基于博弈论框架的自适应网络入侵检测与响应

《基于博弈论框架的自适应网络入侵检测与响应》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据2005年5月第27卷第5期系统工程与电子技术SystemsEngineeringandElectronicsMay2005Vd．27No．5文章编号：t001—506X(2005)05．0914．04基于博弈论框架的自适应网络入侵检测与响应郭渊博1，一，马建峰1，3(1．解放军信息工程大学电子技术学院，河南郑州450004；2．西安电子科技大学教育部计算机网络与信息安全重点实验室，陕西西安710071；3．天津工业大学计算机与自动化学院，天津300160)摘要：首先建立了一个简单的入侵者与入侵检测及

2、响应系统之间的博弈模型，推导出博弈双方的最优混合策略，得到模型中各方参与者的优化问题的解，并给出了相应的物理解释。通过对参与人的成本一收益情况进行分析，得到系统在各种入侵情况下报警率、响应率、惩罚尺度等因素之间的函数关系，从而给出能够动态调整安全策略的自适应入侵响应策略。然后，考虑到现有商用入侵检测及响应系统中固有的缺陷，例如不可能百分之百对入侵做出成功响应等问题，对上述模型进行了扩展。关键词：博弈论；入侵检测与响应；对抗；纳什均衡中图分类号：TP393．4文献标识码：AGametheoreticalfram

3、eworkforadaptiveintrusiondetectionandresponseGUOYuan—b01一．MAJian-fen91，3(1．SchoolofElectronicTechnology，InformationEn咖eringUniversi砂ofPL4，刃nengzhou450004，China；2．MinistryofEducationKeyLaboratoryofComputerNetworksandInformationSecurity，XidianUniversity，Ⅺ’an7

4、10071，China；3．SchoolofComputerandAutomation，TianjinPolytechnicUniversity，Tianjin300160，China)Abstract：Auniversalgamemodelofperfectinformationbetweentheattackerandtheintrusiondetectionandre—sponsesystemisbuilttodealwiththeintrusiondetection，responseandcounte

5、rmeasureproblem．Onthebasisofthismodel，themixedstrategyequilibriumsandtheirpropertiesarederived．Then，acomprehensivecost—benefitanalysisofbothplayersisgiven，thusenablingUStounderstandtherelationshipsbetweenalarmrate，responserateandpunitivemeasure，andthusanada

6、ptiveintrusionresponseframeworkisdesigned．Finally，anextensionofthismodelisalsoproposedandanalyzedconsideringtheinherentlimitationsofcommercialintrusiondetectionandresponsesystems．Keywords：gametheory；intrusiondetectionandresponse；countermeasure；Nashequilibri

7、um1引言先进的信息技术为信息资源的共享带来了极大的方便，但也为入侵者进行更复杂、更难对付的攻击提供了更高级的技术手段，网络集成度和开放性的日益提高，使得一次成功入侵的影响更大，涉及面更宽。目前，信息安全已由过去单纯的安全保护拓展为信息保障与信息可生存性的研究。入侵检测系统主要通过对网络流量或主机运行状态的检测来发现对系统资源的非授权访问与破坏行为，并对各种恶意入侵作出响应。一个完整的入侵检测系统(IDS)模型包括入侵检测模块和入侵响应模块。对付针对信息系统的安全威胁，入侵检测系统起到了非常重要的作用，但也有

8、共自身的缺陷。总体来说，传统的入侵检测技术是一种被动防御技术，不能对网络中的活动进行有效监控，不具备主动防御能力，因缺乏对入侵的自适应响应能力，已不能防范日益严重的网络安全威胁u，2J。响应系统在响应时所采取的活动，在抵御系统免遭入侵者破坏的同时，对于系统合法用户的活动也可能带来一些负面影响，响应活动所导致的损失有时甚至比真实攻击引起的损失更大。针对这种问题，一种思路就是首先就攻击对系统带来的潜在威