一种基于梯度攻击假设的网络脆弱性关联分析方法

摘要

本发明涉及一种基于梯度攻击假设的网络脆弱性关联分析方法。该方法包括：网络环境梯度化和梯度化网络环境下的脆弱性关联分析。网络环境梯度化，包括：网络环境子网识别和网络环境梯度标记两个过程。梯度化网络环境下的脆弱性关联分析，包括：指针初始化、同梯度的横向脆弱性关联分析、沿梯度方向的纵向脆弱性关联分析、循环控制等四个装置。在梯度攻击假设下，面对大规模复杂目标网络时，通过网络场景梯度化，使得网络脆弱性关联分析任务并行划分成为可能，为突破网络脆弱性分析的大规模应用瓶颈，奠定了基础。

说明书

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于梯度攻击假设的网络脆弱性关联分析方法。

背景技术

目前，伴随着计算机网络技术的飞速发展，政府、企业、学校、个人等以不同的方式方法联接到互联网上，人们的生产生活越来越依赖于互联网；然而，网络技术发展过程中对安全性的忽视，导致了互联网环境的安全问题日益突出。在互联网环境中，时刻充斥着各式各样的攻击行为，并且攻击的技术手段越来越高明，其中利用网络环境中的脆弱点，有目标、有计划的多步骤聚合攻击越来越常见，这令常规的防护措施防不胜防。在这种多步骤聚合攻击的威胁下，网络脆弱性相关研究成为了一个重点和热点研究方向，研究者们围绕网络脆弱性分析提出了包括攻击图技术在内的多种分析方法，其中基于攻击者能力“单调性假设”的攻击图分析方法代表了当前最好的研究结果。

不过，该方法在以下方面仍存在不足：

单调性假设的局限性

单调性假设可简单表述为：攻击者已具备的能力不会因新的攻击行为而丢失。该假设抓住了网络攻击者能力递增性的基本特征，选择性忽略了攻击能力丢失等一些次要方面，使得问题描述和求解得到了一定程度的简化，但仍存在一些局限性。

首先，对于采取多步骤聚合攻击的高级攻击者，对目标网络环境具有较清楚的认识，其攻击行为具有明确的目标和方向性，这一点单调性假设没有明确反映；其次，对于目标网络的防御者，在面临多种技术层次攻击者的各式各样的攻击威胁下，考虑到目标网络节点的重要程度和安全等级的差别，其防护措施具有层次性，这一点单调性假设也没有明确反映；此外，单调性假设是对攻击者行为的较初步的约束描述，在脆弱性关联分析中难免遇到各种问题，如下面的路径迂回问题和大规模应用瓶颈问题。

关联路径迂回问题

在单调性假设条件下，由于攻击没有方向性，防御没有层次性，脆弱性关联分析会不可避免的产生迂回的关联路径；这种迂回的关联路径，攻击者不会采取，防御者也没有必要关注，消耗资源进行分析是一种浪费。

在单调性假设条件下，进行脆弱性关联分析时，对于一个原子攻击，只要其利用结果不包含在攻击者已有的能力中，则被实例化；这样关联分析很容易陷入互联程度较高的局部区域，产生迂回的关联路径；如果依据这样的脆弱性关联路径实施攻击，攻击者的实际效益将长时间得不到提高；既然攻击者不会依据迂回的脆弱性关联路径实施攻击，那么防御者也没有必要对此进行弥补分析；因此，需要在脆弱性关联分析时尽可能避免出现迂回的关联路径，而这一点在单调性假设下是难以做到的。

大规模应用瓶颈问题

网络脆弱性关联分析是一个计算敏感性问题，对大规模网络环境的分析，是该项技术实际应用的技术瓶颈。在单调性假设下，由于攻击没有方向性，防御没有层次性，导致网络环境中各节点间的脆弱性关联关系错综复杂，难以进行有效的任务划分，进行并行求解。

在单调性假设条件下，任何两个网络节点间，都可能因节点上存在的脆弱点间的关联关系产生联系，任何一种任务划分方法，都必须精心处理各子任务之间千丝万缕的联系，而这些关系的处理可能比问题本身的求解更困难，结果导致问题越划分越复杂。

发明内容

本发明提供了一种基于梯度攻击假设的网络脆弱性关联分析方法，在网络场景梯度化的基础上，进行基于安全梯度的网络脆弱性关联分析。

利用安全梯度来表征网络攻击的方向性和网络防御的层次性，通过子网识别和梯度标记将目标网络场景梯度化，再依据梯度方向实例化原子攻击，关联网络环境中的脆弱点，构建正向或反向的网络脆弱性关联图，为网络防御者进行弥补分析提供依据。

根据本发明的一个方面，提供一种基于梯度攻击假设的网络脆弱性关联分析方法，包括：

步骤1：网络环境梯度化，其中包括：

步骤101：网络环境子网识别，在安全域的意义下，将访问能力相近的网络节点划分到相同的子网；

步骤102：网络场景梯度标记，在子网识别的基础上，标记子网级和其节点极的安全梯度，安全等级越高的子网或越重要的节点梯度越高；

步骤2：基于安全梯度的脆弱性关联分析(正向)，其中包括：

步骤201：指针初始化：源梯度指针sGrad＝-1，源子网指针sNet＝攻击者。

步骤202：同梯度的横向脆弱性关联分析：分析源梯度指针sGrad下任意源子网指针sNet到目标子网指针tNet的直接关联关系；

步骤203：沿梯度方向的纵向脆弱性关联分析：分析源梯度节点到所有更高梯度的直接关联关系；

步骤204：循环控制：sGrad自加1，如果源梯度指针sGrad＞最大梯度值grad_max，则结束；否则，选取梯度sGrad下的一个子网赋给sNet，转至步骤202。

更具体的，其中步骤202包括：

步骤20201：从梯度为sGrad的所有子网中选取一个异于sNet，且未作为sNet的攻击目标的子网tNet，选取失败，则转至步骤20303；否则，转至步骤20202；

步骤20202：执行sNet到tNet的直接关联分析任务；转至步骤20201；

步骤20203：将sNet标记已处理；在梯度sGrad下选取未处理的sNet，若选取成功，则转至步骤20201；否则，转至20301。

更具体的，其中步骤203包括：

步骤20301：初始化目标梯度指针tGrad＝源梯度指针sGrad+1；若目标梯度指针tGrad超过最大梯度值grad_max，则转至步骤204：否则，转至步骤20302；

步骤20302：执行sNet到tNet的直接关联分析任务；转至步骤20303；

步骤20303：tGrad自加1，若tGrad超过最大梯度值grad_max，则转至步骤204：否则，转至步骤20302。

利用本发明中的基于梯度攻击假设的网络脆弱性关联分析方法具有以下优点：

1、通过引入安全梯度的概念，较准确地描述了网络防御的层次性和网络攻击的方向性；网络场景梯度化，依据网络环境的防御配置实施，能够反映网络环境的真实防御部署；同时，“梯度攻击假设”较“单调性假设”更符合多步骤聚合攻击者的攻击行为。

2、在梯度攻击假设下，能够避免脆弱性关联路径迂回现象；关联路径迂回是由攻击的无方向性所致，而在梯度攻击假设下，通过网络场景梯度化，使脆弱性关联分析具有了方向性，破坏了关联路径迂回的前提条件，节省了不必要的计算开销，提高了网络脆弱性分析的效率。

3、在梯度攻击假设下，面对大规模复杂目标网络时，通过网络场景梯度化，使得网络脆弱性关联分析任务并行划分成为可能，为突破网络脆弱性分析的大规模应用瓶颈，奠定了基础。

附图说明

图1是方法总体流程图；

图2是网络环境梯度化示意图；

图3是梯度化网络环境下的正向脆弱性关联分析流程图。

具体实施方式

为了更清楚地说明本发明的技术方案，下面将结合附图介绍本发明的若干实施例。本领域的普通技术人员，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图或实施方式，如获得简化的网络场景梯度化方法，获得反向的脆弱性关联分析方法。

下面的相关定义使用在本发明的实施例中：

定义.安全梯度表征网络环境安全防护层次性的标度。梯度越高的网络节点越重要，网络防御者越关注，被攻击后的后果越严重，相反，攻击者会想方设法攻击梯度高的网络节点，安全梯度体现了网络防御的层次性和攻击的方向性。

定义.梯度攻击假设多步骤聚合攻击者沿着目标网络环境梯度递增的方向实施每一步的攻击，即：攻击者不会从网络环境中安全梯度高的节点攻击安全梯度低的节点。

定义.子网识别网络环境梯度化的一种技术手段，用于从安全域的意义上划分网络环境，相同子网内的网络节点具有相近的网络访问能力。

定义.脆弱性网络节点上可被攻击者利用的服务、配置或协议等方面的纰漏。

定义.原子攻击攻击者利用某一个脆弱性发起的一次攻击行为的形式化描述，包括：脆弱性利用的前提条件、利用模式和利用结果。

定义.源子网和目标子网基于梯度攻击假设的脆弱性关联分析过程中一个辅助概念，分析两个子网之间的脆弱性关联关系时，原子攻击的发起方子网称为源子网，原子攻击的承受方子网称为目标子网。

参照图1示意的方法总体流程。在梯度攻击假设下的网络脆弱性关联分析，分为两大过程，包括：网络环境梯度化和梯度化网络环境下的脆弱性关联分析。

具体的，网络环境梯度化，包括：网络环境子网识别和网络环境梯度标记两个过程。子网识别的目的是对网络环境进行安全域划分，相同安全域中的网络节点具有近似的对外访问能力；梯度标记是在子网识别的基础上，在大范围内依据子网间的互相访问能力，标记子网级的安全梯度，在子网内小范围内依据网络节点的重要程度，标记节点级的安全梯度。

具体的，梯度化网络环境下的脆弱性关联分析，包括：指针初始化、同梯度的横向脆弱性关联分析、沿梯度方向的纵向脆弱性关联分析、循环控制等四个装置。其中，指针初始化装置，完成源梯度指针sGrad和源子网指针sNet的初始化；同梯度的横向脆弱性关联分析装置，处理源梯度指针sGrad所指的梯度下，任意两子网间的直接脆弱性关联分析任务；沿梯度方向的纵向脆弱性关联分析装置，处理源梯度指针sGrad所指梯度到所有更高梯度的脆弱性关联分析任务；循环控制装置，完成sGrad的更新和在sGrad更新时sNet重新初始化工作。

参照图2示意的网络场景梯度化，上半部分是一个典型的目标网络环境，包括：总部网络、分支机构网络、派出机构网络和潜在的攻击者四大部分。其中总部机构网络分为：总部服务区、总部内网和机密服务器区。通过网络环境子网识别和梯度标记过程，将上半部分的网络环境梯度化，结果如下半部分所示。子网级梯度有：攻击者的梯度为-1，派出机构的梯度为0，分支机构的梯度为1，总部服务区的梯度为2，总部内网的梯度为3，机密服务器区为4；子网内部节点的梯度在子网梯度的基础上增加，如：Server1和Server2的梯度为1.1，Server5的梯度为3.1。

参照图3示意的梯度化网络环境下的正向脆弱性关联分析流程，以正向脆弱性关联分析为例，说明了：在梯度化的网络场景中，如何在梯度攻击假设下进行脆弱性关联分析的具体实施方法，包括：指针初始化、同梯度横向关联分析、沿梯度方向纵向关联分析、循环控制四个装置。下面以图2所示梯度化的网络环境为例，解释各装置的具体功能和协调机制。

进入步骤201，令源梯度指针sGrad＝-1，令源子网指针sNet＝0(攻击者)；

进入步骤20201，选取tNet≠sNet，且Grad(tNet)＝sGrad，选取失败；进入步骤20203，将攻击者标记为已处理，选取未处理的sNet满足Grad(sNet)＝sGrad，选取失败；进入步骤20301，tGrad＝sGrad+1＝0＜＝4＝grad_max；进入20302，开始执行任务TaskG(-1，0)，分析攻击者到派出机构的直接关联关系；进入步骤20303，tGrad自加1成为1＜＝4；进入步骤20302，开始执行TaskG(-1，1)，分析攻击者到分支机构1和2的直接关联关系，重复步骤20302→步骤20303→步骤20302的循环，至tGrad＝5＞4；进入步骤204，sGrad自加1成为0＜4＝grad_max，选取子网sNet＝0(派出机构)；

重新进入步骤20201，选取tNet≠sNet，且Grad(tNet)＝sGrad，选取失败；进入步骤20203，将派出机构标记为已处理，选取未处理的sNet满足Grad(sNet)＝sGrad，选取失败；进入步骤20301，tGrad＝sGrad+1＝1＜＝4＝grad_max；进入步骤20302，开始执行任务TaskG(0，1)，分析派出机构到分支机构的直接关联关系；进入步骤20303，tGrad自加1成为2＜＝4；进入步骤20302，开始执行TaskG(0，2)，分析攻击者到分支机构1和2的直接关联关系，重复步骤20302→步骤20303→步骤20302的循环，至tGrad＝5＞4；进入步骤204，sGrad自加1成为1＜4＝grad_max，选取子网sNet＝0(分支机构1)；

重新进入步骤20201，选取tNet＝1≠sNet，且Grad(tNet)＝sGrad，选取成功(分支机构2)；进入步骤20202，开始执行任务TaskS(0，1，1)，分析分支机构1到分支机构2的直接关联关系；进入步骤20201，选取tNet≠sNet，且Grad(tNet)＝sGrad，选取失败；进入步骤20203，将分支机构1标记为已处理，选取未处理的sNet＝1(分支机构2)，满足Grad(sNet)＝sGrad，选取成功；进入步骤20201，选取tNet＝0≠sNet，且Grad(tNet)＝sGrad，选取成功(分支机构1)；进入步骤20202，开始执行任务TaskS(1，0，1)，分析分支机构2到分支机构1的直接关联关系；进入步骤20201，选取tNet≠sNet，且Grad(tNet)＝sGrad，选取失败；进入步骤20203，将分支机构2标记为已处理，选取未处理的sNet，满足Grad(sNet)＝sGrad，选取失败；进入步骤20301，tGrad＝sGrad+1＝2＜＝4＝grad_max；进入步骤20302，开始执行任务Task(1，2)，分析分支机构到总部服务区的直接关联关系；进入步骤20303，tGrad自加1成为3＜＝4；进入步骤20302，开始执行Task(1，3)，分析分支机构到总部内网的直接关联关系，重复步骤20302→步骤20303→步骤20302的循环，至tGrad＝5＞4；进入步骤204，sGrad自加1成为2＜4＝grad_max，选取子网sNet＝0(总部服务区)；

重新进入步骤20201，选取tNet≠sNet，且Grad(tNet)＝sGrad，选取失败；进入步骤20203，将总部服务区标记为已处理，选取未处理的sNet满足Grad(sNet)＝sGrad，选取失败；进入步骤20301，tGrad＝sGrad+1＝3＜＝4＝grad_max；进入步骤20302，开始执行任务TaskG(2，3)，分析总部服务区到总部内网的直接关联关系；进入步骤20303，tGrad自加1成为4＜＝4；进入步骤20302，开始执行TaskG(2，4)，分析总部服务区到机密服务器区的直接关联关系；进入步骤20303，tGrad自加1成为5＞4；进入步骤204，sGrad自加1成为3＜4＝grad_max，选取子网sNet＝0(总部内网)；

重新进入步骤20201，选取tNet≠sNet，且Grad(tNet)＝sGrad，选取失败；进入步骤20203，将总部内网标记为已处理，选取未处理的sNet满足Grad(sNet)＝sGrad，选取失败；进入步骤20301，tGrad＝sGrad+1＝4＜＝4＝grad_max；进入步骤20302，开始执行任务TaskG(3，4)，分析总部内网到机密服务器区的直接关联关系；进入步骤20303，tGrad自加1成为5＞4；进入步骤204，sGrad自加1成为4＝4＝grad_max，结束。