基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法和裝置制造方法
【專利摘要】本發(fā)明公開了一種基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法和裝置，利用攻擊圖模型對網(wǎng)絡(luò)安全狀況進(jìn)行關(guān)聯(lián)分析，采用了一種基于廣度優(yōu)先搜索的攻擊圖生成算法，引入PageRank計算模型對攻擊圖狀態(tài)節(jié)點(diǎn)權(quán)重進(jìn)行量化，利用權(quán)重的不同判斷出攻擊圖關(guān)鍵攻擊節(jié)點(diǎn)，再利用深度優(yōu)先搜索算法找出攻擊圖中的關(guān)鍵攻擊路徑，最后提出釆用基于攻擊圖的網(wǎng)絡(luò)安全度量，量化攻擊圖關(guān)鍵攻擊路徑的風(fēng)險值，對整網(wǎng)安全進(jìn)行度量。
【專利說明】基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法和裝置

【技術(shù)領(lǐng)域】
[0001] 本發(fā)明屬于網(wǎng)絡(luò)安全評估領(lǐng)域，，特別涉及一種基于關(guān)聯(lián)分析的系統(tǒng)安全評估方 法和裝置。

【背景技術(shù)】
[0002] 在近年來不斷發(fā)生的安全事件都是由已知網(wǎng)絡(luò)漏洞引起，黑客多利用已有漏洞的 特性，研發(fā)對應(yīng)的黑客工具進(jìn)行逐步的滲透。黑客利用漏洞掃描工具探測目標(biāo)網(wǎng)絡(luò)中存在 漏洞的目標(biāo)主機(jī)，對目標(biāo)主機(jī)漏洞發(fā)起攻擊，成功后獲取主機(jī)上的部分權(quán)限，在權(quán)限和條件 允許的情況下，從攻陷主機(jī)出發(fā)通過網(wǎng)絡(luò)向其他主機(jī)發(fā)起攻擊，成功后再提升權(quán)限，多次重 復(fù)此攻擊過程，從而進(jìn)入網(wǎng)絡(luò)內(nèi)部，直達(dá)網(wǎng)絡(luò)內(nèi)部服務(wù)器、數(shù)據(jù)庫等目標(biāo)資源。由于大部分 的網(wǎng)絡(luò)安全問題都是由系統(tǒng)本身的安全漏洞引發(fā)的，如果能及時發(fā)現(xiàn)和有效的修復(fù)安全漏 洞，就可以降低系統(tǒng)安全風(fēng)險，遏制網(wǎng)絡(luò)攻擊事件的頻發(fā)。攻擊圖技術(shù)正是從網(wǎng)絡(luò)漏洞滲透 關(guān)系出發(fā)，找出網(wǎng)絡(luò)中最薄弱、最邊緣的潛在滲透點(diǎn)，幫助安全人員找到網(wǎng)絡(luò)的風(fēng)險源頭。
[0003] 攻擊圖技術(shù)是上世紀(jì)九十年代基于圖論的漏洞分析技術(shù)演變而來的一種綜合網(wǎng) 絡(luò)安全評估技術(shù)。傳統(tǒng)的漏洞評估工具只是孤立的分析漏洞本身，對網(wǎng)絡(luò)安全的評估也是 簡單將多個漏洞風(fēng)險疊加，這些方法忽略了真正的網(wǎng)絡(luò)風(fēng)險源，使網(wǎng)絡(luò)安全的成本一再升 高。攻擊圖從入侵者角度出發(fā)，利用主機(jī)開啟服務(wù)、網(wǎng)絡(luò)拓?fù)潢P(guān)系及路由規(guī)則等因素，結(jié)合 現(xiàn)有的攻擊模式，將孤立的漏洞進(jìn)行關(guān)聯(lián)分析，找出各個漏洞之間的滲透依賴關(guān)系，繪制出 潛在的黑客入侵路徑。網(wǎng)絡(luò)安全分析人員利用攻擊圖可以清晰的發(fā)現(xiàn)網(wǎng)絡(luò)中可能被利用的 薄弱環(huán)節(jié)，然后采取有針對性的防御措施。
[0004] 傳統(tǒng)的網(wǎng)絡(luò)安全技術(shù)已經(jīng)不能滿足現(xiàn)在的復(fù)雜網(wǎng)絡(luò)結(jié)構(gòu)，漏洞關(guān)聯(lián)評估在傳統(tǒng)的 漏洞檢測基礎(chǔ)上發(fā)展而來，對漏洞進(jìn)行關(guān)聯(lián)評估可以更準(zhǔn)確的反應(yīng)網(wǎng)絡(luò)安全狀況。本文在 此基礎(chǔ)上提出了網(wǎng)絡(luò)安全關(guān)聯(lián)評估方法，利用攻擊圖等相關(guān)技術(shù)進(jìn)行漏洞關(guān)聯(lián)評估，對網(wǎng) 絡(luò)進(jìn)行安全度量。


【發(fā)明內(nèi)容】

[0005] 1、本發(fā)明的目的。
[0006] 由于現(xiàn)有技術(shù)中，主機(jī)的資源損失，往往和主機(jī)及其網(wǎng)絡(luò)的漏洞有關(guān)，單一的主機(jī) 漏洞不能對網(wǎng)絡(luò)造成大的威脅，但是漏洞之間的相互關(guān)聯(lián)和利用關(guān)系可以對網(wǎng)絡(luò)安全造成 嚴(yán)重影響，本發(fā)明為了解決上述問題而提出的一種基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法和裝 置。
[0007] 2、本發(fā)明所采用的技術(shù)方案。
[0008] 基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法，按照以下步驟進(jìn)行： a. 基于OVAL的漏洞檢測收集網(wǎng)絡(luò)主機(jī)配置信息及其拓?fù)湫畔ⅲ?b. 對收集網(wǎng)絡(luò)信息進(jìn)行整理分析，獲取網(wǎng)絡(luò)安全要素，安全要素構(gòu)成網(wǎng)絡(luò)初始狀態(tài)，將 初始狀態(tài)放入安全狀態(tài)隊列； C.對網(wǎng)絡(luò)漏洞信息進(jìn)行收集，通過漏洞信息庫，分析并建立轉(zhuǎn)換規(guī)則，將漏洞信息轉(zhuǎn)換 成攻擊狀態(tài)隊列； d. 通過前向后向搜索的攻擊圖生成算法遍歷攻擊狀態(tài)節(jié)點(diǎn)隊列，經(jīng)過前向搜索會生成 完整的網(wǎng)絡(luò)攻擊圖，經(jīng)過后向搜索，排除攻擊圖中不可達(dá)目標(biāo)狀態(tài)節(jié)點(diǎn)的攻擊序列和冗余 序列將發(fā)生轉(zhuǎn)換的新狀態(tài)加入隊列，直至所有狀態(tài)轉(zhuǎn)換結(jié)束； e. 根據(jù)狀態(tài)節(jié)點(diǎn)的轉(zhuǎn)換關(guān)系和滲透依賴關(guān)系構(gòu)建網(wǎng)絡(luò)攻擊圖，用PageRank計算模型 對攻擊圖中不同狀態(tài)節(jié)點(diǎn)的重要性進(jìn)行權(quán)值計算，判斷攻擊圖的關(guān)鍵節(jié)點(diǎn)及關(guān)鍵路徑，設(shè) 定安全權(quán)值，所述的步驟e中的狀態(tài)節(jié)點(diǎn)的權(quán)值與安全權(quán)值比較，如果小于安全權(quán)值則為 安全。
[0009] 基于關(guān)聯(lián)分析的系統(tǒng)安全評估裝置，包括以下部分： 信息采集單元，用于基于OVAL的漏洞檢測收集網(wǎng)絡(luò)主機(jī)配置信息及其拓?fù)湫畔ⅲ?網(wǎng)絡(luò)安全初始化單元，用于對收集網(wǎng)絡(luò)信息進(jìn)行整理分析，獲取網(wǎng)絡(luò)安全要素，安全要 素構(gòu)成網(wǎng)絡(luò)初始狀態(tài)，將初始狀態(tài)放入安全狀態(tài)隊列； 漏洞信息采集單元，用于對網(wǎng)絡(luò)漏洞信息進(jìn)行收集，通過漏洞信息庫，分析并建立轉(zhuǎn)換 規(guī)則，將漏洞信息轉(zhuǎn)換成攻擊狀態(tài)隊列； 網(wǎng)絡(luò)掃描單元，用于通過前向后向搜索的攻擊圖生成算法遍歷攻擊狀態(tài)節(jié)點(diǎn)隊列，經(jīng) 過前向搜索會生成完整的網(wǎng)絡(luò)攻擊圖，經(jīng)過后向搜索，排除攻擊圖中不可達(dá)目標(biāo)狀態(tài)節(jié)點(diǎn) 的攻擊序列和冗余序列將發(fā)生轉(zhuǎn)換的新狀態(tài)加入隊列，直至所有狀態(tài)轉(zhuǎn)換結(jié)束； 系統(tǒng)安全判斷單元，用于根據(jù)狀態(tài)節(jié)點(diǎn)的轉(zhuǎn)換關(guān)系和滲透依賴關(guān)系構(gòu)建網(wǎng)絡(luò)攻擊圖， 用PageRank計算模型對攻擊圖中不同狀態(tài)節(jié)點(diǎn)的重要性進(jìn)行權(quán)值計算，判斷攻擊圖的關(guān) 鍵節(jié)點(diǎn)及關(guān)鍵路徑，設(shè)定安全權(quán)值，所述的步驟e中的狀態(tài)節(jié)點(diǎn)的權(quán)值與安全權(quán)值比較，如 果小于安全權(quán)值則為安全。
[0010] 3、本發(fā)明的有益效果。
[0011] 1)通過對主機(jī)等的系統(tǒng)采集，并對其進(jìn)行關(guān)聯(lián)分析找出漏洞依賴關(guān)系，可以準(zhǔn)確、 高效地進(jìn)行網(wǎng)絡(luò)安全評估； 2) 攻擊圖對所有潛在的攻擊序列進(jìn)行了直觀的呈現(xiàn)，便于管理人員進(jìn)行網(wǎng)絡(luò)安全防 護(hù)； 3) 充分考慮了攻擊的成本消耗和可以利用資源數(shù)量問題，有利于在實(shí)際環(huán)境中的運(yùn) 用； 4) 根據(jù)狀態(tài)節(jié)點(diǎn)權(quán)值不同判斷出攻擊圖關(guān)鍵節(jié)點(diǎn)，安全管理人員可以集中精力對這些 關(guān)鍵點(diǎn)進(jìn)行安全防護(hù)； 5) 利用網(wǎng)絡(luò)攻擊圖對網(wǎng)絡(luò)安全狀況進(jìn)行分析，有效的提高了安全防護(hù)的工作效率。

【專利附圖】

【附圖說明】
[0012] 圖1是攻擊圖生成過程圖。
[0013] 圖2是攻擊圖生成算法流程圖。
[0014] 圖3是關(guān)鍵攻擊路徑求取算法流程圖【具體實(shí)施方式】。

【具體實(shí)施方式】
[0015]實(shí)施例1 基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法，其特征在于按照以下步驟進(jìn)行： a. 基于OVAL的漏洞檢測收集網(wǎng)絡(luò)主機(jī)配置信息及其拓?fù)湫畔ⅲ?b. 對收集網(wǎng)絡(luò)信息進(jìn)行整理分析，獲取網(wǎng)絡(luò)安全要素，安全要素構(gòu)成網(wǎng)絡(luò)初始狀態(tài)，將 初始狀態(tài)放入安全狀態(tài)隊列； c. 對網(wǎng)絡(luò)漏洞信息進(jìn)行收集，通過漏洞信息庫，分析并建立轉(zhuǎn)換規(guī)則，將漏洞信息轉(zhuǎn)換 成攻擊狀態(tài)隊列； d. 通過前向后向搜索的攻擊圖生成算法遍歷攻擊狀態(tài)節(jié)點(diǎn)隊列，經(jīng)過前向搜索會生成 完整的網(wǎng)絡(luò)攻擊圖，經(jīng)過后向搜索，排除攻擊圖中不可達(dá)目標(biāo)狀態(tài)節(jié)點(diǎn)的攻擊序列和冗余 序列將發(fā)生轉(zhuǎn)換的新狀態(tài)加入隊列，直至所有狀態(tài)轉(zhuǎn)換結(jié)束； e. 根據(jù)狀態(tài)節(jié)點(diǎn)的轉(zhuǎn)換關(guān)系和滲透依賴關(guān)系構(gòu)建網(wǎng)絡(luò)攻擊圖，用PageRank計算模型 對攻擊圖中不同狀態(tài)節(jié)點(diǎn)的重要性進(jìn)行權(quán)值計算，判斷攻擊圖的關(guān)鍵節(jié)點(diǎn)及關(guān)鍵路徑，設(shè) 定安全權(quán)值，所述的步驟e中的狀態(tài)節(jié)點(diǎn)的權(quán)值與安全權(quán)值比較，如果小于安全權(quán)值則為 安全，網(wǎng)絡(luò)攻擊圖不存在回路，即攻擊者不會經(jīng)過一系列的攻擊狀態(tài)的轉(zhuǎn)移又回到之前經(jīng) 歷過的攻擊狀態(tài)。
[0016]更進(jìn)一步，在所述的步驟a中收集目標(biāo)網(wǎng)絡(luò)中的網(wǎng)絡(luò)布局、路由規(guī)則和防火墻信 息等網(wǎng)絡(luò)拓?fù)湫畔?，利用掃描工具或網(wǎng)管軟件獲取網(wǎng)絡(luò)設(shè)備和主機(jī)配置信息。
[0017] 實(shí)施例2 在實(shí)施例1的基礎(chǔ)上，步驟c中的漏洞信息庫建立的轉(zhuǎn)換規(guī)則有兩種建立方法： (1 )、通過分析已知的攻擊方式，根據(jù)先驗(yàn)知識建立漏洞規(guī)則； (2)、利用權(quán)限提升方式，對漏洞權(quán)限提升能力進(jìn)行分析建立漏洞利用規(guī)則。
[0018] 實(shí)施例3 在實(shí)施例1的基礎(chǔ)上，所述的步驟d中前向后向搜索的攻擊圖生成算法設(shè)置最大跳數(shù)， 利用前向搜索從初始狀態(tài)節(jié)點(diǎn)開始進(jìn)行廣度優(yōu)先搜索遍歷，如果前向搜索延伸路徑超過最 大跳數(shù)，則認(rèn)為目標(biāo)不可達(dá)而放棄該攻擊序列；再利用后向搜索算法，設(shè)定關(guān)注的目標(biāo)狀態(tài) 節(jié)點(diǎn)集合，依次對進(jìn)行后向搜索，排除攻擊圖中不可達(dá)目標(biāo)狀態(tài)節(jié)點(diǎn)的攻擊序列和冗余序 列，簡化網(wǎng)絡(luò)攻擊圖為指定目標(biāo)攻擊圖。
[0019] 實(shí)施例4 基于關(guān)聯(lián)分析的系統(tǒng)安全評估裝置，其特征在于包括以下部分： 信息采集單元，用于基于OVAL的漏洞檢測收集網(wǎng)絡(luò)主機(jī)配置信息及其拓?fù)湫畔ⅲ?網(wǎng)絡(luò)安全初始化單元，用于對收集網(wǎng)絡(luò)信息進(jìn)行整理分析，獲取網(wǎng)絡(luò)安全要素，安全要 素構(gòu)成網(wǎng)絡(luò)初始狀態(tài)，將初始狀態(tài)放入安全狀態(tài)隊列； 漏洞信息采集單元，用于對網(wǎng)絡(luò)漏洞信息進(jìn)行收集，通過漏洞信息庫，分析并建立轉(zhuǎn)換 規(guī)則，將漏洞信息轉(zhuǎn)換成攻擊狀態(tài)隊列； 網(wǎng)絡(luò)掃描單元，用于通過前向后向搜索的攻擊圖生成算法遍歷攻擊狀態(tài)節(jié)點(diǎn)隊列，經(jīng) 過前向搜索會生成完整的網(wǎng)絡(luò)攻擊圖，經(jīng)過后向搜索，排除攻擊圖中不可達(dá)目標(biāo)狀態(tài)節(jié)點(diǎn) 的攻擊序列和冗余序列將發(fā)生轉(zhuǎn)換的新狀態(tài)加入隊列，直至所有狀態(tài)轉(zhuǎn)換結(jié)束； 系統(tǒng)安全判斷單元，用于根據(jù)狀態(tài)節(jié)點(diǎn)的轉(zhuǎn)換關(guān)系和滲透依賴關(guān)系構(gòu)建網(wǎng)絡(luò)攻擊圖， 用PageRank計算模型對攻擊圖中不同狀態(tài)節(jié)點(diǎn)的重要性進(jìn)行權(quán)值計算，判斷攻擊圖的關(guān) 鍵節(jié)點(diǎn)及關(guān)鍵路徑，設(shè)定安全權(quán)值，所述的步驟e中的狀態(tài)節(jié)點(diǎn)的權(quán)值與安全權(quán)值比較，如 果小于安全權(quán)值則為安全。
[0020] 實(shí)施例5 基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法，該方法利用攻擊圖模型對網(wǎng)絡(luò)安全狀況進(jìn)行關(guān)聯(lián) 分析，釆用了一種基于廣度優(yōu)先搜索的攻擊圖生成算法，引入PageRank計算模型對攻擊圖 狀態(tài)節(jié)點(diǎn)權(quán)重進(jìn)行量化，利用權(quán)重的不同判斷出攻擊圖關(guān)鍵攻擊節(jié)點(diǎn)，再利用深度優(yōu)先搜 索算法找出攻擊圖中的關(guān)鍵攻擊路徑。最后釆用基于攻擊圖的網(wǎng)絡(luò)安全度量，量化攻擊圖 關(guān)鍵攻擊路徑的風(fēng)險值，對整網(wǎng)安全進(jìn)行度量。
[0021] 攻擊圖采用數(shù)學(xué)上的圖論為基本分析模型，利用圖論的一些特性對攻擊場景中的 攻擊狀態(tài)進(jìn)行量化和關(guān)聯(lián)分析，對網(wǎng)絡(luò)漏洞之間的滲透關(guān)系進(jìn)行概率性的預(yù)測。利用圖論 圖形化攻擊序列，實(shí)現(xiàn)攻擊序列中主機(jī)信息轉(zhuǎn)換成圖的邊和點(diǎn)，即轉(zhuǎn)換后的圖包含了攻擊 行為的轉(zhuǎn)移信息，利用圖的特性可以直觀的分析網(wǎng)絡(luò)攻擊行為。
[0022] 攻擊圖的遍歷選用廣度優(yōu)先搜索遍歷算法。充分利用基于廣度優(yōu)先前向搜索算法 和基于廣度優(yōu)先后向搜索算法的優(yōu)點(diǎn)，提出一種基于兩種算法的攻擊圖生成算法--基于 前向后向搜索的攻擊圖生成算法，并設(shè)定搜索最大跳數(shù)MAX-HOP。
[0023] 將PageRank計算模型引入網(wǎng)絡(luò)攻擊圖狀態(tài)節(jié)點(diǎn)權(quán)重計算當(dāng)中，提高節(jié)點(diǎn)權(quán)值準(zhǔn) 確性。利用PageRank計算模型對攻擊圖中不同狀態(tài)節(jié)點(diǎn)進(jìn)行權(quán)值計算，這些權(quán)值反映各個 狀態(tài)節(jié)點(diǎn)的重要性，根據(jù)狀態(tài)節(jié)點(diǎn)權(quán)值不同判斷出攻擊圖關(guān)鍵節(jié)點(diǎn)。
[0024] 網(wǎng)絡(luò)攻擊圖生成后，釆用深度優(yōu)先搜索算法尋找關(guān)鍵路徑，直達(dá)目標(biāo)節(jié)點(diǎn)。
[0025] 采用基于攻擊圖的網(wǎng)絡(luò)安全度量方法，以攻擊圖模型分析出的漏洞關(guān)聯(lián)關(guān)系為度 量基礎(chǔ)，利用攻擊圖中的關(guān)鍵攻擊路徑的安全狀況來反應(yīng)整網(wǎng)的安全狀況，簡化網(wǎng)絡(luò)安全 的度量過程。
[0026] 將PageRank計算模型引入網(wǎng)絡(luò)攻擊圖狀態(tài)節(jié)點(diǎn)權(quán)重計算當(dāng)中，提高節(jié)點(diǎn)權(quán)值準(zhǔn) 確性。利用PageRank計算模型對攻擊圖中不同狀態(tài)節(jié)點(diǎn)進(jìn)行權(quán)值計算，這些權(quán)值反映各個 狀態(tài)節(jié)點(diǎn)的重要性，根據(jù)狀態(tài)節(jié)點(diǎn)權(quán)值不同判斷出攻擊圖關(guān)鍵節(jié)點(diǎn)。網(wǎng)絡(luò)攻擊圖生成后，釆 用深度優(yōu)先搜索算法尋找關(guān)鍵路徑，直達(dá)目標(biāo)節(jié)點(diǎn)。采用基于攻擊圖的網(wǎng)絡(luò)安全度量方法， 以攻擊圖模型分析出的漏洞關(guān)聯(lián)關(guān)系為度量基礎(chǔ)，利用攻擊圖中的關(guān)鍵攻擊路徑的安全狀 況來反應(yīng)整網(wǎng)的安全狀況，簡化網(wǎng)絡(luò)安全的度量過程。
[0027] 如圖1所示，攻擊圖的基本生成過程，大致分為三步：信息收集、建立模型和關(guān)聯(lián) 分析。信息收集：收集目標(biāo)網(wǎng)絡(luò)中的網(wǎng)絡(luò)布局、路由規(guī)則和防火墻信息等網(wǎng)絡(luò)拓?fù)湫畔?，?用掃描工具或網(wǎng)管軟件獲取網(wǎng)絡(luò)設(shè)備和主機(jī)配置信息。采用基于OVAL的漏洞檢測掃描網(wǎng) 絡(luò)主機(jī)，獲取主機(jī)系統(tǒng)的基本配置信息和存在的漏洞信息。建立模型：通過對網(wǎng)絡(luò)各方面信 息的收集，獲取大量的看似無關(guān)的孤立信息。本階段對收集的網(wǎng)絡(luò)信息進(jìn)行分類預(yù)處理，采 用現(xiàn)有模型或數(shù)學(xué)公式進(jìn)行統(tǒng)一化表示，分離出影響網(wǎng)絡(luò)安全的關(guān)鍵因素及其相互關(guān)系。 關(guān)聯(lián)分析：單一的主機(jī)漏洞不能對網(wǎng)絡(luò)造成大的威脅，但是漏洞之間的相互關(guān)聯(lián)和利用關(guān) 系可以對網(wǎng)絡(luò)安全造成嚴(yán)重影響。
[0028] 攻擊圖的生成主要描述攻擊場景中的一系列攻擊狀態(tài)轉(zhuǎn)化。攻擊者利用主機(jī)漏洞 不斷遷移攻擊位置，各個主機(jī)成為攻擊路徑上的不同節(jié)點(diǎn)，節(jié)點(diǎn)狀態(tài)包含了主機(jī)狀態(tài)信息， 節(jié)點(diǎn)之間的有向邊反映了攻擊者對漏洞的利用關(guān)系和攻擊狀態(tài)的轉(zhuǎn)化關(guān)系。通過攻擊圖生 成算法可以從攻擊者角度將各個狀態(tài)節(jié)點(diǎn)進(jìn)行關(guān)聯(lián)，模擬實(shí)現(xiàn)這一攻擊序列。
[0029] 狀態(tài)攻擊圖中每個節(jié)點(diǎn)代表網(wǎng)絡(luò)系統(tǒng)遭受攻擊所處的不同狀態(tài)，攻擊狀態(tài)由不同 的系統(tǒng)安全要素構(gòu)成，這些要素主要包含主機(jī)信息、漏洞利用權(quán)限、主機(jī)存在漏洞信息、主 機(jī)提供服務(wù)等，不同的攻擊狀態(tài)對應(yīng)著不同的安全要素構(gòu)成一個個攻擊圖節(jié)點(diǎn)。不同的節(jié) 點(diǎn)之間用有向弧連接，表明不同節(jié)點(diǎn)可以通過利用漏洞進(jìn)行滲透，從一個狀態(tài)轉(zhuǎn)換成另一 個狀態(tài)。整個攻擊圖作為一個狀態(tài)轉(zhuǎn)換圖，任一條轉(zhuǎn)換路徑都是一個攻擊滲透的序列。攻 擊滲透序列是對攻擊者從系統(tǒng)初始狀態(tài)向目標(biāo)狀態(tài)轉(zhuǎn)換過程的描述。攻擊圖對所有潛在的 攻擊序列進(jìn)行了直觀的呈現(xiàn)。
[0030] 攻擊圖釆用數(shù)學(xué)上的圖論為基本分析模型，利用圖論的一些特性對攻擊場景中的 攻擊狀態(tài)進(jìn)行量化和關(guān)聯(lián)分析，對網(wǎng)絡(luò)漏洞之間的滲透關(guān)系進(jìn)行概率性的預(yù)測。利用圖論 圖形化攻擊序列，實(shí)現(xiàn)攻擊序列中主機(jī)信息轉(zhuǎn)換成圖的邊和點(diǎn)，即轉(zhuǎn)換后的圖包含了攻擊 行為的轉(zhuǎn)移信息，利用圖的特性可以直觀的分析網(wǎng)絡(luò)攻擊行為。
[0031] 假定攻擊圖為G，其中頂點(diǎn)集合為V(G),邊集合為ECG),且G為有向圖，即有：

【權(quán)利要求】
1. 一種基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法，其特征在于按照w下步驟進(jìn)行： a. 基于OVAL的漏洞檢測收集網(wǎng)絡(luò)主機(jī)配置信息及其拓?fù)湫畔ⅲ? b. 對收集網(wǎng)絡(luò)信息進(jìn)行整理分析，獲取網(wǎng)絡(luò)安全要素，安全要素構(gòu)成網(wǎng)絡(luò)初始狀態(tài)，將 初始狀態(tài)放入安全狀態(tài)隊列； C.對網(wǎng)絡(luò)漏洞信息進(jìn)行收集，通過漏洞信息庫，分析并建立轉(zhuǎn)換規(guī)則，將漏洞信息轉(zhuǎn)換 成攻擊狀態(tài)隊列； d. 通過前向后向搜索的攻擊圖生成算法遍歷攻擊狀態(tài)節(jié)點(diǎn)隊列，經(jīng)過前向搜索會生成 完整的網(wǎng)絡(luò)攻擊圖，經(jīng)過后向搜索，排除攻擊圖中不可達(dá)目標(biāo)狀態(tài)節(jié)點(diǎn)的攻擊序列和兀余 序列將發(fā)生轉(zhuǎn)換的新狀態(tài)加入隊列，直至所有狀態(tài)轉(zhuǎn)換結(jié)束； e. 根據(jù)狀態(tài)節(jié)點(diǎn)的轉(zhuǎn)換關(guān)系和滲透依賴關(guān)系構(gòu)建網(wǎng)絡(luò)攻擊圖，用化geRank計算模型 對攻擊圖中不同狀態(tài)節(jié)點(diǎn)的重要性進(jìn)行權(quán)值計算，判斷攻擊圖的關(guān)鍵節(jié)點(diǎn)及關(guān)鍵路徑，設(shè) 定安全權(quán)值，所述的步驟e中的狀態(tài)節(jié)點(diǎn)的權(quán)值與安全權(quán)值比較，如果小于安全權(quán)值則為 安全。
2. 根據(jù)權(quán)利要求1所述的基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法，其特征在于：所述的步 驟e中的網(wǎng)絡(luò)攻擊圖不存在回路，即攻擊者不會經(jīng)過一系列的攻擊狀態(tài)的轉(zhuǎn)移又回到之前 經(jīng)歷過的攻擊狀態(tài)。
3. 根據(jù)權(quán)利要求1所述的基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法，其特征在于：所述的步 驟a中收集目標(biāo)網(wǎng)絡(luò)中的網(wǎng)絡(luò)布局、路由規(guī)則和防火墻信息等網(wǎng)絡(luò)拓?fù)湫畔?，利用掃描?具或網(wǎng)管軟件獲取網(wǎng)絡(luò)設(shè)備和主機(jī)配置信息。
4. 根據(jù)權(quán)利要求1所述的基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法，其特征在于：所述的步 驟C中的漏洞信息庫建立的轉(zhuǎn)換規(guī)則有兩種建立方法： (1) 、通過分析已知的攻擊方式，根據(jù)先驗(yàn)知識建立漏洞規(guī)則； (2) 、利用權(quán)限提升方式，對漏洞權(quán)限提升能力進(jìn)行分析建立漏洞利用規(guī)則。
5. 根據(jù)權(quán)利要求1所述的基于關(guān)聯(lián)分析的系統(tǒng)安全評估方法，其特征在于：所述的步 驟d中前向后向搜索的攻擊圖生成算法設(shè)置最大跳數(shù)，利用前向搜索從初始狀態(tài)節(jié)點(diǎn)開始 進(jìn)行廣度優(yōu)先搜索遍歷，如果前向搜索延伸路徑超過最大跳數(shù)，則認(rèn)為目標(biāo)不可達(dá)而放棄 該攻擊序列；再利用后向搜索算法，設(shè)定關(guān)注的目標(biāo)狀態(tài)節(jié)點(diǎn)集合，依次對進(jìn)行后向搜索， 排除攻擊圖中不可達(dá)目標(biāo)狀態(tài)節(jié)點(diǎn)的攻擊序列和兀余序列，簡化網(wǎng)絡(luò)攻擊圖為指定目標(biāo)攻 擊圖。
6. -種基于關(guān)聯(lián)分析的系統(tǒng)安全評估裝置，其特征在于包括W下部分： 信息采集單元，用于基于OVAL的漏洞檢測收集網(wǎng)絡(luò)主機(jī)配置信息及其拓?fù)湫畔ⅲ? 網(wǎng)絡(luò)安全初始化單元，用于對收集網(wǎng)絡(luò)信息進(jìn)行整理分析，獲取網(wǎng)絡(luò)安全要素，安全要 素構(gòu)成網(wǎng)絡(luò)初始狀態(tài)，將初始狀態(tài)放入安全狀態(tài)隊列； 漏洞信息采集單元，用于對網(wǎng)絡(luò)漏洞信息進(jìn)行收集，通過漏洞信息庫，分析并建立轉(zhuǎn)換 規(guī)則，將漏洞信息轉(zhuǎn)換成攻擊狀態(tài)隊列； 網(wǎng)絡(luò)掃描單元，用于通過前向后向搜索的攻擊圖生成算法遍歷攻擊狀態(tài)節(jié)點(diǎn)隊列，經(jīng) 過前向搜索會生成完整的網(wǎng)絡(luò)攻擊圖，經(jīng)過后向搜索，排除攻擊圖中不可達(dá)目標(biāo)狀態(tài)節(jié)點(diǎn) 的攻擊序列和兀余序列將發(fā)生轉(zhuǎn)換的新狀態(tài)加入隊列，直至所有狀態(tài)轉(zhuǎn)換結(jié)束； 系統(tǒng)安全判斷單元，用于根據(jù)狀態(tài)節(jié)點(diǎn)的轉(zhuǎn)換關(guān)系和滲透依賴關(guān)系構(gòu)建網(wǎng)絡(luò)攻擊圖， 用PageRank計算模型對攻擊圖中不同狀態(tài)節(jié)點(diǎn)的重要性進(jìn)行權(quán)值計算，判斷攻擊圖的關(guān) 鍵節(jié)點(diǎn)及關(guān)鍵路徑，設(shè)定安全權(quán)值，所述的步驟e中的狀態(tài)節(jié)點(diǎn)的權(quán)值與安全權(quán)值比較，女口 果小于安全權(quán)值則為安全。
7. 根據(jù)權(quán)利要求6所述的基于關(guān)聯(lián)分析的系統(tǒng)安全評估裝置，其特征在于：所述的漏 洞信息采集裝置的漏洞信息庫建立的轉(zhuǎn)換規(guī)則有兩種建立方法： (1 )、通過分析已知的攻擊方式，根據(jù)先驗(yàn)知識建立漏洞規(guī)則； (2)、利用權(quán)限提升方式，對漏洞權(quán)限提升能力進(jìn)行分析建立漏洞利用規(guī)則。
8. 根據(jù)權(quán)利要求6所述的基于關(guān)聯(lián)分析的系統(tǒng)安全評估裝置，其特征在于：網(wǎng)絡(luò)掃描 單元中前向后向搜索的攻擊圖生成算法設(shè)置最大跳數(shù)，利用前向搜索從初始狀態(tài)節(jié)點(diǎn)開始 進(jìn)行廣度優(yōu)先搜索遍歷，如果前向搜索延伸路徑超過最大跳數(shù)，則認(rèn)為目標(biāo)不可達(dá)而放棄 該攻擊序列；再利用后向搜索算法，設(shè)定關(guān)注的目標(biāo)狀態(tài)節(jié)點(diǎn)集合，依次對進(jìn)行后向搜索， 排除攻擊圖中不可達(dá)目標(biāo)狀態(tài)節(jié)點(diǎn)的攻擊序列和兀余序列，簡化網(wǎng)絡(luò)攻擊圖為指定目標(biāo)攻 擊圖。
9. 根據(jù)權(quán)利要求6所述的基于關(guān)聯(lián)分析的系統(tǒng)安全評估裝置，其特征在于：所述的系 統(tǒng)安全判斷單元中的網(wǎng)絡(luò)攻擊圖不存在回路，即攻擊者不會經(jīng)過一系列的攻擊狀態(tài)的轉(zhuǎn)移 又回到之前經(jīng)歷過的攻擊狀態(tài)。
10. 根據(jù)權(quán)利要求6所述的基于關(guān)聯(lián)分析的系統(tǒng)安全評估裝置，其特征在于：所述的信 息采集單元中收集目標(biāo)網(wǎng)絡(luò)中的網(wǎng)絡(luò)布局、路由規(guī)則和防火墻信息等網(wǎng)絡(luò)拓?fù)湫畔?，利?掃描工具或網(wǎng)管軟件獲取網(wǎng)絡(luò)設(shè)備和主機(jī)配置信息。
【文檔編號】H04L12/24GK104348652SQ201310337886
【公開日】2015年2月11日 申請日期:2013年8月6日 優(yōu)先權(quán)日:2013年8月6日
【發(fā)明者】戚湧, 李千目, 汪歡, 侍球干, 劉振, 侯君, 丁玲玲, 陳俊, 高雙雙, 李文娟, 劉敏 申請人:南京理工大學(xué)常熟研究院有限公司