毕设论文终稿基于网络的攻击效果评估技术研究与实现

毕设论文终稿基于网络的攻击效果评估技术研究与实现内容摘要：

的结果，很难满足实际工作的需要。 因此这种分类方法并没有得到广泛的应用。 基于单一属性的分类方法是指仅从攻击某个特定的属性对攻击进行描述的方法。 这种方法与基于经验术语分类方法的最大不同在于:基于经验术语分类的方法所针对的攻击属性可能有多个；而基于单一属性对攻击进行分类描述的方法只针对于攻击的某个特定的属性进行。 这种根据某一特定属性而形成的对攻击进行分类的方法与基于经验术语的分类方法相比，其分类的确定性和定义的 6 清晰程度方面有了一定的进步，能够满足一些场合的需要。 但其对攻击的描述具有很大的局限性，基本只能反映出所描述攻击属性的特点，而对于攻击的其他特点则基本无从反映，不具有普适性，无法被广泛采用。 此外，这种方法在对特定属性的描述上也存在一定的问题，并不能准确地反映出攻击在该属性上的所有情况，即在完备性方面尚需改进；或者对攻击属性的描述过于笼统，即使对攻击加以归类，人们也较难根据攻击类别准确了解该攻击的本质。 基于多属性的分类方法指同时抽取攻击的多个属性，并利用这些属性组成的序列来表示一个攻击过程，或由多个属性组成的结构来表示攻击，并对过程或结构进行分类的方法。 为克服基于单一属性描述攻击的局限性，人们开始研究新的分类体系以同时表示攻击的多个属性，其主要出发点是将一个攻击看成为一个由多个不同阶段组成的过程，而不是一个单一的阶段，其中不同的阶段体现出不同的攻击特点。 基于单一属性描述攻击的方法只体现了某一个阶段的特点，因此也就无法反映出一个攻击全过程的各个阶段的属性，而基于多属性来描述攻击，则可以反映出攻击不同阶段的特点，便于描述攻击的本质。 Howard[6]在总结分析了计算机应急处理协调中心CERT/CC 从1989 年到1995 年所收到的事件报告基础上，提出了一种新的攻击分类方法，对攻击的5 个属性进行了描述，具体包括：攻击者的类型、所使用的工具、入侵过程信息、攻击结果和攻击目的。 Christy[7]在 Howard 的分类方法基础上对某些项进行了扩充，但基本出发点是一致的。 图 Howard 提出的攻击分类方法 7 Christy 改进后的攻击分类方法Howard 和Christy 提出的分类方法相比基于经验术语分类和基于单一属性分类的方法有了明显的进步，易于被大多数人接受，具有较好的实用性。 但在一些属性描述细节上存在一些交叉和包含，如图21和图22中的攻击者和攻击工具中列举的各项。 基于应用的分类方法是对特定类型应用、特定系统而发起的攻击的属性进行分类描述的方法。 典型的例子有：Alvarez 和Petrovie[8]在分析对Web 应用而发起的攻击时，重点从攻击入口、漏洞、行为、长度、HTTP 头及动作、影响范围、权限等方面对攻击进行描述，并用不同长度的比特位所代表的数字来表示每一个属性，从而形成一个攻击编码向量；Weaver[9]等人从目标发现、选择策略、触发方式等角度对计算机蠕虫进行了描述，对于攻击者也按其动机不同进行了划分。 这种针对特定类型应用或特定系统的安全攻击的描述方法对于特定场合是适合的，有利于描述其固有的特点及其中的关键属性，但也正是因为过多地考虑专用的特点，这种方法在普适性方面表现的很差，难以适应于多种应用。 5. 面向攻击生命周期的攻击分类方法该方法认为网络攻击在其整个生每年给周期中可以分为三个阶段：（1）发起阶段攻击者进行前的准备，如要确定攻击所针对的操作系统平台、应用系统平台， 8 利用系统中的哪些漏洞（不利用漏洞的攻击如流量攻击是一个特例）实施攻击等。 攻击对平台的依赖性和攻击与系统漏洞的相关性是攻击发起阶段的重要影响因子。 （2）作用阶段对选择的目标（包括主机、应用、进程等）进行攻击。 在此阶段中，攻击者要选择被攻击者系统的某些资源，称之为“作用点”作为攻击对象，以达到获得某些“利益”的目标。 攻击的作用点可以归纳整理为以下5类：账户、文件系统、进程、系统资源与信息、网络及网络服务。 （3）结果阶段攻击成功后所产生的其它后续结果。 攻击结果阶段的影响因子可以用攻击结果、传播性、破坏强度来描述。 根据以上阶段，从而形成了面向生命周期的攻击分类体系。 面向生命周期的攻击分类体系 面向攻击生命周期的攻击分类方法体系是一个对攻击行为定性描述的方法，还需对攻击各因子进一步细化和量化，以使该攻击分类体系能够更准确、更细致地反映出攻击的特点。 网络攻击的分类方法体系为了研究网络攻击建模和网络攻击效果评估的需要，可以选取平台依赖性、漏洞相关性、攻击点、攻击结果、攻击传播性、破坏强度作为网络攻击分类的依据，下面分别论述各自的可行性和分类 标准。 发起阶段 作用阶段 结果阶段平台依赖性 漏洞相关性 作用点 攻击结果 传播性破坏强度账户 强强 文件系统中强进程中强系统资源与信息 中强强中弱无设计漏洞实现漏洞配置漏洞无帐号文件系统进程存储网络泄露信息篡改信息非法利用服务拒绝服务非法提升权限强中弱无 网络及网络服务 中 9 1 平台依赖性（1）合理性攻击平台依赖性，表示网络攻击对操作系统平台的依赖程度。 大部分攻击都是针对特定平台发起的，从而表现出攻击与攻击目标平台有很强的相关性，而有些则不然。 例如冲击波（Blaster）病毒攻击仅仅可以对Windows 2020和XP 两种操作系统平台起作用，而利用TCP/IP协议缺陷的SYNFLOOD攻击却可以对大多数操作系统平台起作用。 攻击行为的平台依赖性，反应了攻击可能影响的范围。 攻击对平台的依赖性越强，表明该攻击所能够影响的范围越小，反之则越大。 因此在攻击行为的其他条件相同的情况下平台依赖性较弱的攻击，其影响力要高于那些平台依赖性较强的攻击。 （2）分类标准以攻击行为与攻击目标平台之间的对应关系作为平台依赖性的分类标准。 可以分为：①平台依赖性强攻击与攻击目标平台之间存在一对一的关系；如WINNUKE攻击仅对Win98平台起作用；②平台依赖性中攻击与攻击目标平台之间存在一对多的关系，主要针对同一类别的不同版本操作系统平台有效，如冲击波（Blaster）病毒攻击等；③平台依赖性弱攻击与攻击目标平台之间存在一对多的关系，可以对不同类别操作系统平台有效，如跨站脚本注入漏洞攻击等；④无平台依赖性攻击与任何一种攻击目标平台之间不存在相关性，如针对TCP/IP协议缺陷所发起的攻击。 2 漏洞相关性（1）合理性很多网络攻击都是利用系统的某些漏洞发起的，也有少部分攻击不需要利用具体漏洞。 系统漏洞的成因不尽相同，大致可以分为：①设计方面的原因；②实现方面的原因；③配置方面的原因；④管理方面的原因。 不依赖具体漏洞的网络攻击主要包括阻塞网络带宽的DDOS攻击等。 从攻击与漏洞相关性的分析可以看出，利用系统设计漏洞或不利用漏洞发起的攻击基本上不受条件约束或受到约束非常弱，其表现出来的破坏力和影响力就比较大，而且防御起来一般都比较困难；而对于利用实现漏洞而发起的攻击来说，只要打上相应的补丁，就可以防范相应的攻击；而对于利用实现漏洞而发起的攻 10 击来说，只要打上相应的补丁，就可以防范相应的攻击；对于以用配置漏洞而发起的攻击，则只需要认真分析业务需求和配置之间的关系，正确地配置系统，就可以降低系统被攻击的风险；对于管理漏洞只要严格执行相关的管理规定就可以消除相应漏洞的影响。 （2）分类标准①设计漏洞攻击对象为系统设计方面的缺陷，如IP伪造攻击、 SYNFLOOD攻击等。 ②实现漏洞攻击对象为系统在编码过程中阴没有遵循严格的安全编码方法或测试不严格而造成的漏洞，如各种缓冲区溢出漏洞攻击。 ③配置漏洞攻击对象为各种系统配置不当而造成的漏洞，如错误设置防火墙ACL规则。 ④管理漏洞攻击对象为各种违反管理规定而造成的漏洞，如弱密码破解攻击等。 ⑤无攻击与漏洞之间没有必然的关系，即使漏洞不存在仍然能够实现攻击目的。 如DDOS攻击等。 3 攻击点（1）合理性对每一个攻击来讲，都是通过攻击具体目标来实现其攻击目的。 有些攻击以网络为攻击目标，达到网络瘫痪的目的；有些攻击以收集目标系统信息为攻击目标，为后续攻击做准备；而有些攻击的目标就是系统中的数据，进行获取或破坏。 攻击点不同，则相应的攻击后果也是不同的。 （2）分类标准①系统资源信息系统资源信息如CPU、存储器、外围设备等。 ②网络网络主要是影响网络的功能和性能，如增加网络的流量负担、减慢网络速度。 ③文件系统 文件系统对系统数据文件、用户数据文件、应用数据文件进行各种操作。 ④服务服务包括系统服务，应用服务。 ⑤帐号帐号包括系统帐号、用户帐号等。 4 攻击结果 11 （1）合理性攻击效果是表现攻击对目标系统造成影响的后果，它是评价攻击的一个关键要素。 由于计算机网络信息系统是由硬件资源、数据和服务三者组成的一个综合体，其价值主要体现在其所拥有的硬件资源、所拥有的信息资源以及其对外提供的服务等，网络攻击的实质也就不外乎是对目标系统的硬件资源、信息、服务的非法访问、使用、破坏等。 因此各种网络攻击，即使从实现方式、表现形式上可能各不相同，但最终反映出的结果却是有限的几类。 对目标系统信息资源发起的攻击可以表现为非法获取和破坏两个方面。 获取信息就是收集、读取目标系统中的各种资料；破坏信息就是恶意篡改、删除目标系统中的各种资料。 对目标系统的服务发起的攻击可以表现为对系统中运行的各种服务进行非法的使用和破坏。 （2）分类标准根据攻击行为对目标系统造成的后果的性质对网络攻击行为进行分类。 网络攻击所产生的后果可以分为以下几类：①获取信息攻击造成目标系统的操作系统、应用系统以及用户的相关信息的泄露。 如攻击发起之前对目标的扫描会造成信息的泄露，攻击进入后将用户信息对外进行发送、监听网络上的流量等都属于此类。 ②篡改信息攻击对目标系统的内存、硬盘、其它部分的信息进行非法增、删、改的操作。 如植入木马的操作会导致系统配置信息的更改、硬盘文件的增加等。 ③利用服务利用系统的正常功能，来实现攻击者的其他攻击目的行为。 如利用目标系统的正常网络连接对其它系统进行攻击等。 ④拒绝服务使目标系统正常的服务受到影响或系统功能的部分或全部丧失。 如典型的分布式拒绝服务攻击、杀死系统进程使其对外的服务中断等。 ⑤提升权限利用某种手段或者利用系统的漏洞，获得本不应具有的权限。 最为典型的是缓冲区溢出攻击，另外通过猜测口令、植入木马、预留后门等也可以使攻击者获得本不应具有的权限。 5 破坏强度（1）合理性要准确、全面地描述一种网络攻击行为可能造成的破坏强度，必须满足一下几个条件： 12 ①破坏强度的等级定义必须明确根据定义，不同的人对于相同的攻击能够得出相同或相似的判断结果。 ②定位性强通过描述，人们可以自行判断一种攻击实际上针对哪些攻击点进行的。 ③能够适应复杂攻击情况新型的攻击往往包含多种攻击手法，其攻击目标也不止一个，因此对破坏强度的描述需要同时反映出对多个目标的攻击情况。 ④可扩展性强可以通过简单的扩充来适应新出现攻击的特点，而不会造成结构上的重大调整。 （2）分类标准这里以攻击点为基础，给出在每个攻击点处的破坏强度分类标准。 ①系统资源与信息强——范式对系统信息进行写操作的攻击以及对系统资源进行占有、消耗为目的的攻击，其破坏强度定义为强。 中——范式对系统信息进行读操作的攻击，其破坏强度定义为重。 ②网络强——对于自动的、不间断的、攻击范围不针对某一固定区域的、通过网络传播而实施的攻击，一般会利用网络对其他节点发起大量的攻击，造成网络资源的大量占用甚至耗尽，使得网络无法正常提供服务，其攻击强度定义为“强” ；此外，即使不通过网络进行攻击传播，但可能使网络的正常服务中断或全部无法进行的攻击，其攻击强度也定义为“强”。 中——对于非自动的、有条件的、攻击范围局限于某一区域的、通过网络传播而实施的攻击，一般会造成局部网络的功能部分或全部失效，其攻击强度定义为“中” ；另外还有些攻击会影响到正常的网络服务或关键的网络节点，但还没有使网络服务完全无法进行，其攻击强度也定义为中“中”。 弱——对于影响范围只局限于被攻击者本身，或者对被攻击者的网络服务影响轻微的攻击，其攻击强度定义为“弱”。 ③文件系统强—— 对文件系统进行“写”操作，如修改、删除、增加文件等，都有可能造成不可恢复性的破坏；或者对需要保密的信息进行解密操作，将其攻击强度定义为“强”。 中—— 对文件系统进行“读”操作，如查询、访问文件等，一般会造成系统信息的外泄，虽然也很严重，但与写操作相比，其影响尚未达到不可恢复性的程度，因此将其攻击强度定义为“中”。 ④服务。