基于多阶段Markov信号博弈的移动目标防御最优决策方法

随着移动目标防御技术研究的不断深入,移动目标防御策略选取问题成为当前研究的热点问题之一,本文提出一种基于多阶段Markov信号博弈模型的移动目标防御最优策略选取方法.首先,结合攻防实际,提出实施攻击所需构建的攻击链模型.其次,在考虑状态随机跳变的基础上,将多阶段信号博弈模型与Markov决策过程相结合,构建基于多阶段Markov信号博弈的移动目标防御模型.同时,引入Logistic映射刻画攻防博弈系统中可能造成概率更新过程失真的随机干扰因素.在形式化建模的基础上,设计折扣收益目标函数,并提出均衡求解算法,给出最优防御策略选取算法.最后,通过仿真实验验证模型和方法的有效性.     

面向Cyber空间的任务建模方法

针对目前Cyber空间中任务与实体资源之间的关系难以刻画、任务执行过程中包含的逻辑关系难以描述的问题,提出一种面向Cyber空间的任务建模方法。首先,采用分层方法和图理论建立Cyber空间模型,描述Cyber空间结构和不同层次的实体资源及其交互关系。然后,定义Cyber空间任务及其作业组成,分析Cyber任务受到的实体约束、关系约束和完整性约束。最后,给出组成任务的作业之间存在的逻辑关系,用形式化的方法对Cyber任务执行关系进行描述。通过建立面向Cyber空间的典型军事任务模型,表明该方法能够完整描述任务执行过程中的逻辑关系,从而验证了该建模方法对Cyber任务描述的有效性。     

代理重签名研究进展

综述了代理重签名理论及其发展状况、应用背景、一般模型和安全性定义; 通过对现有经典代理重签名方案的系统研究, 详细分析比较了其性能特性、执行效率和安全性。提出了代理重签名方案在数据安全交换中的应用, 解决了现有电子政务中数据交换存在的效率低、密钥管理复杂、交换服务器权限过大等问题。最后概括了所取得的研究成果, 并讨论了目前研究中所遇到的关键问题。     

基于脆弱性变换的网络动态防御有效性分析方法

有效性分析对合理制订最优网络动态防御策略至关重要.首先利用随机抽样模型从脆弱性变换角度给出入侵成功概率计算公式,用于刻画变换空间、变换周期及脆弱性数量对网络入侵过程的影响;然后针对单、多脆弱性变换两种情况,分别给出相应的入侵成功概率极限定理并予以证明,同时给出两种情况下的最优变换空间计算方法;仿真结果表明,增大单条入侵路径上依次攻击的脆弱性数量、减小变换周期可持续提高网络动态防御有效性,而增大变换空间初始可以提升网络动态防御有效性,但是由于入侵成功概率会随变换空间的持续增大而逐渐收敛,在入侵成功概率收敛时,有效性无法持续提高.     

一种多级跨域访问控制管理模型

访问控制管理为维护访问控制策略的安全、一致提供了重要保障。针对现有访问控制管理模型存在指派关系复杂、扩展性差、缺乏对跨域访问管理有效支撑的问题,结合多级跨域系统特性和访问控制管理的细粒度要求,文章提出了多级跨域访问控制管理模型,给出了模型的基本元素、元素关系、约束条件和管理规则。与现有研究相比,该模型具有良好的可扩展性,支持细粒度的管理操作,能够有效支撑多级跨域环境下安全、统一的访问控制管理。     

基于启发式调度的OpenFlow网络规则一致更新方案

针对OpenFlow网络在状态转换过程中会暂时性出现转发回路、路由黑洞和违反访问控制策略等问题,提出了一种基于启发式调度的规则一致更新方案.首先,设计基于谓词的更新分解算法,利用并行网络属性验证技术得到子更新依赖图;其次,采用任务图生成算法对子更新依赖图进行分割,降低更新调度的复杂度;之后,设计启发式更新调度算法,采用规则增删操作交替执行策略,减少交换机的规则存储开销,并通过建立更新实施和监听并发执行机制,提升更新效率.仿真实验从更新时间开销和更新过程中交换机规则存储开销两方面验证了方案的有效性.     

面向SDN数据层的双虚假IP地址动态跳变技术

嗅探攻击是一种常见且隐蔽性很强的网络攻击方式,这种攻击方式对通信数据的机密性造成了严重威胁,然而传统的防御手段受制于网络攻防对抗的严重不对称性,难以有效应对这种威胁。文章提出了一种面向SDN数据层的双虚假IP地址动态跳变技术,首先利用双虚假IP地址破坏通信数据在空间维度上的关联性,然后通过周期性IP地址跳变破坏通信数据在时间维度上的关联性,从而提高嗅探攻击者重组通信数据的难度以及成本。抗攻击有效性分析以及仿真实验表明,文章所提技术在提高抗嗅探攻击能力的同时,能保证较低的CPU消耗和通信时延。     

基于IBAS的SAML路径验证协议

在Web服务认证调用过程中,现有基于公钥基础设施(PKI)的签名机制在保证安全声明标记语言(SAML)断言的安全传递时会显著降低SOAP消息的传输效率。为此,提出基于身份聚合签名的SAML路径验证协议IBSPV,通过缩短签名值和验证公钥的长度,加快 SOAP消息的传输速度。在随机预言模型下分析证明IBSPV具有保证SAML断言的完整性、源不可伪造性以及传递路径不可篡改和抗 重放攻击等安全特性。通过比较IBSPV签名与PKI签名的断言长度,证明IBSPV协议具有更高的传输效率。     

组合Web服务访问控制策略合成研究

针对Web服务多域环境下组合服务的访问控制策略合成问题,首先提出基于属性的Web服务访问控制策略描述框架,并结合原子属性值限制的属性描述方法,对服务访问控制策略进行了形式化表达。然后,通过分析服务组合描述文档中的控制结构,并研究访问控制策略合成算子和访问控制策略规则的合成运算,提出组合Web服务访问控制策略合成方法,实现了组合服务访问控制策略的合成。最后,结合实例给出组合Web服务的访问控制策略合成流程,验证了合成方法的实用性。     

互联网自治系统的前缀信誉模型

BGP面临的前缀劫持攻击会严重破坏互联网网络的可靠性。引入信任技术,构建自治系统的前缀信誉模型(Autonomous System Prefix Reputation Model,简写为"AS-PRM")来评估自治系统发起真实前缀可达路由通告行为的信任度。从而,自治系统可选择相对前缀信誉好的自治系统发起的前缀可达路由通告,来抑制前缀劫持攻击的发生。AS-PRM模型根据多个前缀劫持攻击检测系统的检测结果(考虑了误报、漏报率),基于beta信誉系统,计算自治系统的前缀信誉,并遵循"慢升快降"原则,更新前缀信誉。最后,仿真实验验证了模型的有效性。