Một phương pháp đặc tả logic cho việc đánh giá và phân tích lỗ hổng an ninh mạng

Bài viết trình bày phương pháp hình thức sử dụng đặc tả logic cho việc đánh giá và phân tích lỗ hổng an ninh mạng. Với phương pháp này các lỗ hổng được phát hiện mà không cần phải mô phỏng các cuộc tấn công và nó cũng có thể dễ dàng tích hợp với các công cụ bảo mật khác dựa trên cơ sở dữ liệu quan hệ.

TRƯỜNG ĐẠI HỌC THỦ ĐÔ H 46 NỘI MỘT PHƯƠNG PHÁP ĐẶC TẢ LOGIC CHO VIỆC ĐÁNH GIÁ V PHÂN TÍCH LỖ HỔNG AN NINH NINH MẠNG Trần Bá Hùng1, Nguyễn Đức Giang1, Bùi Thị Thư1, Lưu Thị Bích Hương2 Viện Công nghệ Thông tin, Viện Hàn lâm Khoa học Công nghệ Việt Nam Trường Đại học Sư phạm Hà Nội Tóm tắt: tắt Điều quan trọng ñối với quản trị viên hệ thống phải biết lỗ hổng bảo mật Tuy nhiên, phương pháp đánh giá tính dễ tổn thương gặp phải vấn đề tỷ lệ sai lệch cao, thời gian tính tốn dài Hơn nữa, chúng có khả định vị lỗ hổng riêng lẻ máy chủ lưu trữ mà khơng cần quan tâm đến hiệu tương ứng lỗ hổng máy chủ phần mạng với lỗ hổng phân phối máy khác Để giải vấn đề này,chúng tơi đưa phương pháp hình thức sử dụng ñặc tả logic cho việc ñánh giá phân tích lỗ hổng an ninh mạng Với phương pháp lỗ hổng phát mà khơng cần phải mơ cơng dễ dàng tích hợp với cơng cụ bảo mật khác dựa sở liệu quan hệ Từ khóa: khóa An ninh mạng, đánh giá tính dễ tổn thương, lỗ hổng bảo mật, thuộc tính logic Nhận ngày 14.5.2017; gửi phản biện, chỉnh sửa duyệt ñăng ngày 10.9.2017 Liên hệ tác giả: Trần Bá Hùng; Email: tbhung@ioit.ac.vn GIỚI THIỆU Ngày nay, với gia tăng mạnh mẽ mạng máy tính phức tạp phần mềm máy tính, lỗ hổng bảo mật tăng nhanh doanh nghiệp lớn [3] Vì nhiều vấn đề bảo mật gây lỗ hổng ẩn mạng máy tính, ñiều quan trọng quản trị viên hệ thống phải biết lỗ hổng Phân tích lỗ hổng tìm cách khai thác, khắc phục chúng quan trọng cho hệ thống thông tin tổ chức, doanh nghiệp [9], có nhiều nghiên cứu để phát triển kỹ thuật đánh giá tính dễ tổn thương xác định lỗ hổng bảo mật có mạng Trong thực tế, với tường lửa, hệ thống phát xâm nhập, mã hóa bảo vệ chống virus, đánh giá tổn thương kỹ thuật cốt lõi việc bảo vệ chống lại công mạng Các phương pháp phân tích lỗ hổng bảo mật thực tự ñộng, chẳng hạn Internet Security System (ISS) Internet Scanner, Nessus, andsoon [15] Trong báo TẠP CHÍ KHOA HỌC − SỐ 18/2017 47 chúng tơi giới thiệu phương pháp để phân tích ñánh giá lỗ hổng an ninh mạng ñó phương pháp hình thức sử dụng đặc tả logic để giải toán lỗ hổng an ninh mạng Để giải vấn đề báo trình bày hệ thống đánh giá tính dễ bị tổn thương cho mơ hình mạng NetScope dựa ngơn ngữ OVAL (Open Vulnerability Assessment Language), bao gồm ba module chính: kiểm tra phân chia tác nhân (distributed inspection agents), phương pháp phân tích(analysis engine) trung tâm liệu(data center) Các lỗ hổng xác định thơng qua OVAL đồng thời kết hợp lỗ hổng tương ứng với cơng mạng thơng qua lí thuyết logic vị từ Trong phần báo chúng tơi trình bày phương pháp đặc tả logic cho việc ñánh giá phân tích lỗ hổng an ninh mạng Phần ba báo kết thử nghiệm phương pháp hình thức sử dụng đặc tả Cuối kết luận báo PHƯƠNG PHÁP ĐẶC TẢ LOGIC CHO VIỆC ĐÁNH GIÁ VÀ PHÂN TÍCH LỖ HỔNG AN NINH MẠNG 2.1 Mơ hình hệ thống lỗ hổng NetScope 2.1.1 Một số khái niệm Phương pháp phân tích hệ thống NetScope đề xuất báo dựa lý thuyết logic vị từ ñơn giản ñược phân chia thành hai phần: phần riêng biệt vị từ Các vị từ có yếu tố bản, trước tiên giới thiệu ñịnh nghĩa sau ñược sử dụng cho NetScope [7] Định nghĩa [19] Kiểu công V: gồm ba thành phần (fact, prerequisite, consequence) ñể ñại diện cho ñiều kiện tiên kết kiểu cơng Mơ tả phần tử liệt kê sau: − Fact: tập hợp cá thể, cá thể có miền liên kết giá trị, ñược ký hiệu {x1, , xn} − Prerequisite: Là điều kiện tiên cần phải để thực cơng cách thành cơng thể cơng thức vị từ sau: P1(x1) ∧ ∧Pp(xp) − Consequence: Mô tả cơng thực thành công, tập hợp công thức sở logic, tất biến ñược biểu diễn công thức {P1(x1) , Pq (xq)} 48 TRƯỜNG ĐẠI HỌC THỦ ĐÔ H NỘI Định nghĩa Một công tức thời v: tập hữu hạn tập hợp fact kiểu cơng V, ñược kết hợp với giá trị xác ñịnh Định nghĩa [20] Kiểu lỗ hổng D:của thuộc tính hệ thống sử dụng ñiều kiện tiên kiểu cơng, tức cơng thức thuộc tính sở ñiều kiện tiên cho kiểu cơng biết đếntrong CVE (Common Vulnerabilities and Exposures), quyền ñầy ñủ người dùng victim/attack host kịch cơng để khởi động công Định nghĩa Lỗ hổng khởi tạo d: làmột lỗ hổng cụ thể với ñịa IP xác ñịnh tương ứng với kiểu dễ bị công D Định nghĩa Quan hệ công/lỗ hổng làcuộc công tương ứng v tương quan với lỗ hổng tạo d có tồn p∈P(v) cho d bao hàm p, P(v) tập hợp tất vị từ xuất điều kiện tiên có đối số thay giá trị thuộc tính tương ứng d 2.1.2 Kiến trúc hệ thống mô tả lỗ hổng NetScope Kiến trúc tổng thể NetScope ñề xuất báo ñược thể Hình Nó bao gồm ba phần: tác nhân kiểm tra (inspection agents), trung tâm liệu (data center) cơng cụ phân tích (analysis engine) Các chức phần mơ tả sau: Hình Kiến trúc hệ thống mô tả lỗ hổng NetScope − Inspection agent: Mỗi inspection agentñược triển khai máy chủ đích có trách nhiệm thu thập thơng tin cấu hình hệ thống thơng qua OVAL báo cáo cho trung tâm liệu để phân tích Với khả thu thập thông tin mạnh mẽ, hệ thống NetScope có lợi xây dựng hồ sơ lưu trữ bao gồm: kiểu phiên hệ ñiều hành, danh sách dịch vụ, phần mềm danh sách vá, sách kiểm sốt truy cập, sử dụng băng thơng, hiệu I/O vv TẠP CHÍ KHOA HỌC − SỐ 18/2017 49 − Analysis engine: • Cấu hình hệ thống ñánh giá: Thiết lập mục tiêu máy chủ, sở liệu, sách đánh giá ñiều kiện ñánh giá theo yêu cầu ñánh giá, việc thiết lập sách đánh giá lựa chọn số phiên ñịnh phần mềm ñánh giá Điều kiện ñánh giá ba mục tiêu: ñánh giá ñịnh kỳ, ñánh giá ñịnh hướng thông tin ñánh giá theo kiện • Xác ñịnh lỗ hổng: Theo ñịnh nghĩa OVAL, xác định xem có tồn lỗ hổng máy chủ hay không dựa thông tin cấu hình cung cấp tác nhân kiểm tra • Phân tích lỗ hổng mạng: Tương quan lỗ hổng cá nhân ñược phát với cơng biết để xây dựng đường dẫn cơng tiềm dẫn đến mục tiêu bảo vệ • Kiểm sốt tác nhân kiểm tra: Kiểm sốt việc khởi động chấm dứt tác nhân kiểm tra • Hiển thị kết đánh giá: Báo cáo ñã phát lỗ hổng bảo mật, đường dẫn cơng tiềm ẩn thơng tin chi tiết tương ứng • Quản lý sở liệu: Duyệt, chèn xóa ghi liệu − Data center: Lưu trữ kiến thức cơng/lỗ hổng, thơng tin cấu hình hệ thống từ nhân viên kiểm tra, kết ñánh giá tạo cơng cụ phân tích Trong báo chúng tơi đề cập tới ICAT Metabase [22] ñể xác ñịnhñịnh dạnghình thức sở liệu Vul_Base (cơ sở liệu lỗ hổng) ñược thể Bảng Bảng Định dạng mô tả sở liệu dễ bị tổn thương Vul_Base 2.1.3 Nguyên tắc mô tả lỗ hổng Trong báo này, hệ thống NetScope dựa vào tiêu chuẩn OVAL để xác định liệu lỗ hổng có tồn hệ thống định hay khơng Lược đồ chuẩn cung cấp ñường sở ñể thực kiểm tra tính dễ bị tổn thương hệ thống máy tính nội [21] Đề cập đến tóm tắt định nghĩa OVAL, mơ hình đánh giá tổn thương dựa TRƯỜNG ĐẠI HỌC THỦ ĐÔ H 50 NỘI mức độ gia tăng trình bày Hình đặc tả mơ hình đánh giá lỗ hổng tảng Windows Mơ hình bao gồm bốn lớp từ lên trên: nguồn thơng tin, tình trạng hệ thống, ñánh giá trung ñánh giá cuối Đầu tiên có cấu hình hệ thống: bảng đăng ký hệ thống, bảng ñăng ký Metabase, tệp hệ thống Sau đó, xác định trung gian tức liệu phần mềm cấu hình định có bị tổn thương hay khơng, thực dựa thơng tin trạng thái hệ thống Kết luận cuối lỗ hổng cho máy chủ lưu trữ ñược thực logic AND-operation dựatrên ñánh giá kết trung gian Quá trình xác định hình thức đưa sau: Trước tiên, năm tập hợp định nghĩa là: tập phần mềm ứng dụng FN = {fn1, , fnn}, tập phiên phần mềm ứng dụng AV ={av1, , avn} tập vá lỗi PS = {ps1, , psm} tập dịch vụ ñang chạy RS ={rs1, , rsv} tập hợp thiết lập cấu hình CS ={cs1, , csu} Mỗi phần tử năm biểu diễn dạng cơng thức vị từ Exist(x) có nghĩa tồn x số máy chủ suy luận hợp lý Và miền giá trị phần tử {0, 1, ϕ}, đại diện cho vị từ thông tin hệ thống, lỗ hổng cụ thể phụ thuộc vào ñúng hay sai Giá trị ϕ biểu thị lỗ hổng cụ thể diện máy chủ khơng đựa vị từ Thứ hai, chức ñánh giá phần mềm dễ bị tổn thương liên quan ñến lỗ hổng định định nghĩa sau: Trong đó: fn € FN, av € AV, ps € PS Hình Mơ hình đánh giá lỗ hổng dựa cấp độ gia tăng cho tảng Windows (1) TẠP CHÍ KHOA HỌC − SỐ 18/2017 51 Thứ ba, ñối với lỗ hổng định, chức đánh giá cấu hình dễ bị tổn thương định nghĩa là: Trong đó: rs € RS, cs € CS (2) Cuối cùng, chức đánh giá liệu lỗ hổng định có tồn máy chủ ñược ñịnh nghĩa là: f(g,h)= g(fn,av,ps) ∧ h(rs,cs) (3) Ví dụ lỗ hổng CAN-2002-0863, tức là, khả mã hóa yếu giao thức RDP, cơng thức định vị liên quan đến Eqs Từ (1), (2) (3) ñược sau: fn = Exist(Terminal Server 5:0), ps =Exist(Patch Q324380) ∩ Exist(SP > 4), rs = Exist(RDP service), cs = ϕ av = Exist(rdpwd:sys versions ≤ 5:0:2195:5880) Ngơn ngữ SQL ñưa Mitre Corporation 2006 ñể xác ñịnh xem lỗ hổng CAN-2002-0863 có máy chủ hay khơng 2.2 Mơ hình phân tích đánh giá lỗ hổng mạng Hình Mơ hình phân tích lỗ hổng mạng Dựa lỗ hổng ñược phát hiện, làm ñể mối quan hệ lỗ hổng ñơn lẻ với mà kết hợp tạo thành cơng liên quan đến TRƯỜNG ĐẠI HỌC THỦ ĐƠ H 52 NỘI cấu hình ban ñầu Một phương pháp phân tích mối tương quan attack/vulnerability dựa logic vị từ ñược ñề xuất ñể xây dựng ñường công tiềm dẫn đến mục tiêu cụ thể Hình cho ta mơ hình lỗ hổng mạng phân tích Ý tưởng thiết yếu cách tiếp cận ñược ñề xuất tương quan lỗ hổng công cách kết hợp lỗ hổng với ñiều kiện tiên công khởi tạo Nó sử dụng đầy đủ mối quan hệ nhân công lỗ hổng, tức ñiều kiện tiên cơng phải đáp ứng trước ñược sử dụng hậu cơng thành cơng bao gồm việc khám phá thơng tin có giá trị mạng, nâng cao quyền người dùng, thêm mối quan hệ tin cậy hiệu ứng khác Có bốn module: thu thập kiến thức, thu thập thông tin hệ thống, cơng cụ tương quan trực quan hóa đường dẫn cơng mơ hình phân tích lỗ hổng mạng Bốn module tương tác với RDBMS để xây dựng đường dẫn cơng dẫn ñến mục tiêu ñược bảo vệ Module1: Thu thập kiến thức Mục đích việc thu thập kiến thức xây dựng sở tri thức cho mối tương quan attack/vulnerability Tuy nhiên, khó để tự động nắm bắt ngữ nghĩa cần thiết cho ñiều kiện tiên hậu cơng, ngơn ngữ thường sử dụng để mơ tả lỗ hổng cách khai thác chúng Bài báo thu thập thông tin lỗ hổng kỹ thuật cơng biết ñến từ sở liệu (Sourcefire 2003) ñể xây dựng sở liệu attack/vulnerability ban ñầu Từ sở liệu attack/vulnerability này, xây dựng nguyên tắc ñiều kiện tiên hay hậu (prerequisite/consequence) sở công tay, nơi ñiều kiện tiên hậu cơng mơ tả cơng thức tính sở lỗ hổng Xây dựng sở tri thức liên quan ñến việc mơ hình hố lỗ hổng hệ thống, công mối quan hệ cơng lỗ hổng Mơ hình lỗ hổng (Modeling vulnerabilities) Lỗ hổng ñược ñịnh nghĩa thuộc tính hệ thống ñược sử dụng ñiều kiện tiên cho cơng Theo định nghĩa tính dễ bị tổn thương, chia thành sáu thành phần: CVE quyền người dùng máy chủ nạn nhân, quyền người dùng, khả thực thi chương trình kịch cơng máy chủ cơng sách truy cập Thơng qua cơng thức tính sở, sáu phần mơ sau: Vul_Name(VICTIM) (Predicate 1) User_Name(ATTACK) (Predicate 2) TẠP CHÍ KHOA HỌC − SỐ 18/2017 53 User_Name(VICTIM) (Predicate 3) Policy Name(ATTACK; VICTIM) (Predicate 4) EXECUTE(ATTACK) (Predicate 5) PGM Name(ATTACK) (Predicate 6) Trong đó: Predicate1Vul_Name (VICTIM) tên host dễ bị tổn thương VICTIM User_Name Predicate Predicate xác ñịnh tập hợp hành ñộng ñược cho phép host ñược ñịnh ba cấp: khơng có đặc quyền NONE, người dùng bình thường NORMAL_USER quyền siêu người dùng SUP_USER Trong Predicate 4, Policy_Name ñược ñặt tên theo cách tiếp cận lớp theo cấu trúc giao thức mạng TCP/IP, chẳng hạn LINK_ARP, TRANS_TELNET, vậy, cho phép người dùng máy ATTACK truy cập vào dịch vụ NAME máy chủ VICTIM lớp Policy Predicate Predicate nghĩa kẻ cơng thực chương trình phần mềm PGM_Name riêng máy ATTACK Mơ hình cơng (Modeling attacks) Cơ sở liệu chữ ký Snort ñược phục vụ dạng sở liệu công hệ thống NetScope ñược ñề xuất báo cơng định nghĩa hình thức sau: Exploit Name (ATTAC; Mid Host, VICTIM) (Predicate 7) Cụ thể, kẻ cơng host ATTACK khởi chạy công Eploit_Name gây bất lợi cho máy chủ VICTIM thơng qua máy Mid_Host Mơ hình hố mối quan hệ nhân công lỗ hổng Cần phải tính đến mối quan hệ nhân công lỗ hổng ñể phát ñường dẫn công tiềm tàng dẫn ñến mục tiêu Mối quan hệ nhân cơng lỗ hổng mơ sau: prerequisite1 ∧ ∧ prerequisiten => exploit (Predicate 8) exploit => { consequence1 consequencem} (Predicate 9) Trong hai vị từ ñiều kiện tiên hậu thể cơng thức Điều có nghĩa prerequisitei(i=1, ,n) phải để thực thành cơng cơng, khai thác thành cơng consequencej(j=1, ,m) ñúng Một số bảng sở liệu quan hệ ñược sử dụng ñể lưu trữ vị từ sở tri thức, bao gồm thuộc tính liên quan đến cơng lỗ hổng, mối quan hệ chúng Hình cho thấy số bảng cho sở tri thức ví dụ 54 TRƯỜNG ĐẠI HỌC THỦ ĐƠ H NỘI Hình Bảng ví dụ cho vị từ kiểu attack/vulnerability sở tri thức Ở bảng thì: PID số thứ tự vị từ, VulPredicate tên vị từ biểu diễn cho kiểu tính dễ bị tổn thương, ArgNum số lượng cá nhân thành phần thực tế vị từ kiểu dễ bị tổn thương, Argos vị trí cá nhân thành phần thực tế vị từ kiểu dễ bị tổn thương, ArgName tên cá nhân tương ứng với vị trí cá nhân thành phần thực tế vị từ kiểu dễ bị tổn thương, AttackType kiểu cơng V đại diện cho kiểu cơng, AttrNum số thuộc tính thành phần thực tế vị từ cảu kiểu công, AttrPos vị trí thuộc tính thành phần thực tế vị từ kiểu công, AttrName tên thuộc tính tương ứng vị trí tạo độ thành phần thực tế vị từ kiểu công, PreNum/ConNum số lượng yếu tố thành phần prerequisite/consequence vị từ kiểu công, PrePos/ConPos vị trí phần tử thành phần prerequisite/consequence vị từ kiểu công Bảng kiểu vị từ lỗ hổng (Hình 4a) bao gồm vị từ sử dụng để biểu diễn cho điều kiện tiên hậu cơng Ví dụ, thứ hai hình 4a cho biết TRANS_IIS_RDS vị từ có hai cá thể: ATTACK VICTIM thứ hai, số thứ tự Các kiểu cơng lưu trữ ba bảng: Attack Type Fact (Hình 4b), Attack Type Prerequisite (Hình 4d) kết loại cơng (Hình 4c) Hai bảng: Kiểu cơng điều kiện tiên kiểu cơng kết có TẠP CHÍ KHOA HỌC − SỐ 18/2017 55 cấu trúc, ñược sử dụng ñể giữ ñiều kiện tiên hậu kiểu cơng biết, tương ứng Ví dụ, Hình 4c nói lên kiểu cơng WUFTPDX có vị từ có PID 5, tức EXECUTE thành phần kết Ngồi ra, bảng VulName tới PID (xem Hình 4e) bao gồm VulName PID ñược thiết kế ñể tự ñộng ñạt ñược chuyển ñổi từ lỗ hổng ñã ñược phát thành vị từ ñặt móng cho q trình tiền xử lý sau Module2: Thu thập thông tin hệ thống Thông tin cấu hình hệ thống hữu ích cho việc xây dựng đường cơng tiềm ẩn Ví dụ, sách truy cập giúp xác định xem kẻ cơng gửi gói độc hại đến chương trình dễ bị tổn thương Chức module thu thập thông tin hệ thống khám phá topo mạng mơ tả theo định dạng ñịnh Đối với NetScope thực tế, ñiều quan trọng tự động hố q trình phát mạng Hai kiểu tác nhân kiểm tra ñược phát triển cho tảng Windows Linux ñể vượt qua vấn ñề hệ thống đánh giá khơng có khả cung cấp sách truy cập thơng tin cấu hình khác Các tác nhân kiểm tra đề xuất sử dụng OVAL, tự động xuất thơng tin cấu hình máy chi tiết bao gồm dịch vụ hữu ích, thành phần phần mềm, kết nối mạng cổng I/O Đối với máy chủ Windows Linux, tác nhân kiểm tra có sách truy cập cách phân tích cú pháp giá trị quy tắc tường lửa bảng đăng ký tệp cấu hình IPTables IPChains tương ứng Hơn nữa, cơng cụ phân tích NetScope phân tích thơng tin cấu hình từ tác nhân kiểm tra ñể phát lỗ hổng CVE hệ thống Các lỗ hổng CVE ñược phát thơng tin cấu hình chuyển thành lỗ hổng dựa theo bảng VulName ñến PID ñược lưu trữ dạng lỗ hổng hiển thị Bảng Bảng Tính dễ bị tổn thương Định nghĩa trường Bảng ñược cho theo cột: InsVulIDlà số thứ tự lỗ hổng bản, InsVulPredicatelà vị lỗ hổng bản, Src_Host/Dst_Hostlà máy chủ source/destination tham gia vào lỗ hổng TRƯỜNG ĐẠI HỌC THỦ ĐÔ H 56 NỘI Module 3: Phương pháp tương quan Phương pháp tương quan quan trọng ñể xây dựng ñường dẫn công tiềm dựa lý thuyết logic vị từ Trong giai đoạn này, kết attack/vulnerability thơng tin cấu hình hệ thống cụ thể gửi đến công cụ tương quan Động tương tác với RDBMS để tương quan cơng với lỗ hổng ñược phát cách sử dụng ñầy ñủ mối quan hệ nhân chúng lưu trữ chúng vào bảng kết tương quan Correlated_Result thể bảng ñang chuẩn bị ñã chuẩn bị Tại hàng bảng 3, vị từ thuộc trường Preparing ñiều kiện tiên vị từ trường Prepared Bảng Correlated_Result Trước giới thiệu thuật toán tương ứng với lỗ hổng với công, trước tiên cung cấp ñịnh nghĩa sau cho số biến, hàm toán tử sử dụng q trình tương quan Sfound tập cơng tìm thấy ñược Scurrent tập hợp công thành cơng xảy q trình lặp lại SCcurrent hậu cơng thành cơng phát q trình lặp lại P(et)/C(et) điều kiện prerequisites/consequences thiết lập kiểu công et Sign biến thể đường dẫn cơng dẫn đến mục tiêu cụ thể tìm thấy Được định giá trị dấu hiệu 1, có nghĩa có đường dẫn cơng Nếu khơng, khơng tìm thấy đường cơng correlation(i, temp) hàm quy tắc tương quan ñể xác ñịnh liệu cơng instantiated thành cơng, cho dù giá trị tương ứng với ký tự "ATTACK", "Mid_Host" hay "VICTIM" mẫu kiểu ghi hồn tồn bình đẳng ghi instantiated i có, cơng xảy ra, giá trị trả tương quan chức TRUE Nếu khơng, khơng có cơng xảy giá trị trả TẠP CHÍ KHOA HỌC − SỐ 18/2017 57 FALSE Ví dụ kiểu công cụ thể IIS_RDS, giả sử loại ghi ghi khởi tạo i = {Money, NULL, Money, Maude, Maude, NULL}, công kiểu cơng khởi tạo IIS_RDS thành cơng giá trị tương ứng với ATTACK VICTIM temp Money Maude i Output(i,temp) hàm mà cá nhân thay kiểu công cụ thể (ATTACK, Mid_Host, VICTIM)với giá trị tương ứng i, tương ứng với ba chuỗi: ATTACK, Mid_Host VICTIM temp Ví dụ liệt kê tương quan chức (i, temp), công khởi tạo IIS_RSD (Money, Maude) tạo thơng qua chức IIS_RDS (output (i, temp)) Ins (P(et))∩/∪///σ/Π/ hàm khởi tạo công thức vị từ P(et) theo tập thơng tin ban đầu Các hành động intersection/union/difference/selection/projection/joinđược xác ñịnh sở liệu quan hệ Hình Thuật tốn tương quan attack/vulnerability Hình trình bày thuật tốn đề xuất mối tương quan attack/vulnerability Nó bao gồm hai thủ tục: Forward_search Backward_search Đối với giới hạn không gian chi tiết Backward_search tương tự Forward_search, có chi tiết Forward_search mơ tả thuật tốn tương quan attack/vulnerability Thủ tục TRƯỜNG ĐẠI HỌC THỦ ĐÔ H 58 NỘI Forward_search bắt ñầu kết hợpcác ñiều kiện tiên kiểu công với lỗ hổng gốc ban ñầu, giai ñoạn ban ñầu thủ tục Backward_search kết hợp hậu kiểu cơng với mục tiêu bảo vệ Hai thủ tục đảm bảo cơng cần thiết ñầy ñủ ñối với ñiều kiện ban đầu mục tiêu tìm thấy Hơn nữa, phương pháp phân tích loại cơng mà ñiều kiện tiên ñược thay ñổi phù hợp với chúng với tính dễ bị tổn thương ñược áp dụng lần lặp Phương pháp tiết kiệm nhiều thời gian không gian tồn q trình tương quan Module 4: Đường dẫn cơng Trong mơ hình phân tích lỗ hổng mạng, modulehiển thị phân tích bảng kết tương quan, tiếp tục xây dựng sơ ñồ trực tiếp ñiều kiện prerequisites/consequences phụ thuộc vào công lỗ hổng với chức RDBMS [14] Thuật tốn trực quan hóa đường dẫn cơng thể Hình Một phương pháp biểu diễn linh hoạt có lỗ hổng cơng đỉnh sử dụng để diễn tả đường dẫn cơng tiềm ẩn Các cạnh trực tiếp ñại diện cho phụ thuộc chung Một cạnh phụ thuộc e = (v, s) ñi từ lỗ hổng v đến cơng s có nghĩa v ñiều kiện tiên s Tương tự, biên ñộ phụ thuộc e = (v, s) ñi từ cơng đến lỗ hổng v có nghĩa v hệ s Đồng thời, hiển thị loại lỗ hổng, tức điều kiện tiên cơng ñồ thị trực tiếp ñể giảm không gian hiển thị Kết tập hợp ñường dẫn cơng trực quan dẫn từ trạng thái mạng ban đầu ñến mục tiêu công ñược xác ñịnh trước Nó hiển thị kẻ cơng khai thác lỗ hổng hệ thống ñể ñạt ñược bước xâm nhập bước Cơng việc giúp quản trị viên phát chiến thuật cơng cấp cao Hình Thuật tốn trực quan hóa đường dẫn cơng TẠP CHÍ KHOA HỌC − SỐ 18/2017 59 2.3 Các kỹ thuật thực hệ thống NetScope Thiết kế NetScope phải ñáp ứng yêu cầu truyền thông thời gian thực bảo mật liệu Hai loại chế ñược áp dụng với việc xem xét truyền thông an toàn hiệu suất thời gian quan trọng 2.3.1 Giao tiếp an toàn qua SSL / TLS Bất kỳ phần mềm ứng dụng với kiến trúc C/S phải giải vấn đề giao tiếp an tồn máy chủ máy khách Có hai loại u cầu truyền thơng hệ thống NetScope: − Truyền liệu tác nhân kiểm tra trung tâm liệu, công cụ phân tích trung tâm liệu Cơ chế mã hố liệu cung cấp RDBMS SQL Server 2000 thơng qua để đảm bảo tính bảo mật việc vận chuyển tập liệu − Kiểm sốt truyền thơng tin cơng cụ phân tích tác nhân kiểm tra Giao thức vận chuyển SSL/TLS lớp vận chuyển lớp ứng dụng ñược giới thiệu để đạt mã hóa tin nhắn cơng cụ phân tích tác nhân kiểm tra Một q trình giao tiếp hồn chỉnh chúng thể Hình Nó chia thành cụm thơng tin liên lạc: Thông tin xin chào, yêu cầu thu thập liệu, trả lời thu thập liệu, thông báo kết thúc thu thập liệu thông tin kết thúc phiên làm việc Trong q trình đánh giá hoàn chỉnh, năm cụm từ xảy theo trật tự cố định Hình Giao tiếp cơng cụ phân tích tác nhân kiểm tra 2.3.2 Kỹ thuật để cải thiện hiệu suất thời gian Có hai kỹ thuật ñể cải thiện hiệu suất thời gian ña luồng chức lười biếng ñược áp dụng ñể cải thiện hiệu suất thời gian − Đa luồng (Multi-thread): Một luồng cơng việc độc lập khởi ñộng cho công việc ñánh giá công cụ phân tích Hơn nữa, tất luồng chạy song song từ đầu đến TRƯỜNG ĐẠI HỌC THỦ ĐƠ H 60 NỘI cuối đánh giá lỗ hổng Ví dụ, cơng cụ phân tích khởi động tối đa 255 luồng cho toàn phân lớp mạng C Cơ chế ña luồng cải thiện hiệu ñánh giá mạng lưới quy mơ lớn, chủ ñề khác thực nhiệm vụ ñánh giá chủ ñề ñang ñợi chuyển liệu vào trung tâm liệu − Hàm lười (Lazy function): Một tùy chọn chức lười biếng ñược ñặt tác nhân kiểm tra để giảm thời gian chạy Nó có nghĩa kích hoạt tùy chọn tác nhân cụ thể, khơng khởi động chủ ñề nhận ñược yêu cầu thu thập liệu Ngược lại, xác định xem có tồn luồng cơng việc hệ thống khơng Nếu có, chờ đợi cho kết thúc chủ ñề làm việc nộp kết cho cơng cụ phân tích Nếu khơng, bắt ñầu chủ ñề cho nhiệm vụ Khi tác nhân nhận ñược nhiều yêu cầu lúc, thực khởi động luồng để tiết kiệm ñược nhiều tài nguyên hệ thống THỬ NGHIỆM Mơi trường thí nghiệm thể Hình thiết lập ñể kiểm tra hiệu hệ thống NetScope việc đánh giá xác, hiệu xây dựng đường cơng tiềm ẩn Cơng cụ phân tích hệ thống NetScope thiết lập máy chủ 192.168.7.12 ñể thiết lập tùy chọn ñánh giá, thực hệ thống ñiều khiển phân tích kết lưu trữ trung tâm liệu Hình Mơ hình thử nghiệm Ta xem xét máy chủ khác mạng mục tiêu ñánh giá thiết lập tác nhân kiểm tra máy ñể thu thập tập liệu cấu hình hệ thống TẠP CHÍ KHOA HỌC − SỐ 18/2017 61 Thí nghiệm 1: Trên Mail sever với hai nhóm Nhóm 1: Đánh giá an tồn ñối với IE 6.0 máy chủ mail chạy Win2K mà khơng có vá hai hệ thống: NetScope MBSA Kết trình bày Bảng Nhóm 2: Cấu hình mail server thay đổi cách cài ñặt SP1 IE 6.0 IIS 5.0, hai hệ thống ñánh giá ñược sử dụng ñể tìm lỗ hổng IIS 5.0 Bảng liệt kê kết cách áp dụng MBSA NetScope Bảng Kết kiểm tra IE 6.0 nhóm thí nghiệm Bảng Kết kiểm tra IE 6.0 nhóm thí nghiệm Kết đánh giá IIS 5.0 nhóm thí nghiệm Thí nghiệm 2: Kiểm tra cho nhiều máy chủ Kết thời gian tính tốn trung bình cho nhiều máy chủ với 343 định nghĩa lỗ hổng thể Hình Hình Thời gian tính tốn trung bình cho nhiều máy chủ NetScope TRƯỜNG ĐẠI HỌC THỦ ĐÔ H 62 NỘI KẾT LUẬN Trong báo trình bày phương pháp phương pháp hình thức đặc tả logic cho việc đánh giá phân tích lỗ hổng an ninh mạng, kết ñã ñược trình bày nội dung báo cho thấy lợi ích việc sử dụng phương pháp hình thức việc áp dụng vào vấn đề an tồn an ninh mạng vấn đề thời nóng Việt Nam tồn giới Trong thời gian tới hướng từ kết báo chúng tơi trình bày phương pháp xây dựng đồ thị cơng ñã ñánh giá phân tích lỗ hổng an ninh thơng qua giúp nhà quản trị hay người dùng nhận biết phán đốn công mạng thông qua lỗ hổng hệ thống mạng Cuối nhóm tác giả xin chân thành cảm ơn đề tài CS17.11“Phương pháp hình thức dựa đặc tả logic cho việc phát phân tích lỗ hổng an ninh mạng” ñã hỗ trợ ñể tác giả hồn thành báo TÀI LIỆU THAM KHẢO Ammann, P., Wijesekera, D., & Kaushik, S (2002), “Scalable, graphbased network vulnerability analysis”.Proceedings of 9th ACMConference on Computer and Communication Security, Washington, D.C., USA Baldwin, R (1994), Kuang.“Rule based security checking Cambridge”:MIT Technical Report, MIT Lab for Computer Science,Programming Systems Research Group CERT Coordination Center (2006), CERT/CC statistics 1988–2004.Pittsburgh: CERT Coordination Center accessed September 24, from http://www.cert.org/stats/cert_stats.html Deraison, R., Gula, R., & Hayton, T (2005), Passive vulnerabilityscanning: Introduction to NeVO Accessed June 10 http://www.tenablesecurity.com/white_papers/passive_scanning_tenable.pdf Farmer, D., & Spafford, E H (1991), “The cops security checkersystem” West Lafayette: Purdue University Technical report,CSD-TR-993 Fithen, W L., Hernan, S V., O’Rourke, P F., et al (2004), Formalmodeling of vulnerabilities Bell Labs Technical Journal, 8(4), pp.173–186 Geng, S., Qu, W., & Zhang, L (2001), Discrete mathematics pp 34-56 Beijing: Tsinghua University Press Help and Support Home, Microsoft (2004), Microsoft baseline securityanalyzer (MBSA) version 1.2.1 is available Accessed October http://support.microsoft.com/kb/320454/en-us TẠP CHÍ KHOA HỌC − SỐ 18/2017 63 Hsu, C., & Wallace, W (2007) “An industrial network flowinformation integration model for supply chain management and intelligent transportation” Enterprise Information Systems, (13), pp.327–351 10 International Institute of Standards and Technology (2004), ICATmetabase-your CVE vulnerability search engine Accessed June10 http://icat.nist.gov/ 11 Internet Security Systems (2005), Vulnerability assessment AccessedMarch 10, 2005, from http://www.iss.net/find_products/vulnerability_assessment.php 12 Jajodia, S., Noel, S., & O’Berry, B (2003), Topological analysis ofnetwork attack vulnerability Managing cyber threats: Issues, approaches and challenges, chapter Norwell: Kluwer Academic 13 Kotenko, I (2003), “Active vulnerability assessment of computernetworks by simulation of complex remote attacks” InternationalConference on Computer Networks and Mobile Computing, October 20–23, Shanghai, China, pp.40–47, 14 Li, T., Feng, S., & Li, L (2001), Information visualization forintelligent decision support systems Knowledge-Based Systems,14(5–6), pp.259–262 15 Martin, R A (2003), “Integrating your information security vulnerability management capabilities through industry standards (CVE& OVAL)” IEEE International Conference on Systems, Man andCybernetics, 2,, October 5–8, pp.1528–1533 16 McAfee (2003), http://www.mcafeeasap.com/intl/EN/content/cybercop_asap/default.asp 17 Ritchey, R., & Ammann, P (2000), “Using model checking to analyzenetwork vulnerabilities”, Proceedings of IEEE Symposium onSecurity and Privacy, Oakland: IEEE pp 156–165 18 Zerkle, D., & Levitt, K (1996), Netkuang—a multi-host configurationvulnerability checker, Proceedings of the 6th USENIX SecuritySymposium, San Jose, California, USA 19 Ning, P., & Cui, Y (2002), “An intrusion alert correlator based on prerequisites of intrusions” Raleigh: North Carolina State University Technical Report, TR-2002-01, Department of Computer Science 20 Ritchey, R., Berry, B., & Noel, S (2002), “Representing TCP/IP connectivity for topological analysis of network security”, The 18th Annual Computer Security Applications Conference, December 9–13,San Diego, CA, USA 21 Wojcik, M., Bergeron, T., Wittbold, T., et al (2005), “Introduction to OVAL: A new language to determine the presence of software vulnerabilities”, Accessed July 10, 2005 http://oval.miter.org/documents/doc-03/intro/ intro.html 22 ICAT (2004), The ICAT Metabase, National Institute of Standards and Technology, Computer Security Division, Gaithersburg, MD, http://icat.nist.gov/icat.cfm 64 TRƯỜNG ĐẠI HỌC THỦ ĐÔ H NỘI USING A LOGICAL SPECIFICATION METHOD FOR EVALUATING AND ANALYZING NETWORK SECURITY VULNERABILITIES Abstract: It is important for system administrators to know about security vulnerabilities However, existing vulnerability assessment methods may experience high bias rates, long calculation times Moreover, they are only capable of locating individual vulnerabilities on a host server regardless of the corresponding performance of vulnerabilities on the server or part of the network with vulnerabilities that can be addressed Distributed among different machines To address these issues, we propose a formal methodology that uses a logical specification for evaluating and analyzing network security vulnerabilities With this method vulnerabilities are detected without the need to simulate attacks and it can also easily integrate with other security tools based on relational databases Keywords: Network security, vulnerability assessment, Security vulnerability, Predicate logic ... phương pháp đặc tả logic cho việc ñánh giá phân tích lỗ hổng an ninh mạng Phần ba báo kết thử nghiệm phương pháp hình thức sử dụng đặc tả Cuối kết luận báo PHƯƠNG PHÁP ĐẶC TẢ LOGIC CHO VIỆC ĐÁNH... bày phương pháp phương pháp hình thức đặc tả logic cho việc đánh giá phân tích lỗ hổng an ninh mạng, kết ñã ñược trình bày nội dung báo cho thấy lợi ích việc sử dụng phương pháp hình thức việc. .. thiệu phương pháp để phân tích ñánh giá lỗ hổng an ninh mạng ñó phương pháp hình thức sử dụng đặc tả logic để giải toán lỗ hổng an ninh mạng Để giải vấn đề báo trình bày hệ thống đánh giá tính