網(wǎng)絡(luò)安全事件危害度的量化評估

何 慧，張宏莉，王 星，曲晶瑩

(哈爾濱工業(yè)大學(xué)計算機科學(xué)與技術(shù)學(xué)院，150001哈爾濱)

隨著近年來攻擊行為及網(wǎng)絡(luò)入侵的復(fù)雜化、分布化、大規(guī)模化、趨利化和嚴(yán)密化［1］，互聯(lián)網(wǎng)絡(luò)在全球范圍內(nèi)遭受著愈加頻繁的攻擊，經(jīng)常導(dǎo)致網(wǎng)絡(luò)大面積癱瘓，重要的信息系統(tǒng)安全受到嚴(yán)重威脅，造成巨大經(jīng)濟損失和不良社會影響，甚至危及到國家的安全和社會的穩(wěn)定.因此，對網(wǎng)絡(luò)攻擊后的整體危害度的評價已經(jīng)成為網(wǎng)絡(luò)安全領(lǐng)域重要的研究課題之一［2］.目前，安全性量化評估方法主要集中于主機系統(tǒng)與網(wǎng)絡(luò)系統(tǒng)的脆弱性等風(fēng)險評估上［3］.而大規(guī)模網(wǎng)絡(luò)攻擊通常選擇性能(如帶寬和延遲)較好的鏈路傳播.例如:Slammer蠕蟲以帶寬優(yōu)先的原則來選路傳播，而其他一些蠕蟲(如紅色代碼)是延遲趨向傳播［4］.因此，分析網(wǎng)絡(luò)攻擊傳播時考慮鏈路及節(jié)點性能因素，對于其傳播路徑的選擇、傳播速度的了解以及攻擊損害程度的評價等方面都具有重要價值.

本文提出面向網(wǎng)絡(luò)可用性的大規(guī)模網(wǎng)絡(luò)安全事件危害度量化評估方法.用網(wǎng)絡(luò)熵值描述安全性能，用熵的差值來度量性能變化.本文考慮底層基礎(chǔ)網(wǎng)絡(luò)構(gòu)成，分析受影響的節(jié)點、鏈路以及事件情況，根據(jù)網(wǎng)絡(luò)攻擊發(fā)生后對節(jié)點和鏈路性能指標(biāo)的影響，綜合節(jié)點和鏈路的危害度及重要程度等參數(shù)，得出整個網(wǎng)絡(luò)的疫情危害程度評估模型.將采用模擬和真實兩種實驗環(huán)境，驗證不同網(wǎng)絡(luò)規(guī)模環(huán)境下評估結(jié)果的有效性.

1 安全事件危害程度評估框架

目前，互聯(lián)網(wǎng)上爆發(fā)的比較典型的網(wǎng)絡(luò)安全事件有僵尸網(wǎng)絡(luò)、拒絕服務(wù)攻擊、蠕蟲等［5］.本文主要針對大規(guī)模網(wǎng)絡(luò)、破壞性強以及易于傳播的網(wǎng)絡(luò)安全事件進行危害程度的評價.此類網(wǎng)絡(luò)安全事件往往具有動態(tài)發(fā)展的性質(zhì)，依賴于網(wǎng)絡(luò)底層的連接狀況及特點，比如路由器與鏈路的分布情況.主要影響網(wǎng)絡(luò)安全屬性［6］中的可用性.

本文考慮底層基礎(chǔ)網(wǎng)絡(luò)的構(gòu)成情況，分析受影響的節(jié)點、鏈路和事件情況，根據(jù)節(jié)點所充當(dāng)?shù)慕巧愋停粗鳈C節(jié)點、服務(wù)器節(jié)點及負(fù)責(zé)網(wǎng)絡(luò)數(shù)據(jù)轉(zhuǎn)發(fā)的路由器節(jié)點(此處選擇路由節(jié)點)，根據(jù)網(wǎng)絡(luò)事件發(fā)生后對鏈路帶寬以及吞吐量等性能指標(biāo)的影響，綜合節(jié)點和鏈路的危害度及重要程度等參數(shù)，得出整個網(wǎng)絡(luò)的疫情危害程度評估框架.如圖1所示，采用細(xì)粒度的層次化的評估方法，分成4個層面，從底層指標(biāo)向上逐層計算危害度的指數(shù)，最終計算出整個網(wǎng)絡(luò)的危害度值.

圖1 危害程度評估框架圖

2 網(wǎng)絡(luò)攻擊危害程度評價指標(biāo)計算

2.1 評價指標(biāo)選擇

2.1.1 節(jié)點指標(biāo)選擇

針對路由器節(jié)點的性能，選擇指標(biāo)包括:丟包率、延遲以及節(jié)點吞吐量，這幾個參數(shù)將直接反映路由節(jié)點在遭受攻擊情況下的性能狀況.

由于此類網(wǎng)絡(luò)攻擊會引起網(wǎng)絡(luò)擁塞，擁塞到一定程度，即攻擊程度達(dá)到一定規(guī)模，就會造成數(shù)據(jù)包的丟失，而且隨著攻擊強度的增強，丟包率亦會增高［7］.進行路由節(jié)點丟包率的計算，其定義為單位時間內(nèi)，流經(jīng)節(jié)點被丟掉數(shù)據(jù)包數(shù)與所發(fā)送過來數(shù)據(jù)包總數(shù)之比:

其中:Vdroprate(x)指x路由器的丟包率;n表示此路由器同n個接口相連接;指路由器接口單位時間內(nèi)所丟棄的數(shù)據(jù)包數(shù);指本連接的接口單位時間內(nèi)傳送過來數(shù)據(jù)包總數(shù)．

同樣，此類網(wǎng)絡(luò)攻擊亦會影響到路由器節(jié)點的吞吐量參數(shù)，當(dāng)攻擊大規(guī)模爆發(fā)時會使得節(jié)點的吞吐能力降低［8］.所以，此處選取路由節(jié)點吞吐量為危害度的度量參數(shù)之一，定義為路由器各端口上在單位時間內(nèi)傳輸正常數(shù)據(jù)包的總量.計算公式如下所示:

式中，Vthroughput(x)指第x路由器節(jié)點吞吐量，ΔVInOctets指Δt時間段內(nèi)流入j端口字節(jié)數(shù)，ΔVOutOctets指流出j端口字節(jié)數(shù)，Δt指對應(yīng)某時間區(qū)域，n表示此路由器同n個接口相連接．

另外，此類網(wǎng)絡(luò)攻擊發(fā)生時，最明顯的變化就是用戶在傳送數(shù)據(jù)時的等待時間長，即延遲.當(dāng)攻擊爆發(fā)時，會明顯感覺到網(wǎng)絡(luò)報文傳遞的時間變長，即延遲參數(shù)值增大.節(jié)點延遲是由傳輸延遲、排隊延遲、處理延遲和傳播延遲構(gòu)成.本文采用經(jīng)典的計算方法［9］，即表示為數(shù)據(jù)包流入前后相鄰路由器間的RTT差值.

2.1.2 鏈路指標(biāo)選擇

在此類網(wǎng)絡(luò)攻擊發(fā)生時，鏈路必然亦會受到影響，表現(xiàn)為鏈路的吞吐量降低，甚至到阻塞的程度.選取鏈路的吞吐量為度量參數(shù)之一，鏈路是全雙工的，是雙向傳送數(shù)據(jù)，因此，鏈路上吞吐量定義為單位時間內(nèi)雙向傳輸?shù)恼笪牧靠倲?shù)，計算公式如下:

式中，Vthrouthput(x)指第x條鏈路的吞吐量，VInOctets指Δt時間段內(nèi)流入字節(jié)數(shù)，VOutOctets指Δt時間段內(nèi)流出字節(jié)數(shù)，Δt指對應(yīng)的某時間段．

當(dāng)攻擊爆發(fā)時，反映鏈路性能明顯變化的另一參數(shù)是鏈路的可用帶寬.隨著攻擊發(fā)生強度的增大，會導(dǎo)致入侵流量占用的可用帶寬增加，使正常的網(wǎng)絡(luò)帶寬下降，甚至無法進行正常的網(wǎng)絡(luò)訪問，網(wǎng)絡(luò)瀕臨癱瘓.選取鏈路帶寬占用率為評價參數(shù)之一，定義為某鏈路在單位時間內(nèi)可使用的網(wǎng)絡(luò)容量與鏈路固有帶寬的比值:

式中，Vused(x，k)指第x鏈路在第k采樣時間間隔內(nèi)的帶寬占用率，VB(x，k)指第x鏈路在第k采樣時間間隔內(nèi)傳輸?shù)臄?shù)據(jù)總量，Tk指第k采樣時間間隔的長度，VB指第x鏈路的鏈路固有容量——帶寬．

2.2 攻擊損害程度量化

根據(jù)指標(biāo)的正負(fù)向?qū)傩裕?0］，對其進行無量綱化處理.即吞吐量屬于正向性的指標(biāo)，值越大越好，而丟包率、帶寬占用率以及延遲等屬于負(fù)向性的指標(biāo).由此可得網(wǎng)絡(luò)系統(tǒng)的各性能指標(biāo)的量化值，并把攻擊事件發(fā)生前后指標(biāo)的對比差值作為安全事件損害狀況的測度.

2.2.1 節(jié)點危害度計算

根據(jù)選取的節(jié)點性能指標(biāo)參數(shù)進一步定義單節(jié)點危害度計算方法，單節(jié)點危害度為此節(jié)點每個單項性能指標(biāo)的危害度加權(quán)平均:

式中，VdamageN(ni)指第i路由器節(jié)點ni的危害度，VDj指節(jié)點ni第j個指標(biāo)的危害度，Vwj指節(jié)點ni第j個指標(biāo)權(quán)重，m指節(jié)點ni指標(biāo)總數(shù)．

基于以上單節(jié)點的計算方法，推出整體網(wǎng)絡(luò)的危害度計算公式.網(wǎng)絡(luò)中節(jié)點整體危害度定義為此網(wǎng)絡(luò)所有節(jié)點危害度加權(quán)平均:

其中，VdamageA(N)指網(wǎng)絡(luò)節(jié)點整體危害度，VdamageN(nk)指第k路由器節(jié)點nk的危害度，Vwk指第k路由器節(jié)點nk的權(quán)重，m指節(jié)點總數(shù)．

2.2.2 鏈路危害度計算

單鏈路危害度定義為與此鏈路相關(guān)各單項指標(biāo)危害度加權(quán)平均.

其中，VdamageE(ei)指第i條鏈路ei危害度，VDj指鏈路ei第j指標(biāo)的危害度，Vwj指鏈路ei第j指標(biāo)權(quán)重，m指鏈路ei指標(biāo)總數(shù)．

基于以上單鏈路危害度的計算方法，推出整體網(wǎng)絡(luò)的鏈路危害度計算公式.網(wǎng)絡(luò)中鏈路整體危害度定義為網(wǎng)絡(luò)中所有鏈路的危害度加權(quán)平均:

其中，VdamageA(E)指整體網(wǎng)絡(luò)的鏈路危害度，VdamageE(ek)指第k鏈路ek的危害度，Vwk指第k鏈路ek的權(quán)重，m指鏈路總數(shù)．

2.3 危害程度度量

對已確定的評價指標(biāo)，做無量綱化和指標(biāo)歸一化處理，并根據(jù)作用程度確定每個指標(biāo)權(quán)重，然后計算其網(wǎng)絡(luò)熵值，從而進一步得到主要鏈路和路由器的危害度，再根據(jù)節(jié)點和鏈路的作用級別賦予對應(yīng)權(quán)重，最后計算出整體網(wǎng)絡(luò)鏈路和路由器的危害度.

設(shè)定ΔH是鏈路和路由節(jié)點的攻擊發(fā)生前后相關(guān)指標(biāo)熵值差．差值的大小，直接反映出網(wǎng)絡(luò)攻擊的效果如何，比值越大，說明性能受到的影響越大，遭到的攻擊損害越嚴(yán)重．本文用ΔH值來定量評價網(wǎng)絡(luò)攻擊的危害程度，并對網(wǎng)絡(luò)危害程度進行分級描述(共分六個等級)［11］．本文進行歸一化處理后得到分級見表1．

表1 網(wǎng)絡(luò)危害程度分級描述

3 模擬實驗與結(jié)果分析

3.1 模擬實驗環(huán)境設(shè)置

3.1.1 路由拓?fù)淠M

利用GTNetS模擬器［12］生成了層次化的實驗拓?fù)洌鐖D2所示為自治域之間和路由器節(jié)點之間的連接關(guān)系圖［13］，由5個AS自治域構(gòu)成，路由器節(jié)點達(dá)1百多個，網(wǎng)絡(luò)端節(jié)點為1萬個.

圖2 GTNetS生成的路由器節(jié)點拓?fù)鋱D

3.1.2 背景流量模擬

流量試驗平臺采用文獻［14］中的自相似流量生成方法，網(wǎng)絡(luò)背景流量滿足偽Pareto分布，基于ON/OFF的源疊加方式，生成TCP流量和UDP流量.實驗中采用大小相同的TCP、UDP數(shù)據(jù)包作為發(fā)送端，包大小為550 Byte，其反饋流量的數(shù)據(jù)包為64 Byte.每個ON/OFF發(fā)送源均滿足同一重尾分布特性，分布參數(shù)為αON=1．5和αOFF=1.1.構(gòu)造出傳輸層的基于ON/OFF源的發(fā)生器以及流量接收端.

3.2 爆發(fā)攻擊前后對比實驗

實驗中模擬UDP蠕蟲攻擊流量，采用SI經(jīng)典傳播模型.被感染主機初始時刻的數(shù)量為1，隨機掃描方式，數(shù)據(jù)包為固定大小(460 Byte)，掃描包速率為10/s.蠕蟲攻擊發(fā)生時，網(wǎng)絡(luò)流量由正常流量與蠕蟲攻擊流量構(gòu)成.實驗中通過計算路由器節(jié)點的延遲和丟包率來度量網(wǎng)絡(luò)節(jié)點的性能情況.而對于網(wǎng)絡(luò)鏈路則通過帶寬占用率和鏈路吞吐量兩個指標(biāo)來衡量.

計算路由器節(jié)點性能:分別計算出蠕蟲攻擊前后路由器節(jié)點的丟包率和延遲指標(biāo)值的變化，圖3為模擬試驗中的4個路由器的性能指標(biāo)比對結(jié)果，可見，攻擊前后的性能指標(biāo)結(jié)果顯著反映出攻擊的影響.

圖3 蠕蟲攻擊前后路由器性能對比

計算鏈路性能:分別計算出蠕蟲攻擊前后鏈路帶寬占用與平均吞吐量性能指標(biāo)變化.圖4為模擬試驗中的路由器鏈路間的性能比對結(jié)果.鏈路帶寬占用和平均吞吐率都會受到一定的影響.

3.3 計算網(wǎng)絡(luò)危害度

采用本文方法分別計算模擬網(wǎng)絡(luò)實驗中的路由器節(jié)點和鏈路的危害度.首先，計算路由器節(jié)點的危害度，根據(jù)各路由器在每個性能指標(biāo)上的危害度值和指標(biāo)所占權(quán)重來統(tǒng)一計算單一節(jié)點的危害度.表2為實驗中主要路由器各項指標(biāo)上的危害度值.

試驗中假定指標(biāo)相互獨立，由此暫設(shè)定指標(biāo)權(quán)重相同為1.根據(jù)式(1)，先計算單一路由節(jié)點的危害度，然后，根據(jù)節(jié)點不同的權(quán)重，計算網(wǎng)絡(luò)整體節(jié)點危害度.計算得到整體實驗網(wǎng)絡(luò)的路由器危害度值是0.2.對照危害程度分級，此次蠕蟲攻擊對整體路由器危害程度是較嚴(yán)重的.同時，亦可定位出攻擊后受影響最大的路由器節(jié)點.

圖4 蠕蟲攻擊前后鏈路性能對比

表2 路由器節(jié)點各指標(biāo)危害度

試驗中，根據(jù)式(2)，根據(jù)各鏈路在每個性能指標(biāo)上的危害度值和指標(biāo)所占權(quán)重來統(tǒng)一計算單一鏈路的危害度.表3所示為實驗中主要鏈路在各指標(biāo)上的危害度值及其權(quán)重.

表3 鏈路危害程度

假定指標(biāo)權(quán)重相同，值取1，根據(jù)式(2)，在計算單鏈路危害度之后，根據(jù)鏈路的不同權(quán)重，計算整體網(wǎng)絡(luò)鏈路的危害度.計算得到實驗網(wǎng)絡(luò)整體鏈路危害度值為0.023.對照危害程度分級，此次蠕蟲攻擊對整體鏈路危害程度是輕微的.同時，亦可定位出攻擊后受影響的最大鏈路，以便有針對的加以控制.

在校網(wǎng)絡(luò)中心出入口入侵監(jiān)測報警庫中隨機抽取某天的異常事件，同時根據(jù)主要樓宇路由器及樓層交換機拓?fù)溥B接鏈路，對相關(guān)數(shù)據(jù)進行采集，用本文方法計算出相應(yīng)時段網(wǎng)絡(luò)安全危害度量值，并且平滑其結(jié)果，得到其24 h的可用性危害趨勢如圖5.

圖5 某天網(wǎng)絡(luò)可用性危害示意圖

從圖5可發(fā)現(xiàn)校園網(wǎng)可用性危害狀態(tài)，10～22點，網(wǎng)絡(luò)整體危害指數(shù)明顯高于其他時段，而10～12點、19～22點兩時段為全天最高峰，網(wǎng)絡(luò)管理員應(yīng)該高度重視此時段，實驗結(jié)果與網(wǎng)絡(luò)日志以及網(wǎng)絡(luò)當(dāng)時的實際的安全狀況相符.區(qū)別于定性和局部的分析，本文更能夠給出方法可靠的量化依據(jù)，從而可從網(wǎng)絡(luò)通訊的底層綜合要素來綜合發(fā)現(xiàn)問題，防止大規(guī)模攻擊在網(wǎng)絡(luò)中的泛濫，并可有效定位到具體的鏈接和傳播節(jié)點，對進一步的控制提供更有利的依據(jù).

4結(jié)論

1)本文提出了面向網(wǎng)絡(luò)可用性的大規(guī)模安全事件危害程度量化評估方法.用網(wǎng)絡(luò)熵值描述安全性能，用熵的差值來度量性能變化.

2)考慮底層基礎(chǔ)網(wǎng)絡(luò)的構(gòu)成情況，分析受影響的節(jié)點、鏈路以及事件情況，根據(jù)網(wǎng)絡(luò)事件發(fā)生后對節(jié)點和鏈路性能指標(biāo)的影響，綜合節(jié)點和鏈路的危害度及重要程度等參數(shù)，得出整個網(wǎng)絡(luò)的疫情危害程度評估模型.采用層次化的評估框架，從底層微觀細(xì)粒度指標(biāo)逐層向上計算危害度值，最終計算出宏觀的整體網(wǎng)絡(luò)危害度的值.

3)從模擬和真實兩種環(huán)境下進行了實驗.通過搭建的大規(guī)模網(wǎng)絡(luò)安全事件模擬平臺驗證了較大網(wǎng)絡(luò)下的評估方法的有效性.在中小型的校園網(wǎng)絡(luò)的實際環(huán)境下，通過網(wǎng)管獲取的真實數(shù)據(jù)，進一步證明了量化結(jié)果的正確性.

［1］馮登國，張陽，張玉清.信息安全風(fēng)險評估綜述［J］.通信學(xué)報，2004，25(7):10-18.

［2］RITCHEY R，AMMANN P.Using model checking to analyze network vulnerabilities［C］//Proceedings of the IEEE Symp on Security and Privacy.Berkeley:IEEE Computer Society Press，2000:156-165.

［3］邢栩嘉，林闖，蔣屹新.計算機系統(tǒng)脆弱性評估研究［J］.計算機學(xué)報，2004，1(1):1-10.

［4］ZOU C C，TOWSLEY D，GONG Weibo.Modeling and simulation study of the propagation and defense of internet E-mail worms［J］.IEEE Transactions on dependable and Secure Computing，2007，4(2):115-120.

［5］CLARK K，TYREE S，DAWKINS J，et al．Qualitative and quantitative analytical techniques for network security assessment［C］//Proceedings of the 2004 IEEE Workshop on Information Assurance and Security.NY:IEEE Computer Society Aress，2004:10-11.

［6］馬洪梅.基于流量特征的網(wǎng)絡(luò)可用性量化評估與控制［D］.哈爾濱:哈爾濱工業(yè)大學(xué)，2010:23-27.

［7］CARDOSO R C，F(xiàn)REIRE M M.Intelligent assessment of distributed security in TCP/IP networks［C］//Proceedings of 7th IEEE International Conference on High Speed Networks and Multimedia Communications.LNCS，Toulouse:Spinger-verlay，2004:1092-1099.

［8］LAKHINA A，CROVELLA M，DIOT C.Mining anomalies using traffic feature distributions［C］//Proceedings of the ACM SIGCOMM.NY:ACM Press，2005:225-231.

［9］JAJODIA S，NOEL S，O’BERRY B.Managing Cyber Threats:Approaches and Challenges［M］.NY:Springer-Verlag，2005:247-266.

［10］曲晶瑩.基于模擬的網(wǎng)絡(luò)安全事件危害程度評估研究［D］.哈爾濱:哈爾濱工業(yè)大學(xué)碩士論文，2008:12-19.

［11］張義榮，鮮明，王國玉.一種基于網(wǎng)絡(luò)熵的計算機網(wǎng)絡(luò)攻擊效果定量評估方法［J］.通信學(xué)報，2004，25(11):158-165.

［12］RILEY G F.The Georgia Tech Network Simulator［C］//Proceedings of the ACM SIGCOMM Workshop on Models，Methods and Tools for Reproducible Network Research.［S.l.］:ACM Press，2003:5-12.

［13］HUANG Lin.Survey on Generators for Internet Topologies at the AS Level［D］.Karlsruhe:University Karlsruhe，2007:7-9.

［14］KRAMER G，MUKHERJEE B，PESAVENTO G.IPACT:A dynamic protocol for an ethernet PON(EPON)［J］.IEEE Communications Magazine，2002，40(2):190-192.