CN114205154B - 一种针对隔离安全机制的网络安全测试方法 - Google Patents

Abstract

本发明公开了一种针对隔离安全机制的网络安全测试方法，该方法包括：渗透测试程序以便携设备形态通过人工接入到隔离内网，自解压释放出安全环境感知模块、资源探测模块、资源识别分析模块、漏洞检测模块、路径规划模块、隐蔽通道建立模块，并择机将渗透测试程序部署到内网环境其他主机上；通过隐蔽条件下先感知分析后针对渗透的策略，综合感知目标网络的通联拓扑、目标价值、属性信息、安防情况、约束条件等要素，分析选择合适的渗透测试目标、渗透测试方法及渗透测试路径发起测试，提升效率和增加安全性。

Description

一种针对隔离安全机制的网络安全测试方法

技术领域

本发明属于网络安全测试技术领域，特别涉及一种针对隔离安全机制的网络安全测试方法。

背景技术

隔离内网由于具有不连通互联网或单工通信的特殊性，需要采用人工接入的方式实现对隔离内网的突破渗透，并且需要在有限的接触机会中，甚至可能只存在唯一一次接触目标的机会，来实现渗透测试程序的植入。因为渗透测试程序的植入点通常非核心要害，因此渗透测试程序需要具备自行传播的能力。

蠕虫病毒具备较强的独立性和传播性，能够借助U盘、邮件、漏洞等方式感染其他计算机；Nimda病毒通过邮件、共享文件夹及主动感染IIS服务器等多种方式进行传播；incaseformat病毒主要通过U盘传播的方式感染其他计算机，感染后暴力删除磁盘文件造成破坏。除单纯制造破坏的蠕虫病毒外，红色代码等病毒将蠕虫、木马程序合为一体，若将其木马程序稍作改造，能够获取计算机的管理权限实现持久控守。

现有的蠕虫病毒主要追求更快更广的传播，在隐藏自身的情况下通过能够利用的途经肆意传播，虽然能够在隔离网络中使用但仍具备以下缺点：

(1)渗透行为盲目且无序。在拥有高防护手段的隔离内网中，无序渗透行为易被发现，盲目入侵行为大多数为无效行为，难以抵达核心要害达成战术目的；

(2)通过邮件传播、网络共享、U盘等方式传播的蠕虫病毒，依赖用户的主动下载与交互，但这些方式在政务、金融、企业等隔离内网中，恰是严格管控审核的信息交互方式。基于漏洞传播的蠕虫病毒能够在隔离内网中达到更好的渗透测试效果。

针对以上缺点，本发明提出了一种基于隔离网络环境感知的安全测试方法，通过感知分析目标设备价值、安防措施、脆弱点、通联拓扑等信息，经过分析规划，有针对性、方向性地发起渗透测试，在抵达核心要害达成战术目的的同时降低暴露风险。

发明内容

本发明提出了一种针对隔离安全机制的网络安全测试方法，通过隐蔽条件下先感知分析后针对渗透的策略，综合感知目标网络的通联拓扑、目标价值、属性信息、安防情况、约束条件等要素，分析选择合适的渗透测试目标、渗透测试方法及渗透测试路径发起测试，提高隔离内网渗透测试的成功率与隐蔽性。

所述方法包括：渗透测试程序以便携设备形态通过人工方式接入到隔离内网；

渗透测试程序实施行动前会先对其进行安全免查杀操作，建立隐蔽回传通道，将获取到的数据返回到数据回传模块；

自解压渗透测试程序，释放出资源探测模块、漏洞检测模块、安全环境感知模块、资源识别分析模块、路径规划模块和隐蔽通道建立模块；

择机将资源探测模块、漏洞检测模块、安全环境感知模块、资源识别分析模块、路径规划模块、隐蔽通道建立模块部署到内网环境中其他的主机上；

功能模块部署成功后，首先由安全环境感知模块对目标网络的安全性进行检测，如果确认不安全，进行痕迹清除，测试结束，如果确认安全，进行目标资产数据存储；

所述目标资产数据输入到资源探测模块，资源探测模块进行数据安全防护，调用扫描探测程序进行内网环境探测，基于接入或已控设备，采取资产存活性探测、端口探测扫描、流量抓包等探测手段，协同获取隔离内网中的目标设备型号、操作系统、服务版本、web框架和安全防护措施等属性信息。

所述资源识别分析模块对目标资产进行数据提取与组织分析，使用正则表达式、数据格式化方法、部分固定数据、字符串匹配等方法实现对无规则目标资源的识别，利用知识图谱技术将各类有效信息进行融合分析，应用图论、概率论、置信度等方法进行数据处理，得出每个资产在各种假设下可能被成功攻陷的概率。

所述资源识别分析模块的输出分别输入到数据回传模块和漏洞检测模块，数据回传模块对资源识别分析模块的输出结果进行存储；

所述漏洞检测模块对目标设备进行漏洞检测和漏洞利用，通过轻量级漏洞扫描技术实现对目标设备的漏洞检测及漏洞利用，以支撑隔离内网渗透测试面构建；

轻量级漏洞扫描负责探测目标网络中存在的各种漏洞，并基于漏洞的探测信息分析目标节点的脆弱性；

轻量级漏洞扫描功能通过静态扫描和动态扫描两种技术的结合来实现对目标漏洞信息的深度探索和全面掌握；

所述静态扫描模块配有预先设置的漏洞匹配模型，采用的训练数据为大量国内外权威漏洞库，通过对目标设备型号、操作系统、服务版本、web框架等指纹信息的精准识别，快速判断目标是否存在已知漏洞；

所述动态扫描模型支持漏洞的挖掘与分析，支持针对目标场景的poc定制，通过预置多种poc模板，动态扫描模型能够基于目标设备类别对应的poc模板自行构造包含特定对象和内容的异常数据，进行漏洞利用工具的自动化编写，并通过向目标节点发包探测、解析响应包数据等操作探测特定漏洞；

针对SQL盲注、命令执行无回显等没有数据回显的漏洞验证任务，支持调用DNS查询nslookup或者curl来监视数据，为了提高漏洞扫描时自身的安全性和隐蔽性，漏洞检测模块对目标节点的每一次请求都会使用不同的匿名代理信道，包括自建代理、Socks4/5、自建匿名网络、HTTP代理等，间接访问目标节点，以增强反溯源能力。

所述路径规划模块，使用单终端节点渗透测试子图来描述目标网络节点中任意两个节点之间的漏洞依赖关系，引入信息交换规则，生成目标网络渗透测试图，使用网络渗透测试图来宏观描述目标网络节点之间的连接路径；

单个已知目标漏洞对于该目标的威胁系数被定义为利用该漏洞成功入侵目标的概率，成功入侵目标的概率即为我方控制节点与目标之间最优渗透测试路径的渗透成功率；

所述迭代渗透，利用渗透信息交换规则，采用分布式算法的核心思想，将每一个节点都看作一个智能体，一边维护从每一个节点到其他节点的渗透信息，另一边不断和其他节点交换信息，每一个节点的位置不同，它们的信息表也是不同的；

每个智能体的动作为：

仅和相邻节点交换渗透信息，如果从已控节点能够直接渗透到HostB，则称HostB为已控节点的相邻节点；算法规定，不相邻的节点不交换渗透信息。

节点交换的信息是当前该节点所知道的全部信息，即自己的渗透信息表；交换的信息是渗透到目标网络中所有节点的成功概率，以及渗透到每个节点应该利用下一个跳板机的位置。

按固定的时间间隔交换、更新节点信息，以保证目标网络中所有节点信息的准确性。交换的信息表中最主要的信息：到某个节点的渗透成功概率，即最大可能渗透路径的概率，应经过的下一个跳板节点；信息更新的原则是找出渗透到每个节点的成功概率。

所述隐蔽通道建立，使用网络协议作为载体，利用协议的字段和语义来隐藏信息，从而实现在非授权情况下的信息传递，这种信息传递方式能够对防火墙、入侵检测系统等网络监听设备进行穿透；

所述隐蔽通道建立方法包括：在HTTP协议的GET METHOD中的URL、消息头、响应内容，HEAD METHOD中的URL、消息头，POST METHOD中的URL、消息头、请求/响应的消息体，PUTMETHOD中的URL、消息头、请求/响应的消息体中携带数据；

在ICMP协议的数据包报头的选项域中可以添加任何数据，各已控节点通过隐蔽通道进行信息交互，通过将信息附在协议的特定字段，封装成正常的数据包发出。

完成迭代渗透之后，判断是否触发迭代停止条件，如是，清除痕迹，测试结束，如否，返回资源探测模块。

本发明的有益效果为：

通过隐蔽条件下先感知分析后针对渗透的策略，综合感知目标网络的通联拓扑、目标价值、属性信息、安防情况和约束条件等要素，分析选择合适的渗透测试目标、渗透测试方法及渗透测试路径发起测试，提高隔离内网渗透测试的成功率、隐蔽性、安全性。

附图说明

图1为本发明的工作流程；

图2为本发明目标渗透测试面知识图谱示例；

图3为本发明单终端节点渗透测试子图示意图。

具体实施方式

下面将参照附图更详细地描述本发明的示例性实施例。

本发明提出了一种针对隔离安全机制的网络安全测试方法，通过感知分析目标设备价值、安防措施、脆弱点、通联拓扑等信息，有针对性、方向性地发起渗透测试，在抵达核心要害达成战术目的的同时降低暴露风险。

渗透测试程序以便携设备形态通过人工方式接入到隔离内网，自解压释放出安全环境感知、资源探测、资源识别分析、漏洞检测、路径规划、隐蔽通道建立等功能模块，并择机将其部署到内网环境其他主机上。

图1为本发明的工作流程，在功能单元部署成功后，首先由安全环境感知模块对目标网络的安全性进行检测，确认不安全，进行痕迹清除，测试结束，如果确认安全，进行目标资产数据存储；

资源探测模块会调用扫描探测程序进行内网扫描探测，基于接入或已控设备，采取资产存活性探测、端口探测扫描、流量抓包等多种探测手段，协同获取隔离内网中的目标设备型号、操作系统、服务版本、web框架、安全防护措施等属性信息。如果基于少量节点的探测数据不能够对内网环境进行充分探测，可基于当前掌握的数据，分析出适合渗透测试的要害节点，提供当前形成的渗透路径给渗透测试模块，进行邻接节点的突破控制，在达成新节点的控守后，再次进行探测，根据探测数据再次优化网络拓扑结构，进行路径规划。采取这样迭代式的贪婪策略，能够解决探测点初始覆盖不足的缺点。

资源识别分析模块对目标资产进行数据提取与组织分析，使用正则表达式、数据格式化方法、部分固定数据、字符串匹配等方法实现对无规则目标资源的识别，利用知识图谱技术将各类有效信息融合分析，例如根据服务版本结合漏洞库信息推测目标节点可能存在的漏洞，以目标网络中单个节点为单位生成渗透测试面，同时支持基于漏洞探测的迭代情况，实时进行渗透测试面图谱的动态更新，其中涉及对同类节点的合并，去掉不可达分支等；应用图论、概率论、置信度等方法进行数据处理，得出每个资产在各种假设下可能被成功攻陷的概率。图2展示了一个模块生成的目标渗透测试面知识图谱样例，利用(主语-谓语-宾语)三元组进行描述。例如“Host B”—“Running Service”—“IISWeb”表示节点B上运行了IIS服务，“IISWeb”—“Using Port”—“80”表示IIS Web服务需要使用80端口，“IISWeb”—“已知漏洞”—“CVE-2020-1234”表示IIS Web服务上存在CVE编号为CVE-2020-1234的漏洞，“CVE-2020-1234”—“Root”表示利用该漏洞可以获得此节点的Root权限，“CVE-2020-1234”—“0.5”表示利用该漏洞发动渗透测试成功的概率为0.5，此概率依据CVSS确定。

在对隔离内网中设备进行探测扫描后，漏洞检测模块通过轻量级漏洞扫描技术实现对目标设备的漏洞检测及漏洞利用，以支撑隔离内网渗透测试面构建。

轻量级漏洞扫描负责探测目标网络中存在的各种漏洞，并基于漏洞的探测信息分析目标节点的脆弱性。该功能模块通过静态扫描和动态扫描两种技术的结合利用，实现对目标漏洞信息的深度探索和全面掌握。

静态扫描模块配有预先设置的漏洞匹配模型，采用的训练数据来源于大量国内外权威漏洞库，能够通过对目标设备型号、操作系统、服务版本、web框架等指纹信息的精准识别，快速判断目标是否存在已知漏洞。

动态扫描模型支持漏洞的挖掘与分析支持针对目标场景的poc定制，通过预置多种poc模板，基于目标设备类别对应的poc模板自行构造包含特定对象和内容的异常数据，进行漏洞利用工具的自动化编写，并通过向目标节点发包探测、解析响应包数据等操作探测特定漏洞。此外，针对如SQL盲注、命令执行无回显等没有数据回显的漏洞验证任务支持调用DNS查询nslookup或者curl来监视数据，而为了提高漏洞扫描时自身的安全性和隐蔽性，该模块对目标节点的每一次请求都会使用不同的匿名代理信道，如自建代理、Socks4/5、自建匿名网络、HTTP代理等方式，间接访问目标节点，以增强反溯源能力。

路径规划模块在所获取的隔离网络资源数据基础上，结合漏洞检测结果和目标设备安全防护情况，使用路径规划模块选择最优渗透测试路径与渗透测试方法，同时检测目标环境状态，触发停止条件时能够停止功能单元工作并触发安全防御机制；渗透测试程序实施行动前会先对其进行安全免查杀操作，建立隐蔽回传通道，将获取到的数据返回到指定回传位置。

沿用图2目标渗透测试面知识图谱示例，模块结合节点间拓扑连接信息，智能分析由已控节点(渗透测试机)到目标节点(HostB)的渗透测试场景，按照已控节点(渗透测试机)能够连接到目标节点HostB的80和21端口的先决条件进行推理，自动生成的已控节点(渗透测试机)到目标HostB的单终端节点渗透测试子图如图3所示，其中，已控节点(渗透测试机)渗透获得HostB的User权限的概率为0.7，已控节点(渗透测试机)渗透获得HostB的Root权限的概率为0.56。

图3所示单终端节点渗透测试子图的构建可以得到任意两个节点之间的直接渗透成功概率，然而由于节点之间连接关系的多样性，使得两个节点之间的直接渗透并非一定是两个节点之间的最优渗透路径。针对此问题，路径规划模块从经典的路由信息协议获得启发，设计了渗透信息交换规则。

所谓渗透信息交换规则，就是让目标网络中的所有节点都和自己的相邻节点定期交换渗透信息，并不断更新其信息表，是一种迭代机制，即一次节点渗透信息的交换就是一次渗透测试的迭代，而经过若干次迭代，最终确定从每一个节点到目标网络中的其他节点的最优渗透测试路径(即最大可能的渗透测试成功概率)。

信息交换规则采用分布式算法的核心思想，将每一个节点都看作一个智能体，一边维护从它自己到其他每一个节点的渗透信息，另一边不断和其他节点交换信息，每一个节点的位置不同，它们的信息表不同。每个智能体的动作如下：

仅和相邻节点交换渗透信息，如果从已控节点能够直接渗透到HostB，则称HostB为已控节点的相邻节点。算法规定，不相邻的节点不交换渗透信息。

节点交换的信息是当前该节点所知道的全部信息，即自己的渗透信息表，交换的信息是“我渗透到目标网络中所有节点的成功概率，以及渗透到每个节点应该利用下一个跳板机的位置”。

按固定的时间间隔交换、更新节点信息，以保证目标网络中所有节点的信息准确性。交换的信息表中最主要的信息是：到某个节点的渗透成功概率(即最大可能渗透路径的概率)，以及应经过的下一个跳板节点。信息更新的原则是找出渗透到每个节点的成功概率。

所述隐蔽通道建立，使用网络协议作为载体，利用协议的字段和语义来隐藏信息，从而实现在非授权情况下的信息传递，这种信息传递方式能够对防火墙、入侵检测系统等网络监听设备进行穿透。所述隐蔽通道建立方法包括：在HTTP协议的GET METHOD中的URL、消息头、响应内容，HEAD METHOD中的URL、消息头，POST METHOD中的URL、消息头、请求/响应的消息体，PUT METHOD中的URL、消息头、请求/响应的消息体中携带数据；在ICMP协议的数据包报头的选项域中可以添加任何数据；各已控节点通过隐蔽通道进行信息交互，通过将信息附在协议的特定字段，封装成正常的数据包发出。

以上仅为本发明示例性的具体实施方式，但本发明的保护范围并不局限于此。任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (8)

1.一种针对隔离安全机制的网络安全测试方法，其特征在于，所述方法包括：

S1，将预设的渗透测试程序以便携设备形态接入到隔离内网；

所述渗透测试程序接入隔离内网之前会先对其进行安全免查杀操作，建立隐蔽回传通道，将获取到的数据返回到数据回传模块；

S2，自解压渗透测试程序，释放出资源探测模块、漏洞检测模块、安全环境感知模块、资源识别分析模块、路径规划模块和隐蔽通道建立功能模块；

S3，择机将所述资源探测模块、漏洞检测模块、安全环境感知模块、资源识别分析模块、路径规划模块和隐蔽通道建立功能模块部署到内网环境中其他的主机上；

所述安全环境感知模块对目标网络的安全性进行检测，确认不安全，进行痕迹清除，测试结束，如果确认安全，进行目标资产数据存储；

所述目标资产数据被输入到资源探测模块，资源探测模块进行数据安全防护，调用扫描探测程序进行内网环境探测；

所述资源识别分析模块对目标资产数据进行提取与组织分析；

所述资源识别分析模块的输出分别输入到数据回传模块和漏洞检测模块；

所述数据回传模块对资源识别分析模块的输出结果进行存储；

所述资源识别分析模块的输出结果进行漏洞检测；

所述漏洞检测模块对目标设备进行漏洞检测和漏洞利用；

所述漏洞检测模块通过轻量级漏洞扫描技术实现对目标设备的漏洞检测及漏洞利用，以支撑隔离内网渗透测试面构建；

所述轻量级漏洞扫描负责探测目标网络中存在的各种漏洞，并基于漏洞的探测信息分析目标节点的脆弱性；

所述轻量级漏洞扫描通过静态扫描和动态扫描两种技术的结合利用，实现对目标漏洞信息的深度探索和全面掌握；

所述静态扫描模块配有预先设置的漏洞匹配模型，能够通过对目标设备型号、操作系统、服务版本、web框架信息的精准识别，快速判断目标是否存在已知漏洞；

所述动态扫描模型支持漏洞的挖掘与分析、支持针对目标场景的poc定制，通过预置多种poc模板，基于目标设备类别对应的poc模板自行构造包含特定对象和内容的异常数据，进行漏洞利用工具的自动化编写，并通过向目标节点发包探测、解析响应包数据操作探测特定漏洞；

所述路径规划模块在漏洞检测的基础上，选择最优渗透测试路径与渗透测试方法，进行迭代渗透，检测目标环境状态；

所述迭代渗透，其完成渗透之后要进行触发停止条件判断，如果触发停止条件，进行痕迹清除，测试结束，如果没有触发停止条件，返回资源探测模块。

2.如权利要求1所述的针对隔离安全机制的网络安全测试方法，其特征在于，所述资源探测模块，基于接入或已控设备，采取资产存活性探测、端口探测扫描和流量抓包探测，协同获取隔离内网中的目标设备型号、操作系统、服务版本、web框架、安全防护措施信息；

基于当前掌握的数据分析出适合渗透测试的要害节点，为渗透测试模块提供当前形成的渗透路径，进行邻接节点的突破控制；

在达成新节点的控守后，再次进行探测，根据探测数据继续优化网络拓扑结构，进行路径规划。

3.如权利要求1所述的针对隔离安全机制的网络安全测试方法，其特征在于，所述资源识别分析模块，使用正则表达式、数据格式化方法、部分固定数据和字符串匹配方法实现对无规则目标资源的识别，利用知识图谱技术将各类有效信息进行融合分析。

4.如权利要求1所述的针对隔离安全机制的网络安全测试方法，其特征在于，所述路径规划模块，使用单终端节点渗透测试子图来描述目标网络节点中任意两个节点之间的漏洞依赖关系，引入信息交换规则，生成目标网络渗透测试图，使用网络渗透测试图来宏观描述目标网络节点之间的连接路径；

单个已知目标漏洞对于该目标的威胁系数被定义为利用该漏洞成功入侵目标的概率，成功入侵目标的概率即为我方控制节点与目标之间最优渗透测试路径的渗透成功率。

5.如权利要求1所述的针对隔离安全机制的网络安全测试方法，其特征在于，所述迭代渗透，利用渗透信息交换规则，采用分布式算法的核心思想，将每一个节点都看作一个智能体，一边维护从每一个节点到其他节点的渗透信息，一边不断和其他节点交换信息，每一个节点的位置不同，它们的信息表不同。

6.如权利要求5所述的针对隔离安全机制的网络安全测试方法，其特征在于，每个智能体的动作为：

仅和相邻节点交换渗透信息，如果从已控节点能够直接渗透到HostB，则称HostB为已控节点的相邻节点，算法规定，不相邻的节点不交换渗透信息；

节点交换的信息是当前该节点所知道的全部信息，即自己的渗透信息表，交换的信息是渗透到目标网络中所有节点的成功概率，以及渗透到每个节点应该利用下一个跳板机的位置；

按固定的时间间隔交换、更新节点信息，以保证目标网络中所有节点信息的准确性，交换的信息表中最主要的信息：到某个节点的渗透成功概率，即最大可能渗透路径的概率，应经过的下一个跳板节点，信息更新的原则是找出渗透到每个节点的成功概率。

7.如权利要求1所述的针对隔离安全机制的网络安全测试方法，其特征在于，所述隐蔽通道建立，使用网络协议作为载体，利用协议的字段和语义来隐藏信息，从而实现在非授权情况下的信息传递；

所述信息传递方式能够对防火墙、入侵检测系统进行穿透；

所述隐蔽通道建立方法包括：在HTTP协议的GET METHOD中的URL、消息头、响应内容，HEAD METHOD中的URL、消息头，POST METHOD 中的URL、消息头、请求/响应的消息体，PUTMETHOD中的URL、消息头、请求/响应的消息体中携带数据；

在ICMP协议的数据包报头的选项域中可以添加任何数据，各已控节点通过隐蔽通道进行信息交互，通过将信息附在协议的特定字段，封装成正常的数据包发出。

8.如权利要求1所述的针对隔离安全机制的网络安全测试方法，其特征在于，完成迭代渗透之后，判断是否触发迭代停止条件，如是，清除痕迹，测试结束，如否，返回资源探测模块。

Images