[发明专利]网站漏洞在线评估方法及装置

说明书

技术领域

本发明涉及互联网技术，具体涉及一种网站漏洞在线评估方法及装置。

背景技术

随着互联网技术应用的越来越广泛，人们很多的日常工作和娱乐都在网络上进行，网络已跟人们的生活息息相关。因此，网站的安全也越来越被人们所重视。然而，网络存在着各种各样的安全隐患，比如：COOKIE中毒、应用程序缓冲溢出、跨站脚本攻击、各种安全漏洞等等。

漏洞发现是攻击者与防护者双方对抗的关键过程，防护者如果不能早于攻击者发现可被利用的漏洞，攻击者就有可能利用漏洞发起攻击。越早发现并修复漏洞，信息安全事件发生的可能性就越小。

为了防患于未然，需要对网站进行漏洞检测，在漏洞被利用之前发现漏洞并修补。目前在检测到漏洞时，通常对该漏洞的风险等级进行评估，并根据不同的风险等级制定修复方案。一般采用漏洞库的测评标准进行测评，但是该测评标准并未考虑到漏洞网站的访问流量和与该漏洞相关联的业务影响等因素，由此导致采用上述漏洞库的测评标准评定的漏洞风险等级并不符合实际漏洞对网站的危害，从而导致后续根据该风险等级制定的修复方案不够合理，不能有效起到防范作用。

发明内容

针对现有技术中的缺陷，本发明提供了一种网站漏洞在线风险评估方法及装置，该方法能够获取符合实际漏洞对网站危害的风险等级，起到了有效的防范作用。

第一方面，本发明提供一种网站漏洞在线评估装置，包括：

接收模块，用于接收通过漏洞检测网页发送的网站漏洞信息，所述网站漏洞信息包括：存在漏洞的网站的网址、漏洞测试参数和漏洞测试结果；

第一获取模块，用于根据所述网站漏洞信息，获取所述漏洞的分类标识和预设时间段内所述网站的访问流量；

确定模块，用于根据所述漏洞的分类标识和所述网站的访问流量，确定所述漏洞的风险评估等级。

可选的，所述装置还包括：

发送模块，用于向所述网站发送所述网站存在漏洞的告警信息，所述告警信息包括：所述风险评估等级，

和/或，

所述告警信息包括下述的一项或多项：存在漏洞的网站的网址、所述漏洞测试参数、所述漏洞测试结果。

可选的，所述装置还包括：

第二获取模块，用于在所述发送模块发送告警信息之前，获取所述网站的管理者的联系信息；

所述发送模块，具体用于：

根据所述联系信息，采用与所述联系信息相匹配的方式发送所述告警信息。

可选的，所述装置还包括：

特征信息提取模块，用于在所述确定模块确定所述漏洞的风险评估等级之前，根据所述网址和所述漏洞测试参数生成漏洞测试链接，并根据所述漏洞测试链接进行请求，获取所述网站的响应消息，从所述响应消息中提取漏洞的特征信息；

判断模块，用于判断所述漏洞的特征信息与所述漏洞测试结果是否一致；

所述确定模块，具体用于：

在所述判断模块判断所述漏洞的特征信息与所述漏洞测试结果一致时，根据所述网站的流量和所述漏洞的分类标识，确定所述漏洞的风险评估等级。

可选的，所述确定模块，还用于：

根据所述存在漏洞的网站在预设时间段内的访问流量和该漏洞的关联业务确定该漏洞的风险权重值；

根据所述漏洞的分类标识确定漏洞的参考风险值；

根据所述漏洞的风险权重值和所述漏洞的参考风险值确定所述漏洞的风险评估等级。

第二方面，本发明还提供了一种漏洞在线评估方法，包括：

接收通过漏洞检测网页发送的漏洞信息，所述漏洞信息包括：存在漏洞的网站的网址、漏洞测试参数和漏洞测试结果；

根据所述漏洞信息，获取所述漏洞的分类标识和预设时间段内所述网站的访问流量；

根据所述漏洞的分类标识和所述网站的访问流量，确定所述漏洞的风险评估等级。

可选的，所述方法还包括：

向所述网站发送所述网站存在漏洞的告警信息，所述告警信息包括：所述风险评估等级，

和/或，

所述告警信息包括下述的一项或多项：存在漏洞的网站的网址、所述漏洞测试参数、所述漏洞测试结果。

可选的，向所述网站发送所述网站存在漏洞的告警信息之前，所述方法还包括：

获取所述网站的管理者的联系信息；

所述向所述网站发送所述网站存在漏洞的告警信息，包括：

根据所述联系信息，采用与所述联系信息相匹配的方式发送所述告警信息。