基于贝叶斯网络攻击图的多目标网络安全动态评估方法

1.本发明属于工业控制安全技术领域，特别涉及一种基于贝叶斯网络攻击图的多目标网络安全动态评估方法。


背景技术：

2.在经济全球化和世界信息技术改革的相互推动下，internet技术正在蓬勃发展，在人类社会中应用的深度和广度不断提高，推动着人类社会的进步。无论是当今社会治理还是国家发展，抑或是学习教育亦或是信息化办公，互联网直接、全面、深入地渗透进我们生活的每个角落。互联网与生俱来的开放、交互等特点使人们所憧憬的沟通高效便利、信息开放共享、生产生活快速便捷等需求得到极大的满足。当人类社会日渐依赖着互联网，人们的生活世界与互联网越来越融为一体时，网络安全问题日渐显著，网络空间已经发展成为了我国继陆、海、空、天之后的第五疆域，网络空间的安全性与国家主权的保障息息相关。因此，网络安全问题引发了世界各国与社会各界的广泛关注。
3.当前，安全风险评估方法的研究主要包括基于指标体系、基于规则和基于模型三个基本方面[1]。如：赵等[2]提出了基于层次分析法和灰色关联分析的多维系统安全评价方法。该方法可以考虑系统安全中定性和定量因素之间的关系，具有高度的逻辑性和灵活性。alali等人[3]将网络攻击作为网络态势的重要指标，利用模糊逻辑推理系统改进了网络态势评估模型。[4]提出一种基于攻击图的安全度量方法，该方法通过攻击图对漏洞组成进行建模，并以安全最大化和成本最小化为指标对风险缓解选项进行评分。该方法应用了利用似然因子来集成安全和成本度量，并研究了两者之间的权衡。其中比较常见的是基于模型的评估方法，因为该方法综合考虑了脆弱性信息之间的关联性。基于模型的评估方法中比较典型的有：贝叶斯网络模型[5][6]、petrinet[7]、攻击图模型[8]以及攻击树模型[9]。攻击树具有直观性、可视化等特点，能够很好地用图形化语言描述网络攻击。但由于树状模型存在扩展性不强的缺陷，因此，攻击树在描述复杂的网络攻击时，效果将大打折扣，同时，复杂网络系统建模时的复杂度和工作量也在很大程度上制约了攻击树方法的使用[10][11]。而相比于攻击树，攻击图方法由于基于单调性假设，具有良好的可扩展性，能够很好地对复杂的网络攻击进行描述[12]。
[0004]
针对不同的网络安全问题，专家和学者们提出各种不同的解决方案。如： wang等[13]针对机载网络安全风险评估指标权重难以客观准确计算、评估结果单一、描述性差等问题，提出一种基于改进模糊层次分析法(fahp)-云模型的机载网络安全风险评估方法。实验结果表明，该方法能有效提高系统的可靠性。li 等[14]为准确评估计算机网络的脆弱性，提出一种bnag模型和脆弱性评估方法，并提供e-loop算法用于解决攻击图中的环路问题。yi等[15]提出一种基于模糊理论的网络安全风险评估模型，通过挖掘网络安全状况历史数据中的规则，实现对当前网络安全状况的评估，提高评估结果的客观性和可理解性。为了更好的展示攻击图中各节点之间的依赖关系、各资源利用之间的相关性以及攻击行为对攻击路径的影响，frigault等人[16]提出将基于攻击图的概率度量建模为一种特殊的贝叶
斯网络。这种方法为这些度量提供了良好的理论基础。它还可以提供使用条件概率解决漏洞之间相互依赖的一般情况的能力。lin等人[17]提出了一种基于大数据和贝叶斯攻击图的动态网络安全态势预测方法，结果表明该方法能够准确预测攻击行为，有效量化网络安全态势。
[0005]
在不同的风险评估应用背景下，学者们提出使用多目标进化算法来求解风险评估模型。如：dai等[18]将多目标风险评估模型引用到网络安全问题中，并基于攻击图理论提出一种多目标风险评估模型，然后利用多目标进化算法进行求解，得到最优的攻击路径，依据此结果可以为安全网络建设、安全加固和主动防御提供建设性的指导。soui等[19]建立信用风险评估模型，基于该模型使用多目标优化算法自动生成一组分类规则，结果表明该模型具有很高的可解释性，同时保证风险最小化。
[0006]
在以往的风险评估研究中，往往更强调对网络当前安全状态的度量，即评估结果基于一个相对可控的分析环境，在这个环境中，通常会预定义攻击者以及防御者的行为模式。然而，在实际的攻击场景中，攻防双方的行为模式处于动态变化中，这种变化直接导致网络安全状态的变化。基于此种分析，本案由此产生。
[0007]
涉及的参考文献：
[0008]
[1]戴方芳.基于攻击图理论的网络安全风险评估技术研究[d].北京邮电大学,2015.
[0009]
[2]x.zhao,h.xu,t.wang,x.jiang,j.zhao,researchonmultidimensionalsystemsecurityassessmentbasedonahpandgraycorrelation,in:chineseconferenceontrustedcomputingandinformationsecurity,springer,2019,pp.177
–
192.
[0010]
[3]m.alali,a.almogren,m.m.hassan,i.a.rassan,m.z.a.bhuiyan,improvingriskassessmentmodelofcybersecurityusingfuzzylogicinferencesystem,comput.secur.74(2018)323
–
339.
[0011]
[4]s.noel,l.wang,a.singhal,ands.jajodia,“measuringsecurityriskofnetworksusingattackgraphs,”internationaljournalofnext-generationcomputing,1(1):135-147,2010.
[0012]
[5]k.wuands.ye,“aninformationsecuritythreatassessmentmodelbasedonbayesiannetworkandowaoperator,”appliedmathematics&informationsciences,vol.8,no.2,pp.833-838,2014.
[0013]
[6]kimj,shaha,kanghg.dynamicriskassessmentwithbayesiannetworkandclusteringanalysis.reliabilityengineeringandsystemsafety,2020,201.
[0014]
[7]wangyf,chouhh,changct.generationofbatchoperatingproceduresformultiplematerial-transfertaskswithpetrinets,computers&chemicalengineering,2005,29(8):1822-1836.
[0015]
[8]stergiopoulosg,dedousisp,gritzalisd.automaticanalysisofattackgraphsforriskmitigationandprioritizationonlarge-scaleandcomplexnetworksinindustry4.0[j].internationaljournalofinformation
security,2021:1-23.
[0016]
[9]abdoh,kaoukm,flausjm,etal.asafety/securityriskanalysisapproachofindustrialcontrolsystems:acyberbowtie-combiningnewversionofattacktreewithbowtieanalysis,computers&security,2018,72:175-195.
[0017]
[10]whitleyjn,phanrcw,wangj,etal.attributionofattacktrees[j].computers&electricalengineering,2011,37(4):624-628.
[0018]
[11]daltoniigc,edgeks,millsrf,etal.analysingsecurityrisksincomputerandradiofrequencyidentification(rfid)networksusingattackandprotectiontrees[j].internationaljournalofsecurityandnetworks,2010,5(2/3):87-95.
[0019]
[12]ammannp,pamulaj,ritcheyr,etal.ahost-basedapproachtonetworkattackchaininganalysis[c]//computersecurityapplicationsconference.2005:72-84.
[0020]
[13]wangj,lij,lig,etal.animprovedfahp-cloud-basedsecurityriskassessmentmodelforairbornenetworks,journalofcomputationalmethodsinsciencesandengineering,2020(7):1-15.
[0021]
[14]lix,lim,wangh.researchonnetworksecurityriskassessmentmethodbasedonbayesianreasoning,2019ieee9thinternationalconferenceonelectronicsinformationandemergencycommunication(iceiec).ieee,2019.
[0022]
[15]yib,caoyp,songy.networksecurityriskassessmentmodelbasedonfuzzytheory,journalofintelligentandfuzzysystems,2020,38(4):3921-3928.
[0023]
[16]frigaultm,wangl,singhala,etal.measuringnetworksecurityusingdynamicbayesiannetwork[c]//proceedingsofthe4thacmworkshoponqualityofprotection.2008:23-30.
[0024]
[17]linp,cheny.dynamicnetworksecuritysituationpredictionbasedonbayesianattackgraphandbigdata[c]//2018ieee4thinformationtechnologyandmechatronicsengineeringconference(itoec).ieee,2018:992-998.
[0025]
[18]daif,zhengk,luos,etal.towardsamultiobjectiveframeworkforevaluatingnetworksecurityunderexploitattacks//ieeeinternationalconferenceoncommunications.ieee,2015.
[0026]
[19]souim,gasmii,smitis,etal.rule-basedcreditriskassessmentmodelusingmulti-objectiveevolutionaryalgorithms[j].expertsystemswithapplications,2019,126(jul.):144-157.
[0027]
[20]frigaultm,wangl,jajodias,etal.measuringtheoverallnetworksecuritybycombiningcvssscoresbasedonattackgraphsandbayesiannetworks[m]//networksecuritymetrics.springer,cham,2017:1-23.
[0028]
[21]mirjalilis,mirjalilism,lewisa(2014)greywolfoptimizer.advancesinengineeringsoftware69(3):46
–
61.
[0029]
[22]saremis,mirjalilisz,mirjalilism(2015)evolutionarypopulationdynamicsandgreywolfoptimizer.neuralcomputing&applications26(5):1257
–
1263.
[0030]
[23]elharirie,el-bendaryn,hassanienae,abrahama(2015)greywolfoptimizationforone-against-onemulti-classsupportvectormachines.in:20157thinternationalconferenceofsoftcomputingandpatternrecognition(socpar),ieee,pp7
–
12
[0031]
[24]elharirie,el-bendaryn,hassanienae(2016)ahybridclassificationmodelforemgsignalsusinggreywolfoptimizerandsvms.in:the1stinternationalconferenceonadvancedintelligentsystemandinformatics(aisi2015),november28-30,2015,benisuef,egypt,springer,pp297
–
307
[0032]
[25]sunx,jinz,caiy,etal.greywolfoptimizationalgorithmbasedstatefeedbackcontrolforabearinglesspermanentmagnetsynchronousmachine.ieeetransactionsonpowerelectronics,2020,35(12):13631-3641.
[0033]
[26]zhangh,zhoua,songs,zhangq,zhangj(2016)aself-organizingmultiobjectiveevolutionaryalgorithm.ieeetransactionsonevolutionarycomputation20(5):792
–
806.
[0034]
[27]fdai,huy,zhengk,etal.exploringriskflowattackgraphforsecurityriskassessment.ietinformationsecurity,2015,9(6):344-353.
[0035]
[28]p.mell,k.scarfoneands.romanosky,commonvulnerabilityscoringsystem,ieeesecurityandprivacy,vol.4,no.6,pp.85-89,nov.2006.
[0036]
[29]kohonen,teuvo(1990)theself-organizingmap.ieeeprocicnn,78(9):1464
–
1480.
[0037]
[30]teuvo,kohonen(1998)theself-organizingmap.neurocomputing21(1):1
–
6.
[0038]
[31]e.zitzlerandl.thiele.multiobjectiveevolutionaryalgorithms:acomparativecasestudyandthestrengthparetoapproach[j].ieeetransactionsonevolutionarycomputation,3(4):257-271,1999.
[0039]
[32]mirjalilis,saremis,mirjalilism,etal.multi-objectivegreywolfoptimizer:anovelalgorithmformulti-criterionoptimization[j].expertsystemswithapplication,2016,47:106-119.


技术实现要素：

[0040]
本发明的目的，在于提供一种基于贝叶斯网络攻击图的多目标网络安全动态评估方法，考虑攻击者与防御者的动态行为模式，找到适合双方的最佳路径，防止攻击者的攻击。
[0041]
为了达成上述目的，本发明的解决方案是：
[0042]
一种基于贝叶斯网络攻击图的多目标网络安全动态评估方法，包括如下步骤：
[0043]
步骤1，构建贝叶斯网络攻击图，并建立多目标风险评估模型；
[0044]
步骤2，利用灰狼优化的自组织多目标进化算法对模型进行求解，得到多种不同的攻击策略；
[0045]
步骤3，从攻击者的角度得到最优的攻击路径，从防御者的角度得到安全系数最低的路径，对其进行加固。
[0046]
上述步骤1的具体内容是：
[0047]
步骤11，构建贝叶斯网络攻击图；
[0048]
步骤12，搭建示例网络系统模型；
[0049]
步骤13，建立多目标风险评估模型。
[0050]
上述步骤11的具体内容是，先将cvss基本分数转换为概率，然后在攻击图中沿攻击路径传播这些概率；然后，将攻击图编码，并将概率分配为贝叶斯网络，然后通过贝叶斯推断得出总体度量值。
[0051]
上述步骤12的具体内容是，首先构建网络环境，该网络环境的网络系统包括对外交流区和内部服务器，外部交流区对系统用户提供web服务和e-mail服务，防火墙后端连接内部服务区，内部服务区为外部交流区提供服务；然后将网络系统模型转换为网络风险攻击图，包含漏洞节点和条件节点，并显示有网络系统中可能存在的攻击行为和攻击路径；最后，将所述网络风险攻击图以有向图的形式表示，为每个漏洞添加条件概率，转化为贝叶斯攻击图。
[0052]
上述步骤1中，建立的多目标风险评估模型表达式如下：
[0053][0054][0055]
其中，f1表示网络可利用性，f2表示网络利用影响；n为从入侵网络到目标节点存在的攻击路径条数，ω是所有攻击者策略的集合，要求决策变量 xi∈{0,1},i＝1,2,...,n，是0、1序列，ei,i＝{1,2,...,m}为每个漏洞的条件概率；α是归一化因子，使得exk∈(0,1)；β是归一化因子，使得imk∈(0,1)。
[0056]
上述步骤2的具体内容是：
[0057]
步骤21，随机初始化种群，并设置算法参数；
[0058]
步骤22，使用自组织多目标进化算法smea初始化som的权重；
[0059]
步骤23，迭代开始，利用训练数据更新som网络，即更新学习率、权值和邻域半径，并提取种群个体之间的邻域信息；
[0060]
步骤24，使用竞赛选择机制从邻域或当前种群中选择父代种群；
[0061]
步骤25，使用de算子和多项式变异算子生成新解；
[0062]
步骤26，采用环境选择机制更新种群和训练集；若满足终止条件，则输出种群的最优解；否则，重复步骤23。
[0063]
采用超体积值这一性能指标来比较算法之间的优劣性，计算方式如下：
[0064]
hv(p,r)＝vol(∪
x∈p
[f1(x),r1]
×…×
[fm(x),rm])
[0065]
其中r＝(r1,r2,
…
,rm)是目标空间中被任意帕累托最优点支配的参考点， vol(
·
)是勒贝格测量，其中参考点为r＝(0,0)，hv的值越大，说明算法的性能越好。
[0066]
采用上述方案后，本发明具有如下优点：
[0067]
(1)搭建具有一定复杂度、科学合理的网络环境，将其转化为攻击图，基于攻击图进一步利用漏洞cvss基础得分构建贝叶斯网络攻击图；
[0068]
(2)基于贝叶斯网络攻击图，得到多目标风险评估模型；
[0069]
(3)采用基于灰狼优化的自组织多目标进化算法求解多目标风险评估模型；
[0070]
(4)从攻击者的角度出发，该方法可以帮助攻击者找到最佳的攻击路径；从防御者的角度，该方法可以找到需要加固的路径，防止攻击者的攻击。
附图说明
[0071]
图1是节点攻击图；
[0072]
图2是灰狼的层次结构示意图；
[0073]
图3是示例的网络系统模型示意图；
[0074]
图4是示例的网络风险攻击图示意图；
[0075]
图5是贝叶斯网络攻击图；
[0076]
图6是som二维结构示意图；
[0077]
图7是gwo-smea算法框架示意图；
[0078]
图8是利用gwo-smea算法得到最优结果时hypervolume指标迭代表现示意图；
[0079]
其中，(a)是250次迭代示意图，(b)是前20次迭代示意图；
[0080]
图9是paretofront分布示意图；
[0081]
图10是各路径攻击概率示意图；
[0082]
图11是本发明的整体流程图。
具体实施方式
[0083]
以下将结合附图，对本发明的技术方案及有益效果进行详细说明。
[0084]
本发明提供一种基于贝叶斯网络攻击图的多目标网络安全动态评估方法，基于攻防双方的动态行为模式，构建贝叶斯网络攻击图(其中将每个漏洞的cvss 得分/10作为每个漏洞的条件概率)，并进一步建立多目标风险评估模型。然后，采用基于灰狼优化的自组织多目标进化算法对模型进行求解，得到多种不同的攻击策略。最后，从攻击者的角度得到最优的攻击路径，从防御者的角度得到安全系数最低的路径，对其进行加固。
[0085]
配合图11所示，本发明的具体实施步骤如下：
[0086]
步骤1，构建贝叶斯网络攻击图，搭建示例网络与提出模型、算法；
[0087]
步骤1-1，构建贝叶斯网络攻击图
[0088]
frigault等人[20]研究了几种将单个漏洞的cvss分数结合到网络安全总体度量中的方法。首先，他们将cvss基本分数转换为概率，然后在攻击图中沿攻击路径传播这些概率。其次，他们将攻击图编码，并将概率分配为贝叶斯网络，然后通过贝叶斯推断得出总体度量值。涉及到的定义如下：
[0089]
定义1(基于贝叶斯网络的攻击图)：给定一个有向无环攻击图 g(e∪v,rr∪ri)，e
其中是一组漏洞和v一组条件，以及and 给定一个函数f()，将每个e∈e映射到其cvss分数除以10，基于贝叶斯网络的攻击图就是贝叶斯网络b＝(g'(e∪v,rr∪ri),q)，g'通过注释每个f(e)e∈e，将每个节点视为具有两个状态的离散随机变量true和false，q 是贝叶斯网络的一组参数，如下所示。
[0090]
1.p(v＝t)＝1对于所有初始条件v∈vi.
[0091]
2.(也就是说，在满足其所有先决条件之前，无法执行攻击).
[0092]
3.(也就是说，post条件可以仅通过任何利用来满足).
[0093]
4.(也就是说，在满足所有先决条件时成功执行利用的概率).
[0094]
攻击图中的节点与其父节点间存在依赖关系，某个节点受到其父节点影响而被攻克的概率称之为条件概率。对于条件节点vj，条件概率用p(vj|par(vj))表示，其中par(vj)表示其父节点集合。根据依赖关系dj的不同，条件概率的计算公式如式(1)(2)所示：
[0095]
当dj＝and时，
[0096]
当dj＝or时，
[0097]
下面通过一个特例说明这种方法。
[0098]
如图1所示，该节点攻击图由a、b两部分组成。对于a部分，达到v4必须要执行前面的操作，例如，初始满足v1，分配值为1；e1只依赖v1，如果v1不为真，则满足的概率为0，否则为0.5(其中0.5是内部漏洞e1的cvss分数/10)。 a部分整体的安全性，即在满足给定v1的情况下满足v4的概率可以通过贝叶斯推理计算如下：
[0099]
p(v4＝t)＝0.5
×
0.3＝0.15
[0100]
对于b部分，描述了一种在某种意义上漏洞e4和e5分离的情况，满足其中一个就可以达到e6。通过贝叶斯推理计算得到，通往目标状态的路径越多，网络的安全性就会越低。
[0101]
p(v5＝t)＝p(v5＝t,e2,v2)＝0.4
×
1＝0.4
[0102]
p(e4)＝p(v4＝t)
×
p(e4)＝0.15
×
0.3＝0.045
[0103]
p(e5)＝p(c5＝t)
×
p(e5)＝0.24
[0104]
p(v6＝t)＝1-(1-0.045)(1-0.24)＝1-0.7258＝0.2742
[0105]
p(v7＝t)＝0.4
×
0.2742＝0.10968
[0106]
步骤1-2，搭建示例网络系统模型。
[0107]
参考文献[18][27]中的示例网络模型，本文构建如图3所示的一个具有一定复杂度、科学合理的网络环境。图3所示的网络环境部署中，网络系统分为对外交流区和内部服务区。外部交流区对系统用户提供web服务和e-mail服务。防火墙后端连接内部服务区，由主机pc2、ftp服务器和数据库服务器三部分组成，主要为外部交流区提供相应服务。攻击者
通过internet伸出“黑手”进入系统用户区，对该网络环境实行攻击，主要攻击目的是为了获得网络系统数据库的root 权限。
[0108]
将上述的网络系统模型，根据文献[18]中的映射规则，将其转换为如图4所示的网络风险攻击图。图4中详细展示网络系统中可能存在的攻击行为和攻击路径，其中灰色节点表示漏洞节点，其他节点是条件节点，表示渗透攻击所需的前提条件或渗透攻击后的结果。
[0109]
为了后续更清晰、更快捷地寻找攻击路径，利用攻击图有向图的特征，将风险攻击图模型表示为简洁的有向图，并根据步骤1-1给每个漏洞添加条件概率 (cvss分数/10)，将其转化为贝叶斯攻击图，如图5所示。
[0110]
本文在风险攻击图模型的基础上进行以下的研究：(1)以风险攻击图揭示攻击策略，量化相关风险；(2)根据所构建的贝叶斯网络攻击图，建立多目标风险评估模型；(3)提出一种融合的多目标进化算法对上述模型进行求解，得到多组不同的攻击策略。
[0111]
步骤1-3：风险评估模型的建立
[0112]
步骤1-3-1：基本定义
[0113]
本文将该示例网络的安全评估问题描述为多目标优化问题，其目的是最大化网络的可利用性以及网络利用影响，该问题表述的基本定义如下。
[0114]
定义1(攻击图)[18]攻击路径为攻击图中对应点和边的有序组合，反映攻击者从入侵网络到顺利攻击目标节点所经历的过程。一个攻击图中至少存在一条攻击路径。攻击路径表示为：apk＝{p
12
,p
23
,...,p
rn
|v1,v2,...,vn}。
[0115]
定义2(攻击策略)[18]假设在攻击图中，从入侵网络到目标节点共存在n条路径。攻击者可根据自己的喜好选择一条或多条路径进行攻击，那么，攻击者的攻击策略可表示为其中xm∈{0,1},k＝1,2,...,m，当x
p
＝1时，表示攻击者选择第k条路径，当xk＝0时，表示攻击者不选择第k条路径。因此，攻击策略是维度为m的0、1序列。
[0116]
定义3(路径可利用性)[18]该指标反映攻击者选择攻击该条路径时所面临的攻击复杂度，由该条路径上确定的cvss标度中的av、ac、au信息[28]构成，其表达式为
[0117][0118]
其中，α是归一化因子，使得exk∈(0,1)。
[0119]
定义4(路径利用影响)[18]该指标反映攻击者攻击该条路径后对网络系统造成的影响，主要是系统信息的损失。由该条路径上确定的cvss标度中的c、i、 a信息[28]构成，其表达式为
[0120][0121]
其中，β是归一化因子，使得imk∈(0,1)。
[0122]
网络可利用性em：该指标反映攻击者选择攻击策略后，进行相应的攻击时所面临的攻击复杂度的综合度量，由所选路径的可利用性指标构成，其表达式为
[0123][0124]
网络利用影响im：该指标反映攻击者选择攻击策略后，进行相应的攻击对系统造成的损失影响，是对攻击效果的一种综合性度量，由所选路径的利用影响指标构成，其表达
式为
[0125][0126]
步骤1-3-2：模型建立
[0127]
对网络的安全性进行风险评估，不仅包括当前网络安全状态的度量，也包括对网络面临威胁时，安全状态发生变化的描述。在以往的风险评估研究中，往往更强调对网络当前安全状态的度量，即评估结果基于一个相对可控的分析环境，在这个环境中，通常会预定义攻击者w及防御者的行为模式。然而，在实际的攻击场景中，攻防双方的行为模式处于不断变化中，这种变化也直接导致了网络安全状态的变化，因此在风险评估时，需要将攻击者行为模式纳入考虑范畴。
[0128]
针对本文搭建的示例网络系统模型，从攻击者入侵网络系统到获得数据库服务器的root权限，利用图的深度优先遍历算法可获得9条攻击路径，512种攻击策略。
[0129]
示例网络系统模型中存在的从入侵到目标主机的9条攻击路径如下：
[0130]
ap1＝[p
12
,p
23
,p
34
,p
47
,p
78
|v1,v2,v3,v4,v7,v8]
[0131]
ap2＝[p
12
,p
23
,p
37
,p
78
|v1,v2,v3,v7,v8]
[0132]
ap3＝[p
12
,p
24
,p
47
,p
78
|v1,v2,v4,v7,v8]
[0133]
ap4＝[p
12
,p
25
,p
56
,p
67
,p
78
|v1,v2,v5,v6,v7,v8]
[0134]
ap5＝[p
12
,p
25
,p
57
,p
78
|v1,v2,v5,v7,v8]
[0135]
ap6＝[p
12
,p
26
,p
67
,p
78
|v1,v2,v6,v7,v8]
[0136]
ap7＝[p
13
,p
34
,p
47
,p
78
|v1,v3,v4,v7,v8]
[0137]
ap8＝[p
13
,p
37
,p
78
|v1,v3,v7,v8]
[0138]
ap9＝[p
14
,p
47
,p
78
|v1,v4,v7,v8]
[0139]
从攻击者的角度，考虑攻击者的攻击偏好，最大化网络系统的可利用性和攻击效果，从而达到预测网络系统风险的目的[11]。如果直接选用上述定义中的网络可利用性和网络利用影响作为作为目标函数会存在以下问题：
[0140]
①
可利用性指标反映的是攻击路径所需手段的复杂度，当攻击复杂度越低，可利用性指标越高，当攻击复杂度越高，可利用性指标越低。通过分析网络可利用性公式发现，由于exk∈(0,1)，则1-exk∈(0,1)，为了使达到最大值，要达到最小值，即所选攻击路径的(1-exk)的乘积要达到最小值。然而，只有选择路径越多时，即选择攻击网络系统存在的所有可攻击路径时，达到最小值。但从实际角度，选择所有可攻击路径作为攻击策略，其攻击前所面临的复杂度应该远大于选择更少路径的复杂度。从理论上分析，式(5)的特征与可利用性指标的描述相矛盾。
[0141]
②
网络利用影响指标衡量的是攻击发生后对网络系统造成的影响。分析式(6) 得到，选择攻击网络系统中所有可攻击路径时，达到最大值。因此，导致上述多目标模型只有一个最优解，即选择网络系统中所有可攻击路径作为攻击策略。获得的攻击策略过于单一，不具有多样性，导致不能够全面对网络系统进行风险评估。
[0142]
因此，本文依据上述定义中构建的目标函数、建模思想，以及每个漏洞节点的条件概率，提出多目标风险评估模型，其表达式如下：
[0143][0144][0145]
该模型是二维目标优化模型，其中，f1表示网络可利用性，f2表示网络利用影响。n为从入侵网络到目标节点存在的攻击路径条数，ω是所有攻击者策略的集合，要求决策变量xi∈{0,1},i＝1,2,...,n，是0、1序列，ei,i＝{1,2,...,m}为每个漏洞的条件概率。
[0146]
图5为本文所构建示例网络模型的贝叶斯网络攻击图，利用式(1)、(2)计算该网络中各个漏洞的条件概率，最终得到的结果分别为：
[0147]
p(e1)＝0.65；
[0148]
p(e2)＝0.68；
[0149]
p(e3)＝p(v2)*p(e3)＝0.65*0.68＝0.4420；
[0150]
p(e4)＝p(v2)*p(e4)＝0.65*1＝0.65；
[0151]
p(e5)＝1.0；
[0152]
p(e6)＝p(v3)*p(e6)＝[1-(1-0.68)(1-0.4420)]*1＝0.8214；
[0153]
p(e7)＝p(v2)*p(e7)＝0.65*1＝0.65；
[0154]
p(e8)＝p(v2)*p(e8)＝0.65*1＝0.65；
[0155]
p(e9)＝p(v5)*p(e9)＝0.65*09＝0.5850；
[0156]
p(e
10
)＝p(v5)*p(e
10
)＝0.65*1＝0.65；
[0157]
p(e
11
)＝p(v6)*p(e
11
)＝[1-(1-0.5850)(1-0.65)]*0.71＝0.6069；
[0158]
p(e
12
)＝p(v3)*p(e
12
)＝[1-(1-0.68)(1-0.4420)]*0.51＝0.4189；
[0159]
p(e
13
)＝p(v4)*p(e
13
)＝[1-(1-0.8209)(1-0.65)(1-1)]*0.51＝0.51；
[0160]
p(e
14
)＝[1-(1-0.4186)(1-0.65)(1-0.6069)(1-0.51)]*0.72＝0.6918
[0161]
在该模型中，网络可利用性表示的是进行相应的攻击时所面临的攻击复杂度的综合度量，上述所计算的每个漏洞的条件概率可以能侧面反应其攻击复杂度的大小；而网络可利用影响无法从漏洞的概率中得到其攻击效果的度量，因此，在该式中需要加入漏洞条件概率的考虑。目标函数乘以系数100将目标值映射到 (0,100)区间，相当于给目标值一个0至100分的度量，是为了解决可能存在的由目标值过小和精度限制导致的结果难以比较的问题。观察上述模型中网络可利用性公式可知，当所有可攻击路径作为攻击策略时，ex值将达到最小，即攻击复杂度最高；但若选择攻击适量的、具有一定可利用性的路径组合成的攻击策略， ex值将有所提升。从理论上分析，上述公式符合可利用性指标描述。综合分析式(7)，求解多目标风险评估模型将获得多个最优解，即获得的攻击策略不失多样性，从而能够形成更全面的风险评估报告。
[0162]
步骤2，利用灰狼优化的自组织多目标进化算法求解模型；
[0163]
基于灰狼优化的自组织多目标进化算法(gwo-smea)首先利用灰狼优化算法来优化som的初始网络权值矢量，以便提取到最佳的种群个体的邻域信息，然后再通过这些信息
利用差分进化算子生成新的解。
[0164]
步骤2-1，灰狼优化算法
[0165]
gwo[21][22]i是一种新的人口智能优化算法，具有参数少、简单、灵活、可扩展等优点。它在机器学习、图像处理等领域有着广泛的应用。例如，elhariri 等人[23][24]成功地将基于gwo支持向量机应用于图像分类和肌电信号分类。 sun等人[25]提出了一种由gwo调谐的状态反馈控制器，该控制器具有良好的跟踪和干扰抑制性能。
[0166]
在gwo中，灰狼严格遵守图2所示的社会支配等级，α狼是人口的领导者。β狼是α的候选人，帮助α狼做决定或开展其他狼群活动。δ狼遵守α和β狼，但支配ω狼。除了狼的社会等级，gwo还包括追踪、包围和攻击猎物等。
[0167]
步骤2-1-1，包围猎物
[0168]
其数学模型为：
[0169][0170][0171][0172][0173]
t表示当前迭代，和是系数向量，是猎物的位置向量，并且是灰狼的位置。在式(10)中，的组成部分在迭代过程中从2线性减少到0，并且r1和 r2是[0,1]中的随机向量。
[0174]
步骤2-1-2，狩猎
[0175]
其数学模型为：
[0176][0177][0178][0179]
和表示位置向量α、β和δ狼分别在目前的种群中。和指出当前种群中候选狼与目标狼之间的距离α、β和δ分别是狼。
[0180]
步骤2-1-3，攻击猎物(剥削)
[0181]
当的值为[-1,1]时，ω狼准备攻击猎物的下一个位置可以在其当前位置和猎物位置之间。否则，为了全局搜索和避免局部最优，狼会分散搜索猎物。
[0182]
步骤2-2，自组织多目标进化算法
[0183]
自组织多目标进化算法smea是由zhangetal.[26]提出的一种基于分解的多目标进化算法。该算法可有效地保证种群的多样性和收敛性。smea利用自组织映射som建立当前种群的m-1维拓扑结构，并定义种群中解之间的邻域关系。一个解决方案只允许与其相邻的解决方案匹配以生成新的解决方案。进一步使用基于超体积的环境选择进行选择。该算法的具体流程如算法1所示。
[0184][0185][0186]
步骤2-3，gwo优化som初始网络权值
[0187]
自组织映射网络[29][30]是由kohonen等提出，是一种无监督的机器学习方法。som一般包括输入层和输出层两部分，两层之间的神经元通过网络权值向量连接，并且它们之间是全连接。som通过检测输入数据之间的相互关系，根据输入数据的特点自适应调整网络的权值向量。常见的som的拓扑结构是一维和二维，这里给出二维som的拓扑结构图，如图6[26]所示。
[0188]
在som结构中，由于获得的结果严重依赖于初始权重的选择，为了提高 moeas的性能，本文使用灰狼优化算法(gwo)[21][22]来优化该权值矢量，定义 gwo的适应度函数如下：
[0189][0190]
其中用来衡量输入向量与离它们最近的权值矢量之间的欧式距离之和，其中算法2给出这一优化过程。
[0191][0192]
步骤2-4，gwo-smea算法框架
[0193]
图7给出该算法的具体流程：
[0194]
(1)随机初始化种群，并设置算法参数；
[0195]
(2)使用算法1初始化som的权重；
[0196]
(3)迭代开始，利用训练数据更新som网络，即更新学习率、权值和邻域半径，并提取种群个体之间的邻域信息；
[0197]
(4)使用竞赛选择机制从邻域或当前种群中选择父代种群；
[0198]
(5)使用de算子和多项式变异算子生成新解；
[0199]
(6)采用文献[26]中的环境选择机制更新种群和训练集。若满足终止条件，则输出种群的最优解；否则，重复步骤(3)。
[0200]
步骤3，仿真实验
[0201]
步骤3-1，问题描述
[0202]
gwo-smea算法主要用于解决最小化问题，因此，将上述多目标风险评估模型转化为对偶问题，即
[0203][0204][0205]
本文针对以上9条路径，以及上述风险评估模型，使用gwo-smea算法进行仿真实验，对实验中得到的pareto最优解集(即攻击策略)进行风险分析。
[0206]
步骤3-2，评价指标
[0207]
为了评估得到的解集的收敛性和多样性，本文使用超体积值(hyper-volume， hv)[26][31]这一性能指标来比较算法之间的优劣性。
[0208]
hv的计算方式如下：
[0209]
hv(p,r)＝vol(∪
x∈p
[f1(x),r1]
×…×
[fm(x),rm])
ꢀꢀꢀ
(16)
[0210]
其中r＝(r1,r2,
…
,rm)是目标空间中被任意帕累托最优点支配的参考点， vol(
·
)是勒贝格测量，其中参考点为r＝(0,0)，hv的值越大，说明算法的性能越好。
[0211]
步骤3-3，实验结果分析
[0212]
实验环境：仿真实验在inter(r)core(tm)i5-8265u cpu，1.60ghz，四核，内存为8gb，操作系统为windows10 64位的计算机上进行，应用的编程软件为 matlab r2018a。gwo-smea算法的仿真核心参数设置如表1。
[0213]
表1 gwo-smea算法参数设置
[0214]
种群大小100最大迭代次数250som结构1维som结构1
×
100fde算法交叉参数cr＝1多项式变异参数pm＝1/dim，ηm＝20匹配池大小h＝5交配限制概率β＝0.9
[0215]
对于上述多目标风险评估模型，使用gwo-smea进行仿真实验。对于 gwo-smea算法求得的pareto解集，采用的算法性能指标是hv指标，hv指标值越大表示找到的pareto解集越优，越接近真实的paretofront这里，hv指标计算所需的参考点ref取(0,0)。
[0216]
重复10次仿真实验，从最优结果、最劣结果、平均值、标准差四个方面对实验结果进行统计，如表2所示。gwo-smea算法得到最优结果时其hv指标迭代表现如图8所示。
[0217]
表2重复10次实验结果统计
[0218][0219]
通过观察结果(表3和图8)可得，gwo-smea算法在风险评估问题上有较好的收敛能力，运行速度较快，呈现的结果还算稳定。重复的10次实验中，均能够在15次迭代以内收敛至较高的hypervolume值，获得最多pareto解的个数为29个，即得到31种攻击策略。在第10次迭代后实现收敛，且获得最接近真实pareto最优解的结果。
[0220]
取实验中的最优结果进行分析：
[0221]
实验获得的pareto front如图9所示，表示29个最佳攻击策略在目标函数空间上所形成的pareto最优前沿。观察图9可得，若攻击者想要对网络环境造成较高的利用影响，则要攻击更多的路径，那么导致攻击的复杂度变高，即网络可利用性变低；若攻击者只追求较低的攻击复杂度，即较高的网络可利用性，那么攻击对网络环境造成的利用影响则就较低。
[0222]
表3中给出获得的pareto解集对应攻击策略的编码以及其网络可利用性指标值和
网络利用影响指标值。
[0223]
从攻击者的角度，pareto解集揭示攻击者最有可能实施的攻击策略，攻击者可根据自己的偏好以及需求综合考虑制定攻击策略，以达到目的。例如，表中第 1行表示，如果攻击者意在对网络环境拥有最低的攻击复杂度，即最大的网络可利用性，而不管对网络利用影响的大小，他将选择的攻击策略x＝{0 0 0 0 0 0 0 01}，即只攻击第9条路径。
[0224]
从防御角度出发，pareto解集反映网络的安全状态，从入侵节点到目标节点共存在9条攻击路径，有些路径具有较高的脆弱性和安全风险，成为攻击者目标。因此，可以基于此统计各条路径上的攻击概率。
[0225]
表3获得的攻击策略以及对应目标值
[0226][0227][0228]
如图10所示，在本文构建的示例网络系统模型中，攻击者对路径9的选择可能性更大，其概率为17.7914％；其次是路径5，攻击概率为16.5644％；路径 2、4的攻击概率相同，为4.9531％。统计数据表明，路径9是攻击者的热门选择，具有较高的风险，网络系统安全管理员应给予重视。
[0229]
步骤3-4，实验对比
[0230]
针对上述改进的多目标风险评估模型，我们将本文所采用的多目标进化算法与多目标灰狼优化算法(mogwo)[32]、自组织多目标进化算法((smea)[26]进行实验对比。重复
实验10次，统计hv指标和pareto解个数的最大值、最小值、平均值以及标准差。实验结果如表4所示。
[0231]
表4实验结果比较分析
[0232][0233]
由表4可知，对于改进的多目标风险评估模型，gwo-sfmea得到的hv 值在四个指标中都占优，而且该算法得到的pareto解的个数最多。结果表明该算法可以保证pareto解集的多样性和收敛性。由此可知，对于上述风险评估模型，采用合适的moeas能够得到较好的攻击路径，能够更好地引导防御者对某条路径的安全加固。
[0234]
综合上述，本发明一种基于贝叶斯网络攻击图的多目标网络安全动态评估方法，首先构建示例网络系统模型，将其转换为贝叶斯攻击图；其次，基于贝叶斯网络攻击图提出多目标风险评估模型，并利用基于灰狼优化的自组织多目标进化算法进行仿真实验，得到攻击者的攻击策略以及每条路径的攻击概率。仿真结果表明，该方法能够创新性地解决多决策变量下的安全评估问题，具有可行性和有效性。本文从攻击者的角度考虑，可以得到攻击者可能进行的攻击策略，掌握攻击者的攻击偏好，此外，评估结果还可以为安全网络建设、安全加固和主动防御提供建设性的指导。
[0235]
以上实施例仅为说明本发明的技术思想，不能以此限定本发明的保护范围，凡是按照本发明提出的技术思想，在技术方案基础上所做的任何改动，均落入本发明保护范围之内。