网络脆弱性评估及入侵报警分析技术研究

论文摘要

近年来,在网络技术飞速发展和网络规模不断增大的同时,与网络有关的攻击、入侵等安全事件也愈来愈多。理论和实践表明,其主要原因在于计算机主机及网络存在着安全脆弱性。因此,如何对网络脆弱性做出准确的评估,对网络安全报警做出及时的判断,就显得尤为重要。目前,网络安全性评估已经成为网络安全领域的研究热点之一。本文从网络脆弱性角度出发,对网络系统安全性评估中涉及的网络脆弱性评估和入侵报警分析等关键技术进行了深入研究,主要包括以下四个方面：(1)构建主机状态攻击图攻击图由于其具备描述网络脆弱性及其相互关系的能力,通常被用来进行网络安全性分析。本文在以主机为中心的攻击图中,引入节点状态概率和前置状态节点,提出主机状态攻击图的生成方法。该方法不仅有利于控制攻击图的生成规模,而且能够有效表达到达目标状态的最有可能被利用的攻击路径,为后续网络安全分析提供决策支持。(2)基于成本模型,采用多目标优化的遗传算法进行安全加固成本分析如何求解最小安全加固措施集合,即以最小的成本代价,最大限度的减少脆弱性带来的影响,从而保证网络的整体安全性成为攻击图分析的研究重点。本文提出了一种基于遗传算法的加固措施多目标优化模型,该模型首先从损失影响的角度,基于攻击图评估目标网络的潜在损失；进一步地,当采取一系列安全控制措施后,基于成本模型,在目标网络的剩余损失值和安全措施的总成本间寻求平衡；在此基础上,通过多目标优化的遗传算法找到近似最优解,管理员可以有针对性的进行网络脆弱性修补,增强网络的总体安全性能。(3)提出基于特征分布的报警分析方法在大规模网络系统中,网络管理员面临着严峻的挑战,很难从大量入侵检测系统的报警中提取攻击行为,因为真正有威胁的报警被淹没在海量的包含正常行为的报警中。基于“网络攻击行为间的相关性必然反映在其报警信息间的某种相关性”这一假设,我们对网络异常行为引起的报警特征分布的突变进行分析,并将这种检测看作是报警特征(如报警类型,特征,IP地址和端口)的多元变化检测。报警属性间的规律性正是攻击行为模式的体现,可作为攻击检测的依据。在此基础上,本文提出了一种基于相对熵理论的报警分析方法,计算报警流的特征分布相对于参考分布的KL距离,即反映了报警流的特征分布相对于参考分布的变化,其中参考分布是历史数据和专家知识的混合分布。实验将该方法应用于从实际大型网络中收集的报警数据,结果表明,该方法能够揭示攻击行为之间的联系,有效发现多种类型的攻击,攻击事件不仅包括安全事件,如端口扫描,DoS攻击,还包括网络事件,如网络失效或者不恰当的配置。(4)基于置信度理论的入侵诊断及预测基于置信度理论,建立了一个用于实时评估主机威胁状况的模型。该模型结合攻击图,计算各个时刻目标网络面临的攻击威胁,评估主机的攻击能力和受威胁程度的变化,把握威胁态势,预测下一步可能发生的攻击,从而实现对目标网络安全性的综合评估。实验使用了DARPA2000数据集对方法进行验证,实验结果显示该方法能够对多步攻击行为提前做出判断。

论文目录

• 摘要
• Abstract
• 1 绪论
• 1.1 研究背景
• 1.1.1 脆弱性概述
• 1.1.2 脆弱性加固
• 1.1.3 脆弱性分析模型
• 1.2 究目标和主要成果
• 1.2.1 研究目标
• 1.2.2 主要成果
• 1.3 论文结构
• 2 相关研究综述
• 2.1 网络脆弱性建模方法研究
• 2.1.1 脆弱性识别工具
• 2.1.2 脆弱性描述语言
• 2.1.3 脆弱性评估方法
• 2.2 攻击图
• 2.2.1 攻击图的生成方法
• 2.2.2 攻击图的发展情况
• 2.3 攻击图的应用
• 2.3.1 网络安全度量
• 2.3.2 网络安全加固
• 2.3.3 网络入侵预警关联
• 2.4 现状分析
• 3 攻击图的构建技术
• 3.1 网络安全建模
• 3.1.1 脆弱性影响因素
• 3.1.2 攻击者模型
• 3.1.3 攻击模式库
• 3.2 攻击图构建技术
• 3.2.1 主机状态攻击图
• 3.2.2 主要算法
• 3.2.3 优化技术
• 3.3 攻击图的分析方法
• 3.4 算法性能分析
• 3.4.1 实验与分析
• 3.4.2 计算复杂度分析
• 3.5 本章小结
• 4 基于多目标优化的安全加固成本分析
• 4.1 引言
• 4.2 多目标优化
• 4.3 成本模型
• 4.3.1 安全加固措施
• 4.3.2 评估潜在损失
• 4.3.3 评估剩余损失
• 4.3.4 评估安全加固成本
• 4.4 安全加固成本分析
• 4.4.1 问题描述
• 4.4.2 遗传算法
• 4.4.3 模式分析
• 4.5 实验分析
• 4.5.1 网络环境
• 4.5.2 加固措施的选择
• 4.5.3 敏感度分析
• 4.6 本章小结
• 5 基于特征分布的报警分析
• 5.1 引言
• 5.2 相关工作和理论背景
• 5.2.1 入侵报警分析
• 5.2.2 信息熵和相对熵
• 5.3 报警流
• 5.3.1 报警
• 5.3.2 报警特征
• 5.4 基于信息熵的报警特征选择
• 5.4.1 特征的选取和量化
• 5.4.2 特征的关联分析
• 5.5 基于特征分布的报警分析方法
• 5.5.1 总体结构
• 5.5.2 相对熵计算
• 5.5.3 参考分布
• 5.5.4 阈值检测
• 5.6 实验分析
• 5.6.1 数据集
• 5.6.2 间隔取样
• 5.6.3 实验结果
• 5.6.4 异常分类
• 5.7 本章小结
• 6 基于置信度的入侵诊断及预测
• 6.1 引言
• 6.2 置信度理论
• 6.2.1 背景
• 6.2.2 规则置信度
• 6.2.3 与概率论相比
• 6.3 基于规则的专家系统
• 6.3.1 攻击的不确定性
• 6.3.2 规则描述
• 6.3.3 置信度推理
• 6.3.4 主要算法
• 6.4 实验结果
• 6.4.1 实例分析
• 6.4.2 DAPRA数据集
• 6.4.3 讨论
• 6.5 本章小结
• 7 结论与展望
• 7.1 全文总结
• 7.2 下一步工作
• 参考文献
• 攻读博士学位期间的科研成果
• 攻读博士学位期间的科研项目
• 致谢