網(wǎng)絡(luò)安全語言關(guān)鍵技術(shù)的研究.pdf

1、隨著Internet技術(shù)及其各種應(yīng)用技術(shù)的高速發(fā)展，網(wǎng)絡(luò)安全問題變得越來越重要和敏感。網(wǎng)絡(luò)攻擊技術(shù)和手段日新月異，迫使網(wǎng)絡(luò)安全程序的開發(fā)必須越來越快。 攻擊技術(shù)和手段日益復(fù)雜、更具隱蔽性和分布性等特點使網(wǎng)絡(luò)安全程序的開發(fā)也越來越困難。 為了描述各種復(fù)雜的安全規(guī)則和方便地對安全功能進行擴展，各種專有的安全語言都發(fā)展起來，如IDS 系統(tǒng)的Snort 規(guī)則腳本和RUSSEL語言，掃描器Nessus 的NASL語言，描述漏洞的A

2、VDL和VulnXML，以及攻擊描述語言LAMBDA、JIGSAW和CISL。然而，上述安全腳本和語言仍然存在許多缺陷，如功能單一；語法語義各不相同，不方便學(xué)習(xí)，對同一個安全事件，采取完全不同的描述方式；規(guī)則之間互操作困難，無法交換和共享信息；語言的表示能力，檢測強度都沒有一個統(tǒng)一的標準等。 為此，提出了建立網(wǎng)絡(luò)安全語言NSL（Network Security Language）的構(gòu)想。通過對各種安全應(yīng)用進行深入分析、歸類、抽象

3、出基于特征（Feature）、事件（Event）、過濾器（Filter）、限制（Constraint）和場景（Scenario）的模型。在此基礎(chǔ)上定義了完整的NSL語法和語義，設(shè)計和實現(xiàn)了NSL的編譯器和虛擬機。為大多數(shù)安全應(yīng)用提供了一個統(tǒng)一的編程環(huán)境。 構(gòu)造了以Rule 和Scenario 為核心的兩級語法結(jié)構(gòu)。NSL的基本語法結(jié)構(gòu)在表達式、語句和方法級別上都兼容C/C++語言，不僅提高了描述復(fù)雜結(jié)構(gòu)的能力，而且也降低了學(xué)習(xí)曲

4、線。NSL 的Rule 和Scenario 實現(xiàn)不同的安全功能。Rule 負責基于signature 的檢測，而Scenario 具有狀態(tài)轉(zhuǎn)換的自動推導(dǎo)能力，可以檢測復(fù)雜的安全事件。 對基于signature 的檢測，主要采用了動態(tài)Filters 加載方法，和Filters Cache 結(jié)合在一起，既提供了強大的檢測能力又允許方便的擴展。同時對內(nèi)容檢測的Boyer-Moore算法進行了優(yōu)化，把Boyer-Moore算法中的兩個啟

5、發(fā)式步驟連接起來，對匹配針對Web的攻擊，可以達到更快的速度。Rule之間共設(shè)計了四種互動方式。 現(xiàn)有的安全語言中，有的沒有提供規(guī)則之間的互動能力，有的提供了比較簡單的機制。而NSL具有4種粒度的規(guī)則交互方式：即規(guī)則啟?？刂?，規(guī)則變量訪問，規(guī)則方法調(diào)用和規(guī)則事件訪問。豐富了規(guī)則的表現(xiàn)能力，提高了表示方法的簡潔性。 對復(fù)雜攻擊場景，采用自動狀態(tài)機來進行檢測。一個Scenario 語法結(jié)構(gòu)包含多個狀態(tài)，每個狀態(tài)可以對應(yīng)攻擊中

6、的一個步驟。當預(yù)定的事件（Event）對象出現(xiàn)，狀態(tài)之間會自動進行轉(zhuǎn)換。Scenario 和Rule 之間可以通過Event 進行通信，方便的提供了分布式的檢測能力。使NSL具有普通IDS系統(tǒng)不具備的高級攻擊檢測能力。 為了能夠適應(yīng)網(wǎng)絡(luò)應(yīng)用對帶寬苛刻的要求，還利用多種優(yōu)化技術(shù)對NSL的運行了效率進行優(yōu)化。包括四種方法：即窺孔優(yōu)化（peephole optimization），快速指令分發(fā)，基于神經(jīng)網(wǎng)絡(luò)的垃圾搜集以及快速的Just

7、-In-Time 及時編譯等算法和技術(shù)?；谏窠?jīng)網(wǎng)絡(luò)的垃圾搜集為新提出的算法，通過神經(jīng)網(wǎng)絡(luò)來預(yù)測垃圾搜集的時機，取得了較好的效果。其他優(yōu)化技術(shù)也在細節(jié)上做了改進。通過這些優(yōu)化技術(shù)突破了一般安全語言在性能上的局限。 提出基于返回地址的緩沖區(qū)保護的方法。為了提高NSL在非可信網(wǎng)絡(luò)中的安全性，尤其針對泛濫的遠程緩沖區(qū)溢出攻擊，NSL 通過建立只讀返回地址區(qū)域和對返回地址進行編碼，有效防止了各種緩沖區(qū)溢出的攻擊。 實現(xiàn)了一個較為