网络安全脆弱性检测复合模型及应用

《网络安全脆弱性检测复合模型及应用》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据第22卷第2期海军航空工程学院学报．．2007年3月JOURNALoFNAVALAERONAUTICALENGINEERINGINSTITUTE●、，01．22No。2Mar．2

2、D0r7文章编号：1673一1522(2007)028l叫网络安全脆弱性检测复合模型及应用冯兵，张静平(军械工程学院，河北石家庄，050003)摘要：介绍了对脆弱性检测的一般规则进行扩充而建立的脆弱性检测复合模型，并结合CVE实例．对复合模型的算法进行了研究。在对复合模型进行分解的基础上，对复合模型中的应用层和功能层分别进行插件化实现。应用证明，该方法大大提高了检测效率，并具有良好的

3、可操作性和扩充能力。关键词：网络安全；脆弱性检测；复合模型中图分类号：TP393文献标志码：A0引言1．1脆弱性识别特征网络安全脆弱性(、ruln啪bility)是计算机及网络系统的一种固有属性，指系统中存在某些可能被恶意主体(攻击者或攻击程序)利用的安全漏洞，从而可能导致对系统资源的非授权访问或对系统造成其他损害。脆弱性测试(vulnembilityTesting)通过周期性(或在需要时)对目标系统进行检测，找出系统中可能被利用的脆弱性，以便进行消除或控制，从而降低系统的安全风险¨J。目前，最常用的脆弱性测试方法是基于规则的自动化测试I引，其测试目标面向CvE列表f

4、3I中的脆弱性。但目前各种脆弱性自动化测试工具在检测规则的表达和实现方面的差别很大。对同一条脆弱性采用不同规则进行识别的情况十分常见，直接影响了检测结果的可靠性和检测效率。因此，如何合理地表达和实现脆弱性检测规则，是脆弱性测试研究中的一个核心问题。1脆弱性检测复合模型如同病毒扫描是通过查找病毒的特征码来识别各种病毒一样，脆弱性检测也是通过检取脆弱性的特征来进行识别各种脆弱性的。对计算机及网络系统而言，这些特征就是系统软硬件环境中的某些参数。通过获取这些系统环境参数，可以判断系统环境是否已发生某些改变，从而推断系统巾是否存在某些脆弱性。收稿日期：2006—03-04；修

5、回日期：2006-09-II作者简介：冯兵(1973一)，男，讲师，博上，选取何种系统环境参数组合，直接影响到检测规则是否有效。因此，系统环境参数不能凭经验随便选取，而必须满足以下三个条件：①可测性：脆弱性引发的系统环境参数的改变是可以检测的；②确定性：脆弱性引发的某些系统环境参数改变能正确标识出该脆弱性是否存在；③一致性：在所有存在该脆弱性的系统中，这些系统环境参数的改变是一致的。同时满足以上三个条件的系统环境参数，称为脆弱性识别特征。找出合理的脆弱性识别特征组合，是提高脆弱性测试的准确性、降低误报和漏报率、缩短扫描时间的关键。1．2脆弱性检测一般规则的表达脆弱性检

6、测规则是一种产生式规则(ProductionRule)，其一般表达形式为：：IFT髓N上式表示当脆弱性识别特征符合某条件时，执行相应的动作。组成规则的基本单位是规则元，分为条件规则元、赋值规则元、命令规则元等。条件规则元用于规则的条件部分，可以是单一条件，也可以是某些条件的组合。而赋值规则元和命令规则元用于规则的动作部分，如某脆弱性是否存在的判断结果(True或False)，或执行下一项检测规则等。1．3脆弱性检测复合模型的表达规则的条件部分和动作部分都可以嵌套调用其万方数据·282海军航空工程学院学

7、报2007年第2期他规则，被调用规则称为调用者的子规则。通过规则间的嵌套调用，可以组成复杂的推理网络，从而满足复杂脆弱性检测知识的表达。这种复合嵌套的脆弱性检测规则，称为脆弱性检测复合模型。每条脆弱性的检测知识，都可以通过一个检测规则的复合模型进行完整地表达。其复杂程度，是由需要调用的子规则的性质、数量和次序决定的。1．4复合模型的算法实例对CvE标准编号为CAN．2003．0109的脆弱性：名称：IIS5．OwebDAVbuf诧rovernow；描述：Microsoftwindows2000的webDAV工具中的ntdll．dn在处理API时存在缓冲区溢出错误，使得

8、远程攻击者可以通过发送特定的w曲DAV请求，在该机的w曲服务中运行有害代码；操作系统：windowsNT5；脆弱性宿主：windows2000SP4(不含)之前的未安装Q81502l的windows2000版本。其相应的脆弱性检测规则复合模型的算法：IF(Software、，ersion(V，【K}))AND(NOTservicePack(V，{K)))AND(NOTHotfix(K，{屹)))AND(FileV色rsion(K，{K)))THENbVulnerExist=TRUE(1)bvulnerExist表示对该脆弱性是否存在的判断结果。在本例