基于動態(tài)博弈的粗糙網絡安全分析模型

張 晶，李 艷

(西安建筑科技大學管理學院，西安710055)

1 概述

信息化概念的全球化擴展和普及，使得“信息”成為了具有經濟價值的資源，同時隨著互聯(lián)網等計算機處理技術的飛速發(fā)展，使得信息資源的全球化利用成為了可能，但網絡入侵行為的簡單化和智能化使得信息所有方和信息使用方的所有權關系發(fā)生了改變，而且這一轉變似乎具有不可逆轉的趨勢，由此產生的信息安全問題成為了當前的關注焦點。在網絡安全技術的發(fā)展初期，以靜態(tài)被動防御措施為主，隨著入侵技術的普及和發(fā)展，這種防御手段缺乏主動能力的缺陷越來越突出。建立主動的防御安全體系［1］，通過態(tài)勢感知、風險評估、安全檢測等手段來實施主動防御成為了目前網絡安全技術的戰(zhàn)略目標。

文獻［2］對國內外當前的主動網絡安全測評技術進行了詳細的分析和總結，而攻擊圖模型［3-4］、特權圖模型［5-6］、高級隨機模型［7-8］等技術試圖全面模仿攻擊方的攻擊行為，通過模型檢測的方式進行定性分析，進而對當前網絡存在的可能漏洞和風險進行防御，這種攻擊模型的刻畫方式試圖從攻擊一方的有限行為分析來提供安全狀態(tài)結果，存在著很大的局限性。文獻［9-10］對安全成本評估及攻防投資回報等提供了很好的研究思路，文獻［11-12］也從不同的角度對網絡安全量化分析做出了卓有成效的探討。

文獻［13-14］從網絡連接關系和實體之間的交互過程出發(fā)，將粒度細化到了部件主體級，同時結合粗糙圖的基本理念，提出了一種粗糙網絡攻擊分析模型，使得攻擊分析結果和安全建議更加合理。但是上述網絡攻擊模型大部分都是從攻擊者一個單方面的角度出發(fā)，對固定拓撲結構和一方攻擊問題進行模擬，而網絡入侵過程一定是攻擊方、正常用戶、防御方(安全管理員)等的多方行為，這種“策略相互依存”的理念［15］是網絡安全決策模型分析的理論基礎。文獻［16］使用不完全信息重復博弈方法對攻擊和防御雙方的行為進行了建模，文獻［17］使用隨機博弈的方法得出了攻防各方的最優(yōu)策略及納什均衡，文獻［18］將完全信息靜態(tài)博弈應用到DDoS的分析與設計上取得了一定的效果，文獻［19］提出了基于博弈論的入侵推理模型，為網絡安全的博弈分析做出了進一步的探討。

在實際網絡環(huán)境中，由于知識類型、參與程度等方面的限制，無論是攻防雙方是正常的使用用戶，對當前網絡的認知都存在著一定程度的粗糙性，因此，本文在前述研究成果的基礎上，結合攻擊粗糙圖和動態(tài)博弈理論提出一種新的粗糙網絡安全分析模型(RNSAM)，該模型以部件粗糙訪問關聯(lián)圖為基礎，刻畫了某一時刻網絡拓撲結構狀態(tài)下網絡部件主體之間的粗糙訪問關系。通過對攻擊者的攻擊策略集，防御者的防御策略集在知識域類型空間上的粗糙刻畫來反映攻防過程中的決策機制。同時給出攻擊策略選取算法，指出在當前網絡連接狀態(tài)和攻防雙方的知識水平下的最優(yōu)防御策略。

2 RNSAM模型

在整個網絡攻防的周期過程內，攻擊者可以采取多種攻擊方式，調整攻擊參數(shù)，同時防御者也可以設置或者調整防御策略，因此可以將整個過程看作是一個多階段不完全信息博弈過程［20］。同時攻防雙方對某一個服務器的攻擊和防御都是在服務器上的某一應用程序或服務級別上的，因此，本文仍然采用”安全依賴關系”的概念，在部件級別上來刻畫網絡連接關系和攻防雙方知識水平的粗糙性，并在此基礎上進行分析，下面給出相關定義。

定義1部件主體為一個二元組C=(n，s)，表示一個部件C在網絡節(jié)點n上提供的一個服務s，攻擊者的攻擊過程就是通過部件主體之間的連接來完成的。

定義2部件主體間的權限關系為一個三元組Cp=(Cxi，Cyj，P)，表示在節(jié)點 x 上的部件主體 i在節(jié)點y的部件主體j上擁有P的權限。

定義3部件主體之間的鏈路連接關系為一個三元組 Cl=(Cxi，Cyj，L)，表示在節(jié)點 x上的部件主體i在節(jié)點y的部件主體j上擁有連接關系集L，這里的L特指部件之間的普通網絡連接關系集合，如:網絡連接關系和服務發(fā)布方式等。

定義4部件主體之間的訪問關系在有向圖中表示為一個帶有連接弧的有向邊［14］eak(Cxi:Cyj)=(Cxi，Cyj，Cp，Cl)，其中，k∈［1，+ ∞］為相同 2 個部件之間不同連接的索引標識;α為方向屬性，若弧帶正方向，即α=+則e+k(Cxi:Cyj)表示節(jié)點x上的部件主體i在節(jié)點y的部件主體j上具有Cp的訪問權限，同時具有Cl的連接關系，此時稱Cxi為e+k(Cxi:Cyj)的頭，Cyj為e+k(Cxi:Cyj)的尾;若弧帶負方向，即α=-則含義相反。

通過上述4個定義，可以將物理鏈路表達的網絡拓撲關系轉換成基于部件主體的邏輯連接關系。如圖1所示，其可以簡單描述為網絡節(jié)點A上的部件主體m對網絡節(jié)點B的部件主體i，j分別具有某種訪問關系。

圖1 部件網絡連接關系

定義5部件粗糙連接圖為一個四元組CRCG=(N，C，E，?)。其中，N=(n1，n2，…，nm)代表網絡中獨立的網絡節(jié)點集合;C是當前節(jié)點所擁有的部件主體的集合;E=∪eak(Cxi:Cyj)代表部件主體之間的權限和所有的連接關系的集合;?=(r1，r2，…，r|?|)是由權限或者其他連接關系所構成的不同的屬性集合，且?中包含(Cxi:Cyj)，即屬性集R是和有向邊上部件主體相關聯(lián)的。

這樣對于E上的不同連接關系屬性集R??，E中的邊可以分為不同的等價類，根據粗糙圖的基本定義，可以用以下2個精確圖來定義部件粗糙連接圖CRCG。

這里通過定義5來描述部件主體間連接關系的粗糙性。

如圖2所示，位于網絡節(jié)點A上的部件主體m對位于網絡節(jié)點B上的部件主體DB和FTP具有訪問權限，假設和DB之間的連接方式有3種(IDriver方式，JDBC的thin方式和JDBC的OCI8方式)，則部件m和部件DB之間的連接論域圖如圖2(a)所示(每條虛線代表一種連接方式)，即={IDriver，JDBC-thin，JDBC-OCI8}，由于防火墻等限制在進行關聯(lián)時只支持JDBC的方式，即{JDBC-thin，JDBC-OCI8}其部件連接粗糙圖如圖2(b)所示?？梢钥吹较啾扔趯Σ考﨔TP連接關系的描述(圖2中的實線表示)這樣的粗糙刻畫更加準確。

圖2 部件粗糙連接圖

定義6攻擊策略集為一個三元組θA={E，?，φA}，其中，E，R的含義和定義5中的含義相同;φA表示E中的部件Cxi對部件Cyj在屬性集?的條件下所能采取的攻擊方法。攻擊策略集θA是一個粗糙集，可以使用以下2個精確圖進行刻畫:

定義7防御策略集為一個三元組θD={E，R，φD}，其中，E，?的含義和定義5中的含義相同;φD表示對于E中的部件Cxi對部件Cyj在屬性集?的條件下的攻擊所能采取的防御方法。防御策略集θD也是一個粗糙集，可以使用以下2個精確圖來進行刻畫:

網絡攻防的量化分析是國內網絡安全研究的熱點［11-13］，也是進行攻防博弈分析的基礎，攻擊策略和防御策略的細化分類將會在后續(xù)的工作中重點討論，本文主要參考文獻［21］中對攻擊策略和防御策略的分類及相關收益量化的計算方法，結合本文的前述定義對攻擊收益和防御代價定義如下:

定義8攻擊收益為 CostA=(θA，ACost)，其中，θA是定義6中所描述的攻擊粗糙集;ACost代表E中的某一部件對另一部件應用某種方法攻擊所獲取的收益。因為進行攻擊時攻擊者的收益往往要比系統(tǒng)的損失小的多，所以本文也將系統(tǒng)的損失作為攻擊者收益［21］，即 ACost=AL ×criticality×(CostI×pI+CostC×pC+CostA×pA)，其中，AL是攻擊致命度代表某類攻擊所能具有的危害程度(用0～10之間的數(shù)值來表示);criticality是攻擊目標的資源損失;CostI表示資源屬性中的完整性代價;pI表示資源對于完整性代價的偏重;CostC表示資源屬性中的機密性代價;pC表示資源對于機密性代價的偏重;costA表示資源屬性中的可用性代價，pA表示資源對于可用性代價的偏重;并且pI，pC，pA之間滿足pI+pC+pA=1的關系。

定義9防御代價為 CostD=(θD，DCost)，其中，θD為定義7中所描述的防御粗糙集;DCost代表為了防止E中的某一部件對另一部件的攻擊采取相應的防御策略時所付出的代價，即DCost=CO+CN+CR，其中，CO代表操作代價，用以表示防御者的防御操作消耗的時間和計算資源的數(shù)量;CN代表負面代價，用以表示防御策略導致系統(tǒng)無法正常工作或服務質量下降等帶來的損失;CR代表殘余損失，用以表示防御系統(tǒng)執(zhí)行防御策略后，攻擊對系統(tǒng)帶來殘余的未被消除的損失。

基于上述對部件粗糙連接圖、粗糙攻擊集、粗糙防御集及相關量化分析的定義，可以構建出粗糙攻防博弈連接圖來對網絡連接關系和攻防雙方的知識體系進行粗糙集刻畫及進一步的量化分析。粗糙攻防博弈論域圖如圖3(a)所示，在對連接關系進行粗糙處理的基礎上增加了攻擊集和防御集的描述，{a1:10}是攻擊收益量化的結果，表示針對某種連接方式采用a1攻擊方法所獲得的收益，圖3(b)表示的是攻防博弈粗糙圖及相關的量化結果;圖3(c)表示網絡部件連接圖。

圖3 粗糙攻防博弈圖

定義10RNSAM模型為一個四元組RNSAM={CRCG，U，θ，Cost}，其中，CRCG 是部件粗糙連接圖使用權限訪問和依賴關系來描述部件節(jié)點之間的粗糙連接程度;U={UA，UD}表示網絡攻防過程中的參與方的集合，根據基本假設［15］，本文假設只有攻擊者和作為系統(tǒng)管理員的防御者2個參與方;θ={θA，θD}表示攻擊粗糙策略集和防御粗糙策略集;Cost={CostA，CostD}表示2個部件節(jié)點之間的攻防量化關系結果，實際運算過程中可用量化的收益效用矩陣來表示［21］。

3 模型應用與分析

3．1 基于RNSAM模型的攻擊策略選取算法

實際的攻防過程中可能會出現(xiàn)攻擊收益和系統(tǒng)損失不相等的情況，即會出現(xiàn)非零和博弈的狀況，網絡攻防的過程中攻擊方與防御方之間的關系是非合作的和對抗性的，而且總是通過策略的實施保證自己的收益最大化，但由于攻防雙方的不確定性，在某些情況下可能不存在納什均衡，由此導致了混合策略的產生，表示網絡攻防的雙方在處理對方的未知策略時可以根據先驗知識來對對方的策略分布進行估計，也即采用混合防御策略。為了對多步攻擊及防御者的綜合行為進行刻畫，本文依托于混合策略納什均衡［22］的概念給出基于RNSAM 模型的攻擊策略選取算法。

算法 基于RNSAM模型的攻擊策略選取算法

輸入 RNSAM模型圖

輸出 可能攻擊路徑、攻擊策略及最優(yōu)防御策略

Step1通過網絡漏洞，網絡配置等自動化工具生成 RNSAM 模型，RNSAM={CRCG，U，θ，Cost}。

Step2構建攻擊策略集θA={E，?，φA}以及防御策略集 θD={E，?，φD}。

Step3運用基于粗糙圖的攻擊圖生成算法及網絡風險最大流算法生成可能攻擊路徑［14］。

Step4判斷是否滿足零和博弈條件，若“是”則轉向Step5，“否”則轉向Step7。

Step5根據定義9計算所有防御策略的防御收益λDij=∑CostD。

Step6對于每一個攻擊策略計算攻擊收益λAij=CostA-∑CostD，并生成效用矩陣。

Step7對于非零和博弈，根據定義8計算攻擊收益之和，生成攻擊收益λAij=∑CostA+AC，其中，AC代表攻擊成本用負值表示。

Step8計算防御收益λDij=∑CostA-CostD，并生成效用矩陣。

Step9如果效用矩陣λ存在鞍點，則應用純策略算法［22］求解，否則使用混合策略求解算法［22］求解。

Step10在攻擊路徑的基礎上，分析得出攻擊策略和防御策略。

Step11返回攻擊路徑θpath、攻擊策略{θA}及最優(yōu)防御策略{θD}。

3．2 實例驗證與結果分析

為了對本節(jié)中所提出的模型相關定義描述的準確性，以及算法的正確性進行驗證，說明進行網絡攻防博弈分析在網絡安全分析方面的優(yōu)勢，本文以一個實際的例子進行說明。

本文所采取的實驗網絡拓撲結構如圖4所示，攻擊者Eve位于互聯(lián)網的一個節(jié)點上，在攻擊者Eve和局域網之間存在著防火墻以及IDS等防護設備;局域網絡通過交換機相連，由一臺PC機和3臺服務器組成，其中DB Sever為Oracle數(shù)據庫服務器，操作系統(tǒng)為Linux系統(tǒng)，F(xiàn)ileSever操作系統(tǒng)為Windows操作系統(tǒng)，EmailServer操作系統(tǒng)為Windows操作系統(tǒng)。

圖4 實驗網絡拓撲結構

其中由于網絡管理員水平的限制等原因，DB Sever存在著TNS Listener以及本機緩沖區(qū)溢出的漏洞，F(xiàn)ileSever存在著 Ftp．rhost漏洞，EmailServer存在著SMTP溢出以及Apache本地溢出漏洞。假設攻擊者的攻擊目標是位于FileServer上的File文件，通過自動化生成工具可以生成如圖5所示的實驗網絡攻防博弈論域圖，對每一個漏洞有很多的攻擊方法(其中實線代表正常的訪問連接關系，點線或者虛線代表攻擊關系)，但是由于攻擊者的能力所限，只能使用一些典型攻擊方法來進行攻擊，則攻擊集 θA={a1，a2，a3，a4，a5，a6}，其中，a1代表以普通用戶的身份進行登陸;a2代表以管理員的身份進行登錄;a3代表通過溢出攻擊來對DB服務器的攻擊;a4代表針對Ftp．rhost漏洞的專用工具攻擊;a5代表ApacheChunk攻擊;a6代表垃圾郵件攻擊。防御集θD={d1，d2，d3，d4，d5}其中 d1代表登錄賬號修改;d2代表針對漏洞進行補丁升級;d3代表關閉服務;d4代表關閉FTP進程;d5代表Email端口關閉。這樣結合表1的量化結果，即可得到如圖6所示的網絡攻防博弈粗糙圖。

圖5 攻防博弈論域圖

表1 攻防方式及量化結果

圖6 攻防博弈粗糙圖

實驗網絡的攻防博弈粗糙圖可以用圖7的弧目錄形式來表示。通過對攻防博弈下近似粗糙圖的分析可以得到Eve的攻擊路徑有3條。第1條攻擊路徑序列為(a1或 a2，a5，a4)，即 Eve通過管理員用戶或者正常用戶登錄后，假冒 USER2使用 Apache Chunk進行攻擊進而控制Apache，再通過Ftp．rhost漏洞的專用工具取得File的訪問權限;第2條攻擊路徑序列為(a1，a5，a4)，即Eve通過正常用戶登錄后，假冒USER1使用Apache Chunk進行攻擊進而控制Apache，再通過Ftp．rhost漏洞的專用工具取得File的訪問權限;第3條攻擊路徑序列為(a1，a3，a4)即Eve通過正常用戶登錄后，假冒USER1使用溢出攻擊來對DB服務器的攻擊，進而通過Ftp．rhost漏洞的專用工具取得File的訪問權限。

圖7 實驗網絡攻防博弈粗糙圖的弧目錄表示形式

在攻防策略和攻擊路徑確定后，需要根據攻防代價及基于RNSAM模型的攻擊策略選取算法來實現(xiàn)最優(yōu)防御策略選擇的過程。為了簡化分析，本文采用零和非合作攻防博弈模型來進行分析，從而僅需計算防御代價即可。根據表1的量化數(shù)值結果及攻擊和防御代價的計算公式可得到如下所示的攻防博弈收益矩陣，其中，A1，A2，A3代表3條攻擊路徑;D1，D2，D3，D4代表陣地每一條攻擊路徑所能采取的防御策略組合。

文獻［22］已經證明了實驗中的有限博弈一定會有一個均衡點，應用3．1節(jié)定義的算法可以得到一個 Nash 均衡:pa={2/11，9/11，0}，pd={0，32/85，13/85，40/85}，即對于攻擊者Eve來其會以2/11的概率選擇第1條攻擊路徑，以9/11的概率來選擇第2條攻擊路徑;防御者會以32/85的概率選擇針對Apache進行補丁升級措施，以13/85的概率關閉Apache服務進程，以40/85的概率來暫時關閉FTP。所以對于作為管理員的防御者可以選擇D2、D4或者兩者的組合來保證位于FileServer上File的安全性。

4 結束語

隨著入侵技術的普及和簡單化，靜態(tài)被動防御的缺陷已經越來越明顯，基于攻擊圖的主動防御策略越來越受到重視，但是以往的模型大都是從攻擊者或者防御者的角度進行分析，而且對網絡的詳細連接關系和攻防雙方的知識域水平等都沒有考慮，因此，本文結合攻擊粗糙圖和動態(tài)博弈理論，提出了粗糙網絡動態(tài)博弈安全分析模型(RNSAM)，將權限關系拓展為某一時刻網絡拓撲結構狀態(tài)下網絡部件主體之間的粗糙訪問關系，攻擊策略選取算法可以描述攻防過程中的動態(tài)決策機制，并得出最優(yōu)防御策略，通過實例分析闡明了模型的應用過程，驗證了算法的效率和準確性，說明了本文模型在過程刻畫完整性及制定最優(yōu)防御策略方面的優(yōu)勢。

進一步研究工作包括:擴展模型包含時間因素，增加攻擊步時的概念(不只限于某一時刻)，探討整個攻擊演化過程中攻防雙方相互制約關系對攻擊的影響，同時進一步驗證本文算法的合理性和有效性。

［1］ 方濱興．解讀信息安全創(chuàng)新突破點［EB/OL］．［2014-04-15］．http://www．cert．org．cn/2007051823317．html．

［2］ 林 闖，汪 洋，李泉林．網絡安全的隨機模型方法與評價技術［J］．計算機學報，2005，28(12):1943-1956．

［3］ Schneier B．Secrets and Lies:Digital Security in a Networked World［M］．New York，USA:John Wiley ＆Sons，2000．

［4］ Dacier M．Towards Quantitative Evaluation of Computer Security［D］．Toulouse，F(xiàn)rance:Institute National Polytechnique de Toulouse，1994．

［5］ Ortalo R，Deswarte Y，Kaaniche M．Experimenting with Quantitative Evaluation Tools for Monitoring Operational Security［J］．IEEE Transactions on Software Engineering，1999，25(5):633-650．

［6］ Porras P A，Kemmerer R．A Penetration State Transition Analysis:A Rule-based Intrusion Detection Approach［C］//Proceedings of the 8th Annual Computer Security Applications Conference，November 30-December 4，1992，San Antonio，USA．Washington D．C．，USA:IEEE Press，1992:220-229．

［7］ Stevens F，Courtney T，Singh S，et al．Model-based Validation of an Intrusion-tolerant Information System［C］//Proceedings of the 23rd Symposium on Reliable Distributed Systems．Washington D．C．，USA:IEEE Press，2004:184-194．

［8］ Madan B，Go eva-Popstojanova K，Vaidyanathan K，et al．A Method for Modeling and Quantifyingthe Security Attributes of Intrusion Tolerant Systems［J］．Performance Evaluation，2004，56(1-4):167-186．

［9］ Mercuri R T．Security Watch:Analyzing Security Costs［J］．Communications of the ACM，2003，46(6):15-18．

［10］ Bistarelli S，F(xiàn)ioravanti F，Peretti P．Defense Trees for Economic Evaluation of Security Investments［C］//Proceedings ofthe 1st International Conference on Availability，Reliability and Security．Los Alamitos，USA:IEEE Computer Society，2006:416-423．

［11］ 馮萍慧，連一峰，戴英俠，等．面向網絡系統(tǒng)的脆弱性利用成本估算模型［J］．計算機學報，2006，29(8):1375-1382

［12］ 董 紅，邱菀華，呂俊杰．基于成本分析的入侵檢測響應模型［J］．北京航空航天大學學報，2008，34(1):39-42．

［13］ 李 艷．基于T-G保護系統(tǒng)的網絡攻擊與評價模型研究［D］．西安:西安建筑科技大學，2010．

［14］ 黃光球，李 艷．基于粗糙圖的網絡風險評估模型［J］．計算機應用，2010，30(1):190-195．

［15］ Fudenberg D，Tirole J．Game Theory［M］．Cambridge，USA:MIT Press，1991．

［16］ Burke D．Towards a Game Theory Model of Information Warfare，AFIT/GSS/LAL/99D-1［R］．Airforce Institute of Technology，1999．

［17］ Lye K W，Wing J．Game Strategies in Network Security，CMU-CS-02-136［R］．Pittsburgh，USA:School of Computer Science，Carnegie Mellon University，2002．

［18］ Xu J，Lee W．Sustaining Availability of Web Services Under Distributed Denial of Service Attacks［J］．IEEE Transactions on Computers，2003，52(4):195-208．

［19］ Liu Peng，Zang Wanyu．Incentive-based Modeling and Inference of Attacker Intent，Objectives，and Strategies［C］//Proceedings of the 10th ACM Computer and Communications Security Conference．New York，USA:ACM Press，2003:179-189．

［20］ 張少俊，李建華，陳秀真，等．基于動態(tài)博弈理論的分布式拒絕服務攻擊防御方法［J］．上海交通大學學報，2008，42(2):198-201．

［21］ 姜 偉，方濱興，田志宏，等．基于攻防博弈模型的網絡安全測評和最優(yōu)主動防御［J］．計算機學報，2009，32(4):817-827．

［22］ Robert G．A Primer in Game Theory［M］．New York，USA:Pearson Higher Education，1992．