一种漏洞检测工具可信度验证方法和系统与流程

技术特征：
1.一种漏洞检测工具可信度验证方法，其中包括：基于测试端浏览器向测试目标发送功能点测试请求；手动检测工具截获所述测试请求的数据包，并由安全工程师根据漏洞检测策略手动检测以获得对应功能点的第一检测结果；自动检测工具获取所述测试请求的镜像数据包，根据预置检测策略对镜像数据包对应的功能点进行漏洞检测以获得第二检测结果；对比所述第一检测结果和所述第二检测结果；以及根据对比结果确定所述自动检测工具对所述功能点漏洞检测的可信度。2.根据权利要求1所述的方法，其中进一步包括：向所述自动检测工具加载与所述测试项目对应的检测策略；其中所述检测策略包括与漏洞类型对应的检测流程、测试请求构造方法、测试用例和用于判定风险的参数值。3.根据权利要求2所述的方法，其中进一步包括：获取并分析手动检测工具的检测数据；从所述检测数据中确定测试请求数据、响应数据及第一检测结果数据；从所述测试请求数据中获取功能点url、参数和/或测试用例；以及从所述响应数据及第一检测结果数据中确定所述测试用例及其响应值对应于风险的关系以得到漏洞的手动检测策略。4.根据权利要求1所述的方法，其中进一步包括：提供验证指标参考数据；所述验证指标包括功能点数量、漏洞校验类型及其检测策略、每种漏洞校验类型的漏洞数量、检测策略的一致性、同一漏洞的检测风险的一致性中的一者或多者。5.根据权利要求4所述的方法，其中进一步包括：获取验证指标参考数据；依据验证指标分析第二检测结果以得到对应所述验证指标的指标数据；以及基于所述指标数据及每个功能点的每个漏洞的检测可信度生成可信度报告。6.根据权利要求5所述的方法，其中进一步包括对自动检测工具更新的步骤：响应于自动检测工具漏检的漏洞，获取手动检测工具检测所述漏洞的手动检测策略并增加至自动检测工具中；或响应于安全工程师对第一检测结果的确认，采用所述漏洞的手动检测策略更新自动检测工具中的对应检测策略。7.根据权利要求5所述的方法，其中在检测同一漏洞时手动检测工具检测到的漏洞风险与自动检测工具检测到的漏洞风险不一致时，自动检测工具更换测试用例对所述漏洞重复预置数量的检测；响应于获取预置重新检测数量的相同检测结果，以所述检测结果作为最终第二检测结果。8.根据权利要求7所述的方法，其中进一步包括：在第一检测结果和最终第二检测结果中对应所述漏洞风险不同时，发送提醒通知。9.一种漏洞检测工具可信度验证系统，其中包括：测试端浏览器，经配置以通过预置的代理端口向测试目标发送功能点测试请求，并接收从测试目标返回的响应数据包；手动检测工具，经配置以截取向测试目标发出的测试请求数据包，提供手动检测界面
供安全工程师手动检测，并获取第一检测结果；自动检测工具，经配置以获取经所述代理端口发出的来自于测试端浏览器的功能点测试请求的镜像数据包，根据预置检测策略对镜像数据包对应的功能点进行漏洞检测以获得第二检测结果；以及可信度验证模块，其与所述手动检测工具和自动检测工具相连接，经配置以对比所述第一检测结果和所述第二检测结果；根据对比结果确定所述自动检测工具的可信度。10.根据权利要求9所述的系统，其中还进一步包括项目检测管理模块，其提供管理界面，经配置以提供安全测试项目的配置、检测过程、结果数据及通知的显示；其中，所述的配置包括与所述测试项目对应的检测策略和验证指标及其参考数据。11.根据权利要求9所述的系统，其中所述可信度验证模块包括：数据获取单元，经配置以获取手动检测策略、验证指标及其参考数据、手动检测工具得到的第一检测结果和自动检测工具的第二检测结果；漏洞可信度单元，其与所述数据分析单元相连接，经配置以对比所述第一检测结果和所述第二检测结果，根据对比结果确定所述自动检测工具对所述功能点漏洞检测的可信度；以及综合分析单元，经配置以按照预置验证指标分析所述第二检测结果，基于所述验证指标数据及每个功能点的每个漏洞的检测可信度生成可信度报告。12.根据权利要求11所述的系统，其中包括更新模块，其与可信度验证模块相连接，在确认到自动检测工具漏检的漏洞时，将手动检测策略增加到所述自动检测工具中；在对一个漏洞进行检测时，在第一检测结果和最终第二检测结果不同、且接收到对第一检测结果的确认信息时，采用手动检测策略更新自动检测工具中的对应检测策略。

技术总结
本发明涉及一种漏洞检测工具可信度验证方法和系统，所述方法包括：基于测试端浏览器向测试目标发送功能点测试请求；手动检测工具截获所述测试请求的数据包，并由安全工程师根据漏洞检测策略手动检测以获得对应功能点的第一检测结果；自动检测工具获取所述测试请求的镜像数据包，根据预置检测策略对镜像数据包对应的功能点进行漏洞检测以获得第二检测结果；对比所述第一检测结果和所述第二检测结果；以及根据对比结果确定所述自动检测工具对所述功能点漏洞检测的可信度。本发明基于手动检测结果对自动漏洞检测工具进行验证，只需要安全工程师在必要时给予确认，不需要过多的人工参与，人为因素影响小、验证效率高。验证效率高。验证效率高。


技术研发人员：马弘煜 张炎 杨向勇
受保护的技术使用者：前锦网络信息技术（上海）有限公司
技术研发日：2021.10.20
技术公布日：2022/1/4