Optimal monitoring and attack detection of networks modeled by Bayesian attack graphs

Early attack detection is essential to ensure the security of complex networks,especially those in critical infrastructures.This is particularly crucial in networks with multi-stage attacks,where multiple nodes are connected to external sources,through which attacks could enter and quickly spread to other network elements.Bayesian attack graphs(BAGs)are powerful models for security risk assessment and mitigation in complex networks,which provide the probabilistic model of attackers’behavior and attack progression in the network.Most attack detection techniques developed for BAGs rely on the assumption that network compromises will be detected through routine monitoring,which is unrealistic given the ever-growing complexity of threats.This paper derives the optimal minimum mean square error(MMSE)attack detection and monitoring policy for the most general form of BAGs.By exploiting the structure of BAGs and their partial and imperfect monitoring capacity,the proposed detection policy achieves the MMSE optimality possible only for linear-Gaussian state space models using Kalman filtering.An adaptive resource monitoring policy is also introduced for monitoring nodes if the expected predictive error exceeds a user-defined value.Exact and efficient matrix-form computations of the proposed policies are provided,and their high performance is demonstrated in terms of the accuracy of attack detection and the most efficient use of available resources using synthetic Bayesian attack graphs with different topologies.

A Novel Attack Graph Posterior Inference Model Based on Bayesian Network

Network attack graphs are originally used to evaluate what the worst security state is when a concerned net-work is under attack. Combined with intrusion evidence such like IDS alerts, attack graphs can be further used to perform security state posterior inference (i.e. inference based on observation experience). In this area, Bayesian network is an ideal mathematic tool, however it can not be directly applied for the following three reasons: 1) in a network attack graph, there may exist directed cycles which are never permitted in a Bayesian network, 2) there may exist temporal partial ordering relations among intrusion evidence that can-not be easily modeled in a Bayesian network, and 3) just one Bayesian network cannot be used to infer both the current and the future security state of a network. In this work, we improve an approximate Bayesian posterior inference algorithm–the likelihood-weighting algorithm to resolve the above obstacles. We give out all the pseudocodes of the algorithm and use several examples to demonstrate its benefit. Based on this, we further propose a network security assessment and enhancement method along with a small network scenario to exemplify its usage.

基于贝叶斯攻击图的RFID系统安全博弈分析模型

针对RFID系统缺乏综合有效的风险管理与安全评估的问题,为了实现对RFID系统安全风险的有效分析以及对目标RFID系统整体风险状况的评估,本文提出一种基于贝叶斯攻击图的RFID系统安全博弈分析方法。在贝叶斯攻击图模型的基础上结合博弈思想对RFID系统的风险状况进行分析,将攻击者入侵系统的过程抽象为攻防双方的博弈模型。首先依据目标系统的相关信息确定攻防策略,并且通过对攻击者和防御者策略收益的计算,构建相应的攻防博弈矩阵,然后得出其纳什均衡状态,确定各参与者的最优策略,最后计算双方的期望收益,确定目标RFID系统的安全状态:若是攻击者期望收益大于防御者期望收益,则系统处于风险状态,反之系统则处于安全状态。实验结果表明,本文提出的博弈模型可以良好地实现对目标RFID系统的安全状况分析。

基于贝叶斯攻击图的RFID系统安全评估模型

针对目前RFID(Radio Frequency Identification,射频识别技术)系统安全分析中忽略攻击事件对系统安全状态动态影响的问题,为了有效实现RFID系统的安全风险评估,文章提出了一种基于贝叶斯攻击图的RFID系统安全评估模型。该模型首先通过对RFID系统结构、所用协议进行分析确定系统的脆弱性漏洞及其依赖关系,建立攻击图。针对攻击图模型只能进行定性分析的问题,构建出相应的攻击图模型结构后可以结合贝叶斯理论对其进行量化。依据漏洞的利用难易度和影响程度建立RFID漏洞量化评价指标,计算出对应的原子攻击概率,然后以条件转移概率的形式将攻击节点与RFID系统的安全属性节点联系在一起,不仅能推断攻击者能够成功到达各个属性节点的风险概率,而且能够依据攻击者的不同行为动态展示系统风险状况的变化,实现评估不同状态下目标RFID系统的整体风险状况。实验表明,所提模型可以有效地计算出RFID系统整体的风险概率,为后续实施对应的安全策略提供理论依据。

基于贝叶斯攻击图的光网络安全态势预测研究

针对网络攻击事件难以实时准确反映,导致光网络安全态势预测效果较差的问题,提出一种基于贝叶斯攻击图的光网络安全态势预测方法。利用漏洞扫描软件对网络中的缺陷进行扫描,获得初始数据,基于相关数据建立贝叶斯攻击图对网络中的不确定参数分析,计算各个节点的先验概率和后验概率,确定各个节点的危险等级,设定遗传算法的遗传算子与迭代次数,对特征数据降维处理,采用随机森林方法选择最优特征子集,对局部条件概率计算,实现光网络安全态势预测。实验结果表明,设计方法能够在短时间内就实现光网络安全态势的准确预测,满足方法设计需求。

基于贝叶斯网络的攻击事件智能发掘模型

针对目前传统入侵检测系统难以得出网络攻击行为之间存在的关联关系问题,以攻击图表示模型为指引,提出一种基于贝叶斯网络的攻击事件智能发掘模型。本文以先验知识建立贝叶斯攻击行为关联图。基于属性相似度聚合网络攻击行为,针对网络攻击场景设计高效的Ex-Apriori算法发掘攻击行为间的关联规则,并建立攻击行为组集。利用贝叶斯攻击行为关联图的参数对攻击行为组集进行计算,实现对攻击事件的发掘。实验表明,本模型能有效提取网络攻击事件及发现攻击路径,为网络攻击事件的发现与应对措施提供理论支持和技术支撑。

基于贝叶斯攻击图的网络资产安全评估模型

当前攻击图模型没有考虑漏洞的重复利用,并且风险概率计算不够全面、准确。为了准确评估网络资产环境安全,提出了一种基于贝叶斯攻击图的网络资产安全评估模型。首先根据漏洞可利用性、主机安防强度、漏洞时间可利用性和漏洞来源计算原子攻击成功概率,并结合贝叶斯网络量化攻击图。其次,根据漏洞的重复利用情况,对部分原子攻击成功概率和相应先验可达概率进行修正,作为对网络资产静态安全风险的评估。再次,根据实时发生的攻击事件,动态更新相关节点的可达概率,实现对网络资产安全风险的动态评估。最后,通过实验仿真和与现有工作的对比分析,对所提模型进行有效分析和验证。

基于攻击预测的网络安全态势量化方法

为准确、全面地预测攻击行为并量化攻击威胁,提出一种基于攻击预测的安全态势量化方法。通过融合攻击方、防御方和网络环境态势要素,依据实时检测的攻击事件评估攻击者能力和漏洞利用率,并计算攻防期望耗时;进而设计基于动态贝叶斯攻击图的攻击预测算法,推断后续攻击行为;最后从主机和网络这2个层面将攻击威胁量化为安全风险态势。实例分析表明,该方法符合实际对抗网络环境,能够准确预测攻击发生时间并合理量化攻击威胁。

基于贝叶斯攻击图的动态安全风险评估模型

针对当前攻击图模型中很少考虑攻击事件对所有属性节点置信度的动态影响,提出一种基于贝叶斯攻击图的动态风险评估(dynamic risk assessment based on Bayesian attack graphs,DRABAG)模型。该模型运用贝叶斯信念网络建立用于描述攻击行为中多步原子攻击间因果关系的概率攻击图,其中,采用通用漏洞评分系统指标计算漏洞利用成功概率,并利用局部条件概率分布表评估属性节点的静态安全风险;进而结合入侵检测系统观测到的实时攻击事件,运用贝叶斯推理方法对单步攻击行为的后验概率进行动态更新,最终实现对目标网络整体安全性的评估。实验结果表明,该模型可评估动态安全风险和推断攻击路径,为实施安全防护策略提供依据。

一种基于攻击意愿分析的网络风险动态评估模型

针对目前利用攻击图进行风险评估时,存在过于依赖已知漏洞知识库、仅仅利用原子攻击本质属性进行量化分析而没有很好地关联攻击者主观的攻击意愿等问题,提出了一种基于攻击者攻击意愿分析的动态风险评估模型.通过融合已知威胁和潜在威胁构建原子攻击库,分析在系统网络环境下不同时期攻击者所面临的攻击压力,量化攻击者决策时的攻击意愿,将攻击意愿和原子攻击本身的攻击性质加入到贝叶斯网络攻击图的动态推理模型中.实验证明了该模型的合理性,并且该系统更适合于实际网络环境下的实时风险评估.

基于贝叶斯攻击图的网络安全量化评估研究

针对攻击图在评估网络安全时节点关系复杂、存在含圈攻击路径、只能反映网络静态风险等问题,将攻击图与贝叶斯理论结合,提出贝叶斯攻击图的概念,简化了攻击图并通过优化算法避免了含圈路径的产生;通过引入攻击证据与CVSS评分系统,提出了一种新的面向脆弱点的网络安全量化评估方法,基于贝叶斯攻击图对网络整体及局部的安全状况进行实时动态评估。通过在实际网络中的实验验证了该方法的可行性及有效性,与传统评估方法相比,该方法能够动态地反映网络安全的态势变化情况。

基于贝叶斯攻击图的网络入侵意图识别方法

现有入侵意图识别方法对报警证据的有效性缺乏考虑,影响了入侵意图识别的准确性。为此提出基于贝叶斯攻击图的入侵意图识别方法。首先建立贝叶斯攻击图模型,然后通过定义报警的置信度及报警间的关联强度,去除低置信水平的孤立报警;根据提取到的有效报警证据进行贝叶斯后验推理,动态更新攻击图中各状态节点遭受攻击的概率,识别网络中已发生和潜在的攻击行为。实验结果表明,该方法能有效提取报警证据,提高网络入侵预测的准确性。

基于企业环境的网络安全风险评估

针对网络安全风险评估问题,提出了一种依据企业环境特征评估网络安全风险的方法。在企业内部基于企业环境特征进行安全漏洞危险性评估,提出了一种基于企业经济损失的漏洞危险性评估方法。使用贝叶斯攻击图模型,并结合企业网络系统环境变化进行动态安全风险评估。最后,通过案例研究说明了提出的动态安全风险评估方法的具体计算过程,并且使用仿真实验说明了提出的方法更加切合被评估网络或信息系统遭受攻击的真实情况,评估结果更加客观准确。

贝叶斯推理在攻击图节点置信度计算中的应用

网络攻击图是根据观测到的攻击证据推测网络安全状态的理想模板.现有的攻击图节点置信度计算方法或在模型通用性、计算复杂度方面存在一定不足,或又过多依靠经验公式进行推理而缺乏严密的数学理论支撑.为此,提出一种基于贝叶斯推理的攻击图节点置信度计算方法.方法对似然加权法进行了改进,以支持攻击证据之间的时间偏序关系.实验结果表明,该方法能够有效提高节点置信度的计算准确性,且具有线性计算复杂度,适合于处理大规模攻击图节点置信度的实时计算问题.

基于贝叶斯攻击图的最优安全防护策略选择模型

目前基于攻击图的网络安全主动防御技术在计算最优防护策略时,很少考虑网络攻击中存在的不确定性因素。为此,提出一种基于贝叶斯攻击图的最优防护策略选择(Optimal Hardening Measures Selection based on Bayesian Attack Graphs,HMSBAG)模型。该模型通过漏洞利用成功概率和攻击成功概率描述攻击行为的不确定性;结合贝叶斯信念网络建立用于描述攻击行为中多步原子攻击间因果关系的概率攻击图,进而评估当前网络风险;构建防护成本和攻击收益的经济学指标及指标量化方法,运用成本-收益分析方法,提出了基于粒子群的最优安全防护策略选择算法。实验验证了该模型在防护策略决策方面的可行性和有效性,有效降低网络安全风险。

基于贝叶斯攻击图的网络入侵意图分析模型

针对目前网络风险评估模型中忽略攻击代价和入侵意图对网络安全产生影响的问题,为了准确评估目标网络风险,提出一种基于贝叶斯攻击图的网络入侵意图分析方法。利用由漏洞价值、攻击成本和攻击收益计算出的原子攻击概率,结合贝叶斯信念网络量化攻击图,建立静态风险评估模型,并利用入侵意图动态更新模型,实现对网络风险的动态评估,为攻击面动态防御措施提供了依据。实验表明,所提模型不但可以有效地评估网络整体的安全性,而且在预测攻击路径方面也具有可行性。

基于贝叶斯攻击图的层次化威胁度HTV分析方法

现有脆弱性分析方法难以兼顾评估目标系统整体安全性和脆弱点的严重程度,同时评估过程需要处理大量的不确定信息。为此,提出一种层次化威胁度的HTV分析方法。首先,通过分析原子攻击和攻击证据的关联性,提出一种因果关系检测算法CRDA,以确定二者因果关系;其次,依据攻击模型的系统架构,给出贝叶斯攻击图BAG定义,并给出对应的生成算法BAGA,以及时有效地识别脆弱点;最后,给出脆弱点威胁度定义和计算模型,并以攻击者所获脆弱点权限为基准,将威胁度划分不同层次,以有效评估脆弱点的严重程度和目标系统整体安全性。实验结果表明,所提方法评估系统整体安全性以及脆弱点的严重程度是完全可行且有效的。

基于贝叶斯网络的内部威胁预测研究

在内部网络带给企业办公便利的同时,内部网络所带来的威胁也日渐突出,由于企业中内部威胁具有危害性大、难以检测等特点,内部威胁亟需解决。因此,提出了基于贝叶斯网络攻击图的内部威胁预测模型。以内部用户实际操作过程中的行为为研究对象,以内部用户攻击过程中所占有的资源状态和所进行的操作序列攻击证据为节点,构建贝叶斯网络攻击图;以网络攻击图来描述攻击者在攻击过程中的不同攻击路径和攻击状态,并且利用贝叶斯网络推理算法计算内部威胁的危险概率。在贝叶斯网络攻击图中定义了元操作、原子攻击、攻击证据等概念,量化了节点变量、节点变量取值和条件概率分布。以改进的似然加权算法为基础,使贝叶斯网络的参数计算更加简便,内部威胁的预测更加精确。最后,通过仿真实验证明了该方法建模速度快、计算过程简单、计算结果精确,在预测内部威胁时的有效性和适用性。

基于BNAG模型的脆弱性评估算法

为准确评估计算机网络的脆弱性,结合贝叶斯网络与攻击图提出一种新的评估算法。构建攻击图模型RSAG,在消除攻击图中环路的基础上,将模型转换成贝叶斯网络攻击图模型BNAG,引入节点攻击难度和节点状态变迁度量指标计算节点可达概率。实例分析结果表明,该算法对网络脆弱性的评估结果真实有效,能够体现每个节点被攻击的差异性,并且对于混合结构攻击图的计算量较少,可准确凸显混乱关系下漏洞的危害程度。

社交网络中社会工程学威胁定量评估

针对社交网络中社会工程学威胁难以定量评估的问题,提出基于属性攻击图和贝叶斯网络的社会工程学威胁评估方法.基于社交网络社会工程学攻击过程,定义社会工程学的可利用的脆弱性语义和攻击节点语义,提出相应的脆弱性可利用概率计算方法.通过分析社交网络中社会工程学攻击模式,模拟钓鱼攻击和跨站身份克隆攻击,根据属性攻击图生成算法构建社会工程学攻击图,采用贝叶斯网络模型对每种攻击路径造成的社会工程学威胁进行量化评估,得到社交网络中个人账号的隐私威胁风险.通过在Facebook数据集上的实验验证所提出方法的有效性.