[發(fā)明專利]數(shù)據(jù)漏洞的自動(dòng)檢測方法、裝置、電子設(shè)備及存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 202310413496.4
• 申請日: 2023-04-10
• 公開（公告）號: CN116401676A
• 公開（公告）日: 2023-07-07
• 發(fā)明（設(shè)計(jì)）人: 宋魯生
• 申請（專利權(quán)）人: 平安壹錢包電子商務(wù)有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F16/901;G06F16/903
• 代理公司: 北京辰權(quán)知識產(chǎn)權(quán)代理有限公司 11619
• 代理人: 孔垂超

本申請公開了一種數(shù)據(jù)漏洞的自動(dòng)檢測方法、裝置、電子設(shè)備及存儲介質(zhì)。該數(shù)據(jù)漏洞的自動(dòng)檢測方法，包括：從應(yīng)用程序包的歷史數(shù)據(jù)中獲取依賴數(shù)據(jù)集；掃描依賴數(shù)據(jù)集，獲得具有數(shù)據(jù)漏洞的依賴數(shù)據(jù)；利用具有數(shù)據(jù)漏洞的依賴數(shù)據(jù)構(gòu)建漏洞字典；根據(jù)漏洞字典檢測應(yīng)用程序包的實(shí)時(shí)數(shù)據(jù)中是否存在數(shù)據(jù)漏洞。本申請實(shí)施例提供的數(shù)據(jù)漏洞的自動(dòng)檢測方法，從應(yīng)用程序包的歷史數(shù)據(jù)中獲取依賴數(shù)據(jù)集，掃描依賴數(shù)據(jù)集，獲得具有數(shù)據(jù)漏洞的依賴數(shù)據(jù)，利用具有數(shù)據(jù)漏洞的依賴數(shù)據(jù)構(gòu)建漏洞字典，根據(jù)漏洞字典檢測應(yīng)用程序包的實(shí)時(shí)數(shù)據(jù)中是否存在數(shù)據(jù)漏洞，能夠?qū)崿F(xiàn)數(shù)據(jù)漏洞的自動(dòng)檢測，提高了對數(shù)據(jù)漏洞的檢出率，降低了數(shù)據(jù)漏洞被遺漏的概率，降低了人工成本。

技術(shù)領(lǐng)域

本申請涉及數(shù)據(jù)處理技術(shù)領(lǐng)域，具體涉及一種數(shù)據(jù)漏洞的自動(dòng)檢測方法、裝置、電子設(shè)備及存儲介質(zhì)。

背景技術(shù)

隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，網(wǎng)絡(luò)安全變得日益重要。各互聯(lián)網(wǎng)公司越來越注重軟件安全，其中一項(xiàng)就是對使用有漏洞的依賴數(shù)據(jù)進(jìn)行管控升級。例如，目前比較流行的Maven管理的Java應(yīng)用程序，生成的項(xiàng)目最終一般為jar后綴或者war后綴的壓縮格式，可以通過解壓jar包的方式或者使用官方提供的java.util.jar包中的JarFile工具類編寫代碼解析jar包，從而確定一個(gè)應(yīng)用程序中的依賴版本。

通過上述方式可以快速地查看到一個(gè)Java應(yīng)用所依賴的jar包，但是要確定具有數(shù)據(jù)漏洞風(fēng)險(xiǎn)的jar包就需要一個(gè)一個(gè)來進(jìn)行分析核對。由于公司內(nèi)部也往往也會有大量的Java應(yīng)用,一個(gè)一個(gè)核對非常浪費(fèi)時(shí)間，并且人工核對又容易有遺漏，因此對數(shù)據(jù)漏洞的檢出率不高，容易遺漏數(shù)據(jù)漏洞，并且檢測效率不高、人工檢測所需成本過大。

發(fā)明內(nèi)容

本申請的目的是提供一種數(shù)據(jù)漏洞的自動(dòng)檢測方法、裝置、電子設(shè)備及存儲介質(zhì)，以解決相關(guān)技術(shù)中存在的對數(shù)據(jù)漏洞的檢出率不高，容易遺漏，并且檢測效率不高、人工檢測所需成本過大的技術(shù)問題。為了對披露的實(shí)施例的一些方面有一個(gè)基本的理解，下面給出了簡單的概括。該概括部分不是泛泛評述，也不是要確定關(guān)鍵/重要組成元素或描繪這些實(shí)施例的保護(hù)范圍。其唯一目的是用簡單的形式呈現(xiàn)一些概念，以此作為后面的詳細(xì)說明的序言。

根據(jù)本申請實(shí)施例的一個(gè)方面，提供一種數(shù)據(jù)漏洞的自動(dòng)檢測方法，包括：

從應(yīng)用程序包的歷史數(shù)據(jù)中獲取依賴數(shù)據(jù)集；

掃描所述依賴數(shù)據(jù)集，獲得具有數(shù)據(jù)漏洞的依賴數(shù)據(jù)；

利用所述具有數(shù)據(jù)漏洞的依賴數(shù)據(jù)構(gòu)建漏洞字典；

根據(jù)所述漏洞字典，檢測所述應(yīng)用程序包的實(shí)時(shí)數(shù)據(jù)中是否存在數(shù)據(jù)漏洞。

在本申請的一些實(shí)施例中，所述從應(yīng)用程序包的歷史數(shù)據(jù)中獲取依賴數(shù)據(jù)集，包括：

獲取所述歷史數(shù)據(jù)的線程代碼；

獲取對應(yīng)于所述線程代碼的依賴注解；

根據(jù)預(yù)設(shè)的注解解析規(guī)則解析所述依賴注解，得到依賴數(shù)據(jù)集。

在本申請的一些實(shí)施例中，所述根據(jù)預(yù)設(shè)的注解解析規(guī)則解析所述依賴注解之前，所述方法還包括：

對所述依賴注解執(zhí)行分詞操作，得到多個(gè)字符串組合；

根據(jù)所有所述字符串組合將所述依賴注解轉(zhuǎn)換為圖結(jié)構(gòu)注解或樹形結(jié)構(gòu)注解；

所述根據(jù)預(yù)設(shè)的注解解析規(guī)則解析所述依賴注解，得到依賴數(shù)據(jù)集，包括：根據(jù)預(yù)設(shè)的注解解析規(guī)則解析所述圖結(jié)構(gòu)注解或樹形結(jié)構(gòu)注解，得到依賴數(shù)據(jù)集。

在本申請的一些實(shí)施例中，所述圖結(jié)構(gòu)注解包括通過分層操作得到的第一層次節(jié)點(diǎn)以及其他層次節(jié)點(diǎn)；所述第一層次節(jié)點(diǎn)為所有字符串組合中與預(yù)設(shè)關(guān)鍵詞相匹配的字符串，所述其他層次節(jié)點(diǎn)為所有字符串組合中除了第一層次節(jié)點(diǎn)之外的字符串。