朱玺， 张黎首

(国网上海市电力公司信息通信公司，上海200122)

0 引言

随着信息化的快速发展，各行业对于信息化的依赖越来越高，信息系统的基础性、全局性作用越来越强。信息化在带来效能的同时，病毒感染、黑客攻击也极大威胁着企业的网络安全与应用安全［1，2］。

为了进一步提升安全人员的攻防技能，并能利用常见的攻击方式对测试系统进行模拟攻击，测试出应用系统自身的抗攻击能力和安全配置的实效性［3］，进而能够提出安全策略修订和相关加固方案，确保应用系统的安全性，需要进行信息安全攻防演练平台的建设。

目前业界知名的信息安全攻防演练平台，主要是国外开源机构发布的基于主流的漏洞的模拟环境。主要有Webgoat、dvwa和Linux－Metasploitable。Webgoat是知名应用安全机构OWASP发布的一个基于OWASP TOP 10的一个教学环境，主要覆盖Web常见经典漏洞，SQL(关系化数据库查询语言)注入、跨站脚本等等，dvwa与之类似。linux－Metasloit是著名的Rapid7公司为其渗透测试产品量身定制的Vmware Workstation漏洞虚拟机，其主要覆盖系统层漏洞，切中渗透攻击的展示。

基于虚拟化和业务化安全攻防演练平台(以下简称攻防演练平台)，可进行主流网络层(IP层等)、操作系统、数据库系统、中间件系统等的漏洞攻击防护测试，提供培训、演练、测试的平台，培养信息安全专家队伍，不断提升公司人员信息安全技术水平［4，5］。另外通过引入虚拟化技术可以极大的方便对于漏洞环境的备份、恢复等，攻防环境在攻击和测试过程中不会遭受到破坏;同时结合行业业务引入业务系统的仿真模拟训练环境，这样弥补了传统的漏洞环境的生硬，牵强，对于一些业务安全漏洞，有了更好的展示，有利于训练人员理解和接收。

1 虚拟化和业务化的关键技术分析

1.1 虚拟化

虚拟化，是指通过虚拟化技术将一台计算机虚拟为多台逻辑计算机。在一台计算机上同时运行多个逻辑计算机，每个逻辑计算机可运行不同的操作系统，并且应用程序都可以在相互独立的空间内运行而互不影响，从而显著提高计算机的工作效率。虚拟化的主要目的是对IT基础设施进行简化。它可以简化对资源以及对资源管理的访问。目前在服务器市场上应用的虚拟化产品主要是VMware的产品，包括GSX Server和ESX Server，本攻防演练平台中采用ESX server进行实现。VMware ESX Server适用于任何系统环境的企业级的虚拟计算机软件，基本上支持所有类型的操作系统(LINUX、WINDOWS、UNIX等)，同时可以实现服务器部署整合，构建复杂的网络业务环境，是攻防演练平台的首选。在攻防演练平台中，虚拟化的应用主要体现在虚拟化技术的使用和虚拟化API接口的调用。

1.1.1 虚拟化技术的使用

漏洞环境虚拟化处理是攻防演练平台中最为重要和关键的技术，主要使用的虚拟化处理功能是虚拟操作系统、虚拟化的快照管理功能、硬件虚拟技术。

虚拟操作系统的技术，主要是指虚拟各种各样类型的操作系统。由于信息安全的快速发展，信息安全漏洞出现在各种各样的操作系统中，针对这些操作系统的虚拟化是攻防演练平台的基础工作。在很多低版本的操作系统中，操作系统本身自带了很多安全漏洞(如windows2000系统)，直接在ESX中部署这个操作系统即构成了一个漏洞环境。虚拟操作系统的技术还有一个重要的特性就是，部署后的操作系统，可以直接对其进行克隆为部署应用层漏洞环境的底层操作系统。

虚拟化的快照管理功能，是使用虚拟机的快照管理功能，对漏洞环境进行当前状态下的快照存储，该技术支持“内存快照“，可以使用该技术对每一个部署好的漏洞环境进行快照，在下一次演练测试之前，恢复到记录好的快照进而保证漏洞环境的准确可用，并且不用担心演练破坏攻防实验环境。

硬件虚拟技术，主要是指虚拟化技术对硬件的虚拟，比如虚拟网卡，虚拟网络设备，虚拟USB接口。应用于攻防演练平台中，主要通过虚拟化技术，把攻击链路以及管理连路分别映射到不同的物理网卡。虚拟机网络隔离与管理链路隔离，在目标虚拟机上无法感知到管理链路的存在。另外是通过使用虚拟机交换机(vswitch)建立复杂的演练网络环境，演练中攻击一方必须通过渗透手段摆渡到虚拟的DMZ(安全隔离区域)区才能完成演练任务。

虚拟化技术应用于攻防演练平台中，不仅可以简化管理漏洞环境，还可以将“虚拟机“抽象为单个单元的漏洞，通过部署不同的虚拟机来实现演练平台的漏洞添加，极大的保证了攻防演练平台的可扩展性。

1.1.2 虚拟化API接口的调用

VMWare为ESX产品及其组件开放了 API以及提供了不同的SDK(软件集成化开发工具组件)，以便开发者开发出自己的VMWare客户端。vSphere是VMware的旗舰产品，是基于云的新一代数据中心虚拟化套件，包含了诸如 ESX/ESXi，vCenter，vSphere Client等组件，提供了虚拟化基础架构、高可用性、集中管理、监控等一整套解决方案。VMWare针对vSphere提供了完整的 API及 Web Servicess SDK。

如图1所示［6］，ESX server提供了Webservice API以及各种各样的SDK，对于使用其他语言和环境来进行二次开发和调用提供了极大的方便。在攻防演练平台中，可以调用API接口进行二次开发，开发更方便和直观具备企业信息和特性的攻防演练平台管理端。

图1 ESX API概览

1.2 业务化

攻防演练平台是一个信息安全漏洞攻防演练平台，漏洞环境必须包含行业的业务系统、业务安全漏洞，才能发挥更大的价值。国内知名漏洞网站乌云(http://www.wooyun.org)有大量的漏洞数据，对其分析发现同一个类型的漏洞，在不同的行业系统中，其安全风险值是不一样的。另外攻防演练平台中如果没有行业所对应的业务系统，将无法发挥其模拟效果，不能有效的培训企业的信息安全工作人员。

攻防演练平台的业务化主要体现在业务系统上，一是根据企业所属行业不同，搭建不同的行业业务系统;二是明确企业的核心信息系统和核心数据。例如，电力行业业务系统是“SGERP”系统，通过平台集中、业务融合、决策智能、安全使用等理念，将发电、输电、调度等具体应用纳入到整体信息化建设过程中来;那么核心信息系统一般是行业的信息系统，核心数据即是核心系统所对应的管理数据、用户数据等等。

攻防演练平台中业务化的另外一个体现是部署常见的业务系统，比如人力资源系统、OA办公系统、门户网站系统、邮件系统等，这些系统是在各个行业均存在，且是黑客攻击的重点，是攻防演练平台的一个重要体现。

2 攻防演练平台的总体设计

2.1 设计原则

在规划和设计时，系统应遵循以下几项设计原则［7］:

1)稳定性。保证7×24小时不间断稳定运行。

2)可靠性。系统运行平均无故障时间超过100，000小时;系统平均无故障率 ＞99.96%;具备手动恢复措施。

3)扩展性。基于现有虚拟系统环境，应具有二次开发能力模块。

4)时效性。系统应该有专人维护漏洞环境，保证漏洞的时效性，同时保证系统的多样性和异构性。

2.2 构架设计

攻防演练平台总架设计如图2所示，攻防演练平台主要包含四个部分:

1)管理平台

管理平台主要分为基于Vmware Esx官方提供的client进行维护和管理的管理平台和调用ESX API接口二次开发的个性化管理平台。前一种方便高效，后一种可以根据快照镜像状态开发自定义的功能，如通过快照及其描述构建关卡，当通过一个关卡之后，管理平台自动恢复快照至下一个关卡等。

管理平台可以对虚拟机进行管理，包括增加、删除、启动、关闭、插入硬件设备等;亦可以直接管理虚拟交换机(vswitch)，根据需求不同划分不同的vlan。

2)漏洞环境

漏洞环境主要包含通用业务信息系统、经典漏洞环境、核心业务系统、DMZ区;通用业务系统主要由邮件系统、门户网站、OA系统等组成;经典漏洞收集于互联网主要包括DVWA、Linux－Metasploitable等;核心业务区主要体现行业区分，根据业务不同添加不同的业务系统;DMZ区是仅和核心业务相连通，模拟内网渗透、摆渡攻击等手法。

3)攻击平台

攻击平台主要采用BT5渗透测试下同，本文中的kali是BT5的最新版本，并且包含了全球著名的开源渗透测试框架:“The Metasploit Framework“。该平台包括了信息收集、扫描、渗透、纵向收集窃取数据这些攻击手法中用到的各种工具。

4)底层支撑平台

底层平台的支持，采用Vmware ESX server和硬件服务器组成，提供不少于20T的硬盘和256G内存的平台组成，结合Vware Vcenter，硬件可以由多台服务器组成而成。

图2 攻防演练平台构架设计

3 结语

本文介绍了基于虚拟化和业务化的攻防演练平台的关键技术和总体构架设计，该平台具备以下特点:系统结构合理、功能完善、简单易用、扩展性良好、实用实践性强，能够较好的满足于各行各业的攻防演练平台。然而该平台也存在一些不足，主要体现在未设计课程和培训实验的概念，另外调用ESX API实现自定义的管理接口，受限于Vware ESX API最新的收费策略。下一步将加强课程和实验的设计，另外一方面继续研究vmware其他虚拟化接口和技术，为更好的将虚拟化应用攻防演练平台做好准备。

［1］ YUAN E，TONG Jing.Attribute based access control(ABAC)for web services［C］//Proc.of the IEEE International Conference on Web Services.Piscataway，USA:IEEE Computer Society，2005:561－569.

［2］ Perlman R.An overview of PKI trust models［J］.IEEE Network，1999，13(6):38－43.

［3］ Lang Bo，Foster I，Siebenlist F，et al.Attribute based access control for grid computing［EB/OL］.2006 －04 －25.［2014 －10 － 5］.ftp://info.mcs.anl.gov/pub/tech_reports/reports/P1367.pdf.

［4］ Park J S，Sandhu R.Smart certificates:extending X.509 for secure attribute service on the web［C］.Proc.of National Information Systems Security Conference.Arlington，USA:［s.n.］，1999:340 －346.

［5］ Oasis.eXtensible access control markup language(XACML)version 2.0［EB/OL］.2005 －02 －01.［2014 －10 －3］.docs.oasis－ open.org/xacml/2.0/access_control－xacml－2.0 － core－ spec－ os.pdf.

［6］ Vmware Documentation.vmware 文档中心 5.0［EB/OL］.2012－03 －15.［2014 －10 －3］.http://pubs.vmware.com/vsphere －50/index.jsp.

［7］ 董辉，马建.基于虚拟蜜网的网络攻防实验平台的构建［J］.齐齐哈尔大学学报:自然科学版，2012，28(02):67－72.