网络安全态势分析与可生存性评估研究

论文摘要

态势感知（Situation Awareness）这一概念源于航天飞行的人因（Human Factors）研究,此后在军事战场、核反应控制、空中交通监管（Air Traffic Control,ATC）以及医疗应急调度等领域被广泛地研究。态势感知之所以越来越成为一项热门研究课题,是因为在动态复杂的环境中,决策者需要借助态势感知工具显示当前环境的连续变化状况,才能准确地做出决策。近年来态势感知也被用于网络安全的研究领域,称为网络安全态势感知（Network Security Situation Awareness,NSSA）。当前,网络安全管理人员为获得计算机网络中攻击的高级描述,需要处理来自IDS、防火墙、防病毒软件,以及漏洞扫描器等安全工具所产生的大量报警信息。报警量大、不相关报警多,使得安全管理人员面对大量报警信息很难了解系统的安全威胁状况,不能及时采取合适的响应措施,NSSA可有效地解决此问题。本文在态势感知三级模型的基础上提出了基于多源数据融合的网络安全态势功能模型,接着沿着一条主线展开:多源报警信息输入→报警提炼→网络安全态势输出→攻击发生之后网络可生存性评估研究。从而完成了从报警的产生到攻击分析,到态势输出,再到网络的可生存性评估,给安全管理人员提供了一个高层次的,可理解的当前网络状态的一个完整的结果。为达到此目的,主要从三个方面进行研究:第一,多源数据报警相关性方法的研究。对CPN（Colored Petri Net）进行扩充,增加了反映安全工具报警信息的观测集,形成了ECPN（Extended Colored Petri Net）,并对它进行形式化的描述与图形建模;提出了基于ECPN攻击场景的构建关联算法ECPN-Scenario-Constructor以及攻击动作提取算法Multistep-Abstract;通过对DARPA 2000入侵场景关联评测数据集进行实验,可以对报警进行有效的关联,及早的发现攻击者的攻击策略。第二,基于数据融合的网络安全态势感知的研究。本文分析安全态势在风险评估中的作用,通过形式化的方法从三个层次描述了安全态势:态势特征的提取、当前态势的理解、下一步态势行为的预测。应用D-S证据从横向和纵向两个方面对网络安全态势元素进行融合。横向融合主要解决不同安全工具针对同一攻击事件的报警,从而可以减少攻击的报警数量,增加攻击的可信度。横向融合的结果作为纵向融合的输入,纵向融和研究多传感器相关性算法对多步复杂攻击行为进行相关,并用Petri网描述攻击发生时系统状态的改变,根据攻击事件的到达分析网络当前的安全态势。第三,攻击发生之后网络可生存性的研究。网络可生存性被作为评价参数对网络将来的态势进行预测,用对象Petri网对网络系统进行了形式化的描述与建模,接着构建了系统的攻击失效模型,用模糊推理方法对系统在攻击发生时状态的变化进行了描述,然后在此基础上对攻击行为的严重程度和服务等级进行了有效量化,提出了分布式系统可生存的评价参数,最后用PCTL（Probabilistic real timeComputation Tree Logic）描述了系统的可生存公式,并用模型检测方法来判断网络系统的可生存能力。

论文目录

• 摘要
• Abstract
• 插图索引
• 附表索引
• 第1章 绪论
• 1.1 安全趋势
• 1.1.1 入侵检测的发展趋势
• 1.1.2 纵深防御
• 1.2 网络安全态势
• 1.2.1 网络安全态势感知的概念
• 1.2.2 相关研究进展
• 1.2.3 多源信息融合
• 1.2.4 信息融合系统的模型与级别
• 1.3 网络可生存性
• 1.3.1 可生存性的定义
• 1.3.2 可生存性与相关概念的联系与区别
• 1.3.3 可生存性的建模技术
• 1.3.4 可生存性的分析方法
• 1.3.5 可生存性的评价参数
• 1.4 论文综述
• 1.4.1 问题的提出
• 1.4.2 论文的主要研究内容
• 1.4.3 论文的组织
• 第2章 基于数据融合的网络安全态势分析模型
• 2.1 网络安全态势功能模型
• 2.2 与其他模型的比较
• 2.2.1 多传感器数据融合框架
• 2.2.2 层次化网络系统安全威胁态势评估模型
• 2.2.3 网络安全态势感知概念模型
• 2.2.4 异构网络传感器管理服务框架
• 2.3 本章小结
• 第3章 基于扩展CPN的多源报警相关性
• 3.1 相关术语
• 3.2 入侵检测报警相关性
• 3.2.1 基于聚类的报警相关性
• 3.2.2 基于已知攻击场景库的报警相关性
• 3.2.3 基于推理的报警相关性
• 3.2.4 可视报警相关性
• 3.2.5 基于多源数据报警相关性
• 3.3 入侵检测评测数据集
• 3.3.1 MIT Lincoln Lab数据集
• 3.3.2 Scan of the Month数据集
• 3.3.3 DEFCON数据集
• 3.4 扩展有色Petri网
• 3.5 基于ECPN的攻击场景的构建与提取
• 3.5.1 ECPN-Scenario-Constructor算法
• 3.5.2 Multistep-Abstract算法
• 3.5.3 攻击意图的预测
• 3.6 实验及结果分析
• 3.7 本章小结
• 第4章 网络安全态势分析与风险评估
• 4.1 安全风险评估
• 4.2 网络安全态势分析
• 4.2.1 态势分析与风险评估
• 4.2.2 网络安全态势感知的描述
• 4.2.3 网络安全态势分析的形式化描述
• 4.3 可视相关性
• 4.3.1 可视化
• 4.3.2 可视相关性
• 4.4 基于平行轴的报警航迹相关性
• 4.5 基于Petri网的多步复杂攻击行为的相关性
• 4.5.1 CPN的图形化表示
• 4.5.2 用CPN构建攻击场景
• 4.6 本章小结
• 第5章 基于D-S证据理论的网络安全态势分析
• 5.1 网络安全态势元素
• 5.1.1 网络安全态势元素的构成
• 5.1.2 网络安全态势分析中的具体因素
• 5.2 网络安全态势元素的相关性
• 5.3 态势分析方法
• 5.3.1 Bayesian推理
• 5.3.2 D-S证据理论
• 5.3.3 用Petri网构建攻击场景
• 5.3.4 基于D-S证据理论的态势分析
• 5.4 实验与分析
• 5.5 本章小结
• 第6章 基于模糊推理的网络可生存性建模与分析
• 6.1 引言
• 6.2 可生存性分析的相关研究
• 6.3 基于Petri网的系统的建模与分析
• 6.3.1 基于Petri网的系统的形式化模型
• 6.3.2 基于Petri网的系统的攻击失效模型
• 6.3.3 基于模糊推理的状态转移概率
• 6.4 可生存性的度量
• 6.4.1 攻击发生之后系统的生存能力
• 6.4.2 系统从攻击状态的恢复能力
• 6.5 本章小结
• 结论与展望
• 参考文献
• 致谢
• 附录A 攻读学位期间所发表的学术论文目录