網絡組合攻擊建模分析（網絡中可能存在攻擊進行分析）
這裏是引用”網絡組合攻擊建模方法研究進展 “ 毛捍東 陳 鋒 張維明 朱 承 計算機科學 ZOO 7 Vol.34 N0.11
本文對《網絡組合攻擊建模方法研究進展——計算機科學 ZOO Vol34 N0.11》一文進行分析、解釋，希望有助於大家的共同學習。
1、什麼是網絡組合攻擊建模
網絡組合攻擊建模，說起來比較抽象。我們從攻擊的角度對網絡中各脆弱性的關係進行分析，描繪出網絡攻擊可能的攻擊路徑，能夠有效的評估網絡攻擊所導致直接和間接的安全影響。即找出可能的攻擊路徑，如果配合IDS，可對攻擊目標進行預測。
2、基本模型框架
2.1被攻擊網絡建模
H網絡中的主機集合
| 主機唯一標識 | 主機運行的網絡應用服務名及對應的偵聽端口列表 |
| 其他軟件列表操作系統的類型版本 | 主機存在的脆弱性軟件脆弱性 |
| 錯誤配置脆弱性 | 管理脆弱性 |
C主機之間互相可達性的連接關係
| C（h1,h2,p） | 主機h1通過端口p與主機h2可達，可增加網絡層、傳輸層、應用層連接性性 |
T主機之間的信任關係
| T（h1,h2） | h1可以無需授權接入h2 |
2.2網絡的防禦建模
ids入侵檢測模型
| 描述哪些行爲入侵檢測系統可以發現 |
2.3威脅者建模
I入侵者能力
| 入侵者知道主機用戶名和密碼 | 在各個主機上的用戶權限 |
A入侵者可能採取的原子攻擊行爲
| 內存溢出攻擊 | 軟件脆弱性 | 遠程登陸 |
2.4原子攻擊模式庫
前提集：
描述威脅主體試圖利用一個脆弱性所需具備的必不可少的條件的集合, 只有威脅主體滿足前提集時,纔可能成功利用此脆弱性。
結果集：
結果集描述通過成功利用此 弱點而產生的結果, 包括權限的提升、 連通關係的增加、 數據安全的破壞以及服務安全的破壞等。
例如：A需要的條件爲
操作系統：windows、版本7以下、體系架構不限、內核不限
應用程序：HTTP、1.0以下
訪問要求:可遠程訪問、root權限
開放80端口、運行程序不限
產生的結果爲：
保密性：可獲得用戶主機上的文件
完整性：可修改用戶文件
可用性：可癱瘓用戶網絡
安全保護：獲得root權限
3、網絡組合攻擊模型生成算法
向前搜索算法：初始狀態向目標狀態搜索可達路徑。
初始狀態
| 網絡訪問權限 | |
| 網絡本身的狀態 | 主機配置信息、網絡連接信息、主機間的信任信息 |
| IDS防禦措施的狀態 |
目標狀態：
可能是個集合因爲網絡攻擊是一個路徑，攻擊到不同的步時，網絡狀態和防禦狀態可能是不同的。
搜索過程：
使用廣度優先、深度優先搜索算法，對原子攻擊模式庫中每個攻擊模式條件進行匹配，若攻擊成功則對下一個狀態進行匹配進一步攻擊。計算過程和存在的搜索空間比較大。
向後搜索算法，從目標狀態向初始狀態搜索，與目標狀態無關的狀態不會產生。
4、攻擊模型的數據結構
4.1攻擊樹結構
下圖爲攻擊樹結構，背景爲攻擊一個軟件，從下往上進行觀看，存在”或“、”與“兩種結構，$爲採取此項措施所花費的金錢。
攻擊樹優點：( 1) 能夠採取專家頭腦風暴法, 並且將這些意見融合到攻擊樹中去。( 2) 能夠進行費效分析或者概率分析。( 3) 能夠建模非
常複雜的攻擊場景。
攻擊樹缺點：( 1) 由於樹結構的內在限制,攻擊樹不能用來建模多重嘗試攻擊、 時間依賴及訪問控制等場景。(2 )不能用來建模循環事件。( 3) 對於現 實中的大規模網絡,攻擊樹方法處 理起來將會非常複雜。
4.2攻擊圖結構
4.2.1基於狀態的攻擊圖
一個結點代表一種系統狀態，每一次採取的攻擊使得狀態發生改變。
4.2.2基於滲透的攻擊圖
從初始狀態開始演變，結點表示滲透手段，邊表示狀態變化。
文中介紹基於滲透的攻擊圖空間複雜性較低。
