基于概率攻击图的内部攻击意图推断算法研究_陈小军

第３７卷　第１期１４年１月２０

计　　算　　机　　学　　报

ＮＥＳＥＪＯＵＲＮＡＬＯＦＣＯＭＰＵＴＥＲＳＣＨＩ　　　

．３７Ｎｏ．１Ｖｏｌ

Ｊａｎ．２０１４

基于概率攻击图的内部攻击意图推断算法研究

陈小军

，，１）２）３）

　方滨兴

，１）２）

　谭庆丰

，２）３）

　张浩亮

２）

１）（中国科学院计算技术研究所

）００１９０　北京　１

２）（中国科学院信息工程研究所信息内容安全技术国家工程实验室

）０９３００　北京　１

３）（）中国科学院大学信息科学与工程学院　北京　１０００４９

摘　要　内部攻击行为具有明显的多步骤性和伪装性．这些特性增加内部攻击检测的难度，影响检测结果的准确使性．攻击图模型能够描述攻击行为的多个攻击步骤之间的因果关系，但由于单步攻击检测结果存在的不确定性，得攻击图模型无法准确地推断攻击者的意图．该文在攻击图模型中引入转移概率表，刻画单步攻击检测结果的不确定性，即从观测事件推导出某步攻击发生的概率，提出了一个面向内部攻击意图推断的概率攻击图模型．基于该模型，提出了一种推断内部攻击意图的算法以及针对攻击目标的最大概率攻击路径的计算方法．实验结果表明该文的工作能够有效地推断攻击意图和计算攻击路径，减少不可信报警数量，为网络安全管理员提供良好的可配置性．关键词　内部攻击；概率攻击图；行为分析；意图推断；网络行为／中图法分类号ＴＰ３９３　　　ＤＯＩ号１０．３７２４ＳＰ．Ｊ．１０１６．２０１４．０００６２

ＩｅｒｒｉｎＡｔｔａｃｋＩｎｔｅｎｔｏｆＭａｌｉｃｉｏｕｓＩｎｓｉｄｅｒＢａｓｅｄｏｎｎｆ　　　　　　ｇ　ＰｒｏｂａｂｉｌｉｓｔｉｃＡｔｔａｃｋＧｒａｈＭｏｄｅｌ　　　ｐ

１

ＣＨＥＪｕｎＮＸｉａｏ－　

１）（

），，２）３）

１

ｉｎＡＮＧＢｉｎ　Ｆ－Ｘ　ｇ

），２）

２

ＦｅｎＱｉｎ　ＴＡＮ　－ｇｇ

），３）

２

ＬｉａＨＡＮＧ　Ｈａｏｎ　Ｚ－ｇ

）

）ｔｉｔｕｔｅｔｉｎｈｎｏｌｏｎｅｓｅｄｅｍｅｎｃｅｓ，ｎ１９０ＩｎｓｏＣｏｍｕＴｅｃＣｈｉＡｃａｏＳｃｉＢｅｉｉ００　　ｇ　ｇｙ，ｙｇ　１ｆ　ｐｆ　ｊ　

２）（ｏＮａｔＥｎｉｎＬａｂＩｎｏｒＳｅｃＴｅｃｉｏｎａｌｅｅｒｉｎｏｒａｔｏｒｍａｔｉｏｎｕｒｉｔｈｎｏｌｏｉｅｓ，ｒ　　　ｆｇｆｇ　ｙ　ｙ　ｇ

）ＩｏＩＥＣＡｏＳＢｔｉｔｕｔｅｍａｔｉｏｎ　ｅｅｒｉｎｎｅｓｅｄｅｍｅｎｃｅｓ，ｎ０９３ｎｓｎｏｒｎｉｎｈｉｃａｃｉｅｉｉ００　　ｆｆ　ｇ，ｙｇ　１ｆｇｊ　　

３））（ｏｏｌｍａｔｉｏｎｅｎｃｅｅｅｒｉｎｖｅｒｓｉｔｎｅｓｅｄｅｍｅｎｃｅｓ，ｎ０４９ＳｃｈｏＩｎｏｒＳｃｉａｎｄ　ＥｎｉｎＵｎｉｏＣｈｉＡｃａｏＳｃｉＢｅｉｉ００　　　　ｇ，ｙｙｇ　１ｆｆｇｆ　ｆ　ｊ　　　

Ａｂｓｔｒａｃｔｔｔａｃｋｓｆｒｏｍ　ｍａｌｉｃｉｏｕｓｉｎｓｉｄｅｒｓｕｓｕａｌｌｃｏｎｓｉｓｔｏｆｍｕｌｔｉｌｅａｔｔａｃｋｉｎｓｔｅｓａｎｄｄｉｓｕｉｓｅ　Ａ　　　　　　　　ｙｐｇｐｇ　　

，ｔｈｅｍｓｅｌｖｅｓａｓｎｏｒｍａｌｂｅｈａｖｉｏｒｓｗｈｉｃｈｉｎｃｒｅａｓｅｔｈｅｄｉｆｆｉｃｕｌｔｔｏｄｅｔｅｃｔｔｈｅｍａｎｄｄｅｃｒｅａｓｅｔｈｅａｃ－　　　　　　　　　　　　ｙ　ｃｕｒｒａｈｍｏｄｅｌｃａｎｄｅｓｃｒｉｂｅｔｈｅｃａｕｓａｌｒｅｌａｔｉｏｎｓｈｉｓａａｃｏｆｄｅｔｅｃｔｉｏｎｒｅｓｕｌｔｓ．Ａｌｔｈｏｕｈａｔｔａｃｋ－　　　　　　　　　　　ｇｐｐｙｇ　

，’，ｍｏｎｔｒｏｒｅｓｓｉｔｃａｎｎｏｔａｃｃｕｒａｔｅｌｉｎｆｅｒｔｈｅａｔｔａｃｋｅｒｓｉｎｔｅｎｔｂｅｃａｕｓｅｏｆｈｅｓｔｅｓｉｎｏｎｅａｔｔａｃｋ　　　　　　　　　　　ｇｐｇｙｐ　　ｔｈｅｕｎｃｅｒｔａｉｎｔｏｆｔｈｅｄｅｔｅｃｔｉｏｎｒｅｓｕｌｔｓｆｏｒｅａｃｈｓｔｅＴｈｉｓａｅｒｉｎｔｒｏｄｕｃｅｓａｔｒａｎｓｉｔｉｏｎｒｏｂａｂｉｌｉ－　　　　　　　　　　　　ｙｐ．ｐｐｐ　

，ｔｔａｂｎａｍｅｌｔｈｅｏｃｃｕｒｒｅｎｃｅｌｅｔｏｄｅｉｃｔｔｈｉｓｕｎｃｅｒｔａｉｎｔｒｏｂａｂｉｌｉｔｏｆｏｎｅａｔｔａｃｋｓｔｅｏｂｔａｉｎｅｄ　　　　　　　　　ｙｐｙｙｐｙｐ　　　　，ｆｒｏｍｏｂｓｅｒｖｅｄｅｖｅｎｔｓａｎｄｒｏｏｓｅａｒｏｂａｂｉｌｉｓｔｉｃａｔｔａｃｋｒａｈｍｏｄｅｌｆｏｒｉｎｆｅｒｒｉｎｔｈｅｉｎｔｅｎｔｓｏｆ　　　　　　　　　　　　ｐｐｐｇｐｇ　，ｗｉｎｓｉｄｅａｔｔａｃｋｓ．Ｂａｓｅｄｏｎｔｈｅｍｏｄｅｌｅｆｕｒｔｈｅｒｒｏｏｓｅａｎａｌｏｒｉｔｈｍｔｏｉｎｆｅｒｔｈｅｉｎｔｅｎｔｓｕｎｄｅｒ　　　　　　　　　　　　　ｐｐｇ，ｉｖｅｎｓｅｕｅｎｃｅｓｏｆｏｂｓｅｒｖｅｄｅｖｅｎｔｓａｎｄａｍｅｔｈｏｄｔｏｃａｌｃｕｌａｔｅｔｈｅａｔｔａｃｋａｔｈｗｉｔｈｔｈｅｈｉｈｅｓｔ　　　　　　　　　　　　　　ｇｑｐｇ

ｒｏｂａｂｉｌｉｔｆｏｒａｉｖｅｎａｔｔａｃｋｔａｒｅｔ．Ｅｘｅｒｉｍｅｎｔａｌｒｅｓｕｌｔｓｓｈｏｗｔｈａｔｏｕｒｗｏｒｋｃａｎｄｒａｍａｔｉｃａｌｌ　　　　　　　　　　　ｐｙｇｇｐｙ　

，，ｒｅｄｕｃｅｔｈｅｎｕｍｂｅｒｏｆａｌａｒｍｓｆｏｒｉｎｓｉｄｅａｔｔａｃｋｓｓｏａｓｔｏｅｆｆｅｃｔｉｖｅｌｉｎｆｅｒｉｎｔｅｎｔｓａｎｄｒｏｖｉｄｅｏｏｄ　　　　　　　　　　　　　ｙｐｇ　ｃｏｎｆｉｕｒａｂｉｌｉｔｆｏｒｔｈｅｎｅｔｗｏｒｋｓｅｃｕｒｉｔａｄｍｉｎｉｓｔｒａｔｏｒｓ．　　　ｇｙｙ　　

；；Ｋｅｗｏｒｄｓ　ｉｎｓｉｄｅｒａｔｔａｃｋ；ｐｒｏｂａｂｉｌｉｓｔｉｃａｔｔａｃｋｒａｈ；ｂｅｈａｖｉｏｒａｌａｎａｌｓｉｓｉｎｔｅｎｔｉｎｆｅｒｒｉｎ　　　　　ｇｐｙｇｙ

ｎｅｔｗｏｒｋｂｅｈａｖｉｏｒ　

；最终修改稿收到日期：本课题得到国家“八六三”收稿日期：高技术研究发展计划项目基金（及中０４１６２０１１２５．３１３２２ＡＡ０１３１０１）２０１０１－－－－）博士研究生，主要研究方国科学院战略性先导科技专项课题（资助．陈小军，男，中国计算机学会（会员，ＸＤＡ０６０３０２００９年生，１９７ＣＣＦ）：向为异常检测、数据泄露检测、内部攻击检测等．方滨兴，男，教授，博士生导师，中国工程院ａｉｌｃｈｅｎｘｉａｏｕｎｉｉｅ．ａｃ．ｃｎ．１０年生，Ｅ－ｍ９６＠ｊ博士研究生，院士，主要研究领域为计算机体系结构、信息安全和计算机网络测量．谭庆丰，男，主要研究方向为网络安全、隐１年生，１９８硕士，工程师，藏通道、蜜网．张浩亮，男，主要研究方向为数据泄露检测、网络安全态势感知等．１年生，１９８