[發明專利]一種基于零日攻擊圖的網絡脆弱性評估方法

有效

• 申請號: 201810431874.0
• 申請日: 2018-05-08
• 公開（公告）號: CN108683654B
• 公開（公告）日: 2020-05-05
• 發明（設計）人: 胡昌振;單純;蔣本富;郭守坤;趙小林
• 申請（專利權）人: 北京理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京理工大學專利中心 11120
• 代理人: 李微微;仇蕾安

本發明公開了一種基于零日攻擊圖的網絡脆弱性評估方法，首先假設網絡中主機上所有的服務都包含零日漏洞，通過給定模式的邏輯推理生成零日攻擊圖，然后基于漏洞掃描技術和CVSS漏洞評分系統量化利用零日漏洞進行攻擊所需花費的攻擊代價，最后以網絡中心性理論分析獲得網絡中的關鍵脆弱性；在處理已知漏洞的同時充分考慮網絡中所有可能存在未知漏洞，使得評估方法具備對未知漏洞的處理能力，并通過邏輯推理發現潛在的網絡脆弱點，評估當前網絡的安全性，為進一步網絡安全防護提供了參考依據，提升網絡的安全性、可靠性和可用性。

技術領域

本發明屬于網絡安全技術領域，具體涉及一種基于零日攻擊圖的網絡脆弱性評估方法。

背景技術

在利用漏洞評估網絡脆弱性方法中大多數的研究人員只是分析已知的漏洞能對網絡形成的損害去度量網絡安全性，這樣不考慮未知漏洞的分析方法，缺乏對未知漏洞的預防，一旦出現未知漏洞這些措施就失效了，因此在網絡脆弱性評估當中需要引入未知漏洞。

“零日漏洞”又叫零時差攻擊，是指被發現后立即被惡意利用的安全漏洞。通俗地講，即安全補丁與瑕疵曝光的同一日內，相關的惡意程序就出現。這種攻擊利用目標缺少防范意識或缺少補丁，從而能夠造成巨大破壞。零日漏洞常常被在某一產品或協議中找到安全漏洞的黑客所發現。一旦它們被發現，零日漏洞攻擊就會迅速傳播，一般通過Internet中繼聊天或地下網站傳播。LingyuWang等人提出的K零日安全性。他們的方案不是試圖推測未知漏洞出現的可能性，而是統計侵占某個網絡資產的需要多少個零日漏洞，較大的值意味著更多的安全性，因為在同一時間內有更多未知的漏洞可用，可應用和可利用的可能性將會顯著降低。他們正式定義度量方法，分析計算度量的復雜性，為棘手案例設計啟發式算法，最后通過案例研究證明將度量應用于現有網絡安全實踐可能會產生可操作的知識。

現有網絡脆弱性評估技術中存在許多不足之處。比如CVSS、CWSS等許多漏洞評分系統可以評估單個網絡漏洞嚴重程度，但單一的漏洞分析不能體現網絡攻擊的復雜過程，也不能發現潛在的網絡威脅。另外，基于貝葉斯網絡的評估方法，必須根據專家經驗事先制定先驗概率表，馬爾科夫轉移模型中的概率也缺乏選取依據，評估有失客觀性。并且大多數的脆弱性分析當中沒有考慮零日漏洞問題，不能發現潛在威脅。

發明內容

有鑒于此，本發明的目的是提供一種基于零日攻擊圖的網絡脆弱性評估方法，具有對未知漏洞的處理能力，可以理發現潛在的網絡脆弱點。

一種基于零日攻擊圖的網絡脆弱性評估方法，包括如下步驟：

步驟1、確定物理網絡的信息，包括：各主機所包含的服務、各主機所包含的權限以及主機之間存在的網絡連接關系；

步驟2、生成零日攻擊圖，具體為：

步驟21、根據步驟1獲得的網絡信息，將網路中攻擊者擁有用戶權限的主機存到集合1中；將網絡中攻擊者不擁有用戶權限的主機存到集合2中；

步驟22、在集合1中任意選擇一個主機，定義為主機H0；集合2中任意選擇一個主機，定義為主機H1；判斷主機H0與主機H1之間是否有網絡連接，如果沒有，主機H0無法對主機H1進行攻擊；如果有網絡連接，則主機H0上的攻擊者就有可能通過主機H1的每個服務上的漏洞實現對主機H1的攻擊，則攻擊者獲得了主機H1的用戶權限，則從主機H0經過主機H1的每個服務對主機H1的攻擊均形成一條攻擊路徑；遍歷主機H1上所有服務，確定主機H0對主機H1進行攻擊的攻擊路徑；將主機H1從集合2中刪除，將其添加到集合1中；

步驟23、再從集合2中任選一個主機，定義為H2；按照步驟22的方法，確定與H2兩主機之間的攻擊路徑；以此類推，按照步驟22的方法遍歷集合2中所有主機，確定與H0之間的攻擊路徑；

步驟24、繼續從集合1中任意選取一個主機，依次按照步驟22和23的方法，確定攻擊路徑；以此類推，直到遍歷集合1中所有的主機，則完成了網絡中任意兩個主機之間的攻擊路徑的確定，得到零日攻擊圖G；