基于有限理性的网络防御策略智能规划方法_刘盈泽.pdf
《基于有限理性的网络防御策略智能规划方法_刘盈泽.pdf》由会员分享,可在线阅读,更多相关《基于有限理性的网络防御策略智能规划方法_刘盈泽.pdf(12页珍藏版)》请在咨信网上搜索。
1、2023 年 5 月 Journal on Communications May 2023 第 44 卷第 5 期 通 信 学 报 Vol.44 No.5基于有限理性的网络防御策略智能规划方法 刘盈泽,郭渊博,方晨,李勇飞,陈庆礼(信息工程大学密码工程学院,河南 郑州 450001)摘 要:考虑到网络防御主体通常具有资源受限等特点,基于智能化攻防对抗的理念研究了有限理性条件下的网络防御策略智能规划与自主实施。首先,融合攻击图、通用与领域专有知识构建网络防御安全本体;在此基础上,利用知识推理推荐安全防御策略,以更好地适应受保护网络信息资产的安全需求及当前所面临的攻击威胁;最后,结合有限理性的智能
2、规划方法,实现网络安全防御资源受限、网络信息资产动态变化等约束条件下的防御策略自主规划与实施。实例表明,动态攻击下所提方法具有稳健性。将所提方法与现有基于博弈论及攻击图方法进行对比,实验结果表明在对抗一次典型的 APT 攻击时所提方法的防御有效性提高了 5.6%26.12%。关键词:网络防御;防御策略推荐;智能规划;有限理性;安全本体 中图分类号:TN92 文献标志码:A DOI:10.11959/j.issn.1000436x.2023091 Intelligent planning method for cyber defense strategies based on bounded r
3、ationality LIU Yingze,GUO Yuanbo,FANG Chen,LI Yongfei,CHEN Qingli Department of Cryptogram Engineering,Information Engineering University,Zhengzhou 450001,China Abstract:Considering that network defense subjects were usually resource-constrained,an intelligent planning and au-tonomous implementation
4、 of network defense strategies under bounded rationality was studied considering the concept of intelligent confrontation.First,attack graph,general knowledge and domain-specific knowledge were fused to construct a network defense security ontology.On that basis,knowledge reasoning was utilized to r
5、ecommend security defense strategies to better adapt to the security needs of protected network information assets and current attack threats.Finally,an autonomous planning and implementation of defense strategies was achieved under the constraints of limited network security defense resources and d
6、ynamic changes of network information assets with the help of bounded rationality.The example shows that the proposed method is robust under dynamic attacks.The experiments show that the defense effec-tiveness is improved by 5.6%26.12%compared with existing game theory and attack graph-based methods
7、 against a typical APT attack.Keywords:cyber defense,defense strategy recommendation,intelligent planning,bounded rationality,security ontology 0 引言 当前,网络攻击门槛低、攻击时间随机且快速见效,对机构与组织的信息资产造成极大威胁。减少网络攻击造成损失的关键在于快速实施有针对性的安全防御措施。机构的办公网络及运营网络等安全防御体系通常与网络信息系统同步建设,其防御资源的部署和安全策略相对静态,难以适应网络收稿日期:20221230;修回日期:202
8、30326 通信作者:郭渊博,yuanbo_ 基金项目:国家自然科学基金资助项目(No.62276091);河南省重大公益专项基金资助项目(No.201300311200)Foundation Items:The National Natural Science Foundation of China(No.62276091),The Major Public Welfare Project of Henan Province(No.201300311200)第 5 期 刘盈泽等:基于有限理性的网络防御策略智能规划方法 53 入侵者攻击手段的快速演化,在应对高度自动化与智能化的攻击时1-2,这
9、种静态安全防御模式的局限性尤其明显。智能化攻击对网络空间安全造成了极大威胁,覆盖了物理基础设施、网络信息系统和社交媒体信息,同时对虚拟世界、物理世界的诸多方面造成极大影响3。为有效抵抗智能化网络攻击的自适应性和快速性,需要以智能应对智能,建立针对网络攻击的智能化安全防御策略自动推演与规划实施机制,从而实现智能化的网络防御。实施智能化网络防御首先需要建立攻防安全知识与威胁情报体系4的支持。网络安全防御现象涉及通用知识、场景领域知识等异质知识集合,需要形式化、规范化地整合契合具体网络安全防御场景的知识。在安全知识体系中建立安全属性并准确定义属性间的关系,可为安全防御提供可靠的理论依据5。在此基础上
10、,根据资产所需安全手段及构建的安全知识体系高效地执行推理,可为资产推荐合适的防御策略6。进一步地,可针对资产属性衡量防御策略的重要性,并根据资产现存的风险因素优化防御策略推理过程。实施智能化网络防御最终需要执行防御策略以实现有效防御7。为了在入侵行为对系统造成实质伤害之前就阻碍入侵的发生,需要构建有针对性的弹性防御体系,采取主动防御的方式执行合适的防御策略,避免、转移、降低信息系统面临的风险8。考虑网络安全防御场景中时间、认知与信息条件的高度有限呈常态化,如何在计算资源高约束、资产环境动态的条件下实现有效防御是亟待解决的问题9。本文针对上述问题开展研究,在假设防御主体具有有限理性的基础上,提出
11、了一种网络防御策略智能规划与自主实施方法,如图 1 所示。首先,融合多源异构安全知识构建安全本体;然后,根据实例化后的安全本体推荐防御策略;最后,利用智能代理和有限理性规划防御策略,并实施最佳防御规划方案。本文主要贡献如下:1)建立了安全本体并将其作为安全知识体系,对多源异构安全知识进行形式化、规范化表达,为防御策略推荐提供信息支撑;2)利用知识推理的方法实现了防御策略推荐,以适应当前所面临的攻击威胁以及受保护网络信息资产的安全需求;3)提出了一种智能化网络防御方法,在计算资源高约束、资产环境动态的条件下,利用智能规划10与有限理性11实现自主防御。1 相关工作 网络安全已经全面进入智能防御时
12、代,融入人工智能技术成为网络攻防的新常态。传统信息安全防御体系多采用被动防御的方式,安全防御措施和策略难以根据入侵者的行为或影响进行动态调整。随着大数据特别是人工智能技术的迅猛发展,及时精准的安全态势分析与预警成为可能,安全防御已呈现出主动化、智能化的发展趋势。主动防御技术可通过识别威胁获得防御策略、指导防御过程。Li 等12提出基于可持续集成学习模型的入侵检测系统,以适应不同攻击并通过不断迭代更新实现增量学习。雷程等13提出基于网络攻击面自适应转换的移动目标防御(MTD,moving target defense)技术,通过在分层跳变的架构上设计网络自适应跳变算法实现网络跳变收益的最大化。张
13、红霞等14提出基于深度学习模型的蜜罐陷阱合约检测方法,提升检测方法的准确率及模型的泛化能力。为了自动执行防御策略,人工智能被应用到网络安全领域,以实现智能化防御。Kim 等15提出一种新的具有人工智能适用性的集成虚拟情感系统,以实现安全网络物理系统(CPS,cyber-physical system)智能城市。Vast 等16提出了一种基于 AI 的 SOAR(SQL optimizer and rewriter)系统,使用深度学习 图 1 网络防御策略智能规划与自主实施方法 54 通 信 学 报 第 44 卷 检测方法分析收集来自防火墙、入侵检测系统等各种来源的数据,以自动生成威胁情报并采取
14、适当/必要的步骤。Theron 等8将智能代理用于自主对抗智能恶意软件,根据用户定义的准则,主动制订、调整并执行自主网络安全防御过程,实现自主智能网络防御。进一步,Yan 等17利用不完全信息的零和博弈来确定纳什均衡下攻击者和防御者的预期效用,以对电气 CPS 的防御资源进行适当的分配。然而,现实网络安全防御场景中安全信息的获取往往被忽视,对安全信息认知的设定易于理想化,缺乏对实际场景中局限性的应对方法,需要有限理性(BR,bounded rationality)这类方法的支撑,在信息有限、认识有限与时间有限的条件下求取近似优化解18。总之,在现有技术条件下,人工智能规划与有限理性最有望在各种
15、受限条件下进行安防规划,通过智能代理自动化实施防御策略。建立攻防安全知识与威胁情报体系是实施安全防御的信息基础。安全知识种类庞杂、关系繁多,造成安全知识形式化表达困难。本体19的思想由此被引入网络安全领域,实践证明可以构建安全本体,用于组织并系统化表达安全现象20。Beitollahi等7针对分布式拒绝服务攻击构建安全本体,成功产生有效防御策略。Syed 等4提出统一网络安全本体(UCO,unified cybersecurity ontology),旨在支持网络安全系统中的多源异构信息集成和网络态势感知。Kim 等21通过构建由通用知识本体与特定领域本体集成的问题域本体(PDO,proble
16、m domain ontology),获得高级持续性威胁(APT,advanced persistent threat)攻击的安全需求推荐,并由此拓展给出通用的安全需求建议22。上述工作表明,安全本体具有系统性构建安全知识库的潜力,可以为网络安全防御提供高覆盖的安全知识支撑,并为智能代理自动化实施推荐的防御策略带来便利。针对以上方法的局限性,结合安全本体的思想并同时考虑资源高度约束条件下的主动智能防御需求,本文提出一种以安全本体为推理引擎、AI自主规划与有限理性主导的智能防御方法,为解决问题提供新思路。2 本体驱动的防御策略智能推荐 如前所述,系统发现攻击时23-25,完善的安全防御知识体系能
17、够有效推理防御策略,为防御策略推荐提供信息支撑。本节通过整合多源异构安全知识构建安全本体,并在形式化表达安全知识的基础上,针对不同资产类型高效地执行推理,为资产推荐合适的防御策略。2.1 安全本体构建 在整合多源异构知识方面,本体具有不可替代的优势。领域本体 O 可以用一个五元集合表示,即 ,OC A R I M(1)其中,C 为特定领域的概念集合,A 为概念的属性集合,R 为 A 中概念间的关系集合,I 为实例集合,M 为实例 I 与概念 C 的映射关系集合。根据本体的特点及五元集合表达式,在仅考虑概念及其相互关系的情况下,设计了面向防御策略推荐的安全本体,为防御策略选择构建适应性强的情报基
18、础。此外,智能代理可以利用安全本体实施推理、执行防御策略。为了实现自适应于资产安全信息的防御策略推荐,安全本体设计只有同时考虑攻击实施的过程与防御响应的需求,才能为防御策略推荐必需的知识推理打好基础。根据本体所要描述的目标,可以将其分为通用本体和领域本体22。通用本体指的是可以广泛应用于多种应用场景的本体知识,是对通用知识的规范描述;领域本体则指的是对一个具体领域知识的规范描述。本体可以看作知识库,通用本体和领域本体分别对应通用知识和领域专有知识。通用知识是显式的、可重用的,是在整个安全领域中达成共识的知识,例如分类、原则等。领域专有知识是应用于特定领域的、嵌入流程等中的隐性知识,例如该领域/
19、机构架构等。安全本体将安全知识体系涉及的通用安全知识显性表达,而将专有知识隐性表达;总体设计原则为既涵盖通用安全模型的要件,又便于网络安全防御场景强相关知识的自适应扩展。在攻击实施方面,攻击发起要成功利用漏洞需要满足一定的条件,如可到达、可访问等;而在漏洞利用成功后,会引入新的风险因素。为保证根据安全本体的概念及其关系推断出可靠的防御策略,安全本体需要充分表达利用漏洞需要的条件以及利用成功后引入的风险因素,而这些因素可以通过攻击图获得。在防御响应方面,首先定义公认的风险分析模第 5 期 刘盈泽等:基于有限理性的网络防御策略智能规划方法 55 型中的资产、威胁、风险、漏洞等核心要素,以及安全需求
20、、防御策略相关的通用知识;其次定义领域/机构架构等特定领域专有知识。根据以上分析的安全本体的特点,构建攻击图增强的安全本体 AG(attack graph)-SO(security ontology),将攻击图、通用知识及特定领域专有知识融合于一体。由于本节只关注本体本身的设计,而不考虑实体及映射关系,因此将 AG-SO 定义为三元集合。攻击图增强的安全本体为AG-SOSC,SA,SR,其中,12SC sc,sc,sc n为概念集合,12SAsa,sa,sa n为属性集合,12SRsr,sr,sr n为概念间的关系集合。AG-SO组成与关系如图2所示。AG-SO中主要的概念SC不仅包括资产、威
21、胁、风险、漏洞、安全需求、防御策略等显性的通用知识,还包括系统/领域的架构等隐性的领域专有知识,以及利用漏洞需要满足的条件及利用成功后引入的风险因素。此外,每个概念都包含了相应的属性SA,即字符属性、描述属性、布尔属性等。概念关系SR中,从攻击实施的视角,通过AG-SO可表达满足一定条件的漏洞能够被威胁利用,导致风险因素增加;反之,从防御响应的视角,目标为减少资产中存在的风险因素,通过AG-SO推断资产所需安全手段,推理得到可用防御策略并予以实施,从而满足安全需求并减少风险因素使恶意目标无法达成,完成一次有效安全防御。图 2 AG-SO 组成与关系 2.2 防御策略推理 基于所构建的安全本体A
22、G-SO可以进行基于知识推理的安全防御措施推理,实现针对不同类型攻击及受保护资产类型的智能防御。AG-SO驱动的防御策略推理包括两部分:1)融合防御策略推荐所需通用知识、领域专有知识、利用漏洞需要具备的前提条件及利用成功后引入的风险因素信息;2)根据资产所需安全手段进行风险评估,支持查询推荐可行的防御策略。换言之,通过实例化AG-SO获取防御策略推荐相关的安全信息,利用图形数据库Neo4j构建安全知识库。其中,SC包含通用知识、领域专有知识、利用漏洞需要具备的条件,以及漏洞利用成功后引入的风险因素;SA包含概念具有的属性;SR包含概念间的关系。由此进行知识推理可获取资产所需的防御策略。为了向资
23、产推荐可行的针对性防御策略,可以根据日志确定资产的功能及所需的安全手段。首先,通过日志分析确定资产的功能,如存储数据等;然后,针对资产的功能,确定相关安全属性、恶意目标及防御策略的类型,才能推断所需安全手段。安全属性一般包括机密性(Co)、完整性(In)、可用性(Av)、鉴别性(Au)、可控性(Ct)与不可否认性(Nr)等,其中,前4种属性是基本的安全属性,为简化描述,本文只考虑这4种属性。与这些安全属性相对应,破坏性的恶意目标分别为暴露(E)、修改(M)、销毁(Dt)及伪装(F)。防御策略类型包括预防(P)、监测(D)、恢复(R),其重要性则以关键(C)或非关键(N)衡量。C是最高优先级,表
24、示需要的防御策略类型;N是最低优先级,表示不需要的防御策略类型。本文根据资产的功能,衡量各防御策略类型在不同恶意目标下的重要性,最终确定所需的安全手段。资产所需安全手段计算矩阵示例如表1所示,资产安全属性Co所需安全手段为P,In所需安全手段为PDR,Av所需安全手段为DR,Au所需安全手段为D。可以推断该资产所需安全手段为:机密性预防(PCo)、完整性预防(PIn)、完整性检测(DIn)、完整性恢复(RIn)、可用性检测(DAv)、可用性恢复(RAv)及鉴别性检测(DAu)。表 1 资产所需安全手段计算矩阵示例 安全属性恶意目标防御策略类型 资产所需 安全手段 预防(P)监测(D)恢复(R)
25、Co E C N N P In M C C C PDR Av Dt N C C DR Au F N C N D 56 通 信 学 报 第 44 卷 为了满足资产所需安全手段,需要评估资产现存风险并利用Cypher语句查询AG-SO中实体的关系,由此推理并实施防御策略。首先,通过表1获得当前资产所需安全手段,并查询AG-SO实例中的关系,得到危害资产安全的威胁、可被利用的漏洞及恶意目标;然后,获取当前已有的防御策略,分析是否存在风险因素(未采取防御策略防御的恶意目标);最后,针对资产现存的风险因素推荐所需安全手段,查询AG-SO获取可行的防御策略。至此,本文实现了在安全知识形式化表达基础之上的防
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 基于 有限 理性 网络 防御 策略 智能 规划 方法 刘盈泽
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【自信****多点】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【自信****多点】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。