基于BNAG模型的脆弱性评估算法

为准确评估计算机网络的脆弱性,结合贝叶斯网络与攻击图提出一种新的评估算法。构建攻击图模型RSAG,在消除攻击图中环路的基础上,将模型转换成贝叶斯网络攻击图模型BNAG,引入节点攻击难度和节点状态变迁度量指标计算节点可达概率。实例分析结果表明,该算法对网络脆弱性的评估结果真实有效,能够体现每个节点被攻击的差异性,并且对于混合结构攻击图的计算量较少,可准确凸显混乱关系下漏洞的危害程度。     

贝叶斯推理在攻击图节点置信度计算中的应用

网络攻击图是根据观测到的攻击证据推测网络安全状态的理想模板.现有的攻击图节点置信度计算方法或在模型通用性、计算复杂度方面存在一定不足,或又过多依靠经验公式进行推理而缺乏严密的数学理论支撑.为此,提出一种基于贝叶斯推理的攻击图节点置信度计算方法.方法对似然加权法进行了改进,以支持攻击证据之间的时间偏序关系.实验结果表明,该方法能够有效提高节点置信度的计算准确性,且具有线性计算复杂度,适合于处理大规模攻击图节点置信度的实时计算问题.     

面向大规模工控网络的关键路径分析方法

针对大规模工控网络攻击图的量化计算耗时高、消耗资源大的问题,提出了一种大规模工控网络的关键路径分析方法。首先利用割集思想结合工控网络中的原子攻击收益,计算贝叶斯攻击图关键节点集合,解决目前割集算法只考虑图结构中节点关键性的问题。其次,提出一种只更新关键节点攻击概率的贝叶斯攻击图动态更新策略,高效计算全图攻击概率,分析攻击图关键路径。实验结果表明,所提方法在大规模工控攻击图的计算中,不仅可以保证计算结果的可靠性,而且能够大幅度降低方法耗时,显著提升计算效率。     

基于强度系数的内部网络攻击图研究*

当前的网络攻击图大多是以攻击代价为主要指标,均是假定成本以及收益等各关键要素之间是相互独立的,而忽视了对这些关键要素之间的关联性进行定量分析。为了解决该问题,首先定义了一种基于状态转移的内部网络攻击模型;通过引入强度系数这一变量来定量分析攻击复杂度和被发现的风险值之间的关系;然后给出上述变量实现定量分析攻击复杂度和被发现风险值之间关系的具体实现方式;其次,从优化花费的计算着手,根据该变量进而得到改进后的攻击图生成算法。仿真实验结果表明,此攻击图算法更能反映现实攻击过程,能得到更加精简、直观的攻击图。     

一种基于攻击图的安全威胁识别和分析方法

业务系统安全管理需要网络攻击图来评估系统整体安全性或态势,同时又需要对那些可能严重危害系统安全的脆弱性利用威胁进行重点分析和优先处置.现有安全威胁识别和分析方法无法兼顾这两个方面,也无法处理脆弱性利用威胁分析过程中的不确定性问题.作者提出了一种安全威胁识别和分析方法.利用颜色Petri网(CPN)定义网络攻击图,并给出了网络攻击图生成NAGG算法,根据攻击模型分析结果生成网络攻击图;给出了基于CPN仿真的网络攻击图分解NAGD算法,可一次性分解出各脆弱性利用威胁对应的子攻击图,所述子攻击图不存在循环路径且最长攻击路径不超过预设值.并给出了一种脆弱性利用威胁度评估VETE算法,将子攻击图转换为不确定性推理规则集,采用D-S证据推理计算各子攻击图所对应安全威胁的威胁度,以确定安全威胁处置优先级.最后以一个典型Web应用系统为例,验证了所述安全威胁识别和分析方法的有效性.     

基于贝叶斯攻击图的动态网络安全分析

针对目前攻击图模型不能实时反映网络攻击事件的问题,提出了前向更新风险概率计算方法,以及前向、后向更新相结合的动态风险概率算法.所提算法能够即时、准确地动态评估和分析网络环境变化问题,对网络攻击事件进行动态实时分析.首先对图中各个节点的不确定性进行具体量化分析,在贝叶斯网络中计算它们的静态概率,之后根据实时发生的网络安全...     

基于贝叶斯攻击图的网络入侵意图识别方法

现有入侵意图识别方法对报警证据的有效性缺乏考虑,影响了入侵意图识别的准确性。为此提出基于贝叶斯攻击图的入侵意图识别方法。首先建立贝叶斯攻击图模型,然后通过定义报警的置信度及报警间的关联强度,去除低置信水平的孤立报警;根据提取到的有效报警证据进行贝叶斯后验推理,动态更新攻击图中各状态节点遭受攻击的概率,识别网络中已发生和潜在的攻击行为。实验结果表明,该方法能有效提取报警证据,提高网络入侵预测的准确性。     

网络攻击节点分布图构建方法的研究与仿真

研究快速构建网络攻击节点分布图的问题.针对网络攻击范围越来越大,攻击种类越来越复杂,在进行大范围攻击节点搜索的过程中,受到攻击种类和数量增大的影响,攻击源激发和原子筛选的时间复杂度越来越高.传统的网络攻击节点分布图构建模式,受到上述问题影响,构建分布图的时间复杂度极高,造成入侵检测结果不准确.为了提高检测准确率,提出了一种利用攻击原子约束分类的优化网络攻击图构建方法.利用攻击原子约束分类方法,获取网络中的攻击节点,从而为网络攻击图构建提供准确的数据基础.利用差分网络攻击原子定位方法,对攻击网络原子进行定位,获取准确的网络攻击路径,实现网络攻击图的快速构建,保证人侵检测的准确性.实验结果表明,利用改进算法进行网络攻击图构建,能够有效降低网络攻击节点分布图的时间复杂度.     

基于贝叶斯网络d-分隔定理的节点置信度计算方法

现有的贝叶斯网络节点置信度计算方法,存在着因条件概率的错误计算和节点的相关性导致的节点置信度错误计算问题。这些问题降低了节点置信度的准确性,影响了网络威胁传播路径预测的有效性。为此,提出基于贝叶斯网络d-分隔定理的节点置信度计算方法。首先,通过分析攻击成本和攻击行为发生的可能性之间的关系,提出攻击行为发生的条件概率计算方法,以解决条件概率的错误计算问题;其次,通过引入贝叶斯网络分隔定理,使存在关联性的节点在它们共有的d-分隔集合条件下相互独立,并提出节点置信度的计算方法,以有效地避免相关性导致的节点置信度错误计算;最后,实验结果表明,该方法有效地解决了节点置信度的错误计算问题,提高了节点置信度的准确性,实现了对网络威胁传播路径的有效预测。     

面向主体脆弱性的权限控制安全分析模型

在网络攻击过程中脆弱性存在于节点的部件主体上,针对该问题,将攻击描述细化到网络部件级,在原权限控制模型中增加对部件间权限、连接关系、属性的描述及脆弱性重写规则,构造NCVTG模型,提出复杂度为多项式时间的NCVTG模型图权限转移闭包生成算法用以评估网络的动态变化,给出当前脆弱性状态下的所有攻击路径。实验结果证明,该模型可对网络安全性进行综合分析,预测所有可能的攻击。     

基于高斯云贝叶斯网络的空战态势评估

对空战态势评估中需要考虑的因素进行了分析,建立了基于高斯云贝叶斯网络的空战态势评估模型,并利用高斯云贝叶斯网络的推理方法进行了仿真计算。仿真结果表明,该方法可以给出敌机的态势评估值以及以概率的方式给出敌机对我机的态势等级,为空战态势评估提供了新的思路。     

基于攻击图的网络脆弱性量化评估研究

目前,网络脆弱性量化评估面临的主要挑战之一是识别网络中存在的脆弱性和它们之间的相互关系以及由此产生的潜在威胁,本文提出了一种基于属性攻击图的网络脆弱性量化评估方法。首先对属性攻击图和有效攻击路径进行了形式化定义,在此基础上提出了采用"最大可达概率"指标来度量目标网络中关键属性集合的脆弱性,并设计了最大可达概率计算算法,该算法解决了属性攻击图的含圈路径问题;为解决实际评估中原始数据缺失的问题,提出了"可信度"的概念,它能有效反映缺失数据对评估结果的影响。     

基于贝叶斯攻击图的最优安全防护策略选择模型

目前基于攻击图的网络安全主动防御技术在计算最优防护策略时,很少考虑网络攻击中存在的不确定性因素。为此,提出一种基于贝叶斯攻击图的最优防护策略选择（Optimal Hardening Measures Selection based on Bayesian Attack Graphs,HMSBAG）模型。该模型通过漏洞利用成功概率和攻击成功概率描述攻击行为的不确定性;结合贝叶斯信念网络建立用于描述攻击行为中多步原子攻击间因果关系的概率攻击图,进而评估当前网络风险;构建防护成本和攻击收益的经济学指标及指标量化方法,运用成本-收益分析方法,提出了基于粒子群的最优安全防护策略选择算法。实验验证了该模型在防护策略决策方面的可行性和有效性,有效降低网络安全风险。     

基于动态贝叶斯网络的防空作战威胁估计

准确的对战场目标威胁等级进行评估,是战场辅助决策系统的重要环节。通过对威胁估计过程的理解,全面分析了影响威胁等级的评估参数,建立了威胁估计的贝叶斯网络模型,并采用动态贝叶斯网络推理方法进行威胁估计,使目标的各个特征因素以及不同时间片的同一特征因素相互修正,克服了由于专家系统的评估所造成的不确定性和主观性,最后进行了仿真。仿真结果表明,基于动态贝叶斯网络的威胁等级评估算法是一种有效的评估算法,其结果能够比较准确地反映威胁源的真实威胁程度。     

基于混合N-Gram模型和XGBoost算法的内部威胁检测方法

随着政府企事业单位网络安全机制的建立健全,单纯从外部进入目标系统的攻击门槛越来越高,导致内部威胁逐渐增多。内部威胁区别于外部威胁,攻击者主要来自于内部用户,使得攻击更具隐蔽性,更难被检测。本文提出一种基于混合N-Gram模型和XGBoost算法的内部威胁检测方法。采用词袋、N-Gram、词汇表3种特征提取方法进行实验比对及参数N值筛选,基于混合N-Gram模型和XGBoost算法的内部威胁检测方法检测效果比通过1维数据、2维数据、4维数据的不同特征进行组合的特征子集效果更优,特定度达到0.23,灵敏度达到27.65,准确度达到0.94,F1值达到0.97。对比特定度、灵敏度、准确度、F1值4项评价指标,基于混合N-gram特征提取方法比传统的词袋、词汇表特征提取方法在检测中更有效。此检测方法不仅提高了内部威胁检测特征码的区分度,同时提高了特征提取的准确性和计算性能。     

基于可能图的攻击意图检测方法

攻击图模型是网络风险评估的主要技术之一,其通过攻击步骤之间的因果关系来描述攻击者从初始状态到目标状态的攻击过程,分析的整个过程也是以某种形式化方式表述的图数据为基础的,但分析时很少考虑网络链路、网络拥塞、入侵报警等不确定性。结合不确定图的概念将攻击图扩展为可能攻击图(PAG),给出了可能攻击图的构建方法,同时基于可达概率提出了最大可达概率求解算法和最大攻击子图生成及最大可能攻击路径选取算法。实验结果表明,本文所提方法能够在可接受的时间内生成可能攻击图,并能够有效地推测出攻击意图,为作为网络管理员的管理方提供决策依据。     

APT-Dt-KC: advanced persistent threat detection based on kill-chain model

Advanced persistent threat attacks are considered as a serious risk to almost any infrastructure since attackers are constantly changing and evolving their advanced techniques and methods. It is difficult to use traditional defense for detecting the advanced persistent threat attacks and protect network information. The detection of advanced persistent threat attack is usually mixed with many other attacks. Therefore, it is necessary to have a solution that is safe from error and failure in detecting them. In this paper, an intelligent approach is proposed called “APT-Dt-KC” to analyze, identify, and prevent cyber-attacks using the cyber-kill chain model and matching its fuzzy characteristics with the advanced persistent threat attack. In APT-Dt-KC, Pearson correlation test is used to reduce the amount of processing data, and then, a hybrid intrusion detection method is proposed using Bayesian classification algorithm and fuzzy analytical hierarchy process. The experimental results show that APT-Dt-KC has a false positive rate and false negative rate 1.9% and 3.6% less than the existing approach, respectively. The accuracy and detection rate of APT-Dt-KC has reached 98% with an average improvement of 5% over the existing approach.

     

由Markov网到Bayesian网

Markov网（马尔可夫网）是类似于Bayesian网（贝叶斯网）的另一种进行不确定性揄的有力工具，Markov网是一个无向图，而Bayesian网是一个有向无环图，发现Markov网不需要发现边的方向，因此要比发现Bayesian网容易得多，提出了一种通过发现Markov网得到等价的Bayesian网的方法，首先利用信息论中验证信息独立的一个重要结论，提出了一个基于依赖分析的边删除算法发现Markov网，该算法需O（n^2)次CI（条件独立）测试，CI测试的时间复杂度取决于由样本数据得到的联合概率函数表的大小，经证明，假如由样本数据得到的联合概率函数严格为正，则该算法发现的Markov网一定是样本的最小L图，由发现Markov网，根据表示的联合概率函数相等，得到与其等价的Bayesian网。