基于模糊—隐马尔可夫模型的复合式攻击预测方法研究

《基于模糊—隐马尔可夫模型的复合式攻击预测方法研究》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、基于模糊—隐马尔可夫模型的复合式攻击预测方法研究1绪论1.1研究背景随着人类进入信息化时代，对网络中信息的安全传输、信息的安全存储以及信息的安全处理，提出的要求越来越高。网络就像一把双刃剑，不仅使社会信息化速度加快，而且为信息安全保障问题提出巨大挑战。近些年来，网络安全犯罪率也在逐年升高[1]。特别是，随着网上银行、银行、电子商务等网上业务的兴起，各种专用网络的建设，由之而来的网络安全问题，逐渐成为人们关注的热点问题。当前，我国的网络信息安全形势严峻。一方面，电子政务工程的启动，各个政府部门建立门户网站，国家关键设施日益网络化。而且随着网上银行、银行和电子商务等业务的

2、兴起，使得现有的网络安全设施建设显得日益落后；另一方面，病毒的传播、黑客的入侵、各种网络攻击事件日益增多，而且攻击成功率一直居高不下，我国的网络信息安全形势面临巨大的挑战[2]。由国家计算机网络应急技术处理协调中心于2014年6月发布的《2013年中国互联网网络安全报告》可以看出：两种较为典型的复合式攻击：蠕虫、分布式拒绝服务（DistributedDenialofService，DDoS）约占2013年全年网络安全事件总数的60%。复合式攻击这种攻击形式正逐步成为攻击的主流。统计数据如图1.1所示。.1.2国内外研究现状1980年4月，学者JamesAnderson

3、撰写的名为《puterSecurityThreatMonitoringandSurveillance》（计算机安全威胁监测与监控）的技术报告，该报告首次将入侵检测引入了计算机安全领域。1986年Denning学者发表了一篇名为AnIntrusionDetectionModel的论文，该论文被认为是：将入侵检测正式引入计算机安全领域的里程碑[3]。1990年，加州大学Davis分校的ToddHeberlien学者开发的名为NSM（NetScreen-SecurityManager）安全管理软件，该软件的信息为网络中传输的数据包。由此将对入侵检测分成了两个研究领域：以主机

4、为基础的检测和以网络为基础的检测。1998年，美国国防部发起名为IA：AIDE的项目[4]。该项目利用专家系统将由不同组件生成的信息融合，标记异常行为，从中分析找寻攻击遗留迹象。1999年，英国信息保障咨询委员会（InformationAssuranceAdvisoryCouncil，IAAC）启动名为信息安全威胁评价及报警的项目[5]。该项目主要研究两点内容：（1）安全威胁量化方法。（2）可行的安全报警方法。但是，该项目的缺陷是：信息保障咨询委员会对安全威胁评价量化方法和可行的预警方法的研究，仅局限于一个给定域中，不能应用于真实情况中，研究内容有一定的局限性，在对未

5、来的攻击进行预测方面也没有达到预期的效果。同年，美国学者HuangM-Y，JasperR-J和提出：首先将攻击行为中的意图提取，将其作为一个独立因素[6]。然后将传统的树型结构扩充，对意图建模，预测攻击者后续可能的攻击。实验证明该方法可行但性能较差[7]。.2主动防御技术与复合式攻击安全预警技术2.1复合式攻击的相关术语定义2.1.1攻击：尝试破坏攻击目标中的资源和信息的可用性、完整性和保密性，试图摧毁攻击目标的一种主动行为[13]。定义2.1.2单步攻击：是指如果该攻击中只存在一个能够唯一标识该攻击的行为。并且该行为可以直接被检测到，那么这种攻击称为单步攻击。由于现

6、阶段，复合式攻击的定义尚未统一，那么根据定义2.1.2给出的单步攻击的定义，将复合式攻击理解为具有以下特征的攻击行为。复合式攻击是指攻击者通过扫描等手段，发现攻击目标自身存在的安全漏洞。利用其自身存在的安全漏洞，蓄意采用由多步攻击步骤构成的攻击行为对目标进行攻击，试图给目标以致命打击，最终摧毁目标[14]。在第一步攻击步骤中，攻击者根据攻击经验，选择fping这种攻击方式实现IP地址扫描功能，达到了第一步攻击步骤的目的，为下一步的攻击做好准备。在第二步攻击步骤中，依据第一步攻击步骤所获取的信息，攻击者选择了strobe这种攻击方式实现了端口扫描功能，达到了第二个攻击步

7、骤的目的，为下一步的攻击做好准备。在第三步攻击步骤中，依据前两步攻击步骤获取的信息，攻击者选择了tftp这种攻击方式实现了获取口令，达到了第三步攻击步骤的目的，为下一步的攻击做好准备。在第四步攻击步骤中，依据前三个攻击步骤所获取的信息，攻击者选择了johntheripper这种攻击方式实现了破解口令，达到了第四步攻击步骤的攻击目的，做好了最后一步系统登陆的准备。最终成功登陆系统。攻击者为了实现最后的非法登陆系统的目的，采用包含多步攻击步骤的复合式攻击方法，每一步攻击步骤的成功实施，都为后面的攻击步骤的实施奠定了基础[16]，每一步攻击步骤都会在获取前