TWI579727B - 威脅及防禦迴避模擬系統及方法 - Google Patents

Description

威脅及防禦迴避模擬系統及方法 參考相關申請案

本案遵照35 USC 120及35 USC 119(e)請求美國專利申請案第61/983,368號，申請日2014年4月23日及名稱「威脅及防禦迴避模擬系統及方法」之權益及優先權，該案全文爰引於此並融入本說明書之揭示。

發明領域

本文揭示係有關於一種用於模式化或模擬對連鎖/層疊網路安全性及終端安全性技術之相關攻擊之系統及方法。

發明背景

目前，當嘗試評估電腦/網路安全性風險時，關鍵利害關係人及決策者被迫以無證據的資料工作，經常仰賴安全性產品販售商的宣稱，因而無法清楚明白對他們負責保護的系統、智慧財產、或關鍵資料的風險。罕見使用第三方來決定安全性對策產品之真正效力。又復，消費者缺乏技術訣竅，或測試其基礎架構內部各項安全性產品所需高成本設備及人力。現實狀況是IT組織內部的人力資源 係用以建立與維持基礎架構而非用以測試該基礎架構之安全性效力，即使IT人力最終係負責該安全性效力亦復如此。

大部分情況下，安全性產品之消費者使用基於兩項謬誤的老觀念模型：

第一，特別當使用迥異的販售商時，層疊安全性對策將導致較佳安全性，原因在於一項產品的瑕疵不存在於另一項產品，反而將抵消彼此的瑕疵。數學上表示如下：P_a*b=P_a*P_b=X%。

第二，藉由聚焦在「自然環境中」最為目前廣為廣告的/駭人的惡意軟體/探勘及輔助防犯此點之定址技術，總體安全性為「較佳」。此點係類似於萬應靈藥(蛇油)推銷員。

此外，目前安全性測試聚焦在「攻擊者起始的」攻擊。此乃來自網路外部的強勁攻擊，但目前安全性測試未能解決更為普及的安全性失效來源-「標靶起始的」攻擊。標靶起始的攻擊乃由內部雇用人員無辜協助所發生的攻擊，該等雇員淪為釣魚網站、惡意軟體、及其它詐騙攻擊的受害者。

攻擊上言之，團體諸如政府須仰賴舊式技術諸如網路殺傷鏈^TM其既冗長又極慢。如此無法提供用於有效攻擊操作之真正操作能力。

依據本發明之一實施例，係特地提出一種模擬電腦及網路威脅之方法包含：接收有關其係將受保護免於威 脅之一個體之資訊，該個體為一應用程式及一作業系統中之一者；接收有關用於保護該個體之一或多個安全性產品之資訊；及模擬各個安全性產品以識別不被該安全性產品所停止之一或多個探勘。

100、200‧‧‧威脅及防禦迴避模擬系統

102、102A-N‧‧‧網路

104‧‧‧通訊路徑

106、202‧‧‧威脅及防禦迴避系統

106A、202A‧‧‧威脅及迴避模擬組件

108‧‧‧儲存

300‧‧‧犯罪軟體/Inforsec工具

302‧‧‧應用程式/作業系統(OS)物件

304‧‧‧安全性裝置物件

306‧‧‧NSS群組測試物件

308‧‧‧軟體販售商物件

310‧‧‧探勘物件

312‧‧‧應用程式組合物件

314‧‧‧常見漏洞評分系統(CVSS)物件

316‧‧‧攻擊型物件

318‧‧‧2012物件

320‧‧‧共通弱點枚舉物件

400‧‧‧威脅模擬方法

402-408‧‧‧方塊

500‧‧‧樣本輸出之一部分畫面擷取

502‧‧‧模型

504‧‧‧安全性產品

702‧‧‧外環、框

704‧‧‧內圈

802‧‧‧藍球

804‧‧‧紫球

900‧‧‧模型輸出

902‧‧‧金色球

1300‧‧‧網路安全性裝置

1302、1500‧‧‧探勘

1400‧‧‧裝置

1502‧‧‧綠點

1900‧‧‧綠球

圖1例示該威脅及防禦迴避模擬系統之一第一實施例；圖2例示該威脅及防禦迴避模擬系統之一第二實施例；圖3為一略圖顯示使用圖1-2中顯示之該系統可進行之各種物件(變換式)之互連；圖4A例示一種威脅模擬方法；圖4B例示圖3中之該等變換式之使用之一實施例；圖5為自圖1-2中之該系統產生的一模型輸出之樣本之一部分畫面擷取；圖6例示選用於測試之三個商業產品；圖7為經由圖6中選取的及識別的該等產品之實驗性測試所識別之該等探勘之一例示；圖8為自圖7之內圈之一例示；圖9為得自該系統所產生之一模型之一輸出之一實施例之一例示；圖10為一文氏(Venn)圖例示一種新穎業務模型，用以判定存在有哪些不安全性，因而須如何鑒別分類及緩和其對關鍵性基礎架構及智慧財產的風險；圖11為已知繞道至少一個選取安全性對策產品的探勘/ 漏洞/惡意軟體之一例示；圖12例示一使用者介面之一實施例顯示一探勘之細節；圖13A-C例示基於一特定變換式產生的一使用者介面之一實施例；圖14例示使用該系統提供的該威脅模擬之一第一實施例；圖15-17例示使用該系統提供的該威脅模擬之另一實施例；圖18-20例示使用該系統提供的該威脅模擬之另一實施例；及圖21例示一變換式實施例之假碼之一實施例。

較佳實施例之詳細說明

本文揭示係特別適用於一種以雲端為基礎之威脅及防禦迴避模擬系統及方法，本文揭示將於此種情境描述。但須瞭解該系統及方法有更大用途，原因在於其可於其它以電腦為基礎之系統體現。為了本文揭示之目的，一「探勘」可包括一探勘、惡意軟體及/或一安全性產品之一漏洞。

於該系統及方法之一個實施例中，消費者可模擬其網路及終端安全性解決方案(以硬體及軟體兩者為基礎)。然後消費者可檢討其效果(根據先前由第三方進行的且儲存於資料庫的測試結果)。如此允許消費者瞭解哪些探勘 及惡意軟體可繞道其安全性之各層，以及(且更要緊地)能夠繞道其安全性之全部各層的該等攻擊技術。如此，藉由提供需要減輕風險的真正概況，允許消費者將注意力焦點放在作業及資本投資努力及費用上以便更加強化其安全性。於此一實施例中，該系統係用作為一防禦工具。

於該系統及方法之第二實施例中，消費者能快速確定哪些新穎安全性產品最佳適配一給定安全性憂慮。例如，回答：哪個產品最佳保護應用程式及/或作業系統之任一項組合？於此一實施例中，該系統係用作為一防禦工具。

於該系統及方法之第三實施例中，作用為攻擊本質者能夠快速確定在一複雜基礎架構之任何層級中對特定探勘及惡意軟體敏感的該等漏洞。如此許可其識別繞道該安全性需要的工具，且可在數秒鐘內完成而非數個月。於此一實施例中，該系統係用作為一攻擊工具。

圖1例示該威脅及防禦迴避模擬系統100之一第一實施例，其可於一軟體服務化(SaaS)模型實施，其中第三方可存取由該系統所執行的分析結果。該系統100可具有一或多個網路102，諸如網路102A、102B、...、102N，其各自可藉一通訊路徑104耦接至一威脅及防禦迴避系統106。該威脅及防禦迴避系統106可具有耦合其上之一儲存108以儲存該威脅模型等及該系統之其它資訊。該儲存108可於軟體或硬體實施，且可為持久性儲存裝置、資料庫、關聯性資料庫等。

各個網路102可為具有一個體之多個電腦之一網 路，及各個網路102可可藉該威脅及防禦迴避系統106測試及測量，容後詳述。該通訊路徑104可為公用或專用網路、無線或有線網路等。

該威脅及防禦迴避系統106可使用一或多個已知雲端計算資源或一或多個伺服器電腦實施，其中該威脅及防禦迴避系統106可使用一或多個處理器、記憶體、持久性儲存裝置等實施。該威脅及防禦迴避系統106可進一步包含一威脅及迴避模擬組件106A，其執行可用於防禦目的或攻擊目的之威脅的模擬，容後詳述。於該系統106之一軟體實施中，該威脅及迴避模擬組件106A可為多行電腦碼，其可儲存於該威脅及防禦迴避系統106之該記憶體內，及然後由該威脅及防禦迴避系統之功能及操作之一處理器執行。於一硬體實施中，該威脅及迴避模擬組件106A可為一裝置或功能規劃入多個電路中之任一者，包括可規劃邏輯裝置(PLD)，諸如可現場程式規劃閘陣列(FPGA)、可規劃陣列邏輯(PAL)裝置、可電氣規劃邏輯及記憶體裝置及以標準單元為基礎之裝置、以及特定應用積體電路。用於實施之若干其它面向之可能性包括：記憶體裝置、具有記憶體之微控制器(諸如EEPROM)、嵌入式微處理器、韌體、軟體等。

該威脅及迴避模擬組件106A可用以針對各個網路產生一模型，及儲存該(等)一或多個模型於該儲存108。該威脅及迴避模擬組件106A可基於已經進行的模擬而產生一或多個使用者介面。該模擬可用於防禦目的或攻擊目的。當用作為一攻擊工具或防禦工具時，該威脅及迴避模 擬組件106A可提供一或多個使用者介面給一客端裝置，容後詳述。該儲存108也可儲存(或提供存取)一或多個變換式資料庫，故由該系統可執行該等變換式。

當該系統被用作為一防禦工具時，該系統可顯示一或多個使用者介面，使得該系統之客戶可快速確定哪些新穎安全性產品將最佳適配該客戶之一給定安全性憂慮。如此，該系統可用以答覆下述問題「哪個產品最佳保護應用程式及/或作業系統之任何組合？」當該系統被用作為一攻擊工具時，該系統可產生且顯示一或多個使用者介面，其允許該客戶可快速地確定於一複雜基礎架構的任何層面中對特定探勘及惡意軟體敏感的一或多個漏洞。如此許可該客戶識別繞道該安全性需要的工具，且可於數秒鐘內完成，而非如使用典型系統的數個月。舉例言之，此等工具可包括「元探勘(Metasploit)」，由快七公司(Rapid7 LLC)開發的商用企業級產品，市售工具諸如鳳凰(Phoenix)、零(Zero)、沙瓦培(Savapay0C)、伊里諾(Eleonore)，及免費軟體系統諸如黑洞(BlackHole)、蕈菇(Mushroom)及M包(Mpack)。

圖2例示該威脅及防禦迴避模擬系統200之一第二實施例，其中一威脅及迴避模擬組件200A(如前述操作)可為可為網路200之一部分/耦接至或嵌入一客戶之一網路200，然後該客戶可以前述相同防禦及攻擊方式使用該威脅及迴避模擬組件200A，容後詳述。

圖3為一略圖顯示使用圖1-2顯示之系統可進行 以模擬該等威脅之各種物件(變換式)之互連。於圖3之該略圖中，於該等物件/變換式間之鏈路(連結)中之各者可為雙向，許可該系統有機地剖析、顯示、及鏈接資料。於本略圖中，該威脅及迴避模擬組件顯示為該犯罪軟體/Inforsec工具300。其它物件/變換式可包括應用程式/作業系統物件302、安全性裝置物件304、NSS群組測試物件306、軟體販售商物件308、探勘物件310、應用程式組合物件312、CVSS物件314、攻擊型物件316、2012物件318、及共通弱點枚舉物件320。

如圖13A、13B及13C中顯示，顯示由一變換式實施例所產生的變換式及使用者介面。各個變換式可用以自分開資料庫產生交互關係及相關性資訊，原因在於該變換式係以產生一金鑰索引之方式寫成。舉例言之，一資料庫可經查詢以顯示匹配「裝置」之一資料類別的全部分錄，然後藉「測試年份」將該等「裝置」分錄集結成群組。該裝置可為硬體裝置或軟體工具。於一第三資料庫中具有相同「裝置」名稱，然後，該系統之該使用者可具有工具顯示已知與各個特定「裝置」相聯結的全部「探勘」。結果所得影像為在給定一年中測試的全部裝置之影像，且顯示已知繞道各個裝置之全部探勘。由於該資料庫為關聯性，故該「裝置」物件可分享其遺漏的「探勘」。當層疊該等裝置時且知曉哪些分享探勘繞道該等裝置，該終端用戶識別哪些探勘繞道全部其裝置係不重要的。

如圖13A顯示，二網路安全性裝置1300(被圈起的 綠點)已經被模擬，且已經跑變換式以顯示針對各個裝置，於測試期間，已知繞道該裝置之探勘1302。跨據在該等二裝置間之探勘1300顯示為橙色點，為在該等二裝置間之被分享的/交互相關的失敗之該等探勘。

如圖13B中顯示，自該等變換式之資料已經重排，因而容易看出偏遠的探勘，此等探勘對該等裝置中之任一者為奇點，但對兩者並非奇點。如圖13C中顯示，以被圈起的綠點表示之兩個裝置1300連線至各個探勘(該圓中之其它點為橙色)，及畫線以顯示各財探勘與兩個模擬裝置之鏈接。如此顯示此等探勘中之任一者將繞道模擬安全性裝置兩者，即便當其係串聯使用以產生層疊防禦時亦復如此。圖21例示藉該系統資料之變換式之一實施例的假碼之一實施例。透過前述資料變換式之使用，查詢探勘時繞道安全性產品的含有實驗性測試結果資料之資料庫，該系統能夠識別在迥異安全性技術內部之相關失敗。又復，該系統已經用以證實失敗中的相關性相當普及，反駁先前對層疊安全性的假設，且以數學式表示為P_a*b≠P_a*P_b。反而：P_a*b P_a*P_b。於該系統中，探索資料則可藉圖解表示，提供模擬經識別的及相關的攻擊方法之路徑及成功的對抗安全性對策之探勘之例示。此一資料之消費者可使用此一資訊以繞道網路及系統安全性之全部層，及運用如何讓安全性變無用的知識，其將成功地感染/控制一遠端系統或系統之網路。該資料也可以防禦方式使用，許可該(等)防禦者辨識此等相關失敗，讓該等失敗現在可被定址及緩和。

雖然由該系統挖掘的資料需時數年以發展，但全部可活存攻擊媒介之模擬，包括對映至市售/公開可用攻擊工具，的執行只需耗時數秒。該系統可用以在安全性對策產品內部，模擬「攻擊者起始的」及「標靶起始的」失敗兩者。一攻擊者起始的攻擊為一攻擊其中該攻擊者(駭客)工作藉由積極地攻擊一網路或系統以突破之。一標靶起始的攻擊乃較容易的遠更有用的攻擊一網路之方式。於本攻擊中，該攻擊者欺騙網路上的人們使得該攻擊者能夠接取至該網路的啟動碼(惡意軟體)，其轉而啟動對其工作站之探勘及提供即時接取。

本資料為無價，允許防禦者及攻擊者瞭解全部潛在攻擊媒介。該系統也可模擬資料自網路的外滲，以及指令及控制(C&C)通道其已知可前進而未能由定址該安全性殺傷鏈的此一部分之該對策技術所偵測出。

由該系統執行的模擬及由該系統產生的使用者介面允許一客戶藉由其期望模擬的一或多個應用程式之任一項組合開始而檢討威脅及攻擊。一旦系統完成該項模擬，客戶可快速地存取存在有哪些目前探勘其靶定於由該客戶所使用的一或多個應用程式之組合。然後，此等探勘可交叉參考已知對此等探勘敏感的安全性對策，及最終將彙編對策之一列表，指示其有能力或無能力防禦該特定應用程式。如此，該系統可產生能以該使用者介面產生的全部輸入及輸出安全性對策之一完整模型。如此，該系統之一客戶則可識別已知用以繞道各個對策裝置之全部探勘。

圖4A例示使用該系統之一種威脅模擬方法400及圖4B例示圖3中之該等變換式之使用之一實施例。於此等圖式中，變換式之邏輯流程/選擇已經枚舉以顯示使用該系統之一客戶如何可選擇一個體，諸如一應用程式及/或一作業系統，其期望保護該個體或靶定攻擊該個體使得該系統接收此資訊(402及圖4B中顯示之處理程序1)。客戶可選擇其期望具有或期望增加至其網路上的一或多個安全性產品，或其可在其目前標靶原位模擬該產品使得系統接收此資訊(404及圖4B中顯示之處理程序2)。一旦客戶已經提供該輸入至該系統，該系統(基於所產生的模擬)可顯示該等探勘/漏洞/惡意軟體，有能力繞道各個選取的安全性產品(406及圖4B中顯示之處理程序3)，該等產品靶定於其關注保全或妥協的該特定應用程式/作業系統。系統可產生一指示(基於該經識別之探勘/漏洞/惡意軟體與「犯罪軟體」及安全性測試工具間之交叉參考)該等經識別之探勘是否在安全性測試工具中(408及圖4B中顯示之處理程序4)，其內部已經有此等攻擊完全自動化。此點對於測試為要緊，以及藉使用一般可用攻擊軟體(例如，看起來像似對一網路的每個其它攻擊)遮掩一真正的攻擊手段。

圖5為自藉圖1-2中之該系統產生的一模型樣本輸出500之一部分畫面擷取。更明確言之，於圖5顯示之實施例中，該模型表示視窗XP作為欲保全的作業系統502(藉該圖底部中心之綠球表示)。鏈接至欲保全的作業系統之其它較小型圈/球為已經探勘視窗XP之該等探勘(藍球)。此等 探勘係相對於安全性產品504(顯示為多個較大紫球)追蹤，當有更多上層物件(探勘)連結其上時其尺寸長大。如此，例如保羅奧圖PA5020及轉折點6100N(the Palo Alto PA5020 and Tipping point 6100N)安全性產品具有鏈接其上之類似數目的探勘(且具有類似大小)，而岩軟(Stonesoft)1301安全性產品之大小較小指示具有較少探勘鏈接其上。如此，使用圖5中之該使用者介面，客戶可瞭解哪些安全性產品最適合該特殊作業系統。如此如圖5顯示，小型紫球指示較佳用於防禦視窗XP的安全性產品。此型模型允許客戶基於由該客戶選取的該等探勘而選用一安全性產品。各次探勘造成某些潛在傷害的程式。舉例言之，一個眾所周知之探勘為心洩探勘(Heartblead Exploit)其乃對OpenSSL之一探勘，去年讓駭客在電子海灣(Ebay)、亞馬遜(Amazon)、銀行網站等下竊取數以億計的帳戶的用戶名稱及密碼。

此外，該系統可隔離已經繞道全部模擬對策的該等探勘。從此點，該系統之一客戶可交叉參考存活探勘，及判定其是否於商用/公開可用工具中目前已自動化。運用此種探勘之自動化，該攻擊的存活能力較大，原因在於一潛在攻擊者要求的技術層級大減。基於此項資訊在數分鐘以內可進行攻擊，或更佳瞭解存在於所部署的對策內部之哪些瑕疵可被表示及定址/緩和。

圖6例示選用於測試之三個商用產品，系統使用之第二實施例始於識別特定安全性產品，如圖6顯示。系統之此種使用允許一客戶找到在已被選用的該等安全性產品 中能夠繞道探勘/漏洞/惡意軟體等全部三種安全性對策的任何探勘/漏洞/惡意軟體。於圖6之實施例中，刺柏(Juniper)SRX3600可用作為防闖系統(IPS)，保羅奧圖PA5020將操作為下一代防火牆(NGF)，及小紅傘(Avira)為端點保護產品(EPP)亦即防毒。圖7為當該模型被激化以顯示已知個別繞道各個產品之全部探勘時，透過圖6中選取及識別之該等產品之實驗性測試所識別之探勘之例示。如圖7顯示，被框住的球表示已知繞道所選安全性對策中之至少一者的一個探勘/漏洞/惡意軟體樣本。藍球(在框702內)之外環702表示異常值，例如只繞道所選安全性對策中之只有一者的探勘/漏洞/惡意軟體但被其它安全性對策中之一者所阻擋。藍球(在框704內)之內圈704表示已知繞道全部所選安全性對策的探勘/漏洞/惡意軟體。

藉由改變該模型之顯示只繞道該等安全性裝置中之只有一者的探勘變成異常值，而繞道全部模擬產品之該等探勘移動至一內群704，可被隔離如圖8顯示。如此顯示藍球802(圖8中顯示之大部分有色電路)表示探勘/漏洞/惡意軟體，及紫球804表示圖6中選用的三個安全性對策產品。於圖8中之此略圖中，模型中之互連線指示評估探勘/漏洞/惡意軟體與產品間之連接性。圖8顯示之探勘最令人擔憂，原因在於其將無礙地通過全部部署的安全性對策。然後該模型可以各種不同方式使用。藉由加上「權」至該「應用程式/作業系統」物件，由此等探勘最佳靶定的該等應用程式/作業系統將顯示成比較少探勘靶定其上的該等 應用程式/作業系統更大的球。此乃一種鑒別分類方法。其它相關資料可以相同方式顯示及度量。因關係各個下層物件之上層物件數目故，可增加權值。於此一實施例中，該應用程式/作業系統物件為下層，而上層為探勘。因應用程式或作業系統物件具有相聯結的更多探勘，在畫面上變長大(圖解言之)。

圖9為由該系統產生之一模型之一輸出900之一實施例之例示，其顯示哪些犯罪軟體/安全性測試工具含有發現可繞道該選取之安全性對策產品的該等探勘/漏洞/惡意軟體之自動化版本。於本使用者介面中，該等犯罪軟體/安全性測試工具係以金色球902表示。球902愈大則含有已知可繞道該選取之安全性對策產品的該等探勘/漏洞/惡意軟體愈多。最值得注意地，該等探勘可追蹤至犯罪軟體及安全性測試工具以決定該等探勘中之哪些者為完全自動化。一探勘之完全自動化增廣了潛在攻擊者之範圍，將完全攻擊能力交在無數低技能的電腦用戶手上而非限制能幹的駭客之使用該等完全攻擊能力。

圖10為一文氏(Venn)圖例示一種新穎業務模型，用以判定存在有哪些不安全性，因而須如何鑒別分類及緩和其對關鍵性基礎架構及智慧財產的風險。採用此種新方法人們將瞭解：哪些探勘繞道特定防禦層；此等探勘中之哪些者靶定應用程式或作業系統；及其中之哪些者係完全自動化(因而減低了駭客要求的技術訣竅，及增加了此種攻擊之存活能力)。該文氏圖重疊處所見之資料設定適當 順位及焦點，原因在於其表示實際狀況。如此提供對下述的瞭解，哪個繞道防禦，靶定使用的程式及作業系統，及哪個在犯罪軟體套組及滲透/安全性測試工具內部為方便易得。此乃與目前策略之一差異，目前策略全部皆係於如所宣稱的安全性防禦技術工作預測。

圖11為已知繞道至少一個選取安全性對策產品的探勘/漏洞/惡意軟體之一例示。於此一實施例中，已知繞道至少一個選取安全性對策產品的探勘/漏洞/惡意軟體係由建立靶定產品的該等軟體販售商分類。此型模擬對於瞭解總體或粗略攻擊媒介可能存在於何處具有關鍵重要性。

該模型可經修正以供給額外資訊，諸如已知探勘之風險分數(例如，針對CVE探勘之CVSS數值表示型態)、可用時的補救資訊、哪些應用程式及/或作業系統被該探勘靶定/影響等。迥異的資料庫可透過該系統聯合而允許發展新變換式或其它第三方工具以整合該模擬。舉例言之，一滲透測試工具可用作為線上安全性裝置之指紋識別。除了全部將成功地繞道該等裝置之已知探勘之外，將該等指紋與本發明交叉參考，可導致該等裝置之識別。如此將該系統自一模擬工具改變成一作用態攻擊工具。

圖12提供自報告變換式之樣本輸出其摘述前述資訊。於圖12之該實施例中，針對CVE-2010-1297提出一樣本報告輸出。該CVSS分數，10.0中之9.30，係連同該攻擊媒介及被靶定的應用程式(奧多比播放器(Adobe Flash Player)及雜技(Acrobat))呈示。該輸出之「未經檢測」區段 列舉已知未能識別及阻擋此種探勘之接受測試的全部安全性裝置及技術。犯罪軟體測試工具提供含有此種自動化探勘之犯罪軟體及測試工具之一列表。該系統之一使用者現在已知此種探勘將繞道所列舉的各個系統，將對抗特定應用程式，對安全性極端關鍵性，乃一項攻擊終端用戶將被騙執行之(標靶起始)，且容易由任何人使用該等套組中之任一者以極低技術性技能執行。

前述系統及方法可用以執行不同型別之威脅模擬，如下實施例例示。第一實施例(使用者介面之一實施例，例示於圖14)為一模型示範由一公司使用一層疊安全性模型內部之硬體及軟體之安全性效果。本模型之目的係為了瞭解哪些探勘可繞道該層疊安全性，新該公司瞭解目前未知的安全性漏洞。如此允許該公司改變製程終端程序而消弭安全性漏洞，或可使用此一模型以一個販售商或產品取代另一者以瞭解總體安全性態度之差異。例如，當考慮層疊安全性網路之終端安全性態度時投資回報如何。

圖14例示使用該系統提供威脅模擬之第一實施例，顯示用於一企業之使用者介面，其使用檢查哨(Check Point)12600及源火(Sourcefire)3D8250裝置1400於其網路安全性層內部，其中該模擬係由該企業防禦地使用。此二產品具有三個探勘(於圖14中枚舉為00000、00001、及00002)。通常此等探勘顯示常見漏洞及暴露程度(CVE)分配號碼，但為了安全性目的該等號碼被遮掩。全部其它探勘已自顯示中移除，原因在於其只施用至一個或另一個網路 安全性裝置。本模型係用以判定哪些探勘將通過兩個裝置，如此將影響工作站及伺服器。

覆閱此項資訊之企業將繼續有關已經由變換式產生的其它資料元件鑒別分類/設定順位。首先，其能夠檢討對該等探勘有漏洞的作業系統及應用程式。靶定該企業內部不使用的軟體之探勘可被忽略。不表示用在企業基礎架構內部之軟體可使用常見漏洞評分系統(CVSS)分數排序。此點以紅警示燈表示，下方有評分範圍。進一步變換式可用以繼續鑒別分類處理。於該提出之實施例中，攻擊媒介已經顯示，但其它變換式諸如提供犯罪軟體套組，於該處該企業可隔離有高風險的該等探勘，靶定其應用程式及作業系統，其繞道安全性投資設施且全然自動化容易獲得攻擊工具者可判定為在該組織結構內部有鑒別分類及修復之最高順位。

第二模擬實施例(其使用者介面之一實施例係顯示於圖15-17)遵循第一實施例之路徑，但表示一攻擊者可能想要繞道之一標靶網路。產品已置於該模型，通常係經由一網路之掃描及指紋或透過社群工程識別。執行最終變換式以找出繞道全部各層安全性的「來源」已知探勘。此點係藉查詢一資料庫完成，該資料庫含有探勘ID及哪個犯罪軟體/安全性測試軟體目前含有該攻擊及所需探勘。使用尋常攻擊軟體諸如如此將有助於攻擊本身的混淆，原因在於此等工具為一般大眾可得且相當常規地使用。例如，此等將非為客製化攻擊其可指示一特定威脅行為者。於此種情 況下，使用模擬只耗時數秒鐘。相同工作當藉手動進行時只能獲得一或兩個可能的攻擊媒介且可能耗時數月發展。本威脅模擬發明為可擴充、快速、且準確。手動測試既無法擴充也不夠快速，而可能妨礙網路戰爭或其它攻擊性活動的進展。

圖15-17例示使用正在由一攻擊者攻擊性使用該系統提供的威脅模擬之另一實施例。於本模型中三個產品亦即兩個網路及一個終端軟體已經模擬以代表一標靶之層疊安全性。保羅奧圖PA5020已在網路上組合刺柏SRX3600，及賽門鐵克(Symantec)企業終端保護產品在工作站上跑。攻擊者的目的係找到可運用來對抗標靶的探勘以便部署酬載，其將允許其在伺服器及工作站上外滲資料及/或贏得控制。

本模型實施例始於隔離在全部三種模擬安全性技術間被分享(交互關係)之探勘。因此，發明人知曉使用任何此等探勘1500(圖15中之全部點皆為金色點，三個綠點1502除外)將繞道全部三種安全性技術(綠點1502)不被識別出。於此種情況下，發明人將假設攻擊者想要在視窗工作站上部署酬載。為了隔離靶定於微軟產品之探勘，跑一變換式以鏈接全部探勘與受各個探勘影響的販售商。藉由選擇「微軟」及包括全部上層物件(探勘)，此等探勘可被快速隔離，如圖16顯示。再度，CVE號碼為了安全性目的已被遮掩，但系統使用者將被呈示真正CVE號碼。其次，攻擊者將想要辨識此等探勘中之哪些者目前含在易得的犯罪軟 體及安全性測試工具內部。如此將造成攻擊者選擇一攻擊工具的能力在數秒鐘以內混淆。

如圖17顯示，元探勘(Metasploit)內部有三個套裝探勘將靶定微軟(Microsoft)產品且能夠完全繞道該被模擬的安全性產品。其餘紫色資料球表示四個犯罪軟體套組已經全然自動化經識別的探勘中之二者。整個過程的執行耗時數秒鐘。

該第三模擬實施例(圖18-20顯示之該使用者介面實施例)始於在一特定網路上需要保全的作業系統之立足點，本例為視窗XP。該構想為隔離視窗XP機器，用作為倉庫、發電站等的指令及控制系統(此乃常見情況)。通常工程師或建築師將此等系統與任何其它網路完全隔離，但逐漸地要求此種隔離只是暫時性的。該模擬係用以找出一種產品最佳適合保護視窗XP系統免除已知繞道目前商用或特別發展的安全性系統之探勘。在數秒鐘以內消費者可分離出最佳適合此種特定安全性目的的產品，此乃全部其它市售產品所缺乏者。雖然此項工作可藉手動進行覆閱數百頁測試結果；但威脅模擬發明只耗時數秒鐘即指示最佳產品/販售商，此乃目前選擇方法所未曾意料者。

圖18-20例示使用該系統提供威脅模擬之另一實施例，其中該系統之使用者面對極為現實問題。用戶有個視窗XP網路管理與操作工廠內部之自動化系統。通常此等視窗XP機器將與企業網路之其餘部分完全隔離且不接取網際網路。但於此模型中，IT小組被迫將此等系統連結至企 業網路及因而連結至網際網路。為了達成此項目的，IT小組必須快速辨識一產品其可在線上位在該等視窗XP機器與企業網路間之網路上，且讓該產品針對視窗XP工作站提供最佳總體安全性。

為了達成此項目的，本發明之使用者將始於需被保全的作業系統視窗XP。經由該探勘變換式，該系統之使用者讓該系統呈示本發明已知靶定於視窗XP的及已知繞道至少一個受測安全性裝置的全部探勘，如圖18顯示。其次，該用戶單純選擇全部經識別之探勘，及利用一變換式其追蹤各個探勘回到未能檢測(因而未能保護免於)該等探勘的全部已知產品。如圖19中顯示，已產生之一集合之綠球1900鏈接至靶定視窗XP的該等探勘。球體愈大則已知繞道該特定安全性產品的探勘愈多。基本上，於本模型中該系統之使用者尋找最小的綠球。於本特定模型中，飛塔(FortiGate)3240C產品具有最佳能力(失敗的探勘檢測數目最少)保護視窗XP工作站，如圖20顯示。此種模擬工作耗時數秒鐘。本發明之使用者快速識別最適合所需特定工程的產品。通常，系統之使用者可能不會即刻識別，反而將選用更知名的IBM、檢查哨(CheckPoint)等產品。但該用戶可能不知曉飛塔3240C產品乃針對小型公司設計的產品，因而當較知名系統不再支援視窗XP系統時實際上仍然保護視窗XP系統。但該模擬能讓該用戶識別此點。

為了解釋目的已經參考特定實施例描述前文詳細說明部分。但前述例示性討論並非意圖為無遺漏或限制 本文揭示於所揭露的精準形式。鑑於前文教示，許多修正及變化係屬可能。實施例經選取及描述以便最佳解釋本文揭示之原理及其實際應用，藉此許可其它熟諳技藝人士以適合特定預期目的之各項修正最佳地運用本文揭示及各種實施例。

此處描述之系統及方法可透過一或多個組件、系統、伺服器、設施、其它子組件實施，或分散在此等元件間。當實施為一系統時，此等系統可包括及/或涉及通用電腦中所見的組件等，諸如軟體模組、通用CPU、RAM等。於本發明駐在一伺服器之實施例中，此種伺服器可包括或涉及組件諸如CPU、RAM等，諸如通用電腦中所見的組件。

此外，超越前文陳述者，此處描述之系統及方法可透過具有迥異的或全然不同的軟體、硬體及/或韌體組件實施。至於與本文揭示相聯結的或具體實施本文揭示之此等其它組件(例如，軟體、處理組件等)及/或電腦可讀取媒體，可實施符合無數通用或特用計算系統或組態之本發明之面向。適用於本發明之各種計算系統、環境、及/或組態之實施例可包括，但非限制性：個人電腦、伺服器或伺服器計算裝置內部或上實施的軟體或其它組件，諸如路由/連接性組件、手持式或膝上型裝置、多處理器系統、以微處理器為基礎之系統、機上盒、消費性電子裝置、網路PC、其它既有電腦平台、包括前述系統或裝置中之一或多者的分散式計算環境等。

於某些情況下，此處描述之系統及方法之面向可 透過或藉邏輯及/或邏輯指令包括例如聯結此等組件或電路執行的程式模組達成或執行。一般而言，程式模組可包括常式、程式、物件、組件、資料結構等其執行此處特殊任務或實施特定指令。本文揭示也可於分散式軟體、電腦、或電路配置之情境實施，於該處電路係透過通訊匯流排、電路或鏈路連結。於分散式配置中，控制/指令可從本地及遠端電腦儲存媒體含記憶體儲存裝置發生。

此處軟體、電路及組件也可包括及/或利用一或多型電腦可讀取媒體。電腦可讀取媒體可為駐在其上、相聯結的、或可由此等電路及/或計算組件存取的任何可用媒體。舉例言之，但非限制性，電腦可讀取媒體可包含電腦儲存媒體及通訊媒體。電腦儲存媒體包括用於儲存資訊諸如電腦可讀取指令、資料結構、程式模組或其它資料之任何方法或技術中之依電性及非依電性可卸式及非可卸式媒體。電腦儲存媒體包括，但非限制性，RAM、ROM、EEPROM、快閃記憶體或其它記憶體技術、CD-ROM、數位影音碟(DVD)或其它光學儲存裝置、磁帶、磁碟儲存裝置或其它磁性儲存裝置、或可用以儲存期望資訊且可由計算組件儲存的任何其它媒體。通訊媒體可包括電腦可讀取指令、資料結構、程式模組及/或其它組件。又，通訊媒體可包括有線媒體諸如有線網路或專線連結，但此處任何此種型別之媒體皆不包括過渡媒體。前述任一種組合也可包括於電腦可讀取媒體之範圍內。

於本詳細說明部分中，組件、模組、裝置等詞可 指可以多種方式實施的任一型邏輯或功能軟體元件、電路、方塊及/或處理。舉例言之，各種電路及/或方塊之功能可彼此組合成任何其它數目之模組。各個模組甚至可實施為儲存在欲藉一中央處理單元讀取以實施本發明功能的一具體有形記憶體(例如，隨機存取記憶體、唯讀記憶體、CD-ROM記憶體、硬碟驅動裝置等)上之軟體程式。或者該等模組可包含透過傳輸載波發射給一通用電腦或處理/圖形硬體之規劃指令。又，該等模組可實施為實施本發明涵蓋之功能之硬體邏輯電路。最後，該等模組可運用特用指令(SIMD指令)、可現場程式規劃閘陣列(FPGA)或提供期望效能及成本層級的其任一項組合實施。

如此處揭示，符合本文揭示之特徵可透過電腦-硬體、軟體及/或韌體實施。舉例言之，此處揭示之系統及方法可以各種形式實施，包括例如，資料處理器，諸如電腦其包括資料庫、數位電子電路、韌體、軟體、或其組合。又，雖然所揭示之若干實施例描述特定硬體組件，但依據本發明之系統及方法可以硬體、軟體及/或韌體之任一項組合實施。再者，前述特性件及此處本發明之其它面向及原理可於各種環境實施。此等環境及相關應用可根據本文揭示用於執行各種常式、處理程序及/或操作特別詮釋，或可包括一通用電腦或計算平台經選擇性地致動或藉代碼重新組配以提供所需功能。此處揭示之處理程序本質上並非有關任何特定電腦、網路、架構、環境、或其它設備，而可藉硬體、軟體及/或韌體之任一項組合實施。舉例言之，各 種通用機器可使用根據本文揭示之教示寫成的程式，或可更方便地組構特用設備或系統以執行所要求之方法及技術。

此處描述之方法及系統之面向諸如邏輯也可實施為規劃入多個電路中之任一者之功能，包括可規劃邏輯裝置(PLD)，諸如可現場程式規劃閘陣列(FPGA)、可規劃陣列邏輯(PAL)裝置、可電氣規劃邏輯及記憶體裝置及以標準晶胞為基礎之裝置，以及特定應用積體電路。若干其它可能的實施面向包括：記憶體裝置、具有記憶體之微控制器(諸如EEPROM)、嵌入式微處理器、韌體、軟體等。又復，該等面向可於具有以軟體為基礎之電路模擬之微處理器、離散邏輯(循序及綜合)、客端裝置、模糊(神經)邏輯、量子裝置、及前述任何裝置型別之混合實施。潛在裝置技術可以多種組件型別提供，例如金氧半場效電晶體(MOSFET)技術例如互補金氧半導體(CMOS)、兩極性技術例如射極耦合邏輯(ECL)、聚合物技術(例如，矽軛合聚合物及金屬軛合聚合物金屬結構)、類比與數位之混合等等。

須注意就其表現、暫存器移轉、邏輯組件、及/或其它特性而言，此處揭示之各種邏輯及/或函式可運用任何數目之硬體、韌體、及/或於各種機器可讀取媒體或電腦可讀取媒體中實施的資料及/或指令之組合致動。其中可實施此種格式化資料及/或指令之電腦可讀取媒體包括，但非限制性，各種形式之非依電性儲存媒體(例如，光學、磁性或半導體儲存媒體)但再度不包括過渡媒體。除非上下文另行明白要求，全文描述中，「包含」、「包含有」等詞須解譯 為含括意義而與排它或無遺漏意義相反；換言之，表示「包括，但非限制性」。使用單數形或複數形字眼分別也包括複數形或單數形。此外，「此處」、「後文」、「上文」、「下文」及類似意義的字眼表示本案全體而非指本案之特定部分。當「或」一詞用以述及二或多項之一列表時，該詞涵蓋下列詞彙之全部解譯：該列表中之該等項目中之任一者、該列表中之該等項目中之全部、及該列表中之該等項目中之任一項組合。

雖然本文揭示之某些目前較佳實施例已經特別於此處描述，但熟諳技藝人士顯然易知不背離本文揭示之精髓及範圍可做出此處顯示的及描述的各種實施例之變化及修正。據此，意圖本文揭示係備受適用法條要求之程度所限。

雖然前文已經參考本發明之特定實施例，但熟諳技藝人士將瞭解不背離本文揭示之原理及精髓可於本實施例中做出改變，本文揭示之範圍係由隨附之申請專利範圍界定。

100‧‧‧威脅及防禦迴避模擬系統

102A-N‧‧‧網路

104‧‧‧通訊路徑

106‧‧‧威脅及防禦迴避系統

106A‧‧‧威脅及迴避模擬組件

108‧‧‧儲存

Claims (25)

1. 一種用於模型化電腦及網路威脅之方法，其包含：接收有關將受保護免於威脅之一個體之資訊，該個體為一應用程式及一作業系統中之一者；接收有關用於保護該個體之一或多個安全性產品之資訊；及模型化各個安全性產品以識別不被前述安全性產品所停止之一或多個探勘(exploit)。
2. 如請求項1之方法，其中模型化各個安全性產品進一步包含使用一變換式用於模型化各個安全性產品。
3. 如請求項2之方法，其中使用該變換式用於模型化各個安全性產品進一步包含將安全性產品停止一特定探勘之失敗相互關聯。
4. 如請求項1之方法，其進一步包含指示出最佳保護該個體對抗該等一或多個探勘的各個安全性產品。
5. 如請求項1之方法，其進一步包含指示出用以威脅該個體之該等一或多個探勘。
6. 如請求項1之方法，其中該模型化步驟模型化攻擊者起始的攻擊及標靶起始的攻擊中之一者。
7. 如請求項1之方法，其進一步包含產生在該等一或多個安全性產品中之關聯性失敗以檢測不被該等一或多個安全性產品停止之一探勘。
8. 如請求項1之方法，其進一步包含指示出該等一或多個 探勘是否係在一犯罪軟體套組內。
9. 如請求項1之方法，其進一步包含針對各個探勘產生一常見漏洞及暴露程度(CVE)資料。
10. 如請求項9之方法，其進一步包含顯示已知未能使用該CVE資料檢測一探勘之該等安全性產品。
11. 如請求項1之方法，其進一步包含使用該模型化步驟作為一進擊工具及一防禦工具中之一者。
12. 如請求項11之方法，其中使用該模型化步驟作為進擊工具進一步包含識別繞道該等一或多個安全性產品的一或多個工具。
13. 一種用於模型化電腦及網路威脅之裝置，其包含：具有一處理器及一記憶體之一電腦系統；由該處理器執行之一威脅模型化組件；該處理器經組配以接收有關將受保護免於威脅之一個體之資訊，該個體為一應用程式及一作業系統中之一者，及組配以接收有關用於保護該個體之一或多個安全性產品之資訊；及該處理器經組配以模型化各個安全性產品以識別不被前述安全性產品所停止之一或多個探勘。
14. 如請求項13之裝置，其中該處理器經組配以模型化各個安全性產品係進一步包含該處理器經組配以使用一變換式用於模型化各個安全性產品。
15. 如請求項14之裝置，其中該處理器經組配以使用該變換式係進一步包含該處理器經組配以將安全性產品停止 一特定探勘之失敗相互關聯。
16. 如請求項13之裝置，其中該處理器係經組配以指示出最佳保護該個體對抗該等一或多個探勘的各個安全性產品。
17. 如請求項13之裝置，其中該處理器係經組配以指示出用以威脅該個體之該等一或多個探勘。
18. 如請求項13之裝置，其中該處理器係經組配以產生在該等一或多個安全性產品中之關聯性失敗以檢測不被該等一或多個安全性產品停止之一探勘。
19. 如請求項13之裝置，其中該處理器係經組配以指示出該等一或多個探勘是否係在一犯罪軟體套組內。
20. 如請求項13之裝置，其中該處理器係經組配以針對各個探勘產生一常見漏洞及暴露程度(CVE)資料。
21. 如請求項20之裝置，其中該處理器係經組配以顯示已知未能使用該CVE資料檢測一探勘之該等安全性產品。
22. 如請求項13之裝置，其中該處理器係經組配以用作為一進擊工具及一防禦工具中之一者。
23. 如請求項22之裝置，其中該處理器用作為該進擊工具時，係經組配以識別繞道該等一或多個安全性產品的一或多個工具。
24. 如請求項13之裝置，其中該威脅模型化組件係遠離該受保護之個體。
25. 如請求項13之裝置，其中該威脅模型化組件係嵌置於該將受保護之個體所連結之一網路內。