可信计算技术对抗非预知病毒的原理与应用

王乐东+李孟君+叶忠

摘 要：论文介绍了可信计算技术的研究进展与发展趋势，结合勒索病毒等非预知病毒木马的行为特征，分析了可信计算主动防御机制在识别非预知病毒木马，阻止其执行破坏，阻断其传播感染等方面的先进性，指出了可信计算技术及其产品是应对网络攻击和病毒侵袭的有效手段，是构建网络空间主动防御体系的有力支撑。

关键词：可信计算；信息安全；主动防御；病毒木马；网络攻击

中图分类号：TP 309. 1 文献标识码：A

1 引言

网络安全的威胁来源和攻击手段不断变化，传统安全技术和被动防御手段面临巨大挑战，网络空间信息安全形势越来越严峻。2017年5月，勒索病毒短短几小时就席卷了全球至少150个国家、30万名用户，近百个国家的政府、高校、医院、个人等机构受到感染，引发了迄今为止网络世界最大的安全危机。2017年6月，新型勒索病毒Petya又开始肆虐，多国的政府、银行、电力系统、通讯系统等多个行业受到不同程度的影响。勒索病毒正是利用操作系统漏洞“永恒之蓝”攻击工具，进行全自动化攻击传播。因此，计算机硬件结构和操作系统的安全是信息安全的基础，只有从信息系统的硬件和操作系统层面采取防护措施，保证计算机系统所提供的服务是可信的、可用的、信息和行为上是安全的，才能确保信息系统和整个网络的安全。

2 可信计算技术的研究进展

可信计算[1，2]是指计算运算的同时进行安全防护，使操作和过程行为在任意条件下的结果总是与预期一样，计算全程可测可控，不被干扰。改变只讲求计算效率，而不讲安全防护的片面计算模式，是一种运算和防护并存，自我免疫的新计算模式，能够保证计算机系统所提供的服务是可以论证其是可信赖的，也就是指从用户角度看，计算机系统所提供的服务是可信赖的，而且这种可信赖是可论证的。

可信计算3.0理论[3]认为，安全问题的根源在于攻击者利用系统设计逻辑缺陷，使系统运行偏离了正常逻辑，而这个步骤的实现必然伴随着外来可执行实体的介入。可信计算能够全面可靠地记录合法的可执行实体，一旦发现未知实体即阻止其运行，对实体的各种行为进行细粒度审计，并与强制访问控制策略相结合，实现对重要数据的安全受控访问，从而保证系统漏洞不被利用，数据不被破坏，保证系统和数据安全。

可信计算3.0技术[4]致力于建设包括硬件、固件、操作系统、应用在内的安全可信的计算环境，用密码实施身份识别、状态度量、保密存储，及时识别“自己”和“非已”成份，主动破坏与排斥进入机体的有害物质，实现“边计算、边监控”的双体系结构，消除系统特权，能够在系统存在漏洞时有效防护系统安全和数据安全，确保计算机系统所提供的服务是可靠的、可用的、信息和行为上是安全的。

3 非预知病毒的行为特征分析

近期的勒索病毒WannaCry和新型勒索病毒Petya等非预知病毒特点明显，它有蠕虫性质，传播速度更快范围更广，全程自动化攻击行为更隐蔽，感染无法补救危害程度深。

勒索病毒WannaCry创建名为操作系统Microsoft Security Center （2.0） Service的新服务，对应执行文件病毒母体mssecsvc.exe，又同时释放敲诈者程序、提权程序和解密勒索程序等多个子程序。该病毒通过操作系统445网络端口（文件共享）进行传播，一旦某个电脑被感染，同一网络内的主机都会被攻击。与一般病毒以钓鱼邮件、网站恶意广告传播方式不同，勒索病毒通过正常的网络文件共享端口传播，感染后病毒开启操作系统的正常服务，传统防护手段无法及时识别立即处置。

在用户不需要任何操作的情况下，勒索病毒自动扫描开放的文件共享端口，植入恶意程序并执行。只要操作系统漏洞存在，且网络可达，勒索病毒均能实施攻击传播感染，新目标机中招后，该机又作为攻击机不停地进行网络攻击扩散，甚至攻击多用户访问的相关应用数据服务器，极易造成严重的大面积感染情况。

与一般病毒不同，勒索病毒使用高强度的RSA和AES加密算法，会将计算机中如图片、文档、压缩包、音频、视频等178种扩展名文件加密，用户一旦中招，基本无法破解。即使杀毒软件提取病毒样本特征后，完成病毒库升级，删除了勒索病毒，但也无法帮用户解密数据，致使用户遭受巨大的损失。

4 可信计算主动防御的先进性

4.1 传统被动防护手段

以防火墙、入侵检测和病毒防护为主的传统的信息安全技术仅仅只是从外部对企图共享信息资源的非法用户和越权访问进行封堵，以达到防止外部攻击的目的。

勒索病毒事件发生后，临时或应急手段主要包括升级操作系统安全补丁、关闭445等网络端口和服务、升级针对勒索病毒的病毒库、离线备份用户数据等措施。

然而此次勒索病毒属于未知病毒，尤其这次勒索病毒全程自动化攻击、传播速度更快、攻击行为更隐蔽，传统“封堵查杀”难以应对利用逻辑缺陷的攻击，被动防御手段只有收集到病毒样本，提取样本特征，才能建立防御，故勒索病毒不到兩天就席卷了全球。感染后无法补救，即使病毒被查杀，已被加密的文件也无法恢复，造成了巨大影响，充分暴露了传统被动防御手段面对操作系统级新漏洞与攻击方法的被动滞后问题。

4.2 可信计算主动防御手段

可信计算及其产品[4-6]采用主动免疫系统防御机制，根据主体的行为历史记录和当前行为特征来动态判断主体的可信度，确定主体行为是否违规、越权以及超过范围等，主体的可信性定义为其行为的预期性，软件的行为可信性划分级别，通过信息链传递。信任链是通过构建一个信任根，从信任根开始到硬件平台、到操作系统、再到应用，一级认证一级，一级信任一级，从而把这种信任扩展到整个计算机系统，结合可信测量、可信存储、可信报告机制，保证系统的可靠性、可用性、信息和行为的安全性。

提供执行程序实时可信度量，控制非授权及不符合预期的执行程序运行，实现对已知/未知恶意代码的主动防御。将计算机硬件、固件、操作系统、应用软件在内的安全可信的计算环境识别为“自己”，一切如勒索病毒等未知病毒、木马或非法程序，均会及时识别为“非已”成份，自动破坏与排斥进入机体的有害物质。实现“边计算、边监控”的双体系结构，消除系统特权，计算节点可信、网络通信可信、业务操作可信，能够在系统存在漏洞时有效防护系统安全和数据安全，有效对抗侦察袭扰、病毒发作、网络攻击，阻止勒索病毒母体及其子程序的运行，控制和隔离勒索病毒，防止其网络传播扩散。

在不依赖病毒样本特征、不安装系统补丁、不关闭网络端口、不升级杀毒软件的情况下，可信计算主动防御手段能够及时识别勒索病毒，阻止其执行破坏，阻断其传播感染，具有对操作系统漏洞级非预知病毒木马的防御能力。

5 结束语

类似的非预知病毒木马的攻击和危害不会马上停止，解决信息系统安全问题，必须从核心技术不能受制于人的高度，加强自主创新，可信计算3.0技术体系及其产品具有主动免疫、动态防御、快速响应等特点，可有效应对非预知病毒木马等恶意软件，是建立网络空间以可信计算为基础、自主可控为目标、安全免疫为特征主动防御体系的有力支撑。

参考文献

[1] 沈昌祥，张焕国，王怀民，等.可信计算的研究与发展[J].中国科学：信息科学，2010.

[2] 沈昌祥，陈兴蜀.基于可信计算构建纵深防御的信息安全保障体系[J].四川大学学报（工程科学版），2014.

[3] 沈昌祥.用可信计算3.0筑牢网络安全防[J].信息安全研究，2017.

[4] 蔡谊.军民融合的军队可信计算标准[J].信息安全研究，2017.

[5] 安宁钰，王志皓，赵保华.可信计算技术在电力系统中的研究与应用[J].信息安全研究，2017.

[6] 孙瑜，王溢，洪宇.可信软件基技术研究及应用[J].信息安全研究，2017.endprint