(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111564965.X (22)申请日 2021.12.20 (71)申请人 北京华云安信息技 术有限公司 地址 100094 北京市海淀区丰豪东路9号2 号楼10层4单 元1001 (72)发明人 沈传宝　王超　马维士　 (74)专利代理 机构 北京华专卓 海知识产权代理 事务所(普通 合伙) 11664 代理人 王一 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 漏洞封堵方法、 装置、 设备和存 储介质 (57)摘要 本公开的实施例提供了一种漏洞封堵方法、 装置、 设备和存储介质。 该方法包括： 识别目标网 络中的漏洞； 从漏洞库中提取漏洞的漏洞利用行 为特征； 对漏洞利用行为特征进行特征分析， 得 到漏洞利用端口； 调用目标网络中存在漏洞的目 标资产对应的防火墙， 将目标资产中与漏洞利用 端口匹配的目标端口的端口状态调整为关闭状 态， 或， 开放但禁止外部访问状态。 以此方式， 可 以在识别漏洞时， 调用防火墙快速对漏洞进行封 堵， 为漏洞的后续处置争取时间， 从而有效收敛 攻击面， 减少被攻击风险。 权利要求书2页 说明书8页 附图2页 CN 114338111 A 2022.04.12 CN 114338111 A 1.一种漏洞封堵方法， 其特 征在于， 所述方法包括： 识别目标网络中的漏洞； 从漏洞库中提取 所述漏洞的漏洞 利用行为特 征； 对所述漏洞 利用行为特 征进行特征分析， 得到漏洞 利用端口； 调用所述目标网络 中存在所述漏洞的目标资产对应的防火墙， 将所述目标资产中与 所 述漏洞利用端口匹配的目标端口的端口状态调整为关闭状态， 或， 开放但禁止外部访问状 态。 2.根据权利要求1所述的方法， 其特 征在于， 所述识别目标网络中的漏洞， 包括： 对所述目标网络进行漏洞 扫描， 识别所述目标网络中的漏洞； 或者， 根据用户输入的所述目标网络的漏洞数据， 识别所述目标网络中的漏洞。 3.根据权利要求1所述的方法， 其特征在于， 所述从漏洞库中提取所述漏洞的漏洞利用 行为特征， 包括： 若所述漏洞的漏洞危害级别高于预设危害级别阈值， 或， 根据所述漏洞的漏洞危害级 别与所述目标资产的资产重要级别得到的风险级别高于预设风险级别阈值， 则从所述漏洞 库中提取 所述漏洞的漏洞 利用行为特 征。 4.根据权利要求1所述的方法， 其特征在于， 所述调用所述目标网络 中存在所述漏洞的 目标资产对应的防火墙， 将所述目标资产中与所述漏洞利用端口匹配的目标端口的端口状 态调整为关闭状态， 或， 开 放但禁止 外部访问状态， 包括： 建立所述目标端口的端口访 问规则， 所述端口访 问规则为端口状态调整为关闭状态， 或， 开放但禁止 外部访问状态； 调用所述防火墙加载 所述端口访问规则。 5.根据权利要求1所述的方法， 其特征在于， 所述调用所述目标网络 中存在所述漏洞的 目标资产对应的防火墙， 将所述目标资产中与所述漏洞利用端口匹配的目标端口的端口状 态调整为关闭状态， 或， 开 放但禁止 外部访问状态， 包括： 检测所述目标资产中与所述漏洞 利用端口匹配的目标端口 的端口状态； 若所述端口状态为开放且允许外部访问状态， 则通过所述防火墙将所述端口状态调整 为关闭状态， 或， 开 放但禁止 外部访问状态。 6.根据权利要求5所述的方法， 其特征在于， 所述检测所述目标资产中与所述漏洞利用 端口匹配的目标端口 的端口状态， 包括： 从所述防火墙的端口访问规则中获取与所述目标端口对应的目标端口访问规则； 对所述目标端口访问规则进行规则分析， 确定所述目标端口 的端口状态。 7.根据权利要求1 ‑6任一项所述的方法， 其特 征在于， 所述方法还 包括： 向所述目标网络的维护账户发送漏洞处置工单， 以提示维护账户所有者对所述漏洞进 行处置。 8.一种漏洞封堵装置， 其特 征在于， 所述装置包括： 识别模块， 用于识别目标网络中的漏洞； 提取模块， 用于从漏洞库中提取 所述漏洞的漏洞 利用行为特 征； 分析模块， 用于对所述漏洞 利用行为特 征进行特征分析， 得到漏洞 利用端口； 调用模块， 用于调用所述目标网络中存在所述漏洞的目标资产对应的防火墙， 将所述权　利　要　求　书 1/2 页 2 CN 114338111 A 2目标资产中与所述漏洞利用端口匹配的目标端口的端口状态调整为关闭状态， 或， 开放但 禁止外部访问状态。 9.一种电子设备， 其特 征在于， 所述电子设备包括： 至少一个处 理器； 以及 与所述至少一个处 理器通信连接的存 储器； 其中， 所述存储器存储有可被所述至少一个处理器执行的指令， 所述指令被所述至少一个处 理器执行， 以使所述至少一个处 理器能够执 行权利要求1 ‑7中任一项所述的方法。 10.一种存储有计算机指令的非瞬时计算机可读存储介质， 其特征在于， 所述计算机指 令用于使计算机执 行权利要求1 ‑7中任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 114338111 A 3