基于FPN的模糊攻击图模型及生成算法研究

１引言文中提出的基于模糊Ｐｅｔｒｉ网（ＦｕｚｚｙＰｅｔｒｉｎｅｔ，ＦＰＮ）的攻击表示模型ＦＰＡＮ（ＦｕｚｚｙＰｅｔｒｉ－ｎｅｔＡｔｔａｃｋＮｅｔ）用变迁表示攻击行为的产生过程，库所表示系统状态的逻辑描述，将攻击行为和攻击结果进行了区分，因而能很直观地表示网络攻击的演变情况，而且ＦＰＮ图表示攻击行为更易于扩展，增加节点可以不改变原有结构。

因此基于ＦＰＮ的ＦＰＡＮ非常适于描述攻击模型，尤其是协同攻击模型。

２攻击模型ＦＰＡＮ的构建方法２．１ＦｕｚｚｙＡｔｔａｃｋＮｅｔ的定义定义１ＦｕｚｚｙＡｔｔａｃｋＮｅｔ（ＦＰＡＮ）的结构定义为一个七要元：ＦＰＡＮ＝（Ｐ，Ｔ，Ｄ，Ｉ，Ｏ，Ｆ，θ）。

其中，Ｐ＝｛ｐ１，ｐ２，…，ｐｎ｝是一个库所的有限集合，其中的任一库所ｐｉ表示攻击阶段；Ｔ＝｛ｔ１，ｔ２，…，ｔｍ｝是一个变迁的有限集合，其中的任一变迁ｔｊ表示攻击过程；Ｐ∩Ｔ＝7，Ｐ∪Ｔ≠8；Ｉ：Ｐ→Ｔ为输入矩阵，Ｉ＝｛δｉｊ｝，δｉｊ为逻辑量，δｉｊ∈｛０，１｝，当ｐｉ是ｔｊ的输入时，δｉｊ＝１，当ｐｉ不是ｔｊ的输入时，δｉｊ＝０，ｉ＝１，２，…，ｎ，ｊ＝１，２，…，ｍ；Ｏ：Ｔ→Ｐ为输出矩阵，Ｏ＝｛γｉｊ｝，γｉｊ为逻辑量，γｉｊ∈｛０，１｝，当ｐｉ是ｔｊ的输出时，γｉｊ＝１，当ｐｉ不是是ｔｊ的输出时，γｉｊ＝０，ｉ＝１，２，…，ｎ，ｊ＝１，２，…，ｍ；Ｉ，Ｏ为ｎ×ｍ阶矩阵，Ｆ为检测估计权值矩阵，Ｆ＝ｄｉａｇ（μ１，μ２，…，μｍ），μｊ∈［０，１］为模糊规则ｔｊ的置信度，表示该节点在攻击过程中的满足程度、攻击可能性、代价等，Ｄ＝｛ｄ１，ｄ２，…，ｄｎ｝为一个命题集合，｜Ｐ｜＝｜Ｄ｜，ｄｉ与ｐｉ一一对应，为攻击阶段的ｐｉ系统状态等的描述，θ０为初始状态的命题可信度矩阵，θ０＝（θ０ｄ１，…，θ０ｄｎ）Ｔ，θ０ｄｉ是命题ｄｉ的初始逻辑状态，θ０ｄｉ为［０，１］区间的模糊数，表示命题ｄｉ的真实程度，用来描述系统状态。

ＦＰＡＮ中的库所可以表示为三要元（ｐｋ，・ｐｋ，ｐｋ・），・ｐｋ和ｐｋ・分别是ｐｋ的输入变迁集和输出变迁集，・ｐｋ反映了导致ｐｋ这一攻击阶段之前的攻击过程；ｐｋ・反映了ｐｋ这一攻击阶段的下一步攻击过程。

若・ｐｋ＝8，则ｐｋ为攻击起点，并将ｐｋ称作起始库所；若ｐｋ・＝8，则ｐｋ为攻击最终目标，并将ｐｋ称作顶上库所或目标库所。

变迁可以表示为三要元（ｔｋ，・ｔｋ，ｔｋ・），・ｔｋ和ｔｋ・分别是ｔｋ的输入库所集和输出库所集，分别反映了ｔｋ这一攻击过程中系统的前后状态变化，・ｔｋ≠8，为攻击前提集合，ｔｋ・≠8，为攻击结果集合。

一般情况下，网络攻击的ＦＰＡＮ表示可按如基于ＦＰＮ的模糊攻击图模型及生成算法研究黄光球，乔坤，朱华平（西安建筑科技大学管理学院，陕西西安７１００５５）摘要：以模糊Ｐｅｔｒｉ网（ＦｕｚｚｙＰｅｔｒｉｎｅｔ，ＦＰＮ）理论为基础，定义了一种面向检测的新型网络攻击模型ＦＰＡＮ，提出了ＦＰＡＮ的生成算法，并通过实验验证了算法的正确性，该模型比攻击树（ＡｔｔａｃｋＴｒｅｅ）更能够反映各个步骤之间的关系，可重用性也更强，具有较好的实用性。

关键词：模糊Ｐｅｔｒｉ网；攻击树；攻击建模；入侵检测中图分类号：ＴＰ３１文献标识码：Ａ文章编号：１０００－７１８０（２００７）０５－０１６２－０４ＡｐｐｒｏａｃｈｔｏＦｕｚｚｙＡｔｔａｃｋＮｅｔＢａｓｅｄｏｎＦｕｚｚｙＰｅｔｒｉＮｅｔａｎｄｉｔｓＧｅｎｅｒａｔｉｎｇＡｌｇｏｒｉｔｈｍＨＵＡＮＧＧｕａｎｇ－ｑｉｕ，ＱＩＡＯＫｕｎ，ＺＨＵＨｕａ－ｐｉｎｇ（ＣｏｌｌｅｇｅｏｆＭａｎａｇｅｍｅｎｔ，Ｘｉ′ａｎＵｎｉｖｅｒｓｉｔｙｏｆＡｒｃｈｉｔｅｃｔｕｒｅ＆Ｔｅｃｈｎｏｌｏｇｙ，Ｘｉ′ａｎ７１００５５，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ：ＢａｓｅｄｏｎＦｕｚｚｙＰｅｔｒｉｎｅｔ（ＦＰＮ），ａｎｅｗｅｘａｍｉｎａｔｉｏｎ－ｏｒｉｅｎｔｅｄｎｅｔｗｏｒｋａｔｔａｃｋｍｏｄｅｌｎａｍｅｄＦｕｚｚｙＰｅｔｒｉ－ｎｅｔＡｔｔａｃｋＮｅｔ（ＦＰＡＮ）ｉｓｐｕｔｆｏｒｗａｒｄ．Ｂａｓｅｄｏｎｔｈｉｓｍｏｄｅｌ，ａｇｅｎｅｒａｔｉｎｇａｌｇｏｒｉｔｈｍｉｓｐｒｏｐｏｓｅｄ，ａｎｄｔｈｅｅｆｆｅｃｔｉｖｅｎｅｓｓｏｆｔｈｅａｌｇｏｒｉｔｈｍｉｓｖｅｒｉｆｉｅｄｂｙｅｘｐｅｒｉｍｅｎｔｓ．Ｃｏｍｐａｒｅｄｔｏｔｈｅａｔｔａｃｋｔｒｅｅ，ｔｈｉｓｍｏｄｅｌｃａｎｒｅｆｌｅｃｔｔｈｅｒｅｌａｔｉｏｎｓｈｉｐｂｅｔｗｅｅｎｅａｃｈｓｔｅｐｏｆｔｈｅａｔｔａｃｋ；ｉｔｓｒｅｕｓａｂｉｌｉｔｙａｎｄｕｓａｂｉｌｉｔｙａｒｅａｌｓｏｇｏｏｄ．Ｋｅｙｗｏｒｄｓ：ｆｕｚｚｙｐｅｔｒｉｎｅｔ；ａｔｔａｃｋｔｒｅｅ；ａｔｔａｃｋｍｏｄｅｌｉｎｇ；ｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ收稿日期：２００６－０６－１８下规则进行：（１）网络攻击的攻击阶段可表示为模糊Ｐｅｔｒｉ网中的库所ｐ；（２）网络攻击的攻击过程可表示为模糊Ｐｅｔｒｉ网中的变迁ｔ；（３）参照攻击树［２］中的“与”，“或”节点概念，ＦＰＡＮ中的“与”关系表示法及对应的攻击树表示法如图１所示。

ＦＰＡＮ中的“或”关系表示法及对应的攻击树表示法如图２所示，ＦＰＡＮ中的“时序”关系表示法及对应的攻击树表示法如图３所示。

２．２ＦＰＡＮ的构造和求精ＦＰＡＮ可以抽象为一个具有目标库所的无环有向图，它的构造过程是一个向后推理的过程，具体步骤如下：（１）确定针对系统的一个具体的入侵行为Ａｔｔａｃｋ＿ｔｙｐｅｉ，将Ａｔｔａｃｋ＿ｔｙｐｅｉ作为ＦＰＡＮ的顶上库所Ｐ（Ａｔｔａｃｋ＿ｔｙｐｅｉ）；（２）通过回溯分析得到使顶上库所Ｐ（Ａｔｔａｃｋ＿ｔｙｐｅｉ）发生所必须的攻击过程的变迁集合・Ｐ（Ａｔｔａｃｋ＿ｔｙｐｅｉ）；（３）找出・Ｐ（Ａｔｔａｃｋ＿ｔｙｐｅｉ）中的任意一个变迁ｔｉ的输入库所集合・ｔｉ；（４）对・ｔｉ中的任意一个ｐ进行判断，若・ｐ＝5则转向下一个ｐ，否则循环执行（２）、（３）步；（５）对于所有新出现的库所，若・ｐ＝5，则结束。

３ＦＰＡＮ自动生成算法３．１获得数据样本数据作为ＦＰＡＮ生成算法的输入，是ＦＰＡＮ生成的基础，直接影响到攻击模式的精确性。

搜集的数据可能是网络数据包、主机日志等，为了准确地反映攻击特征，应保证数据的纯净性和多样性。

数据采集过程如图４所示。

３．２算法描述样本数据表示为：ＤａｔａＳｅｔ＝｛ＦＰＡＮ１，ＦＰＡＮ２，…，ＦＰＡＮｎ，ＮｏｒｍａｌＳｅｔ｝，ｎ＝１，２，…，Ｎ。

其中，ＦＰＡＮｉ＝｛（ｐｉ１，ｐｉ２，…，ｐｉｍ，Ａｔｔａｃｋ＿ｔｙｐｅｉ），ｍ＝１，２，…，Ｎ｝，是各种类型的攻击数据集合。

ＮｏｒｍａｌＳｅｔ是正常数据集合，类似ＦＰＡＮｉ，ＮｏｒｍａｌＳｅｔ＝｛（ｐｉ１，ｐｉ２，…，ｐｉｑ，ｎｏｒｍａｌ），ｑ＝１，２，…，Ｎ｝，ｍ≤ｑ，事实上，在实际应用中，所统计的ＦＰＡＮｉ中属性ｐ的个数与ＮｏｒｍａｌＳｅｔ中元素的个数是一样的，即ｍ＝ｑ。

ｐｉ１，ｐｉ２，…，ｐｉｍ是数据的各项，在网络包数据源中如时间戳、源ＩＰ地址，协议类型，ｆｌａｇ，ｓｅｒｒｏｒ＿ｒａｔｅ等，ＦＰＡＮｉ记为元组，Ａｔｔａｃｋ＿ｔｙｐｅｉ是攻击的类型，基于某一攻击类型Ａｔｔａｃｋ＿ｔｙｐｊ的ＦＰＡＮｊ统计元组数越多，多样性越充足，则越能体现该攻击的特征，也越能生成有效的ＦＰＡＮ，然而这可能带来大量的冗余数据，因此有必要对检测的数据进行归约处理。

可以借助数据挖掘中的维归约技术，去除冗余和信息含量不高的属性，得到数据集的归约形式。

属性的“优劣”可以用信息增益来表示，即考虑属性对与数据分析所能做出的贡献。

信息增益公式如下：Ｇａｉｎ（Ｓ，Ａ）＝Ｉ（ｓ１，ｓ２，…，ｓｍ）－Ｅ（Ａ）Ｉ（ｓ１，ｓ２，…，ｓｍ）＝－ｍｉ＝１"ｑｉｌｏｇｍｑｉ，Ｅ（Ａ）＝Ｓｊｊ＝１"Ｓ１ｊ＋…＋ＳｍｊＳＩ（ｓ１ｊ＋…＋ｓｍｊ）ｑｉ为类ｓｉ在示例集Ｓ中的比率，ｍ为类别数，｜ｓｊ｜为属性ｓｊ的属性值的个数，Ａ代表某属性，Ｓ是数据集。

ｓ包含ｓｉ个Ｃｉ类样本，ｉ＝１，２，…，ｍ。

Ｉ（ｓ１，ｓ２，…，ｓｍ）是对于一个给定的样本分类所需的期望信息。

Ｅ（Ａ）是根据属性Ａ的取值来划分的期望信息称作Ａ的熵。

Ｇａｉｎ（Ｐ，Ａ）是从属性Ａ上该划分的获得的信息增益。

基于信息增益的维归约原理，虽然能够进行有效的维归约，但计算过程复杂。

可以在归约以前，用简化的方法先行处理数据，提高效率。

方法如下：设数据元组ＦＰＮｉ中的属性ｐｉｊ在ＤａｔａＳｅｔ有ω个值，分别记为ｐ１ｉｊ，ｐ２ｉｊ，…，ｐωｉｊ，计算ｐｋｉｊ在ＤａｔａＳｅｔ中出现的概率ｆｒｅｑ（ｐｋｉｊ），Ｋ＝１，２，…，ω，方便描述，约定：ｆｒｅｑ（ｐｋｉｊ）＝ＤａｔａＳｅｔ中ｐｉｊ＝ｐｋｉｊ的元组数ＤａｔａＳｅｔ的总元组数×１００％（２）ｆｒｅｑｍａｘ（ｐｉｊ）＝ｍａｘ（ｐ１ｉｊ，ｐ２ｉｊ，…，ｐωｉｊ）（３）式（２）表示属性ｐｉｊ取值为ｐｋｉｊ的元组在整个数据集ＤａｔａＳｅｔ中的出现频率，式（３）表示了属性ｐｉｊ在ＤａｔａＳｅｔ中出现的最大频率时的值。

扫描数据集，计算ｆｒｅｑｍａｘ（ｐｉｊ），如果ｆｒｅｑｍａｘ（ｐｉｊ）＝１，则该属性对于区分攻击数据和正常数据起不到任何作用，因此从ＤａｔａＳｅｔ中去掉该项，ｆｒｅｑｍａｘ（ｐｉｊ）越接近于１，则该属性对区分攻击数据和正常数据的贡献越小。

在此基础，完成数据集ＤａｔａＳｅｔ的归约处理，将新的数据集记为ＤａｔａＳｅｔ＊，作为ＦＰＡＮ生成算法的输入。

算法具体描述如下：输入：样本数据集ＤａｔａＳｅｔ＊输出：ＦＰＡＮｋ（１）以Ａｔｔａｃｋ＿ｔｙｐｅｋ为攻击目标，以库所ｐ（Ａｔｔａｃｋ＿ｔｙｐｅｋ）表示；（２）归约处理后的任一数据元组ＦＰＡＮｋ＊＝｛（ｐｉ１，ｐｉ２，…，ｐｉｗ，Ａｔｔａｃｋ＿ｔｙｐｅｋ），ｗ≤ｍ｝，在ＦＰＡＮｋ＊中，计算出集合Ｕｋ，Ｕｋ＝｛ｐｋｉ，…，ｐｋｊ｝，（ｉ，ｊ∈｛１，２，…，ｗ｝，且ｉ≤ｊ≤ｗ）。

#ｐｋｉ∈Ｕｋ，满足以下关联规则的条件：Ａｔｔａｃｋ＿ｔｙｐｅｋ→ｐｋｉ（ｌｉｆｔ≥χ）（４）式中，ｌｉｆｔ（Ａｔｔａｃｋ＿ｔｙｐｅｋ→ｐｋｉ）＝Ｃｏｎｆｉｄｅｎｃｅ（Ａｔ－ｔａｃｋ＿ｔｙｐｅｋ→ｐｋｉ）／Ｅｘｐｅｃｔｅｄｃｏｎｆｉｄｅｎｃｅ（ｐｋｉ）Ｅｘｐｅｃｔｅｄｃｏｎｆｉｄｅｎｃｅ（ｐｋｉ）＝ｐ（ｐｋｉ）为ｐｋｉ在ＤａｔａＳｅｔ中的出现频率；Ｃｏｎｆｉｄｅｎｃｅ（Ａｔｔａｃｋ＿ｔｙｐｅｋ→ｐｋｉ）＝Ｐ（ｐｋｉ｜Ａｔ－ｔａｃｋ＿ｔｙｐｅｋ）为ｐｋｉ在ＦＰＡＮｋ＊中的出现频率。

式（４）中的属性ｐｋｉ在ＦＰＡＮｋ＊中有多个值的时候原则上应逐次计算每个对应值，但实际应用中往往只需要关注出现频率较大的几个值，一般就取出现频率最大的值χ≥１，为检测阈值，文中取χ＝１。