張佳佳 宋士濤 張 燕

（國(guó)家網(wǎng)絡(luò)軟件產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)中心（濟(jì)南） 濟(jì)南 250000）

網(wǎng)絡(luò)系統(tǒng)脆弱性分析與評(píng)估關(guān)鍵技術(shù)研究?

張佳佳 宋士濤 張 燕

（國(guó)家網(wǎng)絡(luò)軟件產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)中心（濟(jì)南） 濟(jì)南 250000）

網(wǎng)絡(luò)脆弱性分析研究是信息安全研究的重要分支，網(wǎng)絡(luò)系統(tǒng)的脆弱性掃描技術(shù)是網(wǎng)絡(luò)系統(tǒng)安全性評(píng)估的關(guān)鍵因素，首先介紹了信息安全領(lǐng)域中的重要技術(shù)及分類；列舉了網(wǎng)絡(luò)脆弱性的主要來(lái)源；然后分析和討論了網(wǎng)絡(luò)脆弱性分析預(yù)評(píng)估技術(shù)過(guò)程模型；最后，作為網(wǎng)絡(luò)脆弱性掃描技術(shù)的研究補(bǔ)充，簡(jiǎn)要討論和總結(jié)了網(wǎng)絡(luò)脆弱性掃描技術(shù)。

漏洞掃描；脆弱性；端口掃描；掃描策略

1 引言

計(jì)算機(jī)脆弱性的簡(jiǎn)單定義：計(jì)算機(jī)脆弱性是系統(tǒng)的一組特性，惡意的主體（攻擊者或者攻擊程序）能夠利用這組特性。通過(guò)已授權(quán)的手段和方式獲取對(duì)資源的未授權(quán)訪問(wèn)，或者對(duì)系統(tǒng)造成損害［3］。網(wǎng)絡(luò)信息安全領(lǐng)域中，入侵檢測(cè)、防火墻技術(shù)、病毒檢測(cè)技術(shù)及漏洞掃描技術(shù)（也稱脆弱性評(píng)估）構(gòu)成網(wǎng)絡(luò)安全四要素。前三種技術(shù)都是在攻擊進(jìn)行中或攻擊形成事實(shí)后的被動(dòng)檢測(cè)，而漏洞掃描技術(shù)是在攻擊事實(shí)形成前的主動(dòng)性、預(yù)防性的檢測(cè)。

2 脆弱性主要來(lái)源

造成網(wǎng)絡(luò)系統(tǒng)脆弱性的來(lái)源有：網(wǎng)絡(luò)系統(tǒng)的軟硬件安全漏洞、網(wǎng)絡(luò)系統(tǒng)架構(gòu)的復(fù)雜性、網(wǎng)絡(luò)用戶行為的復(fù)雜性、不斷增加的安全措施本身的脆弱性。

3 脆弱性掃描分析及評(píng)估

3.1 脆弱性掃描

脆弱性掃描是在本地或網(wǎng)絡(luò)上通過(guò)向本地或遠(yuǎn)程主機(jī)發(fā)送探測(cè)數(shù)據(jù)包，獲取主機(jī)響應(yīng)后，拆解反饋數(shù)據(jù)包后，進(jìn)行分析，從而檢測(cè)目標(biāo)主機(jī)或網(wǎng)絡(luò)系統(tǒng)存在的漏洞的過(guò)程［1］。簡(jiǎn)要地講，脆弱性掃描器的工作原理就是模擬模擬現(xiàn)實(shí)攻擊者的方法，主動(dòng)的探測(cè)目標(biāo)網(wǎng)絡(luò)系統(tǒng)，發(fā)現(xiàn)和分析系統(tǒng)中可能存在的各種安全隱患，將掃描結(jié)果報(bào)告給用戶，并向用戶提供相應(yīng)漏洞的解決方法，從而保障網(wǎng)絡(luò)系統(tǒng)的安全，避免網(wǎng)絡(luò)遭受惡意攻擊者通過(guò)漏洞實(shí)施攻擊。

3.2 脆弱性掃描策略

網(wǎng)絡(luò)脆弱性掃描一般有兩種策略，一是主動(dòng)掃描策略，二是被動(dòng)掃描策略［2］；主動(dòng)掃描策略是基于網(wǎng)絡(luò)的，它通過(guò)執(zhí)行一些腳本文件、模擬攻擊系統(tǒng)的一些行為，并記錄所有過(guò)程，從而發(fā)現(xiàn)其中的安全漏洞，它從外部攻擊者的角度對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行掃描，主要用于查找目標(biāo)提供的網(wǎng)絡(luò)服務(wù)、協(xié)議中的漏洞、開(kāi)放的端口等信息，同時(shí)能夠有效地發(fā)現(xiàn)那些基于主機(jī)的掃描所不能發(fā)現(xiàn)的網(wǎng)絡(luò)設(shè)備（如路由器、交換機(jī)、防火墻等）的漏洞；被動(dòng)掃描策略即為掃描策略基于主機(jī)之上，從一個(gè)內(nèi)部使用的角度來(lái)檢測(cè)操作系統(tǒng)級(jí)別的漏洞，主要檢測(cè)注冊(cè)表和用戶配置中的漏洞，基于主機(jī)的掃描優(yōu)勢(shì)在于它能直接獲取主機(jī)操作系統(tǒng)的底層細(xì)節(jié)，例如特殊的服務(wù)和配置的細(xì)節(jié)等，缺點(diǎn)在于只有控制了主機(jī)，并將檢測(cè)工具安裝在目標(biāo)主機(jī)，才能正常地實(shí)施掃描活動(dòng)；利用被動(dòng)式的策略的掃描成為系統(tǒng)安全掃描，利用主動(dòng)式的策略掃描成為網(wǎng)絡(luò)安全（脆弱性）掃描。

3.3 網(wǎng)絡(luò)脆弱性分析

網(wǎng)絡(luò)系統(tǒng)存在各種脆弱性，假如整個(gè)網(wǎng)絡(luò)系統(tǒng)中的某個(gè)節(jié)點(diǎn)面臨的安全隱患大，整個(gè)系統(tǒng)因?yàn)樵摴?jié)點(diǎn)遭受的損失大于預(yù)定的閾值，該節(jié)點(diǎn)就是整個(gè)網(wǎng)絡(luò)系統(tǒng)的最薄弱環(huán)節(jié)。脆弱性分析有兩種類型：基于規(guī)則的脆弱性分析和基于模型的脆弱性分析方法。

基于規(guī)則的分析方法，從已知的故障實(shí)例抽取特征，歸納這一組規(guī)則表達(dá)式，將被分析系統(tǒng)與已知的規(guī)則一一對(duì)比匹配，進(jìn)而檢出脆弱性。該過(guò)程中，規(guī)則的抽取生成是較為關(guān)鍵的?；谀Ｐ偷拇嗳跣苑治龇椒ǎ紫葹榫W(wǎng)絡(luò)系統(tǒng)搭建脆弱性分析的模型，通過(guò)模型模擬系統(tǒng)的所有可能行為和狀態(tài)，該類方法比規(guī)則的抽取更簡(jiǎn)單，適合整個(gè)系統(tǒng)的評(píng)估，而且能找到未知的系統(tǒng)脆弱性和對(duì)方攻擊的模式［3～4］。其他脆弱性分析方法比如基于攻擊圖［5］的，基于故障樹(shù)和攻擊樹(shù)的脆弱性分析方法等。這些方法還不足夠，本文重點(diǎn)介紹節(jié)點(diǎn)的受信度分析網(wǎng)絡(luò)脆弱性的分析方法，并根據(jù)不同類型的脆弱性，提出可行的安全控制建議。

網(wǎng)絡(luò)系統(tǒng)是個(gè)互相關(guān)聯(lián)的完整系統(tǒng)，信任以及信任的傳遞是實(shí)現(xiàn)數(shù)據(jù)包身份鑒別的基礎(chǔ)，也是保護(hù)數(shù)據(jù)完整性、實(shí)現(xiàn)安全訪問(wèn)的基本手段［6］。CA（Certificate Authority）認(rèn)證授權(quán)與當(dāng)前的用戶系統(tǒng)我們統(tǒng)稱為一個(gè)節(jié)點(diǎn)，網(wǎng)絡(luò)系統(tǒng)中，節(jié)點(diǎn)與節(jié)點(diǎn)之間是通過(guò)CA證書或者發(fā)行鏈的證書傳遞建立的信任關(guān)系，隨著CA證書的傳遞，節(jié)點(diǎn)間的信任度會(huì)逐漸下降，當(dāng)超過(guò)某一個(gè)閾值時(shí)，信任度會(huì)下降為完全不信任（即信任度為0）。

圖1 網(wǎng)絡(luò)節(jié)點(diǎn)受信度分析圖

m為B節(jié)點(diǎn)為起始節(jié)點(diǎn)的最長(zhǎng)信任鏈的長(zhǎng)度，ni為位于i級(jí)與B有連通的節(jié)點(diǎn)的個(gè)數(shù)。TD值越大表示該節(jié)點(diǎn)的授信度越大，對(duì)網(wǎng)絡(luò)整體信任度最關(guān)鍵，它的脆弱性越大。

圖1中的所有節(jié)點(diǎn)ABCDEFGH…共同組成集合V（即V=｛ABCDEFGH…｝）；A→B表示有向邊節(jié)點(diǎn)A指向節(jié)點(diǎn)B，E是圖2中所有有向邊的集合；圖1即可用—→—G={V，E}表示。權(quán)值λ=—→—AB表示A節(jié)點(diǎn)對(duì)B節(jié)點(diǎn)的信任度（λ取值0～1之間，0表示完全不信任，1表示完全信任）計(jì)算節(jié)點(diǎn)B的受信任度其中，TDav表示網(wǎng)絡(luò)的平均授信度，N為信任網(wǎng)絡(luò)的節(jié)點(diǎn)的個(gè)數(shù)。圖1中的節(jié)點(diǎn)很多出度或入度不為1，比如節(jié)點(diǎn)E入度為5，出度為1，因此網(wǎng)絡(luò)結(jié)構(gòu)不是樹(shù)形的結(jié)構(gòu)。假如直接相連的節(jié)點(diǎn)信任度為1，第二間接的節(jié)點(diǎn)遞減率為λ，網(wǎng)絡(luò)的攻擊者獲取的節(jié)點(diǎn)的信任度越大，它就能得到越多節(jié)點(diǎn)的信任，該攻擊者對(duì)整個(gè)網(wǎng)絡(luò)系統(tǒng)的威脅就越大。

4 網(wǎng)絡(luò)脆弱性評(píng)估

一個(gè)網(wǎng)絡(luò)系統(tǒng)的安全性取決于最薄弱的環(huán)節(jié)，猶如木桶原理。網(wǎng)絡(luò)系統(tǒng)的攻擊者不管選擇內(nèi)部攻擊還是外部攻擊，最終都是通過(guò)挖掘OS和應(yīng)用程序的脆弱點(diǎn)來(lái)完成的。造成的根源是網(wǎng)絡(luò)系統(tǒng)中存在被滲透的安全漏洞（securityhole）或脆弱性（vulnerability），因此通過(guò)脆弱性的評(píng)估可以對(duì)網(wǎng)絡(luò)系統(tǒng)的脆弱性掃描并分析結(jié)果，發(fā)現(xiàn)已存在或潛在的威脅，協(xié)助系統(tǒng)管理者更準(zhǔn)確有效的管理整個(gè)網(wǎng)絡(luò)系統(tǒng)。

4.1 基于模型脆弱性評(píng)估

網(wǎng)絡(luò)安全領(lǐng)域，評(píng)估方法發(fā)展方向是手動(dòng)評(píng)估-自動(dòng)評(píng)估；單機(jī)評(píng)估-分布式評(píng)估；局部評(píng)估-整體評(píng)估；基于規(guī)則的評(píng)估-基于模型的評(píng)估；目前主要是基于規(guī)則和基于模型的兩種方式，基于規(guī)則的脆弱性評(píng)估方法主要是根據(jù)漏洞庫(kù)，發(fā)現(xiàn)已在的脆弱性，如ISS、NESSUS等掃描工具；基于模型的方法通過(guò)滲透過(guò)程的建模探知漏洞，例如有限自動(dòng)機(jī)、攻擊圖（如圖2）等。投入現(xiàn)實(shí)產(chǎn)品中使用的主要是基于規(guī)則的脆弱性掃描評(píng)估方法。

圖2 攻擊圖評(píng)估模型

脆弱性的評(píng)估主要是面對(duì)兩類問(wèn)題：探測(cè)系統(tǒng)是否存在已知的滲透及探測(cè)未知的滲透。前者使用漏洞庫(kù)匹配技術(shù)，后者使用模型分析。

攻擊圖（Attack Graph）模型是Swiler等于1997年提出的模型［7］，在攻擊圖的模型方法中，節(jié)點(diǎn)包括主機(jī)名稱、所有用戶的權(quán)限、對(duì)外的接口等，連接線表示攻擊行為，利用于模板相匹配的行為攻擊，從目標(biāo)狀態(tài)反向生成系統(tǒng)的攻擊圖，如果生成順利，則表示系統(tǒng)存在此模板的漏洞。顯然人工生成攻擊圖的工作是不現(xiàn)實(shí)的。該理論為今后的模型評(píng)估提供寶貴參考。

4.2 基于模型檢測(cè)方法

Ammann和Richey 20世紀(jì)提出了基于模型的脆弱性評(píng)估方法［3］。該模型由主機(jī)描述、主機(jī)連接、攻擊起點(diǎn)、滲透方法組成。主機(jī)描述是主機(jī)存在的漏洞和訪問(wèn)控制權(quán)限；主機(jī)連接包含主機(jī)間的連接關(guān)系，由一個(gè)鏈接矩陣表示；攻擊者的起點(diǎn)就是攻擊者依附的主機(jī)；滲透方法是源主機(jī)、前提條件、訪問(wèn)權(quán)限、目的逐級(jí)的權(quán)限和滲透結(jié)果組成。探測(cè)從攻擊主機(jī)開(kāi)始，模型檢測(cè)工具找到反例，則表明計(jì)算機(jī)網(wǎng)絡(luò)存在漏洞，這一反例就是一個(gè)可行的攻擊路徑，可建立一個(gè)攻擊模型。該檢測(cè)方法的優(yōu)點(diǎn)在于可以利用模型探測(cè)工具自動(dòng)探測(cè)被攻擊路徑，同時(shí)建立起來(lái)的模型可以修改部分的屬性，就可以模擬更多類似的情況。在文獻(xiàn)［10］中Ritchey對(duì)該模型進(jìn)行了擴(kuò)展，命名為Topological Vulnerability Analysis（簡(jiǎn)稱TVA拓?fù)浯嗳醴治觯?。前提包括脆弱性、連接性、用戶權(quán)限；結(jié)果包括新發(fā)現(xiàn)的脆弱性、新增的連接性，提高的用戶權(quán)限；滲透模型是指前提加結(jié)果。

起初連接性由yes和no表示，目前主機(jī)的連接性按照TCP/IP棧的多層結(jié)構(gòu)進(jìn)行劃分?；谀Ｐ偷拇嗳跣栽u(píng)估自動(dòng)化工具的形成需要建立合適的模型、自動(dòng)分析，自動(dòng)生成。另外還需要大規(guī)模的滲透攻擊技術(shù)進(jìn)行自動(dòng)建模的工具。

5 結(jié)語(yǔ)

計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全領(lǐng)域，經(jīng)常需要對(duì)其進(jìn)行安全評(píng)估，網(wǎng)絡(luò)脆弱性分析及評(píng)估為安全性評(píng)估提供了科學(xué)的證據(jù)和方法。網(wǎng)絡(luò)脆弱性分析及評(píng)估發(fā)展經(jīng)歷了手工向自動(dòng)化，單機(jī)向網(wǎng)絡(luò)化，簡(jiǎn)單網(wǎng)絡(luò)向多階段脆弱性建模發(fā)展。攻擊圖、攻擊樹(shù)、滲透圖、特權(quán)圖等都成功的運(yùn)用到了網(wǎng)絡(luò)脆弱性掃描檢測(cè)領(lǐng)域中。這些技術(shù)都從不同的角度出發(fā)，在處理掃描脆弱性的問(wèn)題中各有利弊。但還需解決或改進(jìn)相關(guān)問(wèn)題：

1）網(wǎng)絡(luò)脆弱性的分析度量需要進(jìn)一步的改進(jìn)完善，為網(wǎng)絡(luò)管理人員提供網(wǎng)絡(luò)安全防護(hù)的可用性操作平臺(tái)。

2）脆弱性科學(xué)分析和評(píng)估方法應(yīng)更好地結(jié)合，使二者能夠更加清晰地展示網(wǎng)絡(luò)脆弱性掃描的原理過(guò)程及掃描結(jié)果的來(lái)源。

3）進(jìn)一步研究新型模型的建立并完善現(xiàn)用模型及模型分析方法。

［1］Manes Gavin，W Schulte，Dominic Guenther Seth，Net-Glean.A methodology for distributed network security scanning［J］.Journal of Network and Systems Management,2005，13（3）：329-344.

［2］劉莉.網(wǎng)絡(luò)漏洞掃描器的設(shè)計(jì)與實(shí)現(xiàn)［D］.西安：西安電子科技大學(xué)碩士學(xué)位論文，2007：12-30.LIU Li.Design and implementation of network vulnerability scanner［D］.Xi'anMaster Thesis of Xi'an Electronic and Science University，2007：12-30.

［3］邢栩嘉，林闖，蔣屹新.計(jì)算機(jī)系統(tǒng)脆弱性評(píng)估研究［J］.計(jì)算機(jī)學(xué)報(bào)，2004，27（1）：1-11.

XING Xujia，LIN Chuang，JIANG Yixin.Research on computer vulnerability assessment［J］.Journal of Computer，2004，27（1）：1-11.

［4］林闖，彭雪海.可信網(wǎng)絡(luò)研究［J］.計(jì)算機(jī)學(xué)報(bào)，2005，28（5）：751-758.LIN Chuang，PENG Xuehai.Research on trusted network［J］.Journal of computer science，2005，28（5）：751-758.

［5］ Paul Anlnlann，Duminda Wijesekera Saket Kaushik．Scalable，graph-based network vulnerability analysis［C］//The CCS 2002：9thACM Cord on Computer and Communications Security，Washington，DC，2002.

［6］王宇，盧昱.信息網(wǎng)絡(luò)安全脆弱性分析 計(jì)算機(jī)研究與發(fā)展［J］.裝備指揮技術(shù)學(xué)院，2006：326-331.WANG Yu，LU Yu.information network security vulnerability analysis of computer research and development of the Academy of equipment command and Technology，2006：326-331.

［7］Tripunitara M V；Dutta P；Spafford G Security assessment of IP-based networks：A holistic approach 1999.

［8］魯智勇，馮超，余輝，唐朝京.網(wǎng)絡(luò)安全性定量評(píng)估模型研究［J］.計(jì)算機(jī)工程與科學(xué)，2009，31（10）：18-22.LU Zhiyong，F(xiàn)ENG Chao，YU Hui，TANG Chaojing.Model of Network Security Quantitative Assesssment［J］.Computer Engineering and Science ，2009，31（10）：18-22.

［9］葉云，徐錫山，賈焰，齊治昌.基于攻擊圖的網(wǎng)絡(luò)安全概率 計(jì) 算 方 法［J］.計(jì) 算 機(jī) 學(xué) 報(bào) ，2010，33（10）：1987-1996.YE Yun，XU Xishan，QI Zhichang，QI Zhichang.Network security probability based on attack graph calculation method［J］.Journal of computer，2010，33（10）：1987-1996..

［10］Ritchey R，Berry B，Noel S.R.prepresenting TCP／1P connectivity for topological analy sis of network securlty［C］//Pru—ceedings of lhe 18th Annual Computer Security Applications Conference.San Diego，California，2002.

［11］梁志國(guó)，王猛，丁天昌，許榕生.基于規(guī)則脆弱性評(píng)估方法的研究［J］.計(jì)算機(jī)安全，2007（9）：28-30.LIANG Zhiguo，WANG Meng，DING Tiancang， XU Rongsheng.Vulnerability assessment method based on the rules［J］.Computer security，2007（9）：28-30.

［12］劉凱.基于MOBILE AGENT的智能入侵檢測(cè)技術(shù)研究［D］.博士，2005：9-21.LIU Kai.Research on Intelligent Intrusion Detection Technology Based on AGENT MOBILE［D］.2005：9-21.

Research on Key Technologies of Network System Vulnerability Analysis and Evaluation

ZHANG JiajiaSONG ShitaoZHANG Yan
（National Network Software Product Quality Supervision and Inspection Center（Jinan），Jinan250000）

The research of network vulnerability analysis is an important branch of information security，vulnerability scanning technology of network system is the key factors to evaluate the safety of network system，first the important technology and classification in the field of information security are introduced，the major sources of vulnerability are listed，and then the network vulnerability analysis technology the pre-assessment process model are analyzed and discussed.Finally，as a research network vulnerability scanning technology，the network vulnerability scanning technology are discussed and summarized bnefly.

vulnerability scan，vulnerability，port scan，scan strategy

TP393

10.3969/j.issn.1672-9722.2017.11.035

Class Number TP393

2017年5月3日，

2017年6月24日

張佳佳，女，碩士研究生，高級(jí)工程師，研究方向：圖像處理、軟件檢測(cè)、信息安全。宋士濤，男，碩士研究生，中級(jí)工程師，研究方向：軟件檢測(cè)、信息安全。張燕，女，碩士研究生，中級(jí)工程師，研究方向：軟件檢測(cè)、信息安全。