袁正強(qiáng)

摘要：伴隨著計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，其逐漸開始向著越來越多的領(lǐng)域拓展和滲透，在社會(huì)發(fā)展中發(fā)揮著不容忽視的作用。與此同時(shí)，各種各樣的網(wǎng)絡(luò)安全問題也日益凸顯，給網(wǎng)絡(luò)信息安全帶來了很大的影響，造成這些安全問題的根源，是網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的脆弱性，無法有效應(yīng)對(duì)安全隱患和安全風(fēng)險(xiǎn)。該文結(jié)合計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的脆弱特性，提出了一種基于網(wǎng)絡(luò)拓?fù)鋭?shì)的網(wǎng)絡(luò)節(jié)點(diǎn)重要性評(píng)估方法，對(duì)拓?fù)浣Y(jié)構(gòu)的脆弱性進(jìn)行了評(píng)估和分析。

關(guān)鍵詞：計(jì)算機(jī)；網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；脆弱性；評(píng)估

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2015）06-0041-02

計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的發(fā)展和普及，為社會(huì)生產(chǎn)和人們的日常生活提供了很大的便利，利用計(jì)算機(jī)網(wǎng)絡(luò)，人們可以實(shí)現(xiàn)數(shù)據(jù)信息的即時(shí)傳輸和遠(yuǎn)程交流，但是，在當(dāng)前的信息化時(shí)代，各種各樣的網(wǎng)絡(luò)風(fēng)險(xiǎn)威脅著計(jì)算機(jī)信息安全，如何保障網(wǎng)絡(luò)安全，是需要相關(guān)技術(shù)人員重點(diǎn)研究的問題。從根本上講，影響計(jì)算機(jī)網(wǎng)絡(luò)安全的主要原因，是由于計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的脆弱性，無法有效抵抗網(wǎng)絡(luò)攻擊，因此，找到計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的脆弱性和安全隱患，對(duì)其安全狀態(tài)進(jìn)行評(píng)估，是解決網(wǎng)絡(luò)安全問題的重要措施和前提條件。

1 計(jì)算機(jī)網(wǎng)絡(luò)與網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

計(jì)算機(jī)網(wǎng)絡(luò)是伴隨著計(jì)算機(jī)技術(shù)、網(wǎng)絡(luò)技術(shù)、電力電子技術(shù)以及現(xiàn)代通信技術(shù)等先進(jìn)技術(shù)的發(fā)展而發(fā)展起來的，屬于一個(gè)虛擬的信息通道，能夠?qū)崿F(xiàn)對(duì)數(shù)據(jù)信息的發(fā)送、接收和處理。計(jì)算機(jī)網(wǎng)絡(luò)的飛速發(fā)展，帶動(dòng)了信息傳播速度的加快和傳播效率的提高，也使得社會(huì)逐漸步入了信息化、網(wǎng)絡(luò)化的時(shí)代。而網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)是一種將點(diǎn)、線、面中所蘊(yùn)含的數(shù)據(jù)信息連接在一起，實(shí)現(xiàn)數(shù)據(jù)信息的共享與加工，是一種網(wǎng)絡(luò)結(jié)構(gòu)模型。

可以將計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)看做是一個(gè)存在多個(gè)節(jié)點(diǎn)以及相互作用關(guān)系的網(wǎng)絡(luò)系統(tǒng)，與物理概念上的場(chǎng)、場(chǎng)勢(shì)等類似，在其每一個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)的周邊，都存在著一個(gè)作用場(chǎng)，處于場(chǎng)中的所有節(jié)點(diǎn)都會(huì)受到其它節(jié)點(diǎn)的共同作用。由實(shí)際網(wǎng)絡(luò)中存在的抱團(tuán)特性以及模塊化特性，可以判斷在網(wǎng)絡(luò)節(jié)點(diǎn)之間存在著局域特性，每一個(gè)節(jié)點(diǎn)對(duì)于其它節(jié)點(diǎn)的作用能力會(huì)隨著距離的增大而逐漸衰減。針對(duì)這種情況，可以利用相應(yīng)的數(shù)學(xué)理論，對(duì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)中網(wǎng)絡(luò)節(jié)點(diǎn)之間相互作用關(guān)系進(jìn)行研究，即所謂的拓?fù)鋱?chǎng)勢(shì)[1]。

2 計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的脆弱性

2.1 脆弱性定義

所謂脆弱性，是指網(wǎng)絡(luò)攻擊者或者攻擊程序利用計(jì)算機(jī)網(wǎng)絡(luò)中存在的某種固有特性，利用經(jīng)過授權(quán)的方式和方法，對(duì)超出自身權(quán)限的網(wǎng)絡(luò)資源進(jìn)行訪問，或者對(duì)系統(tǒng)造成損害。計(jì)算機(jī)網(wǎng)絡(luò)的脆弱性可以說無處不在，是網(wǎng)絡(luò)攻擊發(fā)生的前提和根源。而從狹義方面講，網(wǎng)絡(luò)的脆弱性實(shí)際上就是網(wǎng)絡(luò)中存在的缺陷和漏洞。

2.2 脆弱性分類

計(jì)算機(jī)網(wǎng)絡(luò)的脆弱性可以分為瞬時(shí)生效和延時(shí)生效兩大類，其中，瞬時(shí)生效包括了邏輯錯(cuò)誤和社會(huì)工程影響，延時(shí)生效則包括了系統(tǒng)弱點(diǎn)以及管理策略失誤，這里對(duì)其進(jìn)行分別分析。

1）邏輯錯(cuò)誤：邏輯錯(cuò)誤也被認(rèn)為是網(wǎng)絡(luò)脆弱性的直接誘因，對(duì)于計(jì)算機(jī)網(wǎng)絡(luò)安全有著非常直觀的影響。通常來講，邏輯錯(cuò)誤主要是指存在于硬件或者軟件程序中的“bug”，多是由于不規(guī)范的編碼或者低質(zhì)量的代碼所引起的。邏輯錯(cuò)誤可以細(xì)分為環(huán)境錯(cuò)誤、編程錯(cuò)誤和配置錯(cuò)誤。

2）社會(huì)工程影響：主要是利用一些非技術(shù)手段，對(duì)計(jì)算機(jī)系統(tǒng)進(jìn)行攻擊。社會(huì)工程的影響是多方面的，包括了內(nèi)部間諜、信息獵取、偷盜等，可能是由于系統(tǒng)內(nèi)部工作人員惡意破壞，利用權(quán)限騙取進(jìn)入計(jì)算機(jī)系統(tǒng)的途徑，也可能是從系統(tǒng)的一些廢棄文件中，尋找有用的信息。

3）系統(tǒng)弱點(diǎn)：系統(tǒng)弱點(diǎn)主要是指在現(xiàn)有技術(shù)條件下，計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)難以克服的缺陷或者錯(cuò)誤。一般情況下，在系統(tǒng)的設(shè)計(jì)、編碼以及調(diào)試過程中，一些隱含的安全隱患是很難被察覺的，而且這類隱患往往都是在經(jīng)過較長(zhǎng)的時(shí)間后才會(huì)逐漸顯現(xiàn)，而且當(dāng)原本的弱點(diǎn)得到解決后，又會(huì)出現(xiàn)新的弱點(diǎn)。從這個(gè)角度分析，系統(tǒng)的安全只能是暫時(shí)的，相對(duì)的。

4）管理策略失誤：管理策略失誤主要是指缺乏對(duì)于計(jì)算機(jī)系統(tǒng)的日常管理和維護(hù)，或者在遭遇突發(fā)性事故時(shí)，缺乏有效的應(yīng)對(duì)能力，如沒有定期對(duì)系統(tǒng)數(shù)據(jù)進(jìn)行備份，沒有設(shè)置相應(yīng)的安全防護(hù)措施和警報(bào)裝置等。管理策略的失誤并不一定會(huì)導(dǎo)致網(wǎng)絡(luò)入侵事件，而一些“天災(zāi)人禍”，包括硬件故障、氣象災(zāi)害等，都可能會(huì)引發(fā)此類脆弱性。通常來講，可以將管理策略失誤細(xì)分為數(shù)據(jù)安全策略、物理安全策略以及人員安全策略等。

2.3脆弱性評(píng)估方法

從目前來看，對(duì)于計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)脆弱性的評(píng)估，主要方法包括定性評(píng)估、定量評(píng)估以及定性定量綜合評(píng)估三種。其中，定性評(píng)估主要是參考相關(guān)研究人員的經(jīng)驗(yàn)教訓(xùn)，結(jié)合相應(yīng)的理論知識(shí)和特殊變例等非量化資料，對(duì)計(jì)算機(jī)網(wǎng)絡(luò)的脆弱性進(jìn)行分析和判斷。在實(shí)際操作中，通過與調(diào)查對(duì)象的深入探討，做出相應(yīng)的個(gè)案記錄，并以此為基礎(chǔ)，結(jié)合相關(guān)理論，推導(dǎo)出切實(shí)有效的分析框架，對(duì)資料進(jìn)行編碼處理，然后得到相關(guān)結(jié)論；定量評(píng)估則是利用相關(guān)數(shù)量指標(biāo)，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)脆弱性的評(píng)估，與定性分析相比，能夠以直觀的數(shù)據(jù)，對(duì)網(wǎng)絡(luò)的脆弱性進(jìn)行描述，研究更加嚴(yán)謹(jǐn)，更加深刻，評(píng)估的結(jié)果客觀存在，非常清晰明了。

3 基于攻擊圖的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)脆弱性評(píng)估

通過對(duì)計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的脆弱性評(píng)估，能夠了解網(wǎng)絡(luò)脆弱性的原因和類型，從而為有效解決網(wǎng)絡(luò)安全問題提供了良好的參考依據(jù)，幫助網(wǎng)絡(luò)管理人員與相關(guān)技術(shù)人員了解網(wǎng)絡(luò)的安全狀態(tài)，制定出切實(shí)有效的網(wǎng)絡(luò)安全策略，保障計(jì)算機(jī)網(wǎng)絡(luò)安全。本文提出了一種改進(jìn)的，基于攻擊圖模型的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)脆弱性評(píng)估方法，具有良好的實(shí)用價(jià)值。

3.1 構(gòu)建網(wǎng)絡(luò)攻擊圖模型

網(wǎng)絡(luò)攻擊圖模型的主要作用，是當(dāng)攻擊者對(duì)計(jì)算機(jī)網(wǎng)絡(luò)做出相應(yīng)的入侵和攻擊時(shí)，結(jié)合相應(yīng)的數(shù)據(jù)資料，對(duì)可能存在的入侵路徑集合或者可能導(dǎo)致網(wǎng)絡(luò)系統(tǒng)出現(xiàn)狀態(tài)點(diǎn)前的滲透途徑集合進(jìn)行描述。通過構(gòu)建網(wǎng)絡(luò)攻擊圖模型，可以對(duì)計(jì)算機(jī)網(wǎng)絡(luò)與網(wǎng)絡(luò)主機(jī)的相互關(guān)系進(jìn)行反映和表達(dá)，對(duì)計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的安全狀態(tài)進(jìn)行描述。在模型中，包括了網(wǎng)絡(luò)結(jié)構(gòu)、系統(tǒng)漏洞、攻擊行為、攻擊目標(biāo)等因素，可以以此為依據(jù)，建立起相應(yīng)的計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)脆弱性評(píng)估系統(tǒng)。

攻擊圖模型的構(gòu)建，需要從以下幾個(gè)方面著手：

1）網(wǎng)絡(luò)主機(jī)HOST：網(wǎng)絡(luò)主機(jī)是計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)中一個(gè)非常重要的組成部分，能夠?yàn)橛脩籼峁┫鄳?yīng)的網(wǎng)絡(luò)服務(wù)，對(duì)其網(wǎng)絡(luò)請(qǐng)求進(jìn)行處理和回應(yīng)，而計(jì)算機(jī)網(wǎng)絡(luò)主機(jī)相互集合在一起，就構(gòu)成了計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。網(wǎng)絡(luò)主機(jī)HOST描述結(jié)構(gòu)表可以表示為HOST（HOSTid，OSys，Svses，Vuls），其中，HOSTid指存在于網(wǎng)絡(luò)中的主機(jī)的唯一標(biāo)記代碼，一般是指主機(jī)的名稱或者網(wǎng)路IP地址；OSys表示網(wǎng)絡(luò)主機(jī)所使用的操作系統(tǒng)；Svses代表網(wǎng)絡(luò)服務(wù)的集合；Vuls則表示網(wǎng)絡(luò)主機(jī)的弱點(diǎn)清單。

2）網(wǎng)絡(luò)弱點(diǎn)信息：網(wǎng)絡(luò)弱點(diǎn)可以分為幾個(gè)方面的內(nèi)容，包括系統(tǒng)弱點(diǎn)、應(yīng)用性弱點(diǎn)、網(wǎng)絡(luò)服務(wù)弱點(diǎn)等。通過這些弱點(diǎn)，入侵者可以提升自身對(duì)于計(jì)算機(jī)系統(tǒng)的訪問權(quán)限，從而入侵并控制網(wǎng)絡(luò)主機(jī)。

3）網(wǎng)絡(luò)連接關(guān)系：現(xiàn)有計(jì)算機(jī)網(wǎng)絡(luò)中采用的網(wǎng)絡(luò)協(xié)議多為TCP/IP協(xié)議，這里以此對(duì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)中存在的網(wǎng)絡(luò)連接關(guān)系進(jìn)行描述。一般情況下，上述網(wǎng)絡(luò)協(xié)議是分層的，每一層都有其獨(dú)特的功能，在網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)中，網(wǎng)絡(luò)連接關(guān)系的數(shù)據(jù)結(jié)構(gòu)可以描述為Conn（SRCid、DSTid、Prot），其中，SRCid代表網(wǎng)絡(luò)源主機(jī)，DSTid表示目的地主機(jī)，Prot則表示網(wǎng)絡(luò)協(xié)議。

3.2 脆弱性評(píng)估模型

通過構(gòu)建相應(yīng)的脆弱性評(píng)估模型，可以對(duì)計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的脆弱程度進(jìn)行分析和判斷，為網(wǎng)絡(luò)安全防護(hù)策略的制定提供必要的參考依據(jù)。

對(duì)于計(jì)算機(jī)網(wǎng)絡(luò)而言，引發(fā)拓?fù)浣Y(jié)構(gòu)脆弱性的原因是多方面的，如網(wǎng)絡(luò)對(duì)象、網(wǎng)絡(luò)環(huán)境、外部行為等。在基于攻擊圖模型的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)脆弱性評(píng)估方法中，需要關(guān)注的問題包括：

1）功能需求：在利用上述評(píng)估方法時(shí)，首先，應(yīng)該采取切實(shí)可行的措施，對(duì)網(wǎng)絡(luò)主機(jī)的相關(guān)信息以及存在的系統(tǒng)漏洞信息進(jìn)行采集和整理，然后構(gòu)建起相應(yīng)的網(wǎng)絡(luò)弱點(diǎn)信息數(shù)據(jù)庫，對(duì)信息進(jìn)行分析、整理和深入研究，結(jié)合研究成果，建立起攻擊圖模型，依照脆弱性評(píng)估的結(jié)果，系統(tǒng)能夠自動(dòng)生成直觀的數(shù)據(jù)視圖，從而為安全防護(hù)策略的制定以及網(wǎng)絡(luò)弱點(diǎn)的修復(fù)提供必要的參考依據(jù)。

2）功能設(shè)計(jì)：在脆弱性評(píng)估模型中，采用的是模塊化的結(jié)構(gòu)，主要的功能模塊包括：數(shù)據(jù)采集模塊，主要是結(jié)合專業(yè)的安全分析軟件，對(duì)網(wǎng)絡(luò)主機(jī)的信息以及系統(tǒng)漏洞信息進(jìn)行采集；數(shù)據(jù)分析模塊，可以對(duì)采集模塊采集到的各種數(shù)據(jù)信息進(jìn)行存儲(chǔ)、整理分析和深入研究，從而得出初步的結(jié)論；攻擊圖生成模塊，其主要功能是基于攻擊原型以及攻擊路徑推理的邏輯模塊，對(duì)攻擊圖進(jìn)行生成，支持相應(yīng)的攻擊路徑分析功能[2]。

3）分析模塊：該模塊可以實(shí)現(xiàn)對(duì)于網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)脆弱性的分析，一方面，可以利用Prolog編程技術(shù)，對(duì)攻擊路徑進(jìn)行查詢，依照網(wǎng)絡(luò)節(jié)點(diǎn)重要性評(píng)價(jià)方法，生成相應(yīng)的攻擊路徑矩陣，對(duì)任意兩個(gè)節(jié)點(diǎn)之間的最短路徑信息進(jìn)行記錄；另一方面，結(jié)合弱點(diǎn)分析模型，可以認(rèn)為只要入侵者取得了網(wǎng)絡(luò)主機(jī)的訪問權(quán)限，對(duì)權(quán)限進(jìn)行了更改，就可以認(rèn)為其對(duì)網(wǎng)路造成了危害，在這種情況下，根據(jù)入侵途徑的不同以及入侵者所取得的權(quán)限，可以分析其對(duì)網(wǎng)絡(luò)的危害程度。

4 結(jié)束語

綜上所述，計(jì)算機(jī)網(wǎng)路拓?fù)浣Y(jié)構(gòu)的脆弱性是客觀存在的，通過對(duì)脆弱性的評(píng)估和分析，能夠?qū)赡苡绊懹?jì)算機(jī)網(wǎng)絡(luò)安全的因素進(jìn)行明確，在完善計(jì)算機(jī)網(wǎng)絡(luò)，提升網(wǎng)絡(luò)安全性等方面有著重要的意義和作用。

參考文獻(xiàn)：

[1] 王寧寧. 計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)脆弱性的分析與評(píng)估技術(shù)研究[D]. 北京： 北京交通大學(xué)， 2011.

[2] 王帥. 計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)脆弱性分析[J]. 信息與電腦， 2012（10）： 121.