計(jì)算機(jī)安全弱點(diǎn)及其對(duì)應(yīng)關(guān)鍵技術(shù)研究.pdf

1、在Internet規(guī)模不斷增長的同時(shí)，與Internet有關(guān)的安全事件也愈來愈多，安全問題日益突出。理論和實(shí)踐分析表明，諸如計(jì)算機(jī)病毒、惡意代碼、網(wǎng)絡(luò)入侵等攻擊行為之所以能夠?qū)τ?jì)算機(jī)系統(tǒng)產(chǎn)生巨大的威脅，其主要原因在于計(jì)算機(jī)及軟件系統(tǒng)在設(shè)計(jì)、開發(fā)、維護(hù)過程中存在安全弱點(diǎn)。因此，深入分析和研究安全弱點(diǎn)對(duì)保障計(jì)算機(jī)系統(tǒng)與網(wǎng)絡(luò)安全具有重要意義。
　　弱點(diǎn)描述和評(píng)估技術(shù)是弱點(diǎn)研究領(lǐng)域的兩個(gè)重要組成部分，前者用于描述和表達(dá)弱點(diǎn)的屬性特征，而后

2、者則用于確定計(jì)算機(jī)和網(wǎng)絡(luò)系統(tǒng)中由弱點(diǎn)引起的可能的損失量，評(píng)估系統(tǒng)的安全風(fēng)險(xiǎn)態(tài)勢。弱點(diǎn)描述技術(shù)是評(píng)估技術(shù)的基礎(chǔ)，而評(píng)估技術(shù)最終是為了減少甚至消除弱點(diǎn)。然而，日益增長的應(yīng)用需求對(duì)弱點(diǎn)描述和評(píng)估技術(shù)提出了更高的要求，因此，本文在軟件安全弱點(diǎn)的定義范疇內(nèi)，針對(duì)弱點(diǎn)分類、描述語言、主機(jī)系統(tǒng)評(píng)估和網(wǎng)絡(luò)系統(tǒng)評(píng)估中存在的問題展開了進(jìn)一步研究。
　　由于已有的弱點(diǎn)分類法普遍缺乏對(duì)量化評(píng)估以及對(duì)揭示弱點(diǎn)關(guān)聯(lián)特性的支持，為此，本文提出了一種支持關(guān)聯(lián)性挖

3、掘的多維量化屬性弱點(diǎn)分類法，給出了相應(yīng)的挖掘算法，并以實(shí)驗(yàn)驗(yàn)證了該算法的有效性。該分類法能夠支持弱點(diǎn)在特權(quán)層面的關(guān)聯(lián)挖掘，從而生成弱點(diǎn)關(guān)聯(lián)圖，為弱點(diǎn)的智能檢測以及提高弱點(diǎn)評(píng)估的準(zhǔn)確性提供了幫助。此外，也提供了弱點(diǎn)多側(cè)面細(xì)層次上的量化屬性，并且突出了弱點(diǎn)對(duì)系統(tǒng)機(jī)密性、可鑒別性和可用性等安全屬性的影響，為量化的弱點(diǎn)描述、評(píng)估提供了豐富的信息支持。
　　針對(duì)已有弱點(diǎn)描述語言缺乏全面性和通用性等問題，本文提出了一種基于XML的形式化弱點(diǎn)描

4、述語言CVDL，討論了其應(yīng)用模式，并以實(shí)例詳細(xì)闡述了弱點(diǎn)的描述和發(fā)布。CVDL具有全面性、通用性、以及內(nèi)容規(guī)格嚴(yán)謹(jǐn)性等優(yōu)點(diǎn)，尤其是能夠描述弱點(diǎn)檢測、安全影響、屬性特征等多方面性質(zhì)。并且具有良好的結(jié)構(gòu)化描述能力，能夠支持弱點(diǎn)信息的收集、交換、整合以及弱點(diǎn)檢測、評(píng)估或分析等工作的自動(dòng)化，從而減少了這些后續(xù)工作的時(shí)間和人力資源的消耗。
　　在主機(jī)系統(tǒng)弱點(diǎn)評(píng)估中，傳統(tǒng)方法往往忽視了若干組件弱點(diǎn)的關(guān)聯(lián)對(duì)整個(gè)主機(jī)系統(tǒng)安全產(chǎn)生的非線性威脅，為此

5、，本文提出了一種基于弱點(diǎn)關(guān)聯(lián)圖的通用量化評(píng)估方法，并對(duì)具有代表性的幾款主流操作系統(tǒng)實(shí)施了安全評(píng)估。該方法引入了弱點(diǎn)關(guān)聯(lián)影響，能夠評(píng)估弱點(diǎn)關(guān)聯(lián)性對(duì)主機(jī)系統(tǒng)安全產(chǎn)生的非線性風(fēng)險(xiǎn)，提高了評(píng)估的準(zhǔn)確性。采用了基于累加策略的宏觀分析與基于指數(shù)策略的微觀分析相結(jié)合的分析方法，能夠給出不同評(píng)估對(duì)象對(duì)不同類型用戶在不同安全屬性上的量化風(fēng)險(xiǎn)，評(píng)估結(jié)果更全面更深入。
　　而傳統(tǒng)的網(wǎng)絡(luò)系統(tǒng)弱點(diǎn)評(píng)估方法往往忽視了因受害計(jì)算機(jī)的風(fēng)險(xiǎn)傳播而使得那些原本不直接