一種基于全局攻擊圖的攻擊目標(biāo)可達性的計算方法
【專利摘要】一種基于全局攻擊圖的攻擊目標(biāo)可達性的計算方法，包括以下步驟：生成網(wǎng)絡(luò)全局攻擊圖,該攻擊圖包含網(wǎng)絡(luò)全部目標(biāo)狀態(tài)；假設(shè)攻擊者作為智能主體對網(wǎng)絡(luò)弱點有著深刻的理解，總是依據(jù)各個弱點的攻擊復(fù)雜度選擇下一步攻擊目標(biāo)進而來計算攻擊目標(biāo)的可達概率。本發(fā)明能夠從全局角度分析網(wǎng)絡(luò)中存在的脆弱性；在計算攻擊目標(biāo)的可達性時考慮了攻擊者的行為特征,分析結(jié)果更客觀、更準(zhǔn)確。
【專利說明】一種基于全局攻擊圖的攻擊目標(biāo)可達性的計算方法

【技術(shù)領(lǐng)域】
[0001] 本發(fā)明涉及一種基于全局攻擊圖的攻擊目標(biāo)可達性的計算方法。

【背景技術(shù)】
[0002] 由于網(wǎng)絡(luò)攻擊手段呈現(xiàn)復(fù)雜化和多樣化的趨勢，能否發(fā)現(xiàn)引起網(wǎng)絡(luò)狀態(tài)變遷的 攻擊序列已經(jīng)成為網(wǎng)絡(luò)安全評估工作的關(guān)鍵環(huán)節(jié)。目前，攻擊圖模型的生成方法可以分為 兩類。第一類方法采用模型檢測或邏輯編程技術(shù)生成攻擊圖。這類方法使用模型檢測器或 邏輯編程系統(tǒng)檢測針對某一攻擊目標(biāo)的攻擊路徑。第二類方法采用基于圖論的思想生成攻 擊圖。A_ann等人從網(wǎng)絡(luò)初始狀態(tài)開始，正向搜索所有能夠到達攻擊目標(biāo)的路徑，然后從 攻擊目標(biāo)開始反向輸出攻擊路徑。張濤和孫亮通過搜索攻擊者在當(dāng)前網(wǎng)絡(luò)狀態(tài)下可以利用 的主機弱點來獲得網(wǎng)絡(luò)狀態(tài)間的依賴關(guān)系，如果到達目標(biāo)網(wǎng)絡(luò)狀態(tài)，則搜索過程停止，輸 出攻擊路徑。雖然研究人員提出了多種攻擊圖建模方法，但是這些方法都是面向單一目標(biāo) 的。另外，關(guān)于攻擊圖模型的分析方法，尤其是量化分析方法還較少，已有的攻擊圖分析 方法在計算目標(biāo)節(jié)點可達概率時只是簡單地求得攻擊路徑上各個弱點的攻擊復(fù)雜度乘積， 這類方法忽略了這樣一個事實：攻擊者作為智能主體，往往會優(yōu)先選擇復(fù)雜度低的弱點進 行攻擊，從而導(dǎo)致分析結(jié)果不夠準(zhǔn)確。為了解決上述問題，本節(jié)提出一種基于攻擊圖的網(wǎng) 絡(luò)脆弱性量化分析方法。首先對全局攻擊圖模型進行了扼要介紹，然后用轉(zhuǎn)移概率對攻擊 者的行為特征進行描述，給出了一種新的攻擊目標(biāo)可達概率的計算方法。最后，用實例闡 明了該方法在網(wǎng)絡(luò)脆弱性分析中的應(yīng)用，并通過與傳統(tǒng)的分析方法的比較和分析，驗證了 該分析方法的正確性和有效性。
[0003] 為了解現(xiàn)有技術(shù)的發(fā)展?fàn)顩r，對已有的論文和專利進行了檢索、比較和分析，篩選 出如下與本發(fā)明相關(guān)度比較1?的技術(shù)信息：
[0004] 技術(shù)方案1 :專利號為CN102638458A的《識別脆弱性利用安全威脅并確定相關(guān)攻 擊路徑的方法》專利，涉及網(wǎng)絡(luò)信息安全【技術(shù)領(lǐng)域】，具體涉及一種識別脆弱性利用安全威 脅并確定相關(guān)攻擊路徑的方法，主要通過三步完成：第一，根據(jù)業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)配置和脆弱 性信息得到因果關(guān)系攻擊圖，將所述因果關(guān)系攻擊圖轉(zhuǎn)換為基于顏色Petri網(wǎng)的網(wǎng)絡(luò)攻擊 圖；
[0005] 第二，依據(jù)預(yù)先定義的業(yè)務(wù)系統(tǒng)安全目標(biāo)識別出業(yè)務(wù)系統(tǒng)中各種脆弱性利用安全 威脅目標(biāo)；第三，將所述基于顏色Petri網(wǎng)的網(wǎng)絡(luò)攻擊圖分解為子攻擊圖，得到所述各種脆 弱性利用安全威脅目標(biāo)的攻擊路徑。
[0006] 技術(shù)方案2 :專利號為CN101162993B的《一種網(wǎng)絡(luò)風(fēng)險分析方法》專利，涉及一種 網(wǎng)絡(luò)安全評估技術(shù)，特別是一種針對網(wǎng)絡(luò)風(fēng)險的量化評估技術(shù)，主要通過五步完成：第一， 收集當(dāng)前網(wǎng)絡(luò)的拓撲、弱點、服務(wù)信息，構(gòu)造網(wǎng)絡(luò)攻擊圖；第二，根據(jù)網(wǎng)絡(luò)攻擊圖，計算各個 弱點被攻擊者成功利用的概率；第三，將各弱點被成功利用的概率與這些弱點對主機服務(wù)、 數(shù)據(jù)的影響結(jié)合，計算各弱點對主機可用性、保密性和完整性的風(fēng)險；第四，考慮各主機的 安全需求，計算各主機的綜合風(fēng)險；第五，根據(jù)各主機的綜合風(fēng)險，計算網(wǎng)絡(luò)綜合風(fēng)險。
[0007] 技術(shù)方案3 :專利號為CN101222317A的《一種深度優(yōu)先的攻擊圖生成方法》專利， 涉及一種網(wǎng)絡(luò)安全保護方法，主要通過五步完成：第一，收集當(dāng)前網(wǎng)絡(luò)的全部安全要素，構(gòu) 成初始網(wǎng)絡(luò)狀態(tài)；第二，使用Prolog系統(tǒng)搜索攻擊者在到達目標(biāo)狀態(tài)前所有可能經(jīng)過的網(wǎng) 絡(luò)狀態(tài)；第三，根據(jù)搜索到的網(wǎng)絡(luò)狀態(tài)間的依賴關(guān)系，構(gòu)造攻擊路徑；第四，在構(gòu)造攻擊路 徑時，通過判斷到達目標(biāo)節(jié)點的可能性和攻擊步驟數(shù)來降低攻擊圖的規(guī)模；第五，將構(gòu)造的 攻擊路徑組合成網(wǎng)絡(luò)攻擊圖。
[0008] 技術(shù)方案1所述方法將傳統(tǒng)的因果關(guān)系攻擊圖轉(zhuǎn)換為基于顏色Petri網(wǎng)的網(wǎng)絡(luò)攻 擊圖。網(wǎng)絡(luò)攻擊圖中的各原子攻擊可以獨立執(zhí)行，且每個原子攻擊的成功實施都可能改變 整個網(wǎng)絡(luò)系統(tǒng)狀態(tài)。因此，比較適合利用顏色Petri網(wǎng)來對網(wǎng)絡(luò)攻擊圖進行描述和分析。該 發(fā)明所述方法基于系統(tǒng)安全目標(biāo)識別業(yè)務(wù)系統(tǒng)中所有的安全威脅目標(biāo)，并采用顏色Petri 網(wǎng)仿真實現(xiàn)網(wǎng)絡(luò)攻擊圖的分解，可一次性得到所有安全威脅目標(biāo)的子攻擊圖，即攻擊路徑， 效率非常高。但其算法復(fù)雜，帶來大量的資源開銷。
[0009] 技術(shù)方案2由Nessus和OVALScanner掃描器收集當(dāng)前網(wǎng)絡(luò)的拓撲、弱點、服務(wù)信 息，并用基于圖論的方法生成網(wǎng)絡(luò)攻擊圖；根據(jù)網(wǎng)絡(luò)攻擊圖，采取廣度優(yōu)先的方法計算網(wǎng)絡(luò) 攻擊圖中各狀態(tài)結(jié)點的可達概率，將各狀態(tài)結(jié)點與弱點對應(yīng)起來，計算弱點的被成功利用 的概率；在給出各弱點對服務(wù)及數(shù)據(jù)的影響的量化標(biāo)準(zhǔn)的前提下，結(jié)合弱點被成功利用的 概率，計算各弱點給主機服務(wù)、數(shù)據(jù)帶來的風(fēng)險，最后，求得主機可用性、保密性和完整性的 風(fēng)險；根據(jù)主機的對可用性、保密性和完整性的需求，賦給三種安全需求重要度權(quán)值，然后 根據(jù)權(quán)值，計算主機保密性、完整性和可用性的風(fēng)險；對各主機的風(fēng)險值進行累加，求得網(wǎng) 絡(luò)的綜合風(fēng)險。該技術(shù)方案僅提到用圖論的方法生成網(wǎng)絡(luò)攻擊圖，后續(xù)是在網(wǎng)絡(luò)攻擊圖的 基礎(chǔ)上關(guān)于網(wǎng)絡(luò)綜合風(fēng)險的計算方法，并沒有具體說明如何生成網(wǎng)絡(luò)攻擊圖。
[0010] 技術(shù)方案3深度優(yōu)先的攻擊圖生成方法，在用Prolog系統(tǒng)找到全部網(wǎng)絡(luò)狀態(tài)節(jié)點 的依賴關(guān)系后，以深度優(yōu)先的原則，構(gòu)造攻擊路徑；在構(gòu)造攻擊路徑時，判斷目標(biāo)節(jié)點可達 概率和攻擊路徑的長度；當(dāng)目標(biāo)節(jié)點可達概率小于給定的閾值時，刪除該路徑；當(dāng)攻擊路 徑大于給定閾值且仍未到達目標(biāo)節(jié)點，刪除路徑。該技術(shù)方案考慮了目標(biāo)節(jié)點可達概率這 一因素，但所構(gòu)成的攻擊圖僅針對單一目標(biāo)節(jié)點，不具備全局的特征。


【發(fā)明內(nèi)容】

[0011] 本發(fā)明的目的在于生成全局攻擊圖模型，使得管理員可以從全局的角度分析網(wǎng)絡(luò) 的脆弱性，了解網(wǎng)絡(luò)的整體安全狀況，分析結(jié)果更加客觀。
[0012] 傳統(tǒng)的攻擊圖分析方法在計算目標(biāo)狀態(tài)和攻擊目標(biāo)的可達概率時，忽略了攻擊者 作為智能主體往往會優(yōu)先選擇復(fù)雜度低的弱點進行攻擊這樣一個事實，導(dǎo)致分析結(jié)果不夠 客觀。為此，本發(fā)明將轉(zhuǎn)移概率引入對攻擊目標(biāo)可達性的分析中。
[0013] 傳統(tǒng)攻擊圖模型中只包含一種目標(biāo)狀態(tài)，然而在現(xiàn)實中，網(wǎng)絡(luò)管理員不僅需要知 道攻擊者可能從哪些路徑入侵網(wǎng)絡(luò)中的一臺主機，還應(yīng)該了解攻擊者能夠攻擊網(wǎng)絡(luò)內(nèi)的 哪些主機。這就要求攻擊圖模型中必須包含攻擊者所能到達的全部網(wǎng)絡(luò)狀態(tài)。為此，在前 期工作中提出了一種全局攻擊圖生成方法，利用這種方法能夠獲得包含全部目標(biāo)狀態(tài)的 攻擊圖。
[0014] 一種基于全局攻擊圖的攻擊目標(biāo)可達性的計算方法，本發(fā)明特征在于，包括以下 步驟：
[0015] 一、生成網(wǎng)絡(luò)全局攻擊圖，該攻擊圖包含網(wǎng)絡(luò)全部目標(biāo)狀態(tài)，包括如下步驟：
[0016] 1)收集網(wǎng)絡(luò)弱點、服務(wù)、拓撲信息；
[0017] 2)將收集到的信息作為網(wǎng)絡(luò)安全要素構(gòu)成初始網(wǎng)絡(luò)安全狀態(tài)，加入狀態(tài)隊列；
[0018] 3)根據(jù)網(wǎng)絡(luò)弱點信息和弱點利用規(guī)則，構(gòu)造攻擊節(jié)點隊列；
[0019] 4)對于狀態(tài)隊列中的每個狀態(tài)，遍歷一次攻擊節(jié)點隊列，將生成的新狀態(tài)加入隊 列中；
[0020] 5)根據(jù)網(wǎng)絡(luò)狀態(tài)間的關(guān)聯(lián)關(guān)系構(gòu)建網(wǎng)絡(luò)攻擊圖；
[0021] 二、假設(shè)攻擊者作為智能主體對網(wǎng)絡(luò)弱點有著深刻的理解，總是依據(jù)各個弱點的 攻擊復(fù)雜度選擇下一步攻擊目標(biāo)進而來計算攻擊目標(biāo)的可達概率；
[0022] 子目標(biāo)選擇概率：對于攻擊圖中的任意一種狀態(tài)si,其對應(yīng)的弱點的攻擊復(fù)雜度 為aci ;設(shè)攻擊者到達狀態(tài)si后，可以選擇攻擊的子目標(biāo)狀態(tài)集合為SUB_S，則根據(jù)假設(shè)2， 攻擊者選擇狀態(tài)sj G SUB_S作為下一步攻擊目標(biāo)的可能性A u由公式（1)計算得到；

【權(quán)利要求】
1. 一種基于全局攻擊圖的攻擊目標(biāo)可達性的計算方法，其特征在于，包括以下步驟： 一、 生成網(wǎng)絡(luò)全局攻擊圖，該攻擊圖包含網(wǎng)絡(luò)全部目標(biāo)狀態(tài)，包括如下步驟： 1) 收集網(wǎng)絡(luò)弱點、服務(wù)、拓撲信息； 2) 將收集到的信息作為網(wǎng)絡(luò)安全要素構(gòu)成初始網(wǎng)絡(luò)安全狀態(tài)，加入狀態(tài)隊列； 3) 根據(jù)網(wǎng)絡(luò)弱點信息和弱點利用規(guī)則，構(gòu)造攻擊節(jié)點隊列； 4) 對于狀態(tài)隊列中的每個狀態(tài)，遍歷一次攻擊節(jié)點隊列，將生成的新狀態(tài)加入隊列 中； 5) 根據(jù)網(wǎng)絡(luò)狀態(tài)間的關(guān)聯(lián)關(guān)系構(gòu)建網(wǎng)絡(luò)攻擊圖； 二、 假設(shè)攻擊者作為智能主體對網(wǎng)絡(luò)弱點有著深刻的理解，總是依據(jù)各個弱點的攻擊 復(fù)雜度選擇下一步攻擊目標(biāo)進而來計算攻擊目標(biāo)的可達概率； 子目標(biāo)選擇概率：對于攻擊圖中的任意一種狀態(tài)si,其對應(yīng)的弱點的攻擊復(fù)雜度為 aci ;設(shè)攻擊者到達狀態(tài)si后，可以選擇攻擊的子目標(biāo)狀態(tài)集合為SUB_S，則根據(jù)假設(shè)2,攻 擊者選擇狀態(tài)sj e 3耶_5作為下一步攻擊目標(biāo)的可能性λ u由公式（1)計算得到；
攻擊路徑選擇概率：設(shè)攻擊圖中能夠到達某一目標(biāo)狀態(tài)的攻擊路徑集合L = (11， 12，···，ln)，對于L中的任意一條攻擊路徑Ii= (sO，sl，···，sn)，攻擊者選擇該條路徑進 行攻擊的可能性ci由公式（2)計算得到；
攻擊路徑成功概率：設(shè)攻擊圖中能夠到達某一目標(biāo)狀態(tài)的攻擊路徑集合L= (11， 12，···，ln)，對于L中的任意一條攻擊路徑Ii= (sO，sl, --?,sn)，攻擊者利用該條路徑成 功到達目標(biāo)狀態(tài)的概率Pi由公式（3)計算得到；
目標(biāo)狀態(tài)可達概率：設(shè)攻擊圖中能夠到達某一目標(biāo)狀態(tài)sgoal的攻擊路徑集合L = (11，12,…，ln)，則攻擊者能夠到達目標(biāo)狀態(tài)的概率Psgoal由公式（4)得到；
攻擊目標(biāo)可達概率：設(shè)攻擊圖中某一攻擊目標(biāo)所包含的目標(biāo)狀態(tài)集合為S_G0AL = {sl，…，sn}，則攻擊者對該攻擊目標(biāo)發(fā)動攻擊的成功概率Pgoal由公式（5)得到；
【文檔編號】H04L29/06GK104394177SQ201410782322
【公開日】2015年3月4日 申請日期:2014年12月16日 優(yōu)先權(quán)日:2014年12月16日
【發(fā)明者】劉宇明, 田豐, 劉彤, 何林宏, 李輝, 蘇進, 李曉耕, 李朝廣, 韓熙媛, 程濤, 陳龍, 陳文
申請人:云南電力調(diào)度控制中心