面向Web的漏洞聚合和管理工具的研究與實現(xiàn).pdf

1、隨著近幾年安全事件不斷發(fā)生以及威脅程度不斷加重，網(wǎng)絡(luò)安全的危害范圍小到個人隱私大到政府、國家級別的網(wǎng)絡(luò)空間安全問題沖突，應(yīng)當(dāng)說安全事件是愈演愈烈。基于此，個人以及政府也越來越重視網(wǎng)絡(luò)安全問題。網(wǎng)絡(luò)安全問題的本質(zhì)是存在可以利用的漏洞，所以對漏洞的管理和分析對于網(wǎng)絡(luò)管理人員來說就顯得十分重要。
　　目前市場上的漏洞掃描工具種類繁多，兼容性很差，單一的漏洞掃描通常都會有比較高的漏洞錯報和誤報。并且通常來說，都只是負責(zé)漏洞的檢測和比較初步

2、的修復(fù)，并不是真正意義上的漏洞分析和漏洞管理。普遍采用的依然是工具掃描出報告然后人工整合漏洞修復(fù)的低效率過程，對于整個漏洞的從發(fā)現(xiàn)到修復(fù)的周期來說花費太多不必要的精力。
　　本文描述的基于Web的漏洞管理工具研究和開發(fā)，集成了目前市場比較常用的軟件型漏洞掃描工具，將漏洞掃描工具導(dǎo)出的XML文件作為分析的數(shù)據(jù)來源，通過上傳到本漏洞管理工具，使用Java Sax技術(shù)進行XML文件的解析，解析完成后，漏洞信息會保存到數(shù)據(jù)存儲設(shè)備中。分析

3、各漏洞管理結(jié)果的XML文檔結(jié)構(gòu)，然后通過XML的結(jié)構(gòu)特點和特性，編寫相同漏洞合并算法。算法的主要原理描述，首先主要通過判斷漏洞掃描工具的動態(tài)掃描還是靜態(tài)掃描類別、漏洞產(chǎn)生的類型、漏洞發(fā)生時的路徑信息、漏洞中的參數(shù)描述、漏洞官方CWE編號等因素來判斷是否是同一個漏洞，相同漏洞會進行漏洞合并。這樣減少了漏洞管理的開銷，提高了效率，也減少了單一掃描工具的誤報率錯報率高的問題。
　　以Web形式展示漏洞詳情，可以查看漏洞掃描的總體情況，不

4、同危害等級不同顏色高亮顯示，在表現(xiàn)形式上，可以選擇優(yōu)先展示危害等級高的漏洞，通過對漏洞的分析，對漏洞修復(fù)趨勢進行展示，并且突出漏洞數(shù)量最多的應(yīng)用，某一個具體漏洞的描述詳情，修復(fù)進展，漏洞評論等，安全狀態(tài)一目了然。便于網(wǎng)站管理人員、項目經(jīng)理以及安全測試人員對最新進展做出修復(fù)安排。加入了對Bugzilla工具的支持，實現(xiàn)了對漏洞缺陷的跟蹤管理，對于漏洞的發(fā)現(xiàn)、修復(fù)、關(guān)閉等整個周期監(jiān)控，及時反應(yīng)漏洞修復(fù)狀態(tài)。增加了對JasperReport工