基于攻击模式的用例图检测方法

攻击者从来不按用例图走。基于检测他们按自己的攻击剧本行动，而这些剧本往往藏在系统最不设防的模式角落里。用例图把用户目标画成椭圆，例图把参与者画成小人，基于检测再用连线勾勒出权限边界。攻击可这套符号体系最初是模式为需求分析设计的，它默认参与者是例图“正常用户”。当有人把恶意行为套进用例模板时，基于检测系统边界立刻变成了一层纸糊的攻击墙。

我见过一个真实案例。模式某银行内部系统用例图里，例图“转账”用例的基于检测扩展点写着“余额不足时提示错误”。测试团队照着这个用例做渗透测试，攻击只测了余额为负的模式场景。结果攻击者发现，当转账金额为负数时，系统反而会向账户加钱。这个漏洞不在任何用例图里——因为没人给“转账负数金额”画过用例。用例图的抽象层级决定了它天然过滤掉异常输入，而异常输入恰恰是攻击者的入口。

基于攻击模式的检测方法，思路很简单：把攻击者的行为拆成可识别的“模式片段”，再映射回用例图的执行路径上。比如SQL注入攻击，它本质上是篡改用例的输入参数。在用例图上，这对应着“用户输入数据”这个动作的变异。检测系统不需要理解攻击者的意图，只需要监控用例执行流中，哪些参数偏离了用例图定义的有效范围。偏离本身不是攻击，但偏离的轨迹往往能拼出攻击者的试探路线。

这里有个关键差异。传统入侵检测盯的是流量特征或系统调用序列，而用例图检测盯的是“业务动作的合法性”。流量特征可以被加密绕过，系统调用可以被伪装，但业务动作很难完全隐藏。攻击者要盗取数据，总得触发“查询”这个用例；要提权，总得触发“修改权限”这个用例。哪怕他把SQL语句藏得再深，最终还是要通过应用层的用例入口。这就像小偷进商场，无论怎么伪装，总得走大门——用例图检测就是在大门口数进出的人，而不是去分析每个人的表情。

实际落地时有个麻烦。用例图是静态的，攻击行为是动态的。静态图上的一个“登录”用例，在真实系统里可能对应着十几种不同的认证流程。解决办法是把用例图细化到状态机级别，把每个用例拆成前置条件、主流程、备选流、异常流四个阶段。攻击模式就对应着这些阶段的异常跳转。比如暴力破解，它反复触发“登录”用例的异常流，正常用户输错三次密码就该停止，攻击者却可能触发上千次。检测逻辑不需要理解密码学，只需要数异常流的触发频率。

这套方法有个意想不到的好处：它能发现设计缺陷。有一次我在测试一个医疗系统，用例图里“查看病历”用例只允许医生角色访问。但攻击者通过修改URL参数，把自己伪装成“护士”角色，居然也能触发这个用例。用例图本身没画错，错的是系统的角色校验逻辑。检测系统抓到这个异常时，顺带暴露出一个权限管理漏洞——这比单纯发现攻击行为更有价值，因为用例图检测本质上是在校验“系统行为是否符合设计意图”。

当然，它防不住零日漏洞。攻击者如果发明出一种全新的攻击模式，不在任何已知模式库里，检测系统就会把它当成正常业务流放过去。但话说回来，真正的零日攻击极少——大多数攻击都是已知模式的新组合。就像盗贼不会发明新锁，只会用旧钥匙试不同的门。用例图检测的聪明之处在于，它不关心钥匙长什么样，只关心钥匙转动的角度是否符合门锁的设计公差。这个思路，比盯着钥匙本身要高明得多。