21、用于网络威胁意图推断的自适应马尔可夫博弈模型

用于网络威胁意图推断的自适应马尔可夫博弈模型

1. 引言

网络攻击（CAs）过去通常是一维的，包括拒绝服务（DoS）、计算机病毒或蠕虫以及未经授权的入侵（黑客攻击），主要目标是网站、邮件服务器和客户端机器。然而，近期的网络攻击已呈现多样化，发展为涉及多种工具和技术的多阶段、多维攻击。

下一代网络安全需要将短期传感器信息与长期知识库相结合的网络管理和入侵检测系统，以提供决策支持和网络空间的指挥控制。其中一项重要能力是从入侵检测传感器（IDSs）或入侵预防传感器（IPSs）生成的各种网络警报中，高效、及时地预测威胁的战术意图。

虽然目前将数据融合技术应用于网络态势感知的努力前景良好，但评估攻击的潜在影响和预测意图（即高级数据融合）仍然面临重大挑战。为应对这一挑战，本文引入了一种自适应马尔可夫博弈方法。

博弈论在网络防御领域并非新概念。当前用于网络入侵检测和决策支持的博弈论方法主要基于静态矩阵博弈和简单的扩展博弈，通常通过博弈树求解。然而，这些矩阵博弈模型在研究具有较大行动空间和较长规划期的多玩家情况时，显得不够完善。

本文提出了一种用于网络防御系统的博弈论态势感知和影响评估方法，以考虑网络冲突期间威胁意图的变化。从数据融合和自适应控制的角度出发，使用马尔可夫（随机）博弈方法来估计每种可能的网络攻击模式的置信度。考虑到每个博弈玩家成本函数中的参数对其他玩家不可访问，基于虚拟博弈（FP）的概念，为分段线性化的马尔可夫博弈模型设计了一种自适应方案。开发了一个软件工具来展示自适应博弈论高级信息融合方法在网络防御中的性能，并通过模拟示例展示了该方法对网络防御理解的增强。

该方法具有以下优点：
1. 去中心化