基于網絡攻防信號博弈模型的主動防御策略優化方法

摘 要：為取得最優網絡安全主動防御效果，提出了網絡攻防信號博弈模型和基于上述模型的主動防御策略優化算法，并通過典型網絡實例分析了上述模型和算法在網絡安全主動防御中的應用。分析結果表明，提出的模型和方法是可行、有效的。

關鍵詞：主動防御；策略優化；博弈；網絡攻防；不完全信息

中圖分類號：TP309文獻標識碼：A文章編號：2096-4706（2018）01-0138-03

An active defense strategy optimization method based on the game model of network attack and defense signal

WANG Shichao，CAO Yuan

（National University of Defense Technology，Changsha 410000，China）

Abstract：In order to obtain the optimal network security active defense effect，put forward the network attack signal game model and optimization algorithm based on active defense strategy of the model，finally through a typical example of the network analysis of the application of the model and algorithm in the network security active defense. The analysis results show that the proposed model and method are feasible and effective.

Keywords：active defense；strategy optimization；game；network attack and defense；incomplete information

0 引 言

為保護網絡安全，最理想的情況是，通過攻擊分析預測，在攻擊發生前實施主動防御措施，對所有的弱點或者攻擊行為均做出防護。但是受資源和能力制約，“不惜一切代價的”防御是不現實的[1]，管理員需要評估所有主動防御策略的有效性，從中選取最優策略，以利用有限的資源最大程度地保護網絡安全。

在網絡安全對抗實際過程中，防御者策略的有效性，不僅取決于己方的行動，還取決于攻擊者的策略。基于這種策略依存性，本文采用網絡攻防信號博弈模型的框架，模擬攻防雙方的對抗競爭和信息交互，幫助防御者選取最優主動防御策略。

1 相關研究

博弈論是研究事先決策的理論，網絡攻防對抗中雙方的策略依存性、非合作性正是博弈論的基本特征[2]，因此，學者們將博弈論與網絡安全相結合，對攻防雙方的行為進行建模研究，用于解決不同領域的問題。文獻[3]基于博弈雙方的對立性，將博弈論引入到網絡安全對抗研究；文獻[4]提出了基于博弈論對信息安全技術進行評價的模型，側重于對信息安全優化配置的研究；文獻[5]運用完全信息博弈理論對網絡中發生的攻擊行為進行分析，并指導防御策略的選取；文獻[6]則引入動態博弈模型，通過“虛擬節點”將網絡攻防圖轉化為網絡博弈樹，用于研究主動防御中的策略選擇；文獻[7]針對現實攻防中雙方收益不完全相等條件，提出基于非零和攻防博弈模型的策略選取算法；文獻[8]將不完全信息靜態博弈模型運用于蠕蟲攻防策略績效評估。上述研究均基于完全信息或者同時行動的假設，這個條件在現實網絡攻防中很難滿足。

本文借鑒了上述相關研究成果，基于攻防雙方的行動次序性、不完全信息條件，構建網絡攻防信號博弈模型，并給出了基于上述模型的最優主動防御策略優化算法。

2 網絡攻防信號博弈模型與防御策略優化算法

2.1 模型形式化定義

定義1.網絡攻防信號博弈模型（Network Attack-Defense Signaling Game Model）是一個4元組，NADSGM=（N，O，T，U）。其中：

（1）N是局中人集合，N=（NA，ND）。NA代表攻擊者，ND代表防御者。

（2）O是可觀察事件集合，O={o1，o2，...，og}。

（3）T是行動空間集合，T=（TA，TD）。TA={a1，a2，...，am}是攻擊者可用的攻擊策略集；TD={d1，d2，...，dn}是防御者可用的防御策略集，并假設任意防御策略di都是由若干可觀察事件組成的序列。

（4）U是效用函數集合，U=（UA，UD）。UA是攻擊者的效用函數，UD是防御者的效用函數。

2.2 攻防效用函數

未采取防御措施時，攻擊回報一般用攻擊造成的網絡系統損失表示。面向主動防御的攻防過程中，攻擊回報期望用采取防御措施后，該攻擊對網絡系統造成的的殘余的未被消除的損失表示，防御回報用采取該防御措施后網絡系統免受的損失表示。于是，可得攻防雙方收益：

UA（di，ak）=Rcost（di，ak）-AC（ak）

UD（di，ak）=Dcost（ak）-Rcost（ak，di）-Deost（di）

其中，Rcost、AC、Dcost、Decost分別為殘余損失、攻擊成本、網絡系統損失、防御成本。[1]

2.3 精煉貝葉斯均衡

定義2.精煉貝葉斯均衡是行動組合a*（oj）、d*（oj）和推斷的結合，它滿足：

其中：（1）是攻擊者觀察到某事件oj，對可能的防御策略di的推斷；（2）a*（oj）、d*（oj）是給定推斷條件下，攻防雙方采取的最有利于己方的行動；（3）推斷是攻擊者依據貝葉斯法則和事件oj的先驗概率得到。

2.4 均衡求解過程

（1）在攻擊者的信息集上建立推斷。攻擊者根據觀察到的事件oj，對可能的防御策略di，建立后驗概率推斷。

（2）給定推斷條件下，對每一個接收的信號oj∈0，攻擊者選取最有利于己方的行動a*（oj）∈TA，使攻擊收益最大化。通過求解下式：

可得攻擊者的最優攻擊純策略a*（oj）。

（3）防御者已知整個博弈過程，預測到攻擊者采取的最優行動a*（oj），給定可觀察事件集O={o1，o2，...og}條件下，選取最有利己方的防御策略d*（oj），使防御收益最大化。通過求解下式：

可得防御者的最優防御純策略d*（oj）。

（4）步驟（2）、（3）得到的攻防純策略，可組成子博弈精煉納什均衡{a*（oj），d*（oj）}，用貝葉斯法則驗證并去掉不可置信攻擊純策略a*（oj），可得網絡攻防信號博弈的貝葉斯精煉均衡。

2.5 基于網絡攻防信號模型的防御策略優化算法

算法1.基于網絡攻防信號博弈模型的防御策略優化算法

輸入：攻防信號博弈模型

輸出：最優主動防御策略

（1）初始化博弈模型NADSGM=（N，O，T，U）；

（2）構建防御策略集合TD={d1，d2，...，dn}；

（3）構建可觀察事件集合O={o1，o2，...，og}；

（4）構建攻擊策略集合TA={a1，a2，...，am}；

（5）對攻擊策略集TA和防御策略集合TD，生成笛卡爾集合TA×TD；

（6）對每一個攻防策略對（ak，di）∈TA×TD，計算其攻防收益值，生成收益矩陣U=（UA，UD）；

（7）for all di∈TD，建立先驗概率p（oj|di）；

（8）for all oj∈O，攻擊者建立推斷；

（9）求最優攻擊行動a*（oj），即

（10）求防御者預測依存的最優防御行動d*（oj），即

（11）生成子博弈精煉納什均衡{a*（oj），d*（oj）}；

（12）驗證貝葉斯條件，即對所有oi∈O，if p（oj|d*（oi））≠0；

（13）then求得精煉貝葉斯均衡{a*（oj），d*（oj）}；

（14）return d*（oj）。

該算法的時間復雜度主要集中在均衡求解計算部分，時間復雜度為o（2n+2m3）；算法的空間消耗主要集中在存儲攻防收益矩陣和均衡求解中間結果，空間復雜度為o（mn）。

3 實驗驗證及分析

實驗攻擊主機位于外部網絡，目標網絡為交換網絡，其中共有4臺計算機，分別為公共Web服務器、FTP文件服務器、Mail郵件服務器和SQL數據庫服務器。根據防火墻規則，只允許外部主機以普通用戶權限訪問Web服務器，內部各服務器節點可以普通用戶權限互相訪問。假設攻擊者在攻擊主機有ROOT權限，以取得FTP、Mail、SQL服務器全部訪問權限為目標，利用網絡脆弱點信息，實施一系列原子攻擊[10]。如表1和表2所示。

可得攻擊策略集合TA={a1，a2，a3，a4，a5}和防御策略集合TD={d1，d2，d3，d4}：

（1）a1：01-02-05-08；a2：01-02-06-11；a3：01-03-08-10；a4：01-03-07-08；a5：01-04-09-11；

（2）d1：（Ⅰ，Ⅱ，Ⅳ）；d2：（Ⅰ，Ⅲ，Ⅴ）；d3：（Ⅰ，Ⅱ，Ⅵ）；d4：（Ⅰ，Ⅳ，Ⅵ）

按照上述精煉貝葉斯均衡求解過程和基于博弈模型的防御策略優化算法，得到純策略精煉貝葉斯均衡{d3，a4}。因此，對防御者的最優防御純策略是d3，攻擊者的最優攻擊純策略是a4。將本文的方法和其他文獻的方法進行比較，一方面，網絡攻防信號博弈作為不完全信息博弈模型，與完全信息博弈相比，考慮了攻防雙方不清楚對方信息的情況，更加貼近攻防實際情形；另一方面，靜態博弈要求攻擊者和防御者同時做出選擇，而網絡攻防信號博弈作為動態博弈模型，充分考慮了攻防雙方行動的非同時性，更加符合實際要求。

4 結 論

為保護網絡安全，需要管理員合理選取主動防御策略，以利用有限的資源取得最大的防御效果。為此，本文提出了網絡攻防信號博弈模型，根據攻擊圖給定雙方攻防策略集，將防御者的主動防御與攻擊者觀察并理性行動的博弈過程形式化建模，在此基礎上，通過求解精煉貝葉斯均衡，選取最優主動防御策略，最后通過一個仿真實驗驗證了模型和方法的有效性。為不完全信息條件的攻防動態對抗研究提供了有效的模型方法，并能夠為管理員的主動防御決策提供指導。

參考文獻：

[1] JIANG wei，FANG Binxing，TIAN Zhihong，et al. Research on defense strategies selection based on attack-defense stochastic game model [J].Jisuanji Yanjiu yu Fazhan/Computer Research and Development，2010，47（10）：1714-1723.

[2] 劉剛，張宏，李千目.基于博弈模型的網絡安全最優攻防決策方法 [J].南京理工大學學報（自然科學版），2014，38（1）：12-21.

[3] ANDERSON R. Why information security is hard： an economic perspective[C]//17th Annual Computer Security Application Conference. Washington，DC，USA：IEEE Computer Society，2016：39-40.

[4] 朱建明.基于博弈論的信息安全技術評價模型 [J].計算機學報，2015（4）：828-834.

[5] LYE K，WING J. Game strategies in network security [J]. International Journal of Information Security，2015，54（1/2）：71-82.

[6] 林旺群，王慧，劉家紅.基于非合作動態博弈的網絡安全主動防御技術研究 [J].計算機研究與發展，2013，48（2）：306-316.

[7] 陳永強，付鈺，吳曉平.基于非零和攻防博弈模型的主動防御策略選取方法 [J].計算機應用，2013，33（5）：1347-1352.

[8] 劉玉嶺，馮登國，吳麗輝.基于靜態貝葉斯博弈的蠕蟲攻防策略績效評估[J].軟件學報，2013，23（3）：712-723.

[9] 羅伯特·吉本斯，高峰.博弈論基礎 [M].北京：中國社會科學出版社，1999.

[10] Li X，Xue Y.A survey on server-side approaches to securing web applications [J]. Acm Computing Surveys，2014，46（4）：1-29.

作者簡介：王世超（1985-），男，河南南樂人，碩士。主要研究方向：網絡與信息安全；曹源（1985-）男，江西贛人，講師，博士。主要研究方向：網絡與信息安全、網絡脆弱性分析。