复杂性网络攻击的行为关联性分析

论文摘要

病毒传播、漏洞等传统攻击防御设施日渐全面覆盖、检测技术趋于成熟,复杂性网络攻击逐渐成为信息安全领域在互联网、关键信息基础设施以及国防军工等网络下的主流攻击风险,本文在此背景下,从复杂性网络攻击(Complex Network Attack,简称:CNA)的“攻击主客体、攻击行为、行为特征”等方面着手,通过研究目前主流的复杂性网络攻击事件进而构建复杂网络攻击的基础模型、展开模型,进而提出了复杂性网络攻击的定性、定量分析方法以及相关联的环境要素,并结合攻击树模型、攻击图模型、PetriNet模型等提出了基于攻击图的行为过程研究路线,对攻击行为的任务化分解以及相关资源依赖的执行过程分析,最终形成复杂性网络攻击的行为关联模型和序列关联模型,是继频繁项集分析事务关联关系在复杂性网络攻击的另外一个重要应用。本文的主要研究成果及贡献共包括四个部分,分别为:第一部分详细描述了复杂性网络攻击行为的定性和定量分析方法,将网络攻击通过知识定义转化为“信息收集、关键攻击、攻击功能执行、逃离”等四个基础阶段并量化为七个细化过程,并结合C4ISR提出了基于保活、隐蔽、持续、破坏、突破等量化标准,用于将复杂网络攻击转变为复杂任务执行模式并与原子任务相关联,进而提出了较为完整的复杂网络攻击的行为模型及规律。同时本文还总结了网络攻击所存在的环境信息,并抽象了13项环境维度用于描述全局因素的网络攻击行为规律,并提出了网络攻击行为关联的基础方法,覆盖了传统的基于网络检测报警事件的频繁项集所进行的关联关系挖掘,将支持度、置信度及提升度的计算方式进行了描述,同时将依赖关系、并列关系、选择关系等引入了复杂性网络攻击的关联分析方法中。第二部分重点描述复杂网络攻击的模型以尝试分析出其内在的行为规律,首先分析了AttackTree模型,并结合第一部分中的任务规划形成了攻击树的攻击任务模型,并将攻击路径与所处网络环境因素、安全评估状态等信息相结合,提出了基于攻击树中关键路径分析方法;鉴于攻击树在循环利用攻击渠道、多次攻击状态闭环等情形无法采用攻击树描述,本文则提出了适用于复杂性网络攻击的图表达,并结合了上述章节中攻击任务在资源依赖、多元依赖、异常因素等现实情形,进一步拓展了传统基于状态转移有限自动机理论的攻击图方法;同时本文也提出了基于金字塔的展开模型,并基于该模型开始相应行为关联分析方法的研究,可有效适应于网络安全设施众多且异构,以及将庞大、分散、底层技术化的攻击告警进行综合处理的方法,该部分研究成果可用效应用于复杂性网络攻击的数据归集、告警聚合、攻击阶段发现与场景重建等应用方向。第三部分重点是阐述利用僵尸网络资源进行的系列复杂攻击行为的检测和关联分析工作。该工作的前提是近年来利用僵网来发动窃密、勒索以及黑色产业链构建等事件越来越多,僵网攻击本身就是典型的复杂性网络攻击形态;本文则通过抽象建模Botnet网络的会话过程进而抽取会话特征,通过试验10种主流僵网的流量样本和其他攻击行为分析结果,形成序列化行为矩阵计算形成针对BotHunter、IRC等僵网攻击的检测率提高了49%,同时也反应了关联规则库的重要性;同时本文还提出了将僵网攻击具有关联性的行为样本进行汇集,并采用了较为成熟的模糊聚类来形成不同行为特征的聚类簇,经过实验对混合类僵网攻击识别率约0.75、误报率平均低于10%;对PS类僵尸网络的识别率约0.83,比传统的非关联性行为的离散特征的识别率有了大幅提高。第四部分则重点实践复杂网络攻击的关联预测与溯源反制能力,提出了复杂性网络攻击的关联预测模型,该模型的核心思想是基于复杂攻击是符合行为序列以及前述章节的定性、定量分析模型的,进而计算出相应的攻击前述序列和后继序列等集合,并基于社交网络污点数据攻击等场景进行研究,提取了舆情类复杂攻击事件的前、中、后期等多个阶段所表现出来的特点并通过分组、聚类等方式进行验证,发现了恶意账号以及背后的SNS类Botnet攻击行为,通过分析APT样本的攻击行为、通信特征关联、组件相关性、工具集关系,形成基于关联分析的血缘性结果。综上本文的核心贡献为构建了复杂网络攻击的基础模型和展开模型,提出了复杂性网络攻击的定性、定量分析方法以及关联的环境要素,结合攻击树模型、攻击图模型等提出了基于攻击图的行为过程研究路线,对攻击行为的任务化分解以及相关资源依赖的执行过程分析,最终形成复杂性网络攻击的行为关联和序列关联等有效方法。

论文目录

• 摘要
• abstract
• 第一章 绪论
•   1.1 研究工作的背景与意义
•     1.1.1 研究背景
•     1.1.2 研究意义
•   1.2 复杂网络攻击行为关联分析的国内外研究水平
•     1.2.1 国内研究现状
•     1.2.2 国外研究现状
•   1.3 本文的主要贡献与创新
•     1.3.1 主要研究内容及关系
•     1.3.2 创新点
•   1.4 本论文的结构安排
• 第二章 复杂性网络攻击的行为关联分析基础
•   2.1 复杂性网络攻击的定性分析
•   2.2 复杂性网络攻击的定量分析
•     2.2.1 保活性量化分析
•     2.2.2 隐蔽能力量化分析
•     2.2.3 持续能力量化分析
•     2.2.4 破坏性量化分析
•     2.2.5 突破性量化分析
•   2.3 复杂性网络攻击的网络空间环境模型
•   2.4 网络攻击行为关联的基本方法
•   2.5 复杂性网络攻击的行为规律研究
•   2.6 本章小结
• 第三章 复杂网络攻击的模型及行为规律
•   3.1 AttackTree模型
•     3.1.1 AttackTree的攻击任务模型
•     3.1.2 AttackTree模型及优化
•   3.2 AttackGraph模型
•   3.3 基于攻击图的行为过程研究
•     3.3.1 基于资源依赖的攻击路径执行分析
•     3.3.2 基于多元依赖的攻击路径执行分析
•     3.3.3 复杂性网络攻击的方案选取生成模型
•     3.3.4 攻击图执行期异常因素分析
•   3.4 金字塔及展开模型与行为关联分析
•   3.5 复杂性网络攻击的序列关联模型
•   3.6 本章小结
• 第四章 面向僵尸网络的复杂性攻击行为特征关联分析
•   4.1 基于僵尸网络的复杂性攻击检测
•   4.2 基于会话特征与序列关联的僵网攻击分析方法
•     4.2.1 实验基础
•     4.2.2 .核心思想
•     4.2.3 .实验结果和性能分析
•   4.3 基于模糊聚类和关联挖掘的僵网攻击分析方法
•     4.3.1 特征提取
•     4.3.2 特征模糊聚类
•     4.3.3 僵尸类复杂攻击相关性分析
•     4.3.4 面向复杂攻击的类型判断
•     4.3.5 实验分析
•   4.4 本章小结
• 第五章 复杂性网络攻击的关联预测方法
•   5.1 关联分析的预测模型
•     5.1.1 CNA关联预测背景
•     5.1.2 CNA关联预测模型
•   5.2 实验基础
•     5.2.1 实验场景选取
•     5.2.2 相关检测背景
•   5.3 复杂舆论攻击的非频繁事件分析
•     5.3.1 工作流程分析
•     5.3.2 舆情事件的特征
•     5.3.3 通用特征提取
•     5.3.4 用户分组与行为序列化分析
•     5.3.5 组内聚类
•   5.4 实验环境设置与结果分析
•   5.5 本章小结
• 第六章 复杂网络攻击关联分析在溯源反制方面的研究
•   6.1 概述
•   6.2 攻击分类与溯源分析
•     6.2.1 攻击组件溯源分析与结果
•     6.2.2 信息窃取行为溯源分析与结果
•     6.2.3 通信特征的关联结果
•     6.2.4 工具集关系分析结果
•   6.3 APT攻击防御及反制思路
•   6.4 本章总结
• 第七章 总结与展望
•   7.1 全文总结
•   7.2 后续工作展望
• 致谢
• 参考文献
• 攻读博士学位期间取得的成果

文章来源

类型: 博士论文

作者: 陈瑞东

导师: 张小松

关键词: 复杂性网络攻击,金字塔展开模型,行为关联分析,关联预测,序列关联模型

来源: 电子科技大学

年度: 2019

分类: 基础科学

专业: 数学

单位: 电子科技大学

基金: 自然科学基金项目

分类号: O157.5

总页数: 130

文件大小: 4014K

下载量: 483