基于多步攻击下的网络安全态势评估分析

DOI：10.19392/j.cnki.16717341.201714047

摘要：随着互联网的不断发展，网络给人们带来便捷的同时也存在一些安全隐患问题。对网络安全的攻击有很多种方式，为了更好地的对网络安全态势进行评估，就需要结合网络中的报警数据对其进行因果分析，识别出攻击的意图与当前的攻击阶段，本文主要阐述网络安全态势评估的基础，然后找到网络安全隐患的问题，针对主机的漏洞与配置信息，对网络安全态势进行评估。通过构建模型，根据攻击的次数、频率，对网络安全进行进一步的预测，使其能够更加准确地反映出攻击的情况，对网络安全态势预测的结果进行整理，提高预测的准确性。

关键词：多步攻击；网络安全；评估

一、网络安全态势评估的基础

網络安全的状态是根据在出现攻击时，出现的攻击轨迹和各种攻击轨迹对网络产生的影响。当不同的攻击者在入侵到电脑中都会有不同的行为进而会带来不同的影响。在对网络安全态势的评估中主要要注意攻击信息和网络环境信息。

首先，要对网络安全态势评估的基础信息进行阐述。一是主机信息。在主机信息中主要包括网络中的主机及设备，比如软件、硬件等。随着网络技术的发展，其中最容易受到攻击的是网络设备，所以在进行分析时要从整体的角度去看问题。在对主机信息进行描述时，可以通过四元组的方式来进行。还要对主机的IP地址，主机所运行的服务信息比如说SSHD、SQL、HTTP等进行了解，根据主机上存在的一些问题可以找到网络安全的漏洞。

随着网络的发展，网络攻击成为人们关注的问题，主机之间很容易出现一些漏洞问题，可以把这一问题可以直接归结为脆弱性集合V。当对数据进行收集时，可以通过五元组来进行表示。其中，ID也就是脆弱性集合中的显著标志。在网络安全态势，脆弱性集合也有不同的类型，在网络运行的过程中容易出现一些错误的信息，按照分类可以包括非安全策略、防火墙配置错误、设备接入权限设置错误等。在网络中会存在一些漏洞问题，就需要相关人员在网络中对这些漏洞进行统计，再根据IP地址对这些信息进行采集，通过漏洞去分析可能会造成的危害，然后对整个网络的脆弱性进行系统的描述。在网络安全态势评估中，有一个因素很重要那就是拓扑结构。拓扑结构是指在网络过程中主机是通过这一物理结构进行连接的，在表示方面可以用无向图来代表。其中，N是主机中的一个集合点，E 表示连接节点间的边。

在网络安全态势评估中，不可忽视的一点就是网络的连通性。网络的连通性也就是指主机与主机之间的通信关系。在进行连接的过程中要想保证整个网络的安全性能，就需要管理者通过一系列的行为限制访问者，这样能够使一些外部的主机不能够访问到内部的网络，或者是仅仅可以通过部分的协议与端口进行通信，这一行为能够在一定程度上保护网络的安全性。在这一过程中可以使用一个三元组，通过其来对网络的连通关系进行阐述，进而通过双方连接完成这一关系。

原子攻击事件是指在整个网络运行过程中攻击者对其进行单个攻击，主要是通过服务器的一些漏洞而进行这一行为，通过一个八元組对其进行表示。其中，在这一攻击事件中ID是主要因素，除此之外还包括发生的时间、地址、攻击者的源端口等，在整个事件中要分析攻击类型需要结合安全事件中发生的实际情况，然后对前因后果进行分析得出该攻击事件会发生的概率。

在网络安全态势中，需要对攻击状态转移图进行考量。在攻击状态转移图中使用一个四元组，S 表示状态节点集合。在状态节点集合中，要考虑到集合点中的子节点。还可以通过二元组的方式，对攻击状态中的转移图进行组合。在整个安全事件中可以把表示完成状态转移为I，把其作为所必需的原子攻击事件。在一个二元组中，用一个二元组 （Si，di）表示，表示攻击间的依赖关系，然后根据攻击类型集合的有序对其进行判断。其中，在该集合中表示该攻击状态的父节点必须全部成功，这样才能够保证在攻击阶段实现，然后来确定依赖关系为并列关系。在整个关系中，当在攻击状态中任意一个父节点成功，就可以保证攻击状态实现，在这个关系中依赖关系为选择关系。在整个网络安全态势转移模型中，也就是通过根据以往的网络攻击模式来建立模型，这样能够充分得出攻击模型库。然后可以选择一些实际的网络攻击事件，对其进行攻击的状态转移图设计。就比如最近出现的勒索软件事件，这就属于一种多步攻击下的网络安全事件。在这次事件中，通过状态节点集合，找到地址然后分析该行为进行登录，在攻击事件中包括文件列表网络探测扫描、登录操作等。还可以通过两个状态节点对网络安全态势进行分析，比如IP地址嗅探是端口扫描的父节点，当在检测的过程中处于端口扫描时，就说明该形成已经成功，也就意味着二者存在并列关系。

二、网络安全态势评估的整体流程

网络安全态势评估的流程如下：

一是要对整个安全态势的数据进行收集。需要根据检测出来的结果，再根据网络运行过程中的数据，对收集的信息进行规范，这样能够得出网络安全态势评估中所需要的要素集。在对网络安全态势要素集进行分析时，要从两个方面来进行考量，1）是攻击方信息，2）是环境信息。攻击方信息是通过互联网入侵的过程中遗留下来的一些痕迹，比如一些防火墙，然后根据这些报警信息找出攻击事件发生的原因。环境信息包含主机信息、拓扑结构、网络连通性。在对该数据进行收集时，主要是对一些网络信息收集过程中遗漏下的数据，然后在通过拓扑结构对其进行统计，利用防火墙过滤其中的不安全信息。主机信息是在系统运营阶段把一些软件中容易出现漏洞的情况，对其进行进一步的补充。

二是对网络攻击阶段进行识别。在这一阶段中，要对数据进行系统的收集，然后根据数据分析出现攻击行为的原因。这样才能够对攻击者的行为进行特点的归类，这样才能够把已有的攻击信息整合到多个事件中，然后根据每个事件之间的关系对其进行场景的划分，这样便于预测出攻击者的攻击轨迹。最后，在结合实际中出现的攻击场景，结合攻击者在整个过程中所采用的方式对比，这样能得出攻击的阶段。

三是要对网络安全态势进行合理分析。在网络安全态势的评估中要以攻击阶段结果为基础，这样才能够整合网络中的信息，根据相应的量化指标，进而对整个网络安全态势进行评估。

三、提高多步攻击下网络安全态势的策略

（一）建立网络安全态势评估模型

随着信息技术的发展，很多网络安全问题也接踵而至，大量的信息存在良莠不齐的情况，容易出现安全报警数据。但是由于信息量比较大，经常会出现一些错报、误报的情况，容易导致出现一些网络攻击的情况时不能够对其进行及时的防护。在出现这样的状况时，可以通过攻击事件的联系，要适当的对那些场景进行还原，这样能够不断提高网络的检查力度，进而实现对网络安全态势的评估与预测。

为了保证网络安全性，就需要通过建立模型来对其进行评估。在建立网络安全态势评估模型时，要结合攻击发生的概率。攻擊发生的概率是指在通过忘了的检测把数据进行整合，然后得出会出现攻击情况的可能性。在攻击阶段需要根据支持概率对其进行分析，这样能够找到发生攻击时会出现在某个阶段的可能性。还要考虑到攻击阶段的转移概率，转移概率是指在攻击的过程中所处的阶段转移到下一个阶段的可能。还要考虑到会发生的攻击威胁问题，攻击威胁是指在攻击过程后会带来的一些影响，然后根据攻击的性质对这些情况进行分析。

建立网络安全态势评估模型，首先要对网络中的数据进行整合，通过整合对这些数据进行分析，找出攻击者的想法和攻击的过程，然后在对网络安全态势进行分析时要着重考虑攻击阶段。在评估的过程中，可以采取自下而上、先从局部到整体的方法对其进行预测。然后根据评估模型，在根据攻击的模式对其进行一定的分析得出具体的网络安全态势评估方法。其次，对这些数据进行甄别。对于网络中的报警数据进行整合之后，这样可以减少数据的错报和延报问题，能够提高出现攻击发生的概率。然后在攻击阶段要学会筛选，根据以往得到的数据进一步分析，得出攻击阶段出现的概率。根据节点态势进行评估，然后对攻击阶段会产生的攻击威胁，算出安全态势的节点。最后，可以从整体对网络安全态势进行评估。把节点的态势根据实际的数据来进行整合，最后得出网络的安全态势。根据网络态势对其进行预测，依据攻击阶段状态转移所依赖的漏洞信息与本节点的漏洞信息，得出攻击意图转移概率，进而对网络安全態势进行准确的预测。

（二）建立健全数据融合平台

在面对多步攻击时，为了降低其对网络安全的威胁，就需要建立健全数据融合平台。首先，要对网络中的数据进行多方位的整合，然后根据融合的数据来分析结合，辨别出攻击的意图与当前攻击的阶段，攻击阶段是整个安全网络态势评估的一个重要因素，在方式上可以采取自下而上、先从局部再到整体的方法，这样有利于从整体的角度去看待网络安全态势。其次，在攻击阶段可以通过转移的方式，找出系统中存在的一些问题比如信息的遗漏，然后根据以往的策略找出攻击者可能进行的下一个目标，这样能够准确的推算出网络安全态势的发展趋势。为了找出网络安全态势的发展趋势，可以通过建立模型的方式，收集攻击时的一些数据，攻击成功概率是指对于特点网络下某种攻击成功入侵的可能性。结合攻击成功与否依赖于攻击技术与入侵网络的环境配置与漏洞信息，然后分析这些数据的成功率是多少。再结合攻击的频率结合攻击的概率考虑到出现安全问题的可能性。然后根据攻击阶段数据的收集，利用现代互联网技术把其放在大平台上，对这些数据进一步分析，挑选出可能对网络安全造成威胁的因素，进一步完善网络机制。

（三）建立网络安全预警机制

为了提高网络安全的性能，就需要建立网络安全预警机制。虽然网络不受时间、空间的限制具有一定的便捷性，但同时也存在一定的安全隐患问题。网络中存在很多病毒，攻击者一般是通过攻击防火墙来入侵人们的电脑。由于网络上信息良莠不齐，建立网络安全预警机制可以随时对这些不良信息进行汇总，比如说可以从系统的日志报警信息、防火墙、入侵检测系统等，都可以说明网络安全问题，但是没有办法对其进行一一的攻击模式识别。主要是因为不同的产品在对于报警方面有不一样的方式，所以容易出现很多报警信息在处理上的混乱。当然在安全方面还会存在一定的问题，进而会影响到报警信息的传递，比如出现延误或误报的情况，所以在对信息的收集上要学会筛选，这样才能够保证报警信息能够相互补充得到一定的证明，然后才能够更加精确的使用报警信息。

首先，要收集这些报警信息对其进行处理。然后根据数据的种类对其进行分类，设置一定的过滤系统，把一些不符合规定的信息处理掉。比如出现一些错误的数据、超出规定的数据等，可以把这些报警信息视为不合格的，可以直接把其过滤掉。其次，为了方便以后的报警信息处理，可以建立一个统一的数据格式，然后把其进行推广成为一种可以标记的语言比如说公共数据模型。当面对较多的报警信息，要及时进行处理这样可以减少后面对报警信息整合的负担，减少出现信息堵塞的问题，提高信息的质量，这样能够让管理人员及时了解信息的状况，根据信息的分类对其进行处理，把一些具有重复性或者是相似性的报警信息归为同一条报警信息。最后，可以对这些分类后的报警信息来进行融合，保证降低一些数据的延误与误报的情况，这样能够提高信息的安全性能，精简安全报警信息的数量。针对报警信息与传感器攻击的频率整合信息，然后把报警信息通过电脑手机，得出更精准的攻击频率。

四、结语

综上所述，本文主要阐述多步攻击下网络安全的基本概念，然后通过对网络安全态势评估的分析，建立模型能够对其进行一定的预测，综合网络安全态势评估选择适合不同网络的方法，根据网络的特点提出更具有提高网络安全态势的策略。

参考文献：

[1]李方伟，张新跃，朱江，等.基于信息融合的网络安全态势评估模型[J].计算机应用，2015，35（7）：18821887.

[2]王坤，邱辉，杨豪璞.基于攻击模式识别的网络安全态势评估方法[J].计算机应用，2016，36（1）：194198.

[3]许红.网络安全态势评估若干关键技术研究[J].信息通信，2015（10）：160161.

[4]杨宏宇，褚润林，李东博.一种新的网络安全态势评估方法[J].微电子学与计算机，2015（1）：2934.

[5]陈虹，王飞，肖振久，等.一种融合多源数据的网络安全态势评估模型[J].计算机工程与应用，2015，51（17）：96101.

作者简介：张夏，女，河北曲阳人，研究生，讲师，研究方向：网络计算机。