35、基于博弈论的恶意软件检测器放置策略研究

基于博弈论的恶意软件检测器放置策略研究

1. 引言

在当今的通信基础设施中，基于 IP 的计算机网络发挥着至关重要的作用。随着企业、公共机构和个人等各类参与者对服务和通信系统的依赖程度不断提高，这些网络的部署呈指数级增长。然而，这也给信息安全带来了新的挑战，因为大量数据需要通过开放网络传输，而这些网络可能包含蠕虫、病毒或特洛伊木马等恶意内容。

为了应对这些威胁，网络运营商部署了入侵检测系统（IDS）。IDS 通过恶意软件检测器和嗅探器观察网络中的各种事件，试图检测对目标系统的渗透尝试。当 IDS 遇到通过异常检测或应用一组预定义规则分类为攻击的情况时，会采取相应措施，这些响应行动可以自动、半自动执行，也可以由系统管理员在收到 IDS 的相关通知后执行。

网络安全措施可以在网络本身以及连接到网络接入路由器的主机上实现。基于主机的方法有其优点，特别是在安全框架的可扩展性方面。但由于主机通常不受网络运营商控制，他们无法实施全网络范围的安全策略。因此，本文将重点关注将检测功能作为网络本身的一部分进行部署。

2. 问题定义与相关工作

2.1 网络监控分类

网络监控可分为主动监控和被动监控：
- 主动监控 ：主要关注主动探测网络，以识别链路故障或测量网络流量的延迟时间。
- 被动监控 ：对数据包进行采样，以更好地了解网络中的流量分布，识别恶意数据包并确定它们在网络中传输的路径。本文采用被动链路监控来收集信息，并据此对对手采取响应行动。

2.2 监控器分类

从操作模式来看，监控器可分为基于