CN103139220A - 一种状态攻防图模型的网络安全攻击防御方法 - Google Patents

Abstract

本发明涉及一种状态攻防图模型的网络安全攻击防御方法，属于网络安全攻击防御技术领域。该方法利用状态攻防图模型对网络系统的攻防场景建模，然后计算原子攻击成功的概率和危害指数，找出最易发生的网络攻击路径和危害最大的网络攻击路径，再结合脆弱点防控措施，生成防御策略，从而降低网络系统的安全风险。本发明与现有技术相比，其显著优点：（1）将攻击场景通过状态攻防图建模，能很直观、清晰地描述网络系统中各脆弱点和攻击信息；（2）对攻击的概率和危害做出量化，可的明确得到最易发生的攻击和危害最大的攻击，进而帮助网络管理人员有针对性的采取防御措施。

Description

一种状态攻防图模型的网络安全攻击防御方法

技术领域

本发明涉及的是网络安全领域的攻击防御技术，具体地说是一种状态攻防图模型的网络安全攻击防御方法。

背景技术

随着网络攻击技术的多样化、协同化和智能化的发展，多步骤的组合渗透攻击成为威胁网络安全的主要形式。为了保证网络系统的安全性和健壮性，网络安全攻击防御技术渐渐成为研究的热点。

状态攻击图是一种基于模型的脆弱性分析方法。在综合分析多种网络配置和脆弱性信息的基础上，以面向攻击的方式分别对目标网络和攻击者建模，发现脆弱点之间的关系，枚举攻击者利用目标网络内不同脆弱点逐步实施攻击的路径，最终整合形成简洁、完备的网络攻击图。从而帮助防御者直观地理解目标网络内各个脆弱性之间的关系以及由此产生的潜在威胁。

Dantu等人利用状态攻击图对网络的脆弱性进行建模，然后给攻击图中每个节点分配一个概率值来描述攻击发生的可能性（R. Dantu, K. Loper, P. Kolan. Risk Management Using Behavior Based Attack Graphs [C]. In: Proceedings Int’l Conf. Information Technology:Coding and Computing, 2004: 445-449.）。姜伟等人从防御者的角度提出了网络防御图模型和基于上述模型的最优主动防御选取算法（姜伟, 方滨兴, 田志宏等. 基于攻防博弈模型的网络安全测评和最优主动防御[J]. 计算机学报. 2009, 32(4):817-827.）。Sommestad等人提出一个网络安全评估框架，该框架利用贝叶斯统计计算攻击成功概率和损失，从而建立攻击图和相应防御措施（T. Sommestad, M. Ekstedt, P. Johnson. Cyber Security Risks Assessment with Bayesian Defense Graphs and Architectural Models [C]. Proceedings of the 42nd Hawaii International Conference on System Sciences, 2009:1-10.）。

本发明对上述状态攻击图进行了扩展，提出了一种状态攻防图模型，从攻击者和防御者的角度设计了一种状态攻防图模型的网络安全攻击防御方法。该方法引入脆弱点信度的概念，结合安全脆弱点评估系统（Common Vulnerability Scoring System，简称CVSS），计算原子攻击成功发生的概率和危害指数，进而得出最易发生和危害指数最大的攻击路径。根据CVSS中各脆弱点的防控措施，生成网络安全攻击防御方法。

发明内容

本发明的目的是针对如何防御网络系统攻击而提出的一种状态攻防图模型的网络安全攻击防御方法，该方法利用状态攻防图模型对网络系统的攻防场景建模，然后计算原子攻击成功的概率和危害指数，找出最易发生的网络攻击路径和危害最大的网络攻击路径，再结合脆弱点防控措施，生成防御策略，从而降低网络系统的安全风险。

本发明的技术方案是：

一种状态攻防图模型的网络安全攻击防御方法，它包括以下步骤：

第一步，根据网络拓扑中所有主机节点的连通性构建可达矩阵；

第二步，利用脆弱点扫描工具Nessus、ISS和SARA，对网络中的各主机节点进行扫描，得到各主机节点的脆弱点集合；

第三步，根据各主机节点的脆弱点集合和各脆弱点的利用规则构建状态攻防图；

第四步，结合安全脆弱点评估系统（Common Vulnerability Scoring System，CVSS），计算状态攻防图中各原子攻击的成功概率和危害指数，其中原子攻击成功的概率计算公式为：

原子攻击危害指数的计算公式为：

其中Reliability的计算可参照文献（刘刚, 李千目, 张宏. 信度向量正交投影分解的网络安全分析评估方法[J]. 电子与信息学报. 2012, 34(8):1934-1938.）中信度的计算方法，而AccessVector、AccessComplexity、Authentication、ConfImpact、IntegImpact和AvailImpact表示的含义及其取值可参阅安全脆弱点评估系统（Common Vulnerability Scoring System，http://www.first.org/cvss/cvss-guide）和美国脆弱点数据库（National Vulnerability Database，http://nvd.nist.gov/）；

第五步，计算状态攻防图中所有攻击路径的成功概率和危害指数，攻击路径成功概率的计算为所有组成该攻击路径的原子攻击成功概率的乘积；攻击路径危害指数的计算为所有组成该攻击路径的原子攻击危害指数之和；

第六步，针对每个网络安全状态，得出最易到达该状态的攻击路径和到达该状态时危害指数最大的攻击路径；

第七步，针对上述两种攻击路径，结合脆弱点防控措施，制定防御策略。

本发明的有益效果：

本发明与现有技术相比，其显著优点：（1）将攻击场景通过状态攻防图建模，能很直观、清晰地描述网络系统中各脆弱点和攻击信息；（2）对攻击的概率和危害做出量化，可的明确得到最易发生的攻击和危害最大的攻击，进而帮助网络管理人员有针对性的采取防御措施。

附图说明

图1是状态攻防图模型的网络安全攻击防御方法的流程图。

图2是具体实施例中的网络拓扑图。

图3是状态攻防图构建算法的流程图。

图4是根据具体实施例中的网络系统生成的状态攻防图。

具体实施方式

下面结合附图和实施例对本发明作进一步的说明。

如图1所示，一种状态攻防图模型的网络安全攻击防御方法，该方法包括：

第一步，根据网络拓扑中所有主机节点的连通性构建可达矩阵；

第二步，利用脆弱点扫描工具Nessus、ISS和SARA，对网络中的各主机节点进行扫描，得到各主机节点的脆弱点集合；

第三步，根据各主机节点的脆弱点集合和各脆弱点的利用规则构建状态攻防图；

第四步，结合安全脆弱点评估系统（Common Vulnerability Scoring System，CVSS），计算状态攻防图中各原子攻击的成功概率和危害指数，其中原子攻击成功的概率计算公式为：

原子攻击危害指数的计算公式为：

其中AccessVector、AccessComplexity、Authentication、ConfImpact、IntegImpact和AvailImpact表示的含义及其取值可参阅安全脆弱点评估系统（CVSS）和美国脆弱点数据库（NVD）；

第五步，计算状态攻防图中所有攻击路径的成功概率和危害指数。攻击路径成功概率的计算为所有组成该攻击路径的原子攻击成功概率的乘积；攻击路径危害指数的计算为所有组成该攻击路径的原子攻击危害指数之和；

第六步，针对每个网络安全状态，得出最易到达该状态的攻击路径和到达该状态时危害指数最大的攻击路径；

第七步，针对上述两种攻击路径，结合脆弱点防控措施，制定防御策略。

所述的第三步中，状态攻防图SADG为一个状态转换系统图，

，其中，

是图中的状态节点集，表示网络安全状态；是图中边集，表示网络安全状态的变迁关系，每条边代表一个原子攻击；是网络初始状态，

是攻击者目标状态集合；所述的状态节点用二元组

表示，其中

是该网络安全状态下安全要素发生变化的主机节点名称，

是到达该状态节点时攻击者获得主机

上的权限；所述的状态变迁用5元组

表示。其中

是状态变迁编号，

是该原子攻击所利用的脆弱点编号，r是原子攻击成功发生后造成的危害，p是原子攻击成功发生的概率，d是防御原子攻击发生的防御措施。

所述的第四步中，所述的原子攻击，其利用一个脆弱点所发起的攻击，结合CVSS，其成功概率采用脆弱点的信度和其被利用的难易程度来表示，即：

；

所述的危害指数由机密性危害指数、完整性危害指数和可用性指数来表示，即：

。

所述的第五步中，攻击路径用三元组

表示，其中

是发起攻击的主机节点名称，

是遭受攻击的主机节点名称，

是此次攻击的攻击序列，

，其中“

”是该序列的起始标识符，“

”是该序列的结束标示符，

，是原子攻击，

是

的直接前驱，

是的直接后继。

所述的第三步中，状态攻防图的构建算法步骤如下：

第一步，算法输入网络拓扑可达矩阵RM、各主机节点的脆弱点集合VS、各脆弱点的利用规则IB和网络初始安全状态s₀；

第二步，将网络初始安全状态节点s₀加入状态队列中，标记为“未遍历”，state_queue = { s₀}；

第三步，如果状态队列还有未遍历的状态节点，获取未遍历的状态节点，从可达矩阵RM中获取该状态节点对应主机可到达的主机节点集合reachable_hostids，将该状态节点标记为“已遍历”，转第四步；否则，转第九步；

第四步，针对第三步得到的主机节点集合reachable_hostids，若reachable_hostids中有未遍历的主机节点，转第五步；否则，转第三步；

第五步，在reachable_hostids集合中，获取下一个未遍历的主机节点，得到该主机节点的脆弱点集合vuls；如果vuls中还有未遍历的脆弱点，转第六步；否则，转第四步；

第六步，在vuls集合中，获取下一个未被遍历的脆弱点vul，若脆弱点被利用的条件满足，且利用后的网络状态不在状态队列中，转第七步；若脆弱点被利用的条件满足但利用后的网络状态已存在状态队列中，转第八步；

第七步，就生成一个新的状态节点，并生成一个当前状态节点到新状态节点的状态变迁，同时将新状态节点加入状态队列中，并标记为“未遍历”，转第六步；

第八步，则只生成一个从当前状态节点到旧状态节点的一个变迁，转第六步；

第九步，根据状态变迁关系构建一个完整的状态攻防图，结束。

以图2所示的网络系统为例来说明具体的实施步骤。图2所示的网络系统中有一台公共Web服务器，一台FTP服务，一台数据库服务器和一台邮件服务器。分别用server1，server2，server3和server4表示。网络防火墙只允许外部主机访问Web服务器上的服务，其他的外部访问均被阻止。以具体实施时：

第一步，由图2所示的拓扑图和各主机节点间的访问关系可知，建立可达矩阵如下，

其中，1表示访问连通，0表示访问不连通。

第二步，利用脆弱点扫描工具Nessus、ISS和SARA三种脆弱点扫描工具，对网络系统中的各服务器节点进行扫描，得到各服务器节点的脆弱点集合如下表1所示。

表1

设Nessus，ISS和SARA三种工具的准确率分别为0.9，0.8和0.7，根据文献（刘刚, 李千目, 张宏. 信度向量正交投影分解的网络安全分析评估方法[J]. 电子与信息学报. 2012, 34(8):1934-1938.）中的正交投影分解算法可得server1中脆弱点CVE-2005-0768的信度为1，server2中脆弱点CVE-2004-2366和CVE-2005-1415的信度分别为0.6469和0.3531；server3中脆弱点CVE-2003-0500和CVE-2004-0010的信度分别为0.7083和0.2917，server4中脆弱点CVE-2003-0694的信度为1。

第三步，根据图3所示的状态攻防图的构建算法，结合各服务器节点的脆弱点集合和各脆弱点的利用规则构建状态攻防图。图2所示的网络系统的攻防攻击图如图4所示。

第四步，根据图4，结合安全脆弱点评估系统（Common Vulnerability Scoring System，CVSS），计算状态攻防图中各原子攻击的成功概率和危害指数。其中原子攻击成功的概率计算公式为

原子攻击危害指数的计算公式为

其中AccessVector、AccessComplexity、Authentication、ConfImpact、IntegImpact和AvailImpact表示的含义及其取值可参阅安全脆弱点评估系统（CVSS）和美国脆弱点数据库（NVD）。

表1中所列的脆弱点相关信息如表2所示。

表2

第五步，计算状态攻防图中所有攻击路径的成功概率和危害指数。攻击路径成功概率的计算为所有组成该攻击路径的原子攻击成功概率的乘积；攻击路径危害指数的计算为所有组成该攻击路径的原子攻击危害指数之和。从图4可以看出，从攻击者出发，到达各个网络安全状态的攻击路径如表3所示。

表3

第六步，从表3可以清楚的看出，各攻击路径成功的概率和危害指数。例如对于server2节点，从攻击者出发，获取server2节点的User权限的攻击路径共有5条，其中1-2成功概率最大，即为最易攻击路径，成功的概率为0.64648；1-5-11为危害指数最大的路径，危害指数值为24.876021。表4列出了到达各个网络安全状态时的最易发生的攻击路径和危害指数最大的攻击路径。

表4

第七步，针对上述两种类型的攻击路径，结合脆弱点防控措施，制定防御策略如表5所示。

表5

本发明未涉及部分均与现有技术相同或可采用现有技术加以实现。

Claims (5)

1.一种状态攻防图模型的网络安全攻击防御方法，其特征在于包括以下步骤：

第一步，根据网络拓扑中所有主机节点的连通性构建可达矩阵；

第二步，利用脆弱点扫描工具Nessus、ISS和SARA，对网络中的各主机节点进行扫描，得到各主机节点的脆弱点集合；

第三步，根据各主机节点的脆弱点集合和各脆弱点的利用规则构建状态攻防图；

第四步，结合安全脆弱点评估系统CVSS，计算状态攻防图中各原子攻击的成功概率和危害指数；

第五步，计算状态攻防图中所有攻击路径的成功概率和危害指数；

第六步，针对每个网络安全状态，得出最易到达该状态的攻击路径和到达该状态时危害指数最大的攻击路径；

第七步，针对上述两种攻击路径，结合脆弱点防控措施，制定防御策略。

2. 根据权利要求1所述的状态攻防图模型的网络安全攻击防御方法，其特征在于：所述的第三步中，状态攻防图SADG为一个状态转换系统图，                                               

，其中，

是图中的状态节点集，表示网络安全状态；

是图中边集，表示网络安全状态的变迁关系，每条边代表一个原子攻击；是网络初始状态，

是攻击者目标状态集合；所述的状态节点用二元组

表示，其中

是该网络安全状态下安全要素发生变化的主机节点名称，是到达该状态节点时攻击者获得主机

上的权限；所述的状态变迁用5元组

表示；其中

是状态变迁编号，

是该原子攻击所利用的脆弱点编号，r是原子攻击成功发生后造成的危害，p是原子攻击成功发生的概率，d是防御原子攻击发生的防御措施。

3. 根据权利要求1所述的状态攻防图模型的网络安全攻击防御方法，其特征在于：所述的第四步中，所述的原子攻击，其利用一个脆弱点所发起的攻击，结合CVSS，其成功概率采用脆弱点的信度和其被利用的难易程度来表示，即：

；

所述的危害指数由机密性危害指数、完整性危害指数和可用性指数来表示，即：

。

4. 根据权利要求1所述的状态攻防图模型的网络安全攻击防御方法，其特征在于：所述的第五步中，攻击路径用三元组

表示，其中

是发起攻击的主机节点名称，

是遭受攻击的主机节点名称，

是此次攻击的攻击序列，

，其中“”是该序列的起始标识符，“”是该序列的结束标示符，

，

是原子攻击，

是

的直接前驱，是

的直接后继。

5. 根据权利要求1所述的状态攻防图模型的网络安全攻击防御方法，其特征在于：所述的第三步中，状态攻防图的构建算法步骤如下：

第一步，算法输入网络拓扑可达矩阵RM、各主机节点的脆弱点集合VS、各脆弱点的利用规则IB和网络初始安全状态s₀；

第二步，将网络初始安全状态节点s₀加入状态队列中，标记为“未遍历”，state_queue = { s₀}；

第三步，如果状态队列还有未遍历的状态节点，获取未遍历的状态节点，从可达矩阵RM中获取该状态节点对应主机可到达的主机节点集合reachable_hostids，将该状态节点标记为“已遍历”，转第四步；否则，转第九步；

第四步，针对第三步得到的主机节点集合reachable_hostids，若reachable_hostids中有未遍历的主机节点，转第五步；否则，转第三步；

第五步，在reachable_hostids集合中，获取下一个未遍历的主机节点，得到该主机节点的脆弱点集合vuls；如果vuls中还有未遍历的脆弱点，转第六步；否则，转第四步；

第六步，在vuls集合中，获取下一个未被遍历的脆弱点vul，若脆弱点被利用的条件满足，且利用后的网络状态不在状态队列中，转第七步；若脆弱点被利用的条件满足但利用后的网络状态已存在状态队列中，转第八步；

第七步，就生成一个新的状态节点，并生成一个当前状态节点到新状态节点的状态变迁，同时将新状态节点加入状态队列中，并标记为“未遍历”，转第六步；

第八步，则只生成一个从当前状态节点到旧状态节点的一个变迁，转第六步；

第九步，根据状态变迁关系构建一个完整的状态攻防图，结束。

Images