基于扎克曼框架的网络攻防研究

基于扎克曼框架的网络攻击与防御应用研究

1 引言

随着互联网在全球范围内的普及和应用，当前网络安全在人类社会的发展中起着重要作用。尽管网络在许多方面带来了便利，但也引发了严重的安全问题。

网络信息资源是计算机网络中最宝贵的资源。在各种利益的驱动下，许多犯罪分子利用互联网窃取或恶意破坏网络信息资源，甚至传播一些不良信息。因此，社会秩序受到扰乱，并造成了巨大的经济损失[1]。几十年前，著名的“红色代码”病毒席卷全球，导致网络中断或局域网堵塞，造成的全球网络损失远超数百亿美元[2]。历史总是以惊人的形式重演。如今，网络威胁在全球范围内造成的损害更加严重。因此，对网络安全研究进行全面分析是必要且紧迫的。

网络安全的核心内容是网络攻防。鉴于网络攻防的普遍性和多样性，研究问题相对具体且具有针对性[3]。例如，文献[4]使用随机模型来描述攻击者的属性、技能熟练程度和相关经验。文献[5]使用攻击潜力来描述攻击发起过程。在文献[6]中，攻击者与防御者之间的对抗被描述为两人博弈，作者希望通过均衡计算找到最优策略。文献[7]提出了态势感知测量技术以实施防御策略。态势感知是当前的研究热点，与以往的防御相比具有显著优势。

然而，当今的网络安全问题呈现出复杂性的特征，例如最具代表性的APT（高级持续性威胁）攻击[8]。许多传统防御技术在APT攻击[9]面前都显得无效。网络安全问题的深度和广度已远远超出我们的想象。现在我们不能仅从微观视角来研究攻防问题，还应从宏观视角来把握问题。微观视角关注攻防的具体行为及后果，宏观视角则涉及整体行为和经济后果。通过结合局部与整体的方法，攻防问题的解决方案将更加有效和高效。

本文的贡献是：首先，从宏观视角出发，阐述了网络攻防的内涵，并提出了网络攻防框架（NADF）。该框架是一个涉及技术、战略与管理的多层架构。其次，我们采用管理方法来解决网络攻防问题，为网络安全管理与度量提供了新的理论支持。第三，我们提出了一套完整的网络防御管理流程，并对网络防御的量化评估进行了初步研究。

本文的其余部分组织如下。下一节简要介绍扎克曼框架（ZF），然后明确阐述网络攻防框架的设计。第3节通过两个示例展示本框架的适用性。第4节对本文的工作进行进一步讨论。最后一节对全文进行总结。

2 攻击与防御框架

2.1 扎克曼框架

扎克曼框架（Zachman Framework），全称为企业架构与信息系统架构框架，最初由IBM的约翰·扎克曼于1987[10]首次提出。在此基础上，许多企业系统框架得以发展[11]。该框架已被众多IT组织广泛采用，并作为识别和管理涉及不同视图的企业架构的框架。由于扎克曼框架具有标准化且有序的特点，它也逐渐被应用于各个领域的管理系统中，例如流程管理、组织识别等领域。

扎克曼框架通常使用二维矩阵来表示某些视图，它是用于组织和分类在企业信息系统开发过程中所产生的产物的逻辑结构[12]。

矩阵将架构的不同方面和项目相关方的类型作为度量轴。矩阵中的每一行代表系统中不同相关方的观点或对系统的不同视角，每一列代表系统的不同方面。横向维度采用六个“W”进行组织，包括什么、如何、何处、谁、何时和为什么[13]。这六个“W”分别用于描述数据、功能、网络、人员、时间及动机。

纵向维度从上到下反映IT基础设施层级，分别表示范围模型、业务模型、系统模型、技术模型、详细模型和功能模型，如图1所示。

从两个维度出发，我们可以将所有IT组件分解为相对独立的小模块。这些模块有利于进行独立管理。建设者关注技术模型，利用技术模型来满足企业业务信息处理的需求。程序员则专注于详细模型，他们需要解决编程语言、数据库存储设计、网络状态变化及其他细节问题。从数据库实施者的角度来看，“数据”并非业务实体，而是通过连接与映射存储在表中的行和列。当与数据库设计师讨论“数据”时，我们不应讨论客户群体，而应讨论关系型数据表。

2.2 网络攻防框架

网络攻防建立在计算机和通信的基础上，因此可以看作是软件产品之间的攻防角色。发起攻击和防御的个人或组织统一为企业或组织。因此，攻防也可以纳入管理系统[14]。从宏观角度来看，攻防的具体过程如图2所示。

从实践角度来看，网络攻击可以被理解为企业业务的负面影响，并给企业带来无法承受的损失。网络攻击的主要表现症状为：

1. 服务提供者无法继续向服务用户提供服务：服务提供者遭到攻击，其自身系统或应用程序将出现故障。
2. 服务用户无法进行有效操作：服务用户遭到攻击，其系统或应用程序存在安全问题。
3. 信息资产损失：信息资产的量化较为困难，难以明确具体信息的价值。当存储在互联网上的信息资产被窃取时，企业将遭受巨大损失。
4. 基础设施薄弱：基础设施代表硬件设备和网络设备资源。薄弱的基础设施一旦遭受攻击，后果将十分严重。
5. 新技术与防御之间的不平衡：新技术的发展速度较快，但防御能力无法立即提升。从长期发展来看，安全威胁日益严峻。

网络防御是攻击的反向过程，为简洁起见此处不再重复。网络攻防问题并非相互独立，二者之间存在关联性，相互影响，如图3所示。

企业可以使用ZF构建自己的组织管理框架，将管理内容纳入ZF中，并通过检查ZF发现并弥补一些缺陷。上述过程可以改进管理策略和效率[15]。因此，我们可以将网络攻防与组织管理框架相结合，从而得到网络攻防框架，如图4和5所示，这些图被用于

为了更清晰地描述网络攻防框架。企业架构实施方法论是技术产品交付中的IT实施过程以及所使用的技术、流程和程序[16]。同理，网络攻防架构实施方法论也可以看作是在技术产品交付与实施过程中所使用的流程和程序。

根据多个视角的组织方式，网络攻防框架评估了六个角色的效果。尽管每个角色的视角不同，但它们并非孤立存在。通过该框架，我们可以清楚地理解为何防御更加困难。盈亏周期的防御框架遵循峰值阶段交替规则。网络环境周期是指网络环境变化的一个时期。在企业或组织的不同层级上，网络攻防框架形成了一些输入数据和攻防管理所需的文档，并输出相应策略。例如，在设计者层级，技术专家制定攻防策略，其输入之一是“威胁目录”或“攻击目标”，然后所建立的攻击或防御框架被提供给其他层级。对于整个框架而言，主要输出包括信息资产的结构与价值、攻防管理规范、威胁列表、度量体系以及管理机构。

2.3 优点和缺点

NADF的主要优势在于能够清晰展示攻防情况。NADF明确指出，在攻防管理过程中，除了安全开发人员和架构师外，管理层还应包括其他利益相关者。每个角色关注的重点应当被清晰地展示出来。同时，我们可以向框架中添加内容，并去除不需要的内容。

攻防过程也可以被移除[17]。它在许多方面都很灵活[18]。该框架能够更轻松地描述复杂的网络攻防系统。NADF具有标准化和逻辑性，有助于优化防御系统[19]。但它也存在某些缺陷，30个单元格会产生文档需求，特别是对于企业而言，文档管理不当可能导致关键问题。该框架强调方法论，因此可能引发管理成本的急剧增加。

3 应用

该框架可用于解决许多问题，例如描述具体的攻击[20]。从宏观角度应对各种攻击，有助于我们把握更为重要的事项。本文将阐述如何利用防御框架来总结防御过程。通过该框架，我们可以直观地识别影响网络防御的各种因素和关键点。从而通过提取框架内容得到一个防御管理过程。同时，我们可以便捷地利用防御要素对能力进行初步的定量评估。

3.1 防御过程

首先，相关人员基于现有组织资源评估信息资产和固定资产，然后确定信息资产的价值比率以及抵御攻击损失。结合自身业务情况，相关人员检查其不安全节点以创建威胁目录。根据现有的攻击数据，人员需要重点关注潜在危险。利用预测技术，负责人合理分配安全资金。

在完成防御策略制定后，防御系统开始运行。日常监控不可或缺。当事故发生时，人员和系统能够及时响应以减少损失。即使没有发生事件，也可能及时发现其他损失。最后，评估防御系统并记录相应的事件信息，为提升防御能力做好准备。具体的防御过程如图6所示。

3.2 定量评估

安全精确测量是发现问题的基础，也是加强网络安全管理的重要工作。网络的安全度量问题已被业界公认为一个重要问题[21]。我们可以通过NADF，利用模糊综合评价法对网络攻防进行较好地评估。尽管该方法具有主观性，但充分发挥了模糊方法的优势，有利于对对象进行最大程度的客观描述[22]。防御评估过程[23]如下所示。

评价对象因素集。NADF的内容是网络防御的36个影响因素，表示为
U={u₁,…, u₃₆}，其中 uᵢ（i=1,…,36）代表该框架的因素。

权重集。由于每个组织或企业的业务各不相同，其防御关注的重点也不同。因此，评估因素的影响程度在测量内容上并不相同，不同领导者对相同因素的认知和评估也存在差异。为了正确反映各评估因素对系统影响程度的影响，并缩小评估人员之间的主观差距，组织者可以召集多位专家讨论NADF的横向和纵向轴的边界概率。边界概率为 p(i)和 q(j)， i= Data, Function, Network, People, Time, Motivation,j= Planner, Owner, Designer, Builder, Programmer, User。边界概率的条件为 ∑p(i) = 1, ∑q(j) = 1。权重集是
Aᵢ=(aᵢ₁,…, aᵢⱼ) , 0 ≤ aᵢⱼ < 1, aᵢⱼ= p(i)· q(j)。
也就是说
$$
A=
\begin{pmatrix}
a_{11} & \cdots & a_{16} \
\vdots & \ddots & \vdots \
a_{61} & \cdots & a_{66}
\end{pmatrix}
\quad \text{and} \quad
\sum_{i,j=1}^{6} a_{ij} = 1.
$$

评语集。评语集包含攻击框架中每个单元格的所有可能评论。该集合由
V=[v₁,…, vₖ], k= 1,…, n. k给出评论的数量。然后需要确定每个单元格在评估因素集 U中的隶属度，并建立关系矩阵R。例如，当 k= 5时，“防御策略”的评语集可以是{较好、好、一般、弱、差}。我们可以假设其隶属度为 r=[0.1, 0.3, 0.3, 0.2, 0.1]。此过程也具有主观性。组织者可组建专家小组，通过领导者对各专家评估值取平均来减小影响。关系矩阵为
$$
R=
\begin{pmatrix}
r_{11} & \cdots & r_{1k} \
\vdots & \ddots & \vdots \
r_{361} & \cdots & r_{36k}
\end{pmatrix},
\quad
\sum_{j=1}^{k} r_{ij} = 1, \quad i= 1,…, 36.
$$

模糊评价。评价结果向量由下式给出
$$
B = A^T \cdot R = [A_1, …, A_6]^T \cdot R = [b_1, …, b_n].
$$
当 V中的评论较少时，可以采用最大隶属度原则。对应最大 bⱼ的vⱼ作为 V的结果。否则，使用加权平均原则，将评论数字化，然后计算
$$
S = \frac{\sum_{i=1}^{k} v_i b_i}{\sum_{i=1}^{k} b_i}.
$$
系统防御能力可通过S进行评估。

4 讨论

本文探讨了如何基于Zachman框架（ZF）描述网络攻防的问题。在本节中，我们阐明了该方法的一些相关问题，并讨论了此方法的局限性。

我们可以通过NADF制定大量的攻击方案、防御策略和管理过程，进而发现框架各个方面的不足。该框架涉及内容广泛，但缺乏细节。由于每个模块仅呈现粗略的表达且缺少标准符号，不同人员的理解存在偏差。该框架适用于复杂的企业或组织，但对于小型团体而言显得繁琐。我们使用NADF确保每位参与者提出的建议都能被关注，从而从整体上推动网络攻防的发展。尽管该框架描述了架构应包含的内容，但并未提供如何创建这些内容，即开发过程。

NADF是静态的，而攻防是动态变化的。因此，我们需要经常关注它们之间的相互关系。这是行与行之间的转换关系，而非演化关系。如果结合形式化方法，我们认为通过符号化对网络安全度量是有效的。

5 结论

扎克曼框架是一种重要的方法论，可为网络攻防提供有效的模型。本文提出的网络攻防框架能够帮助组织或公司完成网络安全架构和安全管理的构建，并检查攻防过程中的缺陷。该框架能更全面地反映网络攻防所涉及的内容，同时为网络安全研究提供了新的思路。该框架可与其他方法、模型协同使用。未来，该领域的研究可以像上述示例一样，准确利用此框架开展对网络攻防的定性与定量研究。各模块的量化问题将留待后续研究。