网络攻击效果评估方法应用研究_周正虎（aaa）.docx

《网络攻击效果评估方法应用研究_周正虎（aaa）.docx》由会员分享，可在线阅读，更多相关《网络攻击效果评估方法应用研究_周正虎（aaa）.docx（66页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、中图分类号：TP393论文编号：1028716 12-S003 学科分类号：081202硕士学位论文网络攻击效果评估方法应 用研究研究生姓名 周正虎 学科、专业计算机科学与技术研 究 方 向网络安全指 导 教 师 陈 丹 副 教 授南京航空航天大学研究生院计算机科学与技术学院二年十二月Nanjing University of Aeronautics and AstronauticsThe Graduate SchoolCollege of Computer Science and TechnologyResearch on Evaluating Method of Network Attac

2、k EffectsA Thesis inComputer Science and TechnologybyZhou ZhenghuAdvised byAssociate Professor Chen DanSubmitted in Partial Fulfillmentof the Requirementsfor the Degree ofMaster of EngineeringDecember, 2011承诺书本人郑重声明：所呈交的学位论文，是本人在导师指导下，独立进 行研究工作所取得的成果。尽我所知，除文中已经注明引用的内容外， 本学位论文的研究成果不包含任何他人享有著作权的内容。对本论

3、文所 涉及的研究工作做出贡献的其他个人和集体，均已在文中以明确方式标明。本人授权南京航空航天大学可以有权保留送交论文的复印件，允许 论文被查阅和借阅，可以将学位论文的全部或部分内容编入有关数据库 进行检索，可以采用影印、缩印或其他复制手段保存论文。(保密的学位论文在解密后适用本承诺书）作者签名: 日 期:摘要赛博空间已成为目前研究的热点之一，其中的网络战将成为未来赛博战的核心。如何对网 络攻击的效果进行评估，是赛博空间理论研究的一个重要而具有挑战性的课题。论文的主要评估思路是以属性-原子操作-原子指标作为评估架构，评估网络攻击手段对目 标系统发动攻击前后目标系统原子指标性能的变化，来评价该网络

4、攻击的效果。在此评估思路 的指导下，本文对网络攻击效果评估模型、评估方法和具体实现这几个方面内容，进行了比较 系统、深入的研究，主要工作如下：1) 正确理解描述网络攻击是进行网络攻击效果评估的前提。本文基于网络攻击准确的描述， 结合综合评价的相关技术，提出了综合属性原子(comprehensive-attributes atomic，CAA)评估模型。该模型主要分成三层，第一层为属性层；第二层为原子层；第三层为指标层。属性层进行人为的综合属性描述，相对粗泛，进而在评估时简化专家们进行层次分析法 (Analytic Hierarchy Process，AHP)打分。对专家们打分不一致的情况，实行

5、“少数服从多数” 思想，解决了意见不统一的情况。引入筛选系数和补偿系数，优化评估。原子层为中间层，一方面是对网络攻击的细化描述；另一方面对应在目标系统定义原子指 标。其中的原子操作由挖掘网络攻击数据库得到。指标层的原子指标的权值计算引入粗糙集重要性的概念，由于不需要用户提供数据之外的 任何先验知识，消除了人为主观因素，权重计算更加客观。针对原子指标过多的问题，对原子 指标进行 Delphi 法二次筛选。2) 以 SYN Flood 攻击为例，综合计算各层权重系数。引入评估矩阵，对采集得到的数据进 行了归一化评估，得到评估威胁系数。结合美国智库提供的数据以及 CAA 模型本身的特性， 分析了可能

6、产生的误差。关键词：网络攻击，效果评估，综合属性原子模型，层次分析法，粗糙集，Delphi 法，SYN FloodABSTRACTResearch of cyberspace has become one of the hot. The network war will become the core of the future Cyber-War. In Network War, how to evaluate effects of network attacks is an important and challenging subject in cyberspace theory.The

7、 main idea of paper evaluates attack effects based on attribute-atomic oparation-atomic index55 evaluateon indices system, by means of change of evaluation on atomic index in target system between before attacks and after attacks. With the idea for guide, model and methods of network attack effect e

8、valuation and realization scheme are developed thoroughly, main works as follows.1) As the correct understanding of network attack is a prerequisite, we propose a comprehensive-attribute evaluation atomic model based on the accurate description of network attack. The model is divided into three laye

9、rs. The first layer is the attribute layer, the second layer is the atomic level and the thrid layer is the index level.The attribute la3er? which is a man-made description of comprehensive-attributes when assessed, is relatively rough.and it is easy for experts to score by AHP. The implementation o

10、f the minority follows the majority solves the disagreement, which is inconsistent in the scoring of the experts. The evaluation is optimized by the introduction of screening factor and compensated factor.The atomic layer as an intermediate layer, one hand the network attacks can be described in det

11、ail; on the other hand, atomic index can be defined in the corresponding target system. The atomic operations are obtained by mining the network attack database.The weights of the atomic indexs in the index layer are calculated by introducing the concept of rough set.As they need data not any priori

12、 knowledges, the weights are more objective and eliminate subjective factors. According to the atomic indexs are too much, the atomic indexes are screened secondary by Delphi Method.2) Takeing SYN Flood attack as an example, we calculate weight coefficients of each layer integratly.Then, we gained t

13、he threat coefficient after introducing the evaluation matrix and the data collected through the normalized evaluation. Finally, combining data provided by the U.S. think tanks with the characteristics of the CAA model, we analyse the possible errors.Keywords: Network attack, Effect evaluation, Comp

14、rehensive-attributes atomic Module, AnalyticHierarchy Process, Rough Set, Delphi Method, SYN Flood.目录m-M mit.11.1 研究意义.11.2 国内外研究.11.3 研究内容.31.4 本文的组织结构.4第二章评估模型.62.1 现有评估方法分析.62.2 综合属性原子模型.92.3 评价方法选取.112.4 本章小结.12第三章属性确定与权值分配.133.1 属性确定.133.2 AHP 应用范围与前提 .143.3 AHP 基本步骤 .153.4 AHP 计算属性权重 .153.4.1

15、构造成对比较矩阵.163.4.2 计算权向量.173.4.3 致性检验 .193.4.4 属性权重计算.203.5 属性筛选.213.6 本章小结.22第四章原子指标获取与权重分配.234.1 原子操作挖掘.234.2 原子指标处理.254.2.1 指标定义.264.2.2 离散化方法.274.2.3 原子指标离散化.284.3 粗糙集约简.314.3.1 粗糙集相关概念.31iii4.3.2 约简模型.334.4 指标权重分配.344.4.1 原子指标约简.354.4.2 原子指标权重分配.374.4.3 Delphi 法二次约简 .374.5 应用实例.384.6 本章小结.42第五章攻击

16、效果综合评估.435.1 评估矩阵.435.2 综合评估.445.3 误差分析.455.4 本章小结.49第六章结束语.506.1 本文总结.506.2 研究展望.51.53Bi 射 .56在学期间的研究成果及发表的学术论文.57IV图表清单图 1.1 网络攻击评估的一般模型 .3图 2.1CAA 评估模型 .11图 3.1 属性层分类简图 .13图 4.1 网络攻击原子操作挖掘 .24图 4.2 网络攻击层次描述简图 .25图 4.3 上下近似集、正域、负域和边界域示意图 .32图 5.1 三种网络攻击威胁趋势图 .47图 6.1 综合属性的原子架构流程简图 .51表 2.1 综合评价技术

17、.7表 3.1 成对比较矩阵中数据项的解释 .16表 3.2 成比较阵维数 n 与 RI 对应表 .20表 3.3 六位专家属性打分权重值表 .20表 4.1 离散化后的指标描述 .29表 4.2 拒绝服务属性原子指标原始数据表 .29表 4.3 拒绝服务属性原子指标离散数据表 .30表 4.4 网络攻击属性原子评估原始决策表 .34表 4.5 对抗防御属性原子指标原始数据表 .38表 4.6 对抗防御属性原子指标离散数据表 .39表 5.1 拒绝服务属性指标实例表 .44表 5.2 对抗防御属性指标实例表 .44表 5.3 拒绝服务属性指标约简数据表 .45表 5.4 对抗防御属性指标约简数

18、据表 .45表 5.5 网络武器威胁矩阵 .46表 5.6 三种拒绝服务攻击威胁值表 .48V缩略词英文全称CAAComprehensive-Attributes AtomicNENetwork EntropyAHPAnalytic Hierarchy ProcessDoSDenial of ServiceAOAtomic OperationDMData MiningAIAtomic IndexRSRough SetDEAData Envelopment AnalysisANPAnalytic Network ProcessDDoSDistributed Denial of ServiceNY

19、DNational Vulnerability DatabaseEEMEffect Evaluation MatrixClConsistency IndexRIRandom Index注释表第一章绪论随着信息技术和网络技术在各个领域的应用，特别是在军事领域的应用，计算机与网络已 成为武器装备系统和指挥信息系统的核心工具，对军用计算机构成的信息系统进行攻击，往往 能起到其它武器系统不能达到的独特功效。因此以军用计算机网络为基础的防护和对抗等信息 安全问题，自然就成为军事领域关注和亟待解决的问题1。美国总统国家安全令对赛博空间(Cyberspace)给出的定义如下p w 4: “Cyberspac

20、e 是一个相关联的信息技术基础设施的网络，包括 Internet、电信网、计算机系统以及关键产业中的嵌入式 处理器和控制器。通常在使用该术语时，也代表信息虚拟环境，以及人们之间的相互影响”。Cyberspace 已成为目前研究的热点之一，作为一个创新的领域，理解和研究 Cyberspace，对 于保卫我国安全、获取未来作战优势具有重要意义。美国智库兰德公司指出，工业时代的战略 战是核战争，信息时代的战略战主要是网络战。由上述定义可知网络战是 Cyberspace 战的一种方式。本文网络攻击效果评估研究正是 Cyberspace 理论研究的一个子课题。1.1 研究意义在信息化战争时代，网络攻击效

21、果评估技术的研究具有重要意义56。对于攻击方，从网络 攻击机理的研究、开发到工具投入使用都要对其毁伤能力进行评估以检验其有效性，而通过评 估可促进对攻击原理与技术的深入研究，促使网络攻击工具开发项目的顺利进行。对于防守方， 可采用模拟一次网络攻击来对自身网络的安全性能进行测试、评估，发现其薄弱环节，以提高 抵御网络攻击的能力7。同时，在信息系统的安全评估过程中也具有重要意义。一方面，目前 广泛投入使用的各种军用民用信息系统，迫切需要建立一套有效的攻击评估准则和评估方法来 提升信息系统的防护能力，从而提高这些信息系统应对各种突发网络攻击的能力；另一方面，在 反击恶意攻击的时候，网络攻击效果评估技

22、术还可以提供准确地应对策略8。因此，如何对网络攻击的效果进行评估已成为一个迫切而具有挑战性的课题。1.2 国内外研究目前，国内外对于网络攻击效果评估的研究还不多，主要从评估准则、评估指标和评估方1法这几个方面，对网络攻击效果评估模型进行了一些研究。基于网络熵的评测方法91|:|11:借鉴信息论中“熵”的概念，提出评价网络性能的“网络 熵“(Network Entropy，NE)理论。从网络受攻击前后计算机网络相关安全性能指标变化出发，借 助层次分析法(The analytic hierarchy process, AHP),结合网络熇概念，用网络熵的差来表不攻击效果的一种指标处理方法。基于模糊

23、矩阵博弈的评测方法12:该方法用攻击方受到的威胁程度来表示攻击效果，在分 析博弈论中矩阵博弈原理和网络空间威胁评估机理的基础上，将模糊概念引入博弈模型，提出 了基于模糊矩阵博弈的计算机网络攻击效果评估模型一威胁评估模型。该模型在网络空间态势 评估的基础上，对攻击者的攻击能力进行描述和评估，给出攻击方攻击效果的评估结果。胡影提出了一种攻击效果评估模型13，并设计拒绝服务攻击(Denial of Service，DoS)攻击 效果评估系统的方案。该方案通过对 DoS 攻击的深入分析，结合“目标-准则-指标”评估指标 体系，建立了相应的 DoS 评估指标体系；针对 DoS 攻击中各类指标的特点，拟定

24、了相应的评 估准则；对不同的 DoS 攻击，提出了适当的评估方法。并从系统结构、实现细节、难点等方面， 对DoS 攻击效果评估系统的具体实施方案进行了深入研究。卓继亮，李先贤等14提出从攻击者能力和攻击的后果两个角度，分析了不同攻击类型的特 点与机理，提出一种新的安全协议攻击分类，对安全协议攻击中攻击者的能力进行了细粒度划 分。最后合成二维的评价框架，但该框架只能对安全协议攻击进行粗略的定性评价。刘进等15提出目标-准则-指标三层指标体系，由信息安全的四项考虑原则得到准则层，包 括可用性、完整性、可靠性和保密性，安全指标包括通信链路、通信连接、数据、软件系统、 硬件系统等，运用 AHP 进行指

25、标权重计算的方法。缺点是该体系下准则对应的指标不够全面。 李雄伟16 17也是按照目标-准则-指标来建立效果评估指标，其中准则层包括假冒攻击、授权侵 犯、保密性攻击、完整性侵犯、业务否认，可该文献并没有提出具体的指标。王永杰等18通过对网络攻击目标、目的和评估策略进行深入分析，兼顾评价指标的直观性 攻击效果指标体系，对攻击可能取得的代价做出预测，从而为攻击的再次进行提供了依据。以 最终取得的收益作为攻击的效果。汪生、孙乐昌19从攻击的角度提出了一整套可对多种攻击技术进行攻击效果评估的 58 个指 标体系。给出了单个使用的攻击模型和联合使用的多个攻击模型效果评估的评价方法、流程及 相关实现。对攻

26、击效果的评估不是很明显反而侧重于攻击能力。Peng Liu 等21:1研究了网络攻击条件下防御策略的制定问题。将网络攻击与防御看作一个博 弈过程，通过求解博弈过程的纳什均衡来研究攻防双方的对抗策略和效用；以 DDoS 攻击为例 介绍了博弈模型建立和纳什均衡的求解方法。王会梅，江亮等21提出了计算机网络攻击效果的灰色定权聚类评估算法。其中各聚类因素2权重采用粗糖集属性重要性的方法来确定，不仅充分反映了不同因素在聚类过程中作用的差异 性，而且该权重根据论域中的样例来得到，与 AHP 定鞏评估方法相比，减少了主观性但是选 取样本数据要求有一定的普遍性和代表性。由此可见，网络攻击效果评估研究领域，目前

27、仍缺乏个成熟的效果评估模型和具体实现框 架。随着现代战争对信息技术产品和网络信息系统的依赖性越来越大，网络安全问题将变得日 益突出。1.3 研究内容网络攻击评估的主要目标是对攻击在目标系统上造成的危害即网络攻击效果进行评估。图 1.1 清晰的描述了攻击者与目标系统之间的关系。攻击，者通过开发攻击工具或者利用安 全漏桐等攻击技术来提高目标系统的安全风险，力图控制或者破坏目标系统，而通过对目标系 统的指标采集和综合评估来反馈攻击者的攻击效果。图 n 网络攻击评估的一般模型建立网络攻击:效果评估模型需要解决如下几个问题：首要问题就是怎样对网络攻击进行描 述。“知己知彼百战不殆 K 有对网络攻击有足够

28、的认识，才能做出正确的评估其次是采集 指标的定义，一方面指标定义较少，不能真实地反馈目标系统的状态，影响本次效果评估的客 观性：另一方面，指标定义的太多，能比较客观反映本次攻击效果，同时却增加了指标采集的 难度此外指标之间也还可能出现交叉、冗余的情况。最后，对采集的指标进行权重分配也是 一个棘手的问题。目前网络攻击效果的综合评估主要有如下几点缺点；第一点是在采用系统化的分析方法时* 般从研.究计算机系统的安全机制入手，基于 机制、准则、指标三级特性的分析，经过逐步细化，初步得到了一个有效的性能指标集。如评 估指标体系、指标处理、评估方法等 1，对网络攻击效果评估模型进行了一定的研究，却没有系3

29、统的进行模型实现与方法应用的研究。(2) 第二点是通过对典型网络攻击样式的原理剖析及建模，研究建立信息系统攻击效果评 估模型和实现系统，以得到典型网络攻击样式攻击效果的分析和评估结果。一方面，由于只对 特定网络攻击样式的原理剖析及建模，存在局限性；另一方面，既考虑了网络攻击，又考虑了 目标防御，所以评估在实现时又有一定的复杂性。(3) 第三点是指标大多是从准则层出发进行人为的定义，可能会出现一定的指标冗余、交 叉的现象。而且指标不够全面，不能满足现有网络攻击的需要。再者由于给出的指标对于不同 类别的攻击，评估指标的重要性各不相同，在综合计算指标权重系数时往往会增加主观性。本文针对上述问题，提出

30、采用分层模型实现攻击评估，即不是直接对各项指标进行评估， 而是先对攻击确定其有效属性，然后在各个属性下对网络攻击数据库进行原子操作(Atmmc Operation，AO)的数据挖掘(Data Mining，DM)，得到对属性的进一步描述，更加细化了对攻击 的理解，从而将一次攻击用原子操作的集合来描述。对于每一个原子操作在目标系统对应定义 一个原子指标(Atomic Index，AI)，用于对原子操作的定量描述。最后根据属性的权重、原子指 标的权重构建评估矩阵，再结合指标实例得出攻击效果评估结果。确定各原子指标的权重系数有主观赋权法和客观赋权法，在综合属性原子评估模型中将客 观赋权法和主观赋权法

31、结合起来使用。在采用综合属性进行分类时，分类后的属性首先应该能 包含所有网络攻击的共性；其次为克服专家主观因素的影响，需要将属性分的相对宽泛，利于 专家进行分析。在原子层的原子操作是由数据挖掘得到，原子指标数量庞大，主观赋值法不切 实际，为此采用客观赋权法，本文利用粗糙集(Rough Set，RS)的属性重要性来对指标的权重进 行度量。这个度量是根据样本论域中的样例来得到的，不依赖于人的先验知识，不存在人为主 观因素的影响。在属性层，专家进行主观赋权法打分，对专家打分不一致情况遵守“少数服从多数”的原 则，并定义属性的筛选阈值，忽略一些不重要的属性。对于属性权重的缩减，又定义补偿系数， 从而相

32、对的减小了评估误差。各属性对应的原子层采用数据挖掘得到原子操作，并将得到的原子操作集合进行粗糙集约 简。约简过程中，一方面消除冗余、交叉的原子指标，即消除了冗余或者交叉的原子操作；另 一方面计算依赖度之差得到属性的重要性，归一化得到各原子指标的权重。考虑到粗糙集约简 后原子指标数量仍然较多，又结合简化的德尔菲法(Delphi Method)去除部分原子指标。后续章节将对以上工作进行详细展开阐述。1.4 本文的组织结构4本文分为六章:第一章首先对网络攻击效果评估研究意义作了概述，其次简单地介绍了网络攻击效果的国 内外的研究情况；而后概述了研究内容；最后简单说明了本文的章节安排及其组织结构。第二章

33、在分析现有评估方法基础上，针对目前网络攻击效果评估模型的缺点，提出了属性- 原子操作-原子指标的分层评估模型。第三章确定评估模型中的属性；针对 SYN Flood 攻击对各属性运用 AHP 计算权重，并解 决了 AHP 打分过程中专家之间出现的不一致情况；对可以忽略的属性引入筛选阈值选择属性， 引入补偿系数减小误差。第四章给出了原子指标数据挖掘框架；对应定义原子指标，运用粗糙集理论和 Delplu 法进 行了约简，计算得到 SYN Flood 攻击 2 个属性各原子指标的权重。第五章将 SYN Flood 攻击的属性与原子指标权重系数的乘积作为元素，提出了评估矩阵的 概念；进行综合评估，得到评

34、估矩阵，归一化后，完成了整个评估工作；结合美国智库提供的 数据与模型的特性进行了误差分析。第六章是结束语部分。总结了论文工作的成果和不足；对进一步的研究工作做了展望。5第二章评估模型网络攻击效果评估研究的关键问题：一个是对评估方法的理解与应用；另一个是对攻击的 认识和描述。在提出评估模型之前，就必须先研究理解评估方法。本章主要提出了一种评估模型。首先在 2.1 小节主要对常见的评估方法进行了分析，为后 续章节相关评估的研究和阐述奠定了理论基础；然后在 2.2 小节基于对网络攻击准确描述的基 础上提出了一种网络攻击效果的评估模型；2.3 小节对各层进行分析并选择各层的评价方法；最 后2.4 小节

35、对本章内容进行了总结。2.1 现有评估方法分析网络攻击效果评估的方法很多，概括起来可以分为三类：定量评估方法、定性评估方法、 定量与定性相结合的评估方法2223。1)定量评估方法定量评估方法是指用定量的数据指标来对网络安全风险进行评估。典型的定量评估方法有: 聚类分析法、因子分析法、回归模型、时序模型、决策树法、风险图法等等。定量评估方法的优点是用直观的数据来表达评估的结果，使评估结果看起来一目了然，而 且比较客观。定量分析方法的采用，可以使研究结果更科学，更严密，更深刻。但是定量评估 方法可能会在量化过程中，使得本来比较复杂的事物变得过于简单化，可能会丢失原有的细节 信息，从而导致被量化后的

36、信息被误解或曲解。2)定性评估方法定性评估方法主要依据评估者的知识、历史教训、经验、政策走向及特殊变例等非量化质 料对系统风险状况做出判断的过程。它主要以与调查对象的深入访谈做出个案记录为基本资料， 然后通过一个理论推导演绎的分析框架，对资料进行编码整理，在此基础上做出调查结论。典 型的定性分析方法有 Delphi 法、因素分析法、逻辑分析法、历史比较法。3)定量与定性相结合的评估方法评估是一个复杂的过程，需要考虑的要素很多，有些评估要素是可以用定量的形式来表达， 而另外一些要素则可能难以量化甚至是不可能的。因此在风险评估过程中不应一味地追求量化， 也不应认为一切要素都是量化的风险评估过程就是科学、准确的。定量分析是定性分析的基础 和前提，定性分析应建立在定量分析的基础上才能揭示客观事物的内在规律。定性分析则是灵 魂，是形成概念、观念，做出判断，得出结论所必须依靠的，在复杂的网络攻击效果评估过程