{瞥2006*067恤困基于安全漏洞扫描的网络安全智能评估模型蒋融融郑炜(浙江广播电视大学计算机科学与技术系浙江杭州310012)摘要:本文在介绍安全漏洞扫描技术的基础上，分析了构建网络安全智能评估模型所需的关键技术，并给出了一个基于安全漏洞扫描的智能安全评估模型。关键词:网络安全漏洞扫描安全评估智能模型一安全漏洞扫描技术安全扫描技术相对比较成熟，根据扫描过描技术、程的不同，操作系统探测扫描技术、已知漏洞的扫基本可分为:ping扫描技术、端口扫描技术。根据工作原理不同则可主要分为基于主机和基于网络的安全扫描技术。主机型安全扫描主要针对操作系统的扫描检测，通常涉及系统的内核、文件的属性、操作系统的补丁等问题，还包括口令解密等。一般采用客户/服务端架构，如图1所示，其中有一个起到管理作用的主控制台于各扫描点的(manager)和分布agent:进行扫描，agents.Manager各agents向manager端下达命令给汇报扫描的结果，网络型安全扫描是针对远程网络或主机的端最后由manager端给出安全漏洞报表。口、开放服务以及已知漏洞等的技术。除了单机结构之外，可以对网络中的服务器、路由器以及交换机等一般采用如图2所示的结构，主控台网络设备进行安全扫描。自网络上第一款扫描器SATAN诞生以来，互联上公布的安全扫描工具越来越多，如X-Scan等，尽管它们各自的功能不尽完善，却不断地推动扫描技术的商业化发展，当前优秀的商业化产品当数在资源共享和扫描功能扩展的易操作性方面等司推出的一系列安全扫描工具，但大部分产品InternetSecuritySystem公仍然存在诸多问题。另外，尽管基于脚本语言的扫描插件技术已经开始出现，如扫描工具Nes-sus，但其功能不尽完善，使用上也存在很多局限性，如还不支持语法结构定义和调试器等。因此考虑结构合理、功能全面、扩展方便而又安全高效的扫描平台已成为当前研究的重点。二.实现智能评估的关键技术(1)安全漏洞特征的定义目前，漏洞扫描器多数采用基于特征的匹配技术。扫描器首先通过请求1应答，或通过执行攻击脚本，来搜集目标主机上的信息，然后在获取的信息中寻找漏洞特征库定义的安全漏洞，洞能否被检测很大程度上取决于漏洞特征的定如果有，则认为安全漏洞存在。由此，安全漏义及特征匹配技术。对于网络安全漏洞，人们还需要分析其表现形式，检查它在某个连接请求情况下的应答信息;或者通过模式攻击的形式，查看模拟攻击过程中目标的应答信息，从应答信息中提取安全漏洞特征。漏洞特征的定义如同人侵检测系统中对攻击特征的定义，是开发漏洞扫描系统的主要工作，其准确直接关系到漏洞扫描系统性能的好坏。这些漏洞特征，有的存在于单个应答数据包中，有的存在于多个应答包中，还有的维持在一个网络连接之中。因此，漏洞特征定义的难度很大，需要反复验证和测试。安全漏洞特征定义的目标是构建和维护一个安全漏洞综合特征库，包括安全漏洞的固定特征和可选的异常特性，采用精确定义和模糊匹配等技术，从特征匹配和异常检测两个方面来增强安全扫描的容错性和降低扫描误报率。(2)安全漏洞信息的统一描述面对互联网上已经发布的成千上万而且类型各异的安全漏洞，制定一套统一的漏洞描述方案迫在眉睫。目前，许多致力于网络安全研究的国际团体纷纷建立了各自的漏洞列表，制定了各自的命名标准，并逐渐形成一种标准化的漏洞描述数据，以方便各类安全工具的统一引用。但这些标准化组织维护的是各自的漏洞列表名称，尽管漏洞的描述中可以相互指定参考，而漏洞的描述仍然具有各自不同的格式，因此，研究安全漏洞信息的真正意义上的统一描述并非易事，这不光涉及到格式的设计，还涉及到跟传统漏洞信息库的兼容问题。作为一项前期工作目标，本课题的研究目标是设计一套描述安全漏洞的规范，并在所有安全漏洞信息的传递和处理中全部采用该套标准，同时提供这个统一的描述和当前的几个主要漏洞列表之间的转化程序。(3)安全漏洞的存储、发布和查询安全漏洞日新月异，世界上各个不同的漏洞列表各自发布真实可靠的漏洞信息，为了漏洞信息的统一，互相建立参考链接，以至于用户在查询过程中需交叉点击多方漏洞库以获取漏洞相关信息，这不仅使操作麻烦而且使漏洞资全漏洞的发布和查询还存在着以下问题料的安全性与可靠性受到了威胁。不仅如此，:具有安多个索引编号、描述内容有重复、没有固定的分类、查询复杂且效率低下等。解决安全漏洞的快速、统一、高效地存储、发布和查询问题主要从数据库的优化设计考虑，并设计一个合理的安全漏洞分类分级标准。(4)安全扫描脚本语言和括件体系效。安全漏洞的扫描同样可以采用插件技术。每插件(plugin)技术的应用已被证实非常有个插件都封装一个或者多个漏洞的测试手段，主扫描程序通过调用插件的方法来执行扫描。仅仅是添加新的插件就可以使软件增加新功能，扫描更多漏洞。插件的应用可以方便地扩充扫描功能，但插件的开发还需根据扫描目标不同而大不相同。研究插件技术即开发面向安全扫描的专用脚本语言来编写插件，使脚本语言语法简单易学，简化插件的编程工作。开发这样的脚本的最大难处在于设计专用语法结构、脚本调试器等。(5)网络安全评估的系统建模最早的安全扫描程序只是简单的把各个扫描测试项的执行结果罗列出来，直接提供给测试者而不对信息进行任何分析处理。而当前较成熟的扫描系统都能够将对单个主机的扫描结果整理，形成报表，能够并对具体漏洞提出一些解决方法，但对网络的状况缺乏一个整体的评估，而对于普通管理员需要的是全面的直观的网络安全评估报告或叫网络安全风险报告。本文所提出的平台框架，不仅要能提供安全扫描服务，还能够智能化的协助网络信息系统管理人员评估本网络的安全状况，给出更为合理的安全建议。技术难点在于为网络安全漏洞系统地建立一个评估模型，并维护一个基于漏洞指标的安全评估专家系统。三.智能评估模型的整体设计图I智能if佑暇型的9姨招构圈根据整个系统的设计框架，可将评估模型分为如下几大模块进行设计和开发:(1)网络安全漏洞的原理和相关技术研究定义安全漏洞特征库、建立安全漏洞的存储、发布和查询机制。(2)安全扫描脚本语言设计和并发法、函数、实现扫描插件架构，设计扫描脚本语言语调试器、编译器等，并使扫满脚本语言支持一般漏洞的自动修复操作。(3)系统平合架构和设计基于客户用及务器结构的扫描平台开发，使客户端具备插件管理、扫描报表分析等强大功能;服务器端支持漏洞扫描和漏洞修复的插件功能，支持基于安全漏洞的安全评估模块的动态添加和删除，同时具备多线程、安全连接认证等功能。(4)基于安全漏洞的安全评估模块设计以安全漏洞各个指标为基础建立安全评估模型，具体的程序可划分为模块化的实现，整个安全评估为各个评估模块的综合所得。(5)扫描插件和漏洞修复系统开发搜索已知或最新的安全漏洞资料，利用扫描脚本语言编制安全漏洞的扫描插件以及相应的漏洞修复插件或者漏洞自动修复引导程序，以动态可增量的插件库形式支持系统的扫描服务。四、结束语安全漏洞扫描当前的安全扫描器还不具备对发现的错误配置和漏洞等进行自动修补的功能，还需要认为的进行修补工作。另外，在安全扫描报表形式上也仅能对具体漏洞提出一些解决方法和建议，还不能对网络安全自动形成一个整体的评估。因此，构建一个基于安全扫描的一体化服务平台切实可行，即不但能够扫描安全漏洞，而且能够智能化地协助网络信息管理人员评估本网络地安全状况，且对于一般的漏洞，系统能够自动进行修补操给出安全建议，并作，成为一个智能性地漏洞扫描和修复系统。51
