[发明专利]漏洞处理方法、系统、电子设备、存储介质及程序产品

说明书

本公开提供了一种漏洞处理方法，可用于网络安全技术领域，包括：获取存在漏洞的应用所处的环境信息及该漏洞的基本信息；将环境信息及基本信息输入至第一函数模型中，该第一函数模型通过历史漏洞信息与应用指标参数进行训练获得；获取第一函数模型的第一输出结果，第一输出结果包括该漏洞所处的应用环境评分；将应用环境评分及该应用的安全监管信息输入至第二函数模型中，第二函数模型通过历史应用环境评分与各应用的安全监管信息进行训练获得；获取第二函数模型的第二输出结果，第二输出结果包括该漏洞的漏洞等级；根据漏洞等级确定各漏洞的处理时间。本公开还提供了一种漏洞处理系统、电子设备、计算机可读存储介质及计算机程序产品。

技术领域

本公开涉及网络安全技术领域，具体涉及一种漏洞处理方法、系统、电子设备、存储介质及程序产品。

背景技术

安全漏洞管理过程中，经常遇到发现漏洞，该不该整改，何时整改，整改过程对业务影响有多大等问题。一个完整的漏洞管理生命周期包括：漏洞发现、漏洞定级、漏洞确认、漏洞整改、漏洞跟踪验证。其中，漏洞发现、定级、跟踪验证一般由安全部门完成；漏洞确认及整改则是由研发部门负责。二者之间信息传递的接口则是漏洞评级，因此，漏洞定级是漏洞管理的关键和基础。

目前，业内有CVSS“通用漏洞评分系统”，是一个“行业公开标准，其被设计用来评测漏洞的严重程度，并帮助确定所需反应的紧急度和重要度”。CVSS系统三种类型的分数：基本分、时间分和环境分，CVSS针对每种类型分数计算提供标准的计算方法，最终获得一个总分，总分的区间会映射到漏洞风险定级，从而得到漏洞定级。CVSS是一个通用的漏洞评分系统，大部分工具及产品都是参考该标准，进而对这类产品的漏洞进行风险定级。

但是，基于现有技术公开的的漏洞评估及处理方法，存在如下问题：

1)、用通用的漏洞评级方法，其环境分主要有三个指标，机密性需求、完整性需求、可用性需求，但从这个三个指标难以反映更多环境特征；

2)、安全侧计算获得的漏洞评级，仍然需要经过研发部门的人工评审，导致流程管理投入较多人力；

3)、通用的漏洞评级方法，较难和现有的公司现有的业务种类、应用环境相结合，如果都按照同样的方法对待，则可能会导致不必要的业务影响，进而影响业务连续性。

发明内容

为解决现有技术中存在的问题，本公开实施例提供的一种漏洞处理方法、系统、电子设备、存储介质及程序产品，通过对应用及应用部署环境进行分类、分级，通过回归建模的函数模型对应用信息及漏洞信息进行训练，得到各漏洞的漏洞等级及其相应的处理时间与处理策略，提升了漏洞处理的时效性及准确性。

本公开的第一个方面提供了一种漏洞处理方法，包括：获取存在漏洞的应用所处的环境信息及该漏洞的基本信息；将环境信息及基本信息输入至第一函数模型中，该第一函数模型通过历史漏洞信息与应用指标参数进行训练获得；获取该第一函数模型的第一输出结果，该第一输出结果包括该漏洞所处的应用环境评分；将应用环境评分及该应用的安全监管信息输入至第二函数模型中，该第二函数模型通过历史应用环境评分与各应用的安全监管信息进行训练获得；获取该第二函数模型的第二输出结果，该第二输出结果包括该漏洞的漏洞等级；根据该漏洞等级确定各漏洞的处理时间。

进一步地，将该环境信息及基本信息输入至第一函数模型中，得到该第一函数模型的第一输出结果，包括：获取历史漏洞信息与应用指标参数，该历史漏洞信息包括多条漏洞信息；利用历史漏洞信息与应用指标参数进行训练得到第一函数模型；将该环境信息及该基本信息输入至该第一函数模型中，得到该第一输出结果，其中，该第一输出结果包括该漏洞的基本分、状态分及应用环境评分。

进一步地，应用指标参数包括标准环境参数、该应用的级别参数、业务类型参数、影响程度和范围参数及应用部署位置中的至少一种，所述标准环境参数包括保密性需求参数、完整性需求参数及可用性需求参数中的至少一种。