设备、笔记本电脑、超级移动个人计算机(ultra-mobile personal computer，UMPC)、上网本、个人数字助理(personal digital assistant，PDA)等终端设备或者服务器上，本申请实施例对终端设备和服务器的具体类型不作任何限制。

工业控制***广泛应用于国计民生各个领域。随着互联网时代的高速发展，“工业化”和“信息化”两化融合的趋势愈发紧密，信息化在工业企业的生产运行和管理经营等方面都起到了非常重要的作用，针对工业企业的业务与安全研发的信息***与信息化设备日益増加。从技术角度来看，随着网络环境的不断变化和复杂化，企业信息化不断发展和深入，信息安全风险也在随之増加，通过互联网各信***和信化设备遭到各种安全威胁的概率也随之上升。能源、电力等重要关键基础设施成为黑客攻击的重点，工业控制***面临的攻击范围持续扩大，打击更加精准，安全威胁日益严重，逐步渗透到工业生产和国民经济生活的各个关键领域。

对于潜在的安全风险，要提前预防；对于已经发现的***漏洞，则要及时修复。目前修复***漏洞都是通过人工进行方案匹配，并查找对应的修复工具进行修复，但该方法不仅修复效率低下，并且在非工作时间段出现的漏洞不能及时被修复，修复时效性较低。针对这个问题，本申请提出一种工业控制***的漏洞修复方法，使得被检测到的漏洞能够被实时修复。

请参阅图1，图1示出了本申请提供的一种工业控制***的漏洞修复方法的流程图，包括：

101、检测工业控制***存在的待修复漏洞；

首先，会检测工业控制***存在的待修复漏洞，具体的，待修复漏洞的检测方法可以采用漏洞扫描器进行扫描获取。本实施例的执行主体可以是某个安装有漏洞修复***的终端设备，而其中，漏洞扫描器是属于漏洞修复***的一个模块，主要用于扫描件企业内部的工业控制***的漏洞，漏洞修复***还包括另外三个模块，一个是漏洞信息库的构建模块，主要用于构建服务于企业内部的工业控制***的漏洞修复，另外一个是漏洞修复模块，借助于漏洞信息库提供的漏洞修复工具，用于修复漏洞扫描器扫描出来待修复漏洞，另外一个就是数据可视化输出模块，利用图表的形式将用户关切的数据展示在指定的界面内。

102、获取与所述待修复漏洞对应的目标漏洞信息；

在检测到工业控制***存在的待修复漏洞后，会获取该待修复漏洞对应的目标漏洞信息，其中，目标漏洞信息可以包括漏洞名称、设备厂商、漏洞类型、危害等级、漏洞描述等。

在一个实施例中，可以通过以下步骤来获与待修复漏洞对应的目标漏洞信息：

获取所述工业控制***的日志信息；

解析所述日志信息，得到所述日志信息中包含的各个漏洞信息标识；

根据所述各个漏洞信息标识确定与所述待修复漏洞对应的目标漏洞信息。

通过***日志或***记录协议syslog或者简单网络管理协议SNMP采集工业控制***的日志信息，在获得该日志信息之后，需要对该日志信息进行解析，以获得与待修复漏洞对应的目标漏洞信息。具体的，在解析该日志信息之后，会得到该日志信息中包含的各个漏洞信息标识，此时，即可根据漏洞信息标识确定出待修复漏洞的目标漏洞信息。

103、根据所述目标漏洞信息从预先构建的漏洞信息库中查找对应的目标漏洞修复工具，所述漏洞信息库中记录预设的多个已知漏洞信息以及每个已知漏洞信息对应的漏洞修复工具；

通过预先构建记录已知漏洞信息、和每个已知漏洞信息对应的漏洞修复工具的漏洞信息库，能够在获得目标漏洞信息之后，根据该目标漏洞信息从漏洞库中查询对应的目标漏洞修复工具。

在一个实施例中，漏洞信息库可以通过以下步骤进行构建：

通过网络爬取针对所述工业控制***的各个已知漏洞信息以及每个已知漏洞信息的漏洞修复方案，所述漏洞修复方案记录对应的已知漏洞信息所对应的漏洞修复工具；

通过网络爬取各个所述漏洞修复方案中记录的各个漏洞修复工具的下载链接；

通过所述下载链接下载所述各个漏洞修复工具，并根据所述各个已知漏洞信息以及下载的所述各个漏洞修复工具构建得到所述漏洞信息库。

网络爬虫，又名“网络蜘蛛”，是通过网页的连接地址来寻找网页，从网站某一个页面开始，读取网页的内容，找到在网页中的其他连接地址，然后通过这些链接地址寻找下一个网页，这样已知循环下去，直到按照某种策略把互联网上所有的网页都抓取完为止的技术。本申请就是采用该技术，搜集各大权威漏洞信息公开网站公布的已知漏洞信息，将其作为构建漏洞信息库重要的一部分，为工业控制***的漏洞修复提供成熟的解决方案，其中，漏洞信息公开网站可以是exploit-db、关键基础设施安全应急响应中心ICS-CERT、国家信息安全漏洞共享平台CNVD等平台，其中exploit-db的使用ExploitDB是一个面向全世界黑客的漏洞提交平台，该平台会公布最新漏洞的相关情况，公开的相关信息可以帮助企业改善公司的安全状况，同时也以帮助安全研究者和渗透测试工程师更好的进行安全测试工作。对于待修复漏洞，需要的是能够修复其的漏洞修复工具。因此在爬取各个已知漏洞信息以及每个已知漏洞信息的修复方案之后，即可根据漏洞修复方案进一步爬取该方案中记录的各个漏洞修复工具的下载链接，并通过该下载链接下载各个漏洞修复工具，最后即可根据各个已知漏洞信息以及下载的各个漏洞修复工具之间的对应关系构建漏洞信息库。

虽然漏洞信息库中会记录很多已知的漏洞信息，但是目标漏洞信息有可能存在不同的名称，导致无法查找到对应的目标漏洞信息修复工具，或者是漏洞信息是新发现的一个漏洞，因此无法从漏洞信息库中查找到对应的目标漏洞修复工具。当出现该情况是，为了提高漏洞修复***的鲁棒性，在一个实施例中，漏洞修复方法还可以包括：

若根据所述目标漏洞信息从所述漏洞信息库中未查找到对应的目标漏洞修复工具，则在漏洞修复***的界面显示信息输入按钮；

若检测到对所述信息输入按钮的目标操作指令，则显示与所述目标操作指令的类型对应的漏洞信息输入框；

在检测到信息保存指令后，获取所述漏洞信息输入框中已输入的新漏洞信息，并将所述新漏洞信息添加到所述漏洞信息库中。

如果根据目标漏洞信息无法从漏洞信息库中查找到对应的目标漏洞修复工具，那么可以在漏洞修复***的界面显示输入信息按钮。该情况下，用户可以通过点击了某一信息输入按钮，让漏洞修复***可以检测到针对该信息输入按钮的目标操作指令，进一步的可以显示与该目标操作指令的类型对应的漏洞信息输入框，目标操作指令的类型新增、修改、查看，如果该目标操作指令的类型为新增，则显示没有内容的漏洞信息输入框；如果该目标操作指令的类型为修改，则会显示包含需要修改的已知漏洞信息内容的漏洞信息输入框，点击相应的输入框，即可对该输入框内的内充进行编辑修改；如果该目标操作指令的类型为查看，则会显示包含所要查看的已知漏洞信息内容的漏洞信息输入框，但该漏洞信息输入框不能进行漏洞信息的编辑，仅能查阅。

之后，在用户编辑或者修订完成后，会点击保存按钮，此时，即可检测到信息保存指令，在检测到该指令之后，可以获取漏洞信息输入框内已输入的新漏洞信息，更新到漏洞信息库中。通过对漏洞信息库的更新，当待修复漏洞对应的目标漏洞信息为该更新的漏洞信息时，即可直接从漏洞信息库中获取对应的目标漏洞修复工具进行修复。需要注意的是，漏洞信息库中记录的部分漏洞信息可能已经被完全克服，不会再出现该漏洞，对于这部分漏洞信息，应当及时清理，从而确保漏洞信息库中的漏洞信息的准确性。因此，目标操作指令的类型还可以为删除，当接收到该目标操作指令后，则发出删除的确认信息，当接收到删除的确认信息后，即可将对应的漏洞信息从漏洞信息库中删除。

为了确保漏洞信息的安全，在一个实施例中，在检测到对所述信息输入按钮的目标操作指令之后，显示与所述目标操作指令的类型对应的漏洞信息输入框之前，还包括：

获取当前登录所述漏洞修复***的用户身份信息；

若所述用户身份信息属于与所述各个类型的目标操作指令对应的预设身份信息，则执行显示与所述目标操作指令的类型对应的漏洞信息输入框的步骤以及后续步骤；

若所述用户身份信息不属于与所述各个类型的目标操作指令对应的预设身份信息，则输出当前用户无权限操作的指示信息。

对不同的身份信息设置不同类型的目标操作指令的权限，能够提高漏洞信息的安全性。具体的，可以获取当前登陆漏洞修复***的用户身份信息，然后对该用户身份信息进行确认，即将该用户身份信息和各个类型的目标操作指令对应的预设身份信息进行匹配，如果匹配成功，则会执行显示与所述目标操作指令的类型对应的漏洞信息输入框的步骤及其后续步骤；如果匹配失败，也就是说明当前的用户身份无权限指令该目标操作指令，输出相应的提示信息进行反馈。各个类型的目标操作指令和预设身份信息之间的关系可以参照表1。

表1

注：“√”表示对应的预设身份信息有权限操作对应类型的目标操作指令。

进一步的，为了避免因漏洞信息各分类不统一导致无法根据目标漏洞信息查找到目标漏洞修复工具的情形出现，在一个实施例中，还可以在爬取到已知漏洞信息之后，对该已知漏洞信息进行重新分类后在进行存储，同理在获取到目标漏洞信息之后也需要进行重新分类后再进行目标漏洞修复工具的查找，通过统一漏洞信息的各分类标准，能够提高目标漏洞修复工具查找的准确性和效率。具体的分类规则为漏洞等级分类，将搜集的漏洞信息按照高危、中危、低危进行分类；漏洞类型分类包含权限提升漏洞、拒绝服务漏洞、缓冲区溢出漏洞、目录遍历漏洞、命令注入漏洞等多种分类；漏洞厂商分类，支持按照存在漏洞的设备依据设备厂商进行分类。在进行重新分类后，也可以统计各分类的数据并转换为图表的形式在漏洞修复***的进行展示，通过对各分类数据的综合分析，能够有助于企业选择更适合自己的设备。例如，先确定出漏洞等级最高的目标漏洞，之后将该目标漏洞与设备厂商进行联合分析，如果某个设备厂商的漏洞等级最高的设备数量最多，可以考虑是否有其他更好的设备选择，从而进一步提高工业控制***的信息安全性。

104、采用所述目标漏洞修复工具对所述待修复漏洞进行修复。

在获得目标漏洞修复工具之后，即可利用该修复工具对待修复漏洞进行修复。整个过程可以自动完成，提高漏洞修复的时效性，并提高漏洞的修复效率。

为了便于用户了解漏洞修复的情况，该漏洞修复方法还可以包括：

获取所述漏洞修复***记录的所述工业控制***的漏洞修复历史数据，所述漏洞修复历史数据包括所述工业控制***的已修复漏洞数据和未修复漏洞数据；

在所述漏洞修复***的界面中以图表的形式显示所述工业控制***的已修复漏洞数据和未修复漏洞数据。

当检测到工业控制***的待修复漏洞和完成漏洞修复后，漏洞修复***都会记录一修读漏洞数据和未修复漏洞数据，为了便于用户直观的了解当前***漏洞修复的情况，会将工业控制***的已修复漏洞数据和未修复漏洞数据转换为图表的形式，并显示在漏洞修复***的界面中，提高数据的可视化。

本申请通过预先构建漏洞信息库，并在获取到目标漏洞信息之后从漏洞信息库中确定出目标漏洞修复工具，最后通过目标漏洞修复工具对工业控制***的待修复漏洞进行修复，该方法不仅能够对***漏洞实时修复，且能够提高***的修复效率。

应理解，上述实施例中各步骤的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

图2示出了本申请实施例提供的工业控制***的漏洞修复装置的结构框图，为了便于说明，仅示出了与本申请实施例相关的部分。

参照图2，该装置包括：

漏洞信息获取模块201，用于检测工业控制***存在的待修复漏洞；

目标漏洞信息获取模块202，用于获取与所述待修复漏洞对应的目标漏洞信息；

目标漏洞修复工具查找模块203，用于根据所述目标漏洞信息从预先构建的漏洞信息库中查找对应的目标漏洞修复工具，所述漏洞信息库中记录预设的多个已知漏洞信息以及每个已知漏洞信息对应的漏洞修复工具；

漏洞修复模块204，用于采用所述目标漏洞修复工具对所述待修复漏洞进行修复。

进一步的，所述装置还可以包括：

已知漏洞数据爬取模块，用于通过网络爬取针对所述工业控制***的各个已知漏洞信息以及每个已知漏洞信息的漏洞修复方案，所述漏洞修复方案记录对应的已知漏洞信息所对应的漏洞修复工具；

下载链接爬取模块，用于通过网络爬取各个所述漏洞修复方案中记录的各个漏洞修复工具的下载链接；

漏洞信息库构建模块，用于通过所述下载链接下载所述各个漏洞修复工具，并根据所述各个已知漏洞信息以及下载的所述各个漏洞修复工具构建得到所述漏洞信息库。

进一步的，所述目标漏洞信息获取模块202可以包括：

日志信息获取单元，用于获取所述工业控制***的日志信息；

漏洞信息标识获取单元，用于解析所述日志信息，得到所述日志信息中包含的各个漏洞信息标识；

目标漏洞信息确定单元，用于根据所述各个漏洞信息标识确定与所述待修复漏洞对应的目标漏洞信息。

进一步的，所述装置还可以包括：

信息输入按钮显示模块，用于若根据所述目标漏洞信息从所述漏洞信息库中未查找到对应的目标漏洞修复工具，则在漏洞修复***的界面显示信息输入按钮；

漏洞信息输入框显示模块，用于若检测到对所述信息输入按钮的目标操作指令，则显示与所述目标操作指令的类型对应的漏洞信息输入框；

漏洞信息库更新模块，用于在检测到信息保存指令后，获取所述漏洞信息输入框中已输入的新漏洞信息，并将所述新漏洞信息添加到所述漏洞信息库中。

进一步的，所述装置还可以包括：

用户身份获取模块，用于在检测到对所述信息输入按钮的目标操作指令之后，显示与所述目标操作指令的类型对应的漏洞信息输入框之前，获取当前登录所述漏洞修复***的用户身份信息；

用户身份确认第一模块，用于若所述用户身份信息属于与所述各个类型的目标操作指令对应的预设身份信息，则执行显示与所述目标操作指令的类型对应的漏洞信息输入框的步骤以及后续步骤；

用户身份确认第二模块，用于若所述用户身份信息不属于与所述各个类型的目标操作指令对应的预设身份信息，则输出当前用户无权限操作的指示信息。

进一步的，所述装置还可以包括：

历史数据获取模块，用于获取所述漏洞修复***记录的所述工业控制***的漏洞修复历史数据，所述漏洞修复历史数据包括所述工业控制***的已修复漏洞数据和未修复漏洞数据；

历史数据展示模块，用于在所述漏洞修复***的界面中以图表的形式显示所述工业控制***的已修复漏洞数据和未修复漏洞数据。

本申请实施例还提供了一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如本申请提出的各个工业控制***的漏洞修复方法的步骤。

本申请实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现如本申请提出的各个工业控制***的漏洞修复方法的步骤。

本申请实施例还提供了一种计算机程序产品，当计算机程序产品在终端设备上运行时，使得终端设备执行本申请提出的各个工业控制***的漏洞修复方法的步骤。

图3为本申请一实施例提供的终端设备的结构示意图。如图3所示，该实施例的终端设备3包括：至少一个处理器30（图3中仅示出一个）处理器、存储器31以及存储在所述存储器31中并可在所述至少一个处理器30上运行的计算机程序32，所述处理器30执行所述计算机程序32时实现上述任意浏览器驱动的配置方法实施例中的步骤。

所述终端设备3可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备，以及智能手表、智能手环等可穿戴设备。该终端设备可包括，但不仅限于，处理器30、存储器31。本领域技术人员可以理解，图3仅仅是终端设备3的举例，并不构成对终端设备3的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件，例如还可以包括输入输出设备、网络接入设备等。

所称处理器30可以是中央处理单元(Central Processing Unit，CPU)，该处理器30还可以是其他通用处理器、数字信号处理器 (Digital Signal Processor，DSP)、专用集成电路 (Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA) 或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

所述存储器31在一些实施例中可以是所述终端设备3的内部存储单元，例如终端设备3的硬盘或内存。所述存储器31在另一些实施例中也可以是所述终端设备3的外部存储设备，例如所述终端设备3上配备的插接式硬盘，智能存储卡（Smart Media Card， SMC），安全数字（Secure Digital， SD）卡，闪存卡（Flash Card）等。进一步地，所述存储器31还可以既包括所述终端设备3的内部存储单元也包括外部存储设备。所述存储器31用于存储操作装置、应用程序、引导装载程序(BootLoader)、数据以及其他程序等，例如所述计算机程序的程序代码等。所述存储器31还可以用于暂时地存储已经输出或者将要输出的数据。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能单元、模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元、模块完成，即将所述装置的内部结构划分成不同的功能单元或模块，以完成以上描述的全部或者部分功能。实施例中的各功能单元、模块可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中，上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。另外，各功能单元、模块的具体名称也只是为了便于相互区分，并不用于限制本申请的保护范围。上述装置中单元、模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述或记载的部分，可以参见其它实施例的相关描述。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

在本申请所提供的实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个装置，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通讯连接可以是通过一些接口，装置或单元的间接耦合或通讯连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请实现上述实施例方法中的全部或部分流程，可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质至少可以包括：能够将计算机程序代码携带到终端设备的任何实体或装置、记录介质、计算机存储器、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、电载波信号、电信信号以及软件分发介质。例如U盘、移动硬盘、磁碟或者光盘等。

以上所述实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的精神和范围，均应包含在本申请的保护范围之内。

Claims (7)

1.一种工业控制***的漏洞修复方法，其特征在于，包括：

检测工业控制***存在的待修复漏洞；

获取与所述待修复漏洞对应的目标漏洞信息；

根据所述目标漏洞信息从预先构建的漏洞信息库中查找对应的目标漏洞修复工具，所述漏洞信息库中记录预设的多个已知漏洞信息以及每个已知漏洞信息对应的漏洞修复工具；

采用所述目标漏洞修复工具对所述待修复漏洞进行修复；

其中，所述获取与所述待修复漏洞对应的目标漏洞信息具体包括：

获取所述工业控制***的日志信息；

解析所述日志信息，得到所述日志信息中包含的各个漏洞信息标识；

根据所述各个漏洞信息标识确定与所述待修复漏洞对应的目标漏洞信息；

所述漏洞信息库通过以下步骤构建：

通过网络爬取针对所述工业控制***的各个已知漏洞信息以及每个已知漏洞信息的漏洞修复方案，所述漏洞修复方案记录对应的已知漏洞信息所对应的漏洞修复工具；

通过网络爬取各个所述漏洞修复方案中记录的各个漏洞修复工具的下载链接；

通过所述下载链接下载所述各个漏洞修复工具；

基于预设的分类规则对所述各个已知漏洞信息进行分类，所述分类规则包括基于漏洞等级的分类规则、基于漏洞类型的分类规则以及基于漏洞厂商的分类规则；

根据分类后的所述各个已知漏洞信息以及下载的所述各个漏洞修复工具构建得到所述漏洞信息库。

2.如权利要求1所述的漏洞修复方法，其特征在于，还包括：

若根据所述目标漏洞信息从所述漏洞信息库中未查找到对应的目标漏洞修复工具，则在漏洞修复***的界面显示信息输入按钮；

若检测到对所述信息输入按钮的目标操作指令，则显示与所述目标操作指令的类型对应的漏洞信息输入框；

在检测到信息保存指令后，获取所述漏洞信息输入框中已输入的新漏洞信息，并将所述新漏洞信息添加到所述漏洞信息库中。

3.如权利要求2所述的漏洞修复方法，其特征在于，在检测到对所述信息输入按钮的目标操作指令之后，显示与所述目标操作指令的类型对应的漏洞信息输入框之前，还包括：

获取当前登录所述漏洞修复***的用户身份信息；

若所述用户身份信息属于与各个类型的所述目标操作指令对应的预设身份信息，则执行显示与所述目标操作指令的类型对应的漏洞信息输入框的步骤以及后续步骤；

若所述用户身份信息不属于与各个类型的所述目标操作指令对应的预设身份信息，则输出当前用户无权限操作的指示信息。

4.如权利要求2所述的漏洞修复方法，其特征在于，还包括

获取所述漏洞修复***记录的所述工业控制***的漏洞修复历史数据，所述漏洞修复历史数据包括所述工业控制***的已修复漏洞数据和未修复漏洞数据；

在所述漏洞修复***的界面中以图表的形式显示所述工业控制***的已修复漏洞数据和未修复漏洞数据。

5.一种工业控制***的漏洞修复装置，其特征在于，包括：

漏洞信息获取模块，用于检测工业控制***存在的待修复漏洞；

目标漏洞信息获取模块，用于获取与所述待修复漏洞对应的目标漏洞信息；

目标漏洞修复工具查找模块，用于根据所述目标漏洞信息从预先构建的漏洞信息库中查找对应的目标漏洞修复工具，所述漏洞信息库中记录预设的多个已知漏洞信息以及每个已知漏洞信息对应的漏洞修复工具；

漏洞修复模块，用于采用所述目标漏洞修复工具对所述待修复漏洞进行修复；

其中，所述目标漏洞信息获取模块包括：

日志信息获取单元，用于获取所述工业控制***的日志信息；

漏洞信息标识获取单元，用于解析所述日志信息，得到所述日志信息中包含的各个漏洞信息标识；

目标漏洞信息确定单元，用于根据所述各个漏洞信息标识确定与所述待修复漏洞对应的目标漏洞信息；

所述漏洞修复装置还包括：

已知漏洞数据爬取模块，用于通过网络爬取针对所述工业控制***的各个已知漏洞信息以及每个已知漏洞信息的漏洞修复方案，所述漏洞修复方案记录对应的已知漏洞信息所对应的漏洞修复工具；

下载链接爬取模块，用于通过网络爬取各个所述漏洞修复方案中记录的各个漏洞修复工具的下载链接；

修复工具下载模块，用于通过所述下载链接下载所述各个漏洞修复工具；

漏洞信息分类模块，用于基于预设的分类规则对所述各个已知漏洞信息进行分类，所述分类规则包括基于漏洞等级的分类规则、基于漏洞类型的分类规则以及基于漏洞厂商的分类规则；

漏洞信息库构建模块，用于根据分类后的所述各个已知漏洞信息以及下载的所述各个漏洞修复工具构建得到所述漏洞信息库。

6.一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至4任一项所述的漏洞修复方法。

7.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至4任一项所述的漏洞修复方法。

Images