藍(lán)土慶

（嶺南師范學(xué)院 網(wǎng)絡(luò)與信息技術(shù)中心，湛江 524048）

0 引言

物聯(lián)網(wǎng)技術(shù)快速發(fā)展，被廣泛的應(yīng)用到電子商務(wù)、金融等各個(gè)方面，積累了大量的信息資源，方便了人們的日常生活、工作、學(xué)習(xí)，在社會(huì)各行業(yè)中起著重要的作用[1,2]，但在此過程中也為物聯(lián)網(wǎng)信息資源的使用帶來一些隱患。對(duì)物聯(lián)網(wǎng)信息保護(hù)變得尤為重要，但由于物聯(lián)網(wǎng)絡(luò)的漏洞與黑客一直存在。對(duì)物聯(lián)網(wǎng)網(wǎng)絡(luò)信息安全造成極大的威脅，需要對(duì)物聯(lián)網(wǎng)中存在的威脅進(jìn)行檢測(cè)[3,4]，然而傳統(tǒng)的安全威脅智能檢測(cè)系統(tǒng)存在的檢測(cè)效率低，漏洞檢測(cè)不全面等問題，針對(duì)上述問題，如何將系統(tǒng)中的威脅進(jìn)行有效的檢測(cè)是當(dāng)下階段物聯(lián)網(wǎng)安全威脅智能檢測(cè)領(lǐng)域需要重點(diǎn)研究的課題[5,6]。

文獻(xiàn)[7]提出了基于白名單的物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全檢測(cè)系統(tǒng)。運(yùn)用環(huán)境封閉固定的特點(diǎn)，在物聯(lián)網(wǎng)服務(wù)器中建立白名單，在物聯(lián)網(wǎng)感知節(jié)點(diǎn)中安裝檢測(cè)模塊，對(duì)哈希值特征碼進(jìn)行計(jì)算，將計(jì)算結(jié)果傳輸?shù)轿锫?lián)網(wǎng)服務(wù)器上，與白名單進(jìn)行對(duì)比，可以檢測(cè)出威脅因素，該系統(tǒng)存在漏洞檢測(cè)效率較低的問題。文獻(xiàn)[8]提出一種基于DoS安全威脅智能檢測(cè)系統(tǒng)。通過對(duì)物聯(lián)網(wǎng)中的信息進(jìn)行分割，獲取累積量特征，運(yùn)用DoS對(duì)累積量進(jìn)行安全威脅智能檢測(cè)。該系統(tǒng)存在漏洞檢測(cè)時(shí)間較長的問題。文獻(xiàn)[9]提出基于DoS物聯(lián)網(wǎng)安全威脅智能檢測(cè)系統(tǒng)。運(yùn)用SDN控制器的集中控制特性，提取物聯(lián)網(wǎng)中的與DoS相關(guān)的六元組特征值信息，對(duì)特征值信息進(jìn)行安全威脅智能檢測(cè)，該系統(tǒng)可檢出的漏洞數(shù)量較少。

針對(duì)上述問題，提出了一種新的網(wǎng)絡(luò)節(jié)點(diǎn)安全威脅檢測(cè)系統(tǒng)，實(shí)驗(yàn)結(jié)果表明，所提系統(tǒng)能夠有效檢測(cè)網(wǎng)絡(luò)漏洞，檢測(cè)效率較高。

1 物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅智能檢測(cè)系統(tǒng)設(shè)計(jì)

1.1 系統(tǒng)總體結(jié)構(gòu)設(shè)計(jì)

對(duì)物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅智能檢測(cè)系統(tǒng)總框架進(jìn)行設(shè)計(jì)，利用OVAL漏洞檢測(cè)器對(duì)系統(tǒng)進(jìn)行漏洞檢測(cè)，將其檢測(cè)結(jié)果傳輸?shù)娇刂婆_(tái)，運(yùn)用控制臺(tái)服務(wù)器上的CVE漏洞庫[10]將檢測(cè)結(jié)果上傳到系統(tǒng)管理模塊中，由系統(tǒng)管理員與檢測(cè)代理聯(lián)合掃描威脅，運(yùn)用統(tǒng)一的漏洞庫，將其掃描的威脅信息通過可擴(kuò)展標(biāo)記語言進(jìn)行存儲(chǔ)。僅需更新具有威脅信息的可擴(kuò)展標(biāo)記語言文件，系統(tǒng)就會(huì)隨之更新。

網(wǎng)絡(luò)安全漏洞檢測(cè)系統(tǒng)結(jié)構(gòu)如圖1所示。

圖1 漏洞檢測(cè)系統(tǒng)結(jié)構(gòu)

系統(tǒng)關(guān)鍵部分由控制臺(tái)和檢測(cè)代理構(gòu)成，在物聯(lián)網(wǎng)中，檢測(cè)控制臺(tái)能夠同時(shí)向多個(gè)裝有檢測(cè)代理并處理監(jiān)測(cè)中的主機(jī)傳輸節(jié)點(diǎn)安全威脅關(guān)聯(lián)信號(hào)，在各個(gè)代理主機(jī)上運(yùn)行OVAL漏洞進(jìn)行掃描，運(yùn)行結(jié)束后，將對(duì)應(yīng)的漏洞掃描結(jié)果傳送給控制臺(tái)，把檢測(cè)出的各個(gè)CVE相對(duì)應(yīng)的漏洞結(jié)果，通過主機(jī)上標(biāo)準(zhǔn)的CVE漏洞庫發(fā)送給系統(tǒng)管理員，控制臺(tái)不用串行掃描其用戶平臺(tái)來獲取掃描威脅，這種方式節(jié)省了很多網(wǎng)絡(luò)資源，運(yùn)用相同漏洞庫更新威脅信息中的可擴(kuò)展標(biāo)記語言文件，與此同時(shí)系統(tǒng)也隨之更新。

根據(jù)OVAL漏洞檢測(cè)器，運(yùn)用三個(gè)步驟來檢測(cè)漏洞：首先采集物聯(lián)網(wǎng)感知節(jié)點(diǎn)信息與設(shè)備配置信息；其次判斷該系統(tǒng)是否存在特殊的威脅漏洞與設(shè)施問題；最后輸出威脅檢測(cè)結(jié)果。以給定的OVAL驗(yàn)證框架輸出節(jié)點(diǎn)安全威脅智能檢測(cè)結(jié)果，具體過程如圖2所示。

圖2 OVAL驗(yàn)證框架檢測(cè)流程圖

設(shè)計(jì)節(jié)點(diǎn)安全威脅智能檢測(cè)系統(tǒng)時(shí)，需要在多個(gè)平臺(tái)上進(jìn)行檢測(cè)代理，針對(duì)不同的檢測(cè)平臺(tái)設(shè)定兩種檢測(cè)代理，分別是Linux和Windows。這兩種檢測(cè)代理均采用QT與MFC的圖像用戶界面，利用C++編程語言編寫檢測(cè)代碼檢測(cè)網(wǎng)絡(luò)漏洞情況。通過顯示管理模塊、通信模塊以及網(wǎng)絡(luò)漏洞威脅掃描模塊來完成檢測(cè)代理。

物聯(lián)網(wǎng)系統(tǒng)設(shè)計(jì)圖像管理模塊主要復(fù)雜預(yù)設(shè)威脅掃描的參數(shù)，節(jié)點(diǎn)數(shù)據(jù)管理、節(jié)點(diǎn)安全威脅掃描的狀態(tài)顯示等。漏洞掃描過程中，運(yùn)用設(shè)定的參數(shù)調(diào)整工作環(huán)境。

網(wǎng)絡(luò)通信模塊與控制臺(tái)直接連接，控制臺(tái)通過通信模塊運(yùn)行威脅掃描，在啟動(dòng)過程中，通信模塊處于C/S模式監(jiān)聽狀態(tài)，當(dāng)通過控制臺(tái)接收到指令時(shí)，通過調(diào)整指示函數(shù)為漏洞掃描開啟一個(gè)路線，結(jié)合Bind方法將所選取的接口進(jìn)行捆綁，使Socket與本地一個(gè)終結(jié)點(diǎn)連接，運(yùn)用指示函數(shù)Listen監(jiān)聽節(jié)點(diǎn)監(jiān)控設(shè)備接口的命令請(qǐng)求。指示函數(shù)ListenThread運(yùn)用Accept對(duì)偵聽出的結(jié)果進(jìn)行連接操作，構(gòu)建一個(gè)新的處理器，傳送新的命令，運(yùn)用掃描函數(shù)對(duì)網(wǎng)絡(luò)感知節(jié)點(diǎn)進(jìn)行威脅掃描，掃描完成后，根據(jù)相關(guān)函數(shù)將掃描結(jié)果上傳到控制臺(tái)。

在物聯(lián)網(wǎng)威脅掃描過程中，運(yùn)用OVAL進(jìn)行物聯(lián)網(wǎng)系統(tǒng)信息采集，設(shè)定文件中的漏洞測(cè)試的大體方向，在這些方向上分析系統(tǒng)當(dāng)前安全狀態(tài)，具體過程圖3所示。

圖3 物聯(lián)網(wǎng)系統(tǒng)信息測(cè)試流程

Windows與Linux系統(tǒng)原理不同，對(duì)系統(tǒng)采集的信息需要進(jìn)行不同的測(cè)試，要確定網(wǎng)絡(luò)感知節(jié)點(diǎn)安全漏洞，將節(jié)點(diǎn)測(cè)試結(jié)果與OVAL驗(yàn)證框架設(shè)定的文件做對(duì)比，來確定主機(jī)的安全威脅漏洞。在此過程中首先將文件中的definition項(xiàng)按順序輸入，每個(gè)definition對(duì)應(yīng)著一個(gè)漏洞的描述，其次分析各個(gè)definition中的criteria項(xiàng)，把以前測(cè)試結(jié)果文件中相關(guān)的全部測(cè)試提取出來，判斷測(cè)試出的結(jié)果真假性，通過operator運(yùn)算符來判斷其真假，如若為真，則斷定存在安全漏洞，通過OVAL驗(yàn)證框架來輸出其結(jié)果。

控制臺(tái)主要負(fù)責(zé)將威脅掃描結(jié)果進(jìn)行整合，為了使操作者方便閱讀與整理，采用TCP/IP協(xié)議對(duì)系統(tǒng)所采用的檢測(cè)代理進(jìn)行并行連接，使代理與代理之間可通信，系統(tǒng)也能夠同時(shí)處理多個(gè)檢測(cè)代理上傳的威脅掃描請(qǐng)求指令與接受多個(gè)檢測(cè)結(jié)果文件。檢測(cè)成功后將結(jié)果傳遞給檢測(cè)代理，并在控制臺(tái)端主機(jī)上備份，在控制臺(tái)上輸入IP地址可以顯示對(duì)應(yīng)的主機(jī)漏洞信息，運(yùn)用系統(tǒng)相關(guān)處理模塊能夠?qū)崿F(xiàn)控制臺(tái)的功能，界面管理模塊主要運(yùn)用Windows操作系統(tǒng)設(shè)定感知節(jié)點(diǎn)安全威脅檢測(cè)界面參數(shù)與系統(tǒng)控制指令，通過MFC的設(shè)定進(jìn)行控制臺(tái)結(jié)構(gòu)程度的設(shè)計(jì)，使用戶操作更加簡單、便捷?？刂婆_(tái)結(jié)構(gòu)提供了特定的IP的主機(jī)掃描，以便于更好的顯示操作狀態(tài)與錯(cuò)誤信息等功能。

通信模塊：對(duì)物聯(lián)網(wǎng)內(nèi)單個(gè)主機(jī)或全部主機(jī)同時(shí)發(fā)出掃描的指示，通過Socket安全套接字進(jìn)行連接，運(yùn)用TCP/IP協(xié)議完成數(shù)據(jù)信息的傳輸。

數(shù)據(jù)處理模塊：由檢測(cè)代理對(duì)控制臺(tái)傳輸CVE信號(hào)，把CVE漏洞庫當(dāng)作控制臺(tái)的信息庫，顯示詳細(xì)的漏洞信息，通過XML對(duì)信息進(jìn)行存儲(chǔ)，運(yùn)用msxml.dll調(diào)用微軟類庫對(duì)XML文件進(jìn)行分解，生成樹型結(jié)構(gòu)，提供大量的查詢函數(shù)。

1.2 物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅智能檢測(cè)

分析物聯(lián)網(wǎng)感知節(jié)點(diǎn)可能存在的威脅漏洞，建立以威脅樹為形式的物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅模型，揭示了物聯(lián)網(wǎng)感知節(jié)點(diǎn)的安全隱患，通過其模型，運(yùn)用迭代的方法從上到下對(duì)每個(gè)節(jié)點(diǎn)威脅值進(jìn)行計(jì)算，獲得該模型的威脅評(píng)值，根據(jù)其威脅值對(duì)物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅進(jìn)行智能檢測(cè)。

物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅建模方法具體分六個(gè)步驟：識(shí)別信息、建立樹形結(jié)構(gòu)圖、分解應(yīng)用程序、識(shí)別感知節(jié)點(diǎn)安全威脅、將威脅信息化、評(píng)估威脅、給出評(píng)估威脅等級(jí)、通過其評(píng)估結(jié)果獲取優(yōu)先級(jí)，運(yùn)用解決方法對(duì)系統(tǒng)應(yīng)用設(shè)計(jì)流程進(jìn)行修改，解決威脅，增強(qiáng)安全性。

物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅建模過程中，需要確定隱私信息，構(gòu)建體系結(jié)構(gòu)樹圖。根據(jù)其結(jié)構(gòu)圖設(shè)定物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅模型的目的和實(shí)現(xiàn)方式。設(shè)計(jì)一種樹形構(gòu)圖，可分解應(yīng)用程序，運(yùn)用數(shù)據(jù)流圖將物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅建模分解為子系統(tǒng)，子系統(tǒng)分解成更小的子系統(tǒng)，運(yùn)用威脅樹來進(jìn)行威脅檢測(cè)，根據(jù)檢測(cè)的結(jié)果進(jìn)行威脅風(fēng)險(xiǎn)評(píng)估與解決方法設(shè)計(jì)。

物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅建模的威脅由硬件與軟件威脅構(gòu)成，硬件威脅包含兩項(xiàng)，分別是主動(dòng)物理攻擊和被動(dòng)攻擊；軟件威脅也包含兩項(xiàng)，分別是OS攻擊和通信網(wǎng)絡(luò)攻擊，其中OS攻擊含有系統(tǒng)接口攻擊和網(wǎng)絡(luò)病毒威脅。軟件威脅中應(yīng)當(dāng)著重考慮用戶隱私泄露情況，將用戶隱私視為網(wǎng)絡(luò)感知節(jié)點(diǎn)安全防護(hù)的重點(diǎn)。構(gòu)建物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅模型來對(duì)用戶隱私進(jìn)行防護(hù)，具體過程如圖4所示。

對(duì)物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅模型進(jìn)行量化評(píng)估，將其模型表示為威脅樹：

圖4 物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅系統(tǒng)模型

式(1)中：

3）c：V→2V代表節(jié)點(diǎn)υ∈V的全部感知信息組成的集合。

4）l：V→22υ→R代表邊e（i，j）∈E的權(quán)值，當(dāng)e∈Eu時(shí)，j代表單節(jié)點(diǎn)集；當(dāng)e∈En時(shí)，j代表多節(jié)點(diǎn)集。

5）f：V→T表示網(wǎng)絡(luò)節(jié)點(diǎn)υ∈V的威脅類型，當(dāng)該節(jié)點(diǎn)屬于威脅樹的內(nèi)部節(jié)點(diǎn)時(shí)，該節(jié)點(diǎn)類型屬于綜合節(jié)點(diǎn)，具體公式如下：

當(dāng)該節(jié)點(diǎn)為綜合節(jié)點(diǎn)時(shí)，該值為全部節(jié)點(diǎn)值中的最大值，具體公式為：

6）g：V→R用于評(píng)估節(jié)點(diǎn)υ∈V受到的威脅，具體公式如下：

根據(jù)其所受到的威脅值來對(duì)物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅進(jìn)行智能檢測(cè)，具體過程如式(5)所示：

上式中：a代表威脅值大小。

2 實(shí)驗(yàn)結(jié)果與分析

為驗(yàn)證所提基于OVAL Schema的物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅智能檢測(cè)系統(tǒng)的綜合有效性，需進(jìn)行一次實(shí)驗(yàn)仿真，仿真實(shí)驗(yàn)環(huán)境為：CPU為Intel（R）Celeron（R），2.6GHz，內(nèi)存為2.0GB,操作系統(tǒng)為Windows XP，實(shí)驗(yàn)開發(fā)平臺(tái)Visual Studio2010，所有仿真實(shí)驗(yàn)均在Visual Studio2010上進(jìn)行。

為了證明所設(shè)計(jì)的安全威脅智能檢測(cè)系統(tǒng)的優(yōu)越性，將所設(shè)計(jì)的系統(tǒng)與文獻(xiàn)[8]提出的檢測(cè)系統(tǒng)與文獻(xiàn)[9]提出的檢測(cè)系統(tǒng)進(jìn)行相同目標(biāo)主機(jī)臺(tái)數(shù)下的漏洞檢測(cè)時(shí)間（s）對(duì)比，對(duì)比結(jié)果如圖5所示。

圖5 檢測(cè)效率對(duì)比

在該實(shí)驗(yàn)中，應(yīng)用線程池大小為20，即線程隊(duì)列的長度為20，分別對(duì)應(yīng)文獻(xiàn)[8]檢測(cè)系統(tǒng)、文獻(xiàn)[9]檢測(cè)系統(tǒng)與所提檢測(cè)系統(tǒng)在30、70、200、400臺(tái)主機(jī)中進(jìn)行漏洞檢測(cè)；從圖5中可以看出，所提檢測(cè)系統(tǒng)的檢測(cè)效率明顯高于文獻(xiàn)[8]檢測(cè)系統(tǒng)與文獻(xiàn)[9]檢測(cè)系統(tǒng)。當(dāng)主機(jī)臺(tái)數(shù)較少時(shí)，可以一次性對(duì)全部主機(jī)進(jìn)行檢測(cè)，但檢測(cè)效率沒有提高，當(dāng)主機(jī)臺(tái)數(shù)數(shù)量增多時(shí)，所提檢測(cè)系統(tǒng)的檢測(cè)效率明顯提高。文獻(xiàn)[8]檢測(cè)系統(tǒng)在主機(jī)臺(tái)數(shù)大于200臺(tái)時(shí)，已經(jīng)無法對(duì)漏洞進(jìn)行檢測(cè)。

實(shí)驗(yàn)過程中，選取文獻(xiàn)[8]檢測(cè)系統(tǒng)、文獻(xiàn)[9]檢測(cè)系統(tǒng)與所提檢測(cè)系統(tǒng)在三種漏洞類型下進(jìn)行漏洞檢測(cè)效果對(duì)比，實(shí)驗(yàn)結(jié)果如表1所示，表1中ZJ為主機(jī)臺(tái)數(shù)，單位為臺(tái)，用t來表示；LD代表漏洞類型；SQL為SQL注入漏洞；JB為腳本執(zhí)漏洞；XSS為XSS跨站腳本攻擊；W8為文獻(xiàn)[8]檢測(cè)系統(tǒng)；W9為文獻(xiàn)[9]檢測(cè)系統(tǒng)；ST為所提檢測(cè)系統(tǒng)。

由表1可以看出，隨著主機(jī)臺(tái)數(shù)不斷增加，所提檢測(cè)系統(tǒng)檢測(cè)出的漏洞為三種檢測(cè)系統(tǒng)中效果最好的，三種類型的網(wǎng)絡(luò)漏洞均能全部檢測(cè)出來，而文獻(xiàn)[9]檢測(cè)系統(tǒng)只能檢測(cè)出SQL漏洞及JB漏洞，當(dāng)主機(jī)臺(tái)數(shù)為60臺(tái)時(shí)，文獻(xiàn)[9]檢測(cè)系統(tǒng)已經(jīng)檢測(cè)不出XSS漏洞，主要原因是該系統(tǒng)提取六元組特征值信息，對(duì)其進(jìn)行漏洞檢測(cè)，由于特征值復(fù)雜多校，所有檢測(cè)過程中難升級(jí)，較為繁瑣，在主機(jī)臺(tái)數(shù)少的情況下，可以檢測(cè)漏洞信息，當(dāng)主機(jī)臺(tái)數(shù)增多，文獻(xiàn)[9]檢測(cè)系統(tǒng)帶不動(dòng)較多數(shù)據(jù)，檢測(cè)不出漏洞。

表1 三種不同檢測(cè)系統(tǒng)漏洞檢測(cè)結(jié)果對(duì)比

3 結(jié)論

針對(duì)傳統(tǒng)安全威脅智能檢測(cè)系統(tǒng)存在的一系列問題，提出一種基于OVAL Schema的物聯(lián)網(wǎng)感知節(jié)點(diǎn)安全威脅智能檢測(cè)系統(tǒng)，實(shí)驗(yàn)結(jié)果表明，所設(shè)計(jì)的檢測(cè)系統(tǒng)與傳統(tǒng)的檢測(cè)系統(tǒng)相比，檢測(cè)漏洞數(shù)量多、檢測(cè)時(shí)間短，為解決當(dāng)前物聯(lián)網(wǎng)網(wǎng)絡(luò)節(jié)點(diǎn)安全威脅提供了一種有效的解決方案，具有實(shí)際應(yīng)用價(jià)值。