弱点数据库建构及其应用研究.docVIP

弱点数据库建构及其应用研究 　　摘 要：引入了特权集、机密性、完整性和可用性等量化属性，设计并实现了一个量化的多属性弱点数据库，同时对弱点数据进行了进一步的分析。实践表明，该弱点数据库能够为安全评估提供更细致、更有力的弱点信息支持。 　　关键词：弱点数据库； 弱点分类法； 安全评估； 特权提升 　　中图分类号：TP309文献标志码：A 　　文章编号：1001―3695(2007)03―0213―02 　　在Internet高速发展的今天，黑客攻击越来越受到全社会的广泛关注，黑客利用计算机软件或配置上的弱点，从而达到无授权访问、特权提升、DoS攻击等目的，严重地危害了信息系统的安全。计算机弱点（Vulnerability）或漏洞是指计算机硬件、软件或策略上的缺陷，此缺陷若被发掘利用则会违犯安全策略[1]，并对系统的机密性、完整性和可用性造成不良影响。?? 　　弱点数据库是弱点研究领域的重要组成部分，其研究目的与意义主要表现在：①人们通过设计和开发弱点数据库来收集、存储和组织弱点信息；②弱点数据库为网络蠕虫病毒的传播与防治、网络入侵检测和风险评估等安全领域提供了必要的信息支持。目前，很多研究人员和机构开展了弱点数据库的设计和实现工作[2―4]，他们工作的重点是通过整合弱点属性建构完善的弱点数据库，从而更好地组织已有的弱点信息。然而这些建构弱点库的工作缺少量化支持，也无法体现各种弱点之间的访问权限提升关系，因此不能在更细的层次上区分弱点的轻重缓急，无法表达弱点被成功利用的难易程度。?? 　　为此，本文引入特权集、机密性、完整性、可用性和攻击复杂性等弱点属性，并施以量化，为安全评估提供一个更细致、有力的弱点信息支持；同时在建构弱点库的基础上对弱点及弱点分类法进行一定的研究，这对深入理解已知弱点的产生缘由、进一步的预防以及新弱点的发现具有一定的指导意义。 　　 　　1 弱点数据库的结构设计?? 　　弱点数据库中每条弱点的所有属性的详细设计如表1所示。?? 　　其中前13个弱点属性是弱点的基本属性，在国际公开可用的弱点库中均有介绍，本系统也是以这些弱点库为基库来得到这13个属性的属性值。但是这些属性不能满足安全评估系统的需求，为了支持安全评估系统，需要对弱点的特权集，弱点的机密性、完整性和可用性三个安全属性施以量化，从而能够有效地表达出弱点在不同层次上的轻重缓急；引入攻击复杂性的属性，更能准确地反映出弱点在实际情况中被成功利用的难易程度。同时，弱点的量化信息为评估不同操作系统的安全性提供了一定的衡量标准。因此为弱点数据库增加如下一些属性，即premise（前提特权集）、consequence（结果特权集）、C（对机密性的影响）、I（对完整性的影响）、A（对可用性的影响）和ac（攻击复杂性）。?? 　　最后一项属性attack_id是弱点对应的攻击插件标志号。攻击插件是针对某个弱点所设计的攻击目标系统的方法，也就是说一个攻击插件对应着一个弱点，但是一个弱点可能具有多个攻击插件。为了支持安全评估系统，需要在弱点数据库中建立起弱点与攻击插件的对应关系，因此设置了attack_id属性。 　　 　　2 弱点数据库的实现?? 　　弱点数据库的实现主要可分为三大模块，即数据获取模块、数据处理模块和信息发布模块。其中信息发布模块是将弱点数据库中的部分弱点信息对外发布，主要是在Linux服务器上利用MySQL+Apache+PHP来建立基于Web的弱点数据库信息查询服务系统。 　　2.1 数据获取模块?? 　　Internet上现有许多免费的弱点库，它们各有不同的侧重点。目前公开可用的弱点库中，最有名的应属ISS的X―Force库和Securityfocus的Bugtraq库[5]，国内在开发IDS及弱点扫描系统时，也多是基于这两个库。文中的弱点数据库选择Bugtraq弱点库作为基库，其主要原因是：①Bugtraq弱点库的覆盖面比较广，更新比较快；②CVE库中的内容很少，对弱点的跟踪也比较慢，目前还只是一个参考标准，其目的是标准化所有公开已知的弱点和安全攻击，它是一个字典而非一个数据库，同时其初始目的仅仅是为了各安全厂商间的弱点信息能够兼容，提供了弱点的一种枚举方法，但真正作为安全评估是不适合的；③Bugtraq库包含有更多的内容，特别是对弱点的可行发掘和利用，可以进行到何种程度，以及公开的攻击程序和脚本等相关信息均有较详细的描述，这更利于对弱点进行特权提升分析。 　　由于这个国际性的弱点发布网站总能最快地录入新的弱点，所以为了支持安全评估系统，文中的弱点数据库也需要随时更新。因此数据获取模块主要是用来更新弱点数据库，获取大量的新的弱点信息。由于计算机弱点数以千计，现在的数量已经远远超过一万条了，完全手动收集将需要大