網(wǎng)絡(luò)安全攻防博弈模型研究

曾曉杰

互聯(lián)網(wǎng)的發(fā)展為各行各業(yè)都帶來的巨大的發(fā)展機(jī)遇，如電商、O2O、物流、社交等。在帶給人們方便的同時(shí)，無疑也產(chǎn)生了一些安全隱患，如各種網(wǎng)絡(luò)安全事故、信息泄露等。網(wǎng)絡(luò)安全本質(zhì)上講就是網(wǎng)絡(luò)攻擊者與網(wǎng)絡(luò)防御者之間進(jìn)行相互博弈的過程，在相互博弈的過程中，一方得益，即為勝出。本文主要是對網(wǎng)絡(luò)安全攻防博弈模型進(jìn)行研究，并講述其在網(wǎng)絡(luò)安全中的應(yīng)用。

一、引言

傳統(tǒng)的網(wǎng)絡(luò)安全解決方案往往依靠于反病毒軟件、入侵檢測和防火墻等。只有檢測到網(wǎng)絡(luò)入侵事件之后，才能利用反病毒軟件進(jìn)行檢測和查殺。缺乏一定的主動(dòng)防御能力。主動(dòng)防御能力是一種在網(wǎng)絡(luò)攻擊事件發(fā)生之前，就可將攻擊事件扼殺在搖籃之中的一種能力。博弈論是數(shù)學(xué)上的一種決策分析理論，目前該理論已經(jīng)被廣泛的應(yīng)用到各個(gè)領(lǐng)域。該理論的最終目的是通過建立博弈模型，讓決策者可以利益最大化。本文將博弈理論應(yīng)用于網(wǎng)絡(luò)安全領(lǐng)域，從而可以很好的評(píng)估網(wǎng)絡(luò)安全的好壞。本文首先對一些網(wǎng)絡(luò)安全的攻擊手段和防御手段進(jìn)行簡單的研究，然后通過這些攻擊和防御手段建立一個(gè)網(wǎng)絡(luò)安全攻防博弈模型，用來評(píng)估網(wǎng)絡(luò)安全的狀況，最后對網(wǎng)絡(luò)安全攻防博弈模型在網(wǎng)絡(luò)安全中的應(yīng)用進(jìn)行說明。

二、網(wǎng)絡(luò)安全攻擊和防御策略

網(wǎng)絡(luò)安全攻擊的策略主要有基于弱點(diǎn)攻擊、基于經(jīng)驗(yàn)術(shù)語攻擊、基于應(yīng)用攻擊、基于檢測攻擊和基于多維屬性攻擊等。防御的策略主要有入侵檢測技術(shù)、防火墻技術(shù)、密碼加密技術(shù)、網(wǎng)絡(luò)應(yīng)急響應(yīng)技術(shù)等等。

基于弱點(diǎn)攻擊是一種利用系統(tǒng)的軟硬件漏洞和弱點(diǎn)，發(fā)起攻擊?；诮?jīng)驗(yàn)術(shù)語的攻擊是一種利用網(wǎng)絡(luò)中常見的社會(huì)術(shù)語和技術(shù)術(shù)語進(jìn)行發(fā)起攻擊，例如在郵件或者社交軟件中，使用偽造的網(wǎng)絡(luò)信息、邏輯炸彈、冒充信息等，一旦使用者點(diǎn)擊或者操作，將會(huì)受到攻擊或者入侵等?；趹?yīng)用攻擊是一種針對特定的應(yīng)用發(fā)起攻擊的一種方法，如將一些蠕蟲病毒放入某些特定的應(yīng)用中進(jìn)行傳播等?；诙嗑S屬性攻擊是一種復(fù)雜的攻擊方式，可以結(jié)合多種應(yīng)用場景利用多種手段發(fā)起攻擊。

入侵檢測技術(shù)是一種對網(wǎng)絡(luò)流量和日志進(jìn)行大量的過濾，從而找到可疑的網(wǎng)絡(luò)流量日志，再進(jìn)行二次分析，是否存在攻擊危險(xiǎn)。因此入侵檢測技術(shù)是一種被動(dòng)防御技術(shù)，存在著誤報(bào)和漏報(bào)的風(fēng)險(xiǎn)。防火墻技術(shù)主要用于企業(yè)或者機(jī)關(guān)內(nèi)部，通過防火墻技術(shù)將內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)隔離開來，對內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的通信進(jìn)行監(jiān)視，一旦發(fā)現(xiàn)外部網(wǎng)絡(luò)中有風(fēng)險(xiǎn)的數(shù)據(jù)包就將其攔截在外，然而這種網(wǎng)絡(luò)安全技術(shù)只能夠防范外來網(wǎng)絡(luò)安全事故，對內(nèi)部網(wǎng)絡(luò)沒有任何作用。密碼加密技術(shù)是一種將網(wǎng)絡(luò)傳輸數(shù)據(jù)進(jìn)行加密，然后接收著再進(jìn)行解密，從而得到真正數(shù)據(jù)的一種方式，如目前普遍使用的Https，就是通過將傳輸數(shù)據(jù)加密傳輸，再比如QQ、微信等社交軟件，目前已普遍使用加密數(shù)據(jù)進(jìn)行數(shù)據(jù)傳輸，而不是剛出來時(shí)候的明文傳輸。網(wǎng)絡(luò)應(yīng)急響應(yīng)是一種事后快速響應(yīng)處理解決方案，一旦遭受了網(wǎng)絡(luò)攻擊，可以快速的進(jìn)行反應(yīng)，并找到最佳解決辦法，將損失降到最低。

三、網(wǎng)絡(luò)安全攻防博弈模型建立

網(wǎng)絡(luò)安全攻防博弈模型的建立是建立在網(wǎng)絡(luò)安全攻擊和防御策略的基礎(chǔ)之上，攻防博弈與古時(shí)候打仗或者做生意是否盈利的道理是一樣的。首先需要客觀的找出攻擊者和防御者。比如打仗，攻擊者和防御者就很好理解，攻防雙方顯而易見。再比如做生意，攻防其實(shí)是相互的，商人可以作為攻擊者，也可以稱為防御者，目標(biāo)是最終誰的利益最大化。對于商人來說，收益最大化。對于客人來說，性價(jià)比最優(yōu)化。而對于網(wǎng)絡(luò)安全來說，利用攻防博弈理論來探討網(wǎng)絡(luò)安全情況也比較合適。

網(wǎng)絡(luò)安全中攻擊者和防御者也比較明顯。網(wǎng)絡(luò)安全攻擊策略可以稱之為攻擊者，網(wǎng)絡(luò)安全防御策略可以稱之為防御者，至于到底是攻擊者戰(zhàn)勝防御者還是防御者戰(zhàn)勝攻擊者，就看在該模型中，誰的收益最大。在網(wǎng)絡(luò)安全的博弈模型中，攻擊者可是弱點(diǎn)攻擊、經(jīng)驗(yàn)術(shù)語攻擊、應(yīng)用攻擊和檢測攻擊等各種網(wǎng)絡(luò)攻擊手段和策略；防御者是入侵檢測、防火墻、數(shù)據(jù)加密和應(yīng)急響應(yīng)等各種網(wǎng)絡(luò)安全檢測和防御手段和策略。網(wǎng)絡(luò)安全攻防博弈模型，如圖1所示。

從上圖來看，網(wǎng)絡(luò)安全問題就是網(wǎng)絡(luò)攻擊者與網(wǎng)絡(luò)防御者之間進(jìn)行博弈的過程，攻擊者戰(zhàn)勝防御者，則網(wǎng)絡(luò)攻擊成功，網(wǎng)絡(luò)安全事故發(fā)生，如果防御者戰(zhàn)勝攻擊者則網(wǎng)絡(luò)攻擊失敗，網(wǎng)絡(luò)安全事故未發(fā)生。通過對網(wǎng)絡(luò)安全攻防博弈模型的研究，可以做很多事情，比如更好的演練網(wǎng)絡(luò)攻擊與防御之間的過程，從而建立更加良好的網(wǎng)絡(luò)防御體系，再比如，可以對當(dāng)前的網(wǎng)絡(luò)防御體系進(jìn)行網(wǎng)絡(luò)安全級(jí)別評(píng)估，看是否達(dá)到預(yù)期需求?？偠灾?，對網(wǎng)絡(luò)安全攻防博弈模型的深入研究，可開展網(wǎng)絡(luò)安全若干個(gè)領(lǐng)域課題的研究，且成果比較明顯。

在網(wǎng)絡(luò)安全攻防博弈模型中，可以通過給已知的若干個(gè)網(wǎng)絡(luò)攻擊方案加權(quán)，每個(gè)網(wǎng)絡(luò)攻擊方案根據(jù)其入侵能力、危害程度等，設(shè)置一定的權(quán)值，同時(shí)對網(wǎng)絡(luò)防御手段也給予一定的權(quán)值，對已經(jīng)部署和使用的網(wǎng)絡(luò)防御手段進(jìn)行評(píng)估，根據(jù)各種網(wǎng)絡(luò)攻擊方案在當(dāng)前場景中出現(xiàn)的可能性和給定的權(quán)值，對當(dāng)前已知的網(wǎng)絡(luò)防御策略所能做到的防御能力做出評(píng)估，從而可以定性當(dāng)前網(wǎng)絡(luò)防御策略的防御能力。

四、攻防博弈模型在網(wǎng)絡(luò)安全中的應(yīng)用

攻防博弈模型在網(wǎng)絡(luò)安全中的應(yīng)用和研究比較廣泛，從2000年開始，有大量的學(xué)者對該模型進(jìn)行了大量的研究，部分的學(xué)者即是網(wǎng)絡(luò)安全領(lǐng)域的專家，他們利用攻防博弈理論對網(wǎng)絡(luò)安全領(lǐng)域做出了巨大的貢獻(xiàn)。2004年，Brynielesson首次把博弈論模型引入到了控制智慧領(lǐng)域中，然后針對網(wǎng)絡(luò)安全中信息的不確定問題，利用貝葉斯博弈論方法對其實(shí)現(xiàn)了安全態(tài)勢的預(yù)估和評(píng)測。2007年，Shen等人結(jié)合Markov博弈論方法對網(wǎng)絡(luò)防御能力進(jìn)行評(píng)估，通過大數(shù)據(jù)的方式獲取各種網(wǎng)絡(luò)攻擊的策略，然后對各種網(wǎng)絡(luò)攻擊策略進(jìn)行綜合數(shù)據(jù)挖掘和評(píng)測分類，然后利用博弈論理論，對網(wǎng)絡(luò)攻擊方式進(jìn)行能力評(píng)估，從而幫助網(wǎng)絡(luò)防御能力進(jìn)行有效的評(píng)估，提前預(yù)知其網(wǎng)絡(luò)防御的能力，為更好的加強(qiáng)網(wǎng)絡(luò)防御能力做出了巨大的貢獻(xiàn)。在接下來的若干年，還有很多的的研究人員對攻防博弈模型理論在網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用進(jìn)行研究，2016年，張恒巍等人將攻防理論進(jìn)行進(jìn)一步的抽象，建立起了一個(gè)攻防博弈模型收益算法，將攻擊者的收益和防御者的收益同時(shí)考慮在內(nèi)，以各種混合策略的不同權(quán)值，計(jì)算最終的收益，以收益值作為最終的衡量標(biāo)準(zhǔn)，從而設(shè)計(jì)了最佳的網(wǎng)絡(luò)安全防御策略選取算法。

以上眾多的研究人員都利用攻防博弈模型對網(wǎng)絡(luò)安全領(lǐng)域進(jìn)行了眾多的研究。而在網(wǎng)絡(luò)安全領(lǐng)域的攻防博弈模型，如何更好的進(jìn)行應(yīng)用，也是當(dāng)前所存在的一個(gè)問題。本文也著重研究了這一問題。首先已知攻防博弈模型無法解決正在發(fā)生的網(wǎng)絡(luò)安全事故，當(dāng)前現(xiàn)有的研究都局限于對現(xiàn)有的網(wǎng)絡(luò)防御能力進(jìn)行評(píng)估。因此，還需要進(jìn)行更加廣泛的研究和應(yīng)用。本文發(fā)掘的網(wǎng)絡(luò)安全攻防博弈模型的應(yīng)用主要有網(wǎng)絡(luò)安全防御能力評(píng)估、網(wǎng)絡(luò)安全事故應(yīng)急處理、網(wǎng)絡(luò)安全防御策略自動(dòng)修補(bǔ)能力、網(wǎng)絡(luò)安全防御能力自動(dòng)提升能力等。

網(wǎng)絡(luò)安全防御能力評(píng)估是應(yīng)用最多的一個(gè)方向，近10年來，大多數(shù)的網(wǎng)絡(luò)安全領(lǐng)域?qū)＜?，都是利用攻防博弈理論在該領(lǐng)域進(jìn)行研究。網(wǎng)絡(luò)安全事故應(yīng)急處理策略是一種利用攻防博弈理論，通過對已有的攻防博弈理論進(jìn)行不斷的學(xué)習(xí)，由于并不是所有的單位和企業(yè)都有能力建立最為安全的防御體系或者并沒有必要一直擁有最高級(jí)別的安全體系。因此，一旦發(fā)生網(wǎng)絡(luò)安全事故時(shí)，需要能夠在最短的時(shí)間內(nèi)，找到最佳的解決方案。攻防博弈理論雖然沒有這個(gè)能力，但是可以利用該理論，對攻防兩者進(jìn)行不斷的人工智能學(xué)習(xí)，從而形成一定的理論體系，然后在最短的時(shí)間內(nèi)，找到最佳的解決方案，將損失最小化。網(wǎng)絡(luò)安全防御策略自動(dòng)修補(bǔ)能力是一種將攻防博弈模型應(yīng)用后，再利用大數(shù)據(jù)能力，通過數(shù)據(jù)挖掘手段找到最佳修補(bǔ)策略，從而對當(dāng)前的網(wǎng)絡(luò)安全防御策略進(jìn)行自動(dòng)修補(bǔ)的一種應(yīng)用，該應(yīng)用可用于大型的企業(yè)內(nèi)部，通過對攻防博弈模型進(jìn)行不斷的演練，然后對可能出現(xiàn)的漏洞進(jìn)行自動(dòng)修補(bǔ)。網(wǎng)絡(luò)安全防御能力自動(dòng)提升策略與自動(dòng)修補(bǔ)策略基本類似，通過不停的修補(bǔ)策略，可理解為軟件修補(bǔ)補(bǔ)丁或Bug的方式，不斷的對可能發(fā)生事故的地方進(jìn)行修補(bǔ)，從而不停地提升網(wǎng)絡(luò)安全防御能力，也可以利用攻防博弈模型對已經(jīng)建立的防御體系進(jìn)行定期的驗(yàn)證，由于最新的攻擊方式層出不窮，一旦發(fā)現(xiàn)危險(xiǎn)漏洞，可在最短時(shí)間內(nèi)進(jìn)行漏洞修補(bǔ)，從而自動(dòng)提升網(wǎng)絡(luò)安全防御能力。

總而言之，攻防博弈模型的應(yīng)用非常廣泛，在網(wǎng)絡(luò)安全領(lǐng)域中，無論哪個(gè)環(huán)節(jié)中都可應(yīng)用到該模型，核心領(lǐng)域?yàn)閷Ψ烙芰Φ脑u(píng)估，也可延伸該模型的作用，從而應(yīng)用于不斷修補(bǔ)網(wǎng)絡(luò)防御體系漏洞，不斷提升網(wǎng)絡(luò)防御體系能力。在網(wǎng)絡(luò)安全事故中，結(jié)合人工智能和大數(shù)據(jù)等技術(shù)，建立快速響應(yīng)機(jī)制，以最快速度解決現(xiàn)有問題，將各種網(wǎng)絡(luò)安全事故所造成的損失降到最低。

五、結(jié)束語

本文主要對網(wǎng)絡(luò)安全攻防博弈模型理論進(jìn)行研究，通過建立相應(yīng)的網(wǎng)絡(luò)安全攻防博弈模型，以現(xiàn)有的網(wǎng)絡(luò)安全攻擊策略和網(wǎng)絡(luò)安全防御策略為依據(jù)和基礎(chǔ)，建立了一個(gè)簡單的博弈模型，該模型指明了攻擊者和防御者，攻擊者和防御者之間進(jìn)行相互博弈，最終必然會(huì)有一方勝出。該攻防博弈模型可應(yīng)用于對網(wǎng)絡(luò)防御能力進(jìn)行評(píng)估，從2000年以來已經(jīng)有很多的學(xué)者利用該理論對網(wǎng)絡(luò)安全領(lǐng)域進(jìn)行研究，從而建立起了一系列的評(píng)估網(wǎng)絡(luò)防御能力的算法和選擇當(dāng)前網(wǎng)絡(luò)環(huán)境下最佳防御策略的方案。本文對該模型的應(yīng)用進(jìn)一步挖掘，將其和人工智能技術(shù)和大數(shù)據(jù)技術(shù)相結(jié)合，從而可應(yīng)用于不斷修補(bǔ)網(wǎng)絡(luò)安全體系漏洞和提升網(wǎng)絡(luò)安全防御體系的能力。