本申請涉及網(wǎng)絡(luò)安全的，尤其是涉及一種網(wǎng)絡(luò)安全滲透測試報(bào)告的生成方法及系統(tǒng)。
背景技術(shù)：
1、在當(dāng)今數(shù)字化時(shí)代，網(wǎng)絡(luò)安全至關(guān)重要。隨著信息技術(shù)的迅猛發(fā)展，各類網(wǎng)絡(luò)系統(tǒng)廣泛應(yīng)用于金融、醫(yī)療、政務(wù)等眾多關(guān)鍵領(lǐng)域，然而網(wǎng)絡(luò)攻擊手段也日益復(fù)雜多樣。
2、網(wǎng)絡(luò)安全滲透測試作為保障網(wǎng)絡(luò)安全的重要手段，能夠模擬黑客攻擊來發(fā)現(xiàn)系統(tǒng)潛在的安全漏洞，當(dāng)前的報(bào)告生成方式往往側(cè)重于對已知漏洞的表面描述和分析，缺乏對不同漏洞之間潛在關(guān)聯(lián)以及綜合影響的深度挖掘。隨著網(wǎng)絡(luò)環(huán)境的日益復(fù)雜，單個(gè)漏洞可能只是冰山一角，多個(gè)漏洞的組合可能引發(fā)更嚴(yán)重的安全威脅。然而，現(xiàn)有技術(shù)在生成報(bào)告時(shí)，難以全面、系統(tǒng)地識別和闡述這些漏洞間的復(fù)雜關(guān)系，導(dǎo)致安全人員在制定修復(fù)策略時(shí)，可能只關(guān)注到單個(gè)漏洞的解決。
3、因此，亟需一種能夠深入分析漏洞關(guān)系、準(zhǔn)確識別關(guān)鍵漏洞和漏洞鏈，以滿足當(dāng)前復(fù)雜多變的網(wǎng)絡(luò)安全環(huán)境下對網(wǎng)絡(luò)安全評估的需求。
技術(shù)實(shí)現(xiàn)思路
1、為了至少部分解決上述技術(shù)問題，本申請?zhí)峁┝艘环N網(wǎng)絡(luò)安全滲透測試報(bào)告的生成方法及系統(tǒng)。
2、第一方面，本申請?zhí)峁┑囊环N網(wǎng)絡(luò)安全滲透測試報(bào)告的生成方法采用如下的技術(shù)方案。
3、一種網(wǎng)絡(luò)安全滲透測試報(bào)告的生成方法，包括：
4、采集在滲透測試過程中的漏洞信息；
5、將每個(gè)漏洞作為節(jié)點(diǎn)并基于漏洞間的相互關(guān)系建連接節(jié)點(diǎn)的邊以得到漏洞關(guān)系模型；根據(jù)漏洞特征為節(jié)點(diǎn)和邊進(jìn)行權(quán)重賦值；計(jì)算漏洞間的關(guān)聯(lián)度以識別關(guān)鍵漏洞以及漏洞鏈；
6、基于建立的所述漏洞關(guān)系模型及歷史攻擊數(shù)據(jù)生成攻擊路徑；
7、基于漏洞關(guān)系模型及攻擊路徑生成滲透測試報(bào)告。
8、通過采用上述技術(shù)方案，通過采集滲透測試過程中的漏洞信息，將每個(gè)漏洞作為節(jié)點(diǎn)并基于其相互關(guān)系建立邊得到漏洞關(guān)系模型，根據(jù)漏洞特征為節(jié)點(diǎn)和邊進(jìn)行權(quán)重賦值，基于每個(gè)漏洞及其關(guān)系的重要程度，使得關(guān)鍵漏洞和漏洞鏈能夠通過關(guān)聯(lián)度計(jì)算得以識別。基于漏洞關(guān)系模型及歷史攻擊數(shù)據(jù)生成攻擊路徑，模擬出攻擊者可能采取的行動(dòng)路線，結(jié)合漏洞關(guān)聯(lián)度及系統(tǒng)業(yè)務(wù)邏輯評估每個(gè)攻擊路徑的成功率，使得安全人員能夠知曉不同攻擊路徑實(shí)際發(fā)生的可能性大小。
9、可選的，將每個(gè)漏洞作為節(jié)點(diǎn)并基于漏洞間的相互關(guān)系建連接節(jié)點(diǎn)的邊以得到漏洞關(guān)系模型，包括：
10、識別在滲透測試過程中所發(fā)現(xiàn)的每個(gè)漏洞并每個(gè)漏洞作為獨(dú)立的節(jié)點(diǎn)；
11、對每個(gè)漏洞確定其與其他漏洞之間是否存在相互關(guān)系；所述相互關(guān)系包括：前置條件關(guān)系、并發(fā)關(guān)系及后續(xù)影響關(guān)系；
12、根據(jù)所確定的漏洞間的相互關(guān)系為存在相互關(guān)系的節(jié)點(diǎn)之間建立邊以形成漏洞關(guān)系模型；
13、根據(jù)漏洞特征為節(jié)點(diǎn)和邊進(jìn)行權(quán)重賦值，包括：
14、對于每個(gè)漏洞所對應(yīng)的節(jié)點(diǎn)基于漏洞的嚴(yán)重程度、可利用性、影響范圍及業(yè)務(wù)重要性進(jìn)行權(quán)重賦值；
15、對于每個(gè)連接節(jié)點(diǎn)的邊基于關(guān)系緊密程度、關(guān)系可利用性及系統(tǒng)影響進(jìn)行權(quán)重賦值。
16、可選的，識別漏洞鏈，包括：
17、將每一個(gè)關(guān)鍵漏洞節(jié)點(diǎn)加入搜索隊(duì)列；
18、初始化一個(gè)空的漏洞鏈列表用于存儲發(fā)現(xiàn)的漏洞鏈；
19、當(dāng)搜索隊(duì)列不為空時(shí)從隊(duì)列中取出一個(gè)漏洞節(jié)點(diǎn)；找出當(dāng)前漏洞節(jié)點(diǎn)的所有出邊連接關(guān)系；對于每一條出邊連接關(guān)系，判斷該出邊連接關(guān)系的綜合權(quán)重和出邊連接關(guān)系指向的漏洞節(jié)點(diǎn)的綜合權(quán)重是否滿足優(yōu)先級條件；如果滿足，將出邊連接關(guān)系指向的漏洞節(jié)點(diǎn)加入所述搜索隊(duì)列，并將從當(dāng)前漏洞節(jié)點(diǎn)到出邊連接關(guān)系指向的漏洞節(jié)點(diǎn)的路徑添加到當(dāng)前漏洞鏈中；在當(dāng)前漏洞鏈的長度達(dá)到終止條件，將該漏洞鏈存儲到漏洞鏈列表。
20、可選的，基于建立的所述漏洞關(guān)系模型及歷史攻擊數(shù)據(jù)生成攻擊路徑，包括：
21、初始化一個(gè)棧數(shù)據(jù)結(jié)構(gòu)，將所有關(guān)鍵漏洞及其自身構(gòu)成的初始路徑依次壓入棧中；所述棧數(shù)據(jù)結(jié)構(gòu)用于存儲待訪問節(jié)點(diǎn)和當(dāng)前訪問路徑；初始化一個(gè)空的攻擊路徑集合，所述攻擊路徑集合用于存儲生成的攻擊路徑；
22、當(dāng)棧不為空時(shí)，執(zhí)行以下操作：
23、從棧中彈出一個(gè)元素，彈出的所述元素包含一個(gè)漏洞節(jié)點(diǎn)和當(dāng)前訪問路徑；
24、對于所述元素包含的漏洞節(jié)點(diǎn)的所有出邊確定出邊指向的下一個(gè)漏洞節(jié)點(diǎn)并且檢查下一個(gè)漏洞節(jié)點(diǎn)是否滿足繼續(xù)搜索的條件，繼續(xù)搜索的條件基于歷史攻擊數(shù)據(jù)考量、業(yè)務(wù)邏輯和權(quán)重；
25、若滿足繼續(xù)搜索的條件，將下一個(gè)漏洞節(jié)點(diǎn)和更新后的訪問路徑壓入棧中；
26、在當(dāng)前漏洞節(jié)點(diǎn)沒有出邊時(shí)，將當(dāng)前訪問路徑添加到攻擊路徑集合中；
27、若對于棧中彈出的元素所代表的漏洞節(jié)點(diǎn)，其所有出邊指向的下一個(gè)漏洞節(jié)點(diǎn)均不滿足繼續(xù)搜索的條件，則將對應(yīng)的元素標(biāo)記為已訪問。
28、可選的，基于漏洞關(guān)系模型及攻擊路徑生成滲透測試報(bào)告之前，所述方法還包括：
29、在生成滲透測試報(bào)告之前，首識別請求報(bào)告的用戶身份；
30、對于不同身份的用戶，定義不同的報(bào)告訪問權(quán)限和信息可見性級別；
31、基于報(bào)告訪問權(quán)限和信息可見性級別確定滲透測試報(bào)告所展示的內(nèi)容。
32、可選的，創(chuàng)建剪枝標(biāo)記集合；所述剪枝標(biāo)記集合用于存儲已知的可剪枝路徑信息；基于歷史攻擊數(shù)據(jù)找出在歷史上從未被成功利用的低風(fēng)險(xiǎn)節(jié)點(diǎn)組合將
33、其添加到剪枝標(biāo)記集合中；
34、在從棧中彈出一個(gè)元素時(shí)，生成從當(dāng)前節(jié)點(diǎn)開始經(jīng)過出邊到達(dá)下一個(gè)漏洞節(jié)點(diǎn)的節(jié)點(diǎn)組合標(biāo)識；將節(jié)點(diǎn)組合標(biāo)識與剪枝標(biāo)記集合中的信息進(jìn)行比對；
35、若當(dāng)前節(jié)點(diǎn)組合標(biāo)識存在于剪枝標(biāo)記集合中，表明節(jié)點(diǎn)組合在歷史數(shù)據(jù)中從未被成功利用，直接跳過對該出邊指向的下一個(gè)漏洞節(jié)點(diǎn)的后續(xù)搜索操作。
36、第二方面，本申請?zhí)峁┑囊环N網(wǎng)絡(luò)安全滲透測試報(bào)告的生成系統(tǒng)采用如下的技術(shù)方案。
37、一種網(wǎng)絡(luò)安全滲透測試報(bào)告的生成系統(tǒng)，包括：
38、第一處理模塊，用于：采集在滲透測試過程中的漏洞信息；
39、第二處理模塊，用于：將每個(gè)漏洞作為節(jié)點(diǎn)并基于漏洞間的相互關(guān)系建連接節(jié)點(diǎn)的邊以得到漏洞關(guān)系模型；根據(jù)漏洞特征為節(jié)點(diǎn)和邊進(jìn)行權(quán)重賦值；計(jì)算漏洞間的關(guān)聯(lián)度以識別關(guān)鍵漏洞以及漏洞鏈；
40、第三處理模塊，用于：基于建立的所述漏洞關(guān)系模型及歷史攻擊數(shù)據(jù)生成攻擊路徑；
41、第四處理模塊，用于：基于漏洞關(guān)系模型及攻擊路徑生成滲透測試報(bào)告。
1.一種網(wǎng)絡(luò)安全滲透測試報(bào)告的生成方法，其特征在于，包括：
2.根據(jù)權(quán)利要求1所述的一種網(wǎng)絡(luò)安全滲透測試報(bào)告的生成方法，其特征在于，將每個(gè)漏洞作為節(jié)點(diǎn)并基于漏洞間的相互關(guān)系建連接節(jié)點(diǎn)的邊以得到漏洞關(guān)系模型，包括：
3.根據(jù)權(quán)利要求2所述的一種網(wǎng)絡(luò)安全滲透測試報(bào)告的生成方法，其特征在于，計(jì)算漏洞間的關(guān)聯(lián)度以識別關(guān)鍵漏洞，包括：
4.根據(jù)權(quán)利要求3所述的一種網(wǎng)絡(luò)安全滲透測試報(bào)告的生成方法，其特征在于，識別漏洞鏈，包括：
5.根據(jù)權(quán)利要求4所述的一種網(wǎng)絡(luò)安全滲透測試報(bào)告的生成方法，其特征在于，基于建立的所述漏洞關(guān)系模型及歷史攻擊數(shù)據(jù)生成攻擊路徑，包括：
6.根據(jù)權(quán)利要求5所述的一種網(wǎng)絡(luò)安全滲透測試報(bào)告的生成方法，其特征在于，基于漏洞關(guān)系模型及攻擊路徑生成滲透測試報(bào)告之前，所述方法還包括：
7.根據(jù)權(quán)利要求6所述的一種網(wǎng)絡(luò)安全滲透測試報(bào)告的生成方法，其特征在于，所述方法還包括：
8.一種網(wǎng)絡(luò)安全滲透測試報(bào)告的生成系統(tǒng)，其特征在于，包括：