36、入侵检测中的恶意软件检测器放置游戏

入侵检测中的恶意软件检测器放置游戏

1. 不同场景下的检测器放置

在网络安全领域，恶意软件检测器的放置是一项关键任务。下面将探讨几种不同场景下的检测器放置策略。

1.1 静态路由下的单个完美检测器

在最简单的场景中，假设入侵检测系统（IDS）的预算仅允许同时运行一个检测器设备，且设备可在所有链路上使用并随时激活。同时，网络的路由表在运行过程中不发生变化，即路由是静态的，所有从给定源到给定目的地的数据包都通过相同的路径传输。这种情况下的最优策略可通过零和矩阵博弈的混合纳什均衡得出。

1.2 静态路由下的单个故障检测器

考虑网络中存在不完美或有故障的检测器。恶意数据包在部署了嗅探器的链路上被检测到的概率为 p（p < 1），这反映了不同硬件设备的检测率可能不同。检测率的变化可建模为有限状态马尔可夫链，每个监视器有检测和不检测两种状态。由于静态路由，监视器的位置可限制在连接 A 和 D 的最小割集中的链路，在模拟中，选择了由链路 5、6、7 和 8 组成的最小割集。

1.3 动态路由下的单个完美检测器

对于每个攻击，从攻击者到目标系统有两条不同的路径。数据包在经过一跳后需要做出路由决策。在实际网络中，即使攻击路径长度相同，到达入口节点的数据包也可能不会通过相同的出站链路路由。为简化安全游戏，假设到达节点的所有数据包将通过相同的出站链路路由，但路由配置会因负载均衡或故障而不时改变。网络的路由配置变化可建模为有限状态马尔可夫链，有四种可能的环境状态。

1.4 静态路由下的多个完美检测器

当网络运营商的预算允许同时放置多个监视器时，可放松每次只能放置一