一种基于演化博弈的云分布式入侵检测系统行为分析预测模型

汪传章+徐洪珍+徐德华

摘要：针对目前云计算环境下分布式入侵检测系统行为分析方法的不足，提出用演化博弈理论构建检测系统行为分析的预测模型，用复制动态方程描绘参与人行为策略选取趋势，用演化稳定策略刻画动态局面的收敛方向，分析讨论了不同损益条件对检测系统行为的影响。在该基础上，给出合理的安全方案，供管理人员参考。最后，设计实验进行分析，验证了该模型的理论，以及预测结果的正确性。

关键词：云计算；演化博弈；分布式入侵检测；趋势预测

中图分类号：TP183 文献标识码：A 文章编号：1009-3044（2016）10-0178-03

Abstract： For the lack of distributed IDS behavior analysis method in cloud computing environment， this paper proposes a model based on evolutionary game theory for distributed IDS in cloud behavior analysis and prediction， depict strategy selection trend of participator behavior with replicator dynamics equation， describe convergence trend of dynamic situation with evolutionary stable strategy， and analyse the effect on IDS behavior on different profit and loss condition. Then the paper gives out a reasonable security management suggestion for manager consider. Finally， an experiment is designed over analysis for the model to show the effectiveness of the proposed method.

Key words： cloud computing； evolutionary game； distributed intrusion detection system； trend prediction

1 概述

近年来，随着云计算的蓬勃发展，云计算的新技术、新应用正慢慢延伸到人们的日常工作和生活中，发挥着越来越重要的作用。云计算技术的进步在给人们带来方便和好处的同时，也对人们的信息安全工作提出了新的要求。云计算环境下的安全技术主要包括云资源访问控制、密文处理、数据可用性、隐私保护、虚拟安全技术等[1]。其中，对云资源的访问控制的研究仍然是一大研究热点。学者们对云资源访问控制的研究主要包括安全审计、等级保护、访问控制、入侵检测、信任评估等。其中，入侵检测技术以其主动性、全面性、智能性等优势备受青睐。然而，随着云环境的异构性与复杂性不断增强，传统网络下的入侵检测技术方案并不再能很好适应云计算日趋智能化、系统化、综合化的环境。

针对云环境日益扩大化、复杂化以及单一设备的负载过于集中等问题，学者们纷纷提出适用于云环境下的新型入侵检测模型：Dermott等[2]提出一种基于DS证据理论的协作式跨域云入侵检测系统，Akramifard等[3]则从用户行为模式分类的角度出发，提出一种基于多级模糊神经网的云入侵检测系统。其中，云环境下的分布式入侵检测系统以其独立性、灵活性、可扩展性、错误扩散小、协作性等[4]的优势越来越受到学者们的关注。Li、Kumar等[5-6]提出了一种基于云理论的分布式入侵检测系统，Li[7]提出了一种基于人工神经网的云分布式入侵检测系统，Zhang等[8]提出了一种基于粗糙集的云分布式入侵检测系统。

虽然学者们在云环境下的入侵检测技术研究做了较多工作，但很少有学者对云分布式入侵检测系统行为趋势分析、系统行为发展预测进行深入研究。本文将演化博弈理论应用于云环境下的分布式入侵检测系统行为趋势分析预测，从参与人有限理性的立场出发，提出一种基于演化博弈理论的云分布式入侵检测系统行为分析预测模型，分析讨论不同损益条件对检测系统行为的影响，得出合理的安全管理方案。最后，通过实验验证该模型的理论以及预测结果的正确性。

2 基于演化博弈理论的行为分析预测模型

本文将全部云分布式入侵检测系统看作一个种群，云中的所有分布式入侵检测系统个体是该种群的个体。各个检测系统彼此独立、对等，通过相互之间交换信息，并结合自身现状，作出是否协同工作的决定。种群中有不同比例的群体选取特定行动，将采用不同行动的入侵检测系统抽象成不同“类型”的博弈方，“类型”会随着博弈方策略而改变。执行特定行动的种群个体随机配对，组成参与人组合，也即不同策略选取组合的搭配。

3 基于演化博弈模型的云入侵检测系统行为预测

模型中的入侵检测系统作为思维有限理性的角色，对所处环境、信息并不能做到全完掌握，或可能由于自身原因做出错误决策，使得博弈结果不能总达到最佳。

从检测系统博弈的复制动态方程的鞍点来看，由于，复制动态具备稳健性的演化趋向为和，和都是稳定的演化趋向，也都是检测系统可能的策略选择。若C为定值，当协同工作带来的额外收益（G）与规避风险的保守工作带来的收益（H）之差越大，值越偏向于0，部分面积越大，代表检测系统选取协同工作策略的概率越大；相反，若部分为定值，若协同工作的成本（C）越大，值越偏向于1，代表检测系统拒绝协作、单干的概率越大。例如一般的基础设施即服务（IaaS）设备协同工作的成本（C）一般都不会改变，为提高检测系统协同工作的概率，可尝试减少回避协作带来的收益，或增大协同工作带来的额外收益，以保证云服务设备能够得到更大的保障。

4 实验分析

4.1 数据设定与模拟

本文对模型中的变量进行赋值：取H=10；G=6；C=3，实验结果如图3所示。

4.2 实验结果分析

图3描绘出了随着云入侵检测系统之间的长期博弈过程的进行，检测系统之间博弈策略选取趋势的总体相位图。由图中可观察到，检测系统存在协作与独立工作的可能，如前文分析，即便选择协作的检测系统数量高达70%，也会渐渐趋向于选择独立工作。此时若依前文结论，将协同工作的成本（C）减小为1.9，检测系统之间策略选取趋势的相位图将如图4所示，检测系统独立工作的可能性减少，而与其他检测系统协同工作的可能性增大，由此说明减小检测系统协同工作成本确实有助于增大检测系统协同工作的可能，从而验证了前文的结论。同理将回避收益（H）减少时也将有同样效果。

5 结束语

本文应用基于过程分析的演化博弈理论提出一种云分布式入侵检测系统行为分析预测博弈模型，这种有限理性的演化博弈更符合现实客观条件，通过归纳检测系统的策略收敛方向，以及不同损益对检测系统行为策略趋势造成的影响，实现了对系统的安全分析，为安全方案规划提供参考依据。通过实验验证了该方法的理论，以及预测结果的正确性。然而，由于演化稳定策略本身存在无法描述系统受到随机效应影响时的长期稳态的局限，博弈模型本身还有待完善，未来进一步的工作将研究可应对随机性问题的安全分析演化博弈模型，使分析的结论更准确完善。

参考文献：

[1] 冯登国， 张敏， 张妍， 等. 云计算安全研究[J]. 软件学报， 2011， 22（1）：71-83.

[2] ?ine MacDermott， Qi Shi， Kashif Kifayat. Collaborative Intrusion Detection in Federated Cloud Environments[J]. Journal of Computer Sciences and Applications， 2015， 3（3A）： 10-20.

[3] Akramifard H， Mohammad Khanli L， Balafar M A，et al. Intrusion Detection in the Cloud Environment Using Multi-Level Fuzzy Neural Networks[C]//Proceedings of the International Conference on Security and Management （SAM）. The Steering Committee of The World Congress in Computer Science， Computer Engineering and Applied Computing （WorldComp）， 2015： 75.

[4] 马恒太， 蒋建春， 陈伟锋. 基于Agent的分布式入侵检测系统模型[J].软件学报， 2000， 11（10）：1312-1319.

[5] Han Li， Qiu-xin Wu. A Distributed Intrusion Detection Model based on Cloud Theory[C]//Cloud Computing and Intelligent Systems （CCIS）， 2012 IEEE 2nd International Conference on. IEEE， 2012， 1： 435-439.

[6] Manish Kumar. Distributed Intrusion Detection System Scalability Enhancement using Cloud Computing[J]. Computer Science & Telecommunications， 2014， 41（1）.

[7] Zhe Li. A Neural Network based Distributed Intrusion Detection System on Cloud Platform[D]. The University of Toledo. 2013.

[8] Zhang Ling， Bai Zhong-ying， Xie Kang， et al. Research of Distributed Intrusion Detection Model Based on Rough Set in Cloud Computing[J]. International Journal of Advancements in Computing Technology， 2013， 5（4）.

[9] 任趁妮. 电子商务网络间协同入侵检测系统的进化博弈模型[D]. 南京：南京师范大学，2013.