《武汉工程大学学报》 2015年07期
60-64
出版日期：2015-07-31
ISSN:1674-2869
CN:42-1779/TQ
面向ＳＯＡＰ消息的Ｗeb服务注入攻击检测方法
0 引 言Ｗｅｂ服务是一个向其它应用过程或程序提供数据和服务的分布式模块化组件，它通过ＸＭＬ、ＳＯＡＰ等新技术实现各种服务之间的互操作［１］. Ｗｅｂ服务具有高度互操作、松散耦合和可重用等特点，已成为网格和云计算等计算技术的重要实现方式之一. 目前Ｗｅｂ服务通信是以传输ＳＯＡＰ消息为基础的，由于ＳＯＡＰ协议在设计时并没有过多的考虑其安全性问题，从而导致ＳＯＡＰ 消息在传输过程中极易受到诸如ＳＱＬ注入攻击和ＸＭＬ 注入攻击等其他形式的命令注入攻击，因此保证 ＳＯＡＰ 消息传输的安全性是当前研究的一个重要问题［２］. 文献［３］描述了Ｗｅｂ服务面临的安全威胁与状态，利用ＯＷＬ－Ｓ与本体建立了服务安全攻击本体. Ｎｉｌｓ Ｇｒｕｓｃｈｋａ等人［４］指出消息的机密性、完整性和用户验证对于服务平台安全性的作用很小，从而提出采用ＸＭＬ Ｓｃｈｅｍａ中的消息对接受到的ＳＯＡＰ消息进行确认，以此发现具有注入攻击的服务调用. 文献［５］在研究中定义了一个消息安全本体来对ＳＯＡＰ消息进行本体验证，进而对攻击进行检测. 杨晓晖等人［６］提出基于信任度量的跨域访问控制模型，来实现Ｗｅｂ服务访问安全. 笔者在充分考虑正常Ｗｅｂ访问行为的特点后，采用长度不同的多种特征子串来表示正常ＳＯＡＰ消息行为，并通过支持度来建立正常消息行为模式，最后利用提出的检测模型对注入攻击进行检测.1 注入攻击检测方法文中提出的注入攻击检测方法的实现过程可分为正常行为建模和和攻击检测两个阶段，具体检测模型如图１所示. 正常行为建模的主要任务是建立正常的ＳＯＡＰ消息的行为模式. 攻击检测阶段的任务是根据建立的正常行为模式，利用特定的检测模型来识别当前ＳＯＡＰ消息中的异常行为.图１ 注入攻击检测模型Ｆｉｇ．１ Ｔｈｅ ｄｅｔｅｃｔｉｏｎ ｍｏｄｅｌ ｏｆ ｉｎｊｅｃｔｉｏｎ ａｔｔａｃｋ 1．１ 行为建模Ｗｅｂ访问详细的记录了客户的ＳＯＡＰ信息行为，通过观察Ｗｅｂ访问日志，可发现消息中会大量重复出现一些字符串，将这些重复出现的字符串称为特征子串，其特征相对稳定，可代表ＳＯＡＰ消息的行为模式［７］. 行为建模阶段的主要工作如下.（1）获取训练数据：将无注入攻击时产生的Ｗｅｂ访问作为训练数据Ｅ＝｛ｅ１，ｅ２，…，ｅｎ｝，其中ｅｉ表示按时间顺序排列的第ｉ个ＳＯＡＰ消息事件，ｎ为ＳＯＡＰ消息事件序列长度. 定义１：Ｗｅｂ访问日志记录的一次会话或一次执行过程称为ＳＯＡＰ消息事件，记为ｅ＝＜ｌａ，ｔ＞，其中ｌａ＝＜ｓ１，ｓ２，…，ｓｍ＞表示该ＳＯＡＰ消息事件中的ｍ个字符，ｔ表示记录ＳＯＡＰ消息事件的时间. （２）借鉴最长前缀提取算法［１０］思想，采用最长前缀分析法提取训练数据Ｅ中所有长度大于１的重复出现的特征子串，组成特征子串集合 Ｔ＝｛ｔ１，ｔ２，…，ｔｋ｝，ｔｊ表示第ｊ个特征子串，ｋ为长度. （３）将训练数据Ｅ中的ＳＯＡＰ消息事件序列转换为按时间排序的ｎ个长度分别为ｌ（１）， ｌ（2）， …ｌ（ｎ）的特征子串序列流Ｃ＝｛Ｃ１，Ｃ２，…， Ｃｎ｝，其中Ｃｉ 表示ｅｉＳＯＡＰ消息事件中包含的所有特征子串，记为Ｃｉ＝｛ｔｊ，ｔｊ＋１，…，ｔｍ｝. （４）计算集合 Ｔ中每个特征子串在训练数据序列Ｅ中的支持度. 定义２：一个特征子串在序列Ｅ中的支持度等于该子串出现的次数除以所有特征子串总计出现次数，即：ｓｕｐｐｏｒｔ（ｔｉ）＝ｎｕｍｂｅｒ（ｔｉ）／Ｎｕｍｂｅｒ（Ｔ），其中Ｎｕｍｂｅｒ（Ｔ）为集合Ｔ中所有特征子串出现的次数和. （５）从ｎ个特征子串流中，分别按照相应的支持度提取正常Ｗｅｂ访问行为模式序列Ｌ（ｉ）. 考虑到不同的特征子串表示的行为模式意义可能不尽相同，其出现的频率也会有较大的区别，不能采用单一支持度，在文中设置了ｋ个相应于不同特征子串的最小支持度ｍｉｎｓｕｐ（ｔ１）， ｍｉｎｓｕｐ（ｔ２）， …，ｍｉｎｓｕｐ（ｔｋ）. 对于１≤ｉ≤ｋ，将Ｃｉ中等于或大于相应最小支持度ｍｉｎｓｕｐ（ｔｉ）的特征子串提取出来，构成满足支持度要求的行为模式序列Ｌ（ｉ）. （６）构建正常行为模式轮廓将Ｓ个满足最小支持度要求的序列Ｌ（１），Ｌ（２），…Ｌ（Ｓ－１），Ｌ（Ｓ）存储起来，用于描述正常行为模式轮廓，同时也作为下一步进行注入攻击检测的正常行为模式轮廓Ｌ＝｛Ｌ（１），Ｌ（２），…，Ｌ（Ｋ）｝. 1．２ 注入攻击检测攻击检测阶段的任务是根据建立的正常行为模式，利用特定的检测模型来识别当前ＳＯＡＰ消息事件中的异常行为. 攻击检测阶段的主要工作如下.（1）获取测试数据：选取监测时间内Ｗｅｂ访问日志作为测试数据，并进行预处理. 设预处理后得到的日志数据字符串序列为Ｅ’＝｛ ｌａ１， ｌａ２，…， ｌａｎ｝，其中ｌａｉ为按时间顺序排列的第ｉ个字符串. （２）按照行为建模阶段提出的方法，提取测试数据Ｅ’中的Ｋ个行为模式序列，并以此构建当前日志行为模式轮廓Ｌ’＝｛Ｌ’（１），Ｌ’（２），…，Ｌ’（Ｓ）｝.（３）将两阶段构建的行为轮廓Ｌ和Ｌ’分别转化成ｋ·ｎ的模板矩阵Ｍ和检测矩阵Ｑ.模板矩阵Ｍ＝（Ｍ１，Ｍ２ …ＭＫ）Ｔ，其中Ｍｉ表示序列Ｌ（ｉ）转化的由ｎ个０和１组成的行向量，即Ｍｉ＝（ａ１，ａ２，…，ａｎ），其物理意义表示：若子串集Ｔ中的某个特征子串在Ｌ（ｉ）中出现，将相应的矩阵位置元素置为１，否则置为０. 如Ｌ（ｉ）由集合Ｔ中的第１，２，４个特征子串组成，即Ｌ（ｉ）＝｛ｔ１，ｔ３，ｔ５｝，则转化的行向量Ｍｉ＝（１，１，０，１，０，０， …，０）. 同理，将序列库Ｌ’ 转化为行向量表示的检测矩阵Ｑ. （４）矩阵相似性度量：使用矩阵相似度来衡量检测矩阵Ｑ与模板矩阵Ｍ之间的匹配程度. 下面引入矩阵间相似度的概念［８］，设ｍ×ｎ矩阵全体为Ｃ ｍ×ｎ，假如Ａ·Ｂ∈Ｃ ｍ×ｎ，矩阵内积可定义为 ＜Ａ·Ｂ＞＝ｔｒ（ＢＴＡ） （１）式（１）中ｔｒ（﹒）表示矩阵主对角线元素的和，而矩阵内积表示两矩阵相对应位置元素的乘积累加和，由矩阵内积可导出范数 ||Ａ||=■（２）若Ａ、Ｂ为实数矩阵，则|＜Ａ·Ｂ＞|≤||Ａ||·||B||，当且仅当Ａ和Ｂ两矩阵完全相似时，|＜Ａ·Ｂ＞|=||Ａ||·||Ｂ||.可知，Ａ和Ｂ两矩阵的相似度为 sin(Ａ，Ｂ)=cos?兹=■（３）式（３）中θ为Ａ和Ｂ两矩阵之间的夹角，当θ＝０° 时，表示Ａ和Ｂ相似性最好；当θ＝９０° 时，Ａ和Ｂ则完全不相似. 为计算检测矩阵Ｑ与模板矩阵Ｍ之间的匹配程度，需将公式（３）改为 sim(M,Q)=■ （４）当检测矩阵Ｑ与模板矩阵Ｍ之间的匹配度ｓｉｍ（Ｍ，Ｑ）小于给定的判决阈值ｗ时，则将矩阵Ｑ标记为异常，并发出异常警报，最后将报警ＳＯＡＰ消息事件交由专家系统并结合人工进行验证，进而判定Ｗｅｂ访问是否遭受注入攻击. （５）判决阈值选择：选择合适的判决阈值是决定检测率和误报率的关键因素. 参照文献［９］中交叉验证的方法来确定文中的判决阈值ｗ，将获得的Ｗｅｂ访问日志按一定比例分成两部分，一部分用于获取行为模式，而另一部分用于确定判决阈值和测试误报率，如此反复交叉的测试，并在测试过程中通过调整判决阈值来获得误报率与不同判决阈值间的对应关系，最终将期望误报率所对应的判决阈值ｗ作为检测注入攻击的阈值. 2 实验与分析本文的试验是在安徽科技学院校园网中进行的，采集到的数据集既有校园网内部的Ｗｅｂ访问数据，也有来自于或传输到教育网上的数据，并利用Ｃ++语言完成文中相关的算法和实验. 具体实验环境见图２所示.图２ 实验环境图Ｆｉｇ．２ Ｔｈｅ ｐｌａｔｆｏｒｍ ｏｆ ｅｘｐｅｒｉｍｅｎｔａｌ ｅｎｖｉｒｏｎｍｅｎｔ 表1 环境配置表Tabel1 The configuration of experimental environment图２中的环境配置如表１所示. 实验所采用的Ｗｅｂ访问数据集如下：训练数据集：将 Ｔ２产生的１ ０００个ＳＯＡＰ消息记录作为训练数据集，用来建立正常的ＳＯＡＰ消息的行为模式. 测试验证数据集：将Ｔ１采集到的Ｗｅｂ访问日志和Ｐ１、Ｐ２产生的１００个ＳＯＡＰ消息记录作为测试数据集，用来验证文中提出的注入攻击检测效果.根据训练数据集，运行特征子串提取算法，提取了３５个用于表示行为模式的特征子串，进一步采用文中提出的行为模式序列提取方法，获得了２１个行为模式序列库Ｌ＝｛Ｌ（１），Ｌ（２）， …，Ｌ（２１）｝.在建立正常行为模式轮廓后，对测试验证数据集采用文中提出的注入攻击检测方法进行检测. 为选择最佳的检测判决阈值，可通过已有的训练数据并通过判决阈值选择法来确定. 图３给出了实验过程中选择判决阈值ｗ的曲线，图中的实线为未进行注入攻击对应的判决阈值曲线，而虚线为注入攻击后的判决阈值曲线. 从图３中可以看出，当ｗ＝０．５５时，正常ＳＯＡＰ消息行为模式下的判决阈值曲线与注入攻击后对应的判决阈值曲线几乎没有的交叠部分，具有较好的区分度，因此文中将０．５５作为最佳判决阈值. 图３ 判决阈值曲线Ｆｉｇ．３ Ｔｈｅ ｃｕｒｖｅ ｏｆ ｄｅｃｉｓｉｏｎ ｔｈｒｅｓｈｏｌｄ同时，还采用文中实验用的Ｗｅｂ访问数据集分别对文献［１０］中基于序列对比的检测方法、文献［１１］中基于本体的检测方法以及文献［１２］中基于文本聚类的攻击检测方法进行了对比实验，在检测率、误报率和实验时间方面进行了对比，实验对比结果见表２所示. 表2 不同检测法的检测结果比较Tabel 2 The comparison results of detection effect从表２中可以看出，文中提出的检测方法在检测率上明显优于其他３种检测方法，且误报率也明星低于序列对比和文本聚类的检测方法. 由于文中提出的检测方法需要先建立正常行为模式，然后再进行验证检测，所以在实验时间方面稍高于序列对比和本体检测法，但是其他两项检测指标具有明显的比较优势. 由实验对比结果可见，文中提出的注入攻击检测方法是有效的，具有很好的综合检测性能. 3 结 语提出了一种新的面向ＳＯＡＰ消息的注入攻击攻击检测方法，该方法充分考虑了正常Ｗｅｂ访问行为的特点，采用长度不同的多种特征子串来表示正常消息行为，并通过支持度来建立正常消息行为模式，最后利用特定的检测模型来检测ＳＯＡＰ消息中是否含有注入攻击. 实验结果表明，文中提出的检测方法可有效的检测注入攻击，且具有很好的检测效果. 致 谢：在此对文中实验和测试等提供支持和帮助的安徽科技学院计算中心表示感谢，并对在研究过程中提供的指导的各位老师帮助表示感谢！