面向網絡安全智能防護的安全決策要素分析

中國人民解放軍63891部隊 王震 劉義 秦富童 劉喆

網絡安全已經成為當前熱點，對網絡安全的防護也成為了重中之重。網絡安全的智能防護，需要智能決策的支持，而實現智能安全決策，需要對安全決策進行詳細的要素分析。本文從三個方面就安全決策要素進行了分析，為網絡安全智能防護提供了有力保障。

網絡安全已經逐漸滲透到生活的方方面面，其重要性已逐漸凸顯。就目前的網絡防護手段而言，大體逃不過兩種方式：（1）在軟件開發階段引入各種規范，加強系統的安全性，減少攻擊面；（2）通過縱深防御的方式在網絡的各個層面加強安全性，如：加密、訪問控制、防火墻、入侵檢測等[1]。然而這種靜態的防御方式已經滿足不了日益復雜的網絡環境。若想對網絡安全進行防護，首先要解決安全防護決策的問題[2]，因此需要對安全決策要素進行詳細分析。

1 安全決策目標分析

隨著互聯網時代的到來以及物聯網的發展，人們的生活與網絡聯系越來越緊密，網絡的安全關系到眾多互聯網用戶的人身財產安全、個人信息安全以及互聯網公司和其他機構利益甚至與國家安全有關[1-4]。因此，對網絡安全的研究變得越來越重要。

從需求分析可知，威脅攻擊或存在脆弱性會給保護對象帶來直接或間接的安全威脅[5]。不同的攻擊方式，帶來的攻擊威脅各不相同。因此，需要我們從多個方面來對安全目標進行分解。如圖1所示，一個安全目標可以分解為保密性、完整性、可用性、抗抵賴性、可控性等多個安全維度，每個安全維度又對應了安全目標的多個方面，如：物理和環境安全、網絡和通信安全、設備和計算安全、應用和數據安全等。

圖 1 安全目標分解圖Fig.1 Exploded view of security objectives

2 決策信息分析

網絡安全智能防護的所有資產都受到態勢感知的持續監控，感知信息作為智能決策系統的安全信源。根據申農通信模型，這里信源并非單純是一個包含任何信息的感知安全信息狀態變化的集合，而是一個感知信息處理后經篩選的有意義的且可用于決策的信息集合[6]。

輸入轉化處理模塊匯總和形式化感知系統的安全態勢信息、威脅事件信息和環境信息。各類信息安全要素需要在整個安全事件中體現，需要從應用層、網絡層、物理層等多個方面進行歸納總結。最終轉化為安全狀態向量集，為智能決策提供輸入支撐。

通過對網絡安全智能防護進行有向圖的實時構建完成對所有保護對象的安全屬性的狀態變化的監測。如圖2所示，感知信息I由轉換輸入模塊進行形式化轉換，轉換為對所有保護對象的安全屬性的實時狀態。資產信息轉換為上述不同節點和屬性列表信息，資產間關系信息轉換為上述不同邊和邊的屬性列表信息，從而完成狀態向量S的形式化轉換。

圖2 狀態向量集Fig.2 State vector set

針對所有保護對象的安全屬性的狀態變化的監測。由于在網絡安全智能防護中安全等級保護對象的集合眾多，我們定義了一個保護對象的函數表達式如式（1）所示：

其中，S為安全狀態信息；vi表示第i個保護對象，n為保護對象總數，這里保護對象不僅包括服務器等物理實體，而且包括服務器中具體服務等不同形態的組成部分。

安全決策是一個從感知信息到狀態向量集的威脅認知過程，其決策依據是：威脅攻擊者在進行攻擊時所產生前兩種信息和必要的環境信息。

威脅攻擊信息轉化為保護對象的威脅性，包括OSI各層的攻擊狀態和攻擊特征。由感知系統通過數據融合和關聯分析實現攻擊行為預測，決策系統需要制定反擊策略。系統缺陷信息轉化為保護對象的脆弱性，包括漏洞、配置等風險評估。感知系統給出目標系統存在的漏洞的信息后，決策系統用于推斷目標系統安全狀況，需要給出對目標系統的修補措施。保護對象所處的環境信息轉化為拓撲，包括所有對象的拓撲關系和安全資源節點。決策系統根據這些信息選擇最優的安全服務節點提供安全防護。決策系統針對輸入信息進行決策輸出針對特定威脅的反擊策略、目標系統的補救措施和安全服務節點信息，由輸出轉換模塊進行轉換為下面的決策方案。

3 決策方案分析

決策方案是給出了系統進行防護的方法，可以給出攻擊預防和攻擊問題解決等多種方案。我們將決策方案分為聯動動作集和分解動作集兩部分。

3.1 分解動作集描述

適用于網絡安全測試環境的安全防護模型的安全模型P3DR2模型中的安全策略，雖然將各安全周期聯系在了一起，但其粒度過大，需要支持不同類型的安全產品定義其特有的策略。這里策略定義為對某一防護目標的具體應對方法，可數學表示為如式（2）所示：

其中：Vs是策略實施的對象，包括網絡安全智能防護中的安全設備和服務，如防火墻、IDS、IPS、VPN、網絡安全審計、堡壘機、漏洞掃描、主機殺毒軟件等。

F(A×P)為安全防護系統的具體動作集，包括，A采用結構化數據形式對“應對措施”進行規范化的可操作的描述，用于自動實施的安全規則行為Action；其中P是策略實施的技術參數，定義自動化的策略分解。自動安全策略分解所獲得分解動作表示為A={a1,a2,a3,…at,…an}，其中at→Vts(Vts∈Vs)規定了響應安全節點集Vts所執行同一動作at。

O(Vo×C)為安全防護目標集，包括Vo和C。Vo是安全等級保護對象的集合，可以是安全域、子網、主機、組件、數據、網絡數據包、密碼算法、密鑰文件、進程、帳號等被保護的系統級對象，按等級保護分物理和環境、網絡和通訊、設備和計算、應用和數據4大類；C是保護對象的安全屬性集，如在配置錯誤或存在漏洞等。

上述數學表示輸出為安全策略規則，這里定義一條安全策略規則時需要包含的要素（稱為規則元素）包括：

（1）規則模式元素Modality為策略執行權限，主要包括了義務O＋、抑制O－、肯定授權A＋、否定授權A－4種；

（2）這里主要執行安全規則的主體Subject，即策略實施的對象；

（3）受安全規則控制的目標Target，即安全防護目標集；

（4）觸發安全規則執行的事件Event，即安全屬性，如配置錯誤、存在漏洞、數據包到達、系統啟動等；

（5）定義的安全規則行為Action，即安全防護系統的具體動作集；

（6）定義的使安全規則生效的條件Condition，即執行參數，主要包括各類約束等。

分別用Modality、Subject、Target、Event、Action、Condition，因此，我們將安全規則形式化表示為如式(3)所示：

PolicyRule: Modality×Target×Event→

Subject×Action×Condition（3）

3.2 聯動動作集描述

聯動動作集D表示為一組安全動作的集合D= {d1,d2,…}。劃分集合的標準不同，構成的聯動動作集可能就不同。安全動作包括加密動作、訪問控制動作、授權動作、防病毒動作、入侵檢測動作、漏洞掃描動作等，有關劃分集合的標準和具體分類信息詳見知識庫的描述。

當前網絡威脅行為日新月異，攻擊方式更加復雜多變[7]。面向一個特定防護目標，把一個策略集D劃分為攻擊鏈7個階段的子策略，在分階段內自動化建立分解動作T，問題得以簡化，通過分解動作的邏輯運算得到聯動動作集。通過攻擊鏈描述安全周期中各個階段的安全防護操作。策略協同包括安全策略的協同、網絡流量控制和安全資源的協同。

（1）安全資源的協同：是指在發揮安全功能的資源池中的資源如何生成、何時生成、何時擴容、如何擴容等。特別是在云信息系統中通過Hypervisor生成虛擬化的資源，資源管理的編排可實現的功能更多更復雜；

（2）安全策略的協同：是指向相應的安全設備、安全服務等下發相應的動作規則；

（3）網絡流量控制的協同：是指為了通過流量動態調度實現服務鏈，即多安全設備的串接、并聯等網絡功能。

這里聯動動作集包括設備安全策略、用戶安全策略、數據庫安全策略、服務器安全策略、系統安全策略、網絡安全策略等。從關注點分類主要分為4個方面：（1）面向設備的安全策略方法；（2）面向系統的安全策略方法；（3）面向應用的安全策略方法；（4）面向網絡安全的安全策略方法。同分解動作，聯動動作集包括：

（1）策略模式為策略執行權限，分為授權策略、義務策略、委托策略；

（2）可以通多事件觸發的安全策略、時間觸發的安全策略、周期觸發的安全策略等多種方式進行策略觸發；

（3）策略編號，編號見知識庫中描述，即策略樹模型中的T。通過制定相應的策略，增強相應的加密策略，定制訪問控制策略的范疇。

4 總結

本文面向網絡安全智能防護的實際需求，從安全決策目標分析、安全決策信息分析和安全決策方案分析三個方面對智能防護中的安全決策要素進行了詳細分析，為安全防護決策提供了有力支撐。

引用

[1]張帆.網絡安全漏洞治理的經濟學研究[D].長沙:國防科技大學,2020.

[2]鄭瑞剛,許暖,韓志峰.一種自適應安全防護技術實現[J].信息技術與信息化,2020(12):178-180.

[3]黃霞.互聯網網絡安全威脅及策略分析[J].無線互聯科技,2022, 19(3):15-16.

[4]張興,韓冬,曹光輝,等.基于PRESENT算法的RFID安全認證協議[J].通信學報,2015,36(S1):65-74.

[5]姜海濤,郭雅娟,陳昊,等.基于狀態機的移動應用越權訪問漏洞檢測方法[J].南京理工大學學報,2017,41(4):434-441.

[6]王秉,吳超.安全信息—安全行為(SI—SB)系統安全模型的構造與演繹[J].情報雜志,2017,36(11):41-49+98.

[7]何志鵬,劉鵬,王鶴.網絡威脅情報標準化建設分析[J].信息安全研究,2021,7(6):503-511.