CN107070956A - 基于动态贝叶斯博弈的apt攻击预测方法 - Google Patents
基于动态贝叶斯博弈的apt攻击预测方法 Download PDFInfo
- Publication number
- CN107070956A CN107070956A CN201710457071.8A CN201710457071A CN107070956A CN 107070956 A CN107070956 A CN 107070956A CN 201710457071 A CN201710457071 A CN 201710457071A CN 107070956 A CN107070956 A CN 107070956A
- Authority
- CN
- China
- Prior art keywords
- attack
- mrow
- msub
- game
- attacker
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 35
- 230000003542 behavioural effect Effects 0.000 claims abstract description 11
- 230000008260 defense mechanism Effects 0.000 claims description 10
- 230000008569 process Effects 0.000 claims description 10
- 238000001514 detection method Methods 0.000 claims description 7
- 230000007123 defense Effects 0.000 claims description 5
- 230000008859 change Effects 0.000 claims description 4
- 239000004744 fabric Substances 0.000 claims 1
- 230000001568 sexual effect Effects 0.000 claims 1
- 230000008901 benefit Effects 0.000 description 4
- 230000002265 prevention Effects 0.000 description 4
- 208000001613 Gambling Diseases 0.000 description 2
- 206010021703 Indifference Diseases 0.000 description 2
- 230000009286 beneficial effect Effects 0.000 description 2
- 238000012937 correction Methods 0.000 description 1
- 230000006378 damage Effects 0.000 description 1
- 230000002349 favourable effect Effects 0.000 description 1
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 1
- 230000002085 persistent effect Effects 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/147—Network analysis or design for predicting network behaviour
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/142—Network analysis or design using statistical or mathematical methods
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/145—Network analysis or design involving simulating, designing, planning or modelling of a network
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
本发明涉及一种基于动态贝叶斯博弈的APT攻击预测方法。博弈双方通过当前获取的信息预测对方即将采取的行为，以自身利益最大化为目标采取应对措施；利用贝叶斯博弈均衡保证预测的有效性和合理性。本发明通过查看网络的脆弱点，根据网络拓扑结构获取攻击者和防御者可能采取的全部行为策略；在动态贝叶斯博弈体系中构建APT攻击预测模型，分析基于模型的博弈双方收益构成；通过分析攻击者和防御者双方的收益，预测理性攻击者在下一个博弈阶段会选择的攻击行为的概率；本发明的动态贝叶斯博弈均衡将保证预测的有效性和合理性。
Description
技术领域
本发明涉及网络安全领域，特别涉及一种基于动态贝叶斯博弈的APT攻击预测方法。
背景技术
高级持续性威胁(Advanced Persistent Threat,APT)攻击已成为较热门的网络攻击形式，由于它的高危险性、难检测性、持续时间长和攻击目标明确等特征，已引起世界各界的广泛关注。APT在发动攻击之前需要对攻击对象的业务流程和目标系统进行精确的收集。在此收集的过程中，此攻击会主动挖掘被攻击对象受信系统和应用程序的漏洞，利用这些漏洞组建攻击者所需的网络，并利用0day漏洞进行攻击。
一般的安全系统属于被动防御系统，即在攻击发生后才采取相应的防御措施，不能通过预测攻击行为来提前阻止攻击行为的发生，这将降低系统的安全性能。若攻击目标能够在攻击发生之前预测到攻击行为并及时采取防御措施，将能有效防止APT攻击行为发生。动态贝叶斯博弈是非合作的不完全信息的博弈，可通过攻击者的历史行为数据预测行为类型，并对攻击者采取的攻击行为类型概率进行动态修正；攻击者也可通过攻击目标的防御能力采取进一步攻击或选择不攻击，即博弈双方以自身利益最大化为原则，通过分析双方收益来预测下一博弈阶段将会采取的行为方式。贝叶斯博弈均衡将保证预测的有效性和合理性。因此本文提出一种基于动态贝叶斯博弈的APT攻击预测方法。
发明内容
本发明的目的在于提供一种以博弈者利益最大化为目的的基于动态贝叶斯博弈的APT攻击预测方法。
为实现上述目的，本发明的技术方案是：一种基于动态贝叶斯博弈的APT攻击预测方法，包括如下步骤，
S1、通过查看网络的脆弱点，根据网络拓扑结构获取攻击者和防御者可能采取的行为策略；
S2、在动态贝叶斯博弈体系中构建APT攻击预测模型，分析基于模型的攻击者和防御者博弈双方收益构成；
S3、通过分析攻击者和防御者双方的收益，预测理性攻击者在下一个博弈阶段会选择的攻击行为的概率。
在本发明一实施例中，所述步骤S1中，通过漏洞扫描工具查看网络的脆弱点。
在本发明一实施例中，所述攻击者的收益构成包括包括三个变量：防御者没有检测出攻击时的收益、实施攻击的代价、被检测出攻击时受到的惩罚；所述防御者的收益构成包括三个变量：检测出攻击时的收益、没检测出攻击时的损失、阻止攻击的代价。
在本发明一实施例中，所述步骤S2中，为了获得博弈均衡，需要构造博弈树来分析攻击者和防御者双方的收益，预测理性攻击者在下一个博弈阶段会选择的攻击行为的概率；构造博弈树的方法为海萨尼转换，即引入一个虚拟的博弈局中人Nature，Nature首先根据概率分布决定攻击者的类型，接着每个攻击者再根据概率分布选择攻击行为类别和行为方式，再次，每个防御者根据概率分布选择防御行为类别和防御方式；该过程一个重复迭代的过程，直到达到结束条件停止博弈。
在本发明一实施例中，APT攻击方式包括网络探测、欺骗、会话劫持、拒绝服务攻击、缓冲区溢出攻击、口令探测、社交工程、物理攻击、木马、隐藏踪迹；APT攻击目的包括无、读取文件、远程访问、获取本地用户权限、访问根目录；对于攻击者而言，不同的攻击方式将带来不同的攻击成本，而不同攻击目的也将会带来不同的收益；攻击者的攻击策略为一种或多种组合的攻击方式；防御者的行为策略则是根据攻击者采取的攻击行为而做相应改变。
在本发明一实施例中，所述步骤S2中，APT攻击预测模型可以表示为：
其中，Tk为各个博弈阶段的时间，k＝0,1,2,···,n(n∈Z+)；λa λd为博弈参与者的类型，λa，为攻击者的类型分别表示恶意攻击者和良性攻击者；λd表示防御者的类型，能够检测和阻止攻击；B(λa)，B(λd)为参与者可选择的行为类别，其中B(λa)＝{attack，not attack}，P[B(λa)]，P(B(λd)]为每个参与者在博弈时认为其他参与者的行为类别的先验概率；为每个参与者根据其他参与者的历史行为数据来修正其他参与者的行为类别的后验概率；G(λa)，G(λd)分别为攻击者和防御者可选择的攻击方式和防御方式；μ(λa)，μ(λd)为参与者在博弈阶段所选择的攻击方式或防御方式所获的收益；E表示博弈均衡的状态。
在本发明一实施例中，攻击者与防御者的收益构成的变量是在t时刻前的变量叠加和，可表示为y(t)＝y(g1，t)*y(g2，t+T)*…*y(gn，t+(n-2)T)；其中，gn为参与者所做的第n个行为类别；T为行为持续时间。
在本发明一实施例中，所述结束条件为：至少一个参与者达到目的或者放弃竞争。
相较于现有技术，本发明具有以下有益效果：本发明通过查看网络的脆弱点，根据网络拓扑结构获取攻击者和防御者可能采取的全部行为策略；在动态贝叶斯博弈体系中构建APT攻击预测模型，分析基于模型的博弈双方收益构成；通过分析攻击者和防御者双方的收益，预测理性攻击者在下一个博弈阶段会选择的攻击行为的概率；本发明的动态贝叶斯博弈均衡将保证预测的有效性和合理性。
附图说明
图1为基于动态贝叶斯博弈的APT攻击预防流程图。
图2为基于动态贝叶斯博弈阶段构造的博弈树。
具体实施方式
下面结合附图1-2，对本发明的技术方案进行具体说明。
本发明最关键的构思在于：在动态贝叶斯博弈体系中，每个攻击者和防御者都是理性的参与者，不违背博弈均衡的原则，即都以自身利益最大化为原则，通过分析攻击者和防御者的收益，来预测下一博弈阶段攻击者和防御者将会采取的行为方式。每次博弈过程将包含多个博弈阶段，并且每个博弈阶段为一次性博弈，即双方若选定策略之后，将不会改变各自的策略直到该博弈阶段结束。
如图1所示，所述的基于动态贝叶斯博弈的APT攻击预防方法为：
通过查看网络的脆弱点，根据网络拓扑结构获取攻击者和防御者可能采取的全部行为策略；
在动态贝叶斯博弈体系中构建APT攻击预测模型，分析基于模型的博弈双方收益构成；
通过分析攻击者和防御者双方的收益，预测理性攻击者在下一个博弈阶段会选择的攻击行为的概率。动态贝叶斯博弈均衡将保证预测的有效性和合理性。
从上述描述可知，本发明的有益效果在于：通过动态贝叶斯博弈过程，可以预测攻击者在下一博弈阶段将会采取的攻击行为方式。该预测可以为安全系统提供有价值的防御参考，将传统的防御方式变被动为主动，通过预测攻击行为来提前阻止攻击行为的发生，能够有效提高系统的安全性能。
进一步的，通过查看网络的脆弱点，根据网络拓扑结构获取攻击者和防御者可能采取的全部行为策略的方法为：
通过漏洞扫描工具对指定的网络系统的安全脆弱性进行检测，及时发现安全漏洞和网络的脆弱点，根据网络拓扑结构获取攻击者和防御者可能采取的全部行为策略。
本方法的关键构思在于：APT攻击方式可以分为网络探测、欺骗、会话劫持、拒绝服务攻击、缓冲区溢出攻击、口令探测、社交工程、物理攻击、木马、隐藏踪迹等；攻击目的可分为无、读取文件、远程访问、获取本地用户权限、访问根目录等。对于攻击者而言，不同的攻击方式将带来不同的攻击成本，例如木马攻击和缓冲区溢出攻击所产生的攻击成本不同，而不同攻击目的也将会带来不同的收益，例如获取本地用户权限的利益比获取根目录访问权限小。攻击者的攻击策略可以是一种攻击方式，也可以是组合攻击方式。防御者的行为策略则是根据攻击者采取的攻击行为而做相应改变。
进一步的，在动态贝叶斯博弈体系中构建APT攻击预测模型，分析基于模型的博弈双方收益构成方法为：
本方法最关键的假设在于：
(1)根据博弈参与者是同时博弈或是序列博弈决定博弈类型属于静态博弈或者动态博弈；根据博弈参与者是否拥有其他参与者的所有信息决定博弈类型属于完全信息博弈或不完全信息博弈。假设本发明的基于动态贝叶斯博弈的APT攻击预测方法是属于动态的、不完全信息的博弈类型；
(2)假设所有博弈参与者都是理性的竞争者，即所有参与者以自身利益最大化为目的选择博弈策略，不会违背博弈均衡的原理；
(3)假设该博弈为二人动态博弈，每个博弈参与者可以是一个人、一个团队或一个组织。
动态贝叶斯博弈体系的博弈过程是每个参与者以自身利益最大化为目的，根据已知信息和系统当前状态来选择下一步采取的行为策略。基于动态贝叶斯博弈体系，APT攻击预测模型可以表示为：
其中：
(1)Tk为各个博弈阶段的时间，Tk＝tk+1-tk，k＝0，1，2，…，n(n∈Z+)，其中tk+1和tk分别表示博弈参与者选择行为k+1和k的时刻；
(2)λa，λd为博弈参与者的类型，λa，为攻击者的类型，分别表示恶意攻击者(对网络造成一定威胁和破坏)和良性攻击者(正常访问网络节点)。λd表示防御者的类型，能够检测和阻止攻击者的攻击；
(3)B(λa)，B(λd)为参与者可选择的行为类别，其中B(λa)＝{attack，notattack}，B(λa1)＝{attack}，B(λa2)＝{not attack}，B(λd1)＝{defend}，B(λd2)＝{not defend}
(4)P[B(λa)]，P[B(λd)]为每个参与者在博弈时认为其他参与者是某种行为类别的先验概率；
(5)为每个参与者根据其他参与者的历史行为数据来修正其他参与者的行为类别的后验概率；
(6)G(λa)，G(λd)分别为攻击者和防御者可选择的攻击方式和防御方式，其中则攻击者有m种可选攻击方式，防御者有n种可选防御方式；
(7)μ(λa)，μ(λd)为参与者在博弈阶段选择某种攻击方式或防御方式所获的收益；
(8)E表示博弈均衡的状态，即博弈的结果，可根据该结果预测参与者的行为方式。
进一步的，在动态贝叶斯博弈体系中构建APT攻击预测模型，分析基于模型的博弈双方收益构成。收益是博弈双方选择行为类别的重要因素之一，并且受很多因素的影响。攻击者的收益构成包括三个变量：防御者没有检测出攻击时的收益、实施攻击的代价、被检测出攻击时受到的惩罚；防御者的收益构成也包括三个变量：检测出攻击时的收益、没检测出攻击时的损失、阻止攻击的代价。
本发明涉及的博弈变量含义解释详见表1：
表1博弈变量含义表
一般情况下，
在动态贝叶斯博弈过程中，选择攻击的攻击者收益可表示为：
在动态贝叶斯博弈过程中，选择不攻击的攻击者收益可表示为：
在动态贝叶斯博弈过程中，当攻击者选择攻击行为类别时，选择防御的防御者收益可表示为：
在动态贝叶斯博弈过程中，当攻击者选择不攻击行为类别时，选择防御的防御者收益可表示为：
本方法最关键的构思在于：每个参与者收益构成的变量并不是在t时刻产生的数值，而是t时刻前的变量叠加和，可表示为y(t)＝y(g1，t)*y(g2，t+T)*…*y(gn，t+(n-1)T)。其中gn为参与者所做的第n个行为类别；T为行为持续时间。
进一步的，通过构造博弈树分析攻击者和防御者双方的收益，预测理性攻击者在下一个博弈阶段会选择的攻击行为的概率。构造博弈树的方法为海萨尼转换，即引入一个虚拟的博弈局中人“Nature”，如图2所示。Nature首先根据概率分布决定攻击者的类型，接着每个攻击者再根据概率分布选择攻击行为类别和行为方式，再次，每个防御者根据概率分布选择防御行为类别和防御方式。
进一步的，动态博弈过程实质是通过不断修正对方选择行为类别后验概率并选择最有利行为类别的过程。当攻击者在Ti博弈阶段选择某个攻击行为方式时，攻击者会预测到防御者在该攻击行为发生后修正攻击者自身选择行为方式的后验概率。因此，攻击者也会预测到防御者将在Ti+1博弈阶段会选择的防御行为类别，那么攻击者则会在Ti+1博弈阶段选择最有利于自己的行为类别。
若选择攻击行为类别的攻击者在Ti博弈阶段选择行为方式防御者修正该攻击者选择行为类别的后验概率可表示为：
其中表示攻击者从T1至Ti博弈阶段的历史行为方式类别序列，是先验概率；是攻击者在Ti博弈阶段可选的行为方式分布概率。
进一步的，假设攻击者以α的概率选择attack行为类别，
(1)若防御者选择defend行为类别，则防御者的收益可表示为：
(2)若防御者选择notdefend行为类别，则防御者的收益可表示为：
因此当μ(λd1)＝μ(λd2)，即当攻击者选择attack行为类别的概率为
对于防御者而言选择任何防御行为都无差别。
进一步的，假设防御者以γ的概率选择defend行为类别，
(1)若攻击者选择attack行为类别，则攻击者的收益可表示为：
(2)若攻击者选择not attack行为类别，则攻击者的收益可表示为：
μ(λa2)＝0；
因此当μ(λa1)＝μ(λa2)，即防御者选择defend行为类别的概率为
对于攻击者而言选择任何攻击行为都无差别。
该发明的关键构思在于：这是一个重复迭代的过程，直到达到结束条件停止博弈。至少一个参与者达到目的或者放弃竞争都将视为结束条件。根据以上基于动态贝叶斯博弈的APT攻击预测模型可知，攻击者和防御者会按照后验概率和均衡体系下的行为类别概率来选择最优的行为方式。动态贝叶斯博弈均衡将保证预测的有效性和合理性。
以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等同变换，或直接或间接运用在相关的技术领域，均同理包括在本发明的专利保护范围内。
以上是本发明的较佳实施例，凡依本发明技术方案所作的改变，所产生的功能作用未超出本发明技术方案的范围时，均属于本发明的保护范围。
Claims (8)
1.一种基于动态贝叶斯博弈的APT攻击预测方法，其特征在于：包括如下步骤，
S1、通过查看网络的脆弱点，根据网络拓扑结构获取攻击者和防御者可能采取的行为策略；
S2、在动态贝叶斯博弈体系中构建APT攻击预测模型，分析基于模型的攻击者和防御者博弈双方收益构成；
S3、通过分析攻击者和防御者双方的收益，预测理性攻击者在下一个博弈阶段会选择的攻击行为的概率。
2.根据权利要求1所述的基于动态贝叶斯博弈的APT攻击预测方法，其特征在于：所述步骤S1中，通过漏洞扫描工具查看网络的脆弱点。
3.根据权利要求1所述的基于动态贝叶斯博弈的APT攻击预测方法，其特征在于：所述攻击者的收益构成包括包括三个变量：防御者没有检测出攻击时的收益、实施攻击的代价、被检测出攻击时受到的惩罚；所述防御者的收益构成包括三个变量：检测出攻击时的收益、没检测出攻击时的损失、阻止攻击的代价。
4.根据权利要求1所述的基于动态贝叶斯博弈的APT攻击预测方法，其特征在于：所述步骤S2中，为了获得博弈均衡，需要构造博弈树来分析攻击者和防御者双方的收益，预测理性攻击者在下一个博弈阶段会选择的攻击行为的概率；构造博弈树的方法为海萨尼转换，即引入一个虚拟的博弈局中人Nature，Nature首先根据概率分布决定攻击者的类型，接着每个攻击者再根据概率分布选择攻击行为类别和行为方式，再次，每个防御者根据概率分布选择防御行为类别和防御方式；该过程一个重复迭代的过程，直到达到结束条件停止博弈。
5.根据权利要求1所述的基于动态贝叶斯博弈的APT攻击预测方法，其特征在于：APT攻击方式包括网络探测、欺骗、会话劫持、拒绝服务攻击、缓冲区溢出攻击、口令探测、社交工程、物理攻击、木马、隐藏踪迹；APT攻击目的包括无、读取文件、远程访问、获取本地用户权限、访问根目录；对于攻击者而言，不同的攻击方式将带来不同的攻击成本，而不同攻击目的也将会带来不同的收益；攻击者的攻击策略为一种或多种组合的攻击方式；防御者的行为策略则是根据攻击者采取的攻击行为而做相应改变。
6.根据权利要求1所述的基于动态贝叶斯博弈的APT攻击预测方法，其特征在于：所述步骤S2中，APT攻击预测模型可以表示为：
<mfenced open = "" close = "">
<mtable>
<mtr>
<mtd>
<mrow>
<mi>A</mi>
<mi>P</mi>
<mi>T</mi>
<mi>P</mi>
<mo>=</mo>
<mo>{</mo>
<msub>
<mi>T</mi>
<mi>k</mi>
</msub>
<mo>;</mo>
<msub>
<mi>&lambda;</mi>
<mi>a</mi>
</msub>
<mo>,</mo>
<msub>
<mi>&lambda;</mi>
<mover>
<mi>a</mi>
<mo>&OverBar;</mo>
</mover>
</msub>
<mo>,</mo>
<msub>
<mi>&lambda;</mi>
<mi>d</mi>
</msub>
<mo>;</mo>
<mi>B</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mi>a</mi>
</msub>
<mo>)</mo>
</mrow>
<mo>,</mo>
<mi>B</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mover>
<mi>a</mi>
<mo>&OverBar;</mo>
</mover>
</msub>
<mo>)</mo>
</mrow>
<mo>,</mo>
<mi>B</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mi>d</mi>
</msub>
<mo>)</mo>
</mrow>
<mo>;</mo>
<mi>P</mi>
<mo>&lsqb;</mo>
<mi>B</mi>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mi>a</mi>
</msub>
<mo>&rsqb;</mo>
<mo>,</mo>
<mi>P</mi>
<mrow>
<mo>&lsqb;</mo>
<mrow>
<mi>B</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mover>
<mi>a</mi>
<mo>&OverBar;</mo>
</mover>
</msub>
<mo>)</mo>
</mrow>
</mrow>
<mo>&rsqb;</mo>
</mrow>
<mo>,</mo>
</mrow>
</mtd>
</mtr>
<mtr>
<mtd>
<mrow>
<mi>P</mi>
<mrow>
<mo>&lsqb;</mo>
<mrow>
<mi>B</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mi>d</mi>
</msub>
<mo>)</mo>
</mrow>
</mrow>
<mo>&rsqb;</mo>
</mrow>
<mo>;</mo>
<mover>
<mi>P</mi>
<mo>~</mo>
</mover>
<mo>&lsqb;</mo>
<mi>B</mi>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mi>a</mi>
</msub>
<mo>&rsqb;</mo>
<mo>,</mo>
<mover>
<mi>P</mi>
<mo>~</mo>
</mover>
<mrow>
<mo>&lsqb;</mo>
<mrow>
<mi>B</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mover>
<mi>a</mi>
<mo>&OverBar;</mo>
</mover>
</msub>
<mo>)</mo>
</mrow>
</mrow>
<mo>&rsqb;</mo>
</mrow>
<mo>,</mo>
<mover>
<mi>P</mi>
<mo>~</mo>
</mover>
<mrow>
<mo>&lsqb;</mo>
<mrow>
<mi>B</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mi>d</mi>
</msub>
<mo>)</mo>
</mrow>
</mrow>
<mo>&rsqb;</mo>
</mrow>
<mo>;</mo>
<mi>G</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mi>a</mi>
</msub>
<mo>)</mo>
</mrow>
<mo>,</mo>
<mi>G</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mi>d</mi>
</msub>
<mo>)</mo>
</mrow>
<mo>;</mo>
</mrow>
</mtd>
</mtr>
<mtr>
<mtd>
<mrow>
<mi>&mu;</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mi>a</mi>
</msub>
<mo>)</mo>
</mrow>
<mo>,</mo>
<mi>&mu;</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>&lambda;</mi>
<mi>d</mi>
</msub>
<mo>)</mo>
</mrow>
<mo>;</mo>
<mi>E</mi>
<mo>}</mo>
</mrow>
</mtd>
</mtr>
</mtable>
</mfenced>
其中，Tk为各个博弈阶段的时间，k＝0,1,2,…,n(n∈Z+)；λa，λd为博弈参与者的类型，λa，为攻击者的类型分别表示恶意攻击者和良性攻击者；λd表示防御者的类型，能够检测和阻止攻击；B(λa)，B(λd)为参与者可选择的行为类别，其中B(λa)＝{attack，notattack}，为每个参与者在博弈时认为其他参与者的行为类别的先验概率；为每个参与者根据其他参与者的历史行为数据来修正其他参与者的行为类别的后验概率；G(λa)，G(λd)分别为攻击者和防御者可选择的攻击方式和防御方式；μ(λa)，μ(λd)为参与者在博弈阶段所选择的攻击方式或防御方式所获的收益；E表示博弈均衡的状态。
7.根据权利要求3所述的基于动态贝叶斯博弈的APT攻击预测方法，其特征在于：攻击者与防御者的收益构成的变量是在t时刻前的变量叠加和，可表示为y(t)＝y(g1，t)*y(g2，t+T)*…*y(gn，t+(n-1)T)；其中，gn为参与者所做的第n个行为类别；T为行为持续时间。
8.根据权利要求4所述的基于动态贝叶斯博弈的APT攻击预测方法，其特征在于：所述结束条件为：至少一个参与者达到目的或者放弃竞争。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201710457071.8A CN107070956B (zh) | 2017-06-16 | 2017-06-16 | 基于动态贝叶斯博弈的apt攻击预测方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201710457071.8A CN107070956B (zh) | 2017-06-16 | 2017-06-16 | 基于动态贝叶斯博弈的apt攻击预测方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN107070956A true CN107070956A (zh) | 2017-08-18 |
| CN107070956B CN107070956B (zh) | 2019-11-08 |
Family
ID=59594652
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201710457071.8A Active CN107070956B (zh) | 2017-06-16 | 2017-06-16 | 基于动态贝叶斯博弈的apt攻击预测方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN107070956B (zh) |
Cited By (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108322478A (zh) * | 2018-03-05 | 2018-07-24 | 西安邮电大学 | 一种基于攻防博弈的网站防御策略选取方法 |
| CN109194685A (zh) * | 2018-10-12 | 2019-01-11 | 天津大学 | 基于安全博弈论的中间人攻击防御策略 |
| CN110191083A (zh) * | 2019-03-20 | 2019-08-30 | 中国科学院信息工程研究所 | 面向高级持续性威胁的安全防御方法、装置与电子设备 |
| CN110278198A (zh) * | 2019-06-04 | 2019-09-24 | 西安邮电大学 | 基于博弈论的网络中资产的安全风险评估方法 |
| CN110365713A (zh) * | 2019-08-22 | 2019-10-22 | 中国科学技术大学 | 针对高级持续性威胁的网络防御资源最优分配方法 |
| CN110417733A (zh) * | 2019-06-24 | 2019-11-05 | 中国人民解放军战略支援部队信息工程大学 | 基于qbd攻防随机演化博弈模型的攻击预测方法、装置及系统 |
| CN112003854A (zh) * | 2020-08-20 | 2020-11-27 | 中国人民解放军战略支援部队信息工程大学 | 基于时空博弈的网络安全动态防御决策方法 |
| CN113761520A (zh) * | 2020-06-01 | 2021-12-07 | 中移(苏州)软件技术有限公司 | 一种检测防御方法、服务器和存储介质 |
| CN114666107A (zh) * | 2022-03-04 | 2022-06-24 | 北京工业大学 | 移动雾计算中一种高级持续性威胁防御方法 |
| CN115208618A (zh) * | 2022-05-24 | 2022-10-18 | 华北电力大学 | 基于多层次攻防博弈的新型电力系统apt攻击主动防御策略 |
| CN117040809A (zh) * | 2023-07-20 | 2023-11-10 | 浙江大学 | 基于贝叶斯随机博弈的工业信息物理系统防御策略生成方法 |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20090099987A1 (en) * | 2007-10-15 | 2009-04-16 | University Of Southern California | Decomposed optimal bayesian stackelberg solver |
| CN101808020A (zh) * | 2010-04-19 | 2010-08-18 | 吉林大学 | 基于不完全信息动态博弈的入侵响应决策方法 |
| CN105024976A (zh) * | 2014-04-24 | 2015-11-04 | 中国移动通信集团山西有限公司 | 一种高级持续威胁攻击识别方法及装置 |
| CN106789906A (zh) * | 2016-11-22 | 2017-05-31 | 全球能源互联网研究院 | 博弈数据分析方法及装置 |
-
2017
- 2017-06-16 CN CN201710457071.8A patent/CN107070956B/zh active Active
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20090099987A1 (en) * | 2007-10-15 | 2009-04-16 | University Of Southern California | Decomposed optimal bayesian stackelberg solver |
| CN101808020A (zh) * | 2010-04-19 | 2010-08-18 | 吉林大学 | 基于不完全信息动态博弈的入侵响应决策方法 |
| CN105024976A (zh) * | 2014-04-24 | 2015-11-04 | 中国移动通信集团山西有限公司 | 一种高级持续威胁攻击识别方法及装置 |
| CN106789906A (zh) * | 2016-11-22 | 2017-05-31 | 全球能源互联网研究院 | 博弈数据分析方法及装置 |
Non-Patent Citations (4)
| Title |
|---|
| 张恒巍等: "信号博弈网络安全威胁评估方法", 《西安电子科技大学学报》 * |
| 张鹏等: "基于动态博弈的空间目标行为预测与决策方法", 《系统仿真学报》 * |
| 曹晖: "基于贝叶斯博弈的攻击预测模型", 《中国优秀硕士学位论文全文数据库 信息科技辑》 * |
| 曹晖等: "基于动态贝叶斯博弈的攻击预测模型", 《计算机应用》 * |
Cited By (18)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108322478A (zh) * | 2018-03-05 | 2018-07-24 | 西安邮电大学 | 一种基于攻防博弈的网站防御策略选取方法 |
| CN108322478B (zh) * | 2018-03-05 | 2020-09-04 | 西安邮电大学 | 一种基于攻防博弈的网站防御策略选取方法 |
| CN109194685A (zh) * | 2018-10-12 | 2019-01-11 | 天津大学 | 基于安全博弈论的中间人攻击防御策略 |
| CN110191083A (zh) * | 2019-03-20 | 2019-08-30 | 中国科学院信息工程研究所 | 面向高级持续性威胁的安全防御方法、装置与电子设备 |
| CN110278198A (zh) * | 2019-06-04 | 2019-09-24 | 西安邮电大学 | 基于博弈论的网络中资产的安全风险评估方法 |
| CN110417733B (zh) * | 2019-06-24 | 2021-09-10 | 中国人民解放军战略支援部队信息工程大学 | 基于qbd攻防随机演化博弈模型的攻击预测方法、装置及系统 |
| CN110417733A (zh) * | 2019-06-24 | 2019-11-05 | 中国人民解放军战略支援部队信息工程大学 | 基于qbd攻防随机演化博弈模型的攻击预测方法、装置及系统 |
| CN110365713A (zh) * | 2019-08-22 | 2019-10-22 | 中国科学技术大学 | 针对高级持续性威胁的网络防御资源最优分配方法 |
| CN110365713B (zh) * | 2019-08-22 | 2021-12-14 | 中国科学技术大学 | 针对高级持续性威胁的网络防御资源最优分配方法 |
| CN113761520A (zh) * | 2020-06-01 | 2021-12-07 | 中移(苏州)软件技术有限公司 | 一种检测防御方法、服务器和存储介质 |
| CN113761520B (zh) * | 2020-06-01 | 2024-04-12 | 中移(苏州)软件技术有限公司 | 一种检测防御方法、服务器和存储介质 |
| CN112003854A (zh) * | 2020-08-20 | 2020-11-27 | 中国人民解放军战略支援部队信息工程大学 | 基于时空博弈的网络安全动态防御决策方法 |
| CN114666107A (zh) * | 2022-03-04 | 2022-06-24 | 北京工业大学 | 移动雾计算中一种高级持续性威胁防御方法 |
| CN114666107B (zh) * | 2022-03-04 | 2024-06-04 | 北京工业大学 | 移动雾计算中一种高级持续性威胁防御方法 |
| CN115208618A (zh) * | 2022-05-24 | 2022-10-18 | 华北电力大学 | 基于多层次攻防博弈的新型电力系统apt攻击主动防御策略 |
| CN115208618B (zh) * | 2022-05-24 | 2024-05-14 | 华北电力大学 | 基于多层次攻防博弈的新型电力系统apt攻击主动防御方法 |
| CN117040809A (zh) * | 2023-07-20 | 2023-11-10 | 浙江大学 | 基于贝叶斯随机博弈的工业信息物理系统防御策略生成方法 |
| CN117040809B (zh) * | 2023-07-20 | 2024-04-05 | 浙江大学 | 基于贝叶斯随机博弈的工业信息物理系统防御策略生成方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN107070956B (zh) | 2019-11-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN107070956B (zh) | 基于动态贝叶斯博弈的apt攻击预测方法 | |
| CN110191083B (zh) | 面向高级持续性威胁的安全防御方法、装置与电子设备 | |
| Chen et al. | Modeling of intrusion and defense for assessment of cyber security at power substations | |
| Huang et al. | Adaptive strategic cyber defense for advanced persistent threats in critical infrastructure networks | |
| CN107147670B (zh) | 基于博弈体系的apt防御方法 | |
| Jormakka et al. | Modelling information warfare as a game | |
| CN110300106B (zh) | 基于Markov时间博弈的移动目标防御决策选取方法、装置及系统 | |
| CN110035066B (zh) | 一种基于博弈论的攻防行为量化评估方法及系统 | |
| Laszka et al. | Mitigating covert compromises: A game-theoretic model of targeted and non-targeted covert attacks | |
| CN108898010A (zh) | 一种建立面向恶意代码防御的攻防随机博弈模型的方法 | |
| CN111245828A (zh) | 一种基于三方动态博弈的防御策略产生方法 | |
| CN109714364A (zh) | 一种基于贝叶斯改进模型的网络安全防御方法 | |
| Wan et al. | Foureye: Defensive deception against advanced persistent threats via hypergame theory | |
| CN103401838A (zh) | 一种基于僵尸程序传播行为的僵尸网络预防方法 | |
| Lin et al. | Optimal defense-attack strategies between M defenders and N attackers: A method based on cumulative prospect theory | |
| Li et al. | Anti-honeypot enabled optimal attack strategy for industrial cyber-physical systems | |
| Han et al. | Fact and fiction: Challenging the honest majority assumption of permissionless blockchains | |
| Stockburger | Known unknowns: state cyber operations, cyber warfare, and the jus ad bellum | |
| Yin et al. | Optimal defense against election control by deleting voter groups | |
| Sokri | Game theory and cyber defense | |
| CN113132398A (zh) | 一种基于q学习的阵列蜜罐系统防御策略预测方法 | |
| CN113098908A (zh) | 一种基于多阶段博弈的虚假数据注入攻击防御方法及装置 | |
| Liu et al. | A type of block withholding delay attack and the countermeasure based on type-2 fuzzy inference | |
| Ravishankar et al. | A game theoretic software test-bed for cyber security analysis of critical infrastructure | |
| Guan et al. | A Bayesian Improved Defense Model for Deceptive Attack in Honeypot-Enabled Networks |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| PE01 | Entry into force of the registration of the contract for pledge of patent right | ||
| PE01 | Entry into force of the registration of the contract for pledge of patent right |
Denomination of invention: Apt attack prediction method based on Dynamic Bayesian game Effective date of registration: 20220328 Granted publication date: 20191108 Pledgee: Pudong Development Bank of Shanghai Limited by Share Ltd. Fuzhou branch Pledgor: FUJIAN ZHONGXIN WANG 'AN INFORMATION TECHNOLOGY CO.,LTD. Registration number: Y2022350000036 |
|
| CB03 | Change of inventor or designer information | ||
| CB03 | Change of inventor or designer information |
Inventor after: He Ying Inventor after: Shen Chucheng Inventor after: Yang Yeliang Inventor after: Wu Cuiyun Inventor after: Lin Jie Inventor before: He Ying Inventor before: Shen Chucheng Inventor before: Yang Yeliang Inventor before: Wu Cuiyun Inventor before: Lin Jie |