[發明專利]基于不完全信息動態博弈的入侵響應決策方法

無效

• 申請號: 201010149604.4
• 申請日: 2010-04-19
• 公開（公告）號: CN101808020A
• 公開（公告）日: 2010-08-18
• 發明（設計）人: 劉衍珩;朱建啟;李飛鵬;楊旭;孫鑫
• 申請（專利權）人: 吉林大學
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于不完全信息動態博弈的入侵響應決策方法，其特征在于該方法包括以下步驟：

1)入侵檢測階段：利用防御者部署的入侵檢測系統，產生入侵警報；

2)警報聚合階段：將入侵檢測系統產生的大量警報進行聚合，生成高級警報；

3)入侵響應階段：

a)根據本機系統信息，評估系統資源權重，其中系統資源權重是對該系統資源在系統中的重要性的度量，由資源和系統分別在可用性、完整性和機密性三個安全尺度上的側重共同決定，系統資源權重表示為W(SR)，計算方法如公式(1)所示：

其中SRimportance和PolicyCategoryWeight的值分別代表資源和系統對可用性、完整性和機密性三個安全尺度的側重，PolicyCategoryWeight的值完全取決于系統類型；

b)根據防御者對攻擊者類型的先驗概率判斷攻擊者的可能類型，即根據防御者對攻擊者類型的先驗概率計算各種類型攻擊者的概率；

c)根據警報的不同，求出各個類型的警報所對應的行動策略集合，并將其存儲于攻防雙方策略庫中；

d)由高級警報驅動，從攻防雙方策略庫查詢雙方可能采取的行動策略，根據攻防成本-收益評估方法計算攻防雙方代價收益，其中攻防成本-收益評估方法是在借鑒博弈論中成本收益計算方法的基礎上提出的運用在網絡攻防場景下的一種對攻防成本-收益進行評估的方法，攻防成本-收益評估方法不僅考慮了系統設備和所提供的系統服務這兩類系統資源，而且將系統權限和密碼安全性也作為系統資源對待，并考慮了入侵檢測系統漏報率和攻擊威脅度這兩個潛在因素的影響，其中攻防成本-收益包括損失代價、響應代價、攻擊收益和攻擊操作代價，設定防御者的類型空間為D＝{d₁，d₂，...，d_m}，m為防御者所有可能類型的總數，攻擊者的類型空間H＝{h₀，h₁，h₂，...h_n}，n為攻擊者所有可能類型的總數，定義η＝{η₁，η₂，...，η_m*(n+1)}表示攻防雙方的類型組合的集合，其中η_k＝(d_i，h_j)，k＝1，...，m*(n+1)，i＝1，...，m，j＝0，...，n，那么

I)損失代價

損失代價代表攻擊發生且未被阻斷情況下的系統損失，攻擊行為A_j對系統造成的損失代價表示為IDC(η_i，A_j)，i＝1，...，m*(n+1)，j＝0，...，t，t代表攻擊者的所有攻擊行為的總數，計算方?法如公式(2)所示：

IDC(η_i，A_j)＝(1+fnrate(A_j))×DC(η_i，A_j)?????????????????(2)

其中，fnrate(A_j)代表入侵檢測系統對于攻擊行為A_j的漏報率，DC(η_i，A_j)代表攻擊行為A_j對系統造成的基準損失代價，計算方法如公式(3)所示：

其中，Avail(A_j，SR_k)代表攻擊行為A_j對系統資源SR_k的影響，k是介于1到系統資源總數之間的整數，W(SR_k)是系統資源的權重，TL是攻擊者威脅度，與攻擊者類型相關；

II)響應代價

響應代價代表響應對系統造成的負面影響，響應行為R_l的響應代價表示為IC(η_i，R_l)，l＝0，...，s，其中s為防御者響應措施的總數，計算方法如公式(4)所示：

其中Impact(R_l，SR_k)表示響應行為R_l對資源SR_k的影響，W(SR_k)表示系統資源權重；

III)攻擊收益

攻擊收益指攻擊者對防御者進行的某種攻擊成功時所能得到的收益，攻擊行為A_j的攻擊收益表示為IR(η_i，A_j)，計算方法如公式(5)所示：

IR(η_i，A_j)＝DC(η_i，A_j)?????????????????????(5)

其中，DC(η_i，A_j)是攻擊行為A_j對系統造成的基準損失代價；

IV)攻擊操作代價

攻擊操作代價表示為AC(η_i，A_j)，指攻擊者在攻擊過程中所要消耗的時間和系統資源，可分為兩個等級：

LV1：一般攻擊，攻擊操作代價與進行合法的網絡活動幾乎相同，占用少量系統資源；

LV2：特殊攻擊，占用大量的系統資源

e)利用攻防雙方可能采取的行動策略及所述攻防雙方代價收益，構建博弈模型；

f)通過計算博弈模型的精煉貝葉斯均衡，得到最佳響應策略；

g)根據最優響應策略，修改用來判斷攻擊者類型的經驗；

h)入侵響應。