CN113098882B - 基于博弈论的网络空间拟态防御方法、装置、介质及终端 - Google Patents

基于博弈论的网络空间拟态防御方法、装置、介质及终端 Download PDF

Info

Publication number
CN113098882B
CN113098882B CN202110377600.XA CN202110377600A CN113098882B CN 113098882 B CN113098882 B CN 113098882B CN 202110377600 A CN202110377600 A CN 202110377600A CN 113098882 B CN113098882 B CN 113098882B
Authority
CN
China
Prior art keywords
defense
attack
income
type
strategy
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110377600.XA
Other languages
English (en)
Other versions
CN113098882A (zh
Inventor
李挥
杨昕
王菡
陈泽权
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Peking University Shenzhen Graduate School
Peng Cheng Laboratory
Original Assignee
Peking University Shenzhen Graduate School
Peng Cheng Laboratory
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Peking University Shenzhen Graduate School, Peng Cheng Laboratory filed Critical Peking University Shenzhen Graduate School
Priority to CN202110377600.XA priority Critical patent/CN113098882B/zh
Publication of CN113098882A publication Critical patent/CN113098882A/zh
Application granted granted Critical
Publication of CN113098882B publication Critical patent/CN113098882B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请公开了一种基于博弈论的网络空间拟态防御方法、装置、介质及终端，所述方法包括当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型；对于所述攻击者的每个攻击类型，基于该攻击模型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益；基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御。本申请通过动态异构冗余结构确定输出类型，并且在对博弈模型进行量化时基于马尔科夫链和输出类型来确定攻击收益以及防御收益，最后根据攻击收益以及防御收益确定防御策略，可以提高执行体的资源利用率，从而可以降低防御成本。

Description

基于博弈论的网络空间拟态防御方法、装置、介质及终端
技术领域
本申请涉及网络安全技术领域，特别涉及一种基于博弈论的网络空间拟态防御方法、装置、介质及终端。
背景技术
网络空间拟态防御(Cyberspace mimic defense,CMD)是一种新型网络安全架构，其通过多模裁决和负反馈机制增加系统的不可预测性，限制攻击者对漏洞的检测和利用，通过自动变更系统资源的脆弱性，达到初始信息熵不减的目标，从而实现应对未知的未知威胁。例如，网络空间拟态防御的典型架构为动态异构冗余(Dynamic HeterogeneousRedundancy,DHR)，动态异构冗余通过多模裁决和负反馈机制实现攻击行为的入侵检测和动态执行防御策略，这一机制将大大增加了攻击者攻击的难度。负反馈机制检测多模裁决输出，若出现异常状况将会线上或线下重构和清洗执行体，在进行线上或线下重构和清洗执行体时，容易出现造成防御成本浪费的问题。
因而现有技术还有待改进和提高。
发明内容
本申请要解决的技术问题在于，针对现有技术的不足，提供一种基于博弈论的网络空间拟态防御方法、装置、介质及终端。
为了解决上述技术问题，本申请实施例第一方面提供了一种基于博弈论的网络空间拟态防御方法，所述方法包括：
当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型；
对于所述攻击者的每个攻击类型，基于该攻击模型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益，其中，所述攻击者的攻击类型包括单模攻击类型和共模攻击类型，并且各攻击类型各自对应的马尔科夫链不同；
基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御。
所述基于博弈论的网络空间拟态防御方法，其中，所述当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型之前，所述方法包括：
预先建立单模攻击类型对应的单模马尔科夫链，以及共模攻击类型对应的共模马尔科夫链。
所述基于博弈论的网络空间拟态防御方法，其中，所述单模攻击类型为攻击对应一个执行体的单一漏洞，共模攻击类型为攻击至少对应两个执行体的共生漏洞。
所述基于博弈论的网络空间拟态防御方法，其中，所述基于该攻击类型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益具体包括：
根据该攻击类型对应的马尔科夫链，确定防御者对应的各防御策略各自对应的攻击收益以及防御收益；
将确定的各防御策略各自对应的攻击收益以及防御收益作为该攻击类型对应的攻击收益以及防御收益。
所述基于博弈论的网络空间拟态防御方法，其中，所述根据该攻击类型对应的马尔科夫链，确定各防御策略各自对应的攻击收益以及防御收益具体包括：
对于每个防御策略，根据该攻击模型对应的马尔科夫链，确定该防御策略对应的攻击成本、防御成本以及防御失效损失；
基于所述攻击成本、防御成本以及防御失效损失，确定该防御策略对应的攻击收益以及防御收益。
所述基于博弈论的网络空间拟态防御方法，其中，所述攻击收益的计算公式和防御收益的计算公式分别为：
攻击收益＝防御成本-攻击成本
防御收益＝攻击成本-防御成本-防御失效损失。
所述基于博弈论的网络空间拟态防御方法，其中，所述基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御具体包括：
基于所述输出类型以及攻击者对应的先验概率集，确定后验概率集；
基于所述后验概率集、各攻击类型各自对应的攻击收益以及防御收益，确定防御者的防御策略，并基于所述防御策略进行动态防御。
本申请实施例第二方面提供了一种基于博弈论的网络空间拟态防御装置，其包括：
输出模块，用于当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型；
确定模块，用于对于所述攻击者的每个攻击类型，基于该攻击模型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益，其中，所述攻击者的攻击类型包括单模攻击类型和共模攻击类型，并且各攻击类型各自对应的马尔科夫链不同；
防御模块，用于基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御。
本申请实施例第三方面提供了一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现如上任一所述的基于博弈论的网络空间拟态防御方法中的步骤。
本申请实施例第四方面提供了一种终端设备，其包括：处理器、存储器及通信总线；所述存储器上存储有可被所述处理器执行的计算机可读程序；
所述通信总线实现处理器和存储器之间的连接通信；
所述处理器执行所述计算机可读程序时实现如上任一所述的基于博弈论的网络空间拟态防御方法中的步骤。
有益效果：与现有技术相比，本申请提供了一种基于博弈论的网络空间拟态防御方法、装置、介质及终端，所述方法包括当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型；对于所述攻击者的每个攻击类型，基于该攻击模型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益；基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御。本申请通过动态异构冗余结构确定输出类型，并且在对博弈模型进行量化时基于马尔科夫链和输出类型来确定攻击收益以及防御收益，最后根据攻击收益以及防御收益确定防御策略，可以提高执行体的资源利用率，从而可以降低防御成本。
附图说明
为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员而言，在不符创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本申请提供的基于博弈论的网络空间拟态防御方法的流程图。
图2为本申请提供的基于博弈论的网络空间拟态防御方法中的共生漏洞的示例图。
图3为本申请提供的基于博弈论的网络空间拟态防御方法中的博弈树的示例图。
图4为本申请提供的一个网络系统的拓扑结构图。
图5为本申请提供的基于博弈论的网络空间拟态防御方法应用于图4所示的网络系统中的失效执行体个数的概率分布图。
图6为不同防御类型下处于不安全状态时间占仿真时间的比例图。
图7为本申请提供的基于博弈论的网络空间拟态防御方法中处于清洗状态的执行体个数与DHR的输出类型变化的关系图。
图8为固定清洗执行体数量为1时处于清洗状态的执行体个数与DHR的输出类型变化的关系图。
图9为固定清洗执行体数量为2时处于清洗状态的执行体个数与DHR的输出类型变化的关系图。
图10为固定清洗执行体数量为3时处于清洗状态的执行体个数与DHR的输出类型变化的关系图。
图11为本申请提供的基于博弈论的网络空间拟态防御装置的结构原理图。
图12为本申请提供的终端设备的结构原理图。
具体实施方式
本申请提供一种基于博弈论的网络空间拟态防御方法、装置、介质及终端，为使本申请的目的、技术方案及效果更加清楚、明确，以下参照附图并举实施例对本申请进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本申请，并不用于限定本申请。
本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本申请的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或无线耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的全部或任一单元和全部组合。
本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)，具有与本申请所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语，应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样被特定定义，否则不会用理想化或过于正式的含义来解释。
发明人经过研究发现，在网络安全防御中，攻击者和防御者之间普遍存在攻防不平衡的问题，其中，产生攻防不平衡的原因只有为：(a)、所设计的网络体系结构的安全性难以证明，网络漏洞的存在是不可避免的；(b)、开源软件的代码可以被攻击者和防御者所获得，而攻击者在发现该漏洞后可以选择不公开软件漏洞的存在，防御者很难根据先验知识判断系统是否受到攻击；(c)、网络系统的静态性和确定性使得攻击者有更多的时间和机会进行攻击。上述的原因造成攻击者和防御者之间普遍存在攻防不平衡的问题，使攻击者对防御者的了解比防御者对攻击者的了解要多，从而形成防御者在长期的网络对抗中处于弱势地位。
为了扭转攻防不平衡，美国科技委员会提出了移动目标防御(Moving TargetDefense,MTD)，通过改变系统资源的脆弱性，增加了攻击者的难度，限制了系统漏洞暴露时间，提高了系统的抗攻击能力。MTD的抗攻击能力来自于多样性和动态性，降低了防御目标的可预测性。但是，当攻击者成功攻击MTD设备后，无法感知系统已经遭到攻击。
网络空间拟态防御(Cyberspace mimic defense,CMD)是一种新型网络安全架构，其通过多模裁决和负反馈机制增加系统的不可预测性，限制攻击者对漏洞的检测和利用，达到初始信息熵不减的目标，从而实现应对未知的未知攻击。例如，网络空间拟态防御的典型架构为动态异构冗余(Dynamic Heterogeneous Redundancy,DHR)，动态异构冗余通过多模裁决和负反馈机制实现攻击行为的入侵检测和动态执行防御策略，这一机制将大大增加了攻击者攻击的难度。负反馈机制检测多模裁决输出，若出现异常状况将会线上或线下重构和清洗执行体。如何确定清洗执行体的策略，避免出现造成防御成本浪费的问题。
为了解决上述问题，在本申请实施例中，当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型；对于所述攻击者的每个攻击类型，基于该攻击模型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益；基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御。本申请通过动态异构冗余结构确定输出类型，并且在对博弈模型进行量化时基于马尔科夫链和输出类型来确定攻击收益以及防御收益，最后根据攻击收益以及防御收益确定防御策略，可以提高执行体的资源利用率，从而可以降低防御成本。
下面结合附图，通过对实施例的描述，对申请内容作进一步说明。
本实施例提供了一种基于博弈论的网络空间拟态防御方法，如图1所示，所述方法包括：
S10、当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型。
具体地，动态异构冗余结构应用于网络对抗，并且在网络对抗中防御者提前部署和设置防御策略，攻击者和防御者双方都不相互告知对方其关键信息，攻击者可以通过网络攻击获取目标信息；防御者通过改变攻击面，减少了暴露漏洞的时间和可能性。攻防对抗具有信息不完整的特点，双方不希望自己的战略暴露在对方身上，希望在对抗中占有优势。网络攻防博弈是动态的，这意味着进攻和防御行动是按顺序进行的。在接收到防御者的信号后，攻击者根据对防御类型的先验知识，采取相应的攻击策略，防御者观察到攻击者的攻击策略时，相应地采取具有针对性的防御策略。
所述动态异构冗余结构为拟态防御结构，动态异构冗余结构包括若干功能等价但构成不同的服务，每个服务为一个执行体。动态异构冗余结构通过构造动态的、异构的功能等价的若干执行体，若干执行体中的每个执行体均独立地处理任务，并利用多模裁决算法来判断每个执行体的输出，检测攻击者的攻击行为。
所述输出类型为所述动态异构冗余结构输出，所述输出类型用于反映若干执行体中执行结果一致的执行体以及执行结果不一致的执行体，当动态异构冗余结构包括n个执行体时，动态异构冗余结构的输出类型集合可以表示为
Figure BDA0003011842670000071
其中，φk＝{n-k,k}表示执行体可能被控制的数量。例如，动态异构冗余结构包括三个执行体，那么输出类型Φ包括第一种输出类型φ0，第二种输出类型φ1，其中，φ0表示全部执行的输出结果均相同，φ1表示两个执行体输出结果相同一个执行体输出结果不相同；第一种输出类型φ0包括两种执行情况，一种执行情况为全部执行体的输出结果均与期望输出一致，另一种情况为全部执行体的输出结果均与期望输出结果不同，第二种输出类型φ1包括两种执行情况，一种执行情况为二个执行体的输出结果均与期望输出一致，一个执行体的输出结果均与期望输出不一致；另一种情况为二个执行体的输出结果均与期望输出不一致，一个执行体的输出结果均与期望输出一致。
S20、对于所述攻击者的每个攻击类型，基于该攻击模型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益。
具体地，攻击者配置有若干攻击类型，若干攻击类型中的各攻击类型互不相同，其中，每个攻击类型均对应马尔科夫链，并且各攻击类型各自对应的马尔科夫链不同。在本实施例的一个具体实现方式中，若干攻击类型包括单模攻击类型和共模攻击类型。单模攻击类型为攻击对应于一个执行体的单模漏洞，可以理解的是，单模攻击为攻击者对n个执行体中任意一个执行体发动攻击，并且成功地控制该执行体。共模攻击类型为攻击对应至少两个执行体的共生漏洞，共生漏洞为在执行体之间存在的相同漏洞，可以理解的是，共模攻击是攻击者利用不同执行体间的共生漏洞，在一次攻击中攻击者能够成功控制多个执行体。例如，假设两个执行体间存在共生漏洞，攻击者对该漏洞发动一次攻击，在这种情况下，能够成功的地控制两个执行体。
举例说明：假设执行体包括执行体S1，执行体S2，执行体S3，如图2所示，执行体S1的漏洞集
Figure BDA0003011842670000081
执行体S2的漏洞集
Figure BDA0003011842670000082
以及执行体S3的漏洞集
Figure BDA0003011842670000083
的交集不为空，即执行体S1的漏洞集
Figure BDA0003011842670000084
执行体S2的漏洞集
Figure BDA0003011842670000085
以及执行体S3的漏洞集
Figure BDA0003011842670000086
满足
Figure BDA0003011842670000087
其中，漏洞集
Figure BDA0003011842670000088
漏洞集
Figure BDA0003011842670000089
以及漏洞集
Figure BDA00030118426700000810
的交集中的漏洞为三阶共生漏洞，漏洞集
Figure BDA00030118426700000811
与漏洞集
Figure BDA00030118426700000812
的交集中去除包含于漏洞集
Figure BDA00030118426700000813
的漏洞为二阶共生漏洞，漏洞集
Figure BDA00030118426700000814
与漏洞集
Figure BDA00030118426700000815
的交集中去除包含于漏洞集
Figure BDA00030118426700000816
的漏洞为二阶共生漏洞，漏洞集
Figure BDA00030118426700000817
与漏洞集
Figure BDA00030118426700000818
的交集中去除包含于漏洞集
Figure BDA00030118426700000819
的漏洞为二阶共生漏洞，那么当攻击者攻击漏洞集
Figure BDA00030118426700000820
漏洞集
Figure BDA00030118426700000821
以及漏洞集
Figure BDA00030118426700000822
的交集中的三阶共生漏洞时，执行体S1，执行体S2，执行体S3均会被攻击。
在本实施例的一个实现方式中，在当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型之前，所述方法还包括：
预先建立单模攻击类型对应的单模马尔科夫链，以及共模攻击类型对应的共模马尔科夫链。
具体地，单模马尔科夫链用于执行体在单模攻击下的状态转移，共模马尔科夫链用于执行体在共模攻击下的状态转移，其中，单模马尔科夫链和共模马尔科夫链均为连续时间马尔可夫链(CTMC)，网络环境配置有足够多的冗余执行体，并且假设切换执行体不消耗时间。
在本实施例的一个实现方式中，假设网络系统包括n个执行体，并采用粗粒度多模裁决，通过简化裁决复杂度来加快裁决速度。攻击者通过利用漏洞、get shell和木马来达到控制执行体的目的，并且攻击者的每种攻击类型的攻击都是独立的，对每种类型共生漏洞的平均攻击率为σj，其中，σj表示攻击者成功地利用j阶共生漏洞控制执j个执行体的平均攻击率。防御者通过定期执行随机扰动，以随机命令方式选择一个或者多个执行体进行下线预清洗或策略性重构操作，在其恢复后等待被调度加入当前工作集，其中，防御者的随机扰动周期为β。空操作：未执行任何操作或执行的操作失败。如果攻击者在没有完全掌握系统信息的情况下对系统进行攻击，那么执行体将不会被成功攻击，攻击者的行为是无效的。对于防御者来说，空操作是指随机选择一个或多个执行体清洗但该执行体处于正常状态。
基于此，单模马尔科夫链可以为：
Figure BDA0003011842670000091
其中：
Figure BDA0003011842670000092
Figure BDA0003011842670000093
ρk,k＝1-ρk,k+1-ρk,k-1,for 0≤k≤n-1
ρ0,0＝1-ρ0,1andρn,n＝1-ρn,n-1
共模马尔科夫链可以为：
Figure BDA0003011842670000101
其中：
Figure BDA0003011842670000102
Figure BDA0003011842670000103
Figure BDA0003011842670000104
Figure BDA0003011842670000105
在本实施例的一个实现方式中，所述基于该攻击类型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益具体包括：
根据该攻击类型对应的马尔科夫链，确定防御者对应的各防御策略各自对应的攻击收益以及防御收益；
将确定的各防御策略各自对应的攻击收益以及防御收益作为该攻击类型对应的攻击收益以及防御收益。
具体地，所述攻击收益用于反映攻击者发动本次攻击所产生的收益，防御收益指的是防御者基于攻击者的攻击所采用的防御策略所代理的收益。所述防御者预先设置若干防御策略，若干防御策略中的每个防御策略互不相同。在本实施例中，防御者设置的防御策略为清洗若干执行体，若干防御策略中每个防御策略对应的清洗若干执行体的数量不相同，例如，若干防御策略包括防御策略1为不清洗执行体、防御策略2为清洗1个执行体，防御策略3为清洗2个执行体，防御策略4为清洗3个执行体。
所述马尔科夫链与攻击类型相对应，当攻击类型为单模攻击类型时，马尔科夫链为单模马尔科夫链，当攻击类型为多模攻击类型时，马尔科夫链为共模马尔科夫链。其中，马尔科夫链用于计算攻击类型在状态s的稳定概率，状态s为动态异构冗余结构的输出类型对应的状态。
在本实施例的一个实现方式中，所述根据该攻击类型对应的马尔科夫链，确定各防御策略各自对应的攻击收益以及防御收益具体包括：
对于每个防御策略，根据该攻击模型对应的马尔科夫链，确定该防御策略对应的攻击成本、防御成本以及防御失效损失；
基于所述攻击成本、防御成本以及防御失效损失，确定该防御策略对应的攻击收益以及防御收益。
具体地，攻击成本为攻击者发现执行体的漏洞并采取策略时所产生的成本；防御成本为防御者采取防御策略的成本，即清洗执行体的成本；防御失效才能为防御的清洗策略是从当前正在服务的执行体中任意选取k个执行体进行清洗，可能存在被控制的执行体却没有被执行防御策略的损失。
在本实施例的一个实现方式中，攻击者的攻击类型包括单模攻击和共模攻击，防御者的防御策略为清洗执行体，防御者不知道攻击者的攻击类型，从而攻击者与防御者之间的博弈为不完全信息博弈。在基于攻击者的攻击确定防御策略时，需要通过海萨尼转换将完全信息博弈转换为不完全信息博弈。其中，海萨尼转换过程具体可以为：
虚拟参与者N给攻击类型空间Ma先验概率P，防御者通过观察攻击行为和不断修正攻击类型的信念来调整防御策略。攻击和防御博弈策略的选择过程可以用图3中的攻防博弈树表示。虚拟参与者N从攻击类型空间随机选择一个攻击类型mi，其中，攻击类型空间包含单模攻击m1和共模攻击m2，攻击者的攻击通过动态异构冗余结构的多模式决策的输出类型表示为Φ＝
Figure BDA0003011842670000113
其中，φk＝{n-k,k}表示执行体可能被控制的数量。在本实施例中，假设执行体为三个执行体，那么态异构冗余结构的多模式决策的输出类型表示为：
Figure BDA0003011842670000111
其中，
Figure BDA0003011842670000112
表示全部执行的输出结果均相同，
Figure BDA0003011842670000121
表示两个执行体输出结果相同一个执行体输出结果不相同。
在所述攻防博弈树中，由于攻击者的攻击类型未知，防御者无法从信息集区分的节点，防御者的决策策略用虚线连接起来的。防御者无法区分的节点构成了一个信息集。由此攻击者有两个攻击类型m1和m2，那么动态异构冗余结构的输出类型有两个信息集，分别为
Figure BDA0003011842670000122
和
Figure BDA0003011842670000123
Figure BDA0003011842670000124
当防御者观察到输出Φ后，由贝叶斯法则推断出攻击类型
Figure BDA0003011842670000125
的后验概率为
Figure BDA0003011842670000126
或
Figure BDA0003011842670000127
因此，攻击者有
Figure BDA0003011842670000128
和
Figure BDA0003011842670000129
两个输出结果，每个信息集包含与其攻击类型对应的单个节点。
双方采取行动后，玩家将得到不同的利益顺序行动。在计算双方的利益时，必须考虑许多因素。攻击成本是攻击所花费的漏洞类型的时间。防御者不知道到底有多少执行体被入侵，并根据输出猜测异常执行体的数量。防御者定期从执行体的备份池中选择执行体来替换在线工作的执行体。防御成本来自于选择清洗的执行体的数量。执行体被清洗的越多，防御成本就越高。同时，如果所选执行体正常，攻击者继续控制异常执行体，则会出现防御失效损失。
在本实施例的一个实现方式中，拟态攻防博弈模型CMD-SSM为一个七元组
Figure BDA00030118426700001210
其中，N＝{Na,Nd}为参与者空间，Na表示攻击者，Nd表示防御者；M＝{Ma,Md}为参与者的类型空间，Ma＝{m1,m2}为攻击者类型集合，Md＝{md}为防御者类型集合；
Figure BDA00030118426700001211
为DHR输出类型集合；D＝{d1,d2,…,dh}为防御者策略集合；P＝{p1,p2}为防御者对攻击者的先验概率集合，表示防御者对攻击类型的初始判断。
Figure BDA00030118426700001212
Figure BDA00030118426700001213
为防御者后验概率集合，
Figure BDA00030118426700001214
表示防御者观察输出类型后通过贝叶斯更新对攻击者类型的推断；U＝{Ua,Ud}为攻击者和防御者的收益函数集合。
由此，所述攻击成本的计算公式可以为：
Figure BDA00030118426700001215
其中，
Figure BDA00030118426700001216
表示攻击成本，
Figure BDA00030118426700001217
表示输出类型，mi表示攻击类型，σk表示攻击速率，π(mi,s)为攻击类型mi在状态s的稳定概率，通过马尔科夫链计算得到的
防御成本的计算公式为：
CDC(dh,mi)＝a*c
其中，CDC(φm,mi)表示防御成本，a表示选择清洗执行体的个数，c是执行体的平均清洗时间。
防御失效成本的计算公式为：
Figure BDA0003011842670000131
其中，CDF(dh,mi)表示防御失效成本，β表示随机扰动周期。
在本实施例的一个实现方式中，在获取到攻击成本、防御成本以及防御失效成本后，根据攻击成本、防御成本以及防御失效成本计算攻击收益和防御收益，其中，攻击收益＝防御成本-攻击成本；防御收益＝攻击成本-防御成本-防御失效损失；换句话说，所述攻击收益和防御收益计算公式可以分别为：
Figure BDA0003011842670000132
Figure BDA0003011842670000133
S30、基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御。
具体地，所述防御策略包括清洗执行体的数量，基于所述防御策略进行动态防御可以为对防御策略包括的清洗执行体的数量的执行体进行清洗。其中，所述防御策略可以基于攻击收益以及防御收益，通过确定贝叶斯均衡解的方式得到的。
在本实施例的一个实现方式中，所述基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御具体包括：
基于所述输出类型以及攻击者对应的先验概率集，确定后验概率集；
基于所述后验概率集、各攻击类型各自对应的攻击收益以及防御收益，确定防御者的防御策略，并基于所述防御策略进行动态防御。
具体地，所述后验概率集通过动态异构冗余结构确实输出类型集，防御者在观察输出类型集后，应用贝叶斯规则根据攻击类型空间Ma先验概率P确定得到的。在获到后验概率集后，基于后验概率集、攻击收益以及防御收益来确定贝叶斯均衡解，以得到防御者对应的防御策略。
在本实施例中，为了进一步说明本实施例提供的基于博弈论的网络空间拟态防御方法，下面通过仿真实验对本方法进行说明。
本实施例通过一个例子验证拟态攻防博弈模型的有效性，如图4所示的网络拓扑，其中，防火墙的安全策略为只有外部主机(包括攻击者)可以访问拟态Web服务器，而安全威胁来自外部网络。拟态Web服务器有三个当前服务执行体和有足够数量的后备执行体；文件服务器和Web服务器允许访问数据库，其他的网络节点和端口被阻止。攻击者无法直接访问数据库，但可以通过入侵拟态Web服务器直接访问数据库。
对于马尔可夫链有效性，用Gauss-Seidel来求解Markov链的稳定概率，用SimPy来模拟实验。SimPy是一个基于Python的进程离散事件模拟框架，支持多个进程竞争资源访问，在资源繁忙时自动处理事件队列，满足实验模拟条件。实验模拟了单模攻击与共模攻击的状态比较。假设后备执行体池中有足够的冗余执行体。实验中，单模攻击和共模攻击模型均服从指数分布，理论计算和仿真所用的输入参数值见表1。
表1实验参数设置
Figure BDA0003011842670000141
通过仿真实验和马尔可夫链的稳定概率验证了模型的有效性和马尔科夫链的稳定概率分布，其中，仿真模拟的概率分布与理论分析模型的稳定概率相近，如图5所示。在相同的实验参数下，单模攻击的稳定概率与仿真结果的最大误差不超过1.2％，共模攻击的稳定概率不超过1.6％。
对于CMD-SSM模型的安全性，比较CMD-SSM与选择rd个执行体进行清洗的效果。实验仿真时长为105min，单模攻击和共模攻击均服从指数分布，参数设置同表1。实验结果如图6所示，定周期选择rd＝1执行体进行清洗时，系统处于不安全状态时间约占仿真时间的15％。在相同的清洗周期下，根据CMD-SSM计算的策略选择清洗执行体的个数，系统处于不安全状态的时间约为5％。当选择rd＝3可以保证在清洗所有执行体后，系统处于全部均为正常服务的状态。因此，通过选择清洗更多的执行体达到提高安全性是不可行的。从实验结果显示，rd＝3与CMD-SSM的值比较接近。因此，可以保证使用CMD-SSM的安全性。
如图7-10所示，选取的仿真时长1450min，实验展示了处于清洗状态的执行体数量和DHR的状态变化。结果显示CMD-SSM的最大正在清洗个数为4，而固定清洗数量为rd＝2和rd＝3的最大清洗数量分别为6和9。从曲线的疏密程度，可以观察到系统对于执行体的切换频率，使用CMD-SSM的执行体替换次数要低于固定清洗执行体数量的防御方式。
综上所述，本实施例提供了一种基于博弈论的网络空间拟态防御方法，所述方法包括当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型；对于所述攻击者的每个攻击类型，基于该攻击模型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益；基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御。本申请通过动态异构冗余结构确定输出类型，并且在对博弈模型进行量化时基于马尔科夫链和输出类型来确定攻击收益以及防御收益，最后根据攻击收益以及防御收益确定防御策略，可以提高执行体的资源利用率，从而可以降低防御成本。
基于上述基于博弈论的网络空间拟态防御方法，本实施例提供了一种基于博弈论的网络空间拟态防御装置，如图11所示，其包括：
输出模块100，用于当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型；
确定模块200，用于对于所述攻击者的每个攻击类型，基于该攻击模型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益，其中，所述攻击者的攻击类型包括单模攻击类型和共模攻击类型，并且各攻击类型各自对应的马尔科夫链不同；
防御模块300，用于基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御。
基于上述基于博弈论的网络空间拟态防御方法，本实施例提供了一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现如上述实施例所述的基于博弈论的网络空间拟态防御方法中的步骤。
基于上述基于博弈论的网络空间拟态防御方法，本申请还提供了一种终端设备，如图12所示，其包括至少一个处理器(processor)20；显示屏21；以及存储器(memory)22，还可以包括通信接口(Communications Interface)23和总线24。其中，处理器20、显示屏21、存储器22和通信接口23可以通过总线24完成相互间的通信。显示屏21设置为显示初始设置模式中预设的用户引导界面。通信接口23可以传输信息。处理器20可以调用存储器22中的逻辑指令，以执行上述实施例中的方法。
此外，上述的存储器22中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。
存储器22作为一种计算机可读存储介质，可设置为存储软件程序、计算机可执行程序，如本公开实施例中的方法对应的程序指令或模块。处理器20通过运行存储在存储器22中的软件程序、指令或模块，从而执行功能应用以及数据处理，即实现上述实施例中的方法。
存储器22可包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据终端设备的使用所创建的数据等。此外，存储器22可以包括高速随机存取存储器，还可以包括非易失性存储器。例如，U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等多种可以存储程序代码的介质，也可以是暂态存储介质。
此外，上述存储介质以及终端设备中的多条指令处理器加载并执行的具体过程在上述方法中已经详细说明，在这里就不再一一陈述。
最后应说明的是：以上实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的精神和范围。

Claims (6)

1.一种基于博弈论的网络空间拟态防御方法，其特征在于，所述方法包括：
预先建立单模攻击类型对应的单模马尔科夫链，以及共模攻击类型对应的共模马尔科夫链；
当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型；
对于所述攻击者的每个攻击类型，基于该攻击类型 对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益，其中，所述攻击者的攻击类型包括单模攻击类型和共模攻击类型，并且各攻击类型各自对应的马尔科夫链不同；
所述基于该攻击类型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益具体包括：
根据该攻击类型对应的马尔科夫链，确定防御者对应的各防御策略各自对应的攻击收益以及防御收益；
将确定的各防御策略各自对应的攻击收益以及防御收益作为该攻击类型对应的攻击收益以及防御收益；
所述根据该攻击类型对应的马尔科夫链，确定各防御策略各自对应的攻击收益以及防御收益具体包括：
对于每个防御策略，根据该攻击类型 对应的马尔科夫链，确定该防御策略对应的攻击成本、防御成本以及防御失效损失；
基于所述攻击成本、防御成本以及防御失效损失，确定该防御策略对应的攻击收益以及防御收益；
所述攻击收益的计算公式和防御收益的计算公式分别为：
攻击收益＝防御成本-攻击成本
防御收益＝攻击成本-防御成本-防御失效损失；基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御；所述防御策略为清洗若干执行体，若干防御策略中每个防御策略对应的清洗若干执行体的数量不相同，防御者通过定期执行随机扰动，以随机命令方式选择一个或者多个执行体进行下线预清洗。
2.根据权利要求1所述基于博弈论的网络空间拟态防御方法，其特征在于，所述单模攻击类型为攻击对应一个执行体的单一漏洞，共模攻击类型为攻击至少对应两个执行体的共生漏洞。
3.根据权利要求1所述基于博弈论的网络空间拟态防御方法，其特征在于，所述基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御具体包括：
基于所述输出类型以及攻击者对应的先验概率集，确定后验概率集；
基于所述后验概率集、各攻击类型各自对应的攻击收益以及防御收益，确定防御者的防御策略，并基于所述防御策略进行动态防御。
4.一种基于博弈论的网络空间拟态防御装置，其特征在于，其包括：
输出模块，用于当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型；
所述当攻击者对执行体发起攻击时，基于动态异构冗余结构输出所述攻击者对应的输出类型之前包括：
预先建立单模攻击类型对应的单模马尔科夫链，以及共模攻击类型对应的共模马尔科夫链；
确定模块，用于对于所述攻击者的每个攻击类型，基于该攻击类型 对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益，其中，所述攻击者的攻击类型包括单模攻击类型和共模攻击类型，并且各攻击类型各自对应的马尔科夫链不同；
所述基于该攻击类型对应的马尔科夫链以及所述输出类型，确定该攻击类型对应的攻击收益以及防御收益具体包括：
根据该攻击类型对应的马尔科夫链，确定防御者对应的各防御策略各自对应的攻击收益以及防御收益；
将确定的各防御策略各自对应的攻击收益以及防御收益作为该攻击类型对应的攻击收益以及防御收益；
所述根据该攻击类型对应的马尔科夫链，确定各防御策略各自对应的攻击收益以及防御收益具体包括：
对于每个防御策略，根据该攻击类型 对应的马尔科夫链，确定该防御策略对应的攻击成本、防御成本以及防御失效损失；
基于所述攻击成本、防御成本以及防御失效损失，确定该防御策略对应的攻击收益以及防御收益；
所述攻击收益的计算公式和防御收益的计算公式分别为：
攻击收益＝防御成本-攻击成本
防御收益＝攻击成本-防御成本-防御失效损失；
防御模块，用于基于各攻击类型各自对应的攻击收益以及防御收益确定防御者的防御策略，并基于所述防御策略进行动态防御；所述防御策略为清洗若干执行体，若干防御策略中每个防御策略对应的清洗若干执行体的数量不相同，防御者通过定期执行随机扰动，以随机命令方式选择一个或者多个执行体进行下线预清洗。
5.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现如权利要求1-3任意一项所述的基于博弈论的网络空间拟态防御方法中的步骤。
6.一种终端设备，其特征在于，包括：处理器、存储器及通信总线；所述存储器上存储有可被所述处理器执行的计算机可读程序；
所述通信总线实现处理器和存储器之间的连接通信；
所述处理器执行所述计算机可读程序时实现如权利要求1-3任意一项所述的基于博弈论的网络空间拟态防御方法中的步骤。
CN202110377600.XA 2021-04-08 2021-04-08 基于博弈论的网络空间拟态防御方法、装置、介质及终端 Active CN113098882B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110377600.XA CN113098882B (zh) 2021-04-08 2021-04-08 基于博弈论的网络空间拟态防御方法、装置、介质及终端

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110377600.XA CN113098882B (zh) 2021-04-08 2021-04-08 基于博弈论的网络空间拟态防御方法、装置、介质及终端

Publications (2)

Publication Number Publication Date
CN113098882A CN113098882A (zh) 2021-07-09
CN113098882B true CN113098882B (zh) 2022-08-26

Family

ID=76675088

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110377600.XA Active CN113098882B (zh) 2021-04-08 2021-04-08 基于博弈论的网络空间拟态防御方法、装置、介质及终端

Country Status (1)

Country Link
CN (1) CN113098882B (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115277250B (zh) * 2022-09-23 2023-02-21 中国汽车技术研究中心有限公司 一种车端攻击路径识别方法、设备和存储介质
CN115834140B (zh) * 2022-10-31 2023-11-10 中国国家铁路集团有限公司 铁路网络安全管理方法、装置、电子设备及存储介质
CN116010962B (zh) * 2022-12-15 2024-03-01 华能信息技术有限公司 一种视频会议系统的主机安全管理方法

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110035066A (zh) * 2019-03-13 2019-07-19 中国科学院大学 一种基于博弈论的攻防行为量化评估方法及系统

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109218440B (zh) * 2018-10-12 2020-12-15 上海拟态数据技术有限公司 一种场景化的拟态web服务器异构执行体动态调度方法
CN110740067B (zh) * 2019-11-06 2022-02-08 鹏城实验室 主动防御网络安全性分析方法、存储介质及应用服务器

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110035066A (zh) * 2019-03-13 2019-07-19 中国科学院大学 一种基于博弈论的攻防行为量化评估方法及系统

Also Published As

Publication number Publication date
CN113098882A (zh) 2021-07-09

Similar Documents

Publication Publication Date Title
CN113098882B (zh) 基于博弈论的网络空间拟态防御方法、装置、介质及终端
CN111431946B (zh) 一种拟态路由器执行体调度方法和拟态路由器
CN110177084B (zh) 用于防御网络攻击的分布式存储系统元服务结构、构建方法及系统架构
CN110380961B (zh) 一种传统路由器拟态化改造的装置及方法
CN108134740B (zh) 一种基于物理异构冗余的加权裁决及随机调度方法
CN110048992B (zh) 一种构建动态异构冗余架构的方法
Zarreh et al. A game theory based cybersecurity assessment model for advanced manufacturing systems
CN110191120B (zh) 一种网络系统漏洞风险评估方法及装置
CN110740067B (zh) 主动防御网络安全性分析方法、存储介质及应用服务器
CN106992982B (zh) 一种基于sdn的动态路由协议执行体实现装置及方法
Iannucci et al. Model-based response planning strategies for autonomic intrusion protection
Iannucci et al. A probabilistic approach to autonomic security management
CN111935071B (zh) 多层拟态防御方法、装置、存储介质及多层拟态系统
Li et al. Optimal timing of moving target defense: A Stackelberg game model
MUSMAN et al. A game oriented approach to minimizing cybersecurity risk
Chen et al. Optimal strategy for cyberspace mimic defense based on game theory
CN110138778B (zh) 一种基于博弈论的网络攻击风险控制方法及系统
WO2022019947A1 (en) Minimizing production disruption through a scan rule engine
CN110913019A (zh) 一种云服务的安全保护方法及装置
Wilson et al. Multi-Agent Reinforcement Learning for Maritime Operational Technology Cyber Security
CN112035838B (zh) 基于执行体异构度的条件概率表决方法及装置
CN110188539B (zh) 一种运行应用的方法、装置及系统
Tomášek et al. Intrusion detection system based on system behavior
Stetsyuk et al. Implementation of Control by Parameters of Client Automated Workplaces of Specialized Information Systems for Neutralization malware.
OuYang et al. Analysis of Mimic Defense and Defense Capabilities based on Four-Executor

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant