專利名稱：一種基于概率推理的網(wǎng)絡(luò)入侵意圖識(shí)別方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種網(wǎng)絡(luò)入侵意圖識(shí)別方法，特別是一種基于概率推理的網(wǎng)絡(luò) 入侵意圖識(shí)別方法，屬于計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)領(lǐng)域。
背景技術(shù)：
隨著計(jì)算機(jī)網(wǎng)絡(luò)的不斷發(fā)展和普及，網(wǎng)絡(luò)安全問(wèn)題也日益突出。網(wǎng)絡(luò)用戶 主要通過(guò)入侵檢測(cè)系統(tǒng)、防火墻、殺毒軟件等安全產(chǎn)品提供安全保障。但在實(shí) 際應(yīng)用中，這些安全設(shè)備的報(bào)警和日志存在報(bào)警層次低、漏警虛警多、缺少關(guān) 聯(lián)分析、反應(yīng)滯后等缺點(diǎn)，難以直接用于網(wǎng)絡(luò)安全的監(jiān)控和管理。因此，需要 從大量的底層安全數(shù)據(jù)中逐層抽象，在較高層次上進(jìn)行關(guān)聯(lián)分析，識(shí)別攻擊者 的真正意圖，為網(wǎng)絡(luò)安全的態(tài)勢(shì)感知提供支持。
對(duì)入侵檢測(cè)系統(tǒng)的報(bào)警進(jìn)行關(guān)聯(lián)分析來(lái)構(gòu)建攻擊場(chǎng)景是解釋和預(yù)測(cè)攻擊行
為的一條重要途徑。Cuppens等在2002年第二屆混合智能系統(tǒng)國(guó)際會(huì)議上發(fā)表 了題為《Recognizing Malicious Intention in an Intrusion Detection Process》的文章，提出了對(duì)攻擊行為的前提、后果進(jìn)行建模，根據(jù)后續(xù)行為的 前提與先前行為的后果是否匹配來(lái)對(duì)兩個(gè)行為直接關(guān)聯(lián)。該方法存在一些不足 需要定義復(fù)雜的關(guān)聯(lián)規(guī)則，關(guān)聯(lián)的層次低，搜索空間大，計(jì)算效率低，不能用 于在線處理。
專利200810046913. 1 "網(wǎng)絡(luò)多步攻擊意圖在線識(shí)別方法"采用數(shù)據(jù)挖掘和 模式匹配的方法提出了一種識(shí)別多步攻擊意圖的方法。該方法從歷史的安全事 件中挖掘出多步攻擊行為序列模式集，實(shí)時(shí)接收的報(bào)警信息與攻擊行為模式進(jìn) 行匹配，如果匹配成功則生成一個(gè)模式匹配記錄。后到來(lái)的安全事件如果與前 一個(gè)安全事件的關(guān)聯(lián)度大于閾值則更新模式匹配記錄。該方法還是屬于攻擊場(chǎng) 景構(gòu)造的范疇，不能預(yù)測(cè)攻擊者的終極目標(biāo)，另外難以構(gòu)建有效的攻擊行為模 式集，關(guān)聯(lián)度的計(jì)算復(fù)雜，確定合適的閾值困難。

發(fā)明內(nèi)容
本發(fā)明的目的是提供一種簡(jiǎn)單有效的入侵意圖識(shí)別方法，在意圖層次解釋
4攻擊行為，并采用概率推理的方法來(lái)描述和處理并發(fā)意圖。 本發(fā)明基于以下定義-
事件是攻擊者的行為描述。通過(guò)對(duì)入侵檢測(cè)系統(tǒng)提供的報(bào)警進(jìn)行分析可以 獲取攻擊者觸發(fā)的安全事件。事件的屬性包括名稱、時(shí)間、源IP地址和目的IP 地址等。
目標(biāo)是攻擊者愿望的描述，體現(xiàn)為給網(wǎng)絡(luò)系統(tǒng)造成什么樣的后果或自身達(dá) 到什么樣的目的。在多步攻擊中的各個(gè)階段，攻擊者可以采取不同的攻擊行為 而達(dá)到相同的目的。因此，目標(biāo)可以看成各階段達(dá)到相同攻擊目的的攻擊行為 的集合。目標(biāo)的屬性包括名稱、時(shí)間、源IP地址、目的IP地址、前提集和后果 集等。
目標(biāo)名稱是該階段攻擊目的的描述。前提集是實(shí)現(xiàn)該目標(biāo)需要滿足的前提 條件集合，后果集是該目標(biāo)實(shí)現(xiàn)后造成的后果集合。
如果目標(biāo)Ga和目標(biāo)Gb滿足Ga與Gb的源IP地址、目標(biāo)IP地址分別相 同，且Ga的后果集與Gb的前提集相同，同時(shí)Ga的發(fā)生時(shí)間早于Gb的發(fā)生時(shí) 間，則Ga與Gb可以因果關(guān)聯(lián)，構(gòu)成目標(biāo)鏈。
本發(fā)明整體框架設(shè)計(jì)流程如圖l所示，具體實(shí)現(xiàn)步驟如下
步驟一、創(chuàng)建目標(biāo)庫(kù)
目標(biāo)庫(kù)包括目標(biāo)知識(shí)表、事件目標(biāo)映射表、統(tǒng)計(jì)表和目標(biāo)鏈表。 目標(biāo)知識(shí)表中存放目標(biāo)名稱、前提集和后果集。
事件目標(biāo)映射表包括事件名稱和目標(biāo)名稱，用于描述事件和目標(biāo)之間的對(duì) 應(yīng)關(guān)系。
統(tǒng)計(jì)表用于存放歷史數(shù)據(jù)，包括某目標(biāo)發(fā)生的次數(shù)、該目標(biāo)與其它目標(biāo)構(gòu)
成目標(biāo)鏈的次數(shù)。
目標(biāo)鏈表用于存放實(shí)時(shí)更新的目標(biāo)鏈。
步驟二、通過(guò)報(bào)警信息找到對(duì)應(yīng)攻擊目標(biāo)，更新目標(biāo)鏈
從入侵檢測(cè)系統(tǒng)提供的報(bào)警信息中提煉報(bào)警數(shù)據(jù)獲取事件類型，通過(guò)目標(biāo)
庫(kù)中的事件目標(biāo)映射表找到對(duì)應(yīng)攻擊目標(biāo)，從而忽略具體的攻擊手段，提高關(guān)
聯(lián)層次，簡(jiǎn)化關(guān)聯(lián)規(guī)則。具體步驟為
第(l)步當(dāng)收到入侵檢測(cè)系統(tǒng)的報(bào)警信息A1，從中提取報(bào)警名稱、時(shí)間、 源IP地址、目標(biāo)IP地址等信息，構(gòu)成一個(gè)安全事件E1;第(2〉步査詢目標(biāo)庫(kù)中的事件目標(biāo)映射表，根據(jù)事件與目標(biāo)的映射關(guān)系， 找到該事件E1對(duì)應(yīng)的目標(biāo)G1，并從目標(biāo)知識(shí)表中提取該目標(biāo)的前提集和后果 集，同時(shí)將事件E1的時(shí)間、源IP地址、目標(biāo)IP地址等信息賦給目標(biāo)G1;
第(3)步依次取出目標(biāo)鏈表中各個(gè)目標(biāo)鏈的最后一個(gè)目標(biāo)Ge，如果目標(biāo) Gl與Ge滿足
I. Gl與Ge除了時(shí)間以外其它屬性相同，則屬于重復(fù)報(bào)警或攻擊者重復(fù)攻 擊動(dòng)作，則將目標(biāo)G1舍去；
II. Gl與Ge構(gòu)成目標(biāo)鏈，則將G1存入該目標(biāo)鏈的最后，并在統(tǒng)計(jì)表中累 計(jì)Gl發(fā)生的次數(shù)和Ge與Gl構(gòu)成目標(biāo)鏈的次數(shù)；
III. Gl與目標(biāo)鏈表中的所有目標(biāo)鏈均不滿足I 、 II的關(guān)系，則將Gl作為一 條新的目標(biāo)鏈，單獨(dú)存放在目標(biāo)鏈表中，并在統(tǒng)計(jì)表中累計(jì)Gl發(fā)生的 次數(shù)。
如果目標(biāo)鏈為空，直接將G1作為目標(biāo)鏈存在目標(biāo)鏈表中，并統(tǒng)計(jì)表中累計(jì) 目標(biāo)G1發(fā)生的次數(shù)。
步驟三、預(yù)測(cè)目標(biāo)，識(shí)別入侵意圖
在已經(jīng)發(fā)生的目標(biāo)的基礎(chǔ)上，繼續(xù)在目標(biāo)庫(kù)中搜索滿足因果關(guān)系的目標(biāo)作 為預(yù)測(cè)目標(biāo)，直到搜索完畢，最終的目標(biāo)即為攻擊者的入侵意圖，而目標(biāo)的預(yù) 測(cè)存在不確定性，采用概率來(lái)描述未來(lái)目標(biāo)的發(fā)生幾率，而對(duì)于后續(xù)多級(jí)目標(biāo) 的概率計(jì)算采用概率推理的方法。
依次取出目標(biāo)鏈表中的各個(gè)目標(biāo)鏈，均按如下操作分別進(jìn)行目標(biāo)預(yù)測(cè)和入 侵意圖的識(shí)別
第(1)步取出目標(biāo)鏈的最后一個(gè)目標(biāo)的后果集作為匹配條件，在目標(biāo)庫(kù) 中搜索前提集與之相同的G2、 G3等所有目標(biāo)作為預(yù)測(cè)目標(biāo)，并根據(jù)下式分別 計(jì)算這些目標(biāo)發(fā)生的概率；
P(Goali,Goali+一aPo(Goali,Goalw)+(l-a)Q(Goali，Goalw)/Q(Goali)
式中
P。(Goali,Goali+0為初始概率，取值范圍為[O， l]; Q(Goalj，Goalw)為統(tǒng)計(jì)表中目標(biāo)Goal;后目標(biāo)Goali+1出現(xiàn)的次數(shù)； Q(Goali)為統(tǒng)計(jì)表中目標(biāo)Goal;出現(xiàn)的次數(shù)。
a為調(diào)節(jié)因子，0<(X<1，決定了統(tǒng)計(jì)數(shù)據(jù)所占的比例。在系統(tǒng)初始運(yùn)行階段可將a設(shè)大一點(diǎn)，讓初始概率發(fā)揮的作用大一些，隨著數(shù)據(jù)的增多，將oi調(diào)小， 增大統(tǒng)計(jì)數(shù)據(jù)所占比重。
第(2)步分別取出預(yù)測(cè)目標(biāo)G2、 G3等的后果集作為匹配條件繼續(xù)搜索 后續(xù)目標(biāo)，直到完畢，作為攻擊者的入侵意圖，其概率為各級(jí)預(yù)測(cè)目標(biāo)概率的 乘積。
本發(fā)明將入侵檢測(cè)系統(tǒng)的報(bào)警抽象成攻擊目標(biāo)，在目標(biāo)層次上進(jìn)行因果關(guān) 聯(lián)來(lái)理解攻擊行為和預(yù)測(cè)后續(xù)攻擊目標(biāo)，識(shí)別其真實(shí)意圖。這樣，忽略了攻擊 細(xì)節(jié)，提高了計(jì)算效率。而基于概率的推理方法很好地描述了網(wǎng)絡(luò)環(huán)境的不確 定性，也便于處理出現(xiàn)并發(fā)意圖的情況。


圖1—意圖識(shí)別系統(tǒng)流程圖2—目標(biāo)鏈；
圖3—目標(biāo)鏈的預(yù)測(cè)。
具體實(shí)施例方式
下面結(jié)合附圖和實(shí)施例，具體說(shuō)明本發(fā)明的實(shí)施方式
本發(fā)明的實(shí)施包括以下步驟
步驟一、創(chuàng)建目標(biāo)庫(kù)
目標(biāo)庫(kù)包括目標(biāo)知識(shí)表、事件目標(biāo)映射表、統(tǒng)計(jì)表和目標(biāo)鏈表。 目標(biāo)知識(shí)表包括目標(biāo)名稱、前提集和后果集。在本實(shí)施例中，目標(biāo)知識(shí)表
中的目標(biāo)名稱、前提集和后果集分別為
Gl:發(fā)現(xiàn)存活主機(jī)、無(wú)、目標(biāo)主機(jī)存活；
G2: Http服務(wù)掃描、目標(biāo)主機(jī)存活、Http服務(wù)運(yùn)行且存在漏洞；
G3: DoS攻擊、Http服務(wù)運(yùn)行，DoS攻擊；
G4:獲取user權(quán)限、Http服務(wù)漏洞、獲取user權(quán)限
G5:獲取root權(quán)限、獲取user權(quán)限、獲取root權(quán)限
事件目標(biāo)映射表中存放事件與目標(biāo)的映射關(guān)系。如事件ICMP一PING對(duì)應(yīng)目 標(biāo)Gl ，事件Http—service—scan對(duì)應(yīng)于目標(biāo)G2 。
初始時(shí)，統(tǒng)計(jì)表和目標(biāo)鏈表為空。步驟二、通過(guò)報(bào)警信息找到對(duì)應(yīng)攻擊目標(biāo)，更新目標(biāo)鏈1、 接收入侵檢測(cè)系統(tǒng)的報(bào)警Al，本實(shí)施例中報(bào)警Al的內(nèi)容包括名稱ICMPPING，時(shí)間03/07-22:51:36. 142272，源IP: 202.77. 162.213， 目的IP: 172.16.115.5。從報(bào)警Al生成安全事件El={03/07-22:51:36 202.77.162.213 172.16.115.5 ICMP—PING},屬性依次為事件發(fā)生時(shí)間、源IP地址、目的IP地址、名稱。2、 根據(jù)事件目標(biāo)映射表找到對(duì)應(yīng)的目標(biāo)Gl，并在目標(biāo)知識(shí)表中取出該目 標(biāo)的前提集和后果集，Gl{Host_probe 03/07-22:51:36 202.77.162.213 172.16.115.5 None Know_target—is—alive}。3、 目標(biāo)鏈表為空，故將目標(biāo)Gl直接存入目標(biāo)鏈表中。4、 接收到一條新的報(bào)警信息A2，同上操作，得到對(duì)應(yīng)的目標(biāo) G2={Http—service—scan 03/07-22:57:23 202.77.162.213 172.16.115.5 Know—target—is—alive Http—service_is—running}。5、 依次取出目標(biāo)鏈表中各個(gè)目標(biāo)鏈的最后一個(gè)目標(biāo)，查看是否與目標(biāo)G2 構(gòu)成因果鏈。本實(shí)例中，目標(biāo)G2與原目標(biāo)鏈的最后一個(gè)目標(biāo)G1構(gòu)成目標(biāo)鏈， 則將G2放在原目標(biāo)鏈的最后，構(gòu)成新的目標(biāo)鏈，完成目標(biāo)鏈的更新，如圖2所步驟三、預(yù)測(cè)目標(biāo)，識(shí)別入侵意圖1、取出目標(biāo)鏈的最后一個(gè)目標(biāo)G2，在目標(biāo)庫(kù)中搜索出前提條件集與G2的 后果集匹配的目標(biāo)G3、 G4，作為預(yù)測(cè)目標(biāo)，并計(jì)算預(yù)測(cè)目標(biāo)對(duì)應(yīng)的概率。預(yù)測(cè)目標(biāo)的概率計(jì)算如下式所示 P(Goali,Goalw"aPo(Goali，Goalw)+(l-a)Q(Goali，Goaliw)/Q(Goali) (1)式中a=0.8， P0(Goal2,Goal3)=0.6， P0(Goal2,Goal4)=0.4。Q(Goali,Goalw)為歷史數(shù)據(jù)中目標(biāo)Goali后目標(biāo)Goali+1出現(xiàn)的次數(shù)，實(shí)例中 Q(Goal2,Goal3)=6 ， Q(Goal2，Goal4)=4;Q(Goali)為歷史數(shù)據(jù)中目標(biāo)Goali出現(xiàn)的次數(shù)，實(shí)例中Q(Goal2)=10。 所以由(1)式計(jì)算得 P(Goal2，Goal3)=0.8*0.6+0.2*6/10=0.6; P(Goal2，Goal4)=0.8*0.4+0.2*4/10=0.4;2、分別取出預(yù)測(cè)目標(biāo)G3、 G4的后果集，在目標(biāo)庫(kù)中繼續(xù)搜索后續(xù)目標(biāo)， 直到完畢，最后一個(gè)目標(biāo)即為攻擊者的意圖，其概率為各級(jí)預(yù)測(cè)目標(biāo)概率的乘 積，如圖3所示。實(shí)例中P。(GoaU，Goal5)-0.5， Q(Goal4，Goal5)=3 ， Q(Goal4)=5。由(1)式，P(Goal4,Goal5)=0.8*0.5+0.2*3/5=0.52。意圖1: G3， DoS攻擊，P (G3) =0.6;意圖2: G5，獲取root權(quán)限，P (G5) =P(G2,G4)*P(G4,G5)=0.4*0.52=0.208。本發(fā)明在目標(biāo)層次上來(lái)解釋和預(yù)測(cè)攻擊行為，計(jì)算簡(jiǎn)單方便，能實(shí)時(shí)處理 報(bào)警信息，同時(shí)引入了概率推理方法來(lái)處理并發(fā)意圖的情況，解決了識(shí)別過(guò)程 中的不確定性。
權(quán)利要求
1、一種基于概率推理的網(wǎng)絡(luò)入侵意圖識(shí)別方法，包括以下步驟設(shè)事件是攻擊者的行為描述，事件的屬性包括名稱、時(shí)間、源IP地址和目的IP地址；目標(biāo)是攻擊者愿望的描述，目標(biāo)的屬性包括名稱、時(shí)間、源IP地址、目的IP地址、前提集和后果集；目標(biāo)名稱是該階段攻擊目的的描述，前提集是實(shí)現(xiàn)該目標(biāo)需要滿足的前提條件集合，后果集是該目標(biāo)實(shí)現(xiàn)后造成的后果集合；如果目標(biāo)Ga和目標(biāo)Gb滿足Ga與Gb的源IP地址、目標(biāo)IP地址分別相同，且Ga的后果集與Gb的前提集相同，同時(shí)Ga的發(fā)生時(shí)間早于Gb的發(fā)生時(shí)間，則Ga與Gb可以因果關(guān)聯(lián)，構(gòu)成目標(biāo)鏈；步驟一、創(chuàng)建目標(biāo)庫(kù)目標(biāo)庫(kù)包括目標(biāo)知識(shí)表、事件目標(biāo)映射表、統(tǒng)計(jì)表和目標(biāo)鏈表；目標(biāo)知識(shí)表中存放目標(biāo)名稱、前提集和后果集；事件目標(biāo)映射表包括事件名稱和目標(biāo)名稱，用于描述事件和目標(biāo)之間的對(duì)應(yīng)關(guān)系；統(tǒng)計(jì)表用于存放歷史數(shù)據(jù)，包括某目標(biāo)發(fā)生的次數(shù)、該目標(biāo)與其它目標(biāo)構(gòu)成目標(biāo)鏈的次數(shù)；目標(biāo)鏈表用于存放實(shí)時(shí)更新的目標(biāo)鏈；步驟二、通過(guò)報(bào)警信息找到對(duì)應(yīng)攻擊目標(biāo)，更新目標(biāo)鏈，具體步驟為第(1)步當(dāng)收到入侵檢測(cè)系統(tǒng)的報(bào)警信息A1，從中提取報(bào)警名稱、時(shí)間、源IP地址、目標(biāo)IP地址信息，構(gòu)成一個(gè)安全事件E1；第(2)步查詢目標(biāo)庫(kù)中的事件目標(biāo)映射表，根據(jù)事件與目標(biāo)的映射關(guān)系，找到該事件E1對(duì)應(yīng)的目標(biāo)G1，并從目標(biāo)知識(shí)表中提取該目標(biāo)的前提集和后果集，同時(shí)將事件E1的時(shí)間、源IP地址、目標(biāo)IP地址信息賦給目標(biāo)G1；第(3)步依次取出目標(biāo)鏈表中各個(gè)目標(biāo)鏈的最后一個(gè)目標(biāo)Ge，如果目標(biāo)G1與Ge滿足I. G1與Ge除了時(shí)間以外其它屬性相同，則屬于重復(fù)報(bào)警或攻擊者重復(fù)攻擊動(dòng)作，則將目標(biāo)G1舍去；II. G1與Ge構(gòu)成目標(biāo)鏈，則將G1存入該目標(biāo)鏈的最后，并在統(tǒng)計(jì)表中累計(jì)G1發(fā)生的次數(shù)和Ge與G1構(gòu)成目標(biāo)鏈的次數(shù)；III. G1與目標(biāo)鏈表中的所有目標(biāo)鏈均不滿足I、II的關(guān)系，則將G1作為一條新的目標(biāo)鏈，單獨(dú)存放在目標(biāo)鏈表中，并在統(tǒng)計(jì)表中累計(jì)G1發(fā)生的次數(shù)；如果目標(biāo)鏈為空，直接將G1作為目標(biāo)鏈存在目標(biāo)鏈表中，并在統(tǒng)計(jì)表中累計(jì)目標(biāo)G1發(fā)生的次數(shù)；步驟三、預(yù)測(cè)目標(biāo)，識(shí)別入侵意圖依次取出目標(biāo)鏈表中的各個(gè)目標(biāo)鏈，均按如下操作分別進(jìn)行目標(biāo)預(yù)測(cè)和入侵意圖的識(shí)別第(1)步取出目標(biāo)鏈的最后一個(gè)目標(biāo)的后果集作為匹配條件，在目標(biāo)庫(kù)中搜索前提集與之相同的所有目標(biāo)作為預(yù)測(cè)目標(biāo)，并根據(jù)下式分別計(jì)算這些目標(biāo)發(fā)生的概率；P(Goali，Goali+1)＝αP0(Goali，Goali+1)+(1-α)Q(Goali，Goali+1)/Q(Goali)式中P0(Goali，Goali+1)為初始概率，取值范圍為
；Q(Goali，Goali+1)為統(tǒng)計(jì)表中目標(biāo)Goali后目標(biāo)Goali+1出現(xiàn)的次數(shù)；Q(Goali)為統(tǒng)計(jì)表中目標(biāo)Goali出現(xiàn)的次數(shù)；α為調(diào)節(jié)因子，0<α<1，決定了統(tǒng)計(jì)數(shù)據(jù)所占的比例；第(2)步分別取出各個(gè)預(yù)測(cè)目標(biāo)的后果集作為匹配條件繼續(xù)搜索后續(xù)目標(biāo)，直到完畢，作為攻擊者的入侵意圖，其概率為各級(jí)預(yù)測(cè)目標(biāo)概率的乘積。
2、根據(jù)權(quán)利要求l所述的一種基于概率推理的網(wǎng)絡(luò)入侵意圖識(shí)別方法，其特征在于在步驟三中，隨著數(shù)據(jù)的增多，減小a的數(shù)值以增大統(tǒng)計(jì)數(shù)據(jù)所占比重。
全文摘要
本發(fā)明涉及一種基于概率推理的網(wǎng)絡(luò)入侵意圖識(shí)別方法，包括以下步驟1.創(chuàng)建目標(biāo)庫(kù)，包括目標(biāo)知識(shí)表、事件目標(biāo)映射表、統(tǒng)計(jì)表和目標(biāo)鏈表；2.通過(guò)報(bào)警信息找到對(duì)應(yīng)攻擊目標(biāo)，更新目標(biāo)鏈；3.依次取出目標(biāo)鏈表中的各個(gè)目標(biāo)鏈，分別進(jìn)行目標(biāo)預(yù)測(cè)和入侵意圖的識(shí)別。本發(fā)明將入侵檢測(cè)系統(tǒng)的報(bào)警抽象成攻擊目標(biāo)，在目標(biāo)層次上進(jìn)行因果關(guān)聯(lián)來(lái)理解攻擊行為和預(yù)測(cè)后續(xù)攻擊目標(biāo)，識(shí)別其真實(shí)意圖，忽略了攻擊細(xì)節(jié)，提高了計(jì)算效率，也便于處理出現(xiàn)并發(fā)意圖的情況。
文檔編號(hào)H04L12/24GK101505304SQ20091008085
公開(kāi)日2009年8月12日 申請(qǐng)日期2009年3月24日 優(yōu)先權(quán)日2009年3月24日
發(fā)明者姚淑萍, 武 彭, 胡昌振 申請(qǐng)人:北京理工大學(xué)