基于攻击图的主动响应策略选择

为帮助管理员预先识别网络系统脆弱性及面临的潜在安全威胁,提出一种基于攻击图的主动响应策略选择方法.该方法利用攻击图模型分析网络攻击行为,预测攻击路径并进行定量分析.根据攻击过程中得到的观察匹配攻击图,更新信念状态,最终利用部分马尔科夫博弈(POMG)算法进行最优主动响应策略选择.实验结果表明,基于攻击图的主动响应策略选择方法能提高响应的准确性和有效性.     

基于贝叶斯攻击图的动态安全风险评估模型

攻击者通过分析网络中漏洞的相互关联关系逐步攻破多个漏洞,而攻击图模型虽然能描述网络内潜在威胁的传播路径,但未充分考虑攻击事件对攻击图中所有属性节点置信度的动态影响。为此,提出一种基于贝叶斯攻击图的动态风险评估(dynamic risk assessment based on Bayesian attack graphs, DRA-BAG)模型。该模型运用贝叶斯信念网络建立用于描述攻击行为中多步原子攻击间因果关系的概率攻击图,其中采用通用漏洞评分系统指标计算漏洞利用成功概率,并利用局部条件概率分布表评估属性节点的静态安全风险;进而结合入侵检测系统观测到的实时攻击事件,运用贝叶斯推理方法对单步攻击行为的后验概率进行动态更新,最终实现对目标网络整体安全性的评估。实验结果表明,本文方法可评估动态安全风险和推断攻击路径,为实施安全防护策略提供依据。     

社交网络中社会工程学威胁定量评估

针对社交网络中社会工程学威胁难以定量评估的问题,提出基于属性攻击图和贝叶斯网络的社会工程学威胁评估方法. 基于社交网络社会工程学攻击过程,定义社会工程学的可利用的脆弱性语义和攻击节点语义,提出相应的脆弱性可利用概率计算方法. 通过分析社交网络中社会工程学攻击模式,模拟钓鱼攻击和跨站身份克隆攻击,根据属性攻击图生成算法构建社会工程学攻击图,采用贝叶斯网络模型对每种攻击路径造成的社会工程学威胁进行量化评估,得到社交网络中个人账号的隐私威胁风险. 通过在Facebook数据集上的实验验证所提出方法的有效性.     

基于攻击图的工业控制系统脆弱性分析

为了评估工业控制系统网络安全风险和进行有效防御,提出控制系统网络安全要素的概念,将网络攻击转化为网络状态的迁移问题,搭建控制系统网络攻击图模型.建立基于专家知识经验、现有脆弱性库的脆弱性利用规则库.采用单调性假设、广度优先迭代算法、控制系统网络脆弱性规约、攻击约束函数,进行控制系统攻击图的构建与优化.根据参数初步等级量化与判断矩阵法,可计算得到攻击收益.以震网病毒为背景,设计一个仿真控制网络,通过仿真得到原始攻击图、脆弱性规约下的攻击图、约束函数下的攻击图.仿真结果表明：该方法能够根据不同安全要求级别构建攻击图,较全面地得到了可能的攻击目标、最佳的攻击目标及对应的攻击收益和攻击路径.     

图论在网络安全威胁态势分析中的应用

提出了一种基于网络图论模型的威胁态势分析方法。定义了图中邻接点的攻击代价,并采用多属性效用理论计算其效用值。对图中的边赋予代表攻击代价的权,利用最短可达路径算法分析了节点的威胁态势。实例表明,该方法简捷有效,有助于优化安全防护策略。     

因果图增强的APT攻击检测算法

随着信息技术的发展，网络空间也面临着越来越多的安全风险和威胁。网络攻击越来越高级，高级持续性威胁(APT)攻击是最复杂的攻击之一，被现代攻击者普遍采用。传统的基于网络流的统计或机器学习检测方法难以应对复杂且持续的高级持续性威胁攻击。针对高级持续性威胁攻击检测难的问题，提出一种因果图增强的高级持续性威胁攻击检测算法，挖掘网络节点在不同时刻的网络交互过程，用于甄别网络流中攻击过程的恶性数据包。首先，利用因果图对网络数据包序列进行建模，将网络环境的互联网协议(IP)节点之间的数据流关联起来，建立攻击和非攻击行为的上下文序列；然后，将序列数据归一化，使用基于长短期记忆网络的深度学习模型进行序列二分类；最后，基于序列分类结果对原数据包进行恶性甄别。基于DAPT 2020数据集构建了一个新的数据集，所提算法在测试集上的受试者工作特征曲线的曲线下面积(ROC-AUC)指标可达0.948。实验结果表明，基于因果图序列的攻击检测算法具有较显著的优势，是一种可行的基于网络流的高级持续性威胁攻击检测算法。     

城市轨道交通网络韧性评估及恢复策略

针对现有研究基于拓扑网络效率分析城市轨道交通网络韧性的不足,提出以网络性能响应函数为基础的韧性评估方法,提出的网络性能响应函数是OD客流损失率和网络服务效率损失率的加权求和,采用德尔菲-熵权法确定指标的综合权重,构建以网络韧性指标最大化为目标的恢复优化模型,采用自适应遗传算法进行求解。以西安市轨道交通网络为例,考虑随机攻击和蓄意攻击策略提出4种假设扰动情景,对比分析目标恢复策略与随机恢复策略、偏好恢复策略在4种假设扰动情景下对网络韧性修复效果的差异。结果表明：目标恢复策略对轨道交通网络的修复效果最好,其次是偏好恢复策略;与随机攻击策略相比,蓄意攻击时不同恢复策略得到的网络韧性差别较大;选择修复受损车站顺序时,不能仅考虑受损车站在网络拓扑结构中的重要性,还应当考虑受损车站客流量对网络性能的影响;增加修复资源可以缩短恢复时间和提高修复效率,但修复资源的增加与网络韧性的提升不成正比。研究结论可以为城市轨道交通网络的韧性评估与抢修恢复提供决策依据。     

一种基于主机重要度的网络主机节点风险评估方法

现有依据攻击图评估网络主机节点方法中的原子攻击概率和资产保护价值计算时,未考虑主机节点间关联关系对主机节点风险值的影响。对此,提出了以网络中主机重要程度为基础的风险评估方案。首先,依据网络信息构建主机攻击图,利用漏洞可利用性、代码可用性和防御强度计算原子攻击概率并依据攻击图计算路径攻击概率;然后,从攻击图结构和资产保护价值2个角度表征主机重要度,利用原子攻击概率的倒数对主机攻击图加权并计算主机节点的改进加权介数指标,利用熵权法对主机节点资产保护价值指标赋权并计算资产保护价值;最后,根据主机节点最大路径攻击概率和主机重要度计算网络主机节点的风险值。实验结果表明,所提方法能够更全面地评估网络环境中的主机节点风险,得到的风险值更加合理。     

蜜罐技术在网络安全中的应用

对蜜罐和蜜网的概念与应用进行论述,通过采用蜜罐技术对网络威胁进行主动防范,包括检测攻击、防止攻击造成破坏和帮助安全管理人员对攻击作出及时响应等,给出了对SYN-flood和网络蠕虫等网络攻击采用蜜罐技术进行追踪的方法,从而提高一个组织机构系统所处环境的安全性并降低其风险。     

基于攻防行为树的网络安全态势分析

现代网络面临遭受组合攻击的风险,通过构建基于攻防行为的安全态势分析模型来对每一个独立及组合攻击行为进行威胁分析十分必要。本文针对传统的攻击树模型没有考虑防御因素影响,防御树模型缺乏较好的可扩展性,故障树模型难以对外部攻击进行分析等问题,在攻击树模型中引入博弈论,以描述具体网络攻防事件场景。首先,分析网络中不同层次攻击行为的逻辑关系,整合不同层次攻击事件对应的攻防树,获得完整网络攻防行为树,进而构建网络攻防行为树模型。其次,从网络攻防行为、网络检测设备以及网络防御措施3方面对基本攻防行为树进行扩展,提出攻击目标成功率算法,计算其攻击概率。在此基础上,对攻击威胁进行评估,分析网络安全态势。最后,为验证网络攻防行为树模型的可行性和有效性,在BGP（border gateway protocol）攻击树的基础上构建攻防行为树模型,通过概率计算可知：攻击路径PATH1概率最大;且在没有防御措施的情况下,5条攻击路径的攻击成功率均得到增大,PATH2至PATH5概率增大倍数显著高于PATH1,与实际相符。本文所提的网络攻防行为树模型能很好地计算各种防御措施的效果,且能够在任意节点添加和删除攻防行为,具有较强的可扩展性,可为网络管理者与运营者提供科学的决策依据。     

基于PKI的SIP协议安全防护策略

分析了会话发起协议及其特点,指出了SIP网络面临的一些典型攻击和安全威胁,并针对SIP网络面临的安全风险提出了基于PKI公钥基础设施的SIP协议安全的解决方案,完善了SIP的安全机制,使SIP能进一步为用户提供更加多样、安全的服务。     

基于PKI的SIP协议安全防护策略

分析了会话发起协议及其特点,指出了SIP网络面临的一些典型攻击和安全威胁,并针对SIP网络面临的安全风险提出了基于PKI公钥基础设施的SIP协议安全的解决方案,完善了SIP的安全机制,使SIP能进一步为用户提供更加多样、安全的服务。     

网络安全威胁态势评估方法研究

目的为了评估网络的安全威胁态势,提出了一种基于隐马尔可夫模型的评估方法.方法建立了一个简单的用于描述主机安全状态的隐马尔可夫模型,利用该模型计算主机处于被攻击状态的概率.在此基础上,结合主机重要度计算主机的威胁指数,进而评估网络的整体威胁态势.结果实验结果表明,通过对威胁指数的分析和处理,能够获得主机和网络两个层次的威胁态势曲线,安全管理人员可以从中发现目标主机和网络的安全规律.结论利用该方法获得的评估结果能够指导安全管理人员调整安全策略,以便提高主机和网络的安全性.     

采用混和路径攻击图的防御方案生成方法

通过分析已知漏洞的共性,给出漏洞及其利用规则的形式描述.构造混合路径攻击图(MPAG)模型,扩展攻击图的描述语义.将0-day漏洞利用产生的隐式攻击路径和已知漏洞产生的显式攻击路径描述在同一攻击图中,并计算0-day漏洞利用率的风险.基于混合路径攻击图和多目标优化理论,给出防御方案生成方法及均衡生成成本和风险的防御方案.实验结果表明:混合路径攻击图能描述隐式攻击路径,同时可能引入同一场景下传统攻击图中没被利用过的已知漏洞;基于混合路径攻击图生成的防御方案具有更好的路径覆盖率,能够帮助安全管理员找出防御措施库存在的遗漏.     

边缘计算场景下的攻击区域威胁模型

针对边缘计算面临的安全威胁，提出一种基于攻击区域的威胁模型。在威胁发现阶段，根据边缘计算架构确立了安全边界内主要的攻击区域，在每个区域内建立了攻击树进行威胁分解，用叶节点表示具体的攻击方法。在威胁量化阶段，为了减小评估过程存在主观因素的影响，采用了模糊层次分析法(FAHP)计算叶节点的攻击概率。在威胁消减阶段，分析了每棵攻击树的攻击路径，确定了各区域的攻击概率并制定了威胁应对措施。结果表明，该模型能够识别边缘计算场景下的主要安全威胁，通过威胁消减措施有助于提升边缘计算产品和应用的安全性。     

基于蚁群思想的源攻击追踪方法

在现有的攻击源追踪技术中还存在不少弊端,例如:输入测试法需要技术人员的干预,ICMP定位法占用网络带宽资源等,并且事后不能准确地追踪到攻击的源头.提出一种基于蚁群思想的网络协同源攻击追踪方法,通过使用IMCP定位报文法的策略,在网络监测器上对攻击数据包进行“备份”,然后再利用蚁群算法缩小路径信息查询的范围,从而能够快速的构造出攻击路径.实验表明:该方法提高了追踪信息的查询速度和攻击源定位的准确性.     

无线自组织网络路由协议的漏洞攻击及对策

从无线自组织网络路由层的角度,描述了AODV路由协议;阐述了AODV路由协议的安全威胁;利用NS-2.33分析并仿真了AODV路由协议的黑洞攻击;结合已存在的黑洞防御方案,给出了一种新的解决方案;最后提出了一种新的对无线自组织网络造成威胁的攻击方法。     

基于节点依赖指数的HMM评估法对累积漏洞风险评估的分析模型

信息安全脆弱性评估中,漏洞被攻击利用后造成网络其他漏洞被攻击的累积风险与渗透图中节点之间的依赖指数关系密切.计算节点间的三重依赖关系,并同时考虑在对渗透深度要求不同情况下的节点成本来完成转换矩阵的计算,最后利用HMM模型给出最有可能的渗透路径.实验表明该方法能更准确更全面地表示出漏洞的实际安全风险.     

基于邻接信任的路由安全评估

针对路由黑洞等路由攻击问题提出了融合邻接信息和信任信息的邻接信任概念,利用邻接信任有效抑制了中间节点在路由信息传递中的欺骗行为,并以此为基础建立了网络邻接信任评估模型。给出了该模型的数学描述和基于移动代理信息采集平台的实现方案,并设计了贪婪评估算法对模型中节点以及相邻节点间邻接路径的信任安全程度进行量化分析。与其他算法相比,本文提出的贪婪评估算法具有敏锐感知网络中的路由攻击行为的优势。仿真结果表明,评估产生的威胁警报和节点攻击概率不仅能够检测MANET网络中外部非法节点的路由攻击,而且能够感知网络内部具有合法身份节点的路由攻击行为,有效提高了MANET网络系统的安全性。     

内生安全支撑的新型网络体系结构与关键技术研究构想与成果展望

目前,网络威胁已进入未知威胁时代。然而,传统网络安全基于“马奇诺”式的静态被动防御,缺乏自主性以及自我演化进化的内生安全能力,对未知威胁基本上只能通过“打补丁”的方式事后弥补。这种亡羊补牢的处理方法往往伴随巨大的损失,必须寻求新的思路。网络安全保护系统与人体免疫系统具有惊人的相似性,免疫系统无需病毒先验知识,学习推演能力强,天生具备未知病毒的灭活能力。有鉴于此,本研究以“未知威胁”为核心,以“人工免疫”为创新手段,研究内生安全支撑的新型网络体系结构与关键技术。首先,通过模拟人体免疫系统的基本原理,提出一种面向内生安全的网络空间安全免疫体系结构,以提供如同人体免疫系统一样的网络内生安全能力；然后,基于 mRNA 免疫思想,提出一种基于mRNA免疫的可信任网络寻址与路由控制方法,以有效识别和防范路由劫持；通过基因进化演化等方法,提出一种基于基因进化演化的未知网络威胁自适应发现方法,以形成先验知识不完备条件下未知网络威胁的快速发现能力；通过模拟人体免疫系统“体温风险预警”以及“特异性免疫”机制,提出一种基于人体体温预警机制的网络动态风险实时定量计算方法以及一种基于特异性免疫的快速动态反馈迭代网络风险控制方法,提供先验知识不完备情况下的未知威胁风险评估与应对能力,实现未知攻击的自适应防御；最后,通过构建一个面向内生安全基于免疫的新型网络原型系统,对研究成果进行技术验证,同时根据验证结果对所提出理论及方法进行改进和提高,藉此突破传统网络安全以“打补丁”为主被动防御的技术瓶颈。研究成果对网络空间安全保护的科学研究、技术研发、产业发展等具有十分重要的理论意义和实际应用价值。