專利名稱：一種基于資產的風險掃描方法、裝置及系統(tǒng)的制作方法
技術領域：
本發(fā)明涉及網絡安全領域，尤其涉及一種基于資產的風險掃描方法、裝置及系統(tǒng)。
背景技術：
目前，隨著互聯網技術的不斷發(fā)展以及用戶對計算機程序依賴程度的不斷加深，企業(yè)等大型系統(tǒng)中的計算機等物理資產設備也日益龐大起來，網絡系統(tǒng)安全問題越來越得到用戶的重視，在此基礎上，作為計算機等物理資產設備安全的最后屏障的資產系統(tǒng)安全、資產系統(tǒng)漏洞也越來越受到人們的關注，進而，作為系統(tǒng)安全檢查工具的掃描器等風險掃描設備也越加受到用戶的青睞。但是，申請人發(fā)現，由于現有技術中的掃描器等風險掃描設備大部分是作為系統(tǒng)安全檢查工具使用的，只有任務的概念，只能夠以任務為中心分析系統(tǒng)中的資產的風險情況，很難從宏觀角度去審核系統(tǒng)中所有計算機等物理資產設備的當前系統(tǒng)風險情況和歷史的風險變化趨勢，因而導致掃描器等風險掃描設備的易用性并不佳、用戶的使用體驗并不聞。

發(fā)明內容
本發(fā)明實施例提供了一種基于資產的風險掃描方法、裝置及系統(tǒng)，用以解決現有技術中存在的以任務為中心進行風險掃描時、無法從宏觀角度確定系統(tǒng)中所有資產的當前風險情況和歷史風險變化趨勢的問題?！N基于資產的風險掃描方法，所述方法包括:風險掃描裝置確定系統(tǒng)中的資產以及各資產的資產屬性信息，并按照以確定的任一資產屬性信息的 各不同屬性值為節(jié)點的資產樹的形式，將系統(tǒng)中的各資產進行分類展示，其中，所述資產為系統(tǒng)中的物理設備資產或虛擬設備資產；風險掃描裝置在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產進行風險掃描，得到該資產的漏洞信息以及配置風險值，并根據得到的該資產的漏洞信息以及配置信息，確定該資產的資產風險值，以及，將確定的該資產的資產風險值返回給對應的客戶端；或者，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產節(jié)點進行風險掃描，得到該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，并根據得到的該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，確定該資產節(jié)點的資產風險值，以及，將確定的該資產節(jié)點的資產風險值返回給對應的客戶端?！N基于資產的風險掃描裝置,包括:資產確定模塊，用于確定系統(tǒng)中的資產以及各資產的資產屬性信息，其中，所述資產為系統(tǒng)中的物理設備資產或虛擬設備資產；資產展示模塊，用于按照以確定的任一資產屬性信息的各不同屬性值為節(jié)點的資產樹的形式，將系統(tǒng)中的各資產進行分類展示；風險掃描模塊，用于在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產進行風險掃描，得到該資產的漏洞信息以及配置信息，或者，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產節(jié)點進行風險掃描，得到該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息；風險分析模塊，用于針對任一資產，根據得到的該資產的漏洞信息以及配置信息，確定該資產的資產風險值，，并將確定的該資產的資產風險值返回給對應的客戶端，或者，針對任一資產節(jié)點，根據得到的該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，確定該資產節(jié)點的資產風險值，并將確定的該資產節(jié)點的資產風險值返回給對應的客戶端。一種基于資產的風險掃描系統(tǒng)，包括至少一個客戶端、至少一個資產以及至少一個基于資產的風險掃描裝置:所述風險掃描裝置，用于確定系統(tǒng)中的資產以及各資產的資產屬性信息，并按照以確定的任一資產屬性信息的各不同屬性值為節(jié)點的資產樹的形式，將系統(tǒng)中的各資產進行分類展示，其中，所述資產為系統(tǒng)中的物理設備資產或虛擬設備資產，以及，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產進行風險掃描，得到該資產的漏洞信息以及配置信息，并根據得到的該資產的漏洞信息以及配置信息，確定該資產的資產風險值，以及，將確定的該資產的資產風險值返回給對應的客戶端；或者，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產節(jié)點進行風險掃描，得到該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，并根據得到的該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，確定該資產節(jié)點的資產風險值，以及，將確定的該資產節(jié)點的資產風險值返回給對應的客戶端。本發(fā)明有益效果如下:本發(fā)明實施例提供了一種基于資產的風險掃描方法、裝置及系統(tǒng)，所述方法包括:風險掃描裝置確定系統(tǒng)中的資產以及各資產的資產屬性信息，并按照以確定的任一資產屬性信息的各不同屬性值為節(jié)點的資產樹的形式，將各資產進行分類展示，其中，所述資產為系統(tǒng)中的物理設備資產或虛擬設備資產，以及，根據來自客戶端的掃描指令，對資產樹中設定位置處的資產或資產節(jié)點進行風險掃描，得到該資產或該資產節(jié)點下的各資產的漏洞信息和配置信息，并根據得到的該資產或該資產節(jié)點下的各資產的漏洞信息和配置信息，確定該資產或該資產節(jié)點的資產風險值，并將確定的該資產或該資產節(jié)點的資產風險值返回給對應的客戶端。通過本發(fā)明所述技術方案，能夠實現以資產為中心的風險掃描和風險分析，解決了現有技術中存在的無法從宏觀角度確定系統(tǒng)中所有資產的當前風險情況和歷史風險變化趨勢的問題，提高了風險掃描產品的易用性。


圖1所示為本發(fā)明實施例一中所述基于資產的風險掃描方法的流程示意圖；圖2所示為本發(fā)明實施例二中所述基于資產的風險掃描裝置的結構示意圖；圖3所示為本發(fā)明實施例三中所述基于資產的風險掃描系統(tǒng)的結構示意圖。
具體實施例方式下面結合說明書附圖對本發(fā)明實施例作進一步說明，但本發(fā)明不局限于下面的實施例。實施例一:如圖1所示，其為本發(fā)明實施例一中所述基于資產的風險掃描方法的流程示意圖，所述風險掃描方法包括以下步驟:步驟101:風險掃描裝置確定系統(tǒng)中的資產以及各資產的資產屬性信息，其中，所述資產為系統(tǒng)中的物理設備資產或虛擬設備資產。具體地，所述資產可以為系統(tǒng)中的以IP (網絡協(xié)議)地址為單位的服務器等主機設備，本發(fā)明實施例對此不作任何限定。具體地，在本步驟101中，所述風險掃描裝置可以通過以下方式來確定系統(tǒng)中的
資產:方式一:所述風險掃描裝置接收客戶端導入的具備特定格式的IP地址列表文件，并確定與所述IP地址列表文件相對應的資產，以及，將確定的與所述IP地址列表文件相對應的資產作為系統(tǒng)中的資產。方式二:所述風險掃描裝置通過 ICMP (Internet Control Message Protocol,互聯網控制報文協(xié)議)PING (Packet Internet Grope,因特網包探索器)、UDP (User DatagramProtocol,用戶數據報協(xié)議)PING 或者 TCP (TransmissionControI Protocol,傳輸控制協(xié)議)PING的方式向在設定資產范圍內的目標資產發(fā)送數據報文，并根據目標資產返回的數據報文確定該目標資產是否存活，以及，將確定的存活資產作為系統(tǒng)中的資產。具體地，所述風險掃描裝置在采用ICMP PING的方式來確定設定資產范圍內的存活資產時，可以利用ICMP類型碼中的Echo Request和Echo Reply來判斷,具體地,所述風險掃描裝置可以向目標主機發(fā)送Echo Request的ICMP數據報文，若接收到目標主機返回的Echo Reply的ICMP數據報文，則說明該目標主機處于存活狀態(tài)；進一步地，所述風險掃描裝置在采用TCP PING的方式來確定設定資產范圍內的存活資產時，可以向目標主機的指定端口發(fā)送TCP ACK數據報文，并根據目標主機返回的TCPRST或ICMP Echo Reply數據報文來確定該目標主機是否存活，具體地，當該目標主機返回的為ICMP Echo R印Iy數據報文時，則說明該目標主機處于存活狀態(tài)；進一步地，所述風險掃描裝置在采用UDP PING的方式來確定設定資產范圍內的存活資產時，可以發(fā)送一個UDP數據包到目標主機的指定端口，若沒有任何程序在這個端口接收數據，目標主機的TCP/IP協(xié)議棧就會默認回復一個“端口不可達”的ICMP報文信息，以此來確定該目標主機的存活；特殊地，若該指定端口有監(jiān)聽、從而導致該目標主機并沒有任何ICMP報文信息返回，則所述風險掃描裝置需要向該目標主機的其他指定端口重新發(fā)送UDP數據包。進一步地，所述風險掃描裝置在采用上述方式確定系統(tǒng)中的各資產后，可以采用自動掃描的方式或接收客戶端發(fā)送的補充登記信息或修改信息的方式來確定各資產的資產屬性信息；具體地，所述資產屬性信息至少包括以下信息中的一種或多種:資產風險值(默認為安全)、資產的操作系統(tǒng)類型、資產所有者信息以及資產所在部門信息等。進一步地，所述資產屬性信息還可以包括資產的標記名稱、資產登錄用戶名和密碼、資產管理員的名稱和郵箱地址、資產的實際用途以及根據資產的安全重要性所設定的資產的安全權重信息等，本發(fā)明實施例對此不作任何限定。
需要說明的是，對于系統(tǒng)中的各資產來說，對于同一資產屬性信息，各資產可能具有相同或不同的資產屬性信息屬性值，本發(fā)明實施例對此不作任何限定。例如，對于資產的操作系統(tǒng)類型這一資產屬性信息來說，系統(tǒng)中的資產A的操作系統(tǒng)類型可能為A，系統(tǒng)中的資產B的操作系統(tǒng)類型可能為B，系統(tǒng)中的資產C的操作系統(tǒng)類型可能為C，即系統(tǒng)中資產A、資產B以及資產C三者的同屬于操作系統(tǒng)類型這一資產屬性信息的屬性值各不相同。進一步地，所述風險掃描裝置在確定系統(tǒng)中的各資產以及各資產的資產屬性信息之后，可以將確定的各資產以及各資產的資產屬性信息以資產數據表(host表)的形式進行存儲，并在該資產數據表中標明各資產的ID (身份標識)字段以及任一資產的各資產屬性信息對應的字段等內容。步驟102:所述風險掃描裝置按照以確定的任一資產屬性信息的各不同屬性值為節(jié)點的資產樹的形式，將系統(tǒng)中的各資產進行分類展示。具體地，在本步驟102中，所述風險掃描裝置可以根據客戶端當前所需要的資產分類情況和分類標準建立不同的資產節(jié)點展示方式，例如，若客戶端需要按照資產的操作系統(tǒng)類型這一資產屬性信息對各資產進行分類展示時，則可以根據確定的各資產中同屬于資產的操作系統(tǒng)類型這一資產屬性信息的不同屬性值(例如，操作系統(tǒng)A、操作系統(tǒng)B、操作系統(tǒng)C等)，對各資產進行分類，并按照以該資產屬性信息的各不同屬性值為資產節(jié)點的資產樹的形式，將各資產進行分類展示。具體地，所得到的資產樹的根節(jié)點可以為資產的操作系統(tǒng)類型這一資產屬性信息，根節(jié)點下的各子節(jié)點可以為該資產屬性信息的不同屬性值(該資產屬性信息的不同屬性值可以從資產數據表中獲得)，而任一子節(jié)點下的各葉子節(jié)點則為同屬于該子節(jié)點所對應的資產屬性信息屬性值的各個資產。進一步地，所述風險掃描裝置在進行資產分類展示時，可以只展示以資產屬性信息的不同屬性值為資產節(jié)點的資產樹框架，本發(fā)明實施例對此不作任何限定。進一步地，所述風險掃描裝置還可以按照資產所有者信息、資產所在部門信息以及資產風險值等資產屬性信息對各資產進行分類展示，本發(fā)明實施例對此不作任何限定。步驟103:所述風險掃描裝置在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產進行風險掃描，得到該資產的漏洞信息以及配置信息，并根據得到的該資產的漏洞信息以及配置信息，確定該資產的資產風險值，以及，將確定的該資產的資產風險值返回給對應的客戶端；或者，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產節(jié)點進行風險掃描，得到該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，并根據得到的該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，確定該資產節(jié)點的資產風險值，以及，將確定的該資產節(jié)點的資產風險值返回給對應的客戶端。具體地，在本步驟103中，所述風險掃描裝置可以根據客戶端的當前掃描需求，對資產樹中設定位置處的資產或資產節(jié)點進行風險掃描，進行風險掃描所需的資產登錄用戶名和密碼以及掃描模板的類型等信息可以從保存的資產數據表中獲取；再有，所述風險掃描裝置在得到對應的資產(或資產節(jié)點下的各資產)的漏洞信息或配置信息之后，可以通過保存的資產數據表中的資產管理員的名稱和郵箱地址，將得到的該資產(或該資產節(jié)點下的各資產)的漏洞信息或配置信息發(fā)送給對應的客戶端或資產管理員，由相應的資產管理員對發(fā)現的該資產(或該資產節(jié)點下的各資產)的漏洞進行修復或該資產(或該資產節(jié)點下的各資產)的配置信息進行調整。具體地，在本步驟103中，所述風險掃描裝置根據得到的設定位置處的資產的漏洞信息以及配置信息，確定該資產的資產風險值，可以包括:分別根據得到的該資產的漏洞信息以及配置信息，確定該資產的漏洞風險值和配置風險值，并根據該資產的安全權重系數，對確定的該資產的漏洞風險值、配置風險值進行加權計算，并將計算得到的加權結果作為該資產的資產風險值。需要說明的是，各資產的安全權重系數需要根據實際情況進行設定，本發(fā)明實施例對此不作任何限定。進一步地，針對任一資產，根據得到的該資產的漏洞信息，確定該資產的漏洞風險值，可以包括:確定該資產的屬于不同危險等級的漏洞數量，并根據確定的該資產的各危險等級的漏洞數量以及各危險等級漏洞的安全權重系數，對該資產的各危險等級的漏洞數量進行加權運算，得到該資產的漏洞加權值，并根據該漏洞加權值所在數值區(qū)間，確定該資產的漏洞風險值；或者，將將漏洞加權值作為該資產的漏洞風險值。其中，各危險等級漏洞的安全權重系數可以根據實際情況進行設定，本發(fā)明實施例對此不作任何限定。例如，假定將該資產的各漏洞的危險等級劃分為高、中、低三種，且確定的該資產的高危漏洞的數量為L、中危漏洞的數量為M、低危漏洞的數量為N (所述L、M、N均為正整數)，同時，假定高危漏洞的安全權重系數為0.6、中危漏洞的安全權重系數為0.3、低危漏洞的安全權重系數為0.1，則所得到的該資產的漏洞加權值F可以表示為:F=0.6L+0.3M+0.1N。進一步地，在得到該資產的漏洞加權值F后，可以根據該漏洞加權值F所在數值區(qū)間，按照設定的規(guī)則，確定該資產的漏洞風險值。例如，若該漏洞加權值F大于設定的第一閾值，可認為該資產的漏洞風險值為高，若該漏洞加權值F小于設定的第一閾值且大于設定的第二閾值，可認為該資產的漏洞風險值為中，若該漏洞加權值小于設定的第二閾值，可認為該資產的漏洞風險值為低；其中，所述第一閾值大于第二閾值，且所述第一閾值和第二閾值可以根據實際情況進行調整，本發(fā)明實施例對此不作任何限定。進一步地，由于配置風險是由資產的系統(tǒng)配置問題所導致的風險，以資產的密碼配置為例，若用戶將資產的密碼長度配置過短或過簡單，則可認為該資產存在較高的配置風險，即該資產對應的配置風險值較高；因此，在本發(fā)明各實施例中，根據得到的該資產的配置信息，確定該資產的配置風險值，可以為:根據得到的該資產的配置信息的復雜程度，確定該配置信息對應的安全等級，并根據該安全等級的高低或該安全等級對應的安全權重系數的高低，確定該資產的配置風險值。其中，各安全等級對應的安全權重系數可以根據實際情況進行設定，本發(fā)明實施例對此不作任何限定。進一步地，所述風險掃描裝置根據得到的該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，確定該資產節(jié)點的資產風險值，可以包括:針對該資產節(jié)點下的任一資產，分別根據得到的該資產的漏洞信息以及配置信息，確定該資產的漏洞風險值和配置風險值，并根據該資產的安全權重系數，對確定的該資產的漏洞風險值、配置風險值進行加權計算，得到該資產的資產風險值，以及，根據確定的該資產節(jié)點下的各資產的資產風險值以及各資產的安全權重系數，對該資產節(jié)點下的各資產的資產風險值進行加權運算，得到該資產節(jié)點的資產風險值。需要說明的是，在本發(fā)明各實施例中，還可以根據確定的任一資產(或任一資產節(jié)點下的各資產)的漏洞信息或配置信息，采用其他方式確定該資產或該資產節(jié)點的風險值，本發(fā)明實施例對此不作任何限定。另外需要說明的是，在本發(fā)明實施例中，所述資產的漏洞風險值、配置風險值以及資產風險值可以為一具體數值或者用于表示風險等級高低的范圍數值，本發(fā)明實施例對此不作任何限定。再有，需要說明的是，所述風險掃描裝置在得到本次風險掃描所對應的單個資產或資產節(jié)點的當前漏洞信息、當前配置風險值以及當前資產風險值等信息之后，可以將得到的該資產或該資產節(jié)點的當前漏洞信息、當前配置風險值以及當前資產風險值以數據表的形式進行緩沖存儲，以便后續(xù)根據該資產或該資產節(jié)點的當前漏洞信息、當前配置風險值以及當前資產風險值對該資產進行風險分析操作時，提高資產分析頁面的性能，避免頁面輸出緩慢的問題。進一步地，所述風險掃描裝置在得到本次風險掃描所對應的單個資產或資產節(jié)點的當前資產風險值等信息之后，可以將得到的該資產或該資產節(jié)點的當前資產風險值標示在資產樹上，以便客戶端查看。進一步地，在執(zhí)行完上述步驟之后，所述方法還可以包括:所述風險掃描裝置根據接收到的來自客戶端的分析指令，針對資產樹中的設定位置處的資產，統(tǒng)計設定時長內該資產的漏洞信息、配置風險值以及資產風險值，并分別根據統(tǒng)計的設定時長內該資產的漏洞信息、配置風險值以及資產風險值，確定該資產在所述設定時長內的漏洞變化趨勢、配置風險變化趨勢以及資產風險變化趨勢；或者，針對資產樹中的設定位置處的資產節(jié)點，統(tǒng)計設定時長內該資產節(jié)點下的各資產的漏洞信息、配置風險值，并分別根據統(tǒng)計的設定時長內該資產節(jié)點下的各資產的漏洞信息以及配置風險值，確定該資產節(jié)點在所述設定時長內的漏洞變化趨勢以及配置風險變化趨勢，以及，統(tǒng)計設定時長內該資產節(jié)點的資產風險值，并根據統(tǒng)計的設定時長內的該資產節(jié)點的資產風險值，確定該資產節(jié)點在所述設定時長內的資產風險變化趨勢。其中，所述設定時長可以根據實際情況進行設定，本發(fā)明實施例對此不作任何限定。進一步地，所述風險掃描裝置在得到任一資產或任一資產節(jié)點在設定時長內的漏洞變化趨勢、配置風險變化趨勢以及資產風險變化趨勢之后，還可以以數據表的形式將其存儲以及將其發(fā)送給對應的客戶端，本發(fā)明實施例對此不作任何限定。進一步地，在本發(fā)明各實施例中，在確定任一資產或任一資產節(jié)點下的各資產的漏洞信息和配置風險值之后，所述方法還可以包括:根據接收到的來自客戶端的修復指令，根據確定的各資產的漏洞信息和配置風險值，對各資產的漏洞進行修復，以及對大于設定閾值的各資產的配置風險值進行下調處理(即對不合規(guī)的配置進行調整)，并根據接收到的來自客戶端的再次掃描指令，對已進行漏洞修復和配置風險值下調處理的各資產重新進行風險掃描，即對該資產或該資產節(jié)點重新執(zhí)行步驟103的操作，從而形成以資產為核心的風險掃描的閉環(huán)操作系統(tǒng)。本發(fā)明實施例一提供了一種基于資產的風險掃描方法,所述方法包括:風險掃描裝置確定系統(tǒng)中的資產以及各資產的資產屬性信息，并按照以確定的任一資產屬性信息的各不同屬性值為節(jié)點的資產樹的形式，將各資產進行分類展示，其中，所述資產為系統(tǒng)中的物理設備資產或虛擬設備資產，以及，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產進行風險掃描，得到該資產的漏洞信息以及配置信息，并根據得到的該資產的漏洞信息以及配置信息，確定該資產的資產風險值，以及將確定的該資產的資產風險值返回給對應的客戶端；或者，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產節(jié)點進行風險掃描，得到該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，并根據得到的該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，確定該資產節(jié)點的資產風險值，以及將確定的該資產節(jié)點的資產風險值返回給對應的客戶端。通過本發(fā)明實施例一所述技術方案，所述風險掃描裝置能夠實現以資產為中心的風險掃描和風險分析，解決了現有技術中存在的以任務為中心對資產進行掃描時所造成的無法從宏觀角度確定系統(tǒng)中所有資產的當前風險情況和歷史風險變化趨勢的問題，很大程度上提高了風險掃描裝置的易用性；同時，在本發(fā)明實施例一所述方案中，所述風險掃描裝置可以根據多種資產屬性信息中的任一資產屬性信息，對各資產進行分類，并動態(tài)生成以該資產屬性信息的各不同屬性值為節(jié)點的資產樹，并在對資產進行風險掃描后，能夠對資產從不同的緯度進行分析，從而解決了不同類型的用戶使用風險掃描產品的側重點不同的問題，更好地滿足了用戶的使用需求，提高了用戶的使用體驗。實施例二:如圖2所示，其為本發(fā)明實施例二中所述基于資產的風險掃描裝置的結構示意圖，所述裝置包括資產確定模塊11、資產展示模塊12、風險掃描模塊13以及風險分析模塊14，其中:所述資產確定模塊11用于確定系統(tǒng)中的資產以及各資產的資產屬性信息；其中，所述資產為系統(tǒng)中的物理設備資產或虛擬設備資產，如可以為系統(tǒng)中的服務器等主機設備，本發(fā)明實施例對此不作任何限定；具體地，所述資產確定模塊11用于接收客戶端導入的具備特定格式的網絡協(xié)議IP地址列表文件，并將確定的與客戶端導入的具備特定格式的網絡協(xié)議IP地址列表文件相對應的資產作為系統(tǒng)中的資產，或者，通過ICMP-PING、UDP-PING或者TCP-PING的方式向設定資產范圍內的目標資產發(fā)送數據報文，并根據目標資產返回的數據報文確定該目標資產是否存活，以及，將確定的存活資產作為系統(tǒng)中的資產。進一步地，所述資產確定模塊11可以采用自動掃描的方式或接收客戶端發(fā)送的補充登記信息或修改信息的方式來確定各資產的資產屬性信息；所述資產屬性信息至少包括以下信息中的一種或多種:資產風險值、資產的操作系統(tǒng)類型、資產所有者信息以及資產所在部門信息等。進一步地，所述資產屬性信息還可以包括資產的標記名稱、資產登錄用戶名和密碼、資產管理員的名稱和郵箱地址、資產的實際用途以及根據資產的安全重要性所設定的資產的安全權重信息等，本發(fā)明實施例對此不作任何限定。
所述資產展示模塊12用于按照以確定的任一資產屬性信息的各不同屬性值為節(jié)點的資產樹的形式，將系統(tǒng)中的各資產進行分類展示；具體地，所得到的資產樹的根節(jié)點可以為資產屬性信息，根節(jié)點下的各子節(jié)點可以為該資產屬性信息的不同屬性值，而任一子節(jié)點下的各葉子節(jié)點則為同屬于該子節(jié)點所對應的資產屬性信息屬性值的各個資產。所述風險掃描模塊13用于在接收到來自客戶端的掃描指令后，根據當前掃描需求，對資產樹中設定位置處的資產進行風險掃描，得到該資產的漏洞信息以及配置信息，或者，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產節(jié)點進行風險掃描，得到該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息。所述風險分析模塊14用于針對任一資產，根據得到的該資產的漏洞信息以及配置信息，確定該資產的資產風險值，并將確定的該資產的資產風險值返回給對應的客戶端或者，針對任一資產節(jié)點，根據得到的該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，確定該資產節(jié)點的資產風險值，并將確定的該資產節(jié)點的資產風險值返回給對應的客戶端。具體地，所述風險分析模塊14具體用于針對任一資產，分別根據得到的該資產的漏洞信息以及配置信息，確定該資產的漏洞風險值和配置風險值，并根據該資產的安全權重系數，對確定的該資產的漏洞風險值、配置風險值進行加權計算，得到該資產的資產風險值；或者，針對任一資產節(jié)點，分別根據得到的該資產節(jié)點下的任一資產的漏洞信息以及配置信息，確定該資產的漏洞風險值和配置風險值，并根據該資產的安全權重系數，對確定的該資產的漏洞風險值、配置風險值進行加權計算，得到該資產的資產風險值，以及，根據確定的該資產節(jié)點下的各資產的資產風險值以及各資產的安全權重系數，對該資產節(jié)點下的各資產的資產風險值進行加權運算，得到該資產節(jié)點的資產風險值。。其中，各危險等級漏洞的安全權重系數以及各資產的安全權重系數可以根據實際情況進行設定，本發(fā)明實施例對此不作任何限定。進一步地，所述風險分析模塊14還用于根據接收到的來自客戶端的分析指令，針對資產樹中的設定位置處的資產，統(tǒng)計設定時長內該資產的漏洞信息、配置風險值以及資產風險值，并分別根據統(tǒng)計的設定時長內該資產的漏洞信息、配置風險值以及資產風險值，確定該資產在所述設定時長內的漏洞變化趨勢、配置風險變化趨勢以及資產風險變化趨勢；或者，根據接收到的來自客戶端的分析指令，針對資產樹中的設定位置處的資產節(jié)點，統(tǒng)計設定時長內該資產節(jié)點下的各資產的漏洞信息、配置風險值，并分別根據統(tǒng)計的設定時長內該資產節(jié)點下的各資產的漏洞信息以及配置風險值，確定該資產節(jié)點在所述設定時長內的漏洞變化趨勢以及配置風險變化趨勢，以及，統(tǒng)計設定時長內該資產節(jié)點的資產風險值，并根據統(tǒng)計的設定時長內的該資產節(jié)點的資產風險值，確定該資產節(jié)點在所述設定時長內的資產風險變化趨勢。進一步地，所述裝置還包括風險調整模塊15:所述風險調整模塊15用于根據接收到的來自客戶端的修復指令，根據確定的各資產的漏洞信息和配置風險值，對各資產的漏洞進行修復，以及對大于設定閾值的各資產的配置風險值進行下調處理；進一步地，所述風險掃描模塊13還用于根據接收到的來自客戶端的再次掃描指令，對已進行漏洞修復和配置風險值下調處理的各資產重新進行風險掃描。進一步地，所述裝置還可以包括信息存儲模塊16:所述信息存儲模塊16用于將確定的各資產以及各資產的資產屬性信息,各資產或各資產節(jié)點的當前漏洞信息、當前配置風險值以及當前資產風險值，各資產或各資產節(jié)點的設定時長內的漏洞變化趨勢、配置風險變化趨勢以及資產風險變化趨勢等信息以數據表的形式或其他形式進行存儲，本發(fā)明實施例對此不作任何限定。實施例三:如圖3所示，其為本發(fā)明實施例三中所述基于資產的風險掃描系統(tǒng)的結構示意圖，所述系統(tǒng)包括至少一個基于資產的風險掃描裝置21、至少一個資產22以及至少一個客戶端23，所述風險掃描裝置21可以為一獨立設備或集成在服務器等主機設備中的集成設備，本發(fā)明實施例對此不作任何限定，其中:所述風險掃描裝置21用于確定系統(tǒng)中的資產22以及各資產22的資產屬性信息，并按照以確定的任一資產屬性信息的各不同屬性值為節(jié)點的資產樹的形式，將系統(tǒng)中的各資產22進行分類展示，其中，所述資產22為系統(tǒng)中的物理設備資產或虛擬設備資產，以及，在接收到來自客戶端23的掃描指令后，對資產樹中設定位置處的資產22進行風險掃描，得到該資產22的漏洞信息以及配置風險值，并根據得到的該資產22的漏洞信息以及配置信息，確定該資產22的資產風險值，以及將確定的該資產22的資產風險值返回給對應的客戶端23 ;或者，在接收到來自客戶端23的掃描指令后，對資產樹中設定位置處的資產節(jié)點進行風險掃描，得到該資產節(jié)點下的各資產22的漏洞信息以及各資產22的配置信息，并根據得到的該資產節(jié)點下的各資產22的漏洞信息以及各資產22的配置信息，確定該資產節(jié)點的資產風險值，以及將確定的該資產節(jié)點的資產風險值返回給對應的客戶端23。其中，所述資產22可以為系統(tǒng)中的以IP地址為單位的服務器等主機設備；所述資產屬性信息至少包括以下信息中的一種或多種:資產風險值、資產的操作系統(tǒng)類型、資產所有者信息以及資產所在部門信息等。進一步地，所述資產屬性信息還可以包括資產的標記名稱、資產登錄用戶名和密碼、資產管理員的名稱和郵箱地址、資產的實際用途以及根據資產的安全重要性所設定的資產的安全權重信息等，本發(fā)明實施例對此不作任何限定。具體地，所述風險掃描裝置21用于接收客戶端23導入的具備特定格式的IP地址列表文件，并將確定的與客戶端23導入的具備特定格式的IP地址列表文件相對應的資產22作為系統(tǒng)中的資產22 ;或者，通過ICMP-PING、UDP-PING或者TCP-PING的方式向設定資產范圍內的目標資產22發(fā)送數據報文，并根據目標資產22返回的數據報文確定該目標資產22是否存活，以及，將確定的存活資產22作為系統(tǒng)中的資產22。進一步地，所述風險掃描裝置21具體可用于針對任一資產22，分別根據得到的該資產22的漏洞信息以及配置信息，確定該資產22的漏洞風險值以及配置信息，并根據該資產22的安全權重系數，對確定的該資產22的漏洞風險值、配置風險值進行加權計算，得到該資產22的資產風險值；或者，針對任一資產節(jié)點，分別根據得到的該資產節(jié)點下的任一資產22的漏洞信息以及配置信息，確定該資產22的漏洞風險值以及配置信息，并根據該資產22的安全權重系數，對確定的該資產22的漏洞風險值、配置風險值進行加權計算，得到該資產22的資產風險值，以及，根據確定的該資產節(jié)點下的各資產22的資產風險值以及各資產22的安全權重系數，對該資產節(jié)點下的各資產22的資產風險值進行加權運算，得到該資產節(jié)點的資產風險值。其中，各危險等級漏洞的安全權重系數以及各資產22的安全權重系數可以根據實際情況進行設定，本發(fā)明實施例對此不作任何限定。進一步地，所述風險掃描裝置21還可用于根據接收到的來自客戶端22的分析指令，針對資產樹中的設定位置處的資產22，統(tǒng)計設定時長內該資產22的漏洞信息、配置風險值以及資產風險值，并分別根據統(tǒng)計的設定時長內該資產22的漏洞信息、配置風險值以及資產風險值，確定該資產22在所述設定時長內的漏洞變化趨勢、配置風險變化趨勢以及資產風險變化趨勢；或者，根據接收到的來自客戶端的分析指令，針對資產樹中的設定位置處的資產節(jié)點，統(tǒng)計設定時長內該資產節(jié)點下的各資產22的漏洞信息、配置風險值，并分別根據統(tǒng)計的設定時長內該資產節(jié)點下的各資產22的漏洞信息以及配置風險值，確定該資產節(jié)點在所述設定時長內的漏洞變化趨勢以及配置風險變化趨勢，以及，統(tǒng)計設定時長內該資產節(jié)點的資產風險值，并根據統(tǒng)計的設定時長內的該資產節(jié)點的資產風險值，確定該資產節(jié)點在所述設定時長內的資產風險變化趨勢。進一步地，所述風險掃描裝置21還可用于根據接收到的來自客戶端23的修復指令，根據確定的各資產22的漏洞信息和配置風險值，對各資產22的漏洞進行修復，以及對大于設定閾值的各資產22的配置風險值進行下調處理，并在設定時長后，根據接收到的來自客戶端23的再次掃描指令，對已進行漏洞修復和配置風險值下調處理的各資產22重新進行風險掃描。進一步地，所述風險掃描裝置21還可用于將確定的各資產22以及各資產22的資產屬性信息，各資產22或各資產節(jié)點的當前漏洞信息、當前配置風險值以及當前資產風險值，各資產22或各資產節(jié)點的設定時長內的漏洞變化趨勢、配置風險變化趨勢以及資產風險變化趨勢等信息以數據表的形式或其他形式進行存儲，本發(fā)明實施例對此不作任何限定。通過以上的實施方式的描述，本領域的技術人員可以清楚地了解到本發(fā)明可借助軟件加必需的通用硬件平臺的方式來實現，當然也可以通過硬件，但很多情況下前者是更佳的實施方式。基于這樣的理解，本發(fā)明的技術方案本質上或者說對現有技術做出貢獻的部分可以以軟件產品的形式體現出來，該計算機軟件產品存儲在一個存儲介質中，包括若干指令用以使得一臺終端設備(可以是手機、平板電腦、個人計算機、服務器或者網絡設備等)執(zhí)行本發(fā)明各個實施例所述的方法。顯然，本領域的技術人員可以對本發(fā)明進行各種改動和變型而不脫離本發(fā)明的精神和范圍。這樣，倘若本發(fā)明的這些修改和變型屬于本發(fā)明權利要求及其等同技術的范圍之內，則本發(fā)明也意圖包含這些改動和變型在內。
權利要求
1.一種基于資產的風險掃描方法，其特征在于，所述方法包括: 風險掃描裝置確定系統(tǒng)中的資產以及各資產的資產屬性信息，并按照以確定的任一資產屬性信息的各不同屬性值為節(jié)點的資產樹的形式，將系統(tǒng)中的各資產進行分類展示，其中，所述資產為系統(tǒng)中的物理設備資產或虛擬設備資產； 風險掃描裝置在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產進行風險掃描，得到該資產的漏洞信息以及配置信息，并根據得到的該資產的漏洞信息以及配置信息，確定該資產的資產風險值，以及，將確定的該資產的資產風險值返回給對應的客戶端；或者，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產節(jié)點進行風險掃描，得到該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，并根據得到的該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，確定該資產節(jié)點的資產風險值，以及，將確定的該資產節(jié)點的資產風險值返回給對應的客戶端。
2.如權利要求1所述的基于資產的風險掃描方法，其特征在于， 所述資產屬性信息至少包括以下信息中的一種或多種:資產風險值、資產的操作系統(tǒng)類型、資產所有者信息以及資產所在部門信息。
3.如權利要求1所述的基于資產的風險掃描方法，其特征在于，所述風險掃描裝置通過以下方式來確定系統(tǒng)中的資產: 所述風險掃描裝置接收客戶端導入的具備特定格式的網絡協(xié)議IP地址列表文件，并將確定的與客戶端導入的具備特定格式的IP地址列表文件相對應的資產作為系統(tǒng)中的資產；或者， 所述風險掃描裝置通過互聯網控制報文協(xié)議-因特網包探索器ICMP-PING、用戶數據報協(xié)議-因特網包探索器UDP-PING或者傳輸控制協(xié)議-因特網包探索器TCP-PING的方式向設定資產范圍內的目標資產發(fā)送數據報文，并根據目標資產返回的數據報文確定該目標資產是否存活，以及，將確定的存活資產作為系統(tǒng)中的資產。
4.如權利要求1所述的基于資產的風險掃描方法，其特征在于，所述風險掃描裝置根據得到的該資產的漏洞信息以及配置信息，確定該資產的資產風險值，包括: 所述風險掃描裝置分別根據得到的該資產的漏洞信息以及配置信息，確定該資產的漏洞風險值和配置風險值，并根據該資產的安全權重系數，對確定的該資產的漏洞風險值、配置風險值進行加權計算，得到該資產的資產風險值； 所述風險掃描裝置根據得到的該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，確定該資產節(jié)點的資產風險值，包括: 針對該資產節(jié)點下的任一資產，所述風險掃描裝置分別根據得到的該資產的漏洞信息以及配置信息，確定該資產的漏洞風險值和配置風險值，并根據該資產的安全權重系數，對確定的該資產的漏洞風險值、配置風險值進行加權計算，得到該資產的資產風險值，以及，根據確定的該資產節(jié)點下的各資產的資產風險值以及各資產的安全權重系數，對該資產節(jié)點下的各資產的資產風險值進行加權運算，得到該資產節(jié)點的資產風險值。
5.如權利要求4所述的基于資產的風險掃描方法，其特征在于，所述方法還包括: 所述風險掃描裝置根據 接收到的來自客戶端的分析指令，針對資產樹中的設定位置處的資產，統(tǒng)計設定時長內該資產的漏洞信息、配置風險值以及資產風險值，并分別根據統(tǒng)計的設定時長內該資產的漏洞信息、配置風險值以及資產風險值，確定該資產在所述設定時長內的漏洞變化趨勢、配置風險變化趨勢以及資產風險變化趨勢；或者， 所述風險掃描裝置根據接收到的來自客戶端的分析指令，針對資產樹中的設定位置處的資產節(jié)點，統(tǒng)計設定時長內該資產節(jié)點下的各資產的漏洞信息、配置風險值，并分別根據統(tǒng)計的設定時長內該資產節(jié)點下的各資產的漏洞信息以及配置風險值，確定該資產節(jié)點在所述設定時長內的漏洞變化趨勢以及配置風險變化趨勢，以及，統(tǒng)計設定時長內該資產節(jié)點的資產風險值，并根據統(tǒng)計的設定時長內的該資產節(jié)點的資產風險值，確定該資產節(jié)點在所述設定時長內的資產風險變化趨勢。
6.如權利要求4所述的基于資產的風險掃描方法，其特征在于，所述方法還包括: 根據接收到的來自客戶端的修復指令，所述風險掃描裝置根據確定的各資產的漏洞信息，對各資產的漏洞進行修復，并根據確定的各資產的配置風險值，對大于設定閾值的各資產的配置風險值進行下調處理，以及，根據接收到的來自客戶端的再次掃描指令，對已進行漏洞修復和配置風險值下調處理的各資產重新進行風險掃描。
7.一種基于資產的風險掃描裝置，其特征在于，包括: 資產確定模塊，用于確定系統(tǒng)中的資產以及各資產的資產屬性信息，其中，所述資產為系統(tǒng)中的物理設備資產或虛擬設備資產； 資產展示模塊，用于按照以確定的任一資產屬性信息的各不同屬性值為節(jié)點的資產樹的形式，將系統(tǒng)中的各資產進行分類展示； 風險掃描模塊，用于在接收到來自客戶端的掃描指令后，根據當前掃描需求，對資產樹中設定位置處的資產進行風險掃描，得到該資產的漏洞信息以及配置信息，或者，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產節(jié)點進行風險掃描，得到該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息； 風險分析模塊，用于針 對任一資產，根據得到的該資產的漏洞信息以及配置信息，確定該資產的資產風險值，并將確定的該資產的資產風險值返回給對應的客戶端，或者，針對任一資產節(jié)點，根據得到的該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，確定該資產節(jié)點的資產風險值，并將確定的該資產節(jié)點的資產風險值返回給對應的客戶端。
8.如權利要求7所述的基于資產的風險掃描裝置，其特征在于， 所述資產屬性信息至少包括以下信息中的一種或多種:資產風險值、資產的操作系統(tǒng)類型、資產所有者信息以及資產所在部門信息。
9.如權利要求7所述的基于資產的風險掃描裝置，其特征在于， 所述資產確定模塊，具體用于接收客戶端導入的具備特定格式的網絡協(xié)議IP地址列表文件，并將確定的與客戶端導入的具備特定格式的網絡協(xié)議IP地址列表文件相對應的資產作為系統(tǒng)中的資產；或者，通過互聯網控制報文協(xié)議-因特網包探索器ICMP-PING、用戶數據報協(xié)議-因特網包探索器m)P-PING或者傳輸控制協(xié)議-因特網包探索器TCP-PING的方式向設定資產范圍內的目標資產發(fā)送數據報文，并根據目標資產返回的數據報文確定該目標資產是否存活，以及，將確定的存活資產作為系統(tǒng)中的資產。
10.如權利要求7所述的基于資產的風險掃描裝置，其特征在于， 所述風險分析模塊，具體用于針對任一資產，分別根據得到的該資產的漏洞信息以及配置信息，確定該資產的漏洞風險值和配置風險值，并根據該資產的安全權重系數，對確定的該資產的漏洞風險值、配置風險值進行加權計算，得到該資產的資產風險值；或者，針對任一資產節(jié)點，分別根據得到的該資產節(jié)點下的任一資產的漏洞信息以及配置信息，確定該資產的漏洞風險值和配置風險值，并根據該資產的安全權重系數，對確定的該資產的漏洞風險值、配置風險值進行加權計算，得到該資產的資產風險值，以及，根據確定的該資產節(jié)點下的各資產的資產風險值以及各資產的安全權重系數，對該資產節(jié)點下的各資產的資產風險值進行加權運算，得到該資產節(jié)點的資產風險值。
11.如權利要求10所述的基于資產的風險掃描裝置，其特征在于， 所述風險分析模塊，還用于根據接收到的來自客戶端的分析指令，針對資產樹中的設定位置處的資產，統(tǒng)計設定時長內該資產的漏洞信息、配置風險值以及資產風險值，并分別根據統(tǒng)計的設定時長內該資產的漏洞信息、配置風險值以及資產風險值，確定該資產在所述設定時長內的漏洞變化趨勢、配置風險變化趨勢以及資產風險變化趨勢；或者， 根據接收到的來自客戶端的分析指令，針對資產樹中的設定位置處的資產節(jié)點，統(tǒng)計設定時長內該資產節(jié)點下的各資產的漏洞信息、配置風險值，并分別根據統(tǒng)計的設定時長內該資產節(jié)點下的各資產的漏洞信息以及配置風險值，確定該資產節(jié)點在所述設定時長內的漏洞變化趨勢以及配置風險變化趨勢，以及，統(tǒng)計設定時長內該資產節(jié)點的資產風險值，并根據統(tǒng)計的設定時長內的該資產節(jié)點的資產風險值，確定該資產節(jié)點在所述設定時長內的資產風險變化趨勢。
12.如權利要求10所述的基于資產的風險掃描裝置，其特征在于，所述裝置還包括風險調整模塊: 所述風險調整模塊，用于根據接收到的來自客戶端的修復指令，根據確定的各資產的漏洞信息，對各資產的漏 洞進行修復，并根據確定的各資產的配置風險值，對大于設定閾值的各資產的配置風險值進行下調處理； 所述風險掃描模塊，還用于根據接收到的來自客戶端的再次掃描指令，對已進行漏洞修復和配置風險值下調處理的各資產重新進行風險掃描。
13.一種基于資產的風險掃描系統(tǒng)，其特征在于，所述系統(tǒng)包括至少一個客戶端、至少一個資產以及至少一個基于資產的風險掃描裝置: 所述風險掃描裝置，用于確定系統(tǒng)中的資產以及各資產的資產屬性信息，并按照以確定的任一資產屬性信息的各不同屬性值為節(jié)點的資產樹的形式，將系統(tǒng)中的各資產進行分類展示，其中，所述資產為系統(tǒng)中的物理設備資產或虛擬設備資產，以及，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產進行風險掃描，得到該資產的漏洞信息以及配置信息，并根據得到的該資產的漏洞信息以及配置信息，確定該資產的資產風險值，以及，將確定的該資產的資產風險值返回給對應的客戶端；或者，在接收到來自客戶端的掃描指令后，對資產樹中設定位置處的資產節(jié)點進行風險掃描，得到該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，并根據得到的該資產節(jié)點下的各資產的漏洞信息以及各資產的配置信息，確定該資產節(jié)點的資產風險值，以及，將確定的該資產節(jié)點的資產風險值返回給對應的客戶端。
全文摘要
本發(fā)明公開了一種基于資產的風險掃描方法、裝置及系統(tǒng)，該方法包括風險掃描裝置確定系統(tǒng)中的資產以及各資產的資產屬性信息，并按照以確定的任一資產屬性信息的各不同屬性值為節(jié)點的資產樹的形式，將各資產進行分類展示，以及，根據客戶端的掃描指令，對資產樹中設定位置處的資產或資產節(jié)點進行風險掃描，得到該資產或該資產節(jié)點下的各資產的漏洞信息和配置信息，并根據得到的該資產或該資產節(jié)點下的各資產的漏洞信息和配置信息，確定該資產或該資產節(jié)點的資產風險值。通過本發(fā)明所述技術方案，能夠實現以資產為中心的風險掃描和風險分析，解決了現有技術中存在的無法從宏觀角度確定系統(tǒng)中所有資產的當前風險情況和歷史風險變化趨勢的問題。
文檔編號H04L29/06GK103118003SQ20121058144
公開日2013年5月22日 申請日期2012年12月27日 優(yōu)先權日2012年12月27日
發(fā)明者路娟 申請人:北京神州綠盟信息安全科技股份有限公司, 北京神州綠盟科技有限公司