一种基于引理推理的攻击过程分析方法

《一种基于引理推理的攻击过程分析方法》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第6卷第3期解放军理工大学学报(自然科学版)Vol.6No.32005年6月JournalofPLAUniversityofscienceandTechnologyJun.2005文章编号1009-3443(2005)03-0224-04一种基于引理推理的攻击过程分析方法戴江山刘军肖军模(解放军理工大学通信工程学院江苏南京210007)摘要针对事后入侵响应提出了一种基于引理推理的攻击过程分析方法该方法利用被入侵网络安全漏洞间存在的推理关系建立被入侵网络的有色加权有向图通过修改的Dijkstra算法计算入侵者可能的利用安全漏洞进行

2、攻击的序列集合以及序列相应的对入侵结果合理解释的支持度依据支持度选取安全漏洞序列并在网络设备和对应网络主机中寻求相关的支持证据最终确定入侵者的攻击过程实例表明该方法能够快速有效地实现网络攻击过程分析并且具有良好的可扩展性以及能够识别出新的未知的攻击手段关键词网络安全;网络取证;引理推理中图分类号TP393.08文献标识码AMethOdOfnetwOrkattackprOcessanalysisbasedOnabductiOninferenceDAIJiang-ShanLIUJmnXIAOJmn-mo(InstituteofCom

3、municationsEngineeringPLAUniv.ofsci.STech.Nanjing210007China)AbstractBasedonabductioninferenceamethodofnetworkattackprocessanalysisforincidentresponsewasdesigned.Thecorrespondingcolorweighteddiagramwassetupwiththeinferencerelationofthese-curityholesintheintrudednetwo

4、rk.WiththemodifiedDijkstraarithmeticthesetofintrudingsecurityholesseguencesandthecorrespondingsupportswereobtained.Finallythenetworkattackprocesswasde-cidedwiththeinformationofthesecurityholeseguencesupportandtheevidencethattheintruderhadleftinthenetwork.Theillustrat

5、ionindicatesthatthismethodcanrapidlyandeffectivelysetupthenetworkattackprocesshasthebetterscalabilityandcanidentifythenewattackmeasures.KeywOrdsnetworksecurity;networkforensics;abductioninference目前利用系统安全漏洞攻击已成为网络攻击者侵响应提出一种基于引理推理的攻击过程分析方主要的入侵手段根据2000~2003年CERT/CC公法该方法

6、利用被入侵网络安全漏洞间的推理关系布的漏洞数据统计平均每天有十几个新的安全漏建立被入侵网络的安全漏洞有色加权有向图通过洞被发现因此网络攻击者往往借助一个或一系列修改的Dijkstra算法~攻击者的入侵意向和在网络安全漏洞穿过看似安全的网络设置成功地侵入目内遗留的相关证据最终确定入侵者的攻击过程标系统引理推理(abductioninference)就是从已知的1被入侵网络模型某个结果出发试图确定最为合理的相关解释所以也被称为寻求最佳解释的推理[1]本文针对事后入被入侵网络往往是提供一定对外服务的网络该网络在非军事区提供对外服务而利

7、用防火墙等收稿日期2004-11-14.基金项目国家自然科学基金资助项目(69931040).网络设备限制外部主机对内网的访问攻击者往往作者简介戴江山(1973)男博士生工程师.通过非军事区提供对外服务系统存在的安全漏洞设联系人肖军模教授博士生导师;研究方向网络与信息安全~软件工程等;E-mailjmXiao753@sina.com.法控制该主机然后利用该主机的访问能力设法侵第3期戴江山等:一种基于引理推理的攻击过程分析方法225入并控制内网主机或内网一系列主机G这样攻击者存在安全漏洞e是被入侵主机存在安全漏nEEU就可以逐步绕

8、过看似不能直接访问的安全设置最洞G那么S是攻击者可利用的成功侵入目标系统的z终侵入到目标系统G安全漏洞序列G定义1被入侵网络N由四元组N=(HE6根据定义2安全漏洞e的前提条件一旦全部满zV)表示G其中:H表示网络N内主机集合;E表示网足则表示该安全漏洞被成功利