[发明专利]一种漏洞挖掘管理方法、系统、设备及可读存储介质

说明书

本申请实施例公开了一种漏洞挖掘管理方法、系统、设备及可读存储介质，通过身份识别子系统对测试对象进行身份审核和能力认证；安全通道子系统与授权漏洞发掘的系统建立安全路径；实时监控子系统对所述测试对象的漏洞挖掘操作行为、业务日志和网络流量进行实时监控；漏洞信息安全保护子系统对所述测试对象提交的漏洞信息进行安全保护，并验证漏洞信息的有效性以及进行安全交付。从而可以防止未知攻击者的非法或不合规的系统攻击行为，并能防止真实漏洞信息的泄漏扩散和非法买卖，保障系统网络安全。

技术领域

本申请实施例涉及信息安全技术领域，具体涉及一种漏洞挖掘管理方法、系统、设备及可读存储介质。

背景技术

漏洞是由于设计不周导致的系统或软件存在缺陷，从而使攻击者在非授权情况下访问或破坏系统。漏洞挖掘是对未知漏洞的探索，尽可能找到系统中潜在的漏洞。漏洞挖掘管理目的在于规范漏洞挖掘流程、防止漏洞信息泄露，从而保障系统安全性。

现在漏洞挖掘管理比较粗放，存在多种不合规、不合法的问题，如非授权进行挖掘漏洞、漏洞信息肆意公开或黑市交易，甚至有些攻击者直接利用挖掘的漏洞进行系统攻击等。

为促进漏洞挖掘的健康发展，保障系统网络安全，迫切需要一种合规合法且安全的漏洞挖掘管理机制。

发明内容

为此，本申请实施例提供一种漏洞挖掘管理方法、系统、设备及可读存储介质，一方面能充分接洽有系统漏洞挖掘需求的机构，整合漏洞发掘的业务要求，获得漏洞挖掘的合法授权，并能充分组织具有系统漏洞挖掘技术能力的白帽子黑客，提供合法发挥其技术能力的渠道平台，防止不合法的非授权漏洞挖掘和不合规的非正规渠道漏洞发掘；另一方面，严格认证白帽子黑客的身份信息，实时监控其漏洞挖掘的操作行为，并对挖掘出的漏洞信息进行真实性验证和机密性保护，防止未知攻击者的非法或不合规的系统攻击行为，并能防止真实漏洞信息的泄漏扩散和非法买卖，保障系统网络安全。

为了实现上述目的，本申请实施例提供如下技术方案：

根据本申请实施例的第一方面，提供了一种漏洞挖掘管理方法，所述方法应用于漏洞挖掘管理系统平台，所述方法包括：

身份识别子系统对测试对象进行身份审核和能力认证；

安全通道子系统与授权漏洞发掘的系统建立安全路径；

实时监控子系统对所述测试对象的漏洞挖掘操作行为、业务日志和网络流量进行实时监控；

漏洞信息安全保护子系统对所述测试对象提交的漏洞信息进行安全保护，并验证漏洞信息的有效性以及进行安全交付。

可选地，所述漏洞信息安全保护子系统对所述测试对象提交的漏洞信息进行安全保护，包括：

通过系统用户角色和权限设置，对漏洞信息查看进行访问控制，以防止非授权访问；

利用密码技术对漏洞信息进行数据加密，以防止漏洞信息的明文泄露。

可选地，所述实时监控子系统对所述测试对象的漏洞挖掘操作行为、业务日志和网络流量进行实时监控，还包括：

对测试对象的漏洞挖掘操作行为执行状态进行实时监控，通过对执行状态的监测分析输出测试分析报告，所述测试分析报告包括所配置挖掘方法的版本信息、测试对象的文件位置及文件名。

根据本申请实施例的第二方面，提供了一种漏洞挖掘管理系统，所述系统包括：

身份识别子系统，用于对测试对象进行身份审核和能力认证；

安全通道子系统，用于与授权漏洞发掘的系统建立安全路径；

实时监控子系统，用于对所述测试对象的漏洞挖掘操作行为、业务日志和网络流量进行实时监控；