擬態逃逸

擬態逃逸（ Mimic Escape ，ME）是擬態防禦中的專有名詞，指攻擊者穿透擬態防禦邊界達成期望攻擊目的之事件。

在第二屆“強網”擬態防禦國際精英挑戰賽上（中國工程院、南京市人民政府和紫金山實驗室聯合主辦），擬態逃逸被設定為”白帽黑客“參賽者們的“終極攻擊目標。

基本介紹

• 中文名：擬態逃逸
• 外文名：Mimic Escape ，ME
• 所屬學科：網路空間安全
• 所述領域：網路空間擬態防禦，動態異構冗餘構造
• 描述對象：網路攻擊者對擬態防禦系統的攻擊效果

概念

擬態括弧（Mimic Brackets，MB）既是擬態防禦的I【P】O功能邊界又是攻擊行為的攻擊表面（Attacks Surface，AS），擬態括弧的主要元素及其相互之間的關係如圖冊1所示，其中藍色部件屬於括弧的本體元素，灰色框中的是功能等價、性能相當的異構冗餘或可重構執行體，分路器所在位置既是輸入/輸出界面又是攻擊表面。理論上，擬態括弧內的所有軟硬體資源都可能存在可資利用的攻擊資源。

背景介紹

在擬態防禦原理中，允許擬態括弧內的物理或邏輯的執行體存在內生安全問題，即存在可資利用的攻擊資源。如圖1所示：

圖1 擬態括弧內的運行場景可能存在暗功能

圖2 擬態括弧本體上可能存在未知漏洞

擬態括弧本體（藍色部件），即輸入分配與代理、輸出代理與裁決、反饋控制器部件也允許存在未知的漏洞，如圖2所示。

擬態逃逸機理

理論上，擬態括弧內的執行體都是物理上獨立的，只要是來自攻擊表面的差模形態攻擊結果能反映到執行體的輸出端，都會被多模裁決器發現並被禁止，同時會激活反饋控制器，指令當前運行環境改變資源配置或運行狀態，這一過程不僅具有疊代性質而且使用單向聯繫機制，除非裁決器不再發現多模執行體存在差模形態的輸出回響，或者出現差模輸出的頻度低於某一給定閾值。因此，基於擬態括弧內某個執行體的蓄意攻擊既不可能影響其他執行體，也無法攻擊裁決器中存在的漏洞，更不可能利用反饋控制器或者輸入分配與代理部件中的漏洞。換言之，從攻擊表面無法利用輸出代理/裁決器和反饋控制器中的漏洞，而輸入分配和代理部件往往被設計成不處理輸入激勵中的任何指令或可執行代碼。於是，攻擊者不僅難以用差模形態攻擊當前執行體集合K實現擬態逃逸，而且因為攻擊不可達性幾乎無法利用擬態括弧本體組件中的攻擊資源。

擬態逃逸實現

擬態逃逸通常只有二種可能，其一是在裁決器的設計中植入後門改變裁決策略使裁決器條件失能，或者配合攻擊可控的執行體，實現協同攻擊，但均要以通過第三方擬態基準功能測試和病毒木馬掃描為前提。實際上，輸出代理和裁決器的功能相對簡單且多為開源或多廠家COTS級的白盒產品，而裁決策略和裁決器是由最終用戶自行定義或選擇的；其二是攻擊者了解並能穩定掌控所有執行體中的攻擊資源，以待機方式分別建立起攻擊鏈，通過約定好的輸入激勵序列實現一致性無感逃逸。需要指出的是，按照擬態防禦體制即使出現無感共模或有感共模逃逸，也會被擬態防禦的後向疊代驗證機制所瓦解，即攻擊鏈難以穩定維持。

事實上，第一種逃逸還需要社會工程學的伎倆支持，第二種逃逸雖然理論上不可避免但實際發生機率極低，且攻擊成果幾乎沒有可利用價值。