CN103748983B - 一种基于模糊eca规则的网络攻击知识表达与推理方法 - Google Patents

Abstract

本发明涉及一种基于模糊ECA规则的网络攻击知识表达与推理方法，属于 计算机网络安全技术领域。本发明在管理攻击事件、描述攻击知识的基础上建 立模糊ECA规则表示攻击知识，采用模糊推理技术对攻击发生的可能性进行检 测。使用本发明方法表达攻击知识并进行推理，可提高入侵检测的检测效率和 检测能力。

Description

一种基于模糊ECA规则的网络攻击知识表达与推理方法

技术领域

本发明涉及一种基于模糊ECA规则的网络攻击知识表达与推理方法，属于计算机网络安全技术领域。

背景技术

入侵检测系统通过检查操作系统的审计数据或网络数据包信息来检测系统中违背安全策略或危及系统安全的行为或活动，并能够根据响应策略进行响应。

根据检测方法可以将入侵检测技术划分为两类：基于行为的入侵检测(Behavior-Based ID)和基于知识的入侵检测(Knowledge-Based ID)。

基于知识的入侵检测，也称为误用检测(Misuse Detection)，主要是将已知攻击的相关知识(特征、模式等)存储于数据库，形成攻击知识库，并利用这些已知攻击的相关知识来检查系统中是否出现了这些攻击的特征或模式，判断系统是否遭受到攻击。

误用检测系统攻击知识的表示可采用多种方式，比如一阶谓词逻辑表示法、产生式表示法、框架表示法、语义网络表示法、脚本表示法等，其中由于产生式表示法具有直观、符合人类的思维方式而被目前大多数入侵检测系统采用。产生式规则表示攻击知识的形式如下：

IF P THEN Q

其中，P是攻击规则的前提，用于指出该规则是否为可用的条件；Q是一组结论或操作，用于指出当前提P所指示的条件满足时，应得出的结论或应执行的操作。

整个攻击知识的含义是：如果前提P满足，则可推出结论Q或执行Q所规定的操作。产生式规则表示方法的前提和结论的表达式中有“与”和“或”两种连接方式，由此构成多种不同的规则类型。但是，产生式规则表达方法存在以下不足：

(1)检测效率不高

基于产生式规则的知识表达方法，检测入侵时都是一个特征匹配的过程，当所获取的信息量较大，知识库中的规则数较多时，存在推理效率较低的问题， 因此造成检测效率不高。

(2)检测能力有限

基于产生式规则的知识表达方法，其条件部分各元素之间没有时间上的先后顺序，因此无法表达时间上具有相关性的攻击知识。

本发明中使用到的另外一项重要的已有知识是复合事件的表示。

首先给出原子事件的定义：原子事件是指具有某种入侵特征的不可再分割的操作，可组成入侵过程。

复合事件的表示就是用规定的操作符将原子事件连接起来，作为单个事件处理，称为复合事件。操作符如下：

(1)与发生运算(AND，∧)；

(2)或发生运算(OR，∨)；

(3)选择发生运算(SELECTION，|)；

(4)序列发生运算(SEQUENCE，·)。

设E＝{e₁，e₂，…，e_n}为入侵事件集合，e₁，e₂，…，e_n分别表示不同的原子或复合事件。利用上述事件操作符可以对事件间的存在、序列、部分有序进行准确的描述。

(1)e₁∧e₂，表示在同一时间段内e₁、e₂须同时存在；

(2)e₁∨e₂，表示在同一时间段内e₁、e₂只有一个存在即可；

(3)e₁|e₂，表示在同一时间段内e₁、e₂有一个且仅有一个发生；

(4)e₁·e₂，表示在某一时间段内e₁、e₂相继发生，且e₂发生在e₁之后。

发明内容

本发明的目的是提出一种基于模糊ECA规则的网络攻击知识表达与推理方法。本发明在管理攻击事件、描述攻击知识的基础上建立模糊ECA规则表示攻击知识，采用模糊推理技术对攻击发生的可能性进行检测。使用本发明方法表达攻击知识并进行推理，可提高入侵检测的检测效率和检测能力。

本发明的一种基于模糊ECA规则的网络攻击知识表达与推理方法整体框架设计流程如图1所示。

步骤一、管理攻击事件，形成攻击事件集

网络攻击事件是网络攻击知识表达的基础。网络攻击手段多样，使得攻击 事件也是多种多样。在形成网络攻击知识时，需对网络攻击事件进行管理。本发明中涉及的攻击事件既可以是原子事件，也可以是复合事件。原子事件，即具有某种攻击特征的不可再分割的操作；复合事件，则首先要对已知的原子事件根据其攻击过程将其划分为主机勘察、漏洞发掘、目标渗透、权限提升、潜伏隐藏、攫取信息和跳板攻击7个子类，然后针对各子类事件按照背景技术中介绍的复合方法进行复合，形成用于提取网络攻击知识的复合事件。攻击事件集由原子事件和复合事件组成。

步骤二、对攻击知识进行描述

在步骤一的基础上，对攻击知识进行描述。

不同的用户行为会产生不同的事件序列，事件发生时，同时会引起系统状态的变化。描述攻击知识时，需对事件及系统状态同时进行刻画。本发明用<事件，系统状态，时间>三元组对攻击知识进行描述，其中，事件是指攻击事件集中的原子事件或者复合事件；系统状态是指与事件相关的系统状态；时间是指行为发生的绝对时间。

用ECA规则表达攻击知识。用E来描述事件(原子事件或复合事件)，C来描述系统状态以及相关的时间和统计关系，A为当E、C都匹配成功后，系统所要执行的动作。

网络安全环境的复杂性，导致网络入侵行为具有不确定性，本发明采用模糊方法描述事件不确定性，采用隶属函数处理模糊事件。

基于模糊ECA规则的攻击知识表达形式为：

其中，F_RuleName为规则名称，F_Event为模糊事件，λ为规则触发阈值，当模糊事件的隶属度μ(e)大于λ时，则触发该规则。F_Condition_i、F_Action_i分别为模糊条件和模糊结论。

模糊事件F_Event、模糊条件F_Condition_i和模糊结论F_Action_i中参数的取 值为模糊集合，设模糊事件F_Event中的参数为e，模糊条件F_Condition_i中的参数为c_j，模糊结论F_Action_i中的参数为a，各参数对应的论域分别为X、Y_j、Z，则各模糊集合的隶属函数为μ(e)、μ(c_j)、μ(a)。

步骤三、使用ECA规则进行模糊推理

在步骤二的基础上，针对模糊事件F_Event，使用ECA规则进行模糊推理。具体步骤如下：

第1步：计算模糊事件的隶属度

当模糊事件F_Event发生时，则可检测到对应参数e的精确值e₀，因此可得到F_Event的隶属度μ(e₀)

第2步：判断模糊事件的隶属度是否达到触发阈值

如果μ_e大于触发阈值，则触发该模糊ECA规则，进入第3步；否则过程终止。

第3步：进行规则模糊推理

(1)采集模糊条件

当模糊事件F_Event发生时，系统的状态随之改变，对此时模糊条件F_Condition_i中对应的参数c_j值进行检测，设为c_j0。然后对c_j0进行模糊化得到对应于模糊集合μ(c_j)的隶属度μ(c_j0)，该隶属度就是我们要采集的模糊条件。

(2)建立模糊蕴含关系R的隶属函数

ECA规则中的CA部分确定了参数为c_j与a之间的一个模糊蕴含关系R。模糊关系R的隶属函数由式(1)求出。

其中运算∧和∨分别是逻辑“与”和逻辑“或”运算。

(3)模糊推理

根据步骤(1)中采集的模糊条件μ(c_j0)进行模糊推理，得到模糊结论F_Action_i中模糊参数a的模糊集合，其隶属函数计算如下：

(4)去模糊化

针对步骤(3)得到的a的模糊集合μ′(a)，取其隶属函数曲线与横坐标轴围成面积的重心作为模糊结论的具体值，计算方法如下：

$u=\frac{\&Integral;{\mathrm{a\&mu;}}^{\&prime;}\left(a\right)\mathrm{da}}{\&Integral;{\mathrm{\&mu;}}^{\&prime;}\left(a\right)\mathrm{da}}---\left(3\right)$

有益效果

本发明建立了基于模糊ECA规则的网络攻击知识表达方法，相对目前常用的产生式攻击知识的表示，具有如下有益效果：

(1)模糊ECA规则表达攻击知识，系统只有检测到某些特定的、和入侵有关的事件发生后，才触发相应规则，如果没有检测到有关的事件，则不触发规则，相对于常用的产生式攻击知识表示的全匹配，在分析之前就抛弃了大量与入侵无关的信息和事件，因此提高了系统的分析效率。

(2)通过原子事件的复合，能够表达条件部分各元素之间时间上的先后顺序，因此可以表达时间上具有相关性的攻击知识。

附图说明

图1为本发明的一种基于模糊ECA规则的网络攻击知识表达方法整体框架设计流程图。

图2为本发明实施例中Connection_attempt(FIN＝1)取值e的模糊集合High的隶属函数图；

图3为本发明实施例中Δt取值的模糊集合的隶属函数图；

图4为本发明实施例中攻击发生可能性P取值的模糊集合的隶属函数图。

具体实施方式

下面结合实施例对本发明进行详细描述。

本例中针对一种具体的DoS攻击——SYN Flooding攻击，给出其模糊ECA规则的表达及推理过程，以进一步对本发明的技术方案进行说明。

步骤一、管理攻击事件，形成攻击事件集

网络攻击事件是网络攻击知识表达的基础。网络攻击手段多样，使得攻击事件也是多种多样。在形成网络攻击知识时，需对网络攻击事件进行管理。本 发明中涉及的攻击事件既可以是原子事件，也可以是复合事件。原子事件，即具有某种攻击特征的不可再分割的操作；复合事件，则首先要对已知的原子事件根据其攻击过程将其划分为主机勘察、漏洞发掘、目标渗透、权限提升、潜伏隐藏、攫取信息和跳板攻击7个子类，然后针对各子类事件按照背景技术中介绍的复合方法进行复合，形成用于提取网络攻击知识的复合事件。攻击事件集合由原子事件和复合事件组成。

步骤二、对攻击知识进行描述

在步骤一的基础上，对攻击知识进行描述。

不同的用户行为会产生不同的事件序列，事件发生时，同时会引起系统状态的变化。描述攻击知识时，需对事件及系统状态同时进行刻画。本发明用<事件，系统状态，时间>三元组对攻击知识进行描述，其中，事件是指攻击事件集中的原子事件或者复合事件；系统状态是指与事件相关的系统状态；时间是指行为发生的绝对时间。

用模糊ECA规则表达攻击知识，SYN Flooding攻击过程如下：

主机A向主机B发送一个带有SYN和FIN标志位置位的TCP包；主机B首先处理SYN标志，生成一个带有相应ACK标志位置位的包，并使状态转移到SYN-RCVD，然后处理FIN标志，使状态转移到CLOSE-WAIT，并向A回送ACK包；此时，主机A并不响应主机B回送的ACK包。主机B将固定在CLOSE-WAIT状态等待A的响应，直到定时器超时将状态重置为CLOSED状态。主机B维持这样的CLOSE-WAIT状态需要占有一定的内存资源，因此维持这样的CLOSE-WAIT状态的数量有限。入侵者向主机B发送大量上述具有SYN和FIN标志位置位的TCP包，造成主机B资源耗尽而不能响应正常的连接请求，长时间反复发送，造成某个网络端口长时间阻塞，从而产生拒绝服务攻击。

针对上述入侵行为，当主机B每收到一SYN标志的TCP包，则生成一个Connection_attempt事件，此TCP包的FIN为1，因此，原子事件可表示为：

Connection_attempt(FIN＝1)

SYN Flooding攻击是在短时间内产生大量的Connection_attempt(FIN＝1)事件。对该入侵行为描述时，需对事件进行统计，可描述为：

#(Connection_attempt(FIN＝1)，T₀)＝e

上式表示在T₀时间内，Connection_attempt(FIN＝1)发生的次数为e。

设T₀＝10秒，Δt表示两个相邻Connection_attempt(FIN＝1)事件发生的平均时间间隔，P表示SYN Flooding攻击发生的可能性，则攻击知识表达如下：

RULE SYN-DOS

When#(connection_attempt(FIN＝1)，T₀)＝High(λ＝0.5)

  IFΔt＝Short Then P＝High；

  IF△t＝Medium Then P＝Medium；

  IF△t＝Long Then P＝Low；

END-RULE

Connection_attempt(FIN＝1)取值e的模糊集合High的隶属函数如式(4)所示，其图形如图2所示。

$\mathrm{\&mu;}\left(e\right)=\left\{\begin{array}{cc}0,& 0\&le;e<150\\ \frac{e}{150}-1,& 150\&le;e<300\\ 1,& e\&GreaterEqual;150\end{array}\right.---\left(4\right)$

Δt取值的模糊集合的隶属函数如式(5)、(6)、(7)所示，其图形如图3所示。

${\mathrm{\&mu;}}_{\mathrm{Short}}\left(\mathrm{\&Delta;t}\right)=\left\{\begin{array}{cc}-\frac{\mathrm{\&Delta;t}}{40}+1,& 0\&le;\mathrm{\&Delta;t}<40\\ 0,& \mathrm{\&Delta;t}\&GreaterEqual;40\end{array}\right.---\left(5\right)$

${\mathrm{\&mu;}}_{\mathrm{Medium}}\left(\mathrm{\&Delta;t}\right)=\left\{\begin{array}{cc}\frac{\mathrm{\&Delta;t}}{30},& 0\&le;\mathrm{\&Delta;t}<30\\ -\frac{\mathrm{\&Delta;t}}{50}+\frac{8}{5},& 30\&le;\mathrm{\&Delta;t}<80\\ 0,& \mathrm{\&Delta;t}\&GreaterEqual;80\end{array}\right.---\left(6\right)$

${\mathrm{\&mu;}}_{\mathrm{Long}}\left(\mathrm{\&Delta;t}\right)=\left\{\begin{array}{cc}0,& 0\&le;\mathrm{\&Delta;t}<50\\ \frac{\mathrm{\&Delta;t}}{40}-\frac{5}{4},& 50\&le;\mathrm{\&Delta;t}<90\\ 1,& \mathrm{\&Delta;t}\&GreaterEqual;90\end{array}\right.---\left(7\right)$

P取值的模糊集合的隶属函数如式(8)、(9)、(10)所示，其图形如图4所示。

${\mathrm{\&mu;}}_{\mathrm{Low}}\left(p\right)=\left\{\begin{array}{cc}-2p+1,& 0\&le;\mathrm{\&Delta;t}<0.5\\ 0,& 0.5\&le;p\&le;1\end{array}\right.---\left(8\right)$

${\mathrm{\&mu;}}_{\mathrm{Medium}}\left(p\right)=\left\{\begin{array}{cc}2p,& 0\&le;\mathrm{\&Delta;t}<0.5\\ -2p+2,& 0.5\&le;p\&le;1\end{array}\right.---\left(9\right)$

${\mathrm{\&mu;}}_{\mathrm{High}}\left(p\right)=\left\{\begin{array}{cc}0,& 0\&le;\mathrm{\&Delta;t}<0.5\\ 2p-1,& 0.5\&le;p\&le;1\end{array}\right.---\left(10\right)$

步骤三、使用ECA规则进行模糊推理

在步骤二的基础上，针对模糊事件Connection_attempt(FIN＝1)，具体步骤如下：

第1步：计算模糊事件的隶属度

设T₀＝10秒时间内Connection_attempt(FIN＝1)发生的次数e₁＝200、e₂＝270，可得到μ(e₁)＝0.3333、μ(e₂)＝0.8。

第2步：判断模糊事件的隶属度是否达到触发阈值

触发阈值λ＝0.5，对于e₁＝200，μ(e₁)＜λ，则不触发该规则，继续检测参数e的精确值。

对于e₂＝270，μ(e₂)＞λ，则触发该规则，进行模糊推理。

第3步：进行规则模糊推理

(1)采集模糊条件

针对e₂＝270，平均时间间隔Δt₀＝37ms，对Δt₀＝37ms进行模糊化，得到μ_Short(Δt₀)＝0.075，μ_Medium(Δt₀)＝0.86，μ_Long(Δt₀)＝0。

(2)建立模糊蕴含关系R的隶属函数

ECA规则中的CA部分确定了参数Δt与p之间的一个模糊蕴含关系R。模糊关系R的隶属函数由下式求得：

R(Δt，p)＝(μ_Short(Δt)∧μ_High(p))∨(μ_Medium(Δt)∧μ_Medium(p))∨(μ_Long(Δt)∧μ_Low(p))

其中运算∧和∨分别是逻辑“与”和逻辑“或”运算。

(3)模糊推理

根据μ_Short(Δt₀)＝0.075，μ_Medium(Δt₀)＝0.86，μ_Long(Δt₀)＝0进行模糊推理，得到攻击发生可能性P取值的模糊集合的隶属函数μ′(p)，其隶属函数为：

${\mathrm{\&mu;}}^{\&prime;}\left(p\right)=\left\{\begin{array}{cc}2p,& 0\&le;\mathrm{\&Delta;t}<0.43\\ 0.86,& 0.43\&le;\mathrm{\&Delta;t}<0.57\\ -2p+2,& 0.57\&le;p\&le;0.9625\\ 0.075,& 0.9625\&le;p\&le;1\end{array}\right.---\left(11\right)$

(4)去模糊化

针对步骤(3)得到模糊集合μ′(p)，取其隶属函数曲线与横坐标轴围成面积的重心作为模糊结论的具体值，计算方法如下：

$u=\frac{\&Integral;p{\mathrm{\&mu;}}^{\&prime;}\left(p\right)\mathrm{dp}}{\&Integral;{\mathrm{\&mu;}}^{\&prime;}\left(p\right)\mathrm{dp}}---\left(12\right)$

通过计算得到u＝0.5014。

当在T₀＝10秒时间内检测到Connection_attempt(FIN＝1)发生的次数为270时，SYN Flooding攻击发生的可能性为50.14％。

为了说明基于模糊ECA规则的网络攻击知识表达与推理方法能够克服基于产生式规则的知识表达方法的无法表达时间上具有相关性攻击知识的不足，通过下例进行说明。

假设产生式规则表达的攻击知识为：

R：If a&b&c then alert

其中a、b、c为攻击特征。该攻击知识的含义是当条件a、b、c都满足时触发该条规则。该条规则无法表达a、b、c发生的时间先后，但是在很多情况下，a、b、c如果按不同的次序发生，有可能不是攻击行为。

采样模糊ECA规则可以表示为：

RULE Event

When e_a·e_b·e_c

     IfC Then alert；

END RULE

上述ECA规则中的复合事件为“e_a·e_b·e_c”，表达了事件a在事件b之间发生，事件b在事件c之间发生，从而表达了时间上的先后。

需要特别说明的是，对于本领域技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进，这些也应视为属于本发明的保护范围。

Claims (1)

1. 一种基于模糊ECA规则的网络攻击知识表达与推理方法，其特征在于：在管理攻击事件、描述攻击知识的基础上建立模糊ECA规则表示攻击知识，采用模糊推理技术对攻击发生的可能性进行检测；具体实现步骤如下：

步骤一、管理攻击事件，形成攻击事件集

对网络攻击事件进行管理；攻击事件既可以是原子事件，也可以是复合事件；原子事件，即具有某种攻击特征的不可再分割的操作；复合事件，则首先要对已知的原子事件根据其攻击过程将其划分为主机勘察、漏洞发掘、目标渗透、权限提升、潜伏隐藏、攫取信息和跳板攻击7个子类，然后针对各子类事件按照复合事件的表示方法进行复合，形成用于提取网络攻击知识的复合事件；攻击事件集由原子事件和复合事件组成；

步骤二、对攻击知识进行描述

在步骤一的基础上，对攻击知识进行描述；

采用<事件，系统状态，时间>三元组对攻击知识进行描述，其中，事件是指攻击事件集中的原子事件或者复合事件；系统状态是指与事件相关的系统状态；时间是指行为发生的绝对时间；

用ECA规则表达攻击知识；用E来描述事件，C来描述系统状态以及相关的时间和统计关系，A为当E、C都匹配成功后，系统所要执行的动作；

网络安全环境的复杂性，导致网络入侵行为具有不确定性，因此采用模糊方法描述事件的不确定性，采用隶属函数处理模糊事件；

基于模糊ECA规则的攻击知识表达形式为：

其中，F_RuleName为规则名称，F_Event为模糊事件，λ为规则触发阈值，当模糊事件的隶属度μ(e)大于λ时，则触发该规则；F_Condition_i、F_Action_i分别为模糊条件和模糊结论；

模糊事件F_Event、模糊条件F_Condition_i和模糊结论F_Action_i中参数的取 值为模糊集合，设模糊事件F_Event中的参数为e，模糊条件F_Condition_i中的参数为c_j，模糊结论F_Action_i中的参数为a，各参数对应的论域分别为X、Y_j、Z，则各模糊集合的隶属函数为μ(e)、μ(c_j)、μ(a)；

步骤三、使用ECA规则进行模糊推理

在步骤二的基础上，针对模糊事件F_Event，使用ECA规则进行模糊推理；具体步骤如下：

第1步：计算模糊事件的隶属度

当模糊事件F_Event发生时，则可检测到对应参数e的精确值e₀，因此可得到F_Event的隶属度μ(e₀)

第2步：判断模糊事件的隶属度是否达到触发阈值

如果μ_e大于触发阈值，则触发该模糊ECA规则，进入第3步；否则过程终止；

第3步：进行规则模糊推理

(1)采集模糊条件

当模糊事件F_Event发生时，系统的状态随之改变，对此时模糊条件F_Condition_i中对应的参数c_j值进行检测，设为c_j0;然后对c_j0进行模糊化得到对应于模糊集合μ(c_j)的隶属度μ(c_j0)，该隶属度就是我们要采集的模糊条件；

(2)建立模糊蕴含关系R的隶属函数

ECA规则中的CA部分确定了参数为c_j与a之间的一个模糊蕴含关系R；模糊关系R的隶属函数由式(1)求出；

其中运算∧和∨分别是逻辑“与”和逻辑“或”运算；

(3)模糊推理

根据步骤(1)中采集的模糊条件μ(c_j0)进行模糊推理，得到模糊结论F_Action_i中模糊参数a的模糊集合，其隶属函数计算如下：

(4)去模糊化

针对步骤(3)得到的a的模糊集合μ′(a)，取其隶属函数曲线与横坐标轴围成面积的重心作为模糊结论的具体值，计算方法如下：

Images