(57)【特許請求の範囲】
【請求項１】
サーバによってサーバ読み取り可能な不揮発性記録媒体に記憶されたコマンドを実行させることで逆方向走査プロキシモジュールの機能を実現する脆弱性走査方法であり、
前記逆方向走査プロキシモジュールにより、クライアントのメッセージを取得することと、
前記逆方向走査プロキシモジュールは、前記クライアントのメッセージを脆弱性スキャナーに送ることにより、前記脆弱性スキャナーは、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別し、又は、前記逆方向走査プロキシモジュールは、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別し、前記クライアントの脆弱性を脆弱性スキャナーに送ることと、
前記逆方向走査プロキシモジュールは、前記脆弱性スキャナーの制御コマンドを受信し、前記制御コマンドに基づいて動作方式及び／又は動作モードを変更し、脆弱性ルールを更新することとを備えることを特徴とする脆弱性走査方法。
【請求項２】
前記逆方向走査プロキシモジュールにより、クライアントのメッセージを取得することは、
前記逆方向走査プロキシモジュールにより、前記クライアントと前記サーバの対話のプロセスにおいて前記クライアントから送られた業務要求メッセージ及び応答メッセージを取得すること、又は、
前記逆方向走査プロキシモジュールは、前記クライアントに仮想テストメッセージを送り、前記仮想テストメッセージに対する前記クライアントの返答メッセージを取得することを含むことを特徴とする請求項１に記載の方法。
【請求項３】
前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別することは、
前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージの特徴フィールドに基づいて前記クライアントの脆弱性を識別し、又は、
前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージを、デフォルト対話メッセージ、デフォルトメッセージシーケンス又は脆弱性特性ルールとマッチングすることにより、前記クライアントの脆弱性を識別することを含むことを特徴とする請求項２に記載の方法。
【請求項４】
前記逆方向走査プロキシモジュール又は前記脆弱性スキャナーにより、前記サーバの脆弱性を取得することと、
前記逆方向走査プロキシモジュール又は前記脆弱性スキャナーは、前記サーバの脆弱性及び前記クライアントの脆弱性に基づいてネットワーク欠陥情報を取得することとを更に備えることを特徴とする請求項１〜３の何れか１つに記載の方法。
【請求項５】
前記ネットワーク欠陥情報は、ネットワーク欠陥密度及びネットワークセキュリティレベルを含み、
前記サーバの脆弱性及び前記クライアントの脆弱性に基づいてネットワーク欠陥情報を取得することは、
少なくとも１種類の第一の分類ルールに基づいて前記サーバの脆弱性と前記クライアントの脆弱性に対して分類してネットワーク欠陥タイプ集合を取得し、前記ネットワーク欠陥タイプ集合は、少なくとも１種類のネットワーク欠陥を含むことと、
少なくとも１種類の第二の分類ルールに基づいて前記サーバ及び前記クライアントからなるネットワーク領域に対して分類してネットワークサブ領域集合を取得し、前記ネットワークサブ領域集合は、少なくとも１つのネットワークサブ領域を含むことと、
前記ネットワーク欠陥タイプ集合及び前記ネットワークサブ領域集合に基づいてネットワーク欠陥密度を取得することと、
前記ネットワーク欠陥密度に基づいてネットワークセキュリティレベルを取得することとを備えることを特徴とする請求項４に記載の方法。
【請求項６】
少なくとも１種類の第一の分類ルールに基づいて前記サーバの脆弱性と前記クライアントの脆弱性に対して分類してネットワーク欠陥タイプ集合を取得することは、
上述した少なくとも１種類の第一の分類ルールのうち、ｍ種類目の第一の分類ルールに基づいて前記サーバの脆弱性及び前記クライアントの脆弱性を、ｎ種類のネットワーク欠陥からなる第一の集合
0006411661.tif 000084
に分類し、ｍ≧１、ｎ≧１、
0006411661.tif 000085
は、ｍ種類目の第一の分類ルールに基づいて前記脆弱性を分類した後に得られた
0006411661.tif 000086
種類目のネットワーク欠陥を示し、
0006411661.tif 000087
、
且つ
0006411661.tif 000088
については、
0006411661.tif 000089
を満たすことと、
前記第一の分類ルールのうち、前記脆弱性をＮ種類以下のネットワーク欠陥に分類する第一の目標分類ルールを決め、前記第一の目標分類ルールにより前記脆弱性を分類して得られた第一の集合は、前記ネットワーク欠陥タイプ集合
0006411661.tif 000090
を構成し、なお、
0006411661.tif 000091
は、ｎのマップ関数であり、前記脆弱性をｎ≦Ｎ類のネットワーク欠陥に分類する第一の目標分類ルールを示し、
0006411661.tif 000092
は、前記脆弱性をｎ≦Ｎ類のネットワーク欠陥に分類する集合を示すこととを備えることを特徴とする請求項５に記載の方法。
【請求項７】
少なくとも１種類の第二の分類ルールに基づいて前記サーバ及び前記クライアントからなるネットワーク領域に対して分類してネットワークサブ領域集合を取得することは、
前記少なくとも１種類の第二の分類ルールのうち、ｔ種類目の第二の分類ルールに基づいて前記ネットワーク領域を第二の集合
0006411661.tif 000093
に分類し、ｔ≧１、Ｓ≧１、
0006411661.tif 000094
は、前記ｔ種類目の第二の分類ルールに基づいて前記ネットワーク領域を分類した後に得られたｓ＋１番目のネットワークサブ領域を示し、
0006411661.tif 000095
、
且つ
0006411661.tif 000096
については、
0006411661.tif 000097
を満たすことと、
Ｔ個の第二の分類ルールのそれぞれを用いて前記ネットワーク領域を分類した後に得られた第二の集合は、前記ネットワークサブ集合
0006411661.tif 000098
を構成し、
0006411661.tif 000099
は、前記ｔ種類目の第二の分類ルールに基づいて前記ネットワーク領域を分類した後に得られた前記ネットワークサブ領域の数を示すこととを備えることを特徴とする請求項５に記載の方法。
【請求項８】
前記ネットワーク欠陥密度は、ネットワークサブ領域内のネットワーク欠陥密度及びネットワークサブ領域内の設備欠陥密度を備え、
前記ネットワーク欠陥タイプ集合及び前記ネットワークサブ領域集合によりネットワーク欠陥密度を取得することは、前記ネットワーク欠陥タイプ集合
0006411661.tif 000100
及び前記ネットワークサブ領域集合
0006411661.tif 000101
に基づいて前記ネットワークサブ領域内のネットワーク欠陥密度
0006411661.tif 000102
を取得し、なお、
0006411661.tif 000103
、
0006411661.tif 000104
を満たし、
0006411661.tif 000105
は、
0006411661.tif 000106
範囲内に
0006411661.tif 000107
を選び出すのに用いられ、
0006411661.tif 000108
は、
0006411661.tif 000109
の数を算出するのに用いられることと、
前記ネットワーク欠陥タイプ集合
0006411661.tif 000110
及びネットワークサブ領域集合
0006411661.tif 000111
に基づいて前記ネットワークサブ領域内の設備欠陥密度
0006411661.tif 000112
を取得し、なお、
0006411661.tif 000113
、
0006411661.tif 000114
、
0006411661.tif 000115
は、
0006411661.tif 000116
範囲内に
0006411661.tif 000117
を選び出すのに用いられ、
0006411661.tif 000118
は、
0006411661.tif 000119
の数を算出するのに用いられることとを備えることを特徴とする請求項６又は７に記載の方法。
【請求項９】
前記ネットワークセキュリティレベルは、第一のネットワークセキュリティレベル及び第二のネットワークセキュリティレベルを備え、
前記ネットワーク欠陥密度に基づいてネットワークセキュリティレベルを取得することは、
前記ネットワークサブ領域内のネットワーク欠陥密度
0006411661.tif 000120
に基づいて前記第一のネットワークセキュリティレベル
0006411661.tif 000121
を取得し、なお、
0006411661.tif 000122
、
0006411661.tif 000123
は、
0006411661.tif 000124
の単調減少関数であることと、
前記ネットワークサブ領域内の設備欠陥密度
0006411661.tif 000125
に基づいて前記第二のネットワークセキュリティレベル
0006411661.tif 000126
を取得し、なお、
0006411661.tif 000127
、
0006411661.tif 000128
は、
0006411661.tif 000129
の単調減少関数であることとを備えることを特徴とする請求項８に記載の方法。
【請求項１０】
前記
0006411661.tif 000130
は、
0006411661.tif 000131
であり、前記
0006411661.tif 000132
は、
0006411661.tif 000133
であり、
0006411661.tif 000134
は、定数であることを特徴とする請求項９に記載の方法。
【請求項１１】
前記ネットワーク欠陥情報は、ネットワーク欠陥密度分布及びネットワークセキュリティレベル分布を更に含み、前記ネットワーク欠陥密度分布は、前記ネットワークサブ領域内のネットワーク欠陥密度の分布関数及び前記ネットワークサブ領域内の設備欠陥密度の分布関数を含み、前記ネットワークセキュリティレベル分布は、前記第一のネットワークセキュリティレベルの分布及び前記第二のネットワークセキュリティレベルの分布を含み、
前記ネットワークサブ領域内のネットワーク欠陥密度の分布関数は、
0006411661.tif 000135
であり、前記ネットワークサブ領域内の設備欠陥密度の分布関数は、
0006411661.tif 000136
であり、
前記第一のネットワークセキュリティレベルの分布は、
0006411661.tif 000137
であり、前記第二のネットワークセキュリティレベルの分布は、
0006411661.tif 000138
であることを特徴とする請求項９又は１０に記載の方法。
【請求項１２】
サーバによってサーバ読み取り可能な不揮発性記録媒体に記憶されたコマンドを実行させることでその機能が実現される逆方向走査プロキシモジュールであり、
前記逆方向走査プロキシモジュールは、
クライアントのメッセージを取得するためのメッセージ取得モジュールと、
前記クライアントのメッセージを脆弱性スキャナーに送ることにより、前記脆弱性スキャナーは、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別するための送信モジュール、又は、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別し、前記クライアントの脆弱性を脆弱性スキャナーに送るためのメッセージ識別及び送信モジュールと、
前記脆弱性スキャナーの制御コマンドを受信し、前記制御コマンドに基づいて動作方式及び／又は動作モードを変更し、脆弱性ルールを更新するための受信制御モジュールとを備えることを特徴とする逆方向走査プロキシモジュール。
【請求項１３】
前記メッセージ取得モジュールは、具体的には、前記クライアントと前記サーバの対話のプロセスにおいて前記クライアントから送られた業務要求メッセージ及び応答メッセージを取得し、又は、
前記送信モジュールは、前記クライアントに仮想テストメッセージを送るためにも用いられ、前記メッセージ取得モジュールは、具体的には、前記仮想テストメッセージに対する前記クライアントの返答メッセージを取得するために用いられることを特徴とする請求項１２に記載の逆方向走査プロキシモジュール。
【請求項１４】
前記メッセージ識別及び送信モジュールは、具体的には、前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージの特徴フィールドに基づいて前記クライアントの脆弱性を識別し、又は、前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージを、デフォルト対話メッセージ、デフォルトメッセージシーケンス又は脆弱性特性ルールとマッチングすることにより、前記クライアントの脆弱性を識別することを特徴とする請求項１３に記載の逆方向走査プロキシモジュール。
【請求項１５】
前記メッセージ取得モジュールは、前記サーバの脆弱性を取得するためにも用いられ、
前記逆方向走査プロキシモジュールは、前記サーバの脆弱性及び前記クライアントの脆弱性に基づいてネットワーク欠陥情報を取得するための第一のネットワーク欠陥分析モジュールを更に備えることを特徴とする請求項１４に記載の逆方向走査プロキシモジュール。
【請求項１６】
逆方向走査プロキシモジュールから送られたクライアントのメッセージを受信し、又は、逆方向走査プロキシモジュールから送られたクライアントの脆弱性を受信するための受信モジュールと、
前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別するためのメッセージ識別モジュールと、
前記逆方向走査プロキシモジュールに制御コマンドを送ることで、前記逆方向走査プロキシモジュールは、前記制御コマンドに基づいて動作方式及び／又は動作モードを変更し、脆弱性ルールを更新するためのコマンド送信モジュールとを備えることを特徴とする脆弱性スキャナー。
【請求項１７】
前記メッセージ識別モジュールは、具体的には、前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージの特徴フィールドに基づいて前記クライアントの脆弱性を識別し、又は、前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージを、デフォルト対話メッセージ、デフォルトメッセージシーケンス又は脆弱性特性ルールとマッチングすることにより、前記クライアントの脆弱性を識別することを特徴とする請求項１６に記載の脆弱性スキャナー。
【請求項１８】
前記受信モジュールは、サーバの脆弱性を取得するのに用いられ、
前記脆弱性スキャナーは、前記サーバの脆弱性及び前記クライアントの脆弱性に基づいてネットワーク欠陥情報を取得するための第二のネットワーク欠陥分析モジュールを更に備えることを特徴とする請求項１７に記載の脆弱性スキャナー。
【請求項１９】
請求項１２〜１５の何れか１つに記載の逆方向走査プロキシモジュール及び請求項１６〜１８の何れか１つに記載の脆弱性スキャナーを備えることを特徴とする脆弱性走査システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施例は、ネットワークセキュリティ分野に関し、特に脆弱性走査方法及び装置に関するものである。
【背景技術】
【０００２】
コンピュータネットワークの進化に伴い、ネットワークセキュリティ技術も進化しつつある。サーバには、重大な脆弱性が存在すれば、ハッカーは、当該脆弱性によりサーバ又はクライアントの重要な情報を窃取するという恐ろしい結果を招いてしまうので、ネットワークセキュリティの重要性が益々顕著になっている。
【０００３】
従来技術では、主に脆弱性スキャナーでサーバの脆弱性を遠隔テストすることにより、ネットワークセキュリティを維持する。具体的には、脆弱性スキャナーは、クライアントとしてサーバに接続要求メッセージを送信し、サーバは、当該接続要求メッセージに応答し、応答メッセージを脆弱性スキャナーに送信し、脆弱性スキャナーは、当該応答メッセージに基づいてサーバに脆弱性が存在するか否かを分析する。
【０００４】
ネットワーク環境全体は、サーバを含む他に、サーバに接続するクライアントも含むが、従来技術では、サーバのセキュリティ問題だけを遠隔テストするので、ネットワーク環境全体のセキュリティをテストすることができない。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明の実施例は、ネットワーク環境全体のセキュリティをテストすることが可能な脆弱性走査方法及び装置を提供する。
【０００６】
本発明の実施例の第一の局面は、逆方向走査プロキシモジュールにより、クライアントのメッセージを取得することと、
前記逆方向走査プロキシモジュールは、前記クライアントのメッセージを脆弱性スキャナーに送ることにより、前記脆弱性スキャナーは、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別し、又は、前記逆方向走査プロキシモジュールは、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別し、前記クライアントの脆弱性を脆弱性スキャナーに送ることと、
前記逆方向走査プロキシモジュールは、前記脆弱性スキャナーの制御コマンドを受信し、前記制御コマンドに基づいて動作方式及び／又は動作モードを変更し、脆弱性ルールを更新することとを備える脆弱性走査方法を提供する。
【０００７】
本発明の実施例のもう１つの局面は、クライアントのメッセージを取得するためのメッセージ取得モジュールと、
前記クライアントのメッセージを脆弱性スキャナーに送ることにより、前記脆弱性スキャナーは、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別するための送信モジュール、又は、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別し、前記クライアントの脆弱性を脆弱性スキャナーに送るためのメッセージ識別及び送信モジュールと、
前記脆弱性スキャナーの制御コマンドを受信し、前記制御コマンドに基づいて動作方式及び／又は動作モードを変更し、脆弱性ルールを更新するための受信制御モジュールとを備える逆方向走査プロキシモジュールを提供する。
【０００８】
本発明の実施例のもう１つの局面は、逆方向走査プロキシモジュールから送られたクライアントのメッセージを受信し、又は、逆方向走査プロキシモジュールから送られたクライアントの脆弱性を受信するための受信モジュールと、
前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別するためのメッセージ識別モジュールと、
前記逆方向走査プロキシモジュールに制御コマンドを送ることにより、前記逆方向走査プロキシモジュールは、前記制御コマンドに基づいて動作方式及び／又は動作モードを変更し、脆弱性ルールを更新するためのコマンド送信モジュールとを備える脆弱性スキャナーを提供する。
【０００９】
本発明の実施例のもう１つの局面は、前記逆方向走査プロキシモジュール及び前記脆弱性スキャナーを備える脆弱性走査システムを提供する。
【発明の効果】
【００１０】
本発明の実施例による脆弱性走査方法及び装置では、逆方向走査プロキシモジュールによりクライアントのメッセージを取得し、クライアントのメッセージを分析してクライアントに存在する脆弱性を識別する。よって、サーバのセキュリティ問題を遠隔テストすると同時に、クライアントのセキュリティ問題を分析することもできるので、ネットワーク環境全体のセキュリティをテストすることができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の実施例による脆弱性走査方法のフロー図である。
【図２】本発明の実施例によるネットワークトポロジー図である。
【図３】本発明の実施例による、ネットワーク欠陥情報を取得する方法のフロー図である。
【図４】本発明の実施例による逆方向走査プロキシモジュールの構成図である。
【図５】本発明のもう１つの実施例による逆方向走査プロキシモジュールの構成図である。
【図６】本発明のもう１つの実施例による逆方向走査プロキシモジュールの構成図である。
【図７】本発明の実施例による脆弱性スキャナーの構成図である。
【図８】本発明のもう１つの実施例による脆弱性スキャナーの構成図である。
【図９】本発明の実施例による脆弱性走査システムの構成図である。
【発明を実施するための形態】
【００１２】
図１は、本発明の実施例による脆弱性走査方法のフロー図である。図２は、本発明の実施例によるネットワークトポロジー図である。本発明の実施例による脆弱性走査方法の具体的なステップは、次の通りである。
【００１３】
ステップＳ１０１においては、逆方向走査プロキシモジュールによりクライアントのメッセージを取得する。
【００１４】
前記逆方向走査プロキシモジュールは、サーバにインストールされている。前記逆方向走査プロキシモジュールによりクライアントのメッセージを取得することは、前記逆方向走査プロキシモジュールにより、前記クライアントと前記サーバの対話のプロセスにおいて前記クライアントから送られた業務要求メッセージ及び応答メッセージを取得すること、又は、前記逆方向走査プロキシモジュールは、前記クライアントに仮想テストメッセージを送り、前記仮想テストメッセージに対する前記クライアントの返答メッセージを取得することを含む。
【００１５】
図２に示すように、サーバ管理側の同意があれば、サーバ２２において逆方向走査プロキシモジュール２３をインストールする。なお、逆方向走査プロキシモジュール２３の動作方式は、ロスレス方式及び逆方向走査方式を含み、ロスレス方式とは、サーバ２２とクライアント２４の対話のプロセスにおいて、逆方向走査プロキシモジュール２３によりクライアント２４から送られた業務要求メッセージ及び応答メッセージを取得することを意味し、逆方向走査方式とは、逆方向走査プロキシモジュール２３により仮想テストメッセージを作り、クライアント２４に当該仮想テストメッセージを送り、当該仮想テストメッセージに対するクライアント２４の返答メッセージを取得することを意味する。
【００１６】
ステップＳ１０２においては、前記逆方向走査プロキシモジュールにより前記クライアントのメッセージを脆弱性スキャナーに送ることにより、前記脆弱性スキャナーは、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別し、又は、前記逆方向走査プロキシモジュールは、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別し、前記クライアントの脆弱性を脆弱性スキャナーに送る。
【００１７】
サーバ２２における逆方向走査プロキシモジュール２３は、プロキシモード及び常駐モードとの２つの動作モードを更に有する。プロキシモードとは、逆方向走査プロキシモジュール２３によって、取得したクライアント２４からのメッセージを直接に脆弱性スキャナー２１に送り、脆弱性スキャナー２１によりクライアント２４からのメッセージを分析することを意味し、常駐モードとは、逆方向走査プロキシモジュール２３によって、取得したクライアント２４からのメッセージを分析して中間処理結果を取得し、当該中間処理結果を脆弱性スキャナー２１に送ることを意味する。
【００１８】
ステップＳ１０３においては、前記逆方向走査プロキシモジュールは、前記脆弱性スキャナーの制御コマンドを受信し、前記制御コマンドに基づいて動作方式及び／又は動作モードを変更し、脆弱性ルールを更新する。
【００１９】
脆弱性スキャナー２１は、逆方向走査プロキシモジュール２３に制御コマンドを送ることにより、逆方向走査プロキシモジュール２３に対する制御を実現する。具体的には、逆方向走査プロキシモジュール２３は、制御コマンドに基づいて動作方式及び／又は動作モードを変更し、脆弱性ルールを更新する。
【００２０】
本発明の実施例では、逆方向走査プロキシモジュールによりクライアントのメッセージを取得し、クライアントのメッセージを分析することにより、クライアントに存在する脆弱性を識別する。よって、サーバのセキュリティ問題を遠隔テストすると同時に、クライアントのセキュリティ問題を分析することもできるので、ネットワーク環境全体のセキュリティをテストすることができる。
【００２１】
上述した実施例をもとに、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別することは、前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージの特徴フィールドに基づいて前記クライアントの脆弱性を識別し、又は、前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージを、デフォルト対話メッセージ、デフォルトメッセージシーケンス又は脆弱性特性ルールとマッチングすることにより、前記クライアントの脆弱性を識別することを含む。
【００２２】
本発明の実施例においては、前記逆方向走査プロキシモジュール２３の何れか１つの動作方式と何れか１つの動作モードとの合わせによりクライアント２４から送られたメッセージを取得し、当該メッセージに対して分析処理を行う。前記クライアントから送られたメッセージに基づいて前記クライアントの脆弱性を識別する実行主体は、サーバ２２又は脆弱性スキャナー２１であっても良い。具体的な識別方法は、次のことを含む：１）前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージの特徴フィールドに基づいて前記クライアントの脆弱性を識別する、２）前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージを、デフォルト対話メッセージ、デフォルトメッセージシーケンス又は脆弱性特性ルールとマッチングすることにより、前記クライアントの脆弱性を識別する。
【００２３】
方法１）の場合、クライアント２４から送られた業務要求メッセージのＵｓｅｒ−Ａｇｅｎｔフィールドの内容は、Ｍｏｚｉｌｌａ／５．０  （Ｘ１１；  Ｕｂｕｎｔｕ；  Ｌｉｎｕｘ（登録商標）ｘ８６＿６４；  ｒｖ：２４．０）  Ｇｅｃｋｏ／２０１００１０１  Ｆｉｒｅｆｏｘ／２４．０であり、又は、Ｍｏｚｉｌｌａ／５．０  （Ｗｉｎｄｏｗｓ  ＮＴ  ６．０；  ＷＯＷ６４；  ｒｖ：２４．０）  Ｇｅｃｋｏ／２０１００１０１  Ｆｉｒｅｆｏｘ／２４．０であり、又は、Ｏｐｅｒａ／９．８０  （Ｗｉｎｄｏｗｓ  ＮＴ  ６．１；  Ｕ；  ｅｓ−ＥＳ）  Ｐｒｅｓｔｏ／２．９．１８１  Ｖｅｒｓｉｏｎ／１２．００である場合、当該フィールドによりクライアント２４に用いられるブラウザのバージョン、ブラウザの規格、クライアント２４のオペレーションシステムの種類等の情報を分析することができ、業界の周知の脆弱性データベースの中の脆弱性特性情報と、当該Ｕｓｅｒ−Ａｇｅｎｔフィールドから分析して得られた対応情報とをマッチングすることにより、当該クライアント２４に脆弱性が存在している否かを判定する。
【００２４】
従来の脆弱性データベースにおいては、異なる情報に関連する脆弱性の密接程度、脆弱性の数を優先順位として、データを検索し、例えば、まずは、ブラウザのバージョンを検索することにより、クライアント２４に次のような脆弱性が存在しうると判定する：
Ｍｏｚｉｌｌａ  Ｆｉｒｅｆｏｘ／Ｔｈｕｎｄｅｒｂｉｒｄ／ＳｅａＭｏｎｋｅｙブラウザエンジン内部メモリ安全上脆弱性（ＣＶＥ−２０１３−５６０９）、
Ｍｏｚｉｌｌａ  Ｆｉｒｅｆｏｘ／Ｔｈｕｎｄｅｒｂｉｒｄ／ＳｅａＭｏｎｋｅｙブラウザエンジン内部メモリ安全上脆弱性（ＣＶＥ−２０１３−５６１０）。
【００２５】
更に、ＯＳバージョンを検索することにより、クライアントに次のような脆弱性が存在しうると判定する：
Ｗｉｎｄｏｗｓカーネル情報開示脆弱性（ＭＳ１３−０４８）、Ｍｉｃｒｏｓｏｆｔ  ｗｉｎｄｏｗｓ  ＬＰＣ及びＬＰＣポートサービス拒否脆弱性。
【００２６】
また、本発明の実施例においては、Ｕｓｅｒ−Ａｇｅｎｔフィールドを検出することに限られるわけではなく、クライアント２４から送られたメッセージのうちの他のフィールドを検出しても良い。
【００２７】
方法２）の場合、既存の脆弱性の種類については、特定要求時の代表的なメッセージフォーマット及び対話シーケンスを予め記憶し、例えば、Ｏｐｅｒａ  Ｗｅｂブラウザの複数の不正なＨＴＭＬの分析サービス拒否脆弱性に対しては、逆方向走査プロキシモジュールは、予め当該脆弱性の代表的なメッセージ又はシーケンスを記憶し、具体的には、不正な要求メッセージであり、得られたクライアントのメッセージを、当該不正な要求メッセージとマッチングしても良く、逆方向走査プロキシモジュールは、逆方向走査方式でクライアントに仮想テストメッセージを送り、クライアントから当該不正な要求メッセージを戻すか否かを検出する。正確率を保証するために、複数回でマッチングした後に、クライアントのブラウザにこのような脆弱性が存在していると判定しても良い。異なる脆弱性の代表的なメッセージ又はシーケンス特性に関しては、具体的に定義しても良い。
【００２８】
本発明の実施例は、クライアントの脆弱性を識別するための２つの方法を提供する。
【００２９】
図３は、本発明の実施例による、ネットワーク欠陥情報を取得する方法のフロー図である。上述した実施例をもとに、前記逆方向走査プロキシモジュール又は前記脆弱性スキャナーは、前記サーバの脆弱性を取得すること、及び、前記逆方向走査プロキシモジュール又は前記脆弱性スキャナーは、前記サーバの脆弱性と前記クライアントの脆弱性に基づいてネットワーク欠陥情報を取得することを更に含む。
【００３０】
前記ネットワーク欠陥情報は、ネットワーク欠陥密度及びネットワークセキュリティレベルを含む。前記サーバの脆弱性と前記クライアントの脆弱性に基づいてネットワーク欠陥情報を取得することは、次のステップを備える。
【００３１】
ステップＳ３０１においては、少なくとも１種類の第一の分類ルールに基づいて前記サーバの脆弱性と前記クライアントの脆弱性に対して分類してネットワーク欠陥タイプ集合を取得する。なお、前記ネットワーク欠陥タイプ集合は、少なくとも１種類のネットワーク欠陥を含む。
【００３２】
上述した少なくとも１種類の第一の分類ルールに基づいて前記サーバの脆弱性と前記クライアントの脆弱性に対して分類してネットワーク欠陥タイプ集合を取得することは、次のことを含む：上述した少なくとも１種類の第一の分類ルールのうちのｍ種類目の第一の分類ルールに基づいて前記サーバの脆弱性及び前記クライアントの脆弱性を、ｎ種類のネットワーク欠陥からなる第一の集合
0006411661.tif 000002
（ｍ≧１，ｎ≧１）に分類し、
0006411661.tif 000003
は、ｍ種類目の第一の分類ルールに基づいて前記脆弱性を分類した後に得られた
0006411661.tif 000004
種類目のネットワーク欠陥を示し、
0006411661.tif 000005
、
0006411661.tif 000006
に関して、
0006411661.tif 000007
を満たす。前記第一の分類ルールのうち、前記脆弱性をネットワーク欠陥としてＮ種類以下に分類する第一の目標分類ルールを特定し、前記第一の目標分類ルールにより前記脆弱性を分類して得られた第一の集合は、前記ネットワーク欠陥タイプ集合
0006411661.tif 000008
を構成し、なお、
0006411661.tif 000009
は、ｎのマップ関数であり、前記脆弱性をｎ≦Ｎ類のネットワーク欠陥に分類する第一の目標分類ルールを示し、
0006411661.tif 000010
は、前記脆弱性をｎ≦Ｎ類のネットワーク欠陥に分類する集合を示す。
【００３３】
当該ステップにおける前記脆弱性は、サーバ２２とクライアント２４の脆弱性の集合を指す。前記脆弱性に対して分類する際には、基づいた分類ルールは、第一の分類ルールであり、且つ第一の分類ルールは複数あり、当該第一の分類ルールのうち、ｍ種類目の第一の分類ルールに基づいて前記脆弱性をｎ類のネットワーク欠陥からなる第一の集合
0006411661.tif 000011
（ｍ≧１，ｎ≧１）に分類する場合、
0006411661.tif 000012
は、前記ｍ種類目の第一の分類ルールに基づいて前記脆弱性を分類して得られた
0006411661.tif 000013
類目のネットワーク欠陥を示し、
0006411661.tif 000014
、
且つ
0006411661.tif 000015
については、
0006411661.tif 000016
を満たす。各種類の第一の分類ルールに基づいて前記脆弱性を分類した後に、ｎ類のネットワーク欠陥が得られるとは限らず、ｎは、１つのランダム値であり、ｍ種類目の第一の分類ルール以外の第一の分類ルールに基づいて前記脆弱性を分類した後に得られたネットワーク欠陥は、ｎより大きい可能性もあり、ｎより小さい可能性もあり、ｎに等しい可能性もある。Ｎをネットワーク欠陥タイプ数の閾値とし、当該第一の分類ルールのうち、前記脆弱性をＮ種類以下のネットワーク欠陥に分類する第一の目標分類ルールを選出し、前記第一の目標分類ルールにより前記脆弱性を分類して得られた第一の集合は、前記ネットワーク欠陥タイプの集合
0006411661.tif 000017
を構成し、なお、
0006411661.tif 000018
は、ｎのマップ関数であり、前記脆弱性をｎ≦Ｎ類のネットワーク欠陥に分類する第一の目標分類ルールを示し、
0006411661.tif 000019
は、前記脆弱性をｎ≦Ｎ類のネットワーク欠陥に分類する集合を示す。
【００３４】
ステップＳ３０２においては、少なくとも１種類の第二の分類ルールに基づいて前記サーバ及び前記クライアントからなるネットワーク領域に対して分類してネットワークサブ領域集合を取得し、前記ネットワークサブ領域集合は、少なくとも１つのネットワークサブ領域を含む。
【００３５】
少なくとも１種類の第二の分類ルールに基づいて前記サーバ及び前記クライアントからなるネットワーク領域に対して分類してネットワークサブ領域集合を取得することは、次のことを含む：前記少なくとも１種類の第二の分類ルールのうち、ｔ種類目の第二の分類ルールに基づいて前記ネットワーク領域を第二の集合
0006411661.tif 000020
に分類し、ｔ≧１、Ｓ≧１、
0006411661.tif 000021
は、前記ｔ種類目の第二の分類ルールに基づいて前記ネットワーク領域を分類した後に得られたｓ＋１番目のネットワークサブ領域を示し、
0006411661.tif 000022
、且つ
0006411661.tif 000023
については、
0006411661.tif 000024
を満たす。
【００３６】
Ｔ個の第二の分類ルールのそれぞれを用いて前記ネットワーク領域を分類した後に得られた第二の集合は、前記ネットワークサブ集合
0006411661.tif 000025
を構成し、
0006411661.tif 000026
は、前記ｔ種類目の第二の分類ルールに基づいて前記ネットワーク領域を分類した後に得られた前記ネットワークサブ領域の数を示す。
【００３７】
当該ステップのネットワーク領域は、サーバ及びクライアントからなるネットワーク領域を指し、第二の分類ルールに基づいてネットワーク領域を分類し、第二の分類ルールのうち、ｔ種類目の第二の分類ルールに基づいて前記ネットワーク領域を第二の集合
0006411661.tif 000027
に分類し、ｔ≧１、Ｓ≧１、
0006411661.tif 000028
は、ｔ種類目の第二の分類ルールに基づいて前記ネットワーク領域を分類した後に得られたｓ＋１番目のネットワークサブ領域を示し、
0006411661.tif 000029
、
且つ
0006411661.tif 000030
については、
0006411661.tif 000031
を満たす。仮にｔ種類目の第二の分類ルールは、クライアントのブラウザ種類であれば、
0006411661.tif 000032
は、クライアントのブラウザ種類がIEブラウザであるネットワークサブ領域を示し、
0006411661.tif 000033
は、クライアントのブラウザ種類がＦｉｒｅ  Ｆｏｘであるネットワークサブ領域を示し、
0006411661.tif 000034
は、クライアントのブラウザ種類がＯｐｅｒａであるネットワークサブ領域を示し、
…
0006411661.tif 000035
は、クライアントのブラウザ種類がＳｏｕｇｏ  ｂｒｏｗｓｅｒであるネットワークサブ領域を示し、異なる第二の分類ルールに基づいてネットワーク領域を分類した後に得られた第二の集合が違う。本発明の実施例においては、それぞれの第二の分類ルールに基づいてネットワーク領域を分類した後に得られた第二の集合は、前記ネットワークサブ領域集合
0006411661.tif 000036
を構成し、
0006411661.tif 000037
は、前記ｔ種類目の第二の分類ルールに基づいて前記ネットワーク領域を分類した後に得られた前記ネットワークサブ領域の数を示す。
【００３８】
ステップＳ３０３においては、前記ネットワーク欠陥タイプ集合及び前記ネットワークサブ領域集合に基づいてネットワーク欠陥密度を取得する。前記ネットワーク欠陥密度は、ネットワークサブ領域内のネットワーク欠陥密度及びネットワークサブ領域内の設備欠陥密度を含む。ネットワークサブ領域内のネットワーク欠陥密度は、特定ネットワークサブ領域内のある１種類のネットワーク欠陥の密度を示し、ネットワークサブ領域内の設備欠陥密度は、特定ネットワークサブ領域においてある１種類のネットワーク欠陥が存在するクライアントの数を示し、即ち、ネットワークサブ領域内のネットワーク欠陥密度及びネットワークサブ領域内の設備欠陥密度は、２つの角度からネットワーク欠陥密度を評価する量である。
【００３９】
前記ネットワーク欠陥タイプ集合及び前記ネットワークサブ領域集合に基づいてネットワーク欠陥密度を取得することは、次のことを含む：前記ネットワーク欠陥タイプ集合
0006411661.tif 000038
及びネットワークサブ領域集合
0006411661.tif 000039
に基づいて前記ネットワークサブ領域内のネットワーク欠陥密度
0006411661.tif 000040
を取得し、なお、
0006411661.tif 000041
、
0006411661.tif 000042
、
0006411661.tif 000043
は、
0006411661.tif 000044
範囲内に
0006411661.tif 000045
を選び出すのに用いられ、
0006411661.tif 000046
は、
0006411661.tif 000047
の数を算出するのに用いられる。
【００４０】
前記ネットワーク欠陥タイプ集合
0006411661.tif 000048
及び前記ネットワークサブ領域集合
0006411661.tif 000049
に基づいて前記ネットワークサブ領域内の設備欠陥密度
0006411661.tif 000050
を取得し、なお、
0006411661.tif 000051
、
0006411661.tif 000052
、
0006411661.tif 000053
は、
0006411661.tif 000054
範囲内に
0006411661.tif 000055
を選び出すのに用いられ、
0006411661.tif 000056
は、
0006411661.tif 000057
の数を算出するのに用いられる。
【００４１】
ステップＳ３０４においては、前記ネットワーク欠陥密度に基づいてネットワークセキュリティレベルを取得する。前記ネットワークセキュリティレベルは、第一のネットワークセキュリティレベル及び第二のネットワークセキュリティレベルを含む。
【００４２】
ネットワーク欠陥密度が大きければ、大きいほど、当該ネットワークサブ領域のネットワークセキュリティレベルが低くなるが、ネットワーク欠陥密度が小さければ、小さいほど、当該ネットワークサブ領域のネットワークセキュリティレベルが高くなる。ステップＳ３０３は、ネットワーク欠陥密度を評価する２つの方式を含むので、対応するネットワークセキュリティレベルも第一のネットワークセキュリティレベル及び第二のネットワークセキュリティレベルとの２つの方式を有する。具体的に、第一のネットワークセキュリティレベルは、ネットワークサブ領域内のネットワーク欠陥密度に対応し、第二のネットワークセキュリティレベルは、ネットワークサブ領域内の設備欠陥密度に対応し、第一のネットワークセキュリティレベル及び第二のネットワークセキュリティレベルも２つの角度からネットワークセキュリティレベルを評価する量である。
【００４３】
前記ネットワーク欠陥密度に基づいてネットワークセキュリティレベルを取得することは、次のことを含む：前記ネットワークサブ領域内のネットワーク欠陥密度
0006411661.tif 000058
に基づいて前記第一のネットワークセキュリティレベル
0006411661.tif 000059
を取得し、なお、
0006411661.tif 000060
、
0006411661.tif 000061
は、
0006411661.tif 000062
の単調減少関数である。
【００４４】
前記ネットワークサブ領域内の設備欠陥密度
0006411661.tif 000063
に基づいて前記第二のネットワークセキュリティレベル
0006411661.tif 000064
を取得し、なお、
0006411661.tif 000065
、
0006411661.tif 000066
は、
0006411661.tif 000067
の単調減少関数である。
【００４５】
本発明の実施例においては、異なる第一の分類ルールに基づいてサーバ及びクライアントの脆弱性を分類してネットワーク欠陥タイプ集合を取得し、異なる第二の分類ルールに基づいてサーバ及びクライアントからなるネットワーク領域を分類してネットワークサブ領域集合を取得し、前記ネットワーク欠陥タイプ集合及び前記ネットワークサブ領域集合に基づいてネットワーク欠陥密度を取得し、前記ネットワーク欠陥密度に基づいてネットワークセキュリティ密度を取得し、ネットワークセキュリティレベルについて定量的表現を実現した。
【００４６】
上述した実施例をもとに、前記
0006411661.tif 000068
は、
0006411661.tif 000069
であり、前記
0006411661.tif 000070
は、
0006411661.tif 000071
であり、なお、
0006411661.tif 000072
は、定数である。
【００４７】
ネットワーク欠陥密度が大きければ、大きいほど、ネットワークサブ領域のネットワークセキュリティレベルが低くなるが、ネットワーク欠陥密度が小さければ、小さいほど、ネットワークサブ領域のネットワークセキュリティレベルが高くなり、即ち、ネットワークセキュリティレベルとネットワーク欠陥密度が逆比例である。上述した実施例においては、単調減少関数
0006411661.tif 000073
及び
0006411661.tif 000074
は、ネットワークセキュリティレベルとネットワーク欠陥密度の関係を示しているが、本発明の実施例においては、
0006411661.tif 000075
及び
0006411661.tif 000076
を用いて単調減少関数
0006411661.tif 000077
及び
0006411661.tif 000078
を示すことが好ましく、なお、
0006411661.tif 000079
は定数である。
【００４８】
前記ネットワーク欠陥情報は、ネットワーク欠陥密度分布及びネットワークセキュリティレベル分布を更に含み、ネットワーク欠陥密度分布は、前記ネットワークサブ領域内のネットワーク欠陥密度の分布関数及び前記ネットワークサブ領域内の設備欠陥密度の分布関数を含み、前記ネットワークセキュリティレベル分布は、前記第一のネットワークセキュリティレベルの分布及び前記第二のネットワークセキュリティレベルの分布を含む。なお、前記ネットワークサブ領域内のネットワーク欠陥密度の分布関数は、
0006411661.tif 000080
であり、前記ネットワークサブ領域内の設備欠陥密度の分布関数は、
0006411661.tif 000081
であり、前記第一のネットワークセキュリティレベルの分布は、
0006411661.tif 000082
であり、前記第二のネットワークセキュリティレベルの分布は、
0006411661.tif 000083
である。
【００４９】
上述した実施例においては、第一のネットワークセキュリティレベル及び第二のネットワークセキュリティレベルによりネットワークのセキュリティを示しているが、本発明の実施例においては、第一のネットワークセキュリティレベルの分布及び第二のネットワークセキュリティレベルの分布によりネットワークのセキュリティを示す。
【００５０】
本発明の実施例においては、ネットワークセキュリティレベルとネットワーク欠陥密度の関係を具体的に示していると同時に、ネットワークセキュリティレベルの分布でネットワークセキュリティを判定する方式を加えた。
【００５１】
図４は、本発明の実施例による逆方向走査プロキシモジュールの構成図である。図５は、本発明のもう１つの実施例による逆方向走査プロキシモジュールの構成図である。図６は、本発明のもう１つの実施例による逆方向走査プロキシモジュールの構成図である。本発明の実施例による逆方向走査プロキシモジュールは、脆弱性走査方法の実施例による処理の流れを行うことができる。図４、図５に示すように、逆方向走査プロキシモジュール２３は、メッセージ取得モジュール２３１と、送信モジュール２３２又はメッセージ識別及び送信モジュール２３３と、受信制御モジュール２３５とを備える。なお、メッセージ取得モジュール２３１は、クライアントのメッセージを取得するために用いられ、送信モジュール２３２は、前記脆弱性スキャナーが前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別するように、前記クライアントのメッセージを脆弱性スキャナーに送るために用いられ、メッセージ識別及び送信モジュール２３３は、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別し、前記クライアントの脆弱性を脆弱性スキャナーに送るために用いられ、受信制御モジュール２３５は、前記脆弱性スキャナーの制御コマンドを受信し、前記制御コマンドに基づいて動作方式及び／又は動作モードを変更し、脆弱性ルールを更新するために用いられる。
【００５２】
前記逆方向走査プロキシモジュール２３は、サーバにインストールされ、前記メッセージ取得モジュール２３１は、前記クライアントと前記サーバの対話のプロセスにおいて前記クライアントから送られた業務要求メッセージ及び応答メッセージを取得し、又は、前記送信モジュール２３２は、前記クライアントに仮想テストメッセージを送るために用いられ、前記メッセージ取得モジュール２３１は、具体的には、前記仮想テストメッセージに対する前記クライアントの返答メッセージを取得するために用いられる。
【００５３】
前記メッセージ識別及び送信モジュール２３３は、具体的には、前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージの特徴フィールドに基づいて前記クライアントの脆弱性を識別し、又は、前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージを、デフォルト対話メッセージ、デフォルトメッセージシーケンス又は脆弱性特性ルールとマッチングすることにより、前記クライアントの脆弱性を識別する。
【００５４】
前記メッセージ取得モジュール２３１は、前記サーバの脆弱性を取得するためにも用いられる。図６に示すように、前記逆方向走査プロキシモジュール２３は、前記サーバの脆弱性及び前記クライアントの脆弱性に基づいてネットワーク欠陥情報を取得するための第一のネットワーク欠陥分析モジュール２３４を更に備える。
【００５５】
本発明の実施例においては、逆方向走査プロキシモジュールによりクライアントのメッセージを取得し、クライアントのメッセージを分析してクライアントに存在する脆弱性を識別する。よって、サーバのセキュリティ問題を遠隔テストすると同時に、クライアントのセキュリティ問題を分析することもできるので、ネットワーク環境全体のセキュリティテストを実現することができる。
【００５６】
図７は、本発明の実施例による脆弱性スキャナーの構成図である。図８は、本発明のもう１つの実施例による脆弱性スキャナーの構成図である。本発明の実施例による脆弱性スキャナーは、脆弱性走査方法の実施例による処理の流れを行うことができる。図７に示すように、脆弱性スキャナー２１は、受信モジュール２１１と、メッセージ識別モジュール２１２と、コマンド送信モジュール２１４とを備える。なお、受信モジュール２１１は、逆方向走査プロキシモジュールから送られたクライアントのメッセージを受信するために用いられ、又は、逆方向走査プロキシモジュールから送られたクライアントの脆弱性を受信するために用いられ、メッセージ識別モジュール２１２は、前記クライアントのメッセージに基づいて前記クライアントの脆弱性を識別するために用いられ、コマンド送信モジュール２１４は、前記逆方向走査プロキシモジュールに制御コマンドを送ることで、前記逆方向走査プロキシモジュールは、前記制御コマンドに基づいて動作方式及び／又は動作モードを変更し、脆弱性ルールを更新するために用いられる。
【００５７】
前記メッセージ識別モジュール２１２は、具体的には、前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージの特徴フィールドに基づいて前記クライアントの脆弱性を識別し、又は、前記業務要求メッセージ、前記応答メッセージ及び／又は前記返答メッセージを、デフォルト対話メッセージ、デフォルトメッセージシーケンス又は脆弱性特性ルールとマッチングすることにより、前記クライアントの脆弱性を識別する。
【００５８】
前記受信モジュール２１１は、サーバの脆弱性を取得するためにも用いられ、図８に示すように、脆弱性スキャナー２１は、前記サーバの脆弱性及び前記クライアントの脆弱性に基づいてネットワーク欠陥情報を取得するための第二のネットワーク欠陥分析モジュール２１３を更に備える。
【００５９】
本発明の実施例においては、逆方向走査プロキシモジュールによりクライアントのメッセージを取得し、クライアントのメッセージを分析してクライアントに存在する脆弱性を識別する。よって、サーバのセキュリティ問題を遠隔テストすると同時に、クライアントのセキュリティ問題を分析することもできるので、ネットワーク環境全体のセキュリティテストを実現することができる。
【００６０】
図９は、本発明のもう１つの実施例による脆弱性走査システムの構成図である。本発明の実施例による脆弱性走査システムは、脆弱性走査方法の実施例による処理の流れを行うことができる。図９に示すように、脆弱性走査システム９０は、逆方向走査プロキシモジュール２３及び脆弱性スキャナー２１を備える。
【００６１】
本発明の実施例による脆弱性走査システムは、脆弱性走査方法の実施例による処理の流れを行うことができる。
【００６２】
上述した内容を総括すれば、次の通りである：逆方向走査プロキシモジュールによりクライアントのメッセージを取得し、クライアントのメッセージを分析してクライアントに存在する脆弱性を識別する。よって、サーバのセキュリティ問題を遠隔テストすると同時に、クライアントのセキュリティ問題を分析することもできるので、ネットワーク環境全体のセキュリティテストを実現することができる。また、異なる第一の分類ルールに基づいてサーバ及びクライアントの脆弱性を分類してネットワーク欠陥タイプ集合を取得し、異なる第二の分類ルールに基づいてサーバ及びクライアントからなるネットワーク領域を分類してネットワークサブ領域集合を取得し、前記ネットワーク欠陥タイプ集合及び前記ネットワークサブ領域集合に基づいてネットワーク欠陥密度を取得し、前記ネットワーク欠陥密度に基づいてネットワークセキュリティレベルを取得し、ネットワークセキュリティレベルについて定量的表現を実現した。ネットワークセキュリティレベルとネットワーク欠陥密度の関係を具体的に限定すると同時に、ネットワークセキュリティレベルの分布でネットワークセキュリティを判定する方式を加えた。
【００６３】
本発明による幾つかの実施例に記載の装置及び方法は、他の方式で実現することができると理解されたい。例えば、上述した装置の実施例は、例に過ぎず、例えば、前記ユニットの分類は、ロジック機能分類に過ぎず、実際は、他の分類方式で実現することができ、例えば、複数のユニット又は部材を組み合わせる又は他の１つのシステムに集積しても良く、ある特徴を無視しても良く、実行しなくても良い。また、表示又は検討される互いのカップリング又は直接的カップリング又は通信接続は、幾つかのインターフェースによっても良く、装置又はユニットの間接的カップリング又は通信接続は、電気的、機械的又は他の方式でも良い。
【００６４】
隔離部材として説明されたユニットは、物理的に離れても良く、離れなくても良い。ユニットとして表示する部材は、物理的なユニットであっても良く、ではなくても良く、即ち、１つの場所に位置しても良く、複数のネットワークユニットに分布しても良い。実際の必要に応じてそのうちの一部又はユニット全体を選択して本実施例による技術案の目的を実現することができる。
【００６５】
また、本発明の各実施例におけるそれぞれの機能ユニットは、１つの処理ユニットに集積しても良く、各ユニットは、単独で物理的に存在しても良く、２つ又は二つ以上のユニットを１つのユニットに集積しても良い。上述した集積ユニットは、ハードウエアの形で実現しても良く、ハードウエア及びソフトウエアの機能ユニットの形で実現しても良い。
【００６６】
上述したソフトウエアの機能ユニットの形で実現した集積ユニットは、１つのコンピュータ読み取り可能な記録媒体に記憶しても良い。上述したソフトウエアの機能ユニットを１つの記録媒体に記憶することは、一台のコンピュータ設備（パーソナルコンピュータ、サーバ又はネットワーク設備等であっても良い）又は処理装置（Ｐｒｏｃｅｓｓｏｒ）により本発明の各実施例による前記方法の一部のステップを実行するための若干のコマンドを含む。前述した記録媒体は、Ｕディスク、移動ハードウエア、リードオンリーメモリ（Ｒｅａｄ−Ｏｎｌｙ  Ｍｅｍｏｒｙ，ＲＯＭ）、ランダムアクセスメモリ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ、ＲＡＭ）、磁気ディスク又は光ディスク等の様々なプログラムコードを記憶することが可能な媒体を含む。
【００６７】
説明の便宜上、上述した各機能モジュールの分類を例として説明したが、当業者は、実際の応用においては、必要に応じて上述した機能を異なる機能モジュールに分担させて完成すること、即ち、装置の内部構成を異なる機能モジュールに分けられ、上記のすべてまたは一部の機能を実現することができると明らかに分かっている。上記の装置の具体的な動作プロセスについては、前記方法の実施例における対応するプロセスを参考することができるので、ここで繰り返して説明しない。
【００６８】
最後に説明すべき内容は、次の通りである：上述した各実施例は、本発明の技術案を説明する時だけに用いられ、本発明を制限しない。上述した各実施例を参考して本発明を詳しく説明したが、当業者は、依然として上述した各実施例に記載の技術案を変更し、又はそのうちの一部又は全部の技術的特徴に対して等価置換を行って良い。なお、相応する技術案の本質は、これらの変更又は置換により、本発明の各実施例の技術案の範囲から逸脱しなければ、本発明の特許請求の範囲に属する。
【図１】
0006411661.tif 000139
【図２】
0006411661.tif 000140
【図３】
0006411661.tif 000141
【図４】
0006411661.tif 000142
【図５】
0006411661.tif 000143
【図６】
0006411661.tif 000144
【図７】
0006411661.tif 000145
【図８】
0006411661.tif 000146
【図９】
0006411661.tif 000147