[发明专利]CVE漏洞安全数据库的生成方法、装置、介质及电子设备

说明书

本发明提供了一种CVE漏洞安全数据库的生成方法、装置、介质及电子设备。CVE漏洞安全数据库的生成方法包括：确定目标软件仓库中的各个组件；从外部数据平台查找各个组件的已知CVE漏洞；获取已知CVE漏洞对应的参考实现；应用参考实现，保存应用成功的参考实现的相关记录至CVE漏洞安全数据库。该方法能够应用于不同类型的产品中进行CVE漏洞信息的实时监测以便于进行管理，应用的灵活度高，且该方法的自动化程度高、得到的监测结果准确度高。

技术领域

本发明涉及数据检测技术领域，尤其涉及一种CVE漏洞安全数据库的生成方法、装置、介质及电子设备。

背景技术

CVE是漏洞披露(Common Vulnerabilities and Exposures)的英文缩写，列出了已公开披露的各种计算机安全缺陷。人们提到CVE，指的都是已分配漏洞标识的安全缺陷。

CVE所披露的漏洞条目非常简短，条目中既没有技术数据，也不包含与风险、影响和修复有关的信息。这些详细信息会收录在其他数据库中，包括美国国家漏洞数据库(NVD)、美国计算机紧急事件响应小组协调中心(CERT/CC)的漏洞注释数据库以及由供应商和其他组织维护的各种列表。用户通过漏洞标识跨上述不同系统来简便地识别同一个安全缺陷。

对于一个软件平台，通常需要对软件平台所涉及到的组件，被集成到版本中的组件有多少漏洞，哪些已经修复，修复的来源是什么这些信息进行管理。现有技术中，虽然Linux社区，RedHat,Suse，Oracle等Linux发行版支持在yum(一种软件包管理器)上添加安全插件，通过安全插件统计所有安全相关的升级和修复。但是，这是针对包管理装置进行的安全漏洞的修复统计，统计是依据每个组件规范化的修改记录来进行登记的，并不能主动发现有哪些组件，有哪些漏洞，人工干预程度较高，自动化程度低，容易出现纰漏；并且，需要依赖包管理装置存储信息才能实现，不适用于没有使用包管理装置的平台，应用的局限性大。因此，需要提供一种新的CVE漏洞的监测方法以解决上述问题。

发明内容

本发明的目的在于提供一种CVE漏洞安全数据库的生成方法、装置、介质及电子设备，用以改善现有技术中CVE漏洞信息管理困难的问题。

第一方面，本发明所提供的CVE漏洞安全数据库的生成方法包括：确定目标软件仓库中的各个组件；从外部数据平台查找所述各个组件的已知CVE漏洞；获取所述已知CVE漏洞对应的参考实现；应用所述参考实现，保存应用成功的参考实现的相关记录至CVE漏洞安全数据库。

本发明提供的方法的有益效果在于：可以应用于不同类型的产品中进行CVE漏洞信息的实时监测以便于进行管理，该方法自动化程度高、得到的结果准确度高。得到的监测结果既可以在产品内部集成发布安全数据库，也可以不集成在产品内部而放置在外部，应用的灵活度高。

一种可能的实施例中，所述确定目标软件仓库中的各个组件，包括：

获取所述目标软件仓库中的组件的对应信息，所述组件的对应信息包括：提交标识、组件版本号、修订版号、组件名称；

根据所述目标软件仓库中的组件的组件名称、组件版本号、修订版号在外部数据平台中查找以匹配所述外部数据平台中对应的组件名称和组件版本号、修订版号；

根据在所述外部数据平台匹配到的组件名称和组件版本号、修订版号获取外部组件数据；

比较所述外部组件数据的提交标识、组件名称、组件版本号、修订版号是否和所述目标软件仓库中的组件的提交标识、组件名称、组件版本号、修订版号一致，以确定所述目标软件仓库中的各个组件。

另一种可能的实施例中，所述从外部数据平台查找所述各个组件的已知CVE漏洞，包括：

在所述各个组件中查找提交次序早于等于当前提交的最近记录，得到组件版本的对应信息，所述组件版本的对应信息包括组件名称、版本号和修订版号；