一種基于攻擊路徑的安全漏洞風(fēng)險(xiǎn)評(píng)估模型.pdf

1、計(jì)算機(jī)網(wǎng)絡(luò)的安全檢測(cè)與評(píng)估已經(jīng)成為網(wǎng)絡(luò)安全防御中一項(xiàng)關(guān)鍵的技術(shù)。事先分析并發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)中的安全漏洞，客觀準(zhǔn)確的評(píng)估漏洞的安全風(fēng)險(xiǎn)，快速有效地找到影響整個(gè)網(wǎng)絡(luò)安全最大的漏洞集并給出修補(bǔ)方案，這些都已成為信息安全領(lǐng)域的迫切需求。 本文概述了現(xiàn)今網(wǎng)絡(luò)中的安全現(xiàn)狀，概要介紹了信息安全檢測(cè)與評(píng)估的基本情況。作者分析了當(dāng)前市面上存在的安全檢測(cè)評(píng)估工具的功能與效率，并針對(duì)當(dāng)前檢測(cè)評(píng)估系統(tǒng)的片面性、速度慢等不足，提出了一種基于網(wǎng)絡(luò)中攻擊路徑的安

2、全漏洞風(fēng)險(xiǎn)評(píng)估模型。 本文中作者首先介紹了OVAL漏洞掃描器，利用OVAL掃描器來(lái)收集網(wǎng)絡(luò)中主機(jī)的漏洞信息、主機(jī)配置信息等。利用這些信息來(lái)構(gòu)建攻擊路徑。其后作者總結(jié)了構(gòu)建攻擊路徑所需的網(wǎng)絡(luò)與漏洞信息，包括漏洞的攻擊方式與攻擊結(jié)果、網(wǎng)絡(luò)連通性信息、網(wǎng)絡(luò)開放的服務(wù)信息、數(shù)據(jù)綁定信息與安全策略等，將這些構(gòu)建攻擊路徑的必要信息通過(guò)Datalog建模語(yǔ)言構(gòu)建成具有邏輯關(guān)系的前提與結(jié)果來(lái)構(gòu)建網(wǎng)絡(luò)中的攻擊路徑。 在此基礎(chǔ)上作者給出了一

3、種基于網(wǎng)絡(luò)中攻擊路徑的漏洞風(fēng)險(xiǎn)評(píng)估模型并構(gòu)建了相應(yīng)的數(shù)學(xué)模型。由于風(fēng)險(xiǎn)大的漏洞均是基于網(wǎng)絡(luò)服務(wù)的，評(píng)估模型設(shè)計(jì)目的是通過(guò)評(píng)估該漏洞對(duì)承載其服務(wù)產(chǎn)生的風(fēng)險(xiǎn)結(jié)合該漏洞本身的安全風(fēng)險(xiǎn)來(lái)定位該漏洞最終對(duì)該網(wǎng)絡(luò)可能造成的安全風(fēng)險(xiǎn)。該評(píng)估模型分為漏洞主體風(fēng)險(xiǎn)評(píng)估與路徑轉(zhuǎn)移風(fēng)險(xiǎn)評(píng)估兩部分，主體風(fēng)險(xiǎn)是對(duì)安全漏洞本身的屬性與其所在的服務(wù)因素進(jìn)行抽象得到相關(guān)參數(shù)數(shù)據(jù)，再由設(shè)計(jì)的數(shù)學(xué)公式計(jì)算并得到主體風(fēng)險(xiǎn)值；路徑轉(zhuǎn)移風(fēng)險(xiǎn)則根據(jù)收集到的攻擊路徑本身屬性、攻擊路

4、徑上的漏洞節(jié)點(diǎn)的攻擊前提與結(jié)果屬性、漏洞攻擊的難易度等屬性，將他們抽象成參數(shù)數(shù)據(jù)，再結(jié)合Markov過(guò)程與Poisson過(guò)程性質(zhì)等得到數(shù)學(xué)公式計(jì)算其路徑轉(zhuǎn)移風(fēng)險(xiǎn)。結(jié)合這兩個(gè)風(fēng)險(xiǎn)形成了安全漏洞最終的風(fēng)險(xiǎn)值。根據(jù)安全漏洞風(fēng)險(xiǎn)的高低可以來(lái)判斷漏洞被利用的可能性，從而判斷漏洞所在主機(jī)被攻擊的可能性。通過(guò)對(duì)網(wǎng)絡(luò)中關(guān)鍵節(jié)點(diǎn)風(fēng)險(xiǎn)的計(jì)算以及計(jì)算到達(dá)該關(guān)鍵節(jié)點(diǎn)的攻擊路徑上所有安全漏洞的風(fēng)險(xiǎn)，找到風(fēng)險(xiǎn)最高、最薄弱的安全漏洞節(jié)點(diǎn)集，從而在保護(hù)關(guān)鍵節(jié)點(diǎn)的安全上