基于免疫的網(wǎng)絡(luò)環(huán)境威脅變化感知與動(dòng)態(tài)風(fēng)險(xiǎn)控制研究

◆朱俊霏 亢碩 李璞 賴鳳麟

（中國電子科技集團(tuán)公司第三十研究所 四川 610041）

2002年國際著名學(xué)者Staniford曾經(jīng)描述了一種能在30秒內(nèi)對(duì)全球互聯(lián)網(wǎng)發(fā)起攻擊的網(wǎng)絡(luò)蠕蟲[1]。一項(xiàng)來自中國信息安全重點(diǎn)實(shí)驗(yàn)室的統(tǒng)計(jì)資料顯示，全世界惡意代碼已超過1,100萬個(gè)，而且70%的惡意代碼能夠竊取機(jī)密信息，2015年增加到2.33億個(gè)，每小時(shí)會(huì)有26,598個(gè)新病毒需要處理。另一項(xiàng)來自國家互聯(lián)網(wǎng)應(yīng)急中心的資料顯示，僅2014年上半年，中國境內(nèi)625萬臺(tái)電腦感染了木馬病毒；境外的1.9萬臺(tái)主機(jī)，控制了我國境內(nèi)619萬臺(tái)電腦，同比2013年增加10.2%。專家稱我國面臨嚴(yán)重的境外網(wǎng)絡(luò)攻擊威脅，信息安全狀況不容樂觀[2]。

在真實(shí)的網(wǎng)絡(luò)環(huán)境下，網(wǎng)絡(luò)外部環(huán)境異常復(fù)雜、尖銳，瞬息萬變。顯然，采取一成不變、被動(dòng)的防御策略，非常危險(xiǎn)。采取積極主動(dòng)的、能依據(jù)外部網(wǎng)絡(luò)環(huán)境威脅變化主動(dòng)調(diào)整防御策略的網(wǎng)絡(luò)安全防御方法才是正解，其中的關(guān)鍵是要及時(shí)了解當(dāng)前網(wǎng)絡(luò)外部環(huán)境的威脅變化，沒有及時(shí)、準(zhǔn)確的網(wǎng)絡(luò)外部環(huán)境的威脅變化分析，也就無法及時(shí)制定出有針對(duì)性的網(wǎng)絡(luò)安全防御策略，從而喪失網(wǎng)絡(luò)防御中的主動(dòng)權(quán)，從而陷入被動(dòng)防御的不利局面[3]。

受生物免疫系統(tǒng)的啟發(fā)，研究一種基于免疫的網(wǎng)絡(luò)外部環(huán)境威脅變化實(shí)時(shí)定量感知與風(fēng)險(xiǎn)控制的理論模型及實(shí)現(xiàn)技術(shù)[4]，用以提高網(wǎng)絡(luò)安全防御系統(tǒng)的自適應(yīng)能力，因而及時(shí)掌握當(dāng)前網(wǎng)絡(luò)安全的總體態(tài)勢(shì)，靈活地依據(jù)當(dāng)前網(wǎng)絡(luò)環(huán)境威脅的變化采取不同的、有針對(duì)性的防御策略，能有效提高網(wǎng)絡(luò)的整體安全性[5]。

1 基于免疫的網(wǎng)絡(luò)環(huán)境威脅變化感知與動(dòng)態(tài)風(fēng)險(xiǎn)控制系統(tǒng)原理分析

基于分布式和免疫的網(wǎng)絡(luò)環(huán)境威脅變化感知與動(dòng)態(tài)風(fēng)險(xiǎn)控制系統(tǒng)的體系架構(gòu)、工作機(jī)理及實(shí)現(xiàn)技術(shù)等。主要包括以下幾個(gè)方面內(nèi)容：

1.1 系統(tǒng)的體系架構(gòu)及實(shí)現(xiàn)策略

為了能夠感知宏觀網(wǎng)絡(luò)的環(huán)境威脅和風(fēng)險(xiǎn)值，需要逐級(jí)感知網(wǎng)絡(luò)環(huán)境中主機(jī)、子網(wǎng)、區(qū)域網(wǎng)絡(luò)直至整體網(wǎng)絡(luò)的威脅及風(fēng)險(xiǎn)，以及基于免疫agent（Immune Agent，IA）的分布式體系架構(gòu)。

1.2 系統(tǒng)的實(shí)現(xiàn)

系統(tǒng)主要包括網(wǎng)絡(luò)威脅發(fā)現(xiàn)模塊，網(wǎng)絡(luò)環(huán)境威脅變化感知模塊，動(dòng)態(tài)風(fēng)險(xiǎn)控制模塊，其中網(wǎng)絡(luò)威脅發(fā)現(xiàn)模塊包括特征空間劃分模塊、抗原特征提取模塊、自體動(dòng)態(tài)演化模塊、檢測(cè)器生成模塊以及檢測(cè)器匹配模塊[6]；網(wǎng)絡(luò)環(huán)境威脅變化感知模塊包括網(wǎng)絡(luò)資產(chǎn)評(píng)估模塊、網(wǎng)絡(luò)攻擊危險(xiǎn)性評(píng)估模塊、抗體濃度計(jì)算模塊、風(fēng)險(xiǎn)計(jì)算模塊、攻擊日志記錄模塊以及風(fēng)險(xiǎn)日志記錄模塊[7]；動(dòng)態(tài)風(fēng)險(xiǎn)控制模塊包括防御分析模塊、防御策略調(diào)整模塊、風(fēng)險(xiǎn)控制模塊以及知識(shí)庫[8]。

1.3 系統(tǒng)的部署方式

系統(tǒng)的部署方式采取傳感器網(wǎng)絡(luò)的基本架構(gòu)來實(shí)現(xiàn)整個(gè)系統(tǒng)在目標(biāo)網(wǎng)絡(luò)上的部署：首先在目標(biāo)主機(jī)上部署一系列的主機(jī)威脅感知與風(fēng)險(xiǎn)控制器（主機(jī)免疫agent），在網(wǎng)關(guān)上部署一個(gè)網(wǎng)絡(luò)威脅感知與風(fēng)險(xiǎn)控制中心（網(wǎng)絡(luò)免疫agent），所有這些部署在網(wǎng)絡(luò)中不同地方的免疫agent共同作用，通過逐級(jí)感知計(jì)算網(wǎng)絡(luò)環(huán)境中主機(jī)、子網(wǎng)、區(qū)域網(wǎng)絡(luò)直至整體網(wǎng)絡(luò)的威脅及量化的風(fēng)險(xiǎn)值[9]，并通過該風(fēng)險(xiǎn)值動(dòng)態(tài)調(diào)整主機(jī)、網(wǎng)絡(luò)的防御策略，從而組成一個(gè)分布式的網(wǎng)絡(luò)環(huán)境威脅變化感知與動(dòng)態(tài)風(fēng)險(xiǎn)控制系統(tǒng)。

2 基于免疫的網(wǎng)絡(luò)環(huán)境威脅變化感知與動(dòng)態(tài)風(fēng)險(xiǎn)控制系統(tǒng)構(gòu)建

2.1 系統(tǒng)的架構(gòu)

基于免疫的網(wǎng)絡(luò)環(huán)境威脅變化感知與動(dòng)態(tài)風(fēng)險(xiǎn)控制系統(tǒng)采用基于免疫agent（Immune Agent，IA）、分布式的體系架構(gòu)來構(gòu)建[10]。首先利用面向?qū)ο蟮幕舅枷雽?duì)網(wǎng)絡(luò)和主機(jī)進(jìn)行抽象和封裝，將主機(jī)看成是一個(gè)網(wǎng)絡(luò)最基本的單位，或者說最簡單的一種網(wǎng)絡(luò)（只有一臺(tái)機(jī)器），進(jìn)而統(tǒng)一宏觀網(wǎng)絡(luò)、區(qū)域網(wǎng)絡(luò)、子網(wǎng)、以及主機(jī)的威脅感知與風(fēng)險(xiǎn)控制系統(tǒng)的基本形式，這樣做的好處是：邏輯、概念清晰，對(duì)面向主機(jī)和面向網(wǎng)絡(luò)的系統(tǒng)均可采取同樣的實(shí)現(xiàn)方式。

具體做法是將網(wǎng)絡(luò)威脅感知與風(fēng)險(xiǎn)控制系統(tǒng)封裝成一個(gè)對(duì)象，并用免疫agent的思路去實(shí)現(xiàn)，關(guān)于免疫agent的具體實(shí)現(xiàn)方法，國內(nèi)外已有一些研究，茲不贅述。我們把這種部署在主機(jī)上的免疫agent稱作主機(jī)免疫agent，把部署在網(wǎng)關(guān)上的免疫agent稱作網(wǎng)絡(luò)免疫agent（有時(shí)候我們又將其稱為網(wǎng)絡(luò)威脅感知與風(fēng)險(xiǎn)控制中心），它們均具有兩個(gè)同樣的功能：（1）網(wǎng)絡(luò)環(huán)境威脅感知，（2）動(dòng)態(tài)風(fēng)險(xiǎn)控制。所不同者，主機(jī)免疫agent主要針對(duì)單個(gè)的主機(jī)，網(wǎng)絡(luò)免疫agent主要針對(duì)整個(gè)網(wǎng)絡(luò)，包括其管轄的所有主機(jī)和子網(wǎng)。

圖1是該系統(tǒng)體系架構(gòu)示意圖，圖中的免疫agent可能是主機(jī)免疫agent或網(wǎng)絡(luò)免疫agent，分別對(duì)應(yīng)主機(jī)或子網(wǎng)的威脅感知與風(fēng)險(xiǎn)控制。如前所述，所謂網(wǎng)絡(luò)環(huán)境威脅感知，其主要工作是對(duì)網(wǎng)絡(luò)或主機(jī)當(dāng)前面臨攻擊時(shí)的動(dòng)態(tài)風(fēng)險(xiǎn)進(jìn)行實(shí)時(shí)定量的評(píng)估，其中，主機(jī)動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)估的主要依據(jù)是主機(jī)正在遭受的攻擊，而網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估的主要依據(jù)是其中的每個(gè)節(jié)點(diǎn)（包括主機(jī)和子網(wǎng)）的動(dòng)態(tài)風(fēng)險(xiǎn)，以及每個(gè)節(jié)點(diǎn)在網(wǎng)絡(luò)中的重要性等。所謂動(dòng)態(tài)風(fēng)險(xiǎn)控制，其主要工作是依據(jù)網(wǎng)絡(luò)或主機(jī)的當(dāng)前網(wǎng)絡(luò)環(huán)境威脅風(fēng)險(xiǎn)等級(jí)指標(biāo)動(dòng)態(tài)調(diào)整其防御策略、進(jìn)行有針對(duì)性的防御，以達(dá)到控制風(fēng)險(xiǎn)的目的。其中，主機(jī)動(dòng)態(tài)風(fēng)險(xiǎn)控制策略主要針對(duì)主機(jī)，而網(wǎng)絡(luò)動(dòng)態(tài)風(fēng)險(xiǎn)控制策略主要針對(duì)網(wǎng)絡(luò)。簡單地說，就是主機(jī)控制主機(jī)的風(fēng)險(xiǎn)，網(wǎng)絡(luò)控制網(wǎng)絡(luò)的風(fēng)險(xiǎn)，這樣分別同時(shí)進(jìn)行，以達(dá)到迅速控制整個(gè)網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險(xiǎn)的目的。

圖1基于免疫的網(wǎng)絡(luò)環(huán)境威脅變化感知與動(dòng)態(tài)風(fēng)險(xiǎn)控制體系架構(gòu)

2.2 系統(tǒng)的實(shí)現(xiàn)

基于免疫的網(wǎng)絡(luò)環(huán)境威脅變化感知與動(dòng)態(tài)風(fēng)險(xiǎn)系統(tǒng)，如下圖2所示，主要包括管理層、通信層、處理層、和硬件層（專用高速網(wǎng)絡(luò)處理平臺(tái)）等部分組成。通過基于免疫的網(wǎng)絡(luò)環(huán)境感知與動(dòng)態(tài)風(fēng)險(xiǎn)控制系統(tǒng)可實(shí)時(shí)定量地刻畫宏觀網(wǎng)絡(luò)、區(qū)域網(wǎng)絡(luò)、子網(wǎng)、以及主機(jī)等面臨某一種攻擊以及所有攻擊的單一風(fēng)險(xiǎn)以及整體綜合風(fēng)險(xiǎn)，并能依據(jù)當(dāng)前網(wǎng)絡(luò)面臨的風(fēng)險(xiǎn)等級(jí)主動(dòng)調(diào)整相應(yīng)的防御策略，進(jìn)行有針對(duì)性的防御。

圖2基于免疫的網(wǎng)絡(luò)環(huán)境威脅變化感知與動(dòng)態(tài)風(fēng)險(xiǎn)系統(tǒng)體系架構(gòu)圖

2.3 系統(tǒng)的部署

基于免疫的網(wǎng)絡(luò)威脅變化感知與動(dòng)態(tài)風(fēng)險(xiǎn)控制系統(tǒng)在具體部署時(shí)，我們采取傳感器網(wǎng)絡(luò)的基本架構(gòu)來實(shí)現(xiàn)整個(gè)系統(tǒng)在目標(biāo)網(wǎng)絡(luò)上的部署：首先在目標(biāo)主機(jī)上部署一系列的主機(jī)威脅感知與風(fēng)險(xiǎn)控制器（主機(jī)免疫agent），在網(wǎng)關(guān)上部署一個(gè)網(wǎng)絡(luò)威脅感知與風(fēng)險(xiǎn)控制系統(tǒng)（網(wǎng)絡(luò)威脅感知與風(fēng)險(xiǎn)控制中心，簡稱網(wǎng)絡(luò)免疫agent），所有這些部署在網(wǎng)絡(luò)中不同地方的免疫agent共同作用，從而組成一個(gè)分布式的網(wǎng)絡(luò)環(huán)境威脅變化感知與動(dòng)態(tài)風(fēng)險(xiǎn)控制系統(tǒng)，圖3是該系統(tǒng)的一個(gè)典型應(yīng)用部署場景。

圖3典型應(yīng)用部署場景

3 總結(jié)

由于缺乏實(shí)時(shí)定量的網(wǎng)絡(luò)外部環(huán)境威脅變化感知方法，傳統(tǒng)網(wǎng)絡(luò)安全防御策略的制定基本上都是依據(jù)對(duì)網(wǎng)絡(luò)過去的安全事件的一個(gè)大致描述，從而導(dǎo)致現(xiàn)階段只能依據(jù)歷史經(jīng)驗(yàn)來進(jìn)行被動(dòng)防御：按照過去的經(jīng)驗(yàn)或教訓(xùn)采取一種或幾種固定的安全手段作為相應(yīng)的防護(hù)措施。這種安全方案在很大程度上僅針對(duì)固定的威脅和環(huán)境弱點(diǎn)，具有較大的盲目性和被動(dòng)性，不能適應(yīng)日益復(fù)雜、多變、矛盾尖銳的真實(shí)網(wǎng)絡(luò)環(huán)境。

對(duì)此，研究一種新的、基于網(wǎng)絡(luò)環(huán)境威脅變化的網(wǎng)絡(luò)動(dòng)態(tài)風(fēng)險(xiǎn)控制方法，通過網(wǎng)絡(luò)環(huán)境威脅變化感知、動(dòng)態(tài)風(fēng)險(xiǎn)控制策略知識(shí)庫、動(dòng)態(tài)風(fēng)險(xiǎn)控制引擎等一系列的創(chuàng)新，解決了傳統(tǒng)網(wǎng)絡(luò)安全防御系統(tǒng)不能“依據(jù)當(dāng)前網(wǎng)絡(luò)環(huán)境威脅變化進(jìn)行主動(dòng)、有針對(duì)性的防御”這一長期困擾國內(nèi)外網(wǎng)絡(luò)安全專家的技術(shù)難題，極大地提高了網(wǎng)絡(luò)系統(tǒng)在復(fù)雜應(yīng)用環(huán)境下的生存能力。該項(xiàng)成果，對(duì)建立一種新的、積極主動(dòng)的網(wǎng)絡(luò)安全防御系統(tǒng)，掌握網(wǎng)絡(luò)防御中的主動(dòng)權(quán)，改變傳統(tǒng)網(wǎng)絡(luò)安全系統(tǒng)的被動(dòng)防御局面等方面具有十分重要的理論意義和實(shí)際應(yīng)用價(jià)值。