[發明專利]經由靜態分析和虛擬補丁校正工作流安全漏洞

在審

• 申請號: 201310447653.X
• 申請日: 2013-09-25
• 公開（公告）號: CN103714293A
• 公開（公告）日: 2014-04-09
• 發明（設計）人: E.貝斯克羅夫尼;O.特里普
• 申請（專利權）人: 國際商業機器公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/00
• 代理公司: 北京市柳沈律師事務所 11105
• 代理人: 張曉明

1.一種用于校正工作流安全漏洞的方法，所述方法包括：

經由第一處理器靜態分析計算機程序的客戶端側代碼，以確定意圖通過計算機程序實現的客戶端側工作流的順序；以及

基于靜態分析，生成虛擬補丁，所述虛擬補丁配置為當由第一處理器或第二處理器執行時執行可執行操作，所述可執行操作包括：

追蹤從客戶端到計算機程序的web服務調用；

確定從客戶端到計算機程序的web服務調用的順序是否與意圖通過計算機程序實現的客戶端側工作流的順序關聯；以及

響應于確定從客戶端到計算機程序的web服務調用的順序與意圖通過計算機程序實現的客戶端側工作流的順序不相關，生成警告；以及

配置要應用于托管計算機程序的處理系統的虛擬補丁。

2.如權利要求1所述的方法，還包括：

靜態分析計算機程序的客戶端側代碼，以確定在計算機程序的客戶端側代碼中是否存在至少一個安全漏洞；

其中響應于確定在計算機程序的客戶端側代碼中存在至少一個安全漏洞，靜態分析計算機程序的客戶端側代碼，以確定意圖通過計算機程序實現的客戶端側工作流的順序。

3.如權利要求1所述的方法，其中靜態分析計算機程序的客戶端側代碼，以確定意圖通過計算機程序實現的客戶端側工作流的順序，包括：

對配置為用于經由客戶端設備通過計算機程序呈現的web頁面執行靜態分析。

4.如權利要求1所述的方法，其中靜態分析計算機程序的客戶端側代碼，以確定意圖通過計算機程序實現的客戶端側工作流的順序，包括：

識別客戶端側工作流的候選近似的安全集。

5.如權利要求4所述的方法，還包括：

自動綜合記錄敏感執行路徑的元數據，并在虛擬補丁中包括所述元數據。

6.如權利要求1所述的方法，還包括：

將虛擬補丁應用于托管計算機程序的系統；

在客戶端會話期間，經由由第一處理器或第二處理器執行虛擬補丁：

追蹤從客戶端到計算機程序的web服務調用；

確定從客戶端的web服務調用的順序是否與意圖通過計算機程序實現的客戶端側工作流的順序相關；以及

響應于確定從客戶端的web服務調用的順序與意圖通過計算機程序實現的客戶端側工作流的順序不相關，生成指示從客戶端的web服務調用與意圖通過計算機程序實現的客戶端側工作流的順序不相關的警告。

7.如權利要求6所述的方法，還包括：

響應于生成警告，使客戶端會話無效。

8.如權利要求7所述的方法，其中使客戶端會話無效，包括：

阻礙在客戶端會話中生成的web服務調用通信到計算機程序。

9.如權利要求7所述的方法，其中使客戶端會話無效，包括：

終止客戶端會話。

10.一種用于校正工作流安全漏洞的方法，所述方法包括：

經由由處理器執行的虛擬補丁：

追蹤從客戶端到計算機程序的web服務調用；

確定從客戶端到計算機程序的web服務調用的順序是否與意圖通過計算機程序實現的客戶端側工作流的順序相關；以及

響應于確定從客戶端到計算機程序的web服務調用的順序與意圖通過計算機程序實現的客戶端側工作流的順序不相關，生成指示從客戶端到計算機程序的web服務調用的順序與意圖通過計算機程序實現的客戶端側工作流的順序不相關的警告。

11.如權利要求10所述的方法，還包括：

響應于生成警告，使客戶端會話無效。

12.如權利要求10所述的方法，其中使客戶端會話無效，包括：

阻礙在客戶端會話中生成的web服務調用通信到計算機程序。

13.如權利要求10所述的方法，其中使客戶端會話無效，包括：

終止客戶端會話。