CN112350874B - 一种基于动态发现设备的自动靶场方法及系统 - Google Patents

Abstract

本发明公开了一种基于动态发现设备的自动靶场方法及系统，属于网络安全技术领域，能够解决现有攻击环境搭建效率较低，智能化程度较低，不利于网络安全加固和维护的问题。所述方法包括：接收用户端输入的网络地址范围；获取网络地址范围内的网络设备及其指纹信息；根据网络设备及其指纹信息和系统资产库中的网络设备信息，生成网络拓扑；根据网络拓扑生成真实场景；在真实场景中添加虚拟设备，生成靶场攻击场景；根据网络拓扑生成攻击样例。本发明用于靶场攻击场景构建。

Description

一种基于动态发现设备的自动靶场方法及系统

技术领域

本发明涉及一种基于动态发现设备的自动靶场方法及系统，属于网络安全技术领域。

背景技术

随着网络技术的快速发展，其给社会、人类生活带来了很大的便利性，创造了大量财富。同时网络攻击也变的越来越频繁，大量不法分子、敌对势力利用网络攫取不义之财、大肆进行破坏和不法活动，给我们的生活造成了很大的困扰。为了应对这种严峻的形势，目前，已经将网络领域上升到网络战的战略高度。越来越多的机构、公司都在组建网络靶场，通过靶场这种近乎实战的形式来培养网络安全人才。

现有靶场基本都是基于仿真环境，根据需要预先创建好虚拟仿真环境，而没有自动提供攻击样例；并且攻击环境搭建效率较低，智能化程度较低，不利于网络安全加固和维护。

发明内容

本发明提供了一种基于动态发现设备的自动靶场方法及系统，能够解决现有攻击环境搭建效率较低，智能化程度较低，不利于网络安全加固和维护的问题。

一方面，本发明提供了一种基于动态发现设备的自动靶场方法，所述方法包括：接收用户端输入的网络地址范围；获取所述网络地址范围内的网络设备及其指纹信息；根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，生成网络拓扑；根据所述网络拓扑生成真实场景；在所述真实场景中添加虚拟设备，生成靶场攻击场景；根据所述网络拓扑生成攻击样例。

可选的，所述根据所述网络拓扑生成攻击样例，具体包括：对所述网络拓扑进行漏洞扫描；根据扫描到的漏洞和所述漏洞的攻击脚本，生成攻击样例。

可选的，所述根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，生成网络拓扑，具体包括：根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，对所述网络设备进行二次探测，获取所述网络设备的相邻设备信息；根据所述网络设备和所述相邻设备信息，生成网络拓扑。

可选的，所述根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，对所述网络设备进行二次探测，获取所述网络设备的相邻设备信息，具体包括：根据所述网络设备及其指纹信息，生成初始拓扑；所述初始拓扑中包含的设备类型有逻辑路由器和逻辑交换机；根据所述网络设备的设备类型和指纹信息，在所述系统资产库中查找所述网络设备对应的用户名信息和密码信息；利用所述用户名信息和所述密码信息登录所述网络设备，并对所述网络设备进行ping处理；根据网络通道协议，从进行了ping处理后的网络设备上获取mac表；根据所述mac表获取所述网络设备的相邻设备信息；所述根据所述网络设备和所述相邻设备信息，生成网络拓扑，具体为：根据所述相邻设备信息修正所述初始拓扑，生成网络拓扑。

可选的，所述网络设备的指纹信息包括IP地址、MAC地址、设备类型和操作系统。

另一方面，本发明实施例提供了一种基于动态发现设备的自动靶场系统，所述系统包括：拓扑生成模块，用于接收用户端输入的网络地址范围，并获取所述网络地址范围内的网络设备及其指纹信息；所述拓扑生成模块还用于根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，生成网络拓扑；场景构建模块，用于根据所述网络拓扑生成真实场景，并在所述真实场景中添加虚拟设备，生成靶场攻击场景；样例生成模块，用于根据所述网络拓扑生成攻击样例。

可选的，所述样例生成模块具体用于：对所述网络拓扑进行漏洞扫描；根据扫描到的漏洞和所述漏洞的攻击脚本，生成攻击样例。

可选的，所述拓扑生成模块具体用于：根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，对所述网络设备进行二次探测，获取所述网络设备的相邻设备信息；根据所述网络设备和所述相邻设备信息，生成网络拓扑。

可选的，所述拓扑生成模块具体用于：根据所述网络设备及其指纹信息，生成初始拓扑；所述初始拓扑中包含的设备类型有逻辑路由器和逻辑交换机；根据所述网络设备的设备类型和指纹信息，在所述系统资产库中查找所述网络设备对应的用户名信息和密码信息；利用所述用户名信息和所述密码信息登录所述网络设备，并对所述网络设备进行ping处理；根据网络通道协议，从进行了ping处理后的网络设备上获取mac表；根据所述mac表获取所述网络设备的相邻设备信息；根据所述相邻设备信息修正所述初始拓扑，生成网络拓扑。

可选的，所述网络设备的指纹信息包括IP地址、MAC地址、设备类型和操作系统。

本发明能产生的有益效果包括：

本发明提供的基于动态发现设备的自动靶场方法，根据资产发现的真实拓扑，可以快速构建一个攻击场景，提供一个攻击环境，并且根据扫描到的漏洞，快速高效的提供一套攻击样例。本发明可以在教学系统中为学员快速高效的搭建一套攻击环境，并可以非常容易的体验网络攻击操作；对于工厂及大中型企业，本发明可以快速的发现其内部网络存在的漏洞并检验其网络安全能力，以便其快速、及时的进行网络安全加固及维护。

附图说明

图1为本发明实施例提供的基于动态发现设备的自动靶场方法流程图；

图2为本发明实施例提供的基于动态发现设备的自动靶场结构示意图；

图3为本发明实施例提供的拓扑自动生成方法流程图；

图4为本发明实施例提供的初始拓扑示意图；

图5为本发明实施例提供的二次探测后的拓扑示意图；

图6为本发明实施例提供的修正后的网络拓扑示意图；

图7为本发明实施例提供的靶场攻击场景示意图；

图8为本发明实施例提供的基于动态发现设备的自动靶场系统结构框图。

具体实施方式

下面结合实施例详述本发明，但本发明并不局限于这些实施例。

本发明实施例提供了一种基于动态发现设备的自动靶场方法，如图1所示，所述方法包括：

步骤11、接收用户端输入的网络地址范围。

步骤12、获取网络地址范围内的网络设备及其指纹信息。

这一步骤属于资产发现的过程，具体的，根据用户输入的网络地址段通过资产扫描技术获取到属于该网络地址范围内的所有网络设备及其指纹信息，指纹信息包括IP地址、MAC地址、设备类型、操作系统，但不仅限于这些信息。

步骤13、根据网络设备及其指纹信息和系统资产库中的网络设备信息，生成网络拓扑。

具体的，可以根据网络设备及其指纹信息和系统资产库中的网络设备信息，对网络设备进行二次探测，获取网络设备的相邻设备信息；

然后根据网络设备和所述相邻设备信息，生成网络拓扑。

所述的二次探测，主要是对资产发现获得的网络设备，根据系统资产库提供的网络设备信息，登录到该网络设备上，通过二次探测，发现资产发现到的网络设备的相邻设备信息，二次探测使用的协议可以是链路层发现协议(LLDP)，但不仅限于此协议。

网络拓扑的生成，是根据上述资产发现获得的网络设备，结合二次探测获得的相邻设备信息，从而生成网络拓扑。

步骤14、根据网络拓扑生成真实场景。

步骤15、在真实场景中添加虚拟设备，生成靶场攻击场景。

在网络拓扑生成之后，可以基于该网络拓扑构建一个靶场攻击场景。该靶场攻击场景，主要是通过场景管理模块来实现，在网络拓扑发现完成后，通过场景管理模块构建一个虚实结合的场景，形成一个特定的靶场攻击环境。

系统管理员可以对场景进行编排，选择不同的镜像和应用软件，访问规则，编辑出不同的场景；场景可一键开启，启动操作环境，并在对应环境上体验具体的应用软件使用方法和操作流程。

可以对网络拓扑中的真实场景信息进行编辑，增加操作机、交换机、路由器等虚拟设备，构建一个虚实结合的攻击场景。

步骤16、根据网络拓扑生成攻击样例。

在网络拓扑生成之后，可以基于该网络拓扑环境自动生成攻击样例。自动生成攻击样例，主要是通过漏洞扫描，根据扫描到的漏洞，结合漏洞的攻击脚本库，自动生成针对上述资产发现获得的网络设备的攻击样例。

本发明可以生成一个近乎真实的网络拓扑；并且可以基于此拓扑快速提供一个攻击环境；可以根据扫描到的漏洞，快速高效的提供一套攻击样例脚本。对于教学系统中的学员，本发明可以快速高效的搭建一套攻击环境，并可以非常容易的体验网络攻击操作；对于工厂及大中型企业，本发明可以快速的发现其内部网络存在的漏洞并检验其网络安全能力，以便其快速、及时的进行网络安全加固及维护。

进一步的，根据网络拓扑生成攻击样例，具体包括：对网络拓扑进行漏洞扫描；根据扫描到的漏洞和漏洞的攻击脚本，生成攻击样例。

攻击样例自动生成，包括漏洞扫描和样例生成。对资产发现的设备进行漏洞扫描，根据扫描到的漏洞到漏洞攻击脚本库中查找对应的攻击脚本，从而自动生成攻击样例。

进一步的，根据网络设备及其指纹信息和系统资产库中的网络设备信息，对网络设备进行二次探测，获取网络设备的相邻设备信息，具体包括：

步骤21、根据网络设备及其指纹信息，生成初始拓扑；初始拓扑中包含的设备类型有逻辑路由器和逻辑交换机。

步骤22、根据网络设备的设备类型和指纹信息，在系统资产库中查找网络设备对应的用户名信息和密码信息。

步骤23、利用用户名信息和密码信息登录网络设备，并对网络设备进行ping处理。

步骤24、根据网络通道协议，从进行了ping处理后的网络设备上获取mac表。

步骤25、根据mac表获取网络设备的相邻设备信息。

根据网络设备和相邻设备信息，生成网络拓扑，具体为：

步骤26、根据相邻设备信息修正初始拓扑，生成网络拓扑。

基于发现的网络资产生成一个初始的拓扑图，此初始拓扑中会包含有逻辑路由器和逻辑交换机设备。根据设备类型进行二次探测发现，若设备类型为路由器，则通过IP地址到资产库中查找到该IP对应的用户名和密码信息，通过用户名和密码登录到对应的路由器上，对资产发现的各路由器进行ping处理；若设备类型为交换机，则通过与上面路由器相同的处理办法，通过IP地址到资产库中查找到该交换机IP对应的用户名和密码信息，通过用户名和密码登录到对应的交换机上，对资产发现的各终端设备进行ping处理。ping处理结束后，通过网络通道协议到路由器和交换机上捞取学习到mac表。根据mac表，判断路由器的直连交换机，判断交换机的直连终端设备，然后对初始拓扑进行二次修正，将直连的真实路由器和真实交换机进行连线，将直连的真实交换机和终端设备进行连线；对逻辑交换机和逻辑路由器的连线进行判断，如无存在的必要则删除连线。将生成的网络拓扑保存到场景信息表中。

本发明另一实施例提供一种基于动态发现设备的自动靶场系统，如图8所示，所述系统包括：

拓扑生成模块81，用于接收用户端输入的网络地址范围，并获取网络地址范围内的网络设备及其指纹信息；

拓扑生成模块81还用于根据网络设备及其指纹信息和系统资产库中的网络设备信息，生成网络拓扑；

场景构建模块82，用于根据网络拓扑生成真实场景，并在真实场景中添加虚拟设备，生成靶场攻击场景；

样例生成模块83，用于根据网络拓扑生成攻击样例。

其中，网络设备的指纹信息可以包括IP地址、MAC地址、设备类型和操作系统。

进一步的，样例生成模块83具体用于：对网络拓扑进行漏洞扫描；根据扫描到的漏洞和漏洞的攻击脚本，生成攻击样例。

进一步的，拓扑生成模块81具体用于：

根据网络设备及其指纹信息，生成初始拓扑；初始拓扑中包含的设备类型有逻辑路由器和逻辑交换机；

根据网络设备的设备类型和指纹信息，在系统资产库中查找网络设备对应的用户名信息和密码信息；

利用用户名信息和密码信息登录网络设备，并对网络设备进行ping处理；

根据网络通道协议，从进行了ping处理后的网络设备上获取mac表；

根据mac表获取网络设备的相邻设备信息；

根据相邻设备信息修正初始拓扑，生成网络拓扑。

如图2所示，本发明的系统结构由三大功能模块组成，具体为：拓扑生成模块81、场景构建模块82和样例生成模块83，在资源仓库中有相应资源进行支持。

资产库存有IP资产的信息，主要包括IP地址、用户名、密码。场景信息库存有场景的编排信息、场景的启动信息；支持的场景有真实场景、虚拟场景、虚实结合场景，通过拓扑发现生成的场景为真实场景，重新编排后形成攻击环境的场景为虚实结合场景。漏洞攻击脚本库是根据已有漏洞预置的各种攻击脚本。

本发明首先要实现的就是拓扑发现，拓扑自动生成的流程图如图3所示，其实现方法包括：

步骤31、输入IP段，或者子网地址，表明资产发现和拓扑生成的范围；

步骤32、对输入的IP段发起资产扫描，扫描到设备的IP地址、MAC地址、设备类型、操作系统等信息。

步骤33、对扫描到的资产形成一个初始的网络拓扑，图4就是在示例网络中形成的一种初始拓扑，其中SW(N)为资产发现的真实交换机；SWv(N)为根据拓扑需要生成的逻辑交换机，不同子网生成不同的逻辑交换机；R(N)为资产发现的真实路由器；Rv为根据拓扑需要生成的逻辑路由器；cloud为逻辑云网络。

步骤34、进行二次探测，登录到发现的真实交换机或路由器，通过邻居发现方法发现其直连的下层设备。比如可以通过资产库提供的用户名、密码信息，登录到各真实交换机上，使用ping命令ping各终端设备，然后通过网络通道协议获取其mac表，从而判断出直连的主机设备。路由器也可以通过同交换机相同的办法发现其直连的交换机设备，或者通过链路层发现协议(LLDP)发现其直连的交换机设备。假设通过SW1发现了直连设备PC1、PC2，通过SW2发现了直连设备PLC，通过R1发现了直连交换机SW1、SW2，此时形成的拓扑图如图5所示。

步骤35、拓扑修正，主要目的是去除无用的逻辑设备。例如在图5中，SWv1下只有PC1、PC2，而PC1和PC2分别都与真实的交换机相连，那么SWv1就没有存在的必要了，使用相同的逻辑处理后，最终经过修正后的拓扑如图6所示。

步骤36、拓扑保存，将生成的最终拓扑保存到场景信息库中，以一种真实场景类型的形式存在。

场景构建模块82，主要负责场景的新增、编辑、删除和场景开启。对于上面保存的真实场景，可以对其进行编辑，增加操作机、交换机、路由器网络，形成一个攻击场景，如图7所示，其中cloud代表一个逻辑的云网络，表示真实的网络与虚拟的网络是网络可达的。场景开启，就是利用虚拟化技术创建虚拟网络。

样例生成模块83，对资产发现的设备进行漏洞扫描，根据扫描到的漏洞到漏洞攻击脚本库中查找到相应的攻击脚本，进而生成攻击样例。攻击样例是针对某个IP资产的某个漏洞而提供的攻击脚本。攻击样例可以从多个维度呈现，可以以IP资产的维度呈现，呈现该IP资产的所有攻击样例；也可以以漏洞的维度呈现，呈现某个漏洞下所有IP资产的攻击样例。生成的样例在攻击场景中的操作机进行执行就可以完成攻击操作。

以上所述，仅是本申请的几个实施例，并非对本申请做任何形式的限制，虽然本申请以较佳实施例揭示如上，然而并非用以限制本申请，任何熟悉本专业的技术人员，在不脱离本申请技术方案的范围内，利用上述揭示的技术内容做出些许的变动或修饰均等同于等效实施案例，均属于技术方案范围内。

Claims (6)

1.一种基于动态发现设备的自动靶场方法，其特征在于，所述方法包括：

接收用户端输入的网络地址范围；

获取所述网络地址范围内的网络设备及其指纹信息；

根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，生成网络拓扑；

根据所述网络拓扑生成真实场景；

在所述真实场景中添加虚拟设备，生成靶场攻击场景；

根据所述网络拓扑生成攻击样例；

所述根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，生成网络拓扑，具体包括：

根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，对所述网络设备进行二次探测，获取所述网络设备的相邻设备信息；

根据所述网络设备和所述相邻设备信息，生成网络拓扑；

所述根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，对所述网络设备进行二次探测，获取所述网络设备的相邻设备信息，具体包括：

根据所述网络设备及其指纹信息，生成初始拓扑；所述初始拓扑中包含的设备类型有逻辑路由器和逻辑交换机；

根据所述网络设备的设备类型和指纹信息，在所述系统资产库中查找所述网络设备对应的用户名信息和密码信息；

利用所述用户名信息和所述密码信息登录所述网络设备，并对所述网络设备进行ping处理；

根据网络通道协议，从进行了ping处理后的网络设备上获取mac表；

根据所述mac表获取所述网络设备的相邻设备信息；

所述根据所述网络设备和所述相邻设备信息，生成网络拓扑，具体为：

根据所述相邻设备信息修正所述初始拓扑，生成网络拓扑。

2.根据权利要求1所述的方法，其特征在于，所述根据所述网络拓扑生成攻击样例，具体包括：

对所述网络拓扑进行漏洞扫描；

根据扫描到的漏洞和所述漏洞的攻击脚本，生成攻击样例。

3.根据权利要求1所述的方法，其特征在于，所述网络设备的指纹信息包括IP地址、MAC地址、设备类型和操作系统。

4.一种基于动态发现设备的自动靶场系统，其特征在于，所述系统包括：

拓扑生成模块，用于接收用户端输入的网络地址范围，并获取所述网络地址范围内的网络设备及其指纹信息；

所述拓扑生成模块还用于根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，生成网络拓扑；

场景构建模块，用于根据所述网络拓扑生成真实场景，并在所述真实场景中添加虚拟设备，生成靶场攻击场景；

样例生成模块，用于根据所述网络拓扑生成攻击样例；

所述拓扑生成模块具体用于：

根据所述网络设备及其指纹信息和系统资产库中的网络设备信息，对所述网络设备进行二次探测，获取所述网络设备的相邻设备信息；

根据所述网络设备和所述相邻设备信息，生成网络拓扑；

所述拓扑生成模块具体用于：

根据所述网络设备及其指纹信息，生成初始拓扑；所述初始拓扑中包含的设备类型有逻辑路由器和逻辑交换机；

根据所述网络设备的设备类型和指纹信息，在所述系统资产库中查找所述网络设备对应的用户名信息和密码信息；

利用所述用户名信息和所述密码信息登录所述网络设备，并对所述网络设备进行ping处理；

根据网络通道协议，从进行了ping处理后的网络设备上获取mac表；

根据所述mac表获取所述网络设备的相邻设备信息；

根据所述相邻设备信息修正所述初始拓扑，生成网络拓扑。

5.根据权利要求4所述的系统，其特征在于，所述样例生成模块具体用于：

对所述网络拓扑进行漏洞扫描；

根据扫描到的漏洞和所述漏洞的攻击脚本，生成攻击样例。

6.根据权利要求4所述的系统，其特征在于，所述网络设备的指纹信息包括IP地址、MAC地址、设备类型和操作系统。

Images