CN1571961A - 安全漏洞诊断系统 - Google Patents

Abstract

本发明公开了一种安全漏洞诊断系统，预先存储用编程语言记述了通常攻击者进行的顺序的命令过程，通过执行从该被存储着的命令过程中使用者选择出的命令过程，调用安装有用于各个安全漏洞的攻击的逻辑的插入程序，通过对检查对象计算机执行该插入程序，使用者不需要知道检查执行单元之间的输入输出关系等安全方面的知识。

Description

安全漏洞诊断系统

技术领域

本发明涉及诊断计算机有无安全漏洞的系统。

背景技术

图9是表示以特开2002-337919(第4-8页，图3、图4、图14)为代表的现有安全漏洞诊断系统的构成的图。现有系统由操作装置900和检查执行装置907构成，操作装置900由显示器902、画面生成单元903、操作控制单元905、显示名定义文件904以及顺序定义文件906构成。

另外，检查执行装置907由执行控制单元908、对象主信息存储单元909、多个检查执行单元911，以及检查执行装置存储单元910构成。

图10是表示在同一系统中的顺序定义文件906的例子的图。在顺序定义文件906中，记载有检查执行装置911的分类钥名、在作为分类钥被指定的检查执行装置911的每个特性值中记载显示名、执行类型、说明文。

图11是表示在同一系统中的检查执行装置911的信息(检查执行信息)的图。在检查执行信息中，把对各检查执行装置911赋予特征的值(特征)与钥名(特征名)相关联地存储。即，检查执行信息(检查执行装置的信息)，在检查执行装置中各包含一个，是赋予该检查执行装置特征的信息(＝概要)。在检查执行信息中，可以记述多个项目(特征)。各项目用特征名划分。

下面说明现有系统动作。如果把操作装置900与检查执行装置907连接，则操作装置900输入显示名定义文件904以及顺序定义文件906。

下面，从被存储在检查执行装置907中的检查执行装置存储单元910中的检查执行装置911的逐个中取出检查执行信息，以与被顺序定义文件906指定的钥名对应的特征为基础，把各检查执行装置911分类为顺序定义文件906记载的分类。最后被分类的检查执行装置911的一览被对每个分类显示在显示器902上。

使用者101选择被显示在显示器902上的分类，输入执行需要的参数，要求检查执行。参数的说明可以利用被记载在显示名定义文件904中的信息。请求检查执行的操作装置900，如执行被分类为该分类的检查执行装置911那样，通过操作控制单元905向检查执行装置907发出请求。

检查执行装置907调用被指定的检查执行装置911，其结果，用于检查的分组被发送到检查对象主计算机107。

进而，各检查执行装置911，可以在对象主信息存储单元909中存储信息，被存储的信息，可以由其他的检查执行装置911参照。另外，还可以是使用者101通过操作装置900直接把信息存储在对象主信息存储单元909中。

以上是在现有系统中的检查流程。在此，分类的显示顺序，是被记载在顺序定义文件906中的顺序，通过使它沿着一般的攻击顺序，使用者101按照被显示在显示器902上的顺序进行检查，可以进行模拟攻击者的检查。

如上所述，现有安全漏洞诊断系统，具有多个检查执行装置，在以顺序定义文件给予它们的方法中分类显示，使用者通过对每个分类选择，执行属于该分类的检查执行装置，另外检查执行装置直接对检查对象主计算机执行检查。因此，存在以下问题。

必须输入到每个分类中的执行参数，使用者必须从前面的检查结果中输入，需要使用者理解某个检查结果和对下一分类的输入的关系。因此，需要使用者有安全方向的知识。

定义文件只能按照顺序执行的方案表现，但实际的攻击者多数情况下是根据前面进行的攻击的结果改变下次要实施的攻击的种类。在现有系统中，使用者必须进行下次执行哪个分类的检查的判断，即使在此使用者也需要有安全方面的知识。

攻击者以某种目的进行以复杂的步骤构成的攻击。该一连串的攻击，可以假设不过是为了实现进一步大的目的的攻击方案的一步。在现有系统中，不能表现这样被阶层化的攻击方案。

没有为了从被存储在对象主信息存储单元中的信息中，推论另一信息的推论装置。这种装置，是用于从例如对象主OS是UNIX(注册商标)中导出管理者的帐户名是root这一知识的装置。因而，在各检查执行装置中，必须把需要的信息，埋入用于从被存储着的信息中推论的逻辑。

如果攻击者成功地侵入某一主计算机，则大多是把它作为踏板进一步试着侵入内部。但是在现有检查系统中因为从检查执行装置中直接进行检查，所以不能实施使用踏板的检查方案。

发明内容

本发明就是为了解决上述问题而提出的，其目的在于：

把检查方案作为用编程语言记述的命令过程来进行表现，通过从命令过程中自动地调用插入程序(相当于检查执行装置)，可以实施复杂的试验。

各检查执行装置之间的参数交换通过由命令过程作为中介，使用者不需要知道检查执行装置之间的输入输出的关系。

在进行安全漏洞诊断时，可以实施基于更接近现实的高度攻击方案的检查，可以减轻使用者所需要的安全知识的程度，减轻检查逻辑制作者的负担。

为了实现上述目的，本发明的安全漏洞诊断系统包括：

存储有多个用编程语言记述了通常攻击者为了进行不正当访问而进行的顺序(程序)的命令过程的命令过程存储单元；

通过使用者的输入请求上述命令过程一览的操作单元；

根据上述操作单元的请求，从上述命令过程存储单元中取出各命令过程，制作表示输入输出参数记述、命令过程执行必要条件、检查顺序的目录提示利用者，执行利用者选择的命令过程的命令过程控制单元；

存储有安装了用于攻击各个安全漏洞的逻辑的插入程序的插入程序存储单元；

通过由命令过程控制单元执行命令过程而被调用，从上述插入程序存储单元取出与上述执行命令过程对应的插入程序，把该插入程序对检查对象计算机执行的插入程序控制单元。

附图说明

图1是实施方式1的安全漏洞诊断系统的概略构成图。

图2是图1所示的脆弱性检查装置的内部构成图。

图3是图1所述的踏板模拟程序的内部构成图。

图4是命令过程的构成说明图。

图5是命令过程控制单元的动作流程图。

图6是指定等级名执行检查时的动作流程图。

图7是表示知识文件例子的说明图。

图8是命令过程的记述例子的说明图。

图9是表示现有安全漏洞诊断系统的构成图。

图10是在现有系统中的顺序定义文件的说明图。

图11是在现有系统中的检查执行单元的信息(检查执行信息)的说明图。

具体实施方式

实施方式1

首先参照图1，叙述本系统的概要。本系统由在本地机只运行的脆弱性检查装置100和远程机或者作为本地机的主计算机的一个以上的踏板模拟装置构成。在本实施方式中配置有1050、1060二个踏板模拟装置，脆弱性检测装置100和踏板模拟装置1050、1060经由网络连接。另外，踏板模拟装置1050、1060，分别执行踏板模拟程序105、106。

脆弱性检查装置100，是根据来自使用者101的请求，检查成为对象的主计算机，或者对网络是否有安全上的脆弱性的计算机。检查通过脆弱性检查装置100操作踏板模拟装置1050的踏板模拟程序105实施。

踏板模拟装置1050执行的踏板模拟程序105是通过网络从脆弱性检查装置100接收命令，进行分组发送接收、步骤的起动·结束、文件转送、信息中继的程序。

踏板模拟程序105还具有向其他的踏板模拟装置1060的踏板模拟程序106转送命令的功能，通过适宜地配置踏板模拟装置1050、1060，还可以对位于内部网络的检查对象主计算机107进行检查。

踏板模拟程序105、106，可以在检查前在检查对象的网络上的主计算机内运行，另外，也可以作为脆弱性检查的一环，利用安全漏洞埋入。

踏板模拟程序105的操作，实际上在脆弱性检查装置100内由插入程序104控制。所谓插入程序104，是为了攻击各个安全漏洞的可以动态输入的共享插入程序。插入程序104通过操作踏板模拟程序105对存在于检查对象上的安全漏洞进行攻击。

通过准备各种插入程序104，可以进行针对多样的安全漏洞的脆弱性检查。

插入程序104可以由命令过程102控制。所谓命令过程102，是用解释程序语言来进行记述为了进行不正当访问通常攻击者进行的顺序的文本书记。通过根据命令过程102调用各种插入程序104，脆弱性检查装置100，可以进行模拟攻击者的复杂的脆弱性检查。

命令过程102也和插入程序104一样，可以根据其目的准备多个。另外，还可以从命令过程102中调用其他的命令过程102，由此可以记述把其他的命令过程102作为攻击的一步骤那样更高度的命令过程102。

在本实施方式中，作为命令过程102的记述语言使用Perl。

命令过程102，可以把执行检查的结果得到的与检查对象有关的知识，例如用户帐户的一览和运行的服务器一览等的信息，存储在知识共享单元103中。被存储在知识共享单元103中的知识，可以从其他的命令过程102中参照。

另外，通过在知识共享单元103中准备根据推论规则鉴定知识的推论单元108，还可以从由命令过程102得到的知识(事实信息)中导出新的知识(推论)。例如如果用某个命令过程102判断检查对象主计算机107的OS是UNIX(注册商标)系列，则可以根据推论规则导出该主计算机的管理者帐户名是root这一知识。

依据以上概要，下面参照图2说明脆弱性检查装置100的内部构成。脆弱性检查装置100，由操作单元201、检查执行单元202构成，检查执行单元202由命令过程控制单元203、插入程序控制单元204、知识共享单元103，以及踏板模拟程序控制单元205构成。

命令过程控制单元203提供用于存储、阅览、执行命令过程102的装置。一个以上的命令过程102被存储在位于命令过程控制单元203内的命令过程存储单元206中。在命令过程存储单元206内命令过程102，由文件名赋予唯一名字并管理。另外，命令过程存储单元206，例如是磁盘。

如图4所示，命令过程102由等级名记述单元401、执行条件记述单元402、输入输出参数记述单元403、说明记述单元404，以及检查顺序记述单元405构成。在等级名记述单元401中，记述表示该命令过程102属于哪个分类的检查的数据。在执行条件记述单元402中，记述在分类执行时必须满足的条件。条件使用术语逻辑记述。在输入输出参数记述单元403中，记述命令过程102受理哪种输入进行哪种输出。在说明记述单元404中，记述命令过程102的说明文。在检查顺序记述单元405中记述检查顺序。

图8表示命令过程102的记述例子。图中，“Class：”表示等级名记述单元401，“Precondition”表示执行条件记述单元402，“Input：”以及“Output”表示输入输出参数记述单元403。“Description：”是说明记述单元404，从“#-----END SCRIPT PROPERTY-----”下面的部分记载成为检查顺序记述单元405的Perl代码。

在插入程序控制单元204内有插入程序存储单元207，存储1个以上的插入程序104。插入程序存储单元207例如是磁盘。插入程序104，在插入程序存储单元207内被赋予唯一名称管理。

知识共享单元103，是可以把命令过程102在脆弱性检查构成中收集的知识和其他的命令过程102共享的装置。

在知识共享单元103内有知识存储单元208，存储在脆弱性检查过程中被收集的知识，知识存储单元208例如是磁盘。另外在知识共享单元103内有推论单元108，可以以知识存储单元103内的知识为依据进行推论处理。作为推论处理的一环可以通过命令过程控制单元203执行命令过程102。

踏板模拟程序控制单元205在对插入程序104提供用于控制踏板模拟程序105的接口的同时，还进行运行中的踏板模拟程序105的状态管理。

进而，脆弱性检查装置100例如可以通过具有微处理器等的CPU、半导体存储等的磁盘等的记录装置，以及通信装置的计算机实现。也可以把图2所示的知识共享单元103、命令过程控制单元203、插入程序控制单元204以及踏板模拟程序控制单元205作为程序(脆弱性检查程序)，在存储装置中存储脆弱性检查程序，CPU通过读入脆弱性检查程序控制脆弱性检查装置100的动作，执行以下所示的处理。

下面，参照图3说明图1中的踏板模拟装置1050执行的踏板模拟程序105的内部构成。踏板模拟程序105，由全部控制单元301、通信中继单元302、检查分组发送接收单元303、步骤执行单元304以及文件转送单元305构成。通信中继单元302，通过网络，和其他的踏板模拟装置1060的踏板模拟程序106和图2所示的踏板模拟程序控制单元205进行通信。

全部控制单元301受理通过通信中继单元302发送来的控制信息，根据其指示操作检查分组发送接收单元303、步骤执行单元304、文件转送单元305。另外，当控制信息没有给自己的情况下利用通信中继单元302，把控制信息转送到原本目标。

通信中继单元302转送控制信息。通信中继单元302，可以和1个主机和多个子机连接。因此，踏板模拟装置1050，被相互连接成把脆弱性检查装置100作为顶点的树状。

连接，通过TCP进行，TCP连接请求从子机向主机、从主机向子机都可以。

下面使用图2说明本系统的动作。

首先使用者101通过操作单元201，对检查执行单元202，请求可以执行的命令过程102的一览。检查执行单元202调用作为其内部装置的命令过程控制单元203。

命令过程控制单元203从命令过程存储单元206中各取出1个命令过程102，把其文件名、输入输出参数单元403、说明记述单元404，以及等级名记述单元401的内容存储在目录中。如果对于全部的命令过程102重复该处理，则通过操作单元201把目录返回给使用者。

下面，使用者101选择从检查一览(目录)中自己想进行的命令过程102，通过操作单元201对检查执行单元202，请求检查的执行。在请求中包含(1)命令过程名或者等级名，(2)检查参数的信息，(3)检查结束条件(但是只是(1)是等级名的情况)。检查执行单元202，对命令过程控制单元203，请求检查的执行。执行结果被返回操作单元201。

下面，参照图2、图4、图5说明命令过程控制单元203的动作。首先说明指定检查名执行检查的情况。

接收到检查执行请求的命令过程控制单元203，在步骤501中取出由在命令过程存储单元206内被指定的文件名管理的命令过程102。

下面，在步骤502中，命令过程控制单元203取出被记载在命令过程102中的执行条件记述单元402的内容。在命令过程102的执行条件记述单元402中，以术语逻辑记述了用于执行该命令过程102所需要的条件，例如检查对象主计算机107的OS是Windows(注册商标)等。命令过程控制单元203，把该条件送到指示共享单元103，确认是否满足执行条件。

下面以来自知识共享单元103的应答为基础，在步骤503中进行是否满足执行条件的判断，如果不满足执行条件则命令过程控制单元203，进入步骤508作为命令过程102的执行失败结束处理。

如果执行条件被满足，则处理进入步骤504。在此命令过程控制单元203，根据命令过程102的检查顺序记述单元405的内容，和包含在检查执行请求中的检查参数，执行检查。

在步骤505中判断命令过程的执行结果，当执行失败的情况下，进入步骤508，结束处理。

当执行成功的情况下，有时获得新的知识。例如，是被发现的安全漏洞的一览等。这样的知识在进行其他的检查时可以再利用的步骤506中，存储在知识共享单元103中的共享知识存储单元208中。

最后，把执行结果返回调用源结束处理(步骤S507)。

下面，参照图6说明指定等级名执行检查的情况。

接收到检查执行请求的命令过程控制单元203，通过执行由步骤S601～S607构成的循环，顺序取出被存储在命令过程存储单元206中的命令过程102，进行以下的动作。

首先在步骤604中参照作为当前对象的命令过程102的等级名记述单元401，检查该命令过程102是否属于用检查执行请求指定的等级。

如果命令过程102不属于在检查执行请求中指定的等级102，则进入步骤609，对以下的命令过程102进行处理。

如果命令过程102属于在检查执行请求中指定的等级，则在步骤605中，试着执行命令过程102。具体地说，进行从图5的步骤502开始的处理。

在步骤606中判断执行成功、失败，如果失败，则进入步骤609，试行其他的命令过程102。

如果执行成功，则在步骤607中判断是否进一步执行其他的同一等级的命令过程102。判断以包含在作为检查执行请求送出的信息中的，检查结束条件为基础进行。

如果检查结束条件是“执行等级一致的全部的命令过程”，则进入步骤609，对其他的命令过程102也试着执行。如果不是则进入步骤608，把执行结果返回调用源结束处理。

在步骤602中，判断是否对全部的命令过程102试着执行，如果判断为对全部的命令过程102试着执行的情况下，处理进入步骤610。

在达到步骤610前，当1个命令过程102执行成功的情况下，进入步骤608，把执行结果返回调用源结束处理。如果一个也没有成功的情况下，进入步骤611，作为检查执行处理失败结束处理。

以上，叙述了由使用者101请求命令过程执行时的处理，但如上所述，也可以从命令过程102调用其他的命令过程102。这种情况下，只是调用源不同，送到命令过程控制单元203的数据及以后的处理相同。

下面，参照图2说明插入程序控制单元204的动作。插入程序控制单元204，在命令过程控制单元203执行被记述在命令过程102的检查顺序记述单元405中的插入程序执行命令时由命令过程控制单元203调用。在调用时被送出的数据是执行的插入程序104的名称及其插入程序104所需要的执行参数。

插入程序控制单元204从插入程序存储单元207中取出与作为参数送出的插入程序名对应的插入程序104执行。执行结果被返回作为调用源的命令过程控制单元203，最终作为对命令过程执行命令的结果返回命令过程102。

插入程序104在其执行中，通过踏板模拟程序控制单元205，操作踏板模拟程序105。被操作的踏板模拟程序105，用程序运行的主计算机的地址、在主计算机内部唯一的踏板模拟程序识别符指定。在踏板模拟程序105中可以要求的命令如下。

TCP/UDP/RAW套接字生成、废弃

对套接字(TCP/UDP)的本地口的Bind

对套接字(TCP/UDP)的远程口的Connect

通过被Connect的套接字的Send、Recv

通过未被Connect的套接字的Send To、Recv From

Process的起动·结束

通过起动后的Process的标准输入输出的数据交换

从脆弱性检查装置主机到踏板模拟程序运行主机的文件转送及其反踏板模拟程序状态取得

踏板模拟程序停止

下面，参照图2说明知识共享单元103的动作。知识共享单元103的使用是为了在知识存储单元208中存储通过检查得到的知识，可以在其他的检查中再利用。

推论单元108，根据知识存储单元208中的知识推论满足被给予的目标的解是否存在。本装置，为了识别命令过程102的执行条件由命令过程控制单元203调用。另外，通过在命令过程102中记述共享知识获得命令，还可以在命令过程执行中被调用。

知识以术语逻辑来表现，推论通过基于Prolog等的，术语逻辑的推论系统而进行。在知识存储单元208中，不仅是与在检查中得到的事实有关的知识，还可以存储利用了变量的推论规则。

另外，通过定义具有执行命令过程102的作用的特别的术语，记述利用了该术语的推论规则，当共享知识不足的情况下为了获得知识可以执行命令过程102。由此，为了满足某个命令过程102的执行条件，可以自动地调用其他的命令过程102。

推论规则通常在系统初始化时从初始设定文件(知识文件)中读取，被设定在共享知识存储单元208，也可以在检查过程中追加。另外，还可以把被存储的知识保存的初始设定文件(知识文件)中。

图7表示知识文件的例子。在本实施方式中，记法利用Prolog的语法。

通过在本实施方式所示的系统，可以实现具有以下那样的特征的安全漏洞诊断系统。

第一，把检查方案作为用编程语言记述的命令过程102表现，从命令过程102中自动地调用到插入程序(相当于检查执行单元)104，可以进行复杂试验的实施。

进而，各检查执行单元间的参数交换(授受)由于命令过程102中介，因而使用者不需要知道检查执行单元间的输入输出的关系。

进而，通过命令过程102调用其他的命令过程102，可以实现被阶层化的方案的实施。

进而，由于根据推论规则可以从共享的知识中导出新的知识，因而不需要为每个命令过程·插入程序104制作推论逻辑。

进而，插入程序104通过经由踏板模拟程序105执行检查，可以实现和经由和现实的攻击者同样的踏板的检查方案。

进而，通过在命令过程中采用等级的概念，可以形成采用各等级的分类，在从命令过程中调用其他的命令过程时，不只是命令过程的文件名，还可以从等级名中调用。

实施方式2

在实施方式1中，操作单元201和检查执行单元202是在同一装置内，但也可以把他们分散配置在网络上。

可以用在本实施方式中表示的系统，实现具有以下特征的安全漏洞诊断系统。

加上实施方式1的特征，可以把检查执行单元配置在防火墙的外侧，把操作单元配置在防火墙的内侧，由此，可以降低把本系统配置在网络上的安全上的等级。

实施方式3

在实施方式1中，虽然可以使用动态输入的共享程序库作为插入程序104，但也可以通过能提供与踏板模拟程序控制单元205的接口的解释程序语言来实现。

通过使用在本实施方式中所示的系统，可以实现具有以下那样特征的安全漏洞诊断系统。

加上实施方式1的特征，更容易安装插入程序104，即使在系统运转中也可以简单地编辑插入程序104。

实施方式4

在本实施方式中踏板模拟程序105、106之间，以及踏板模拟程序105和脆弱性检查装置100之间的通信使用TCP/IP上独立协议，但考虑防火墙，还可以把它构筑在HTTP、SMTP等的可以通过防火墙的一般的通信协议上。

通过在本实施方式中所示的系统，就可以实现具有以下那样的特征的安全漏洞诊断系统。

加上实施方式1的特征，可以防止通过防火墙切断和踏板模拟程序的通信，能够以与实际的攻击者同样的攻击方案来进行检查。

综上所述，如果采用本发明，就可以把检查方案作为用编程语言记述的命令过程来进行表现，通过从命令过程中自动地调用插入程序(相当于检查执行单元)，可以实现复杂的试验。

而且，各检查执行单元间的参数交换通过由命令过程来作为中介，使用者就可以不需要知道检查执行单元间的输入输出关系。

Claims (9)

1.一种安全漏洞诊断系统，其特征在于包括：

存储有多个用编程语言记述了通常攻击者为了进行不正当访问而进行的顺序的命令过程的命令过程存储单元；

通过来自使用者的输入请求上述命令过程的一览的操作单元；

根据上述操作单元的请求，从上述命令过程存储单元中取出各命令过程，制作表示输入输出参数记述、命令过程执行必要条件和检查顺序的目录来提示使用者，并执行由使用者选择的命令过程的命令过程控制单元；

存储了安装有用于攻击各个安全漏洞的逻辑的插入程序的插入程序存储单元；和

通过由命令过程控制单元执行命令过程而被调用，从上述命令过程存储单元取出由执行命令过程指定的插入程序，对检查对象计算机执行该插入程序的插入程序控制单元。

2.根据权利要求1所述的安全漏洞诊断系统，其特征在于包括：具有分组发送接收、过程起动、结束和过程的数据输入输出、以及文件转送功能的踏板模拟程序；经由上述踏板模拟程序来实施上述插入程序的踏板模拟程序控制单元，其中上述插入程序通过来自上述插入程序的指令对检查对象计算机执行。

3.根据权利要求1所述的安全漏洞诊断系统，其特征在于：上述命令过程的构成要使其具有能调用其他的命令过程的功能。

4.根据权利要求1所述的安全漏洞诊断系统，其特征在于：向上述命令过程中导入等级的概念，上述命令过程的构成要使其具有在调用其他的命令过程时，能通过指定等级名来调用其他的命令过程的功能。

5.根据权利要求1所述的安全漏洞诊断系统，其特征在于：包含确认是否满足了上述命令过程执行必要条件的知识共享单元，知识共享单元具有根据推论规则把在执行上述命令过程的过程中收集到的信息导出为新知识的推论单元。

6.根据权利要求5所述的安全漏洞诊断系统，其特征在于：知识共享单元的构成要使其具有：在共享知识不足的情况下，执行用于根据推论规则获得知识的命令过程的功能。

7.根据权利要求2所述的安全漏洞诊断系统，其特征在于，用上述命令过程控制单元、上述插入程序存储单元、上述插入程序控制单元、上述命令过程存储单元和上述踏板模拟程序控制单元形成检查执行单元，使检查执行单元和上述操作单元成为分散在网络上的结构。

8.根据权利要求1所述的安全漏洞诊断系统，其特征在于：上述插入程序用解释程序语言来进行记述。

9.根据权利要求2所述的安全漏洞诊断系统，其特征在于：踏板模拟程序控制单元是在防火墙可以通过的协议上构筑的。

Images