移动目标防御综述:脆弱性分析及新场景应用

随着自动化和智能化攻击技术的发展,网络空间安全形势日益严峻,仅靠传统的防御机制已经无法满足当前安全防护的需求.移动目标防御(MTD)为了扭转网络攻防“易攻难守”的被动局面应运而生,通过增加网络和系统的不确定性、随机性和动态性对抗同类型攻击,通过有效降低其确定性、相似性和静态性降低攻击成功率.当前,移动目标防御的脆弱性也较少被系统分析,且移动目标防御在新场景下的具体应用较少被具体总结.鉴于此,首先阐述移动目标防御的产生背景和基础理论;其次,对移动目标防御相关研究进行综述,并分析移动目标防御的脆弱性;接着,总结移动目标防御在物理信息系统、云环境、智能电网和对抗样本防御等新兴领域的应用;最后,对移动目标防御的研究前景进行展望.     

基于混合方法的IPSec VPN加密流量识别

文中提出了一种混合方法,将指纹识别与机器学习方法相结合,实现了IPSec VPN加密流量的识别。该方法首先基于负载特征从网络流量中筛选出IPSec VPN流量;接着,基于时间相关的流特征,利用随机森林算法建立了IPSec VPN流量分类模型,通过参数优化以及特征选择,整体流量识别的准确率达到了93%。实验结果验证了通过流特征提取的机器学习方法识别IPSec VPN流量的可行性;同时表明了该方法能够有效均衡识别精度与识别速度,达到了高效识别IPSec VPN加密流量的效果。     

基于图神经网络的P2P僵尸网络检测方法

P2P僵尸网络因具有较高的隐蔽性和健壮性,已经成为新型的网络攻击平台,对网络空间安全造成的威胁越来越大,但现有基于规则分析或流量分析的检测方法不能有效检测.为了解决P2P僵尸网络隐蔽性强、难以识别等问题,提出了一种基于图神经网络(graph neural network,GNN)的P2P僵尸网络检测方法.该方法不依赖流...     

基于吸收Markov链的网络入侵路径分析方法

从攻击者角度对网络进行入侵路径分析对于指导网络安全防御具有重要意义。针对现有的基于吸收Markov链的分析方法中存在的对状态转移情形考虑不全面的问题和状态转移概率计算不合理的问题,提出了一种基于吸收Markov链的入侵路径分析方法。该方法在生成攻击图的基础上,根据攻击图中实现状态转移所利用的漏洞的可利用性得分,充分考虑了非吸收节点状态转移失败的情况,提出了一种新的状态转移概率计算方法,将攻击图映射到吸收Markov链模型;利用吸收Markov链的状态转移概率矩阵的性质,计算入侵路径中节点的威胁度排序和入侵路径长度的期望值。实验结果表明,该方法能够有效计算节点威胁度排序和路径长度期望;通过对比分析,该方法的计算结果相比现有方法更符合网络攻防的实际情况。     

一种地址泄露敏感的二进制软件漏洞自动验证方法

软件漏洞自动验证是分析漏洞可利用性、评估其危害性的重要手段。然而在目标系统开启地址空间布局随机化（address space layout randomization, ASLR)漏洞缓解机制条件下,由于缺乏地址泄露事件的构造能力和有效的漏洞利用载荷运行时重定位方法,当前技术无法生成能有效验证漏洞可利用性的输入样本。为解决上述问题,提出了一种地址泄露敏感的二进制软件漏洞自动验证方法。该方法包含完全地址泄露漏洞状态自动构造和运行时环境无关的漏洞利用会话自动生成2个阶段。首先,综合执行状态动态监控、地址泄露样本自动构造、地址泄露导引的模糊测试等技术,自动生成能够蕴含执行目标载荷所需的全部地址泄露事件,并于其后触发漏洞的程序状态。然后,基于该漏洞触发状态,综合漏洞可利用状态构造、漏洞利用模板自动提取、基于载荷运行时动态重定位的漏洞可利用性自动验证等技术,自动构造出能够动态适配于目标系统运行环境的漏洞利用会话,并基于该会话自动完成目标漏洞可利用性分析。基于上述技术实现了LeakableExp原型系统,并以该原型系统对2个测试程序、14个CTF、RHG竞赛赛题程序和4个实际漏洞程序进行了实验分析。实验结果表明,LeakableExp具备在ASLR开启条件下,自动泄露目标系统敏感地址、分析漏洞可利用性的能力。     

两阶段二进制物联网固件漏洞检测方法研究

物联网(internet of things, IoT )设备漏洞带来的安全问题引发了研究人员的广泛关注,出于系统稳定性的考虑,设备厂商往往不会及时更新IoT固件中的补丁,导致漏洞对设备安全性影响时间更长;同时,大部分IoT固件文件源码未知,对其进行漏洞检测的难度更大。基于机器学习的代码比较技术可以有效应用于IoT设备的漏洞检测,但是这些技术存在因代码特征提取粒度粗、提取的语义特征不充分和代码比较范围未进行约束而导致的高误报问题。针对这些问题,提出一种基于神经网络的两阶段IoT固件漏洞检测方法。基于代码的多维特征缩小代码比较范围,提高比较的效率和精确度;再基于代码特征,用神经网络模型对代码相似程度进行学习,从而判断二进制IoT固件的代码与漏洞代码的相似程度,以检测IoT固件中是否存在漏洞,最后实验证明了所提方法在IoT固件检测中的有效性。     

基于有限状态机的DNS隐蔽通信模型

DNS(domain name system)作为互联网基础设施的重要组成部分,其数据一般不会被防火墙等网络安全防御设备拦截。以DNS协议为载体的隐蔽信道具有较强的穿透性和隐蔽性,已然成为攻击者惯用的命令控制和数据回传手段。现有研究中缺乏对真实APT(advanced persistent threat)攻击中DNS隐蔽信道的检测技术或方法,且提取的特征不够全面。为深入分析攻击流量和行为特征,基于有限状态机对真实APT攻击中DNS隐蔽通信建模,剖析了APT攻击场景下DNS隐蔽信道的构建机理,详细阐述了其数据交互过程,通过总结和分析DNS隐蔽通信机制,基于有限状态机建立通信模型,提出通信过程中存在关闭、连接、命令查询、命令传输等7种状态,控制消息和数据消息等不同类型消息的传输将触发状态迁移。利用泄露的Glimpse工具模拟真实APT攻击下DNS隐蔽通信,结合Helminth等恶意样本实验验证了模型的适用性和合理性,为人工提取特征提供了充分的依据。     

基于域名系统知识图谱的CDN域名识别技术

内容分发网络（content delivery network,CDN）是互联网上的重要基础设施,目前识别CDN域名的方法主要利用域名字符特征、HTTP关键字和DNS记录等,识别范围有限。针对大规模识别CDN域名的问题,提出了基于域名系统知识图谱的CDN域名识别技术。根据域名系统的特征进行本体建模、数据获取、知识图谱构建,通过分析域名系统相关数据获取CDN服务特征。将CDN域名作为知识图谱域名节点的属性,定义推理规则,通过知识图谱内包含的实体、关系和属性进行关联分析,识别CDN域名。基于该方法对Alexa排名前100万域名及其部分子域名进行建模识别,构建了超百万节点和关系的域名系统知识图谱。实验结果表明,该方法在不通过手工识别构建样本集的情况下可以达到88%的分类精度和86%的F1指数。     

基于深度强化学习的智能化渗透测试路径发现

渗透测试是通过模拟黑客攻击的方式对网络进行安全测试的通用方法,传统渗透测试方式主要依赖人工进行,具有较高的时间成本和人力成本.智能化渗透测试是未来的发展方向,旨在更加高效、低成本地进行网络安全防护,渗透测试路径发现是智能化渗透测试研究的关键问题,目的是及时发现网络中的脆弱节点以及攻击者可能的渗透路径,从而做到有针对性的防御.文中将深度强化学习与渗透测试问题相结合,将渗透测试过程建模为马尔可夫决策模型,在模拟网络环境中训练智能体完成智能化渗透测试路径发现;提出了一种改进的深度强化学习算法Noisy-Double-Dueling DQNper,该算法融合了优先级经验回放机制、双重Q网络、竞争网络机制以及噪声网络机制,在不同规模的网络场景中进行了对比实验,该算法在收敛速度上优于传统DQN(Deep Q Network)算法及其改进版本,并且适用于较大规模的网络场景.     

一种基于导向式模糊测试的IoT设备固件漏洞分析方法

为提高物联网(Internet of Things, IoT)设备漏洞分析的准确度,在深入分析了50余个MIPS架构的IoT设备固件漏洞的基础上,提出了一种基于导向式模糊测试的动静结合IoT设备固件漏洞分析方法。获取固件程序中所有函数信息,依据数据引入函数与漏洞触发函数的函数调用关系图,定位危险代码区域。基于危险代码区域详细控制流图,计算执行路径中基本块到达漏洞触发函数的距离,动态调控种子能量,实现面向漏洞触发函数的导向性模糊测试。设计实现了面向MIPS架构的IoT设备固件漏洞分析系统DirFirmFuzz。实验结果表明,相较于已有工具,系统漏洞分析的误报率平均缩减了73.31%,到达漏洞触发函数的平均速度加快了1.1~7倍。同时,在实际环境测试过程中,发现了D-Link、Cisco等多个厂商的12个0-day漏洞,均已报送相关厂商进行修补。