(哈爾濱理工大學(xué)，河北 秦皇島 066003)

0 引言

主動(dòng)防御網(wǎng)絡(luò)僅僅采用防火墻雖然能夠抑制攻擊信息侵入，但是對(duì)于正常信息中夾雜的非法信息卻無法識(shí)別，導(dǎo)致網(wǎng)絡(luò)使用不安全、用戶私密信息泄漏等現(xiàn)象，造成不必要的經(jīng)濟(jì)損失。為了保障用戶在大數(shù)據(jù)驅(qū)動(dòng)下使用網(wǎng)絡(luò)同樣安全，需對(duì)主動(dòng)防御網(wǎng)絡(luò)安全性進(jìn)行評(píng)估。主動(dòng)防御是一種具有深層次主動(dòng)抵抗網(wǎng)絡(luò)攻擊行為的技術(shù)，可通過監(jiān)測網(wǎng)絡(luò)環(huán)境攔截外部非法入侵行為[1]。措施的采取也帶來了一些安全性問題，對(duì)于主動(dòng)防御的網(wǎng)絡(luò)是否真正安全需要進(jìn)行評(píng)估[2]。由于傳統(tǒng)評(píng)估技術(shù)存在評(píng)估不精準(zhǔn)問題，導(dǎo)致主動(dòng)防御網(wǎng)絡(luò)不安全，為此，提出了引入網(wǎng)絡(luò)熵的模型對(duì)抗量化評(píng)估技術(shù)。通過與傳統(tǒng)技術(shù)對(duì)比可知，該技術(shù)應(yīng)用是具有合理性的。

1 主動(dòng)防御網(wǎng)絡(luò)安全性評(píng)估技術(shù)

1.1 主動(dòng)防御原理

在大數(shù)據(jù)驅(qū)動(dòng)下主動(dòng)防御網(wǎng)絡(luò)功能能夠?qū)崿F(xiàn)網(wǎng)絡(luò)的安全運(yùn)行，將檢測技術(shù)與預(yù)測技術(shù)相結(jié)合，可保證網(wǎng)絡(luò)使用的安全[3]。主動(dòng)防御是在保證基本網(wǎng)絡(luò)安全運(yùn)行基礎(chǔ)上實(shí)現(xiàn)的，除了傳統(tǒng)系統(tǒng)防護(hù)技術(shù)外，還增加了響應(yīng)技術(shù)，主動(dòng)防御原理如圖1所示。

圖1 主動(dòng)防御原理框圖

依據(jù)傳統(tǒng)防護(hù)技術(shù)，增加響應(yīng)機(jī)制，并將檢測原理與預(yù)測原理結(jié)合構(gòu)成主動(dòng)防御原理，以該原理為基礎(chǔ)構(gòu)建基于Petri網(wǎng)的安全性評(píng)估數(shù)學(xué)模型，在模型中引入網(wǎng)絡(luò)熵權(quán)衡收益，降低間接影響造成的干擾，根據(jù)收益結(jié)果對(duì)主動(dòng)防御網(wǎng)絡(luò)安全性進(jìn)行評(píng)估。

1.2 構(gòu)建Petri網(wǎng)安全性評(píng)估數(shù)學(xué)建模

利用主動(dòng)防御原理構(gòu)建基于Petri網(wǎng)的安全性評(píng)估數(shù)學(xué)模型。采用Petri網(wǎng)建模方法可對(duì)整個(gè)主動(dòng)防御網(wǎng)絡(luò)安全性進(jìn)行評(píng)估，從攻擊者角度，將系統(tǒng)漏洞攻擊主動(dòng)防御網(wǎng)絡(luò)行為進(jìn)行模擬分析，并在必要安全信息基礎(chǔ)上，查找潛在的多條主動(dòng)防御安全性組合攻擊途徑[4]。

對(duì)Petri網(wǎng)主動(dòng)防御安全性評(píng)估離不開對(duì)局部區(qū)域評(píng)估，在攻擊場景下，依據(jù)評(píng)估結(jié)果實(shí)現(xiàn)評(píng)估模型的構(gòu)建。要獲取局部評(píng)估結(jié)果，需先收集與主動(dòng)防御網(wǎng)絡(luò)安全屬性相關(guān)的數(shù)據(jù)，再結(jié)合這些數(shù)據(jù)分析網(wǎng)絡(luò)的數(shù)據(jù)結(jié)構(gòu)和存儲(chǔ)結(jié)構(gòu)，利用分析結(jié)果構(gòu)建評(píng)估數(shù)學(xué)模型。

1.2.1 建模信息采集

掃描每臺(tái)主機(jī)，搜尋主機(jī)中存在的已知安全性運(yùn)行服務(wù)信息；對(duì)整個(gè)網(wǎng)絡(luò)展開分析，獲取各個(gè)主機(jī)間的聯(lián)系，利用網(wǎng)絡(luò)具有公開屬性特點(diǎn)，通過掃描機(jī)可獲取該特點(diǎn)的具體屬性，以此為基礎(chǔ)制定網(wǎng)絡(luò)公開弱點(diǎn)的保護(hù)規(guī)則[5]。根據(jù)掃描獲取的弱點(diǎn)信息以及制定的規(guī)則，提出Petri主動(dòng)防御網(wǎng)絡(luò)安全性評(píng)估方法；選擇關(guān)聯(lián)矩陣分析方式對(duì)數(shù)學(xué)模型構(gòu)建展開討論，分析出網(wǎng)絡(luò)結(jié)構(gòu)中存在的所有滲透序列，獲取目標(biāo)攻擊路徑，并計(jì)算成功可達(dá)概率。建模信息采集相關(guān)具體流程如圖2所示。

圖2 建模信息采集具體流程

由圖2可知：結(jié)合以往攻擊模型，對(duì)主動(dòng)防御安全性展開說明，具體描述內(nèi)容有：弱點(diǎn)描述、掃描機(jī)描述、網(wǎng)絡(luò)連接關(guān)系描述和攻擊規(guī)則描述。將網(wǎng)絡(luò)弱點(diǎn)信息相關(guān)抽象數(shù)據(jù)組合成具體集合名稱，方便安全性評(píng)估，具體集合名稱如表1所示。

表1 集合名稱

序利用安全漏洞攻擊的復(fù)雜程序complexity進(jìn)行歸一量化處理：

1)不需要使用任何外界攻擊工具，制定詳細(xì)的攻擊方案；

2)使用現(xiàn)有的攻擊方案和工具；

3)缺乏攻擊工具，那么需制定詳細(xì)的攻擊方案

4)公開主動(dòng)防御網(wǎng)絡(luò)漏洞，大致說明攻擊方案；

5)公開主動(dòng)防御網(wǎng)絡(luò)漏洞，無攻擊方案。

根據(jù)歸一量化處理方案對(duì)用戶等級(jí)進(jìn)行劃分：劃分等級(jí)能夠直觀反映用戶對(duì)于計(jì)算機(jī)的控制能力，對(duì)于某個(gè)主體來說，所有訪問客體權(quán)限都是一個(gè)集合，通過分析SANS公布的排名前10網(wǎng)絡(luò)漏洞弱點(diǎn)發(fā)現(xiàn)，涉及到的用戶等級(jí)并不需要進(jìn)行詳細(xì)劃分，通常為三個(gè)等級(jí)，分別是：Access、User、Root，其中Access代表遠(yuǎn)程接受網(wǎng)絡(luò)服務(wù)，進(jìn)行數(shù)據(jù)間的交互；User代表經(jīng)過管理員授予的用戶權(quán)限，具有單獨(dú)的空間與資源；Root代表主機(jī)擁有所有資源控制權(quán)[6-8]。由于這三個(gè)等級(jí)之間關(guān)系都滿足偏序分布Access

1.2.2 采集數(shù)據(jù)結(jié)構(gòu)分析與存儲(chǔ)

對(duì)采集到的建模信息，需進(jìn)行詳細(xì)分析。設(shè)立一串?dāng)?shù)據(jù){a，b，IP，TCP，HTTP}可表示為：a向b發(fā)送的IP數(shù)據(jù)是可達(dá)的，a與b某個(gè)TCP端口是可以連接的，a可對(duì)b進(jìn)行HTTP服務(wù)。根據(jù)TCP/IP協(xié)議棧中各個(gè)層次的項(xiàng)目協(xié)議，需建立連接關(guān)系如表2所示。

表2 協(xié)議棧層次連接關(guān)系

如果使用協(xié)議棧層次連接關(guān)系中的TCP(終端控制協(xié)議)、HTTP(超文本傳輸協(xié)議)和IP(網(wǎng)絡(luò)互連協(xié)議)來約束鏈表P_T(place_tansation，P_ T)，那么在鏈表中只能存儲(chǔ)來自數(shù)據(jù)庫中的變遷集合，降低危險(xiǎn)漏洞出現(xiàn)幾率。使用鏈表P_T(place_tansation，P_ T)來存儲(chǔ)各個(gè)變遷集合，儲(chǔ)存方式如圖3所示。

圖3 數(shù)據(jù)儲(chǔ)存方式

在鏈表中p節(jié)點(diǎn)為Petri網(wǎng)安全性評(píng)估數(shù)學(xué)建模一個(gè)狀態(tài)信息，該信息可由(ip，r)來表示，其中ip可代表主動(dòng)防御受到到攻擊位置，r為主機(jī)所獲取應(yīng)用權(quán)限[9]。在鏈表中T的節(jié)點(diǎn)為Petri網(wǎng)安全性評(píng)估數(shù)學(xué)建模的一個(gè)變遷行為信息，該信息可由(src，dst，vi)來表示，其中src可代表網(wǎng)絡(luò)主動(dòng)防御時(shí)受到攻擊的標(biāo)識(shí)信號(hào)，dst為被攻擊主機(jī)的標(biāo)識(shí)信號(hào)，vi為一次攻擊行動(dòng)的安全漏洞標(biāo)識(shí)信號(hào)。P_T鏈表中的閾值范圍代表了攻擊級(jí)別，也代表了數(shù)據(jù)存儲(chǔ)狀態(tài)。

1.2.3 構(gòu)建數(shù)學(xué)模型

(1)

1.3 引入網(wǎng)絡(luò)熵權(quán)衡收益

由于在構(gòu)建模型過程中受到外界攻擊，導(dǎo)致網(wǎng)絡(luò)產(chǎn)生間接影響，造成后續(xù)安全性評(píng)估出現(xiàn)干擾因素，嚴(yán)重?cái)_亂評(píng)估結(jié)果，為此引入網(wǎng)絡(luò)熵對(duì)抗量化技術(shù)來權(quán)衡收益，提高評(píng)估結(jié)果準(zhǔn)確率。

ΔZhostli=ΔZm

(2)

1.4 安全性評(píng)估

將網(wǎng)絡(luò)安全問題視為防御者和攻擊者的多個(gè)階段的博弈，每個(gè)階段都對(duì)應(yīng)一個(gè)安全狀態(tài)，通過求解可對(duì)安全狀態(tài)下的混合策略進(jìn)行均衡處置，由此可獲取網(wǎng)絡(luò)安全狀態(tài)下的雙方對(duì)抗最優(yōu)方案，引入網(wǎng)絡(luò)熵展開定量分析，具體評(píng)估如下所示：

設(shè)置in為大數(shù)據(jù)驅(qū)動(dòng)下主動(dòng)防御網(wǎng)絡(luò)的各個(gè)指標(biāo)信息和雙方對(duì)抗行為信息；out為攻擊行為的預(yù)測和對(duì)抗量化效果值。將初始化價(jià)值向量設(shè)為:

重復(fù)

用hl代替模型公式(1)中的Ql

分析主動(dòng)防御原理，構(gòu)建評(píng)估數(shù)學(xué)模型，引入網(wǎng)絡(luò)熵對(duì)抗量化技術(shù)來權(quán)衡收益，減少干擾因素影響，提高評(píng)估結(jié)果準(zhǔn)確率，將防御者收益結(jié)果作為量化評(píng)估標(biāo)準(zhǔn)，實(shí)現(xiàn)對(duì)主動(dòng)防御網(wǎng)絡(luò)安全性評(píng)估。

2 實(shí)驗(yàn)

為了驗(yàn)證大數(shù)據(jù)驅(qū)動(dòng)下主動(dòng)防御網(wǎng)絡(luò)安全性評(píng)估技術(shù)研究的合理性進(jìn)行了如下實(shí)驗(yàn)，設(shè)計(jì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖4所示。

圖4 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

攻擊者首先需要獲取權(quán)限才能進(jìn)入攻擊狀態(tài)，為此需獲取目標(biāo)主機(jī)root的訪問權(quán)限，由于防火墻只能允許主機(jī)對(duì)Apache服務(wù)器進(jìn)行訪問，對(duì)于內(nèi)網(wǎng)服務(wù)器和主機(jī)并沒有訪問權(quán)力，受到限制，內(nèi)網(wǎng)主機(jī)是不允許防火墻訪問的。如果攻擊者獲取了主機(jī)的訪問權(quán)限，那么其內(nèi)部的網(wǎng)絡(luò)權(quán)限為最低初始訪問權(quán)限，攻擊者只能完成一次攻擊，不能同時(shí)進(jìn)行多個(gè)攻擊行為。

2.1 實(shí)驗(yàn)條件設(shè)置

針對(duì)主動(dòng)防御網(wǎng)絡(luò)可用性，將吞吐量、傳輸延遲和故障情況作為指標(biāo)，利用網(wǎng)絡(luò)熵描述鏈路屬性，在初始階段，攻擊者需獲取想要攻擊設(shè)備的權(quán)限才能進(jìn)行攻擊。針對(duì)Apache服務(wù)器攻擊者需要利用Smtp服務(wù)所存在安全隱患發(fā)起攻擊行為，由此獲得用戶使用權(quán)限，然后利用主機(jī)存在的安全漏洞獲取Root權(quán)限。計(jì)算攻擊行為直接受益情況，根據(jù)構(gòu)建模型，使用對(duì)抗量化評(píng)估規(guī)則獲取對(duì)抗最優(yōu)方案。

2.2 實(shí)驗(yàn)結(jié)果與分析

將吞吐量、傳輸延遲和故障情況作為指標(biāo)對(duì)主動(dòng)防御網(wǎng)絡(luò)安全性評(píng)估技術(shù)準(zhǔn)確性進(jìn)行實(shí)驗(yàn)驗(yàn)證。

2.2.1 吞吐量對(duì)技術(shù)準(zhǔn)確性影響結(jié)果與分析

吞吐量是對(duì)網(wǎng)絡(luò)在單位時(shí)間內(nèi)成功傳送數(shù)據(jù)的數(shù)量，也是說吞吐量是指在沒有幀丟失情況下，設(shè)備能夠接收并轉(zhuǎn)發(fā)最大數(shù)據(jù)速率。將測試接入點(diǎn)選在鏈路兩端以太網(wǎng)網(wǎng)絡(luò)上，通過改變幀長度，在接收器上計(jì)算收到幀速，由于吞吐量測試是必須在線進(jìn)行的，即不能中斷現(xiàn)有網(wǎng)絡(luò)業(yè)務(wù)和網(wǎng)絡(luò)連接。將傳統(tǒng)評(píng)估技術(shù)與引入網(wǎng)絡(luò)熵的模型對(duì)抗量化評(píng)估技術(shù)在吞吐量不同情況下精準(zhǔn)度對(duì)比結(jié)果與分析，如圖5所示。

圖5 兩種技術(shù)在不同吞吐量下精準(zhǔn)度對(duì)比結(jié)果

由圖5可知：實(shí)線為引入網(wǎng)絡(luò)熵的模型對(duì)抗量化評(píng)估技術(shù)，虛線為傳統(tǒng)評(píng)估技術(shù)。當(dāng)吞吐量為20時(shí)，傳統(tǒng)評(píng)估精準(zhǔn)度達(dá)到最高為70%，當(dāng)吞吐量為83時(shí)，傳統(tǒng)評(píng)估精準(zhǔn)度達(dá)到最低為5%；而當(dāng)吞吐量為95時(shí)，引入網(wǎng)絡(luò)熵的模型對(duì)抗量化評(píng)估技術(shù)達(dá)到最高為96%，當(dāng)吞吐量為81時(shí)，引入網(wǎng)絡(luò)熵的模型對(duì)抗量化評(píng)估技術(shù)達(dá)到最低為25%。由此可知，吞吐量對(duì)評(píng)估技術(shù)準(zhǔn)確性具有嚴(yán)重影響，尤其是對(duì)傳統(tǒng)技術(shù)影響極大，與對(duì)抗量化評(píng)估技術(shù)精準(zhǔn)度最高值相差26%，最低值相差20%。吞吐量對(duì)引入網(wǎng)絡(luò)熵的模型對(duì)抗量化評(píng)估技術(shù)影響效果較小。

2.2.2 傳輸延遲對(duì)技術(shù)準(zhǔn)確性影響結(jié)果與分析

傳輸延遲是發(fā)送接收處理時(shí)間、電信號(hào)響應(yīng)時(shí)間、介質(zhì)中傳輸時(shí)間三個(gè)時(shí)間的總和，使用Intel Core i7處理器對(duì)內(nèi)存延遲進(jìn)行深度測試，將傳統(tǒng)評(píng)估技術(shù)與引入網(wǎng)絡(luò)熵的模型對(duì)抗量化評(píng)估技術(shù)在傳輸出現(xiàn)延遲情況下，評(píng)估精準(zhǔn)度對(duì)比結(jié)果與分析，如表3所示。

表3 兩種技術(shù)在傳輸延遲下精準(zhǔn)度對(duì)比結(jié)果

表3中，“—”代表出現(xiàn)延遲，對(duì)比兩種評(píng)估技術(shù)發(fā)現(xiàn)，當(dāng)發(fā)送接收處理出現(xiàn)延遲時(shí)精準(zhǔn)度影響最大，傳統(tǒng)技術(shù)比對(duì)抗量化技術(shù)評(píng)估精準(zhǔn)度要低10%，電信號(hào)響應(yīng)出現(xiàn)延遲時(shí)精準(zhǔn)度影響最小，對(duì)抗量化技術(shù)比傳統(tǒng)技術(shù)評(píng)估精準(zhǔn)度要高18%。由此可知，傳輸延遲對(duì)傳統(tǒng)評(píng)估技術(shù)影響效果較大，使用對(duì)抗量化評(píng)估技術(shù)精準(zhǔn)度較高。

2.2.3 故障出現(xiàn)對(duì)技術(shù)準(zhǔn)確性影響結(jié)果與分析

出現(xiàn)故障原因有許多種，包括網(wǎng)絡(luò)適配器(網(wǎng)卡)設(shè)置與計(jì)算機(jī)資源有沖突、網(wǎng)吧局域網(wǎng)中有兩個(gè)網(wǎng)段，其中一個(gè)網(wǎng)網(wǎng)段的所有計(jì)算機(jī)都不能上因特網(wǎng)等。針對(duì)故障出現(xiàn)對(duì)技術(shù)準(zhǔn)確性影響需將傳統(tǒng)技術(shù)與對(duì)抗量化評(píng)估技術(shù)進(jìn)行對(duì)比，結(jié)果如圖6所示。

圖6 兩種技術(shù)在故障點(diǎn)出現(xiàn)情況下對(duì)比結(jié)果

由圖6可知：灰色部分為網(wǎng)絡(luò)主要工作范圍，白色部分為超出主要工作范圍外的網(wǎng)絡(luò)覆蓋區(qū)域。采用傳統(tǒng)評(píng)估技術(shù)只能對(duì)網(wǎng)絡(luò)主要范圍內(nèi)的故障點(diǎn)進(jìn)行處理，無法對(duì)超出該范圍的故障點(diǎn)處理，導(dǎo)致評(píng)估精準(zhǔn)度下降，無法準(zhǔn)確獲取主動(dòng)防御網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)；而采用引入網(wǎng)絡(luò)熵對(duì)抗量化評(píng)估技術(shù)不僅可以對(duì)灰色范圍內(nèi)故障點(diǎn)處理，還可以對(duì)該范圍外的網(wǎng)絡(luò)覆蓋區(qū)域進(jìn)行處理，不會(huì)對(duì)精準(zhǔn)度有較大影響。

2.3 實(shí)驗(yàn)結(jié)論

根據(jù)上述對(duì)比的實(shí)驗(yàn)結(jié)果，可得出實(shí)驗(yàn)結(jié)論：大數(shù)據(jù)驅(qū)動(dòng)下主動(dòng)防御網(wǎng)絡(luò)安全性評(píng)估技術(shù)研究具有合理性。

分別將吞吐量、傳輸延遲和故障情況作為指標(biāo)進(jìn)行實(shí)驗(yàn)驗(yàn)證，可知吞吐量對(duì)評(píng)估技術(shù)準(zhǔn)確性影響最大，傳統(tǒng)技術(shù)比對(duì)抗量化評(píng)估技術(shù)精準(zhǔn)度最高值低26%，而最低值相差20%；傳輸延遲對(duì)傳統(tǒng)評(píng)估技術(shù)影響效果較小，使用對(duì)抗量化評(píng)估技術(shù)精準(zhǔn)度較高；在網(wǎng)絡(luò)主要范圍內(nèi)出現(xiàn)故障對(duì)于對(duì)抗量化技術(shù)來說，并不會(huì)影響評(píng)估精準(zhǔn)度。

3 結(jié)束語

在大數(shù)據(jù)驅(qū)動(dòng)下，引入網(wǎng)絡(luò)熵對(duì)抗量化技術(shù)可將主動(dòng)防御網(wǎng)絡(luò)的安全性問題轉(zhuǎn)化為多個(gè)階段動(dòng)態(tài)分析問題，為管理者提供有效評(píng)估措施，也為網(wǎng)絡(luò)安全加固提供重要決策。由于大數(shù)據(jù)技術(shù)快速發(fā)展，促使引入網(wǎng)絡(luò)熵模型對(duì)抗量化評(píng)估技術(shù)進(jìn)入危險(xiǎn)潛藏期，針對(duì)定期引入安全方案還無法實(shí)施，對(duì)于動(dòng)態(tài)化大數(shù)據(jù)應(yīng)用中心安全評(píng)估還有待考察。