CN101682626A

CN101682626A - 用于模拟对网络的黑客攻击的方法和系统

Info

Publication number: CN101682626A
Application number: CN200880017342A
Authority: CN
Inventors: 比卡什·巴莱; 尼兰扬·德
Original assignee: IVIZ Techno Solutions PVT Ltd
Current assignee: IVIZ Techno Solutions PVT Ltd
Priority date: 2007-05-24
Filing date: 2008-05-22
Publication date: 2010-03-24
Also published as: WO2008142710A2; EP2163063A2; US8464346B2; US20100138925A1; WO2008142710A3

Abstract

本发明描述了一种用于仿真对网络的黑客攻击的方法，其中，网络包括多个数据处理单元(DPU)、多个用户以及多个通信链接中的至少一个，用于评估网络的脆弱性。方法包括从系统接收一个或多个扫描参数。此外，方法包括由系统创建至少一个主代理以收集关于网络的信息，其中，信息与关于网络的重要和非重要信息有关。该方法包括：创建信息模型，然后在黑客攻击期间递增地升级信息模型。信息模型是由系统收集的信息的抽象表示。此外，该方法包括：基于一个或多个扫描参数和信息模型生成多攻击向量(MAV)图。MAV具有一种能力，以使与数据处理单元(DPU)、用户和通信链接相关的多个低级和中级严重的脆弱性相结合，使与信息模型相结合的脆弱性相关联并产生可以使网络受威胁的高级严重的攻击路径。此外，该方法包括：基于MAV图发起一次或多次攻击，以使网络受威胁。该方法还包括：在受威胁的网络上安装至少一个从代理来以分散的方式执行一次或多次攻击。此外，该方法包括：通过重复上述步骤使用至少一个从代理和至少一个主代理来执行多级攻击。最后，该方法包括：由扫描控制器生成报告，其中，该报告包括关于网络的脆弱性以及受威胁的网络的细节。

Description

用于模拟对网络的黑客攻击的方法和系统

技术领域

本文公开的本发明一般地涉及数据处理单元(DPU)安全领域，且更具体地，涉及DPU网络的脆弱性评估。

背景技术

由于网络、公司办公室和商业方案的广泛使用，我们需要网络通信领域的鲁棒性安全，为此，网络安全在过去的几年当中得到了巨大的关注。网络通信和电子商务通过病毒、木马、垃圾邮件(SPAM)发送器、入侵者等为组织带来了新的威胁。网络指的是诸如互联网的共用网以及诸如内联网的专用网。网络安全包括组织按照完整性、保密性、验证、访问控制等对信息或数据进行保护的所有活动。安全性测量用于预防诸如互联网用户的不可信的外部源以及可以帮助突破内部网络或内联网的安全的内部源。为了安全的目的，组织设计了多种网络安全策略。网络安全策略包括多种技术功能部件，用于识别威胁并选择多种工具来对其进行抗击。例如，组织可以进行详细的风险评估和渗透检测(penetration testing)以确定组织中现存和潜在的威胁的内涵和外延。

数据处理单元(DPU)是一个可以处理未处理或半处理数据并能将数据转变为处理格式的系统。DPU的实例包括但不限于计算机、膝上型电脑、掌上型电脑、以及移动电话、编译器、扫描仪、以及翻译器。DPU可以通过诸如解码、编码、编译、以及翻译的多种方法处理数据。

安全DPU应仅许可授权的用户存取其上呈现的数据(信息)并进行合法且实用的任务。换言之，DPU不应是脆弱的。脆弱性指的是DPU中的缺点，其可以允许黑客或未授权的人违法进行DPU的访问控制、保密性、完整性、以及审计机制中的至少一个，或存取DPU拥有的数据和应用程序。脆弱性可以由DPU网络中的设计缺陷或程序员在设计运行于DPU上的网络或应用程序时的粗心大意或者由对DPU进行操作的用户(人)引起。脆弱的DPU可能会允许黑客通过使用诸如绕过访问控制检查或执行拥有应用程序的系统上的指令来存取数据或误用应用程序。脆弱性可以假设程序包含脆弱性时的有效部分以特定特权工作或者提供对用户数据或设备的轻易访问。

一种保护脆弱的DPU的方法是通过应用访问控制、配置防火墙、持续警觉(constant vigilance)，包括诸如使用软件补丁和仔细审查的仔细的系统维护。此外，还存在其他方法来检测与DPU网络相关的脆弱性，诸如脆弱性评估和渗透检测方法，其包括人执行该渗透检测方法。通过仿真由黑客攻击，渗透检测方法是一种检测与网络相关的脆弱性的方法，并且可以包括安全脆弱性的主动或被动的使用(exploitation)。在网络上从潜在的黑客开始进行渗透检测，并且渗透检测包括网络中任何弱点、技术缺陷、或脆弱性的主动分析。被识别的脆弱性及其对网络的影响的评估被呈现给用户或网络管理员。之后，可以出现解决方案来消除脆弱性。虽然安全工具或渗透检测以及其他方法均可以向网络审计员提供可能会出现的脆弱性的概述，但这仍然无法完全取代人工判断。

现有的方法可以确定与网络中一个或多个DPU(主机)相关的脆弱性并对其进行修补。但是，当连接互联网的通信链接、主机之间的通信链接以及主机用户之间的通信链接不安全时，网络仍然是会妥协的。黑客可以通过对通信链接进行抽头而经由通信链接得以访问安全和保密数据，并且能够得以具有访问重要用户的特权。此外，当使用DPU的用户(人)没有安全意识(即，他们没有完全认识到安全标准或不遵守这些标准)时，网络仍然是会妥协的。例如，天真或脆弱的用户可以将信息泄露给骗子网站或错误地或无意地将信息提供给未授权的人。此外，为了威胁重要的DPU或得以访问在DPU处呈现的重要信息，黑客可以威胁其他媒介，且可能是网络上不重要的资源(比如人、其他DPU、以及通信链接)。之后，他可以以间接方式通过威胁的资源访问重要的DPU。不变地，这些系统包含访问网络脆弱性中的大量的人力参与。

现有的方法虽然提供了在网络中的一个或多个DPU(主机)上自动进行开发并使其威胁的能力，但仍在收集相关信息以及关于网络的脆弱性的过程中需要人工干预，之后人工地策划攻击，然后人工地发起攻击以访问DPU。因此，在现有的方法中仍然无法找到自动策划的攻击。

没有现有技术描述非人工干预或自动的方法、系统和计算机程序产品，来允许不同方法、系统和计算机程序的综合，对其结果的相关，对开发的策划以及自动执行渗透检测，且没有任何人工干预。

最后，没有现有技术描述非人工干预或自动的方法、系统和计算机程序产品，来执行DPU网络的渗透检测，包括网络中的通信链接和对DPU(主机)进行操作的用户。

根据前述讨论，我们需要提供一种方法、系统和计算机程序产品，以评估与DPU网络(包括网络中的通信链接以及对DPU(主机)进行操作的用户)相关的所有脆弱性，并对网络的渗透检测进行自动的策划和执行。

发明内容

本发明描述了一种用于仿真对网络的黑客攻击的方法，其中，网络包括：多个数据处理单元(DPU)、多个用户以及多个通信链接中的至少一个，用来评估网络脆弱性。该方法包括：接收网络的一个或多个扫描参数。此外，该方法包括：由系统创建至少一个主代理(master agent)以收集关于网络的信息，其中，该信息属于与网络有关的重要信息和非重要信息。该方法包括：创建信息模型，然后在黑客攻击期间递增地升级信息模型。信息模型是由系统收集的信息的抽象表示。此外，该方法包括：基于一个或多个扫描参数和信息模型生成多攻击向量(MAV)图。此外，该方法包括：基于MAV图发起一次或多次攻击，以使网络受威胁。该方法还包括：在受威胁的网络上安装至少一个从代理(slave agent)来以分散的方式执行一次或多次攻击。此外，该方法包括：通过重复上述步骤使用至少一个从代理和至少一个主代理来执行多级攻击。最后，该方法包括：由扫描控制器生成报告，其中，该报告包括关于网络的脆弱性以及受威胁的网络的细节。

本发明提出了一种用于仿真对网络的黑客攻击的系统，其中，所述网络包括多个数据处理单元(DPU)、多个用户以及多个通信链接中的至少一个，以评估网络脆弱性。该网络包括：自动社会工程(SE)结构，用于收集属于多个用户的敏感信息。此外，系统包括通信链接框架(framework)，用于识别与网络和通信协议相关的脆弱性。此外，该系统包括多攻击向量引擎(MAV)，用于生成所有可能的攻击路径，网络可能通过这些路径而受威胁。

本发明描述了一种用于仿真对网络的黑客攻击的方法，其中，网络包括：多个数据处理单元(DPU)、多个用户以及用多个通信链接中的至少一个，来评估网络脆弱性。该方法包括：接收网络的一个或多个扫描参数。此外，该方法包括：通过系统创建至少一个主代理(master agent)以收集关于网络的信息，其中，该信息属于与网络有关的重要信息和非重要信息。该方法包括：创建信息模型，然后在黑客攻击期间递增地升级信息模型。信息模型是由系统收集的信息的抽象表示。此外，该方法包括：基于一个或多个扫描参数和信息模型生成多攻击向量(MAV)图。多攻击向量(MAV)具有一种能力，以使与数据处理单元(DPU)、用户和通信链接相关的多个低级和中级严重的脆弱性相结合，使与信息模型相结合的脆弱性相关联并产生可以使网络受威胁的高级严重的攻击路径。此外，该方法包括：基于MAV图发起一次或多次攻击，以使网络受威胁。该方法还包括：在受威胁的网络上安装至少一个从代理(slaveagent)来以分散的方式执行一次或多次攻击。此外，该方法包括：通过重复上述步骤使用至少一个从代理和至少一个主代理来执行多级攻击。最后，该方法包括：由扫描控制器生成报告，其中，该报告包括关于网络的脆弱性以及受威胁的网络的细节。

附图说明

下面本文将结合附图描述本发明的优选实施例，从而对本发明进行说明而非限定，其中，相同的标记表示相同元素，以及图中：

图1是根据本发明的实施例而可以实施本发明的示例性环境；

图2是示出了根据本发明的实施例的总体系统组件的框图；

图3是示出了根据本发明的实施例的用于仿真对网络的黑客攻击的广义层面的方法的流程图；

图4A和图4B是示出了根据本发明的实施例的用于仿真对网络的黑客攻击的详细方法的流程图；

图5是示出了根据本发明的实施例的社会工程(SE)系统的部件的框图；

图6是示出了根据本发明的实施例的对网络的SE攻击的SE系统流程的流程图；

图7是示出了根据本发明的实施例的多攻击向量(multipleattack vector，MAV)系统的组件的框图；

图8是示出了根据本发明的实施例的用于生成MAV图的MAV系统流程的流程图；图9是根据本发明的实施例的用于仿真对网络进行黑客攻击的网络的示例性结构；

图10是示出了根据本发明的实施例的为威胁网络生成的多种可能路径或备选方案的MAV图的实例；以及

图11是示出了根据本发明的实施例的多级信息模型的信息模型的实例。

具体实施方式

尽管示出并描述了本发明的优选实施例，但是应该理解，本发明不仅限于这些实施例。在不背离权利要求中描述的本发明的精神和范围的前提下，多种修改、变化、改变、替代以及等效替换对于本领域的普通技术人员而言是显而易见的。

图1是根据本发明的多个实施例而可以实施本发明的示例性环境。图1示出了随着DPU网络(诸如主框架服务器、内联网、互联网)的多个部件一起连接的多个数据处理单元(DPU)。DPU的实例可以是诸如个人计算机、膝上计算机、移动电话、个人数字助理(PDA)、智能手机等的多种计算设备。此外，不同DPU能够在其间彼此交换信息或数据的网络的多个实例可以是局域网(LAN)、广域网(WAN)、无线LAN、城域网(MAN)、公共开关电话网(PSTN)、全球电讯交换(TELEX)网、全球移动通信系统(GSM)通信网络、码分多址(CDMA)网等。此外，网络中不同的DPU可以使用多种网络拓扑来彼此通信，诸如传输控制协议(TCP)、网际协议(IP)、用户数据报协议(UDP)、简单邮件传输协议(SMTP)、会话起始协议(SIP)、邮局协议(POP)、以及其他本领域公知的协议。特别要参照图1中所示的组件，示出了示例性环境以包括主框架终端102、一个或多个DPU(还称作主机)104、106、108、110、112、114、以及116、一个或多个网关118和120、一个或多个通信链接124、126、128、130、132、133、136、138、140、142、以及144、一个或多个网络用户146、148、以及150、以及由互联网122所示的外部网络。一个或多个主机或DPU104、106、108、110、112、114、以及116包括操作系统(OS)(诸如，MS

)、Linux、)、以及在其上运行的一个或多个数据处理应用程序。一个或多个网络用户(这里还称作用户)146、148、以及150是对DPU进行操作的人。一个或多个通信链接124、126、128、130、132、134、136、138、140、142和144包括连接不同DPU的通信链接、网络用户之间的通信链接以及用外部网络连接网络(诸如经由网关118和120的互联网122)的通信链接。通信链接不仅是两个主机用户间或多个主机间的物理链接，还包括无线或有线通信协议，用于在不同DPU、网络用户等之间交换数据或信息。例如，在计算机网络的情况下，可以通过使用TCP/IP连接来取代两个或多个DPU之间的通信，以及在电话会议或网络会议的情况下，DPU用户可以使用电话线或语音互联协议(VoIP)。

为了理解本发明，我们将网络定义为包括连接在一起的多个DPU、对DPU进行操作的多个用户、以及将网络的不同组件连接在一起的通信链接中的至少一个。应注意和理解，网络(Network，有时还称作“network”)的提炼和扩展的定义将在剩下的专利申请中使用。

当黑客想要攻击网络或者系统管理员想要评估网络脆弱性时，其目标是对至少一个网络DPU、用户以及一个或多个DPU与用户之间的通信进行折衷，然后通过使用来自折衷的网络的信息或数据对网络执行进一步的攻击。总之，对网络安全的威胁可以来自外部网络(例如，通过互联网122)，通过网关(诸如118、120)，通过网络用户(诸如146、148、以及150)(例如机密数据的泄露)，以及通过通信链接(诸如124、126、128、130、132、133、136、138、140、142、以及144)，以及对网络安全的威胁可以来自内部网络，通过DPU的重要脆弱性的使用，以及通过经通信链接的机密数据泄漏。当连接主机或主机用户的通信链接被折衷且攻击者(或黑客、系统管理员)得以经由通信链接访问数据流时，典型的威胁会出现在网络中。此外，为了折衷网络，至少一个DPU、用户以及通信链接必须在预定义的顺序内或以间接的方式来被折衷。

图2是示出了根据本发明的多个实施例的总体系统组件的框图。在图2中示出的系统可以用来评估网络的脆弱性，或者用来对网络执行黑客攻击。更具体地，图2示出了控制台202、扫描控制器204、代理框架206、网络208、数据库218、以及知识库(knowledgebase)232。系统的设计基于模型、观察和控制器(Model，View andController，MVC)结构，即，系统被分解为如下三部分：模型、观察、以及控制器。控制台202是图形用户界面，用户可以通过它输入网络208的一个或多个扫描参数。扫描参数可以是关于网络208的信息，诸如IP地址或媒体访问控制(MAC)地址等。此外，黑客或系统管理员可以使用控制台202来将必须采取的动作或方向指定在对网络208的攻击的输出上。扫描控制器204负责在网络208的攻击或脆弱性评估结束之后，发起对网络208的扫描，创建或发起主代理，检查扫描的状态并生成报告。扫描控制器204功能性地与数据库218连接以评估在其中存储的数据。数据库218用于存储扫描参数、扫描的临时数据以及扫描的最终结果，其中，该结果进一步用来生成报告。扫描控制器204使用该数据以生成攻击策划，生成网络208的脆弱性评估报告等。主机代理发起对网络的一个或多个攻击。主机代理封装(encapsulate)一个或多个功能模块。这一个或多个功能模块是信息收集模块、脆弱性评估模块、链接分析模块、社会工程模块、应用开发(exploitation)模块等。这些功能模块在对网络的脆弱性评估或黑客攻击的不同级上彼此交互。更具体地，这些功能模块可以在信息收集阶段、脆弱性评估阶段、链接分析阶段、社会工程阶段、以及应用开发阶段期间执行其各自功能。信息收集阶段、脆弱性评估阶段、社会工程阶段、链接分析阶段以及应用开发阶段中的每一个均会在下文中结合图4A和图4B进行更详细的讨论。代理框架206收集关于网络208的信息并发起对网络的一次或多次攻击。代理框架(framework)206可以从知识库232中读取数据。代理框架206可以支持动态或宽范围的功能性支持。代理框架206提供对功能(诸如开始、停止、暂停、载入、以及卸载功能)的动态控制。与代理框架206兼容的一个或多个新功能可以在知识库232中创建或卸载。与代理框架206相关的功能是普通的或专用于对网络的一次或多次攻击的。代理的功能可以与商务或非商务软件结合。代理可以与认证机制和安全通信结合。代理支持多种认证方法，诸如密码认证、密钥认证等。代理还支持SSL和其他安全通信方法。网络208进一步包括防火墙210、网络1 212、网络2 214、以及网络3 216。网络1 212、网络2 214、网络3 216是网络208的子网络。例如，网络1 212可以是e-mail交换服务器，其中网络2 214和网络3 216可以是两个不同的数据服务器。数据库218存储与扫描有关的数据和模型的商业信息。数据库218被MVC结构的模型封装。数据库218是存储的数据或信息的结构集合的存储部，使得数据可以被访问，以备后用。在本发明的实施例中，软件程序可以使用来自数据库218的数据来应答询问并作出决定。知识库232存储与扫描相关的特定信息。知识库232进一步包括：信息收集存储部(repository)220，用于存储关于网络208的重要和非重要信息，诸如在不同DPU中呈现的开放端口的名称和地址、操作系统(OS)细节、运行应用程序、人(诸如组织的雇员及其相关信息)、路由器、交换、防火墙、以及诸如动态主机设置协议(DHCP)和域名服务器(DNS)的网络协议；脆弱性评估存储部222，用于存储与DPU相关的脆弱性和在其上运行的应用程序；社会工程存储部224，用于存储网络中可能的动作和人为行为以及与人相关的对应脆弱性，诸如偷窃密码、偷看(sniff)来自网络的邮件等；链接分析存储部226，用于存储与网络以及诸如ARP投毒(poisoning)、DNS投毒、端口偷窃等的通信协议相关的脆弱性；MAV存储部228，用于存储关于多攻击向量的信息，所述多攻击向量示出了对网络208的一次或多次攻击的可能路径；应用开发存储部230，用于存储由应用开发阶段收集的信息，即，在已经对网络208进行了一次或多次攻击之后收集的信息。存储在知识库232中的信息对于一个扫描是恒定的，即，为一个特定扫描存储的信息不再改变。知识库232可以由用户通过控制台202进行更新。该视图包含了在运行时间提供的布局，以将控制台202呈现给用户，以使用户能够与系统进行交互。

图3是示出了根据本发明的多个实施例的用于仿真对网络的黑客攻击的方法的流程图。

在步骤302，用户通过控制台202输入网络的扫描参数。扫描参数诸如扫描范围、预定扫描时间、关于网络的起始信息等。扫描控制器204启动网络扫描。步骤304，扫描控制器204发起主代理收集关于网络的重要和非重要信息，包括关于DPU、通信链接和人的信息。此外，主代理发起对网络的攻击。步骤306，基于在步骤304中收集的信息生成MAV图并策划对网络的攻击。可以准备MAV图以示出所有可能的路径，以折衷已在步骤304中策划的网络。步骤308，在步骤304中策划的攻击在网络中发起以折衷网络。总之，攻击可以是DPU应用、社会工程攻击、通信链接或人为中间(Man in the Middle，MITM)攻击或包含两次或多次上述攻击的动态攻击。步骤310，一个或多个从代理安装在折衷的网络上以帮助执行对网络的进一步攻击。从代理可以自我复制以在其与主代理相分离时能够存活，可以自我协调(coordinate)，并且可以自动执行最复杂、协调并且分散的攻击。从代理可以由主代理分配各自的任务，诸如提供重要信息并执行进一步攻击。之后，从代理可以继续攻击并向主代理提供结果和信息。因此，以共存的形式继续，主代理和从代理可以彼此相互合作以折衷网络。

在步骤312，在多级上执行对网络的攻击。多级攻击可以命名为起始级、级1、级2、级3一直到级N和完成级。在起始级期间，在通过控制台202接收来自用户的扫描参数之后扫描网络。扫描控制器204读取扫描参数、开启主代理并将关于扫描参数的信息传递至主代理。主代理发起对网络的攻击。此外，在网络被完全折衷之前，级1包括多个攻击子级。在级1中，主代理是枢纽代理。

为了理解该方法，让我们考虑一种情况，此时网络的管理员机器H1是对主代理几乎可见的。主代理以如下步骤渗透网络：步骤1，主代理收集关于网络的重要和非重要信息。通过收集信息，网络的某个或某几个部分变得对主代理几乎可见。我们就说网络服务器H2变得可视了。现在，管理员机器H1和网络服务器H2变得对主代理几乎可视。步骤2，主代理在网络的几乎可视部(即，在管理员机器H1和网络服务器H2上)执行脆弱性评估，并识别网络的几乎可视部的安全漏洞(hole)。步骤3，主代理执行链接分析以获得诸如密码的重要或敏感信息并更新信息模型。信息模型是由系统收集的信息的抽象表示。步骤4，生成MAV图，其示出了所有可能的路径或方法来折衷网络。MAV图的可能的子集包括在网络服务器H2上应用介质威胁脆弱性(medium threat vulnerability)的尝试，根据服务器类型在网络服务器H2上特权扩大攻击的尝试，以及练习对工作在管理员机器H1上的用户U2建立信任的尝试。步骤5，为折衷网络，进行攻击策划。我们假设攻击已经在管理员机器H1的用户U2上作出以对其进行折衷。然后，步骤6，在折衷的管理员机器H1上安装从代理LA1。这终止了攻击的级1.

在步骤2期间，LA1变成对网络的进一步攻击的枢纽代理。从代理LA1在多个子级中发起攻击。再次，诸如信息收集、脆弱性评估以及其他处理的步骤是由从代理LA1以与级1中由主代理执行的相同方式来执行的。从代理LA1之后更新信息模型。重新生成或修改MAV图，以使用关于折衷的管理员机器H1的信息，用于对网络进行进一步攻击。此外，作出攻击策划，并选择相应的攻击路径以执行导致网络中另一机器折衷的成功攻击。最终，从代理LA2安装在最新折衷的机器上。现在，LA2变成了枢纽代理，用于对网络进行进一步攻击。

处理被重复至级N，直到整个网络折衷。随后的级的步骤是之前列出的级的递归。以这种方式，继续网络的渗透，使得网络被完全突破。最终，在完成级，其中，主代理概括了收集的数据，将数据概括传递至扫描控制器204，清除从代理并生成脆弱性评估或攻击报告。此外，当重定义的时间过去时，终止黑客攻击或脆弱性评估。步骤314，扫描控制器204生成报告，包括关于折衷网络和网络脆弱性的细节。此外，可以将报告提交至网络安全官(NSO)。

图4A和图4B示出了根据本发明的实施例的用于仿真对网络的黑客攻击或脆弱性评估操作的详细方法的流程图。步骤402，用户通过控制台202提供扫描参数以发起对网络的扫描。扫描控制器204从用户接受含扫描参数的扫描请求。之后，扫描控制器204使用智能读取器。智能读取器可以是读入智能文件的软件程序，智能文件包括一个或多个扫描的状态表。状态表提供由扫描控制器204使用一个或多个模块的顺序。在本发明的实施例中，智能文件可以具有一个或多个标准来使用状态表。智能文件的功能可以通过下列实例的帮助来说明。我们考虑一种情形，其中第一标准是基于由用户提供的一个或多个扫描参数而选择的。基于第一标准，智能文件中具有预定义的状态表。例如，第一标准的状态表可以首先使用信息收集模块，之后是脆弱性评估模块、链接分析模块、多攻击向量(MAV)生成模块、执行模块、扫描控制器204或主代理以及报告生成模块，以上顺序不是必须的。智能读取器基于由用户输入的一个或多个扫描参数以及智能文件生成扫描的完整的限态机。在生成扫描的完整的限态机之后开始网络扫描。此外，扫描控制器204负责起动主代理、检查扫描的状态以及生成报告。主代理的功能是维护脆弱性的综合数据库218，并收集来自一个或多个从代理的结果。之后，主代理将结果提交至扫描控制器204。主代理还可以提供基本的代理管理和应用程序接口(API)，以访问并控制已经安装在网络的不同部分中的从代理。主代理还是从代理和扫描控制器204之间的通信的单独的源。

步骤404，由信息收集模块、脆弱性评估模块、社会工程模块、以及链接分析模块分别执行信息收集阶段、脆弱性评估阶段、社会工程阶段、以及链接分析阶段。执行信息收集阶段以收集关于网络的信息，诸如在不同DPU中呈现的开放端口的名称和地址、操作系统(OS)细节、运行应用程序、人(诸如组织的雇员及其相关信息)、路由器、交换、防火墙，以及收集诸如动态主机设置协议(DHCP)和域名服务器(DNS)的网络协议。还可以获取应用在网络和DPU间物理连接的关于网络拓扑的信息。执行脆弱性评估阶段以识别与OS、应用程序、和在网络中的DPU上运行的软件。执行社会工程阶段以识别与人有关的脆弱性。与人有关的脆弱性是可以导致网络安全的折衷的人的可能的动作。该SE阶段还识别更可能有意或无意地将重要数据或信息泄露至外部的用户或人。社会工程阶段的目的是分析人的行为并通过网络用户识别折衷网络的可能性。例如，在SE阶段，系统使用多种手段(诸如偷看来自网络的邮件，引诱用户泄露重要信息，使用假资源偷窃密码等)来发起SE攻击。执行链接分析以识别与网络和通信协议相关的脆弱性，其可以用来在网络和通信协议被折衷时访问关于网络的保密信息。在链接分析阶段，可以结合诸如地址解析协议(ARP)投毒(poisoning)、域名服务器(DNS)投毒、以及端口偷窃的一个或多个手段。此外，在链接分析阶段，可以获取与网络有关的被动信息，诸如用户名、密码、e-mail地址、网络拓扑、以及DPU与用户之间的通信链接。此外，还可以执行偷看攻击和MITM攻击。在顺次执行信息收集阶段、脆弱性分析阶段、以及链接分析阶段时，同时执行社会工程阶段。步骤406，基于步骤404处收集的信息生成MAV图。MAV图示出了所有可能的路径以折衷网络。MAV表本质是动态的，并且其以影响网络的信息和参数的变化来保持自身的改变。之后，进行攻击策划并选择特定的攻击路径，以对网络执行攻击。

步骤408，执行应用阶段以对网络执行攻击，以便折衷该网络。通过应用通信链接、人和DPU中的至少一个来折衷网络。步骤410，将从代理安装在折衷的网络上以获取关于已安装的DPU的信息。步骤412，存储由从代理获取的信息。收集的信息可以用来对网络进行进一步攻击。步骤414，检查操作的目的是否已全部实现或者已经到达最大指定时间。如果攻击目标已经实现或者达到最大超时，步骤416，则系统将扫描的状态和数据存储在数据库218中。步骤418，通过扫描控制器204生成报告，其包括关于折衷的网络以及网络脆弱性的所有细节。步骤414，如果发现，目标没有实现或最大超时没有达到时，则操作返回至步骤404，并且再次重复这些步骤。

图5是示出了根据本发明的多个实施例的社会工程(SE)系统的部件的框图。SE系统帮助执行对网络的社会工程攻击。此外，社会工程系统识别网络中的受害用户并通过通信链接攻击、其他SE攻击、引诱用户泄露个人信息(诸如名字、e-mail地址、信使ID、工作桌面IP地址等)中的任意一种来收集信息。SE系统包括SE控制器520、信息收集模块524、攻击策划者526、以及攻击执行者528。SE控制器520与信息收集模块524、攻击策划者526以及攻击执行者528相交互，其中，信息收集模块524和攻击执行者528与一个或多个通信模块进行通信，通信模块用于执行对网络的社会工程攻击。由SE控制器520收集的关于SE攻击的信息可以存储在数据库522中。信息收集模块524的目的是收集关于网络的重要或非重要信息。攻击策划者526策划对网络的SE攻击并选择对网络成功进行攻击的对应攻击。攻击策划者526还可以生成能够作为限态机被映射至存储器的输出，并且可以在执行网络扫描的同时使用。攻击执行者526通过与一个或多个通信模块进行通信来执行对网络的社会工程攻击。一个或多个通信模块诸如网络发送(NetSender)530、聊天框532、发信器534、WWW 536、DOS 538、MITM 540、网络爬行(web crawler)542、以及其他不同的模块544。在MS Windows

MS Windows

MS Windows

以及MS Windows

中，网络发送530提供小控制台实体，以助于通过网络来向其他系统或用户发送消息。聊天框532可以与网络中的用户进行聊天。聊天框532可用作不同角色，诸如网络管理员、IT管理员等。聊天框532可以识别目标用户的消息身份，并且之后智能地与目标用户进行交流以找到关于网络的重要信息。在本发明的实施例中，可以执行用户的过去和现在的行为分析，并且可以基于该分析进行未来预测。可以通过从通信链接、用户的互联网动作、用户的聊天使用等获取的数据来执行行为分析。本领域的普通技术人员应理解，以全自动方式执行SE攻击，而不需要人为干预。

发信器534可以生成欺骗的e-mail。这种e-mail看上去像是普通邮件，但是他们的目标是通过诱导他/她相信邮件来自授权的源而从用户获取重要数据。在实施例中，发信器534能够将假邮件发送至通过检漏器(sniffer)连接的e-mail地址。检漏器是软件程序，用于捕获通过网络的数据。检漏器由黑客使用来捕获用户识别名称和密码。其可以将心理上让人感兴趣的e-mail发送至目标用户，从而诱使他/她执行有利于黑客的动作，诸如在他/她的DPU上安装代理或暴露他/她的密码。(万维网)WWW模块536可以用来提供基于网络的为目标用户收集的人口统计信息，以执行社会工程攻击。在实施例中，WWW模块536可以从经常使用的社会和搜索网站(诸如Google^TM、Orkut^TM、一般的工作门户网站等)找到关于目标用户的信息。DOS(Denial of Service attack，拒绝服务攻击)模块538执行尝试使主机资源不可以被用户使用。这可以通过向受害机器发送通信请求来实现，使其不能响应于合法用户或缓慢响应，从而有效的实现不可用。MITM模块540检测攻击者与折衷的机器建立独立连接的数据，并读取折衷机器的用户的数据。网络爬行(crawler)模块542是软件程序，可以通过搜索引擎创建一份或多份由用户访问的网页以备后续处理，该搜索引擎可以索引网页以提供快速搜索。网络爬行模块542爬行来自发现的服务器的网页并使用HTML生成器模块生成与原网页相似的假网页，从而执行网络仿冒(phishing)攻击。其他不同的模块546包括但不限于监听器、以及假存储部模块。假资源存储部包括假主机的一个或多个可执行主机，诸如安全外壳(Secure Shell，SSH)和假的SSH文件传输协议(SFTP)。监听器可以从TCP端口上的折衷网络元件上的代理(既有主代理也有从代理)检测到可能的连接。监听器512的主要目的是接受来自代理的连接并将其与扫描控制器204进行注册，使得扫描控制器204可以使用这些代理来进行信息收集并执行未来攻击。由一个或多个通信模块收集的信息可以存储在知识库502中，其中可以通过用于进一步对网络执行SE攻击的一个或多个从代理来使用存储在知识库502中的信息。知识库502还包括组织策略存储部504、人物脆弱性程序库(dictionary)506、人物心理模型508、信任等级程序库510、人物关系模型512、攻击程序库514、人物简介模型516、攻击策略知识库518。组织策略存储部504存储关于网络的密码策略、e-mail策略和即时信使策略的信息。人物脆弱性程序库506存储关于与用户相关的可能的脆弱性(即，用户的所有可能的动作)的信息，通过该信息，用户会变得脆弱。人物脆弱性程序库506存储诸如用户点击错误链接、用户暴露重要信息(如密码)、用户轻易信任陌生人、用户使用弱密码、用户对不同账号使用相同密码等的信息。人物心理模块508存储人物的感情或行为的特性，诸如好奇、自恋、青涩、贪婪、谦恭、欲望、性欲、互惠、友善、羞怯等。信任等级程序库510存储人物与攻击者或陌生人、朋友、团队、亲属、上级等的任何一个的信任等级关系，而对用户进行的信任等级关系的相应级别旨在折衷网络。人物关系模块512存储关于人物与网络的关系和相关信任等级的信息。人物关系模块存储关于职业的信息(诸如主要团队以及组织的等级和部门)、包括关于其家庭、亲属和朋友的信息的社会信息、陌生人信息以及关于人物的个人账户的信息。攻击程序库514存储关于脆弱性等级、其类型、需要的信任等级以及攻击的结果的信息，诸如升级人物简介模块、获取对网络资源的特权等。此外，脆弱性等级存储诸如地址需求、模拟使用、一致性使用、授权使用、信任使用、地址帮助等信息。人物简介模块516存储用户的特性或质量，诸如他们的兴趣、厌恶、安全错误、当前情绪状态、个性、态度、网络账户等，其有助于识别用户的类型或种类。攻击策略知识库518存储对应于对人物的可能的SE攻击的一个或多个攻击策略。攻击策略可以由用户或通过使用人工智能算法来添加或更新。在本发明的实施例中，可以通过遵照下面的实例中描述的顺序来执行SE攻击。首先，为了发起SE攻击，SE系统识别IT管理员个人ID和IM细节。SE系统还识别由受害的用户使用的共同的网站门户，而网站门户上的受害用户凭证还有助于进一步特权增加，作为MAV生成中攻击策划的一部分。此外，SE系统识别IT管理员具有受害用户上授权的信任等级作为共同角色和脆弱性的一部分。之后，SE系统将e-mail发送至受害用户，以将凭证更新为其密码改变策略的一部分。由SE系统发送的e-mail看似是原e-mail，即，由授权的人或IT管理员发送的e-mail。然后，SE系统开始对受害用户进行SSL MITM攻击，而受害用户会改变网站门户的密码。最后，SE系统能够偷看到受害用户的密码，作为SSL MITM的一部分。类似地，通过由受害用户使用的信使可以执行另一个SE攻击。由于SE攻击，受害用户被识别为具有脆弱性，诸如忽视假认证警告、信任假e-mail等。图6是示出了根据本发明的实施例的对网络的SE攻击的SE系统流程的流程图。步骤602，扫描控制器204读取对网络的扫描参数以开始对网络进行扫描。步骤604，通过信息收集模块524收集关于网络的重要和非重要信息。步骤606，基于在步骤604处收集的信息生成或再生成MAV图。此外，通过攻击策划者526生成对生成的MAV图的攻击策划。步骤608，通过用户的攻击执行者528执行社会工程攻击。可以通过使用至少一个通信模块来进行社会工程攻击，通信模块是上述SE攻击系统的一部分。步骤610，更新诸如人物脆弱性程序库506和人物简介模型516的信息。步骤612，攻击策划者528验证目标是否达到或最大超时是否达到。如果目标已经达到或者最大超时已经达到，则执行步骤616。步骤616，从SE攻击收集的信息存储在SE存储部或知识库224中。在步骤612，如果确定攻击目标尚未达到或者最大超时尚未达到，则处理返回到步骤604。之后，整个处理再次重复以成功执行SE攻击。

图7是示出了根据本发明的实施例的多攻击向量(multipleattack vector，MAV)引擎的组件的框图。在MAV生成期间，生成攻击图以识别每条表示原子(atomic)攻击顺序的路径，其可以导致至少一个网络元件的潜在的折衷。原子攻击被定义为当特定在先条件为真时对DPU的可能的攻击。智能MAV生成阶段的一个目标是生成一个或多个目标的攻击策划并识别所有可能的网络元件折衷的方法。另一目标是对不同系统中的对于特定系统重要的多种脆弱性进行优选。可以基于诸如攻击源、攻击宿、给定的攻击源和宿的参数以及用于最大化安全并最小化风险的一个或多个参数来优选脆弱性。此外，这组攻击包括DPU用户的脆弱性和连接不同DPU的通信链接。

图7是示出了根据本发明的实施例的MAV系统的组件的框图。图7包括抽象信息模型702、MAV生成器704、和攻击策划器706。抽象信息模型702存储由多级攻击收集的信息。由系统生成的信息模型是简化模型，作为处理的一部分。在发现多级信息时更新信息模型。MAV生成器704基于图4步骤404收集的信息生成MAV图。攻击策划器706基于由MAV图生成的信息策划攻击。在这个MAV生成阶段收集的信息可以存储在一个或多个存储部中。一个或多个存储部包括脆弱性知识库708、攻击存储部710、攻击模版存储部712、攻击策略存储部714、信息模型716、检测的脆弱性718、收集的信息720、代理数据库722。脆弱性知识库708存储脆弱性、其元数据信息(如脆弱平台)及其版本、远程或局部应用开发的脆弱性等。攻击存储部710存储与不同目标类型及其对应脆弱性相关的多攻击向量。多攻击向量(MAV)是一组可以导致折衷重要系统的攻击向量，其不可能具有对重要系统的直接脆弱性。攻击向量被定义为一组与DPU、通信链接和用户上的不同的个别重要性的脆弱性相关的使用/攻击。每个攻击均与在先条件以及在后条件相关。在先条件包括与包含在攻击中的多个实体相关的多个属性或特征。例如，在先条件可以包括攻击者的连接、需要的特权等、受害者的连接、其脆弱性以及攻击者和受害者之间的互连。在后条件包括在已经使用特定脆弱性之后获取的特权或收集的数据。攻击模版存储部712包括预定格式的每个攻击的攻击模版。对于每个攻击，攻击模版存在于IVIZ攻击定义语言(iADL)中。扫描控制器204包括iADL解析器，用于解析攻击模版并生成合适的攻击限态机，其可以执行用来检测网络。攻击策略存储部714存储对应于一次或多次攻击的一个或多个策略。每个策略均具有一个类型，以及零个或多个子类型，用于识别攻击策略的种类。典型的类型可以包括注入(injection)攻击、拒绝服务攻击、密码分析攻击等。类似地，拒绝服务攻击的典型的子类型可以是：DOS资源匮乏、DOS-系统崩溃、DOS策略错用。攻击策略存储部能够从之前的攻击中指定、存储和学习新的攻击。这可以由系统用户通过使用人工智能算法来实现。因此，MAV系统是自学习的且本质上是动态的。

信息模型716是由系统收集的信息的抽象表示。信息模型716通过在攻击的多个级的阶段收集信息来创建。检测的脆弱性718存储与DPU、通信链接以及用户相关的脆弱性。收集的信息720存储关于网络的信息，诸如网络拓扑、访问控制、集成度等。代理数据库722存储代理特定信息。该信息可以是关于代理之间的交互和通信、代理在网络中的位置、其特权等级、以及运行代理的主机上的资源访问的数据。在本发明的实施例中，攻击策略存储部以需要的格式存储信息或数据。每个攻击策略均具有类型及其子类型、攻击者意图、可用脆弱性、参与者、攻击流、在先条件和在后条件、随后的攻击以及相关的策略。每个策略均具有一个类型，以及零个或多个子类型，其识别攻击策略的种类。典型的类型包括注入攻击、拒绝服务攻击、密码分析攻击等。例如，拒绝服务攻击的典型的实例可以是：DOS资源匮乏、DOS-系统崩溃、以及DOS策略错用。归档的攻击者意图识别攻击者的想要的结果。这表示攻击者的主目标和攻击本身的目标。例如，DOS带宽匮乏攻击的攻击意图是使目标网站不能与合法的流量相接触。可应用开发的脆弱性区域表示在第一位置创造攻击机会的脆弱性的类型或细节。参与者是需要该攻击成功的一个或多个实体。其包括受害者系统以及攻击者和攻击者工具或系统组件。实体的名称应该伴随有其在攻击中的角色及其彼此交互的方法的简述。攻击区域的流表示攻击如何发生。每次攻击均必须有某些操作的内容以及使攻击成为可能的条件。有条件的且在后的条件部描述了所需要的条件以及其他系统或环境在适当位置所需要的条件，以使攻击成功。例如，对于能够执行整数溢出攻击的攻击者，他们必须访问至脆弱的应用程序。在大多数的攻击中这会是普通的。然而，如果在目标运行在远程RPC服务器上时脆弱性仅暴露其自身，则这也是本文需要注意的情况。继续的攻击是可以由该特定攻击策略使能的任何其他的攻击。例如，缓冲器溢出攻击策略通常跟随有特权攻击、颠覆(subversion)攻击或策划木马/后门(backdoor)攻击的扩大。当研究一种攻击并识别可能已经执行或策划的其他潜在攻击时该区域可以特别的有用。攻击策略的区域描述了当前策略如何与存在的策略相关。

图8是示出了根据本发明的实施例的用于生成MAV图的MAV系统流程的流程图。步骤802，在MAV生成阶段中收集的信息由MAV生成器704读取，以基于收集的信息生成MAV图，收集的信息与网络或由脆弱性评估阶段提供的脆弱性信息有关。步骤804，通过应用数据挖掘算法执行数据挖掘，以找到隐藏的任何重要的信息，例如，凭证、隐藏的URL等。该信息进一步可以用来实时生成新的攻击向量。步骤806，生成信息模型716，其为由至此全部系统收集的信息的抽象表示。信息模型继续创建并添加多级攻击的信息。步骤808，基于收集的示出所有用于折衷网络的可能的路径的信息生成MAV图。攻击图可以用来仿真并策划对网络的一个或多个攻击。攻击图是唯一的，而攻击图继续用改变和影响网络的参数中的信息来修改自身。此外，攻击图可以动态修改自身，因而修改攻击以执行最大的渗透。步骤810，由攻击策划者708生成攻击策划。攻击策划者708策划攻击并选择对网络的成功攻击的攻击路径。步骤812，运用应用开发模块、社会工程模块以及链接分析模块来执行攻击策划以折衷网络。步骤812，在MAV生成阶段收集的信息被更新至一个或多个存储部。一个或多个存储部包括脆弱性知识库708、攻击存储部710、攻击策略存储部712、信息模型714、检测的脆弱性716、收集的信息718、代理数据库720。

图9是根据本发明的实施例的用于仿真对网络进行黑客攻击的网络的示例性结构。图9示出了渗透检测(PT)工具902、互联网122。目标网络904包括主机H1 906、防火墙908、主机H2 914、主机H4 916、主机H5 918、主机H3 932、网络服务器应用程序A1910、内容管理服务应用程序(CMS)A2 912、网络浏览器应用程序A3 940、应用服务器A4 934、LAN/子网944、网络2 936、管理机器938、以及管理用户942，网络1 920还包括域名服务器(DNS)928、数据库930、DNS应用程序946、以及数据库应用程序948、应用程序A5 922、应用程序A6 924、以及应用程序A7 926。

在当前实例中，将PT工具902放置在网络904(即，互联网122)外部。渗透检测工具902提供控制台202使得用户可以输入扫描参数；扫描控制器204发起对网络904的扫描。此外，扫描控制器204启动主代理以发起对网络904的攻击。管理员机器938对具有在其上工作的管理用户942的主代理可见。主代理开始收集关于网络904的信息。管理用户942可以通过管理机器938访问互联网122。管理机器938运行网络浏览器940，管理用户942可以使用该浏览器访问互联网122。主机H1 908为网络服务器应用程序910和CMS(内容管理服务器)应用程序912作主机。主机H1 908是含在其上运行的网络服务器910实例的网络服务器。主机H1 908设置在防火墙906的DMZ区域内，通过防火墙906与LAN/子网944分离。此外，主机H2 914、主机H4 916、以及主机H5 918处于内部LAN 944上。主机H3 932为应用程序服务器934作主机。主机H3 932是含有在其上运行的应用程序服务器实例934的应用程序服务器。此外，DNS 928和数据库930连接至网络1 920。管理用户942访问网络服务器主机H1 908、应用程序服务器主机H3932、主机H2 914、主机H4 916、以及主机H5 918。网络1 920和网络2 936是可以从子网944访问的。网络1 920为诸如应用程序A5 922、应用程序A6 924、以及应用程序A7 926的多个应用程序作主机。这些应用程序A5 922、A6 924以及A7 926分享信任关系并使用用于解析数据库应用程序948的URL的DNS应用程序946，并且他们将数据存储在数据库930。网络服务器主机H1 908可以具有网络应用程序脆弱性。这是关于网络904的由主代理收集的信息。此外，基于收集的信息，主代理生成MAV图。MAV的子集包括：多个主机等级安全脆弱性(即，子集944中的主机H2 914、主机H4 916、以及主机H5 918可以具有脆弱性)，通信链接等级脆弱性(即，包括子集944和DNS 928的网路对通信链接攻击是敏感的)，人物脆弱性(即，管理用户942对SE威胁可以是脆弱的)。然后做出可能的攻击策划并为了对网络904成功攻击而选择相应的攻击路径。这里，例如，我们假设在管理用户942发起SE攻击，而折衷管理机器938。之后，在折衷的管理机器938上安装新的代理以执行对网络904的进一步攻击。现在，新安装的代理会开始获得关于网络904的信息以折衷网路904的其他机器。由此，网络渗透在多级中继续直至网络904被完全突破。

图10是示出了根据本发明的实施例的为折衷网络而生成的多种可能路径或备选方案的MAV图的实例。从黑客攻击开始，由系统提供一个或多个扫描参数，而系统创建主代理以发起对网络的攻击。此外，主代理收集关于网络的重要和非重要信息并且同时网络的某部分对主代理变得可见。收集的信息可以存储在信息模型中。此外，基于收集的信息生成MAV图，而MAV示出了折衷网络的多种可能的路径。我们假设对网络的一个或多个攻击的三种可能的备选方案。步骤1002，我们从MAV生成的步骤开始。步骤1004，第一备选方案，通过对网络中的目标用户或管理用户建立信任来应用开发人物的脆弱性以折衷管理机器。此外，在步骤1010中，在折衷的管理机器上安装代理。之后，步骤1016，将通信请求发送至应用服务器从而应用服务器的缓冲器溢出，之后可以在应用程序服务器框上安装代理。由于安装的代理可以访问DNS应用程序并且代理可以执行DNS投毒，从而导致步骤1022的应用程序和数据库之间的DNS MITM攻击。因此，步骤1026，代理可以劫持所有应用程序会话并且可以访问数据库。此外，步骤1018，可以将ARP技术或CAM扩散(flooding)技术用作对子网的MITM攻击的另一备选方案。步骤1024，用户具有对应用程序服务器的特权。步骤1006，第二备选方案，用于折衷网络的路径是为了利用SQL注入或PHP命令注入来访问网络服务器应用程序或给予其特权。此外，步骤1012，SQL注入技术用来获取对数据的特权。第三备选方案，利用低等级和中等级的网络服务器的威胁脆弱性，其允许特定数据或记录的暴露。步骤1008，可以收集记录或数据。此外，步骤1014，可以对收集的记录或信息进行数据挖掘以找出或提取出CMSURL、CMS凭证。之后，步骤1020，CMS URL或CMS凭证可以用来访问CMS应用程序。其他访问CMS应用程序的备选方案是使用SQL注入技术。

图11是示出了根据本发明的实施例的多级信息模型的信息模型的实例。为了发起对网络的扫描，从系统中提供了一个或多个扫描参数。此外，系统启动主代理1102。主代理1102收集关于网络的重要和非重要信息。此外，创建信息模型以存储由主代理1102收集的信息，并在发现关于网络的新信息时更新信息模型。网络的用户U1 1138、网络的主机h6 1106的管理可以访问一个或多个应用程序，诸如应用程序A5 1126、应用程序A6 1128、应用程序A7 1130以及DNS 1116的DNS应用程序A8 1132以及应用程序A9 1134。主机h6 1106作网络浏览器应用程序A3 1136的主机。子网还做应用程序服务器h3 1114的主机，用于主持在其上运行的应用程序实例A4 1124。一个或多个应用程序属于逻辑组G1。主机h1 1104为两个应用程序(诸如网络服务器应用程序1120A1和CMS服务器1122A2)作主机。此外，为创建信息模型收集的多级信息包括：级1，主代理经邮件通过互联网访问1102用户U1 1138，并且同时通过HTTP通道访问网络服务器。级2，通过利用级1中的数据并通过培养信任关系U1 1138(与剩下的内部LAN分享以及主机h1 1104与被主持的一个或多个应用程序和基本的数据库1118分享)进行数据收集。子网变得对主代理可见。该级的数据收集包括主机h2 1110、主机h3 1114、主机h4 1108、主机h5 1112以及在主机h3 1114上主持的应用程序实例A4 1124。级3，主1102代理利用与应用程序A51126建立的信任关系，应用程序A6 1128和应用程序A7 1130与DNS实例A81132以及数据库实例1134A9分享。在该级中，DNS实例A81132和数据库实例A91134变得对主代理1102是可见的。收集的信息将继续添加至信息模型，其可以用于MAV生成和对网络的攻击。之后，收集的信息可以存储在信息模型中，用于对网络进行一次或多次攻击。

本发明提供了用来寻找与包含了人(用户)和连接至DPU网络的通信链接的DPU网络相关的脆弱性的方法、系统以及计算机程序产品。本发明有很多优点，诸如提供了一种按需进行的渗透检测方法，其本质上是真正的自动和分散。此外，本发明提供了基于MAV的渗透检测方法，其中MAV可以用于攻击策划和应用。本发明还提供了一种代理框架，以执行无/最小人工干预的多级攻击。本发明还提供了一种完整的SE结构自动化。本发明还提供了自学习环境，其应用了人工算法以更新攻击策略和攻击规则。本发明还提供了框架，以集成一个或多个属性或第三方工具以及具有选自包括有脆弱性工具、社会工程工具、应用工具等的组的一个或多个工具的产品，以提升对网络的黑客攻击的影响。

如本发明中所述的系统及其任何组件可以以计算机系统的形式实施。计算机系统的典型实例包括多功能计算机、编程的微处理器、微控制器、外围集成电路单元、以及能够实现组成本发明的方法的步骤的其他装置或装置的安排。

如本发明或者其部分中的任意一个中所描述的系统可以以计算机系统的形式实现。计算机系统的典型实例包括通用计算机、编程微处理器、微控制器、外围集成电路元件、以及其他装置或能够实现构成本发明的方法的步骤的装置的配置。

计算机系统通常包括计算机、输入装置、显示单元和互联网。计算机包括微处理器。微处理器可以是诸如

Power

以及数字信号处理器的一个或多个通用或专用处理器。微处理器连接至通信总线。计算机还包括存储器，其可以包括随机存取存储器(RAM)和只读存储器(ROM)。进一步地，计算机系统包括存储装置，其可以是硬盘驱动或诸如软盘驱动器、光盘驱动器等的可移动存储驱动器。存储装置还可以是用于在计算机系统上装载计算机程序或其他指令的其他类似装置。计算机系统还包括诸如鼠标和键盘的一个或多个用户输入装置、以及诸如显示单元和扬声器的一个或多个输出装置。

计算机系统包括操作系统(OS)，诸如Windows、Windows CE、Mac、Linux、Unix、蜂窝电话OS、或私有OS。

计算机系统执行存储在一个或多个存储元件中的指令集以处理输入数据。存储元件还可以根据需要保存数据或其他信息。存储元件可以是信息源或存在于处理机中的物理存储元件。

指令集可以包括指示处理机执行特定任务(诸如构成本发明的方法的步骤)的各种指令。指令集可以是软件程序的形式。软件可以是诸如系统软件或应用软件的各种形式。进一步地，软件可以是独立程序的组合、具有更大程序的程序模块、或程序模块的一部分的形式。软件还可以包括以面向对象编程形成的模块化程序设计并且可以使用诸如C、C++和Java的任何合适的语言。通过处理机对输入数据的处理可以响应于用户命令、前一处理的结果、或由另一处理机作出的请求。

尽管已讨论并描述本发明的实施例，但是本发明并不仅限于这些实施例。多个修改、改变、变化、更替和替换在不背离本发明的范围的情况下(如权利要求中所述)对于本领域的普通技术人员来说是显而易见的。

Claims

1.一种用于仿真对网络的黑客攻击的方法，用于评估所述网络的脆弱性，其中，所述网络包括多个数据处理单元(DPU)、多个用户以及多个通信链接中的至少一个，所述方法包括：

(a)从系统接收一个或多个扫描参数；

(b)由所述系统创建至少一个主代理以收集关于所述网络的信息，其中，所述信息涉及关于所述网络的重要和非重要信息；

(c)对所述网络执行社会工程分析，以找到与所述多个用户相关联的脆弱性；

(d)对在两个或多个用户之间或所述多个DPU之间发生的通信执行链接分析，以找到重要信息流作为通信的结果；

(e)创建或更新信息模型，其中，所述信息模型包括由所述至少一个主代理收集的关于所述多个DPU、所述多个用户、所述多个通信链接以及他们的关系的信息；

(f)基于在所述信息模型中收集的信息和所述一个或多个扫描参数生成多攻击向量(MAV)图；

(g)基于所述MAV图发起一次或多次攻击以威胁所述网络，其中，所述一次或多次攻击可以是来自包括有自动的社会工程攻击、通信链接攻击以及DPU应用开发攻击的组中的一个或多个；

(h)在所述受威胁的网络上安装至少一个从代理，以以分散的形式执行所述一次或多次攻击；

(i)使用所述至少一个从代理以及所述至少一个王代理，通过重复(b)(c)(d)(e)(f)(g)和(h)来执行多级攻击；以及

(j)由所述系统生成报告，其中，所述报告包括关于所述受威胁的网络的细节以及所述网络的脆弱性。

2.根据权利要求1所述的方法，其中，所述一个或多个扫描参数可以是来自包括有预定扫描时间、扫描范围、关于所述网络的信息等的组中的一个或多个。

3.根据权利要求1所述的方法，还包括在对所述网络进行威胁之后修改所述MAV图，其中，修改所述MAV图以利用有关受到所述一次或多次攻击的所述受威胁的网络的信息。

4.根据权利要求1所述的方法，还包括通过以所述系统需要的格式添加新的攻击以及对应的攻击策略来提升所述系统生成所述MAV图的能力。

5.根据权利要求1所述的方法，还包括通过应用基于定制开发的遗传和人工智能(AI)算法的自学算法来提升所述系统生成所述MAV图的能力。

6.根据权利要求1所述的方法，还包括使能所述至少一个主代理和所述至少一个从代理之间的持续的交互，其中，所述交互包括所述至少一个主代理的协调、策划、监控以及重选。

7.根据权利要求1所述的方法，其中，执行所述自动的社会工程攻击以访问涉及所述多个用户的重要信息，可以通过执行人物思想心理的建模、创建人物简介、模仿或建立攻击者与目标之间的信任并选择和发起攻击、偷看来自所述网络的邮件以模仿所述多个用户、制作该邮件的回复、将恶意链接包括在该回复中、引诱所述多个用户泄漏所述重要信息中的至少一种来执行所述自动的社会工程攻击。

8.根据权利要求1所述的方法，其中，执行所述通信链接攻击以应用开发与网络和通信协议相关的脆弱性以访问与所述网络相关的保密信息，其中，所述保密信息可以是来自包括有至少一个用户名、至少一个密码、至少一个e-mail地址、至少一个网络拓扑以及所述多个用户与所述多个DPU之间的所述多个通信链接中的至少一个的组中的一个或多个。

9.根据权利要求1所述的方法，还包括在多个级中执行黑客攻击，包括：

(a)在第一级中通过经互联网访问所述网络并同时经HTTP通道访问网络服务器来收集数据，其中，所述网络可以访问子网络，所述子网络将多个应用程序连同DNS应用程序和数据库应用程序一起进行托管；

(b)利用来自所述第一级的数据，并培养所述网络与一组相邻网络分享的信任关系；以及

(c)使用所述多个应用程序与所述DNS应用程序和所述数据库应用程序分享的所述信任关系来执行所述黑客攻击。

10.根据权利要求1所述的方法，还包括：将一个或多个属性或第三方工具和产品与一个或多个工具集成在一起，所述一个或多个工具选自包括有用于捕获所述信息模型中的信息的脆弱性工具、社会工程工具、应用开发工具等的组中，用于基于所述信息模型生成所述MAV图，以及用于发起所述一次或多次攻击，以提升对所述网络进行所述黑客攻击的影响。

11.根据权利要求1所述的方法，还包括按照软件按照服务模型来托管所述系统，使用户能够描述所述服务，发起所述一次或多次攻击并在互联网上在线生成报告。

12.一种用于仿真对网络的黑客攻击的系统，用于评估所述网络的脆弱性，其中，所述网络包括多个数据处理单元(DPU)、多个用户以及多个通信链接中的至少一个，所述系统包括：

(a)自动的社会工程(SE)结构，用于收集与所述多个用户相关的敏感信息；

(b)通信链接框架，用于识别与所述网络和通信协议相关的脆弱性；以及

(c)多攻击向量引擎(MAV)，用于存储MAV图，所述MAV图示出了可以威胁所述网络的所有可能的路径。

13.根据权利要求12所述的系统，其中，所述SE结构进一步包括：

(a)SE数据库，用于存储由SE分析收集的信息；

(b)SE知识库，用于存储来自包括有人物关系模型、攻击程序库、攻击策略知识库、组织策略、信任等级程序库、人物脆弱性程序库、人物心理模型、人物关系模型、以及人物简介模型的组中的一个或多个信息；以及

(c)SE控制器，用于与一个或多个通信模块进行通信。

14.根据权利要求12所述的系统，其中，所述多攻击向量引擎进一步包括：

(a)攻击存储部，用于存储与所述网络和所述网络的脆弱性相关的一次或多次攻击；

(b)攻击策略存储部，用于存储对应于所述一次或多次攻击的攻击策略，其中，所述攻击策略可以由用户和人工算法来更新；

(c)代理数据库，用于存储与至少一个主代理和至少一个从代理相关的信息；

(d)信息模型，用于在已经对所述网络进行了所述一次或多次攻击之后存储与所述网络相关的信息；以及

(e)知识库，用于存储一个或多个功能模块以及与所述一个或多个所述功能模块中的每一个均相关的库。

15.根据权利要求12所述的系统，还包括至少一个从代理，其中，所述至少一个从代理在所述受威胁的网络上复制并且彼此之间相协调，以分散的方式执行一次或多次攻击。

16.一种用于计算机的计算机程序产品，用于评估所述网络的脆弱性，所述计算机程序产品包括计算机可用的介质，所述介质中包括有计算机可读的程序编码，用于仿真对网络的黑客攻击，其中，所述网络包括多个数据处理单元(DPU)、多个用户以及多个通信链接中的至少一个，所述的计算机程序编码包括：

(a)用于接收一个或多个扫描参数的程序指令模块；

(b)用于创建至少一个主代理的程序指令模块；

(c)用于对所述网络进行社会工程分析的程序指令模块；

(d)用于对两个或多个用户或所述多个DPU之间的通信进行链接分析的程序指令模块；

(e)用于创建或更新信息模型的程序指令模块；

(f)用于基于在所述信息模型中收集的信息和所述一个或多个扫描参数生成多攻击向量图的程序指令模块；

(g)用于对所述网络执行一次或多次攻击以威胁所述网络的程序指令模块；

(h)用于在所述威胁的网络中安装至少一个代理的程序指令模块；

(i)用于通过重复(b)、(c)、(d)、(e)、(f)、(g)以及(h)使用所述至少一个从代理和所述至少一个主代理来执行多级攻击的程序指令模块；以及

(j)用于生成包含关于所述受威胁的网络和所述受威胁的网络的脆弱性的细节的报告的程序指令模块。

17.一种用于评估多个用户的网络的脆弱性的方法，所述多个用户在所述网络中彼此交互，所述方法包括：

(a)接收所述网络的一个或多个扫描参数；

(b)创建至少一个代理以收集关于所述多个用户的信息，其中，所述信息与关于所述多个用户及其结构和私人关系的重要和非重要信息有关；以及

(c)对所述多个用户执行自动的社会工程分析，以找到与所述网络相关的脆弱性。

18.一种用于仿真对网络的黑客攻击的方法，用于评估所述网络的脆弱性，其中，所述网络包括多个数据处理单元(DPU)、多个用户以及多个通信链接中的至少一个，所述方法包括：

(a)创建或更新信息模型，其中，所述信息模型包括关于所述网络而收集的信息；

(b)基于在所述信息模型中收集的信息和所述一个或多个扫描参数生成多攻击向量(MAV)图；

(c)基于所述MAV图发起一次或多次攻击以威胁所述网络，其中，所述一次或多次攻击可以是来自包括有自动的社会工程攻击、通信链接攻击以及DPU应用开发攻击的组中的一个或多个；

(d)由所述系统生成报告，其中，所述报告包括关于所述受威胁的网络以及所述网络的脆弱性的细节。

19.根据权利要求18所述的方法，还包括多攻击向量(MAV)图的能力，用于使与多个数据处理单元(DPU)、多个用户和多个通信链接中的至少一个相关的多个低级和中级严重的脆弱性相结合，使与信息模型相结合的脆弱性相关联并产生可以使所述网络受威胁的高级严重的攻击路径。

20.一种用于仿真对网络的黑客攻击的方法，用于评估所述网络的脆弱性，其中，所述网络包括多个数据处理单元(DPU)、多个用户以及多个通信链接中的至少一个，所述方法包括：

从多个代理中收集关于所述网络的信息，其中，所述信息与所述多个DPU、多个用户、以及多个通信链接中的至少一个相关；

创建或更新信息模型，其中，所述信息模型包括由所述多个代理收集的信息；

基于所述信息模型发起一次或多次攻击以威胁所述网络，其中，所述一次或多次攻击可以是来自包括有自动的社会工程攻击、通信链接攻击以及DPU应用开发攻击的组中的一个或多个；

由所述系统生成报告，其中，所述报告包括关于所述受威胁的网络以及所述网络的脆弱性的细节。