王佳佳

（泰州職業(yè)技術(shù)學(xué)院信息技術(shù)學(xué)院，江蘇泰州225300）

基于進(jìn)化計(jì)算的攻擊圖生成方法

王佳佳

（泰州職業(yè)技術(shù)學(xué)院信息技術(shù)學(xué)院，江蘇泰州225300）

文章將靜態(tài)的攻擊圖與動(dòng)態(tài)的進(jìn)化計(jì)算相結(jié)合，提出了一種基于進(jìn)化計(jì)算的攻擊圖生成方法，將傳統(tǒng)攻擊圖拓展為隨著時(shí)間、空間變化而自動(dòng)優(yōu)化的動(dòng)態(tài)攻擊圖，可通過(guò)網(wǎng)絡(luò)漏洞的相關(guān)屬性，結(jié)合攻擊過(guò)程中產(chǎn)生的變化，予以進(jìn)化計(jì)算生成攻擊圖，基于權(quán)重的粒子群算法可以結(jié)合實(shí)際調(diào)整屬性權(quán)重，進(jìn)一步模擬攻擊過(guò)程、明確攻擊后果。實(shí)驗(yàn)證明文章提出的框架和方法可以有效地實(shí)現(xiàn)攻擊模擬，并提供更有效的防御方法。

進(jìn)化計(jì)算；攻擊圖；網(wǎng)絡(luò)安全

在網(wǎng)絡(luò)安全滲透測(cè)試技術(shù)中，已有很多種風(fēng)險(xiǎn)評(píng)估方法，具有代表性的分類(lèi)方法如表1所示。其中，攻擊圖技術(shù)已成為滲透測(cè)試技術(shù)中的研究重點(diǎn)。

表1　網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估方法

Hawrylak等［1］使用混合攻擊圖對(duì)CPS信息攻擊進(jìn)行建模并生成了全局攻擊圖，但是沒(méi)有對(duì)信息安全風(fēng)險(xiǎn)進(jìn)行定量計(jì)算。文獻(xiàn)［2］提出了通過(guò)特權(quán)圖來(lái)描述攻擊者權(quán)限提升的整個(gè)過(guò)程，通過(guò)自初始狀態(tài)至攻擊目標(biāo)狀態(tài)的攻擊路徑上的經(jīng)驗(yàn)值來(lái)計(jì)算平均攻擊成本，但是沒(méi)有考慮到攻擊過(guò)程中可能產(chǎn)生的變化。Fung等［3］提出了一種定量化的風(fēng)險(xiǎn)評(píng)估方法，著重計(jì)算網(wǎng)絡(luò)攻擊對(duì)智能電網(wǎng)造成的經(jīng)濟(jì)損失，同樣也沒(méi)有考慮到攻擊過(guò)程中可能產(chǎn)生的變化。在現(xiàn)有大規(guī)模、長(zhǎng)時(shí)間的攻擊環(huán)境下，攻擊的路徑、強(qiáng)度可能隨著時(shí)間、空間的發(fā)展而發(fā)生變化，如果將靜態(tài)攻擊圖與動(dòng)態(tài)的計(jì)算結(jié)合起來(lái)，將對(duì)實(shí)際的攻擊環(huán)境起到有效的防護(hù)。

1　進(jìn)化計(jì)算的攻擊圖生成方法

在分析攻擊圖脆弱性測(cè)試特點(diǎn)的基礎(chǔ)上，提出了一種基于權(quán)重的攻擊圖生成方法。在進(jìn)化過(guò)程中，以網(wǎng)絡(luò)中的現(xiàn)有節(jié)點(diǎn)漏洞為單位編碼，通過(guò)進(jìn)化計(jì)算靈活控制各漏洞屬性的權(quán)重，最終完成攻擊圖的生成。

網(wǎng)絡(luò)存在的漏洞主要包括以下三種屬性：（1）漏洞可被利用的難易程度；（2）漏洞的平均暴露程度；（3）漏洞的平均修復(fù)程度［4］。漏洞越方便使用則越容易被攻擊者利用，使用步驟簡(jiǎn)單的漏洞更容易引起攻擊者的注意。漏洞一旦發(fā)布則即可以被攻擊者了解進(jìn)而利用，漏洞發(fā)布的時(shí)間越長(zhǎng)則暴露程度越高。漏洞一旦出現(xiàn)即存在被修復(fù)的可能，被修復(fù)的程度越高則攻擊的成功率越低。由于攻擊者的條件不可預(yù)知，將網(wǎng)絡(luò)中的漏洞屬性作為攻擊圖的生成基因，可以根據(jù)以上信息搭建基于進(jìn)化計(jì)算的攻擊圖生成系統(tǒng)（evolution attack graph design system，EAGDS），如圖1所示。

圖1　EAGDS框架

EAGDS主要由兩個(gè)部分組成：一是分析網(wǎng)絡(luò)中存在的漏洞屬性；二是完成進(jìn)化設(shè)計(jì)流程，優(yōu)化種群獲取最佳攻擊圖。

2　基于權(quán)重的粒子群算法設(shè)計(jì)

根據(jù)上文對(duì)網(wǎng)絡(luò)中存在漏洞的屬性分析，可知隨著時(shí)間的變化，攻擊者會(huì)選用不同的漏洞完成攻擊，因此，不同漏洞的權(quán)重應(yīng)當(dāng)隨著時(shí)間變化。本文采用進(jìn)化算法當(dāng)中最適合加入時(shí)變權(quán)重的粒子群算法。標(biāo)準(zhǔn)PSO算法的描述如下：

在t時(shí)刻，一個(gè)包含n個(gè)粒子的群體求解，每個(gè)粒子包含m個(gè)個(gè)體基因數(shù)（可被利用的難易程度、平均暴露程度、平均修復(fù)程度），m=3，第i個(gè)粒子的位置即xi=（xi1，xi2，xi3），i=1，2，…，n。初始位置被看作三維空間點(diǎn)的一套坐標(biāo)，在算法的每一次迭代中，目前位置xi作為問(wèn)題解被評(píng)價(jià)。假設(shè)初始速度vi=（vi1，vi2，vi3），歷史最佳位置pi=（pi1，pi2，pi3）。

對(duì)于每一個(gè)粒子，其d（1＜=d＜=3）維屬性可以根據(jù)如下速度-位移公式來(lái)更新自己的速度和位置：

其中，w為慣性權(quán)重，c1，c2分別是認(rèn)識(shí)學(xué)習(xí)系數(shù)和社會(huì)學(xué)習(xí)系數(shù)，通常介于0到2之間。文獻(xiàn)［5］提出了一種自適應(yīng)調(diào)整策略，其權(quán)重計(jì)算如下：

其中，wmax是實(shí)驗(yàn)開(kāi)始時(shí)設(shè)置的權(quán)重，wmin是上次計(jì)算的權(quán)重，tmax是需要運(yùn)行的計(jì)算次數(shù)的最大值，t是已經(jīng)運(yùn)行的計(jì)算次數(shù)，w是慣性權(quán)重。根據(jù)文獻(xiàn)［6］，權(quán)重w介于0到1之間才可以快速收斂，因此w的取值要符合相應(yīng)的條件。本文中，慣性權(quán)重取值于已知攻擊。假設(shè)共計(jì)A個(gè)漏洞，則第i個(gè)漏洞在攻擊中被使用的概率即為pi，滿(mǎn)足以下條件：隨著漏洞的暴露程度增大，修復(fù)程度也會(huì)增大，漏洞被利用的難易程度也會(huì)變大，這三個(gè)屬性都會(huì)導(dǎo)致pi隨時(shí)間的發(fā)展而不斷減小。因此，以pi作為漏洞的初始權(quán)值符合算法的遞減收斂條件。本文采用漏洞當(dāng)前權(quán)重與概率的乘積作為攻擊后果的度量數(shù)值。

3　案例與分析

為了對(duì)本文所提出的算法進(jìn)行驗(yàn)證，將一中小型企業(yè)作為實(shí)驗(yàn)對(duì)象，圖2為該企業(yè)拓?fù)鋱D。

圖2　企業(yè)拓?fù)鋱D

該企業(yè)通過(guò)移動(dòng)專(zhuān)線(xiàn)和外網(wǎng)相連，211.65.186.1是企業(yè)的云服務(wù)器，當(dāng)中存放著大量的實(shí)驗(yàn)數(shù)據(jù)，并安裝有虛擬機(jī)工具和操作系統(tǒng)相關(guān)軟件；211.65.186.2是企業(yè)的web服務(wù)器，對(duì)企業(yè)內(nèi)外提供宣傳；211.65.186.3是企業(yè)的數(shù)據(jù)庫(kù)服務(wù)器，同時(shí)運(yùn)行著SQL Server和Oracle兩大數(shù)據(jù)庫(kù)；211.65.186.4是可以由外網(wǎng)訪問(wèn)的服務(wù)器，便于出差員工隨時(shí)訪問(wèn)企業(yè)總部。

根據(jù)需要，211.65.186.2完全對(duì)外網(wǎng)開(kāi)放，211.65.186.1和211.65.186.2上的IIS及Tomcat組件需要訪問(wèn)位于211.65.186.3上的數(shù)據(jù)庫(kù)。由漏洞掃描工具可找出網(wǎng)絡(luò)中的漏洞信息，如表1所示。

表1　漏洞信息

針對(duì)上述網(wǎng)絡(luò)漏洞，生成初始攻擊圖，如圖3所示。

圖3　實(shí)驗(yàn)網(wǎng)絡(luò)初始攻擊圖

在初始攻擊圖的基礎(chǔ)上，以EAGDS為框架，即可生成進(jìn)化的攻擊圖及每步攻擊的后果。假設(shè)攻擊目標(biāo)是211.65.186.1，云服務(wù)器上的數(shù)據(jù)資料，根據(jù)攻擊后果的最大化原則，通過(guò)權(quán)重的進(jìn)化計(jì)算可以得到結(jié)果分析如下圖所示，圈中數(shù)字為攻擊后果。

圖4　基于進(jìn)化計(jì)算的攻擊圖

從上圖可以看出，攻擊者通過(guò)211.65.186.4主機(jī)操作系統(tǒng)漏洞，獲取主機(jī)211.65.186.2主機(jī)上的user權(quán)限，進(jìn)而獲取211.65.186.1主機(jī)訪問(wèn)權(quán)限的過(guò)程，可以清楚看到攻擊者的攻擊路徑。對(duì)于上圖的攻擊模式，只需要降低windows操作系統(tǒng)的漏洞風(fēng)險(xiǎn)就可以大大提高云服務(wù)器上數(shù)據(jù)的安全性。

4　結(jié)語(yǔ)

目前，以攻擊圖為主的靜態(tài)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估方法成為了滲透測(cè)試領(lǐng)域的研究重點(diǎn)。然而靜態(tài)的攻擊圖技術(shù)只能針對(duì)獨(dú)立攻擊，對(duì)于復(fù)雜的混合攻擊技術(shù)尚待進(jìn)一步研究。

本文提出了一種基于進(jìn)化計(jì)算的攻擊圖生成方法，將網(wǎng)絡(luò)節(jié)點(diǎn)漏洞的屬性與算法的不斷進(jìn)化結(jié)合起來(lái)即可生成動(dòng)態(tài)的攻擊圖，相關(guān)算法可以確定攻擊者最容易選擇的路徑并進(jìn)行相關(guān)防御。實(shí)驗(yàn)證明本文提出的模型能夠有效地模擬攻擊，并可以有針對(duì)性地選擇最可能、最快捷、最有效的節(jié)點(diǎn)進(jìn)行防御以達(dá)到理想的效果。動(dòng)態(tài)攻擊圖的研究仍然處于起步階段，今后將在實(shí)際中驗(yàn)證本文算法的合理性和有效性。

［1］Hawryiak P J，Hartney C，Papa M，et a1.using hybrid attack graphs to model and analyze attacks against the critical information infrastnlcture［J］.Critical infomation infrastructure protection and resilience in the ICT sector，2013，11（3）：173-179.

［2］Ortalo R，Deswarte Y，Kaaniche M.Experimenting with quantitative evaluation tools for monitoring operational security［J］.IEEE Trans on Software Engineering，1999，25（5）：633-650.

［3］Fung C C，Roumani M A，Wong K P.A proposed study on economic impacts due to cyber attacks in smart grid：a risk based assessment［C］//Proceedings of the 2013 IEEE Power and Energy Society General Meeting.Piscataway，NJ：IEEE，2013：1-5.

［4］武文博，康銳，李梓.基于攻擊圖的信息物理系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估方法［J］.計(jì)算機(jī)應(yīng)用，2016，36（1）：203-206.

［5］Kirkpatriek S，Gelatt C D，Veechi M P.Optimization by simulated annealing［J］.Science，1983（220）：671-680.

［6］劉建華，張永暉，周理，等.一種權(quán)重遞增的粒子群算法［J］.計(jì)算機(jī)科學(xué)，2014，41（3）：59-65，84.

（責(zé)任編輯楊荔晴）

A Generation Method of Attack Graph Based on Evolutionary Computation

WANG Jia-jia
（Taizhou Pylotechnic College，Taizhou Jiangsu 225300，China）

In this paper，the combination of static attack graph and dynamic evolutionary computation proposed an attack graph generation method based on evolutionary computation，the traditional attack graph was expanded to as time，spatial variation and automatic optimization of the dynamic attack graph，through the relevant attributes of network vulnerabilities，combined with changes in the attack process，to be evolutionary computation to generate attack graphs.Particle swarm optimization（PSO）algorithm based on weight can be combined with the actual to adjust attribute weights，to further simulate the attack process，to make clear the attack consequences. The experiment proofed that frame and method proposed in this paper can be effectively simulate the attack，and provide prevention methods.

evolutionary computation；attack graph；network security

TP393.08

B

1671-0142（2016）04-0047-03

王佳佳（1981-），女，講師，碩士，主要研究方向?yàn)榫W(wǎng)絡(luò)與信息安全.

泰州職業(yè)技術(shù)學(xué)院2015年度科研項(xiàng)目（TZYKY-15-7，項(xiàng)目主持人：王佳佳）.