計(jì)算機(jī)網(wǎng)絡(luò)脆弱性評(píng)估技術(shù)研究

摘要：隨著計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)及相關(guān)產(chǎn)品的快速涌現(xiàn)，計(jì)算機(jī)網(wǎng)絡(luò)脆弱性和安全性成為新的問題。本文簡要介紹了幾種計(jì)算機(jī)網(wǎng)絡(luò)脆弱性的評(píng)估方法。

關(guān)鍵詞：計(jì)算機(jī)網(wǎng)絡(luò)；脆弱性；評(píng)估技術(shù)

隨著計(jì)算機(jī)及通信技術(shù)的普及，計(jì)算機(jī)網(wǎng)絡(luò)規(guī)模和應(yīng)用急劇擴(kuò)大。但是，計(jì)算機(jī)網(wǎng)絡(luò)資源管理分散，用戶缺乏安全意識(shí)和有效的防護(hù)手段，各類軟硬件產(chǎn)品和網(wǎng)絡(luò)信息系統(tǒng)普遍存在脆弱性。因此，計(jì)算機(jī)網(wǎng)絡(luò)安全脆弱性評(píng)估在網(wǎng)絡(luò)安全領(lǐng)域受到廣泛研究。目前，在計(jì)算機(jī)網(wǎng)絡(luò)脆弱性評(píng)估領(lǐng)域存在脆弱性提取、量化指標(biāo)建立、評(píng)估方法確定等各方面都受到人們的關(guān)注。本文就以下幾個(gè)方面進(jìn)行分析、探討。

1、基于規(guī)則的拓?fù)浯嗳跣苑治?/p>

2005年，Vipin等提出提出一種基于規(guī)則的拓?fù)浯嗳跣苑治龇椒āＴ摲椒ǘx了一種不干擾規(guī)則，單獨(dú)攻擊為一種基于規(guī)則系統(tǒng)的轉(zhuǎn)移規(guī)則，用狀態(tài)節(jié)點(diǎn)表示計(jì)算機(jī)網(wǎng)絡(luò)的配置信息和攻擊者的能力。根據(jù)規(guī)則集屬性匹配關(guān)系，提供了一種有效的脆弱性分析算法，實(shí)現(xiàn)了網(wǎng)絡(luò)中的攻擊路徑，具有較好的可擴(kuò)展性。

2、基于模型的評(píng)估方法

基于模型的評(píng)估方法為整個(gè)網(wǎng)絡(luò)建立評(píng)估模型，對(duì)整個(gè)網(wǎng)絡(luò)進(jìn)行形式化描述。Schneier等局域攻擊樹的安全模式對(duì)系統(tǒng)安全進(jìn)行形式化分析。這種攻擊樹為系統(tǒng)所面l臨的安全威脅和可能受到的攻擊提供了一種條理清晰的分析方法。自下而上的結(jié)構(gòu)清晰的描述了系統(tǒng)的攻擊過程。為解決網(wǎng)絡(luò)安全優(yōu)化加固的問題，Dewri等提出了一種針對(duì)網(wǎng)絡(luò)攻擊樹模型的多目標(biāo)優(yōu)化。通過定義屬性模版對(duì)網(wǎng)絡(luò)中的原子屬性分類，根據(jù)攻擊樹而設(shè)定安全控制模型，通過修改攻擊樹屬性達(dá)到阻止攻擊的目的。Phillips等提出了一種基于圖論分析網(wǎng)絡(luò)安全漏洞和網(wǎng)絡(luò)攻擊行為的方法，根據(jù)攻擊圖的網(wǎng)絡(luò)脆弱性評(píng)估方法，指出目前研究中存在的局限性。攻擊圖是反映網(wǎng)絡(luò)安全狀況的有效手段，是網(wǎng)絡(luò)安全環(huán)境的直觀表現(xiàn)，明確反映出了網(wǎng)絡(luò)安全狀況的薄弱環(huán)節(jié)，具有強(qiáng)大的數(shù)學(xué)處理能力，為網(wǎng)絡(luò)安全提供分析依據(jù)。

3、基于入侵路徑的網(wǎng)絡(luò)安全性評(píng)估

大多數(shù)網(wǎng)絡(luò)入侵事件是一個(gè)層次入侵的過程，雖然真正的目標(biāo)主機(jī)難以直接攻破的，但是和它相關(guān)的其他機(jī)器由于配置不當(dāng)或存在某種程度的不信任關(guān)系可能存在安全脆弱性。黑客從薄弱環(huán)節(jié)入手，基于層次入侵的思想逐步提高自己的權(quán)限，最終控制目標(biāo)機(jī)器。0rtalo等給出了相關(guān)的評(píng)估算法，可以計(jì)算出從初始結(jié)點(diǎn)成功入侵到目標(biāo)結(jié)點(diǎn)的代價(jià)值。該評(píng)估方法考慮了網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)以及主機(jī)間的依賴關(guān)系，也提出了相關(guān)的算法對(duì)網(wǎng)絡(luò)脆弱性進(jìn)行了一定的評(píng)估。一般情況下，從網(wǎng)絡(luò)管理員的角度對(duì)已知網(wǎng)絡(luò)進(jìn)行脆弱性分析及量化評(píng)估，很難對(duì)評(píng)估一個(gè)不知道網(wǎng)絡(luò)結(jié)構(gòu)及其內(nèi)部主機(jī)信息的敵方網(wǎng)絡(luò)的安全性，只有以入侵者的身份逐步入侵?jǐn)撤骄W(wǎng)絡(luò)，逐步獲取相關(guān)信息。但是這種評(píng)估很難進(jìn)行，且準(zhǔn)確性有待進(jìn)一步驗(yàn)證。

4、運(yùn)用層次分析法的網(wǎng)絡(luò)脆弱性評(píng)估

劉懷亮等結(jié)合行業(yè)標(biāo)準(zhǔn)，根據(jù)Internet的特點(diǎn)，確定安全評(píng)價(jià)準(zhǔn)則、威脅因子、評(píng)價(jià)指標(biāo)，建立安全評(píng)價(jià)體系。并針對(duì)竊聽、偷竊、廢物搜尋、間諜行為、身份識(shí)別、安全服務(wù)、配置、木馬、病毒、算法問題、隨意口令等，將目標(biāo)網(wǎng)絡(luò)作為整體來考慮，將各因素施加在該整體上，建立層次評(píng)價(jià)結(jié)構(gòu)，進(jìn)行Internet安全性評(píng)估。

5、基于網(wǎng)絡(luò)中心性的計(jì)算機(jī)網(wǎng)絡(luò)脆弱性評(píng)估

賈煒等提出一種基于網(wǎng)絡(luò)中心的計(jì)算機(jī)網(wǎng)絡(luò)脆弱性評(píng)估方法，對(duì)攻擊者利用脆弱性攻擊所花費(fèi)的代價(jià)進(jìn)行量化評(píng)估，根據(jù)評(píng)估結(jié)果進(jìn)行最小攻擊代價(jià)路徑分析。在文中引入網(wǎng)絡(luò)中心理論，對(duì)攻擊圖節(jié)點(diǎn)關(guān)鍵程度進(jìn)行量化分析，進(jìn)而判斷對(duì)網(wǎng)絡(luò)安全產(chǎn)生的影響，為安全優(yōu)化計(jì)算機(jī)網(wǎng)絡(luò)提供依據(jù)。

6、基于貝葉斯網(wǎng)絡(luò)的評(píng)估方法

貝葉斯網(wǎng)絡(luò)是將多元知識(shí)圖解可視化的一種概率知識(shí)表達(dá)與推理模型，可以判斷網(wǎng)絡(luò)節(jié)點(diǎn)變量間的因果關(guān)系及條件相關(guān)關(guān)系。Marcel等提出用貝葉斯網(wǎng)絡(luò)和攻擊圖度量網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，精確推理計(jì)算了攻擊路徑成功的概率。Xie等通過對(duì)脆弱性利用和攻擊者實(shí)施攻擊行為的不確定性建模分析了評(píng)估網(wǎng)絡(luò)系統(tǒng)的安全風(fēng)險(xiǎn)，提出了一種基于貝葉斯網(wǎng)絡(luò)的系統(tǒng)安全評(píng)估方法。針對(duì)攻擊結(jié)構(gòu)的不確定性、攻擊行為的不確定性和報(bào)警的不確定性進(jìn)行分析，引入本地檢測(cè)模型描述安全檢測(cè)行為。

7、基于脆弱點(diǎn)依賴圖的脆弱性評(píng)估

馬俊春等為彌補(bǔ)目前網(wǎng)絡(luò)脆弱性評(píng)估簡單、評(píng)估結(jié)果不準(zhǔn)確的缺陷，提出一種基于脆弱點(diǎn)依賴圖的網(wǎng)絡(luò)脆弱性評(píng)估方法，并開發(fā)了相應(yīng)的評(píng)估系統(tǒng)。該方法將通用弱點(diǎn)評(píng)價(jià)體系和目標(biāo)網(wǎng)絡(luò)脆弱點(diǎn)依賴圖結(jié)合起來，實(shí)現(xiàn)了對(duì)網(wǎng)絡(luò)脆弱性的客觀評(píng)價(jià)。此外，在計(jì)算時(shí)，脆弱性可利用性和脆弱性影響分別計(jì)算，與實(shí)際網(wǎng)絡(luò)中的脆弱點(diǎn)依賴圖結(jié)合，使計(jì)算值更有參考價(jià)值。