[发明专利]开源组件安全漏洞处理方法和装置

说明书

本发明提供了一种开源组件安全漏洞处理方法和装置，涉及计算机技术领域，方法包括：扫描项目代码目录获取项目的开源组件信息；从漏洞披露平台获取前一日发布的开源组件漏洞舆情信息；将开源组件信息和开源组件漏洞舆情信息进行比对，获得比对结果一致的待处理开源组件；基于待处理开源组件的漏洞影响依赖树来确定待处理开源组件的漏洞修复优先度；基于漏洞修复优先度修复待处理开源组件的安全漏洞。本发明通过漏洞依赖树来确定漏洞修复优先度，可以直观的展示各个因素对开源组件可能遭受的漏洞攻击影响。通过数学计算结果评估开源组件是否存在潜在的漏洞风险，使得漏洞确认结果更加的精准，极大的提高了开源组件升级及管控的效率。

技术领域

本发明涉及计算机技术领域，可用于金融领域，尤其涉及一种开源组件安全漏洞处理方法和装置。

背景技术

随着互联网金融的兴起，开源组件在日常的开发应用中越来越广泛，开源组件是一类可应用于软件应用程序开发的第三方组件，它具有开放性、多元性和便捷性的特点。开发人员基于开源组件来开发软件应用程序可减少开发时间，提高开发效率，能够更快速地开发出软件应用程序。基于开源组件的特点，开始将开源组件应用于金融科技领域，以便为金融企业的开发人员提供更为便利的服务。

软件安全漏洞指的是在软件功能、性能方面具体实现以及安全策略上的缺陷，攻击者利用安全漏洞，可以在未授权的情况下访问软件系统、读取业务数据甚至破坏软件正常运行，造成重大损失。随着业务架构的日趋复杂、开源社区的发展以及各种技术框架的引入，软件研发过程中对开源软件的使用量大幅增加，相应地，由开源软件引入的安全漏洞也频繁出现。由于开源软件的通用性，使得攻击者利用开源漏洞的成本也在降低，安全形势日趋严峻。

目前对于开源组件安全漏洞的处理方法为：由安全扫描工具对开源组件漏洞进行周期性扫描，一旦涉及到相关应用漏洞版本则立刻通知应用开发人员进行人工确认是否需要升级修复开源组件漏洞。对于开源组件的漏洞利用难度也没有一套系统的评估机制，完全依赖开发人员人工确认处理。对于需要升级修复的开源组件漏洞，也需要开发人员自发进行版本升级，没有统一的开源组件漏洞升级管理平台。目前的开源组件漏洞确认方式，难以精准的确认项目是否可能受到潜在的开源组件漏洞威胁的影响、开源组件的受到漏洞的影响程度也没有一个判定标准，完全由开发人员人工进行评估，极大的增加了开发人员的工作量，同时也降低开源组件的漏洞升级修复工作的精确性。

发明内容

有鉴于此，本发明提供一种开源组件安全漏洞处理方法和装置，以解决上述提及的至少一个问题。

为了实现上述目的，本发明采用以下方案：

根据本发明的第一方面，提供一种开源组件安全漏洞处理方法，所述方法包括：扫描项目代码目录获取项目的开源组件信息；从漏洞披露平台获取前一日发布的开源组件漏洞舆情信息；将所述开源组件信息和所述开源组件漏洞舆情信息进行比对，获得比对结果一致的具有安全漏洞的待处理开源组件；基于所述待处理开源组件的漏洞影响依赖树来确定所述待处理开源组件的漏洞修复优先度；基于所述漏洞修复优先度修复所述待处理开源组件的安全漏洞。

作为本发明的一个实施例，上述方法中扫描项目代码目录获取项目的开源组件信息包括：利用持续化集成工具对接代码仓库，实现扫描项目代码目录获取项目的开源组件信息。

作为本发明的一个实施例，上述方法中将所述开源组件信息和所述开源组件漏洞舆情信息进行比对包括：将所述开源组件信息及所述开源组件漏洞舆情信中开源组件的名称及版本号进行比对。

作为本发明的一个实施例，上述方法中获得比对结果一致的具有安全漏洞的待处理开源组件之后，所述方法还包括：提取所述待处理开源组件的依赖树建立信息；基于所述依赖树建立信息构建所述待处理开源组件的漏洞影响依赖树。