一种漏洞检测方法及系统技术方案

本申请提供了一种漏洞检测方法及系统，所述方法包括：响应漏洞检测请求，确定待测对象；至少基于所述待测对象以及规则库中各漏洞规则的性能评分值确定目标漏洞规则列表，所述目标漏洞规则列表内记录了多条目标漏洞规则；基于所述目标漏洞列表对待测对象进行漏洞扫描；至少基于扫描结果生成反馈信息；基于所述反馈信息更新所述目标漏洞规则的性能评分值。本申请的漏洞检测方法能够自动确定、自动更新最优漏洞规则，以确保每一次的漏洞检测成功率及速度。

【技术实现步骤摘要】
一种漏洞检测方法及系统
本申请实施例涉及网络安全
，特别涉及一种漏洞检测方法及系统。
技术介绍
在互联网高速发展的大环境下，各种web(网络)应用层出不穷，这些web应用逐渐改变了人们的日常行为习惯以及业务处理方式，使得过去复杂、乏味的解决方案变得简洁且高效。但伴随而来的是网络安全环境日渐严峻，针对web应用的恶意攻击也是时有发生，一旦某个处于生产环境下的web应用暴露出安全问题，对使用它的用户和企业来说，造成的影响很有可能是不可估量的。因此，越来越多的人将目光转移到web安全上来，希望所有的web应用都能够做到极致的安全，以保证自己的隐私及安全不受侵犯。一个行之有效的方案就是在web应用的整个生命周期内对其进行安全测试，以尽可能的在风险被披露给公众之前将其扼杀。渗透测试虽然能够满足此要求，但同时带来的是对web应用极强的侵入性以及巨大的人力、物力、财力损失。综合考虑各种情况，自动化漏洞扫描不失为一个较为合理的解决方案。自动化漏洞扫描工具是一种模仿黑客对检测目标(包括检测对象、检测位置)进行模拟攻击的工具。在模拟攻本文档来自技高网...

【技术保护点】
1.一种漏洞检测方法，包括：/n响应漏洞检测请求，确定待测对象；/n至少基于所述待测对象以及规则库中各漏洞规则的性能评分值确定目标漏洞规则列表，所述目标漏洞规则列表内记录了多条目标漏洞规则；/n基于所述目标漏洞列表对待测对象进行漏洞扫描；/n至少基于扫描结果生成反馈信息；/n基于所述反馈信息更新所述目标漏洞规则的性能评分值。/n

【技术特征摘要】
1.一种漏洞检测方法，包括：
响应漏洞检测请求，确定待测对象；
至少基于所述待测对象以及规则库中各漏洞规则的性能评分值确定目标漏洞规则列表，所述目标漏洞规则列表内记录了多条目标漏洞规则；
基于所述目标漏洞列表对待测对象进行漏洞扫描；
至少基于扫描结果生成反馈信息；
基于所述反馈信息更新所述目标漏洞规则的性能评分值。


2.根据权利要求1所述的方法，其中，还包括：
将各所述漏洞规则及其性能评分值预先关联存储至规则库中，所述性能评分值基于历史检测结果计算确定。


3.根据权利要求1所述的方法，其中，还包括：
获得配置信息，所述配置信息包括所述漏洞规则的性能限制参数；
所述至少基于所述待测对象以及规则库中各漏洞规则的性能评分值确定目标漏洞规则列表，包括：
基于所述待测对象、个性化要求以及各漏洞规则的性能评分值确定目标漏洞规则，并基于所述目标漏洞规则形成所述目标漏洞规则列表。


4.根据权利要求3所述的方法，其中，所述获得配置信息，包括：
获得用户配置信息，所述用户配置信息包括用户设置的所述性能限制参数；或
获得默认配置信息，所述默认配置信息包括预确定的所述性能限制参数。


5.根据权利要求3所述的方法，其中，所述漏洞规则的性能包括漏洞探测能力及侵入性能；
所述性能评分值包括探测能力评分值及侵入性评分值，其中，所述探测能力评分值由所述漏洞规则对漏洞的探测成功率确定，所述侵入性评分值至少基于漏洞探测过程中所述漏洞规则对待测对象的运行造成的影响确定。


6.根据权利要求5所述的方法，其中，所述性能限制参数包括对所述侵入性能的限制参数和/或所述漏洞规则的综合性能限制参数；
其中，所述综合性能限制参数由所述探测能力评分值、侵入性评分值以及侵入性接受百分比计算得到，所述侵入性接受百分比或由用户设置，或为默认值。


7.根据权利要求5所述的方法，其中，还包括：
确...

【专利技术属性】
技术研发人员：刘德森，
申请(专利权)人：北京天融信网络安全技术有限公司，北京天融信科技有限公司，北京天融信软件有限公司，
类型：发明
国别省市：北京;11