可信計算技術對抗非預知病毒的原理與應用

王樂東+李孟君+葉忠

摘 要：論文介紹了可信計算技術的研究進展與發展趨勢，結合勒索病毒等非預知病毒木馬的行為特征，分析了可信計算主動防御機制在識別非預知病毒木馬，阻止其執行破壞，阻斷其傳播感染等方面的先進性，指出了可信計算技術及其產品是應對網絡攻擊和病毒侵襲的有效手段，是構建網絡空間主動防御體系的有力支撐。

關鍵詞：可信計算；信息安全；主動防御；病毒木馬；網絡攻擊

中圖分類號：TP 309. 1 文獻標識碼：A

1 引言

網絡安全的威脅來源和攻擊手段不斷變化，傳統安全技術和被動防御手段面臨巨大挑戰，網絡空間信息安全形勢越來越嚴峻。2017年5月，勒索病毒短短幾小時就席卷了全球至少150個國家、30萬名用戶，近百個國家的政府、高校、醫院、個人等機構受到感染，引發了迄今為止網絡世界最大的安全危機。2017年6月，新型勒索病毒Petya又開始肆虐，多國的政府、銀行、電力系統、通訊系統等多個行業受到不同程度的影響。勒索病毒正是利用操作系統漏洞“永恒之藍”攻擊工具，進行全自動化攻擊傳播。因此，計算機硬件結構和操作系統的安全是信息安全的基礎，只有從信息系統的硬件和操作系統層面采取防護措施，保證計算機系統所提供的服務是可信的、可用的、信息和行為上是安全的，才能確保信息系統和整個網絡的安全。

2 可信計算技術的研究進展

可信計算[1，2]是指計算運算的同時進行安全防護，使操作和過程行為在任意條件下的結果總是與預期一樣，計算全程可測可控，不被干擾。改變只講求計算效率，而不講安全防護的片面計算模式，是一種運算和防護并存，自我免疫的新計算模式，能夠保證計算機系統所提供的服務是可以論證其是可信賴的，也就是指從用戶角度看，計算機系統所提供的服務是可信賴的，而且這種可信賴是可論證的。

可信計算3.0理論[3]認為，安全問題的根源在于攻擊者利用系統設計邏輯缺陷，使系統運行偏離了正常邏輯，而這個步驟的實現必然伴隨著外來可執行實體的介入。可信計算能夠全面可靠地記錄合法的可執行實體，一旦發現未知實體即阻止其運行，對實體的各種行為進行細粒度審計，并與強制訪問控制策略相結合，實現對重要數據的安全受控訪問，從而保證系統漏洞不被利用，數據不被破壞，保證系統和數據安全。

可信計算3.0技術[4]致力于建設包括硬件、固件、操作系統、應用在內的安全可信的計算環境，用密碼實施身份識別、狀態度量、保密存儲，及時識別“自己”和“非已”成份，主動破壞與排斥進入機體的有害物質，實現“邊計算、邊監控”的雙體系結構，消除系統特權，能夠在系統存在漏洞時有效防護系統安全和數據安全，確保計算機系統所提供的服務是可靠的、可用的、信息和行為上是安全的。

3 非預知病毒的行為特征分析

近期的勒索病毒WannaCry和新型勒索病毒Petya等非預知病毒特點明顯，它有蠕蟲性質，傳播速度更快范圍更廣，全程自動化攻擊行為更隱蔽，感染無法補救危害程度深。

勒索病毒WannaCry創建名為操作系統Microsoft Security Center （2.0） Service的新服務，對應執行文件病毒母體mssecsvc.exe，又同時釋放敲詐者程序、提權程序和解密勒索程序等多個子程序。該病毒通過操作系統445網絡端口（文件共享）進行傳播，一旦某個電腦被感染，同一網絡內的主機都會被攻擊。與一般病毒以釣魚郵件、網站惡意廣告傳播方式不同，勒索病毒通過正常的網絡文件共享端口傳播，感染后病毒開啟操作系統的正常服務，傳統防護手段無法及時識別立即處置。

在用戶不需要任何操作的情況下，勒索病毒自動掃描開放的文件共享端口，植入惡意程序并執行。只要操作系統漏洞存在，且網絡可達，勒索病毒均能實施攻擊傳播感染，新目標機中招后，該機又作為攻擊機不停地進行網絡攻擊擴散，甚至攻擊多用戶訪問的相關應用數據服務器，極易造成嚴重的大面積感染情況。

與一般病毒不同，勒索病毒使用高強度的RSA和AES加密算法，會將計算機中如圖片、文檔、壓縮包、音頻、視頻等178種擴展名文件加密，用戶一旦中招，基本無法破解。即使殺毒軟件提取病毒樣本特征后，完成病毒庫升級，刪除了勒索病毒，但也無法幫用戶解密數據，致使用戶遭受巨大的損失。

4 可信計算主動防御的先進性

4.1 傳統被動防護手段

以防火墻、入侵檢測和病毒防護為主的傳統的信息安全技術僅僅只是從外部對企圖共享信息資源的非法用戶和越權訪問進行封堵，以達到防止外部攻擊的目的。

勒索病毒事件發生后，臨時或應急手段主要包括升級操作系統安全補丁、關閉445等網絡端口和服務、升級針對勒索病毒的病毒庫、離線備份用戶數據等措施。

然而此次勒索病毒屬于未知病毒，尤其這次勒索病毒全程自動化攻擊、傳播速度更快、攻擊行為更隱蔽，傳統“封堵查殺”難以應對利用邏輯缺陷的攻擊，被動防御手段只有收集到病毒樣本，提取樣本特征，才能建立防御，故勒索病毒不到兩天就席卷了全球。感染后無法補救，即使病毒被查殺，已被加密的文件也無法恢復，造成了巨大影響，充分暴露了傳統被動防御手段面對操作系統級新漏洞與攻擊方法的被動滯后問題。

4.2 可信計算主動防御手段

可信計算及其產品[4-6]采用主動免疫系統防御機制，根據主體的行為歷史記錄和當前行為特征來動態判斷主體的可信度，確定主體行為是否違規、越權以及超過范圍等，主體的可信性定義為其行為的預期性，軟件的行為可信性劃分級別，通過信息鏈傳遞。信任鏈是通過構建一個信任根，從信任根開始到硬件平臺、到操作系統、再到應用，一級認證一級，一級信任一級，從而把這種信任擴展到整個計算機系統，結合可信測量、可信存儲、可信報告機制，保證系統的可靠性、可用性、信息和行為的安全性。

提供執行程序實時可信度量，控制非授權及不符合預期的執行程序運行，實現對已知/未知惡意代碼的主動防御。將計算機硬件、固件、操作系統、應用軟件在內的安全可信的計算環境識別為“自己”，一切如勒索病毒等未知病毒、木馬或非法程序，均會及時識別為“非已”成份，自動破壞與排斥進入機體的有害物質。實現“邊計算、邊監控”的雙體系結構，消除系統特權，計算節點可信、網絡通信可信、業務操作可信，能夠在系統存在漏洞時有效防護系統安全和數據安全，有效對抗偵察襲擾、病毒發作、網絡攻擊，阻止勒索病毒母體及其子程序的運行，控制和隔離勒索病毒，防止其網絡傳播擴散。

在不依賴病毒樣本特征、不安裝系統補丁、不關閉網絡端口、不升級殺毒軟件的情況下，可信計算主動防御手段能夠及時識別勒索病毒，阻止其執行破壞，阻斷其傳播感染，具有對操作系統漏洞級非預知病毒木馬的防御能力。

5 結束語

類似的非預知病毒木馬的攻擊和危害不會馬上停止，解決信息系統安全問題，必須從核心技術不能受制于人的高度，加強自主創新，可信計算3.0技術體系及其產品具有主動免疫、動態防御、快速響應等特點，可有效應對非預知病毒木馬等惡意軟件，是建立網絡空間以可信計算為基礎、自主可控為目標、安全免疫為特征主動防御體系的有力支撐。

參考文獻

[1] 沈昌祥，張煥國，王懷民，等.可信計算的研究與發展[J].中國科學：信息科學，2010.

[2] 沈昌祥，陳興蜀.基于可信計算構建縱深防御的信息安全保障體系[J].四川大學學報（工程科學版），2014.

[3] 沈昌祥.用可信計算3.0筑牢網絡安全防[J].信息安全研究，2017.

[4] 蔡誼.軍民融合的軍隊可信計算標準[J].信息安全研究，2017.

[5] 安寧鈺，王志皓，趙保華.可信計算技術在電力系統中的研究與應用[J].信息安全研究，2017.

[6] 孫瑜，王溢，洪宇.可信軟件基技術研究及應用[J].信息安全研究，2017.endprint