[发明专利]信息安全漏洞等级确定方法、系统及设备

说明书

本发明涉及一种信息安全漏洞等级确定方法、系统及设备，方法包括：确定漏洞的基础特征得分，基础特征得分包括危害性的得分、重复性的得分、可利用性的得分、受影响度的得分和发现系数的得分；根据危害性的得分、重复性的得分、可利用性的得分、受影响度的得分和发现系数的得分，确定漏洞的评分；基于预先构建的评分与等级的关联关系，根据漏洞的评分，确定漏洞的等级，从而可以实现快速地，自动化地完成对漏洞的等级确定，进而快速地完成根据漏洞等级进行自动化修补，保证信息安全。

技术领域

本发明属于信息安全技术领域，具体涉及一种信息安全漏洞等级确定方法、系统及设备。

背景技术

信息安全漏洞是在信息系统的整个生命周期过程中，有意或无意产生的缺陷，这些缺陷以不同形式存在信息系统的各个层面和环节中，一旦被恶意利用，会对信息系统的安全造成损害，导致信息泄露或影响信息系统正常运行。随着信息安全漏洞的日益增加，攻击行为的日趋复杂，使得从漏洞发布到攻击代码出现的时间间隔越来越短，采取防御措施的时间要求也越来越高。

而不同的漏洞对系统的危害程度也有一定的差别，因此为了提高对漏洞的快速修补，则确定漏洞的等级则变得愈发重要，对漏洞进行评级，可以定性的确定漏洞所造成的安全威胁和影响程度，可以帮助用户确定安全缺陷在系统中的优先级，及时修补最重要的漏洞，从而保障系统的安全性。

因此，如何快速且自动化的完成对漏洞等级的确定是本领域的技术人员亟需解决的技术问题。

发明内容

为了至少解决现有技术存在的上述问题，本发明提供了一种信息安全漏洞等级确定方法、系统及设备，以实现快速且自动化的完成对漏洞等级的确定。

本发明提供的技术方案如下：

一方面，一种信息安全漏洞等级确定方法，包括：

确定漏洞的基础特征得分，所述基础特征得分包括危害性的得分、重复性的得分、可利用性的得分、受影响度的得分和发现系数的得分；

根据所述危害性的得分、重复性的得分、可利用性的得分、受影响度的得分和发现系数的得分，确定所述漏洞的评分；

基于预先构建的评分与等级的关联关系，根据所述漏洞的评分，确定所述漏洞的等级。

可选的，上述所述危害性包括机密属性、完整属性和可用属性；

对应的，确定漏洞危害性的得分，包括：

分别确定所述漏洞对所述机密属性、所述完整属性和所述可用属性的影响级别；

根据单一所述影响级别或所述影响级别的组合，确定漏洞的危害性得分。

可选的，上述所述确定漏洞重复性的得分，包括：

获取漏洞的重现指标和时间周期指标；

根据所述重现指标和所述时间周期指标，确定所述漏洞重复性的得分。

可选的，上述所述确定漏洞可利用性的得分，包括：

检测所述漏洞被利用的复杂程度指标；

根据所述复杂程度指标，确定漏洞可利用性的得分。

可选的，上述所述确定漏洞受影响度的得分，包括：

识别所述漏洞的操作权限指标；

根据所述操作权限指标，确定漏洞受影响度的得分。

可选的，上述所述确定漏洞发现系数的得分，包括：

捕捉所述漏洞被发现的难易程度指标；

根据所述难易程度指标，确定漏洞发现系数的得分。