CN114048487A

CN114048487A - 网络靶场的攻击过程评估方法、装置、存储介质及设备

Info

Publication number: CN114048487A
Application number: CN202111439094.9A
Authority: CN
Inventors: 蔡晶晶; 陈俊; 张凯; 程磊
Original assignee: Beijing Yongxin Zhicheng Technology Co Ltd
Current assignee: Beijing Wuyi Jiayu Technology Co ltd; Yongxin Zhicheng Technology Group Co ltd
Priority date: 2021-11-29
Filing date: 2021-11-29
Publication date: 2022-02-15
Anticipated expiration: 2041-11-29
Also published as: CN114048487B

Abstract

本申请公开了一种网络靶场的攻击过程评估方法、装置、存储介质及设备。该方法包括：获取多个维度的网络靶场的靶标节点攻防数据；根据所述多个维度的网络靶场的靶标节点攻防数据，确定薄弱节点；根据所述薄弱节点，确定所述网络靶场的攻击全局度量集；根据所述网络靶场的攻击全局度量集，生成全局路径图。可见，本申请可以从全局视角出发，加以自适应机制，构建对抗过程中针对各节点攻击效果的度量特征指标(即攻击全局度量集)，并整合可视化技术，提升攻击效应展示的全局化直观效果。

Description

网络靶场的攻击过程评估方法、装置、存储介质及设备

技术领域

本申请属于网络信息安全技术研究领域，特别涉及一种网络靶场的攻击过程评估方法、评估装置存储介质及设备。

背景技术

网络靶场基于主机虚拟化、网络虚拟化、高可用云端架构等前沿技术，仿真模拟真实场景中的网络结构、设备系统等，检测、防御环境中发生的攻击行为并进行数据收集和分析工作，进一步提升防御能力，为支撑网络安全研究、人才培养、实战演练、安全测试、态势推演等不同业务场景提供完善的网络安全对抗战实验平台。

网络靶场模拟演练过程中的重要内容是复现恶意攻击状态，通过反映整个攻击过程的路径变化并作出响应，从而评判网络攻击行为产生的实际效果。从系统理解角度，网络靶场需要提供直观清晰的攻击过程与数据度量，有利于客户对于异常效应的快速理解，从而适应复杂多变的网络环境。

当前的网络靶场攻击模拟研究的主要集中点在于虚拟化仿真层面，旨在基于多种攻击方式理论与技术，对攻击环境参数配置、攻击手段、数据获取与存储管理的研究，对攻击效果的可视化表达形式有所欠缺。其主要缺点存在于以下两方面：一、对攻击行为判定结果片面，表现形式单一，直观性与可视化效果较差；二、攻击度量效果缺少全局维度，攻击效果理解难度大，用户难以快速获知攻击数据与路径等复合情况。

发明内容

为了解决所述现有技术的不足，本申请提供了一种网络靶场的攻击过程评估方法，以实现可以从全局视角出发，加以自适应机制，构建对抗过程中针对各节点攻击效果的度量特征指标(即攻击全局度量集)，并整合可视化技术，提升攻击效应展示的全局化直观效果。

第一方面，本申请提供了一种网络靶场的攻击过程评估方法，所述方法包括：

获取多个维度的网络靶场的靶标节点攻防数据；

根据所述多个维度的网络靶场的靶标节点攻防数据，确定薄弱节点；

根据所述薄弱节点，确定所述网络靶场的攻击全局度量集；

根据所述网络靶场的攻击全局度量集，生成全局路径图。

可选的，所述获取多个维度的网络靶场的靶标节点攻防数据，包括:

获取目标场景中的网络信息；

利用MulVAL模型逻辑工具，根据所述网络信息构建网络靶场模型；

根据所述网络靶场模型，生成攻击路径；

采集所述攻击路径中各个靶标节点攻防数据；

根据所述攻击路径中各个靶标节点攻防数据，确定多个维度的网络靶场的靶标节点攻防数据。

可选的，所述根据所述多个维度的网络靶场的靶标节点攻防数据，确定薄弱节点，包括:

根据所述多个维度的网络靶场的靶标节点攻防数据，确定全局攻击信息；

根据所述全局攻击信息，确定全局异常节点参数信息；

根据所述全局异常节点参数信息，确定薄弱节点。

可选的，所述全局攻击信息包括：全局攻击路径集合、全局攻击步骤集合和全局攻击手段集合。

可选的，所述根据所述薄弱节点，确定所述网络靶场的攻击全局度量集，包括：

对所述薄弱节点执行进攻处理，得到所述薄弱节点的可达性和自身薄弱性；

根据所述薄弱节点的可达性和自身薄弱性，生成攻击路径中节点薄弱性次序相对度量值；

根据所述攻击路径中节点薄弱性次序相对度量值，确定所述网络靶场的攻击全局度量集。

可选的，所述对所述薄弱节点执行进攻处理，得到所述薄弱节点的可达性和自身薄弱性，包括：

对所述薄弱节点进行进攻处理，得到进攻行为的攻击特征；

根据所述进攻行为的攻击特征，确定消耗数据和时间代价数据；

根据所述消耗数据和所述时间代价数据，确定所述薄弱节点的可达性和自身薄弱性。

可选的，所述根据所述网络靶场的攻击全局度量集，生成全局路径图，包括：

根据所述网络靶场的攻击全局度量集，生成路径攻击度量效果；

根据所述攻击路径以及所述路径攻击度量效果，生成全局路径图。

第二方面，本申请提供了一种网络靶场的攻击过程评估装置，所述装置包括：

数据获取单元，用于获取多个维度的网络靶场的靶标节点攻防数据；

节点确定单元，用于根据所述多个维度的网络靶场的靶标节点攻防数据，确定薄弱节点；

度量确定单元，用于根据所述薄弱节点，确定所述网络靶场的攻击全局度量集；

路径图生成单元，用于根据所述网络靶场的攻击全局度量集，生成全局路径图。

可选的，所述数据获取单元，用于:

获取目标场景中的网络信息；

根据所述网络靶场模型，生成攻击路径；

采集所述攻击路径中各个靶标节点攻防数据；

可选的，所述节点确定单元，用于:

根据所述全局攻击信息，确定全局异常节点参数信息；

根据所述全局异常节点参数信息，确定薄弱节点。

可选的，所述度量确定单元，用于：

可选的，所述度量确定单元，具体用于：

对所述薄弱节点进行进攻处理，得到进攻行为的攻击特征；

可选的，所述路径图生成单元，用于：

第三方面，申请提供一种储存介质，所述可读介质包括执行指令，当设备的处理器执行所述执行指令时，所述设备执行如第一方面所述的方法。

第四方面，本申请提供一种设备，所述设备包括处理器以及存储有执行指令的存储器，当所述处理器执行所述存储器存储的所述执行指令时，所述处理器执行如第一方面所述的方法。

本申请提供了一种网络靶场的攻击过程评估方法，具体地，可以先获取多个维度的网络靶场的靶标节点攻防数据；然后，可以根据所述多个维度的网络靶场的靶标节点攻防数据，确定薄弱节点；接着，可以根据所述薄弱节点，确定所述网络靶场的攻击全局度量集；最后，根据所述网络靶场的攻击全局度量集，生成全局路径图。可见，本申请可以从全局视角出发，加以自适应机制，构建对抗过程中针对各节点攻击效果的度量特征指标(即攻击全局度量集)，并整合可视化技术，提升攻击效应展示的全局化直观效果。

附图说明

为了更清楚地说明本申请实施例或现有的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请中一种网络靶场的攻击过程评估方法的流程示意图；

图2为本申请中一实施例提供的一种网络靶场的攻击过程评估装置的结构示意图；

图3为本申请中一实施例提供的一种设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合具体实施例及相应的附图对本申请的技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

下面结合附图，详细说明本申请的各种非限制性实施方式。

参见附图1，示出了本申请实施例中的一种网络靶场的攻击过程评估方法，所述方法应用于目标设备，在本实施例中，所述方法例如可以包括如下的步骤：

S101：获取多个维度的网络靶场的靶标节点攻防数据。

在本实施例中可以先获取目标场景中的网络信息，比如收集目标场景中的网络拓扑信息、网络配置信息、主机配置信息、主机漏洞信息等信息。然后，可以利用MulVAL模型逻辑工具，根据所述网络信息构建网络靶场模型，需要说明的是，在构建网络靶场模型后，可以根据攻击的复杂度或成功概率以及漏洞被成功利用后所带来的危害程度对网络靶场模型进行调整。其中，MulVAL模型逻辑工具是以Datalog语言为模型语言，将网络拓扑信息、管理策略等转化等数据采集信息转化为Datalog语言事实输入，以内部推理引擎捕获操作行为与组件交互进行系统脆弱性评估。

接着，可以根据所述网络靶场模型，生成攻击路径。作为一种示例，可以利用网络靶场模型处理全局节点数据，具体地，当一个节点的安全策略无法得到响应时，可以依据预设规则设定为攻击路径中的一个节点，从而可以根据所有安全策略无法得到响应的节点确定攻击路径。其中，安全策略为指定主体与访问数据间映射规则，安全策略的声明格式可以为allow(Principal，Access，Data)，可以通过用户输入主体绑定及数据绑定，所述主体绑定为主体符号映射在网络主机账户，所述数据绑定为数据符号映射在计算机路径。所述预设规则为：MulVAL模型(即网络靶场模型)的安全策略、规则描述，其中，规则描述可以理解为分解后的漏洞信息语句，规则描述可以包含标明漏洞利用效果及后果，以便可以展示多级攻击实施状态下危害渗透列表，呈现攻击主体在多级网络接口间利用漏洞关联性。

紧接着，可以采集所述攻击路径中各个靶标节点攻防数据。根据所述攻击路径中各个靶标节点攻防数据，确定多个维度的网络靶场的靶标节点攻防数据，例如，可以将所述攻击路径中各个靶标节点攻防数据作为多个维度的网络靶场的靶标节点攻防数据。其中，靶标节点攻防数据可以包括网络连接状态、读写文件内容、跨进程操作等数据。多个维度的网络靶场的靶标节点攻防数据可以为：采用不同的采集方式对不同对象进行数据采集，以便增加采集到的数据的种类丰富度，例如，可以采集以下数据类型：网络节点的网络流量数据(例如网络流量分析设备的网络流量数据)、网络节点的告警数据(比如网络安全访问控制设备的告警数据)、网络节点本身的监测指标数据(比如主机的文件访问、进程数据等)，当然，还可以分为流量审计方面的数据、访问控制方面的数据、主机监控方面的数据。

需要说明的是，在本实施例中，可以通过在靶场设置各监控布点，实现攻击行为的实时分层采集，采集点分布在主机、网络设备、安全设备以及监听设备上。

S102：根据所述多个维度的网络靶场的靶标节点攻防数据，确定薄弱节点。

在获取到多个维度的网络靶场的靶标节点攻防数据后，可以根据所述多个维度的网络靶场的靶标节点攻防数据，确定全局攻击信息，其中，所述全局攻击信息可以包括：全局攻击路径集合、全局攻击步骤集合和全局攻击手段集合。然后，可以根据所述全局攻击信息，确定全局异常节点参数信息，比如，靶标节点的攻击信息为存在攻击行为，且该靶标节点表现为异常值，则将该靶标节点作为异常节点。

接着，可以根据所述全局异常节点参数信息，确定薄弱节点；作为一种示例，可以结合自适应机制根据全局异常节点参数信息，判断该异常节点是否为薄弱节点。其中，MulVAL模型实施可以分为攻击模拟与策略检查两部分，攻击模拟阶段将遍历全局多级交互产生的数据访问，表示为Datalog语句所示的派生路径，并记录为全局数据元组，在策略检查阶段，将攻击模拟数据元组与设定安全策略(即访映射问规则)进行比对，若检测出与权限冲突的访问节点，将该节点记录为薄弱节点。需要说明的是，当完成薄弱节点记录后，对剩余未评估异常节点进行新一轮判断，重定义异常值，执行“可以根据所述全局攻击信息，确定全局异常节点参数信息”。上述流程全局未见异常值状态后，还原全局节点标记，对未进行特征提取的节点进行异常值评价判断是否具备异常值，若是，计算并记录，结束流程，若否，直接结束流程。这样，本实施例可以从全局视角出发，加以自适应机制，构建对抗过程中针对各节点攻击效果的度量特征指标(即攻击全局度量集)。

S103：根据所述薄弱节点，确定所述网络靶场的攻击全局度量集。

在本实施例中，在确定薄弱节点后，可以对所述薄弱节点执行进攻处理，得到所述薄弱节点的可达性和自身薄弱性。在一种实现方式中，可以先对所述薄弱节点进行进攻处理，得到进攻行为的攻击特征(即所处攻击节点当前特征)。然后，可以根据所述进攻行为的攻击特征，确定消耗数据和时间代价数据；其中，消耗数据可以理解为遍历全局节点信息所得到的数据。接着，可以根据所述消耗数据和所述时间代价数据，确定所述薄弱节点的可达性和自身薄弱性。在一种实现方式中，可以采用靶场攻击信息采集数据作为输入信息，度量靶场攻击中涉及的多级多主机路径，计算路径流程利用，依据通用弱点评价体系(CVSS)，依照攻击途径、复杂度、认证需求、机密性、完整性、可用性、权值等属性对多级路径中漏洞进行综合评分，并记录路径造成的综合危害评价，即确定所述薄弱节点的可达性和自身薄弱性。

然后，可以根据所述薄弱节点的可达性和自身薄弱性，生成攻击路径中节点薄弱性次序相对度量值。以及，根据所述攻击路径中节点薄弱性次序相对度量值，确定所述网络靶场的攻击全局度量集。可以理解的是，本实施例中可以对定义的攻击薄弱节点进行攻击步骤流程梳理，考虑节点间可达关系与自身薄弱性，形成攻击路径中节点薄弱性次序相对度量值，形成靶场的攻击全局度量集。

S104：根据所述网络靶场的攻击全局度量集，生成全局路径图。

在本实施例中，可以先根据所述网络靶场的攻击全局度量集，生成路径攻击度量效果(比如各攻击路径的综合难度系数与计算消耗、时间代价)。然后，可以根据所述攻击路径以及所述路径攻击度量效果，生成全局路径图，可以理解的是，该全局路径图中显示有完整路径攻击度量效果，比如可以显示有各攻击路径的综合难度系数与计算消耗、时间代价；可以理解的是，对于上述的攻击全局度量集，采取全局路径图表示其攻击路径，当攻击行为被靶标节点获取，显示下一阶段可达节点，并显示该节点的相对度量值；当上述全局路径图完成全部攻击节点绘制后，显示各攻击路径的综合难度系数与计算消耗、时间代价，给出完整路径攻击度量效果。这样，本实施例通过整合了可视化技术，提升攻击效应展示的全局化直观效果。

可见，本申请提供了一种网络靶场的攻击过程评估方法，具体地，可以先获取多个维度的网络靶场的靶标节点攻防数据；然后，可以根据所述多个维度的网络靶场的靶标节点攻防数据，确定薄弱节点；接着，可以根据所述薄弱节点，确定所述网络靶场的攻击全局度量集；最后，根据所述网络靶场的攻击全局度量集，生成全局路径图。可见，本申请可以从全局视角出发，加以自适应机制，构建对抗过程中针对各节点攻击效果的度量特征指标(即攻击全局度量集)，并整合可视化技术，提升攻击效应展示的全局化直观效果。可以理解的是，本申请通过分层的攻击效果评估指标形成攻击行为过程的定性和定量的效果评估；结合攻击图，实现全局视角，综合评价攻击行为的相对度量。以及，本申请通过跟踪演练过程中实际攻击全程，检索攻击全局度量集，生成攻击实例的相对度量值，实现对攻击过程的评价。本申请以全局视角洞察网络靶场演练中的攻击实例，能更全面、直观地掌握演练状况；通过对攻击过程、攻击步骤的精细评价，可更深入地了解攻击细节；攻击实例的相对度量能够展现其在攻击全集里的优劣情况。

如附图2所示，为本申请一种网络靶场的攻击过程评估装置的一个具体实施例。本实施例所述装置，即用于执行上述实施例所述方法的实体装置。其技术方案本质上与上述实施例一致，上述实施例中的相应描述同样适用于本实施例中。一种网络靶场的攻击过程评估装置，本实施例中所述装置包括：

数据获取单元201，用于获取多个维度的网络靶场的靶标节点攻防数据；

节点确定单元202，用于根据所述多个维度的网络靶场的靶标节点攻防数据，确定薄弱节点；

度量确定单元203，用于根据所述薄弱节点，确定所述网络靶场的攻击全局度量集；

路径图生成单元204，用于根据所述网络靶场的攻击全局度量集，生成全局路径图。

可选的，所述数据获取单元201，用于:

获取目标场景中的网络信息；

根据所述网络靶场模型，生成攻击路径；

采集所述攻击路径中各个靶标节点攻防数据；

可选的，所述节点确定单元202，用于:

根据所述全局攻击信息，确定全局异常节点参数信息；

根据所述全局异常节点参数信息，确定薄弱节点。

可选的，所述度量确定单元203，用于：

可选的，所述度量确定单元203，具体用于：

对所述薄弱节点进行进攻处理，得到进攻行为的攻击特征；

可选的，所述路径图生成单元204，用于：

图3是本申请实施例提供的一种设备的结构示意图。在硬件层面，该设备包括处理器，可选地还包括内部总线、网络接口、存储器。其中，存储器可能包含内存，例如高速随机存取存储器(Random-Access Memory，RAM)，也可能还包括非易失性存储器(non-volatilememory)，例如至少1个磁盘存储器等。当然，该设备还可能包括其他业务所需要的硬件。

处理器、网络接口和存储器可以通过内部总线相互连接，该内部总线可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(PeripheralComponent Interconnect，外设部件互连标准)总线或EISA(Extended Industry StandardArchitecture，扩展工业标准结构)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图3中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

存储器，用于存放执行指令。具体地，执行指令即可被执行的计算机程序。存储器可以包括内存和非易失性存储器，并向处理器提供执行指令和数据。

在一种可能实现的方式中，处理器从非易失性存储器中读取对应的执行指令到内存中然后运行，也可从其它设备上获取相应的执行指令，以在逻辑层面上形成一种网络靶场的攻击过程评估装置。处理器执行存储器所存放的执行指令，以通过执行的执行指令实现本申请任一实施例中提供的一种网络靶场的攻击过程评估方法。

上述如本申请图1所示实施例提供的一种网络靶场的攻击过程评估装置执行的方法可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(CentralProcessing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific IntegratedCircuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。

本申请实施例还提出了一种可读介质，该可读存储介质存储有执行指令，存储的执行指令被设备的处理器执行时，能够使该设备执行本申请任一实施例中提供的一种网络靶场的攻击过程评估方法，并具体用于执行上述的一种网络靶场的攻击过程评估装置。

前述各个实施例中所述的设备可以为计算机。

本领域内的技术人员应明白，本申请的实施例可提供为方法或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例，或软件和硬件相结合的形式。

本申请中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims

1.一种网络靶场的攻击过程评估方法，其特征在于，所述方法包括：

获取多个维度的网络靶场的靶标节点攻防数据；

根据所述薄弱节点，确定所述网络靶场的攻击全局度量集；

根据所述网络靶场的攻击全局度量集，生成全局路径图。

2.根据权利要求1所述的方法，其特征在于，所述获取多个维度的网络靶场的靶标节点攻防数据，包括:

获取目标场景中的网络信息；

根据所述网络靶场模型，生成攻击路径；

采集所述攻击路径中各个靶标节点攻防数据；

3.根据权利要求1所述的方法，其特征在于，所述根据所述多个维度的网络靶场的靶标节点攻防数据，确定薄弱节点，包括:

根据所述全局攻击信息，确定全局异常节点参数信息；

根据所述全局异常节点参数信息，确定薄弱节点。

4.根据权利要求3所述的方法，其特征在于，所述全局攻击信息包括：全局攻击路径集合、全局攻击步骤集合和全局攻击手段集合。

5.根据权利要求1所述的方法，其特征在于，所述根据所述薄弱节点，确定所述网络靶场的攻击全局度量集，包括：

6.根据权利要求5所述的方法，其特征在于，所述对所述薄弱节点执行进攻处理，得到所述薄弱节点的可达性和自身薄弱性，包括：

对所述薄弱节点进行进攻处理，得到进攻行为的攻击特征；

7.根据权利要求2所述的方法，其特征在于，所述根据所述网络靶场的攻击全局度量集，生成全局路径图，包括：

8.一种网络靶场的攻击过程评估装置，其特征在于，所述装置包括：

9.一种存储介质，其特征在于，所述可读介质包括执行指令，当设备的处理器执行所述执行指令时，所述设备执行如权利要求1-7中任一所述的方法。

10.一种设备，其特征在于，所述设备包括处理器以及存储有执行指令的存储器，当所述处理器执行所述存储器存储的所述执行指令时，所述处理器执行如权利要求1-7中任一所述的方法。