基于不确定攻击图的攻击路径的网络安全分析

李永虎

（西宁金智电子有限公司 青海 西宁 810000）

1 引言

随着互联网和网络服务的快速发展，我国信息化程度也越来越高，根据我国互联网信息中心统计报告表明，截止到2016年6月，我国网民人数已经达到7.1亿[1]。在网络化程度越来越高的今天，网络带给我们极大便利的同时，也不可避免存在较大的安全问题。根据我国国家应急中心的数据统计发现，2015年存在10.5万个木马病毒和僵尸网络控制端，它们对我国的近2000万台主机进行了控制，严重影响了我国网络安全[2]。网络漏洞让我们储存在电脑上的资料变得极为危险，容易让重要信息出现泄漏情况，因而对网络漏洞进行分析是非常重要的。

2 关于网络漏洞研究

在对网络进行漏洞分析就要对网络攻击建模，而组合型的网络攻击建模是研究的重点和难点。当前，关于网络攻击建模研究多是对网络漏洞进行相关归类。对于组合型网络攻击建模方式主要包括攻击图法、攻击网法以及攻击树法[3]。攻击图是对攻击者进行攻击全过程所有路径的描述方法，它使攻击过程得以模拟呈现，有利于防御者对攻击进行有效防御。一些学者已经采用攻击图法分析网络漏洞，有对采用特权图分析网络攻击链接，也有在模型检测的基础上获得攻击图。然而，攻击图的确定存在一定的不足，主要表现在实时网络描述的不足。尽管模型检测法为攻击图的生成有着极大的便利，但是它主要是从攻击者来搜索目标主机。这种方法与本文研究不相适用，本文主要是提出一个建立在不确定图从目标主机出发的方法，它主要是将目标主机纳进目标集，之后对网络中攻击目标集中的主机进行搜索，并依次递进，最后找出攻击者。

3 相关概念分析

检测漏洞有较多的方法，多是在检测主机或网络状态或主机。在网络基础上的检测是对端口进行扫描和攻击尝试发现存在的漏洞，这种方法属于破坏性搜索；在主机基础上的检测是检测用户权限或系统配置，这种方法属于非破坏性搜索[4]。本次主要是对基于主机检测方法的研究。本文研究是在两个假设的基础上，其一，前提为单调性假设，它主要是在漏洞攻击过程中，如果前提条件得到满足，它就是有效的，并不会受到其他条件影响而发生变化，同时攻击也一定会成功，其效果也会与预期一般。其二，攻击并不是建立在网络攻击的基础上，而是建立在主机攻击的基础上，其攻击是将主机作为中心。所以，每台主机都是独立存在的，具有自身独特的属性，并非网络中主机属性。主机属性有主机系统配置、用户权限、可信关系、连通性、运行软件以及相关服务[5]。对网络漏洞进行分析重点在于生成攻击图，而生成攻击图的过程中包括几个具有相应联系的相关概念，其中有不确定图、不确定攻击图以及攻击路径等。不确定攻击图是在攻击图和不确定图结合的基础上进行定义，而不确定图能够模拟实时网络，以建立网络不确定函数对漏洞攻击不确定度进行计算。

4 不确定攻击图的生成和复杂性分析

对主机漏洞进行不确定网络脆弱性分析的重点在于不确定攻击图的生成。主机漏洞不确定攻击图生成：先要将主机纳入到目标主机集，之后判断当前主机的漏洞和其相连主机的关系，哪一主机成功攻击当前主机就将该主机记录在当前主机上层，若该主机为攻击者，算法完成，若不是则继续重复上面步骤，直到找到真正攻击者。

在一般情况下，攻击图获得的攻击路径不可能只有一条，尤其是网络具有较多节点的情况。因而，防御者可以从攻击图中获得的所有路径中找寻攻击者具最大可能实施的攻击路径，进而得到重要的主机漏洞以及关键的路径[6]。简单说来就是在所有路径中找到最为可靠地路径。所以，在对基于不确定攻击图研究攻击路径的相关研究有着非常重要实际意义和理论意义。根据上面生成的攻击图可以发现，可以获得较多攻击目标主机和一定攻击者处于相同层次的其他攻击者，因而具有非常多的攻击路径，同时在扩大网络规模后其表现更为明显。因而，需要在攻击图中找到目标主机到特定攻击者的所有攻击路径，同时也需要对每条路径的可靠性进行验证。

5 结语

随着网络规模的扩大，网络漏洞分析也存在着较大的困难。为了保障网络安全，对网络漏洞进行有效分析，本文主要对一种新的攻击图方法进行了相关的研究。基于不确定攻击图的分析方法主要在进行了两方面的优化，其一，主要是从目标主机对攻击者进行溯源，有效避免了从攻击者角度搜索浪费大量时间；其二，对搜索策略进行了相应的改进，有效避免重复搜索加入攻击路径主机。

[1]Yang T C,Fang M,Shao Q F.A Distributed Network Risk Assessment Method Based on Attack Graph[J].Computer Science,2013,244(2):2335-2342.

[2]方明,徐开勇,杨天池,等.基于攻击图的分布式网络风险评估方法[J].计算机科学,2013,40(02)：139-144.

[3]Nguyen H H,Palani K,Nicol D M.An Approach to Incorporating Uncertainty in Network Security Analysis[C]//Hot Topics in Science of Security:Symposium and Bootcamp. 2017:74-84.

[4]刘强,殷建平,蔡志平,等.基于不确定图的网络漏洞分析方法[J].软件学报,2011,22(06):1398-1412.

[5]曾赛文,文中华,戴良伟,等.基于不确定攻击图的攻击路径的网络安全分析[J].计算机科学,2017,44(s1)：351-355.

[6]吴迪,连一峰,陈恺,等.一种基于攻击图的安全威胁识别和分析方法[J].计算机学报,2012,35(09)：1938-1950.