CN112491801A - 一种基于关联矩阵的面向对象网络攻击建模方法及装置 - Google Patents

一种基于关联矩阵的面向对象网络攻击建模方法及装置 Download PDF

Info

Publication number
CN112491801A
CN112491801A CN202011184026.8A CN202011184026A CN112491801A CN 112491801 A CN112491801 A CN 112491801A CN 202011184026 A CN202011184026 A CN 202011184026A CN 112491801 A CN112491801 A CN 112491801A
Authority
CN
China
Prior art keywords
network
attack
attack behavior
attribute
communication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202011184026.8A
Other languages
English (en)
Other versions
CN112491801B (zh
Inventor
童和钦
倪明
赵丽莉
李满礼
陈永华
司庆华
徐军
赵彦丽
张倩
陈珏
高鹤文
李悦岑
张迎星
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Corp of China SGCC
NARI Group Corp
Nari Technology Co Ltd
Electric Power Research Institute of State Grid Jiangsu Electric Power Co Ltd
Original Assignee
State Grid Corp of China SGCC
NARI Group Corp
Nari Technology Co Ltd
Electric Power Research Institute of State Grid Jiangsu Electric Power Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Corp of China SGCC, NARI Group Corp, Nari Technology Co Ltd, Electric Power Research Institute of State Grid Jiangsu Electric Power Co Ltd filed Critical State Grid Corp of China SGCC
Priority to CN202011184026.8A priority Critical patent/CN112491801B/zh
Publication of CN112491801A publication Critical patent/CN112491801A/zh
Application granted granted Critical
Publication of CN112491801B publication Critical patent/CN112491801B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/145—Network analysis or design involving simulating, designing, planning or modelling of a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种基于关联矩阵的面向对象网络攻击建模方法及装置，包括采用关联矩阵的方法，对通信信息网络结构以及网络攻击路径进行描述；利用面向对象的方法描述网络攻击的方式和过程。通过本发明既可以分析攻击行为对单个节点或链路的影响，发现其存在的潜在漏洞；又可以直观的反映网络攻击方法、过程，以及在网络中的攻击路径，方便网络安全人员分析系统的漏洞，找出攻击源和攻击路径，促使网络安全分析从局域网或一个较小的网络拓展到全网，从而提升网络的管理能力。

Description

一种基于关联矩阵的面向对象网络攻击建模方法及装置
技术领域
本发明属于网络安全技术领域，更准确地说本发明涉及一种基于关联矩阵的面向对象网络攻击建模方法及装置。
背景技术
随着泛在电力物联网的建设，电网和通信信息网的结构将日趋复杂，耦合将更加紧密，这就给电力系统的安全稳定运行带来了新的威胁——信息通信系统的安全威胁。黑客对信息通信系统的攻击可以直接或间接影响电力系统的量测和控制，并进一步影响电力系统安全稳定运行，甚至导致大规模停电事故的发生。面对层出不穷的网络攻击案例，需要从网络的整体态势对攻击过程进行建模，预测网络攻击可能发生的路径，及其概率，实现对网络状态的安全评估，为安全措施提供参考意见。
目前，国内外已提出诸多针对网络攻击的建模方法，包括攻击语言、攻击树、攻击图、攻击网、状态转移图等，这些方法对网络攻击行为分析和形式化进行了相应的描述：
攻击树模型：用一个树形结构来描述对系统的攻击，把攻击要达到的一个总目标作为树的根节点，达到这个总目标的子目标作为子节点，逐步细分，每一条从根节点到叶子节点的路径表示实现这个攻击目标而进行的一个完整的攻击过程。攻击树仅限于描述、形式化分析，主观性太强，且自身存在的规模问题使其不适用于大规模的网络环境。
攻击图模型：攻击图模型就是通过模拟攻击者对存在的安全漏洞进行模拟攻击，找到所有能够达到目标的攻击路径，是一组攻击者能够破坏网络系统的攻击预案的集合。与攻击树和Petri网相比，攻击图对网络攻击过程的描述能力更强。通过攻击图可以展示出攻击者试图入侵通信或信息网络时，如何从初始状态到达目的状态的过程，一个完整的攻击图就是一个可能达到被攻击目标的操作序列。攻击图生成主要有两大类，一类为状态的变迁，通过算法可生成完整的攻击图，但应用在大规模商业网络中时常引发“状态空间爆炸”；另一类以主机为中心，可应用在大规模网络中，但缺点是不能列出所有的攻击路径。
基于Petri网的攻击网模型：通过由位置、变迁、弧和令牌构成的，位置与攻击网中的节点相对应，攻击行为通过令牌在位置间的变迁转换来描述。该方法可以较好地表示攻击所处的状态、攻击的动作和攻击的进展等。但该方法由于受到规模的限制，难以用来分析较大规模和复杂网络拓扑的网络信息系统，因此对网络信息的利用不全面。
网络攻击语言：是最早出现的对网络攻击进行描述的建模方法，其通过一种形式化的描述语言对网络攻击进行描述，包括NASL,STATL，面向对象的语言建模等，通过直接对一个或一类攻击行为进行语言化描述。网络攻击语言的方法适用于工程化应用，但不适用于描述阶段性的攻击行为，也不能展现整个信息通信网络的安全形势。
状态转移图建模：该建模方法通过有限状态机模型为基础来表示攻击过程。攻击者的入侵过程可以看作从有限特权开始，利用通信和信息系统存在的漏洞和错误的配置等不断提升其操作权限的过程。但该模型中系统状态仅是一个标记，其含义不明确，应用面较窄。
发明内容
本发明的目的在于提供一种基于关联矩阵的面向对象网络攻击建模方法及装置，采用关联矩阵的方法准确描述攻击数据包在网络中的传输过程，以及在攻击过程中网络节点和链路的状态变化，较为直观地建立网络攻击者与被攻击对象之间的关系，展现可能的攻击路径。
为达到上述目的，本发明采用的技术方案如下：
本发明提供一种基于关联矩阵的面向对象网络攻击建模方法，包括：
将通信信息网络中的节点和通信链路进行抽象；以及，将网络攻击行为进行抽象；
根据通信信息网络的拓扑结构基于抽象的节点和通信链路建立通信网络对象关联矩阵；以及，根据网络攻击行为的目标和攻击数据包经过的通信信息网络的路径基于抽象的网络攻击行为建立攻击行为对象关联矩阵；
对通信网络对象关联矩阵和攻击行为对象关联矩阵中的元素进行一一匹配，得到网络攻击后的通信信息对象状态矩阵。
进一步的，所述将通信信息网络中的节点和通信链路进行抽象，包括：
采用面向对象的方法将节点和通信链路的实例封装为一个网络对象；所述节点包括通信节点和信息节点；
将网络对象的网络属性用一个二元组＜T，V＞表示，将网络对象的网络方法用一个二元组＜O，W＞表示；所述网络属性是对被攻击的网络对象状态特征的表示；所述网络方法是被攻击的网络对象对攻击行为的处理方法；
其中，T为网络属性的名称，V为网络属性的具体值，用0、1和-1表示，0表示该网络对象没有相应的网络属性，1表示网络属性为未被攻击者利用，-1表示网络属性已经被攻击者所利用；O为网络方法的名称，W为网络方法的具体值，用0、1和-1表示，0表示该网络方法不存在，1表该网络方法有效，-1表示该网络方法已被攻击者利用。
进一步的，所述将网络攻击行为进行抽象，包括：
采用面向对象的方法将攻击者的攻击实例封装为一个攻击行为对象；
将攻击行为对象属性用一个二元组＜R，P＞表示，将攻击行为对象的攻击行为方法用一个二元组＜S，Q＞表示，所述攻击行为对象属性是对攻击行为对象的操作的描述；所述攻击行为方法是对攻击行为对象的攻击动作的描述；
其中，R为攻击行为对象属性的名称，P为攻击行为对象属性的具体值，用0和-1表示，0表示攻击行为对象属性无效，-1表示攻击行为对象属性有效；S为攻击行为方法的名称，Q为攻击行为方法的具体值，用0和-1表示，0表示攻击行为方法无效，-1表示攻击行为方法有效。
进一步的，所述根据通信信息网络的拓扑结构基于抽象的节点和通信链路建立通信网络对象关联矩阵，包括：
通信网络对象关联矩阵中的元素为通信信息网络中网络对象的状态，用Nij表示网络对象ij的状态，Nij＝[A M]，
若i＝j，则ij表示该网络对象为一个通信节点或信息节点，Nij表示该通信节点或信息节点的状态；若i≠j，则ij表示通信信息网络中的一个从节点ii到jj的单向链路，Nij表示通信信息网络中从节点ii到jj的单向链路状态；若没有连接节点ii到jj的链路，则矩阵中对应的Nij和Nji用0表示；
A为网络对象抽象的网络属性二元组＜T，V＞的集合，M为网络对象抽象的网络方法二元组＜O，W＞的集合；
如果通信信息网络被攻击，则采用Nk ij表示网络对象ij经过k次网络攻击后的状态，k＝0,1,2,……，当k＝0时，为初始状态。
进一步的，所述根据网络攻击行为的目标和攻击数据包经过的通信信息网络的路径，基于抽象的网络攻击行为建立攻击行为对象关联矩阵，包括：
攻击行为对象关联矩阵中的元素为攻击者对网络对象进行的一次攻击，采用ONij表示攻击者对网络对象ij进行的一次攻击，ONij＝[OA OM]；
若i＝j，则ONij表示对通信信息网络中的一个通信节点或信息节点进行的攻击行为或是一个转发行为，若攻击者没有攻击对象或攻击数据包未经过该网络对象ij，则矩阵中对应的ONij用0表示；若i≠j，则ONij表示攻击者攻击通信信息网络中的一个从节点ii到jj的单向链路或利用这条链路向目标网络对象发动攻击，若攻击者没有攻击对象或没有利用从节点ii到jj的单向链路，则矩阵中对应的ONij和ONji用0表示；
OA为抽象的攻击行为对象属性二元组＜R，P＞的集合，OM为抽象的攻击行为方法二元组＜S，Q＞的集合；
采用ONk ij表示对网络对象ij进行的攻击次序为k的一次攻击，k＝0,1,2,……。
进一步的，所述对通信网络对象关联矩阵和攻击行为对象关联矩阵中的元素进行一一匹配，得到网络攻击后的通信网络对象状态矩阵，包括：
Figure BDA0002750964950000031
Figure BDA0002750964950000032
其中，NT为通信网络对象最终状态矩阵，N0为通信网络对象初始状态关联矩阵，ONT为多次不同的网络攻击行为共同作用的关联矩阵；ONij为攻击次序为i的攻击行为对网络对象j进行攻击的攻击行为对象关联矩阵；T表示通信信息网络受到的有先后次序的不同网络攻击行为的集合；K表示所属攻击次序的攻击行为攻击的网络对象的集合；e-TjSj为延时环节，上标Tj表示对网络对象j进行攻击的发生时刻，Sj表示对网络对象j进行攻击的持续时间；
Figure BDA0002750964950000041
表示攻击行为对象与网络对象之间的逻辑匹配。
进一步的，所述攻击行为对象与网络对象之间的逻辑匹配，包括：
对攻击行为对象的攻击行为属性集合和网络对象的网络方法集合进行逻辑匹配，判断攻击行为是否有效；
当确定攻击行为有效后，对攻击行为对象的攻击行为方法集合和网络对象的网络属性集合进行逻辑匹配，判断攻击是否成功。
进一步的，所述对攻击行为对象的攻击行为属性集合和网络对象的网络方法集合进行逻辑匹配，判断攻击行为是否有效，包括：
将网络方法的二元组＜O，W＞集合中的O的描述与攻击行为属性的二元组集合＜R，P＞中的R的描述进行匹配，当描述一致时，对相应的二元组中的W的值和P的值进行计算；
如果W为1，则攻击行为属性二元组＜R，P＞中，对应的P值变为0即攻击行为被过滤；如果W为0或-1，则对应的P值依旧为-1，表示攻击行为有效。
进一步的，所述对攻击行为对象的攻击行为方法集合和网络对象的网络属性集合进行逻辑匹配，判断攻击是否成功，包括：
将攻击行为方法的二元组＜S，Q＞集合中的S的描述与网络属性的二元组集合＜T，V＞中的T的描述进行匹配，当描述一致时，对相应的二元组中的Q的值和V的值进行计算；
如果Q为-1，则网络属性二元组＜T，V＞中，对应的V值变为-1即攻击成功；否则，保持不变。
进一步的，所述攻击行为被过滤时，通信网络对象关联矩阵中元素保持不变。
本发明还提供一种基于关联矩阵的面向对象网络攻击建模装置，包括：
初始化模块，用于将通信信息网络中的节点和通信链路进行抽象；以及，将网络攻击行为进行抽象；
建模模块，用于根据通信信息网络的拓扑结构基于抽象的节点和通信链路建立通信网络对象关联矩阵；以及，根据网络攻击行为的目标和攻击数据包经过的通信信息网络的路径基于抽象的网络攻击行为建立攻击行为对象关联矩阵；
以及，
匹配模块，用于对通信网络对象关联矩阵和攻击行为对象关联矩阵中的元素进行一一匹配，得到网络攻击后的通信信息对象状态矩阵。
进一步的，所述初始化模块具体用于，
采用面向对象的方法将节点和通信链路的实例封装为一个网络对象；所述节点包括通信节点和信息节点；
将网络对象的网络属性用一个二元组＜T，V＞表示，将网络对象的网络方法用一个二元组＜O，W＞表示；所述网络属性是对被攻击的网络对象状态特征的表示；所述网络方法是被攻击的网络对象对攻击行为的处理方法；
其中，T为网络属性的名称，V为网络属性的具体值，用0、1和-1表示，0表示该网络对象没有相应的网络属性，1表示网络属性为未被攻击者利用，-1表示网络属性已经被攻击者所利用；O为网络方法的名称，W为网络方法的具体值，用0、1和-1表示，0表示该网络方法不存在，1表该网络方法有效，-1表示该网络方法已被攻击者利用；
以及，
采用面向对象的方法将攻击者的攻击实例封装为一个攻击行为对象；
将攻击行为对象属性用一个二元组＜R，P＞表示，将攻击行为对象的攻击行为方法用一个二元组＜S，Q＞表示，所述攻击行为对象属性是对攻击行为对象的操作的描述；所述攻击行为方法是对攻击行为对象的攻击动作的描述；
其中，R为攻击行为对象属性的名称，P为攻击行为对象属性的具体值，用0和-1表示，0表示攻击行为对象属性无效，-1表示攻击行为对象属性有效；S为攻击行为方法的名称，Q为攻击行为方法的具体值，用0和-1表示，0表示攻击行为方法无效，-1表示攻击行为方法有效。
进一步的，所述建模模块具体用于，
通信网络对象关联矩阵中的元素为通信信息网络中网络对象的状态，用Nij表示网络对象ij的状态，Nij＝[A M]，
若i＝j，则ij表示该网络对象为一个通信节点或信息节点，Nij表示该通信节点或信息节点的状态；若i≠j，则ij表示通信信息网络中的一个从节点ii到jj的单向链路，Nij表示通信信息网络中从节点ii到jj的单向链路状态；若没有连接节点ii到jj的链路，则矩阵中对应的Nij和Nji用0表示；
A为网络对象抽象的网络属性二元组＜T，V＞的集合，M为网络对象抽象的网络方法二元组＜O，W＞的集合；
如果通信信息网络被攻击，则采用Nk ij表示网络对象ij经过k次网络攻击后的状态，k＝0,1,2,……，当k＝0时，为初始状态；
攻击行为对象关联矩阵中的元素为攻击者对网络对象进行的一次攻击，采用ONij表示攻击者对网络对象ij进行的一次攻击，ONij＝[OA OM]；
若i＝j，则ONij表示对通信信息网络中的一个通信节点或信息节点进行的攻击行为或是一个转发行为，若攻击者没有攻击对象或攻击数据包未经过该网络对象ij，则矩阵中对应的ONij用0表示；若i≠j，则ONij表示攻击者攻击通信信息网络中的一个从节点ii到jj的单向链路或利用这条链路向目标网络对象发动攻击，若攻击者没有攻击对象或没有利用从节点ii到jj的单向链路，则矩阵中对应的ONij和ONji用0表示；
OA为抽象的攻击行为对象属性二元组＜R，P＞的集合，OM为抽象的攻击行为方法二元组＜S，Q＞的集合；
采用ONk ij表示对网络对象ij进行的攻击次序为k的一次攻击，k＝0,1,2,……。
进一步的，所述匹配模块具体用于，
Figure BDA0002750964950000061
Figure BDA0002750964950000062
其中，NT为通信网络对象最终状态矩阵，N0为通信网络对象初始状态关联矩阵，ONT为多次不同的网络攻击行为共同作用的关联矩阵；ONij为攻击次序为i的攻击行为对网络对象j进行攻击的攻击行为对象关联矩阵；T表示通信信息网络受到的有先后次序的不同网络攻击行为的集合；K表示所属攻击次序的攻击行为攻击的网络对象的集合；e-TjSj为延时环节，上标Tj表示对网络对象j进行攻击的发生时刻，Sj表示对网络对象j进行攻击的持续时间；
Figure BDA0002750964950000063
表示攻击行为对象与网络对象之间的逻辑匹配。
本发明的有益效果如下：
本发明通过将通信信息网络中的节点和通信链路进行抽象和将网络攻击行为进行抽象，建立通信网络对象关联矩阵和攻击行为对象关联矩阵，以及通过对通信网络对象关联矩阵和攻击行为对象关联矩阵中的元素进行一一匹配，得到网络攻击后的通信信息对象状态矩阵，能够更细致描述了攻击行为在信息通信网络拓扑中的传播路径，以及动态的描述了攻击行为对网络中节点和链路的影响；通过该方法可以检视、分析攻击路径中各节点的状态变化；确定攻击行为是否有效；发现各节点是否有存在可被攻击者利用的漏洞；发现攻击行为在网络中的传播路径，为发现潜在的网络漏洞，以及为提高网络安全防御能力提供有效的分析方法。
附图说明
图1是本发明具体实施方式中的一种网络攻击模型的建模框图。
图2是本发明具体实施方式中的一种通信信息网络拓扑图。
具体实施方式
下面对本发明作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。
面向对象的研究分析方法是一种认识和表示客观世界的方法，其特点是把描述事物静态特征的属性和表示动态行为的操作放在一起构成一个整体，并采用有限的步骤建立起一个客观的世界模型。由于网络攻击行为的特点，使得面向对象所构造的模型可以清楚的描述网络攻击的方式和过程，同时也可以为网络安全维护人员直观的展现系统漏洞，并可以展现攻击者成功攻击系统的步骤，为网络安全人员发现攻击行为，提升系统安全提供一个有效的方法。
本发明提供一种基于关联矩阵的面向对象网络攻击建模方法，建模的框图如图1所示。根据攻击者的攻击目标和攻击方式建立攻击行为对象矩阵。根据攻击目标的不同和攻击时间段的不同，分别建立攻击对象矩阵，并按发生的时间顺序进行分别与信息通信网络矩阵进行计算，描述攻击者分多次在不同的时间段，对不同的目标发起攻击。
实施例1
本发明提供一种基于关联矩阵的面向对象网络攻击建模方法，包括：
将通信信息网络中的节点和通信链路进行抽象；以及，将网络攻击行为进行抽象；
根据通信信息网络的拓扑结构基于抽象的节点和通信链路建立通信网络对象关联矩阵，关联矩阵中各元素由一个包含节点/通信链路的属性向量和方法向量的状态空间构成；以及，根据网络攻击行为的目标和攻击数据包经过的通信信息网络的路径建立攻击行为对象关联矩阵，关联矩阵中各元素由一个包含攻击行为属性向量和方法向量的状态空间构成；
通过通信网络对象关联矩阵和攻击行为对象关联矩阵中元素的一一匹配得到网络攻击后的通信网络对象状态矩阵。该矩阵描述了信息通信系统拓扑结构，以及攻击数据包在通信信息网络中进行网络攻击的路径。
具体的，将通信信息网络中的节点和通信链路进行抽象，包括：
采用面向对象的方法对节点和通信链路进行定义，其中，节点包括通信节点和信息节点，通信节点为通信信息网络中通信设备组成的节点如路由器、交换机等，信息节点为信息设备组成的节点，如服务器、数据库、网络计算机等；通信链路为节点之间的路径。
网络对象(N)：将通信链路或节点的实例封装为一个网络对象，网络对象可以是通信信息网络中的一个通信节点，如路由器、交换机、SDH设备等，也可以是通信节点间的通信链路，如光纤链路，无线通信链路等，同时也可以是一个变电站或数据中心的系统级抽象。
网络对象的属性，简称网络属性(A)：网络属性是对被攻击对象状态特征的表示，包括服务、漏洞、带宽、硬件资源、系统版本等。网络属性可以用一个二元组表示＜T，V＞，T为该属性的名称，V为该属性的具体值，用0、1和-1表示，其中0表示对象没有相应的属性，1表示该属性为未被攻击者利用，-1表示该属性已经被攻击者所利用。
网络对象的方法，简称网络方法(M)：网络方法是网络对象对接收到的数据包或用户操作请求的处理方法，也可以表示为对攻击行为的处理方法，比如对端口扫描行为的拒绝回复、数据包包过滤等；网络方法可以用一个二元组表示＜O，W＞，O为该方法的名称，W为该方法的具体值，用0、1和-1表示，其中0表示方法不存在，1表示该方法有效，-1表示该方法已被攻击者利用。
具体的，将网络攻击行为进行抽象，包括：
采用面向对象的方法将攻击行为进行定义：
攻击行为对象(ON)：将攻击者的攻击实例封装为一个攻击行为对象，攻击行为对象可以被表示为单一的攻击，也可被表示为多种攻击的组合，成功的攻击行为将造成一个或多个元件对象属性的改变。
攻击行为属性(OA)：攻击行为属性是对攻击行为对象某个操作的描述，攻击行为属性是攻击行为的前提条件，在充分满足一个或多个攻击行为属性的条件下，攻击动作将被启动。攻击行为属性可以用一个二元组表示＜R，P＞，R为该属性的名称，P为该属性的具体值，用0和-1表示，其中0表示该攻击行为属性无效，-1表示该攻击行为属性有效。
攻击行为方法(OM)：攻击行为方法是对攻击行为对象的攻击动作的描述，在满足攻击行为属性的前提条件下，将通过攻击行为方法修改网络对象的一个或多个属性，从而完成攻击动作。攻击行为方法可以用一个二元组表示＜S，Q＞，S为该方法的名称，Q为该方法的具体值，用0和-1表示，其中0表示方法无效，-1表示攻击方法有效。
具体的，根据通信信息网络的拓扑结构基于抽象的节点和通信链路建立通信网络对象关联矩阵，包括：
建立通信网络对象关联矩阵，来描述通信信息网络的拓扑和特性。通信网络对象关联矩阵可以描述整个通信信息网络中的各对象元素的状态特征。
通信网络对象关联矩阵中的元素用Nij表示，Nij＝[A M]，若i＝j，则ij表示该网络对象为一个通信节点或信息节点，Nij表示该通信节点或信息节点的状态；若i≠j，则ij表示通信信息网络中的一个从节点ii到jj的单向链路，Nij表示该单向链路的状态；若没有连接节点ii到jj的链路，则矩阵中对应的Nij和Nji用0表示。通信节点，信息节点和链路均属于网络对象。
A为该网络对象的网络属性集合，为二元组＜T，V＞的集合，可以包括：链路带宽、链路中通信设备的CPU、内存、远程登陆、提供的服务等，M为该网络对象的网络方法集合，为二元组＜O，W＞的集合，可以包括：远程登陆密码保护、链路中通信设备对特定数据的过滤能力，如病毒，蠕虫等。
矩阵元素采用上标表示经过几次网络攻击后的状态，如Nk ij表示经过k次网络攻击后的状态，如果上标为0则为初始状态。
以图2的通信信息网络为例，该通信信息网络共有8个节点，结合各节点之间的连接关系，得到该通信信息网络对象关联矩阵初始状态矩阵如下：
Figure BDA0002750964950000091
具体的，根据网络攻击行为的目标和攻击数据包在通信信息网络中的传输路径建立攻击行为对象关联矩阵，包括：
建立攻击行为对象关联矩阵ON来描述攻击路径，攻击方法，以及攻击过程。
攻击行为对象关联矩阵中的元素用ONij表示，表示对网络对象ij进行的一次攻击，ONij＝[OA OM]；若i＝j，则ONij表示对通信信息网络中的一个通信节点或信息节点的攻击行为或是一个简单的转发行为；若攻击者没有攻击对象或攻击数据包未经过该网络对象ij，则矩阵中对应的ONij用0表示；若i≠j，则ONij表示攻击者攻击通信信息网络中的一个从节点ii到jj的单向链路或利用这条链路向目标网络对象发动攻击；若攻击者没有攻击对象或没有利用连接节点ii到jj的链路，则矩阵中对应的ONij和ONji用0表示。
OA为抽象的攻击行为属性二元组＜R，P＞的集合，可以包括：攻击的端口号、攻击的IP地址、攻击包的数量等，OM为抽象的攻击行为方法二元组＜S，Q＞的集合，可以包括：消耗链路带宽消耗系统资源、修改配置信息、植入木马等。
矩阵中的元素采用上标表示攻击行为的发生次序，如ONk ij表示对网络对象ij进行的攻击次序为k的一次攻击。攻击次序从0开始计算，如下述矩阵ON0表示对图2所示的通信信息网络进行攻击次序为0的一次攻击，矩阵中ON0 33表示对网络对象33进行攻击次序为0的一次攻击。
Figure BDA0002750964950000101
攻击行为对象关联矩阵可以描述攻击者通过通信信息网络的各节点和链路来攻击目标对象的路径和方法。
参见图1的网络攻击模型，通过通信网络对象关联矩阵和网络攻击行为对象关联矩阵中元素的一一匹配得到网络攻击后的通信网络对象状态矩阵，包括：
Figure BDA0002750964950000102
Figure BDA0002750964950000103
式中，NT为通信网络对象最终状态矩阵，N0为通信网络对象初始状态关联矩阵，ONT为多次不同的网络攻击行为共同作用的关联矩阵；ONij为攻击次序为i的攻击行为对网络对象j进行攻击的攻击行为关联矩阵；T表示通信信息网络受到的有先后次序的不同网络攻击行为的集合；K表示攻击次序为i的网络攻击行为攻击的网络对象的集合；e-TjSj为延时环节，上标Tj表示对网络对象j进行攻击的发生时刻，Sj表示对网络对象j进行攻击的持续时间。
例如，对于发生了两次攻击行为，则通信信息网络最终状态矩阵为：
Figure BDA0002750964950000104
式中，NT为通信信息网络最终状态矩阵，ON0表示对通信信息网络进行攻击次序为0的一次攻击，ON1表示对通信信息网络进行攻击次序为1的一次攻击；
e-T0S0和e-T1S1表示第0次攻击行为的延时环节和第1次攻击行为的延时环节，上标T1表示第1次攻击行为发生的时刻，上标S1表示第1次攻击行为的持续时间，上标T0表示第0次攻击行为发生的时刻，上标S0表示第0次攻击行为的持续时间。
Figure BDA0002750964950000111
表示攻击行为对象与网络对象之间的逻辑运算关系，包括攻击过程中攻击行为的属性与网络对象方法的逻辑匹配关系，攻击行为方法与网络对象属性的逻辑匹配关系等。
逻辑匹配规则如下：
a.当进行攻击行为对象与网络对象逻辑匹配时，先对攻击行为对象的攻击行为属性集合和网络对象的网络方法集合进行逻辑匹配，当某种网络方法与攻击行为属性匹配时，即攻击行为被过滤；反之，则攻击行为有效。
攻击行为属性集合和网络方法集合匹配过程如下：
当网络方法的二元组＜O，W＞集合中的一个O的描述与攻击行为属性的二元组集合＜R，P＞中的R的描述相同时，对W的值和P的值进行计算；如果W为1，匹配攻击行为的属性时，则攻击行为属性二元组＜R，P＞中，对应的P值变为0即攻击行为被过滤。如果W为0或-1，则对应的P值依旧为-1，表示攻击行为有效。攻击行为有效表现为：在矩阵N中相应元素能否被改变状态。如果攻击行为有效，则可以用相应的攻击行为的方法去改变相应的网络属性二元组＜T，V＞中V值。
b.当确定攻击行为有效后，对攻击行为对象的攻击行为方法集合和网络对象的网络属性集合进行逻辑匹配，即攻击行为方法对被攻击对象网络属性的操作，如果操作有效，则网络对象的网络属性将被修改，攻击成功；反之，则网络对象的网络属性不被修改，攻击失败或表明攻击利用了该属性。
攻击行为方法集合和网络属性集合匹配过程如下：
当攻击行为方法的二元组＜S，Q＞集合中的一个S的描述与网络属性的二元组＜T，V＞集合中的T的描述相同时，对Q的值和V的值进行计算；如果Q为-1，则网络属性二元组＜T，V＞中，对应的V值变为-1，否则，保持不变。
c.当攻击行为被过滤时，该通信网络对象关联矩阵中元素的方法向量所对应的通信网络对象关联矩阵中元素的属性向量保持不变，表示通信信息网络的状态没有被攻击行为改变。
综上所述，本发明通过利用关联矩阵的方法，实现了对信息通信网络拓扑结构的描述以及网络攻击路径的描述；利用面向对象的方法对攻击方法、攻击步骤和攻击过程，以及攻击后信息通信网络的状态进行描述。由于本发明可以分析攻击行为对单个节点或链路的影响，因此可以有助于发现存在的漏洞。
实施例2
本发明还提供一种基于关联矩阵的面向对象网络攻击建模装置，包括：
初始化模块，用于将通信信息网络中的节点和通信链路进行抽象；以及，将网络攻击行为进行抽象；
建模模块，用于根据通信信息网络的拓扑结构基于抽象的节点和通信链路建立通信网络对象关联矩阵；以及，根据网络攻击行为的目标和攻击数据包经过的通信信息网络的路径基于抽象的网络攻击行为建立攻击行为对象关联矩阵；
以及，
匹配模块，用于对通信网络对象关联矩阵和攻击行为对象关联矩阵中的元素进行一一匹配，得到网络攻击后的通信信息对象状态矩阵。
进一步的，所述初始化模块具体用于，
采用面向对象的方法将节点和通信链路的实例封装为一个网络对象；所述节点包括通信节点和信息节点；
将网络对象的网络属性用一个二元组＜T，V＞表示，将网络对象的网络方法用一个二元组＜O，W＞表示；所述网络属性是对被攻击的网络对象状态特征的表示；所述网络方法是被攻击的网络对象对攻击行为的处理方法；
其中，T为网络属性的名称，V为网络属性的具体值，用0、1和-1表示，0表示该网络对象没有相应的网络属性，1表示网络属性为未被攻击者利用，-1表示网络属性已经被攻击者所利用；O为网络方法的名称，W为网络方法的具体值，用0、1和-1表示，0表示该网络方法不存在，1表该网络方法有效，-1表示该网络方法已被攻击者利用；
以及，
采用面向对象的方法将攻击者的攻击实例封装为一个攻击行为对象；
将攻击行为对象属性用一个二元组＜R，P＞表示，将攻击行为对象的攻击行为方法用一个二元组＜S，Q＞表示，所述攻击行为对象属性是对攻击行为对象的操作的描述；所述攻击行为方法是对攻击行为对象的攻击动作的描述；
其中，R为攻击行为对象属性的名称，P为攻击行为对象属性的具体值，用0和-1表示，0表示攻击行为对象属性无效，-1表示攻击行为对象属性有效；S为攻击行为方法的名称，Q为攻击行为方法的具体值，用0和-1表示，0表示攻击行为方法无效，-1表示攻击行为方法有效。
进一步的，所述建模模块具体用于，
通信网络对象关联矩阵中的元素为通信信息网络中网络对象的状态，用Nij表示网络对象ij的状态，Nij＝[A M]，
若i＝j，则ij表示该网络对象为一个通信节点或信息节点，Nij表示该通信节点或信息节点的状态；若i≠j，则ij表示通信信息网络中的一个从节点ii到jj的单向链路，Nij表示通信信息网络中从节点ii到jj的单向链路状态；若没有连接节点ii到jj的链路，则矩阵中对应的Nij和Nji用0表示；
A为网络对象抽象的网络属性二元组＜T，V＞的集合，M为网络对象抽象的网络方法二元组＜O，W＞的集合；
如果通信信息网络被攻击，则采用Nk ij表示网络对象ij经过k次网络攻击后的状态，k＝0,1,2,……，当k＝0时，为初始状态；
攻击行为对象关联矩阵中的元素为攻击者对网络对象进行的一次攻击，采用ONij表示攻击者对网络对象ij进行的一次攻击，ONij＝[OA OM]；
若i＝j，则ONij表示对通信信息网络中的一个通信节点或信息节点进行的攻击行为或是一个转发行为，若攻击者没有攻击对象或攻击数据包未经过该网络对象ij，则矩阵中对应的ONij用0表示；若i≠j，则ONij表示攻击者攻击通信信息网络中的一个从节点ii到jj的单向链路或利用这条链路向目标网络对象发动攻击，若攻击者没有攻击对象或没有利用从节点ii到jj的单向链路，则矩阵中对应的ONij和ONji用0表示；
OA为抽象的攻击行为对象属性二元组＜R，P＞的集合，OM为抽象的攻击行为方法二元组＜S，Q＞的集合；
采用ONk ij表示对网络对象ij进行的攻击次序为k的一次攻击，k＝0,1,2,……。
进一步的，所述匹配模块具体用于，
Figure BDA0002750964950000131
Figure BDA0002750964950000132
其中，NT为通信网络对象最终状态矩阵，N0为通信网络对象初始状态关联矩阵，ONT为多次不同的网络攻击行为共同作用的关联矩阵；ONij为攻击次序为i的攻击行为对网络对象j进行攻击的攻击行为对象关联矩阵；T表示通信信息网络受到的有先后次序的不同网络攻击行为的集合；K表示所属攻击次序的攻击行为攻击的网络对象的集合；e-TjSj为延时环节，上标Tj表示对网络对象j进行攻击的发生时刻，Sj表示对网络对象j进行攻击的持续时间；
Figure BDA0002750964950000133
表示攻击行为对象与网络对象之间的逻辑匹配。
值得指出的是，该装置实施例是与上述方法实施例对应的，上述方法实施例的实现方式均适用于该装置实施例中，并能达到相同或相似的技术效果，故不在此赘述。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求保护范围之内。

Claims (14)

1.一种基于关联矩阵的面向对象网络攻击建模方法，其特征在于，包括：
将通信信息网络中的节点和通信链路进行抽象；以及，将网络攻击行为进行抽象；
根据通信信息网络的拓扑结构基于抽象的节点和通信链路建立通信网络对象关联矩阵；以及，根据网络攻击行为的目标和攻击数据包经过的通信信息网络的路径基于抽象的网络攻击行为建立攻击行为对象关联矩阵；
对通信网络对象关联矩阵和攻击行为对象关联矩阵中的元素进行一一匹配，得到网络攻击后的通信信息对象状态矩阵。
2.根据权利要求1所述的一种基于关联矩阵的面向对象网络攻击建模方法，其特征在于，所述将通信信息网络中的节点和通信链路进行抽象，包括：
采用面向对象的方法将节点和通信链路的实例封装为一个网络对象；所述节点包括通信节点和信息节点；
将网络对象的网络属性用一个二元组＜T，V＞表示，将网络对象的网络方法用一个二元组＜O，W＞表示；所述网络属性是对被攻击的网络对象状态特征的表示；所述网络方法是被攻击的网络对象对攻击行为的处理方法；
其中，T为网络属性的名称，V为网络属性的具体值，用0、1和-1表示，0表示该网络对象没有相应的网络属性，1表示网络属性为未被攻击者利用，-1表示网络属性已经被攻击者所利用；O为网络方法的名称，W为网络方法的具体值，用0、1和-1表示，0表示该网络方法不存在，1表该网络方法有效，-1表示该网络方法已被攻击者利用。
3.根据权利要求1所述的一种基于关联矩阵的面向对象网络攻击建模方法，其特征在于，所述将网络攻击行为进行抽象，包括：
采用面向对象的方法将攻击者的攻击实例封装为一个攻击行为对象；
将攻击行为对象属性用一个二元组＜R，P＞表示，将攻击行为对象的攻击行为方法用一个二元组＜S，Q＞表示，所述攻击行为对象属性是对攻击行为对象的操作的描述；所述攻击行为方法是对攻击行为对象的攻击动作的描述；
其中，R为攻击行为对象属性的名称，P为攻击行为对象属性的具体值，用0和-1表示，0表示攻击行为对象属性无效，-1表示攻击行为对象属性有效；S为攻击行为方法的名称，Q为攻击行为方法的具体值，用0和-1表示，0表示攻击行为方法无效，-1表示攻击行为方法有效。
4.根据权利要求2所述的一种基于关联矩阵的面向对象网络攻击建模方法，其特征在于，所述根据通信信息网络的拓扑结构基于抽象的节点和通信链路建立通信网络对象关联矩阵，包括：
通信网络对象关联矩阵中的元素为通信信息网络中网络对象的状态，用Nij表示网络对象ij的状态，Nij＝[A M]，
若i＝j，则ij表示该网络对象为一个通信节点或信息节点，Nij表示该通信节点或信息节点的状态；若i≠j，则ij表示通信信息网络中的一个从节点ii到jj的单向链路，Nij表示通信信息网络中从节点ii到jj的单向链路状态；若没有连接节点ii到jj的链路，则矩阵中对应的Nij和Nji用0表示；
A为网络对象抽象的网络属性二元组＜T，V＞的集合，M为网络对象抽象的网络方法二元组＜O，W＞的集合；
如果通信信息网络被攻击，则采用Nk ij表示网络对象ij经过k次网络攻击后的状态，k＝0,1,2,……，当k＝0时，为初始状态。
5.根据权利要求3所述的一种基于关联矩阵的面向对象网络攻击建模方法，其特征在于，所述根据网络攻击行为的目标和攻击数据包经过的通信信息网络的路径，基于抽象的网络攻击行为建立攻击行为对象关联矩阵，包括：
攻击行为对象关联矩阵中的元素为攻击者对网络对象进行的一次攻击，采用ONij表示攻击者对网络对象ij进行的一次攻击，ONij＝[OA OM]；
若i＝j，则ONij表示对通信信息网络中的一个通信节点或信息节点进行的攻击行为或是一个转发行为，若攻击者没有攻击对象或攻击数据包未经过该网络对象ij，则矩阵中对应的ONij用0表示；若i≠j，则ONij表示攻击者攻击通信信息网络中的一个从节点ii到jj的单向链路或利用这条链路向目标网络对象发动攻击，若攻击者没有攻击对象或没有利用从节点ii到jj的单向链路，则矩阵中对应的ONij和ONji用0表示；
OA为抽象的攻击行为对象属性二元组＜R，P＞的集合，OM为抽象的攻击行为方法二元组＜S，Q＞的集合；
采用ONk ij表示对网络对象ij进行的攻击次序为k的一次攻击，k＝0,1,2,……。
6.根据权利要求5所述的一种基于关联矩阵的面向对象网络攻击建模方法，其特征在于，所述对通信网络对象关联矩阵和攻击行为对象关联矩阵中的元素进行一一匹配，得到网络攻击后的通信网络对象状态矩阵，包括：
Figure FDA0002750964940000021
Figure FDA0002750964940000022
其中，NT为通信网络对象最终状态矩阵，N0为通信网络对象初始状态关联矩阵，ONT为多次不同的网络攻击行为共同作用的关联矩阵；ONij为攻击次序为i的攻击行为对网络对象j进行攻击的攻击行为对象关联矩阵；T表示通信信息网络受到的有先后次序的不同网络攻击行为的集合；K表示所属攻击次序的攻击行为攻击的网络对象的集合；e-TjSj为延时环节，上标Tj表示对网络对象j进行攻击的发生时刻，Sj表示对网络对象j进行攻击的持续时间；
Figure FDA0002750964940000031
表示攻击行为对象与网络对象之间的逻辑匹配。
7.根据权利要求6所述的一种基于关联矩阵的面向对象网络攻击建模方法，其特征在于，所述攻击行为对象与网络对象之间的逻辑匹配，包括：
对攻击行为对象的攻击行为属性集合和网络对象的网络方法集合进行逻辑匹配，判断攻击行为是否有效；
当确定攻击行为有效后，对攻击行为对象的攻击行为方法集合和网络对象的网络属性集合进行逻辑匹配，判断攻击是否成功。
8.根据权利要求7所述的一种基于关联矩阵的面向对象网络攻击建模方法，其特征在于，所述对攻击行为对象的攻击行为属性集合和网络对象的网络方法集合进行逻辑匹配，判断攻击行为是否有效，包括：
将网络方法的二元组＜O，W＞集合中的O的描述与攻击行为属性的二元组集合＜R，P＞中的R的描述进行匹配，当描述一致时，对相应的二元组中的W的值和P的值进行计算；
如果W为1，则攻击行为属性二元组＜R，P＞中，对应的P值变为0即攻击行为被过滤；如果W为0或-1，则对应的P值依旧为-1，表示攻击行为有效。
9.根据权利要求7所述的一种基于关联矩阵的面向对象网络攻击建模方法，其特征在于，所述对攻击行为对象的攻击行为方法集合和网络对象的网络属性集合进行逻辑匹配，判断攻击是否成功，包括：
将攻击行为方法的二元组＜S，Q＞集合中的S的描述与网络属性的二元组集合＜T，V＞中的T的描述进行匹配，当描述一致时，对相应的二元组中的Q的值和V的值进行计算；
如果Q为-1，则网络属性二元组＜T，V＞中，对应的V值变为-1即攻击成功；否则，保持不变。
10.根据权利要求8所述的一种基于关联矩阵的面向对象网络攻击建模方法，其特征在于，所述攻击行为被过滤时，通信网络对象关联矩阵中元素保持不变。
11.一种基于关联矩阵的面向对象网络攻击建模装置，其特征在于，包括：
初始化模块，用于将通信信息网络中的节点和通信链路进行抽象；以及，将网络攻击行为进行抽象；
建模模块，用于根据通信信息网络的拓扑结构基于抽象的节点和通信链路建立通信网络对象关联矩阵；以及，根据网络攻击行为的目标和攻击数据包经过的通信信息网络的路径基于抽象的网络攻击行为建立攻击行为对象关联矩阵；
以及，
匹配模块，用于对通信网络对象关联矩阵和攻击行为对象关联矩阵中的元素进行一一匹配，得到网络攻击后的通信信息对象状态矩阵。
12.根据权利要求11所述的一种基于关联矩阵的面向对象网络攻击建模装置，其特征在于，所述初始化模块具体用于，
采用面向对象的方法将节点和通信链路的实例封装为一个网络对象；所述节点包括通信节点和信息节点；
将网络对象的网络属性用一个二元组＜T，V＞表示，将网络对象的网络方法用一个二元组＜O，W＞表示；所述网络属性是对被攻击的网络对象状态特征的表示；所述网络方法是被攻击的网络对象对攻击行为的处理方法；
其中，T为网络属性的名称，V为网络属性的具体值，用0、1和-1表示，0表示该网络对象没有相应的网络属性，1表示网络属性为未被攻击者利用，-1表示网络属性已经被攻击者所利用；O为网络方法的名称，W为网络方法的具体值，用0、1和-1表示，0表示该网络方法不存在，1表该网络方法有效，-1表示该网络方法已被攻击者利用；
以及，
采用面向对象的方法将攻击者的攻击实例封装为一个攻击行为对象；
将攻击行为对象属性用一个二元组＜R，P＞表示，将攻击行为对象的攻击行为方法用一个二元组＜S，Q＞表示，所述攻击行为对象属性是对攻击行为对象的操作的描述；所述攻击行为方法是对攻击行为对象的攻击动作的描述；
其中，R为攻击行为对象属性的名称，P为攻击行为对象属性的具体值，用0和-1表示，0表示攻击行为对象属性无效，-1表示攻击行为对象属性有效；S为攻击行为方法的名称，Q为攻击行为方法的具体值，用0和-1表示，0表示攻击行为方法无效，-1表示攻击行为方法有效。
13.根据权利要求12所述的一种基于关联矩阵的面向对象网络攻击建模装置，其特征在于，所述建模模块具体用于，
通信网络对象关联矩阵中的元素为通信信息网络中网络对象的状态，用Nij表示网络对象ij的状态，Nij＝[A M]，
若i＝j，则ij表示该网络对象为一个通信节点或信息节点，Nij表示该通信节点或信息节点的状态；若i≠j，则ij表示通信信息网络中的一个从节点ii到jj的单向链路，Nij表示通信信息网络中从节点ii到jj的单向链路状态；若没有连接节点ii到jj的链路，则矩阵中对应的Nij和Nji用0表示；
A为网络对象抽象的网络属性二元组＜T，V＞的集合，M为网络对象抽象的网络方法二元组＜O，W＞的集合；
如果通信信息网络被攻击，则采用Nk ij表示网络对象ij经过k次网络攻击后的状态，k＝0,1,2,……，当k＝0时，为初始状态；
攻击行为对象关联矩阵中的元素为攻击者对网络对象进行的一次攻击，采用ONij表示攻击者对网络对象ij进行的一次攻击，ONij＝[OA OM]；
若i＝j，则ONij表示对通信信息网络中的一个通信节点或信息节点进行的攻击行为或是一个转发行为，若攻击者没有攻击对象或攻击数据包未经过该网络对象ij，则矩阵中对应的ONij用0表示；若i≠j，则ONij表示攻击者攻击通信信息网络中的一个从节点ii到jj的单向链路或利用这条链路向目标网络对象发动攻击，若攻击者没有攻击对象或没有利用从节点ii到jj的单向链路，则矩阵中对应的ONij和ONji用0表示；
OA为抽象的攻击行为对象属性二元组＜R，P＞的集合，OM为抽象的攻击行为方法二元组＜S，Q＞的集合；
采用ONk ij表示对网络对象ij进行的攻击次序为k的一次攻击，k＝0,1,2,……。
14.根据权利要求13所述的一种基于关联矩阵的面向对象网络攻击建模装置，其特征在于，所述匹配模块具体用于，
Figure FDA0002750964940000051
Figure FDA0002750964940000052
其中，NT为通信网络对象最终状态矩阵，N0为通信网络对象初始状态关联矩阵，ONT为多次不同的网络攻击行为共同作用的关联矩阵；ONij为攻击次序为i的攻击行为对网络对象j进行攻击的攻击行为对象关联矩阵；T表示通信信息网络受到的有先后次序的不同网络攻击行为的集合；K表示所属攻击次序的攻击行为攻击的网络对象的集合；e-TjSj为延时环节，上标Tj表示对网络对象j进行攻击的发生时刻，Sj表示对网络对象j进行攻击的持续时间；
Figure FDA0002750964940000053
表示攻击行为对象与网络对象之间的逻辑匹配。
CN202011184026.8A 2020-10-29 2020-10-29 一种基于关联矩阵的面向对象网络攻击建模方法及装置 Active CN112491801B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011184026.8A CN112491801B (zh) 2020-10-29 2020-10-29 一种基于关联矩阵的面向对象网络攻击建模方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011184026.8A CN112491801B (zh) 2020-10-29 2020-10-29 一种基于关联矩阵的面向对象网络攻击建模方法及装置

Publications (2)

Publication Number Publication Date
CN112491801A true CN112491801A (zh) 2021-03-12
CN112491801B CN112491801B (zh) 2023-04-18

Family

ID=74926364

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011184026.8A Active CN112491801B (zh) 2020-10-29 2020-10-29 一种基于关联矩阵的面向对象网络攻击建模方法及装置

Country Status (1)

Country Link
CN (1) CN112491801B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114117451A (zh) * 2021-12-04 2022-03-01 哈尔滨工业大学 一种工业机器人系统网络攻击路径分割方法

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102098306A (zh) * 2011-01-27 2011-06-15 北京信安天元科技有限公司 基于关联矩阵的网络攻击路径分析方法
CN105095998A (zh) * 2015-08-13 2015-11-25 同济大学 一种电力系统遭受恐怖攻击下的安全性分析方法
US20160012235A1 (en) * 2014-02-10 2016-01-14 Vivo Security Inc. Analysis and display of cybersecurity risks for enterprise data
WO2016133662A1 (en) * 2015-02-16 2016-08-25 Taasera, Inc. Systems and methods for determining trustworthiness of the signaling and data exchange between network systems
CN108270723A (zh) * 2016-12-30 2018-07-10 全球能源互联网研究院有限公司 一种电力网络预测攻击路径的获取方法
CN108763067A (zh) * 2018-05-14 2018-11-06 南京市芯传汇电子科技有限公司 一种软件攻击模式关联关系分析方法
CN108923415A (zh) * 2018-06-28 2018-11-30 国网湖北省电力有限公司荆门供电公司 一种智能电网线路保护中信息物理协同攻击分析方法
CN109117637A (zh) * 2018-07-03 2019-01-01 北京航空航天大学 基于攻击树的智能网联车辆信息安全事件发生概率评估方法与系统
CN110300018A (zh) * 2019-05-30 2019-10-01 武汉大学 一种面向对象的电网信息物理系统层次化建模方法
CN111314387A (zh) * 2020-03-24 2020-06-19 东南大学 考虑网络攻击影响的电力系统信息物理双层策略优化方法

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102098306A (zh) * 2011-01-27 2011-06-15 北京信安天元科技有限公司 基于关联矩阵的网络攻击路径分析方法
US20160012235A1 (en) * 2014-02-10 2016-01-14 Vivo Security Inc. Analysis and display of cybersecurity risks for enterprise data
WO2016133662A1 (en) * 2015-02-16 2016-08-25 Taasera, Inc. Systems and methods for determining trustworthiness of the signaling and data exchange between network systems
CN105095998A (zh) * 2015-08-13 2015-11-25 同济大学 一种电力系统遭受恐怖攻击下的安全性分析方法
CN108270723A (zh) * 2016-12-30 2018-07-10 全球能源互联网研究院有限公司 一种电力网络预测攻击路径的获取方法
CN108763067A (zh) * 2018-05-14 2018-11-06 南京市芯传汇电子科技有限公司 一种软件攻击模式关联关系分析方法
CN108923415A (zh) * 2018-06-28 2018-11-30 国网湖北省电力有限公司荆门供电公司 一种智能电网线路保护中信息物理协同攻击分析方法
CN109117637A (zh) * 2018-07-03 2019-01-01 北京航空航天大学 基于攻击树的智能网联车辆信息安全事件发生概率评估方法与系统
CN110300018A (zh) * 2019-05-30 2019-10-01 武汉大学 一种面向对象的电网信息物理系统层次化建模方法
CN111314387A (zh) * 2020-03-24 2020-06-19 东南大学 考虑网络攻击影响的电力系统信息物理双层策略优化方法

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
DERUI DING,QING-LONG HAN,ZIDONG WANG,XIAHUA GE: "Recursive filtering of distributed cyber-physicial systems with attack detection" *
严芬;黄皓;殷新春;: "基于CTPN的复合攻击检测方法研究" *
李艳;王纯子;黄光球;赵旭;张斌;李盈超;: "网络安全态势感知分析框架与实现方法比较" *
童和钦，倪明，赵丽莉，李满礼: "基于关联矩阵的面向对象网络攻击建模方法研究与实现" *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114117451A (zh) * 2021-12-04 2022-03-01 哈尔滨工业大学 一种工业机器人系统网络攻击路径分割方法
CN114117451B (zh) * 2021-12-04 2023-08-11 哈尔滨工业大学 一种工业机器人系统网络攻击路径分割方法

Also Published As

Publication number Publication date
CN112491801B (zh) 2023-04-18

Similar Documents

Publication Publication Date Title
Koroniotis et al. Towards the development of realistic botnet dataset in the internet of things for network forensic analytics: Bot-iot dataset
Aljawarneh et al. Anomaly-based intrusion detection system through feature selection analysis and building hybrid efficient model
Kotenko et al. A cyber attack modeling and impact assessment framework
CN102611713B (zh) 基于熵运算的网络入侵检测方法和装置
Li et al. Complex attack linkage decision-making in edge computing networks
Baiardi et al. Automating the assessment of ICT risk
Gao et al. Exploring attack graphs for security risk assessment: a probabilistic approach
Cao et al. Learning state machines to monitor and detect anomalies on a kubernetes cluster
Zhang et al. Sybil detection in social-activity networks: Modeling, algorithms and evaluations
Li et al. An approach to model network exploitations using exploitation graphs
Srilatha et al. DDoSNet: A deep learning model for detecting network attacks in cloud computing
CN112491801B (zh) 一种基于关联矩阵的面向对象网络攻击建模方法及装置
Karthika et al. Simulation of SDN in mininet and detection of DDoS attack using machine learning
Kim et al. Time-based moving target defense using Bayesian attack graph analysis
Stamp Living-off-the-land abuse detection using natural language processing and supervised learning
Baiardi et al. A scenario method to automatically assess ict risk
Alhamami et al. DDOS attack detection using machine learning algorithm in SDN network
Ahmed et al. Enhancing intrusion detection using statistical functions
Liu et al. SEAG: A novel dynamic security risk assessment method for industrial control systems with consideration of social engineering
Hu et al. Research on automatic generation and analysis technology of network attack graph
Arifin et al. Oversampling and undersampling for intrusion detection system in the supervisory control and data acquisition IEC 60870‐5‐104
Song et al. Network Security with Virtual Reality Based Antivirus Protection and Reduced Detection Delays
Byers et al. Real-time fusion and projection of network intrusion activity
CN108540322A (zh) 一种攻击图可视化效果的优化方法
Garg et al. Empirical risk assessment of attack graphs using time to compromise framework

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant