摘要：校園信息化建設(shè)在我國取得了長(zhǎng)足進(jìn)展，網(wǎng)絡(luò)攻擊也越來越多。該文將基于Markov博弈的網(wǎng)絡(luò)安全態(tài)勢(shì)感知方法引入到高等院校的網(wǎng)絡(luò)安全實(shí)踐中。利用Markov博弈模型分析網(wǎng)絡(luò)威脅的傳播過程，并給出量化的安全態(tài)勢(shì)評(píng)估。實(shí)驗(yàn)證明NSSAMG算法能夠很好地定量描述網(wǎng)絡(luò)威脅的嚴(yán)重程度。態(tài)勢(shì)評(píng)估結(jié)果有助于合理實(shí)施安全加固方案，提高了系統(tǒng)的安全性。

關(guān)鍵詞：Markov博弈;網(wǎng)絡(luò)安全態(tài)勢(shì)感知;零和博弈;校園網(wǎng)絡(luò)

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A

文章編號(hào)：1009-3044（2020）29-0072-03

計(jì)算機(jī)網(wǎng)絡(luò)越來越廣泛地運(yùn)用于高校的校園管理和教學(xué)事務(wù)中。校園內(nèi)外大量復(fù)雜的信息交流，日益復(fù)雜的網(wǎng)絡(luò)結(jié)構(gòu)，各種新型網(wǎng)絡(luò)攻擊手段層出不窮。傳統(tǒng)的入侵檢測(cè)系統(tǒng)無法完全監(jiān)控和防御網(wǎng)絡(luò)攻擊行為。引入網(wǎng)絡(luò)安全態(tài)勢(shì)感知（ network security situation awareness，NSSA）十分有必要。

網(wǎng)絡(luò)態(tài)勢(shì)是指有各種網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)行為以及用戶行為等因素所構(gòu)成的整個(gè)網(wǎng)絡(luò)當(dāng)前狀態(tài)和變化趨勢(shì)[1]。網(wǎng)絡(luò)安全態(tài)勢(shì)感知（NSSA）指對(duì)網(wǎng)絡(luò)安全要素進(jìn)行獲取、理解、顯示和預(yù)測(cè)。NSSA的研究一般集中在網(wǎng)絡(luò)安全狀態(tài)的圖形化呈現(xiàn)[2]、量化評(píng)估[3]和數(shù)據(jù)融合[4l三方面。

本論文將Markov博弈模型運(yùn)用到高校校園網(wǎng)絡(luò)安全態(tài)勢(shì)感知研究中，對(duì)校園網(wǎng)進(jìn)行網(wǎng)絡(luò)安全評(píng)估，并對(duì)評(píng)估結(jié)果展開分析。

1 網(wǎng)絡(luò)安全態(tài)勢(shì)感知

態(tài)勢(shì)感知分成4個(gè)步驟：數(shù)據(jù)采集、態(tài)勢(shì)理解、態(tài)勢(shì)評(píng)估、態(tài)勢(shì)預(yù)測(cè)。網(wǎng)絡(luò)系統(tǒng)數(shù)據(jù)包括網(wǎng)絡(luò)結(jié)構(gòu)、資產(chǎn)、脆弱性、威脅等等。態(tài)勢(shì)理解和評(píng)估的過程應(yīng)當(dāng)簡(jiǎn)潔明了，便于實(shí)現(xiàn)，滿足實(shí)時(shí)性要求。態(tài)勢(shì)感知結(jié)果應(yīng)當(dāng)直觀地展現(xiàn)給用戶，滿足用戶的多種需求。最后能提供加固方案（防御措施）供管理員參考實(shí)施，以提高網(wǎng)絡(luò)安全性。

NSSA系統(tǒng)在網(wǎng)絡(luò)中部署多個(gè)傳感器，采集網(wǎng)絡(luò)信息進(jìn)行數(shù)據(jù)融合并匯總，利用這些信息構(gòu)造數(shù)學(xué)模型，用數(shù)學(xué)方法精確描述網(wǎng)絡(luò)系統(tǒng)的安全態(tài)勢(shì)和變化趨勢(shì)，并給出網(wǎng)絡(luò)安全加固方案。

2 Markov博弈理論

Markov博弈理論是博弈理論和Markov過程結(jié)合。網(wǎng)絡(luò)安全的案例中，攻擊方和網(wǎng)絡(luò)防御方展開博弈。攻擊方的目的是竊取信息、癱瘓網(wǎng)絡(luò)服務(wù)、竊取網(wǎng)絡(luò)資源。防御方的目的是保護(hù)機(jī)密信息，維護(hù)網(wǎng)絡(luò)服務(wù)正常運(yùn)行，防止網(wǎng)絡(luò)資源被盜用。一方的收益就是另一方的損失，所以雙方展開雙人零和博弈。

這里利用Markov決策過程（Markov Decision Process，MDP）網(wǎng)絡(luò)安全系統(tǒng)在考慮網(wǎng)絡(luò)攻擊者策略的同時(shí)，采取策略使網(wǎng)絡(luò)受的威脅最小。這里用1表示網(wǎng)絡(luò)安全系統(tǒng)，2表示網(wǎng)絡(luò)攻擊者。所以博弈均衡點(diǎn)上的網(wǎng)絡(luò)安全評(píng)估值為：

3 基于Markov博弈理論的網(wǎng)絡(luò)安全態(tài)勢(shì)評(píng)估算法

基于Markov博弈理論的網(wǎng)絡(luò)安全態(tài)勢(shì)評(píng)估算法（NSSAMG算法）

輸入：數(shù)據(jù)采集模塊檢測(cè)到的各類安全數(shù)據(jù)

輸出：量化的網(wǎng)絡(luò)安全態(tài)勢(shì)

1）依據(jù)網(wǎng)絡(luò)結(jié)構(gòu)對(duì)傳感器收集網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行數(shù)據(jù)融合，得到各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)的信息。對(duì)每個(gè)不同的安全威脅t建立威脅傳播網(wǎng)TPN（t）。

2）根據(jù)TPN（t）建立Markov博弈模型，rIPN（t）中的每個(gè)節(jié)點(diǎn)的狀態(tài)近似為一個(gè)Markov狀態(tài)。利用公式（2）和公式（3）計(jì)算路徑中各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)（狀態(tài)）的保密性、完整性、可用性的威脅值，評(píng)估t的安全態(tài)勢(shì)。

3）利用公式（4）制定針對(duì)t的網(wǎng)絡(luò)安全加固方案。

4）將威脅集合中所有威脅的保密性、完整性、可用性損害分別求和，分別得到三方面的安全評(píng)估。

5）運(yùn)用加權(quán)模型評(píng)估網(wǎng)絡(luò)的整體安全態(tài)勢(shì)。

在該算法的第2步中采用公式（2）進(jìn)行有限次數(shù)的迭代運(yùn)算。第4步中將集合中的損害分別采用指數(shù)求和的方法求和，而不是簡(jiǎn)單的線性求和。指數(shù)求和公式是：

4 實(shí)驗(yàn)分析

這里給出網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)在高校網(wǎng)絡(luò)中應(yīng)用的范例，其網(wǎng)絡(luò)結(jié)構(gòu)如圖所示，校園內(nèi)外由防火墻隔開，內(nèi)部由兩臺(tái)核心交換機(jī)組成了鏈路備份，并連接各部門和單位的局域網(wǎng)。態(tài)勢(shì)感知系統(tǒng)首先在網(wǎng)絡(luò)節(jié)點(diǎn)上部署傳感器（軟件或硬件），對(duì)各臺(tái)主機(jī)和服務(wù)器進(jìn)行惡意代碼和脆弱性檢測(cè)。根據(jù)收集的信息融合得到了資產(chǎn)集合、威脅集合、脆弱集合，建立TPN。

利用傳感器收集的數(shù)據(jù)設(shè)置網(wǎng)絡(luò)節(jié)點(diǎn)的信息，用六元組來表示，例如（N6，5，5，3，0，1）表示節(jié)點(diǎn)N6的ID名、保密性等級(jí)、完整性等級(jí)，可用性等級(jí)、是否被感染、是否可能受到威脅。威脅傳播路徑TPN由被感染網(wǎng)絡(luò)節(jié)點(diǎn)的六元組序列按順序構(gòu)成。利用NSSAMG算法計(jì)算各節(jié)點(diǎn)在各個(gè)狀態(tài)下受到的威脅度，得到最優(yōu)化加固方案，再根據(jù)網(wǎng)絡(luò)管理員事先制定的具體加固方案進(jìn)行加固。

這里用模擬實(shí)驗(yàn)對(duì)NSSAMG算法的性能進(jìn)行評(píng)估，并與未考慮威脅傳播的態(tài)勢(shì)感知方案進(jìn)行比較。模擬實(shí)驗(yàn)中的折扣系數(shù)口取0.8，網(wǎng)絡(luò)威脅傳播概率取0.4。初始的威脅節(jié)點(diǎn)是（Ns，0，5，5，1，1）。

圖3中展示了大約25個(gè)迭代周期中網(wǎng)絡(luò)系統(tǒng)安全態(tài)勢(shì)的變化情況。當(dāng)沒有采用NSSAMG算法時(shí)，系統(tǒng)僅僅記錄威脅不斷擴(kuò)散的情況，最終所有網(wǎng)絡(luò)節(jié)點(diǎn)都被惡意程序感染，網(wǎng)絡(luò)受到的威脅值高達(dá)33左右。如果采用NASSMG算法，Markov博弈算法計(jì)算狀態(tài)后續(xù)可能的威脅行為和加固行為帶來的影響，所以當(dāng)關(guān)鍵的網(wǎng)關(guān)節(jié)點(diǎn)遭到網(wǎng)絡(luò)威脅時(shí)，NSSAMG給出了較高的威脅評(píng)估值。而隨著威脅以一定的概率擴(kuò)散，NSSAMG給出對(duì)應(yīng)的加固方案，把網(wǎng)絡(luò)威脅值控制在一個(gè)較為穩(wěn)定的范圍內(nèi)。網(wǎng)絡(luò)狀態(tài)進(jìn)入穩(wěn)定狀態(tài)，網(wǎng)絡(luò)安全評(píng)估值穩(wěn)定在8.5左右。

5 結(jié)束語

本文將基于Markov博弈的網(wǎng)絡(luò)安全態(tài)勢(shì)感知方法引入到高等院校的網(wǎng)絡(luò)安全實(shí)踐中。網(wǎng)絡(luò)攻擊者和網(wǎng)絡(luò)安全防御方進(jìn)行雙方零和博弈，以此分析網(wǎng)絡(luò)威脅的傳播過程，并給出最佳加固方案。實(shí)驗(yàn)證明NSSAMG算法能夠很好地定量描述網(wǎng)絡(luò)資產(chǎn)的價(jià)值和網(wǎng)絡(luò)威脅的嚴(yán)重程度。態(tài)勢(shì)評(píng)估結(jié)果幫助合理實(shí)施安全加固方案，提高了系統(tǒng)的安全性。

參考文獻(xiàn)：

[1] Seddigh N，Pieda P，Matrawy A，et aI.Current trends and advanc-es in information assurance metrics[C]//Proc.of the 2nd AnnualConf. on Privacy，Security and Trust.2004：197-204.

[2] Lau S.The spinning cube of potential doom[Jl.Communicationsof the ACM，2004，47（6）：25.

[3] Chen X Z，Zheng Q H，Guan X H，et aI.Quantitative hierarchicalthreat evaluation model for network security[J].Journal of Soft-ware，2006，17（4）：8 85- 897.

[4] Steinberg A N，Bowman C L，White F E.Revisions to the JDL data fusion modeI[C]// SPIE. Proc. of the Sensor Fusion： Archi- tectures， Algorithms， and Applications， SPIE 3719. Orlando： SPIE， 1999.

[5] Sutton R S，Barto A G.Reinforcement learning：An introduction[M].2nd ed.MIT press，2018.

[6] Panin A，Shvechikov P，Practical Reinforcement Learning[D].Coursera and National Research University Higher School ofEconomics，2017.

[7]邱錫鵬，神經(jīng)網(wǎng)絡(luò)與深度學(xué)習(xí)[M].Github Inc，2018.

[8] GB/T 20984-2007.lnformation security technology-Risk as-sessment specification for information security[S].General Ad-ministration of Quality Supervision，lnspection and Quarantineof P.R.C，2007（in Chinese）.

【通聯(lián)編輯：謝媛媛】

作者簡(jiǎn)介：宣慧（1979-），女，江蘇南京人，工程師，碩士，研究方向?yàn)橛?jì)算機(jī)應(yīng)用和網(wǎng)絡(luò)安全。