CN113836535A - 一种零日病毒的动态防御方法 - Google Patents

Abstract

本公开是关于一种零日病毒的动态防御方法，该方法包括以下步骤：构建零日病毒时滞传播模型；获取所述零日病毒时滞传播模型的动力学方程；根据所述零日病毒时滞传播模型的动力学方程推导出所述零日病毒持续存在的阈值的计算公式；调整所述阈值的计算公式中的相关变量，以使所述阈值小于等于1。本公开提高了系统对零日病毒的防御，有效抑制了零日病毒的传播。

Description

一种零日病毒的动态防御方法

技术领域

本公开涉及计算机网络信息安全技术领域，尤其涉及一种零日病毒的动态防御方法。

背景技术

零日病毒是利用计算机平台中存在的零日漏洞发起攻击的一种网络病毒。和一般网络病毒相比，零日病毒具有潜伏性强和信息不对称特点。在零日病毒攻击中，攻击方可以利用对手计算机平台存在的零日漏洞，事先设计和部署网络攻击行动，较之防御方具有建立在信息优势基础上的决策和攻击优势，由于开发补丁等传统防御工作量大、周期长，零日攻防中攻击方的优势更加明显。此外，和多数传统病毒的“直接”和“无差别”感染模式相比较，零日病毒攻击具有隐蔽性和针对性特征，通过分析目标主机的资源信息，可选择满足特定条件的主机和恰当时机发起攻击。对于零日病毒攻防双方而言，从零日病毒的存在到激活作用和针对性分析，都存在时间差，也就是目前高级持续性威胁中普遍存在的潜伏性和潜伏周期，这种时滞问题，同样是零日病毒需要重点关注的问题。

相关技术中，对零日攻击相关的研究成果主要集中两个方面，一是零日病毒传播机理和传播行为建模，二是零日病毒的防御方法和策略。但前期研究主要关注零日病毒传播的一般规律和防御模式，对零日病毒传播和防御的研究还需要持续深入，以进一步提高对零日病毒的防御，从而有效抑制零日病毒的传播。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本公开实施例的目的在于提供一种零日病毒的动态防御方法，以进一步提高对零日病毒的防御，从而有效抑制零日病毒的传播。

本公开提供了一种零日病毒的动态防御方法，包括以下步骤：

构建零日病毒时滞传播模型；

获取所述零日病毒时滞传播模型的动力学方程；

根据所述零日病毒时滞传播模型的动力学方程推导出所述零日病毒持续存在的阈值的计算公式；

调整所述阈值的计算公式中的相关变量，以使所述阈值小于等于1。

本公开的一实施例中，所述构建零日病毒时滞传播模型的步骤，包括：

构建5元组SIZRO零日病毒时滞传播模型，其中，S表示易感状态，I表示初始感染状态，Z表示零日状态，R表示免疫状态，O表示其他平台状态。

本公开的一实施例中，所述零日病毒时滞传播模型的动力学方程为：

其中，S(t)、I(t)、Z(t)、O(t)、R(t)分别表示t时刻各个状态的节点，N为各个状态的节点数量总和，β表示节点接触概率，K表示节点度值，Z(t-τ)表示考虑零日病毒感染时滞τ的情况下在t时刻零日状态节点数量，υ表示免疫状态转化为易感状态的转化率，ω表示由毁损状态恢复为易感状态的恢复率，P₁表示正向切换成功率，P₂表示反向切换成功率，α表示感染已知漏洞病毒的免疫率，γ表示零日病毒发起攻击的概率。

本公开的一实施例中，根据所述零日病毒时滞传播模型的动力学方程推导出所述零日病毒持续存在的阈值的计算公式的步骤，包括：

根据所述零日病毒时滞传播模型的动力学方程计算网络系统平衡点；

通过所述网络系统平衡点推导出所述阈值的计算公式。

本公开的一实施例中，所述网络系统平衡点包括无病毒平衡点以及有病毒平衡点。

本公开的一实施例中，所述无病毒平衡点为P⁰(S⁰,I⁰,Z⁰,R⁰,O⁰)，且

所述有病毒平衡点为P¹(S¹,I¹,Z¹,R¹,O¹ ₁)，且

其中，

本公开的一实施例中，根据I¹得到所述阈值R₀的计算公式，且

本公开的一实施例中，所述调整所述阈值的计算公式中的相关变量，以使所述阈值小于等于1的步骤，包括：

通过增大正向切换成功率P₁，以使所述阈值小于等于1。

本公开的一实施例中，所述调整所述阈值的计算公式中的相关变量，以使所述阈值小于等于1的步骤，包括：

通过减小反向切换成功率P₂，以使所述阈值小于等于1。

本公开提供的技术方案可以包括以下有益效果：

本公开的实施例中，考虑到时滞因素对零日病毒传播的影响，构建了零日病毒时滞传播模型，引入平台动态防御模式，获得了零日病毒时滞传播模型的动力学方程，通过动力学方程推导出零日病毒持续存在的阈值，最终调整所述阈值的计算公式中的相关变量，以使所述阈值小于等于1，从而提高了系统对零日病毒的防御，有效抑制了零日病毒的传播。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见的，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出本公开示例性实施例中一种零日病毒的动态防御方法的步骤示意图；

图2示出本公开示例性实施例中零日病毒的传播及免疫模型示意图；

图3示出本公开示例性实施例中不同正向切换成功率对应的系统状态示意图；

图4示出本公开示例性实施例中不同反向切换成功率对应的系统状态示意图；

图5示出本公开示例性实施例中不同时滞τ对应的零日状态节点数示意图；

图6示出本公开示例性实施例中不同时滞τ对应的系统状态示意图；

图7示出本公开示例性实施例中不同模型传播及免疫效果对比图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。

此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

本示例实施方式中首先提供了一种零日病毒的动态防御方法，参考图1中所示，该方法可以包括以下步骤：

步骤S101：构建零日病毒时滞传播模型；

步骤S102：获取所述零日病毒时滞传播模型的动力学方程；

步骤S103：根据所述零日病毒时滞传播模型的动力学方程推导出所述零日病毒持续存在的阈值的计算公式；

步骤S104：调整所述阈值的计算公式中的相关变量，以使所述阈值小于等于1。

本公开的实施例中，考虑到时滞因素对零日病毒传播的影响，构建了零日病毒时滞传播模型，引入平台动态防御模式，获得了零日病毒时滞传播模型的动力学方程，通过动力学方程推导出零日病毒持续存在的阈值，最终调整所述阈值的计算公式中的相关变量，以使所述阈值小于等于1，从而提高了系统对零日病毒的防御，有效抑制了零日病毒的传播。

下面，结合图1到图7将对本示例实施方式中的上述方法的各个步骤进行更详细的说明。

在步骤S101中，根据对零日病毒传播机理的分析，零日病毒扩散及免疫过程可划分为4个阶段，即初始感染阶段、病毒传播及发作阶段、病毒损毁阶段和平台迁移阶段。本公开中，将病毒传播及发作阶段统称为零日病毒执行阶段，简称零日阶段。

与零日病毒传播机理不同，零日病毒时滞传播及免疫的过程有所变化。在病毒传播阶段，目标主机感染零日病毒的过程中存在耗时τ。在零日阶段，将毁损状态转化为易感状态的过程融入到零日状态转化为易感状态的过程中。在平台迁移阶段，防御方利用平台迁移技术以一定的概率将目标主机中原有平台迁移至其他平台。由于平台的转变，使得针对原有平台的零日攻击无法正常进行，从而达到了免疫的效果。

为便于分析，做出如下假设：①网络中仅存在一种零日病毒，针对一种特定的运行平台感染主机；②感染过程存在耗时为τ，一旦被打断则感染失败。

在一个实施例中，构建5元组SIZRO零日病毒时滞传播模型，其中，S表示易感状态，I表示初始感染状态，Z表示零日状态，R表示免疫状态，O表示其他平台状态。SIZRO的状态转移关系有7中，如图2所示：

(1)易感状态S→初始感染状态I。易感状态S节点与零日状态Z节点接触，经过一定时间间隔τ后，节点由易感状态转化为初始感染状态。其中，η＝βK·Z(t-τ)/N，β代表节点接触概率，K代表节点度值，Z(t-τ)表示考虑零日病毒感染时滞τ的情况下在t时刻零日状态节点数量。

(2)初始感染状态I→免疫状态R。防御方通过传统防御手段能够将已知病毒及时查杀。α代表了感染已知漏洞病毒的免疫率。

(3)免疫状态R→易感状态S。由于病毒变异或用户系统更新等原因，部分免疫节点失去免疫能力。υ代表了免疫状态转化为易感状态的转化率。

(4)初始感染状态I→零日状态Z。当满足特定条件时，零日病毒实施非法活动，造成初始感染状态向着零日状态转化。γ代表了零日病毒发起攻击的概率。

(5)零日状态Z→易感状态S。由于部分计算机核心系统被控制或部分由计算机操控的工控系统被破坏导致整个网络的性能下降，因此目标主机在被损毁后，相关操作人员将对已损坏的设备进行翻新或者使用新的设备。ω代表了由毁损状态恢复为易感状态的恢复率。

(6)易感状态S、初始感染状态I、零日状态Z、免疫状态R→其他平台状态O。在平台迁移的过程中，防御方并不知悉网络中每一节点的感染情况。因此，防御方为了防御效益最大化，将对整个网络中的每一主机进行平台迁移。由于运行平台及环境的不同，针对原平台的零日攻击在其他平台上无法进行，从而达到免疫的效果。定义由原平台迁移至其他平台的迁移成功率为正向切换成功率P₁。

(7)其他平台状态O→易感状态S。处于其他平台状态的节点，在成功阻止零日病毒的攻击后，防御方将其他平台状态迁移至原平台状态，定义该过程中平台迁移成功率为反向切换成功率P₂。

在步骤S102中，设网络相对稳定且节点总数N为各状态节点数量和，S(t),I(t),Z(t),O(t),R(t)分别表示t时刻初始感染状态节点，零日状态节点，其他节点状态节点以及免疫状态节点的数量，则根据条件可得

根据微分动力学原理，可得零日病毒时滞传播模型对应的动力学方程：

在步骤S103中，令公式(1)中的

得到网络系统平衡点。

具体的，网络系统平衡点包括无病毒平衡点以及有病毒平衡点。其中，无病毒平衡点为P⁰(S⁰,I⁰,Z⁰,R⁰,O⁰)，且

有病毒平衡点为P¹(S¹,I¹,Z¹,R¹,O¹ ₁)，且

在公式(3)中，

显然，无病毒平衡点始终存在。由公式(4)可得到零日病毒持续存在的阈值即基本再生数R₀的计算公式：

当R₀≤1时，有病毒平衡点P¹(S¹,I¹,Z¹,R¹,O¹ ₁)不存在；当R₀＞1时，有病毒平衡点P¹(S¹,I¹,Z¹,R¹,O¹ ₁)存在。

因此，在步骤S104中，调整所述阈值的计算公式中的相关变量，以使所述阈值小于等于1。

具体的证明过程如下：

引理1当t→∞时，S(t)≤S₀。

证明：设A(t)＝S(t)+I(t)+R(t)+Z(t)，式(1)可进一步表示为

令

求解可得式(6)的唯一平衡点

对应的雅克比矩阵为

相应的特征方程为

λ(λ+P₁+P₂)＝0 (8)

由式(8)可得式(7)的两个特征根λ₁＝0和λ₂＝-P₁-P₂。显然，特征根为非正根，由劳斯稳定性判据可知，式(8)在平衡点处局部稳定。因此，当t→∞时，有

进而可得S(t)＝P₂·N/(P₁+P₂)-I(t)-R(t)，从而S(t)≤S₀。

定理1当R₀≤1时，式(1)表示的网络系统在无病毒平衡点P⁰(S⁰,I⁰,Z⁰,R⁰,O⁰)处全局渐进稳定。

证明：定义Lyapunov函数

对式(9)求导可得式(10)

由引理1可知

L'(t)≤Z(t)·(P₁+ω)·(R₀-1) (11)

当R₀≤1时，L'(t)≤0，当且仅当Z(t)＝0时等号成立。根据LaSalle不变原理，式(1)表示的网络系统在无病毒平衡点P⁰(S⁰,I⁰,Z⁰,R⁰,O⁰)处全局渐进稳定。

定理2当R₀＞1时，系统在有病毒平衡点处局部渐进稳定。

证明：根据引理1，式(1)可化简为

对应的特征方程为

式中

令λ＝iμ，利用欧拉公式并分离实部和虚部，式(13)可化为

式中

进而可得

令k＝μ²，式(17)可化为

令

对f(k)求导得

结合式(1)中各参数取值范围计算可知，

因此，当k＞0时，方程f'(k)＞0，对应式(16)单调递增；由于

方程(18)无正实根，式(1)在有病毒平衡点处不存在Hopf分岔现象。因此，当R₀＞1时，系统在有病毒平衡点处局部渐进稳定。

由以上分析可知：①基本再生数是零日病毒持续存在的阈值，当R₀≤1时，网络能够靠自身免疫能力和平台切换消除零日病毒，此时网络系统在无病毒平衡点P⁰(S⁰,I⁰,Z⁰,R⁰,O⁰)处局部渐近稳定；当R₀＞1时，零日病毒总能持续存在，此时系统在有病毒平衡点P¹(S¹,I¹,Z¹,R¹,O¹ ₁)处局部渐近稳定；②零日病毒的感染时滞对网络系统稳定时的传播规模没有影响。③平台切换概率决定着网络中两类平台的比例，处于原有平台的易感节点数量越少，感染零日病毒的节点数也越少，对于零日病毒的免疫效果就越好。

仿真分析：

仿真分析平台迁移成功率和时滞因子对零日病毒传播的影响，验证模型及其稳定性。其中，平台迁移成功率可通过完善硬件及软件来进行调节，感染时滞因子主要是病毒自身特性。设β＝0.6,K＝6,α＝0.2,υ＝0.5,γ＝0.6,P₁＝0.08,P₂＝0.15,ω＝0.3；设节点总数N＝1000，初始状态下不同状态节点数为(S₀,I₀,Z₀,R₀,O₀)＝(700,50,50,100,100)。在仿真验证过程中，用易感状态、零日状态和异构平台状态等三类状态的节点数量变化，动态演示零日病毒传播规律及平台迁移的免疫效果。

1.平台切换成功率

其他参数保持不变，调整平台正向切换成功率P₁和反向切换成功率P₂验证其对病毒传播的影响及免疫效果。分别令P₁＝0.08,0.1，0.4，图3所示为不同正向切换概率P₁对应的系统状态。

图2(a)(b)(c)分别对应P₁＝0.08,0.1，0.4的系统状态。仿真结果表明，当P₁＝0.4(R₀＜1)时，系统在平衡点P⁰(200,0,0,0,800)处局部渐进稳定；当P₁＝0.1(R₀＞1)时，系统在P¹(167,118,176,39,500)处局部渐进稳定；当P₁＝0.08(R₀＞1)时，系统在P¹(155,137,216,47,445)处局部渐进稳定；当系统在局部渐进稳定平衡点P¹处时，零日状态节点数随着P₁的增大而减小。可见，正向切换成功率越大，零日病毒在传播及免疫过程中成功入侵目标主机的概率越小。因此，在步骤S104中，可以通过调节正向切换成功率P₁，使所述阈值R₀小于等于1，以有效抑制零日病毒的传播，达到较好的免疫效果。

其他参数保持不变，分别令P₂＝0.01，0.1,0.2。图4所示为不同反向切换成功率P₂对应的系统状态，图3(a)(b)(c)分别对应P₂＝0.01，0.1,0.2的系统状态。

仿真结果表明，当P₂＝0.01(R₀＜1)时，系统在平衡点P⁰(108,0,0,1,891)处局部渐进稳定；当P₂＝0.1(R₀＞1)时，系统在P¹(155,137,216,47,445)处局部渐进稳定；当P₂＝0.2(R₀＞1)时，系统在P¹(155,191,302,66,286)处局部渐进稳定；当系统在局部渐进稳定平衡点P¹处时，零日状态节点数随着P₂的增大而增加。可见，反向切换成功率P₂越大，零日病毒在传播及免疫过程中成功入侵目标主机的概率越大。因此，在步骤S104中，可以通过调节正向切换成功率P₁，使所述阈值R₀小于等于1，以有效抑制零日病毒的传播，达到较好的免疫效果。

2.感染时滞τ

令τ＝0.1,0.2,0.3,1,2,3,10,20,30。图5所示为不同时滞对应的零日状态节点数。图5中不同的曲线代表不同时滞下的零日节点状态数，由上至下τ分别对应τ＝0.1,0.2,0.3,1,2,3,10,20,3。仿真结果表明，当τ取不同的数值时，最终零日状态节点数为216，网络系统在P¹(155,137,216,47,445)处达到平衡。因此，感染时滞的改变不影响零日病毒在网络系统传播的最终状态；但不同的感染时滞情况下，病毒扩散至平衡状态所需要的时间不同，零日病毒由初始状态扩散至平衡状态所需时间随着感染时滞的增加而增大。

当τ＝10,20,30时，病毒在传播过程中出现了明显的类周期现象。当τ＝10时，零日节点数变化曲线的第一个极小值出现在t＝10时，此时网络系统中各节点数为(354,89,131,28,398)。当t＝20时，到达变化曲线的第二个极小值点，此时网络系统中各节点数为(212,121,188,41,438)。当t＝30时，变化曲线出现第三个极小值，此时网络系统中各节点数为(171,132,208,45,444)。当τ＝20(30)时，网络系统分别在t＝20(30)、40(60)、60(90)、80(120)时出现极小值。综上分析，在系统达到平衡状态前，网络系统分别在t＝nτ(n＝1,2,3…)时出现极小值；当τ＝0.1,0.2,0.3,1,2,3时，病毒传播过程中未出现明显的类周期现象。因此，感染时滞一方面影响了整个网络系统从初始感染阶段到平衡阶段的病毒扩散规模。另一方面，在感染时滞较大时，感染时滞精准刻画了类周期变化的规律。

图6(a)(b)(c)所示分别为不同时滞τ对应的系统状态。仿真结果表明，随着感染时滞因子逐渐增大，节点数量变化越明显。同时，在时滞较大的情况下，随着感染时滞的增加，曲线卷曲的情况越明显，即零日状态节点数出现类周期变化的现象越明显。

3.传播及免疫效果对比

通过设置相同的参数仿真验证SIZRO模型的免疫效果优于SIZDR模型。令SIZDR模型中各参数取值分别为：β＝0.6,K＝6,α＝0.2,υ＝0.5,γ＝0.6。设置节点总数N＝1000，初始状态下，不同状态节点数为(S₀,I₀,Z₀,D₀,R₀)＝(700,100,100,0,100)。为了构建相似的网络环境，需要通过参数设置将SIZDR模型中零日状态到毁损状态并最终转化为易感状态的过程简化为SIZRO模型中零日状态转化为易感状态的过程。因此，令ω＝1，意味着毁损状态节点最终全部转化为易感状态。同时，为了满足SIZRO模型中ω＝0.3这一条件，令SIZDR模型中σ＝0.3。SIZRO模型中各参数取值不变，初始状态下，不同节点数为(S₀,I₀,Z₀,R₀,O₀)＝(700,100,100,100,0)。

在整个网络系统达到平衡状态时，零日节点数量的多少直接反映了整个网络中处于高风险状态的用户主机数量的多少。零日节点数量越多，网络系统的风险就越大；反之，整个网络的风险就越小。因此，网络系统达到稳定状态时，零日节点的数量与总结点数量的比值定义为网络风险率，记为ψ。

图7(a)(b)所示为不同病毒传播模型的传播及免疫效果对比图。仿真结果表明，在相同条件下，SIZRO模型最终在有病毒平衡点P¹(155,137,216,47,445)处局部渐近稳定，SIZDR模型在有病毒平衡点P²(111,222,445,133,89)处局部渐近稳定。在网络系统达到稳定状态时，SIZRO模型中零日节点数量为216，SIZDR模型中零日节点数量为445。因此，两个模型的网络风险率分别为ψ₁＝0.212,ψ₂＝0.445，ψ₁＜ψ₂。综上，在相同条件下，SIZRO模型能够更好的抑制零日病毒的传播。

网络中防御系统的部署位置和扫描周期是影响网络安全状况的重要因素。扫描周期越短，相关路径的防御收益越高，网络安全状况越好。而防御系统的部署位置则需要考虑需要保护的路径和节点进行针对性部署。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由所附的权利要求指出。

Claims (9)

1.一种零日病毒的动态防御方法，其特征在于，包括以下步骤：

构建零日病毒时滞传播模型；

获取所述零日病毒时滞传播模型的动力学方程；

根据所述零日病毒时滞传播模型的动力学方程推导出所述零日病毒持续存在的阈值的计算公式；

调整所述阈值的计算公式中的相关变量，以使所述阈值小于等于1。

2.根据权利要求1所述方法，其特征在于，所述构建零日病毒时滞传播模型的步骤，包括：

构建5元组SIZRO零日病毒时滞传播模型，其中，S表示易感状态，I表示初始感染状态，Z表示零日状态，R表示免疫状态，O表示其他平台状态。

3.根据权利要求2所述方法，其特征在于，所述零日病毒时滞传播模型的动力学方程为：

其中，S(t)、I(t)、Z(t)、O(t)、R(t)分别表示t时刻各个状态的节点，N为各个状态的节点数量总和，β表示节点接触概率，K表示节点度值，Z(t-τ)表示考虑零日病毒感染时滞τ的情况下在t时刻零日状态节点数量，υ表示免疫状态转化为易感状态的转化率，ω表示由毁损状态恢复为易感状态的恢复率，P₁表示正向切换成功率，P₂表示反向切换成功率，α表示感染已知漏洞病毒的免疫率，γ表示零日病毒发起攻击的概率。

4.根据权利要求3所述方法，其特征在于，根据所述零日病毒时滞传播模型的动力学方程推导出所述零日病毒持续存在的阈值的计算公式的步骤，包括：

根据所述零日病毒时滞传播模型的动力学方程计算网络系统平衡点；

通过所述网络系统平衡点推导出所述阈值的计算公式。

5.根据权利要求4所述方法，其特征在于，所述网络系统平衡点包括无病毒平衡点以及有病毒平衡点。

6.根据权利要求5所述方法，其特征在于，所述无病毒平衡点为P⁰(S⁰,I⁰,Z⁰,R⁰,O⁰)，且

所述有病毒平衡点为P¹(S¹,I¹,Z¹,R¹,O¹ ₁)，且

其中，

7.根据权利要求6所述方法，其特征在于，根据I¹得到所述阈值R₀的计算公式，且

8.根据权利要求3所述方法，其特征在于，所述调整所述阈值的计算公式中的相关变量，以使所述阈值小于等于1的步骤，包括：

通过增大正向切换成功率P₁，以使所述阈值小于等于1。

9.根据权利要求3所述方法，其特征在于，所述调整所述阈值的计算公式中的相关变量，以使所述阈值小于等于1的步骤，包括：

通过减小反向切换成功率P₂，以使所述阈值小于等于1。

Images