CN109218304B

CN109218304B - 一种基于攻击图和协同进化的网络风险阻断方法

Info

Publication number: CN109218304B
Application number: CN201811063074.4A
Authority: CN
Inventors: 胡晶晶; 麻东彦; 武卓卓; 刘辰; 闫怀志; 薛静锋; 胡昌振
Original assignee: Beijing Institute of Technology BIT
Current assignee: Beijing Institute of Technology BIT
Priority date: 2018-09-12
Filing date: 2018-09-12
Publication date: 2020-09-25
Anticipated expiration: 2038-09-12
Also published as: CN109218304A

Abstract

本发明提供了一种基于攻击图和协同进化的网络风险阻断方法，一、使用漏洞扫描工具扫描网络环境，获得网络脆弱点信息、配置信息和拓扑信息，利用上述三种信息生成攻击图，并且定义攻击图中各节点的多个风险度量属性和属性值的计算方法；二、根据各风险度量属性值的计算方法，获得攻击图中各节点的风险度量属性值数据集，根据熵值法来确定各风险度量属性的权重；三、对每个节点的风险度量属性值数据集进行加权融合得到每个节点的风险度量属性综合值；四、将每个节点的风险度量属性综合值作为协同进化算法的输入，通过初始种群的确定、适应度函数计算、个体选择、交叉操作和变异操作得到每个节点集的风险评价值，并以此评估网络阻断路径。

Description

一种基于攻击图和协同进化的网络风险阻断方法

技术领域

本发明属于计算机网络安全的技术领域，具体涉及一种基于攻击图和协同进化的网络风险阻断方法。

背景技术

网络安全评估方法主要分为两种，一是基于规则的评估方法，二是基于模型的评估方法。传统的基于规则的网络风险评估方法采用入侵检测和脆弱性扫描工具，只能发现暴露在网络环境表层中的风险，是一种局部的网络安全评估技术，只能对网络中的单个节点进行风险评估。基于模型的评估方法可以考虑到网络环境中主机或服务器节点之间的关联性及其上存在的脆弱点之间的关联性，客观地评价当前网络环境的整体脆弱性和存在的安全隐患。

攻击图模型将网络拓扑信息考虑在网络的建模工作中，为评估提供了全面的信息，而且模型检测器为攻击图模型的生成提供了自动化的工作，使评估工作减少了人的主观因素的影响，更加符合真实情况，通过攻击图模型可以对计算机网络系统脆弱环节、易受攻击环节、攻击路径和系统损失风险等进行定性或定量分析。但是已有的基于攻击图模型的网络安全风险评估方法只能适应于小型网络，对于拥有大量主机节点的大型网络进行评估计算往往力不从心，计算耗时长，评估的准确性低。

协同进化算法在求解优化问题上有着显著的优越性，将其应用在网络风险阻断领域，可以对拥有大量主机节点的大型网络进行高准确性的评估。基于以上几点的考虑本方法通过协同进化遗传算法来解决最优风险阻断节点集的选择问题，并且通过熵值法来确定定义的攻击图模型中各节点的属性的权重。

发明内容

有鉴于此，本发明提供了一种基于攻击图和协同进化的网络风险阻断方法，能够对网络安全风险进行有效阻断。

实现本发明的技术方案如下：

一种基于攻击图和协同进化的网络风险阻断方法，包括以下步骤：

步骤一、使用漏洞扫描工具扫描网络环境，获得网络脆弱点信息、配置信息和拓扑信息，利用上述三种信息生成攻击图，并且定义攻击图中各节点的多个风险度量属性和属性值的计算方法；

步骤二、根据各风险度量属性值的计算方法，获得攻击图中各节点的风险度量属性值数据集，根据熵值法来确定各风险度量属性的权重；

步骤三、对每个节点的风险度量属性值数据集进行加权融合得到每个节点的风险度量属性综合值；

步骤四、将每个节点的风险度量属性综合值作为协同进化算法的输入，根据攻击图的攻击路径将节点划分为节点集，再根据攻击路径的长度将节点集划分为不同的种群，即为协同进化算法的初始种群，通过适应度函数计算、个体选择、交叉操作和变异操作得到每个节点集的风险评价值，以此确定网络风险阻断路径。

进一步地，节点风险度量属性和属性值的计算方法定义如下：

(1)漏洞的危害度q_c表示在所有条件满足的情况下，攻击者利用该漏洞对目标主机造成的危害程度，使用公共漏洞和暴露CVE漏洞数据库给出的该漏洞的CVSS评分作为漏洞的危害度q_c的值，分数越高表示该漏洞自身越容易被利用且危害度越大；

(2)节点的累积可达概率q_a表示攻击者成功利用网络节点中一个漏洞的概率；

其中，e表示到达某节点漏洞的前置节点的关系，

当节点i与节点j为与关系时，q_a＝p(i)*p(j)；

当节点i与节点j为或关系时，q_a＝1-(1-p(i))*(1-p(j))；

当节点i与节点j为与关系，节点i,j与节点k为或关系时，q_a＝1-(1-p(i)*p(j))* (1-p(k))；

其中，p(m)＝2*AV(m)*AC(m)*AU(m)，0<p(m)<1，m＝i,j或k，AV(m)、AC(m) 和AU(m)分别为CVSS评分中脆弱点节点n的基本属性的3个指标；CVSS指标中可用性分为三个等级：Low、Mid、High；等级越高，该脆弱点越容易被利用，取值如下表所示；

(3)资产被破坏的难易程度q_y表示主机及其上的服务的价值；由以下两个因素决定：(a)资产的价值，取值0～1，由资产的机密性Y_c、完整性Y_i和可用性Y_a三者来决定；(b)主机上的漏洞个数n；

进一步地，个体选择通过改进的基于切断的轮盘赌方法，具体为：个体进入下一代的概率由P-1/N决定，P为轮盘赌方法中个体进入下一代的概率，N为种群大小，若P-1/N小于或者等于0，则个体进入下一代的概率为0，否则为P-1/N。

进一步地，交叉操作采用精英保留机制和个体相似度两方面来共同决定，具体为：精英保留机制是将a个父代个体与b个经过进化得到子代个体合并，从这(a+b)个个体中选择适应值高的个体进入下一代群体，只有当个体相似度小的时候才进行交叉操作。

有益效果：

本发明方法对比已有技术，能够将智能算法应用于网络风险评估阻断方法上，将人工智能领域和网络安全领域相结合，提升了网络风险阻断的效率，增强了网络风险阻断方法的准确性，减小了代价成本。

附图说明

图1为本发明流程图。

图2是协同进化算法和遗传算法在种群规模为900，进化代数不同的情况下进化所消耗的时间示意图。

图3是合作型协同进化算法和遗传算法在种群规模为900，进化代数不同的情况下所求得的风险阻断节点组合的最优解的适应度值。

具体实施方式

下面结合附图并举实施例，对本发明进行详细描述。

攻击图模型将网络拓扑信息考虑在网络的建模工作中，为评估提供了全面的信息，而且模型检测器为攻击图模型的生成提供了自动化的手段，使评估工作减少了人为的主观因素的影响，更加科学化。通过攻击图模型可以对计算机网络系统脆弱环节、易受攻击环节、攻击路径和系统损失风险等进行定性或定量分析。

协同进化算法是针对当前流行的智能优化算法的不足而提出的新算法。它考虑了个体与个体之间、个体与环境之间的关系对个体进化所造成的影响。与遗传算法相比，协同进化算法在求解优化问题中将单种群合理的划分为多种群，对于计算量比较大的服务组合优化问题能够很好的避免“局部最优”现象的出现，实现快速、精确的寻找到全局最优解。

本发明通过使用漏洞扫描工具扫描网络，获得网络脆弱点信息，配置信息和拓扑信息，利用上述三种信息根据攻击图生成算法生成攻击图，并且定义攻击图中节点的风险度量属性和属性的计算方法，根据攻击图中节点的风险度量属性值和属性计算，获得攻击图节点的风险度量数据集，得到完整的攻击图模型；将风险度量数据集作为协同进化算法的输入，根据初始种群的确立方法、适应度函数计算方法、个体的选择、交叉、变异操作，执行数据在算法层面的自然进化，从而获取网络安全风险阻断策略结果。

如图1所示，本发明方法具体包括以下步骤：

步骤一、使用漏洞扫描工具扫描网络环境，获得网络脆弱点信息，配置信息和拓扑信息，利用上述三种信息根据攻击图生成算法，生成攻击图，并且定义攻击图中节点的风险度量属性和属性值的计算方法；

节点风险度量属性及计算方法如下：

(1)漏洞的危害度q_c表示在所有条件满足的情况下，攻击者利用该漏洞对目标主机造成的危害程度，比对CVE(Common Vulnerabilities&Exposures,公共漏洞和暴露)漏洞数据库，使用其给出的该漏洞的CVSS评分，分数越高表示该漏洞自身越容易被利用且危害度越大。

(2)节点的累积可达概率q_a 表示攻击者成功利用网络节点中一个漏洞的概率。节点的累积可达概率与漏洞的固有被利用概率和攻击图中的攻击路径有关；

其中，e表示到达某节点漏洞的前置节点的关系，

当节点i与节点j为与关系时，q_a＝p(i)*p(j)；

当节点i与节点j为或关系时，q_a＝1-(1-p(i))*(1-p(j))；

步骤四、将每个节点的风险度量属性综合值作为协同进化算法的输入，根据攻击图的攻击路径将节点划分为节点集，再根据攻击路径的长度将节点集划分为不同的种群，即为协同进化算法的初始种群，通过适应度函数计算、个体选择、交叉操作和变异操作得到每个节点集的风险评价值，数值最大的即为最优攻击路径，该最优攻击路径即为网络风险阻断路径。

个体选择通过改进的基于切断的轮盘赌方法，具体为：个体进入下一代的概率由P-1/N决定，P为轮盘赌方法中个体进入下一代的概率，N为种群大小。若P-1/N小于或者等于0，则个体进入下一代的概率为0，否则为P-1/N。

交叉操作采用精英保留策略和个体相似度两方面来共同决定，具体为：精英保留机制是将a个父代个体与b个经过进化得到子代个体合并，从这(a+b) 个个体中选择适应值高的个体进入下一代群体，只有当个体相似度小的时候才进行交叉操作。

例如，根据搭建的仿真实验环境生成的攻击图中，共有1185个攻击节点，除去285个叶子节点(攻击终端节点)外，共有900个攻击节点，根据初始种群的划分方法将这些攻击节点划分为3个种群，将这些节点随机均分到这三个种群中。

需要说明的是，本实例采用根据生成的攻击图的平均攻击路径长度来确定算法初始种群的个数的初始种群数确定方法，改进的基于切断的轮盘赌选择方法，采用精英保留策略和个体相似度两方面来共同决定是否交叉的交叉策略。

如图2所示，该图反映的是协同进化算法和遗传算法在种群规模为900，进化代数不同的情况下进化所消耗的时间。图中的横坐标代表种群的进化代数，纵坐标代表CPU所消耗的时间。从图中可以看出，CGA(合作型协同进化算法) 在运算时间上低于GA(遗传算法)，因此可以说明协同进化算法可以在有限的时间内快速、准确的找到风险阻断节点组合的最优解。

如图3所示，该图反映的是合作型协同进化算法和遗传算法在种群规模为 900，进化代数不同的情况下所求得的风险阻断节点组合的最优解的适应度值。在图中横坐标表示种群进化的代数，纵坐标表示最优解的适应度值。从图中可以看出，随着进化代数的增加，合作型协同进化遗传算法所求得的适应度值也在逐渐增加，而遗传算法所求得的适应度值增幅较小，而且所求得的适应度值也小于前者。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种基于攻击图和协同进化的网络风险阻断方法，其特征在于，包括以下步骤：

节点风险度量属性和属性值的计算方法定义如下：

(1)漏洞的危害度q_c表示在所有条件满足的情况下，攻击者利用该漏洞对目标主机造成的危害程度，使用公共漏洞和暴露CVE漏洞数据库给出的该漏洞的CVSS评分作为漏洞的危害度q_c的值；

其中，e表示到达某节点漏洞的前置节点的关系，

当节点i与节点j为与关系时，q_a＝p(i)*p(j)；

当节点i与节点j为或关系时，q_a＝1-(1-p(i))*(1-p(j))；

当节点i与节点j为与关系，节点i,j与节点k为或关系时，q_a＝1-(1-p(i)*p(j))*(1-p(k))；

其中，p(m)＝2*AV(m)*AC(m)*AU(m)，0<p(m)<1，m＝i,j或k，AV(m)、AC(m)和AU(m)分别为CVSS评分中脆弱点节点n的基本属性的3个指标；CVSS指标中可用性分为三个等级：Low、Mid、High；取值如下表所示；

步骤四、将每个节点的风险度量属性综合值作为协同进化算法的输入，根据攻击图的攻击路径将节点划分为节点集，再根据攻击路径的长度将节点集划分为不同的种群，即为协同进化算法的初始种群，然后通过适应度函数计算、个体选择、交叉操作和变异操作得到每个节点集的风险评价值，以此确定网络风险阻断路径。

2.如权利要求1所述的一种基于攻击图和协同进化的网络风险阻断方法，其特征在于，个体选择通过改进的基于切断的轮盘赌方法，具体为：个体进入下一代的概率由P-1/N决定，P为轮盘赌方法中个体进入下一代的概率，N为种群大小，若P-1/N小于或者等于0，则个体进入下一代的概率为0，否则为P-1/N。

3.如权利要求1所述的一种基于攻击图和协同进化的网络风险阻断方法，其特征在于，交叉操作采用精英保留机制和个体相似度两方面来共同决定，具体为：精英保留机制是将a个父代个体与b个经过进化得到子代个体合并，从这(a+b)个个体中选择适应值高的个体进入下一代群体，只有当个体相似度小的时候才进行交叉操作。