CN116032527A - 一种基于云计算的数据安全漏洞感知系统及方法 - Google Patents

Abstract

本发明提出了一种基于云计算的数据安全漏洞感知方法，包括多时间窗口关联分析和主机网络事件关联分析从已知数据窃取行为中归纳关键特征流程，对主机和网络进行持续监控，当发现所述主机和网络的敏感行为与数据窃取特征流程集中的所述流程入口环节相同时，对所述敏感行为进行跟踪，如所述敏感行为连续满足所述流程的步骤时，则判定为数据窃取行为；根据识别到的数据窃取行为，追溯并复原所述数据窃取行为的攻击路径；结合系统和网络的访问日志找出其爆破点；通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况，系统接口获取已安装软件的详细情况，与爬虫技术得到的信息比对，形成建议修复清单。

Description

一种基于云计算的数据安全漏洞感知系统及方法

技术领域

本发明涉及网络安全技术领域，具体涉及一种基于云计算的数据安全漏洞感知方法。

背景技术

云计算技术自出现以来就备受关注，通过资源虚拟和应用虚拟，实现比物理环境更高的资源利用率，其按需部署、动态可扩展以及高可靠的特性，使得越来越多企业和个人选择应用系统上云，不法分子的攻击对象也转向云。一方面，虚拟化的隔离特性提高了漏洞检测和恶意行为发现的难度；另一方面，虚拟机的逃逸漏洞又导致隔离失效。因此，有必要研发基于云计算的数据安全漏洞感知技术，分别从加固虚拟化平台和发现恶意行为入手，提升云计算环境的安全性。

发明内容

针对现有技术的不足，本发明提出一种基于云计算的数据安全漏洞感知方法，能够自动检测系统软件的漏洞情况并发出更新提示，针对数据窃取行为进行监控个路径分析，帮助安全管理人员防范类似风险。

本发明的技术方案是这样实现的：

一种基于云计算的数据安全漏洞感知系统，包括：漏洞修复模块，所述漏洞修复模块通过爬虫技术，获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况并输出漏洞修复提示信息；攻击判断模块，其用于跟踪并将敏感行为与数据窃取特征流程集进行比对，如所述敏感行为与所述数据窃取特征流程集相符合，则判断所述敏感行为为数据窃取行为；追溯模块，其用于追溯并复原数据窃取行为攻击路径，结合系统和网络的访问日志找出其爆破点。

进一步地，所述漏洞修复模块包括：网络爬虫模块，所述网络爬虫模块通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况；漏洞检测模块，其通过操作系统接口获取已安装软件的详细情况，与爬虫得到的版本号等信息比对，形成建议修复清单。

进一步地，所述攻击判断模块包括：特征归纳模块，所述特征归纳模块通过多时间窗口关联分析和主机网络事件关联分析从已知数据窃取行为中归纳关键特征流程；行为检测模块，所述行为检测模块在发现敏感行为与流程入口环节相同时即启动跟踪，只要连续满足一系列行为则判定为数据窃取行为。

本发明实施方式还提出了一种基于云计算的数据安全漏洞感知方法，包括以下步骤：通过多时间窗口关联分析和主机网络事件关联分析从已知数据窃取行为中归纳关键特征流程，组成包括不同流程的数据窃取特征流程集；对主机和网络进行持续监控，当发现所述主机和网络的敏感行为与数据窃取特征流程集中的所述流程入口环节相同时，对所述敏感行为进行跟踪，如所述敏感行为连续满足所述流程的步骤时，则判定为数据窃取行为；根据识别到的数据窃取行为，追溯并复原所述数据窃取行为的攻击路径；结合系统和网络的访问日志找出其爆破点；通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况，系统接口获取已安装软件的详细情况，与爬虫技术得到的信息比对，形成建议修复清单。

进一步地，在通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况时，所述爬虫技术使用Gz ip算法对网页数据进行压缩，并采用异步I/O完成端口模型提高网页下载速度。

进一步地在通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况时，还包括漏洞库的建立，包括以下步骤：从漏洞库中依次提取信息；分析从Web服务器端返回的响应消息，判断所述响应信息是否满足漏洞库中该漏洞的特征，若满足则将漏洞信息存入漏洞库。

进一步地，在追溯并复原所述数据窃取行为的攻击路径中，采用基于上下文感知的透明起源收集方法收集攻击事件，包括以下步骤：利用虚拟化技术收集目标机中发生的系统事件和网络事件，根据不同类型的事件可以通过它们的执行上下文建立关联关系这一视角，在不同类型的事件之间建立关联关系。

与现有技术相比，本发明具有以下优点。

所述漏洞修复模块采用自动化信息比对的方式，既能够节省人手，避免人工处理的疏漏；又能够快速检测系统漏洞，并对修复方式提出明确建议；

攻击判断模块中，通过建立数据窃取特征流程集与敏感行为进行对比，从而判断该敏感行为，相比单一的行为判断大幅降低了误判率，其通过流程入口的跟踪方式能够减少系统资源的消耗；

追溯模块通过借助访问日志能够发现系统实体之间的强关联关系，帮助信息安全管理员快速定位攻击路径中的薄弱环节。

附图说明

为了更清楚地说明本发明实施方式或现有技术中的技术方案，下面将对实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明中一种基于云计算的数据安全漏洞感知系统的结构示意图；

图2为本发明中一种基于云计算的数据安全漏洞感知方法的流程图；

图3为本发明中漏洞修复模块的结构示意图。

具体实施方式

下面将结合本发明实施方式中的附图，对本发明实施方式中的技术方案进行清楚、完整地描述，显然，所描述的实施方式仅仅是本发明一部分实施方式，而不是全部的实施方式。基于本发明中的实施方式，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施方式，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”、“第四”等仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

如图1所示，本发明实施方式公开了一种基于云计算的数据安全漏洞感知系统，包括：

攻击判断模块100，其用于跟踪并将敏感行为与数据窃取特征流程集进行比对，如所述敏感行为与所述数据窃取特征流程集相符合，则判断所述敏感行为为数据窃取行为；

追溯模块200，其用于追溯并复原数据窃取行为攻击路径，结合系统和网络的访问日志找出其爆破点；

漏洞修复模块300，所述漏洞修复模块通过爬虫技术，获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况并输出漏洞修复提示信息。通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况，制定漏洞挖掘策略，从而解决了爬虫的效率以及分析的性能问题，提高了对漏洞检测的检测率，降低了漏洞的漏报率和误报率。

通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况；通过操作系统接口获取已安装软件的详细情况，与爬虫得到的版本号等信息比对，形成建议修复清单。

具体地，如图3所示，漏洞修复模块300主要分为两个模块：网络爬虫模块和漏洞检测模块：

在网络爬虫模块中，页面下载使用Gzi p算法对数据进行压缩，从而减少网络数据的传送，同时采用异步I/O完成端口模型提高网页下载速度，页面解析时采用正则表达式匹配，从而提取出有用信息，在对重复URL进行去除时，使用M-I ntera l-Hash算法，计算Hash值，若第一次碰撞则使用Hash函数再次计算Hash值，若仍碰撞则将该URL丢弃；

漏洞检测模块，其采用了匹配特征库的方法，从漏洞库中依次提取信息，分析从Web服务器端返回的响应消息，看其是否满足漏洞库中该漏洞的特征，若满足则将漏洞信息存入漏洞库。通过操作系统接口获取已安装软件的详细情况，与爬虫得到的版本号等信息比对，形成建议修复清单。

所述漏洞修复模块300的工作流程具体如下:获取各主机中的通用应用程序的标识和各通用应用程序在所属主机中的版本号；获取通用应用程序的漏洞信息，从漏洞信息中提取通用应用程序的标识和通用应用程序的最新版本号；对于各主机中的每一主机，根据该主机中各通用应用程序的标识，各通用应用程序在该主机中的版本号和各通用应用程序的最新版本号，确定各通用应用程序是否需要进行漏洞修复，如果各通用应用程序中存在需要进行漏洞修复的通用应用程序，则确定该主机为需要进行漏洞修复的目标主机；输出目标主机对应的漏洞修复提示信息。提高修复通用型漏洞的效率。

为了检测泄漏敏感信息的基于未知漏洞的恶意软件，提出针对数据泄漏行为的恶意软件检测方案，本实施方式通过设置攻击判断模块100来检测恶意软件的信息窃取行为。攻击判断模块100通过多时间窗口关联分析和主机网络事件关联分析从已知数据窃取行为中归纳关键特征流程，在发现某一行为与流程入口环节相同时即启动跟踪，只要连续满足一系列行为则判定为数据窃取行为。

根据已出现的窃取信息的恶意软件的攻击步骤，从中提取可观测的高级恶意事件，再分解为低级行为，提出一系列推断规则来关联低级行为和高级恶意事件。对被保护的主机和网络进行低开销的持续监控，一旦监控到异常，则进一步检测主机和网络的低级行为，根据推断规则关联已发生的低级行为和高级恶意事件，重构窃取信息的攻击步骤，从而检测攻击的存在。

本发明以行为分析为基础，揭示安全敏感行为出现的起因、经过、结果，区分正常和恶意行为，为异常行为捕获、未知恶意代码的识别、未知安全缺陷的检测提供新的方法，提高现有恶意代码和安全缺陷检测的效率和准确性。提出基于用户意图的异常行为检测方法，从时间、进程、语义、数据等方面进行关联分析，提取和敏感行为相关的蕴含于用户界面、用户动作记录中的用户意图信息；根据用户意图判断敏感行为是否异常。能够自动识别资源访问相关窗口的方法，为异常检测提供支持。提出基于攻击意图感知的恶意行为检测方法，利用攻击意图特征，通过机器学习方法实现了对正常敏感行为和恶意敏感行为的区分，提取的特征能够感知敏感行为及其上下文所蕴含的攻击意图，从而提高恶意代码检测的准确率。为建立安全抵御攻击者的策略提供有效的理论和技术支持。

追溯模块200根据识别到的数据窃取行为，追溯并复原其攻击路径；结合系统和网络的访问日志找出其爆破点。

本发明针对云计算虚拟环境下的虚拟机可能被传统安全威胁恶意利用的问题，从虚拟机的内部和外部两个层面入手，研究针对虚拟机内恶意行为的检测与起源追踪技，针对恶意行为的检测方案可以减小虚拟机被恶意利用的概率，如果虚拟机已经遭到了恶意利用，需要可信的起源追踪方法来揭示攻击的起源、路径和结果，帮助受害系统从入侵中恢复，部署相应的防御机制以防止攻击者的再次入侵。

由于传统起源追踪系统容易收到攻击者干扰，本发明实施方式中还提供了一种基于上下文感知的透明起源收集方法，具体如下：

首先利用虚拟化技术透明的收集目标机中发生的系统事件和网络事件，再根据不同类型的事件可以通过它们的执行上下文建立关联关系这一视角，在不同类型的事件之间建立关联关系，从而将时空散布的攻击指纹连接起来，显示恶意行为的轨迹，向攻击调查提供全局视角，揭露攻击的起源、路径和结果。起源收集方法对目标机透明，避免被攻击者干扰，收集的事件可信，同时不会对目标机产生空间开销。

优选的，本发明实施方式还提出了一种攻击事件可视化的方法，具体实施方式如下：利用数据关系分析技术，研究系统实体之间的关联关系；提出事件关联算法根据上下文信息查找相关事件，提出事件过滤算法过滤攻击不相关或冗余事件，提出全景图构建算法辅助构建攻击全景图，帮助分析人员识别攻击的起源、路径和结果。

优选地实施方式，本发明还提出了一种基于虚拟机自省的ROP防御方法，用于避免ROP漏洞被攻击者利用，该防御方法透明的实现对虚拟机内存中代码段的权限管理，取消存在缓冲区溢出漏洞的目标程序在运行时加载但没有使用的代码段的可执行权限，来对抗ROP攻击。整个方法分为线下和运行时两个阶段，具体如下：

线下阶段中，通过静态分析得到目标程序在运行时加载的依赖库信息，通过增量训练得到目标程序在运行时使用的代码段信息，二者相减，即为目标程序运行时加载但没有使用的代码段信息。

运行时阶段中，基于虚拟机自省的软剥离模块以线下阶段获取的知识为输入，取消目标程序运行时加载但没有使用的代码段的可执行权限，以这种软剥离的方式有效地缩减整个库的代码空间，从而降低攻击者定位足够多的可执行片断来构造ROP片断链的概率。

以上实施方式方法应用于目标系统的内部和外部，功能互补，实现了对虚拟机内的恶意行为的检测与起源追踪，提高了目标系统应对传统安全威胁的防御能力。

参见图2，本发明实施方式还提出了一种基于云计算的数据安全漏洞感知方法，包括：

S10.通过多时间窗口关联分析和主机网络事件关联分析从已知数据窃取行为中归纳关键特征流程，组成包括不同流程的数据窃取特征流程集；

S20.对主机和网络进行持续监控，当发现所述主机和网络的敏感行为与数据窃取特征流程集中的所述流程入口环节相同时，对所述敏感行为进行跟踪，如所述敏感行为连续满足所述流程的步骤时，则判定为数据窃取行为；

S30.根据识别到的数据窃取行为，追溯并复原所述数据窃取行为的攻击路径；结合系统和网络的访问日志找出其爆破点；

S40.通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况，系统接口获取已安装软件的详细情况，与爬虫技术得到的信息比对，形成建议修复清单。

以上所述仅为本发明的较佳实施方式而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种基于云计算的数据安全漏洞感知系统，其特征在于，包括：

漏洞修复模块，所述漏洞修复模块通过爬虫技术，获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况并输出漏洞修复提示信息；

攻击判断模块，其用于跟踪并将敏感行为与数据窃取特征流程集进行比对，如所述敏感行为与所述数据窃取特征流程集相符合，则判断所述敏感行为为数据窃取行为；

追溯模块，其用于追溯并复原数据窃取行为攻击路径，结合系统和网络的访问日志找出其爆破点。

2.根据权利要求1所述的基于云计算的数据安全漏洞感知系统，其特征在于，所述漏洞修复模块包括：

网络爬虫模块，所述网络爬虫模块通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况；

漏洞检测模块，其通过操作系统接口获取已安装软件的详细情况，与爬虫得到的版本号等信息比对，形成建议修复清单。

3.根据权利要求1所述的基于云计算的数据安全漏洞感知系统，其特征在于，所述攻击判断模块包括：

特征归纳模块，所述特征归纳模块通过多时间窗口关联分析和主机网络事件关联分析从已知数据窃取行为中归纳关键特征流程；

行为检测模块，所述行为检测模块在发现敏感行为与流程入口环节相同时即启动跟踪，只要连续满足一系列行为则判定为数据窃取行为。

4.一种基于云计算的数据安全漏洞感知方法，其特征在于，包括：

通过多时间窗口关联分析和主机网络事件关联分析从已知数据窃取行为中归纳关键特征流程，组成包括不同流程的数据窃取特征流程集；

对主机和网络进行持续监控，当发现所述主机和网络的敏感行为与数据窃取特征流程集中的所述流程入口环节相同时，对所述敏感行为进行跟踪，如所述敏感行为连续满足所述流程的步骤时，则判定为数据窃取行为；

根据识别到的数据窃取行为，追溯并复原所述数据窃取行为的攻击路径；结合系统和网络的访问日志找出其爆破点；

通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况，系统接口获取已安装软件的详细情况，与爬虫技术得到的信息比对，形成建议修复清单。

5.根据权利要求4所述的基于云计算的数据安全漏洞感知方法，其特征在于，在通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况时，所述爬虫技术使用Gzip算法对网页数据进行压缩，并采用异步I/O完成端口模型提高网页下载速度。

6.根据权利要求4所述的基于云计算的数据安全漏洞感知方法，其特征在于，在通过爬虫技术实时获取各种主流框架、工具以及应用软件的版本号以及漏洞修复情况时，还包括漏洞库的建立，包括以下步骤：

从漏洞库中依次提取信息；

分析从Web服务器端返回的响应消息，判断所述响应信息是否满足漏洞库中该漏洞的特征，若满足则将漏洞信息存入漏洞库。

7.根据权利要求4所述的基于云计算的数据安全漏洞感知方法，其特征在于，在追溯并复原所述数据窃取行为的攻击路径中，采用基于上下文感知的透明起源收集方法收集攻击事件，包括以下步骤：

利用虚拟化技术收集目标机中发生的系统事件和网络事件，根据不同类型的事件可以通过它们的执行上下文建立关联关系这一视角，在不同类型的事件之间建立关联关系。

Images