摘　要：

摘　要：網(wǎng)絡(luò)攻擊已成為網(wǎng)絡(luò)安全技術(shù)研究的主要問(wèn)題,入侵形式的式樣性、入侵技術(shù)的復(fù)雜性使得攻擊呈大規(guī)模、協(xié)同化和多層次趨勢(shì)發(fā)展，網(wǎng)絡(luò)攻擊問(wèn)題已成為當(dāng)前研究的熱點(diǎn)。通過(guò)分析多種網(wǎng)絡(luò)攻擊行為以及工作原理，提出一種基于攻擊圖的算法，并對(duì)其進(jìn)行深入分析，以用來(lái)防范網(wǎng)絡(luò)攻擊問(wèn)題。

關(guān)鍵詞：

關(guān)鍵詞：網(wǎng)絡(luò)攻擊　攻擊圖　建�！∷惴�

　　隨著網(wǎng)絡(luò)技術(shù)的不斷推進(jìn)和發(fā)展,網(wǎng)絡(luò)會(huì)計(jì)已成為會(huì)計(jì)信息處理中不可缺少的處理方式,各門各類的資產(chǎn)評(píng)估,均需提供必要的財(cái)務(wù)報(bào)告會(huì)計(jì)信息數(shù)據(jù)，而財(cái)務(wù)報(bào)告又是每一個(gè)單位信息安全級(jí)別較高的信息，如何在網(wǎng)絡(luò)中對(duì)信息進(jìn)行有效的傳遞，成為當(dāng)前研究的一個(gè)熱點(diǎn)。而在現(xiàn)代網(wǎng)絡(luò)中，網(wǎng)絡(luò)信息的互通與互聯(lián)、資源共享性，在安全方面面臨著很大的問(wèn)題，如何確保信息傳輸過(guò)程中不被丟失，有效性達(dá)到目的地，這也是值得思考的問(wèn)題。因此，使大型互聯(lián)網(wǎng)具有適量的可達(dá)性，是至關(guān)重要的。

　　1　網(wǎng)絡(luò)攻擊概述

　　目前，在計(jì)算機(jī)網(wǎng)絡(luò)世界里，任何非法授權(quán)行為，這種行為以干擾、破壞網(wǎng)絡(luò)系統(tǒng)為目的，我們都可稱之為網(wǎng)絡(luò)攻擊。網(wǎng)絡(luò)攻擊是指利用專門工具，來(lái)完成一種攻擊的信息行動(dòng)，這種行動(dòng)的目的就是使網(wǎng)絡(luò)癱瘓，使之不能正常工作。

　　網(wǎng)絡(luò)攻擊方法早在發(fā)展初期主要的攻擊方法以口令破解、特洛伊木馬和泛洪式拒絕服務(wù)三種方法為主；上世紀(jì)末此項(xiàng)工作得到突破，開(kāi)始網(wǎng)絡(luò)漏洞掃描攻擊、緩沖區(qū)溢出、網(wǎng)絡(luò)信息探測(cè)等技術(shù)；最近十來(lái)年由于網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，又新現(xiàn)了綜合各種網(wǎng)絡(luò)攻擊手段的分布式網(wǎng)絡(luò)病毒攻擊、網(wǎng)絡(luò)欺騙攻擊和拒絕服務(wù)攻擊現(xiàn)象出現(xiàn)。

　　目前，攻擊模式層出不窮，但不管是什么樣的模式，總體來(lái)看，其攻擊大多遵循五個(gè)環(huán)節(jié)，即：探析→掃描→訪問(wèn)獲得→訪問(wèn)維持→清除蹤跡。

　　探析是非法獲取IPF地址、網(wǎng)絡(luò)域名等信息的一種手段，這種手段采用網(wǎng)絡(luò)誘惑、普通Web搜尋、物理闖入等方法；掃描是對(duì)目標(biāo)計(jì)算機(jī)進(jìn)行掃描獲得目標(biāo)計(jì)算機(jī)活動(dòng)端口、操作系統(tǒng)、漏洞信息及防火墻規(guī)則等信息進(jìn)行獲取的一種手段，他需利用如端口掃描器和漏洞掃描器專門的工具；訪問(wèn)獲得為了實(shí)施以侵入系統(tǒng)和獲得非法訪問(wèn)權(quán)限為目標(biāo)，利用各種各樣的漏洞，使用相應(yīng)的軟件如密碼攻擊、會(huì)話劫持、IP地址欺騙、拒絕服務(wù)攻擊等發(fā)動(dòng)攻擊；訪問(wèn)維持是指攻擊成功后，為方便以后控制目標(biāo)機(jī)，這時(shí)利用各種各樣的漏洞，使用特洛伊木馬、后門等維持對(duì)系統(tǒng)的訪問(wèn)權(quán)限；擦除蹤跡是攻擊之后為避免被管理員發(fā)現(xiàn)采用的一種手段，這種手段具體講也是修改系統(tǒng)日志、建立隱藏文件和秘密通道等。因此，為了對(duì)網(wǎng)絡(luò)攻擊進(jìn)行有效地防范，必須清楚攻擊的各個(gè)環(huán)節(jié)，每一個(gè)環(huán)節(jié)采取相應(yīng)的防范措施。

　　2　攻擊圖相關(guān)知識(shí)

　　2.1　攻擊圖的概念

　　最早的攻擊圖由Cunningham等于1985年提出[1]，攻擊圖是一種圖形描述形式，當(dāng)攻擊者企圖入侵計(jì)算機(jī)網(wǎng)絡(luò)時(shí)，可表示能否從開(kāi)始狀態(tài)到達(dá)最終狀態(tài)的一種流程。攻擊者可以利用已經(jīng)獲取訪問(wèn)資格的為起點(diǎn)，目的在于作為下一次發(fā)起攻擊，以使達(dá)到最終的攻擊目標(biāo)。一個(gè)完整的攻擊圖可以表示所有可能達(dá)到目的的操作序列[2]。目前在攻擊圖方面的研究已初有成果，總體來(lái)講，攻擊圖提供給我們這樣的思路，從已知的方面去構(gòu)造出一種模型，這種模型對(duì)現(xiàn)實(shí)網(wǎng)絡(luò)中的一些要素進(jìn)行簡(jiǎn)化或理想化，這樣做就可以專注于網(wǎng)絡(luò)安全中最重要或比較重要的環(huán)節(jié)，暫時(shí)不考慮不重要的因素，專注于考慮所研究的網(wǎng)絡(luò)的安全性。

　　攻擊圖應(yīng)用范圍很廣，目前已應(yīng)用于經(jīng)濟(jì)領(lǐng)域的方方面面，在計(jì)算機(jī)網(wǎng)絡(luò)中，不僅用于對(duì)系統(tǒng)安全性的分析和入侵檢測(cè)系統(tǒng)的設(shè)計(jì)，攻擊圖作為理論研究方面的圖論方法，還可可以應(yīng)用于很多方面，諸如任何只要包含多個(gè)節(jié)點(diǎn)的網(wǎng)絡(luò)或系統(tǒng)都可以應(yīng)用攻擊圖來(lái)建模并進(jìn)行整體方面的研究，從而達(dá)到各自的目的。

　　2.2　攻擊圖發(fā)展現(xiàn)狀

　　一個(gè)完整的攻擊圖方法最早由Kuang提出，這種方法擴(kuò)展到了一種基于NetKuang的網(wǎng)絡(luò)系統(tǒng)，這種系統(tǒng)已被用于分析網(wǎng)絡(luò)配置的脆弱性。在是世紀(jì)末Swiler等提出了一種攻擊圖方法，這種方法以解決安全分析中把網(wǎng)絡(luò)拓?fù)湫畔⒁部紤]在內(nèi)為目的。為了自動(dòng)生成網(wǎng)絡(luò)攻擊圖，同時(shí)一種基于模型檢測(cè)器的網(wǎng)絡(luò)圖方法被Sheyner、Jha、Ritchey等人提出。雖然這種技術(shù)能夠自動(dòng)生成攻擊圖，但為了使獲取的攻擊場(chǎng)景最大化，模型的狀態(tài)集中數(shù)目也可能最大化，可能的情況下最好能包含所有的狀態(tài)，但這里又存在一個(gè)致命的問(wèn)題，在大大規(guī)模網(wǎng)絡(luò)中這往往是不可能的問(wèn)題�；�于這些存在問(wèn)題，上述學(xué)者提出了很多辦法：為了使所獲取的攻擊圖更簡(jiǎn)單，學(xué)者Sheyner提出了二分決策圖(BDD)模式以求對(duì)模型檢測(cè)算法復(fù)雜性的最小值，Ammann提出了一種假設(shè)問(wèn)題，即網(wǎng)絡(luò)攻擊的單調(diào)性，用來(lái)控制攻擊圖生成過(guò)程；Tao Zhang等提出了另一種思路，即通過(guò)“分析主機(jī)→鏈路關(guān)系→攻擊特征→構(gòu)建網(wǎng)絡(luò)安全狀態(tài)模型→前向搜索、廣度優(yōu)先、深度限制來(lái)生成攻擊路徑的步驟來(lái)解決問(wèn)題；Melissa Danforth提出了一種算法，這種算法可生成實(shí)現(xiàn)可測(cè)的攻擊圖，具體思想是通過(guò)抽象模型和聚類方法來(lái)降低原子攻擊的數(shù)目和機(jī)器的數(shù)；Kyle Ingols出提出了一種算法，這種算法是基于多前置條件的網(wǎng)絡(luò)攻擊圖生成方法；Ronald W.Ritchey提出了一種以主機(jī)為中心的算法，這種算法以網(wǎng)絡(luò)主機(jī)為中心，不斷擴(kuò)展到各終端上，最終生成攻擊圖，這種算法解決了復(fù)雜性問(wèn)題，適用于大型網(wǎng)絡(luò)。隨著網(wǎng)絡(luò)規(guī)模的增大，基于網(wǎng)絡(luò)攻擊圖技術(shù)的研究也越來(lái)越多，可以這樣講，近幾年研究成果差不多近似線性增加。

　　2.3　現(xiàn)有攻擊圖需解決的問(wèn)題

　　現(xiàn)有的網(wǎng)絡(luò)攻擊方法有很多,主要集中于攻擊語(yǔ)言、攻擊樹(shù)、攻擊網(wǎng)、狀態(tài)轉(zhuǎn)移圖和攻擊圖等[3]�，F(xiàn)有攻擊圖生成方法中普遍采用漏洞掃描工具獲得網(wǎng)絡(luò)可達(dá)性信息，但是通過(guò)網(wǎng)絡(luò)掃描獲得可達(dá)信息存在以下不足之處，即信息健狀性、信息及時(shí)性、信息的穩(wěn)定性。

　　具體表現(xiàn)在信息完整性的欠缺，一方面，通常只允許一部分主機(jī)或端口連接，因而他只能夠發(fā)現(xiàn)當(dāng)前執(zhí)行掃描的主機(jī)隱藏的連接限制，無(wú)法得知其他主機(jī)存在的連接限制；另一方面，耗時(shí)長(zhǎng)，網(wǎng)絡(luò)掃描通常掃描大量甚至全部端口，開(kāi)銷很大，耗時(shí)很長(zhǎng)，這就是傳統(tǒng)防火最大的缺陷。如使用Nessus技術(shù)對(duì)跨網(wǎng)段的20臺(tái)主機(jī)的掃描持續(xù)了6分10秒，可見(jiàn)若對(duì)于越來(lái)越大的網(wǎng)絡(luò)規(guī)模，在大型的企業(yè)中跨多段的形勢(shì)也成必然的情況下，掃描時(shí)間上將讓人無(wú)法接受，甚至超出了無(wú)法忍受的狀態(tài)；抗干擾能力差，大量的端口掃描占用了網(wǎng)絡(luò)帶寬，對(duì)正常流量產(chǎn)生干擾，可能影響正常的網(wǎng)絡(luò)訪問(wèn)。

　　3　攻擊圖算法建模過(guò)程

　　3.1　網(wǎng)絡(luò)攻擊事件的波姿（Büchi）模型描述

　　在攻擊圖建模中，出現(xiàn)了很多有價(jià)值的成果，以文獻(xiàn)[4]為例，該文獻(xiàn)網(wǎng)絡(luò)攻擊圖與波姿模型有機(jī)的結(jié)合，一方面將把需要把網(wǎng)絡(luò)攻擊事件進(jìn)行抽象為波姿模型，另一方面把網(wǎng)絡(luò)攻擊事件中發(fā)生變化的各種因素抽象為波姿自動(dòng)機(jī)中的狀態(tài)。

　　如圖1所示。所有這些序列的集合構(gòu)成了波姿自動(dòng)機(jī)能識(shí)別的語(yǔ)言。

　　從物理概念上，這些序列就是攻擊者發(fā)動(dòng)的一系列攻擊步驟，是網(wǎng)絡(luò)攻擊事件系統(tǒng)可能的動(dòng)作的子集，也就是說(shuō)波姿自動(dòng)機(jī)識(shí)別的語(yǔ)言是網(wǎng)絡(luò)攻擊事件系統(tǒng)的可能動(dòng)作的子集。因此，從某種意義上講這種波姿自動(dòng)機(jī)是當(dāng)前網(wǎng)絡(luò)攻擊事件所創(chuàng)建的波姿模型。

　　基于上述描述，可以這樣認(rèn)為，某網(wǎng)絡(luò)攻擊事件的模型一般由侵略者狀態(tài)、主機(jī)狀態(tài)、轉(zhuǎn)換條件三個(gè)因素構(gòu)成：侵略者的狀態(tài)，也即侵略者發(fā)起侵略和侵略過(guò)程中所在的主機(jī)；主機(jī)的狀態(tài)，包括侵略者在該主機(jī)上獲得的權(quán)限，主機(jī)上存在的漏洞情況以及當(dāng)前能被利用的侵略方法等；轉(zhuǎn)換條件，也即侵略者使用的侵略方法的前置條件和后置條件。

　　3.2　攻擊圖建模算法實(shí)現(xiàn)

　　3.2.1　算法思想

　　通過(guò)上述各種研究，這里引入一種基于ω-正規(guī)序列的思想來(lái)構(gòu)建算法，ω-正規(guī)序列主要是以進(jìn)程思想為核心來(lái)解決關(guān)鍵問(wèn)題，是描述并發(fā)進(jìn)程和其它程序的一種很自然的方式。這種思想的核心和關(guān)鍵是具有描述ω-正規(guī)序列的能力對(duì)程序驗(yàn)證，而波姿自動(dòng)機(jī)恰恰也具有接收ω-正規(guī)序列的能力。因此，在攻擊圖建模中，可以把整個(gè)系統(tǒng)抽象為波姿自動(dòng)機(jī)，具體原理為：假定一個(gè)集合，D是一個(gè)標(biāo)記符，主要標(biāo)記在該狀態(tài)上一些命題為真的集合。

　　3.2.2　算法步驟