论文部分内容阅读
摘 要：本文对计算机网路脆弱性评估方法进行阐述。首先介绍脆弱性评估方法的发展过程及其特征；然后概述基本规则的脆弱性评估方法；最后，阐述基于博弃论的计算机网路脆弱性评估方法，希望能为以后有关研究计算机网路脆弱性评估方法的学者提供方便。
关键词：计算机网络；脆弱性；评估方法
一、脆弱性评估方法发展简述
网络安全领域的脆弱性评估方法最早是起源于黑客攻击技术和对黑客攻击的防范技术，后来随着网络规模的扩大和应用的增多，网络脆弱性评估方法为了满足当前的需求也不断发展起来。在脆弱性评估的初期，主要是通过利用在实际使用中积累的经验去检验更多的计算机系统的安全性，如何产生更精确更完备的检验规则成为当时研究的重点，这种方法实际上就是一种规则匹配。后来随着网络环境的不断变化，这种基于规则的评估的方法因其自身的固有缺点已不能满足安全评估的需要。随着数学工具的不断丰富，研究人员开始使用故障树、图、有限状态机等工具进行网络脆弱性评估的研究，脆弱性评估方法的研究成为一个新兴的研究方向。脆弱性评估方法经历了多个阶段的发展变化，评估的手段不断成熟。评估方法和评估模型日渐丰富。纵观脆弱性评估方法的发展历史，脆弱性评估的发展过程大致可以总结为以下几个特征：①由手动评估向自动评估发展；②由基于主机的评估向基于网络的评估发展；③由定性评估向量化评估发展；④由基于规则的评估向基于模型的评估发展。
二、基于规则的评估方法
（1）脆弱性扫描工具。脆弱性扫描工具是一种自动检测远程或本地主机安全性弱点的程序，是针对网络主机和设备安全薄弱环节与漏洞问题而开发的信息安全评估工具，可用于发现用户整个网络主机或者设备系统存在的安全漏洞、安全隐患和放端口。目前常见的脆弱性扫描工具主要有：ISS、SATAN、COPS、Nmap、NAICybercop Scanner、Nessus等。脆弱性扫描工具按照实现方式划分，可分为基于网络的扫描工具（如：Nmap、Nessus、ISS等）和基于主机的扫描工具（如：COPS）两种类型。扫描技术的出现使得脆弱性发掘从手工阶段进入了自动化探测阶段，标志着网络安全工具从被动检测（如：防火墙、入侵检测）转变为主动检测的角度为网络提供安全服务，是脆弱性评估技术的一大进步。根据脆弱性扫描工具的结果，系统管理员能够发现所维护设备的各种端口分配、提供的服务、应用软件的版本以及这些服务及软件呈现在网络上的安全漏洞。从而在安全维护中能够做到“有的放矢”，及时修补漏洞提升系统的安全性，这是一个规则提取到规则匹配的过程，扫描工具的研究重点集中到如何找到更准确的匹配规则和更加完备的规则集。目前国际上比较权威的脆弱性数据库主要包括：Mitre开发的通用脆弱性数据库（Common Vulnerabilities and Exposures，CVE）、Symantec公司的SecurityFocus小组发布的Bugtraq库、IIS公司发布的X-Force库以及CERT/CC发布的脆弱性数据库等。然而随着网络环境配置的复杂化和应用程序的大量增加，脆弱性扫描工具的不足之处越来越明显。首先脆弱性扫描只能找出被扫描系统或软件中存在的已知漏洞，这些漏洞的扫描结果独立存在并不能发现各个漏洞之间的关联关系，因而无法发现由于多个漏洞的共同存在而产生的关联脆弱性。其次脆弱性扫描虽然能够发现系统独立存在的缺陷，却很难得到漏洞的存在会对系统造成什么样的危害，针对漏洞进行修复能否有效阻止可能攻击的发生。再次，针对数量庞大的安全漏洞，无论是漏洞威胁的分析还是系统缺陷的弥补都要付出巨大的人力和代价。
（2）网络组合分析工具。2002年Paul Amamma提出了NetMap，一个用于对网络进行模型化、信息发现和分析的安全工具。NetMap依赖于不受网络层次限制的具体网络，它能够整合所有层次的网络信息。模型包含拓扑信息、基础下部组织和部署服务。此外，模型不同层次不同实体之间的关系非常明确，模型信息由一套组合网络工具来管理，这套工具通过扫描技术和启发式技术来确定各个方面的网络信息。每个工具都有一个输入输出和处理类型以及执行任务要求的抽象规范。工具描述用网络工具语言表达，然后将其存储于数据库。通过使用网络模型和工具描述，NetMap能够自动确定需要哪个工具来执行复杂任务，如何安排模型来获得所需的结果。
（3）基于规则的拓扑脆弱性分析。Vipin Swarup与Sushil Jajodia于2005年提出一种基于规则的拓扑脆弱性分析方法。该方法将单独攻击表示为一个基于规则系统的转移规则，并定义了不干扰规则集。使用一个状态转移模型，用状态节点表示计算机网络的配置信息和攻击者的能力，将规则集表示为状态转移过程。根据规则集属性的匹配关系，提供一种高效的脆弱性分析算法，实现网络中攻击的路径。对于不干扰规则集，该算法是类似于基于单调的方法，具有较好的可扩展性。但该算法过于依赖规则集的制定，相当于假设攻击者已经了解整个网络的详细结构，这不合常理。
三、基于博弃论的评估方法
博弃论是研究多个个体或团队之间在特定条件制约下的对局中利用相关方的策略而实施对应策略的学科，是研究具有斗争或竞争性质现象的理论和方法。在脆弱性评估相关领域中，攻击过程中的攻击者与防御者可以被看作是博弈的双方，他们在每一次攻击和防守中釆取不同的策略、获取不同的收益，通过纳什均衡或最优策略计算可以达到脆弱性评估的目的。姜伟等人介绍了一种网络防御图模型，提出了攻防策略分类及其成本量化的方法，采用博弃理论，实现了基于该模型的最优主动防御选取算法。但是文章的重点在于防御策略的分析，对攻击策略和方法特别是脆弱性对攻击的影响的分析过于简单。
参考文献：
[1]Paszek E.Probabilistic Boolean and Bayesian Networks Version 1.5： October 9，2007，Produced by The Connexions Projects.
[2]Wang JA，Guo MZ. Vulnerability Categorization Using Bayesian Networks[C]. CSIIRW’10 ，April 21 -23， 2010， Oak Ridge， TN， USA.
作者簡介：姬亚磊，郑州工商学院。
关键词：计算机网络；脆弱性；评估方法
一、脆弱性评估方法发展简述
网络安全领域的脆弱性评估方法最早是起源于黑客攻击技术和对黑客攻击的防范技术，后来随着网络规模的扩大和应用的增多，网络脆弱性评估方法为了满足当前的需求也不断发展起来。在脆弱性评估的初期，主要是通过利用在实际使用中积累的经验去检验更多的计算机系统的安全性，如何产生更精确更完备的检验规则成为当时研究的重点，这种方法实际上就是一种规则匹配。后来随着网络环境的不断变化，这种基于规则的评估的方法因其自身的固有缺点已不能满足安全评估的需要。随着数学工具的不断丰富，研究人员开始使用故障树、图、有限状态机等工具进行网络脆弱性评估的研究，脆弱性评估方法的研究成为一个新兴的研究方向。脆弱性评估方法经历了多个阶段的发展变化，评估的手段不断成熟。评估方法和评估模型日渐丰富。纵观脆弱性评估方法的发展历史，脆弱性评估的发展过程大致可以总结为以下几个特征：①由手动评估向自动评估发展；②由基于主机的评估向基于网络的评估发展；③由定性评估向量化评估发展；④由基于规则的评估向基于模型的评估发展。
二、基于规则的评估方法
（1）脆弱性扫描工具。脆弱性扫描工具是一种自动检测远程或本地主机安全性弱点的程序，是针对网络主机和设备安全薄弱环节与漏洞问题而开发的信息安全评估工具，可用于发现用户整个网络主机或者设备系统存在的安全漏洞、安全隐患和放端口。目前常见的脆弱性扫描工具主要有：ISS、SATAN、COPS、Nmap、NAICybercop Scanner、Nessus等。脆弱性扫描工具按照实现方式划分，可分为基于网络的扫描工具（如：Nmap、Nessus、ISS等）和基于主机的扫描工具（如：COPS）两种类型。扫描技术的出现使得脆弱性发掘从手工阶段进入了自动化探测阶段，标志着网络安全工具从被动检测（如：防火墙、入侵检测）转变为主动检测的角度为网络提供安全服务，是脆弱性评估技术的一大进步。根据脆弱性扫描工具的结果，系统管理员能够发现所维护设备的各种端口分配、提供的服务、应用软件的版本以及这些服务及软件呈现在网络上的安全漏洞。从而在安全维护中能够做到“有的放矢”，及时修补漏洞提升系统的安全性，这是一个规则提取到规则匹配的过程，扫描工具的研究重点集中到如何找到更准确的匹配规则和更加完备的规则集。目前国际上比较权威的脆弱性数据库主要包括：Mitre开发的通用脆弱性数据库（Common Vulnerabilities and Exposures，CVE）、Symantec公司的SecurityFocus小组发布的Bugtraq库、IIS公司发布的X-Force库以及CERT/CC发布的脆弱性数据库等。然而随着网络环境配置的复杂化和应用程序的大量增加，脆弱性扫描工具的不足之处越来越明显。首先脆弱性扫描只能找出被扫描系统或软件中存在的已知漏洞，这些漏洞的扫描结果独立存在并不能发现各个漏洞之间的关联关系，因而无法发现由于多个漏洞的共同存在而产生的关联脆弱性。其次脆弱性扫描虽然能够发现系统独立存在的缺陷，却很难得到漏洞的存在会对系统造成什么样的危害，针对漏洞进行修复能否有效阻止可能攻击的发生。再次，针对数量庞大的安全漏洞，无论是漏洞威胁的分析还是系统缺陷的弥补都要付出巨大的人力和代价。
（2）网络组合分析工具。2002年Paul Amamma提出了NetMap，一个用于对网络进行模型化、信息发现和分析的安全工具。NetMap依赖于不受网络层次限制的具体网络，它能够整合所有层次的网络信息。模型包含拓扑信息、基础下部组织和部署服务。此外，模型不同层次不同实体之间的关系非常明确，模型信息由一套组合网络工具来管理，这套工具通过扫描技术和启发式技术来确定各个方面的网络信息。每个工具都有一个输入输出和处理类型以及执行任务要求的抽象规范。工具描述用网络工具语言表达，然后将其存储于数据库。通过使用网络模型和工具描述，NetMap能够自动确定需要哪个工具来执行复杂任务，如何安排模型来获得所需的结果。
（3）基于规则的拓扑脆弱性分析。Vipin Swarup与Sushil Jajodia于2005年提出一种基于规则的拓扑脆弱性分析方法。该方法将单独攻击表示为一个基于规则系统的转移规则，并定义了不干扰规则集。使用一个状态转移模型，用状态节点表示计算机网络的配置信息和攻击者的能力，将规则集表示为状态转移过程。根据规则集属性的匹配关系，提供一种高效的脆弱性分析算法，实现网络中攻击的路径。对于不干扰规则集，该算法是类似于基于单调的方法，具有较好的可扩展性。但该算法过于依赖规则集的制定，相当于假设攻击者已经了解整个网络的详细结构，这不合常理。
三、基于博弃论的评估方法
博弃论是研究多个个体或团队之间在特定条件制约下的对局中利用相关方的策略而实施对应策略的学科，是研究具有斗争或竞争性质现象的理论和方法。在脆弱性评估相关领域中，攻击过程中的攻击者与防御者可以被看作是博弈的双方，他们在每一次攻击和防守中釆取不同的策略、获取不同的收益，通过纳什均衡或最优策略计算可以达到脆弱性评估的目的。姜伟等人介绍了一种网络防御图模型，提出了攻防策略分类及其成本量化的方法，采用博弃理论，实现了基于该模型的最优主动防御选取算法。但是文章的重点在于防御策略的分析，对攻击策略和方法特别是脆弱性对攻击的影响的分析过于简单。
参考文献：
[1]Paszek E.Probabilistic Boolean and Bayesian Networks Version 1.5： October 9，2007，Produced by The Connexions Projects.
[2]Wang JA，Guo MZ. Vulnerability Categorization Using Bayesian Networks[C]. CSIIRW’10 ，April 21 -23， 2010， Oak Ridge， TN， USA.
作者簡介：姬亚磊，郑州工商学院。