[发明专利]针对网络安全设备进行渗透测试的方法和系统

说明书

技术领域

本发明涉及网络安全领域，尤其涉及一种针对网络安全设备进行渗透测试的方法和系统，更具体地涉及基于一种安全漏洞测试工具如metasploit的渗透测试的方法和系统。

背景技术

渗透测试通常是通过模拟恶意黑客的攻击行为，来评估计算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。所谓“漏洞”指的是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。

渗透测试一方面可以从攻击者的角度，检验业务系统的安全防护措施是否有效，各项安全策略是否得到贯彻落实；另一方面可以将潜在的安全风险以真实事件的方式凸现出来，从而有助于提高相关人员对安全问题的认识水平。通过渗透测试可以发现一些隐蔽或潜在的安全问题，通过对其进行安全加固，可以有效地防止真实安全事件的发生。渗透测试通常是一个渐进的并且逐步深入的过程，一般选择不影响业务系统正常运行的攻击方法进行测试。

渗透测试的工具有很多，基于网站的渗透如IBM Rational AppScan7、DTools、casi等；基于系统的渗透如nmap、Nessus、NetCat、Metasploit framework、Immunity CANVAS、Core Impact等；基于数据库的渗透如DSQLTools、pangolin、oscanner等。

Canvas是Aitel′s ImmunitySec出品的一款安全漏洞检测工具。它包含150个以上的漏洞利用。对于渗透测试人员来说，Canvas是比较专业的安全漏洞利用工具。Canvas也常被用于对IDS和IPS的检测能力的测试。但是Immunity CANVAS、Core Impact都是商业工具，无法用做二次开发。

Metasploit是一款开源的安全漏洞检测工具。由于Metasploit是免费的工具，因此安全工作人员常用Metasploit工具来检测系统的安全性。Metasploit Framework是一个编写、测试和使用Exploit代码的完善环境。Exploit表示能够进行攻击并得到目标系统控制权的恶意代码。这个环境为渗透测试、shellcode编写和漏洞研究提供了一个可靠的平台。所谓Shellcode为攻击程序的核心代码，能够取得系统的控制权(一般是取得一个shell)，是一些汇编代码抽取成的16进制码。Metasploit Framework作为一个缓冲区溢出测试使用的辅助模块，也可以说是一个漏洞利用和测试平台。它集成了各平台上常见的溢出漏洞和流行的shellcode，并且不断更新，使得缓冲区溢出测试变得方便和简单。

渗透测试是一种完全站在攻击者角度对目标系统进行的安全性测试，但是，目前渗透测试还主要依赖于安全测试人员手工对漏洞的发现与探测，或利用一些渗透测试工具进行简单的测试和对已知漏洞库进行测试，由于实现上的难度、时间成本等种种原因，渗透测试的效率低，安全漏洞的覆盖率低，漏洞攻击较单一，不能覆盖漏洞攻击的多种情况及攻击变形。

发明内容

本发明针对上述目前现有技术中渗透测试的效率低下、安全漏洞覆盖率低等技术问题，提出一种基于安全漏洞的检测工具，例如MetaSploit，实现自动化批量进行漏洞检测和攻击，大大提高了针对网络安全设备进行漏洞检测的效率，同时提高了各类漏洞攻击的检测率和阻断率。

根据本发明的一个方面，提供了一种针对网络安全设备进行渗透测试的方法，该方法包括以下步骤：利用搭建的网络仿真环境，自动化配置并提供针对漏洞的渗透测试参数作为全局变量；自动执行漏洞的同步与辅助模块的扩展；调用渗透测试执行引擎，利用所述渗透测试参数，执行有效载荷的交叉遍历以批量进行漏洞检测和攻击测试；以及当全部有效载荷执行完毕后，自动生成攻击报表分析模块。

根据本发明的另一方面，提供了一种针对网络安全设备进行渗透测试的系统，该系统包括：参数配置模块，利用搭建的网络仿真环境，自动化配置并提供针对漏洞的渗透测试参数作为全局变量；可扩展的安全工具集及辅助模块，自动执行漏洞同步与辅助模块的扩展；渗透测试执行引擎，利用所述渗透测试参数，进行有效载荷的交叉遍历以批量进行漏洞检测和攻击测试；以及攻击报表分析模块：当全部有效载荷执行完毕后，自动生成攻击报表分析模块。