CN111245828A - 一种基于三方动态博弈的防御策略产生方法 - Google Patents

一种基于三方动态博弈的防御策略产生方法 Download PDF

Info

Publication number
CN111245828A
CN111245828A CN202010024138.0A CN202010024138A CN111245828A CN 111245828 A CN111245828 A CN 111245828A CN 202010024138 A CN202010024138 A CN 202010024138A CN 111245828 A CN111245828 A CN 111245828A
Authority
CN
China
Prior art keywords
node
attack
strategy
user
nodes
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010024138.0A
Other languages
English (en)
Inventor
胡晨傲
燕雪峰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nanjing University of Aeronautics and Astronautics
Original Assignee
Nanjing University of Aeronautics and Astronautics
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nanjing University of Aeronautics and Astronautics filed Critical Nanjing University of Aeronautics and Astronautics
Priority to CN202010024138.0A priority Critical patent/CN111245828A/zh
Publication of CN111245828A publication Critical patent/CN111245828A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/12—Discovery or management of network topologies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Theoretical Computer Science (AREA)
  • Computational Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Software Systems (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开一种基于三方动态博弈的防御策略产生方法，属于网络安全领域。本方法将内外威胁统筹考虑，在策略产生过程中，将内部威胁实例化。在初始化阶段的节点价值衡量过程中，均衡多目标于此节点的影响，以减少节点价值计算中的偏向性问题。在顺序博弈过程中，防御方使用启发式方法获得多条攻击路径中威胁最大的路径予以阻断；用户方通过使用混合策略博弈模型对用户的策略进行建模，增加了隐身攻击与内部威胁的耦合性；对于攻击方，增加其行为方式的不确定性，使用三种攻击策略来分别模拟不同攻击者的攻击行为，最终将每个时段的防御策略进行合并，产生最终防护策略集。本发明通过动态分析三方行为，为管理员提供防范风险能力更高的决策建议。

Description

一种基于三方动态博弈的防御策略产生方法
技术领域
本发明属于网络安全领域，尤其涉及一种基于三方动态博弈的防御策略产生方法。
背景技术
目前产生安全策略的难点在于恶意攻击的多步性。同时系统内部的用户由于具有攻击者所没有的权限可能会暴露出系统内部的漏洞具体信息。为了应对信息系统的动态性，将动态目标防御技术结合进攻击图技术是一种十分有效的手段，现有研究可分为两类：结合博弈模型与结合高级模型。然而，都存在一个共同的问题，即忽略了用户在攻守博弈的影响。一些学者使用一个具有不确定性的变量来表示双方游戏中由第三方参与博弈造成的影响，以这种方式获得的结果并不准确。
因此，我们需要新的方法来研究防御策略生成问题，将内部威胁考虑进去，通过一定的方式更加有效的解决内部威胁对于攻防博弈的影响。
发明内容
本发明的发明目的是针对上述背景技术的不足，提了基于三方动态博弈的防御策略产生方法，采用本发明公开的策略产生算法能够有效提供防御措施的有效性，解决了内部威胁干扰防御措施有效性的技术问题。
本发明为实现上述发明目的采用如下技术方案：
基于攻击图的动态三方博弈建模方法的步骤如下
S1.构建攻击图。通过真实网络拓扑结构将整个拓扑结构中的漏洞关系构建为一个攻击图；
S2.构建动态三方博弈的状态空间，行为约束空间；
S3.使用均衡价值传播算法量化攻击图节点属性，并产生不同的攻击者策略；
S4.基于混合策略博弈模型产生用户策略；
S5.基于三方博弈模型产生防御者策略；
S6.基于三方博弈的安全态势计算方法；
S7.得到最终防护策略集。
进一步地，所述的步骤S1包括构建攻击图，将网络拓扑中的漏洞看作脆弱性节点，将漏洞之间的利用关系看作边，则攻击图可使用一个有向图G＝(V，E，θ，p)来描述；
其中，攻击图属性特征定义如下：V是非空的节点集合，表示系统所有脆弱性节点集合，表示为V＝VI∪Vm∪Vg，其中VI表示其他攻击者初始状态已经使用的漏洞信息集合，Vm表示攻击的中间脆弱性节点集合，Vg表示目标脆弱性节点集合，攻击者的最终目标是通过激活一个或多个目标节点来获取非法收益，而防御者则是防止这些节点被激活。E是攻击图中所有边的集合，表示脆弱性节点之间的关联，用于描述脆弱性节点的入侵关系，e＝(u，v)∈E表示攻击者可以从脆弱性节点u攻击脆弱性节点v。π-(v)＝{u|(u，v)∈E}表示v的父节点集合，π+(v)＝{u|(v，u)∈E}表示v的子节点集合。θ表示的是节点类型，对于每个节点v∈V而言θ(v)∈{∧，∨}，其中∧是“与”节点，表示该节点只有所有父节点都被攻击者攻击之后才能够被攻击，于此相反，∨是“或”节点，表示的是该节点任何一个父节点被攻击者攻击后都可以被攻击。p(eu，v)∈(0，1)代表从节点u攻击节点v的攻击概率。
进一步地，所述的步骤S2包括：
通过步骤S1构建的攻击图，使用Ψ＝(T，S，D，A，U，R，C，γ)来定义整个博弈模型，其中T＝{0，...，T}表示时间度量；S＝{S0，...，ST}，其中St＝{v∈V|st(v)＝1}表示在t时刻被攻击节点的集合；D＝{D0，...，DT}，表示防御者的防御策略集合，其中Dt∈V表示的是t时刻防御者加固的节点集合，对于这些节点，攻击者无法攻击使其激活；A＝{A0，...，AT}，表示攻击者的攻击策略集合，其中At∈V表示的是t时刻攻击者激活的节点集合，攻击者通过激活这些节点获得非法收益；U＝{U0，...，UT}，表示用户的干扰策略集合，其中Ut∈V表示的是t时刻用户干扰的节点集合，对于这些节点，防御者需要耗费更多的时间去加固这些节点；R表示决策者的收益，其中ra(v)表示攻击者于节点v的攻击收益，rd(v)表示防御者于节点v的防御收益，ru(v)表示用户于节点v的干扰收益；C表示每一个决策者行为的代价函数，ca(v)表示攻击者激活节点v的代价，cu(v)表示用户干扰节点v的代价；γ表示折扣函数，γ∈(0，1]；Λ表示安全态势值集合。
在每个时间段内，博弈三方通过对攻击图的状态进行观察，实施各自的行为策略。博弈三方的行为约束空间如下：
关于攻击者约束，t时刻，攻击者策略集定义为At，攻击者策略约束可以表示为以下形式：
Figure BSA0000199815770000021
当
Figure BSA0000199815770000022
若攻击者意图将v节点加入攻击策略集At，则将节点v移出
Figure BSA0000199815770000023
当
Figure BSA0000199815770000024
攻击者无法将v节点加入攻击策略集At；当
Figure BSA0000199815770000025
攻击者无法将v节点加入攻击策略集At；当
Figure BSA0000199815770000026
攻击者无法将v节点加入攻击策略集At；在t时刻，攻击者最多只能将一个节点加入攻击策略集At。
关于防御者约束，t时刻，防御者策略集定义为Dt，防御者策略约束可以表示为以下形式：当
Figure BSA0000199815770000027
若防御者意图将v节点加入防御策略集Dt，则此防御措施无效，同时将节点v移出
Figure BSA0000199815770000028
当
Figure BSA0000199815770000029
防御者无法将v节点加入防御策略集Dt；当
Figure BSA00001998157700000210
防御者无法将v节点加入防御策略集Dt；在t时刻，防御者最多只能将一个节点加入防御策略集Dt。
关于用户约束，t时刻，用户策略集定义为Ut，用户策略约束可以表示为以下形式：当
Figure BSA0000199815770000031
Figure BSA0000199815770000032
用户无法将v节点加入用户策略集Ut；当
Figure BSA0000199815770000033
用户无法将v节点加入用户策略集Ut；当
Figure BSA0000199815770000034
用户无法将v节点加入用户策略集Ut；在t时刻，用户最多只能将一个节点加入用户策略集Ut。
进一步地，所述的步骤S3包括：
对于攻击图中的每个节点，其价值总是目标节点相关，使用下述公式进行计算：
Figure BSA0000199815770000035
之后，计算攻击候选节点集合，在t时刻，对于攻击图St，攻击者需要选择出一个攻击节点用来进一步的攻击整个系统。攻击候选节点集合Ψa(St)构造方式如下：
Figure BSA0000199815770000036
攻击者策略具有不确定性，为了模拟不同的攻击者策略本文使用如下三种攻击者策略分别代表激进型攻击者，保守型攻击者，以及混乱型攻击者：激进型攻击者，攻击节点的选取基于攻击候选节点集合，选出攻击节点中价值最高的节点进行激活；保守型攻击者，攻击节点的选取基于攻击候选节点集合，依据节点价值计算出所有节点的进攻概率，对于每一个候选攻击节点的选取概率依据公式
Figure BSA0000199815770000037
进行计算；混乱型攻击者，在t时刻，攻击者从候选节点中选取任意攻击节点作为下一个攻击目标。
进一步地，所述的步骤S4包括：
用户作为网络拓扑中的使用者，具有相应的权限，对于每一个用户可达的脆弱性节点，其收益为此节点的价值，而代价为法律代价。
关于法律代价，其代价与该节点和目标节点的距离正相关，其节点的法律代价为多个所有重要节点于此处的风险传播值之和，用如下公式表示：
Figure BSA0000199815770000038
关于当前时刻节点的价值使用收益矩阵表示，对每个节点，攻击方和用户不同的行为会有不同的收益函数，假设收益矩阵为Q，表示为Q＝{qij}n*n，其中n表示脆弱性节点的数量。收益计算方式如下：若干扰节点是攻击节点的父节点，那么收益一定为0；若干扰节点是攻击节点的子节点，那么获得的净收益为
Figure BSA0000199815770000039
δ为期待落差函数，k为攻击节点与用户干扰节点的距离，γ为折扣函数；若干扰节点是攻击节点的兄弟节点，那么获得的净收益为
Figure BSA0000199815770000041
若干扰节点和攻击节点一致时，则获得收益为
Figure BSA0000199815770000042
之后，对于攻击者和用户行为进行建模，规定用户的策略集合为U，混合策略期望值为v，其中用户策略集合中的每一个元素表示用户对于选择节点方式的倾向度，而用户对于所有选择节点方式的倾向度的总和为1。上述内容可以使用如下的数学表达式表示：
Figure BSA0000199815770000043
对此线性规划问题进行求解可以获得混合策略期望值以及用户策略集合，其中用户策略集合中最大的倾向策略为用户选择的策略。
进一步地，所述的步骤S5包括：
防御方的加固策略可以表示为以下步骤：
首先，在t+1时刻首先随机选取Na条攻击路径，集合{Ak}表示攻击路径的集合，其中k＝1，2，...，Na，集合中的每一条路径都是随机选取。Ak中的策略集合表示为ra(Ak)。
之后，对于每一条攻击路径的阻断进行安全态势评估，其安全态势评估计算公式如下：
Figure BSA0000199815770000044
其中，pj(s)为攻击阶段实现概率，指攻击者已经成功入侵到某个阶段状态的可能性；Impact(v)为攻击阶段利用的所有单个漏洞威胁得分；Weight为攻击阶段的节点权重值。
最后，从ra(Ak)中选出Λ(Ak)值最大的一条路径，对于该路径节点集合与攻击候选节点的交集，选择交集中的非干扰节点，若交集中无其他节点，则将Ak移出ra(Ak)，重复步骤3，直到选出相应防御加固节点。
进一步地，所述的步骤S6中包括：
对于博弈顺序可以用如下步骤表示：首先，依据行为约束，攻击者选取防御策略Dt，之后，用户依照当前拓扑结构选择用户策略Ut，最后，在Dt和Ut的共同作用下，攻击者观察当前的攻击图状态并执行其策略At。通过以下公式计算博弈过程中每个时刻的网络攻击拓扑的安全状况值，直到到达时间最大值T。
Figure BSA0000199815770000045
式中，Ai是当前时间的任意攻击路径，n是攻击路径的数量。
进一步地，所述的步骤S7中包括：
将整个时间域的防御策略按照时间序列的顺序进行汇总，得到最终的防御策略集，将之提供给用户。
通过上述步骤，可以完成基于动态目标防御的动态三方博弈模型，用于产生更有效的防护策略。
有益效果：与现有技术相比，本发明采用攻击图技术，建立了动态三方博弈模型，通过引入内部威胁的实体，消除了双方博弈模型的不确定性，将攻击方和防御方的关系变成了非直接关系，基于混合策略博弈模型产生的用户策略，增加了隐形攻击与内部攻击的耦合性。通过动态构建收益矩阵来衡量用户和攻击者行为的结果，并是使用动态规划来获得用户行为参考。对于防御方，模型通过启发式策略并通过随机抽样降低了分析各方行为的复杂性。实验结果表明新方法产生的防御策略有效降低了系统的风险。
附图说明
图1系统流程图。
图2为案例拓扑图。
图3为实验结果图。
具体实施方式
如附图1所示，本发明为一种基于三方动态博弈的防御策略产生方法，分为三个阶段，预处理阶段、动态博弈阶段和策略产生阶段。
为使本发明要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及一个实际拓扑实例进行详细描述。
基于三方动态博弈的防御策略产生方法的步骤如下：
S1.构建攻击图。通过真实网络拓扑结构将整个拓扑结构中的漏洞关系构建为一个攻击图；
S2.构建动态三方博弈的状态空间，行为约束空间；
S3.使用均衡价值传播算法量化攻击图节点属性，并产生不同的攻击者策略；
S4.基于混合策略博弈模型产生用户策略；
S5.基于三方博弈模型产生防御者策略；
S6.基于三方博弈的安全态势计算方法；
S7.得到最终防护策略集
步骤S1包括：
构建攻击图，将网络拓扑中的漏洞看作脆弱性节点，将漏洞之间的利用关系看作边，则攻击图可使用一个有向图G＝(V，E，θ，p)来描述；其中，攻击图属性特征定义如下：V是非空的节点集合，表示系统所有脆弱性节点集合，表示为V＝VI∪Vm∪Vg，其中VI表示其他攻击者初始状态已经使用的漏洞信息集合，Vm表示攻击的中间脆弱性节点集合，Vg表示目标脆弱性节点集合，攻击者的最终目标是通过激活一个或多个目标节点来获取非法收益，而防御者则是防止这些节点被激活。E是攻击图中所有边的集合，表示脆弱性节点之间的关联，用于描述脆弱性节点的入侵关系，e＝(u，v)∈E表示攻击者可以从脆弱性节点u攻击脆弱性节点v。π-(v)＝{u|(u，v)∈E}表示v的父节点集合，π+(v)＝{u|(v，u)∈E}表示v的子节点集合。θ表示的是节点类型，对于每个节点v∈V而言θ(v)∈{∧，∨}，其中∧是“与”节点，表示该节点只有所有父节点都被攻击者攻击之后才能够被攻击，于此相反，∨是“或”节点，表示的是该节点任何一个父节点被攻击者攻击后都可以被攻击。p(eu，v)∈(0，1)代表从节点u攻击节点v的攻击概率。
拓扑图如图2所示，生成的攻击图如图3所示，相应的漏洞信息如表1，表2所示：
表1节点漏洞信息表
Figure BSA0000199815770000061
表2漏洞CVSS信息表
节点序号 CVE-编号 AV/AC/AU C/I/A
1 CVE-2012-6066 1.0/0.61/0.704 0.660/0.660/0.660
2 CVE-2006-7167 1.0/0.71/0.704 0.275/0.275/0.275
3 CVE-2011-4040 1.0/0.71/0.704 0.660/0.660/0.660
4 CVE-2010-3972 1.0/0.71/0.704 0.660/0.660/0.660
5 CVE-2008-0015 1.0/0.61/0.704 0.660/0.660/0.660
6 CVE-2003-0693 1.0/0.71/0.704 0.660/0.660/0.660
7 CVE-2013-4115 1.0/0.71/0.704 0.275/0.275/0.275
8 CVE-2015-1762 1.0/0.35/0.56 0.660/0.660/0.660
9 CVE-2012-4707 1.0/0.71/0.704 0.660/0.660/0.660
10 CVE-2009-0568 1.0/0.71/0.704 0.660/0.660/0.660
步骤S2包括：
通过步骤S1构建的攻击图，使用Ψ＝(T，S，D，A，U，R，C，γ)来定义整个博弈模型，其中T＝{0，...，T}表示时间度量；S＝{S0，...，ST}，其中St＝{v∈V|st(v)＝1}表示在t时刻被攻击节点的集合；D＝{D0，...，DT}，表示防御者的防御策略集合，其中Dt∈V表示的是t时刻防御者加固的节点集合，对于这些节点，攻击者无法攻击使其激活；A＝{A0，...，AT}，表示攻击者的攻击策略集合，其中At∈V表示的是t时刻攻击者激活的节点集合，攻击者通过激活这些节点获得非法收益；U＝{U0，...，UT}，表示用户的干扰策略集合，其中Ut∈V表示的是t时刻用户干扰的节点集合，对于这些节点，防御者需要耗费更多的时间去加固这些节点；R表示决策者的收益，其中ra(v)表示攻击者于节点v的攻击收益，rd(v)表示防御者于节点v的防御收益，ru(v)表示用户于节点v的干扰收益；C表示每一个决策者行为的代价函数，ca(v)表示攻击者激活节点v的代价，cu(v)表示用户干扰节点v的代价；γ表示折扣函数，γ∈(0，1]；Λ表示安全态势值集合。
在每个时间段内，博弈三方通过对攻击图的状态进行观察，实施各自的行为策略。博弈三方的行为约束空间如下：
关于攻击者约束，t时刻，攻击者策略集定义为At，攻击者策略约束可以表示为以下形式：
Figure BSA0000199815770000071
当
Figure BSA0000199815770000072
若攻击者意图将v节点加入攻击策略集At，则将节点v移出
Figure BSA0000199815770000073
当
Figure BSA0000199815770000074
攻击者无法将v节点加入攻击策略集At；当
Figure BSA0000199815770000075
攻击者无法将v节点加入攻击策略集At；当
Figure BSA0000199815770000076
攻击者无法将v节点加入攻击策略集At；在t时刻，攻击者最多只能将一个节点加入攻击策略集At。
关于防御者约束，t时刻，防御者策略集定义为Dt，防御者策略约束可以表示为以下形式：当
Figure BSA0000199815770000077
若防御者意图将v节点加入防御策略集Dt，则此防御措施无效，同时将节点v移出
Figure BSA0000199815770000078
当
Figure BSA0000199815770000079
防御者无法将v节点加入防御策略集Dt；当
Figure BSA00001998157700000710
防御者无法将v节点加入防御策略集Dt；在t时刻，防御者最多只能将一个节点加入防御策略集Dt。
关于用户约束，t时刻，用户策略集定义为Ut，用户策略约束可以表示为以下形式：当
Figure BSA00001998157700000711
Figure BSA00001998157700000712
用户无法将v节点加入用户策略集Ut；当
Figure BSA00001998157700000713
用户无法将v节点加入用户策略集Ut；当
Figure BSA00001998157700000714
用户无法将v节点加入用户策略集Ut；在t时刻，用户最多只能将一个节点加入用户策略集Ut。
步骤S3包括：
对于攻击图中的每个节点，其价值总是目标节点相关，使用下述公式进行计算：
Figure BSA0000199815770000081
相应的漏洞信息如表3所示：
表3漏洞信息表
节点序号 Possibility Impact Weight
1 0.86 2 0.0318
2 1.0 2 0.0318
3 1.0 4 0.0636
4 1.0 10 0.1590
5 0.86 0.9 0.0143
6 1.0 7 0.1113
7 1.0 7 0.1113
8 0.39 10 0.1590
9 1.0 10 0.1590
10 1.0 10 0.1590
之后，计算攻击候选节点集合，在t时刻，对于攻击图St，攻击者需要选择出一个攻击节点用来进一步的攻击整个系统。攻击候选节点集合Ψa(St)构造方式如下：
Figure BSA0000199815770000082
攻击者策略具有不确定性，为了模拟不同的攻击者策略本文使用如下三种攻击者策略分别代表激进型攻击者，保守型攻击者，以及混乱型攻击者：激进型攻击者，攻击节点的选取基于攻击候选节点集合，选出攻击节点中价值最高的节点进行激活；保守型攻击者，攻击节点的选取基于攻击候选节点集合，依据节点价值计算出所有节点的进攻概率，对于每一个候选攻击节点的选取概率依据公式
Figure BSA0000199815770000083
进行计算；混乱型攻击者，在t时刻，攻击者从候选节点中选取任意攻击节点作为下一个攻击目标。
进一步地，所述的步骤S4包括：
用户作为网络拓扑中的使用者，具有相应的权限，对于每一个用户可达的脆弱性节点，其收益为此节点的价值，而代价为法律代价。
关于法律代价，其代价与该节点和目标节点的距离正相关，其节点的法律代价为多个所有重要节点于此处的风险传播值之和，用如下公式表示
Figure BSA0000199815770000084
关于当前时刻节点的价值使用收益矩阵表示，对每个节点，攻击方和用户不同的行为会有不同的收益函数，假设收益矩阵为Q，表示为Q＝{qij}n*n，其中n表示脆弱性节点的数量。收益计算方式如下：若干扰节点是攻击节点的父节点，那么收益一定为0；若干扰节点是攻击节点的子节点，那么获得的净收益为
Figure BSA0000199815770000091
δ为期待落差函数，k为攻击节点与用户干扰节点的距离，γ为折扣函数；若干扰节点是攻击节点的兄弟节点，那么获得的净收益为
Figure BSA0000199815770000092
若干扰节点和攻击节点一致时，则获得收益为
Figure BSA0000199815770000093
之后，对于攻击者和用户行为进行建模，规定用户的策略集合为U，混合策略期望值为v，其中用户策略集合中的每一个元素表示用户对于选择节点方式的倾向度，而用户对于所有选择节点方式的倾向度的总和为1。上述内容可以使用如下的数学表达式表示：
Figure BSA0000199815770000094
对此线性规划问题进行求解可以获得混合策略期望值以及用户策略集合，其中用户策略集合中最大的倾向策略为用户选择的策略。
进一步地，所述的步骤S5包括：
防御方的加固策略可以表示为以下步骤：
首先，在t+1时刻首先随机选取Na条攻击路径，集合{Ak}表示攻击路径的集合，其中k＝1，2，...，Na，集合中的每一条路径都是随机选取。Ak中的策略集合表示为ra(Ak)。
之后，对于每一条攻击路径的阻断进行安全态势评估，其安全态势评估计算公式如下：
Figure BSA0000199815770000095
其中，pj(s)为攻击阶段实现概率，指攻击者已经成功入侵到某个阶段状态的可能性；Impact(v)为攻击阶段利用的所有单个漏洞威胁得分；Weight为攻击阶段的节点权重值。
最后，从ra(Ak)中选出Λ(Ak)值最大的一条路径，对于该路径节点集合与攻击候选节点的交集，选择交集中的非干扰节点，若交集中无其他节点，则将Ak移出ra(Ak)，重复步骤3，直到选出相应防御加固节点。
进一步地，所述的步骤S6中包括：
对于博弈顺序可以用如下步骤表示：首先，依据行为约束，攻击者选取防御策略Dt，之后，用户依照当前拓扑结构选择用户策略Ut，最后，在Dt和Ut的共同作用下，攻击者观察当前的攻击图状态并执行其策略At。通过以下公式计算博弈过程中每个时刻的网络攻击拓扑的安全状况值，直到到达时间最大值T。
Figure BSA0000199815770000101
式中，Ai是当前时间的任意攻击路径，n是攻击路径的数量。此案例中的攻击者使用激进型策略，结果如表4所示，值越小表示系统越安全，从中可以看出来三方博弈模型产生的结果更为精确有效。
表4安全态势值变化表
Figure BSA0000199815770000102
进一步地，所述的步骤S7中包括：
将整个时间域的防御策略按照时间序列的顺序进行汇总，得到最终的防御策略集，将之提供给用户。
通过上述步骤，可以完成基于三方动态博弈的防御策略产生方法，用于产生更有效的防护策略。
本发明未详细阐述部分属于本领域公知技术。
以上所述，仅为本发明部分具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本领域的人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。

Claims (4)

1.一种基于三方动态博弈的防御策略产生方法，其特征在于，具体包括以下步骤：
S1.构建攻击图。通过真实网络拓扑结构将整个拓扑结构中的漏洞关系构建为一个攻击图；
S2.构建动态三方博弈的状态空间，行为约束空间；
S3.使用均衡价值传播算法量化攻击图节点属性，并产生不同的攻击者策略；
S4.基于混合策略博弈模型产生用户策略；
S5.基于三方博弈模型产生防御者策略；
S6.基于三方博弈的安全态势计算方法；
s7.得到最终防护策略集。
2.如权利要求1所述的基于三方动态博弈的防御策略产生方法，其特征在于，所述步骤S3中“均衡价值传播算法”，包括：
价值计算攻击公式：
Figure FSA0000199815760000011
。
3.如权利要求1所述的基于三方动态博弈的防御策略产生方法，其特征在于，所述步骤S4中“基于混合策略博弈模型产生用户策略”，包括：
法律代价计算公式：
Figure FSA0000199815760000012
以及策略产生方法：
关于当前时刻节点的价值使用收益矩阵表示，对每个节点，攻击方和用户不同的行为会有不同的收益函数，假设收益矩阵为Q，表示为Q＝{qij}n*n，其中n表示脆弱性节点的数量。收益计算方式如下：若干扰节点是攻击节点的父节点，那么收益一定为0；若干扰节点是攻击节点的子节点，那么获得的净收益为
Figure FSA0000199815760000013
δ为期待落差函数，k为攻击节点与用户干扰节点的距离，γ为折扣函数；若干扰节点是攻击节点的兄弟节点，那么获得的净收益为
Figure FSA0000199815760000014
若干扰节点和攻击节点一致时，则获得收益为
Figure FSA0000199815760000015
之后，对于攻击者和用户行为进行建模，规定用户的策略集合为U，混合策略期望值为v，其中用户策略集合中的每一个元素表示用户对于选择节点方式的倾向度，而用户对于所有选择节点方式的倾向度的总和为1。上述内容可以使用如下的数学表达式表示：
Figure FSA0000199815760000021
对此线性规划问题进行求解可以获得混合策略期望值以及用户策略集合，其中用户策略集合中最大的倾向策略为用户选择的策略。
4.如权利要求1所述的基于三方动态博弈的防御策略产生方法，其特征在于，所述步骤S5中“防御策略产生”，包括：
策略产生步骤：
首先，在t+1时刻首先随机选取Na条攻击路径，集合{Ak}表示攻击路径的集合，其中k＝1，2，...，Na，集合中的每一条路径都是随机选取。Ak中的策略集合表示为ra(Ak)。
之后，对于每一条攻击路径的阻断进行安全态势评估，其安全态势评估计算公式如下：
Figure FSA0000199815760000022
其中，pj(s)为攻击阶段实现概率，指攻击者已经成功入侵到某个阶段状态的可能性；Impact(v)为攻击阶段利用的所有单个漏洞威胁得分；Weight为攻击阶段的节点权重值。
最后，从ra(Ak)中选出Λ(Ak)值最大的一条路径，对于该路径节点集合与攻击候选节点的交集，选择交集中的非干扰节点，若交集中无其他节点，则将Ak移出ra(Ak)，重复步骤3，直到选出相应防御加固节点。
CN202010024138.0A 2020-01-09 2020-01-09 一种基于三方动态博弈的防御策略产生方法 Pending CN111245828A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010024138.0A CN111245828A (zh) 2020-01-09 2020-01-09 一种基于三方动态博弈的防御策略产生方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010024138.0A CN111245828A (zh) 2020-01-09 2020-01-09 一种基于三方动态博弈的防御策略产生方法

Publications (1)

Publication Number Publication Date
CN111245828A true CN111245828A (zh) 2020-06-05

Family

ID=70865487

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010024138.0A Pending CN111245828A (zh) 2020-01-09 2020-01-09 一种基于三方动态博弈的防御策略产生方法

Country Status (1)

Country Link
CN (1) CN111245828A (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114299711A (zh) * 2021-11-26 2022-04-08 北京航空航天大学 一种基于攻防同时博弈的城市交通脆弱性确定方法及系统
CN114826732A (zh) * 2022-04-25 2022-07-29 南京大学 一种安卓系统隐私窃取行为的动态检测与溯源方法
CN114826737A (zh) * 2022-04-26 2022-07-29 天津大学 一种基于ai辅助博弈的无标度网络防御性能提升方法
CN115348064A (zh) * 2022-07-28 2022-11-15 南京邮电大学 网络攻击下基于动态博弈的配电网防御策略设计方法
CN115510639A (zh) * 2022-09-21 2022-12-23 河海大学 一种基于多移动防御资源和移动目标的新型变电站安全保护方法
CN115550077A (zh) * 2022-12-02 2022-12-30 宁波华自智能科技有限公司 一种实时在线检测危险源数据并触发自动防御方法
CN116389075A (zh) * 2023-03-08 2023-07-04 安芯网盾(北京)科技有限公司 一种主机攻击行为动态拦截方法及装置

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114299711A (zh) * 2021-11-26 2022-04-08 北京航空航天大学 一种基于攻防同时博弈的城市交通脆弱性确定方法及系统
CN114299711B (zh) * 2021-11-26 2022-11-04 北京航空航天大学 一种基于攻防同时博弈的城市交通脆弱性确定方法及系统
CN114826732A (zh) * 2022-04-25 2022-07-29 南京大学 一种安卓系统隐私窃取行为的动态检测与溯源方法
CN114826737A (zh) * 2022-04-26 2022-07-29 天津大学 一种基于ai辅助博弈的无标度网络防御性能提升方法
CN115348064A (zh) * 2022-07-28 2022-11-15 南京邮电大学 网络攻击下基于动态博弈的配电网防御策略设计方法
CN115348064B (zh) * 2022-07-28 2023-09-26 南京邮电大学 网络攻击下基于动态博弈的配电网防御策略设计方法
CN115510639A (zh) * 2022-09-21 2022-12-23 河海大学 一种基于多移动防御资源和移动目标的新型变电站安全保护方法
CN115550077A (zh) * 2022-12-02 2022-12-30 宁波华自智能科技有限公司 一种实时在线检测危险源数据并触发自动防御方法
CN116389075A (zh) * 2023-03-08 2023-07-04 安芯网盾(北京)科技有限公司 一种主机攻击行为动态拦截方法及装置
CN116389075B (zh) * 2023-03-08 2023-10-20 安芯网盾(北京)科技有限公司 一种主机攻击行为动态拦截方法及装置

Similar Documents

Publication Publication Date Title
CN111245828A (zh) 一种基于三方动态博弈的防御策略产生方法
CN106936855B (zh) 基于攻防微分博弈的网络安全防御决策确定方法及其装置
Huang et al. Adaptive strategic cyber defense for advanced persistent threats in critical infrastructure networks
CN107135224B (zh) 基于Markov演化博弈的网络防御策略选取方法及其装置
CN107566387B (zh) 基于攻防演化博弈分析的网络防御行动决策方法
CN107147670B (zh) 基于博弈体系的apt防御方法
CN110460572B (zh) 基于Markov信号博弈的移动目标防御策略选取方法及设备
CN110191083A (zh) 面向高级持续性威胁的安全防御方法、装置与电子设备
CN107070956A (zh) 基于动态贝叶斯博弈的apt攻击预测方法
Tan et al. Optimal strategy selection approach to moving target defense based on Markov robust game
CN110278198B (zh) 基于博弈论的网络中资产的安全风险评估方法
He et al. A game theoretical attack-defense model oriented to network security risk assessment
CN108898010A (zh) 一种建立面向恶意代码防御的攻防随机博弈模型的方法
CN108696534B (zh) 实时网络安全威胁预警分析方法及其装置
Lin et al. Optimal defense-attack strategies between M defenders and N attackers: A method based on cumulative prospect theory
CN112003854A (zh) 基于时空博弈的网络安全动态防御决策方法
Li et al. Anti-honeypot enabled optimal attack strategy for industrial cyber-physical systems
Jin et al. Evolutionary game decision-making method for network attack and defense based on regret minimization algorithm
Abdallah et al. The effect of behavioral probability weighting in a simultaneous multi-target attacker-defender game
CN114024738A (zh) 一种基于多阶段攻防信号的网络防御方法
CN113098908A (zh) 一种基于多阶段博弈的虚假数据注入攻击防御方法及装置
CN113132398A (zh) 一种基于q学习的阵列蜜罐系统防御策略预测方法
CN115174173B (zh) 一种云环境下工业信息物理系统的全局安全博弈决策方法
CN113315763B (zh) 基于异质群体演化博弈的网络安全防御方法
Yang et al. Attack-defense utility quantification and security risk assessment

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
DD01 Delivery of document by public notice

Addressee: Hu Chenao

Document name: Notice of publication of application for patent for invention

DD01 Delivery of document by public notice
DD01 Delivery of document by public notice

Addressee: Hu Chenao

Document name: Notice before the expiry of the actual trial request period

DD01 Delivery of document by public notice
DD01 Delivery of document by public notice

Addressee: Hu Chenao

Document name: Deemed withdrawal notice

DD01 Delivery of document by public notice
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20200605

WD01 Invention patent application deemed withdrawn after publication