一种信息系统安全性自动化渗透测试方法

摘要

本发明属于网络安全技术领域，公开了一种信息系统安全性自动化渗透测试方法。通过建立渗透测试平台，自动扫描信息系统主机状态和拓扑结构及信息系统安全漏洞，分析漏洞信息，自动调用漏洞验证库中验证脚本对目标系统进行攻击，获取并提升目标控制权限，在渗透攻击结束后清除访问痕迹。最后对整个渗透测试过程和结果进行记录和分析，生成测试报告。本发明综合考虑渗透测试流程，充分利用现有安全性分析工具，设计自动化渗透测试模块封装各类工具，实现了工具的自动调用和执行，提高了渗透测试过程的完整性。通过对不同模块间数据的交换利用，自动化分析整理安全性分析工具的结果输出，提高了渗透测试的效率和自动化程度。

主权项

一种信息系统安全性自动化渗透测试方法，其特征在于包括以下步骤：步骤1：扫描目标信息系统，获取主机信息；步骤1.1：扫描目标信息系统网段内的主机，通过扫描得到信息系统拓扑结构及主机存活状态，以及初步获得的主机操作系统版本信息；步骤1.2：选择渗透测试目标主机，由测试人员设定信息获取参数，包括获取哪方面数据、获取数量、获取的数据精度；步骤1.3：深入扫描主机的详细信息，包括操作系统类型和具体版本、IP地址和MAC地址、系统运行的网络服务和开放的网络端口；步骤1.4：将获取的目标系统及主机信息经过数据格式化、数据分析、数据提取、整合等处理后保存到数据库中，建立目标信息表，该表以目标主机IP地址为主键；步骤2：扫描目标信息系统漏洞，获取系统漏洞信息；步骤2.1：分析步骤1.4得到的目标信息表，调用合适的工具扫描目标信息系统漏洞，得到系统存在的安全漏洞；步骤2.2：查询对比公开的CVE漏洞库，关联提取漏洞公开的描述、操作系统版本、漏洞类型、载体信息、漏洞触发条件和漏洞危害程度信息；步骤2.3：将扫描整合的漏洞基本信息按照相应字段进行处理之后保存到漏洞信息表；步骤3：分析步骤1和步骤2获取的主机和漏洞信息，结合攻击策略建立攻击模型，根据攻击模型对目标系统尝试攻击，获取攻击反馈结果；步骤4：综合分析渗透测试过程，梳理测试步骤、使用的工具，生成渗透测试报告；测试报告将详细记录入侵过程、获取的目标信息、目标存在的安全性漏洞、攻击方法、使用的工具、攻击目标的反馈数据进行详细记录，并对目标脆弱性产生原因进行分析，明确其危害程度，为改善目标脆弱性提供初步解决方案。