基于有向图的网络安全风险评估研究

青岛大学 硕士学位论文 基于有向图的网络安全风险评估研究 姓名：辛克恒 申请学位级别：硕士 专业：软件工程 指导教师：贾小珠;刘滨 20080508 摘要 随着计算机网络的迅速发展，尤其是近年来Intemet在我国迅速普及，针对网络系统的攻击也呈现快速长的势头，网络安全讵受到严峻考验。网络世界面临着无处不在的脆弱性以及可能来自各方面的威胁和攻击，安全风险是必然存在的，因此，对网络进行安全风险评估非常必要。网络安全风险评估是网络安全主动防御中的一项重要技术，对保证网络安全具有重要的意义，是目前的研究热点之一。本文分析了目前威胁网络安全的主要因素，研究了国内外评估标准的发展和现状，并总结了常见的安全风险评估方法，通过分析比较，选择出合适的评估方法。在此基础上，提出了一种基于有向图的网络安全评估方法，明确了网络安全评估中涉及的资产、资产价值、威胁、脆弱性等因素，给出了资产赋值、威胁、脆弱性量化原则。使用定性分析与定量计算相结合的方法，将主机价值和漏洞存在可能性以及漏洞利用可能性进行量化评估，得到目标主机的安全风险度量值，确定主机风险等级，并给出了具体算法及流程。基于有向图的网络安全风险评估方法，主要是以有向图的相关知识为基础，结合网络拓扑结构，构建网络评估有向图，利用路径分析及相应的路径算法，得到网络中存在的危险路径和关键节点，从而以有针对性地采取安全保护措施，进行网络脆弱性修补，增强网络的总体安全性能。 关键词：安全风险评估；风险指标；风险评估模型；有向图

第一章绪论 1．1研究背景 第一章绪论 随着计算机网络技术的迅速发展，尤其是近年来Intemet在我国迅速普及，针对网络系统的攻击也呈现快速增长的势头，网络安全正受到严重考验。一个国家计算机网络信息系统运行的可靠性，与这个国家计算机网络信息安全保障的准备工作水平相适应。目前，随着信息化的步伐越来越快，我们面临的网络安全问题也日益严重。随着经济活动的融入，原本不平静的Intemet变得更加危险，各种病毒、木马、入侵等安全事件层出不穷。再加上现有数量巨大的黑客工具可以随意下载，这使得普通人也可能成为黑客，Intemet充满了陷阱和危险。据US．CERT发布的数据显示，2005年安全研究人员共发现了5990个软件漏洞，相比2004年增长了37％。这些软件漏洞被黑客、病毒等利用，造成大量的安全事件和严重损失。以网络攻击为例：据调查2004年专门针对美国政府网站的非法入侵事件发生了5．4万件，2005年升至7．9万件。被入侵的政府网站包括国防部、国务院、能源部、国土安全部等重要政府职能部门。我国新华社曾报道，中国近60％的单位网络曾发生过安全事件，其中包括国防部等政府部门。中国公安部进行的一项调查显示，在被调查的7072家单位网络中，有58％曾在2004年遭到过攻击。这些单位包括金融机构和国防、商贸、能源和电信等政府部门。当今的网络世界，威胁手段多种多样，攻击速度越来越快，预留给防护者的响应时间越来越短，对信息资产的破坏程度越来越严重，所以，如何保证网络的安全已经引起国家、机构、单位及个人网络使用者的高度重视。网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。目前，除了计算机本身的安全机制外，人们一般会采用入侵检测、防火墙、病毒检测等措施来提高系统和网络的安全性，但是这些网络安全技术本质上是一种被动的防御，随着黑客攻击技术的发展，这些被动的防御能力显得有些力不从心，它们不能有针对性地主动依据当前网络已经遭受攻击的强度和现有JxL险等级等情况实时调整自己的防御策略。如何更好的积极主动的保证网络的安全，己经备受当今网络安全研究者的关注。网络安全风险评估是网络安全主动防御中的一项重要技术，它对积极的网络安全技术的研究具有重要的意义，是目前的研究热点之一。网络与信息安全方面的研究是当前信息行业的研究重点。在国际上信息安全研究己成体系，20世纪70年代就已经丌始标准化。当前有多个国际组织致力于网络与信息安全方面的研究。随着信息社会对网络依赖性的不断增加以及“9ll”等突发事件的出现，以美国为首的各个国家在网络与信息安全方面都在加速研究。我国自2003年以来也在网络与信息安全方面有了较大的进展，但是总体相对落后。网络安全评估是对信息及信息处理设施的威胁、影响、脆弱性及三者发生的可能性的评估。它是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法，确定信息资产的风险等级和优先风险控制顺序。评估就是找出威胁，以确保资产安全。网络安全评估是信息安全管理体系的基础，是对现有网络的安全性进行分析的第一手资料，也是网络安全领域内最重要的内容之一，它为降低网络的风险，实施风险管理及风险控制提供了直接的依据。 1．2课题的研究目的和意义 网络安全风险评估是系统安全的基础性工作，是观察过程的一个持续的工作，是分级防护和突出重点的具体体现。网络系统安全风险评估的总体目标是认清系统安全环境和系统安全状况，明确责任，采取或完善安全保障措施，使其更加经济有效，并使安全策略保持一致性和持续性，加强风险评估工作是当前网络系统安全工作的客观需要和紧迫需求。网络安全风险评估的目的是认清当前的信息安全环境，全面、准确地了解组织机构的网络安全现状，发现系统的安全问题及可能存在的危害，以便为系统最终的安全需求提供依据。通过网络安全风险评估，使我们清楚网络信息系统包含的重要资产、面临的主要威胁、本身存在的弱点；哪些威胁出现的可能性较大，造成的影响也较大，提出的安全方案需要多少技术和费用的支持；进一步分析出网络系统的风险是如何随时问而变化的，将来应如何面对这些风险。网络安全风险评估是安全预防实现的重要措施，它可以在网络安全脆弱性出现和被利用的这段时间内，及早发现此风险，通过对网络、主机、资源、服务等的评估，制定和调整安全策略，在攻击发生以前降低或者避免一部分安全风险。 网络安全风险评估还可以提供很多有价值的信息：评估的结果将作为制定整体安全策略的依据；评估可以为动态安全策略提供调整策略的方向性指导与依据；通过评估，从风险的反面我们就可以知道哪些系统是值得信任的：评估可以预测未来网络系统各个节点将要遭受攻击估计的频度；评估的结果为．实施有效的反击提供可参考的数据。加强网络安全，是关系到使用者利益的一个大问题。目前在用户的网络中都存 储着大量的信息资料，很多方面的工作也越来越依赖网络，一旦网络安全方面出现问题，造成信息的丢失或不能及时流通，或者被篡改、增删、破坏或窃用，都将带来难以弥补的巨大损失。而对于政府部门等单位来讲，加强网络安全建设的意义甚至关系到国家的安全、利益和发展。因此，在进行网络安全设备选型、网络安全需求分析、网络建设、网络改造、应用系统试运行、内网与外网互联、与第三方业务伙伴进行网上业务数据传输、电子政务等业务之前，都应该进行风险评估。 1．3国内外网络安全风险评估状况 国外关于信息系统安全风险评估的研究已有20多年的历史，美国、加拿大等IT 业发达国家于20世纪70年代和80年代建立了国家认证机构和风险评估认证体系，负责研究并开发相关的评估标准、评估认证方法和评估技术，并进行基于评估标准的信息安全评估和认证，目前这些国家与信息系统风险评估相关的标准体系、技术体系、组织架构和业务体系都已经相当成熟。从已经建立了信息安全评估认证体系的有关国家来看，风险评估及认证机构都是由国家的安全、情报、国家标准化等政府主管部门授权建立，以保证评估结果的可信性和认证的权威性、公正性。如美国TCSEC、加拿大标准CTCPEC、欧洲ITSEC、通用信息技术安全评估标准CCl2J、ISOHEC 17799：2005t31与ISO／IEC27001：2005等信息安全标准：各种评估方法如定量的风险评估方法、定性的风险评估方法、综合风险评估方法和基于模型的风险评估方法等，例如Kemmerer提出的基于状态转移图的脆弱性分析方法14J、美国普渡大学(Purdue University)的IDIOT／X,侵分析系统是利用Kumar矛-tlSpafford设计的着色Petri网CPN(Colored Petri Nets)f5】的变种来表示和检测系统入侵模式【6．7l等。为了实现网络安全评估，不少国外厂商开发出一些安全评估产品，主要是静态对网络中的各种系统、设备和数据库进行漏洞扫描，找出整个网络系统中最容易受到攻击的地方，对网络进行评估，最后提出建设性的解决方案。如美国ISS公司开发的DatabaseScanner、IntemetScanner和SystemScanner三种扫描器安全评估产品瞵J，分别可对数据库、网络和系统进行安全评估。我国信息系统风险评估的研究起步较晚，目前主要工作集中于组织架构和业务体系的建立，相应的标准体系和技术体系还处于研究阶段，但随着电子政务、电子商务的蓬勃发展，信息系统风险评估领域和以该领域为基础和前提的信息系统安全工程在我国已经得到政府、军队、企业、科研机构的高度重视，具有广阔的研究和发展空间。 近几年国内在网络安全评估模型方面有一些研究，即从网络安全脆弱性分析构造安全评估模型，以及系统脆弱性研究。市场上关于脆弱性扫描、防火墙及漏洞检测等都有比较成熟的产品，但与信息系统风险综合评估相关的工具却很匮乏。风险评估过程中要用到多种技术手段，如入侵检测、系统审计、脆弱性扫描等，将这些技术整合到一起，提供综合的风险分析工具，不仅解决了数据的多元获取问题，而且为整个信息安全管理创造了良好的条件。国内高端市场主要被如IBM(普华永道)、毕马威这样类型会计师事务所类型的公司占领，网络安全评估涵盖在他们的整个审计体系之下。中端市场上则盘踞着国内外大多数较有实力的网络安全公司，其中包括较早提出安全评估并且在运营商市场有比较好的实践的安氏、有作风稳健但却一步一个脚印打下大片疆土的启明星辰、 也有异军突起极具竞争力的绿盟科技⋯⋯低端厂商则数量庞大，往往只是通过简单的漏洞扫描、病毒查杀等方式操作。无论国外还是国内，在信息系统的JxL险评估中，安全模型的研究、标准的选择、要素的提取、评估方法的研究、评估实施的过程、一直都是研究的重点⋯J。目前基于弱点检测的评估技术主要问题： 弱点检测的精度问题。一般通过直接检测和关联检测，对于直接检测，可以通 过某个弱点的特征，直接对目标信息的探测，如在线弱口令检测，这种方法可以精确定位弱点。但是由于弱点挖掘和目标系统及其应用环境相关度非常大，对所有的系统弱点都进行直接探测是不现实的，因此有些弱点的存在与否只能通过对获取的目标信息进行推理的方法获得，也就是关联检测的方法。弱点的量化问题。现存的弱点检测之后就是对于每一个弱点根据弱点数据库里的知识，给与一个类似于高中低的模糊评价值，这种表示方法很难反映弱点在系统中造成的真实的安全问题。弱点的关联问题。由于系统中多个弱点关联关系的存在，简单的列举或者权值相加的表达方式不能反映对于漏洞关联使用造成的安全损害。网络上不断发展的攻击手段，例如危害比较大的几种蠕虫，都是利用了系统中不止一个的漏洞来进行传播，因此对于信息系统中的弱点进行关联表达是需要仔细研究的问题。 1．4课题的研究内容 本文研究了国内外网络安全风险评估的发展和研究现状以及当前常用的安全风险评估方法。在已有风险评估方法基础上，采用定性与定量相结合的评估方法计算出网络中主机风险值，在此基础上，结合图论中有向图理论，提出一种基于有向图的网络安全风险评估。基本思路如下：