28、不完全信息博弈的近似方法

不完全信息博弈的近似方法

在网络安全领域，攻击者与防御者之间的对抗可以被建模为一种博弈。由于网络环境的复杂性和不确定性，这种博弈往往是不完全信息博弈，计算其Stackelberg均衡是NP难问题。下面将详细介绍相关的博弈模型、近似方法以及具体算法。

1. 攻击图生成与攻击策略

攻击图（AG）可以使用各种工具自动生成，例如使用MulVAL从网络扫描工具（如Nessus或OpenVAS）自动收集的信息来构建依赖AG。这些AG由攻击者的原子动作组成，如利用每个主机的漏洞的动作、在相互可达的主机之间的“跳跃”动作等。

对于给定的AG，需要计算一个应急攻击策略（AP），该策略根据AG为攻击过程中可能出现的每种情况定义一个适用动作集合中的动作。它不仅指定了理性攻击者可能执行的动作，还指定了执行顺序。经典规划器提供的线性计划不足以表示攻击者在动作失败后的行为，而最优AP是使攻击者获得最大预期奖励的AP。

2. 不完全信息蜜罐分配博弈

在现实中，攻击者不知道公司部署的网络拓扑，但可能对组织实际可能部署的网络集合有先验信念。我们假设攻击者对组织可能部署的网络集合的先验信念是双方的共同知识。攻击者可能知道组织使用的一部分主机类型，称为网络基础。

为了捕捉网络集合，将该博弈建模为具有特定结构的扩展式博弈，分为三个阶段：
- 自然动作 ：对于主机类型集合T、主机总数n和基础网络b，生成包含基础网络的所有可能网络集合X。例如，若T = {D, W, S}（数据库、工作站、服务器），b = (1, 0, 1)，n = 3，则X = {(2, 0, 1), (1, 1, 1), (1, 0, 2)}