王樂東+李孟君+葉忠

摘 要：論文介紹了可信計(jì)算技術(shù)的研究進(jìn)展與發(fā)展趨勢，結(jié)合勒索病毒等非預(yù)知病毒木馬的行為特征，分析了可信計(jì)算主動(dòng)防御機(jī)制在識(shí)別非預(yù)知病毒木馬，阻止其執(zhí)行破壞，阻斷其傳播感染等方面的先進(jìn)性，指出了可信計(jì)算技術(shù)及其產(chǎn)品是應(yīng)對網(wǎng)絡(luò)攻擊和病毒侵襲的有效手段，是構(gòu)建網(wǎng)絡(luò)空間主動(dòng)防御體系的有力支撐。

關(guān)鍵詞：可信計(jì)算；信息安全；主動(dòng)防御；病毒木馬；網(wǎng)絡(luò)攻擊

中圖分類號(hào)：TP 309. 1 文獻(xiàn)標(biāo)識(shí)碼：A

1 引言

網(wǎng)絡(luò)安全的威脅來源和攻擊手段不斷變化，傳統(tǒng)安全技術(shù)和被動(dòng)防御手段面臨巨大挑戰(zhàn)，網(wǎng)絡(luò)空間信息安全形勢越來越嚴(yán)峻。2017年5月，勒索病毒短短幾小時(shí)就席卷了全球至少150個(gè)國家、30萬名用戶，近百個(gè)國家的政府、高校、醫(yī)院、個(gè)人等機(jī)構(gòu)受到感染，引發(fā)了迄今為止網(wǎng)絡(luò)世界最大的安全危機(jī)。2017年6月，新型勒索病毒Petya又開始肆虐，多國的政府、銀行、電力系統(tǒng)、通訊系統(tǒng)等多個(gè)行業(yè)受到不同程度的影響。勒索病毒正是利用操作系統(tǒng)漏洞“永恒之藍(lán)”攻擊工具，進(jìn)行全自動(dòng)化攻擊傳播。因此，計(jì)算機(jī)硬件結(jié)構(gòu)和操作系統(tǒng)的安全是信息安全的基礎(chǔ)，只有從信息系統(tǒng)的硬件和操作系統(tǒng)層面采取防護(hù)措施，保證計(jì)算機(jī)系統(tǒng)所提供的服務(wù)是可信的、可用的、信息和行為上是安全的，才能確保信息系統(tǒng)和整個(gè)網(wǎng)絡(luò)的安全。

2 可信計(jì)算技術(shù)的研究進(jìn)展

可信計(jì)算[1，2]是指計(jì)算運(yùn)算的同時(shí)進(jìn)行安全防護(hù)，使操作和過程行為在任意條件下的結(jié)果總是與預(yù)期一樣，計(jì)算全程可測可控，不被干擾。改變只講求計(jì)算效率，而不講安全防護(hù)的片面計(jì)算模式，是一種運(yùn)算和防護(hù)并存，自我免疫的新計(jì)算模式，能夠保證計(jì)算機(jī)系統(tǒng)所提供的服務(wù)是可以論證其是可信賴的，也就是指從用戶角度看，計(jì)算機(jī)系統(tǒng)所提供的服務(wù)是可信賴的，而且這種可信賴是可論證的。

可信計(jì)算3.0理論[3]認(rèn)為，安全問題的根源在于攻擊者利用系統(tǒng)設(shè)計(jì)邏輯缺陷，使系統(tǒng)運(yùn)行偏離了正常邏輯，而這個(gè)步驟的實(shí)現(xiàn)必然伴隨著外來可執(zhí)行實(shí)體的介入?？尚庞?jì)算能夠全面可靠地記錄合法的可執(zhí)行實(shí)體，一旦發(fā)現(xiàn)未知實(shí)體即阻止其運(yùn)行，對實(shí)體的各種行為進(jìn)行細(xì)粒度審計(jì)，并與強(qiáng)制訪問控制策略相結(jié)合，實(shí)現(xiàn)對重要數(shù)據(jù)的安全受控訪問，從而保證系統(tǒng)漏洞不被利用，數(shù)據(jù)不被破壞，保證系統(tǒng)和數(shù)據(jù)安全。

可信計(jì)算3.0技術(shù)[4]致力于建設(shè)包括硬件、固件、操作系統(tǒng)、應(yīng)用在內(nèi)的安全可信的計(jì)算環(huán)境，用密碼實(shí)施身份識(shí)別、狀態(tài)度量、保密存儲(chǔ)，及時(shí)識(shí)別“自己”和“非已”成份，主動(dòng)破壞與排斥進(jìn)入機(jī)體的有害物質(zhì)，實(shí)現(xiàn)“邊計(jì)算、邊監(jiān)控”的雙體系結(jié)構(gòu)，消除系統(tǒng)特權(quán)，能夠在系統(tǒng)存在漏洞時(shí)有效防護(hù)系統(tǒng)安全和數(shù)據(jù)安全，確保計(jì)算機(jī)系統(tǒng)所提供的服務(wù)是可靠的、可用的、信息和行為上是安全的。

3 非預(yù)知病毒的行為特征分析

近期的勒索病毒W(wǎng)annaCry和新型勒索病毒Petya等非預(yù)知病毒特點(diǎn)明顯，它有蠕蟲性質(zhì)，傳播速度更快范圍更廣，全程自動(dòng)化攻擊行為更隱蔽，感染無法補(bǔ)救危害程度深。

勒索病毒W(wǎng)annaCry創(chuàng)建名為操作系統(tǒng)Microsoft Security Center （2.0） Service的新服務(wù)，對應(yīng)執(zhí)行文件病毒母體mssecsvc.exe，又同時(shí)釋放敲詐者程序、提權(quán)程序和解密勒索程序等多個(gè)子程序。該病毒通過操作系統(tǒng)445網(wǎng)絡(luò)端口（文件共享）進(jìn)行傳播，一旦某個(gè)電腦被感染，同一網(wǎng)絡(luò)內(nèi)的主機(jī)都會(huì)被攻擊。與一般病毒以釣魚郵件、網(wǎng)站惡意廣告?zhèn)鞑シ绞讲煌账鞑《就ㄟ^正常的網(wǎng)絡(luò)文件共享端口傳播，感染后病毒開啟操作系統(tǒng)的正常服務(wù)，傳統(tǒng)防護(hù)手段無法及時(shí)識(shí)別立即處置。

在用戶不需要任何操作的情況下，勒索病毒自動(dòng)掃描開放的文件共享端口，植入惡意程序并執(zhí)行。只要操作系統(tǒng)漏洞存在，且網(wǎng)絡(luò)可達(dá)，勒索病毒均能實(shí)施攻擊傳播感染，新目標(biāo)機(jī)中招后，該機(jī)又作為攻擊機(jī)不停地進(jìn)行網(wǎng)絡(luò)攻擊擴(kuò)散，甚至攻擊多用戶訪問的相關(guān)應(yīng)用數(shù)據(jù)服務(wù)器，極易造成嚴(yán)重的大面積感染情況。

與一般病毒不同，勒索病毒使用高強(qiáng)度的RSA和AES加密算法，會(huì)將計(jì)算機(jī)中如圖片、文檔、壓縮包、音頻、視頻等178種擴(kuò)展名文件加密，用戶一旦中招，基本無法破解。即使殺毒軟件提取病毒樣本特征后，完成病毒庫升級(jí)，刪除了勒索病毒，但也無法幫用戶解密數(shù)據(jù)，致使用戶遭受巨大的損失。

4 可信計(jì)算主動(dòng)防御的先進(jìn)性

4.1 傳統(tǒng)被動(dòng)防護(hù)手段

以防火墻、入侵檢測和病毒防護(hù)為主的傳統(tǒng)的信息安全技術(shù)僅僅只是從外部對企圖共享信息資源的非法用戶和越權(quán)訪問進(jìn)行封堵，以達(dá)到防止外部攻擊的目的。

勒索病毒事件發(fā)生后，臨時(shí)或應(yīng)急手段主要包括升級(jí)操作系統(tǒng)安全補(bǔ)丁、關(guān)閉445等網(wǎng)絡(luò)端口和服務(wù)、升級(jí)針對勒索病毒的病毒庫、離線備份用戶數(shù)據(jù)等措施。

然而此次勒索病毒屬于未知病毒，尤其這次勒索病毒全程自動(dòng)化攻擊、傳播速度更快、攻擊行為更隱蔽，傳統(tǒng)“封堵查殺”難以應(yīng)對利用邏輯缺陷的攻擊，被動(dòng)防御手段只有收集到病毒樣本，提取樣本特征，才能建立防御，故勒索病毒不到兩天就席卷了全球。感染后無法補(bǔ)救，即使病毒被查殺，已被加密的文件也無法恢復(fù)，造成了巨大影響，充分暴露了傳統(tǒng)被動(dòng)防御手段面對操作系統(tǒng)級(jí)新漏洞與攻擊方法的被動(dòng)滯后問題。

4.2 可信計(jì)算主動(dòng)防御手段

可信計(jì)算及其產(chǎn)品[4-6]采用主動(dòng)免疫系統(tǒng)防御機(jī)制，根據(jù)主體的行為歷史記錄和當(dāng)前行為特征來動(dòng)態(tài)判斷主體的可信度，確定主體行為是否違規(guī)、越權(quán)以及超過范圍等，主體的可信性定義為其行為的預(yù)期性，軟件的行為可信性劃分級(jí)別，通過信息鏈傳遞。信任鏈?zhǔn)峭ㄟ^構(gòu)建一個(gè)信任根，從信任根開始到硬件平臺(tái)、到操作系統(tǒng)、再到應(yīng)用，一級(jí)認(rèn)證一級(jí)，一級(jí)信任一級(jí)，從而把這種信任擴(kuò)展到整個(gè)計(jì)算機(jī)系統(tǒng)，結(jié)合可信測量、可信存儲(chǔ)、可信報(bào)告機(jī)制，保證系統(tǒng)的可靠性、可用性、信息和行為的安全性。

提供執(zhí)行程序?qū)崟r(shí)可信度量，控制非授權(quán)及不符合預(yù)期的執(zhí)行程序運(yùn)行，實(shí)現(xiàn)對已知/未知惡意代碼的主動(dòng)防御。將計(jì)算機(jī)硬件、固件、操作系統(tǒng)、應(yīng)用軟件在內(nèi)的安全可信的計(jì)算環(huán)境識(shí)別為“自己”，一切如勒索病毒等未知病毒、木馬或非法程序，均會(huì)及時(shí)識(shí)別為“非已”成份，自動(dòng)破壞與排斥進(jìn)入機(jī)體的有害物質(zhì)。實(shí)現(xiàn)“邊計(jì)算、邊監(jiān)控”的雙體系結(jié)構(gòu)，消除系統(tǒng)特權(quán)，計(jì)算節(jié)點(diǎn)可信、網(wǎng)絡(luò)通信可信、業(yè)務(wù)操作可信，能夠在系統(tǒng)存在漏洞時(shí)有效防護(hù)系統(tǒng)安全和數(shù)據(jù)安全，有效對抗偵察襲擾、病毒發(fā)作、網(wǎng)絡(luò)攻擊，阻止勒索病毒母體及其子程序的運(yùn)行，控制和隔離勒索病毒，防止其網(wǎng)絡(luò)傳播擴(kuò)散。

在不依賴病毒樣本特征、不安裝系統(tǒng)補(bǔ)丁、不關(guān)閉網(wǎng)絡(luò)端口、不升級(jí)殺毒軟件的情況下，可信計(jì)算主動(dòng)防御手段能夠及時(shí)識(shí)別勒索病毒，阻止其執(zhí)行破壞，阻斷其傳播感染，具有對操作系統(tǒng)漏洞級(jí)非預(yù)知病毒木馬的防御能力。

5 結(jié)束語

類似的非預(yù)知病毒木馬的攻擊和危害不會(huì)馬上停止，解決信息系統(tǒng)安全問題，必須從核心技術(shù)不能受制于人的高度，加強(qiáng)自主創(chuàng)新，可信計(jì)算3.0技術(shù)體系及其產(chǎn)品具有主動(dòng)免疫、動(dòng)態(tài)防御、快速響應(yīng)等特點(diǎn)，可有效應(yīng)對非預(yù)知病毒木馬等惡意軟件，是建立網(wǎng)絡(luò)空間以可信計(jì)算為基礎(chǔ)、自主可控為目標(biāo)、安全免疫為特征主動(dòng)防御體系的有力支撐。

參考文獻(xiàn)

[1] 沈昌祥，張煥國，王懷民，等.可信計(jì)算的研究與發(fā)展[J].中國科學(xué)：信息科學(xué)，2010.

[2] 沈昌祥，陳興蜀.基于可信計(jì)算構(gòu)建縱深防御的信息安全保障體系[J].四川大學(xué)學(xué)報(bào)（工程科學(xué)版），2014.

[3] 沈昌祥.用可信計(jì)算3.0筑牢網(wǎng)絡(luò)安全防[J].信息安全研究，2017.

[4] 蔡誼.軍民融合的軍隊(duì)可信計(jì)算標(biāo)準(zhǔn)[J].信息安全研究，2017.

[5] 安寧鈺，王志皓，趙保華.可信計(jì)算技術(shù)在電力系統(tǒng)中的研究與應(yīng)用[J].信息安全研究，2017.

[6] 孫瑜，王溢，洪宇.可信軟件基技術(shù)研究及應(yīng)用[J].信息安全研究，2017.endprint