计算机网络系统脆弱性评估分析

韩雪飞

（黑河市委党校，黑龙江 黑河 164300）

1 何为脆弱性评估

电脑体系在设计以及开展活动的时候，会面对一些不利现象，机或许会被进攻人使用，进而导致体系面对非常多的危险。我们将这种现象称之为脆弱性。因为我们是无法避免网络出现小的问题的，此时入侵者会通过体系中的不利点而开展攻击活动，进而获取体系中的重要的内容，有时候还获取被攻击体系的权限。目前的脆弱性是导致攻击问题出现的背景，假如不具有这个特征的话，就不会面对攻击问题了。由于漏洞彼此是存在联系的，同时主机也有显著的依靠性特征，同时还存在非常多的其他的一些关联，此时就导致该项评估活动十分的繁琐。

该项评估是说借助于很多的管控和技术方法对于体系开展检测活动，明确其中存在的不安全的现象，以及那些容易被不良者利用的一些不利点，结合检测信息发内需体系的安全模式，同时在这个前提之下，结合测评的信息明确合理的安全方法，进而确保体系的运作能够有综合化的参考信息，此时保证体系能够结合变动而进行一些调节工作，进而设置安全方法，保证体系的运行是稳定的。该项活动的意义是经由分析体系的不利点，明确体系中比较弱势的内容，为安全方法的明确等提供精准的信息参考内容。

2 关于该项评估措施

2.1 模型检测法

具体的说是在设定的自动设备的模型之中，分析器是不是具有所论述的特性，假如具有的话就回应是，假如不具有的话，就回应否，而且指出反例。纽约州立大学的Ramakrishnan和Sekar首先提出将模型检测的方法应用在主机弱点综合分析上。GMU的研究人员Ritchey和Ammann在其攻击图生成方法研究的最初阶段使用了模型检测方法及模型检测工具SMV。CMU的系统安全分析课题组改进了模型检测工具Mums,用来生成评估目标的网络攻击图,Sheyner通过这种方法构造出攻击图后,应用在了入侵检测系统（IDS）的警报关联,以及从单个攻击行为来预警攻击。该项措施面对一个现象，即体系的状态氛围非常宽。信息所有的状况是经有很多的实体以及安全要素等组合而得到的，在运行检测措施的分析时期，需要考察的信息数不断的增多，进而使得存储空间变大。

2.2 基于图论的方法

Sandia National Laboratories的Phillips和Swiler在1998年首先用图论的思想生成了网络攻击图,后来在DARPA的资助下完成了对攻击图的分析和去除冗余节点和边的工作。Ammann及其同事放弃了模型检测方法而使用基于图论的方法生成攻击图,而且开展了安全单调性的分析，通过正向搜索的措施而获取了攻击图。哈尔滨工业大学的张涛博士也用类似的方法实现了一个安全性分析系统。

3 对当前的体系开展的综合比对

3.1 以单机位前提的部分脆弱性分析

（1）SAINT。全称安全管理员集成网络工具,其是由SATAN不断的演化进步而得到的。

它可以配合体系的管控工作者搜集体系的相关信息，明确面对的体系中的不利现象，供应评估报告，开展安全性的测试活动。它还有十分优秀的界面模式，使用人能够在所在区域或者是通过远程要素来对其开展综合化的管控活动。

（2）ISS的 SAFEsuite产品族。SAFE－sulte主要包括三部分功能:安全评价、入侵检测和安全管理方案,帮助用户设计合理的安全策略。

安全评价平台由三个安全评价应用程序组成:Internet Scanner,Database Scanner和 System Scanner。Internet Scanner鉴别和定位技术弱点,提供自动的、基于网络的安全评价和策略一致性评估,通过定时或事件驱动探测网络通信服务、OS、路由器、E-mail、Web服务器、防火墙和应用程序,从而鉴别可能导致未授权网络访问的系统虚弱性,并提供关于风险预测、风险量化和风险管理的信息。Database Scanner自动鉴别数据库系统中的从弱口令到Trojan horse这些弱点,带内置的弱点知识库,可用于Oracle,MS SQL Server,Sybase数据库。System Scanner是一个可扩展的基于主机manager/agent的系统,用来分析安全方法是不是相同的，其检测安全不利点和有关的配置和方法等是不是一样的，可用于单个服务器到大规模分布式网络的系统的逻辑安全和系统完整性,对于弱点提供非常细致的应对方法。

入侵检测平台Real secure包括Sensors和Managers组成,可检测网络中的攻击和滥用。攻击包括Dos、未授权的访问企图（如Back Orifice访问和Brute Force登录）、可疑活动（如TFTP包）、安全后门程序的企图（如BO）、修改数据或Web内容的企图等。滥用检测包括滥用管理特权、HTTP活动、Windows共享分析等。安全管理方案SAFEsuite Decisions集成上面组件生成的安全数据,简化网络安全管理。

3.2 基于网络系统的整体脆弱性评估

该项内容是将部分的评估信息当成是前提，融合体系从总体的层次上对于其中的所有的配置较差的脆弱性等等的关联要素开展的分析探索。

最早的整体评估思想是由Zerkle和Levitt提出的,其相应工具为NetKuan,NetKuang分析不同UNIX主机上各种配置脆弱性之间的关联关系,不过无法论述别的体系和种类的脆弱性特征。换句话讲，此模型并不细致，不过其思想很合理，值得认真地分析论述。

1997年Swiler等人提出了基于攻击图的整体评估模型。在这个模型之中，经由攻击图的一个具体的信息点，我们可以知道它的情形，结点涵盖的要素非常多，比如主机的名号以及使用者的权利和受到的干扰等，所有的弧线便是这攻击人的具体的活动而引发的情形的变化。对于模型来讲，使用的是攻击模块描述的所有的攻击活动，在开始的时候，设置一个初始信息，进而经由自身的攻击要素，从该目的状态中反向变为体系的攻击大图，假如是合理的话，就表示体系具有一定的脆弱性特征。

[1]栗勇兵，董启雄，龚瀛.网络系统脆弱性评估[J].魅力中国，2009.