（计算机应用技术专业论文）兼容oval规范的多平台补丁管理系统的设计与实现.pdf

摘要 摘要 随着信息化的建设，网络覆盖的范围越来越广，网络上运行的服务器、客户 端系统也越来越多。网络由安装w i n d o w s 、l i n u x 等操作系统的计算机组成，在 这种情况下，为数量如此庞大、多平台的计算机系统安装数量众多的补丁，如果 没有专用的多平台补丁管理工具，将是一项难以完成的工作。因此开发出适用于 当前网络环境的多平台补丁管理系统已成为刻不容缓的任务。 本文研究了漏洞及补丁的相关理论与技术。分析了现存的补丁管理方案，对 比了各个方案的管理过程，得出了补丁管理方案必须在补丁管理的三个阶段都保 持完整，并且经过安全实践经验剪裁以后才是一个完整的、实用的方案的结论。 本文设计了一个兼容o 、l 规范的多平台补丁管理系统，详细描述了设计中 的关键技术，包括总结出o w 儿、c v e 和微软补丁等信息的映射关系，设计建 立了w i n d o w s 和“n u x 补丁定义库，研究解决了w i n d o w s 和l i n u x 补丁信息获 取难的问题，设计补丁安装的交互过程等关键技术。 本文实现了该系统，详细描述了系统关键部分的实现，同时给出了提高系统 效率的方法，包括多平台文件管理的实现，使用单子模式提高系统读写内存效率， 使用多线程提高补丁信息获取效率。通过对系统的运行测试和与其他类似系统进 行的横向功能评测，证明了本文实现的系统能够很好的对w i n d o w s 、l i n u x 系列 操作系统的补丁进行管理，增加了系统所支持的补丁种类，并使系统能够兼容 o v 札规范。最后，对下一步工作提出了建议。 关键词：o v a i ，补丁，多平台，补丁管理系统 a b s t m c t d e s i g na n dr e a l i z a t i o no fo v a l c o m p a t i b l em u l t i p i a t f o r m p a t c hm a n a g e m e n ts y s t e m a b s t r a c t w i t ht h ed e v e l o p m e n to fi n f o m a t i o ni n d u s t r y ，m ec o v e rr a n g eo fi n t e m e tb e c o m e e v e rm o r ew i d e l y t h e r ea r em o r ea n dm o r es e n ，i c e sa i l dt h ea p p l i c a t i o n so fc l i e n t 1 1 l i u l i n gt h o u 曲t h ei n t e m e t t h en e ti sc o n s i s t e db yt h ec o m p u t e rw h i c hi si n s t a l l e d w i t hd i 矗e r e n to p e r a t i o ns y s t e m ss u c ha sw i n d o w s ，l i n u xa i l ds oo n u n d e rt h e s e c i r c u m s t a n c e s ，i tw o u l db ea ni m p o s s i b l em i s s i o ni fw ew a n tt op a t c hs u c ha1 a r g e n 啪b e ra n dc r o s sp l a t f o ms y s t e m su n l e s sw eh a v eac r o s sp l a t f o mp a t c h e s m a n a g e m e n tt 0 0 1 s oi ti sa ne m e 玛e n tt a s kt od e v e l o pac r o s sp l a t f o 肌p a t c h m a i l a g e m e n tt o o lw 1 1 i c hc o u l db eu s e du n d e rn o w a d a y sn 咖o r ke n v ir 0 】帅e m t h i sp a p e rm a i n l yd i s c u s s e dt h e o r i e sa n dt e c l u l 0 1 0 舀e si n t e r r e l a t e dr e l a t e dt o s y s t 锄v u l n e r a b i l i t i e sa n dp a t c h e s t h ea i l a l y s e so fc u r r e n tp a t c hm a n a g e m e n ts y s t e m a n dc o m p a r e de a c hm a n a g e m e n tp r o c e s s ，w ec o n c l u d e dm a tt l l es c h e m eo fp a t c h m a n a g e m e n ts h o u l dk e 印c o n s i s t e n c yt h r o u 曲m et 1 1 r e es t a g e so fp a t c hm a l l a g e m e n t ， a 1 1 dt h ef i n a ls c h e m es h o u l dp a s st h et e s t0 f p m c t i c e h l “sp a p e rw ed e s i g na no v a l c o m p a t i b l ec r o s sp l a t f o 肌p a t c hm a n a g e m e n t s y s t e m i tg i v e so u td e t a i l e da c c o u n to ft h ek e yt e c h n o l o g yi nd e v e l o p m e n t ，i n c l u d i n g f i n d i n go u tt h ea l l u s i v er e l a t i o n s m pb e 帆e e no v a l ，c v ea n dm i c r o s o rp a t c h i n g i n f o 加a t i o n ，c o n s t i t u t i n gp a t c l l i n gd e f i i l i t i o nc l a s so f 、矾n d o w sa 1 1 dl i n u x ，s o l v i i l gm e p r o b l e mo fo b t a i n i n gp a t c hi n f o m a t i o nu 1 1 d e rw i n d o w sa j l dl i n u xo p e r a t i n gs y s t 锄 a n dt h ea l t e m a t ep r o c e s so fp a t c hi n s t a l l i n g r e a l i z e dt h es y s t e m ，i tg i v eo u td e t a i l e da c c o u n to fm ek e yt e c h n o l o g yi n i m p l e m e n t a t i o n i nt h em e a nt i m e ，w e 百v eo u tt h em e t h o dt oi m p r o v et h es y s t e m s e 伍c i e n c yi n c l u d e sr e a l i z a t i o nt h ef i l em a l l a g e m e n tc r o s s i n gm u l t i p l a t f b 肌，u s i n g s i n g l e t o nm o d et oi m p r o v em ee f j f i c i e n c yo fm e m o r ya c c e s s i n ga n du s i n gm u l t i t h r e a d i i a b s t r a c t t oi m p r o v et h ee 伍c i e n c yo fv u l n e r a b i l i t yi n f o m a t i o no b t a i m n gp r o c e s s t l u o u g ht h e t e s to fm em n n i n gs y s t e m 锄dc o m p a 打n gw i t hs i m i l a rs y s t e m ，w ep r o v et h a tt h e s y s t e mw er e a l i z e dc a nm a n a g et h es y s t e mp a t c hu n d e rt h ew i n d o w sa 1 1 dl i n u x ；i tc a i l a l s oe i l l l a n c em ee 硒c i e n c yo fp a t c h d i s p a t c h i n ga n de x t e n dt h er a n g eo fp a t c hw h i c h c o u l dc o m p a t i b l ew i t hs y s t e m a l lo ft h o s ea r ec o m p a t i b l ew i t ho v a lc r i t e r i o n i n t h ee n d ，w ec o m eo u tw i t hs u g g e s t sa b o u tt h ef o l l o w i n gw o r k 1 ( e y w o r d s ：o v a l ，p a t c h ，m u l t i p l a t f - o n i l ，p a t c hm a n a g e m e i l ts y s t e m i i i 西北大学学位论文知识产权声明书 本人完全了解西北大学关于收集、保存、使用学位论文的规定。 学校有权保留并向国家有关部门或机构送交论文的复印件和电子版。 本人允许论文被查阅和借阅。本人授权西北大学可以将本学位论文的 全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫 描等复制手段保存和汇编本学位论文。同时授权中国科学技术信息研 究所等机构将本学位论文收录到中国学位论文全文数据库或其它 相关数据库。 保密论文待解密后适用本声明。 学位论文作者签名：王羹指导教师签名 c 2 幻莎年多月，多日伽g 年月，g 日 西北大学学位论文独创性声明 本人声明：所星交的学位论文是本人在导师指导下进行的研究工作及取得的研究 成果。据我所知，除了文中特别加以标注和致谢的地方外，本论文不包含其他人已经 发表或撰写过的研究成果，也不包含为获得西北大学或其它教育机构的学位或证书而 使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确 的说明并表示谢意。 学位论文作者签名：l 盟 劬多年石月眉日 第一章引言 1 1 研究背景和意义 第一章引言 随着网络技术的飞速发展，i n t e m e t 上连接着各种各样的系统，这些系统上 又运行着各种各样的软件，这些软件和系统中几乎每天都有可供攻击者利用的漏 洞被发现。各种软件的漏洞已经成为大规模网络与信息安全事件和重大信息泄露 事件的主要原因之一。 据公安部公共信息网络安全监察局的调查结果显示，2 0 0 6 年5 月至2 0 0 6 年 5 月间，在发生的安全事件中，攻击或传播源来自外部的占5 2 。在发现途径中， 网络( 系统) 管理员通过技术监测发现占5 3 5 ，通过安全产品报警发现占4 6 4 ， 事后分析发现的占3 5 4 。未修补或防范软件漏洞仍然是导致安全事件发生的最 主要原因( 4 9 4 ) ，如图1 1 所示【1 1 。 图1 1 网络安全事件产生原因 不仅如此，新的漏洞被利用的速度越来越快，从漏洞的发布到漏洞的利用之 间的间隔越来越小【2 3 ，4 1 ，例如，b 1 a s t e r 漏洞从漏洞发现到攻击代码实现间隔了8 天，再到爆发则仅仅间隔了2 7 天。有的厂商的产品每年会发现5 0 7 0 个漏洞 5 】， 及时安装补丁是预防网络与信息安全事件的关键、有效且相对廉价的措施之一。 赛门铁克的互联网安全威胁报告指出2 0 0 6 年至2 0 0 7 年间各大操作系统的补丁开 发周期在逐渐缩短，如图1 2 【6 1 所示。其目的就是为了应对日益增长的利用漏洞进 1 第一章引言 行破坏的趋势。 图1 2 补丁开发周期报告 由于缺乏专门的多平台补丁管理工具，大部分计算机系统处于未更新状态， 存在大量的安全隐患。据丹麦安全机构s e c u n i a a p s 公司日前公布的一份安全检 测报告称，目前全球有超过2 0 的、斩n d o w s 应用程序在未安装安全补丁的情况 下使用运行【7 1 。 现实中，在大型单位或组织中，随着信息化的建设，网络覆盖的范围越来越 广，网络上运行的服务器和客户端系统也越来越多。网络由安装w i n d o w s 、l i n u x 等多种操作系统的计算机组成。在这种情况下，为数量如此庞大、多平台的计算 机系统安装数量众多的补丁，如果没有专用的多平台补丁管理工具，将是一项难 以完成的工作。补丁管理已成为所有i t 部门重要的责任【8 1 。 因此开发出适用于当前网络环境的多平台补丁管理系统已成为刻不容缓的 任务。 1 2 国内外研究概况 1 2 1 国外研究现状 国外补丁管理系统以及其相关产品的研究己经发展了很长的时间，美国联邦 政府、补丁软件供应商和计算机安全专家已经确定了有效的补丁管理的方法【9 1 ， 2 第一章引言 并且许多补丁管理软件现在己进入大规模的商业应用中。 ( 1 ) w i n d o w s 补丁管理系统的研究现状 目前国外从事w i n d o w s 补丁管理系统研究的公司很多，非常著名的有微软、 s h a v l i kt e c h n o l o g i e s 、e c o r as o 脚a r e 、k a s e y a 、z e n w o r k s 及i b m 等公司。 微软公司的免费软件w s u s 【1 0 1 ( w i n d o w ss o r w a r eu p d a t es e i c e s ) 和付费软 件s m s ，他们针对w i n d o w s 系统的补丁升级，采取c s 模式设计，服务端必须为 w i n d o w s 2 0 0 0s e n ，e r + s p 2 或w i n d o w s 2 0 0 3s e r v e r 版本，其中s m s 【11 1 ( s y s t e m s m a i l a g e m e n ts e r v e r ) 功能更强，主要为企业提供全面的补丁管理。 s h a v l i kt e c h l l o l o 西e s 的n e t c h l ( p r o t e c t 组合了补丁和恶意软件管理，既可使 用代理也可以不用；除了w i n d o w s 操作系统之外它还能为将近7 0 0 多种应用程 序打补丁。包括b m c 、微软和s y i l l 肌t e c 等众多厂商都在自己的补丁管理套装中 使用了s h a v l i k 的产品。 e c o r as o 腑a r e 公司的p a t c hm a n a g e r 为i t 管理员提供使用代理可选方式。 它偏重于对、聃n d o w s 工作站和服务器信息挖掘、补丁评估和补丁安装。e c o r a 可 以限制打补丁时需要的带宽。e c o r a 承诺提供如补丁回滚、远程唤醒( w a l 【eo n l 悄) 、在生产环境里部署之前搭建测试环境等关键性功能，此外还有各种日志 有利于审计与合规。 k a s e y ap a t c hm a n a g e m e n t 是一个自动检测企业补丁并自动进行更新的解决 方案。它使网络管理员可以轻松的了解企业内的每台设备是否需要增补补丁程序 以及安装的更新是否被允许。此过程可被自动记录，并易于查询。同时它也可以 预先设定相关的策略，随时确保企业的安全与稳定。 ( 2 ) l i n u x 系统的补丁管理系统的研究现状 由于l i n u x 系统的开发商众多，各个厂商都有自己的“n u x 补丁升级方案。 企业版的系统可能还要购买相应的服务才能合法升级，而且对补丁的管理决定一 个组织的安全立场【1 2 】，这些都导致开发统一的l i n u x 补丁管理系统的难度增大。 在l i n u x 操作系统平台下，一些l i n u x 补丁管理软件只是针对某些特定版本 的操作系统或者某些特定的文件管理系统，如n 【1 3 】( y e l l o wd o gu p d a t e m o d i f i e d ) ，适用基于r p m 方式管理下的所有l i n u x 系统的补丁升级，但是还存 在许多的l i n u x 系统并不支持r p m 的管理系统，而且它并不支持多站点的补丁 1 第一章引言 下载，也不支持其他格式的补丁文件管理。目前，并没有一个能在局域网内管理 全部版本的l i n u x 操作系统补丁的管理软件。 ( 3 ) 多平台的补丁管理系统的研究现状 如果现实网络环境包括u i l i x 、l i n u x 及m a c0 s 等系统，就需要采用跨平台 的补丁管理系统。这方面的研究也出了许多成果，例如： z e n w o r k sp a t c hm 孤a g e m e n t 是功能强大的自动化增补程序管理解决方案。 通过自动、精确地评估增补程序管理风险来检测漏洞，从而迅速判断哪些增补程 序适用于企业，并自动应用。它包括更严密的安全控制、快速响应功能和纠正状 态报告，有助于始终确保数据完整性、软件兼容性和系统安全性。 l 触奶e s k 的补丁管理器能帮助您主动扫描受控的计算机，识别不符合行业 标准信息来源的应用程序和操作系统漏洞。并能快速识别和下载与漏洞有关的补 丁。只需要一个简单的点击，就能研究每个补丁的需求、关联、干预以及其他已 知的问题。 s e c u r e c e n t r a l 的pa _ t c h q u e s t 是一个自动化的补丁管理软件，利用该软件用户 只需简单的点击式操作，即可面向由w i n d o w s 、r e dh a tl i n u x 和d e b i a i ll i n u x 系统组成的异构网络，轻松地发布和管理补丁程序、安全h o t f i x 和更新。它能 有效地扫描企业的网络，识别遗漏的补丁和软件更新，将补丁配备到有漏洞的系 统以保持系统更新且远离漏洞，在此基础上创建出更加安全的企业环境。 p a t c h q u e s t 的可选代理体系能够灵活有效地管理系统。 l u m e n s i o n 安全公司( l u m e n s i o ns e c 嘶t y ) 的p a t c h l i n kp a t c hm a n a g 锄e n t 能为 诸多操作系统提供自动收集、分析和分发软件补丁的功能。它的日志功能也很全 面。 ( 4 ) 兼容o 、l 【1 4 1 ( o p e nv u l n e r a b i l i t ya n da s s e s s m e n t1 a n g u a g e 开放漏洞评估 语言1 的补丁管理系统的研究现状 以上的多平台补丁管理系统都能很好的为复合式的网络提供安全保障，但各 个厂商的补丁管理系统在扫描系统漏洞的时候用的方法各不相同，得出的系统漏 洞结果就会有差异，难以规范化的表示漏洞。如果在扫描系统漏洞的时候采用基 于o v a l 规范的扫描和结果表示的方式，那么扫描后会获得规范的系统漏洞信 息，补丁管理系统就可以利用这个规范的漏洞结果，将漏洞与补丁相互关联起来， 4 第一章引言 从而更好的管理漏洞与补丁。目前国外兼容0 v a l 的补丁管理系统有如下几个： b i g f i xp a t c hm a j l a g e r 可以为用户提供企业级补丁管理的最终解决方案。 b i 萨i xp a t c hm a n a g e r 的自动补丁管理机制可以实现灵活、易用的补丁管理，帮 助用户实时修补系统安全隐患并从将补丁程序由b e s 服务器发送到成千上万台 计算机，同时实现整个过程的可管理性和可用性。其支持m i c r o s o rw i n d o w s 所 有平台，l i n u x 和主流u n 平台，包括：a ，h p u x ，s o l 撕s ，m a c i n t o s ho s 。 g f i 公司的u 悄g u a r dn e t 、o r ks e c u r i t ys c a m l e r 能为整个网络扫描超过 1 5 ，0 0 0 个弱点漏洞，识别出所有可能的安全问题，也能为管理员提供工具，让他 们在黑客入侵之前侦测、访问、报告和修补所有网络的威胁。 m c a f e e 公司的h e r c u l e sr e m e d i a t i o nm a i l a g e r ，它收集来自p o l i c ya u d i t o r 和 第三方评估工具的系统的漏洞扫描数据和政策违反信息。然后，将这些数据与其 全面的修补方案库关联起来，实现对五类漏洞的自动修补：错误配置、软件缺陷、 不必要的服务、后门程序以及不安全的帐户。 这些软件都成功的将o 正漏洞的定义和相关的补丁关联起来，从而能获得 修补该漏洞所需要的补丁，最终准确的修补该漏洞。 1 2 2 国内研究现状 从目前的国内研究现状来看，从事补丁管理系统研究的主要是各种类型的安 全公司，国内的补丁管理软件主要集中在w i n d o w s 平台下，比较完善的有：3 6 0 安全卫士、金山清理专家、瑞星卡卡上网安全助手、腾讯q q 医生、迅雷漏洞修 复插件以及北信源补丁分发管理系统。这些软件都可以对w i n d o w s 操作系统的 漏洞进行检测和修补。 国内目前针对多平台的补丁管理也研发出很多软件，例如极地补丁分发管理 系统和天镜脆弱性扫描与管理系统。 极地补丁分发管理系统，目前国内外大多数补丁管理产品都是基于厂商所发 布的补丁库，对于由于系统配置不当等原因导致的漏洞无能为力。极地补丁分发 管理系统不仅包括各大厂商所发布的所有补丁，同时也包括针对漏洞的修补脚本 补丁和用户自定义的补丁。极地补丁分发管理系统不仅提供了基于厂商补丁库的 5 第一章引言 分发，还提供基于漏洞的补丁分发，对于通过漏洞扫描产品进行扫描的过程中所 发现的漏洞都可以提供相应的补丁进行修复。 天镜脆弱性扫描与管理系统，它遵循了启明星辰在总结多年市场经验和客户 需求基础上提出的“发现一扫描一定性一修复一审核”的弱点全面评估法则，综 合运用多种国际最新的漏洞扫描与检测技术，能够快速发现网络资产，准确识别 资产属性、全面扫描安全漏洞，清晰定性安全风险，给出修复建议和预防措施， 并对风险控制策略进行有效审核，从而在弱点全面评估的基础上实现安全自主掌 控。 国内利用o v a l 开发出的漏洞扫描系统也很多，例如上海交大开发的基于 o w 山的新型漏洞评估系统【1 5 】、中国科学技术大学研究的漏洞自动检测及修补系 统1 6 1 等。 1 2 3 目前状况简要分析 国外的补丁管理软件虽然在结构功能方面有了较为完善的实现，但在国内网 络环境中的应用推广还有一定的局限性。而在国内在相关领域的研究才刚刚起 步，但是并没有开发出真正适应于大型网络的补丁管理软件。 国外o v a l 兼容产品的补丁管理系统己比较成熟，但采用这些补丁管理系统 所采用的补丁信息库一般不支持中文补丁信息，难以满足我国计算机应用的广泛 需求。另外在敏感部门的使用上也存在安全隐患。 因此开发出拥有自主知识产权的兼容o 让规范的多平台补丁管理系统，不 仅是国家信息网络安全的需要，也是国内补丁研究发展的需要。 1 3 本文的研究的工作 本文涉及的兼容o v 札规范的多平台补丁管理系统是分布式漏洞检测系统 的一部分，本文在设计实现系统的过程中完成了以下研究内容： ( 1 ) 研究了漏洞及补丁的相关理论和技术。 ( 2 ) 研究了现存的补丁管理方案，得出了补丁管理方案必须在补丁管理的三 个阶段都保持完整，并且经过安全实践经验剪裁以后才是一个完整的、 6 第一章引言 实用的方案的结论。 ( 3 ) 提出了一种生成与o v a l 漏洞定义库相匹配的补丁定义库的方法，设计 并实现了补丁定义库生成系统。在生成补丁定义库的过程中和对补丁定 义库检索的过程中体现了对o v a l 规范的兼容性。 ( 4 ) 设计了一个兼容o v a l 规范的多平台补丁管理系统，详细描述了设计中 的关键技术，包括总结出o v a l 、c v e 和微软补丁等信息的映射关系， 设计建立了、i n d o w s 和“n u x 补丁定义库，研究解决了w i n d o w s 和“n u x 补丁信息获取难的问题，设计补丁安装的交互过程等关键技术。 ( 5 ) 实现与测试了兼容o v a l 规范的多平台补丁管理系统，详细描述了系统 关键模块的实现过程，同时给出了提高系统效率的方法，包括多平台文 件管理的实现，使用单子模式提高系统读写内存效率，使用多线程提高 补丁信息获取效率。最终对系统进行了实际运行测试，并与其他类似系 统进行了横向的功能评测。 1 4 本文的组织结构 全文共分为六章。 第一章是引言，主要介绍了研究的背景，以及国内外研究的现状，说明了系 统开发的意义和本文的主要工作。 第二章是漏洞及补丁相关理论与技术的研究，主要研究了漏洞及补丁的相关 理论和技术。 第三章是补丁管理方案的研究，主要分析了现有的补丁管理的方案，对比了 各个方案的管理过程，指出了现阶段存在的问题。 第四章和第五章是全文的核心内容，按照系统各功能模块划分，描述了设计 与开发过程，第四章主要介绍了系统模块的设计，详细描述了设计中的关键技术。 第五章主要介绍了系统的具体实现与测试，详细描述了系统关键模块的实现，同 时给出了提高系统效率的方法，最后描述了系统的实际运行测试，并与其他类似 系统进行了横向的功能评测。 第六章是总结与展望部分，对本文进行了总结，并对下一步工作进行了展望。 7 第二章漏洞及补丁相关理论与技术 第二章漏洞及补丁相关理论与技术 2 1 安全漏洞 2 1 1 漏洞定义 d e n n i n g 在c 聊t o 伊a p ha n dd a t as e c u r i t y 一文中从访问控制的角度给出了 漏洞的定义。他认为，系统中主体对对象的访问是通过访问控制矩阵来实现的， 这个访问控制矩阵就是安全策略的具体实现，当操作系统的操作和安全策略之间 相冲突时，就产生了安全漏洞【1 7 】。 b i s h o p b a i l e y 在a c r i t i e a la n a l y s i so fv u l n e r a b i l i t y1 1 a x o n o m i e s 中认为，计 算机系统是由若干描述实体配置的当前状态所组成的，这些状态可分为授权状 态、非授权状态以及易受攻击状态、不易受攻击状态。容易受攻击的状态是指通 过授权的状态转变从非授权状态可以到达的授权状态。受损状态是指己完成这种 转变的状态，攻击是非受损状态到受损状态的状态转变过程。漏洞就是指区别于 所有非受损状态的容易受攻击的状态特御1 8 l 。 2 1 2 漏洞来源 软件漏洞一般来源于软件开发。随着软件程序的复杂化和尺寸的增大，软件 漏洞也越来越多。例如，据报告w i n d o w s9 5 只有1 5 0 0 万行编码，而w i n d o w s2 0 0 0 有3 5 0 0 万行编码【1 9 】。据美国标准技术研究所( n i s t ) 的报告，根据对编码检查的 各种研究表明，每1 0 0 0 行软件编码中至少有2 0 个漏洞【2 0 1 。避免在最终代码里出现 漏洞是一个巨大的挑战，比如现在的操作系统，这点几乎是不可能的【2 1 】。 一个漏洞发现后应该通过论坛或供应商对大众公开【2 2 2 3 1 ，报告给c e i h 或s e c 嘶t f o c u s 【2 4 】或在厂商提供补丁之前公开【25 1 。公开漏洞信息可以加速修补漏洞的 过程。但另一方面，也有许多人在研究当厂商发布一个补丁的时候，揭露的漏洞 信息所造成负面影响有多大【2 6 2 7 1 。 8 第二章漏洞及补丁相关理论与技术 2 2o v a l 规范 0 v a l 是一个国际信息安全领域的基本标准，由m i t r e 主管，受美国政府、 企业界和学术界支持，目的是制定一个结构化的方法高效率地检测网络上计算机 系统存在的漏洞、补丁问题及配置问题。u s c e r t 发起了o v - a l 开放漏洞评估 语言标准，其目的标准化漏洞检测过程中三个主要的步骤：为进行检测收集系统 特征和配置信息；依据指定的漏洞、配置问题和补丁的定义检测系统；报告测试 结果。o v a l 社区和m i t i 也公司用x m l 语言开发三个x m ls c h 锄a 实现这三 个过程的标准化【2 8 】： ( 1 ) o w 山系统特征模式，这使系统信息收集过程标准化。 ( 2 ) o w 山定义模式，这使漏洞定义、配置问题定义和补丁定义过程标准化。 ( 3 ) o w 山结果模式，这使最终的报告信息过程标准化。 2 2 1o v a lx m ls c h e m a 0 让ls c h e m a 就是用l 定义的一种标记语言。ls c h e m a 一种描 述信息的架构，制定x m l 文件所引用的结构文件。o v 札x m ls c h e m a 描述了 o v a j l 需要的三类信息的结构，整个s c h e m a 是树形嵌套定义的【2 9 1 。每次要新建一 个x m l 文件时，可以引用一个x m l s c h e m a 作为x m l 文件内容结构的依据。 x m l 语言、o v a l ) 口ls c h e m a 模式语言、x m l 文件的关系：用x m l 语 言写了o v a lx m ls c h e m a 模式语言，然后用这个模式语言来创建l 文件， 创建的x m l 文件也是遵循l 语言的语法的。其中具体包括以下三个s c h e m a ： ( 1 ) o v ：f 让d e f i n i t i o ns c h e m a ，编写0 虬漏洞定义，补丁的定义。 ( 2 ) o lc h a r a c t e r i s t i c ss c h e m a ，搜集有关于系统的资料，包含有系统设置 的设定。它也定义了资料的交换格式，可以提供给漏洞扫描工具来使用。 ( 3 ) o v a lr e s u l t ss c h e m a ，是o v a l 评估系统的资料，它提供o v a l 测试后 以x 】l 格式存储的结果，这个结果是目前评估系统的设定与o v a l d e n n i t i o n s 的比较结果。 上述的s c h e m a 还会根据不同的操作系统细分为独立的s c h 锄a ，但内容都是 继承上述三项基本的s c h e m a 。d e f i n i t i o n 在编写过程中参考上面各项信息，来保 9 第二章漏洞及补丁相关理论与技术 证所有定义的格式规范化。 2 2 - 2o v a l 漏洞定义库 o v a l 漏洞定义库是由符合o v a ld e 6 n i t i o ns c h e m a 的多条d e f i n i t i o n 组成 的x m l 文件。其中的一条定义d e f i n i t i o n ：l 0 0 0 0 3 的结构如图所示： 图2 1o k l 漏洞定义结构 要确定图中的定义d e f i n i t i o n ：1 0 0 0 0 3 表示的漏洞是否存在，一方面执行t e s t s 元素定义的编号为t s t ：2 6 3 、t s t ：2 6 2 的检测，然后将检测结果用c r i t e r i a 元素所定 义的a 1 1 d 运算符计算出结果，将其暂存起来。另一方面执行t e s t s 元素定义的编 号为t s t ：2 6 1 、t s t ：2 6 0 的检测，其中编号为t s t ：2 6 0 的检测定义了所需要检测的对 象和状态，对象编号为o b i ：2 4 4 ，状态编号为s t e ：2 5 8 。然后将检测结果用c r i t 嘶a 元素所定义的a 1 1 d 运算符计算出结果，最后将结果与之前暂存的结果用c r i t 嘶a 元素所定义的o r 运算符计算出最终的结果。 2 2 3o v a l 漏洞扫描结果 o v 八l 漏洞扫描结果是符合o v a lr e s u l t ss c h e m a 的x m l 文件。该文档是漏 1 0 第二章漏洞及补丁相关理论与技术 洞扫描结果的最终表示形式，其结构如图2 2 所示： 图2 2o v a l 漏洞扫描结果的结构 其中0 v a l - - d e f i n i t i o n s 节点中存储的内容和o 虬漏洞定义库一致，r e s u l t s 节点的子节点s y s t e m 中的子节点o v a l s y s t e r n h a r a c t e r s t i c s 中记录了扫描的系统 特征和最终分析得出的系统漏洞结果。 2 3c v e c v e 【3 0 】( c o i i u l l o nv h l n e r a b i l i t i e sa n de x p o s u r e s 国际通用漏洞标准列表) 是国 际著名的安全漏洞库，也是对目前己知漏洞和安全缺陷的标准化名称的列表，它 是一个由企业界、政府界和学术界综合参与的国际性组织，采取一种非盈利的组 织形式，其使命是为了能更加快速而有效地鉴别、发现和修复软件产品的安全漏 洞。 2 3 1c v e 字典 第二章漏洞及补丁相关理论与技术 c v e 字典可以从c v e 官方网站上下载，字典里按照c v e 的命名规范记录了 众多的漏洞。其结构如图2 3 所示 貉c v 毫“莹暑t 2 审e 磐； # 畦哿 落歹：v 哮吐。学z 矗移氧凌嚣翟掩盖簋e b 孽臻钮一l - f 孕蔓謦互“ 麓镶戮戮瀚 。颦葛t 毫t l l ： = 雠箍i 连缸t 扫 “豢p h 囊s t “2 0 0 罨l 1 7 ”臻。d if 1e 理 。 穆d 譬c ；扩铀tc ；飘雾s 蠡磊蛭笋；掌糍磊 p ，互? ；辫貉r 鼍f s 臻r f “e 嚣魏譬“e 轰一一孕丞j 3 一t 嚣；一馥硅飘l l 羔一o 一譬砖r 窄ic 袭 ；、磐r e f4 移咎贸魏夹蘑“j 孕孕8 i 2 2 0 魏辔e 嚣! 臻磊理节i 嚣o r v0 袅钧1 3 j 辔r t f ”c 乃嚣琴王；瀵“魏t 电争厂帮增髫。争辔乳b 蓉馥，如蓼轻誓r 氇t 境2 3 至t t 托王雾皂。乏：x 一臻r 毫f4 翳、臻8 。写7 0 了 ；秘密y o 乞墓 ：镰精尊d i 臼4 i ”孙女c 魏 一。，镰囊o o p “2 4 器垂r t 氛e 髓t t ， 嚣彝：曼 _ 一豫r 捌错主a 蓉”i “c 鼢i 荔毫寝y 誉锯c o 栩瞻矗t 譬 i7 嗣ie o 蝴瓴乞“i 搿l 毒皇辔芗“毳嚣u t r 晓毪啼鬈电i l x 嚣i 魏最ic 辕皂雌薯t 叁馥t ；。舔c o l _ m 每n t “擎r 最h “麓雾：毛雹巍r 凌r 。争毫嚣转荸魏j 譬毫蕞慧ll ；糍稚曾n t ：霸 c o i 嘲晦帆t “鼎i 嚣宅壤梦“虿h 格矗蟹嚣e r i 皂i o 乳o r 黎芏器：l 钧， 铎魏i h 戮锯i t 嘲赫8 c 说” 籀t i t 拍”矗扩 图2 3c 字典结构 c v e 字典采用l 的存储方式，字典由多个i t 锄节点组成，每一个n e m 记录了一个漏洞。n e m 元素的s t a t u s 属性记录了该漏洞的候选状态，p h a s e 属性 记录了漏洞的修改信息，d e s 属性记录了漏洞的描述。其中r e f s 元素记录了漏 洞的多个引用源，c o m m e m s 元素记录了漏洞的相关信息。 2 3 2o v a l 与c v e 的关系 o 址应用c v e 中公开的著名漏洞名字作为大部分0 l 漏洞定义的基础。 o u 社区讨论发现新的漏洞，这些信息和相关的参考信息会提交给c v e 社区， 如果被接受，则会为漏洞指定一个c v e 名，并标注“c a n ”( 候选) 状态。c v e 通用名字使兼容c v e 的独立的网络安全数据库和工具能够更容易信息共享。 o v a l 的定义包括三个子定义，包括o v a l 漏洞定义、o w 山规范定义和 o 虬补丁定义。每个定义都包括元数据、上层概要、详细定义。细节定义部分 包括c v e 名字部指明存在漏洞的系统特征等信息。o v a l 整个体系与0 v a l 漏 洞定义的关系，以及o 址漏定义与c v e 的关系如图2 4 ： 1 2 第二章漏洞及补丁相关理论与技术 图2 4o l 与c 关系 其中0 虬漏洞定义只是o v a l 体系的一部分，o v a l 信息与c v e 信息的 交集是c v e 的名字。将来就可以利用这点进行o v a l 与c v e 的关联。 o w 山使用x m l 模式定义漏洞、配置问题、补丁问题，还用l 模式定义 结果检的报告。这使o v a j l 比c v e 的兼容性和互操作性更强，安全性也更好。 2 4o v a l 兼容和c v e 兼容 2 4 1o v a l 兼容 o l 兼容意味着一个工具、服务、网站、数据库与o v a l 预先定义的、标 准的规范一致。如果一个产品或服务使用o 让作为其沟通漏洞、补丁、安全 配置和其他计算机状态信息的合适载体时，那么它就是o v 札兼容的【3 1 】。 当考虑0 v a l 兼容的时候必须确定使用哪些o v a l 的s c h e m a ( 系统特征、漏 洞定义或扫描结果) ，还需要考虑产生者生成的数据是否符合指定的s c h e m a 及消 费者为了一些需求而使用存在的数据集。 例如，软件目录的生产者要收集o w 山的系统特征信息，一个软件开发商在 他们的安全公告板上创建一条新的o v ：f 虬漏洞定义，或一个漏洞评估工具输出 的测试结果符合o v a l 结果s c h e m a 。一个漏洞修补工具输入o v a l 扫描结果。 2 4 2c v e 兼容 c v e 兼容意味着一个工具、服务、网站、数据库使用c v e 的名字连接其他 也使用该c v e 名字的库。c v e 兼容的产品和服务须满足以下四个要求3 2 】： ( 1 ) c v es e a r c h a b l e ：用户能用c v e 的名字搜索到相关的信息。 1 3 第二章漏洞及补丁相关理论与技术 ( 2 ) c v eo u t p u t ：表示的信息包含在相关的c v e 名字中。 ( 3 ) m 印p i n g ：库的拥有者提供一个映射与指定版本的c v e 相关，并且能确 保映射的准确性。 ( 4 ) d o c 啪e n t a t i o n ：一个组织的标准化文档包括c v e 的描述，c v e 的兼容 性和用户怎样使用其产品或服务提供的c v e 相关功能。 2 4 3 补丁管理系统的o a l 兼容性 一个补丁管理系统如果是o w 山兼容的，那么系统至少满足其中一条要求： ( 1 ) 补丁管理系统利用o v a l 作为扫描漏洞的方式。 ( 2 ) 补丁管理系统输入了o 、，a l 的漏洞检测结果。 ( 3 ) 补丁管理系统的输出符合o v a l 的规范。 ( 4 ) 补丁管理系统是o 乜的生产者。 如果一个补丁管理系统是o w 山兼容的，而o v a l 本身也是c v e 兼容的， 所以可以认为该系统也是c v e 兼容的。 2 5v v i n d o w s 奉卜丁 o h a m a z m i 等人测试和分析了系统软件漏洞密度，结果显示w i n d o w s 平台 尤其是w i n d o w sx p 系统的漏洞密度很大，因此及时为w i n d o w s 系统安装补 丁刻不容缓。 2 5 1h o t f i x 和s e n ，i c ep a c k 一般需要安装的补丁有两种，h o t f i x 和s e r v i c ep 2 u c k ，h o t 夙是针对某一具体 问题而发布的专门解决这个问题的修复程序。微软一般会把在自己的软件产品中 发现的重大问题以安全公告的形式通知给大家，这些公告都有一个唯一的编号 【3 4 】，例如m s 0 5 1 1 。而这些公告所涉及的问题还有另外一个编号。例如q 9 2 0 6 7 0 ， 只要有这个编号，随时都可以查找到相应的文章和解决方案。因此，每个安全公 告所发布的补丁也就有了相应的编号。 s p 的全称是s e r v i c ep a c k ，即补丁包。这种补丁一般在操作系统正式上市一 1 4 第二章漏洞及补丁相关理论与技术 段时间后发布，包含了自发布之日全部的h o t f i x 补丁。只