王晉東，余定坤，張恒巍，王 娜

（解放軍信息工程大學(xué)密碼工程學(xué)院，河南鄭州 450000）

靜態(tài)貝葉斯博弈主動(dòng)防御策略選取方法

王晉東，余定坤，張恒巍，王 娜

（解放軍信息工程大學(xué)密碼工程學(xué)院，河南鄭州 450000）

由于不完全信息博弈最優(yōu)防御策略選取方法僅考慮攻擊者的類型，未考慮防御者類型，策略選取可操作性差，故提出了一種基于靜態(tài)貝葉斯博弈的最優(yōu)防御策略選取方法，構(gòu)建了靜態(tài)貝葉斯博弈模型，將攻擊者和防御者分為多種類型.認(rèn)為攻擊者混合策略是防御者對(duì)攻擊者可能采取行動(dòng)的可信預(yù)測(cè)，對(duì)防御策略效能進(jìn)行計(jì)算，并給出了最優(yōu)主動(dòng)防御策略選取算法，使策略選取可操作性更強(qiáng).

靜態(tài)貝葉斯；主動(dòng)防御；混合策略均衡；網(wǎng)絡(luò)安全

在網(wǎng)絡(luò)安全防御中，采取合適的防御策略十分重要.而防御策略是否有效，不僅僅取決于防御者，攻擊者和防御者策略具有互相依存性.在理想狀態(tài)下，防御者應(yīng)對(duì)系統(tǒng)面臨的所有攻擊都進(jìn)行防護(hù)，這顯然是不可能的，防御者應(yīng)選取合理的防御策略來(lái)科學(xué)地把握防御成本與防御收益之間的平衡性.博弈論［1］與網(wǎng)絡(luò)對(duì)抗行為有著天然的密切聯(lián)系，能夠充分地考慮攻擊者和防御者策略的依存性及成本與收益之間的平衡性.正因如此，Liang等［2］指出，博弈理論方法已在網(wǎng)絡(luò)對(duì)抗領(lǐng)域發(fā)揮重要作用，是未來(lái)網(wǎng)絡(luò)安全很有前途的研究方向.

姜偉等［3］將網(wǎng)絡(luò)攻擊者和防御者相互博弈的過(guò)程看成一種兩角色博弈，建立了一個(gè)攻防博弈模型，并給出了零和及非合作零和博弈算法，不足之處在于使用完全信息靜態(tài)博弈模型，與網(wǎng)絡(luò)實(shí)際場(chǎng)景不夠貼近.姜偉等［4-6］提出了攻防隨機(jī)博弈模型，對(duì)網(wǎng)絡(luò)攻防狀態(tài)的動(dòng)態(tài)變化進(jìn)行建模，并應(yīng)用于防御策略選取等方面，不足之處在于狀態(tài)轉(zhuǎn)移概率函數(shù)不易確定.林旺群等［7］將動(dòng)態(tài)博弈模型引入網(wǎng)絡(luò)主動(dòng)防御中，通過(guò)“虛擬節(jié)點(diǎn)”將網(wǎng)絡(luò)攻防圖轉(zhuǎn)化為網(wǎng)絡(luò)博弈樹，存在的問(wèn)題在于基于完全信息假設(shè)，且未充分地考慮策略收益量化問(wèn)題.劉玉嶺等［8］將不完全信息靜態(tài)博弈模型運(yùn)用于蠕蟲策略績(jī)效評(píng)估方面，存在的問(wèn)題是未考慮防御者有多種類型的情況，且僅對(duì)純策略貝葉斯均衡進(jìn)行了分析.Nguyen等［9］建立了不完全信息靜態(tài)博弈模型對(duì)傳感器網(wǎng)絡(luò)安全防御進(jìn)行分析，存在的問(wèn)題是模型未對(duì)攻擊者類型進(jìn)行劃分，攻防策略簡(jiǎn)單，且策略收益量化僅為假設(shè)，未結(jié)合網(wǎng)絡(luò)的實(shí)際情況.Liu等［10］運(yùn)用基于動(dòng)機(jī)的方法建立了AIOS模型，并運(yùn)用不完全信息靜態(tài)博弈來(lái)推理該模型，存在的問(wèn)題是收益量化基于假設(shè)而非網(wǎng)絡(luò)具體情況，且攻擊者類型分類簡(jiǎn)單，僅分為好與壞.Liu等［11］運(yùn)用不完全信息博弈對(duì)無(wú)線Ad Hoc網(wǎng)絡(luò)發(fā)生的攻擊行為進(jìn)行分析，存在的問(wèn)題是未對(duì)攻擊者詳細(xì)分類，收益量化簡(jiǎn)單，且僅對(duì)均衡存在的情況進(jìn)行討論，并未賦予均衡實(shí)際意義.

1 靜態(tài)貝葉斯博弈主動(dòng)防御模型

靜態(tài)貝葉斯博弈是不完全信息同時(shí)行動(dòng)的博弈，其中同時(shí)行動(dòng)是指所有參與者同時(shí)選擇自己的行動(dòng)或者是后行動(dòng)者不知道先行動(dòng)者采取了什么行動(dòng).不完全信息指在博弈時(shí)至少有一個(gè)參與者不能確定其他參與者的收益函數(shù)，參與者的收益函數(shù)對(duì)應(yīng)著該參與者的類型.

1.1模型假設(shè)

假設(shè)1 理性假設(shè).假設(shè)攻擊者和防御者是完全理性的，攻擊者不會(huì)發(fā)動(dòng)無(wú)利可圖的攻擊，防御者不會(huì)不計(jì)代價(jià)地進(jìn)行防御.

假設(shè)2 收益假設(shè).攻擊者與防御者的目標(biāo)分別是獲取和保護(hù)自己的信息資源，因此對(duì)于雙方收益的各個(gè)方面的衡量可依據(jù)信息資源的經(jīng)濟(jì)價(jià)值作為依據(jù).

1.2模型相關(guān)定義

定義1 靜態(tài)貝葉斯博弈主動(dòng)防御模型（Static Bayesian Game Active Defense Model，SBG-ADM）是一個(gè)五元組，即ASBG-ADM=（N，T，M，P，U），其中:

（1）N=（N1，N2，…，Nn），是博弈的參與者集合.參與者是參與博弈的獨(dú)立決策、獨(dú)立承擔(dān)結(jié)果的個(gè)人或組織，在不同的場(chǎng)合中，參與者的定義是不同的.在本文中，參與者是攻擊者和防御者.

（4）P=（P1，P2，…，Pn），是參與者的先驗(yàn)信念集合.Pi=Pi（t-i|ti），表示參與者i在自己實(shí)際類型為ti的前提下，對(duì)其他參與者類型（若有多個(gè)參與者時(shí)為類型組合）t-i的判斷.

（5）U=（U1，U2，…，Un），是參與者的收益函數(shù)集合.收益函數(shù)表示參與者從博弈中可以得到的收益水平，由所有參與者的策略共同決定，參與者不同的策略組合所得到的收益不同.

2 博弈均衡分析

在不完全信息的條件下，純策略貝葉斯納什均衡表示了攻擊者和防御者的最優(yōu)對(duì)策.利用以上定義即可以對(duì)靜態(tài)貝葉斯博弈模型的所有純策略納什均衡進(jìn)行計(jì)算.但是，由于博弈的內(nèi)稟屬性，純策略貝葉斯納什均衡不可能總是存在的.因此，需要對(duì)博弈的混合策略貝葉斯納什均衡進(jìn)行分析和存在性證明.

定理1 貝葉斯納什均衡存在性.給定ASBG-ADM=（（NA，ND），（TA，TD），（MA，MD），（PA，PD），（UA，UD）），如果攻擊者和防御者策略集SA（tA）和SD（tD）是有限集合，則此博弈模型存在一個(gè)混合策略貝葉斯納什均衡.

3 最優(yōu)防御策略選取

3.1最優(yōu)防御策略的選取方法

防御策略選取是一個(gè)非常復(fù)雜的過(guò)程，需要在雙方并不完全知道對(duì)方信息的情況下綜合考慮攻擊者的攻擊行動(dòng)及防御者的防御行動(dòng)的成本和代價(jià).基于靜態(tài)貝葉斯博弈進(jìn)行最優(yōu)策略選取可以很好地處理這一類的問(wèn)題.

將策略成本和收益進(jìn)行量化后構(gòu)建攻防博弈樹，并將其輸入ASBG-ADM，計(jì)算可得到混合策略貝葉斯納什均衡.由上可知，由于防御者一次只能選擇一種防御策略，傳統(tǒng)博弈以概率形式給出的策略選取方案對(duì)于用戶來(lái)說(shuō)是不好理解和實(shí)施的.筆者提出了一種基于防御效能的最優(yōu)防御策略選取方法，通過(guò)對(duì)攻擊者采取各種行為的可信預(yù)測(cè)來(lái)計(jì)算防御策略的防御效能.

由上可知，在一個(gè)網(wǎng)絡(luò)博弈場(chǎng)景中，防御者在理性假設(shè)下對(duì)攻擊者的各種行為進(jìn)行預(yù)測(cè)，這個(gè)預(yù)測(cè)結(jié)果就為混合策略中的概率分布.可以通過(guò)各類型防御者的先驗(yàn)概率及收益函數(shù)得到該博弈場(chǎng)景下防御者防御策略的效能期望:

3.2相關(guān)工作比較

如表1所示，文獻(xiàn)［8-10］采用不完全信息靜態(tài)博弈.相比它們，筆者考慮了防御者的類型，收益量化詳細(xì)，可操作性好.收益量化是指文獻(xiàn)給出的方法對(duì)攻防雙方收益量化是否結(jié)合網(wǎng)絡(luò)實(shí)際，且步驟詳細(xì)、可行，部分文獻(xiàn)中收益量化僅通過(guò)作者假設(shè)得出，簡(jiǎn)單但可行性差.可操作性是指文獻(xiàn)給出的方法或算法為用戶所選取的最佳防御策略是否具有較強(qiáng)的實(shí)用性.攻擊者和防御者一次只能選取一種攻擊或防御策略，相比以混合策略形式給出的策略選取方案，通過(guò)策略效能計(jì)算，以純策略形式給出的策略選取方案具有更好的可操作性，較差則表示文獻(xiàn)未給出具體策略選取方案.

表1　相關(guān)工作比較

4 應(yīng)用實(shí)例與分析

通過(guò)部署如文獻(xiàn)［7］所示的網(wǎng)絡(luò)信息系統(tǒng)拓?fù)浣Y(jié)構(gòu)進(jìn)行模擬實(shí)驗(yàn).

根據(jù)攻擊者的歷史行為，防御者可將攻擊者的類型劃為TA，tA=｛冒險(xiǎn)型攻擊者，保守型攻擊者｝.本實(shí)例設(shè)定防御者的類型為TB，tB=｛一級(jí)防御，二級(jí)防御，三級(jí)防御｝.冒險(xiǎn)型攻擊者為了達(dá)到目的不惜采用高代價(jià)攻擊方式，成功率較高，具有較大風(fēng)險(xiǎn)；保守型攻擊者攻擊時(shí)更愿意使用代價(jià)較小的方式實(shí)施攻擊，成功率較低，風(fēng)險(xiǎn)也較低.防御者自一級(jí)防御到三級(jí)防御，力度越來(lái)越小，消耗越來(lái)越小.服務(wù)器弱點(diǎn)信息請(qǐng)見文獻(xiàn)［7］.

由于弱點(diǎn)間存在相互依賴的關(guān)系，攻擊者可以通過(guò)一系列的原子攻擊來(lái)獲得訪問(wèn)數(shù)據(jù)庫(kù)的權(quán)限.攻擊者的原子攻擊信息請(qǐng)見參考文獻(xiàn)［13］.參考MIT林肯實(shí)驗(yàn)室攻防分類，對(duì)網(wǎng)絡(luò)拓?fù)溥M(jìn)行分析可得到不同類型攻擊者采取的各類攻擊行動(dòng)，如表2所示.

表2　不同類型攻擊者行動(dòng)

防御者選取的防御策略常常是各項(xiàng)防御措施的集合，不同類型的防御者選取的行動(dòng)是不相同的.從防御行為庫(kù)選出可用的防御行動(dòng)后，經(jīng)過(guò)對(duì)成本、影響及專家建議等方面的考慮，不同類型可供選取的防御行動(dòng)如表3所示.

表3　不同類型防御者行動(dòng)

參與者行動(dòng)集合確定后，利用文獻(xiàn)［3］的策略收益量化方法對(duì)各類型的參與者行動(dòng)的成本和收益進(jìn)行量化.另外，通過(guò)對(duì)歷史數(shù)據(jù)的分析，防御者可得到攻擊者類型的先驗(yàn)信念:（冒險(xiǎn)型攻擊者，保守型攻擊者）= （0.6，0.4）；防御者對(duì)攻擊者歷史行為進(jìn)行分析，可得到攻擊者對(duì)其類型的先驗(yàn)信念:（一級(jí)防御，二級(jí)防御，三級(jí)防御）=（0.3，0.4，0.3）.由于攻擊者類型有2種，防御者類型有3種，因此需要進(jìn)行2次海薩尼轉(zhuǎn)換.由此可得到網(wǎng)絡(luò)博弈樹如圖1所示.

圖1　網(wǎng)絡(luò)博弈樹

5 結(jié)束語(yǔ)

為幫助、指導(dǎo)防御者進(jìn)行防御策略的選取，筆者提出了靜態(tài)貝葉斯博弈主動(dòng)防御模型，并對(duì)該模型進(jìn)行了詳細(xì)的形式化定義.該模型將攻擊者和防御者劃分為多種類型，對(duì)博弈的均衡情況進(jìn)行了分析和證明.筆者認(rèn)為攻擊者的混合策略概率分布是防御者對(duì)攻擊者可能采取行動(dòng)的可信預(yù)測(cè)，對(duì)各個(gè)防御策略的防御效能進(jìn)行了計(jì)算.筆者還提出了基于靜態(tài)貝葉斯的主動(dòng)防御策略選取算法，可用于指導(dǎo)防御者采取最優(yōu)防御策略進(jìn)行主動(dòng)防御.實(shí)例分析說(shuō)明了筆者提出的模型和算法在攻擊預(yù)測(cè)及主動(dòng)防御策略選取方面的合理性和有效性.

［1］ZONOUZ S A，KHURANA H，SANDERS W H.RRE:A Game-theoretic Intrusion Response and Recovery Engine ［J］.IEEE Transactions on Parallel and Distributed Systems，2014，25（2）:395-406.

［2］LIANG X N，XIAO Y.Game Theory for Network Security［J］.IEEE Communications Surveys&Tutorials，2013，15 （1）:472-486.

［3］姜偉，方濱興，田志宏，等.基于攻防博弈模型的網(wǎng)絡(luò)安全測(cè)評(píng)和最優(yōu)主動(dòng)防御［J］.計(jì)算機(jī)學(xué)報(bào)，2009，32（4）:817-825. JIANG Wei，F(xiàn)ANG Bingxing，TIAN Zhihong，et al.Evaluating Network Security and Optimal Active Defense Based on Attack-defense Game Model［J］.Chinese Journal of Computers，2009，32（4）:817-825.

［4］姜偉，方濱興，田志宏，等.基于攻防隨機(jī)博弈模型的防御策略選取研究［J］.計(jì)算機(jī)研究與發(fā)展，2010，47（10）:1714-1723. JIANG Wei，F(xiàn)ANG Bingxing，TIAN Zhihong，et al.Research on Defense Strategies Selection Based on Attack-defense Stochastic Game Model［J］.Journal of Computer Research and Development，2010，47（10）:1714-1723.

［5］YU M，LIU C，QIU X L，et al.Modelling and Analysis of Phishing Attack Using Stochastic Game Nets［C］// International Conference on Cyberspace Technology.London:IET，2013:300-305.

［6］WANG C L，MIAO Q，DAI Y Q.Network Survivability Analysis Based on Stochastic Game Model［C］//Proceedings of the 4th International Conference on Multimedia Information Networking and Security.Washington:IEEE Computer Society，2012:99-104.

［7］林旺群，王慧，劉佳宏，等.基于非合作動(dòng)態(tài)博弈的網(wǎng)絡(luò)安全主動(dòng)防御技術(shù)研究［J］.計(jì)算機(jī)研究與發(fā)展，2011，48（2）: 306-316. LIN Wangqun，WANG Hui，LIU Jiahong et.al.Research on Active Defense Technology in Network Security Based on Non-Cooperative Dynamic Game Theory［J］.Journal of Computer Research and Development，2011，48（2）:306-316.

［8］劉玉嶺，馮登國(guó)，吳麗惠，等.基于靜態(tài)貝葉斯博弈的蠕蟲攻防策略績(jī)效評(píng)估［J］.軟件學(xué)報(bào)，2012，23（3）:712-723. LIU Yuling，F(xiàn)ENG Dengguo，WU Lihui，et al.Performance Evaluation of Worm Attack and Defense Strategies Based on Static Bayesian Game［J］.Journal of Software，2012，23（3）:712-723.

［9］NGUYEN K C，ALPCAN T，BASAR T.Security Games with Incomplete Information［C］//2009 IEEE International Conference on Communications.Piscataway:IEEE，2009:5199443.

［10］LIU P，ZANG W Y，YU M.Incentive-based Modeling and Inference of Attacker Intent，Objectives，and Strategies［J］.ACM Transactions on Information and System Security，2005，8（1）:78-118.

［11］LIU Y，COMANICIU C，MAN H.A Bayesian Game Approach for Intrusion Detection in Wireless Ad Hoc Networks ［C］//Proceedings of the 2006 Workshop on Game Theory for Communications and Networks.New York:ACM，2006: 1190198.

［12］陳永強(qiáng)，付鈺，吳曉平，等.基于非零和博弈模型的主動(dòng)防御策略選取方法［J］.計(jì)算機(jī)應(yīng)用，2013，33（5）:1347-1349. CHEN Yongqiang，F(xiàn)U Yu，WU Xiaoping.et al.Active Defense Strategy Selection Based on Non-zero-sum Attackdefense Game Model［J］.Journal of Computer Applications.2013，33（5）:1347-1349.

［13］KAYODE A B，BABATUNDE I G，ISRAEL H D.DGM Approach to Network Attacker and Defender Strategies［C］// 8th International Conference for Internet Technology and Secured Transactions.Piscataway:IEEE Computer Society，2013:313-320.

（編輯:郭 華）

Active defense strategy selection based on the static Bayesian game

WANG Jindong，YU Dingkun，ZHANG Hengwei，WANG Na
（Information Engineering University，Zhengzhou 450000，China）

Nowadays，the optimal defense strategies selection based on the incomplete information game model has many disadvantages，such as ignoring the type of the defender，using the simple cost quantitative method，and choosing defense strategies improperly.To solve the problem，this paper proposes an active defense strategy selection based on the static Bayesian game theory，and constructs the static Bayesian game model.The model considers the types of the attacker and the defender，and improves the classical strategies taxonomy and cost quantitative method by considering the strike back act of the defender and the success attack rate.Then，this paper calculates and comprehensively analyzes the Bayesian equilibrium of the game. Taking mixed strategies Bayesian equilibrium of the attacker as the defender’s prediction of the attacker’s action，this paper calculates the defense effectiveness of defense strategies and performs a defense strategies selection algorithm.Finally，an example is provided to analyze and demonstrate the effectiveness of the model and algorithm.

static Bayesian；active defense；mixed strategies equilibrium；network security

TP309

A

1001-2400（2016）01-0144-07

10.3969/j.issn.1001-2400.2016.01.026

2014-10-01 網(wǎng)絡(luò)出版時(shí)間：2015-04-14

國(guó)家自然科學(xué)基金資助項(xiàng)目（61303074，61309013）；國(guó)家重點(diǎn)基礎(chǔ)研究發(fā)展計(jì)劃（“973”計(jì)劃）資助項(xiàng)目（2012CB315900）

王晉東（1966-），男，教授，E-mail:gzydk2@163.com.

網(wǎng)絡(luò)出版地址：http://www.cnki.net/kcms/detail/61.1076.TN.20150414.2046.026.html