15、利用图数据库进行攻击图生成与分析

利用图数据库进行攻击图生成与分析

1. 引言

随着对信息通信技术（ICT）系统依赖程度的不断增加，保障这些系统的安全成为一项巨大挑战。针对这些系统的攻击数量和类型持续增长，这让安全管理员忧心忡忡。攻击图作为一种实用的建模工具，可用于列举组织网络中的多阶段、多主机攻击。若没有这一工具，即便经验丰富的安全分析师，也很难手动发现攻击者如何结合（同一主机或相连主机中的）漏洞来破坏关键资源。能展示所有可能的多阶段、多主机攻击路径的攻击图，对安全管理员至关重要，它有助于理解威胁的多样性，并决定采取适当的对策。这就需要高效且可扩展的攻击图生成与分析解决方案。

此外，当主机/网络配置和（或）安全目标频繁变化时，对攻击图进行交互式分析十分有用。现有方法使用攻击图的关系模型，使安全分析师能够根据 SQL 查询即时实施自定义分析算法，从而减少响应时间。然而，关系数据库在处理攻击图这类大型图数据时表现不佳，且扩展性较差，这主要是因为关系数据库缺乏与图相关的数据结构和操作。

近年来，人们对用于存储和管理大型图数据（如社交、网络和生物图）的图数据库重新燃起兴趣。图数据库是一种 NoSQL 数据库，允许持久存储实体以及这些实体之间的关系。实体和关系分别代表图的节点集和边集。关系数据建模遵循严格的数据模型，不适用于半结构化数据。而且，关系数据库的标准查询语言 SQL 无法表达对基于图的推理至关重要的路径。相比之下，图数据库使用强大的数据模型，适用于半结构化和连接数据。此外，图查询语言专门为基于图的推理而设计。在攻击图分析中，图数据库很合适，因为大多数分析任务涉及在更大的全局攻击图中围绕某个节点进行局部处理，基于攻击图全局特征的分析很少。因此，与关系数据库相比，使用图数据库在处理连接数据时能显著提高性能。