融合社交网络入侵方式的网络安全态势感知研究

Network attacks mainly include attacks based on the vulnerability of network system and social network intrusion. Research on network security situation awareness aiming to counter network attacks has become a hot topic in the field of network security, which can bring active defense by analyzing data collected from network system. However, how to integrate social network intrusion mode into network security situation awareness becomes a challenging problem as the path of social network intrusion is beyond network system leading to the shortage of information exploited to detect intrusion. To solve the problem, this project analyzes the detection model of user’s abnormal behavior and identifies social network intrusion by combined analyses of abnormal behavior alarms based on the fact that social network intrusion involves user behavior. Then, the social network, system equipment network and authority relation between users and equipment assets will be depicted via graph model and the game model among attacker, defender and end-users is constructed. The graph model and game model both constitute a unified framework to analyze both social network intrusion and system vulnerability attack where game models of two different attack modes are evolved on two different layers of the graph model. By utilizing the currently collected data concerning campus network, the application and demonstration of network security situation awareness combining social network will be realized in this project. Moreover, the research of this project will help to infer the intentions of two kinds of abnormal activities in real time, and provide corresponding reinforcement measures for the target network.

网络攻击主要包括系统脆弱性攻击和社交网络入侵。针对网络攻击开展的网络安全态势感知研究主要是通过分析网络系统的测量数据，实现主动防御,已成为网络安全领域的研究热点。但由于社交网络入侵路径在系统之外，存在检测信息隐藏与遗漏等缺陷，如何融合社交网络入侵方式的全方位网络安全态势感知已成为一个重要问题。为此，本项目针对社交网络入侵需要用户参与的特性，研究用户异常行为检测模型，通过关联分析异常行为告警识别出社交网络入侵活动；进一步基于图模型刻画社交网络、系统设备网络、用户与设备资产间的权限关系，研究攻击者、防御者和普通用户三方参与的博弈模型，并在图的两层网络上分别演进两种途径的攻防博弈过程，给出分析社交网络入侵和脆弱性攻击活动的统一框架。在此基础上，利用前期研究采集的校园网络数据，实现融合社交网络的网络安全态势感知应用与示范。本项目的研究有助于实时推断两类异常活动的攻击意图，并提供针对性加固方案。

社交网络作为网络攻击的一种有效途径被攻击者广泛利用，越来越多的攻击组合使用了社交网络入侵与传统网络入侵方式。因此，融合社交网络入侵方式的网络安全态势感知是安全领域的一个重要问题。本项目针对融合社交网络入侵方式的全方位网络安全态势感知开展了深入研究，主要研究内容包括：提供社交网络入侵告警的用户异常行为检测模型、社交网络与系统设备网络的统一表征及两类入侵活动的统一理解模型、网络安全态势感知系统的效率及优化防御问题。.本项目取得的研究结果：1、提出了基于用户在键盘、鼠标与窗口域行为和邮件登录行为的异常用户行为检测模式，实现了针对社交网络入侵活动（以邮件网络为例）的告警。2、提出了融合社交网络入侵的两类异常活动统一理解模型。通过设计网络安全本体模型，统一表示了社交网络和系统设备网络，进一步构建了网络安全知识图谱，并给出基于知识图谱的攻击图自动生成算法，实现了针对两类异常活动的统一理解与评估。3、提出了基于层次攻击图的网络安全态势感知约简算法。通过将原网络划分为多个逻辑子网，利用攻击行为的单调性假设，有效缩减了攻击路径规模，解决了网络安全态势感知中的状态爆炸问题，提升了针对两类入侵活动的感知效率。4、提出了攻防演化博弈模型。基于用户邮件访问行为模式给出了防御资源的优化配置策略。进一步利用邮件用户节点活跃性信息，提升了网络安全态势感知系统的效率，.研究意义：1、本项目的研究为统一表征、统一理解与评估社交网络入侵与传统网络入侵活动提供了可行方案，有助于全面感知目标网络中存在的各类异常活动及其意图，并提供优化防御方案。2、项目组提出的网络安全态势感知约简算法独立于态势感知的具体方法，可应用于一切态势感知算法中，有助于解决针对大规模网络的态势感知系统的实时性问题。