CN104809404A - 一种信息安全攻防平台的数据层系统 - Google Patents

Abstract

本发明公开了一种信息安全攻防平台的数据层系统，设有工具库模块、场景配置库模块、课件库模块、安全情报库模块、日志库模块、攻击行为库模块和平台库模块，通过七个资源库模块的独立运行、各模块之间的联动以及模块与外部数据的联动，以虚拟设备和实体设备结合的方式为信息安全攻防平台提供一个完整、高效、统一规范的数据层系统，帮助信息安全攻防平台有效地实现网络安全性评估、攻防对抗、新产品检验测试，以及对网络架构、设计过程、主机安全、数据安全等方面进行一系列的评估评测。

Description

一种信息安全攻防平台的数据层系统

技术领域

本发明涉及计算机网络信息安全技术领域，具体涉及一种信息安全攻防平台的数据层系统，用于为信息安全攻防平台提供资源。

背景技术

当今社会计算机网络所面临的最大威胁就是对手的攻击和计算机犯罪。一种是主动攻击，它以各种方式有选择性地破坏信息的有效性和完整性；另一类是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译获得重要机密信息，导致机密数据的泄漏。

电力系统是一个复杂的网络系统，其安全可靠运行不仅可以保障电力系统的正常运行与供电，避免安全隐患所造成的重大损失，更是全社会稳定发展的基础。正因如此，电力信息网络容易成为电子战攻击目标。为了防患未然，切实保障电网安全运行，需建设一个能够提供高度接近实战的仿真环境，建设一套信息安全的方法论，融合一线安全对抗专家的丰富经验，真正意义上建设一个符合国家战略目标的攻防演练平台。

信息安全攻防平台在实验平台网络建设及实际应用过程中，实验平台中网络设备和安全设备的网络拓扑、网络配置和安全配置的变更是时常发生。目前实验平台管理人员无法及时、有效、准确、直观地调整网络拓扑、安全配置状况。如何对构建实验平台的网络进行管理，使实验平台在实验、测试、培训和研发过程中对经常使用的实验环境进行设计和保存，并且能够快速加载所需网络拓扑，对于实验室管理来说非常重要。同时实验室中各种设备如果自动恢复配置，对于实验室管理来说也非常重要。

数据层系统是信息安全攻防平台的一个重要部分，是信息安全攻防平台的资源库，通过与平台其它系统的联动提供各种数据、信息和工具资源。数据层系统的运行有效性影响到一个信息安全攻防平台能否有效地实现网络安全性评估、攻防对抗、新产品检验测试，以及对网络架构、设计过程、主机安全、数据安全等方面进行一系列的评估评测。

发明内容

本发明旨在提供一种信息安全攻防平台的数据层系统，通过数据层中各资源库模块之间的相互联动和对各资源库模块的统一化和规范化管理，实现统一、有效地进行数据处理、数据使用和数据分析的目的。

为了实现上述目的，本发明采用如下技术方案：

一种信息安全攻防平台的数据层系统，主要由若干资源库模块组成，所述资源库模块包括工具库模块、场景配置库模块、课件库模块、安全情报库模块、日志库模块、攻防行为库模块和平台库模块；所述数据层系统还设有统一数据联动接口以及数据传输模块，两者均与各资源库模块进行连接；所述统一数据联动接口为数据层系统外部接入各资源库模块的统一接口，而数据层系统内各资源库模块均通过所述数据传输模块与数据层系统外部进行数据传输：

需要说明的是，库是功能相近的类的集合，有助于实现专人开发和专职管理，具有专业性强的特点，在版本控制和扩展方面都更加容易，还可以将错误处理集中进行。采用库的形式构成信息安全攻防平台的数据层系统，有利于更加统一有效地为攻防演练、攻防培训等操作提供数据支撑。另外，所述统一数据联动接口和数据传输模块使得整个数据库系统的数据统一地接入和输出，管理更加规范，也有利于对数据的访问和输出进行权限管理。

工具库模块包括渗透工具库子模块以及网络攻击库子模块，分别用于存储预置的渗透工具和网络攻击工具；另外，所述数据库系统允许通过所述统一数据联动接口向工具库模块导入第三方工具。所述工具库用于为攻防演练时采用的不同攻击方式提供相应的工具，预置有多种渗透工具和网络攻击工具的同时，还允许导入第三方工具，有助于数据快速响应的同时使工具库模块也更具可扩展性。

场景配置库模块包括场景存储模块，所存储的场景根据实际需要选定；所述场景配置库模块还设置有场景自搭建子模块以及场景自定义子模块。

需要说明的是，场景配置库模块中预置符合实际需要的场景，主要目的在于能够快速分析出安全情报库模块所搜集到的最新情报的类同场景，从而实现仿真场景的快速配置，在进行攻防演练、教学、培训等操作时对数据层系统的其它模块和信息安全攻防平台的其他系统起到支撑作用。另外，场景自搭建子模块和场景自定义子模块允许有权限的人员在利用预置的场景外，自搭建场景或进行场景的自定义，这样场景配置模块的利用就具有更高的灵活性和可扩展性，能够随时适应信息安全形势的发展。

课件库模块用于存储各类攻防教程，通过统一数据联动接口与信息安全攻防平台的展示系统相连接；另外，所述课件库模块与所述场景配置库模块相互联动，课件库模块中所存储的每个攻防教程中均设有入口进入场景配置库模块中与之相关的攻防场景。

安全情报库模块主要包括网络连接子模块、数据获取子模块以及存储子模块，所述安全情报库通过网络连接子模块与目标情报源应用进行连接，并通过对数据获取子模块在所述目标情报源应用上利用采集引擎和接收引擎进行情报搜集和接收，并存储在所述存储子模块中。

需要说明的是，信息安全攻防平台的攻防演练、培训、教学等操作均具有情报结合的特点，是针对最新的安全情报信息进行的，而所述安全情报库模块则是负责情报搜集、情报管理、与信息安全攻防平台其他系统进行情报联动的主要功能模块。

日志库模块设有日志存储子模块，用于存储来自数据层系统其他模块和信息安全攻防平台其他系统的有关攻防演练操作的行为信息。

攻击行为库模块用于存储典型攻击行为，在信息安全攻防平台进行攻防演练时供信息安全攻防平台其它系统调用；

平台库模块用于存放信息安全攻防平台的各类信息，包括系统资源信息、专题信息、案例信息和课程信息，主要为展示课件相关信息而服务。

需要说明的是，所述工具库模块主要由用户端、工具库系统、工具库服务器以及工具存储器组成，用户端通过浏览器的方式访问工具库系统并下载工具；工具库服务器用于工具库的部署和运行、给用户端提供工具库浏览界面以及存储渗透工具；工具存储器为一个文件系统，用于存放渗透工具的使用文档。

进一步需要说明的是，所述工具库系统设置有工具模块包、渗透工具单元、工具及工具使用文档下载单元。

需要说明的是，所述渗透工具库中包含有信息搜集工具集、口令拆解工具集、漏洞利用工具集、权限提升工具集、脚本渗透工具集：

信息搜集工具集：用于对目标网络进行扫描和检测、脆弱性分析以及漏洞扫描与检测技术，以协助用户端在进行信息收集工作，掌握目标环境，主要包含有远程主机扫描工具、主机开放端口扫描工具、主机协议扫描工具、系统扫描工具、内网络拓扑扫描探测工具、自动化扫描工具、数据库扫描工具、网站服务器扫描工具、网站扫描工具、CGI漏洞扫描工具、二进制扫描工具以及NetBIOS扫描工具；

口令拆解工具集：包含密码字典生成工具、本地密码爆破工具、远程密码拆解工具；

漏洞利用工具集：包含有漏洞库构建模块、利用代码管理模块、漏洞信息管理模块、漏洞利用过程管理模块以及漏洞利用框架管理模块；

权限提升工具集：包括数据库提权工具以及系统本地提权工具；

脚本渗透工具集：包含邮箱攻击渗透、网络攻击渗透、网站密取工具、内网密取工具。

需要说明的是，所述网络攻击库包括有网络攻击工具、主机攻击渗透工具、数据库攻击工具以及应用攻击工具。

需要说明的是，安全情报库模块还设置有安全情报管理子模块、采集方式管理子模块、采集策略管理子模块、状态管理子模块以及手工导入功能子模块：

安全情报管理子模块：用于对搜集到的安全情报包括删除、增加、修改在内的统一管理操作以及目标对象的添加、删除、修改和查询；其中，查询的范围包括了该安全情报的影响范围、影响严重性等信息；

采集方式管理子模块：数据采集子模块中采用了多种采集引擎进行数据采集，采集方式管理子模块负责对多种采集引擎进行配合调度并分布式部署，已完成对数据的采集；

采集策略管理子模块：用于将安全情报分为普通安全情报、重要安全情报和紧急安全情报进行采集策略管理，其中普通安全情报通过互联网获取，而重要安全情报和紧急安全情报则通过国家相关信息安全组织机构获取；

状态管理子模块：用于实现对采集引擎和接收引擎之间链路的状态管理，设置有包括情报审核、跟踪、反馈在内的功能模块；

手工导入功能子模块：用于通过数据库系统的统一数据联动接口，供获得权限的管理员手工导入安全情报。

进一步需要说明的是，所述信息安全攻防平台的攻防演练基于安全情报库模块所搜集到最新安全情报而进行的，完备的采集策略管理、采集方式管理和状态管理有助于搜集到更为全面和有效的安全情报，而允许手工导入安全情报则增强了安全情报库模块的可扩展性。

更进一步需要说明的是，采集策略管理子模块对于普通安全情报采用的采集策略为采集基本属性，通过Web爬虫建立初始属性，属性需要精细处理，最大化地还原目标的所有可获取属性；对于重要安全情报，除了采集基本属性还进行关系结构的采集，并进行网状描绘，在属性的更新上做到天级别的更新周期；而紧急安全情报则是最大化的详尽对象在互联网上的所有特征。

进一步需要说明的是，所述数据获取子模块具体支持多深度爬虫、GraphAPI以及FQL2.0，通过所述采集方式管理子模块的调度可以单一使用或组合使用；多深度爬虫用于对目标情报源的目标页面进行遍历，并将安全情报存储到存储子模块上；GraphAPI用于对目标对象进行基本属性的实时更新；而通过使用FQL查询语言，可以获取到格式化后的数据并快速整型入库。

需要说明的是，数据层系统中的各个资源库模块中均设有统计子模块。每个资源库模块中的统计子模块所统计的内容具体可以根据实际需要设定，如工具库模块中可以统计每个工具的使用频率，场景配置库中统计每个场景的使用记录等，通过对各资源库模块中的统计结果进行单独分析或关联分析，帮助对信息安全攻防平台中的攻防结果、演练结果或者加固的结果做出定量化的分析，从数据层面对操作人员的操作习惯进行定量分析。

需要说明的是，数据层系统中的每个资源库模块均设有独立的权限控制子模块。所述权限控制子模块使得每个资源库模块的访问、接入或数据输入输出均受权限控制，只有获得权限的人员才能进入访问相关的资源库模块，有效防止数据泄露。

本发明的有益效果在于：

1、数据层系统的数据进行统一的接入和输出，且受到权限控制，管理规范且自动化，并且能够有效地防止数据的泄露，保证信息安全；

2、能够对数据库系统中的数据进行有效的后期分析，进而使得数据库系统不仅可以用于支撑信息安全攻防平台的攻防演练，而且还可以对攻防结果、演练结果或者加固的结果做出定量化的分析，从数据层面对信息安全人员的操作习惯进行定量分析，从而针对性地进行培训和查漏补缺，对漏洞分布、一个时间段内的漏洞特点做出分析甚至预判，从而最大化地利用所收集的数据；

3、功能完备的安全情报库模块使得数据库系统具有对国内各大网络安全情报网站如CVE，CERT的安全情报的爬取和存储的功能，提高了安全技术能力。

附图说明

图1为本发明的总体功能模块图；

图2为图1中工具库模块的功能模块示意图。

具体实施方式

以下将结合附图对本发明作进一步的描述，需要说明的是，本实施例以本技术方案为前提，给出了详细的实施方式和具体的操作过程，但本发明的保护范围并不限于本实施例。

如图1所示，一种信息安全攻防平台的数据层系统，主要由若干资源库模块组成，所述资源库模块包括工具库模块、场景配置库模块、课件库模块、安全情报库模块、日志库模块、攻击行为库模块和平台库模块；所述数据层系统还设有统一数据联动接口以及数据传输模块，两者均与各资源库模块连接；所述统一数据联动接口为外部接入各资源库模块的统一接口，而数据层系统内各资源库模块均通过所述数据传输模块与外部进行数据传输。

需需要说明的是，库是功能相近的类的集合，有助于实现专人开发和专职管理，具有专业性强的特点，在版本控制和扩展方面都更加容易，还可以将错误处理集中进行。采用库的形式构成信息安全攻防平台的数据层系统，有利于更加统一有效地为攻防演练、攻防培训等操作提供数据支撑。另外，所述统一数据联动接口和数据传输模块使得整个数据库系统的数据统一地接入和输出，管理更加规范，也有利于对数据的访问和输出进行权限管理。另外，在整个数据层系统中，既采用了真实的物理设备，还采用了较为完备的虚拟技术，虚实结合的方式使得所述数据层系统的运行更为快速有效，还有利于降低成本。

一、工具库模块

工具库模块中设置有渗透工具库子模块和网络攻击库子模块；除系统事先提供的各种渗透工具和网络攻击工具外，通过所述统一数据联动接口可以进行第三方的工具导入。所述工具库用于为攻防演练时采用的不同攻击方式提供相应的工具，预置有多种渗透工具和网络攻击工具的同时，还允许导入第三方工具，有助于数据快速响应的同时使工具库模块也更具可扩展性。

如图2所示，所述工具库模块主要由以下几部分组成：用户端、工具库系统、工具库服务器、工具存储器。

用户端：主要是终端用户，即数据层系统使用者。用户端可以从工具库模块里，通过浏览器的方式访问工具库系统并下载相关工具。

工具库系统：工具库系统主要由工具模块包、渗透工具、工具及工具使用文档下载组成。用户端可以通过工具库系统下载相应的渗透测试工具。

工具库服务器：工具库服务器负责工具库模块的部署和运行。对外给用户端提供工具库系统浏览界面，同时可以也可以用来存储渗透工具。

工具存储器：此部分为一个文件系统，分渗透工具包模块，存放所有的内网渗透测试工具及各个工具的使用文档。

(一)渗透工具库子模块

渗透工具库子模块中包含有信息搜集工具集、口令拆解工具集、漏洞利用工具集、权限提升工具集、脚本渗透工具集。

(1)信息搜集工具集

能够对目标网络进行扫描和检测、脆弱性分析，并综合运用多种国际最新的漏洞扫描与检测技术，能够快速发现网络资产，准确识别资产属性、全面扫描安全漏洞，清晰定性安全弱点，从而帮助用户在攻击前期做好信息收集工作，能够掌握目标环境。其中，所述信息搜集工具集主要包含如下工具：

远程主机扫描工具：能够通过综合运用多种手段(主机存活探测，智能端口检测，操作系统指纹识别等)全面、快速、准确的发现被扫描网络中的存活主机；

主机开放端口扫描工具：能够探测目标主机开放端口，以及扫描主机scanme中所有的保留TCP端口，像为B类188.116网段中255个8位子网。该探测用于确定系统是否运行了sshd、DNS、imapd或4564端口。如果这些端口打开，将使用版本检测来确定哪种应用在运行；

主机协议扫描工具：确定目标机支持哪些IP协议；

系统扫描工具：探测目标主机的操作系统，进行秘密SYN扫描，对象为主机Saznme所在的“C类”网段的255台主机，同时尝试确定每台工作主机的操作系统类型；因为进行SYN扫描和操作系统检测，这个扫描需要有根权限；

内网络拓扑扫描探测工具：域环境扫描工具,可以实现对域环境下的信息探测及拓扑结构显示；

自动化扫描工具；

数据库扫描工具：发现并利用给定的URL的SQL注入漏洞，目前支持的数据库是MS-SQL,,MYSQL,ORACLE和POSTGRESQL。SQLMAP采用四种独特的SQL注入技术，分别是盲推理SQL注入，UNION查询SQL注入，堆查询和基于时间的SQL盲注入。其广泛的功能和选项包括数据库指纹，枚举，数据库提取，访问目标文件系统，并在获取完全操作权限时实行任意命令；

网站服务器扫描工具：它可以对网页服务器进行全面的多种扫描，包含超过千种有潜在危险的文件/CGIs；超过多种服务器版本；超过多种特定服务器问题。扫描项和插件可以自动更新(如果需要)。基于Whisker/libwhisker完成其底层功能；

网站扫描工具：能够对网站进行扫描，包括后台目录及文件；

CGI漏洞扫描工具：用于扫描系统存在的CGI漏洞。

二进制扫描工具：用于扫描系统二进制文件。

NetBIOS扫描工具：用于局域网，IP，主机名，用户名称和MAC地址扫描。

(2)口令拆解工具集

所述口令拆解工具集具体包括：

密码字典生成工具：支持对目标对象的多种密码生成方式，如生日、学号、邮编、手机、姓名等。修改现存密码字典：包括单个字典文件的插入、删除、替换字符(串)；大小写转换；删除空格、空行、重复行；以及两个字典的合并运算，包括并、交、补、差、积等运算功能。具备多种字典生成、修改、合并、分割、排序、清理、预览字典等功能.以数学模型为理念基础，灵活运用，各模块化功能可相互组合；

本地密码爆破工具：支持多种数据类型的密码爆破，包括：Windows密码、VNC、Office、压缩文件等应用密码、MD5、WiFi密码爆破等。它支持HTTP基本身份验证、HTTP(HTML FORM/CGI)、POP3、FTP、SMB、Telnet和IMAP、NNTP、NetBus等其他类型；可以创建身份验证类型。支持多级身份验证引擎，并能够同时连接多个目标；

远程密码拆解工具：用于远程对路由器等网络设备及各类网络应用的登录密码进行安全拆解。通过远程扫描，将这些用户找出来，然后通知他们修改adsl的默认用户名和密码。程序采用多线程设计，一小时可以扫描近6万个IP地址，自动扫描具有管理界面的ADSL调制解调器，并且用自带的密码字典尝试打开，然后自动找到拨号上网帐号和密码。

(3)漏洞利用工具集

漏洞利用工具集是基于Metasploit Framework(MSF)4.7开源的基础上增加了若干特有的系统漏洞利用工具集合，使得任务执行人员在对重点目标对象的打击过程中能够更好的完成任务，可以非常方便的在漏洞利用系统内扫描目标主机的常见或者高危漏洞并进行漏洞利用完成攻击活动。所述漏洞利用工具集环境支持Perl、C语言、汇编程序和Python，通过漏洞利用系统使任务执行人员有一个完善的测试和使用exploit代码环境。

除使用MSF框架外，针对特定的新增漏洞，为了能够快速的产生战斗力，有可能会提供不在MSF框架内的利用工具。漏洞利用工具集会在系统内提供新工具的自动推送能力，实时告知所有的具有权限的操作人员最新的漏洞利用工具的相关信息、使用方法和注意事项等信息。所述漏洞利用工具集的功能模块如下：

1)漏洞库构建模块：构建文件捆绑类漏洞，跨站类漏洞，浏览器漏洞，本地提取漏洞等进行漏洞库的构建和扩容；

2)利用代码管理模块：对利用代码进行统一分类，并批注详细描述，和给出使用环境的合理化建议；

3)漏洞信息管理模块：对漏洞的类型，利用环境，利用条件进行统一管理。能够对漏洞的来源，漏洞的原理，利用方法等进行详细添加，删除，修改，查询。能够在漏洞出现的第一时间从此模块中形成战斗力；

4)漏洞利用过程管理模块：对漏洞在利用过程中的各个环节进行把控，对利用过程进行详细记录；

5)漏洞利用框架管理模块：在利用框架中，系统管理员对目标进行攻击测试。框架管理是对现行的各种，如struts2、xposed、php等框架进行管理。

(4)权限提升工具集

包括数据库提权工具、系统本地提权工具。一种“辅助”性质的漏洞，当黑客已经通过某种手段进入了目标机器后，可以利用它进入更高的状态传入WEBSHELL，但此时权限是非常低的，无法种植木马，控制目标机器，也无法渗透到服务器更深层的机器，通过提权工具在机器上突破权限控制的。

(5)脚本渗透工具集

包含邮箱攻击渗透工具、网络攻击渗透工具、网站密取工具、内网密取工具:

邮箱攻击渗透工具是利用跨站攻击、漏洞利用等技术针对Yahoo、gmail、Sina、126、qq、163、aol、hinet、21cn、mail.ru、mail2000全系、PChome等国内外主流邮件系统实现跨站攻击和钓鱼功能，获取相应邮件系统的口令和cookies等相关信息；实现针对以上Webmail邮件系统的钓鱼等功能，支持DNS修改和配置功能，用户验证(通过序列号和注册码验证)，发信人匿名和伪装，伪造页面延迟弹出，邮箱转发，自定义添加SMTP服务器，COOKIE信息、密码信息和环境信息的探测和收集，并支持定时刷新COOKIE，附件添加等功能。

网络攻击渗透工具用于对PHP、ASP、Asp.net、JSP等类型网站展开攻击，具备注入、跨站、上传等功能。全面的数据库支持，独创的自动关键字分析能够减少人为操作且更判断结果准确，独创的内容大小判断方法能够减少网络数据流量，最大化的Union操作能够极大的提高SQL注入操作速度，预登陆功能，在需要验证的情况下照样注入。能够支持代理，HTTPS，自定义HTTP标题头功能，拥有丰富的绕过防火墙过滤功能，注入站(点)管理功能，数据导出功能。

网站密取工具用于获得网站控制权后对网站源代码和数据库数据进行密取，支持PHP、ASP、JSP等网站及SQL Server、MySQL、Oracle等常见数据库。WEB攻击类工具包含跨站注入，SQL注入等，利用网站程序对用户输入过滤不足，输入可以显示在页面上对其他用户造成影响的HTML代码，从而获取特定用户资料、利用目标用户身份进行对特定目标进行攻击。

内网密取工通过多跳中转和协议伪装等方式对目标内网计算机中的数据实施安全密取。中间人内网渗透工具和IE植入技术等利用工具包含一系列针对内网系统的渗透工具，涵盖渗透测试前期扫描到后期植入和控制的全过程，能够协助渗透测试人员快速实现内网渗透。

(二)网络攻击库子模块

网络攻击库子模块包括如下攻击工具：

(1)网络攻击工具：利用嗅探方式捕获局域网帐号口令，是内网渗透中重要的组成部分；可以对内网相同广播域、不同广播域以及内网-外网三种模式下的通联数据实施嗅探。可记录通讯原始数据，并可从中截取FTP、SMTP、POP3等明文口令；可以对指定的目标主机网页进行劫持替换；可以对指定的目标主机文件进行劫持篡改。

(2)主机攻击渗透工具：用于Windows、Linux、Unix、Mac等主流系统环境开展攻击，并能绕过主流安全查杀软件。自动检测本地或远程主机安全弱点快速的准确的发现扫描目标存在的漏洞并提供给使用者扫描结果。工作原理是扫描器向目标计算机发送数据包，然后根据对方反馈的信息来判断对方的操作系统类型、开发端口、提供的服务等敏感信息。

(3)数据库攻击工具：用户对SQL server、MySQL、Orcale等主流数据库开展渗透，具备注入、爆破、溢出等功能。可绕过IPS/IDS(入侵防御系统/入侵检测系统)。只需提供一个URL和一个可用的关键字，它就能够检测注入点并利用。自动挖掘可利用的SQL查询，还能够识别后台数据库类型、检索数据的用户名和密码hash、转储表和列、从数据库中提取数据，甚至访问底层文件系统和执行系统命令。

(4)应用攻击工具：用于对应用等主流终端设备开展远程渗透。具备端口扫描，漏洞发现，对路由器扫描，伪造数据包，会话控制，中间人攻击，密码破解等功能。

二、安全情报库模块

安全情报库模块负责从目标情报源应用处获取数据。由于数据源的多样性，每个目标情报源应用都有各自不同的数据特点和格式，同时也具有不同的抵御数据爬取的方法和手段。因此，为了能够稳定、准确的从互联网应用中获取到数据层系统需要的数据，就必须设计各自独立的数据收取和爬取引擎。

安全情报库模块主要包括网络连接子模块、数据获取子模块以及存储子模块，所述安全情报库通过网络连接子模块与目标情报源应用进行连接，并通过数据获取子模块在所述目标情报源应用上利用采集引擎和接收引擎分别进行情报搜集和接收，并存储在所述存储子模块中；另外，所述安全情报库模块能够通过统一数据联动接口或数据传输模块与数据库系统其它模块以及信息安全攻防平台的其它系统进行数据联动；

由于当前互联网应用都会使用相关的反数据爬取手段来限制和组织自动数据爬取，因此为了能够有效的获取到这些数据源的数据，在安全情报模块中还需要设置对应的辅助功能模块，完成针对国内各大网络安全情报网站(如CVE，CERT)上的安全情报的爬取和存储。安全情报模块内部署多个独立的数据获取节点，由统一的数据获取调度管理程序完成对数据获取节点的策略下发和状态监控。各数据获取节点设置缓存数据库来临时存取爬取到的数据，数据获取节点在对数据进行了初步的过滤和清洗后将数据转发给统一的存储节点完成数据的存储。

所述安全情报库模块还包括如下功能模块：

(一)安全情报管理子模块

用于对搜集到的安全情报包括删除、增加、修改在内的统一管理操作以及目标对象的添加、删除、修改和查询；其中，查询的范围包括了该安全情报的影响范围、影响严重性等信息；

(二)采集方式管理子模块

数据采集子模块中采用了多种采集引擎进行数据采集，采集方式管理子模块负责对多种采集引擎进行配合调度并分布式部署；

所述数据采集子模块支持多深度爬虫技术、GraphAPI技术、FQL2.0技术，通过采集方式管理子模块的调度可以单一使用也可以组合使用。采用归档爬虫对上述安全情报源的目标页面进行遍历，将安全情报的本地内容存储到的存储介质上；通过对GraphAPI的利用，做到对于目标对象实时的基本属性的更新；使用FQL查询语言，可以通过FQL获取到格式化后的数据并快速整型入库；实现通过以上三种引擎的配合调度并分布式部署，完成对数据的采集。

(三)采集策略管理子模块

首先默认的三个目标有三个默认策略：

普通安全情报：采用基本属性，通过Web爬虫建立初始属性，属性需要精细处理，最大化的还原目标的所有可获取属性；

重点安全情报：在普通安全情报上进行扩展，除了采集基本属性还需要采集关系结构，并进行网状描绘，在属性的更新上做到天级别的更新周期；

紧急安全情报：是最大化的详尽对象在互联网上的所有特征。

其中，普通安全情报在互联网上获取，而重点安全情报和紧急安全情报则通过国家相关信息安全组织机构获取。

(四)状态管理子模块

实现对采集引擎和接收引擎之间链路的状态管理。具有情报审核、跟踪、反馈等功能。

(五)手工导入功能子模块

安全情报库模块对系统管理员开放统一数据联动接口，管理员可以将获得的安全情报进行手工导入。

三、场景配置库模块

场景配置库模块设有场景存储模块，其中存储有大量预置有符合实际需要的、覆盖主机、数据库、应用、网络等层面的典型案例以及攻防演练场景，模拟场景主要从简单到复杂的过程进行攻防演练。另外，所述场景配置库模块还设置有场景自搭建子模块以及场景自定义子模块，除固定场景外，可以针对相关业务进行灵活的场景搭建，增加了场景模块中的可扩展性。场景具备图形交互式的自定义功能，实现快速的场景部署、配置与恢复功能，场景录制与回放功能及搜索与统一管理功能。另外，所述场景配置库模块通过所述统一数据联动接口和数据传输模块与数据层系统的其它资源库以及信息安全攻防平台的其它系统进行联动。在本实施例中，场景配置库模块中存储的场景如表1所示。

表1

场景名称	场景类型
		WebShell获取权限综合测试目标场景	目标场景
WebShell获取权限综合测试操作场景	操作场景
		YXCMS重安装漏洞目标场景	目标场景
YXCMS重安装漏洞操作场景	操作场景
		利用代码审计技术目标场景	操作场景
利用代码审计技术操作场景	操作场景
		PHPCMS漏洞利用目标场景	目标场景
PHPCMS漏洞利用操作场景	操作场景
		远程代码执行漏洞的利用目标场景	目标场景
远程代码执行漏洞的利用操作场景	操作场景
		SQL注入目标场景	目标场景
SQL注入操作场景	操作场景
		网站解析漏洞目标场景	目标场景

网站解析漏洞操作场景	操作场景
		WebShall爆破目标场景	目标场景
WebShall爆破操作场景	操作场景
		FCK编辑器漏洞目标场景	目标场景
FCK编辑器漏洞操作场景	操作场景
		X-Scan目标场景	目标场景
X-Scan操作场景	操作场景
		NTscan靶机	目标场景
NTscan操作机	操作场景
		上兴远控	目标场景
webshell	目标场景
		内网综合渗透实验目标场景	目标场景
内网综合渗透实验操作场景	操作场景
		主机信息扫描	目标场景
arp	目标场景
		日志清除	目标场景
缓冲区溢出目标机	目标场景
		xp标准操作场景	操作场景
第三方提权	目标场景
		PHP错误代码	目标场景
UDF提权	目标场景

discuz7一句话

目标场景

场景主要采用服务器、中间件、数据库进行模拟，利用Windowsserver 2003、weblogic、Oracle 11、Apache中一种或几种进行搭建，通过选定的服务器、中间件、数据库、操作计算机等设备进行连线搭建的网络场景模拟，管理员可以在分析后添加业务相关的主机来供场景使用。另外，管理员可根据经验选择相应设备连线进行场景配置以及根据选定的用户及用户组和网络场景进行任务下发。

四、课件库模块

课件库模块主要集中储存各类典型的攻防教程，包含常见及非常见的攻防教程，涵盖主机、数据库、应用、网络等各个层面的攻防知识点教程。另外，所述课件库模块与所述场景配置库模块相互联动，课件库模块中所存储的每个攻防教程中均设有入口进入场景配置库模块中与之相关的攻防场景。使用者可以在接收到演练任务后，查看到匹配当前任务的过程文档及功能演示，在查看到任务中的知识点后，可以选择启动攻防模拟场景进行实际操作，来验证学习到的攻防知识。管理员可自定义课件，并对课件进行文档及操作演示的录制并下发任务，也可以实现学员分组式的互动教学，并支持课件的统一管理，具备可升级和扩展能力，针对各类知识点作为实践中的得分点用于考试、考核、统计等功能展示。

五、日志库模块

日志库模块用于存储来自数据层系统内部以及信息安全攻防平台其它系统的日志，以及系统自动产生的日志。

进一步需要说明的是，数据层系统中的各个资源库模块中均设有统计子模块。每个资源库模块中的统计子模块所统计的内容具体可以根据实际需要设定，如工具库模块中可以统计每个工具的使用频率，场景配置库中统计每个场景的使用记录等，通过对各资源库模块的统计结果进行单独分析或关联分析，帮助对信息安全攻防平台中的攻防结果、演练结果或者加固的结果做出定量化的分析，从数据层面对操作人员的操作习惯进行定量分析。

更进一步需要说明的是，数据层系统中的每个资源库模块均设有独立的权限控制子模块。所述权限控制子模块使得每个资源库模块的访问、接入或数据输入输出均受权限控制，只有获得权限的人员才能进入访问相关的资源库模块，有效防止数据泄露。

六、攻击行为库模块

所述攻击行为库模块用于存储典型攻击行为，具体可按照实际需要进行预置和确定。

七、平台库模块

平台库模块存放了系统资源信息及专题、案例、课程等信息，为操作员展示课件相关信息服务。

对于本发明的技术人员来说，可以根据以上的技术方案和构思，作出各种相应的改变和变形，而所有的这些改变和变形，都应该包括在本发明权利要求的保护范围之内。

Claims (10)

1.一种信息安全攻防平台的数据层系统，主要由若干资源库模块组成，其特征在于，所述资源库模块包括工具库模块、场景配置库模块、课件库模块、安全情报库模块、日志库模块、攻防行为库模块和平台库模块；所述数据层系统还设有统一数据联动接口以及数据传输模块，两者均与各资源库模块进行连接；所述统一数据联动接口为数据层系统外部接入各资源库模块的统一接口，而数据层系统内各资源库模块均通过所述数据传输模块与数据层系统外部进行数据传输：

工具库模块包括渗透工具库子模块以及网络攻击库子模块，分别用于存储预置的渗透工具和网络攻击工具；另外，所述数据库系统允许通过所述统一数据联动接口向工具库模块导入第三方工具；

场景配置库模块包括场景存储模块，所存储的攻防场景根据实际需要选定；所述场景配置库模块还设置有场景自搭建子模块以及场景自定义子模块；

课件库模块用于存储各类攻防教程，通过统一数据联动接口与信息安全攻防平台的展示系统相连接；另外，所述课件库模块与所述场景配置库模块相互联动，课件库模块中所存储的每个攻防教程中均设有入口进入场景配置库模块中与之相关的攻防场景；

安全情报库模块主要包括网络连接子模块、数据获取子模块以及存储子模块，所述安全情报库模块通过网络连接子模块与目标情报源应用进行连接，并通过数据获取子模块在所述目标情报源应用上利用采集引擎和接收引擎进行情报搜集和接收，然后存储在所述存储子模块中；

日志库模块设有日志存储子模块，用于存储来自数据库系统其他模块和信息安全攻防平台其他系统的有关攻防演练操作的行为信息；

攻击行为库模块用于存储典型攻击行为；

平台库模块用于存放信息安全攻防平台的各类信息，包括系统资源信息、专题信息、案例信息和课程信息。

2.根据权利要求1所述的一种信息安全攻防平台的数据层系统，其特征在于，所述工具库模块主要由用户端、工具库系统、工具库服务器以及工具存储器组成，用户端通过浏览器的方式访问工具库系统并下载工具；工具库服务器用于工具库的部署和运行、给用户端提供工具库浏览界面以及存储渗透工具；工具存储器为一个文件系统，用于存放渗透工具的使用文档。

3.根据权利要求2所述的一种信息安全攻防平台的数据层系统，其特征在于，所述工具库系统包括工具包模块、渗透工具单元、工具及工具使用文档下载单元。

4.根据权利要求1所述的一种信息安全攻防平台的数据层系统，其特征在于，所述渗透工具库子模块中包含有信息搜集工具集、口令拆解工具集、漏洞利用工具集、权限提升工具集、脚本渗透工具集：

信息搜集工具集：用于对目标网络进行扫描和检测、脆弱性分析以及漏洞扫描与检测技术，主要包含远程主机扫描工具、主机开放端口扫描工具、主机协议扫描工具、系统扫描工具、内网络拓扑扫描探测工具、自动化扫描工具、数据库扫描工具、网站服务器扫描工具、网站扫描工具、CGI漏洞扫描工具、二进制扫描工具以及NetBIOS扫描工具；

口令拆解工具集：包含密码字典生成工具、本地密码爆破工具、远程密码拆解工具；

漏洞利用工具集：设有漏洞库构建模块、利用代码管理模块、漏洞信息管理模块、漏洞利用过程管理模块以及漏洞利用框架管理模块；

权限提升工具集：包括有数据库提权工具以及系统本地提权工具；

脚本渗透工具集：包括有邮箱攻击渗透、网络攻击渗透、网站密取工具、内网密取工具。

5.根据权利要求1所述的一种信息安全攻防平台的数据层系统，其特征在于，所述网络攻击库包括有网络攻击工具、主机攻击渗透工具、数据库攻击工具以及应用攻击工具。

6.根据权利要求1所述的一种信息安全攻防平台的数据层系统，其特征在于，安全情报库模块还设置有安全情报管理子模块、采集方式管理子模块、采集策略管理子模块、状态管理子模块以及手工导入功能子模块：

安全情报管理子模块：用于对搜集到的安全情报包括删除、增加、修改在内的统一管理操作以及目标对象的添加、删除、修改和查询；

采集方式管理子模块：数据采集子模块中采用了多种采集引擎进行数据采集，采集方式管理子模块负责对采集引擎进行配合调度并分布式部署；

采集策略管理子模块：用于将安全情报分为普通安全情报、重要安全情报和紧急安全情报进行采集策略管理，其中普通安全情报通过互联网获取，而重要安全情报和紧急安全情报则通过国家相关信息安全组织机构获取；

状态管理子模块：用于实现对采集引擎和接收引擎之间链路的状态管理，设置有包括情报审核、跟踪、反馈在内的功能模块；

手工导入功能子模块：用于通过数据库系统的统一数据联动接口，供获得权限的管理员手工导入安全情报。

7.根据权利要求6所述的一种信息安全攻防平台的数据层系统，其特征在于，采集策略管理子模块对于普通安全情报采用的采集策略为采用基本属性，通过Web爬虫建立初始属性；对于重要安全情报，除了采集基本属性外还进行关系结构的采集，并进行网状描绘，在属性的更新上做到天级别的更新周期；而紧急安全情报则是最大化的详尽对象在互联网上的所有特征。

8.根据权利要求1或6所述的一种信息安全攻防平台的数据层系统，其特征在于，所述数据获取子模块具体支持多深度爬虫、GraphAPI以及FQL2.0，通过所述采集方式管理子模块的调度可以单一使用或组合使用；多深度爬虫用于对目标情报源应用的目标页面进行遍历，并将安全情报存储到存储子模块上；GraphAPI用于对目标对象进行基本属性的实时更新；而通过使用FQL查询语言，可以获取到格式化后的情报数据并快速整型入库。

9.根据权利要求1所述的一种信息安全攻防平台的数据层系统，其特征在于，数据层系统中的各个资源库模块中均设有统计子模块。

10.根据权利要求1所述的一种信息安全攻防平台的数据层系统，其特征在于，数据层系统中的每个资源库模块均设有独立的权限控制子模块。