30、企业网络的博弈论攻击响应框架

企业网络的博弈论攻击响应框架

在构建自适应、成本敏感的自动化入侵响应方案时，涉及大量的决策过程。为了便于自动化决策，本文提出了一种基于博弈论的入侵响应框架。给定特定的网络配置和漏洞报告，我们将攻击者与防御者之间的可能交互建模为一个两人非零和随机博弈。

1. 预备知识和相关工作

• 随机博弈的定义 ：形式上，一个折扣因子为零的两人非零和随机博弈是一个元组 $(S, A_1, A_2, Q, R_1, R_2)$，其中：
  • $S = {s_1, …, s_N}$ 是状态集，$N$ 是状态的数量。
  • $A_k = {a_k^1, .., a_k^{M_k}}$；$k = 1, 2$；$M_k = |A_k|$，是玩家 $k$ 的动作集。玩家 $k$ 在状态 $s$ 的动作集是 $A_k$ 的子集，即 $A_{k_s} \subseteq A_k$ 且 $\sum_{s = 1}^{N} A_{k_s} = A_k$。
  • $Q : S × A_1 × A_2 × S → [0, 1]$ 是状态转移函数。
  • $R_k : S × A_1 × A_2 → \Re$。$k = 1, 2$；是玩家 $k$ 的奖励函数，$\Re$ 是实数集。
• 相关工作 ：许多博弈论安全方法基于静态博弈模型、完美信息博弈或完全信息博弈。但在现实场景中，玩家参与的是具有不完全和不完美信息的动态博弈。我们提出了一个具有完全但不完美信息的随机博弈。因为随机博弈的奖励函数是使用可用的网络相关数据估计的