基本信息
- 項目名稱：
- “主動云爬蟲”互聯(lián)網(wǎng)漏洞自主檢測與預警防護系統(tǒng)
- 小類：
- 信息技術
- 大類：
- 科技發(fā)明制作A類
- 簡介：
- 本系統(tǒng)主動檢測指定站點和其有父子關系鏈接的站點所包含的攻擊代碼、惡意鏈接、隱藏攻擊等，并將分析后獲取到的不安全站點的詳細分析信息與解決方案存入數(shù)據(jù)庫并建立威脅庫。本系統(tǒng)不僅能夠預警互聯(lián)網(wǎng)重大安全事故并防御各種類型的網(wǎng)絡攻擊，同時還能為普通用戶提供互聯(lián)網(wǎng)安全應用解決方案。本系統(tǒng)的發(fā)展理念也革新了用戶需要再購買安裝相關反病毒防護系統(tǒng)的傳統(tǒng)思想，所有安全威脅即可全部被攔截在云端。
- 詳細介紹：
- 本系統(tǒng)基于主動云爬蟲NetRobots（自主研發(fā)）主動抓取指定檢測站點和其有父子關系鏈接的站點所包含的攻擊代碼、惡意鏈接、隱藏攻擊等，使用包含基于黑箱的惡意行為檢測技術、基于混沌特征碼的病毒檢測技術、網(wǎng)頁攻擊代碼自動診斷技術（Web Attack Detection）、基于進程的病毒木馬攔截授權技術為核心技術的專家系統(tǒng)（自主研發(fā)-專利號:2005SR13645）結合數(shù)據(jù)流的特征碼檢測、惡意代碼檢測等一系列檢測技術在虛擬機環(huán)境中進行站點掛馬、Script Virus、SQL Injection、Phishing、Exploit、XSS等攻擊形式的分析和診斷，并將分析后獲取到的不安全站點的詳細分析信息與解決方案存入數(shù)據(jù)庫并建立威脅庫，WEB服務器定期自動生成并發(fā)布掛馬、攻擊預警、漏洞利用趨勢等的安全文檔且附帶相關解決方案。本系統(tǒng)不僅能夠預警互聯(lián)網(wǎng)重大安全事故并防御各種類型的網(wǎng)絡攻擊，同時用戶不需要多余的操作和安裝繁雜的安全軟件，只需設置瀏覽器中的代理為“主動云爬蟲”的服務器，系統(tǒng)將自動從威脅庫中獲取過濾信息直接創(chuàng)建白名單和黑名單，為普通用戶提供互聯(lián)網(wǎng)安全應用解決方案。本系統(tǒng)的發(fā)展理念也革新了用戶需要再購買安裝相關反病毒防護系統(tǒng)的傳統(tǒng)思想，所有安全威脅即可全部被攔截在云端。 系統(tǒng)在主動分析海量互聯(lián)網(wǎng)威脅的同時會獲得龐大的病毒樣本庫，該庫將包含大量的0day代碼和未知病毒，可以為反病毒廠商和相關反病毒機構提供大量寶貴資源。系統(tǒng)前期主要為國家政府骨干網(wǎng)絡和大型企業(yè)網(wǎng)絡提供威脅評測、攻擊預警、安全分析和相關解決方案，后期在威脅特征庫建立后為整個互聯(lián)網(wǎng)用戶提供“云安全”的相關服務。
作品圖片
作品專業(yè)信息
設計、發(fā)明的目的和基本思路、創(chuàng)新點、技術關鍵和主要技術指標
- 本系統(tǒng)基于主動云爬蟲NetRobots(自主研發(fā))主動檢測指定站點和其有父子關系鏈接的站點，使用包含基于黑箱的惡意行為檢測技術、基于混沌特征碼的病毒檢測技術、網(wǎng)頁攻擊代碼自動診斷技術、基于進程的病毒木馬攔截授權技術為核心技術的專家系統(tǒng)（專利號:2005SR13645）結合數(shù)據(jù)流的特征碼檢測、惡意代碼檢測等一系列檢測技術在虛擬機環(huán)境中進行站點掛馬、Script Virus、SQL Injection、Phishing、Exploit、XSS等攻擊形式的分析和診斷，并建立威脅庫，WEB服務器定期自動生成并發(fā)布掛馬、攻擊預警、漏洞利用趨勢等的安全文檔且附帶相關解決方案。 項目創(chuàng)新點: 1.基于混沌的病毒特征碼檢測技術 成功識別利用反復測試病毒檢測引擎找到突破口攻擊方法的未知病毒和變種，并實現(xiàn)病毒檢測引擎的不可預知性。 2.基于黑箱的計算機病毒防御技術 提出一種新型反病毒模型，結合“云安全”技術可以防御目前幾乎所有以代碼運行為必要過程的攻擊行為，徹底解決了外部可執(zhí)行文件在執(zhí)行的同時保持系統(tǒng)原始安全性的問題，并同時獲取相關惡意行為特征。 3.主動云爬蟲技術 采用創(chuàng)新爬取策略，結合傳統(tǒng)爬蟲的優(yōu)勢策略，并融合JS、VBS等腳本的安全檢測。系統(tǒng)內(nèi)包含特征碼提取比對、虛擬機檢測、威脅度自動分析等技術突破了傳統(tǒng)爬蟲的種種局限性。 4.網(wǎng)頁攻擊代碼自動診斷技術 融合詞法分析、虛擬機檢測、特征碼提取、危險度計算、漏洞自動檢測等技術，對站點威脅進行全面檢測，評估當前頁面的安全度。
科學性、先進性
- 系統(tǒng)主要由三部分組成Netrobots Server、Expert System Server and Web Server. Netrobots在具有傳統(tǒng)爬蟲優(yōu)勢的基礎上，主要從網(wǎng)頁安全檢測方面進行設計，并針對深層動態(tài)網(wǎng)頁的抓取，融入了JS、VBS的解析與檢測，擴大了網(wǎng)頁檢測的全面性。 Expert-System在繼承了傳統(tǒng)檢測的基礎上，又添加了全新的自主檢測方式，全面多角度的對網(wǎng)頁進行安全檢測，命中率更高，實用性更強。系統(tǒng)的檢測以模擬用戶訪問網(wǎng)頁的模式進行，不需要網(wǎng)站方的額外配合。未知行為預警系統(tǒng)在檢測到攻擊性行為時能夠自動記錄行為特點和方式，同時通過虛擬機檢測機制獲取威脅評估，相關信息將生成日志存入到行為特征庫中，以便相同行為的比對檢測工作。整個過程系統(tǒng)自動完成，同時不斷完善特征庫，使檢測全面且更新及時。 Web Server將正則融入SQL數(shù)據(jù)庫的搜索，提升效率的同時，更提升了準確度并使用優(yōu)化器等一系列方法提高整體系統(tǒng)性能。
獲獎情況及鑒定結果
- 本系統(tǒng)曾先后為上海市政府相關部門、東方航空集團、某重點大學、長春金賽藥業(yè)有限責任公司等一系列單位提供免費安全檢測，通過本系統(tǒng)成功修復了大量的安全威脅，成功阻止了相關經(jīng)濟損失。 （后附相關證明文件）
作品所處階段
- 中試階段
技術轉(zhuǎn)讓方式
- 專利轉(zhuǎn)讓
作品可展示的形式
- 圖紙、現(xiàn)場演示、圖片、錄象、樣品
使用說明,技術特點和優(yōu)勢,適應范圍,推廣前景的技術性說明,市場分析,經(jīng)濟效益預測
- 本系統(tǒng)的特點與優(yōu)勢： 1、"主動云爬蟲"能夠高效的檢測出普通安全檢測系統(tǒng)無法檢測出的站點安全威脅，并隨時發(fā)布最新的檢測資料、安全咨詢等信息。 2、攻擊者無法還原檢測現(xiàn)場，無法通過反復測試檢測系統(tǒng)來實現(xiàn)檢測繞過，從而保證了本系統(tǒng)的持久的有效性與檢測力,在同類技術中還屬首次。 3、擁有高效特征庫，融合“云安全”技術， 為普通用戶提供安全上網(wǎng)代理。 4、能夠?qū)崟r對我國的骨干網(wǎng)、大型企業(yè)、科研機構、涉及國家安全的組織等進行全天候監(jiān)控，對相關攻擊進行提前預警和防范。 5、系統(tǒng)整體擁有黑箱特性，外界無法獲得系統(tǒng)相關信息，也無法攻擊本系統(tǒng)。 在對核心骨干網(wǎng)進行安全監(jiān)控的同時也能對大量的普通用戶進行HTTP安全代理。將獲得的0DAY Exploit和未知病毒給反病毒廠商。本系統(tǒng)在中后期可以分成兩種不同的商業(yè)模式，第一種為政府和企業(yè)提供長期的定點安全檢測和維護服務。第二種為推出自己的客戶端軟件和硬件從而推廣品牌。
同類課題研究水平概述
- 現(xiàn)在主流爬蟲較少抓取Deep Web中的資源，卻有大部分的網(wǎng)絡攻擊代碼都是隱藏在Deep Web中，因此這方面的安全問題是不容忽視的。當前國內(nèi)外的爬蟲領域研究主要是在網(wǎng)頁內(nèi)鏈接的提取技術、網(wǎng)頁數(shù)據(jù)庫的更新策略、避免重復網(wǎng)頁抓取的機制，以及針對專業(yè)搜索引擎的爬蟲設計等方面，還未從網(wǎng)頁安全角度和攻擊趨勢分析角度出發(fā)設計一個針對網(wǎng)絡安全檢測的爬蟲引擎。主動爬蟲Netrobots系統(tǒng)（自主研發(fā)）在具有爬蟲的高效性、全面性的基礎上，主要從網(wǎng)頁安全檢測方面進行設計，并針對深層動態(tài)網(wǎng)頁的抓取，融入了對JS、VBS等網(wǎng)頁腳本的解析，擴大網(wǎng)頁抓取的全面性。從掛馬角度出發(fā)，掛馬鏈接所在的地址為本網(wǎng)站的較少，多數(shù)為外部鏈接植入，對掛馬頁面當前內(nèi)嵌的外部鏈接進行檢測與分析，提供更全面的檢測資料。從站點安全分析的角度出發(fā)，按照相關度爬取的策略機制，跟蹤并檢測出通過外部網(wǎng)絡地址多層次鏈接在正常系統(tǒng)中隱藏較深的惡意代碼和相關攻擊，并提取父子關系和相關的攻擊行為，在同類領域還屬首次。本系統(tǒng)在此基礎上融入了病毒庫特征碼比對的預處理模塊和對HTTP協(xié)議的快速分析模塊，能夠自動判斷相關協(xié)議并采取優(yōu)先策略進行爬取，從而提高了整個系統(tǒng)的檢測效率。 專家系統(tǒng)病毒分析領域，現(xiàn)有的主流商業(yè)HIPS使用的一系列攔截技術都基于用戶操作系統(tǒng)，當未知威脅進入后，會對用戶的安全環(huán)境造成影響而本技術基于虛擬機操作系統(tǒng)。病毒檢測領域，雖然反病毒技術也在不斷完善，但當一個已被查殺的病毒需要被攻擊者重新使用時，由于攻擊者可以在網(wǎng)絡上下載到主流反病毒軟件的副本，所以只需對該病毒進行簡單的修改，然后使用其對修改后的病毒進行逐個測試，直到找到一份不被任何反病毒軟件查殺的副本。該副本在很長一段時間內(nèi)又將屬于感染能力的強勢期，如果它沒有被反病毒廠商捕獲，該病毒將持續(xù)危害計算機用戶的安全。顯然傳統(tǒng)的反病毒檢測技術已經(jīng)無法跟上病毒技術的發(fā)展趨勢。 根據(jù)Attack Research, LCC 在2009年第一季度發(fā)布的《Dissecting Web Attacks》報告中可以看出，越來越多的網(wǎng)絡攻擊方式從傳統(tǒng)的個人攻擊轉(zhuǎn)化成以組織為單位的集體攻擊，且攻擊方式越來越依賴SQL注入、掛馬、跨站、釣魚等基于站點為基礎的定向攻擊。本系統(tǒng)在檢測已知攻擊方式的同時可以檢測出大量未知漏洞和攻擊樣本，通過后期的應用，能夠最大限度的保護被攻擊站點的安全。
