[发明专利]面向业务的漏洞参考价格计算方法、装置和设备

权利要求书

1.一种面向业务的漏洞参考价格计算方法，其特征在于，包括：

获取目标漏洞的基本属性指标、业务指标和市场指标，对所述目标漏洞的基本属性指标、业务指标和市场指标进行评价，得到所述目标漏洞的基本属性指标评价、业务指标评价和市场指标评价；所述基本属性指标评价包括访问路径评价、触发要求评价、权限需求评价、交互条件评价、保密性评价、完整性评价、可用性评价、影响范围评价、被利用成本评价、修复难度评价和时效因素评价；所述业务指标包括业务急需程度评价和业务契合程度评价；所述市场指标评价包括稀缺性评价和独占性评价；

获取所述目标漏洞的系统或设备类型、产品类型以及漏洞类型，对应出所述目标漏洞的价值区间；

根据所述访问路径评价、触发要求评价、权限需求评价、交互条件评价，对所述目标漏洞的被利用性进行评价，得到被利用性评价；以及根据所述保密性评价、完整性评价和可用性评价，对所述目标漏洞的影响程度进行评价，得到影响程度评价；以及根据所述影响范围评价、被利用成本评价和修复难度评价，对所述目标漏洞的环境因素进行评价，得到环境因素评价；

根据所述被利用性评价、影响程度评价、环境因素评价、业务急需程度评价、业务契合程度评价、时效因素评价、市场稀缺性评价和独占性评价，计算所述目标漏洞的价值评价；

基于所述价值区间对所述价值评价进行计算，得到所述目标漏洞的参考价格。

2.根据权利要求1所述的方法，其特征在于，所述访问路径类型评价，用于评价漏洞利用者通过访问路径利用漏洞的难易程度；

所述触发要求评价，用于评价漏洞利用者利用漏洞实施攻击的触发要求；

所述权限需求评价，用于评价漏洞利用者成功利用漏洞需要具备的权限级别；

所述交互条件评价，用于评价漏洞利用者成功利用漏洞是否需要用户参与；

所述保密性评价，用于评价漏洞利用者成功利用漏洞，对脆弱性组件所在软件组织或系统的信息资源的保密性的影响；

所述完整性评价，用于评价漏洞利用者成功利用漏洞，对脆弱性组件所在软件组织或系统的信息资源的完整性的影响；

所述可用性评价，用于评价漏洞利用者成功利用漏洞，对脆弱性组件的可用性产生的影响；

所述影响范围评价，用于评价存在漏洞的脆弱性组件在软/硬件系统中的应用范围以及与其他组件的关联性；

所述被利用成本评价，用于评价漏洞利用者成功利用漏洞所投入的人力成本和物力成本；

所述修复难度评价，用于评价对存在漏洞的脆弱性组件进行修复的困难程度；

所述时效因素评价，用于评价漏洞从被发现到当前时刻的时间间隔。

3.根据权利要求2所述的方法，其特征在于，所述根据所述访问路径评价、触发要求评价、权限需求评价、交互条件评价，对所述目标漏洞的被利用性进行评价，包括：

若所述访问路径类型评价越容易，触发要求评价越低，权限需求评价越低，交互条件评价越不需要，则所述被利用性评价越高。

4.根据权利要求2所述的方法，其特征在于，所述根据所述保密性评价、完整性评价和可用性评价，对所述目标漏洞的影响程度进行评价，包括：

若所述保密性评价、完整性评价和可用性评价越严重，则所述影响程度评价越高。

5.根据权利要求2所述的方法，其特征在于，所述根据所述影响范围评价、被利用成本评价和修复难度评价，对所述目标漏洞的环境因素进行评价，包括：

若所述影响范围评价越高，被利用成本评价越低，修复难度评价越高，则所述环境因素评价越高。

6.根据权利要求1所述的方法，其特征在于，在所述业务指标评价中，所述业务急需程度评价表示漏洞在业务场景中的需求急迫程度；所述业务契合程度评价表示漏洞对业务需求的满足程度；

在所述市场指标评价中，所述市场稀缺性评价表示漏洞在市场中的需求程度；所述独占性评价表示掌握该漏洞的主体范围。