葉開(kāi)珍
(廣州大學(xué)松田學(xué)院,廣東 廣州 511370)
隨著計(jì)算機(jī)技術(shù)的不斷發(fā)展,已呈現(xiàn)信息全球化趨勢(shì)。因網(wǎng)絡(luò)具有開(kāi)放性、互連性等特點(diǎn),容易受到惡意入侵及軟件的攻擊威脅。因此,提高網(wǎng)絡(luò)安全[1]防御能力,解決不同威脅事件,保證網(wǎng)絡(luò)數(shù)據(jù)信息的完整性和可用性勢(shì)在必行。安全協(xié)議是網(wǎng)絡(luò)防御系統(tǒng)的基礎(chǔ)。近年來(lái),網(wǎng)絡(luò)協(xié)議為服務(wù)器和網(wǎng)絡(luò)提供了一定的保護(hù)作用,但仍有惡意攻擊者竊取數(shù)據(jù)信息。網(wǎng)絡(luò)威脅態(tài)勢(shì)通常寄生于客戶端,在客戶端請(qǐng)求網(wǎng)絡(luò)之前就已經(jīng)對(duì)數(shù)據(jù)進(jìn)行了更改,或者替代初始用戶對(duì)服務(wù)器進(jìn)行測(cè)試。基于此,如何提高網(wǎng)絡(luò)威脅態(tài)勢(shì)防御能力,是現(xiàn)階段網(wǎng)絡(luò)安全研究的熱點(diǎn)問(wèn)題。
為了保障我國(guó)鐵路通信系統(tǒng)的網(wǎng)絡(luò)安全,畢錦雄[2]等人提出了基于攻擊防御樹(shù)的態(tài)勢(shì)感知防御方法。首先,立足于通信網(wǎng)絡(luò)整體框架,使用故障分析方法,預(yù)測(cè)中斷通信故障對(duì)網(wǎng)絡(luò)造成的問(wèn)題;其次,根據(jù)風(fēng)險(xiǎn)分析結(jié)果,擬合出惡意攻擊針對(duì)通信系統(tǒng)的威脅場(chǎng)景。最后,通過(guò)仿真結(jié)果表明該方法可應(yīng)對(duì)大規(guī)模且針對(duì)性強(qiáng)的攻擊行為,有效的防御了網(wǎng)絡(luò)威脅行為。張連成[3]等人為了解決已有路徑跳變技術(shù)難度低,在抵抗全局接貨分析以及端址技術(shù)跳變跳變難、部署大的問(wèn)題,提出了基于路徑與端址跳變的SDN網(wǎng)絡(luò)主動(dòng)防御技術(shù)。首先,將路徑跳問(wèn)題構(gòu)建為約束求解模型,利用可滿足性模理論對(duì)重復(fù)約束和容量約束的多條路徑求解。其次,根據(jù)特定跳變時(shí)隙向所選跳變路徑上的所有開(kāi)放式交互發(fā)送對(duì)應(yīng)的端址跳變流表項(xiàng),在確保交互局正確轉(zhuǎn)發(fā)數(shù)據(jù)流的同時(shí),更改端口與地址信息。最后,通過(guò)仿真結(jié)果表明;所提方法可提高SDN網(wǎng)絡(luò)對(duì)于全局截獲分析攻擊、拒絕服務(wù)與內(nèi)部威脅的主動(dòng)防御能力。
由于上述方法在對(duì)層次化網(wǎng)絡(luò)威脅態(tài)勢(shì)進(jìn)行防御時(shí),存在安全性能不穩(wěn)定、耗時(shí)長(zhǎng)的問(wèn)題,本文提出了基于認(rèn)證協(xié)議的層次化網(wǎng)絡(luò)威脅態(tài)勢(shì)防御仿真。使用認(rèn)證協(xié)議驗(yàn)證層次化網(wǎng)絡(luò)中的威脅粒子,結(jié)合重要性指標(biāo)權(quán)重計(jì)算,獲取到最佳防御策略,最終通過(guò)仿真驗(yàn)證了所提算法具有較高的防御能力。
網(wǎng)絡(luò)認(rèn)證協(xié)議主要用于驗(yàn)證用戶信息,對(duì)其發(fā)放會(huì)話密鑰,保障用戶隱私性。網(wǎng)絡(luò)環(huán)境具有開(kāi)放性高、分布復(fù)雜的特點(diǎn),使用其它協(xié)議會(huì)出現(xiàn)一些隱藏弊端,而這些隱藏弊端很難通過(guò)傳統(tǒng)檢測(cè)方法識(shí)別發(fā)現(xiàn)。然而認(rèn)證議可為網(wǎng)絡(luò)提供可驗(yàn)證性、高準(zhǔn)確性的安全識(shí)別,除此之外,認(rèn)證協(xié)議的無(wú)二義性可有效地對(duì)網(wǎng)絡(luò)威脅性質(zhì)進(jìn)行分析,因此,基于認(rèn)證協(xié)議的網(wǎng)絡(luò)防御方式已被普遍應(yīng)用。認(rèn)證協(xié)議基本內(nèi)容如圖1所示。
圖1 認(rèn)證協(xié)議基本內(nèi)容
由圖1認(rèn)證協(xié)議基本內(nèi)容可看出:認(rèn)證協(xié)議的工作方式主要由主體序列、主體行為序列以及主體之間交互系列三部分構(gòu)成。同時(shí),也可將協(xié)議抽象成一個(gè)主體序列,其中包含威脅態(tài)勢(shì)發(fā)起者、響應(yīng)者等,將主體序列看作成為有限事件序列,主要對(duì)主體接收或發(fā)消息行為的通信行為進(jìn)行描述,或描述對(duì)主體安全預(yù)期的屬性事件數(shù)值。由此可見(jiàn),網(wǎng)絡(luò)安全認(rèn)證協(xié)議,實(shí)際就是對(duì)初始事件序列進(jìn)行k_set實(shí)例化處理,根據(jù)認(rèn)證相關(guān)規(guī)定采取對(duì)應(yīng)行為的內(nèi)容。
層次化網(wǎng)絡(luò)[4]結(jié)構(gòu)可劃分為三個(gè)層次為:系統(tǒng)層次、主機(jī)層、服務(wù)層次,主機(jī)層為主要的網(wǎng)絡(luò)威脅對(duì)象,基本結(jié)構(gòu)如圖2所示。
圖2 層次化網(wǎng)絡(luò)威脅結(jié)構(gòu)
層次化網(wǎng)絡(luò)態(tài)勢(shì)指數(shù)指是全網(wǎng)在一定時(shí)間內(nèi)遭受威脅攻擊時(shí),數(shù)據(jù)信息的機(jī)密程度、完整程度以及可用性的損壞程度,可通過(guò)子層次指數(shù)加權(quán)量化獲得。
假設(shè)層次化網(wǎng)絡(luò)由n個(gè)子網(wǎng)[5]構(gòu)成,權(quán)重值為βi=(1,2,…,n),βi∈[0,1]且∑βi=1,則層次化網(wǎng)絡(luò)的態(tài)勢(shì)計(jì)算方程如式(1)所示,取值范圍為[0,1]。
(1)
計(jì)算機(jī)系統(tǒng)中的層次化網(wǎng)絡(luò)具有動(dòng)態(tài)變化大且復(fù)雜的特點(diǎn),在任意時(shí)間段內(nèi),系統(tǒng)都存在與之對(duì)應(yīng)的某種狀態(tài),其中,來(lái)自內(nèi)部或者外部的威脅攻擊行為,逐漸降低了系統(tǒng)安全指數(shù)。一次有目的的威脅入侵,需要一系列的連續(xù)攻擊完成,威脅態(tài)勢(shì)可被分解成在有限次數(shù)下,有聯(lián)系的狀態(tài)遷移,達(dá)到終止?fàn)顟B(tài)時(shí)結(jié)束。因此,本文在認(rèn)證協(xié)議下對(duì)層次化網(wǎng)絡(luò)威脅態(tài)勢(shì)進(jìn)行防御,首先需識(shí)別出網(wǎng)絡(luò)威脅態(tài)勢(shì)。
假設(shè)層次化網(wǎng)絡(luò)中的實(shí)體數(shù)量為m,則的重要性[6]權(quán)重為
(2)
式(2)中,u代表權(quán)重系數(shù),EVk代表向量空間ek的非重疊信息,AVm表示網(wǎng)絡(luò)數(shù)據(jù)總量[7],利用重要性評(píng)估模型可得到
(3)
威脅態(tài)勢(shì)嚴(yán)重程度按照攻擊類別與優(yōu)先級(jí)別[8]劃分為高、中、低三個(gè)標(biāo)準(zhǔn),使用3、2、1代表。并利用貝葉斯計(jì)算威脅態(tài)勢(shì)成功率,獲取到威脅狀態(tài)、行為、目的、目標(biāo)成功率,如下所示
pi(aijk)=pi(sj)×P(ajk);
(4)
其中,pi(aij)代表融合權(quán)重函數(shù),P(ajk)表示隸屬度函數(shù),pi(ak)是方差貢獻(xiàn)率。
本文基于認(rèn)證協(xié)議的層次化網(wǎng)絡(luò)威脅態(tài)勢(shì)防御,使用加密算法[9]驗(yàn)證身份信息,如表1所示,為計(jì)算過(guò)程中使用符號(hào)所表示的信息。
表1 計(jì)算過(guò)程中符號(hào)含義
首先,UE通過(guò)網(wǎng)絡(luò)安全信道向SeNB發(fā)送數(shù)據(jù)信息,SeNB在收到信息后,生成UE、p、Kpri以及Val的數(shù)據(jù)信息,通過(guò)實(shí)現(xiàn)數(shù)據(jù)共享[10]。
(5)
上述基于認(rèn)證協(xié)議的加密算法在進(jìn)行計(jì)算過(guò)程中,用戶信息在加密后發(fā)送到SeNB,確保了來(lái)自外部威脅因素入侵時(shí),消息的安全性和隱私性。在上述式(1)至(5)中使用了PSO多路徑UE發(fā)送加密數(shù)據(jù)到SeNB。該方式通過(guò)模擬鳥(niǎo)類之間的集體協(xié)作覓食行為,使群體集合達(dá)到最佳目標(biāo)。因PSO中的個(gè)體數(shù)量較少,因此計(jì)算過(guò)程簡(jiǎn)潔,穩(wěn)健性高,表現(xiàn)了認(rèn)證協(xié)議在網(wǎng)絡(luò)防御的優(yōu)越性。在PSO中,將可選的可行防御方案稱為“粒子”,其數(shù)量相互協(xié)作以獲得最佳防御方案。
使用Pbest表示威脅粒子個(gè)體極值,Gbest代表認(rèn)證協(xié)議最優(yōu)防御能力,獲取到以上兩個(gè)最佳值后,可得
λi(t+1)=Ω×λid(t)+L1×[Pbest(t)-σid(t)]
+L2×[Gbest(t)-σid(t)]
(6)
式(6)中,σid(t+1)=σid(t)+λid(t+1),1≤i≤D,D表示初始化威脅粒子的數(shù)量,1≤d≤V,V代表層次網(wǎng)絡(luò)搜索區(qū)域,1≤t≤Dmax,Dmax表示粒子群迭代數(shù)量,Ω為權(quán)重值,L1和L2代表防御因子,為了提高威脅態(tài)勢(shì)防御能力,選擇目標(biāo)自適應(yīng)函數(shù),得到了新的方程為
Pbest(t+1)=
(7)
為了提高基于認(rèn)證協(xié)議的層次化網(wǎng)絡(luò)的防御能力,使用令牌機(jī)制保護(hù)信息的匿名性。SeNB在鄰近節(jié)點(diǎn)中選擇CeNB,隨機(jī)選取一組虛擬幾點(diǎn)用于接收信息,具體過(guò)程如下:
針對(duì)每一段時(shí)間間隔,SeNB選取獨(dú)立的CeNB,并將鄰近節(jié)點(diǎn)考慮其中,完成DSN、Ndegree和RSS的計(jì)算,根據(jù)計(jì)算結(jié)果,可估計(jì)出自適應(yīng)函數(shù)FF為
FF=α1RSS+α2Ndeg ree+α3DSN
(8)
隨后,SeNB選擇FF的最高節(jié)點(diǎn)作為CeNB,并選擇CeNB和SeNB的鄰近節(jié)點(diǎn)作為偽鄰居集合。選擇的節(jié)點(diǎn)時(shí)間間隔經(jīng)CeNB劃分成為t個(gè)時(shí)間段,一旦識(shí)別出威脅態(tài)勢(shì)開(kāi)始防御,經(jīng)檢索得到MQR,此時(shí)SeNB所處位置的TPS為各節(jié)點(diǎn)生成新的sc,1。
針對(duì)下個(gè)MQR,選則其它CeNB。使用Tc,t代表防御令牌;DSN代表節(jié)點(diǎn)與SeNB的間隔距離;Ndeg ree為節(jié)點(diǎn)度值;RSS表示威脅態(tài)勢(shì)信號(hào)識(shí)別強(qiáng)度;TPS為威脅態(tài)勢(shì)防御系統(tǒng);MQR為防御請(qǐng)求消息;sc,1為隨機(jī)粒子;c代表網(wǎng)絡(luò)節(jié)點(diǎn);l為威脅信息級(jí)別;kc,t,1為認(rèn)證協(xié)議中的對(duì)稱密鑰;CPRNG1為威脅數(shù)據(jù)隨機(jī)數(shù)值,使用t代表時(shí)間間隔;α1,α2,α3代表{0,1}范圍內(nèi)的歸一化常數(shù)。
通過(guò)上述,針對(duì)識(shí)別出的每組威脅態(tài)勢(shì)選擇CeNB相鄰節(jié)點(diǎn)。關(guān)于SeNB選擇的信息必須在認(rèn)證協(xié)議內(nèi),以此完成對(duì)層次化網(wǎng)絡(luò)的防御工作。由于威脅態(tài)勢(shì)會(huì)在每個(gè)時(shí)間段內(nèi)隨機(jī)變化,因此在查詢期間,SeNB要選取合適的CeNB。
通過(guò)對(duì)認(rèn)證協(xié)議傳輸數(shù)據(jù)包的平均傳輸率、斷點(diǎn)平均延時(shí)以及威脅防御能量損耗進(jìn)行網(wǎng)絡(luò)威脅態(tài)勢(shì)防御性能評(píng)估。
平均傳輸率為
(9)
其中,Nrj表示各目標(biāo)節(jié)點(diǎn)j獲取到的威脅信息,Nsi為每個(gè)目標(biāo)源i防御的威脅信息。
可得到平均延時(shí)函數(shù)為
(10)
式(12)中,Trij為節(jié)點(diǎn)i中的第j個(gè)信息獲取的時(shí)間,Tsij為其發(fā)送時(shí)間,g表示威脅信息防御總數(shù)。
在基于認(rèn)證協(xié)議的層次化網(wǎng)絡(luò)威脅態(tài)勢(shì)防御中,所消耗的能量表示為
(11)
式(13)中,Nprj代表所用路由分組的數(shù)量,Nri代表所用路由數(shù)據(jù)防御的能量消耗。
為了驗(yàn)證本文所提方法的可行性,仿真網(wǎng)絡(luò)由三個(gè)網(wǎng)段構(gòu)成,網(wǎng)段對(duì)應(yīng)的主句等級(jí)劃分如表2所示。其中,網(wǎng)段間的IP地址主機(jī)為威脅態(tài)勢(shì)評(píng)估服務(wù)器,基本配置為SQL.2000服務(wù)器、winpcap軟件、snoart,通過(guò)識(shí)別出路由器受到的各方攻擊威脅,所有主機(jī)均裝有安全認(rèn)證協(xié)議,實(shí)時(shí)識(shí)別惡意威脅,將檢測(cè)出的惡意態(tài)勢(shì)信息上傳至數(shù)據(jù)中心。
表2 網(wǎng)絡(luò)主機(jī)等級(jí)
如圖3所示,為實(shí)驗(yàn)網(wǎng)絡(luò)基本框架。
圖3 層次化網(wǎng)絡(luò)威脅態(tài)勢(shì)防御網(wǎng)絡(luò)框架
基于上述實(shí)驗(yàn)背景,主要模擬兩個(gè)威脅態(tài)勢(shì)攻擊方案:
1)服務(wù)器可用性威脅。
2)由兩種攻擊構(gòu)成的復(fù)合攻擊。
同一種類型的攻擊方案對(duì)層次化網(wǎng)絡(luò)主機(jī)造成的威脅程度可能不同。如網(wǎng)段5的IP地址可為133的服務(wù)器提供服務(wù),但是造成同等威脅態(tài)勢(shì)的其它兩種主機(jī)不能提供該類型服務(wù)。下表3所示為本文仿真的威脅態(tài)勢(shì)破壞值。
表3 網(wǎng)絡(luò)威脅態(tài)勢(shì)信息
4.3.1 層次化網(wǎng)絡(luò)誤報(bào)率
為了驗(yàn)證本文方法的準(zhǔn)確性,采用基于路徑與端址跳變的防御方法、基于攻擊防御樹(shù)的的防御方法以及本文方法進(jìn)行誤報(bào)率檢測(cè),得到檢測(cè)結(jié)果如下所示:
由圖4可知,三種方法都會(huì)隨著網(wǎng)絡(luò)節(jié)點(diǎn)數(shù)的增加而增大。當(dāng)網(wǎng)絡(luò)節(jié)點(diǎn)達(dá)到10×102個(gè)時(shí),基于路徑與端址跳變的防御方法的誤報(bào)率為8%,基于攻擊防御樹(shù)的的防御方法的誤報(bào)率為12%,而本文方法誤報(bào)率僅為1%,與兩種傳統(tǒng)方法相比,具有較大優(yōu)勢(shì)。隨著網(wǎng)絡(luò)節(jié)點(diǎn)數(shù)增大,本方法與兩種傳統(tǒng)方法誤報(bào)率差值增大,本文方法能夠保持較低的誤報(bào)率,精準(zhǔn)度較高。
圖4 不同方法下誤報(bào)率
4.3.2 威脅防御用時(shí)
通過(guò)對(duì)層次化網(wǎng)絡(luò)威脅態(tài)勢(shì)防御數(shù)據(jù)進(jìn)行統(tǒng)計(jì)分析可得到表4。
表4 威脅防御用時(shí)
從表1和圖5中可看出,基于認(rèn)證協(xié)議的層次化網(wǎng)絡(luò)威脅態(tài)勢(shì)防御結(jié)果比較穩(wěn)定,在威脅態(tài)勢(shì)最強(qiáng)的情況下,將延時(shí)間考慮其中,防御計(jì)算也可在12s之內(nèi)完成,具有較高的效率。
圖5 威脅態(tài)勢(shì)防御用時(shí)
4.3.3 攻擊成功率對(duì)比
為了驗(yàn)證本文方法的防御性能,采用基于路徑與端址跳變的防御方法、基于攻擊防御樹(shù)的的防御方法以及本文方法檢測(cè)攻擊成功率,得到檢測(cè)結(jié)果如圖6所示。
圖6 不同方法下攻擊成功率
分析圖6可知,不同方法攻擊成功率不同。隨著網(wǎng)絡(luò)節(jié)點(diǎn)個(gè)數(shù)增多,攻擊成功率增大。當(dāng)網(wǎng)絡(luò)節(jié)點(diǎn)個(gè)數(shù)達(dá)到24×102個(gè)時(shí),兩種傳統(tǒng)方法的攻擊成功率明顯超過(guò)30%,而本文方法不超過(guò)5%。攻擊成功率越高,防御效果越差。這說(shuō)明本文方法的防御效果最佳。
伴隨網(wǎng)絡(luò)文化的快速發(fā)展,所面臨的的信息安全挑戰(zhàn)也日益嚴(yán)峻。針對(duì)層次化網(wǎng)絡(luò)的靈活性及認(rèn)證協(xié)議保密性的,本文基于認(rèn)證協(xié)議,構(gòu)建了從網(wǎng)絡(luò)、主機(jī)、應(yīng)用和數(shù)據(jù)等四個(gè)層次的威脅態(tài)勢(shì)防御體系,為網(wǎng)絡(luò)用戶信息安全提供了有效保障。通過(guò)仿真得出以下結(jié)論:
1)防御方法能夠在網(wǎng)絡(luò)節(jié)點(diǎn)數(shù)較多的情況下,擁有較低的層次化網(wǎng)絡(luò)誤報(bào)率。
2)在不同的威脅態(tài)勢(shì)下,擁有較短防御用時(shí)。
3)網(wǎng)絡(luò)節(jié)點(diǎn)個(gè)數(shù)增多條件下,攻擊成功率易依舊較低。
綜上可知,認(rèn)證協(xié)議的層次化網(wǎng)絡(luò)威脅態(tài)勢(shì)防御方法可為網(wǎng)絡(luò)的信息安全防護(hù)提供有效的理論和現(xiàn)實(shí)支撐。