一种漏洞严重性评估及修补方法与流程

本发明涉及漏洞严重性评估领域，特别涉及一种漏洞严重性评估及修补方法。

背景技术：

随着互联网络的发展，网民规模和网络普及率呈现逐年递增的趋势，然而伴随着层出不穷的安全问题，其中漏洞的高爆发是危及网络安全的重要原因之一。漏洞是指计算机系统在需求、设计等方面产生的缺陷，这些缺陷存在于计算机系统的各个层次和环节之中，一旦被攻击者利用，就会对计算机系统产生重大的危害，影响其正常运行。在漏洞数量日益增加的形势下，如何对漏洞的严重性进行评估，并在此基础上修补漏洞就显得有为重要。

目前对漏洞的严重性评估大都基于已知漏洞的关联属性，利用定性或者定量的评估方法对漏洞严重性进行表征。定性评估方法主要是对漏洞进行评级划分，例如美国国家漏洞库对漏洞的评级分为高、中、低；微软根据漏洞相关属性将漏洞分为严重、重要、中等、低。定量评估方法主要是通过分值的方式对漏洞的严重性进行表征，例如通用漏洞评分系统将漏洞的严重性评分划分为0.0～10.0，分值越高表示漏洞的潜在危害性越大。

当前对漏洞的修补顺序参考了漏洞的定量评估和定性评估的结果，将优先修补那些定量分析和定性分析评估结果较为严重的漏洞。然而当现有技术中定量评估结果和定性评估结果相同时，按照哪种顺序来修补漏洞，现有技术中并未给出解决方案，这导致目前对漏洞的严重性评估以及基于此进行漏洞修复的技术存在较大缺陷，无法彻底评估明确漏洞的严重程度进而确定修补优先级进行修补，对计算机系统产生潜在的重大危害。

技术实现要素：

本发明的目的在于克服现有技术中所存在的上述不足，提供一种漏洞严重性评估及修补方法，以彻底明确漏洞的严重程度进而确定修补优先级，从根本上解决漏洞修补的优先级无法确定的问题，进行漏洞修补，避免对计算机系统产生潜在的重大危害，以提高计算机系统安全性。

一方面，本发明实施例提供一种漏洞严重性评估方法，所述方法包括：

提取目标主机的M个漏洞，根据每个漏洞的至少一种重要属性信息计算每个漏洞的静态严重性评估结果；

当M个漏洞中有N个漏洞的静态严重性评估结果相同时，计算所述N个漏洞中每个漏洞的动态严重性定量分值；

当所述N个漏洞中有P个漏洞的动态严重性定量分值相同时，获取所述P个漏洞中每个漏洞的时序影响因子，将时序影响因子最大的漏洞确定为修补优先级最高的漏洞；

其中，所述时序影响因子用于表征漏洞发生的时间，时序影响因子越大，则漏洞发生的时间越早；P小于等于N，N小于等于M，M、N和P均为整数，且P大于等于2。

在一个实施例中，当所述M个漏洞的静态严重性评估结果均不相同时，将严重等级最高的静态严重性评估结果对应的漏洞确定为修补优先级最高的漏洞。

在一个实施例中，当所述N个漏洞的动态严重性定量分值均不相同时，将所述动态严重性定量分值最高的漏洞确定为修补优先级最高的漏洞。

在一个实施例中，每个漏洞的至少一种重要属性信息包括威胁性影响指标和攻击利用影响指标；

所述根据每个漏洞的至少一种重要属性信息计算每个漏洞的静态严重性评估结果，包括：

根据以下公式计算每个漏洞的静态严重性定量分值；

静态严重性定量分值＝(攻击利用影响指标+威胁性影响指标)/2；

根据所述静态严重性定量分值所对应的危险等级确定每个漏洞的静态严重性评估结果。

进一步的，所述威胁性影响指标包括机密性影响指标、完整性影响指标和可用性影响指标；

确定所述威胁性影响指标的取值包括：

判断每个漏洞的所述机密性影响指标、完整性影响指标和可用性影响指标各自的等级，将判断出的三个等级组合成待查询等级集合；

在预设的映射关联表中查找所述待查询等级集合对应的分数，作为所述威胁性影响指标的取值；

其中，机密性影响指标的等级由高到低分为：高、中、低；完整性影响指标的等级由高到低分为：高、中、低；可用性影响指标的等级由高到低分为：高、中、低；所述机密性影响指标、完整性影响指标和可用性影响指标三者每一个指标取各自任意一个等级构成一个等级集合，每个等级集合对应一预定的不同分数构成所述映射关联表。

所述攻击利用影响指标的取值由下式计算得到：

攻击利用影响指标＝a*利用途径*利用复杂度*认证；

其中，a为权重因子，攻击途径、攻击复杂度和认证为漏洞的属性特征；

攻击途径分为：本地、局域网、远程网络，依次对应的量化取值为：0.395、0.646、1.0；

攻击复杂度由难到易分为：高、中、低，依次对应的量化取值为：0.35、0.61、0.71；

认证分为：多次、一次、不需要，依次对应的量化取值为：0.45、0.56、0.704。

可选的，a＝20。

在一个实施例中，所述动态严重性定量分值由以下公式计算：

动态严重性定量分值＝b*流行性影响因子+c*产生环境影响因子；

其中，b和c为权重因子，所述流行性影响因子的取值为距离当前时间上一月内该类型漏洞爆发率，产生环境影响因子的取值为距离当前时间上一月内该漏洞关联厂商的漏洞发生率。

可选的，b＝6，c＝4。

另一方面，本发明实施例还提供一种漏洞严重性评估修补系统，包括：

提取模块，用于提取目标主机的M个漏洞；

静态严重性评估模块，用于根据每个漏洞的至少一种重要属性信息计算每个漏洞的静态严重性评估结果；

第一动态严重性评估模块，用于当M个漏洞中有N个漏洞的静态严重性评估结果相同时，计算所述N个漏洞中每个漏洞的动态严重性定量分值；

第二动态严重性评估模块，用于当所述N个漏洞中有P个漏洞的动态严重性定量分值相同时，获取所述P个漏洞中每个漏洞的时序影响因子，将时序影响因子最大的漏洞确定为修补优先级最高的漏洞；其中，所述时序影响因子用于表征漏洞发生的时间，时序影响因子越大，则漏洞发生的时间越早；P小于等于N，N小于等于M，M、N和P均为整数，且P大于等于2；

修补模块，用于对所述修补优先级最高的漏洞进行修补。

与现有技术相比，本发明的有益效果：

本发明实施例结合了漏洞严重性定性评估和定量评估的优点给出漏洞的静态评估结果，当静态评估结果相同时，对比漏洞动态评估结果，动态评估结果中设置定量分值进行评估，且还结合了漏洞发生的时序影响因素，从而可以彻底明确漏洞的严重性进而确定修补优先级，进行漏洞修补。本发明可以从根本上解决漏洞修补的优先级无法彻底确定的问题，避免了对计算机系统产生潜在的重大危害，大大提高了计算机系统的安全性。

附图说明：

图1是本发明的评估体系结构图；

图2是本发明中的静态严重性评估部分具体实施流程图；

图3是本发明中的动态严重性评估部分具体实施流程图。

具体实施方式

下面结合具体实施方式对本发明作进一步的详细描述。但不应将此理解为本发明上述主题的范围仅限于以下的实施例，凡基于本发明内容所实现的技术均属于本发明的范围。

本发明实施例示出一种漏洞严重性评估方法示意图，所述方法包括：

S101、提取目标主机的M个漏洞，根据每个漏洞的至少一种重要属性信息计算每个漏洞的静态严重性评估结果；

S102、当M个漏洞中有N个漏洞的静态严重性评估结果相同时，计算所述N个漏洞中每个漏洞的动态严重性定量分值；

S103、当所述N个漏洞中有P个漏洞的动态严重性定量分值相同时，获取所述P个漏洞中每个漏洞的时序影响因子，将时序影响因子最大的漏洞确定为修补优先级最高的漏洞；

其中，所述时序影响因子用于表征漏洞发生的时间，时序影响因子越大，则漏洞发生的时间越早，反之亦然；P小于等于N，N小于等于M，M、N和P均为整数，且P大于等于2。

本发明实施例结合了漏洞严重性定性评估和定量评估的优点给出漏洞的静态评估结果，当静态评估结果相同时，对比漏洞动态评估结果，动态评估结果中设置定量分值进行评估，且还结合了漏洞发生的时序影响因素，从而可以彻底明确漏洞的严重性进而确定修补优先级，进行漏洞修补。本发明可以从根本上解决漏洞修补的优先级无法彻底确定的问题，避免了对计算机系统产生潜在的重大危害，大大提高了计算机系统的安全性。

具体的，在一个示例中，当所述M个漏洞的静态严重性评估结果均不相同时，将严重等级最高的静态严重性评估结果对应的漏洞确定为修补优先级最高的漏洞。在另一示例中，当所述N个漏洞的动态严重性定量分值均不相同时，将所述动态严重性定量分值最高的漏洞确定为修补优先级最高的漏洞。

基于此，本发明可彻底明确漏洞的严重程度进而确定修补优先级，基本覆盖了所有情况，从根本上解决漏洞修补的优先级无法彻底确定的问题，以方便后续进行漏洞修补，避免对计算机系统产生潜在的重大危害，以提高计算机系统安全性。本发明解决了现有技术中定量评估结果和定性评估结果相同时，无法确定按照哪种顺序来修补漏洞的问题。

在上述各个实施例的基础上，本实施例中每个漏洞的至少一种重要属性信息包括威胁性影响指标和攻击利用影响指标；所述根据每个漏洞的至少一种重要属性信息计算每个漏洞的静态严重性评估结果，包括：

A、根据以下公式计算每个漏洞的静态严重性定量分值；

静态严重性定量分值＝(攻击利用影响指标+威胁性影响指标)/2；

B、根据所述静态严重性定量分值所对应的危险等级确定每个漏洞的静态严重性评估结果。

具体的，所述威胁性影响指标包括机密性影响指标、完整性影响指标和可用性影响指标，确定所述威胁性影响指标的取值包括：

C、判断每个漏洞的所述机密性影响指标、完整性影响指标和可用性影响指标各自的等级，将判断出的三个等级组合成待查询等级集合；

D、在预设的映射关联表中查找所述待查询等级集合对应的分数，作为所述威胁性影响指标的取值；

其中，机密性影响指标的等级由高到低分为：高、中、低；完整性影响指标的等级由高到低分为：高、中、低；可用性影响指标的等级由高到低分为：高、中、低；所述机密性影响指标、完整性影响指标和可用性影响指标三者每一个指标取各自任意一个等级构成一个等级集合，每个等级集合对应一预定的不同分数(如0～10之间的整数)构成所述映射关联表。

这里，机密性影响表示合法的用户被赋予可以访问目标系统的权利；完整性影响表示目标系统中的资料可被合法用户修改，不会被非法用户肆意篡改；可用性影响表示目标系统中的资源按需具有可被使用的属性。

机密性影响指标等级的高、中、低，依次表示目标系统的数据可被恶意主体完全获得、目标系统的某些数据可被恶意主体获得、恶意主体基本无法获得目标系统的数据。

完整性影响指标等级的高、中、低，依次表示目标系统的资料可被恶意主体任意修改、目标系统的某些资料可被恶意主体修改、恶意主体基本无法修改目标系统的资料。

可用性影响指标等级的高、中、低，依次表示恶意主体可将目标系统上的资源变得完全不可用、恶意主体可降低目标系统的资源利用率、恶意主体基本无法对目标系统的可用性造成危害。基于此可判断每个漏洞的所述机密性影响指标、完整性影响指标和可用性影响指标各自的等级。

本实施例中，所述威胁性影响指标的取值范围定为0～10之间的整数，它是由机密性影响指标、完整性影响指标、可用性影响指标共同决定。

所述攻击利用影响指标的取值由下式计算得到：

攻击利用影响指标＝a*利用途径*利用复杂度*认证；

其中，a为权重因子，符号*表示乘法运算，攻击途径、利用复杂度和认证为漏洞的属性特征；

攻击途径分为：本地、局域网、远程网络，依次对应的量化取值为：0.395、0.646、1.0：

利用复杂度由难到易分为：高、中、低，依次对应的量化取值为：0.35、0.61、0.71；

认证分为：多次、一次、不需要，依次对应的量化取值为：0.45、0.56、0.704。本实施例中，a＝20。以上公式各个参数取值均为经验值，发明人经过实际研发反复验证，以上取值计算攻击利用影响指标最为准确，进而使得静态严重性定量分值计算最为准确，最终使得静态严重性评估结果比较准确，以便比较准确确定漏洞的修补优先级。

这里，利用途径是指漏洞是通过本地网络或是局域网络或是远程网络对目标系统进行攻击。利用复杂度是指漏洞需要借助外部条件的难易程度。认证是指漏洞被利用需要获得的权限，多次表示恶意主体在攻击时需要认证多于一次，一次表示恶意主体在攻击时需要一次认证，不需要表示恶意主体在攻击时不需要进行认证。据此可判断并获得攻击途径、利用复杂度和认证这三个漏洞的属性特征的具体取值。

通过以上方式判断计算得到攻击利用影响指标和威胁性影响指标的取值后，将攻击利用影响指标和威胁性影响指标的取值求和再除以2求平均值，将该平均值作为静态严重性定量分值，再根据所述静态严重性定量分值所对应的危险等级确定每个漏洞的静态严重性评估结果(即定性评估结果)。危险等级与静态严重性定量分值可关联预先建立查找表，本实施例中危险等级包括危急、紧急、中危、低危，共四级，危急对应的分值为10.0，紧急对应分值区间9.9-7.0，中危对应分值区间6.9-4.0，低危对应分值区间3.9-1.0。本实施例中计算得到每个漏洞的静态严重性定量分值后，根据该分值查表确定危险等级，得到定性评估结果，作为最终的每个漏洞的静态严重性评估结果。

具体的，所述动态严重性定量分值由以下公式计算：

动态严重性定量分值＝b*流行性影响因子+c*产生环境影响因子；

其中，b和c为权重因子，符号*表示乘法运算，所述流行性影响因子的取值为距离当前时间上一月内该类型漏洞爆发率，产生环境影响因子的取值为距离当前时间上一月内该漏洞关联厂商的漏洞发生率。本实施例中，b＝6，c＝4。以上公式各个参数取值均为经验值，发明人经过实际研发反复验证，以上取值计算动态严重性定量分值最为准确，最终使得比较准确确定漏洞的修补优先级。

下面结合具体实例进一步详细说明本发明各个实施例。

本发明实施例提出一种基于静态及动态的严重性综合评估的漏洞修补方法。首先提取目标主机的漏洞和相关属性，进而建立一个漏洞严重性评估指标算法模型，计算漏洞的静态严重性评估结果，包括漏洞的定量评估结果和定性评估结果；当多个漏洞的静态严重性评估结果相同时，计算漏洞的动态严重性，以定量的方式表征评估结果，在相同的动态评估结果中以时序影响度来区分漏洞修补的优先级。本实施例不仅结合了传统的静态漏洞评估方法，而且结合了当前的漏洞发展态势和产生影响，为漏洞修补提供了重要的参考和帮助。

本发明从静态严重性和动态严重性两个方面来评估漏洞，静态严重性评估结合了定量评估和定性评估的优势，动态评估则结合时下漏洞发展态势，对漏洞进行分析，这种静态严重性评估和动态严重性评估的方法可以为用户修补漏洞的优先级提供重要的参考。针对基于漏洞评估结果决定修补优先级的问题，本发明实施例中，首先根据目标主机的漏洞及相关属性对漏洞的严重性进行静态评估，从而得出漏洞的定量评估结果，然后依据定量评估结果对漏洞进行评级划分；然后判断当前评定的漏洞中是否有相同的静态评估结果，如果没有则按照静态评估结果的定量评分的从高到低对漏洞进行依次修补，如果有相同的静态评估结果，则计算这些漏洞的动态评估结果；动态评估结果由两部分组成，一部分是动态的定量评估结果，一部分是动态的时序影响结果，当漏洞的动态的定量评估结果不同时，则按照动态的定量评估结果从高到低对漏洞进行修补，如果动态的定量评估结果相同时，则对比动态的时序影响结果，从而确定漏洞修补的优先级。

图1是本发明的评估体系结构图；图2是本发明中的静态严重性评估部分具体实施流程图；图3是本发明中的动态严重性评估部分具体实施流程图。

本发明的评估体系结构图如图1所示，主体由静态严重性评估和动态严重性评估两部分组成。其中静态严重性评估的具体方法如下：

提取目标主机的漏洞及相关属性信息，计算获得的漏洞的静态严重性漏洞评估结果作为主要的漏洞修补参考；

根据漏洞的“机密性影响”、“完整性影响”、“可用性影响”属性信息得出威胁性影响的对应等级；

相关的“机密性影响”、“完整性影响”、“可用性影响”取值，与威胁

性影响的对应等级如表1和表2所示，具体的描述如下：

1)机密性影响表示合法的用户被赋予可以访问目标系统的权利，它的等级取值分为高、中、低。

2)完整性影响表示目标系统中的资料可被合法用户修改，不会被非法用户肆意篡改，它的取值分为高、中、低。

3)可用性影响表示目标系统中的资源按需具有可被使用的属性，它的取值分为高、中、低；具体如表1所示。

4)威胁性影响的取值范围定为0～10之间的整数，它是由机密性影响、完整性影响、可用性影响共同取值决定，具体的取值如表2所示。

表1机密性影响、完整性影响、可用性影响的等级取值表

表2威胁性影响取值映射表

表2的集合中取值是无序的，表示三个影响属性的取值只要满足即可。例如，当机密性影响取值为高，完整性影响取值为高，可利用性影响取值为中，则威胁性影响的评分为9，当可利用性影响取值为高，机密性影响取值为高，完整性影响取值为中时，威胁性影响的评分也为9，其他的以此类推。

攻击利用影响由利用途径、利用复杂度和认证三个属性的取值相乘计算获得。相应的利用途径、利用复杂度和认证的取值及攻击利用影响的计算具体如下：

1)利用途径是指漏洞是通过本地网络或是局域网络或是远程网络对目标系统进行攻击，取值分为本地、局域、远程。

2)利用复杂度是指漏洞需要借助外部条件的难易程度，取值分为高、中、低。

3)认证是指漏洞被利用需要获得的权限，取值分为多次、一次、不需要，具体取值的选择如表3所示，对应具体的量化取值结果如表4所示。

4)根据公式(1)计算攻击利用影响：

攻击利用影响＝20*利用途径*利用复杂度*认证，公式(1)；其结果取小数点后一位。

表3攻击利用影响指标取值表

表4攻击利用影响指标量化表

完成上述过程后，根据公式(2)计算静态严重性定量分值：

静态严重性定量分值＝(攻击利用影响+威胁性影响)/2，公式(2)；其中，静态严重性定量分值从1.0～10.0，分值越高表示危险等级越高，分值对应的定性评级结果如表5。

表5静态严重性定性评估结果表

动态严重性评估由动态严重性定量评估和时序影响两部分构成，动态严重性定量评估由流行性影响和环境影响决定，具体如下：

1)流行性影响是待评估漏洞在近一个月中此类型漏洞的爆发占比。

2)环境影响是待评估漏洞关联厂商在近一个月中爆发占比。

3)根据公式(3)计算动态严重性定量评估：

动态严重性定量评估＝6*流行性影+4*响环境影响，公式(3)；其分值为0.0～10.0，结果取小数点后两位。

时序影响是指漏洞的发现时间，在静态严重性评估结果和动态严重性定量评估结果相同的前提下，发现较早的漏洞具有优先的修补级别。最终的漏洞修补顺序将按照漏洞的静态严重性评估结果、动态严重性评估结果和时序影响综合判定。本发明的具体效果将举例说明，选择漏洞CVE-2014-6345与CVE-2014-4115、CVE-2014-4122、CVE-2014-4116说明。

首先对比CVE-2014-6345与CVE-2014-4155，根据上述静态严重性评估结果可以得出，CVE-2014-6345的定量评估结果为4.3，定性评估结果为中危，CVE-2014-4155的定量评估结果为7.0，定性评估结果为紧急，所以依据静态严重性评估结果先修复漏洞CVE-2014-4155；CVE-2014-6345与CVE-2014-4122静态严重性的评估结果的相同，都是定量评估结果是5.3，定性评估结果是中危，进而计算各自的动态严重性评估结果，其中CVE-2014-6345的定量评估结果为0.79，CVE-2014-4122的定量评估结果为0.78，所以依据动态严重性评估结果先修复漏洞CVE-2014-6345；CVE-2014-6345与CVE-2014-4116静态严重性的评估结果的相同，都是定量评估结果是5.3，定性评估结果是中危，动态严重性评估的定量结果都是0.79，从而计算各自的时序影响，其中CVE-2014-4116比CVE-2014-6345先被发现，所以CVE-2014-4116具有比CVE-2014-6345更高的优先级，所以先修补漏洞CVE-2014-4116。为了直观说明本发明的有效性，将与现有权威方法对比，具体的结果显示如表6、7、8所示。本发明的静态和动态严重性评估结果不仅结合了传统方法，而且还与时俱进，反映漏洞在当前环境的严重性，对漏洞修补的具有重要的参考价值。

表6本发明的静态严重性评估结果与现有方法比较表

表7本发明的动态严重性的定量评估结果表

漏洞编号 本发明方法的动态严重性的定量分值

CVE-2014-6345 0.79

CVE-2014-4122 0.78

表8本发明的动态严重性评估结果表

表6中的CNNVD是中国国家信息安全漏洞库的简称，其中结果就是对漏洞的相应评估结果；NVD是美国国家漏洞库的简称，其中结果就是对漏洞的相应评估结果；CVSS是通用漏洞评分系统，其中结果就是对漏洞的相应评估结果。

本发明实施例包含静态严重性评估和动态严重性评估两个部分，下面结合附图以及表1-表8及漏洞CVE-2014-6345，对本发明的两个部分做进一步的详细描述。

如图2所示，具体对漏洞CVE-2014-6345的静态严重性评估结果实施流程包含以下步骤：

步骤201：分析漏洞的机密性影响、完整性影响、可用性影响，确定各个影响指标的影响程度，由于该漏洞很可能造成信息泄漏，但是不会对系统完整性产生影响，同时对系统的可用性没有危害，所以三者的取值为{中，低，低}。

步骤202：确定漏洞的机密性影响、完整性影响、可用性影响的影响程度为{中，低，低}，根据表2进而确定威胁性影响的评分为2。

步骤203：分析漏洞的利用途径，由于恶意主体对目标系统的攻击不需要获得内网或是本地访问权，所以其是通过远程网络进行攻击，根据表4进而对利用途径进行量化取值为1.0。

步骤204：分析漏洞的利用复杂度，由于恶意主体需要借助一定的访问条件才能发起进攻，所以利用复杂度为中，根据表4进而对利用复杂度进行量化取值为0.61。

步骤205：分析认证属性，由于漏洞被利用无需身份认证，根据表4进而对认证进行量化取值为0.704。

步骤206：确定了漏洞的利用途径、利用复杂度、认证，根据公式(1)从而确定漏洞的攻击利用影响为8.6。

步骤207：根据该漏洞的威胁性影响和攻击利用影响，根据公式(2)其静态严重性定量评估结果为5.3。

步骤208：根据该漏洞的静态严重性定量评估结果，可得其静态严重性定性评估结果为中危。

如图3所示，本发明的动态严重性评估方法主要是在有多个漏洞的静态严重性评估结果相同的情况进行的，为了叙述具体的实施流程，以漏洞CVE-2014-6345为例子进行说明，如下所示：

步骤301，当多个漏洞的静态严重性评估结果相同时，计算各个的动态严重性，如上述的漏洞CVE-2014-6345和漏洞CVE-2014-4116，这两个漏洞的静态严重性评估结果相同，所以计算各自的动态严重性。

步骤302，分析漏洞的流行性影响，这里以漏洞CVE-2014-6345说明，根据NVD对漏洞的描述，这个漏洞是属于信息泄漏类型，根据中国国家信息安全漏洞(CNNVD)发布的4月份信息安全漏洞通报，该类型的漏洞4月份的爆发占比为10.18％，所以该漏洞的流行性影响取值为0.1018。

步骤303，分析漏洞的环境影响，漏洞CVE-2014-6345关联是Microsoft，据中国国家信息安全漏洞(CNNVD)发布的4月份信息安全漏洞通报，Microsoft关联的漏洞4月份的爆发占比为4.52％，所以该漏洞环境影响取值为0.0452。

步骤304，根据漏洞流行性影响和环境影响和公式(3)可得到漏洞CVE-2014-6345的动态严重性定量评估结果为0.79。

步骤305，当多个漏洞的动态严重性定量评估结果相同时，计算各自的时序影响，如上述的漏洞CVE-2014-6345和漏洞CVE-2014-4116，这两个漏洞动态定量严重性评估结果也是相同的，根据NVD对两个漏洞的记录，漏洞CVE-2014-4116比漏洞CVE-2014-6345更早发现，所以漏洞CVE-2014-4116具有修补的优先级，对其进行修补。

本发明实施例还提出一种漏洞严重性评估修补系统，包括提取模块、静态严重性评估模块、第一动态严重性评估模块、第二动态严重性评估模块和修补模块(图未示)；其中，

所述提取模块，用于提取目标主机的M个漏洞；

所述静态严重性评估模块，用于根据每个漏洞的至少一种重要属性信息计算每个漏洞的静态严重性评估结果；

所述第一动态严重性评估模块，用于当M个漏洞中有N个漏洞的静态严重性评估结果相同时，计算所述N个漏洞中每个漏洞的动态严重性定量分值；

所述第二动态严重性评估模块，用于当所述N个漏洞中有P个漏洞的动态严重性定量分值相同时，获取所述P个漏洞中每个漏洞的时序影响因子，将时序影响因子最大的漏洞确定为修补优先级最高的漏洞；其中，所述时序影响因子用于表征漏洞发生的时间，时序影响因子越大，则漏洞发生的时间越早；P小于等于N，N小于等于M，M、N和P均为整数，且P大于等于2；

所述修补模块，用于对所述修补优先级最高的漏洞进行修补。

具体的，在一个示例中，当所述M个漏洞的静态严重性评估结果均不相同时，将严重等级最高的静态严重性评估结果对应的漏洞确定为修补优先级最高的漏洞。

在另一示例中，当所述N个漏洞的动态严重性定量分值均不相同时，将所述动态严重性定量分值最高的漏洞确定为修补优先级最高的漏洞。

在上述各个实施例的基础上，本实施例中每个漏洞的至少一种重要属性信息包括威胁性影响指标和攻击利用影响指标，所述静态严重性评估模块具体用于：

A、根据以下公式计算每个漏洞的静态严重性定量分值；

静态严重性定量分值＝(攻击利用影响指标+威胁性影响指标)/2；

B、根据所述静态严重性定量分值所对应的危险等级确定每个漏洞的静态严重性评估结果。

进一步的，所述威胁性影响指标包括机密性影响指标、完整性影响指标和可用性影响指标，确定所述威胁性影响指标的取值包括：

C、判断每个漏洞的所述机密性影响指标、完整性影响指标和可用性影响指标各自的等级，将判断出的三个等级组合成待查询等级集合；

D、在预设的映射关联表中查找所述待查询等级集合对应的分数，作为所述威胁性影响指标的取值。

其中，机密性影响指标的等级由高到低分为：高、中、低；完整性影响指标的等级由高到低分为：高、中、低；可用性影响指标的等级由高到低分为：高、中、低；所述机密性影响指标、完整性影响指标和可用性影响指标三者每一个指标取各自任意一个等级构成一个等级集合，每个等级集合对应一预定的不同分数构成所述映射关联表。

所述攻击利用影响指标的取值由下式计算得到：

攻击利用影响指标＝a*利用途径*利用复杂度*认证；

其中，a为权重因子，符号*表示乘法运算；攻击途径、利用复杂度和认证为漏洞的属性特征；本实施例中，a＝20。

具体的，攻击途径分为：本地、局域网、远程网络，依次对应的量化取值为：0.395、0.646、1.0；利用复杂度由难到易分为：高、中、低，依次对应的量化取值为：0.35、0.61、0.71；认证分为：多次、一次、不需要，依次对应的量化取值为：0.45、0.56、0.704。

在一个示例中，所述第一动态严重性评估模块具体用于根据以下公式计算所述动态严重性定量分值：

动态严重性定量分值＝b*流行性影响因子+c*产生环境影响因子；

其中，b和c为权重因子，符号*表示乘法运算，所述流行性影响因子的取值为距离当前时间上一月内该类型漏洞爆发率，产生环境影响因子的取值为距离当前时间上一月内该漏洞关联厂商的漏洞发生率。本实施例中，b＝6，c＝4。

需要说明是，该系统实施例与上述方法实施例基于同一构思作出，且与上述方法实施例一一对应，具体请参考前述方法实施例中的详细描述，此处不再赘述。

本发明实施例结合了漏洞严重性定性评估和定量评估的优点给出漏洞的静态评估结果，当静态评估结果相同时，对比漏洞动态评估结果，动态评估结果中设置定量分值进行评估，且还结合了漏洞发生的时序影响因素，从而可以彻底明确漏洞的严重性进而确定修补优先级，进行漏洞修补。本发明可以从根本上解决漏洞修补的优先级无法彻底确定的问题，避免了对计算机系统产生潜在的重大危害，大大提高了计算机系统的安全性。

本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

上面结合附图对本发明的具体实施方式进行了详细说明，但本发明并不限制于上述实施方式，在不脱离本申请的权利要求的精神和范围情况下，本领域的技术人员可以作出各种修改或改型。