大規(guī)模網(wǎng)絡安全態(tài)勢評估與防衛(wèi)技術(shù)研究.pdf

1、隨著網(wǎng)絡應用普及和復雜程度增加，傳播速度快、危害面廣、自動化程度高的新型攻擊手段層出不窮，網(wǎng)絡安全威脅日益嚴重。傳統(tǒng)的被動式防衛(wèi)技術(shù)在攻擊發(fā)生后實施單點防衛(wèi)，安全響應滯后，無法有效應對協(xié)同攻擊，且容易出現(xiàn)單點防衛(wèi)失效的問題。為了最大程度地保障網(wǎng)絡安全，需要建立主動式防御體系，通過評估網(wǎng)絡安全態(tài)勢來掌握當前安全狀況、威脅演變規(guī)律和未來發(fā)展趨勢，達到及時遏制攻擊甚至未雨綢繆的目的。本文以國防“十一五”預研項目“面向海上信息對抗的網(wǎng)絡安全預警

2、與防衛(wèi)系統(tǒng)”為背景，結(jié)合網(wǎng)絡安全的時空特點，沿“過去報警、現(xiàn)在狀況、未來趨勢”時間主線和“服務、主機、子網(wǎng)、全網(wǎng)”層次結(jié)構(gòu)，深入研究了態(tài)勢評估和高層次安全防衛(wèi)等相關(guān)技術(shù)，主要工作如下：
　　 (1)建立一種面向復合攻擊的分層時空報警關(guān)聯(lián)模型。IDS(Intrusion Detection System)通常產(chǎn)生大量低層次的報警，造成關(guān)聯(lián)時間長且關(guān)聯(lián)結(jié)果難以理解。該模型的主要特點是，在服務層根據(jù)目的IP聚類報警、逐類因果關(guān)聯(lián)，重構(gòu)

3、發(fā)生在單臺主機上的攻擊路徑，然后基于服務層關(guān)聯(lián)結(jié)果，連接同一條報警的源IP與目的IP，從空間上重構(gòu)發(fā)生在不同主機之間的攻擊路徑。與因果關(guān)聯(lián)算法相比，分層時空報警關(guān)聯(lián)算法具有較優(yōu)的時間復雜度?；贒ARPA2000數(shù)據(jù)集的實驗表明，該模型能夠準確地重構(gòu)出攻擊場景，且雙層關(guān)聯(lián)結(jié)果易于識別攻擊模式和關(guān)鍵的攻擊步驟。
　　 (2)建立一種用于評估機密性、完整性和可用性的層次化網(wǎng)絡安全威脅態(tài)勢量化評估模型。該模型包括一套分為服務、主機、子

4、網(wǎng)和全網(wǎng)四層的安全威脅態(tài)勢指標和各項指標的量化計算方法。其量化計算的要點是，基于DREAD(Damage potential&Reproducibility&Exploitability&Affected users&Discoverability)模型評估單次報警得到服務層態(tài)勢，基于Markov模型沿攻擊路徑累加服務層態(tài)勢得到主機層機密完整性態(tài)勢，基于D-S證據(jù)理論融合帶寬耗用和響應時延得到主機層可用性態(tài)勢，子網(wǎng)、全網(wǎng)層態(tài)勢分別等于其

5、下一層態(tài)勢的加權(quán)和。在真實的網(wǎng)絡中模擬攻擊驗證了該模型的可行性。
　　 (3)建立一種網(wǎng)絡蠕蟲傳播方向預測模型?，F(xiàn)有的蠕蟲傳播模型描述網(wǎng)絡中已感染主機總數(shù)隨時間變化的情況，刻畫了蠕蟲傳播的快慢，但無法描述其傳播方向，不能目標明確地指導安全防衛(wèi)。本模型把網(wǎng)絡劃分成若干個區(qū)域，基于蠕蟲傳播特征、數(shù)據(jù)包通過率與帶寬耗用之間的關(guān)系，設計了單個區(qū)域被傳染時間和單個區(qū)域被感染概率兩項預警指標，通過模糊推理得到區(qū)域警報等級，等級高的區(qū)域是蠕蟲

6、即將感染的范圍。仿真實驗表明，該模型能夠較準確地預測出蠕蟲的傳播方向，而且蠕蟲傳播越慢，有效預測時間越充裕。
　　 (4)提出一種分布式多級委托防衛(wèi)方法。把訪問控制領(lǐng)域的委托機制引入分布式安全防衛(wèi)系統(tǒng)，采用多步縱向委托方式處理單點防衛(wèi)失效問題，采用橫向委托方式實現(xiàn)協(xié)同響應。其中，采用簽密算法保證委托消息的機密性和可信性，基于XACML（eXtensible Access Control Markup Language）框架結(jié)構(gòu)評