基于區(qū)塊鏈技術的網(wǎng)絡安全漏洞檢測方法設計

張磊，周泓雨

（西安交通工程學院，陜西 西安 710300）

0 引言

互聯(lián)網(wǎng)的發(fā)展推動了計算機技術的進步，各種各樣的移動終端技術層出不窮，方便用戶獲取信息的同時也使用戶面臨著嚴重的網(wǎng)絡安全問題。近幾年，我國也越來越重視網(wǎng)絡安全維護，投入大量的維護資金，但始終無法解決軟件開發(fā)或軟件使用過程中的網(wǎng)絡漏洞問題，因此，進行網(wǎng)絡安全漏洞檢測是當前環(huán)境下的必然選擇。常規(guī)的網(wǎng)絡安全漏洞檢測技術主要是使用一些特定的源代碼進行檢測，但是受檢測環(huán)境的影響，其檢測敏感性較差，不能滿足網(wǎng)絡安全漏洞的高精度檢測需求，因此需要設計新的網(wǎng)絡安全漏洞檢測方法。

研究表明，網(wǎng)絡安全漏洞不僅會造成信息泄露，而且還會給軟件帶來不明攻擊，造成嚴重的資金損失。區(qū)塊鏈技術可以使用同態(tài)加密進行敏感性檢測，形成有效的網(wǎng)絡安全漏洞檢測溯源算法，從而有效地提高檢測精度，該技術還可以聯(lián)合共享密鑰，實現(xiàn)網(wǎng)絡安全漏洞動態(tài)化檢測，因此，本文研究方法可為后續(xù)的網(wǎng)絡安全維護提供一定的參考。

1 網(wǎng)絡安全漏洞檢測方法

1.1 選取網(wǎng)絡安全漏洞檢測掃描工具

進行有效的漏洞檢測掃描是提高網(wǎng)絡安全漏洞檢測精度的關鍵所在，因此需要選取有效的網(wǎng)絡安全漏洞檢測掃描工具。需要基于網(wǎng)絡安全性原則對掃描器進行分類，第一種是網(wǎng)絡掃描器，該掃描器可以隨時探測目標網(wǎng)絡中的攻擊源頭，尋找網(wǎng)絡漏洞，完成網(wǎng)絡安全漏洞檢測。此外，該掃描器的靈活性較高，適應性較廣，本文根據(jù)Nessus 對其進行了優(yōu)化設計，示意圖如圖1所示。

由圖1 可知，該網(wǎng)絡掃描器可以由控制臺發(fā)送控制消息，傳輸?shù)礁鱾€檢測中心完成漏洞掃描，提高網(wǎng)絡安全漏洞檢測精度。第二種是主機掃描器，主機掃描器可以將本機作為網(wǎng)絡漏洞檢測目標，通過檢查網(wǎng)絡內(nèi)部安全補丁的組成情況來完成網(wǎng)絡安全漏洞檢測。第三種是服務掃描器，該掃描器具有開放的掃描端口，可以隨時分析可能存在的攻擊入口，完成漏洞檢測。第四種是數(shù)據(jù)庫掃描器，該掃描器可以針對數(shù)據(jù)庫的弱點進行深入比較，判斷網(wǎng)絡安全漏洞所在的具體位置。除了上述網(wǎng)絡安全漏洞檢測掃描工具，本文還額外使用了新型Nessus安全漏洞掃描器，以便隨時找到安全漏洞，降低風險指數(shù)，實現(xiàn)高精度漏洞檢測，該漏洞檢測器添加了Client /Sever 模塊，可以運行在Unix 主機中，除此之外，該漏洞檢測器還含有特定的運行插件，可以更加快速地檢測到網(wǎng)絡安全漏洞，提高漏洞檢測精度。

圖1 網(wǎng)絡掃描器優(yōu)化設計圖

1.2 基于區(qū)塊鏈技術設計網(wǎng)絡安全漏洞檢測算法

其中，代表初始輸入安全系數(shù)，U 代表漏洞檢測屬性集，（PK，MSK）代表安全私鑰，可以假設階循環(huán)群為，生成元為，此時存在雙向映射作用，存在、兩個隨機選擇因子，對應的安全密鑰PK、MSK 分別如式（2）（3）所示：

式（2）（3）中，代表屬性參數(shù)，，，…，h代表私鑰集群元素，結合區(qū)塊鏈溯源參數(shù)可以生成符合安全漏洞檢測屬性的私鑰，將該私鑰帶入用戶屬性中心，此時輸出的區(qū)塊鏈溯源檢測私鑰SK 如式（4）所示：

其中，g代表用戶屬性隨機輸出值，對該輸出值進行區(qū)塊鏈加密，輸入加密明文，此時會得到一階加密輸出密文CT，在加密過程中，會生成若干個訪問矩陣，這些訪問矩陣一一對應著相關的密文信息，此時可以創(chuàng)建最終的安全漏洞檢測密文，如式（5）所示：

其中，g 代表共享檢測份額，使用該檢測密文可以加密動態(tài)檢測因子，更新檢測信息，但存在一定的解密難度，一旦相關的檢測解密集不滿足輸出明文要求就難以進行后續(xù)的檢測，因此本文設計的方法額外計算了解密參數(shù)，為后續(xù)的安全漏洞檢測奠定基礎，該解密參數(shù)的計算方法如式（6）所示：

1.3 構建網(wǎng)絡安全漏洞檢測平臺

實現(xiàn)網(wǎng)絡安全漏洞檢測的最后一步是構建網(wǎng)絡安全漏洞檢測平臺，結合網(wǎng)絡安全漏洞檢測的基本情況和所獲得的共享安全密鑰選取安全漏洞檢測平臺的環(huán)境，設計網(wǎng)絡安全漏洞檢測平臺的基礎架構，如圖2所示。

圖2 網(wǎng)絡安全漏洞檢測平臺架構

由圖2 可知，本文設計的網(wǎng)絡安全漏洞檢測平臺由預處理、UI 遍歷、攻擊測試三個基礎模塊組成，可以有效地進行網(wǎng)絡安全漏洞檢測，降低網(wǎng)絡安全動態(tài)檢測難度。

預處理模塊采用靜態(tài)代碼分析法結合區(qū)塊鏈特征匹配技術完成數(shù)據(jù)集處理，篩選出相關的漏洞特征，完成漏洞初步匹配。UI 遍歷模塊可以驅動應用程序進行自動化網(wǎng)絡安全漏洞檢測，擴展應用測試框架，實現(xiàn)動態(tài)化檢測，提高網(wǎng)絡安全漏洞檢測的敏感性。攻擊測試模塊主要使用Fiddler、MITMProxy、Burp Suite 等代理工具截取網(wǎng)絡通信數(shù)據(jù)包，完成漏洞攻擊測試。上述模塊相互協(xié)調，共同進行高精度動態(tài)化網(wǎng)絡安全漏洞檢測，保證了網(wǎng)絡維護的有效性。

2 對比實驗

為驗證本文所設計網(wǎng)絡安全漏洞檢測方法的實際檢測效果，搭建了相關的網(wǎng)絡安全漏洞檢測平臺，將其與常規(guī)的網(wǎng)絡安全漏洞檢測方法進行對比，實驗詳情如下。

2.1 實驗準備

根據(jù)實驗需求，本文確定了測試相似度閾值，使用Python、Java 搭建了網(wǎng)絡安全漏洞動態(tài)檢測平臺，該平臺內(nèi)部含有高效過濾腳本，可以有效地篩選測試樣本，除此之外，該實驗平臺在Unix、Ubuntu 等環(huán)境下均可有效地進行檢測。在開始實驗前，本文預先調試的實驗平臺參數(shù)，調試后實驗平臺的環(huán)境信息如表1所示。

表1 實驗平臺環(huán)境

由表1 可知，該實驗平臺的實驗環(huán)境符合后續(xù)的實驗需求，結合實驗環(huán)境內(nèi)的網(wǎng)絡拓撲組成情況，可以搭建實驗測試結構，如圖3所示。

圖3 實驗測試結構

由圖3 可知，上述測試環(huán)境可以分為內(nèi)網(wǎng)和Internet 網(wǎng)，兩個網(wǎng)絡環(huán)境通過防火墻相連，實驗環(huán)境內(nèi)設置了Apache服務器、FTP 服務器，為實驗提供Web 支持，本實驗使用OVAL 在測試平臺中放置安全漏洞，模擬真實的網(wǎng)絡運行環(huán)境，本文放置的漏洞參數(shù)如表2所示。

表2 漏洞參數(shù)

由表2 可知，本文共放置了十組不同漏洞數(shù)量的測試主機，能夠有效降低隨機性對實驗結果造成的影響，提高實驗的有效性。整個實驗均使用H0 基礎攻擊法進行攻擊，利用遠程Web 漏洞獲取測試平臺中的權限，再滲透至各個測試主機。為了提高實驗的準確性，本文模擬的漏洞攻擊算法首先使用root 分解為兩個初始user，再由兩個初始user 進一步分解，重新獲取root 權限，重復上述步驟直至完全獲取主機權限，形成攻擊漏洞，在漏洞形成的過程中需要排除冗余節(jié)點對其造成的影響，明確攻擊之間復雜的關聯(lián)性，降低網(wǎng)絡安全漏洞檢測難度，為后續(xù)的實驗奠定基礎。

2.2 實驗結果

在上述搭建的實驗環(huán)境中可以進行網(wǎng)絡安全漏洞檢測實驗，即分別使用本文設計的基于區(qū)塊鏈技術的網(wǎng)絡安全漏洞檢測方法和常規(guī)的網(wǎng)絡安全漏洞檢測方法進行檢測，檢測主機H1 ～H10 中放置漏洞的檢出數(shù)量，實驗結果如表3所示。

表3 實驗結果

由表3 可知，本文設計的基于區(qū)塊鏈技術的網(wǎng)絡安全漏洞檢測方法，檢測到的放置漏洞數(shù)量與實際漏洞數(shù)量一致，而常規(guī)的網(wǎng)絡安全漏洞檢測方法，漏洞檢出數(shù)量與實際漏洞數(shù)量存在較大差異，這證明所設計的網(wǎng)絡安全漏洞檢測方法的檢測敏感性較高，滿足網(wǎng)絡安全漏洞的檢測精度需求。

3 結論

綜上所述，一旦出現(xiàn)網(wǎng)絡安全漏洞會造成較為嚴重的信息泄露事故，但常規(guī)的網(wǎng)絡安全漏洞檢測方法的檢測敏感性較低，不能滿足網(wǎng)絡安全漏洞檢測精度需求，因此本文基于區(qū)塊鏈技術設計了新的網(wǎng)絡安全漏洞檢測方法，實驗結果表明，本文設計的網(wǎng)絡安全漏洞檢測方法的漏洞檢出數(shù)量與實際漏洞數(shù)量一致，證明該方法的檢測敏感性較高，檢測精度符合網(wǎng)絡安全漏洞檢測需求，有一定的應用推廣價值，可以作為后續(xù)網(wǎng)絡安全維護的參考。