[發明專利]一種面向GAP隔離交換設備的滲透測試方法

在審

• 申請號: 201410026981.7
• 申請日: 2014-01-21
• 公開（公告）號: CN103916384A
• 公開（公告）日: 2014-07-09
• 發明（設計）人: 鐘力;姚蘭;阮強;何金勇
• 申請（專利權）人: 中國人民解放軍信息安全測評認證中心;鐘力
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術領域

本發明屬于信息安全技術領域，涉及針對GAP隔離交換設備的安全性測試，特別是涉及GAP隔離交換設備的應用層協議控制、內容安全、入侵防御和防木馬等主要安全特征的滲透測試方法。

背景技術

網絡安全隔離交換系統（GAP隔離交換設備）采用GAP隔離交換技術。所謂GAP隔離交換，也稱為Air?GAP（空氣隔離）技術，它的基本技術特征是“物理阻斷、邏輯連接”，即通過該技術，能夠保證兩個網絡在物理不連接的基礎上，實現邏輯連接以進行數據交換。網絡安全隔離交換設備在結構上包括內網處理單元、外網處理單元、安全隔離交換處理單元三個模塊。其中，內網處理單元連接內部網絡，外網處理單元連接外部網絡，安全隔離交換單元分時連通內、外網處理單元，是內、外網處理單元之間唯一的數據傳輸通道。它的基本安全技術要求如下：

l??????????網絡協議終止。該系統所連接的兩個網絡，在網絡連接抵達系統的內、外網處理單元后，都要進行網絡協議終止，即剝離網絡數據的協議頭部，經由安全隔離交換單元進行純粹的數據交換。

l??????????數據安全檢查。安全隔離交換單元對要交換的數據進行安全檢測，確保數據是安全的，例如，要檢查數據是否含有惡意代碼，是否符合相應應用的格式要求。

GAP隔離交換設備具備安全隔離、信息交換和訪問控制等功能，并具有較強的抗攻擊能力，由于其具有對網絡協議的終止特性，且支持很少或不支持通用的應用層協議（非常有限的內外網數據傳輸通道），例如FTP、DNS和電子郵件協議。因此，它通常被認為比防火墻、安全網關和UTM（統一威脅管理）產品更加安全。

GAP隔離交換設備的高強度安全性給安全測試帶來了重重困難，很多測試網關型安全產品的測試用例已無法對GAP隔離交換設備形成有效的測試。要形成有效的測試，必須依靠僅有的數據通道，精確定義網絡/攻擊流量。因此，本發明創建了一種面向GAP隔離交換設備的滲透測試技術，通過應用層協議偽裝和數據內容包含等方式，產生針對特定應用的網絡會話，以及Web攻擊與基于木馬行為的多種類型的網絡攻擊會話，實現網絡攻擊流量對GAP隔離交換設備的穿越，達到了有效開展安全性測試的目標。

目前，針對GAP隔離交換設備的安全性測試，還沒有形成系統規范的方法，各安全測評機構普遍采用的方法還是以手工測試為主，配合一些輔助工具例如發包工具或黑客工具進行。測試人員需要人工產生各種網絡訪問或網絡攻擊數據來流經GAP隔離交換設備，然后根據網絡訪問情況，來驗證GAP隔離交換設備的安全性。這種手工配合輔助工具的方法雖然能夠對GAP隔離交換設備進行一定程度的測試，但卻存在效率低下、環境配置復雜等諸多問題，難以進行大批量的、安全可控的測試。

發明內容

本發明的目的是提供一種面向GAP隔離交換設備的滲透測試方法，實現對GAP隔離交換設備的安全性測試。應用本發明，可實現利用GAP隔離交換設備的合法網絡通道（例如HTTP或專用數據傳輸端口）對其進行滲透測試的目標。該方法包括以下步驟：

?測試策略配置，根據GAP隔離交換設備的工作原理、功能和實現方式，從預先設置的滲透測試規則庫中選擇適用的測試用例，并配置好測試環境參數；

?生成網絡攻擊會話，構建獨立的客戶端和服務端程序，分別模擬GAP隔離兩端的兩個網絡（子網）中的主機，客戶端和服務端程序分別調用測試用例對應的測試插件，并把步驟a配置的測試環境參數傳遞給測試插件；測試插件實時生成相應的數據包，并經由客戶端或服務端發送，生成網絡攻擊會話；

?測試結果評判，根據網絡攻擊會話的完成情況，以及GAP隔離交換設備的告警與日志信息，共同評判測試用例的測試結果。

附圖說明

圖1為本發明的技術原理框架圖。

圖2為本發明測試時的連接示意圖。

圖3為本發明的工作流程圖。

具體實施方式

下面結合附圖和具體實施方式對本發明作進一步詳細的說明。

圖1為本發明的技術原理框架圖，面向GAP隔離交換設備的滲透測試方法由策略配置、會話生成和結果評判三個部分構成。策略配置模塊用于根據安全測試需求，定制網絡攻擊會話的策略，主要包括訪問控制、Web攻擊和木馬攻擊；會話生成模塊模擬內外網網絡連接的主機（客戶端和服務端），根據定制的策略，產生精確定義的特定的網絡攻擊會話，穿越受測GAP隔離交換設備；結果評判模塊則檢查該網絡攻擊流量穿越的狀態（通行、被攔截、修改等），并結合GAP隔離交換設備的告警和審計信息，來確定測試結果，評估設備具備的安全功能或抗攻擊能力。