基于攻防混沌度邊界預(yù)警機(jī)制的網(wǎng)絡(luò)安全存儲(chǔ)算法研究

蔣慶良，王兆龍

?

基于攻防混沌度邊界預(yù)警機(jī)制的網(wǎng)絡(luò)安全存儲(chǔ)算法研究

*蔣慶良1，王兆龍2

(1. 安徽文達(dá)信息工程學(xué)院電子工程學(xué)院，安徽，合肥 231201；2. 安徽城市管理職業(yè)學(xué)院信息工程系，安徽，合肥 231635)

考慮到當(dāng)前網(wǎng)絡(luò)安全存儲(chǔ)算法普遍存在的防御策略集收斂性不足，抗攻擊性能差的難題，提出了一種基于攻防混沌度邊界預(yù)警機(jī)制的網(wǎng)絡(luò)安全存儲(chǔ)算法。根據(jù)網(wǎng)絡(luò)供給側(cè)進(jìn)行混沌度邊界建模（網(wǎng)絡(luò)供給側(cè)-需求側(cè)邊界預(yù)警模型），提高安全邊界對(duì)攻擊集合的匹配程度，增強(qiáng)防御資源的合理利用；隨后，基于防御資源需要?jiǎng)討B(tài)攻擊集合的問題，引入馬爾科夫邊界攻擊者集合收斂機(jī)制，實(shí)現(xiàn)對(duì)最高強(qiáng)度-次高強(qiáng)度攻擊行為的兩次預(yù)警，有效提升網(wǎng)絡(luò)安全防御的納什均衡解，進(jìn)一步降低了防御成本，從而提高了網(wǎng)絡(luò)的安全存儲(chǔ)性能。仿真實(shí)驗(yàn)表明，相比于當(dāng)前網(wǎng)絡(luò)安全存儲(chǔ)領(lǐng)域使用較廣的峰值強(qiáng)度映射過濾算法（Peak Intensity Mapping Filtering Algorithm，PIMF算法）、超線性納什維度均衡策略算法（Superlinear Nash-Dimension Equilibrium Strategy Algorithm，ND-SES算法），本文算法在資源受限條件下能夠?qū)崿F(xiàn)混沌度高級(jí)別預(yù)警，降低防御成本，改善了誤比特率及丟包率性能，具有更高的抗攻擊峰值帶寬及二次冗余帶寬性能。

網(wǎng)絡(luò)安全存儲(chǔ)；混沌度；邊界預(yù)警；納什均衡；供給側(cè)建模；馬爾科夫邊界

0 引言

隨著以工業(yè)化4.0技術(shù)為代表的新興網(wǎng)絡(luò)通信技術(shù)的不斷演進(jìn)，網(wǎng)絡(luò)整體規(guī)模也呈現(xiàn)爆炸式增長(zhǎng)態(tài)勢(shì)，特別是在云計(jì)算技術(shù)推動(dòng)下，網(wǎng)絡(luò)安全問題所面臨的挑戰(zhàn)級(jí)別也不斷提升。各種黑色產(chǎn)業(yè)鏈帶來的諸如“勒索病毒”、“比特幣殺手”等基于大規(guī)模分布式網(wǎng)絡(luò)病毒也加劇了當(dāng)前網(wǎng)絡(luò)安全存儲(chǔ)算法收斂程度較差等難題[1]。實(shí)踐上往往需要采取一定的主動(dòng)防御策略或算法，以便實(shí)現(xiàn)對(duì)這些難題的主動(dòng)性防范。因此，如何盡量提高預(yù)防混沌度并實(shí)現(xiàn)對(duì)預(yù)警邊界清晰策略，成為當(dāng)前研究領(lǐng)域中的熱點(diǎn)[2]。

為提高網(wǎng)絡(luò)存儲(chǔ)過程中的彈性，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)安全防御過程的效益最大化，研究者提出了許多卓有見地的解決方案，一定程度上解決了實(shí)踐中遇到的難題。Hu等[3]提出了一種基于合作演化預(yù)警均衡機(jī)制的網(wǎng)絡(luò)安全存儲(chǔ)算法，該方案基于大規(guī)模分布式攻擊建模思想，采用高密度時(shí)間函數(shù)戳建模的方式，實(shí)現(xiàn)對(duì)防御周期內(nèi)攻擊行為的主動(dòng)建模，且該方案能夠根據(jù)時(shí)變模式實(shí)現(xiàn)對(duì)攻擊行為的自適應(yīng)遞歸，可針對(duì)多種攻擊行為進(jìn)行有效過濾。但是，該算法需要實(shí)現(xiàn)對(duì)多種模式攻擊行為的統(tǒng)一建模，方案的納什均衡解混沌程度較低，一定程度上制約了該方案的落實(shí)效果。Lei等[4]基于馬爾科夫有理閉環(huán)思想，提出了一種分級(jí)建模方式的網(wǎng)絡(luò)安全存儲(chǔ)算法，算法首先基于時(shí)間不變模型，通過馬爾科夫遞歸方式對(duì)攻擊行為進(jìn)行一次建模，在不同的映射周期內(nèi)可以根據(jù)分級(jí)思想不斷通過馬爾科夫遞歸，實(shí)現(xiàn)“分級(jí)構(gòu)建”、“模型閉環(huán)”，仿真實(shí)驗(yàn)表明該算法能夠有效地提高納什均衡解的混沌程度。然而該算法僅能針對(duì)主動(dòng)攻擊行為進(jìn)行靜態(tài)建模，一旦攻擊行為的特征發(fā)生變化，該算法的抗攻擊性能將呈現(xiàn)嚴(yán)重的下降趨勢(shì)。Yan.J等[5]基于零和博弈思想，提出了一種分階段抗攻擊機(jī)制的網(wǎng)絡(luò)安全存儲(chǔ)算法，首先針對(duì)攻擊行為的特征指紋進(jìn)行一次建模，若監(jiān)測(cè)到攻擊行為指紋發(fā)生變化，則根據(jù)該指紋攻擊強(qiáng)度進(jìn)行強(qiáng)度演進(jìn)，網(wǎng)絡(luò)安全應(yīng)對(duì)級(jí)別隨著強(qiáng)度的不斷演進(jìn)而呈現(xiàn)自演進(jìn)趨勢(shì)，從而實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)攻擊的動(dòng)態(tài)彈性防御。但是，該算法需要不斷針對(duì)攻擊強(qiáng)度進(jìn)行自演化流程，若攻擊行為呈現(xiàn)線性增加趨勢(shì)，則算法需要付出的防御代價(jià)將出現(xiàn)顯著增加的態(tài)勢(shì)。

為了解決上述問題，本文提出了一種基于攻防混沌度邊界預(yù)警機(jī)制的網(wǎng)絡(luò)安全存儲(chǔ)算法，針對(duì)網(wǎng)絡(luò)供給側(cè)（即攻擊側(cè)）進(jìn)行邊界區(qū)分，有效提高攻擊邊界的混沌度，且結(jié)合馬爾科夫邊界攻擊者集合收斂機(jī)制，能夠針對(duì)兩次最強(qiáng)攻擊行為進(jìn)行清洗，從而提高網(wǎng)絡(luò)的安全存儲(chǔ)性能，降低遇襲風(fēng)險(xiǎn)。最后通過仿真實(shí)驗(yàn)，證明了本文算法的優(yōu)越性能。

1 網(wǎng)絡(luò)供給側(cè)-需求側(cè)邊界預(yù)警模型

不妨設(shè)某網(wǎng)絡(luò)存儲(chǔ)集群可能受到某種不可抗力的攻擊行為的突然襲擊，集群管理者需要在攻擊行為持續(xù)期間通過調(diào)集若干匹配性防御資源∈實(shí)現(xiàn)對(duì)攻擊行為的有效防御。然而，由于集群管理者調(diào)集相關(guān)匹配性防御資源∈需要耗費(fèi)一定的成本，具體而言往往是經(jīng)費(fèi)，因此，只能針對(duì)部分有代表性的攻擊行為進(jìn)行防御，從而實(shí)現(xiàn)防御資源∈的有效配置。

針對(duì)攻擊行為而言，在進(jìn)行初次攻擊之后，形成首次攻擊強(qiáng)度的峰值；隨后需要根據(jù)集群管理者所調(diào)集的防御資源進(jìn)行二次攻擊，形成二次攻擊峰值。二次攻擊過程中根據(jù)集群管理者形成的防御策略，得到二次攻擊的決策∈，考慮到∈與∈存在策略博弈關(guān)系，最終能夠形成供給側(cè)-需求側(cè)模型，如圖1所示，該模型具有自恰的特點(diǎn)[6]。兩者博弈交鋒點(diǎn)即是博弈邊界，若該邊界向供給側(cè)移動(dòng)，則說明防御策略效果較好[7]。

圖1 供給側(cè)-需求側(cè)邊界預(yù)警模型

2 本文網(wǎng)絡(luò)安全存儲(chǔ)算法

①混沌度邊界預(yù)估

該納什均衡解即為混沌度邊界預(yù)估值，即當(dāng)前時(shí)刻防御者為抵御攻擊而付出的最大代價(jià)。

② 馬爾科夫邊界攻擊者集合收斂流程

雖然通過模型（3）能夠獲取相應(yīng)的納什均衡解，但是由于攻擊者策略一般遵循隨機(jī)分布[9]，為便于隨時(shí)應(yīng)對(duì)網(wǎng)絡(luò)攻擊，需要針對(duì)攻擊行為的隨機(jī)分布進(jìn)行攻擊預(yù)警。

本文算法的詳細(xì)流程如下：

Step 1：匹配當(dāng)前全部攻擊，搜尋攻擊行為；

Step 2：防御者若接收到攻擊行為，則轉(zhuǎn)Step 3，反之則繼續(xù)處于待命狀態(tài)；

Step 3：若當(dāng)前防御策略不滿足馬爾科夫邊界條件時(shí)，返回Step 1，否則轉(zhuǎn)Step 4；

Step 5 ：算法結(jié)束。

算法流程圖如下所示：

圖2 所提算法的過程

3 仿真實(shí)驗(yàn)

3.1 仿真環(huán)境設(shè)置

為便于比較本文算法的優(yōu)越性能，網(wǎng)絡(luò)制式為L(zhǎng)TE-5G環(huán)境，因LTE-5G環(huán)境具有安全問題較多，且網(wǎng)絡(luò)環(huán)境復(fù)雜等特性，對(duì)安全解決方案的要求較高。仿真工具采取NS2仿真實(shí)驗(yàn)環(huán)境對(duì)當(dāng)前網(wǎng)絡(luò)安全存儲(chǔ)領(lǐng)域使用較廣的峰值強(qiáng)度映射過濾算法[12]（Peak Intensity Mapping Filtering Algorithm，PIMF算法）、超線性納什維度均衡策略算法[13]（Superlinear Nash-Dimension Equilibrium Strategy Algorithm，ND-SES算法）進(jìn)行仿真對(duì)比，仿真指標(biāo)采取抗攻擊峰值帶寬、二次冗余帶寬、丟包率、誤比特率四個(gè)指標(biāo)，相關(guān)仿真參數(shù)如下所示：

表1 仿真參數(shù)

3.2 仿真性能對(duì)比

1）抗攻擊峰值帶寬對(duì)比

圖3為本文算法與PIMF算法及ND-SES算法在防御周期不斷增大時(shí)的抗攻擊峰值帶寬對(duì)比，由圖可知，本文算法在防御周期不斷增加時(shí)，抗攻擊峰值帶寬始終處于較高的水平，且性能曲線呈現(xiàn)較為平滑的態(tài)勢(shì)，顯示了良好的流量清洗效果；與本文算法相比，PIMF算法及ND-SES算法不但抗峰值帶寬水平較低，且性能曲線呈現(xiàn)凹凸不平的態(tài)勢(shì)，流量清洗效果較差。這是由于本文算法針對(duì)攻擊過程中存在的首次峰值及二次峰值通過邊界建模方式實(shí)現(xiàn)了匹配處理，能夠在單位時(shí)間內(nèi)實(shí)現(xiàn)對(duì)攻擊流量的高強(qiáng)度清洗，且防御者能夠根據(jù)防御混沌度進(jìn)行邊界預(yù)估，實(shí)現(xiàn)對(duì)攻擊混沌度的精確化提升，改善防攻擊的策略匹配度；PIMF算法單純采取過濾機(jī)制，針對(duì)二次攻擊流量的清洗效果較差，因此難以提升抗攻擊性能；ND-SES算法沒有針對(duì)供給側(cè)-需求側(cè)進(jìn)行精確匹配，因此難以進(jìn)一步提高對(duì)攻擊流量的自適應(yīng)粒度，故而其抗攻擊峰值帶寬要低于本文算法。

圖3 抗攻擊峰值帶寬仿真

2）二次冗余帶寬

圖4為本文算法與PIMF算法及ND-SES算法在攻擊帶寬不斷增加時(shí)二次冗余帶寬的對(duì)比，由圖可知，雖然隨著攻擊帶寬的不斷增加，本文算法與對(duì)照組算法均呈現(xiàn)二次冗余帶寬不斷降低的態(tài)勢(shì)（這是顯然的，因防御者針對(duì)攻擊行為不斷地耗費(fèi)資源，故而冗余帶寬會(huì)隨著攻擊帶寬的增加而降低），然而本文算法的二次冗余帶寬始終處于較高的水平，且下降幅度要低于對(duì)照組算法。這是由于本文算法引入馬爾科夫邊界攻擊者集合收斂機(jī)制，該機(jī)制通過捕捉攻擊發(fā)生時(shí)刻的數(shù)學(xué)分布特性，并與網(wǎng)絡(luò)過網(wǎng)的數(shù)據(jù)進(jìn)行比對(duì)，特別是針對(duì)大規(guī)模DDos攻擊行為的匹配，能夠促進(jìn)供給側(cè)-需求側(cè)雙方的模式匹配力度，改善防御者抗攻擊策略對(duì)防御資源的消耗，顯著提高了算法對(duì)攻擊行為的匹配度，因此在一定強(qiáng)度攻擊帶寬條件下可明顯節(jié)約防御資源（即二次冗余帶寬），能夠應(yīng)付突發(fā)大規(guī)模DDos攻擊；PIMF算法及ND-SES算法針對(duì)攻擊帶寬均采取簡(jiǎn)單匹配機(jī)制，無法對(duì)資源進(jìn)行回收利用，故而針對(duì)攻擊所耗費(fèi)的二次冗余帶寬較高，降低了防御者所擁有的二次冗余帶寬的數(shù)量。

圖4 二次冗余帶寬仿真

3）丟包率

圖5為本文算法與PIMF算法及ND-SES算法在不同的二次冗余帶寬條件下的丟包率的對(duì)比，由圖可知，隨著二次冗余帶寬的不斷增加，本文算法不僅一直保持較低的丟包率，且較PIMF算法及ND-SES算法相比更低；這是由于本文算法能夠通過馬爾科夫邊界攻擊者集合收斂機(jī)制實(shí)現(xiàn)對(duì)最高強(qiáng)度-次高強(qiáng)度攻擊行為的兩次預(yù)警，特別能夠針對(duì)大流量DDos攻擊情況下數(shù)據(jù)報(bào)文傳輸效率，增強(qiáng)網(wǎng)絡(luò)存儲(chǔ)安全，提升網(wǎng)絡(luò)安全防御的納什均衡解，因此在一定容量的二次冗余帶寬條件下能夠大大降低網(wǎng)絡(luò)針對(duì)攻擊行為的丟包率，且攻擊行為越是分散，抗攻擊效果越優(yōu)越；PIMF算法及ND-SES算法由于單純采用簡(jiǎn)單匹配機(jī)制調(diào)用二次冗余帶寬，且沒用針對(duì)攻擊者處于供給側(cè)的主動(dòng)地位進(jìn)行適應(yīng)性匹配，因此在二次冗余帶寬處于受限條件時(shí)，相應(yīng)的丟包率也要顯著高于本文算法。

圖5 丟包率測(cè)試結(jié)果

4）誤比特率

圖6為本文算法與PIMF算法及ND-SES算法在信噪比衰落不斷增加時(shí)誤比特率的對(duì)比，由圖可知，本文算法與對(duì)照組算法隨著信噪比衰落的不斷增加，均出現(xiàn)了誤比特率不斷上升的現(xiàn)象，這是顯然的：隨著信噪比衰落的不斷增加，防御者不僅需要調(diào)用更多的二次冗余帶寬，且釋放的策略也將不斷增加；然而本文算法的誤比特率增加幅度顯著低于對(duì)照組算法，這是由于本文算法針對(duì)供給側(cè)-需求側(cè)的特點(diǎn)進(jìn)行了策略匹配，能夠在信噪比衰落不斷增加時(shí)顯著適應(yīng)防御者的安全存儲(chǔ)需求，降低攻擊者針對(duì)防御策略所作的自演化改進(jìn)，因此耗費(fèi)的校驗(yàn)報(bào)文較少，減緩了誤比特率的不斷增加，而對(duì)照組對(duì)此未進(jìn)行考慮，因此本文算法在誤比特率的性能上優(yōu)勢(shì)較大。

圖6 誤比特率的測(cè)試結(jié)果

4 結(jié)束語

本文提出了一種基于攻防混沌度邊界預(yù)警機(jī)制的網(wǎng)絡(luò)安全存儲(chǔ)算法，主要利用網(wǎng)絡(luò)供給側(cè)-需求側(cè)邊界預(yù)警模型的優(yōu)勢(shì)，提高網(wǎng)絡(luò)防御者對(duì)攻擊集合的適應(yīng)性能，增強(qiáng)防御資源的合理利用，改善高強(qiáng)度攻擊條件下的網(wǎng)絡(luò)冗余資源，促進(jìn)網(wǎng)絡(luò)防御策略便利化。最后通過NS2仿真實(shí)驗(yàn)環(huán)境，證明了本文算法在抗攻擊峰值帶寬、二次冗余帶寬、丟包率、誤比特率等性能指標(biāo)上同當(dāng)前常用的PIMF算法及ND-SES算法相比具有顯著的優(yōu)勢(shì)。

下一步將考慮到供給側(cè)-需求側(cè)邊界預(yù)警模型的超混沌收斂特性，針對(duì)本文算法在云網(wǎng)絡(luò)環(huán)境下資源耗費(fèi)量較大的不足，進(jìn)一步提高本文算法的安全存儲(chǔ)性能，強(qiáng)化算法對(duì)攻擊者的篩選效率。

[1] 盧涵宇,闞璦珂. 基于IPv6的3G網(wǎng)絡(luò)安全通信模型研究[J]. 井岡山大學(xué)學(xué)報(bào)(自然科學(xué)版), 2011, 32(2): 71-73.

[2] 張恒巍,李濤. 基于多階段攻防信號(hào)博弈的最優(yōu)主動(dòng)防御[J]. 電子學(xué)報(bào), 2017, 45(2): 431-439.

[3] Hu H, Zhang H. Quantitative Method for Network Security Situation Based on Attack Prediction[J]. Security & Communication Networks, 2017(4): 1-19.

[4] Lei C, Zhang H Q. Incomplete Information Markov Game Theoretic Approach to Strategy Generation for Moving Target Defense[J]. Computer Communications, 2018, 116: 184-199.

[5] Yan J. Q-Learning-Based Vulnerability Analysis of Smart Grid Against Sequential Topology Attacks[J]. IEEE Transactions on Information Forensics & Security, 2017, 12(1): 200-210.

[6] Eve E. Security in Network Attached Storage (NAS) for Workgroups [J]. Network Security, 2004, 4(1): 18-25.

[7] 王震. 安全博弈論研究綜述[J]. 指揮與控制學(xué)報(bào),2015, 1(2): 121-149.

[8] Sun Y. Analysis of Network Attack and Defense Strategies Based on Pareto Optimum[J]. Electronics, 2018, 7(3):36.

[9] 周靖哲,陳長(zhǎng)松. 云計(jì)算架構(gòu)的網(wǎng)絡(luò)信息安全對(duì)策分析[J]. 信息網(wǎng)絡(luò)安全, 2017(11): 74-79.

[10] 嚴(yán)宇宇,陶煜波,林海. 基于層次狄利克雷過程的交互式主題建模[J].軟件學(xué)報(bào), 2016, 27(5): 1114-1126.

[11] WangY Z. Evolutionary Game Model and Analysis Methods for Network Group Behavior[J]. Chinese Journal of Computers, 2015, 38(2): 282-300.

[12] Cheng D. Modeling, Analysis and Control of Networked Evolutionary Games[J]. IEEE Transactions on Automatic Control, 2015, 60(9): 2402-2415.

[13] Zhang H Z. Survey on Cyberspace Security[J]. Science China Information Sciences, 2015, 58(11): 1-43.

The Research network security storage algorithm based on border warning mechanism of attack & defense chaos degree

*JIANG Qing-liang1, WANG Zhao-long2

(1. School of electronic engineering, Anhui University of information technology, Hefei, Anhui 231201,China; 2.Department of information engineering, Anhui Occupational College of City Management, Hefei, Anhui 231635,China)

In order to solve the problems of insufficient convergence of defense strategy set, poor degree of chaos effect, a network security storage algorithm based on early warning mechanism of attack-defense chaos boundary is proposed. In order to improve the matching degree of security boundaries to attack sets and enhance the rational utilization of defense resources, chaos degree boundary modeling (network supply-demand side boundary early warning model) is carried out on the network supply side. Then, based on the problem that defense resources need dynamic attacking sets, the convergence of Markov amplitude boundaries attacker sets is introduced. The mechanism realizes two early warnings of the highest intensity-sub-high intensity attacks, greatly improves the Nash equilibrium solution of network security defense, further reduces the defense cost, and improves the network security storage performance. Compared with Peak Intensity Mapping Filtering Algorithm and Superlinear Nash-Dimension Equilibrium Strategy Algorithm, simulation results show that this algorithm can achieve high-level early warning of chaos under resource constraints, reduce defense costs, and improve the effectiveness of anti-attack.The performance of BER and packet loss rate is improved, and the performance of anti-attack peak bandwidth and quadratic redundancy bandwidth is significantly higher than that of the control group.

network security storage; chaos degree; boundary warning; Nash equilibrium; supply model; Markov boundary

1674-8085(2019)01-0052-05

TP393

A

10.3969/j.issn.1674-8085.2019.01.011

2018-09-29；

2018-11-17

安徽省高校自然科學(xué)研究重點(diǎn)項(xiàng)目(KJ2017A650)

*蔣慶良(1979-)，男，安徽定遠(yuǎn)人，助理實(shí)驗(yàn)師，碩士，主要從事網(wǎng)絡(luò)通信、網(wǎng)絡(luò)工程、物聯(lián)網(wǎng)等方面的研究(E-maiL:jiangqliang1979an@sohu.com);

王兆龍(1983-)，男，安徽合肥人，講師，碩士，主要從事網(wǎng)絡(luò)通信、軌道交通組網(wǎng)、物聯(lián)網(wǎng)等方面的研究(E-maiL:WangZl1983hf@163.com).