基于APT潛伏攻擊的網絡可生存性模型與分析

姚 蘇,關建峰,潘 華,張宏科

(1.北京交通大學電子信息工程學院,北京 100044；2.中國航空綜合技術研究所,北京 100028;3.北京郵電大學,北京 100876)

?

基于APT潛伏攻擊的網絡可生存性模型與分析

姚 蘇1,2,關建峰3,潘 華2,張宏科1

(1.北京交通大學電子信息工程學院,北京 100044；2.中國航空綜合技術研究所,北京 100028;3.北京郵電大學,北京 100876)

基于傳統(tǒng)網絡攻擊模式和高級持續(xù)性威脅(Advanced Persistent Threat,簡稱APT)攻擊模式提出網絡可生存性的評估模型.建立網絡攻擊場景,仿真驗證提出的網絡可生存性模型,并比較兩種模式的性能.得到的結論：提出的評估模型合理刻畫了網絡可生存性的兩個重要參數(shù),網絡攻擊傳播速率和網絡修復速率；基于APT潛伏攻擊模式下的網絡可生存性性能低于傳統(tǒng)攻擊模式.

潛伏攻擊；網絡可生存性；評估模型；馬爾科夫鏈

1 引言

高級持續(xù)性威脅(Advanced Persistent Threat,簡稱APT)是目前計算機網絡安全界關注的最熱門話題之一[1].特別是2010年谷歌宣布遭受極光攻擊[2],伊朗核設施遭受震網(Stuxnet)病毒攻擊等一系列極具破壞性的事件[3],打破了人們對傳統(tǒng)網絡攻擊的認識,如震網病毒已經造成伊朗核電站推遲發(fā)電.從圖1所示的APT攻擊[4],可以看出,APT攻擊已經成為近年來網絡攻擊的主要手段之一.

“潛伏性和持續(xù)性”是APT攻擊最主要的特征[5].“潛伏性”表示APT攻擊并非進入用戶網絡中就立即發(fā)動攻擊,通常會有一個潛伏期,這個潛伏期可長可短.在潛伏期內,不斷收集各種信息,直到收集到重要情報,能徹底掌握所針對的目標人、事、物.因此,APT攻擊模式實質上是一種“惡意商業(yè)間諜威脅”.“持續(xù)性”體現(xiàn)在網絡攻擊者不斷嘗試各種攻擊手段,以及滲透到網絡內部后長期蟄伏,繼而不斷發(fā)動攻擊,從而達到破壞用戶網絡的目的[5].

目前,針對APT網絡攻擊的研究還處于初級階段,開展的研究主要在APT攻擊的案例分析[7]、特征值提取[8]、檢測機制[9]等方面,并沒有從網絡可生存性的角度分析.

網絡可生存性(Network Survivability)[10]泛指網絡在出現(xiàn)故障損壞、遭受攻擊或不可預知的事故時,仍然能夠及時完成關鍵任務(提供服務)的能力,它屬于網絡安全性和可靠性的一部分.目前,國內外對于網絡可生存性并未有統(tǒng)一的定義,不過得到廣泛共識的是美國國家標準學會(American National Standards Institute,簡稱ANSI) T1A1.2網絡可生存性標準委員會給出的定義[11],網絡可生存性包括兩個方面：(1)在網絡出現(xiàn)故障的情況下,通過各種恢復技術,來維持或恢復網絡服務使之達到可接受的狀態(tài)；(2)網絡通過應用預防技術,從故障節(jié)點中減輕或預防服務失效.可生存性通常用生存率來表示,即當某條鏈路或者節(jié)點出現(xiàn)故障時,可從其它鏈路上疏通的業(yè)務量與該鏈路所傳送的業(yè)務量之比.圖2給出的可生存性量化指標的說明[12].X軸表示時間,Y軸表示網絡的可生存性.該曲線刻畫了網絡遇到故障或者攻擊時,網絡可生存性度量值即阻塞概率隨著時間產生的變化.在故障或攻擊發(fā)生之前,阻塞概率為ma；故障或攻擊發(fā)生后,經過時間tr后,阻塞概率為mr；經過時間tR后,阻塞概率恢復到ma.

目前,針對網絡可生存性的研究主要集中在故障或者意外事故前提下開展的研究[13，14].如文獻[13] 提出了一種基于颶風災難條件下的網絡可生存性模型,采用連續(xù)時間馬爾科夫鏈的分析方法,詳細分析了災難傳播和恢復過程,并總結了三種不同的災難恢復機制.文獻[14]改進了文獻[13]提出的連續(xù)時間馬爾科夫鏈分析方法,并提出了一種基于地震災難條件下的網絡可生存性模型,并與實際情況比較,驗證了該模型的合理性.文獻[15]在注重提高網絡可生存性的同時,也兼顧服務可區(qū)分性的要求,提出了一種主動服務漂移的模型,增強了對不同網絡環(huán)境的可生存性適用性.文獻[16]針對大規(guī)模網絡場景下提出了一種提高網絡可生存性方法,文獻[17]給出了網絡可生存的評估體系.可以看出,針對網絡攻擊特別是新的網絡攻擊(諸如APT攻擊)的特點,而開展的網絡可生存性研究較少.本文結合APT攻擊的隱蔽性特點,即網絡中的節(jié)點被攻擊后有潛伏期特點,構建APT攻擊下的網絡可生存性模型,并對分析了其網絡可生存性性能.

本文第二節(jié)敘述APT攻擊下的網絡生存性模型；第三節(jié)簡要介紹在APT攻擊下使用該模型對網絡生存性分析；第四節(jié)驗證網絡可生存性模型的正確性,仿真APT攻擊下的網絡生存性指標并與傳統(tǒng)攻擊模式進行比較；第五節(jié)提出建議并進行總結.

2 模型建立

2.1 網絡可生存性模型

由于攻擊是包含時間序列的單個事件,為了評估和分析網絡遭受攻擊時的可生存性,本文研究定量評估模型,給出一種網絡可生存性模型.

假設該攻擊初始于接入網的某個子網,之后攻擊傳播到下一個子網,之后依次傳播.這種傳播可以稱作攻擊傳播,它是一種級聯(lián)狀行為.不同于故障的傳播特點,網絡攻擊傳播可以發(fā)源于內部網絡,并且有多個狀態(tài).

此外,網絡可以被看作有一個包含節(jié)點和有向邊的有向圖.節(jié)點表示網絡中基礎設施(終端、路由設備等),有向邊表示信息傳播的方向.網絡系統(tǒng)的脆弱性表現(xiàn)為攻擊的初始狀態(tài)和傳播狀態(tài)都是基于某個隨機事件.因此,這種傳播過程可以被視為隨機過程.

假設網絡的節(jié)點數(shù)量為n,攻擊事件將有以下幾個步驟.不失一般性,網絡攻擊最初發(fā)生于節(jié)點1.接著,在一個隨機時間內,攻擊從被感染的節(jié)點傳播到下一個節(jié)點,節(jié)點間的攻擊傳播視為有向邊.這種傳播被視為“無記憶”性的,攻擊事件從一個節(jié)點傳播到另一個節(jié)點僅依賴于當前的系統(tǒng)狀態(tài),而與系統(tǒng)的歷史狀態(tài)無關.由于攻擊的傳播速度和方向是由外部攻擊源等條件決定的因此遭受攻擊的節(jié)點可以在一個隨機時間內被修復.假設攻擊的傳播速率和修復時間服從指數(shù)分布,本文的研究重點在網絡初始被攻擊,攻擊傳播直至網絡系統(tǒng)完全被修復的傳播時段,其過程符合連續(xù)時間的馬爾科夫隨機過程的約束條件.

假設在有限狀態(tài)空間S= {1,2…,n}中{X,t>0}表示網絡系統(tǒng)中的各個節(jié)點的狀態(tài).每一個接入網都有n個不同區(qū)域的子網組成.網絡攻擊在整個網絡中傳播.在任意時刻t,網絡系統(tǒng)的狀態(tài)可以由以下n維向量表示

X(t)=(X1(t),X2(t),…Xn(t)),t≥0

(1)

對于子網k∈{1,2,…,n},Xk(t)表示在時刻t子網k的狀態(tài).對于子網k,它有兩種狀態(tài),一種是遭受攻擊的狀態(tài)“0”,另一種是正常狀態(tài)“1”.當網絡攻擊未發(fā)生時,此時子網k狀態(tài)為正常狀態(tài)“1”；當子網k在時刻t遭受攻擊時,此時子網狀態(tài)由正常狀態(tài)“1”變?yōu)椤?”；經過時間t′,子網k由狀態(tài)“0”修復為“1”.

(2)

此外,每次只能對一個子網發(fā)動攻擊；在本文中,子網作為最小的網絡系統(tǒng)單位,只有當子網完全被攻擊后,子網才開始修復過程；攻擊和修復的傳播過程只取決于當前子網狀態(tài),而與到達當前狀態(tài)的路徑沒有關系.

根據(jù)上述假設,攻擊傳播過程中的子網狀態(tài)X(t)可以被看作為一個連續(xù)時間的馬爾科夫鏈,它的狀態(tài)空間為：

Ω={(X1,X2,…,Xn),X1,X2,…,Xn∈(0,1)}

(3)

狀態(tài)空間Ω總共包含N=2n個狀態(tài).子網狀態(tài)X(t)從(0,1,…,1)開始,結束于(1,1,…,1),這表明網絡中所有子網都依次遭受到攻擊,并且依次恢復到正常狀態(tài).

簡而言之,網絡可生存的模型可以歸納為以下幾點：

(1)在某時刻t,子網的狀態(tài)只有兩種狀態(tài){0,1}；

(2)在初始時刻t=0,第一個子網遭受攻擊,此時網絡的狀態(tài)為(0,1,…,1)；

(3)攻擊從子網k-1傳播到子網k服從泊松隨機過程,傳播的速率為λk；

(4)每個子網只有一次修復過程并且子網中的終端都可以同時被修復完成,子網k的平均修復速率服從指數(shù)分布值為μk.

根據(jù)上述的假設,在狀態(tài)空間S,子網的修復過程可以從數(shù)學上建模為時間上均勻分布的連續(xù)時間馬爾科夫鏈(Continuous-Time Markov Chain,CTMC).

對每個狀態(tài)而言,有t≥0和i∈S,我們定義t時刻處于狀態(tài)i的概率為：

πi(t)=Pr{X(t)=i}

(4)

假設X(t)的傳播概率的列向量為

π(t)=[π1(t),π2(t),…,πN(t)]

(5)

當系統(tǒng)處于狀態(tài)i∈S,ψi為系統(tǒng)的回報率.因此,根據(jù)連續(xù)時間馬爾科夫鏈的狀態(tài)空間,系統(tǒng)的回報率也可用列向量表示為：

ψ=[ψ1,ψ2,…,ψN]

(6)

根據(jù)上述模型,可以有多種測算方式來測算網絡的可生存性性能.由于無法在系統(tǒng)修復期間準確預估系統(tǒng)的狀態(tài),我們考慮從正常工作的網絡系統(tǒng)中獲取性能指標的預估值.在我們的模型中,系統(tǒng)的回報作為系統(tǒng)性能的重要指標.在時刻t網絡可生存性性能由系統(tǒng)瞬時的預估回報E[M(t)]表示：

(7)

假設系統(tǒng)是有序的,在狀態(tài)1,2,…,k(k

(8)

其中,pij表示狀態(tài)i轉移到狀態(tài)j的轉移概率.

根據(jù)狀態(tài)轉移矩陣P,連續(xù)時間馬爾科夫鏈的動態(tài)行為可以由柯式差分微分方程表示：

(9)

則狀態(tài)轉移概率矩陣π(t)為

(10)

2.2 APT潛伏攻擊模式的網絡可生存模型

APT潛伏攻擊模式,網絡攻擊并非一觸即發(fā)的,通常會潛伏在所攻擊的網絡系統(tǒng),并在某個時刻觸發(fā),方才發(fā)動攻擊,它的攻擊更具有隱蔽性并且破壞性更強.因此,不同于正常狀態(tài),對于子網k∈{1,2,…,n},Xk(t)表示在時刻t子網k的狀態(tài).此時,對于子網k,它有三種不同狀態(tài)：(1)健康狀態(tài)“1”；(2)遭受APT攻擊后的休眠狀態(tài)“0”；(3)遭受APT攻擊后的活躍狀態(tài)“0′”[18].

(11)

如圖3所示,當網絡攻擊未發(fā)生時,此時子網k狀態(tài)為健康狀態(tài)“1”；當子網k在某時刻t遭受攻擊時,此時子網狀態(tài)由健康狀態(tài)“1”進入休眠狀態(tài)“0”；再經過時間t′,子網k由休眠狀態(tài)“0”進入活躍狀態(tài)為“0′”；此時,子網探測到來自外部的APT攻擊,開始進行修復；經時間t″,子網k由活躍狀態(tài)修復為健康狀態(tài).

同樣,APT攻擊下的攻擊傳播過程中的子網狀態(tài)X(t)也可以被看作為一個連續(xù)時間的馬爾科夫鏈,它的狀態(tài)空間為：

Ω={(X1,X2,…,Xn),X1,X2,…,Xn∈(0,0′,1)}

(12)

狀態(tài)空間Ω總共包含N=3n個狀態(tài).子網狀態(tài)X(t)從(0,1,…,1)開始,結束于(1,1,…,1).攻擊從正常狀態(tài)子網k-1傳播到休眠狀態(tài)子網k服從泊松隨機過程,傳播的速率為λk；同樣,攻擊從休眠狀態(tài)子網k-1傳播到活躍狀態(tài)子網k服從泊松隨機過程,傳播的速率為λk′.

3 攻擊實例

本節(jié)基于上述模型,構建攻擊場景,分析和評估攻擊和修復狀態(tài)的傳播過程.

攻擊場景的示意圖如圖4所示.該網絡系統(tǒng)由核心網和接入子網組成.接入子網由接入路由器接入核心網中,為簡化分析和評估過程,假定只有兩個接入子網,每個子網中的終端數(shù)量分別為N1和N2.初始狀態(tài),假設接入子網1遭受攻擊,緊接著攻擊傳播至接入子網2.

3.1 傳統(tǒng)攻擊模式

在上述攻擊場景的傳統(tǒng)攻擊模式下,狀態(tài)空間S={S0,…,Sθ}(θ=22-1)有四種不同狀態(tài),其傳播狀態(tài)可以用(X1,X2)表示,其中子網狀態(tài)Xi∈{0,1}.可能存在的傳播狀態(tài)為：

S0= (11),S1= (10),S2= (01),S3= (00).

如圖5所示,假設接入子網1被攻擊,子網1所有的終端都將與接入路由器斷開連接.此時,接入子網空間的狀態(tài)為(01).在該狀態(tài),若接入子網2繼續(xù)被攻擊,且攻擊傳播速率為λ2,子網進入(00)狀態(tài)；若接入子網1被修復,且修復速率為μ1,子網恢復至健康狀態(tài)(11).同樣,如果初始時刻,子網2遭受攻擊,子網空間狀態(tài)則為(10)；在該狀態(tài),若子網1被攻擊,則進入(00)狀態(tài)；若子網2被修復,則進入健康狀態(tài)(11).

當子網狀態(tài)為(00),它只能進入修復過程；當修復速率為μ1,子網狀態(tài)恢復至(10)；當修復速率為μ2,子網狀態(tài)恢復至(01).

在時刻t的傳輸狀態(tài)概率為

π(t)=[π(0,1)(t)…π(X1,X2)(t)…π(1,1)(t)]

(13)

根據(jù)狀態(tài)轉移圖我們容易得到,傳統(tǒng)攻擊模式下的狀態(tài)轉移矩陣為：

(14)

(15)

3.2 APT攻擊模式

在APT攻擊模式下,子網空間狀態(tài)有正常、休眠和活躍三種.基于上述攻擊場景的連續(xù)馬爾科夫鏈的狀態(tài)轉移圖如圖6所示,該轉移圖有9個節(jié)點.因此,轉移矩陣為9*9向量空間,初始概率向量R=(1,0,0,0,0,0,0,0,0).

定義向量空間S={S0,…,Sθ}(θ=32-1),每個狀態(tài)空間可以由(X1,X2)表示,其中Xi∈{0,0′,1}.狀態(tài)空間的九個狀態(tài)分別為：

S0=(11)S1=(01)S2=(10)S3=(0′1)S4=(00),

接入子網初始處于正常狀態(tài)(11),當遭受APT攻擊后,攻擊源潛入子網中,此時,接入子網進入(10)或者(01)狀態(tài).以狀態(tài)(01)為例,在此狀態(tài),攻擊源可從子網1傳播至子網2,并在子網2中潛伏,此時子網狀態(tài)為(00),攻擊傳播速率為λ2；若攻擊源在(01)狀態(tài)被激活,此時對子網1發(fā)起APT攻擊,則子網狀態(tài)為(0’1),攻擊傳播速率為λ1′.

在狀態(tài)(00),兩個子網均被APT攻擊潛伏,在此狀態(tài)下,若攻擊傳播速率為λ1′,則表示子網1被攻擊,子網狀態(tài)進入(0′0)；若攻擊傳播速率為λ2′,則表示子網2被攻擊,子網狀態(tài)進入(00′).

在狀態(tài)(00′),若子網1被激活成活躍攻擊狀態(tài),則進入(0′0′)狀態(tài),攻擊傳播速率為λ1′；若子網2被修復,修復速率為μ2,則子網狀態(tài)進入(01).同樣,在狀態(tài)(0′0),子網狀態(tài)既可進入(0′0′),也可修復為(10).

在狀態(tài)(0′0′),子網只可進入修復過程.但其修復過程有兩種不同路徑,一種先修復完成子網1,經過修復速率μ1子網狀態(tài)進入(10′),最終到達完全正常狀態(tài)(11)；另一種是先修復完成子網2,經過修復速率μ2子網狀態(tài)進入(0′1),最終到達完全正常狀態(tài)(11).

在時刻t的傳輸狀態(tài)概率為

π(t)=[π(0,1)(t)…π(X1,X2)(t)…π(1,1)(t)]

(16)

根據(jù)圖6我們容易得到,APT攻擊模式下的狀態(tài)轉移矩陣為：

(17)

(18)

4 仿真與分析

為了進一步揭示網絡攻擊時的網絡可生存性傳播模型及規(guī)律,通過MATLAB軟件仿真,取得了該模型的傳播曲線,并設定不同參數(shù)驗證了該模型的正確性.同時,為了方便比較,突出APT攻擊時網絡可生存的特點,將傳統(tǒng)攻擊和APT攻擊時的傳播曲線放在同一張圖中對比.

在這里,我們考慮用網絡中活躍用戶數(shù)百分比作為網絡生存性的一個標準化性能指標[19],這個指標可以準確反映網絡中終端被中斷服務的比例.該百分比可以用公式(7)的預期瞬時回報率表示.因而,預期的瞬時回報率可以描述在t時刻網絡中的終端被攻擊的情況.

假定子網i的用戶數(shù)為Ni,可以得到每個狀態(tài)的回報率.例如,傳統(tǒng)攻擊模式下的回報率為：

考慮到每個C類IP地址最多可連接254臺主機,因而我們設置子網1連接的終端數(shù)N1=150,子網2連接的終端數(shù)N2=200.根據(jù)文獻[20],我們可以得到網絡攻擊的傳播速率和修復速率.通常,網絡的修復速率會比網絡攻擊速率低一個數(shù)量級.因而,設定的網絡攻擊傳播速率和修復速率如表1和表2所示.

下面從兩個維度來檢驗本文提出的網絡可生存性模型.首先假設子網初始狀態(tài)的攻擊傳播速率均為2hours-1,修復速率均為0.2hours-1,如表1所示.通過增大子網攻擊傳播速率,如圖7所示.從圖中可以看出,網絡在遭受攻擊時,子網中活躍用戶數(shù)明顯下降.但隨著時間的推移,子網中的終端逐漸被修復,直至完全被修復(子網的活躍用戶百分比為1).根據(jù)表2中的參數(shù),當保持子網中修復速率不變,增大子網的攻擊傳播速率,可以看出,子網中初始活躍用戶數(shù)不斷下降,同時,子網達到完全被修復狀態(tài)所需要的時間也不斷增加.在150hour時刻,初始狀態(tài)已完全修復,但狀態(tài)4只修復至0.8.

表1 子網攻擊傳播速率參數(shù)

根據(jù)表2中的參數(shù),當子網的攻擊傳播速率保持不變,通過增大子網的修復速率,如圖8所示,子網中初始活躍用戶數(shù)不斷增加,由初始狀態(tài)0.2增加至狀態(tài)4的0.4.同時,初始狀態(tài)需要經過100hour才可完全修復,然而狀態(tài)4在經過10hour,已經修復至0.9,可見子網修復速率的提升.

表2 子網修復速率參數(shù)

由此可知,網絡的可生存性性能不僅取決于網絡攻擊的傳播速率,還與網絡的修復速率相關.

在APT攻擊模式下,將網絡攻擊傳播速率和修復速率參數(shù)設置一致,與傳統(tǒng)攻擊模式的可生存性曲線比較.如圖9所示,APT攻擊模式下的網絡修復速率比傳統(tǒng)模式下稍低.這是因為在APT攻擊模式下,網絡中的攻擊具有潛伏性,這樣在潛伏期網絡攻擊不容易被發(fā)現(xiàn),致使網絡的可生存性比傳統(tǒng)模式要差.但隨著時間的推移,網絡的活躍用戶數(shù)也修復至正常水平,從而驗證了模型的正確性.但總體上,APT攻擊對網絡的可生存性是有影響的.綜上所述,本文提出的模型有效的刻畫了基于APT攻擊的網絡可生存性特點,具有一定的現(xiàn)實指導意義.

5 結論

本文基于連續(xù)馬爾科夫鏈,建立網絡可生存性模型,并通過攻擊實例,驗證了模型的正確性.總結了影響網絡可生存性的兩個重要因素,網絡攻擊傳播速率和網絡修復速率.更進一步,通過仿真驗證APT攻擊模式下,網絡可生存性的特點.可以看出,網絡修復速率是影響APT攻擊模式下的網絡可生存性性能關鍵指標,是防御APT攻擊的重要保證.下一步,需要繼續(xù)研究攻擊潛伏周期長短對網絡可生存性的具體影響,以及針對多個子網發(fā)動同時攻擊的模型構建和安全策略.

[1]Jeun I,Lee Y,Won D.A practical study on advanced persistent threats[J].Computer Applications for Security,Control and System Engineering,2012,11:144-152.

[2]Zetter K.Google hack attack was ultra sophisticated,new details show[J].Wired Magazine,2010,14:33-36.

[3]Langner R.Stuxnet: dissecting a cyberwarfare weapon[J].IEEE Security & Privacy,2011,9(3): 49-51.

[4]肖新光.惡意代碼對抗體系演進的四部曲[EB/OL].http:// www.antiy.net/papers/.

Xiao X G.The tetralogy of defending malicious code[EB/OL].http:// www.antiy.net/papers/.(in Chinese)

[5]Bencsáth B,Pék G,Buttyán L,et al.The cousins of stuxnet: duqu,flame,and gauss[J].Future Internet,2012,4(4): 971-1003.

[6]Lee J D.Targeted cyberattacks: a superset of advanced persistent threats[J].IEEE security & privacy,2013,11(3): 54-61.

[7]Giura P,Wang W.A context-based detection framework for advanced persistent threats[A].International Conference on Cyber Security [C],Washington,2012.69-74.

[8]Dube T E,Raines R A,Grimaila M R,et al.Malware target recognition of unknown threats[J].IEEE Systems Journal,2013,7(3): 467-477.

[9]Johnson J R,Hogan E A.A graph analytic metric for mitigating advanced persistent threat[A].IEEE International Conference on Intelligence and Security Informatics[C],Seattle,2013.129-133.

[10]Sterbenz J P G,Hutchison D,?etinkaya E K,et al.Resilience and survivability in communication networks: Strategies,principles,and survey of disciplines[J].Computer Networks,2010,54(8): 1245-1265.

[11]ANSI T1A1.2 Working Group on Network Survivability Performance.Technical Report on Enhanced Network Survivability Performance[S],ANSI,Tech.Rep.TR No.68,2001.

[12]Heegaard P E,Trivedi K S.Network survivability modeling[J].Computer Networks,2009,53(8): 1215-1234.

[13]Xie L,Heegaard P E,Jiang Y.Network survivability under disaster propagation: Modeling and analysis[A].Wireless Communications and Networking Conference (WCNC)[C],Shanghai,2013.4730-4735.

[14]Xie L,Jiang Y,Heegaard P E.Modelling and analysis of the survivability of telecommunication networks[A].15th International Symposium on Software Reliability Engineering[C],2004,367 - 377.

[15]趙二虎,陽小龍,彭云峰,隆克平.CPSM：一種增強IP網絡生存性的客戶端主動服務漂移模型[J].電子學報,2010,38(9):2134-2139.

Zhao E H,Yang X L,Peng Y F,Long K P.CPSM: client-side proactive service migration model for enhancing IP network survivability[J].Acta Electronica Sinica,2010,38(9):2134-2139.(in Chinese)

[16]Izaddoost A,Heydari S S.Enhancing network service survivability in large-scale failure scenarios[J].Journal of Communications & Networks,2014,16(5):534-547.

[17]王鵬飛,趙文濤,張帆,鄒榮念.網絡系統(tǒng)可生存能力量化評估的指標體系研究[J].計算機工程與科學,2014,36(6):1050-1056.

Wang P F,Zhao W T,Zhang F,Zou R N.Research on index system of quantitative evaluation for network systems viability[J].Computer Engineering&Science,2014,36(6):1050-1056.(in Chinese)

[18]Wen S,Zhou W,Zhang J,et al.Modeling propagation dynamics of social network worms[J].IEEE Transactions on Parallel and Distributed Systems,2013,24(8): 1633-1643.

[19]Zolfaghari A,Kaudel F J.Framework for network survivability performance[J].IEEE Journal on Selected Areas in Communications,1994,12(1): 46-51.

[20]Camtepe S A,Yener B.Modeling and detection of complex attacks[A].Third International Conference on.IEEE Security and Privacy in Communications Networks and the Workshops[C].Nice,2007.234-243.

姚 蘇 男，1986年12月出生，安徽舒城人，中國航空綜合技術研究所工程師，現(xiàn)為北京交通大學在讀博士.目前主要從事網絡安全標準應用技術的研究工作.獲中航工業(yè)集團獎勵多項，參與多項國家和軍隊技術基礎研究項目.

E-mail: yaosu@bjtu.edu.cn.

關建峰 男，1982年2月出生，河南鞏義人.2004、2010年分別畢業(yè)于東北大學、北京交通大學獲得學士、博士學位.2010年進入北京郵電大學網絡技術研究院，主要從事移動互聯(lián)網、網絡安全等方面的研究工作.

E-mail: jfguan@bupt.edu.cn.

潘 華 女，1965年10月出生，安徽界首人；1988、1991年分別于北京航空航天大學獲得學士、碩士學位，現(xiàn)為中國航空綜合技術研究所研究員，主要從事信息技術標準化的研究工作，主編多項國家軍用標準，并多次獲得軍隊和中航工業(yè)集團獎勵.

張宏科 男，1957年9月出生，山西大同人，北京交通大學教授，博士生導師.目前主要從事下一代信息網絡關鍵理論與技術的研究工作，作為首席科學家主持國家973項目"智慧協(xié)同網絡理論基礎研究"的研究工作.

Modeling and Analysis for Network Survivability of APT Latent Attack

YAO Su1,2,GUAN Jian-feng3,PAN Hua2,ZHANG Hong-ke1

(1.SchoolofElectronicsandInformationEngineering,BeijingJiaotongUniversity,Beijing100044,China;2.ChinaAero-PolytechnologyEstablishment,Beijing100028,China;3.BeijingUniversityofPostsandTelecommunications,Beijing100876,China)

The paper proposes the model of network survivability based on the patterns of normal network attack and APT attack.The model is demonstrated by constructing the simulation scenarios of network attack to analyze their performances.The results show that this evaluation model can effectively reflect two parameters: the speeds of network attack propagation and network recovery,and the performance of network survivability of APT attack pattern is lower than that of normal attack pattern.

APT；network survivability；evaluating model；Markov chain

4-10-28；

2015-10-30；責任編輯：郭游

國家973重點基礎研究發(fā)展規(guī)劃(No.2013CB329101)；國家自然科學基金(No.61232017,61003283)；國家科技重大專項(No.2013ZX03006002)

TP393.0

A

0372-2112 (2016)10-2415-08

??學報URL:http://www.ejournal.org.cn

10.3969/j.issn.0372-2112.2016.10.020