42、用于网络威胁意图推断的自适应马尔可夫博弈模型

用于网络威胁意图推断的自适应马尔可夫博弈模型

1. 引言

网络攻击形式不断演变，早期多为一维攻击，如拒绝服务（DoS）、计算机病毒或蠕虫以及未经授权的入侵（黑客攻击），主要目标是网站、邮件服务器和客户端机器。然而，近期的网络攻击已呈现出多样化，包括多阶段、多维度的攻击，运用了各种工具和技术。

下一代网络安全需要将短期传感器信息与长期知识库相结合的网络管理和入侵检测系统，以提供决策支持和网络空间的指挥控制。其中一项重要能力是从入侵检测传感器（IDS）或入侵预防传感器（IPS）生成的各种网络警报中，高效、及时地预测威胁的战术意图。

虽然目前将数据融合技术应用于网络态势感知的努力前景良好，但评估攻击的潜在影响和预测意图（即高级数据融合）仍然面临重大挑战。为应对这一挑战，引入了自适应马尔可夫博弈方法。

博弈论在网络防御领域并非新概念。当前用于网络入侵检测和决策支持的博弈论方法主要基于静态矩阵博弈和简单的扩展博弈，通常通过博弈树求解。然而，这些矩阵博弈模型在研究具有较大动作空间和较长规划周期的多玩家情况时，显得不够成熟。

本文提出了一种用于网络防御系统的博弈论态势感知和影响评估方法，考虑了网络冲突期间威胁意图的变化。从数据融合和自适应控制的角度出发，使用马尔可夫（随机）博弈方法来估计每种可能的网络攻击模式的置信度。同时，考虑到每个玩家成本函数中的参数对其他玩家不可访问，基于虚构博弈（FP）的概念，为分段线性化的马尔可夫博弈模型设计了一种自适应方案。

该方法具有以下优点：
1. 去中心化 ：每个网络防御元素或团队主要基于本地信息做出决策，赋予每个组更多自主权，增加了灵活性。