摘 要：本文采用網絡安全評估的數學方法，提出了一種基于漏洞檢測技術的網絡安全評估方案。本方案由客戶端與評估服務器端組成，客戶端定制并提交掃描任務，服務器端執(zhí)行掃描任務，并將結果返回給客戶端，客戶端以收到的掃描結果為輸入，采用合適的算法對目標系統(tǒng)的安全性能進行評估，整個系統(tǒng)架構由掃描配置模塊、掃描控制模塊、結果輸出模塊、漏洞庫組成。最后通過采用復雜綜合評判法來評估系統(tǒng)的脆弱性。

關鍵詞：網絡安全評估；漏洞掃描；系統(tǒng)脆弱性；TCP/IP

中圖分類號：TP393.08

安全檢測和評估技術是計算機網絡系統(tǒng)信息安全保障體系的重要組成部分，是網絡系統(tǒng)安全防御的前提和基礎條件。它既可以在攻擊者對網絡系統(tǒng)形成真正的危害之前確定網絡系統(tǒng)內部存在的安全隱患，提供切實可行的安全性增強策略，也可以在攻擊者對網絡系統(tǒng)進行實際的攻擊行為之后實施追蹤，快速定位影響系統(tǒng)安全性的主機漏洞，并提供補丁進行修補，從而保證了網絡系統(tǒng)的安全特性。脆弱性評估作為安全檢測和評估技術的重要一環(huán)，是在網絡系統(tǒng)攻擊事件發(fā)生之前發(fā)現系統(tǒng)脆弱性和薄弱環(huán)節(jié)的有效手段，同時也是降低網絡系統(tǒng)風險等級的有效途徑[1-2]。對網絡系統(tǒng)中的計算機以及由若干主機組成的計算機網絡系統(tǒng)定期進行脆弱性評估對于保障系統(tǒng)安全非常重要，已經成為信息、安全領域的迫切需求。

目前，國內外的許多研究機構都在進行計算機網絡系統(tǒng)脆弱性評估技術的相關研究，并已經提出了多種評估模型，開發(fā)了多個評估系統(tǒng)[3-4]。但是，這些模型或系統(tǒng)或多或少存在著一些不足，或者考慮的因素不夠全面，或者缺乏對結果信息的深度分析，或者可操作性不強，使得其對于提高網絡系統(tǒng)安全等級的指導意義不夠明確。

網絡安全性評估一般從信息的機密性、完整性和可用性等方面來衡量。實際應用中，這些內容并不是一成不變的，不同的組織可能會側重于不同安全屬性的需求，例如，軍隊和政府機構比較側重于機密性，銀行部門更側重于完整性，學校和普通的企業(yè)更側重于可用性。從涉及的范圍看，信息系統(tǒng)的安全度量包括技術性安全度量、組織性安全度量、操作性安全度量以及物理安全性度量[5-6]。

1 系統(tǒng)漏洞分析

1.1 漏洞機理

漏洞使硬件或軟件在面臨攻擊時表現出某種脆弱性，使攻擊者可以利用這個缺陷在系統(tǒng)未授權的情況下訪問系統(tǒng)或者破壞系統(tǒng)的正常使用。這些缺陷所能影響到的網絡范圍是很大的，其中包括路由器、客戶和服務器程序、操作系統(tǒng)、防火墻等，對系統(tǒng)的安全穩(wěn)定帶來嚴重威脅。

漏洞產生的因素主要有以下四個[7-8]：

（1）網絡系統(tǒng)包括網絡設備、防火墻和計算機等，其操作系統(tǒng)或系統(tǒng)軟件都可能存在各種設計缺陷。在不同的設備中，不同的系統(tǒng)和不同的設置都會存在不同的安全漏洞，這是漏洞的主要根源；

（2）種類繁多、不斷發(fā)展中的網絡應用程序為網絡系統(tǒng)增添了許多安全隱患；

（3）由于歷史的原因，Internet的發(fā)展是建立在相互信任的互聯機制上， IPv4是Internet中所使用的互連網層（InternetLayer）協(xié)議，該協(xié)議面臨著信息認證、完整性控制、保密和拒認等諸多安全方面的問題，TCP/IP協(xié)議族固有的安全缺陷為網絡攻擊打開了方便之門，由于大量重要的應用程序都以TCP作為它們的傳輸層協(xié)議，因此TCP的安全性問題會給網絡帶來嚴重的后果。如TCP/IP協(xié)議允許系統(tǒng)權限用戶構造原始IP數據包，可以制造許多RFC未定義的網絡狀態(tài)，進行網絡欺騙、拒絕服務（DOS）、數據偵聽等攻擊；

（4）缺少必要的安全防范、管理不當也是產生安全漏洞的一個重要原因。

1.2 典型漏洞探測策略

這類漏洞掃描軟件對于每個漏洞都有一個相應的探測程序，以插件形式來調用實施對目標系統(tǒng)的掃描。用戶一般可以根據需要掃描的漏洞來調度相應的探測程序，如通過參數配置選擇漏洞的類別，由程序調用該類的所有漏洞探測程序實施探測。軟件實施的探測方法如圖1所示。

探測的具體方法是：由用戶進行參數配置，根據需要選定要掃描的漏洞類別集{類別A，類別B，......，類別X}，然后由軟件調用逐個類別所含的每個漏洞探測插件{插件SX1，插件SX2，......，插件SXn}進行探測。

系統(tǒng)的性能主要決定于漏洞庫的完整性和漏洞探測插件程序的編寫質量。這種方法的好處是能保證漏洞探測的完整性，漏洞探測程序不受目標系統(tǒng)開放端口信息的影響，只要是所選取的漏洞掃描插件，都會被執(zhí)行一遍，即使應用程序或系統(tǒng)更改了默認定義的端口，漏洞掃描軟件仍然可以根據漏洞特征代碼對其進行探測，可以逐個識別目標系統(tǒng)隱藏的網絡服務。

不過，這種設計方法忽視漏洞與目標系統(tǒng)信息的聯系，在某種程度上降低了探測的準確性和掃描效率。如果探測程序的探測程度不夠深，目標系統(tǒng)運行了端口定義為21的某種網絡應用服務，探測軟件可能誤以為是FTP類的服務，判定目標系統(tǒng)具有匿名FTP服務的某些脆弱性，就發(fā)生漏洞誤報。另外忽略目標系統(tǒng)的整體信息，也會導致漏洞報告的不準確，例如用Nessus軟件掃描一個操作系統(tǒng)類型為Windows2003的目標機器，得到下面的漏洞警告：

2 系統(tǒng)的設計與實現

本文設計的安全評估系統(tǒng)是基于C-S模式的體系結構，其體系結構如圖2所示，該體系結構主要由客戶端和服務器端組成，其中客戶端主要由掃描配置模塊、評估模塊、掃描結果數據庫模塊與結果輸出模塊等組成，服務器端則主要由掃描引擎、漏洞庫、規(guī)則庫、結果庫與插件庫等組成。這種模式由客戶端的掃描配置模塊進行掃描配置，將掃描請求文件發(fā)送到服務器端，服務器端的掃描引擎根據掃描配置文件調用相應的插件對目標網絡進行掃描，將從目標網絡返回的結果與漏洞庫中的信息進行匹配以確定是否存在相應漏洞，然后將掃描結果返回給客戶端，客戶端由評估模塊對返回的掃描結果進行分析，完成對被掃描網絡的安全評估工作，最后由結果輸出模塊對掃描結果進行處理。

3 結束語

隨著互聯網的迅速發(fā)展，政治、經濟、社會、文化等各方面都越來越依賴于網絡。而利用安全脆弱性危害網絡安全的攻擊事件每年以幾何級數在增長，隨著經濟的發(fā)展，危害事件造成的損失也越來越大。因此無論是網絡服務商、網絡管理部門，還是網絡應用部門，都將網絡安全和系統(tǒng)安全放在非常重要的地位上，對此提出更高、更迫切的需求。

深入研究和開發(fā)網絡安全評估系統(tǒng)，可以大大推進網絡安全科研工作，拓展安全檢測的新研究方向，具有極大的社會、經濟效益。系統(tǒng)可以采用靈活多樣的方式提供服務，如出售軟件系統(tǒng)、遠程檢測、定制開發(fā)、系統(tǒng)安全維護、安全方案設計等，商業(yè)前景十分誘人。

本文系統(tǒng)地研究了網絡安全評估系統(tǒng)，闡明了相關的關鍵技術和系統(tǒng)設計的技術方案，針對提高漏洞分析的準確性、漏洞探測的全面性和系統(tǒng)的高效性，提出了可行的技術策略，并加強隱藏信息服務的分析，提高了系統(tǒng)的適應能力，并利用實驗室的局域網資源，進行了網絡安全評估的模擬實驗，取得了較理想的效果，為深入開發(fā)網絡安全評估系統(tǒng)奠定了基礎。

參考文獻：

[1]National Institute of Standards and Technology.SPecial Publications，Risk Management Guide for Information Technology Systems[M].July，2002：4-6.

[2]Peltier T R.Information Security Risk Analysis[J].Taylor Francis，Inc.April，2005：23-35.

[3]邢栩嘉，林闖，蔣屹新.計算機系統(tǒng)脆弱性評估研究[J].計算機學報，2004（0l）：4-6.

[4]Common Criteria for Information Technology Security Evaluation.September，2006：28-32.

[5]Steven N，Michael J. MultiPle Coordinated Views for Network Attaek Graphs[J]，Workshop on Visualization for ComPuter Security，October 26，Minneapolis，MN，USA，2005：IEEE：99-106.

[6]汪淵，蔣凡，陳國梁.基于圖論的網絡安全分析方法研究與應用[J]，小型微型計算機系統(tǒng)，2003（10）：1865-1869.

[7]MCNAB C.王景新譯.網絡安全評估[M].北京：中國電力出版社，2005：21-22.

[8]OURSTON D， MATZNER S，STUMP W. Applications of Hidden Markov Models to Detecting Multi-stage Network Attacks[C].Proceedings of the 36th Hawaii International Conference on System Sciences（HICSS），Applied Research Laboratories University of Texas at Austin，2003：26-28.

作者簡介：張麗萍（1978-），女，山東鄒城人，學士，教師，講師，研究方向：計算機網絡和網絡安全。

作者單位：山東兗礦技師學院 計算機科學系，山東鄒城 273500；聊城市人民醫(yī)院，山東聊城 252000