[發明專利]一種基于全局攻擊圖的攻擊目標可達性的計算方法

在審

• 申請號: 201410782322.6
• 申請日: 2014-12-16
• 公開（公告）號: CN104394177A
• 公開（公告）日: 2015-03-04
• 發明（設計）人: 劉宇明;田豐;劉彤;何林宏;李輝;蘇進;李曉耕;李朝廣;韓熙媛;程濤;陳龍;陳文
• 申請（專利權）人: 云南電力調度控制中心
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 昆明大百科專利事務所 53106
• 代理人: 何健

技術領域

本發明涉及一種基于全局攻擊圖的攻擊目標可達性的計算方法。

背景技術

由于網絡攻擊手段呈現復雜化和多樣化的趨勢,能否發現引起網絡狀態變遷的攻擊序列已經成為網絡安全評估工作的關鍵環節。目前,攻擊圖模型的生成方法可以分為兩類。第一類方法采用模型檢測或邏輯編程技術生成攻擊圖。這類方法使用模型檢測器或邏輯編程系統檢測針對某一攻擊目標的攻擊路徑。第二類方法采用基于圖論的思想生成攻擊圖。Ammann等人從網絡初始狀態開始,正向搜索所有能夠到達攻擊目標的路徑,然后從攻擊目標開始反向輸出攻擊路徑。張濤和孫亮通過搜索攻擊者在當前網絡狀態下可以利用的主機弱點來獲得網絡狀態間的依賴關系,如果到達目標網絡狀態,則搜索過程停止,輸出攻擊路徑。雖然研究人員提出了多種攻擊圖建模方法,但是這些方法都是面向單一目標的。另外,關于攻擊圖模型的分析方法,尤其是量化分析方法還較少,已有的攻擊圖分析方法在計算目標節點可達概率時只是簡單地求得攻擊路徑上各個弱點的攻擊復雜度乘積,這類方法忽略了這樣一個事實:攻擊者作為智能主體,往往會優先選擇復雜度低的弱點進行攻擊,從而導致分析結果不夠準確。為了解決上述問題,本節提出一種基于攻擊圖的網絡脆弱性量化分析方法。首先對全局攻擊圖模型進行了扼要介紹,然后用轉移概率對攻擊者的行為特征進行描述,給出了一種新的攻擊目標可達概率的計算方法。最后,用實例闡明了該方法在網絡脆弱性分析中的應用,并通過與傳統的分析方法的比較和分析,驗證了該分析方法的正確性和有效性。

為了解現有技術的發展狀況，對已有的論文和專利進行了檢索、比較和分析，篩選出如下與本發明相關度比較高的技術信息：

技術方案1：專利號為CN102638458A的《識別脆弱性利用安全威脅并確定相關攻擊路徑的方法》專利，涉及網絡信息安全技術領域，具體涉及一種識別脆弱性利用安全威脅并確定相關攻擊路徑的方法，主要通過三步完成：第一，根據業務系統的網絡配置和脆弱性信息得到因果關系攻擊圖，將所述因果關系攻擊圖轉換為基于顏色Petri網的網絡攻擊圖；

第二，依據預先定義的業務系統安全目標識別出業務系統中各種脆弱性利用安全威脅目標；第三，將所述基于顏色Petri網的網絡攻擊圖分解為子攻擊圖，得到所述各種脆弱性利用安全威脅目標的攻擊路徑。

技術方案2：專利號為CN101162993B的《一種網絡風險分析方法》專利，涉及一種網絡安全評估技術，特別是一種針對網絡風險的量化評估技術，主要通過五步完成：第一，收集當前網絡的拓撲、弱點、服務信息，構造網絡攻擊圖；第二，根據網絡攻擊圖，計算各個弱點被攻擊者成功利用的概率；第三，將各弱點被成功利用的概率與這些弱點對主機服務、數據的影響結合，計算各弱點對主機可用性、保密性和完整性的風險；第四，考慮各主機的安全需求，計算各主機的綜合風險；第五，根據各主機的綜合風險，計算網絡綜合風險。

技術方案3：專利號為CN101222317A的《一種深度優先的攻擊圖生成方法》專利，涉及一種網絡安全保護方法，主要通過五步完成：第一，收集當前網絡的全部安全要素，構成初始網絡狀態；第二，使用prolog系統搜索攻擊者在到達目標狀態前所有可能經過的網絡狀態；第三，根據搜索到的網絡狀態間的依賴關系，構造攻擊路徑；第四，在構造攻擊路徑時，通過判斷到達目標節點的可能性和攻擊步驟數來降低攻擊圖的規模；第五，將構造的攻擊路徑組合成網絡攻擊圖。

技術方案1所述方法將傳統的因果關系攻擊圖轉換為基于顏色Petri網的網絡攻擊圖。網絡攻擊圖中的各原子攻擊可以獨立執行，且每個原子攻擊的成功實施都可能改變整個網絡系統狀態。因此，比較適合利用顏色Petri網來對網絡攻擊圖進行描述和分析。該發明所述方法基于系統安全目標識別業務系統中所有的安全威脅目標，并采用顏色Petri網仿真實現網絡攻擊圖的分解，可一次性得到所有安全威脅目標的子攻擊圖，即攻擊路徑，效率非常高。但其算法復雜，帶來大量的資源開銷。