基于圖論的網(wǎng)絡(luò)脆弱性評估系統(tǒng)的研究與實(shí)現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)攻擊技術(shù)也在不斷進(jìn)步，網(wǎng)絡(luò)攻擊者經(jīng)常在整個(gè)網(wǎng)絡(luò)中利用“多點(diǎn)脆弱性”來逐步提高自身的權(quán)限，最終達(dá)到控制目標(biāo)機(jī)器的目的。脆弱性評估能對網(wǎng)絡(luò)安全狀況進(jìn)行評估和預(yù)警，因此顯得越來越重要。然而目前的脆弱性評估系統(tǒng)主要偏重于單機(jī)檢查，整體分析功能較弱，即從網(wǎng)絡(luò)整體的角度對網(wǎng)絡(luò)中存在的脆弱性之間的關(guān)系進(jìn)行關(guān)聯(lián)分析的功能少。因此，本文以華東(北)地區(qū)網(wǎng)絡(luò)中心為實(shí)驗(yàn)背景，從研究攻擊者攻擊過程的角度出發(fā)，利用掃描工具對網(wǎng)絡(luò)中可

2、能存在的脆弱性進(jìn)行收集，然后對脆弱性之間的相互關(guān)系進(jìn)行關(guān)聯(lián)分析，采用圖論的方法將多點(diǎn)脆弱性轉(zhuǎn)換為系統(tǒng)攻擊圖，在此基礎(chǔ)上對攻擊路徑進(jìn)行搜索、分析，并采用模糊綜合評判的方法對網(wǎng)絡(luò)系統(tǒng)中各主機(jī)的安全狀態(tài)進(jìn)行評估。 對于華東(北)地區(qū)網(wǎng)絡(luò)中心這個(gè)規(guī)模的網(wǎng)絡(luò)系統(tǒng)，攻擊圖的構(gòu)造是一個(gè)非常耗時(shí)的過程。攻擊圖構(gòu)造過程的主要時(shí)間花費(fèi)在“規(guī)則的可滿足性判斷”操作上，因此論文采用快速匹配算法RETE來處理“規(guī)則的可滿足性判斷”問題，從而保證了攻擊

3、圖的構(gòu)造效率。然而，RETE算法的效率又由其對應(yīng)的規(guī)則模式排列次序決定的。論文借鑒Ishida提出的代價(jià)模型思想，針對RETE連接結(jié)構(gòu)提出了一種將一致性測試操作代價(jià)和查詢操作代價(jià)結(jié)合在一起的代價(jià)模型，并基于該代價(jià)模型設(shè)計(jì)了對應(yīng)的針對RETE算法的規(guī)則模式排列次序優(yōu)化算法CBOR，其主要思想為：針對每條滲透規(guī)則列舉可能的模式排列次序，并計(jì)算對應(yīng)的RETE連接網(wǎng)絡(luò)結(jié)構(gòu)的代價(jià)，然后選取代價(jià)最小的結(jié)構(gòu)對應(yīng)的規(guī)則模式排列次序作為最終結(jié)果。該優(yōu)化算

4、法使得優(yōu)化后的連接網(wǎng)絡(luò)對應(yīng)的操作次數(shù)明顯小于優(yōu)化之前，運(yùn)行速度也提高了47.3﹪。 論文第一章對網(wǎng)絡(luò)攻擊狀況和脆弱性評估系統(tǒng)的研究現(xiàn)狀進(jìn)行簡單的分析，提出了設(shè)計(jì)一種具有“多點(diǎn)脆弱性”分析功能的脆弱性評估系統(tǒng)的必要性和迫切性；第二章首先對網(wǎng)絡(luò)攻擊和攻擊圖模型進(jìn)行分析；接著對滲透及網(wǎng)絡(luò)系統(tǒng)進(jìn)行模擬并引入了描述滲透及網(wǎng)絡(luò)系統(tǒng)的語言，在此基礎(chǔ)上分析了攻擊圖的構(gòu)造過程；最后闡述了基于攻擊圖的決策分析，包括攻擊路徑的搜索，攻擊路徑危害程

5、度分析以及攻擊路徑成功概率的分析；第三章介紹了應(yīng)用于“規(guī)則的可滿足性判斷”的快速匹配算法RETE，并對傳統(tǒng)的針對RETE算法的規(guī)則模式排列次序優(yōu)化方法進(jìn)行了分析，同時(shí)借鑒Ishida的代價(jià)模型思想提出了適用于本論文系統(tǒng)的代價(jià)模型，并基于該代價(jià)模型設(shè)計(jì)了相應(yīng)的針對RETE算法的規(guī)則模式排列次序優(yōu)化算法CBOR；第四章在前三章的基礎(chǔ)上，對基于圖論的脆弱性評估系統(tǒng)進(jìn)行了設(shè)計(jì)并實(shí)現(xiàn)。第五章對GVA系統(tǒng)的功能、性能以及CBOR算法的效果進(jìn)行了測試