[發(fā)明專利]一種安全漏洞處理方法及裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 202011577580.2
• 申請(qǐng)日: 2020-12-28
• 公開(kāi)（公告）號(hào): CN112862236A
• 公開(kāi)（公告）日: 2021-05-28
• 發(fā)明（設(shè)計(jì)）人: 楊一未;李斌;易錦;孫成昊;方碩;吳薇
• 申請(qǐng)（專利權(quán)）人: 中國(guó)信息安全測(cè)評(píng)中心
• 主分類號(hào): G06Q10/06
• 分類號(hào): G06Q10/06;G06Q10/00
• 代理公司: 北京集佳知識(shí)產(chǎn)權(quán)代理有限公司 11227
• 代理人: 張靜

1.一種安全漏洞處理方法，其特征在于，包括：

確定影響信息資產(chǎn)安全的評(píng)價(jià)項(xiàng)目，并根據(jù)所述評(píng)價(jià)項(xiàng)目對(duì)所述信息資產(chǎn)漏洞進(jìn)行評(píng)分；所述評(píng)價(jià)項(xiàng)目中包括環(huán)境因素的評(píng)價(jià)項(xiàng)目；

按照評(píng)分結(jié)果對(duì)所述信息資產(chǎn)漏洞進(jìn)行優(yōu)先級(jí)排序；

按照所述信息資產(chǎn)漏洞的優(yōu)先級(jí)依次對(duì)信息資產(chǎn)漏洞進(jìn)行消控處理。

2.根據(jù)權(quán)利要求1所述的方法，所述根據(jù)評(píng)價(jià)項(xiàng)目對(duì)所述信息資產(chǎn)漏洞進(jìn)行評(píng)分，包括：

在所述評(píng)價(jià)項(xiàng)目包括至少兩個(gè)的情況下，獲取所述評(píng)價(jià)項(xiàng)目的初始權(quán)重和排序；

基于所述評(píng)價(jià)項(xiàng)目的初始權(quán)重和排序，計(jì)算所述的評(píng)價(jià)項(xiàng)目的漏洞危害度；

計(jì)算每個(gè)信息資產(chǎn)漏洞對(duì)于每個(gè)評(píng)價(jià)項(xiàng)目的危害評(píng)定值；

通過(guò)所述評(píng)價(jià)項(xiàng)目的漏洞危害度和每個(gè)信息資產(chǎn)漏洞對(duì)于每個(gè)評(píng)價(jià)項(xiàng)目的危害評(píng)定值，計(jì)算每個(gè)信息資產(chǎn)漏洞的評(píng)分。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述基于所述評(píng)價(jià)項(xiàng)目的初始權(quán)重和排序，計(jì)算所述的評(píng)價(jià)項(xiàng)目的漏洞危害度，包括：

按照評(píng)價(jià)項(xiàng)目從上到下的順序，計(jì)算相鄰兩個(gè)評(píng)價(jià)項(xiàng)目的初始權(quán)重的比值；

確定目標(biāo)評(píng)價(jià)項(xiàng)目的初始漏洞危害度的值；所述目標(biāo)評(píng)價(jià)項(xiàng)目為所有評(píng)價(jià)項(xiàng)目中排序位于最后一位的評(píng)價(jià)項(xiàng)目；

基于目標(biāo)評(píng)價(jià)項(xiàng)目的初始漏洞危害度和相鄰兩個(gè)評(píng)價(jià)項(xiàng)目的初始權(quán)重的比值，計(jì)算每個(gè)評(píng)價(jià)項(xiàng)目的初始漏洞危害度；

對(duì)所述每個(gè)評(píng)價(jià)項(xiàng)目的初始漏洞危害度進(jìn)行歸一化處理，得到每個(gè)評(píng)價(jià)項(xiàng)目的漏洞危害度。

4.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述計(jì)算每個(gè)資產(chǎn)漏洞對(duì)于每個(gè)評(píng)價(jià)項(xiàng)目的危害評(píng)定值，包括：

獲取每個(gè)信息資產(chǎn)漏洞對(duì)于每個(gè)評(píng)價(jià)項(xiàng)目的危害值；

針對(duì)任意一個(gè)評(píng)價(jià)項(xiàng)目：

確定所有信息資產(chǎn)漏洞對(duì)于該評(píng)價(jià)項(xiàng)目的排序；

按照所有信息資產(chǎn)漏洞對(duì)于該評(píng)價(jià)項(xiàng)目從上到下的排序，計(jì)算每?jī)蓚€(gè)相鄰信息資產(chǎn)漏洞對(duì)于該評(píng)價(jià)項(xiàng)目的危害值的比值；

確定目標(biāo)信息資產(chǎn)漏洞對(duì)于該評(píng)價(jià)項(xiàng)目的初始危害評(píng)定值；所述目標(biāo)信息資產(chǎn)漏洞為排序位于最后一位的的信息資產(chǎn)漏洞；

根據(jù)目標(biāo)信息資產(chǎn)漏洞的初始危害值和每?jī)蓚€(gè)相鄰信息資產(chǎn)漏洞對(duì)于該評(píng)價(jià)項(xiàng)目的評(píng)分值的比值，計(jì)算每個(gè)漏洞對(duì)于該評(píng)價(jià)項(xiàng)目的初始危害評(píng)定值；

對(duì)所述初始危害評(píng)定值進(jìn)行歸一化處理，得到每個(gè)信息資產(chǎn)漏洞對(duì)于該評(píng)價(jià)項(xiàng)目的危害評(píng)定值。

5.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述通過(guò)所述評(píng)價(jià)項(xiàng)目的漏洞危害度和每個(gè)資產(chǎn)漏洞對(duì)于每個(gè)評(píng)價(jià)項(xiàng)目的危害評(píng)定值，計(jì)算資產(chǎn)漏洞的評(píng)分，包括：

針對(duì)任何一個(gè)資產(chǎn)漏洞：

針對(duì)該資產(chǎn)漏洞的任何一個(gè)評(píng)價(jià)項(xiàng)目：

計(jì)算該評(píng)價(jià)項(xiàng)目的漏洞危害度和該漏洞對(duì)于該評(píng)價(jià)項(xiàng)目的危害評(píng)定值的積，得到資產(chǎn)漏洞初始評(píng)分；

將資產(chǎn)漏洞的所有初始評(píng)分相加，得到該資產(chǎn)漏洞的評(píng)分。

6.根據(jù)權(quán)利要求1-5中任意一項(xiàng)所述的方法，其特征在于，所述環(huán)境因素的評(píng)價(jià)項(xiàng)目包括：

信息安全等級(jí)保護(hù)、漏洞可利用性或網(wǎng)絡(luò)連通性、信息資產(chǎn)使用率以及信息資產(chǎn)受攻擊后的影響。

7.一種安全漏洞處理裝置，其特征在于，包括：

評(píng)分單元，用于確定影響信息資產(chǎn)安全的評(píng)價(jià)項(xiàng)目，并根據(jù)所述評(píng)價(jià)項(xiàng)目對(duì)所述信息資產(chǎn)漏洞進(jìn)行評(píng)分；所述評(píng)價(jià)項(xiàng)目中包括環(huán)境因素的評(píng)價(jià)項(xiàng)目；

排序單元，用于按照評(píng)分結(jié)果對(duì)所述信息資產(chǎn)漏洞進(jìn)行優(yōu)先級(jí)排序；

消控單元，用于按照所述信息資產(chǎn)漏洞的優(yōu)先級(jí)依次對(duì)信息資產(chǎn)漏洞進(jìn)行消控處理。

8.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述評(píng)分單元，包括：

獲取單元，用于在所述評(píng)價(jià)項(xiàng)目包括至少兩個(gè)的情況下，獲取所述評(píng)價(jià)項(xiàng)目的初始權(quán)重和排序；

漏洞危害度計(jì)算單元，用于基于所述評(píng)價(jià)項(xiàng)目的初始權(quán)重和排序，計(jì)算所述的評(píng)價(jià)項(xiàng)目的漏洞危害度；

危害評(píng)定值計(jì)算單元，用于計(jì)算每個(gè)信息資產(chǎn)漏洞對(duì)于每個(gè)評(píng)價(jià)項(xiàng)目的危害評(píng)定值；

評(píng)分計(jì)算單元，用于通過(guò)所述評(píng)價(jià)項(xiàng)目的漏洞危害度和每個(gè)信息資產(chǎn)漏洞對(duì)于每個(gè)評(píng)價(jià)項(xiàng)目的危害評(píng)定值，計(jì)算每個(gè)信息資產(chǎn)漏洞的評(píng)分。