CN102104609B - 一种网络协议安全缺陷分析方法 - Google Patents

Abstract

本发明公开了一种网络协议安全缺陷分析方法，涉及安全软件工程领域，本方法对网络协议进行了分析和总结，提取协议的资源、行为和危害，进行网络协议建模，形成了攻击规则图；根据攻击规则图，对攻击规则图中的节点和参数所有组合进行分析，发现至少一个潜在的攻击模型，采用推理的方式完善规则知识库，对完善后的规则知识库中的攻击模型形式化，建立和攻击模式相应的缓和方案，最终生成了网络协议攻击分析报告；本发明提供的方法更加智能，在协议建模方面，让计算机更加理解协议、抽取出有效信息，后台推理基于规则知识库，克服了现有技术中的不足，满足了实际应用中的需要。

Description

一种网络协议安全缺陷分析方法

技术领域

本发明以安全软件工程为基础，特别涉及一种网络协议安全缺陷分析方法，该方法针对网络协议的安全缺陷和攻击，提出基于协议建模的形式化分析方法进行攻击发现，通过对网络协议进行底层的形式化建模，运用人工智能领域的推理，结合知识规则，获取协议的缺陷和相应的攻击模式。

背景技术

网络协议是控制计算机在网络传输介质上进行信息交换的规则和约定。在计算机网络中，两个相互通信的实体处在不同的地理位置，两个实体进行相互通信，通过交换信息协调它们的动作使其达到同步，而信息交换必须按照预先共同约定好的过程。网络协议一般包括三要素：语法、语义和同步。现有的网络协议是整个互联网的骨架，是互联网通信的基础，网络协议的安全性直接制约着网络环境的安全系数。目前对网络协议的形式化建模主要应用于网络协议的验证、综合、测试和协议实现等。网络协议的一致性通过对网络协议进行形式化建模，能够让计算机更好的理解网络协议，并能够精确和完备地描述网络协议的功能，在形式化模型上加入安全因子，能够对网络协议进行安全的考虑，从而提高网络协议的安全性。现有的对网络协议的形式化建模主要有FSM(Finite State Machine，有限状态自动机)建模、Petri网建模、时态逻辑建模和通信进程演算。其中，FSM建模方式是目前最流行的，基本思想是对网络协议中的组件状态及其状态转换进行分析，在此基础上进行安全的分析和验证。通过对FSM模型扩展，加入特定属性来完成协议信息的补充以达到特性的建模目的。Petri网是一种描述分布式***的数学建模语言，通常以位置和迁移形式来表述***所具有的状态及状态之间的迁移条件。时态逻辑建模是模态逻辑的扩展，它涉及含有时间信息的时间、状态及其关系的命题、谓词和演算。通信进程演算是计算机通信***的基本理论模型，它是许多形式化语言的基础。

现有的威胁分析方法主要是BAN逻辑，BAN逻辑是对电子商务协议分析和验证的逻辑，能够用来描述和验证认证协议，最初是由Michael Burrows，MartinAbadi和Roger Needham在1989年开发的模态逻辑。在使用BAN逻辑进行协议分析时，首先需要将协议的消息“理想化”为BAN逻辑能够识别的公式，再根据具体情况进行合理的初始化假设，然后利用逻辑的推理规则，根据理想化协议和初始化假设进行推理，推断协议能够达到预期目标。

发明人在实现本发明的过程中，发现现有技术至少存在以下缺点：

BAN逻辑缺乏精确定义的语义基础、初始假设的确定没有形式化、理想化步骤没有形式化。

发明内容

为了克服现有技术中的不足，满足实际应用中的需要，本发明提供了一种网络协议安全缺陷分析方法，详见下文描述：

一种网络协议安全缺陷分析方法，所述方法包括以下步骤：

(1)对网络协议进行总结和分析，提取出网络协议所涉及的资源、行为和危害，对所述资源、所述行为和所述危害进行总结和抽象，获取网络协议知识；

(2)根据所述网络协议知识，抽象出规则知识库；

(3)根据所述规则知识库中的规则，将所述资源、所述行为、所述危害进行组合，进行细粒度的建模，形成攻击规则图；对所述攻击规则图进行分析，对所述攻击规则图中的所有节点的可选参数依次选择，形成至少一个潜在的攻击模式；

(4)采用自动推理方式在所述规则知识库中对所述至少一个潜在的攻击模式进行搜索，判断是否存在所述潜在的攻击模式，如果是，流程结束；如果否，执行步骤(5)；

(5)将所述潜在的攻击模式加入到所述规则知识库，完善所述规则知识库，获取完善后的规则知识库；

(6)对所述完善后的规则知识库中的资源、行为和攻击模式进行形式化定义，获取网络协议相应的数据；并通过所述攻击模式确定和所述攻击模式相应的缓和方案；

(7)将所述网络协议相应的数据、所述缓和方案输入到统一软件模型中的安全知识库中，并生成网络协议攻击分析报告，流程结束。

步骤(6)中所述对所述完善后的规则知识库中的资源、行为和攻击模式进行形式化定义，获取网络协议相应的数据，具体为：

采用Z规格语言对所述完善后的规则知识库中的资源、行为和攻击模式进行形式化定义，获取所述网络协议相应的数据。

本发明提供的技术方案的有益效果是：

本发明提供了一种网络协议安全缺陷分析方法，本发明对网络协议进行了分析和总结，提取协议的资源、行为和危害，进行网络协议建模，形成了攻击规则图；根据攻击规则图，对攻击规则图中的节点和参数所有组合进行分析，发现至少一个潜在的攻击模型，采用推理的方式完善规则知识库，对完善后的规则知识库中的攻击模型形式化，建立和攻击模式相应的缓和方案，最终生成了网络协议攻击分析报告；本发明考虑的层面更加底层，在网络协议方面的攻击发现和分析，要根据潜在的攻击模型中的信息，结合规则知识库进行推理，当建模和推理的层面更加底层的时候，推理就更加强大，不断地完善和改进了规则知识库；本发明提供的方法更加智能，在协议建模方面，让计算机更加理解协议、抽取出有效信息，后台推理基于规则知识库，克服了现有技术中的不足，满足了实际应用中的需要。

附图说明

图1为本发明提供的攻击发现和分析架构图；

图2为本发明提供的网络协议安全缺陷分析方法的流程图；

图3为本发明提供的网络协议规则的模型；

图4为本发明提供的RIP协议攻击发现和分析规则图；

图5为本发明提供的基于规则库的攻击路径发现方法的示意图；

图6为本发明提供的RIP顺序图建模的示意图；

图7为本发明提供的顺序图的Z规格语言描述片段的结果示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

为了克服现有技术中的不足，满足实际应用中的需要，本发明实施例提供了一种网络协议安全缺陷分析方法，参见图1和图2，详见下文描述：

101：对网络协议进行总结和分析，提取出网络协议所涉及的资源、行为和危害，对资源、行为和危害进行总结和抽象，获取网络协议知识；

从网络协议中总结所涉及的资源、行为和危害。网络协议由于其功能不同而千差万别，网络攻击也因此各式各样，但是许多网络攻击的思路是相似的，所采用的攻击方法是相近的，可以被抽取为数量较少的攻击模式。同样道理，由于网络协议所使用的资源、发出的动作和攻击造成的危害的类型数量有限，对这些信息进行总结和分析，得出网络协议知识，这样有助于网络协议攻击模式的建模。

其中，网络协议知识是攻击发现和分析理论的数据源，主要是RFC(RequestFor Comments，请求评议)声明的网络协议以及实现这些网络协议的应用，网络协议知识是理论的数据基础。

102：根据网络协议知识，抽象出规则知识库；

规则知识库是通过对网络协议知识的分类、整理、提炼和抽象，提取出网络协议相关的协议资源库、行为库和规则库。其中，协议资源库包括网络协议中涉及的网络数据，如一个IP地址，一个报文，服务器的进程池等；行为库是网络协议相关的组件和应用进行的交互，如验证报文，应答报文等；规则库是用来对网络资源和网络行为的内容进行描述，因为在网络组件进行交互的过程中，往往会涉及一部分的网络数据，所以网络行为往往伴随有网络资源，并且行为之间可能有推算关系，即某些网络行为通过And和Or关系能够推理出下一步的行为，而规则库就是用来对这两部分的内容进行描述。

103：根据规则知识库中的规则，将网络协议所涉及的资源、行为和危害进行组合，进行细粒度的建模，形成攻击规则图；对攻击规则图进行分析，对攻击规则图中的所有节点的可选参数依次选择，形成至少一个潜在的攻击模式；

其中，进行细粒度的建模后，形成的攻击规则图可以理解为至少一个攻击模式的抽象，攻击规则图中的参数确定的路径都是潜在的攻击模式。抽取的规则和分析过的行为被存储到规则知识库中，作为推理步骤的支持。

104：采用自动推理方式在规则知识库中对至少一个潜在的攻击模式进行搜索，判断是否存在潜在的攻击模式，如果是，流程结束；如果否，执行步骤105；

105：将潜在的攻击模式加入到规则知识库，完善规则知识库，获取完善后的规则知识库；

其中，例如：在步骤103中形成了五个潜在的攻击模式，分别为第一潜在的攻击模式、第二潜在的攻击模式、第三潜在的攻击模式、第四潜在的攻击模式和第五潜在的攻击模式，在规则知识库中搜索是否存在五个潜在的攻击模式中的一个或多个，若五个潜在的攻击模式都已经在规则知识库中，则，流程结束；如果五个潜在的攻击模式中的一个或多个没有在规则知识库中，则，将其加入到规则知识库中，完善规则知识库，获取完善后的规则知识库。例如：第一潜在的攻击模式和第二潜在的攻击模式已经在规则知识库中，第三潜在的攻击模式、第四潜在的攻击模式和第五潜在的攻击模式没有在规则知识库中，则将第三潜在的攻击模式、第四潜在的攻击模式和第五潜在的攻击模式加入到规则知识库中，获取完善后的规则知识库。

106：对完善后的规则知识库中的资源、行为和攻击模式进行形式化定义，获取网络协议相应的数据；并通过攻击模式确定和攻击模式相应的缓和方案；

其中，本发明实施例对完善后的规则知识库中的资源、行为和攻击模式进行形式化定义优选采用Z规格语言进行形式化定义，Z规格语言是一种以一阶谓词演算为主要理论基础的规约语言，它是一种功能性语言，Z规格语言能够清晰地描述网络协议的状态变化，更有利于抽取协议所能实现的有效信息。具体实现时，还可以为其他的语言，本发明实施例对此不做限制。

107：将网络协议相应的数据、缓和方案输入到统一软件模型中的安全知识库中，并生成网络协议攻击分析报告。

其中，将网络协议相应的数据输入到统一软件模型中的安全知识库中便于以后的攻击和缺陷检测，将生成的网络协议攻击分析报告交由相关设计开发人员使用，满足了实际应用中的需要。其中，根据软件生命周期的定义，统一软件模型包括：需求部分、设计部分和实现部分，其中，需求部分由UML用例图、活动图和状态图组成，活动图和状态图作为UML用例图的补充，描述需求中的动态信息；设计部分由顺序图与形式化语言组成，以功能单元为最小单位，顺序图作为框架，描述了完成预设功能需要调用的相应功能单元及调用规则；形式化语言通过形式化的描述增加了功能单元的语义信息；实现部分由实现功能单元的程序设计语言代码单元组成，且满足形式化语言描述。

下面以一个具体实施例来说明本发明实施例提供的一种网络协议安全缺陷分析方法的可行性，其中，形式化语言以Z规格语言为例，网络协议以RIP(Routing information Protocol))协议为例进行描述，详见下文描述；

在进行网络协议RIP分析过程中，共找到RIP四种常见攻击模式，参见图3，通过对这些攻击模式的抽象建模，提取出网络协议中涉及的网络资源以及网络行为，以及基本事实。通过规则知识库中的规则将这些资源，行为进行组合建模，能够得到图4所示的完善和改进后的RIP的规则图。

基于规则知识库的网络协议的攻击发现

(1)架构图和原理说明

输入：顺序图和顺序图的Z规格语言描述

输出：网络协议攻击分析报告

过程：在实际开发过程中，①通过顺序图来描述网络协议；②使用Z规格语言来对此顺序图进行扩展描述；③解析该Z规格语言，提取出顺序图所表达的事件序列；④带入规则知识库中进行推理，找出所有潜在的攻击模式；⑤生成网络协议攻击分析报告，如图5所示。

(2)进行攻击发现的过程

通过对RIP协议进行顺序图描述，获得图5所示的顺序图；

对图6所示的顺序图进行Z规格语言描述，获取到Z规格语言片段如图7所示；

获得顺序图的Z规格语言描述后，需要借助于前面所构建的规则知识库，提取出事件序列：

TransitPacket(RIP_Request)

Filter(Packet)

Encapsulate(Packet)

TransitPacket(RIP_Response)

Filter(Packet)

Update(RoutingTable)

TransitPacket(RIP_Request)

Filter(Packet)

Encapsulate(Packet)

TransitPacket(RIP_Response)

Filter(Packet)

Update(RoutingTable)

Broadcast(RIP_Response)

Filter(Packet)

Update(RoutingTable)

Add(Invalidation_Timer)

UpdateTable(Metric)

DeleteRoute(Metric)

基于规则知识库进行分析推理

将提取出的事件带入攻击规则图中，判断这些事件集合是否能够满足一条攻击路径。

生成网络协议攻击分析报告：

1：Untrustworthy(Environment)[true]；TransitPacket(Request)[true]；

Authenticate(Packet)[false]；Run(RIPProtocol)[true]；-＞Untrustworthy(Packet)；

Untrustworthy(Packet)[true]；-＞Fake(RIPPacket)；

Fake(RIPPacket)[true]；RoutingUpdate(Metric)[true]；-＞Fake(Host)

详细描述：在不可信的网络环境下，向运行RIP协议的路由器发送没被认证的Request数据包，导致不可信的数据包；发送的数据包不可信，导致伪造的RIP数据包；使用伪造的RIP数据包，路由器更新路由表的跳数，导致伪造的主机。

2：Untrustworthy(Environment)[true]；TransitPacket(Request)[true]；

Authenticate(Packet)[false]；Run(RIPProtocol)[true]；-＞Untrustworthy(Packet)；

Untrustworthy(Packet)[true]；-＞Fake(Response)；

Fake(Response)[true]；RoutingUpdate(Metric)[true]；-＞Disorder(RoutingTable)

详细描述：在不可信的网络环境下，向运行RIP协议的路由器发送没被认证的Request数据包，导致不可信的数据包；发送的数据包不可信，导致伪造的Response数据包；使用伪造的Response数据包，路由器更新路由表的跳数，导致路由表紊乱。

3：Untrustworthy(Environment)[true]；TransitPacket(Request)[true]；

Authenticate(Packet)[false]；Run(RIPProtocol)[true]；-＞Untrustworthy(520UDPPacket)；

Untrustworthy(Packet)[true]；-＞Fake(520UDPPacket)；

Fake(RIPPacket)[true]；RoutingUpdate(Metric)[true]；-＞Fake(Route)；

Fake(Route)[true]；-＞Broadcast(RoutingPacket)；

Broadcast(RoutingPacket)[true]；Filter(RoutingPacket)[false]；-＞Exhaust(Bandwidth)

详细描述：在不可信的网络环境下，向运行RIP协议的路由器发送没被认证的Request数据包，导致由520端口发出的不可信的UDP数据包；从520端口发出的UDP数据包不可信，导致伪造的UDP数据包；使用伪造的520端口的UDP数据包，路由器更新路由表，导致伪造的路由器；使用伪造的路由器导致广播大量的路由更新信息，这些路由更新信息没有被过滤，导致网络带宽耗尽。

(3)结果分析

1：Untrustworthy(Environment)[true]；TransitPacket(Request)[true]；

Authenticate(Packet)[false]；Run(RIPProtocol)[true]；-＞Untrustworthy(Packet)；

Untrustworthy(Packet)[true]；-＞Fake(RIPPacket)；

Fake(RIPPacket)[true]；RoutingUpdate(Metric)[true]；-＞Fake(Host)

详细描述：在不可信的网络环境下，向运行RIP协议的路由器发送没被认证的Request数据包，导致不可信的数据包；发送的数据包不可信，导致伪造的RIP数据包；使用伪造的RIP数据包，路由器更新路由表的跳数，导致伪造的主机。

这条记录描述了一个伪造主机的攻击方法：攻击者往往对使用了最初RIP协议的路由器进行攻击。攻击者可以伪造数据包，通知各个路由器其主机拥有最快的连接网络外部的路径，这样需要从那个网络发出去的数据包都会经过攻击者的主机，这些数据包既可以被攻击者检查，也可以被修改。

2：Untrustworthy(Environment)[true]；TransitPacket(Request)[true]；

Authenticate(Packet)[false]；Run(RIPProtocol)[true]；-＞Untrustworthy(Packet)；

Untrustworthy(Packet)[true]；-＞Fake(Response)；

Fake(Response)[true]；RoutingUpdate(Metric)[true]；-＞Disorder(RoutingTable)

详细描述：在不可信的网络环境下，向运行RIP协议的路由器发送没被认证的Request数据包，导致不可信的数据包；发送的数据包不可信，导致伪造的Response数据包；使用伪造的Response数据包，路由器更新路由表的跳数，导致路由表紊乱。

这条记录描述了一个使路由器的路由表紊乱的攻击方法：一个运行RIP协议的路由器，如果从接口接收到路由更新报文，路由器就会分析这个报文。如果这个报文的路由信息比路由器原有的路由信息更有效，路由器就会把报文的路由信息引入自己的路由表中。攻击者会利用RIP协议的这个缺陷，向路由器发送伪造的带有破坏性的路由更新报文，因为RIP协议没有内置的验证机制，路由器会认为这些报文是安全的，这样容易使路由器的路由表紊乱，从而导致网络中断。

3：Untrustworthy(Environment)[true]；TransitPacket(Request)[true]；

Authenticate(Packet)[false]；Run(RIPProtocol)[true]；-＞Untrustworthy(520UDPPacket)；

Untrustworthy(Packet)[true]；-＞Fake(520UDPPacket)；

Fake(RIPPacket)[true]；RoutingUpdate(Metric)[true]；-＞Fake(Route)；

Fake(Route)[true]；-＞Broadcast(RoutingPacket)；

Broadcast(RoutingPacket)[true]；Filter(RoutingPacket)[false]；-＞Exhaust(Bandwidth)

详细描述：在不可信的网络环境下，向运行RIP协议的路由器发送没被认证的Request数据包，导致由520端口发出的不可信的UDP数据包；从520端口发出的UDP数据包不可信，导致伪造的UDP数据包；使用伪造的520端口的UDP数据包，路由器更新路由表，导致伪造的路由器；使用伪造的路由器导致广播大量的路由更新信息，这些路由更新信息没有被过滤，导致网络带宽耗尽。

这条记录描述了一个使网络带宽耗尽的攻击方法：攻击者的主机通过520端口发送UDP报文，那么攻击者的主机就会被当成一个路由器，从而这台主机就能给其他路由器发送广播信息，这样攻击者可以利用这个缺陷进行攻击，发送大量的广播信息，因为广播信息要耗费大量宝贵的带宽，这样会导致网络拥塞。通过上述试验和分析，验证了本发明实施例提供的一种网络协议安全缺陷分析方法的可行性，满足了实际应用中的需要。

综上所述，本发明实施例提供了一种网络协议安全缺陷分析方法，本发明实施例对网络协议进行了分析和总结，提取协议的资源、行为和危害，进行网络协议建模，形成了攻击规则图；根据攻击规则图，对攻击规则图中的节点和参数所有组合进行分析，发现至少一个潜在的攻击模型，采用推理的方式完善规则知识库，对完善后的规则知识库中的攻击模型形式化，建立和攻击模式相应的缓和方案，最终生成了网络协议攻击分析报告；本发明实施例考虑的层面更加底层，在网络协议方面的攻击发现和分析，要根据潜在的攻击模型中的信息，结合规则知识库进行推理，当建模和推理的层面更加底层的时候，推理就更加强大，不断地完善和改进了规则知识库；本发明实施例提供的方法更加智能，在协议建模方面，让计算机更加理解协议、抽取出有效信息，后台推理基于规则知识库，克服了现有技术中的不足，满足了实际应用中的需要。

本领域技术人员可以理解附图只是一个优选实施例的示意图，上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (1)

1.一种网络协议安全缺陷分析方法，其特征在于，所述方法包括以下步骤：

(1)对网络协议进行总结和分析，提取出网络协议所涉及的资源、行为和危害，对所述资源、所述行为和所述危害进行总结和抽象，获取网络协议知识；

(2)根据所述网络协议知识，抽象出规则知识库；

(3)根据所述规则知识库中的规则，将所述资源、所述行为、所述危害进行组合，进行细粒度的建模，形成攻击规则图；对所述攻击规则图进行分析，对所述攻击规则图中的所有节点的可选参数依次选择，形成至少一个潜在的攻击模式；

(4)采用自动推理方式在所述规则知识库中对所述至少一个潜在的攻击模式进行搜索，判断是否存在所述潜在的攻击模式，如果是，流程结束；如果否，执行步骤(5)；

(5)将所述潜在的攻击模式加入到所述规则知识库，完善所述规则知识库，获取完善后的规则知识库；

(6)对所述完善后的规则知识库中的资源、行为和攻击模式进行形式化定义，获取网络协议相应的数据；并通过所述攻击模式确定和所述攻击模式相应的缓和方案；

(7)将所述网络协议相应的数据、所述缓和方案输入到统一软件模型中的安全知识库中，并生成网络协议攻击分析报告，流程结束；

其中，步骤(6)中所述对所述完善后的规则知识库中的资源、行为和攻击模式进行形式化定义，获取网络协议相应的数据，具体为：

采用Z规格语言对所述完善后的规则知识库中的资源、行为和攻击模式进行形式化定义，获取所述网络协议相应的数据。

Images