8、基于欺骗的博弈论框架下识别隐蔽攻击者的可扩展算法

基于欺骗的博弈论框架下识别隐蔽攻击者的可扩展算法

1. 引言

网络攻击者对经济、国防、关键基础设施和金融部门构成严重威胁。尽早检测和识别网络攻击者有助于防御者做出更好的决策以减轻攻击。然而，识别攻击者的特征极具挑战性，因为他们可能采用多种防御规避技术，还会利用白名单工具和协议来掩盖其操作。

目前存在许多入侵检测方法，本文聚焦于使用蜜罐（HP）进行检测和识别，尽管模型也可扩展到其他防御行动。蜜罐旨在吸引对手并监控其活动，以便对攻击进行分析。不过，当前大多数方法侧重于正在进行的攻击检测，更详细的识别通常在后期的法医分析中进行。

本文着重于正式建模防御者在攻击链早期可采取的行动，以支持更详细的攻击者识别，从而实现更有针对性的防御响应。这并非易事，因为不同攻击者可能使用相同的核心恶意软件工具包和常见策略，甚至会故意模仿其他攻击者或在攻击过程中改变行为。

本文模型致力于早期检测攻击者类型，攻击者类型由特定的攻击图（AG）定义，该图描述了攻击者在规划攻击活动时的可能行动和目标。防御者通过选择欺骗行动，迫使攻击者尽早暴露其类型，进而为后续防御提供信息。

2. 背景

攻击图（AG）代表攻击者为破坏网络或特定计算机而进行的一系列攻击。它可通过已知漏洞数据库自动生成，常用于识别需修复的高优先级漏洞。本文将攻击图用作代表不同攻击者的攻击计划库，攻击者的最优计划取决于其特定选项和目标，且会随网络变化而改变，包括防御者引入蜜罐等操作。

本文构建了一个多阶段的Stackelberg安全博弈（SSG）模型，防御者作为领导者，考虑攻击者策略后制定策略；攻击者作为追随者，观察领导者策略后，使用攻击图选择最优攻击策略。攻击者的攻击图