基于攻擊圖的公安網(wǎng)絡(luò)安全風(fēng)險評估及防范

房希亮

（長春市公安局，吉林 長春 130000）

0 前言

當(dāng)前，網(wǎng)絡(luò)安全領(lǐng)域建設(shè)中主要是以模型和規(guī)則為基礎(chǔ)的網(wǎng)絡(luò)風(fēng)險評估模式。風(fēng)險評估也是對網(wǎng)絡(luò)風(fēng)險的辨析與分析過程，評估對象是對網(wǎng)絡(luò)風(fēng)險的資產(chǎn)和漏洞以及存在的潛在威脅概率進(jìn)行評測，而在攻擊圖中則是利用鄰接矩陣和頂點與有向邊來表示。基于Agent 網(wǎng)絡(luò)安全風(fēng)險評估模型較強的社會性與協(xié)作性，以及自治性等特性建立起來的結(jié)構(gòu)攻擊圖更有效。

1 公安網(wǎng)絡(luò)安全風(fēng)險評估方法現(xiàn)狀

伴隨網(wǎng)絡(luò)技術(shù)在社會中的運用越加廣泛，其網(wǎng)絡(luò)安全建設(shè)也必須受到重視。網(wǎng)絡(luò)安全建設(shè)的分析模式有分析TCP/IP 網(wǎng)絡(luò)協(xié)議中產(chǎn)生的漏洞以及分析網(wǎng)絡(luò)程序代碼。兩種方法進(jìn)行比較，會發(fā)現(xiàn)后一種方法更簡單、更容易，而且只需要對網(wǎng)絡(luò)安全中存在的脆弱性進(jìn)行分析，并將漏洞彌補，則可以提高網(wǎng)絡(luò)安全程度。利用攻擊圖就是一種方法，攻擊圖可以研究每一個網(wǎng)絡(luò)節(jié)點中與子節(jié)點之間的相互關(guān)系，從而分析節(jié)點是否存在風(fēng)險。

利用網(wǎng)絡(luò)構(gòu)圖模型，使攻擊圖的分析更簡單、更方便。本文對結(jié)構(gòu)攻擊圖進(jìn)行分析后，提出一個可行的系統(tǒng)原型，從而達(dá)到對攻擊圖的分析效果。

2 攻擊圖的生成算法

攻擊圖的生成方法主要有以下幾種：手動繪制攻擊圖，或者讓程序自動繪畫，亦或利用專家系統(tǒng)分析法、符號模型檢測法、定理證明法。其他方法相較于符號模型檢測法而言，其整體操作過程并不枯燥，但卻很容易出現(xiàn)紕漏。如果沒有使用正確的方法或者方程式，則對于網(wǎng)絡(luò)安全建立的漏洞會存在一定的爭議。符號模型檢測法在具體使用過程中，可以建立在自己的引擎上。因此，可以設(shè)立正規(guī)的方程式，以保證計算出來的結(jié)果能夠覆蓋所有的攻擊路徑。

SMV 模型算法分為前向、后向兩種搜索算法，比如最常用的NuSMV 算法則屬于后向搜索，這種算法從開始建立結(jié)構(gòu)攻擊圖后逐步達(dá)到初始狀態(tài)。這種算法的優(yōu)點在于安全屬性不相關(guān)的漏洞不會被偵查到，這樣產(chǎn)生的節(jié)點路徑也會減少，從而縮小空間。Swiler 算法如圖1 所示。

圖1 攻擊圖后向搜索算法演示

這種方法首先利用目標(biāo)節(jié)點無限向前方延伸，之后從一個節(jié)點到達(dá)另外一個節(jié)點，以此計算路徑，并以此類推。在獲得全新的節(jié)點后，再往前推直到下一個初始節(jié)點。

另外，前向搜索算法也是修改后的NuSMV 模型檢測算法，也被稱之為GMU/NuSMV 算法，這種算法則是在初始狀態(tài)中直接搜索，而且這種算法的優(yōu)點是能生成一個完全攻擊圖，包含所有可能產(chǎn)生的攻擊。這種算法的缺點則是在進(jìn)行狀態(tài)計算過程中并不明顯，而且狀態(tài)數(shù)值過大，計算時間過長，具體如圖2 所示。

圖2 攻擊圖前向搜索算法演示

從每一個節(jié)點開始向相鄰節(jié)點無限延伸，圖2 則依次從a 延伸到（b），再延伸到（c）和（d），直至最終達(dá)到（e）。這種攻擊圖的算法也就是所謂的貪婪算法，其空間與時間的復(fù)雜程度會被大大提高。對比圖2，圖1 的算法將更簡單。上述GMU/NuSMV 算法具體表示如下。

攻擊開始：

（1）必須在主機S 上獲得普通權(quán)限，也就是USER 權(quán)限，只有獲得權(quán)限后才能使用該主機。

（2）并沒有獲得主機T 的ROOT 權(quán)限，因此不能提升權(quán)限。

網(wǎng)絡(luò)要求的前提條件如下：在主機S 到主機T 之間開放端口，網(wǎng)絡(luò)如果不能相連，則攻擊也無法進(jìn)行。

攻擊結(jié)果：

（1）先在主機T 上獲得最高ROOT 權(quán)限。

（2）主機S 到主機T 不能訪問服務(wù)器。

在攻擊結(jié)束后，通過上述算法可以打開一條攻擊路徑，多個攻擊路徑組合成完整的攻擊圖。在對攻擊圖分析研究中，發(fā)現(xiàn)根據(jù)網(wǎng)絡(luò)攻擊路徑分析法所生成網(wǎng)絡(luò)攻擊圖形成的時間會更長，對于空間的要求也會提升。Ammann 方法本身對空間與時間的建設(shè)復(fù)雜性較高，而且建立的模型也更復(fù)雜。如果網(wǎng)絡(luò)較大，則會嚴(yán)重影響程序的運行效率。

3 攻擊圖應(yīng)用于公安網(wǎng)絡(luò)安全風(fēng)險評估的具體過程

在漏洞掃描過程中利用Nessus、Xscan、Saint 等軟件，能掌握更全面的數(shù)據(jù)，其中也包括操作系統(tǒng)、網(wǎng)絡(luò)配置信息及開放端口，這樣能在掃描過程中提供計算機的漏洞數(shù)據(jù)。在掃描網(wǎng)絡(luò)過程中，可以了解各漏洞節(jié)點的數(shù)據(jù)信息，也可以將節(jié)點初始化（S，D，V），其中S 與D 作為互通主機，而V 則是D 中可能存在的漏洞。利用二元組（H，C）進(jìn)行展示，其中H 是主機，C 表示可能存在的一切攻擊條件。在滿足某個條件后，初始節(jié)點才會沿著兩邊達(dá)到中間節(jié)點，并走向最終目標(biāo)節(jié)點。上節(jié)點利用GMU/NuSMV算法，才用前向廣度搜索算法繪制一個簡單的攻擊圖，如圖3所示。

圖3 簡單攻擊

從圖3 數(shù)據(jù)中不難看出，主機H 滿足攻擊條件C 后，節(jié)點便會不斷深入，從初始節(jié)點開始向其他各節(jié)點滲透，再連接各節(jié)點，最終達(dá)到目標(biāo)節(jié)點，到此便生成一個簡單的攻擊圖。另外，也可以利用后向算法設(shè)計一條路徑，其對應(yīng)的一條攻擊路徑也就是安全人員需要進(jìn)行防范的地方。

4 攻擊圖應(yīng)用于公安網(wǎng)絡(luò)安全風(fēng)險評估的系統(tǒng)實現(xiàn)

針對本文上述的各種情況，我們建立起一個原始系統(tǒng)用于分析網(wǎng)絡(luò)安全中存在的漏洞以及生成攻擊圖，系統(tǒng)主要有以下4個模塊。

（1）信息掃描模塊。在對網(wǎng)絡(luò)中的各主機進(jìn)行漏洞掃描后，獲得各節(jié)點的信息數(shù)據(jù)，以此建立攻擊圖。先利用Nessus 掃描軟件對數(shù)據(jù)系統(tǒng)進(jìn)行收集，因為其本身屬于開源系統(tǒng)，所以在掃描過程中性能會更優(yōu)越，漏洞信息庫也能滿足安全需求。

（2）信息儲存與整理模塊。將需要的漏洞數(shù)據(jù)整理后，再與各節(jié)點的數(shù)據(jù)保存并存儲在數(shù)據(jù)庫中，最終形成攻擊圖。在該過程中，可以利用MySQL 數(shù)據(jù)庫，因為該數(shù)據(jù)庫是開源免費的，對于小型數(shù)據(jù)的建設(shè)能提供更好的穩(wěn)定性。

（3）攻擊圖自動生成模塊。利用模型檢測算法可以對各節(jié)點進(jìn)行廣度貪婪搜索，從而將攻擊路徑存儲在數(shù)據(jù)庫中。

（4）攻擊圖繪畫模塊。.NET 中的GDI+API 作為如今最新的圖像生成技術(shù)，利用這項技術(shù)可以繪畫出完整的攻擊圖。

5 基于攻擊圖技術(shù)的公安網(wǎng)絡(luò)安全的防范

對于上述網(wǎng)絡(luò)系統(tǒng)安全管理存在的問題，也可以采用以下措施強化網(wǎng)絡(luò)系統(tǒng)運行過程中的安全程度。

（1）必須完善網(wǎng)絡(luò)安全的管理制度，對于數(shù)據(jù)加密和區(qū)域的分化以及病毒防護(hù)等方面都必須要增強安全意識。

（2）必須要加大專業(yè)人才的培訓(xùn)力度。公安部門要對專業(yè)人才進(jìn)行培訓(xùn)，從而提高專業(yè)人員的專業(yè)能力。只有進(jìn)行技術(shù)培訓(xùn)，才可以提高整體管理團(tuán)隊的技術(shù)水平，并減少網(wǎng)絡(luò)系統(tǒng)安全建設(shè)過程中出現(xiàn)的漏洞。

（3）在增強管理意識的同時，也要同步增強安全管理知識，以此增強警惕性，同時避免網(wǎng)絡(luò)風(fēng)險，強化公安人員的專業(yè)知識并加深理解。

6 結(jié)論

綜上所述，現(xiàn)階段雖然公安部門網(wǎng)絡(luò)系統(tǒng)建設(shè)過程中依然存在安全問題，但可以利用專業(yè)技術(shù)知識建立一套完善的防火墻技術(shù)、監(jiān)控技術(shù)以及病毒防范技術(shù)，通過這些技術(shù)強化公安部門的網(wǎng)絡(luò)系統(tǒng)安全性。在完善攻擊圖的自動生成算法過程中，要提高工作效率，擴(kuò)大漏洞庫的建設(shè)范圍，從而滿足公安網(wǎng)絡(luò)的安全需求。