[發(fā)明專利]一種交互式脆弱性評估方法、裝置及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201510023140.5
• 申請日: 2015-01-16
• 公開（公告）號: CN104660588A
• 公開（公告）日: 2015-05-27
• 發(fā)明（設(shè)計）人: 林福宏;劉倩;周賢偉;胡津源;宋寧寧;張煜;許海濤
• 申請（專利權(quán)）人: 北京科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 北京市廣友專利事務(wù)所有限責任公司 11237
• 代理人: 張仲波

技術(shù)領(lǐng)域

本發(fā)明涉及脆弱性評估領(lǐng)域，特別是指一種交互式脆弱性評估方法、裝置及系統(tǒng)。

背景技術(shù)

在脆弱性評估的過程中，一般利用基于網(wǎng)絡(luò)的漏洞掃描器對接入網(wǎng)絡(luò)的用戶主機進行掃描，根據(jù)漏洞所包含的特征對掃描結(jié)果進行脆弱性評估并將評估結(jié)果反饋給用戶，這種情況下的脆弱性評估結(jié)果通常并未考慮用戶環(huán)境對脆弱性評估的影響，造成脆弱性評估失真。

發(fā)明內(nèi)容

本發(fā)明要解決的技術(shù)問題是提供一種交互式脆弱性評估方法、裝置及系統(tǒng)，其允許用戶對失真的脆弱評估進行調(diào)整，使脆弱性評估結(jié)果更加準確。

為解決上述技術(shù)問題，本發(fā)明的實施例提供一種交互式脆弱性評估方法，包括：

對接入的用戶主機進行漏洞掃描；

獲得脆弱評估值，并將脆弱評估值展示給用戶；

將評估調(diào)整參數(shù)傳輸?shù)酱嗳跣栽u估服務(wù)器，以便于脆弱性評估服務(wù)器根據(jù)評估調(diào)整參數(shù)對所述脆弱評估值進行調(diào)整。

一種交互式脆弱性評估方法，包括：

將網(wǎng)絡(luò)服務(wù)器對接入的用戶主機進行漏洞掃描的結(jié)果進行脆弱性評估，得到脆弱評估值；

將所述脆弱評估值傳輸?shù)剿鼍W(wǎng)絡(luò)服務(wù)器，以便于展示給用戶；

接收網(wǎng)絡(luò)服務(wù)器發(fā)送的評估調(diào)整參數(shù)；

根據(jù)所述評估調(diào)整參數(shù)對所述脆弱評估值進行調(diào)整。

所述脆弱評估值從攻擊方式、攻擊復雜度、鑒權(quán)認證、機密性影響、一致性影響、可用性影響六個方面描述漏洞特征。

所述對所述脆弱評估值進行調(diào)整為從附帶的損失、系統(tǒng)感染比例、機密性調(diào)整、一致性調(diào)整、可用性調(diào)整五個方面對脆弱性進行評估調(diào)整。

一種網(wǎng)絡(luò)服務(wù)器，包括：漏洞掃描模塊、用戶交互模塊和結(jié)果展示模塊，其中，

漏洞掃描模塊用于對接入的用戶主機進行漏洞掃描；

結(jié)果展示模塊用于將脆弱評估值展示給用戶；

用戶交互模塊用于將評估調(diào)整參數(shù)傳輸?shù)酱嗳跣栽u估服務(wù)器，以便于脆弱性評估服務(wù)器根據(jù)評估調(diào)整參數(shù)對所述脆弱評估值進行調(diào)整。

一種脆弱性評估服務(wù)器，包括：標準評估模塊和用戶交互評估調(diào)整模塊，其中，

標準評估模塊用于將網(wǎng)絡(luò)服務(wù)器對接入的用戶主機進行漏洞掃描的結(jié)果進行脆弱性評估，得到脆弱評估值；

用戶交互評估調(diào)整模塊用于將所述脆弱評估值傳輸?shù)剿鼍W(wǎng)絡(luò)服務(wù)器，以便于展示給用戶；還用于接收網(wǎng)絡(luò)服務(wù)器發(fā)送的評估調(diào)整參數(shù)；并根據(jù)所述評估調(diào)整參數(shù)對所述脆弱評估值進行調(diào)整。

所述標準評估模塊從攻擊方式、攻擊復雜度、鑒權(quán)認證、機密性影響、一致性影響、可用性影響六個方面描述漏洞特征。

所述用戶交互評估調(diào)整模塊允許用戶從附帶的損失、系統(tǒng)感染比例、機密性調(diào)整、一致性調(diào)整、可用性調(diào)整五個方面對脆弱性進行評估調(diào)整。

一種交互式脆弱性評估系統(tǒng)，包括：網(wǎng)絡(luò)服務(wù)器和脆弱性評估服務(wù)器，其中，

網(wǎng)絡(luò)服務(wù)器對接入的用戶主機進行漏洞掃描；

脆弱性評估服務(wù)器對網(wǎng)絡(luò)服務(wù)器掃描的結(jié)果進行脆弱性評估，得到脆弱評估值；

網(wǎng)絡(luò)服務(wù)器將脆弱評估值展示給用戶；

網(wǎng)絡(luò)服務(wù)器將評估調(diào)整參數(shù)傳輸?shù)酱嗳跣栽u估服務(wù)器；

脆弱性評估服務(wù)器根據(jù)評估調(diào)整參數(shù)對所述脆弱評估值進行調(diào)整。

所述網(wǎng)絡(luò)服務(wù)器包括：漏洞掃描模塊、用戶交互模塊和結(jié)果展示模塊，所述脆弱性評估服務(wù)器包括：標準評估模塊和用戶交互評估調(diào)整模塊，其中，

所述漏洞掃描模塊對接入的用戶主機進行漏洞掃描；

所述標準評估模塊對所述漏洞掃描模塊掃描的結(jié)果進行脆弱性評估，得到脆弱評估值；

所述結(jié)果展示模塊將脆弱評估值展示給用戶；

所述用戶交互模塊將評估調(diào)整參數(shù)傳輸?shù)剿鲇脩艚换ピu估調(diào)整模塊；

所述用戶交互評估調(diào)整模塊根據(jù)評估調(diào)整參數(shù)對所述脆弱評估值進行調(diào)整。

本發(fā)明的上述技術(shù)方案的有益效果如下：

上述方案中，基于互聯(lián)網(wǎng)且具有客戶/服務(wù)器架構(gòu)，客戶端的用戶可以執(zhí)行漏洞掃描，還可以對脆弱性評估參數(shù)進行賦值；其中，網(wǎng)絡(luò)服務(wù)器完成漏洞的掃描和漏洞特征的提取，負責用戶參數(shù)的傳送，并將脆弱性評估結(jié)果向用戶展示；脆弱性評估服務(wù)器處理漏洞特征，對脆弱性進行初步賦值；并利用初步賦值數(shù)據(jù)和用戶參數(shù)計算最終脆弱評估值，這種方法和系統(tǒng)允許用戶對失真的脆弱評估進行調(diào)整，使脆弱評估結(jié)果更加準確。

附圖說明

圖1為本發(fā)明實施例中交互式脆弱性評估系統(tǒng)結(jié)構(gòu)示意圖；