【文章內(nèi)容簡介】 的結果，很難滿足實際工作的需要。因此這種分類方法并沒有得到廣泛的應用?；趩我粚傩缘姆诸惙椒ㄊ侵竷H從攻擊某個特定的屬性對攻擊進行描述的方法。這種方法與基于經(jīng)驗術語分類方法的最大不同在于:基于經(jīng)驗術語分類的方法所針對的攻擊屬性可能有多個；而基于單一屬性對攻擊進行分類描述的方法只針對于攻擊的某個特定的屬性進行。這種根據(jù)某一特定屬性而形成的對攻擊進行分類的方法與基于經(jīng)驗術語的分類方法相比，其分類的確定性和定義的 6 清晰程度方面有了一定的進步，能夠滿足一些場合的需要。但其對攻擊的描述具有很大的局限性，基本只能反映出所描述攻擊屬性的特點，而對于攻擊的其他特點則基本無從反映，不具有普適性，無法被廣泛采用。此外，這種方法在對特定屬性的描述上也存在一定的問題，并不能準確地反映出攻擊在該屬性上的所有情況，即在完備性方面尚需改進；或者對攻擊屬性的描述過于籠統(tǒng)，即使對攻擊加以歸類，人們也較難根據(jù)攻擊類別準確了解該攻擊的本質(zhì)?；诙鄬傩缘姆诸惙椒ㄖ竿瑫r抽取攻擊的多個屬性，并利用這些屬性組成的序列來表示一個攻擊過程，或由多個屬性組成的結構來表示攻擊，并對過程或結構進行分類的方法。為克服基于單一屬性描述攻擊的局限性，人們開始研究新的分類體系以同時表示攻擊的多個屬性，其主要出發(fā)點是將一個攻擊看成為一個由多個不同階段組成的過程，而不是一個單一的階段，其中不同的階段體現(xiàn)出不同的攻擊特點。基于單一屬性描述攻擊的方法只體現(xiàn)了某一個階段的特點，因此也就無法反映出一個攻擊全過程的各個階段的屬性，而基于多屬性來描述攻擊，則可以反映出攻擊不同階段的特點，便于描述攻擊的本質(zhì)。Howard[6]在總結分析了計算機應急處理協(xié)調(diào)中心CERT/CC 從1989 年到1995 年所收到的事件報告基礎上，提出了一種新的攻擊分類方法，對攻擊的5 個屬性進行了描述，具體包括：攻擊者的類型、所使用的工具、入侵過程信息、攻擊結果和攻擊目的。Christy[7]在 Howard 的分類方法基礎上對某些項進行了擴充，但基本出發(fā)點是一致的。圖 Howard 提出的攻擊分類方法 7 Christy 改進后的攻擊分類方法Howard 和Christy 提出的分類方法相比基于經(jīng)驗術語分類和基于單一屬性分類的方法有了明顯的進步，易于被大多數(shù)人接受，具有較好的實用性。但在一些屬性描述細節(jié)上存在一些交叉和包含，如圖21和圖22中的攻擊者和攻擊工具中列舉的各項。基于應用的分類方法是對特定類型應用、特定系統(tǒng)而發(fā)起的攻擊的屬性進行分類描述的方法。典型的例子有：Alvarez 和Petrovie[8]在分析對Web 應用而發(fā)起的攻擊時，重點從攻擊入口、漏洞、行為、長度、HTTP 頭及動作、影響范圍、權限等方面對攻擊進行描述，并用不同長度的比特位所代表的數(shù)字來表示每一個屬性，從而形成一個攻擊編碼向量；Weaver[9]等人從目標發(fā)現(xiàn)、選擇策略、觸發(fā)方式等角度對計算機蠕蟲進行了描述，對于攻擊者也按其動機不同進行了劃分。這種針對特定類型應用或特定系統(tǒng)的安全攻擊的描述方法對于特定場合是適合的，有利于描述其固有的特點及其中的關鍵屬性，但也正是因為過多地考慮專用的特點，這種方法在普適性方面表現(xiàn)的很差，難以適應于多種應用。5. 面向攻擊生命周期的攻擊分類方法該方法認為網(wǎng)絡攻擊在其整個生每年給周期中可以分為三個階段：（1）發(fā)起階段攻擊者進行前的準備，如要確定攻擊所針對的操作系統(tǒng)平臺、應用系統(tǒng)平臺， 8 利用系統(tǒng)中的哪些漏洞（不利用漏洞的攻擊如流量攻擊是一個特例）實施攻擊等。攻擊對平臺的依賴性和攻擊與系統(tǒng)漏洞的相關性是攻擊發(fā)起階段的重要影響因子。（2）作用階段對選擇的目標（包括主機、應用、進程等）進行攻擊。在此階段中，攻擊者要選擇被攻擊者系統(tǒng)的某些資源，稱之為“作用點”作為攻擊對象，以達到獲得某些“利益”的目標。攻擊的作用點可以歸納整理為以下5類：賬戶、文件系統(tǒng)、進程、系統(tǒng)資源與信息、網(wǎng)絡及網(wǎng)絡服務。（3）結果階段攻擊成功后所產(chǎn)生的其它后續(xù)結果。攻擊結果階段的影響因子可以用攻擊結果、傳播性、破壞強度來描述。根據(jù)以上階段，從而形成了面向生命周期的攻擊分類體系。 面向生命周期的攻擊分類體系 面向攻擊生命周期的攻擊分類方法體系是一個對攻擊行為定性描述的方法，還需對攻擊各因子進一步細化和量化，以使該攻擊分類體系能夠更準確、更細致地反映出攻擊的特點。 網(wǎng)絡攻擊的分類方法體系為了研究網(wǎng)絡攻擊建模和網(wǎng)絡攻擊效果評估的需要，可以選取平臺依賴性、漏洞相關性、攻擊點、攻擊結果、攻擊傳播性、破壞強度作為網(wǎng)絡攻擊分類的依據(jù)，下面分別論述各自的可行性和分類 標準。發(fā)起階段 作用階段 結果階段平臺依賴性 漏洞相關性 作用點 攻擊結果 傳播性破壞強度賬戶 強強 文件系統(tǒng)中強進程中強系統(tǒng)資源與信息 中強強中弱無設計漏洞實現(xiàn)漏洞配置漏洞無帳號文件系統(tǒng)進程存儲網(wǎng)絡泄露信息篡改信息非法利用服務拒絕服務非法提升權限強中弱無 網(wǎng)絡及網(wǎng)絡服務 中 9 1 平臺依賴性（1）合理性攻擊平臺依賴性，表示網(wǎng)絡攻擊對操作系統(tǒng)平臺的依賴程度。大部分攻擊都是針對特定平臺發(fā)起的，從而表現(xiàn)出攻擊與攻擊目標平臺有很強的相關性，而有些則不然。例如沖擊波（Blaster）病毒攻擊僅僅可以對Windows 2020和XP 兩種操作系統(tǒng)平臺起作用，而利用TCP/IP協(xié)議缺陷的SYNFLOOD攻擊卻可以對大多數(shù)操作系統(tǒng)平臺起作用。攻擊行為的平臺依賴性，反應了攻擊可能影響的范圍。攻擊對平臺的依賴性越強，表明該攻擊所能夠影響的范圍越小，反之則越大。因此在攻擊行為的其他條件相同的情況下平臺依賴性較弱的攻擊，其影響力要高于那些平臺依賴性較強的攻擊。（2）分類標準以攻擊行為與攻擊目標平臺之間的對應關系作為平臺依賴性的分類標準?？梢苑譃椋孩倨脚_依賴性強攻擊與攻擊目標平臺之間存在一對一的關系；如WINNUKE攻擊僅對Win98平臺起作用；②平臺依賴性中攻擊與攻擊目標平臺之間存在一對多的關系，主要針對同一類別的不同版本操作系統(tǒng)平臺有效，如沖擊波（Blaster）病毒攻擊等；③平臺依賴性弱攻擊與攻擊目標平臺之間存在一對多的關系，可以對不同類別操作系統(tǒng)平臺有效，如跨站腳本注入漏洞攻擊等；④無平臺依賴性攻擊與任何一種攻擊目標平臺之間不存在相關性，如針對TCP/IP協(xié)議缺陷所發(fā)起的攻擊。2 漏洞相關性（1）合理性很多網(wǎng)絡攻擊都是利用系統(tǒng)的某些漏洞發(fā)起的，也有少部分攻擊不需要利用具體漏洞。系統(tǒng)漏洞的成因不盡相同，大致可以分為：①設計方面的原因；②實現(xiàn)方面的原因；③配置方面的原因；④管理方面的原因。不依賴具體漏洞的網(wǎng)絡攻擊主要包括阻塞網(wǎng)絡帶寬的DDOS攻擊等。從攻擊與漏洞相關性的分析可以看出，利用系統(tǒng)設計漏洞或不利用漏洞發(fā)起的攻擊基本上不受條件約束或受到約束非常弱，其表現(xiàn)出來的破壞力和影響力就比較大，而且防御起來一般都比較困難；而對于利用實現(xiàn)漏洞而發(fā)起的攻擊來說，只要打上相應的補丁，就可以防范相應的攻擊；而對于利用實現(xiàn)漏洞而發(fā)起的攻 10 擊來說，只要打上相應的補丁，就可以防范相應的攻擊；對于以用配置漏洞而發(fā)起的攻擊，則只需要認真分析業(yè)務需求和配置之間的關系，正確地配置系統(tǒng)，就可以降低系統(tǒng)被攻擊的風險；對于管理漏洞只要嚴格執(zhí)行相關的管理規(guī)定就可以消除相應漏洞的影響。（2）分類標準①設計漏洞攻擊對象為系統(tǒng)設計方面的缺陷，如IP偽造攻擊、 SYNFLOOD攻擊等。②實現(xiàn)漏洞攻擊對象為系統(tǒng)在編碼過程中陰沒有遵循嚴格的安全編碼方法或測試不嚴格而造成的漏洞，如各種緩沖區(qū)溢出漏洞攻擊。③配置漏洞攻擊對象為各種系統(tǒng)配置不當而造成的漏洞，如錯誤設置防火墻ACL規(guī)則。④管理漏洞攻擊對象為各種違反管理規(guī)定而造成的漏洞，如弱密碼破解攻擊等。⑤無攻擊與漏洞之間沒有必然的關系，即使漏洞不存在仍然能夠?qū)崿F(xiàn)攻擊目的。如DDOS攻擊等。3 攻擊點（1）合理性對每一個攻擊來講，都是通過攻擊具體目標來實現(xiàn)其攻擊目的。有些攻擊以網(wǎng)絡為攻擊目標，達到網(wǎng)絡癱瘓的目的；有些攻擊以收集目標系統(tǒng)信息為攻擊目標，為后續(xù)攻擊做準備；而有些攻擊的目標就是系統(tǒng)中的數(shù)據(jù)，進行獲取或破壞。攻擊點不同，則相應的攻擊后果也是不同的。（2）分類標準①系統(tǒng)資源信息系統(tǒng)資源信息如CPU、存儲器、外圍設備等。②網(wǎng)絡網(wǎng)絡主要是影響網(wǎng)絡的功能和性能，如增加網(wǎng)絡的流量負擔、減慢網(wǎng)絡速度。③文件系統(tǒng) 文件系統(tǒng)對系統(tǒng)數(shù)據(jù)文件、用戶數(shù)據(jù)文件、應用數(shù)據(jù)文件進行各種操作。④服務服務包括系統(tǒng)服務，應用服務。⑤帳號帳號包括系統(tǒng)帳號、用戶帳號等。4 攻擊結果 11 （1）合理性攻擊效果是表現(xiàn)攻擊對目標系統(tǒng)造成影響的后果，它是評價攻擊的一個關鍵要素。由于計算機網(wǎng)絡信息系統(tǒng)是由硬件資源、數(shù)據(jù)和服務三者組成的一個綜合體，其價值主要體現(xiàn)在其所擁有的硬件資源、所擁有的信息資源以及其對外提供的服務等，網(wǎng)絡攻擊的實質(zhì)也就不外乎是對目標系統(tǒng)的硬件資源、信息、服務的非法訪問、使用、破壞等。因此各種網(wǎng)絡攻擊，即使從實現(xiàn)方式、表現(xiàn)形式上可能各不相同，但最終反映出的結果卻是有限的幾類。對目標系統(tǒng)信息資源發(fā)起的攻擊可以表現(xiàn)為非法獲取和破壞兩個方面。獲取信息就是收集、讀取目標系統(tǒng)中的各種資料；破壞信息就是惡意篡改、刪除目標系統(tǒng)中的各種資料。對目標系統(tǒng)的服務發(fā)起的攻擊可以表現(xiàn)為對系統(tǒng)中運行的各種服務進行非法的使用和破壞。（2）分類標準根據(jù)攻擊行為對目標系統(tǒng)造成的后果的性質(zhì)對網(wǎng)絡攻擊行為進行分類。網(wǎng)絡攻擊所產(chǎn)生的后果可以分為以下幾類：①獲取信息攻擊造成目標系統(tǒng)的操作系統(tǒng)、應用系統(tǒng)以及用戶的相關信息的泄露。如攻擊發(fā)起之前對目標的掃描會造成信息的泄露，攻擊進入后將用戶信息對外進行發(fā)送、監(jiān)聽網(wǎng)絡上的流量等都屬于此類。②篡改信息攻擊對目標系統(tǒng)的內(nèi)存、硬盤、其它部分的信息進行非法增、刪、改的操作。如植入木馬的操作會導致系統(tǒng)配置信息的更改、硬盤文件的增加等。③利用服務利用系統(tǒng)的正常功能，來實現(xiàn)攻擊者的其他攻擊目的行為。如利用目標系統(tǒng)的正常網(wǎng)絡連接對其它系統(tǒng)進行攻擊等。④拒絕服務使目標系統(tǒng)正常的服務受到影響或系統(tǒng)功能的部分或全部喪失。如典型的分布式拒絕服務攻擊、殺死系統(tǒng)進程使其對外的服務中斷等。⑤提升權限利用某種手段或者利用系統(tǒng)的漏洞，獲得本不應具有的權限。最為典型的是緩沖區(qū)溢出攻擊，另外通過猜測口令、植入木馬、預留后門等也可以使攻擊者獲得本不應具有的權限。5 破壞強度（1）合理性要準確、全面地描述一種網(wǎng)絡攻擊行為可能造成的破壞強度，必須滿足一下幾個條件： 12 ①破壞強度的等級定義必須明確根據(jù)定義，不同的人對于相同的攻擊能夠得出相同或相似的判斷結果。②定位性強通過描述，人們可以自行判斷一種攻擊實際上針對哪些攻擊點進行的。③能夠適應復雜攻擊情況新型的攻擊往往包含多種攻擊手法，其攻擊目標也不止一個，因此對破壞強度的描述需要同時反映出對多個目標的攻擊情況。④可擴展性強可以通過簡單的擴充來適應新出現(xiàn)攻擊的特點，而不會造成結構上的重大調(diào)整。（2）分類標準這里以攻擊點為基礎，給出在每個攻擊點處的破壞強度分類標準。①系統(tǒng)資源與信息強——范式對系統(tǒng)信息進行寫操作的攻擊以及對系統(tǒng)資源進行占有、消耗為目的的攻擊，其破壞強度定義為強。中——范式對系統(tǒng)信息進行讀操作的攻擊，其破壞強度定義為重。②網(wǎng)絡強——對于自動的、不間斷的、攻擊范圍不針對某一固定區(qū)域的、通過網(wǎng)絡傳播而實施的攻擊，一般會利用網(wǎng)絡對其他節(jié)點發(fā)起大量的攻擊，造成網(wǎng)絡資源的大量占用甚至耗盡，使得網(wǎng)絡無法正常提供服務，其攻擊強度定義為“強” ；此外，即使不通過網(wǎng)絡進行攻擊傳播，但可能使網(wǎng)絡的正常服務中斷或全部無法進行的攻擊，其攻擊強度也定義為“強” 。中——對于非自動的、有條件的、攻擊范圍局限于某一區(qū)域的、通過網(wǎng)絡傳播而實施的攻擊，一般會造成局部網(wǎng)絡的功能部分或全部失效，其攻擊強度定義為“中” ；另外還有些攻擊會影響到正常的網(wǎng)絡服務或關鍵的網(wǎng)絡節(jié)點，但還沒有使網(wǎng)絡服務完全無法進行，其攻擊強度也定義為中“中” 。弱——對于影響范圍只局限于被攻擊者本身，或者對被攻擊者的網(wǎng)絡服務影響輕微的攻擊，其攻擊強度定義為“弱” 。③文件系統(tǒng)強—— 對文件系統(tǒng)進行“寫”操作，如修改、刪除、增加文件等，都有可能造成不可恢復性的破壞；或者對需要保密的信息進行解密操作，將其攻擊強度定義為“強” 。中—— 對文件系統(tǒng)進行“讀”操作，如查詢、訪問文件等，一般會造成系統(tǒng)信息的外泄，雖然也很嚴重，但與寫操作相比，其影響尚未達到不可恢復性的程度，因此將其攻擊強度定義為“中” 。④服務