CN103200184B - 一种移动终端安全测评方法 - Google Patents

Abstract

本发明提供一种移动终端安全测评方法，包括初始化步骤：评估端生成攻击列表；完善度估计步骤；漏洞威胁值估计步骤；单步攻击概率估计步骤；攻击风险值估计步骤根据攻击路径类型计算各威胁节点对应的风险值，攻击路径类型包括传递关系、与关系、或关系、必经关系。本发明能综合考虑待测移动终端系统安全机制完善程度、攻击方式和安全漏洞之间的关系，并结合安全标准的客观测试，通过分析攻击路径的方式对待测终端进行统一平台上安全评价。

Description

一种移动终端安全测评方法

技术领域

本发明属于信息安全领域，具体涉及一种移动终端安全测评技术。

背景技术

随着移动互联网技术的发展，移动智能终端已经广泛应用于人们的日常生活和工作当中。相对传统终端，移动智能终端更多地存储了个人隐私、账户信息、敏感文件、商业机密文件等，因此近来针对移动智能终端的攻击技术和威胁方式层出不穷，未来移动智能终端用户面临的安全威胁将益发严重。目前，针对移动终端的主要攻击方式和潜在威胁还是利用移动智能终端操作系统安全机制的脆弱性或安全漏洞制造恶意软件、病毒或木马等，对移动终端的安全构成了巨大的威胁。在这种背景下，对移动智能终端系统进行安全性能的评价十分必要，可以让终端用户或使用单位了解某终端目前与未来可能遭受的的威胁和攻击，为其制定安全策略提供依据。

目前移动终端安全评估研究相对滞后，缺乏统一的安全标准和评估方法。传统的信息系统安全评估方法往往建立在的主观评估之上，并没有考虑攻击方式与安全漏洞之间的关系，并且缺乏客观的安全测试，人为影响因素较强。而目前计算机系统安全测试的方法往往开销大，复杂度高，不适用于软硬件资源相对紧缺的移动智能终端。

发明内容

本发明所要解决的技术问题是，提供一种适应于移动智能终端的安全测评方法。

本发明为解决上述技术问题所采样的技术方案是，一种移动终端安全测评方法，包括以下步骤：

初始化步骤：评估端生成攻击列表，所述攻击列表包括各威胁节点名称以及各威胁节点对应的攻击实现描述；

完善度估计步骤：评估端控制移动终端完成基于安全标准的安全用例测试，并接收来自移动终端的测试结果，之后，评估端将测试结果的完成程度统计各机制节点完善程度并赋予各机制节点对应的威胁值；机制节点完善程度越高，机制节点威胁值越低；

漏洞威胁值估计步骤：评估端通过查找攻击列表，根据攻击漏洞的公开程度以及实施攻击的难易程度为各漏洞节点赋予对应的威胁值；攻击漏洞的公开程度越高，漏洞威胁值越高；实施攻击的越容易，漏洞威胁值越高；

单步攻击概率估计步骤：评估端得到威胁节点对应的攻击路径，根据攻击漏洞或机制节点的公开程度以及实施攻击的难易程度赋予每一跳攻击路径的概率值；攻击漏洞或机制节点的公开程度越高，概率值越高；实施攻击的越容易，概率值越高；

攻击风险值估计步骤：评估端根据各威胁节点对应的攻击路径类型，计算各威胁节点对应的风险值，攻击路径类型包括传递关系、与关系、或关系、必经关系；

传递关系节点指标有导致第一个威胁节点出现风险的可能性，并且第一个威胁节点出现风险后，第一个威胁节点有导致第二威胁节点出现风险的可能性，则第二威胁节点的攻击路径满足传递关系；与关系为在两个或两个以上节点指标通知满足时方能到达威胁节点；或关系为在单个或多个节点指标中任意一个满足即可到达威胁节点；必经关系为从第一跳节点指标出现，逐一经过各跳节点指标后才能到达威胁节点；所述节点指标为漏洞节点对应的威胁值或机制节点对应的威胁值；

攻击路径类型为传递关系的威胁节点的风险值t_goal为：

$t_{\mathrm{goal}}=\max \{s_2\⊗l_2,t_1\}$

其中，max｛·｝为取最大值，s₂为倒数第2跳节点的威胁值，l₂为倒数第2跳路径的概率值，t₁为最后1跳威胁节点对应的风险值，为乘积运算；

攻击路径类型为与关系的威胁节点的风险值t_goal为：

$t_{\mathrm{gold}}=\min \{s_1\⊗l_1,s_2\⊗l_2,\·\·\·s_n\⊗l_n\}$

其中，min｛·｝为取最小值，s_n为同时满足与条件的第n个节点的威胁值，l_n为第n个节点到威胁节点的概率值，n为大于等于2的整数；

攻击路径类型为或关系的威胁节点的风险值t_goal为：

$t_{\mathrm{goal}}=\max \{s_1\⊗l_1,s_1\⊗l_1,\·\·\·s_n\⊗l_n\}$

其中，max｛·｝为取最大值，s_n为同时满足或条件的第n个节点的威胁值，l_n为第n个节点到威胁节点的概率值，n为大于等于2的整数；

攻击路径类型为必经关系的威胁节点的风险值t_goal为：

$t_{\mathrm{goal}}=\frac{\mathrm{\Σ}{s}_n\⊗l_n}{n}$

其中，s_n为倒数第n跳节点的威胁值，l_n为倒数第n跳路径的概率值，n为大于等于2的整数，∑表示求和。

本发明的有益效果是，能综合考虑待测移动终端系统安全机制完善程度、攻击方式和安全漏洞之间的关系，并结合安全标准的客观测试，通过分析攻击路径的方式对待测终端进行统一平台上安全评价。

附图说明

图1为攻击路径类型示意图。

具体实施方式

一、初始化步骤：首先搜集待测移动终端系统的安全机制信息、安全漏洞信息以及存在的攻击方式和潜在安全威胁等信息。比如将潜在安全威胁分为资费消耗、隐私窃取、诱骗财物、远程控制、数据破坏、系统破坏等。将安全机制分为访问控制机制、机密性机制、完整性机制、系统审计机制、权限提升机制等。将安全漏洞分为SMS短信安全漏洞、软件管理漏洞、套接字漏洞等。

为了方便之后对潜在安全威胁的评估计算，将一类潜在安全威胁称为一个威胁节点，将存在潜在安全威胁的风险程度用威胁节点风险值表示。将一类安全机制称为一个机制节点，将一类安全漏洞称为一个漏洞节点，由安全机制不完善而引起威胁的程度用机制节点威胁值表示；由漏洞而引起威胁的程度用漏洞节点威胁值表示。机制节点威胁值与漏洞节点威胁值均称为节点指标。

威胁节点风险值代表移动终端面临的一个独立的安全威胁的风险程度。威胁节点威胁风险t的大小量化在范围[0,9]。取值越大，代表其风险越高，其取值大小的含义参见表1所示。

一个节点指标s表示移动终端操作系统安全机制的不完善性以及安全漏洞可能导致事故的威胁程度。节点指标s的大小量化为范围在[0,9]的整数。

评估端根据收集到的信息生成攻击列表，所述攻击列表包括各威胁节点名称以及各威胁节点对应的攻击实现描述。

二、节点指标估计步骤：评估端对机制节点威胁值与漏洞节点威胁值分别采用两种不同的方法进行估计。

1、对机制节点威胁值，根据确定的机制节点指标类型进行基于安全标准的安全测试，其主要为如下子步骤：

子步骤1将待测机制节点分为若干相互独立的安全子功能，对某个子功能分别在移动终端进行测试。

子步骤2然后综合各个子功能的完善度对机制节点威胁值进行赋值：对比安全测试执行结果与安全标准中要求的符合程度，将待测机制节点威胁值量化到0～9，0代表待测系统该安全机制完善程度最高，9代表安全机制完善度最低。

2、对于漏洞节点威胁值，根据预处理步骤所搜集的安全漏洞信息，对每一个漏洞节点指标按下表2描述进行赋值，即攻击漏洞的公开程度越高，漏洞威胁值越高；实施攻击的越容易，漏洞威胁值越高；表中的攻击工具包括病毒、木马、恶意软件、程序源代码等。

表2安全漏洞节点指标威胁值赋值标准表

威胁值	描述
		1	公开报告过此安全漏洞，未给出攻击方法
3	公开报告过此安全漏洞，简要提及攻击方法
		5	无现成可用攻击工具但有详细的攻击方法
7	有现成可用的攻击工具和详细的攻击方法
		9	无需攻击工具，有详细的攻击方法
2，4，6，8	表示对应上述判断的中间值

三、单步攻击概率估计步骤：

单步攻击概率表示在一条攻击路径中从某节点到其下一跳节点的概率大小l（0≤l≤1），单步攻击概率也叫做攻击路径中的一个边。

首先分析出威胁节点对应的攻击路径，得到攻击路径的方式有2种，一种是针对有源代码或有现成源代码的攻击，可采用源代码逆向分析或动静态（黑盒或白盒）测试的方法，分析出所有攻击方式对应的攻击路径，另一种直接通过查找攻击列表中攻击实现描述来得到攻击路径，适用于各种情况的攻击方法。

攻击为到达某个威胁节点指标所经历的所有节点指标、威胁节点指标和边的集合R，R=｛s₀，l₀，s₁，l₁，s₂，l₂，…t_n，l_n，t_goal｝。对任何一种攻击方式来说，终点必然是威胁节点指标，否则此次攻击没有实际的效果。而中间节点的指标可能是节点指标s也可能是威胁节点指标t，且任意一条攻击路径中边的条数n≥1。

攻击路径确定后，按下表3对每一跳攻击路径的概率值进行量化赋值，即根据攻击漏洞或机制节点的公开程度以及实施攻击的难易程度赋予每一跳攻击路径的概率值；攻击漏洞或机制节点的公开程度越高，概率值越高；实施攻击的越容易，概率值越高；

表3单步攻击实现概率值赋值标准

概率值	描述
		0.1	公开报告过此攻击，未给出实现方法
0.3	公开报告过此攻击，简要提及实现方法
		0.5	无现成可用的源代码但有具体的实现方法
0.7	有现成可用的源代码和具体的实现方法
		0.9	无需攻击工具，有具体的攻击实现方法

0.2,0.4,0.6,0.8

表示对应上述判断的中间值

四、攻击风险值估计步骤：评估端根据各威胁节点对应的攻击路径类型，计算各威胁节点对应的风险值，攻击路径类型包括传递关系、与关系、或关系、必经关系；

如图1所示，传递关系为节点指标有导致第一个威胁节点出现风险的可能性，并且第一个威胁节点出现风险后，第一个威胁节点有导致第二威胁节点出现风险的可能性，则第二威胁节点的攻击路径满足传递关系；与关系为在两个或两个以上节点指标通知满足时方能到达威胁节点；或关系为在单个或多个节点指标中任意一个满足即可到达威胁节点；必经关系为从第一跳节点指标出现，逐一经过各跳节点指标后才能到达威胁节点；所述节点指标为漏洞节点对应的威胁值或机制节点对应的威胁值；

攻击路径类型为传递关系的威胁节点的风险值t_goal为：

$t_{\mathrm{goal}}=\max \{s_2{\⊗l}_2,t_1\}$

其中，max｛·｝为取最大值，s₂为倒数第2跳节点的威胁值，l₂为倒数第2跳路径的概率值，t₁为最后1跳威胁节点对应的风险值，为乘积运算；

攻击路径类型为与关系的威胁节点的风险值t_goal为：

$t_{\mathrm{gold}}=\min \{s_1\⊗l_1,s_2\⊗l_2,\·\·\·s_n\⊗l_n\}$

其中，min｛·｝为取最小值，s_n为同时满足与条件的第n个节点的威胁值，l_n为第n个节点到威胁节点的概率值，n为大于等于2的整数；

攻击路径类型为或关系的威胁节点的风险值t_goal为：

$t_{\mathrm{gold}}=\max \{s_1\⊗l_1,s_1\⊗l_1,\·\·\·s_n\⊗l_n\}$

其中，max｛·｝为取最大值，s_n为同时满足或条件的第n个节点的威胁值，l_n为第n个节点到威胁节点的概率值，n为大于等于2的整数；

攻击路径类型为必经关系的威胁节点的风险值t_goal为：

$t_{\mathrm{goal}}=\frac{\mathrm{\Σ}{s}_n\⊗l_n}{n}$

其中，s_n为倒数第n跳节点的威胁值，l_n为倒数第n跳路径的概率值，n为大于等于2的整数，∑表示求和。

威胁节点风险值越高则表示移动终端系统面临该威胁类型的风险越大。之后，根据所测系统的各种风险值大小，结合用户的安全需求，便可做出合理的安全决策。如算出资费消耗、隐私窃取、诱骗财物、远程控制、数据破坏、系统破坏这6个威胁节点对应的风险值分别为｛5.95，4.41，4.2，4.45，4.5，2.4｝，可认为该移动终端系统被破坏的可能性较低，而资费消耗的可能性较高，因此认为该终端系统适用于对系统稳定性要求较高的场合。

Claims (2)

1.一种移动终端安全测评方法，其特征在于，包括以下步骤：

初始化步骤：评估端生成攻击列表，所述攻击列表包括各威胁节点名称以及各威胁节点对应的攻击实现描述；

完善度估计步骤：评估端控制移动终端完成基于安全标准的安全用例测试，并接收来自移动终端的测试结果，之后，评估端将根据测试结果的完成程度统计各机制节点完善程度并赋予各机制节点对应的威胁值；机制节点完善程度越高，机制节点威胁值越低；

漏洞威胁值估计步骤：评估端通过查找攻击列表，根据攻击漏洞的公开程度以及实施攻击的难易程度为各漏洞节点赋予对应的威胁值；攻击漏洞的公开程度越高，漏洞威胁值越高；实施攻击的越容易，漏洞威胁值越高；

单步攻击概率估计步骤：评估端得到威胁节点对应的攻击路径，根据攻击漏洞或机制节点的公开程度以及实施攻击的难易程度赋予每一跳攻击路径的概率值；攻击漏洞或机制节点的公开程度越高，概率值越高；实施攻击的越容易，概率值越高；

攻击风险值估计步骤：评估端根据各威胁节点对应的攻击路径类型，计算各威胁节点对应的风险值，攻击路径类型包括传递关系、与关系、或关系、必经关系；

传递关系为节点指标有导致第一个威胁节点出现风险的可能性，并且第一个威胁节点出现风险后，第一个威胁节点有导致第二威胁节点出现风险的可能性，则第二威胁节点的攻击路径满足传递关系；与关系为在两个或两个以上节点指标同时满足时方能到达威胁节点；或关系为在单个或多个节点指标中任意一个满足即可到达威胁节点；必经关系为从第一跳节点指标出现，逐一经过各跳节点指标后才能到达威胁节点；所述节点指标为漏洞节点对应的威胁值或机制节点对应的威胁值；

攻击路径类型为传递关系的威胁节点的风险值t_goal为：

$t_{goal}=max\{s_2\⊗l_2,t_1\}$

其中，max{·}为取最大值，s₂为倒数第2跳节点指标，l₂为倒数第2跳路径的概率值，t₁为最后1跳威胁节点对应的风险值，为乘积运算；

攻击路径类型为与关系的威胁节点的风险值t_goal为：

$t_{gold}=min\{s_1\⊗l_1,s_2\⊗l_2,...s_n\⊗l_n\}$

其中，min{·}为取最小值，s_n为同时满足与条件的第n个节点指标，l_n为第n个节点到威胁节点的概率值，n为大于等于2的整数；

攻击路径类型为或关系的威胁节点的风险值t_goal为：

$t_{goal}=max\{s_1\⊗l_1,s_1\⊗l_1,...s_n\⊗l_n\}$

其中，max{·}为取最大值，s_n为同时满足或条件的第n个节点指标，l_n为第n个节点到威胁节点的概率值，n为大于等于2的整数；

攻击路径类型为必经关系的威胁节点的风险值t_goal为：

$t_{goal}=\frac{{\mathrm{\Σs}}_n\⊗l_n}{n}$

其中，s_n为倒数第n跳节点指标，l_n为倒数第n跳路径的概率值，n为大于等于2的整数，∑表示求和。

2.如权利要求1所述一种移动终端安全测评方法，其特征在于，各节点指标量化到0至9的整数，0代表待测系统该安全机制完善程度最高，取值越大，表示该机制节点或漏洞节点的威胁度越高；

各威胁节点风险值大小范围为[0,9]，取值越大，表示该威胁节点的风险越高。