基于改進博弈模型的網(wǎng)絡(luò)安全態(tài)勢評估平臺設(shè)計

摘 要： 設(shè)計一種基于改進博弈模型的網(wǎng)絡(luò)安全態(tài)勢評估平臺，該平臺由數(shù)據(jù)采集器模塊、指標體系配置模塊、關(guān)聯(lián)分析模塊、網(wǎng)絡(luò)態(tài)勢評估模塊、安全響應(yīng)模塊和網(wǎng)絡(luò)安全態(tài)勢信息模塊等組成，其包括管理模塊和公共服務(wù)、數(shù)據(jù)分析層、數(shù)據(jù)顯示層、數(shù)據(jù)采集層四大功能模塊。調(diào)度平臺基于改進博弈模型對網(wǎng)絡(luò)安全態(tài)勢進行評估，給出平臺進行網(wǎng)絡(luò)安全態(tài)勢評估的關(guān)鍵代碼。實驗結(jié)果表明，所設(shè)計平臺具有很高的評估性能，而且能夠?qū)ο到y(tǒng)進行有效的修補。

關(guān)鍵詞： 改進博弈模型； 網(wǎng)絡(luò)安全態(tài)勢； 評估平臺設(shè)計； 系統(tǒng)修補

中圖分類號： TN926?34； TP393 文獻標識碼： A 文章編號： 1004?373X（2016）12?0087?04

Abstract： A network security situation assessment platform based on the improved game model was designed. The platform is composed of data acquisition module， index system configuration module， correlation analysis module， network security situation assessment module， security response module and network security situational information module， and four function modules： management module and public service， data analysis， data display， data acquisition layer. Based on improved game model， The scheduling platform evaluates network security posture. The key code is given for the platform to assess network security situation. The experimental result shows that the platform is of high evaluating performance， and can mend the system effectively.

Keywords： improved game model； network security situation； assessment platform design； system mending

0 引 言

隨著計算機的逐漸發(fā)展，網(wǎng)絡(luò)已經(jīng)成為人們工作生活的必需品。隨著網(wǎng)絡(luò)的廣泛應(yīng)用，網(wǎng)絡(luò)安全風(fēng)險也逐漸增加[1?2]。通過對網(wǎng)絡(luò)安全態(tài)勢進行評估，能夠發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)的安全漏洞以及惡意入侵，并且可獲悉網(wǎng)絡(luò)系統(tǒng)的安全狀態(tài)，為網(wǎng)絡(luò)安全的保障提供有效的技術(shù)支持，具有重要意義[3?5]。

目前，研究網(wǎng)絡(luò)安全態(tài)勢評估方法有很多，文獻[6]通過層次分析法對網(wǎng)絡(luò)安全態(tài)勢進行評估，按照組織結(jié)構(gòu)對網(wǎng)絡(luò)層次進行劃分，從底層元素開始進行安全態(tài)勢評估，直至得到網(wǎng)絡(luò)綜合安全系數(shù)，但該方法主要以主觀因素為主，使評估準確性大大降低；文獻[7]依據(jù)IDS日志庫與系統(tǒng)資源的使用情況，利用系統(tǒng)遭受的歷史攻擊，以網(wǎng)絡(luò)系統(tǒng)組織結(jié)構(gòu)為依據(jù)，從服務(wù)進行網(wǎng)絡(luò)安全態(tài)勢評估，但該方法實現(xiàn)過程復(fù)雜；文獻[8]提出一種基于攻擊圖方法的網(wǎng)絡(luò)安全態(tài)勢評估方法，通過網(wǎng)絡(luò)拓撲和攻擊目標等數(shù)據(jù)，構(gòu)建攻擊路徑，從而實現(xiàn)網(wǎng)絡(luò)安全態(tài)勢評估，但該方法存在網(wǎng)絡(luò)狀態(tài)空間的組合爆炸問題，評估性能不佳；文獻[9]提出基于數(shù)據(jù)融合模型的網(wǎng)絡(luò)安全態(tài)勢評估方法，該方法依據(jù)各數(shù)據(jù)源數(shù)據(jù)和信息之間的相互關(guān)系實現(xiàn)網(wǎng)絡(luò)安全態(tài)勢評估和威脅評估，但在網(wǎng)絡(luò)系統(tǒng)環(huán)境較復(fù)雜的情況下，威脅和傳感器的數(shù)量的急劇增長使模型不被控制；文獻[10]提出一種基于Honeynets的網(wǎng)絡(luò)安全態(tài)勢評估方法，該方法利用Honeynets對網(wǎng)絡(luò)入侵信息進行采集，依據(jù)ros的報警信息繪制安全態(tài)勢曲線，實現(xiàn)安全態(tài)勢評估，但該方法只能對入侵信息進行分析，數(shù)據(jù)來源單一。

針對上述方法的弊端，設(shè)計一種基于改進博弈模型的網(wǎng)絡(luò)安全態(tài)勢評估平臺，介紹了平臺的總體結(jié)構(gòu)和功能模塊。基于改進博弈模型對網(wǎng)絡(luò)安全態(tài)勢進行評估，給出平臺進行網(wǎng)絡(luò)安全態(tài)勢評估的關(guān)鍵代碼。實驗結(jié)果表明，所設(shè)計平臺具有很高的評估性能，而且能夠?qū)ο到y(tǒng)進行有效的修補。

1 基于改進博弈模型的網(wǎng)絡(luò)安全態(tài)勢評估平臺

設(shè)計

1.1 網(wǎng)絡(luò)安全態(tài)勢評估平臺總體結(jié)構(gòu)

基于改進博弈模型的網(wǎng)絡(luò)安全態(tài)勢評估平臺利用數(shù)據(jù)采集器完成對數(shù)據(jù)的采集，對原始數(shù)據(jù)進行操作并保存至數(shù)據(jù)庫，對安全事件進行關(guān)聯(lián)分析，產(chǎn)生安全事件數(shù)據(jù)保存至數(shù)據(jù)庫，對原始數(shù)據(jù)進行分析獲取網(wǎng)絡(luò)安全態(tài)勢的綜合評價，并對安全事件進行處理。依據(jù)改進博弈模型，描述了網(wǎng)絡(luò)安全態(tài)勢評估平臺的總體設(shè)計，如圖1所示。

圖1描述的網(wǎng)絡(luò)安全態(tài)勢評估平臺中的關(guān)鍵模塊的作用如下：

數(shù)據(jù)采集器模塊主要負責(zé)輸入基礎(chǔ)信息，同時對網(wǎng)絡(luò)設(shè)備的日志數(shù)據(jù)、流量數(shù)據(jù)、漏洞信息等進行采集、統(tǒng)計及過濾處理，使數(shù)據(jù)格式達到統(tǒng)一。指標體系配置模塊主要負責(zé)對網(wǎng)絡(luò)安全態(tài)勢一級二級指標進行配置，以及網(wǎng)絡(luò)安全態(tài)勢評估字典的輸入。關(guān)聯(lián)分析為網(wǎng)絡(luò)安全態(tài)勢評估平臺的關(guān)鍵，主要用于網(wǎng)絡(luò)安全事件的融合分析，實現(xiàn)對安全事件的分類和統(tǒng)計。利用該模塊可刪除冗余信息，同時分析警報間的關(guān)系，為告警顯示提供基礎(chǔ)數(shù)據(jù)。網(wǎng)絡(luò)態(tài)勢評估模塊主要負責(zé)對當前的網(wǎng)絡(luò)安全態(tài)勢進行評估，同時得到系統(tǒng)安全態(tài)勢信息。安全響應(yīng)模塊的主要功能包括關(guān)聯(lián)分析、評估結(jié)果的顯示和網(wǎng)絡(luò)安全事件發(fā)生的響應(yīng)。在系統(tǒng)遭遇入侵時，安全響應(yīng)模塊將威脅信息以短信或Email的形式傳輸至所有網(wǎng)絡(luò)管理員，從而產(chǎn)生聯(lián)動響應(yīng)的策略機制，增強網(wǎng)絡(luò)安全管理的效率，并加強了系統(tǒng)的及時響應(yīng)能力。網(wǎng)絡(luò)安全態(tài)勢信息模塊主要用于展示平臺的安全態(tài)勢評估結(jié)果和各網(wǎng)絡(luò)節(jié)點的網(wǎng)絡(luò)安全狀況信息，為管理員提供決策支持。

1.2 平臺功能模塊劃分

依據(jù)第1.1節(jié)分析的平臺的總體結(jié)構(gòu)設(shè)計，完成對平臺的功能模塊劃分，結(jié)果如圖2所示。

分析圖2可知，平臺的功能模塊被劃分成數(shù)據(jù)釆集、數(shù)據(jù)分析、數(shù)據(jù)顯示和公共服務(wù)與管理功能，下面進行詳細的分析。

（1） 數(shù)據(jù)采集層。對網(wǎng)絡(luò)中的資產(chǎn)信息、脆弱性信息和威脅報警信息進行采集時，需采用三種不同的采集器，依次為資產(chǎn)釆集器、脆弱性采集器和威脅采集器。采集管理器主要負責(zé)對上述三種采集器進行統(tǒng)一管理，同時對獲取的數(shù)據(jù)進行統(tǒng)一的格式轉(zhuǎn)換，傳輸至數(shù)據(jù)分析層。

（2） 數(shù)據(jù)分析層。數(shù)據(jù)分析層主要用于對采集到的信息進行處理，得到安全事件的關(guān)聯(lián)性，實現(xiàn)網(wǎng)絡(luò)安全態(tài)勢的準確、實時評估。

（3） 數(shù)據(jù)顯示層。數(shù)據(jù)顯示層通常負責(zé)對安全態(tài)勢評估結(jié)果進行顯示。

（4） 管理模塊和公共服務(wù)。管理模塊主要包括用戶管理、任務(wù)管理和日志管理等，而公共服務(wù)主要提供數(shù)據(jù)庫服務(wù)、通信服務(wù)和計時服務(wù)等。

1.3 基于改進博弈模型的網(wǎng)絡(luò)安全態(tài)勢評估

采用傳統(tǒng)博弈模型對網(wǎng)絡(luò)安全態(tài)勢進行評估時，主要側(cè)重于對網(wǎng)絡(luò)安全性的某一側(cè)面進行定性分析，同時在具體應(yīng)用時較難實現(xiàn)。因此，引入Markov決策過程對傳統(tǒng)博弈模型進行改進，將博弈論中的所有參與者所做的決策均看作是一個Markov決策過程，以實現(xiàn)網(wǎng)絡(luò)安全態(tài)勢的有效評估。

依據(jù)博弈論與Markov 決策過程的相關(guān)理論，將評估模型劃分為以下幾個部分：

（1） 博弈雙方

博弈雙方為威脅方和脆弱性方。威脅方利用傳播威脅提高風(fēng)險，脆弱性方利用降低脆弱性降低風(fēng)險。

（2） 狀態(tài)空間

針對威脅方（記作[t]），在第[k]時刻，第[n]個資產(chǎn)的威脅狀態(tài)用[stnk]進行描述，如果[stnk=1]，則認為存在威脅；如果[stnk=0]，則認為無威脅。系統(tǒng)在[k]時刻的威脅狀態(tài)如下：

[stnk=st1k，st2k，…，stnk] （1）

針對脆弱性方（記作[v]），在第[k]時刻，第[n]個資產(chǎn)的脆弱性狀態(tài)可描述成[svnk]，如果[svnk=1]，則認為有；如果[svnk=0]，則認為無脆弱性；則系統(tǒng)在[k]時刻的脆弱性狀態(tài)為：

[svnk=sv1k，sv2k，…，svnk] （2）

則網(wǎng)絡(luò)在[k]時刻的風(fēng)險狀態(tài)[sk]為：

[sk=stnk?svnk] （3）

（3） 行為空間

針對威脅方，威脅的一次傳播被稱作一次威脅行為，在一定概率下，威脅可被傳輸至其他資產(chǎn)，該概率可依據(jù)狀態(tài)轉(zhuǎn)移規(guī)則計算得到。為了便于分析，假設(shè)威脅一次僅傳輸給一個資產(chǎn)。則在[k]時刻，威脅從源資產(chǎn)傳輸至目的資產(chǎn)的概率為[utk]。

針對脆弱性方，平臺管理員修補一個脆弱性被稱作是脆弱性的一次行為，與威脅方法的分析類似，在[k]時刻，用[uvk]表示對資產(chǎn)脆弱性的修補。

（4） 狀態(tài)轉(zhuǎn)移規(guī)則

隨著時間的推移，網(wǎng)絡(luò)中資產(chǎn)的狀態(tài)逐漸發(fā)生改變，采用[psk+1sk，ut，uv]對狀態(tài)變化的規(guī)律進行描述，其中，[sk+1]，[sk]分別用于描述[k+1]和[k]時刻網(wǎng)絡(luò)的狀態(tài)；[ut，][uv]分別用于描述[k]時刻威脅方和脆弱性方的行為。在[k]時刻，威脅方與脆弱性方可依據(jù)自身策略集作出相應(yīng)的響應(yīng)。

（5） 損害函數(shù)

如果一個資產(chǎn)存在威脅，則該資產(chǎn)在某種程度上會被損害，并且威脅存在的時間越長，損害越大。用[Vsk]描述網(wǎng)絡(luò)在[k]時刻受到的損害，用[Rsk]描述網(wǎng)絡(luò)在單位時間內(nèi)受到的損害，則有：

[Vsk=Rsk+βsk+1psk+1sk，ut，uvVsk+1] （4）

式中：[sk+1]用于描述[k+1]時刻系統(tǒng)狀態(tài)，主要取決于[sk，][ut，][uv；][psk+1sk，ut，uv]用于描述狀態(tài)轉(zhuǎn)移概率。依據(jù)風(fēng)險值計算原理，有：

[Rsk=VA?stk?svk] （5）

式中：[V]用于描述脆弱性程度；[A]用于描述資產(chǎn)價值。為了便于分析，僅對[n]步之內(nèi)的系統(tǒng)變化進行分析。利用損害函數(shù)可求出全部威脅對系統(tǒng)產(chǎn)生的風(fēng)險，將全部威脅產(chǎn)生的風(fēng)險值[Vi]累加，即可獲取系統(tǒng)的總風(fēng)險值[Vsys]。

[Vsys=iVi] （6）

（6） 風(fēng)險評估

在進行網(wǎng)絡(luò)風(fēng)險評估的過程中，管理員還未采取修補措施，也就是：

[uvk=0， k=1，2，…，n] （7）

因此，可將Markov博弈過程看作是Markov 決策過程，在給定的威脅傳播速率下，選擇一種威脅傳播策略，使系統(tǒng)風(fēng)險值達到最大，則該值即為風(fēng)險評估結(jié)果，公式描述如下：

[Vsk=maxt∈T Vt，vsk] （8）

采用上述分析的基于改進博弈模型的網(wǎng)絡(luò)安全態(tài)勢評估過程的電路圖如圖3所示。

2 代碼設(shè)計

網(wǎng)絡(luò)安全調(diào)試評估系統(tǒng)需統(tǒng)計分析產(chǎn)生基礎(chǔ)信息，通過調(diào)用基礎(chǔ)數(shù)據(jù)庫的數(shù)據(jù)產(chǎn)生構(gòu)建平臺的詳細數(shù)據(jù)，進行評估的部分關(guān)鍵代碼如下：

3 實驗結(jié)果分析

為了驗證本文設(shè)計平臺的有效性，需要進行相關(guān)的實驗分析。構(gòu)建一個實驗網(wǎng)絡(luò)環(huán)境，同時采用慧眼S系統(tǒng)進行分析。實驗網(wǎng)絡(luò)環(huán)境拓撲結(jié)構(gòu)如圖4所示。

為了驗證本文設(shè)計平臺的可靠性和準確性，對實驗子網(wǎng)主機發(fā)起模擬攻擊實驗，分別采用本文平臺和攻擊圖平臺對子網(wǎng)安全態(tài)勢進行評估，得到的結(jié)果見表1。

表1 兩種平臺性能比較結(jié)果 %

分析表1可以看出，采用本文平臺對網(wǎng)絡(luò)安全態(tài)勢進行評估的檢測率和誤報率均明顯優(yōu)于攻擊圖平臺，說明了本文平臺具有很高的可行性，驗證了本文系統(tǒng)的有效性。如圖5所示為采用本文平臺和攻擊圖平臺進行網(wǎng)絡(luò)安全態(tài)勢評估的結(jié)果和實際結(jié)果的比較情況。分析圖5可知，本文平臺的網(wǎng)絡(luò)安全態(tài)勢變化趨勢和實際變化趨勢相同，同時曲線差別較小，而攻擊圖平臺的網(wǎng)絡(luò)安全態(tài)勢變化曲線和實際變化曲線之間的差距很大，對網(wǎng)絡(luò)安全態(tài)勢的評估效果不佳，進一步驗證了本文平臺的有效性。

4 結(jié) 論

本文設(shè)計了一種基于改進博弈模型的網(wǎng)絡(luò)安全態(tài)勢評估平臺，該平臺由數(shù)據(jù)采集器模塊、指標體系配置模塊、關(guān)聯(lián)分析模塊、網(wǎng)絡(luò)態(tài)勢評估模塊、安全響應(yīng)模塊和網(wǎng)絡(luò)安全態(tài)勢信息模塊等組成，其包括管理模塊和公共服務(wù)、數(shù)據(jù)分析層、數(shù)據(jù)顯示層、數(shù)據(jù)采集層四大功能模塊。調(diào)度平臺基于改進博弈模型對網(wǎng)絡(luò)安全態(tài)勢進行評估，給出平臺進行網(wǎng)絡(luò)安全態(tài)勢評估的關(guān)鍵代碼。實驗結(jié)果表明，所設(shè)計平臺具有很高的評估性能，而且能夠?qū)ο到y(tǒng)進行有效的修補。

參考文獻

[1] 劉麗軍.基于攻防博弈模型的層次化網(wǎng)絡(luò)安全評估探析[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2014（8）：173.

[2] 黃金山.基于博弈模型的網(wǎng)絡(luò)安全最優(yōu)攻防決策方法[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2014（12）：127.

[3] 朱建明，宋彪，黃啟發(fā).基于系統(tǒng)動力學(xué)的網(wǎng)絡(luò)安全攻防演化博弈模型[J].通信學(xué)報，2014（1）：54?61.

[4] 張晶，李艷.基于動態(tài)博弈的粗糙網(wǎng)絡(luò)安全分析模型[J].計算機工程，2015（4）：129?134.

[5] 張樹偉，劉文芬，魏江宏.基于博弈模型的網(wǎng)絡(luò)風(fēng)險量化評估方法[J].信息工程大學(xué)學(xué)報，2014，15（2）：156?162.

[6] 劉剛，張宏，李千目.基于博弈模型的網(wǎng)絡(luò)安全最優(yōu)攻防決策方法[J].南京理工大學(xué)學(xué)報，2014（1）：12?21.

[7] 黃鵬，張娜.基于網(wǎng)絡(luò)安全風(fēng)險評估的攻防博弈模型[J].西昌學(xué)院學(xué)報（自然科學(xué)版），2014（4）：71?74.

[8] 席榮榮.基于多源數(shù)據(jù)融合的網(wǎng)絡(luò)安全態(tài)勢量化評估[D].北京：中國科學(xué)院大學(xué)，2013.

[9] 徐聯(lián)華.基于智能Agent技術(shù)的多層次網(wǎng)絡(luò)安全態(tài)勢評估系統(tǒng)的設(shè)計與實現(xiàn)[J].計算機光盤軟件與應(yīng)用，2013（14）：168.

[10] 朱詩生，陳曉強，肖海濤，等.ERP系統(tǒng)IAM的網(wǎng)絡(luò)安全設(shè)計[J].電子設(shè)計工程，2014（4）：166?169.