基于檢測(cè)驅(qū)動(dòng)的網(wǎng)絡(luò)蠕蟲主動(dòng)遏制方法及對(duì)抗工具自動(dòng)生成系統(tǒng)的制作方法
【專利摘要】基于檢測(cè)驅(qū)動(dòng)的網(wǎng)絡(luò)蠕蟲主動(dòng)遏制方法及對(duì)抗工具自動(dòng)生成系統(tǒng)，涉及網(wǎng)絡(luò)安全領(lǐng)域。為了提高對(duì)新蠕蟲的響應(yīng)速度，及時(shí)的遏制傳染源的擴(kuò)散，清除網(wǎng)絡(luò)上那些不可控的節(jié)點(diǎn)的蠕蟲和漏洞，徹底清除蠕蟲。技術(shù)要點(diǎn)，在網(wǎng)絡(luò)的出口設(shè)置探頭進(jìn)行捕包檢測(cè)，發(fā)現(xiàn)蠕蟲的感染主機(jī)，利用漏洞進(jìn)入感染目標(biāo)主機(jī)，對(duì)蠕蟲進(jìn)行查殺、對(duì)漏洞進(jìn)行修補(bǔ)或?qū)χ鳈C(jī)進(jìn)行免疫等措施達(dá)到清除網(wǎng)絡(luò)蠕蟲的目的；另外一方面，采用快速掃描技術(shù)對(duì)網(wǎng)絡(luò)內(nèi)的主機(jī)進(jìn)行掃描，對(duì)存在漏洞的進(jìn)行遠(yuǎn)程修補(bǔ)。自動(dòng)生成系統(tǒng)包括：遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具分析與自動(dòng)生成子系統(tǒng)、投放工具分析與自動(dòng)生成子系統(tǒng)和主動(dòng)修補(bǔ)補(bǔ)丁分析與自動(dòng)生成子系統(tǒng)。本發(fā)明響應(yīng)速度能在蠕蟲傳播初期對(duì)蠕蟲進(jìn)行有效的遏制。
【專利說明】基于檢測(cè)驅(qū)動(dòng)的網(wǎng)絡(luò)蠕蟲主動(dòng)遏制方法及對(duì)抗工具自動(dòng)生成系統(tǒng)
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及網(wǎng)絡(luò)安全領(lǐng)域，更具體的說，涉及網(wǎng)絡(luò)蠕蟲的清除與遏制技術(shù)。
【背景技術(shù)】
[0002]目前開放自由的Internet所帶來的復(fù)雜的安全狀況，使得蠕蟲仍然危害著Internet,網(wǎng)絡(luò)蠕蟲之所以難于控制主要是由于Internet本質(zhì)上是一個(gè)開放的復(fù)雜巨系統(tǒng)，其結(jié)構(gòu)復(fù)雜，缺乏中心控制能力以及其開放性的特征導(dǎo)致存在大量網(wǎng)管層面上的不可控節(jié)點(diǎn)。這些不可控節(jié)點(diǎn)往往缺乏相應(yīng)的安全防護(hù)措施或長(zhǎng)期無人管理，一旦感染蠕蟲，蠕蟲就會(huì)長(zhǎng)期滯留在被感染節(jié)點(diǎn)中，并作為攻擊源對(duì)Internet始終構(gòu)成威脅。因此如何管理、維護(hù)那些無序、不可控的網(wǎng)絡(luò)節(jié)點(diǎn)是控制惡性蠕蟲擴(kuò)散、有效降低蠕蟲疫情的關(guān)鍵。
[0003]目前，網(wǎng)絡(luò)蠕蟲對(duì)互聯(lián)網(wǎng)絡(luò)的危害極大，網(wǎng)絡(luò)蠕蟲爆發(fā)后，會(huì)對(duì)網(wǎng)絡(luò)基礎(chǔ)設(shè)施造成巨大的沖擊。因此亟需提出一種新的蠕蟲對(duì)抗體系。新的對(duì)抗體系必須能夠克服傳統(tǒng)對(duì)抗技術(shù)的弱點(diǎn)，提高對(duì)新蠕蟲的響應(yīng)速度，及時(shí)的遏制傳染源的擴(kuò)散，清除網(wǎng)絡(luò)上那些不可控的節(jié)點(diǎn)的蠕蟲和漏洞，達(dá)到徹底清除蠕蟲的目標(biāo)。

【發(fā)明內(nèi)容】

[0004]本發(fā)明的目的是為了提高對(duì)新蠕蟲的響應(yīng)速度，及時(shí)的遏制傳染源的擴(kuò)散，清除網(wǎng)絡(luò)上那些不可控的節(jié)點(diǎn)的蠕蟲和漏洞，徹底清除蠕蟲；進(jìn)而提供了一種基于檢測(cè)驅(qū)動(dòng)的網(wǎng)絡(luò)蠕蟲主動(dòng)遏制方法及對(duì)抗工具自動(dòng)生成系統(tǒng)。
[0005]本發(fā)明為解決上述技術(shù)問題采取的技術(shù)方案是:
[0006]一種基于檢測(cè)驅(qū)動(dòng)的網(wǎng)絡(luò)蠕蟲主動(dòng)遏制方法，所述方法的具體實(shí)現(xiàn)過程為:
[0007]步驟一、在網(wǎng)絡(luò)出入口捕獲流量進(jìn)行匹配:捕獲網(wǎng)絡(luò)流量與蠕蟲特征庫進(jìn)行匹配，檢測(cè)到蠕蟲的感染節(jié)點(diǎn)提交到控制管理中心，從而觸發(fā)投放器對(duì)感染節(jié)點(diǎn)進(jìn)行遠(yuǎn)程修復(fù)；
[0008]步驟二、在執(zhí)行步驟一時(shí)，同時(shí)基于規(guī)則匹配通過高速掃描網(wǎng)絡(luò)中存在的嚴(yán)重漏洞的易感主機(jī)，通過模擬攻擊，對(duì)目標(biāo)主機(jī)系統(tǒng)進(jìn)行攻擊性的安全漏洞掃描，如果攻擊成功，則認(rèn)為漏洞存在；
[0009]步驟三、系統(tǒng)控制管理中心根據(jù)漏洞、網(wǎng)絡(luò)蠕蟲和對(duì)抗工具的關(guān)系模式來找到其對(duì)應(yīng)關(guān)系，完成系統(tǒng)指定的任務(wù)列表；
[0010]步驟四、漏洞的命名方式采用CVE(Common VulnerabiIities&Exposures)漏洞庫的方式，通過CVE找到其他與CVE兼容的數(shù)據(jù)庫中的相應(yīng)漏洞的信息，通過漏洞、蠕蟲和遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具的關(guān)系模式，系統(tǒng)控制管理中心即可完成對(duì)漏洞和蠕蟲的遏制工作。
[0011]一種實(shí)現(xiàn)上述方法的網(wǎng)絡(luò)蠕蟲對(duì)抗工具自動(dòng)生成系統(tǒng)，所述網(wǎng)絡(luò)蠕蟲對(duì)抗工具包含遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具、主動(dòng)修補(bǔ)補(bǔ)丁、投放工具；遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具用于查找主機(jī)上是否感染特定蠕蟲并修復(fù)對(duì)應(yīng)漏洞；主動(dòng)修補(bǔ)補(bǔ)丁是指非官方漏洞修補(bǔ)工具，用于在官方的正式補(bǔ)丁出現(xiàn)之前，對(duì)應(yīng)的漏洞攻擊程序已經(jīng)出現(xiàn)且蠕蟲也開始在網(wǎng)絡(luò)上蔓延開時(shí)進(jìn)行相應(yīng)的漏洞和蠕蟲防范；投放工具是傳送遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具和主動(dòng)修補(bǔ)補(bǔ)丁到目標(biāo)主機(jī)的載體，用于漏洞攻擊；所述自動(dòng)生成系統(tǒng)包括:
[0012]遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具分析與自動(dòng)生成子系統(tǒng)，包括停止蠕蟲進(jìn)程子模塊、停止和刪除服務(wù)子模塊、刪除蠕蟲體文件子模塊、刪除或者恢復(fù)蠕蟲修改的操作系統(tǒng)配置信息子模塊，
[0013]停止蠕蟲進(jìn)程子模塊，用于找到病毒的進(jìn)程句柄，針對(duì)運(yùn)行后出現(xiàn)隱藏形式的蠕蟲過修改生成的代碼來實(shí)現(xiàn)停止蠕蟲進(jìn)程，針對(duì)運(yùn)行后出現(xiàn)不隱藏形式的病毒利用Windows的任務(wù)管理器得到進(jìn)程名，通過Windows的進(jìn)程操作的API枚舉所有進(jìn)程查找到與該進(jìn)程名相同和路徑相同的進(jìn)程后就能停止蠕蟲進(jìn)程，
[0014]停止和刪除服務(wù)子模塊用于停止蠕蟲開啟的服務(wù)并刪除蠕蟲的服務(wù)信息，對(duì)于保存在文件內(nèi)或者注冊(cè)表內(nèi)動(dòng)態(tài)生成的病毒服務(wù)名稱通過該文件名或者注冊(cè)表項(xiàng)所在的路徑得到，從而調(diào)用Windows下的刪除服務(wù)或注冊(cè)表的API實(shí)現(xiàn)停止和刪除服務(wù)，
[0015]刪除蠕蟲體文件子模塊用于獲取文件路徑，根據(jù)蠕蟲的文件名稱以及相對(duì)路徑刪除相應(yīng)文件，
[0016]刪除或者恢復(fù)蠕蟲修改的操作系統(tǒng)配置信息子模塊用于獲取蠕蟲隨操作系統(tǒng)自動(dòng)運(yùn)行方式，通過對(duì)蠕蟲的運(yùn)行跟蹤獲得所述方式；
[0017]投放工具分析與自動(dòng)生成子系統(tǒng)，包括投放工具分析子模塊、投放工具自動(dòng)生成子模塊，
[0018]投放工具分析子模塊用于向目標(biāo)主機(jī)發(fā)送報(bào)文使得能夠引起有漏洞的服務(wù)調(diào)用，之后發(fā)送構(gòu)造好的溢出報(bào)文，造成服務(wù)的溢出并執(zhí)行Shellcode，攻擊成功后在目標(biāo)主機(jī)上執(zhí)行傳輸命令從WACSD的服務(wù)器下載對(duì)應(yīng)的遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具或者漏洞補(bǔ)丁工具，傳輸結(jié)束后則執(zhí)行運(yùn)行遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具或者漏洞補(bǔ)丁工具，
[0019]投放工具自動(dòng)生成子模塊，用于實(shí)現(xiàn)投放工具的自動(dòng)生成，利用固定的代碼框架指定溢出攻擊報(bào)文發(fā)送代碼，并指定對(duì)應(yīng)的漏洞CVE標(biāo)識(shí)，然后將系統(tǒng)編譯生成的代碼，并把投放工具信息寫入數(shù)據(jù)庫中；
[0020]主動(dòng)修補(bǔ)補(bǔ)丁分析與自動(dòng)生成子系統(tǒng)，包括主動(dòng)修補(bǔ)補(bǔ)丁分析子模塊和主動(dòng)修補(bǔ)補(bǔ)丁自動(dòng)生成子模塊，
[0021]主動(dòng)修補(bǔ)補(bǔ)丁分析子模塊采用增加代碼的方法來進(jìn)行漏洞修補(bǔ)，通過在系統(tǒng)內(nèi)存實(shí)時(shí)修改存在問題的代碼，以實(shí)現(xiàn)實(shí)時(shí)修復(fù)，
[0022]主動(dòng)修補(bǔ)補(bǔ)丁自動(dòng)生成子模塊，用于自動(dòng)生成對(duì)DLL/ΕΧΕ的補(bǔ)丁，為有漏洞的函數(shù)定義每一個(gè)參數(shù)及參數(shù)類型，然后需要定義確定哪一個(gè)參數(shù)有問題的條件判斷和發(fā)現(xiàn)有問題時(shí)的返回值如何賦值，并指定有漏洞的DLL/ΕΧΕ路徑，再編譯生成補(bǔ)丁，每一個(gè)生成的補(bǔ)丁都是一個(gè)DLL，補(bǔ)丁 DLL的DllMain函數(shù)中，當(dāng)發(fā)生DLL_PROCESS_ATTACH消息時(shí)，利用Detour API 把補(bǔ)丁函數(shù)替換 Target Function。
[0023]本發(fā)明的有益效果是:本發(fā)明清除網(wǎng)內(nèi)不可控節(jié)點(diǎn)，消除長(zhǎng)期滯留蠕蟲感染節(jié)點(diǎn)。主動(dòng)遏制技術(shù)主要是基于對(duì)漏洞的遏制，一方面，利用蠕蟲檢測(cè)技術(shù)，在網(wǎng)絡(luò)的出口設(shè)置探頭進(jìn)行捕包檢測(cè)，發(fā)現(xiàn)蠕蟲的感染主機(jī)，利用漏洞進(jìn)入感染目標(biāo)主機(jī)，對(duì)蠕蟲進(jìn)行查殺、對(duì)漏洞進(jìn)行修補(bǔ)或?qū)χ鳈C(jī)進(jìn)行免疫等措施達(dá)到清除網(wǎng)絡(luò)蠕蟲的目的；另外一方面，采用快速掃描技術(shù)對(duì)網(wǎng)絡(luò)內(nèi)的主機(jī)進(jìn)行掃描，對(duì)存在漏洞的進(jìn)行遠(yuǎn)程修補(bǔ)。經(jīng)實(shí)踐證明，本發(fā)明大大提高了對(duì)新蠕蟲的響應(yīng)速度，響應(yīng)速度能在蠕蟲傳播初期對(duì)蠕蟲進(jìn)行有效的遏制，從而能及時(shí)的遏制傳染源的擴(kuò)散，清除網(wǎng)絡(luò)上那些不可控的節(jié)點(diǎn)的蠕蟲和漏洞，達(dá)到徹底清除蠕蟲的目標(biāo)。
【專利附圖】

【附圖說明】
[0024]圖1是本發(fā)明的掃描程序流程框圖；圖2是主動(dòng)修補(bǔ)補(bǔ)丁的覆蓋代碼修補(bǔ)方式示意圖，圖2a是程序打補(bǔ)丁之前的示意圖，圖2b是程序打補(bǔ)丁之后的示意圖；圖3是主動(dòng)修補(bǔ)補(bǔ)丁的增加代碼修補(bǔ)方式示意圖，圖3a是程序打補(bǔ)丁之前的示意圖，圖3b是程序打補(bǔ)丁之后的不意圖。
【具體實(shí)施方式】
[0025]如圖1至3所示，本實(shí)施方式針對(duì)所述一種基于檢測(cè)驅(qū)動(dòng)的網(wǎng)絡(luò)蠕蟲主動(dòng)遏制方法、及實(shí)所述方法的網(wǎng)絡(luò)蠕蟲對(duì)抗工具自動(dòng)生成系統(tǒng)進(jìn)行詳細(xì)描述如下:
[0026]1、確定蠕蟲的特征值:連續(xù)子序列。序列X = IX1X2……xn}，如果存在一個(gè)序列
Y = IyiY2......yml，且 yi = Xj+i，y2 = Xj+2，......ym = Xj+m，其中，j ≥ 0，j+m≤ n,則稱 Y =
Iy1Y2……yj為X的連續(xù)子序列。蠕蟲的特征。如果蠕蟲W在網(wǎng)絡(luò)上傳播，其傳輸?shù)臄?shù)據(jù)形
成形成序列X = XiX2......χη}，如果X中存在一個(gè)子序列Y = IyiY2......yj，并且該序列在其 他沒有蠕蟲W傳播的網(wǎng)絡(luò)流量中一定不存在，則稱子序列Y為蠕蟲W的一個(gè)特征碼。
[0027]2、在網(wǎng)絡(luò)出入口捕獲流量進(jìn)行匹配:捕獲網(wǎng)絡(luò)流量與蠕蟲特征庫進(jìn)行匹配，檢測(cè)到蠕蟲的感染節(jié)點(diǎn)提交到控制管理中心，從而觸發(fā)投放器對(duì)感染節(jié)點(diǎn)進(jìn)行遠(yuǎn)程修復(fù)。從蠕蟲特征庫中提取特征進(jìn)行內(nèi)容匹配，特征庫描述如下:
[0028]
【權(quán)利要求】
1.一種基于檢測(cè)驅(qū)動(dòng)的網(wǎng)絡(luò)蠕蟲主動(dòng)遏制方法，其特征在于:所述方法的具體實(shí)現(xiàn)過程為: 步驟一、在網(wǎng)絡(luò)出入口捕獲流量進(jìn)行匹配:捕獲網(wǎng)絡(luò)流量與蠕蟲特征庫進(jìn)行匹配，檢測(cè)到蠕蟲的感染節(jié)點(diǎn)提交到控制管理中心，從而觸發(fā)投放器對(duì)感染節(jié)點(diǎn)進(jìn)行遠(yuǎn)程修復(fù)； 步驟二、在執(zhí)行步驟一時(shí)，同時(shí)基于規(guī)則匹配通過高速掃描網(wǎng)絡(luò)中存在的嚴(yán)重漏洞的易感主機(jī)，通過模擬攻擊，對(duì)目標(biāo)主機(jī)系統(tǒng)進(jìn)行攻擊性的安全漏洞掃描； 步驟三、系統(tǒng)控制管理中心根據(jù)漏洞、網(wǎng)絡(luò)蠕蟲和對(duì)抗工具的關(guān)系模式來找到其對(duì)應(yīng)關(guān)系，完成系統(tǒng)指定的任務(wù)列表； 步驟四、漏洞的命名方式采用CVE漏洞庫的方式，通過CVE找到其他與CVE兼容的數(shù)據(jù)庫中的相應(yīng)漏洞的信息，通過漏洞、蠕蟲和遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具的關(guān)系模式，系統(tǒng)控制管理中心即可完成對(duì)漏洞和蠕蟲的遏制工作。
2.—種網(wǎng)絡(luò)蠕蟲對(duì)抗工具自動(dòng)生成系統(tǒng)，所述網(wǎng)絡(luò)蠕蟲對(duì)抗工具包含遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具、主動(dòng)修補(bǔ)補(bǔ)丁、投放工具；遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具用于查找主機(jī)上是否感染特定蠕蟲并修復(fù)對(duì)應(yīng)漏洞；主動(dòng)修補(bǔ)補(bǔ)丁是指非官方漏洞修補(bǔ)工具，用于在官方的正式補(bǔ)丁出現(xiàn)之前，對(duì)應(yīng)的漏洞攻擊程序已經(jīng)出現(xiàn)且蠕蟲也開始在網(wǎng)絡(luò)上蔓延開時(shí)進(jìn)行相應(yīng)的漏洞和蠕蟲防范；投放工具是傳送遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具和主動(dòng)修補(bǔ)補(bǔ)丁到目標(biāo)主機(jī)的載體，用于漏洞攻擊； 其特征在于:所述自動(dòng)生成系統(tǒng)包括: 遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具分析與自動(dòng)生成子系統(tǒng)，包括停止蠕蟲進(jìn)程子模塊、停止和刪除服務(wù)子模塊、刪除蠕蟲體文件子模塊、刪除或者恢復(fù)蠕蟲修改的操作系統(tǒng)配置信息子模塊， 停止蠕蟲進(jìn)程子模塊，用于找到病毒的進(jìn)程句柄，針對(duì)運(yùn)行后出現(xiàn)隱藏形式的蠕蟲過修改生成的代碼來實(shí)現(xiàn)停止蠕蟲進(jìn)程，針對(duì)運(yùn)行后出現(xiàn)不隱藏形式的病毒利用Windows的任務(wù)管理器得到進(jìn)程名，通過Windows的進(jìn)程操作的API枚舉所有進(jìn)程查找到與該進(jìn)程名相同和路徑相同的進(jìn)程后就能停止蠕蟲進(jìn)程， 停止和刪除服務(wù)子模塊用于停止蠕蟲開啟的服務(wù)并刪除蠕蟲的服務(wù)信息，對(duì)于保存在文件內(nèi)或者注冊(cè)表內(nèi)動(dòng)態(tài)生成的病毒服務(wù)名稱通過該文件名或者注冊(cè)表項(xiàng)所在的路徑得到，從而調(diào)用Windows下的刪除服務(wù)或注冊(cè)表的API實(shí)現(xiàn)停止和刪除服務(wù)， 刪除蠕蟲體文件子模塊用于獲取文件路徑，根據(jù)蠕蟲的文件名稱以及相對(duì)路徑刪除相應(yīng)文件， 刪除或者恢復(fù)蠕蟲修改的操作系統(tǒng)配置信息子模塊用于獲取蠕蟲隨操作系統(tǒng)自動(dòng)運(yùn)行方式，通過對(duì)蠕蟲的運(yùn)行跟蹤獲得所述方式； 投放工具分析與自動(dòng)生成子系統(tǒng)，包括投放工具分析子模塊、投放工具自動(dòng)生成子模塊， 投放工具分析子模塊用于向目標(biāo)主機(jī)發(fā)送報(bào)文使得能夠引起有漏洞的服務(wù)調(diào)用，之后發(fā)送構(gòu)造好的溢出報(bào)文，造成服務(wù)的溢出并執(zhí)行Shellcode，攻擊成功后在目標(biāo)主機(jī)上執(zhí)行傳輸命令從WACSD的服務(wù)器下載對(duì)應(yīng)的遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具或者漏洞補(bǔ)丁工具，傳輸結(jié)束后則執(zhí)行運(yùn)行遠(yuǎn)程網(wǎng)絡(luò)蠕蟲清除工具或者漏洞補(bǔ)丁工具， 投放工具自動(dòng)生成子模塊，用于實(shí)現(xiàn)投放工具的自動(dòng)生成，利用固定的代碼框架指定溢出攻擊報(bào)文發(fā)送代碼，并指定對(duì)應(yīng)的漏洞CVE標(biāo)識(shí)，然后將系統(tǒng)編譯生成的代碼，并把投放工具信息寫入數(shù)據(jù)庫中； 主動(dòng)修補(bǔ)補(bǔ)丁分析與自動(dòng)生成子系統(tǒng)，包括主動(dòng)修補(bǔ)補(bǔ)丁分析子模塊和主動(dòng)修補(bǔ)補(bǔ)丁自動(dòng)生成子模塊， 主動(dòng)修補(bǔ)補(bǔ)丁分析子模塊采用增加代碼的方法來進(jìn)行漏洞修補(bǔ)，通過在系統(tǒng)內(nèi)存實(shí)時(shí)修改存在問題的代碼，以實(shí)現(xiàn)實(shí)時(shí)修復(fù)， 主動(dòng)修補(bǔ)補(bǔ)丁自動(dòng)生成子模塊，用于自動(dòng)生成對(duì)DLL/ΕΧΕ的補(bǔ)丁，為有漏洞的函數(shù)定義每一個(gè)參數(shù)及參數(shù)類型，然后需要定義確定哪一個(gè)參數(shù)有問題的條件判斷和發(fā)現(xiàn)有問題時(shí)的返回值如何賦值，并指定有漏洞的DLL/ΕΧΕ路徑，再編譯生成補(bǔ)丁，每一個(gè)生成的補(bǔ)丁都是一個(gè)DLL，補(bǔ)丁 DLL的DllMain函數(shù)中，當(dāng)發(fā)生DLL_PROCESS_ATTACH消息時(shí)，利用Detour API 把補(bǔ)丁函 數(shù)替換 Target Function。
【文檔編號(hào)】H04L29/06GK103944920SQ201410195362
【公開日】2014年7月23日 申請(qǐng)日期:2014年5月9日 優(yōu)先權(quán)日:2014年5月9日
【發(fā)明者】張大勇, 辛毅, 張兆心 申請(qǐng)人:哈爾濱工業(yè)大學(xué)