無線網絡安全攻防實驗平臺研究與實現

薛海偉，田崢，田建偉，劉瀟瀟，漆文輝

(國網湖南省電力公司電力科學研究院，湖南長沙410007)

無線網絡安全攻防實驗平臺研究與實現

薛海偉，田崢，田建偉，劉瀟瀟，漆文輝

(國網湖南省電力公司電力科學研究院，湖南長沙410007)

文章提出了一種電力行業無線網絡安全攻防實驗平臺的實現方法，首先通過搭建實驗平臺、建立用戶數據庫、分配用戶資源；導入教案或者考題，下發教案或者隨機抽取考題，選擇當前考核任務；針對每一個當前考核任務，對數據包進行場景分析得到當前考核任務對應的攻擊場景，對分析得到的攻擊場景進行計分，最終輸出下發的教案或者隨機抽取得到的考題的計分結果總和。本文中的無線網絡安全攻防實驗平臺可用于電力行業無線終端設備的安全攻防實驗，能夠為電力系統無線接入設備的安全性測試實驗提供便捷的、完善的、可擴展的研究與安全測試體系。

攻防演練；無線安全；網絡攻擊；滲透測試

無線網絡 (WLAN)在電力行業應用越來越廣泛。作為資產密集型企業，電力系統高效率和規范化的運行、監控、檢修活動得到了無線網絡的強力支撐。特別是智能手機的普及，使得手機的功能從生活領域逐步走向工作領域。電力營銷、自動抄表、電費自助繳費等應用系統可以使用智能手機，通過無線網絡訪問。無人值班變電站、設備狀態信息采集、倉儲物質管理、巡檢記錄等系統可以通過無線終端設備，接入網絡傳輸數據。無線網絡作為有線網絡的方式的重要延伸，在電力系統中充分發揮了其簡潔、靈活的特點，逐步成為電力信息網絡中一個重要的部分。

無線網絡在帶來便捷的同時也帶來了諸多安全問題。無線網絡是利用開放的空間傳送數據，因此任何帶有無線功能的客戶端，在合適的范圍內就可以接收到無線網絡信號。正是這一特點導致無線網絡很容易被監聽，進而帶來安全問題。例如，非法用戶接入、非法接入點、SSID破解、無線網絡釣魚、無線網絡數據監聽、中間人攻擊、代碼注入等安全問題。

無線網絡在其自身有安全問題的同時，使用無線網絡的移動終端應用 (移動APP)安全測試也面臨諸多困難。移動APP是指運行在移動終端的軟件，例如微信、微信服務號、業務應用等等。2015年上半年，國家電網公司就通報了多起移動APP存在安全漏洞，可能導致用戶用電信息泄露。然而這些移動APP在訪問網絡時通常隱藏了訪問服務器的IP地址和域名，因此傳統的安全檢測工具無法直接對其服務端的安全性進行安全測試。

當前網絡安全實驗產品缺少支持電力系統無線網絡安全實驗的平臺〔1-3〕。當前的網絡安全實驗平臺，很多廠商都推出自己的產品，這些產品可以搭建Web、主機、數據庫安全實驗環境，但是這些實驗環境都是基于有線網絡，而且攻擊方式也僅限于有線攻擊方式〔4〕。例如，在無線網絡環境下會話劫持攻防實驗除了傳統的劫持方法，還有通過直接監聽無線信道、密碼破譯等方法。但是現有的網絡安全實驗平臺無法監聽無線信道上的傳輸信號，也無法利用無線信道上的信號進行數據分析，無法進行這些攻擊方式的實驗。

1 無線網絡安全攻防實驗平臺

針對現有攻防實驗平臺存在的問題〔5-6〕，文中提出了無線網絡安全攻防實驗平臺，如圖1所示，該平臺由資源池服務器1、系統控制服務器2、數據分析服務器3、網絡設備4、安全設備4-1，4-2、無線接入設備5、無線終端設備6、客戶端設備7組成。該平臺用于電力行業無線終端的安全攻防實驗。該平臺能夠為電力系統無線接入設備的安全性測試實驗提供便捷的、完善的、可擴展的研究與安全測試體系。

無線網絡安全攻防實驗平臺由資源池服務器、系統控制服務器、數據分析服務器、網絡設備、安全設備、無線接入設備、無線終端設備組成，其中各部分的功能如下:

1)資源池服務器:資源池服務器為整個實驗平臺，提供實驗環境所需要的計算資源、存儲資源、網絡資源。管理員可以根據實際實驗內容，使用資源池快速部署實驗環境所需要的軟硬件資源。

2)系統控制服務器:系統控制服務器是整個實驗平臺的控制單元，使用系統控制服務器可以完成對資源池服務器的資源管理、對串行安全設備和并行安全設備的配置管理、對網絡設備包括有線和無線設備的管理。系統控制服務器同時提供一個B/S模式的管理界面，可以對實驗系統進行賬號管理、實驗環境配置、實驗教案分發、考試試題抽取、考試試題分發。

圖1 無線網絡安全攻防實驗平臺架構

3)數據分析服務器:數據分析服務器是記錄實驗過程中網絡訪問數據。通過數據分析服務器可以對整個實驗過程進行還原，還原攻擊者的信息收集、漏洞利用、攻擊過程。

4)網絡設備:由連接無線終端的無線路由器、連接有線終端的接入層交換機、連接無線路由器和接入層交換機的核心層交換機構成，此外還包括連接資源池服務器的資源池交換機。

5)安全設備:安全設備包括并行安全設備和串行安全設備，其中并行安全設備有入侵檢測系統(IDS)、日志系統。串行安全設備包括包過濾防火墻、Web應用防火墻 (WAF)、入侵防御系統(IPS)。

6)無線接入設備:由無線接入路由器組成。無線終端設備，可以通過無線接入設備接入實驗平臺的網絡。

7)客戶端設備:包括無線終端設備和有線終端設備。其中無線終端設備包括手機、平板電腦、無線接入的筆記本、使用無線局域網功能的手持終端。有線終端設備是指使用網線接入實驗平臺網絡的終端。

1.1 系統部署及工作流程

電力行業網絡安全攻防實驗平臺的部署及工作的流程如圖2所示。

圖2 攻防實驗平臺部署及工作流程

1)首先搭建網絡安全攻防實驗平臺，如圖1所示，網絡安全攻防實驗平臺包括資源池服務器、系統控制服務器、數據分析服務器、核心網絡設備、網絡接入設備、無線終端設備和有線終端設備，資源池服務器、系統控制服務器、網絡接入設備分別與核心網絡設備相連，無線終端設備和有線終端設備分別與網絡接入設備相連，數據分析服務器為物理機且包括一塊支持混雜模式的網卡和一塊用于進行數據通信的網卡，數據分析服務器的網卡均與核心網絡設備相連，且支持混雜模式的網卡與核心網絡設備相連的交換機端口為鏡像端口，核心網絡設備將無線終端設備、有線終端設備兩者和資源池服務器之間的流量均鏡像到鏡像端口；核心網絡設備中設有串聯攻擊防御過程演示設備4-1和并接攻擊防御過程演示設備4-2，串聯攻擊防御過程演示設備4-1串接于無線終端設備、有線終端設備7兩者和資源池服務器之間，并接攻擊防御過程演示設備4-2并接于無線終端設備、有線終端設備兩者和資源池服務器1之間，串聯攻擊防御過程演示設備4-1中裝有過濾防火墻、Web應用防火墻WAF和入侵防御系統IPS，并接攻擊防御過程演示設備4-2中裝有入侵檢測系統IDS和日志系統；資源池服務器為虛擬化平臺管理的資源池，用于為整個實驗裝置提供實驗環境所需要的計算資源、存儲資源和網絡資源；

2)通過系統控制服務器建立網絡安全攻防實驗的用戶數據庫，并針對用戶數據庫中的用戶分配資源池服務器中計算資源、存儲資源和網絡資源的使用權限；

3)通過系統控制服務器導入教案或者考題，所述教案或者考題包括理論考核任務和網絡安全攻擊考核任務中的至少一種，然后基于Web服務、通過安全攻防實驗網絡向無線終端設備或有線終端設備的用戶下發教案或者隨機抽取考題，用戶選擇教案或者隨機抽取得到的考題中的當前考核任務；

4)如果當前考核任務為理論考核任務，則跳轉執行步驟5；否則如果當前考核任務為網絡安全攻擊考核任務，則跳轉執行步驟6；

5)所述系統控制服務器獲取用戶選擇或者輸入的任務考核結果，基于當前考核任務的標準考核結果對用戶選擇或者輸入的任務考核結果進行計分，然后跳轉執行步驟7；

6)所述數據分析服務器捕獲用戶執行當前考核任務的數據包，對數據包進行場景分析得到當前考核任務對應的攻擊場景，所述系統控制服務器基于當前考核任務的標準攻擊場景對分析得到的攻擊場景進行計分，然后跳轉執行步驟7；

7)所述系統控制服務器判斷下發的教案或者隨機抽取得到的考題是否已經全部完成，如果尚未全部完成，則用戶選擇下一道教案或者隨機抽取得到的考題作為新的當前考核任務，跳轉執行步驟4；否則如果已經全部完成，則輸出本輪下發的教案或者隨機抽取得到的考題的計分結果總和。

文中實現的原型系統中，資源池服務器為整個網絡安全攻防實驗裝置提供實驗環境所需要的計算資源、存儲資源、網絡資源，管理員可以根據實際實驗內容，使用資源池快速部署實驗環境所需要的軟硬件資源。資源池服務器是一個虛擬化平臺管理的資源池，為整個實驗裝置提供實驗環境所需要的計算資源、存儲資源、網絡資源。資源池服務器可采用多臺物理服務器、磁盤陣列、光纖交換機、虛擬化軟件組合。使用多臺物理服務器安裝虛擬化軟件提供計算資源，并設置虛擬化軟件存儲方式為磁盤陣列方式，配合光纖交換機提供存儲資源。資源池服務器應建立負載均衡、冗余容錯措施，以保證實驗裝置所需要的計算資源、網絡資源的穩定性和可用性。

1.2 系統控制服務器

系統控制服務器是整個網絡安全攻防實驗裝置的控制單元，其邏輯架構如圖3所示，使用系統控制服務器可以完成對資源池服務器1的資源管理、對串聯攻擊防御過程演示設備4-1和并接攻擊防御過程演示設備4-2的配置管理、對網絡接入設備5包括有線和無線接入設備的管理；系統控制服務器采用典型、通用的操作系統 (Linux，此外可以根據需要采用Unix、Windows)，使用B/S模式為用戶提供實驗環境管理功能，中間件可針對后臺的代碼選擇 Tomcat、Apache、IIS、Weblogic等，提供一個兼容Chrome瀏覽器、Firefox瀏覽器、IE瀏覽器的B/S模式管理界面，可以對實驗系統進行賬號管理、配置管理、教案管理、考試管理功能。

圖3 系統控制服務器邏輯架構

如圖4所示，賬號管理、配置管理、教案管理、考試管理4個功能分別作為4個獨立的模塊構成了控制業務層，業務接口層則用于為控制業務層提供業務控制接口，分別包括配置、權限、展示、統計、下發、隨機抽取業務控制接口，在資源接口層分別包含數據庫、Web前臺和Web后臺，以實現對資源層虛擬化設備和真實物理設備的透明訪問?；谏鲜龇謱咏Y構，賬號管理模塊可以實現對賬號的創建、刪除、修改、查詢；配置管理模塊可以實現配置實驗環境的顯示參數、運行參數、權限參數；教案管理模塊可以實現實驗教案的上傳、下載、刪除、分發功能；考試管理模塊可以實現試環境創建，以及考試試題的上傳、下載、隨機抽取、自動分發、自動改卷、自動計分、成績分析功能。系統控制服務器2的控制流程如圖4所示，其中教案分發的流程為:①管理員上傳教案；②管理員設置教案的權限，分配教案至指定用戶；③用戶進行教案學習；④教案學習完畢后記錄積分；⑤計算平時成績，并納入最后考試成績?？荚嚹K的流程為:①管理員上傳試題；②管理員使用系統隨機抽取試題；③用戶進行答題考試；④考試結束計算成績。教案分發流程和考試流程都需要資源調度模塊的資源分配。為保證系統控制服務器的性能，系統控制服務器應盡量采用物理服務器單獨提供服務，若采用虛擬化服務器提供服務時，應盡可能為系統控制服務器配置較多的計算和存儲資源。為保證系統控制服務器的可用性，采用物理服務器單獨提供服務時，應盡量采用雙機備份和負載均衡系統。采用虛擬化服務器提供系統控制服務器時，應使用虛擬化平臺的功能實現容錯和負載均衡。

1.3 數據分析服務器

圖4 系統控制服務器業務邏輯

數據分析服務器是記錄實驗過程中網絡訪問數據；通過數據分析服務器可以對整個實驗過程進行還原，還原攻擊者的信息收集、漏洞利用、攻擊過程。數據分析服務器提供C/S模式的實驗數據分析功能，C/S模式的實驗數據分析功能包括數據包捕獲、數據包拆解、數據包分析功能，數據分析服務器提供數據包捕獲功能，使用工作于混雜模式下的網卡網絡監聽實現。數據分析服務器使用兩塊網卡，其中一塊網卡應采用支持混雜模式的網卡，用于監聽網絡數據包，使得數據分析服務器能夠監聽到所有數據包；另一塊網卡用來數據通信，同時將連接數據服務器監聽網卡的交換機端口設置為鏡像端口，并將無線網絡安全攻防裝置中的無線終端、有線終端與資源池服務器之間的流量鏡像到該端口。數據分析服務器還提供數據包拆解、數據包分析功能，所支持的協議包括 ARP，ICMP，IP，TCP， UDP， HTTP， HTTPS， FTP， SNMP，SMTP，POP3，SSH，Telnet，DNS，RPC等協議。如圖5所示，數據分析服務器3應在捕獲網卡數據時，應用數據包分析器對數據包進行初步篩選，避免無關數據包對系統的數據包拆解分析造成過重的負載，數據包分類器應在數據包分析器之后，對攻擊相關的數據包進行分類，應實現對ARP，ICMP，IP，TCP，UDP，HTTP，HTTPS，FTP，SNMP，SMTP，POP3，SSH，Telnet，DNS，RPC協議的支持，攻擊場景分析器應根據數據包分類器得出的分類結果，進行攻擊關聯性分析，進而還原攻擊過程。

圖5 數據分析服務器業務原理

2 總結

本文提出了一種無線網絡安全攻防實驗平臺，并實現了原型系統，研究成果可用于建設電力行業無線網絡安全實驗室，通過實驗平臺的安裝部署可以實現無線網絡設備的安全測試、無線網絡設備滲透測試培訓教學、無線網絡安全研發、課題研究、安全課程培訓考試。通過本方案的實施，可以讓從事無線網絡安全的工作人員，充分了解攻防過程，了解攻擊與防御的原理及方法，提高實際動手能力。

〔1〕趙威，王海泉，夏春和.面向網絡攻防演練的操作系統仿真模型研究與實現 〔J〕.計算機應用研究，2008(8):2 450-2 453.

〔2〕朱璽，張黎首.基于虛擬化和業務化的攻防演練平臺的研究〔J〕.信息安全與通信保密，2015(07):95-98.

〔3〕么利中，偉平.電力信息安全實驗室攻防演練平臺的設計與應用 〔J〕.信息網絡安全，2014(6):78-83.

〔4〕楊劍.基于等級保護的金融機構信息安全攻防演練平臺的設計思路實現 〔C〕//第二屆全國信息安全等級保護技術大會會議論文集.2013.

〔5〕夏春和，楊懿，焦健，等.計算機網絡攻防演練分布式仿真任務部署系統:CN，CN101741642 B〔P〕.2012.

〔6〕 Yan-Guang L I.Design and Realization of Network Attack and Defense Simulation System Terminal Subsystem 〔J〕.Computer＆Modernization，2014(3):169-172，185.

Research and implementation for wireless network attack and defense platform

XUE Haiwei，TIAN Zhen，TIAN Jianwei，LIU Xiaoxiao，QI Wenhui
(State Grid Hunan Electric Power Corporation Research Institute，Changsha 410007，China)

The implementation method of wireless network attack and defense platform is proposed.The database is created，resources for each user are allocated，the documents and test plans are imported，and these plans are sent to users，finally the exam is started.For each exam task，the platform will grade each user according to user's input.If the exam task is theory examination；otherwise the platform will play back the user's attack according to packages logs captured by data analysis server，then grade it.The final score is the sum of theory examination and practical examination.The platform can be used for the attack and defense test for the electric power industry，and can supply and provide a convenient，perfect，scalable research and security testing system for power system wireless access devices.

attack and defense；wireless network security；network attack；permeate test

TP302.7

A

1008-0198(2016)04-0023-05

10.3969/j.issn.1008-0198.2016.04.006

2015-11-13

國網湖南省電力公司科技項目 (5216A514002Q)

薛海偉，博士，從事信息通信安全技術監督工作。