基於貝葉斯網絡推理的攻擊意圖識別方法
2023-09-19 02:57:10
專利名稱：基於貝葉斯網絡推理的攻擊意圖識別方法
技術領域：
本發明涉及計算機網絡安全技術領域，特別指一種基於貝葉斯網絡推理的攻擊意圖識別方法，可用於計算機網絡自組織對抗(Computer Network Self-OrganizingOperations, CNS00)中。
背景技術：
目前網絡攻擊向複雜性、多樣性和分布性方向發展，現實中的攻擊絕大多數不是孤立的行為，而是由許多分散行為(一系列的攻擊動作)所構成的複合攻擊。一般的入侵檢測系統中，只對單獨的攻擊行為報警，報警信息量大而不易理解和分析，亦不能預測攻擊者下一步可能發生的攻擊。攻擊意圖是攻擊者試圖通過一系列攻擊行為最終達到的攻擊目的，而攻擊意圖識別是依據觀察到的攻擊者行為識別其攻擊意圖的過程。攻擊意圖識別可以獲得隱藏在大量攻擊事件背後的攻擊意圖，作為主動防禦的基礎增強系統的防禦能力， 提高對入侵檢測系統的有效利用。計算機網絡自組織對抗(ComputerNetwork Self-Organizing Operations,CNS00)是一種為在計算機網絡上獲取並維持信息優勢而由計算機自動地決策和組織實施的攻擊、防禦和利用行動。其中計算機網絡自組織對抗的情報生成行為是從目標的運行狀態到其態勢的映射，而計算機網絡自組織對抗的決策行為可構造為從企圖和態勢到行動方案的映射。計算機網絡對抗情報系統需要能為決策系統提供攻擊者的攻擊意圖，因此情報系統需要能識別攻擊者的攻擊意圖並提供給決策系統作為決策的依據。因此，本發明面向CNS00的攻擊意圖識別技術，使其擁有更好的準確率和識別效率，為決策系統提供攻擊者的攻擊意圖。攻擊意圖識別基於某一攻擊場景，提出了適用於面向CNS00攻擊意圖識別的攻擊場景描述方法，根據攻擊行為、漏洞信息和拓撲信息之間的關係自動地生成攻擊場景，作為攻擊意圖識別的基礎。本發明面向CNS00的攻擊意圖識別中意圖概率的計算方法，根據攻擊場景和IDS報警信息，推理計算出攻擊意圖概率，並根據計算結果和歷史信息更新計算參數，使計算結果更加準確。
發明內容
本發明解決的技術問題克服現有技術的不足，提供一種基於貝葉斯網絡推理的攻擊意圖識別方法，能夠根據拓撲信息、漏洞信息和攻擊行為約束關係等自動地生成攻擊場景，並根據攻擊場景和觀測攻擊行為序列識別出攻擊者的攻擊意圖，同時根據歷史信息進行計算中的參數學習。本發明採用的技術方案是一種基於貝葉斯網絡推理的攻擊意圖識別方法，該方法根據給定的拓撲信息、拓撲中主機的漏洞信息和攻擊行為之間的約束關係，利用前向搜索廣度優先的方法自動地生成攻擊圖作為攻擊場景，接下來將生成的攻擊場景與IDS的報警信息進行匹配，基於貝葉斯網絡推理的方法，推算出攻擊者的攻擊意圖概率，並且能夠根據推算結果和歷史信息對計算的參數進行更新；所述的自動地生成攻擊圖的方法為攻擊意圖識別需要基於一個給定的攻擊場景，根據觀察到的攻擊行為序列計算攻擊意圖的概率，利用攻擊圖對攻擊場景進行描述，攻擊場景是在給定網絡環境下攻擊者實現其攻擊意圖的一系列攻擊行為，根據攻擊前件和攻擊後件的關係，採用前向搜索廣度優先的思想，匹配攻擊規則，尋找攻擊前件滿足的節點，並生成相應的圖節點和邊；所述的推算出攻擊者的攻擊意圖概率的方法為
攻擊意圖計算採用貝葉斯網絡進行；貝葉斯網絡是一個有向無環圖，其中節點代表隨機變量，節點間的邊代表變量之間的直接依賴關係；根據攻擊行為的前件後件關係構建出了攻擊場景，以此作為貝葉斯網絡的結構；根據獲得的IDS報警信息聚合後的攻擊行為，與貝葉斯網絡中節點進行匹配，匹配到的節點及其父節點形成節點對，利用貝葉斯網絡參數學習算法更新攻擊行為對的條件概率分布，再根據IDS對匹配到節點攻擊類型的檢測能力設置匹配節點的概率值，利用團樹傳播算法計算貝葉斯網絡中攻擊意圖節點和當前節點父節點的概率值，根據當前節點的父節點的後驗概率更新IDS對其父節點攻擊類型的檢測能力，最後輸出攻擊意圖節點的概率值。其中，所述的貝葉斯網絡參數學習算法具體為根據攻擊行為的前件後件關係構建出了攻擊場景，並以此作為貝葉斯網絡的結構轉；而貝葉斯網絡的參數，即貝葉斯網絡轉換的條件概率則由貝葉斯網絡參數學習的方法獲得，參數學習在統計學中稱為參數估計，在貝葉斯估計的框架中，參數e被視為隨機變量，對它進行估計就是計算其後驗概率分布，為此，首先要選用一個概率分布P (e)來總結關於0的先驗知識，然後把數據D= (d」d2，…，dj的影響用似然函數L(e |d) =p(d| 0)來歸納，最後使用貝葉斯公式P(X|E = e) ocP(x)L(x|E = e)將先驗分布和似然函數結合，得到0的後驗分布，就是0的貝葉斯估計p( 0 D) p( 0 )L( 0 D)考慮一個由n個變量X = (X1, X2, , XJ組成的貝葉斯網絡，設其中節點Xi共有A個取值1，2，...，&，其父節點(Xi)的取值共有qi個取值1，2，...，Qi,網絡的參數為0 iJk = P (Xi = k n (Xi) = j)
m貝葉斯網絡樣本D = ((I1, d2，…，dm)，定義w =^x(i,j,k: dt)唧m..k是數據中滿
I=I
權利要求
1.一種基於貝葉斯網絡推理的攻擊意圖識別方法，其特徵在於根據給定的拓撲信息、拓撲中主機的漏洞信息和攻擊行為之間的約束關係，利用前向搜索廣度優先的方法自動地生成攻擊圖作為攻擊場景，接下來將生成的攻擊場景與IDS的報警信息進行匹配，基於貝葉斯網絡推理的方法，推算出攻擊者的攻擊意圖概率，並且能夠根據推算結果和歷史信息對計算的 參數進行更新； 所述的自動地生成攻擊圖的方法為 攻擊意圖識別需要基於一個給定的攻擊場景，根據觀察到的攻擊行為序列計算攻擊意圖的概率，利用攻擊圖對攻擊場景進行描述，攻擊場景是在給定網絡環境下攻擊者實現其攻擊意圖的一系列攻擊行為，根據攻擊前件和攻擊後件的關係，採用前向搜索廣度優先的思想，匹配攻擊規則，尋找攻擊前件滿足的節點，並生成相應的圖節點和邊； 所述的推算出攻擊者的攻擊意圖概率的方法為 攻擊意圖計算採用貝葉斯網絡進行；貝葉斯網絡是一個有向無環圖，其中節點代表隨機變量，節點間的邊代表變量之間的直接依賴關係；根據攻擊行為的前件後件關係構建出了攻擊場景，以此作為貝葉斯網絡的結構；根據獲得的IDS報警信息聚合後的攻擊行為，與貝葉斯網絡中節點進行匹配，匹配到的節點及其父節點形成節點對，利用貝葉斯網絡參數學習算法更新攻擊行為對的條件概率分布，再根據IDS對匹配到節點攻擊類型的檢測能力設置匹配節點的概率值，利用團樹傳播算法計算貝葉斯網絡中攻擊意圖節點和當前節點父節點的概率值，根據當前節點的父節點的後驗概率更新IDS對其父節點攻擊類型的檢測能力，最後輸出攻擊意圖節點的概率值； 其中，所述的貝葉斯網絡參數學習算法具體為 根據攻擊行為的前件後件關係構建出了攻擊場景，並以此作為貝葉斯網絡的結構轉；而貝葉斯網絡的參數，即貝葉斯網絡轉換的條件概率則由貝葉斯網絡參數學習的方法獲得，參數學習在統計學中稱為參數估計，在貝葉斯估計的框架中，參數e被視為隨機變量，對它進行估計就是計算其後驗概率分布，為此，首先要選用一個概率分布P (e)來總結關於e的先驗知識，然後把數據D= ((I1,d2,...,dffl)的影響用似然函數L(e |d) =p(d 0)來歸納，最後使用貝葉斯公式P(X|E = e) ocP(x)L(x|E = e)將先驗分布和似然函數結合，得到0的後驗分布，就是0的貝葉斯估計 p(9 D) °-p(0)L(0 D) 考慮一個由n個變量X= (X1, X2,, XJ組成的貝葉斯網絡，設其中節點Xi共有&個取值1，2，...，&，其父節點(Xi)的取值共有qi個取值1，2，...，Qi,網絡的參數為0iJk = P (Xi = k n (Xi) = j) m 貝葉斯網絡樣本D = ((I1, d2，. .，dm，定義％ =Xx(U,k'為)，即mijk是數據中滿足Xi ^=I=k和(Xi) = j的樣本的數量，稱為充分統計量，因此，對數似然函數為mnf'i KO |￡>)=Z log Pidl \m=yjZ iog % t=lI=I j=l k=l 0的似然函數為 ^i^)=flflficri=l J=I k=l根據貝葉斯公式，有
全文摘要
本發明提供一種基於貝葉斯網絡推理的攻擊意圖識別方法，包括如下內容用於計算機網絡自組織對抗中加入參數學習機制的面向情報決策系統的攻擊意圖識別方法，該方法能夠在計算機網絡自組織對抗環境中，讓情報系統根據已給定的主機漏洞信息、網絡拓撲信息和攻擊知識庫，利用IDS報警信息識別攻擊者的攻擊意圖並提供給決策系統作為決策的依據。攻擊意圖識別過程為攻擊場景生成，IDS報警信息聚合匹配，更新攻擊行為對的條件概率分布，利用貝葉斯網絡推理中團樹傳播算法計算攻擊意圖節點概率，進行貝葉斯網絡參數和IDS檢測能力的更新。並根據計算結果和歷史信息更新計算參數，使計算結果更加準確。
文檔編號H04L29/06GK102724199SQ20121021317
公開日2012年10月10日 申請日期2012年6月26日 優先權日2012年6月26日
發明者馮傑, 原志超, 夏春和, 姚珊 申請人:北京航空航天大學