CN109714364A - 一种基于贝叶斯改进模型的网络安全防御方法 - Google Patents

Abstract

本发明的目的是解决针对欺诈性攻击，防御方如何利用入侵检测和蜜罐进行决策的问题。为此提供一种基于博弈论的网络安全智能评估方法，该方法将恶意用户和防御方的交互建模为多次博弈模型，通过贝叶斯模型刻画恶意用户的欺诈行为。根据恶意用户相对历史收益模型，提出贝叶斯改进模型。该模型通过对每轮博弈情况的数据采集和分析，使得防守方做出最佳选择，提高攻击方的攻击成本，减少攻击次数，提升网络安全性。

Description

一种基于贝叶斯改进模型的网络安全防御方法

技术领域

本发明涉及一种网络安全评估的方法，特别涉及一种针对欺诈性攻击的基于贝叶斯改进模型的网络安全防御方法。

背景技术

在基于检测的网络安全技术中，蜜罐是一个运用较成熟的检测技术，并且得到了大量的进展研究。蜜罐本身也是一种资源，与常规系统不同的是其中的“价值信息”都是自己设置好的虚假信息。蜜罐设计的目的就是被攻击者扫描、攻击等，引诱攻击者在精心布置好的系统中进行一系列攻击手段，只要控制其攻击行为对真实系统的损害在可接受范围即可。通过蜜罐可以收集、监视并分析攻击者的在蜜罐中的攻击行为信息，利用这些有效信息，就可以对真实系统进行提前的防御升级。

在网络安全的研究中，博弈论为此提供了一个较理想的解决方案，特别是在复杂的交互网络结构下，博弈论能够解决这类多博弈者在相互影响下的复杂关系，提供一个数学框架来帮助分析问题。博弈论在网络安全领域的应用十分广泛，根据不同的业务场景，可以建立不同的博弈模型。

已有的大部分工作都集中在如何利用蜜罐最小化一个真正的系统受到攻击的风险。攻击者通常被建模为固定的、直截了当的动作，攻击者他们的本性和欺骗行为被忽视了。实际攻击者经常用普通的行为来掩盖攻击行为，迷惑网络防御方。

图1抽象展示了模型中的网络攻防场景，在这里攻击者通过入侵有价值的系统来获取自身的利益。一个聪明的攻击者知道简单直接的攻击可能难以成功有效，大多都会通过各种方式来伪装自己的攻击以达到出奇制胜的目的。在现实中也并非每一个与服务器交互的用户都是恶意用户，也有很多是网络中需要服务的正常用户。在本专利中，将上述两种情况合二为一，假设攻击者有两种身份，一种是普通用户N(Normal User)，另一种是恶意用户M(Malicious User)。在N身份时，表示攻击者将自己伪装成一个正常用户与服务器交互，同时等待着下次攻击的机会。在M身份时，表示攻击者可能对服务器发起攻击。同时，在两者交互博弈的时候，防御者不知道对方的身份。

在Deceptive Attack and Defense Game in Honeypot-enabled Networks forthe Internet of Things一文中，对博弈场景有如下的描述：

当攻击者是M身份时，他可以发起“可疑”攻击，这是常见的攻击模式之一，可能会被IDS(入侵检测系统)识别；或者发起看似“正常”的行动，实际上是一种伪装得很好的攻击。相反，当攻击者处于N身份时，他可以作为普通用户发动“正常”的行动，这是完全无害的；或者一个“可疑”的行动，用来探测系统。探测是一种尝试去了解系统的性质，就像一些有关的欺骗模型。简而言之，在不考虑攻击者的身份下(普通用户或者恶意用户)，攻击者的行为会被IDS检测成可疑信号S(suspicious)或者一般信号C(common)，防御者希望只允许正常的普通用户访问常规系统，并使用蜜罐系统来捕捉恶意用户的攻击行为。

图2中表示了防御者与不同身份的攻击者的8种博弈情况，其中D代表防御者(Defender)，N代表普通用户，M代表恶意用户，S代表可疑行为，C代表常规行为(注意：如果攻击者的身份为M，则代表伪装后的攻击)。同时防御者也有两种对应策略，H代表部署蜜罐(Honeypot)系统，R代表允许进入常规(Regular)系统。在图中的对应收益参数中，逗号左边的部分为攻击者的收益，右边的为防御者的收益。其中收益参数的具体含义如图3所示。

大量的已有研究都用重复博弈对网络攻防进行了研究，但是，在欺诈性攻击中如何更加准确的估计用户身份和策略，如何利用历史交互信息对用户行为进行预测，还没有得到更好的研究。

发明内容

本发明所要解决的技术问题是关于网络安全博弈中攻击者的身份隐藏性、信息不对称和危害性问题，为此提供一种针对欺诈性攻击的基于贝叶斯改进模型的网络安全防御方法。

为了实现上述目的，本发明采用的技术方案是：

步骤一、对攻防双方进行收益建模，防守方设置收益矩阵参数(图2)，用贝叶斯模型求解收敛点所述表示为

步骤二、防守方根据需求设置参数a，所述a为N(普通用户)身份的攻击者采用C(常规)策略的概率，用历史收益模型求解收敛点所述为历史收益模型的收敛点，表示为x∈(0,1)在a＝P_φ时的值，E_H、E_R分别为H和R策略的期望收益；

步骤三、防守方设置(选择策略H(蜜罐)和R(常规服务)的累计相对收益)的初始值，并设置α¹；所述为历史收益模型的初始置信度，表示为等待用户访问；

步骤四、第t次用户访问到达后，防守方比较置信度α^t和的大小，根据纳什均衡最优解的结论，如果则采用纯策略解，即采用H的策略概率为1，如果则采用混合策略解，即采用H的策略概率为所述α^t为历史收益模型的实时置信度，表示为

步骤五、防守方根据实际的访问情况确定博弈双方的策略，然后根据收益矩阵来计算各自的博弈收益，并将本轮的博弈信息(策略采用、博弈收益、置信度等)保存收集；

步骤六、防守方根据历史收益作为参考下的置信度计算公式来计算下一轮的置信度α^t+1；

步骤七、一次完整的访问结束，重复步骤四-六响应下一次的用户访问直到系统停止运行。

上述的一种针对欺诈性攻击的基于贝叶斯改进模型的网络安全防御方法，其特征在于：

步骤一所述涉及到贝叶斯改进方法如下：

我们用(α,β)来分别表示防御者对博弈对手身份的置信度，α表示接收C信号时认为对方是M身份的概率，β表示接收S信号时认为对方是M身份的概率。其中D代表防御者(Defender)，N代表普通用户，M代表恶意用户，S代表可疑行为，C代表常规行为(注意：如果攻击者的身份为M，则代表伪装后的攻击)，数学表示如下：

由贝叶斯规则，可得：

假设攻击者采用C策略，当E(H)≥E(R)时，

p(b_c+e)-(1-p)c_h≥(1-p)b_a-p(c_a+e)

在两者相等的时候，可以取到一个阈值概率即当时，H策略为最佳策略，反之R策略为最佳策略。其中p为攻击者身份为M(恶意用户)的概率，b_a表示防御者服务正常用户后的收益，c_h表示防御者布置一次多余的蜜罐系统的成本，b_c表示防御者成功捕获一次攻击后的收益、c_a表示防御者被成功攻击后的损失、e表示额外的收益或者损失。

如果攻击者采用的是S策略，无论攻击者的身份如何，都可以得到以下不等式：

βb_c>0>-βc_a-(1-β)c_t

其中c_t表示防御者被成功探测后的损失。

简而言之，只要发现攻击者使用S策略，防御者就应该用H策略，这样我们就可以得到博弈的纯策略解，理性的M身份攻击者不会发起可疑的攻击，即选择S策略，而当时，根据上述期望分析，防御者也应当一直采用H策略。当时，防御者进入混合策略状态，最佳防御策略为H和R策略的概率选取。同时，贝叶斯模型定义了一个第t轮博弈下的的置信度计算公式：

其中h^t为防御者的博弈的历史h^t＝(g⁰,g¹,…,g^t-1)，表示在第t次博弈中双方的策略情况，下标1，2分别表示攻击者和防御者，表示博弈者i在第t次博弈中的策略(i为1或2)。

在第t次博弈结束后，根据观察到的行动集g^t，结合贝叶斯规则开始更新下一轮的置信度α^t+1。同时为了满足贝叶斯规则的连续性，需要在t＝0时事先设置一个α⁰的参考值，后面的实验分析也会对该参考值的不同取值影响做相应的实验。具体的更新方程如下：

经过多次的迭代以后，将会收敛于一个值，并且该收敛值也为也就是说在贝叶斯迭代更新下，防御者的置信度将会向收敛，防御者在不知道p值的情况下，经过贝叶斯迭代法可以间接得到在相对历史收益模型中，将会利用到该结论。

步骤二所涉及的相对历史收益模型的实时置信度计算如下：

E_H、E_R分别为H和R策略的期望收益，我们可以抽象表示为：E_H＝Aα^t+B，E_R＝Cα^t+D，将其代入式中可以得到展开可得到一个关于x的一元二次方程，其根x^*就是该模型的最终收敛点，同时只有x^*∈(0,1)的解为有效解，且x^*的大小与a、p大小成正比。其中A、B、C、D为a、p确定的参数,其中a为N(普通用户)身份的攻击者采用C(常规)策略的概率，p为攻击者身份为M(恶意用户)的概率，关系如下式：

因为E_H的增加除了选择H策略带来的正收益外，还包括选择R策略的负收益。因此上式中α^t[p(b_c+e)+(1-p)(1-a)*0]表示选择H策略正收益的期望值，(1-α^t)[p(c_a+e)+(1-p)(1-a)c_t]表示选择R策略的负收益期望值(加入到E_H中为正值)。同理，α^t[(1-p)a*c_h]表示选择H策略的负收益期望，(1-α^t)[(1-p)a*b_a]表示选择R策略的正收益期望。

其中a,p均未知，在实验过程中需要手动设置，α^t为历史收益作为参考下的置信度。

步骤三中相对历史收益模型的某轮收益表示如下：

分别为第0次博弈下选择策略H(常规)和R(蜜罐)的累计相对收益，其中相对收益设置是为了消除负收益带来的概率计算问题，例如当选择H策略带来-10的收益时，等价于在每次博弈后该递推式的变化只有两种情况，即其中C₁、C₂为不固定值的常数，计算规则与α^t相关。换而言之，在每轮博弈后中总有一个值保持上轮结果不变，另一个值得到对应计算的数值增加。由此可以得到历史收益作为参考下的置信度计算：

步骤四中的纳什均衡建立过程如下：

如步骤一的特征所述，当时，根据分析，防御者应当一直采用H策略。当时，防御者进入混合策略状态，最佳防御策略为H和R策略的概率选取。

在分析混合策略时，我们做如下声明，M身份的攻击者将永远采用策略C，而对于N身份的攻击者将有a概率采用C策略，1-a的概率采用S策略。同时，对于防御者而言，将有b概率采用H策略，1-b的概率采用R策略。根据贝叶斯规则，可以描述为：下面将分析攻击者的期望收益。

对于N身份的攻击者而言，使用C、S策略的期望分别为：

当E_c＝E_s时，有：

综上所述，防御者的纳什均衡根据实际的p值与的对比，有两种不同的最优策略集为防御者采用H策略的概率)：

其中b_s表示攻击者成功攻击后的收益，c_p表示攻击者的探测行为被蜜罐系统捕获后的损失。

本发明的有益效果是

1)通过用贝叶斯模型刻画恶意用户的伪装行为，根据恶意用户相对历史收益模型，提出贝叶斯改进模型。通过对每轮博弈情况的数据采集和分析，做出最佳选择，从而使得网络防守方利益达到最大化。从理论推导到实验验证，多个方位探究新模型对结果的综合影响，以此来构造一个弹性安全网络。

2)该模型把误判情况也考虑了进来，根据把恶意用户判定为合法用户导致网络环境不安全的损失，以及把普通用户判定为恶意用户导致布置蜜罐系统带来的额外开销综合起来得到最优解。并且可以应用扩展到物联网系统，云计算系统等等领域。

附图说明

图1是网络中的攻击者和防御者的博弈场景描述图；

图2是攻防博弈矩阵；

图3是攻防博弈中的收益参数汇总；

图4.1是防御者的历史收益分别在三种模型中以及访问者身份为M(恶意用户)的概率p＝0.1；

图4.2是防御者的历史收益分别在三种模型中以及访问者身份为M(恶意用户)的概率p＝0.5；

图4.3是防御者的历史收益分别在三种模型中以及访问者身份为M(恶意用户)的概率p＝0.8；

图5是三种模型在不同p值下的最终博弈收益对比曲线；

图6是该方法的流程图。

具体实施方式

以下将结合附图和具体实施例对本发明做进一步详细说明。

一种基于博弈论的网络安全智能评估方法包括以下步骤：

步骤一、防守方设置收益矩阵参数，用贝叶斯模型求解收敛点所述表示为

步骤二、防守方根据需求设置参数a，所述a为N(普通用户)身份的攻击者采用C(常规)策略的概率，用历史收益模型求解收敛点所述为历史收益模型的收敛点，表示为x∈(0,1)在时的值。

步骤三、防守方设置(选择策略H和R的累计相对收益)的初始值(等价于设置α⁰,即初始的恶意用户置信度)。等待用户访问。

步骤四、用户访问到达，防守方比较置信度α和的大小，根据纳什均衡最优解的结论，如果则采用纯策略解，即采用H的策略概率为1。如果则采用混合策略解，即采用H的策略概率为所述α为历史收益模型的实时置信度，表示为

步骤五、防守方根据实际访问情况确定博弈双方的策略，然后根据收益矩阵来计算各自的博弈收益，并将本轮的博弈信息(策略采用、博弈收益、置信度等)保存收集。

步骤六、防守方根据历史收益作为参考下的置信度计算公式来计算下一轮的置信度α。

步骤七、一轮完整的博弈结束，根据设定的次数重复步骤四-六。

步骤八、一代完整的博弈结束，根据设定的代数重复步骤三-七。

本实施例中，步骤一为了控制实验变量，所有实验使用同一套收益矩阵参数(如图2、3)，攻击者的属性有：b_s＝10，b_p＝2，c_c＝8，c_p＝1；防御者的属性有：b_a＝4，b_c＝10，c_a＝12，c_h＝2，c_t＝1；同时额外属性e＝1。在这里，攻击者为M身份的概率p设置为0.5，N身份下采用C策略的概率a设置为0.5，但是a、p参数大小对于防御者来说是未知的。

本实施例中，步骤二，E_H、E_R分别为H和R策略的期望收益，我们可以抽象表示为：E_H＝Aα^t+B，E_R＝Cα^t+D，将其代入式中可以得到展开可得到一个关于x的一元二次方程，其根x^*就是该模型的最终收敛点，同时只有x^*∈(0,1)的解为有效解，且x^*的大小与a、p大小成正比。其中A、B、C、D为a、p确定的参数,关系如下式：

其中a,p均未知，在实验过程中需要手动设置。

本实施例中，步骤三，分别为第0次博弈下选择策略H和R的累计相对收益，其中相对收益设置是为了消除负收益带来的概率计算问题，例如当选择H策略带来-10的收益时，等价于由此可以得到历史收益作为参考下的置信度计算：

本实施例中，步骤四的纳什均衡最优解为：

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.一种基于贝叶斯改进方法的网络安全防御方法，包括以下步骤：

步骤一、防守方根据攻防博弈模型设置收益矩阵参数(图2)，用贝叶斯模型求解收敛点所述表示为b_a表示防御者服务正常用户后的收益，c_h表示防御者布置一次多余的蜜罐系统的成本，b_c表示防御者成功捕获一次攻击后的收益、c_a表示防御者被成功攻击后的损失、e表示额外的收益或者损失；

步骤二、防守方根据需求设置参数a，所述a为N(普通用户)身份的攻击者采用C(常规)策略的概率，用历史收益模型求解收敛点所述为历史收益模型的收敛点，表示为x∈(0,1)在 时的值，E_H、E_R分别为H(蜜罐)和R(常规服务)策略的期望收益；

步骤三、防守方设置(选择策略H和R的累计相对收益)的初始值(等价于设置α⁰，即初始的恶意用户置信度)，等待用户访问；

步骤四、用户访问到达，防守方比较相对历史收益模型的实时置信度α和的大小，根据纳什均衡最优解的结论，如果则采用纯策略解，即采用H的策略概率为1。如果则采用混合策略解，即采用H的策略概率为所述α为历史收益模型的实时置信度，表示为其中c_p表示攻击者的探测行为被蜜罐系统捕获后的损失，b_s表示攻击者成功攻击后的收益；

步骤五、防守方根据实际的访问情况确定博弈双方的策略，然后根据收益矩阵来计算各自的博弈收益，并将本轮的博弈信息(策略采用、博弈收益、置信度等)保存收集；

步骤六、防守方根据历史收益作为参考下的置信度计算公式来计算下一轮的置信度α；

步骤七、一次完整的访问结束，重复步骤四-六响应下一次的用户访问直到系统停止运行。

2.如权利要求1所述的一种针对欺诈性攻击的基于贝叶斯改进方法的网络安全防御模型，其特征在于，所述步骤二中，E_H、E_R分别为H和R策略的期望收益，我们可以抽象表示为：E_H＝Aα^t+B，E_R＝Cα^t+D，将其代入步骤二的式中可以得到(因为所求点为收敛点，所以α^t＝x)，展开可得到一个关于x的一元二次方程，其根x^*就是该模型的最终收敛点，同时只有x^*∈(0,1)的解为有效解，且x^*的大小与aa、p大小成正比，其中A、B、C、D为a、p确定的参数,所述a为N(普通用户)身份的攻击者采用C(常规)策略的概率，所述p为攻击者身份为M(恶意用户)的概率，关系如下式：

其中a,p均未知，在实验过程中需要手动设置，α^t为历史收益作为参考下的置信度；

所述步骤三中，分别为第0次博弈下选择策略H和R的累计相对收益，其中相对收益设置是为了消除负收益带来的概率计算问题，由此可以得到历史收益作为参考下的置信度计算：

其中H策略为蜜罐策略，R策略为常规策略；

所述步骤四中的纳什均衡最优解为：

3.如权利要求1所述的针对欺诈性攻击的基于贝叶斯改进方法的网络安全防御模型，其特征在于，所述步骤四用历史收益模型的实时置信度与收敛点x^*比较来判断未知值p与的大小关系，来弥补贝叶斯模型中的缺陷，从而使系统达到最大效益。

4.如权利要求1所述的一种针对欺诈性攻击的基于贝叶斯改进方法的网络安全防御方法，其特征在于，将贝叶斯模型和历史收益模型相结合，达到了比二者更佳的效果。