8、动态环境下安全时机博弈研究

动态环境下安全时机博弈研究

1. 引言

自冷战时期以来，人们就对时机博弈研究产生了浓厚兴趣，旨在理解在与安全相关的决策场景中何时采取行动。近年来，内部威胁、网络间谍活动和其他高度隐蔽的攻击不断增加，这使得人们更渴望深入了解审计、清理或减轻此类攻击的行动时机。然而，目前关于博弈和决策理论方法的研究（包括 FlipIt 模型）存在一个共同局限，即假设参与者行动的成本和有效性与时间无关。

在实际情况中，攻击的成本和成功概率通常会随时间变化，攻击者往往会在有机会时（如发现漏洞时）才发动攻击。这些情况促使我们开发考虑动态环境的时机博弈模型。防御者需要制定考虑攻击者发现漏洞特性的最优防御策略，而攻击者则面临何时利用已识别漏洞的决策困境。

例如，早在 2011 年 7 月微软宣布 2014 年 4 月停止对 Windows XP 的支持，这将大大降低该软件的防御和缓解成本。安全专家推测攻击者会开始囤积漏洞以获取更大利益，但在计划利用漏洞之前，若存在被内部安全团队或外部道德黑客重新发现的风险，攻击者在何种情况下采取这种行为才是最优的呢？

为此，我们提出并研究了一个能捕捉动态环境的模型。该模型研究了部署新服务或资源的防御者面临的问题，假设攻击者根据给定的漏洞发现过程（建模为时间的任意函数）发现漏洞。攻击者和防御者都知道每个发现的漏洞有基本生命周期，即漏洞在后续日期仍可利用的可能性受道德黑客重新发现并使其失效的影响。同时，防御者可投入缓解措施以降低漏洞被利用的影响。攻击者因此面临立即利用漏洞或等待防御者放松警惕的两难选择，后者存在空手而归的风险。

为提高模型的适用性，我们开发了连续时间和离散时间两个版本的模型。我们为这两个模型的均衡形状提供了基本约束，并根据漏