一种基于实时扫描的网络安全评估模型.doc

一种基于实时扫描的网络安全评估模型吴开贵1 罗毅1 (1.重庆大学 计算机学院 重庆400044)摘要：随着互联网的快速发展，网络环境变得日益复杂，影响网络安全的因素也变得越来越多，因此对网络进行安全评估就显得特别重要。本文在实时扫描的基础上，通过分析影响主机与网络安全的因素，建立一个安全评估模型，通过模型可以随时评估主机、网络运行时的安全状况，最后用算例说明该模型可操作性强。关键词： 网络安全 安全评估 评估模型 实时扫描A Kind of Network Security Assessment Model Based on Real time Scan WuKai Gui LuoYi (College of Computer Science & Engineering, Chongqing University,Chongqing 400044 )Abstract: Along with fast development of the Internet, the network environment becomes increasingly complexity, factors which affect network security also become more and more, therefore it is very important to assess network security. Based on real time scan, through the analysis of factors which affect host and the network security,the article set up a security assessment model. through the model ,it may assess security condition of running of host and network at any moment, finally by example shows that the model has strong maneuverability.Key words Network security Security Assessment Assessment Model Real time Scan 引言：近年来随着计算机网络的不断发展，全球信息化已成为人类发展的大趋势，但是由于网络具有连接形式多样性、终端分布不均匀性与开放性、互联性等特征，致使网络易受黑客、恶意软件和其它不良行为的攻击，所以网络安全已经成为网络建设不容忽视的一个重要方面。 “什么安全事件都没有发生”这是最理想的网络安全状况，但是在实际环境下，由于网络自身存在脆弱性和安全漏洞，这不可避免的给网络带来潜在风险，所以对网络的安全性进行准确评估就显得非常重要。目前网络安全评估领域研究的内容主要包括1：(1) 主机评估中脆弱性影响因素的提取，因素能够真实的反映主机脆弱性。(2) 主机评估中量化评估指标的建立，各量化指标是脆弱性因素的量化体现，指标必须具备可量化性和合理性。(3) 针对主机评估必须考虑主机上存在漏洞的依赖关系。(4) 主机评估中通过建立不同的数学模型对各量化指标进行融合分析，得出合理的主机脆弱性评估结果。(5) 对目标网络主机依赖关系进行分析。(6) 通过对目标网络的评估，找出目标网络的薄弱环节和关键环节。(7) 充分考虑目标网络的各种影响因素，（如主机漏洞、主机依赖性、主机评估结果、网络路径等），建立合理的数学模型。(8) 通过网络评估，形成评估辅助决策（如防范策略等）。研究表明，网络中的安全事件大多是由于系统自身的的脆弱性和安全漏洞以及用户错误操作所造成的，通过实时扫描与检测可以对主机、网络的运行进行监测，因此本文从实时扫描的角度对影响主机、网络安全性的因素进行深入分析、在此基础上构造了一个基于实时扫描的主机、网络安全评估模型，通过模型可以随时评估主机、网络运行时的安全性。1.主机安全性影响因素分析和评估模型1.1 对主机安全性的影响因素分析在网络系统中，主机指网络中的单个计算机，它包括服务器、路由器、客户机等。在复杂的网络环境下，单个主机会面临各种安全风险，主机系统自身的脆弱性也容易被利用从而导致主机受到攻击。总的来说，影响主机安全性的因素主要有：1.1.1 操作系统漏洞目前绝大多数黑客的攻击来源于操作系统自身的安全漏洞。在常用的操作系统中，Windows系统存在的安全漏洞是最多的。目前，Windows系列的操作系统中95、98以及更早的版本已逐步被淘汰，NT、2K系列居于主流地位，随着使用的普及，在NT和2K平台上越来越多的安全漏洞被暴露出来，通过使用补丁程序能够修补NT和2K的部分漏洞，但这样一来也可能引入新的安全漏洞，WindowsNT/2K常见的弱点与漏洞有：序列号攻击、WinNuke、NBTSTAT漏洞、Netbios共享漏洞与空会话信息泄露、文本文件命令行调用漏洞等2。1.1.2服务与协议漏洞尽管OSI标准已颁布很久，但是互联网的实际工业标准还是TCP/IP3，TCP/IP在设计与实现上力求运行效率，其本身就是造成网络不安全的主要因素，TCP/IP协议是完全公开的4，专家们在设计Internet之初就将TCP/IP协议置于可信的环境下，并将网络互连与开放性作为首要考虑的问题，缺乏对安全性的总体构想与设计，从而忽略了对安全保障的考虑。正因为TCP/IP协议族本身的不安全性5，使得一系列基于TCP/IP的网络服务存在大量安全漏洞。例如在Windows平台上Web服务器软件存在的安全漏洞最多，以IIS为例，它存在如下安全漏洞：遭受拒绝服务攻击、泄露源程序非法获取更多权限、泄露信息、Unicode漏洞、缓冲区溢出漏洞、执行任意命令等。1.1.3应用程序漏洞很多应用程序都在不同程度上存在为数众多的安全漏洞，它可能导致入侵者破坏应用系统正常运行，从而使主机安全性下降。以最常用的IE流览器为例，它的安全漏洞与弱点主要有：IE缓冲溢出漏洞、IE泄露缓冲数据路径漏洞、异常处理NINE头漏洞等2。1.1.4恶意程序在网络环境下，用户的错误操作、系统的脆弱性都可能使主机遭受特洛伊木马、病毒等恶意程序的入侵，这些恶意程序的入侵会使主机系统的安全性下降。1.1.5其它攻击在网络环境下，主机将面临本地和远程攻击，例如拒绝服务攻击、电子邮件炸弹攻击、畸形消息攻击、伪造电子邮件、DNS高速缓存污染等。各种攻击会降低主机系统的性能，使系统面临更大的风险。1.2 主机安全性评估模型1.2.1系统脆弱性与安全漏洞对主机安全性的影响虽然安全漏洞与脆弱性不会对系统直接造成破坏，一旦它们被攻击者利用，将会给系统带来很大的风险，所以安全漏洞与脆弱性越多，主机所面临的风险就越大，主机的安全性就越差。在这里假定建立一个安全漏洞表，该漏洞表中有n个漏洞，漏洞的风险值根据漏洞危害的严重性参考表1取经验值。根据系统风险越大，安全性越差这一原则，定义以下式子：M1,j=(0.5)P 其中P=vi=1wiri v0,n (1)在(1)式中，ri表示在主机j上扫描检测出的v个漏洞中第i个漏洞的风险值，wi表示在主机j上扫描检测出的v个漏洞中第i个漏洞在主机j上所占的权重，vi=1wi=1。P表示主机j上扫描检测出的v个漏洞对主机j的风险值，当v=0时，即通过扫描检测在主机j上没有发现漏洞时，P=0。 M1,j(0,1，M1,j值越接近1，说明主机的安全性越好，M1,j值越接近0，主机的安全性越差。表1 安全漏洞风险值严重性等级 风险值 说 明 高 风 险 1 造成系统失去控制权中 等 风 险 0.7 后果严重但未造成系统失去控制权低 风 险 0.3 后果比较严重 如果漏洞严重性介于高风险和中等风险之间，风险值在0.7和1之间取值，漏洞严重性介于中等风险和低风险之间，风险值在0.3和0.7之间取值。 1.2.2恶意程序对主机安全性的影响由于恶意程序将直接对主机造成破坏，所以随着恶意程序的大量侵入，主机将会面临更大的风险，从而使得主机的安全性变得越来越差，在这里假定建立一个恶意程序表，该恶意程序表中有q个恶意程序，恶意程序的风险值根据恶意程序危害的严重性取经验值。同理根据系统风险越大，安全性越差这一原则，定义以下式子：M2,j=(0.5)D 其中D=ci=1kifi c0,q (2)在(2)式中，fi表示在主机j上扫描检测出的c个恶意程序中第i个恶意程序的风险值，ki表示在主机j上扫描检测出的c个恶意程序中第i个恶意程序在主机j上所占的权重，ci=1ki=1。D表示主机j上扫描检测出的c个恶意程序对主机j的风险值。当c=0时，即通过扫描检测在主机j上没有发现恶意程序时，D=0。 M2,j(0,1 M2,j值越接近1，说明主机的安全性越好，M2,j值越接近0，主机的安全性越差。1.2.3其它攻击对主机安全性的影响在网络环境下，主机有可能遭到各种攻击，例如拒绝服务攻击、电子邮件炸弹攻击、畸形消息攻击、伪造电子邮件、DNS高速缓存污染等。这些网络攻击都有可能使主机系统性能下降，从而使系统面临更大的风险。在这里举个例子，当主机没有受到攻击时。CPU的利用率是20%，当受到拒绝服务攻击时，CPU的利用率达到50%。假定主机有s个性能指标，例如CPU和内存利用率、主机吞吐量、系统平均响应时间等，同理根据系统风险越大，安全性越差这一原则，定义以下式子：M3,j=2R 其中R=Si=11-(bti,j/ bi,j) bti,jbi,j (3)在(3)式中，bi,j表示主机j没有遭受攻击时第i个性能指标的平均值，bti,j表示在t时刻遭受攻击时第i个性能的指标值。M3,j(0,1，M3,j值越接近1，说明主机的安全性越好，M3,j值越接近0，主机的安全性越差。1.2.4主机安全系数 设Mj为某一时刻主机j的安全系数，根据(1)(2)(3)式，则Mj= M1,jM2,j M3,j (4) 其中Mj(0,1 Mj值越接近1，说明主机的安全性越好，Mj值越接近0，说明主机的安全性越差。根据这个系数，网络安全管理员可以随时对网络中运行的主机的安全性进行评估,从而采取相应的安全防御措施。2.网络安全性评估模型2.1网络安全系数网络内最薄弱的环节即安全性最差主机最容易遭受各种攻击，所以主机的安全是保证网络安全的前提。在这里设网络m内有h个主机，设m为某一时刻网络m的安全系数， 则m=min(M1,M2, . Mh ) (5)其中m (0,1，m值越接近1，说明网络的安全性越好，m值越接近0，网络的安全性越差。3.算例如图所示，设对局域网H进行实时扫描，检测结果以及参数选择见表2。 HABCD E为了评估局域网H的安全性，通过前面式(1)到式(5)，首先计算出各主机的安全系数，见表3。表2 实时扫描、检测结果以及参数选择主机和网络 实时扫描和检测结果 参数WindowsNT/2K序列号攻击 w1=0.6 r1=0.9 A NBTSTAT漏洞 w2=0.4 r2=0.6蠕虫病毒 k1=0.3 f1=0.7 B 特洛伊木马 k2=0.7 f2=0.9 E CPU利用率50%,(主机没有受到 bti,j=0.5 bi,j=0.2 攻击时，CPU利用率20%) 表3 各主机、网络的安全系数主机与网络 A B C D E H安全系数 0.58 0.56 1 1 0.35 0.354.结论本文从实时扫描的角度对影响主机、网络安全性的因素进行深入分析、在此基础上构造了一个基于实时扫描的主机、网络安全评估模型，通过模型可以随时评估主机、网络运行时的安全性，从而使网络安全管理员可以更好的依据评估结果及时采取相应的安全防御措施。 参考文献1 陆余良，孙乐昌，夏阳春 计算机网络安全评估及研究现状 安徽电子信息职业技术学院学报 2004 1-22 杨素娟 网络安全评估模型研究 华中科技大