一种基于攻击阶段成本价值博弈的延迟式安全处置方法与流程

本发明涉及网络安全，尤其涉及一种基于攻击阶段成本价值博弈的延迟式安全处置方法。

背景技术：

1、现有的网络防御手段多采用“即时触发”模式，虽然保证了反应速度，但还存在一些缺陷：一是容易被攻击方利用低成本探测包（如扫描脚本）摸清防御底线；二是过早打断导致防御方无法获取攻击方的后手工具及真实ip，难以实现反制。尤其是在面对ai生成钓鱼文案、深度伪造钓鱼素材、自动化批量生成恶意代码、动态变种攻击常态化，传统固定规则防御无法应对ai驱动的动态化、个性化攻击，从而造成防御方的资源浪费，甚至导致防御失败。

技术实现思路

1、为解决上述问题，本发明采用了如下技术方案：

2、一种基于攻击阶段成本价值博弈的延迟式安全处置方法，包括以下步骤：

3、s1：捕获攻击行为、识别攻击阶段：捕获攻击行为，利用流量指纹与状态机，将外部攻击流量实时映射为探测期、渗透期、控制期及收割期。

4、进一步的，所述s1包括以下子步骤：

5、s101：捕获攻击行为，利用深度分组检测提取报文载荷特征，识别是否含有特定的指纹信息，若是则将外部攻击流量映射为探测期。

6、进一步的，所述特定的指纹信息包括探测工具指纹信息，nmap、masscan等。

7、s102：对映射为探测期的外部攻击流量，通过tcp/ip协议栈的行为建模，识别从单向探测到三路握手建立再到数据交互的状态迁移逻辑，实时监测攻击行为。

8、s103：引入时间序列分析算法，监测攻击行为请求频率的变化规律，若从自动化扫描变为人工渗透，则判定攻击方从探测期进入到了渗透期。

9、s104：建立攻击阶段标记位，当检测到尝试执行终端命令或上传脚本动作时，映射状态自动跃迁至渗透期。

10、s105：在应用层通过反向代理插入动态追踪标记token，跟踪攻击方对业务逻辑的遍历深度。

11、s106：当攻击方成功执行远程代码或建立稳定回连通道，映射状态跃迁至控制期。

12、进一步的，控制期的具体判定条件为：连续多次接收到相同间隔的出站请求，且载荷payload包含加密指令特征。

13、s107：控制期中攻击方开始投放勒索载荷、横向移动脚本或敏感数据下行时，映射状态跃迁至收割期。

14、进一步的，收割期的具体判定条件包括：检测到大文件下行、新进程创建、或敏感目录访问。

15、基于流量指纹结合状态机对攻击行为做时序状态流转识别，能够还原攻击完整生命周期，区分攻击所处业务阶段，避免孤立流量造成误告警、漏判；为后续aic成本计算、dev风险评估提供时序上下文输入，使后续量化计算不是基于瞬时流量，而是基于攻击演进状态，提升量化指标准确度。

16、s2：实时多维量化计算攻击方投入成本aic：计算攻击方在当前链路中所消耗的成本。

17、进一步的，所述成本包括基础设施、工具代码、时间等显、隐性成本；所述基础设施包括ip、服务器。

18、进一步的，所述s2包括以下子步骤：

19、s201：识别攻击源ip属性，若为高成本ip，则赋予更高的ip成本分量。

20、进一步的，所述高成本ip 包括住宅拨号代理ip、移动基站ip等。

21、进一步的，ip成本分量ip_cost基于攻击源ip的实测属性与占用时长统计得到，ip成本分量ip_cost的具体计算公式为：

22、ip_cost=σ(ip_type×duration_hours)；

23、其中：

24、duration_hours为攻击源ip持续时间；

25、ip_type为ip属性类型对应的分数，依据威胁情报库中各类型ip的实测获取成本与滥用率统计数据回归得出；

26、若攻击源ip属性为住宅代理则对应ip_type=0.9，若攻击源ip属性为挪移ip则对应ip_type=0.7，若攻击源ip属性为数据中心则对应ip_type=0.3，若攻击源ip属性为tor出口则对应ip_type=0.5，住宅代理的实测获取成本与滥用率最高，故权重最大，并随威胁情报库更新而周期性刷新。

27、s202：分析载荷payload的复杂程度，通过代码熵值检测判断攻击方是否使用了经过混淆处理的独家利用代码，若使用了则赋予更高的代码成本分量。

28、进一步的，代码成本分量tool_cost基于对报文载荷字节分布的信息熵实测计算，代码成本分量tool_cost的具体计算公式为：

29、tool_cost=payload_entropy/8.0×log(payload_size+1)；

30、其中：

31、payload_entropy为代码熵值，范围为0-8，纯随机=8.0，独有混淆工具趋向7.5以上；

32、payload_size为数据包中实际有效载荷的字节数。

33、s203：监测攻击链路的并发数与维持时长，计算攻击方维持该攻击通道所消耗的基础设施资源，并发数与维持时长越长，时间成本分量越大。

34、进一步的，时间成本分量time_cost基于会话时间戳差值计算得到，时间成本分量time_cost的具体计算公式为：

35、time_cost=elapsed_minutes/t_baseline；

36、其中：

37、elapsed_minutes为攻击链路的维持时长；

38、t_baseline为为同类攻击平均时长；

39、攻击链路的维持时长超过同类攻击平均时长越多说明投入越大。

40、s204：评估攻击方绕过waf/ips规则的尝试次数，将攻击方算法迭代成本纳入量化模型，量化得到算法迭代成本分量。

41、进一步的，算法迭代成本分量algoiter_cost基于waf/ips拦截日志的实测计数计算得到，算法迭代成本分量algoiter_cost具体计算公式为：

42、algoiter_cost=waf_bypass_attempts×k；

43、其中：waf_bypass_attempts为攻击方绕过waf/ips规则的尝试次数；

44、k为每次绕过的平均计算成本评分，由历史攻击样本中每次waf绕过尝试的平均资源消耗实测统计得出，范围取0.1-0.3。

45、s205：结合威胁情报库，核查该攻击特征是否属于已知家族，判定攻击方基础设施的构建成本，量化得到基础设施成本分量。

46、进一步的，基础设施成本分量infra_cost具体计算公式为：

47、infra_cost=concurrent_channels×bandwidth_equivalent_mbps×persistence_hours。

48、其中：

49、concurrent_channels为攻击链路的并发数，指的是在同一时刻能够并行或同时工作的独立通信或处理通道的数量；

50、bandwidth_equivalent_mbps为等效带宽；

51、persistence_hours为保留时长，用于描述临时性资源的有效期。

52、s206：汇总ip成本分量、代码成本分量、时间成本分量、算法迭代成本分量、基础设施成本分量，多维量化攻击方投入成本aic。

53、进一步的，多维量化攻击方投入成本aic具体计算公式为：

54、aic=w1·ip_cost+w2·tool_cost+w3·time_cost+w4·infra_cost+w5·algoiter_cost；

55、其中：w1、w2、w3、w4、w5为各成本分量所对应的权重系数，通过历史攻击数据回归得出，由历史攻击样本库中各分量与实际攻击资源消耗的对应关系回归标定，并随样本积累按后续s605机制自动更新，且w1+w2+w3+w4+w5=1。

56、将攻击者的对抗代价实现可量化度量，不再只依靠攻击表象判断威胁等级；通过基础设施、工具代码、时间三个维度，客观反映攻击者投入资源多少，间接反映攻击者的实力与攻击意图；脚本类攻击aic数值低，高级定制攻击aic数值高，为后续obp博弈模型提供攻击者侧输入变量，支撑高低价值攻击区分，也避免因低价值攻击造成大量防御资源浪费。

57、s3：实时监测受控资产暴露价值（dev）：评估攻击路径触达资产的敏感级，并结合虚拟隔离环境计算得到dev及dev安全阈值，划定当前诱导过程中的安全边际。

58、进一步的，所述s3包括以下子步骤：

59、s301：基于配置管理数据库对目标资产进行分级，并计算资产敏感度。

60、进一步的，所述分级分为1~5级，其中核心数据库为level5，公共静态页为level1。

61、进一步的，资产敏感度asset_sensitivity由系统自动读取cmdb中的资产分级配置计算得出，资产敏感度asset_sensitivity具体计算公式为：

62、asset_sensitivity=σ(level_i×asset_value_i)/σasset_value_i；

63、其中：

64、i取正整数，与分级等级数对应，取1~5；

65、level_i为配置管理数据库资产分级，取1~5；

66、asset_value_i为对应的资产价值。

67、s302：实时计算攻击方当前权限所能触达的横向移动范围，限制攻击方只能在隔离的影子系统中操作，并判断影子系统中的暴露因子。

68、进一步的，暴露因子exposure_factor具体计算公式为：

69、exposure_factor=reachable_assets_in_shadow/total_target_assets；

70、其中：reachable_assets_in_shadow指影子系统中可触达资产；

71、total_target_assets为总目标资产。

72、所述暴露因子exposure_factor即为影子系统中可触达资产占总目标资产的比例，这个值越小越好。

73、s303：监控攻击流量中是否携带敏感字段的下行传输，计算容限边际，依据容限边际设置即时阻断的流量红线。

74、所述敏感字段包括身份证号、密钥特征等。

75、容限边际containment_margin的具体计算公式为：

76、containment_margin=1-(attacked_duration_minutes/max_tolerable_duration)；

77、其中：attacked_duration_minutes为暴露时长；

78、max_tolerable_duration为定义的最大容忍暴露时长，通常取20~30小时。

79、s304：利用虚拟化技术为攻击方动态挂载虚假敏感文件，评估攻击方对特定信息的兴趣度。

80、进一步的，所述特定信息为虚假敏感文件中的各类诱饵信息；包括业务资产信息、运维设施信息、涉密配置信息、高价值内部资料。

81、s305：计算防御系统为维持延迟处置所耗费的计算与存储资源，确保防御溢价不低于资产潜在风险，当防御溢价低于资产潜在风险时，停止延迟处置，进行即时阻断。

82、所述防御溢价不纳入dev计算，仅作为是否继续维持延迟处置的独立可行性约束条件。

83、s306：汇总资产敏感度、暴露因子、容限边际，计算得到受控资产暴露价值dev及dev安全阈值，且当dev超出dev安全阈值时，立即触发即时阻断。

84、进一步的，受控资产暴露价值（dev）具体计算公式为：

85、dev=asset_sensitivity×exposure_factor×containment_margin。

86、dev安全阈值具体计算方式为：

87、dev_max=asset_sensitivity×max_exposure_tolerance；

88、其中：max_exposure_tolerance风险暴露容忍阈值。

89、当dev＞dev_max，立即触发即时阻断。

90、结合资产潜在风险、dev安全阈值作为约束，在延迟诱捕、欺骗响应的过程中，设置风险天花板，保证诱捕过程不会波及真实业务资产，守住安全底线；直观量化攻击路径深入带来的风险增量，为 obp 模型提供防御侧风险约束条件。

91、s4：最优打断时机obp建模：利用动态规划算法，寻找攻击方收益成本比最低且防御方获取信息量最大的时间阈值，记为最优打断时机obp点，依据最佳打断时机obp点判断攻击价值，判定处理方法，若为低价值攻击则直接封禁；若为高价值攻击则采取后续s5：执行延迟性安全处置与固化攻击特征。

92、进一步的，所述s4包括以下子步骤：

93、s401：定义效能函数u=f(t)，其中t为延迟时间，在dev处于安全阈值内的前提下，寻找使效能函数u(t)取得最大值的时间点，记为最优打断时机obp点。

94、效能函数u=f(t)具体公式为：

95、u(t)=α×aic(t)-β×dev(t)+γ×info_gain(t)；

96、其中：t为延迟时间；

97、α、β、γ为对应权重，α+β+γ=1，初始设置为：α=0.4，β=0.4，γ=0.2；

98、info_gain(t)为信息收集量。

99、info_gain(t)具体计算公式为：

100、info_gain(t)=k1·behav_classes(t)/n_behav+k2·tool_fp(t)/n_tool+ k3·chan_confirmed(t)/n_chan+k4·ip_attrib(t)；

101、其中：behav_classes(t)为截至t已捕获行为类别数（ttp覆盖度）；

102、n_behav为历史库同类攻击平均类别总数；

103、tool_fp(t)为截至t已提取工具指纹数；

104、n_tool为历史库同类攻击平均工具指纹总数；

105、chan_confirmed(t)为已截至t确认回连/c2通道数；

106、n_chan为历史库同类攻击平均回连/c2通道总数；

107、ip_attrib(t)为真实源ip归属确认度，取值为0~1，代理/tor层层剥除，确认=1；

108、k1~k4为权重，且k1+k2+k3+k4=1，同s206方式回归标定，可在后续s605中进行更新。

109、在dev处于安全阈值内的前提下，寻找使效能函数u(t)取得最大值的时间点t*，即：寻找t*使得：du/dt=0且t*满足dev(t*)

110、t*的具体计算公式为：

111、t*=argmaxu(t) subject to dev(t)

112、s402：设定动态窗口期，如果在渗透期攻击方停滞不前，则提前判定为低价值攻击，转为即时封禁。

113、s403：根据历史库中同类型攻击的平均时长，预测其进入控制期的临界点。

114、s404：引入干扰因子，在延迟期间适度降低响应速度，测试攻击方在面临低质量链路时的资源追加意愿。

115、s405：输出具体的阻断指令触发阈值，所述阈值包含时间跨度、流量阈值和敏感行为计数器。

116、实现攻击分级差异化处置：针对低aic的批量扫描、简单爆破类低价值攻击，直接快速封禁，减少系统算力消耗，快速清除威胁；针对高价值高级攻击，不立即阻断，转入延迟处置流程，最大化采集攻击样本；不需要人工实时观测攻击进程，算法自动输出最优处置时机，适合大流量下多攻击会话并发处理场景。

117、s5：执行延迟性安全处置与固化攻击特征：在安全阈值内实施拟真欺骗响应，到达阈值后瞬间关断链路，并全量提取、固化攻击方的高价值工具指纹。

118、进一步的，所述s5包括以下子步骤：

119、s501：在延迟期间采用拟真响应，所述拟真响应为针对攻击方的漏洞利用尝试返回符合逻辑的伪造成功提示。

120、s502：到达obp阈值的瞬间，触发reset报文强行切断tcp连接，并在网络边界同步下发拦截策略。

121、s503：将延迟期间产生的所有流量数据、交互报文、环境变量快照封装为不可篡改的取证文件。

122、s504：利用旁路反制技术，尝试对攻击方使用的浏览器或工具套件进行指纹反向探测。

123、s505：通过流量劫持技术，引导攻击方的后续重试行为进入全虚幻蜜网环境。

124、在dev安全阈值以内输出拟真欺骗响应，持续和攻击者进行交互，诱导攻击者释放完整工具、payload、利用指令，充分激发出攻击方全套行为特征，获取更完整的攻击样本；风险一旦触达红线马上终止会话，杜绝诱捕过度带来的风险溢出，保证防御安全性；会话终止全量采集固化工具指纹、载荷特征、交互行为，获取到普通拦截模式下无法拿到的高价值对抗样本，为后续攻击画像、全局策略更新提供高质量原始素材。

125、s6：生成攻击画像并更新全局联动防御策略：将捕获的完整攻击特征转化为全局防御特征，通过联动网络安全网关设备实现全网的主动式免疫。

126、进一步的，所述网络安全网关设备包括防火墙、waf等设备。

127、进一步的，所述s6包括以下子步骤：

128、s601：提取攻击方在渗透期和控制期展示出的特有行为序列，生成该攻击方的特有行为熵值。

129、特有行为熵值具体计算方式为：h=-σp_j×log2(p_j)；

130、其中：

131、p_j为第j类行为出现的频率；

132、第j类行为包括端口扫描、命令执行、文件访问等。

133、进一步的，h上限为log2(行为类别数) ，满分为4，h=2.0时为满分一半，表明攻击方只重复用约1/4的行为类别（集中在少数几类）判定为机器特征；h=3.5是接近满分，表明攻击方几乎均匀用到全部类别，判定为人工特征；h<2.0判定为自动化工具攻击，2.0≤h≤3.5判定为人机混合攻击，h>3.5判定为人工渗透。

134、其中p_i由系统对攻击者在渗透期与控制期内各类行为的实测计数统计得出；香农熵为信息论中的客观度量公式；判定阈值2.0与3.5由历史攻击样本的实测分布标定。

135、s602：将捕获的0-day漏洞特征或新型绕过手段自动转化为本地waf的自定义拦截规则。

136、s603：根据攻击方的ip关联关系，在全球威胁情报网络中定位其所属的攻击组织或僵尸网络节点。

137、s604：统计本次延迟式安全处置带来的攻击成本增加额，量化评估本次延迟式安全处置对整体安全态势的提升效果。

138、s605：自动优化obp模型的权重系数，实现防御系统的自适应学习和进化。

139、进一步的，s605包括以下子步骤：

140、s6051：效果反馈采集：每次延迟处置事件结束后，读取s604统计该事件的实测效果指标。

141、进一步的，所述实测效果指标包括：攻击成本增加额、取证完整度、资产实际暴露时长，以及事后经人工复核确认的误判标记。

142、所述攻击成本增加额为本次aic终值与同类历史攻击均值的差值；所述取证完整度为捕获的行为类别数与工具指纹数。

143、s6052：增量更新计算：将所述实测指标与预期目标的偏差作为反馈信号，按固定学习率η对各权重执行增量更新，更新后重新归一化，使各权重之和保持为1。

144、进一步的，dev相关参数的更新方向受单向约束：仅允许收紧安全约束、不允许放宽。

145、进一步的，增量更新具体计算公式为：w_new=w_old+η×∇l。

146、其中：w_new为更新后的参数；

147、w_old为需要更新的权重，包括w1~w5、k、α、β、γ、k1~k4；

148、η为更新步长，决定每次修正幅度，取0.01~0.1；

149、∇l为偏差修正项，根据本次处置实测效果与预期目标的偏差得到的修正方向和幅度，所述预期目标从历史处置样本统计得到。

150、所述偏差修正项∇l具体计算方式为：

151、∇l_n=σ( m_n×dev_n)；

152、其中：n为需要增量更新的各参数；

153、m_n为预先用历史攻击样本回归标定的敏感度矩阵；

154、dev_n为偏差向量，dev_n=(实测指标_n−目标_n)/目标_n。

155、所述预期目标，即目标_n，由历史样本库中同类攻击的成本分布统计得出，冷启动取统计缺省值，随样本积累更新，与权重标定同一机制。

156、s6053：影子验证与版本管理：s6052中更新后的权重先在镜像流量上运行验证，处置效果不劣于当前版本时才正式下发生效，否则丢弃本次更新。

157、进一步的，各版本权重持久化存储并按版本号递增，支持回退至历史版本。

158、权重设置、更新与s206中权重由历史攻击样本回归标定的方式衔接：冷启动阶段使用回归标定的初始权重，运行阶段由s605步骤进行持续修正。

159、采用增量更新方式偏差修正项，通过学习率控制单次调整幅度，防止单次异常攻击样本造成权重剧烈跳变、模型突变；更新完成后执行权重归一化，保证各权重总和恒等于1，维持效能函数数学形式不变，模型计算逻辑不会被破坏，保证aic-dev-obp整套量化计算体系前后兼容；对dev相关权重设置单向更新约束：仅允许收紧安全约束，不允许放宽安全约束，避免算法自主学习后变得激进，杜绝因自学习导致安全漂移、真实资产暴露风险升高；同时对全部权重版本持久化存储、版本号递增，当出现模型异常、对抗环境突变时，支持一键回退到历史稳定版本，极大提升系统鲁棒性，便于运维应急处置。

160、与现有技术相比，本发明的有益效果为：

161、1、通过构建攻击方投入成本（aic）与受控资产暴露价值（dev）的双维度动态评估模型，进行延时处置；打破过往发现即封禁的静态防御逻辑，通过量化攻击成本来指导处置时机（obp），解决了传统防御过早暴露策略的问题。

162、2、通过模拟响应诱导攻击者持续追加资源投入，直至其进入技术栈暴露最充分的“最优打断点”时实施突发式阻断，结合虚拟影子系统，实现在零资产风险前提下的深度威胁提取，极大增强了溯源的完整性，实现对攻击者的精准画像、深度反制以及防御效能的最大化，从而固化攻击方的行为特征，反向生成全局防御特征库，实现全网的主动式免疫。