專利名稱：安全測試平臺的制作方法
技術領域：
本發明涉及安全測試領域，更具體地說，涉及一種自動化安全掃描的安全測試平臺。
背景技術：
隨著社會的發展，網絡安全越來越引起人們的關注，目前提供安全檢測服務，需要 采用多種工具，只能單獨使用工具進行掃描，如果需要整合各種工具結果，比較困難；并且 在安全工具掃描的過程中需要人員全程參與、實時監控，出現異常的時候進行人工的調整。
發明內容
本發明要解決的技術問題在于，針對現有技術的上述安全檢測工具不能整合和需 要人員全程參與的缺陷，提供一種可整合多種安全檢測工具，實現自動化安全掃描的安全 測試平臺。本發明解決其技術問題所采用的技術方案是構造一種安全測試平臺，包括安全 測試管理系統和至少兩種測試工具，其中所述安全測試管理系統包括用于管理和配置所述 測試工具的管理模塊；用于負責所述測試工具之間、所述測試工具和所述安全測試管理系 統之間通信的通信模塊；用于對所述測試工具的工作狀態進行監控的掃描監控模塊、對所 述測試工具的異常工作狀態進行報警處理的報警模塊以及對所述測試工具的測試結果進 行統計的統計模塊。在本發明所述的安全測試平臺中，所述統計模塊還包括用于將不同測試工具的測 試結果進行歸一化的弱點分析單元。在本發明所述的安全測試平臺中，所述報警模塊包括設置報警閾值和報警動作的 報警設置單元、根據所述報警閾值和報警動作對報警的所述測試工具進行處理的報警處理 單元以及根據所述報警處理單元的處理結果生成報警日志的日志生成單元。在本發明所述的安全測試平臺中，所述報警處理單元包括只作出報警記錄的報警 記錄子單元、對所述測試工具進行調配的報警調配子單元和停止所述測試工具的測試工作 的報警中斷子單元。在本發明所述的安全測試平臺中，所述管理模塊包括至少兩級的管理單元和用于 配置所述管理單元中的測試工具的配置單元。在本發明所述的安全測試平臺中，所述管理模塊包括用于項目的創建、修改、配 置、刪除的項目管理單元、用于項目下任務的創建、修改、配置、刪除的任務管理單元以及用 于配置所述任務管理單元中的測試工具的配置單元。在本發明所述的安全測試平臺中，所述管理模塊還包括導入和導出所述項目管理 單元、所述任務管理單元以及所述配置單元的配置的配置共享單元。 在本發明所述的安全測試平臺中，所述安全測試管理系統還包括對所述測試工具 和所述統計模塊的使用權限進行管理的權限管理模塊。
在本發明所述的安全測試平臺中，所述安全測試管理系統還包括利用腳本測試所 述安全測試平臺的測試能力的腳本測試模塊。實施本發明的安全測試平臺，具有以下有益效果可整合多種安全檢測工具，實現 自動化安全掃描，避免了安全檢測工具不能整合和需要人員全程參與的缺陷。弱點分析單元將測試工具測試出來的問題轉化為平臺統一的弱點類型，便于問題 的統計分析。對報警條件進行設置可以更好的控制了解測試工具的異常工作狀況。采用多 種報警處理方法最大限度保證安全測試平臺的正常運行。管理模塊的設置更好的進行不同 項目和任務中的測試工具的配置。配置共享單元更好的將配置文件共享或更好的導入他人 設置好的配置文件。權限管理模塊對不同的用戶進行了權限的劃分。腳本測試模塊可通過 腳本測試安全測試平臺的最大測試能力。
下面將結合附圖及實施例對本發明作進一步說明，附圖中圖1是本發明的安全測試平臺的第一優選實施例的結構示意圖；圖2是本發明的安全測試平臺的第二優選實施例的結構示意圖；圖3是本發明的安全測試平臺的第三優選實施例的結構示意圖；圖4是本發明的安全測試平臺的第四優選實施例的結構示意圖；圖5是本發明的安全測試平臺的第五優選實施例的結構示意圖；圖6是本發明的安全測試平臺的第六優選實施例的結構示意圖；圖7是本發明的安全測試平臺的第七優選實施例的結構示意圖。
具體實施例方式為了使本發明的目的、技術方案及優點更加清楚明白，以下結合附圖及實施例，對 本發明進行進一步詳細說明。應當理解，此處所描述的具體實施例僅僅用以解釋本發明，并 不用于限定本發明。在圖1所示的本發明的安全測試平臺的第一優選實施例的結構示意圖中，所述安 全測試平臺包括安全測試管理系統1和至少兩種測試工具，其中安全測試管理系統1包括 管理模塊11、通信模塊12、掃描監控模塊13、報警模塊14以及統計模塊15。管理模塊11 用于管理和配置測試工具；通信模塊12用于負責測試工具之間、測試工具和安全測試管理 系統1之間通信；掃描監控模塊13用于對測試工具的工作狀態進行監控；報警模塊14用于 對測試工具的異常工作狀態進行報警處理；統計模塊15用于對測試工具的測試結果進行 統計。本安全測試平臺使用時，由管理模塊11根據設定的測試方案管理和配置測試工 具。通過通信模塊12控制測試工具進行測試，同時負責測試工具之間通信；測試工具提供 監聽端口和API (Application Programming Interface 應用程序編程接口)，通信模塊12 調用API與監聽端口進行通訊并從測試工具得到反饋。進行的通信包括任務啟動時調用 工具、掃描過程中與工具交互掃描進程。當測試任務發生異常和結束時，測試工具會主動 通過通信模塊12通知安全測試管理系統1。掃描監控模塊13對測試工具的測試工作狀態 進行監控；進行監控的內容包括需要掃描的地址、需要掃描的測試總數、已經完成的測試數、掃描時間(將掛起等待時間排出)以及已經發現的問題信息(按照類型進行歸類，可以 實時與掃描工具進行同步)，如果發現測試工具工作狀態異常則發送給報警模塊14報警信 息。報警模塊14接收掃描監控模塊13的報警信息，根據測試工具的異常工作狀態進行報 警處理，并生成報警日志供測試人員分析。最后統計模塊15對測試結果進行統計分類，供 測試人員清楚的了解測試的情況，方便作出下一步的處理。本安全測試平臺整合了多種安 全檢測工具，實現自動化安全掃描，避免了安全檢測工具不能整合和需要人員全程參與的 缺陷。在圖2所示的本發明的安全測試平臺的第二優選實施例的結構示意圖中，統計模 塊15還包括弱點分析單元151，弱點分析單元151用于將不同測試工具的測試結果進行歸 一化。由于工具級別不同，所以最后檢測出來的弱點類型和級別都會有差別。例如測試工 具A和B中都有弱點類型，可是測試工具A將某弱點作為高級弱點，而測試工具B將該弱點 作為中級弱點；測試工具A可能一共只有20種弱點分類，測試工具B可能有200種，以跨站 來說，測試工具B可能分為DOM跨站、XSS跨站以及LDAP跨站等，而測試工具A就是跨站， 這樣測試工具B中可能有80種弱點測試工具A中沒有，所以通過弱點分析單元151對不同 測試工具的測試結果進行整合歸一化(比如有些php由于版本過低會引起很多問題，會有 非常多分類，但是我們最終整合為Php配置過低)。在進行弱點歸一化后，測試工具測試出 的問題可以自動轉化為安全測試平臺統一的弱點類型，便于測試問題的統計分析。在圖3所示的本發明的安全測試平臺的第三優選實施例的結構示意圖中，報警模 塊14包括報警設置單元141、報警處理單元142以及日志生成單元143。報警設置單元141 用于設置報警閾值和報警動作；報警處理單元142用于根據所述報警閾值和報警動作對報 警的測試工具進行處理；日志生成單元143用于根據所述報警處理單元142的處理結果生 成報警日志。其中報警處理單元142包括報警記錄子單元、報警調配子單元以及報警中斷 子單元。報警記錄子單元只用于作出報警記錄；報警調配子單元用于對測試工具進行調配； 報警中斷子單元用于停止測試工具的測試工作。在安全測試平臺執行測試任務之前，通過 報警設置單元141對報警閾值和達到該閾值后應該產生的報警動作進行設置，報警處理單 元142根據設置和報警閾值進行報警處理，其中報警處理單元142的報警處理可分為三種 一種為僅僅作出報警記錄，不對測試工具作出任何動作，由報警記錄子單元執行(如測試 工具A出現掃描文件過大(文件尺寸閥值可以配置)、掃描速度過慢(以每秒完成的測試 為單位，閥值可以配置)、掃描任務時間過長)，測試人員可以根據該報警記錄在測試后進 行一些處理優化下次的測試。另一種為對測試工具進行調配，由報警調配子單元執行，如在 執行過程中，配置由測試工具A來完成，在同樣的測試工具B空閑的時候而測試工具A繁忙 的時候，安全測試平臺會實現自動調度，在兩臺機器之間實現負載均衡；如果測試工具A出 現問題，比如和通信模塊12之間通信不暢、和被測試系統之間通信不暢等，那么可以調用 測試工具B來解決問題。最后一種為停止測試工具的測試工作，由報警中斷子單元執行，例 如許可異常、掃描對象不可訪問(通信異常)、進程異常(根據情況分成多個)、內存異常、 工具需要重啟等，這時必須中斷測試工具的測試。報警處理單元142可以郵件、短信通知測 試人員報警的類型，特別是中斷測試單元的報警。對報警條件進行設置可以更好的控制了 解測試工具的異常工作狀況，采用多種報警處理方法最大限度保證安全測試平臺的正常運 行。
5
在圖4所示的本發明的安全測試平臺的第四優選實施例的結構示意圖中，管理模 塊11包括至少兩級的管理單元111和配置單元112。具體的說，管理模塊11包括項目管理 單元、任務管理單元以及配置單元112。項目管理單元用于項目的創建、修改、配置、刪除； 任務管理單元用于項目下任務的創建、修改、配置、刪除；配置單元112用于配置所述任務 管理單元中的測試工具。本安全測試平臺的管理模塊11建立了至少兩級的管理單元111， 可以實現項目、任務的多級管理，配置單元112配置任務管理單元中需要配置的測試工具、 測試工具的IP、測試的線程數等等，同時可以設置項目、任務或測試工具的運行時間，可以 立即運行、定時運行或者自定義運行的時段等等。管理模塊11的設置更好的進行不同項目 和任務中的測試工具的配置。在圖5所示的本發明的安全測試平臺的第五優選實施例的結構示意圖中，管理模 塊11還包括配置共享單元113，配置共享單元113用于導入和導出項目管理單元、任務管理 單元以及配置單元112的配置。使用本安全測試平臺時，配置共享單元113可以直接導入 或導出相關的配置，這樣可以實現不同安全測試平臺之間的資源共享，不需要每次對管理 模塊11進行設置，方便了測試人員的操作。在圖6所示的本發明的安全測試平臺的第六優選實施例的結構示意圖中，安全測 試管理系統1還包括權限管理模塊16，權限管理模塊16用于對測試工具和統計模塊15的 使用權限進行管理。權限管理模塊16可以進行用戶和權限管理，將用戶根據權限劃分為不 同角色，項目經理級別的用戶可以看到全部數據，任務相關人員可以看到相關任務數據。在圖7所示的本發明的安全測試平臺的第七優選實施例的結構示意圖中，所述安 全測試管理系統1還包括腳本測試模塊17，腳本測試模塊17用于利用腳本測試所述安全測 試平臺的測試能力。每當使用一種新的測試工具的掃描組合，安全測試平臺是否能夠很好 的進行掃描測試是一個問題，因此采用腳本測試模塊17利用腳本測試安全測試平臺運行 新掃描組合的能力，也可以借此測試安全測試平臺的最大測試能力。以上所述僅為本發明的實施例，并非因此限制本發明的專利范圍，凡是利用本發 明說明書及附圖內容所作的等效結構變換，或直接或間接運用在其他相關的技術領域，均 同理包括在本發明的專利保護范圍內。
權利要求
1.一種安全測試平臺，包括安全測試管理系統(1)和至少兩種測試工具，其特征在于， 所述安全測試管理系統(1)包括用于管理和配置所述測試工具的管理模塊(11)；用于負 責所述測試工具之間、所述測試工具和所述安全測試管理系統(1)之間通信的通信模塊 (12)；用于對所述測試工具的工作狀態進行監控的掃描監控模塊(13)、對所述測試工具的 異常工作狀態進行報警處理的報警模塊(14)以及對所述測試工具的測試結果進行統計的 統計模塊(15)。
2.根據權利要求1所述的安全測試平臺，其特征在于，所述統計模塊(15)還包括用于 將不同測試工具的測試結果進行歸一化的弱點分析單元(151)。
3.根據權利要求1所述的安全測試平臺，其特征在于，所述報警模塊(14)包括設置報 警閾值和報警動作的報警設置單元(141)、根據所述報警閾值和報警動作對報警的所述測 試工具進行處理的報警處理單元(142)以及根據所述報警處理單元(14 的處理結果生成 報警日志的日志生成單元(143)。
4.根據權利要求3所述的安全測試平臺，其特征在于，所述報警處理單元(142)包括只 作出報警記錄的報警記錄子單元、對所述測試工具進行調配的報警調配子單元和停止所述 測試工具的測試工作的報警中斷子單元。
5.根據權利要求1所述的安全測試平臺，其特征在于，所述管理模塊(11)包括至少兩 級的管理單元(111)和用于配置所述管理單元(111)中的測試工具的配置單元(112)。
6.根據權利要求5所述的安全測試平臺，其特征在于，所述管理模塊(11)包括用于項 目的創建、修改、配置、刪除的項目管理單元、用于項目下任務的創建、修改、配置、刪除的任 務管理單元以及用于配置所述任務管理單元中的測試工具的配置單元(112)。
7.根據權利要求5所述的安全測試平臺，其特征在于，所述管理模塊(11)還包括導入 和導出所述項目管理單元、所述任務管理單元以及所述配置單元(112)的配置的配置共享 單元(113)。
8.根據權利要求1所述的安全測試平臺，其特征在于，所述安全測試管理系統(1)還包 括對所述測試工具和所述統計模塊的使用權限進行管理的權限管理模塊(16)。
9.根據權利要求1所述的安全測試平臺，其特征在于，所述安全測試管理系統(1)還包 括利用腳本測試所述安全測試平臺的測試能力的腳本測試模塊(17)。
全文摘要
本發明涉及一種安全測試平臺，包括安全測試管理系統和至少兩種測試工具，其中所述安全測試管理系統包括用于管理所述測試工具的管理模塊；用于負責所述測試工具之間、所述測試工具和所述安全測試管理系統之間通信的通信模塊；用于對所述測試工具的工作狀態進行監控的掃描監控模塊、對所述測試工具的異常工作狀態進行報警的報警模塊以及對所述測試工具的測試結果進行統計的統計模塊。本發明的安全測試平臺可整合多種安全檢測工具，實現自動化安全掃描，避免了安全檢測工具不能整合和需要人員全程參與的缺陷。
文檔編號H04L12/26GK102142984SQ20101055935
公開日2011年8月3日 申請日期2010年11月25日 優先權日2010年11月25日
發明者張德春, 張毅, 李莉, 王恒毅, 舒敏根, 趙賢敬, 鄭明忠, 郭利江, 鐘昌杰 申請人:中國移動(深圳)有限公司