（计算机应用技术专业论文）基于隐马尔科夫模型下的实时风险管理.pdf

华南师范大学硕j ：学位论文 价值。 关键字：实时风险管理；实时风险评估；隐马尔科夫模型；层次分析法 m a r k o vm o d e l r e c e n t l y , r i s km a n a g e m e n ti sp l a y i n ga ni n c r e a s i n g l yi m p o r t a n tr o l ei nc o n s t r u c t i o no f i n f o r m a t i o ns e c u r i t ys y s t e m h o w e v e r , t h et r a d i t i o n a lr i s km a n a g e m e n tc a nn o tc o l l e c tt h e d a t aa c c o r d i n gt ot h ec u r r e n ts y s t e mi nt i m ea n d ，a sar e s u l t ，t h ec o n t r o lm e a s u r e sc a nn o t a c h i e v et h es a f e t yr e q u i r e m e n t s ，s ot h er e a l t i m er i s km a n a g e m e n th a sn o wb e c o m ear e s e a r c h h o t s p o t i nt h i sa r t i c l e ，w em a k ead e e pr e s e a r c ho nt h er e a l t i m er i s km a n a g e m e n t m a i n c o n t r i b u t i o n sa r ea sf o l l o w s ： i nt h i sa r t i c l e ，ar e a l t i m er i s km a n a g e m e n tf r a m e w o r kb a s e do nt h eh i d d e nm a r k o v m o d e li s p r o p o s e di n d e p e n d e n t l y a f t e rs t u d i e so nt h ec u r r e n ts t a t u so fr e a l t i m er i s k m a n a g e m e n ta saw h o l e t h i sf r a m e w o r kc o n s i s t so fs e v e ns u b m o d u l e s ，n a m e l y ：m o n i t o r i n g m o d u l e ，d a t as t a n d a r d i z a t i o nm o d u l e ，d a t a b a s em o d u l e ，r e a l t i m er i s ka s s e s s m e n tm o d u l e ，r i s k t r e a t m e n tm o d u l e ，t h er u l eb a s em o d u l ea n ds c a n n i n gm o d u l e t h e nw ed e s i g nt h ef u n c t i o n s o f e a c hm o d u l ea n dt h e i rm u t u a li n t e r a c t i o nb e t w e e ne a c ho t h e r f u r t h e r m o r e ，a c c o r d i n gt op r a c t i c a la p p l i c a t i o n s ，w ed e s i g nt h er e a l - t i m er i s ka s s e s s m e n t m o d u l eu s i n gt h eh i d d e nm a r k o vm o d e l u n l i k et h et r a d i t i o n a lp r a c t i c eo ft h em o d u l e ，t h i s m o d u l ed o e sn o tc o l l e c ti d sa l e r t sa n ds e n dt h e mt ot h eh i d d e nm a r k o vm o d u l ea n dc a l c u l a t e t h er e a l - t i m eh i d d e nm a r k o vr i s kd i r e c t l y w ea d dap r e t r e a t m e n tm o d u l ei n t oi t t h e nw ec a l l r e d u c et h e s c a l eo fo b s e r v a t i o nm a t r i xt h r o u g hc l a s s i f y i n gt h ea l a r mo ft h ei n f o r m a t i o n c o l l e c t e db yi d su s i n gt h ep r e t r e a t m e n tm o d u l e t h e o r e t i c a la n a l y s i ss h o w st h a tc o m p a r e d 2川7 川川i8川6 舢7iiii舢y 华南师范大学硕士学位论文 w i t ht r a d i t i o n a lp r a c t i c e s ，i m p r o v e dr e a l t i m er i s ka s s e s s m e n ts u b - m o d u l en o to n l ys a v e s s t o r a g es p a c eb u ta l s om a k e st h er e a l t i m eb e t t e rw h i l ei n t e r a c t i n gw i t ha n dt h er i s kv a l u e sa r e m o r er e a s o n a b l e f i n a l l y , w ea n a l y z ep r o p o s e df r a m e w o r kf o rr e a l - t i m er i s km a n a g e m e n ta n dt h er e a l t i m e a s s e s s m e n tm o d u l et h e o r e t i c a l l y , a n du s et h ef r a m e w o r ki nt h es i m u l a t i o ne n v i r o n m e n ti nt h e e n d t h er e s u l t si n d i c a t et h a tt h ef r a m e w o r kp r o p o s e di nt h i sa r t i c l ei sr e a s o n a b l ei nb o t h t e c h n o l o g ya n dt h er e a l t i m e ，a n dt h ep r o c e s sg i v e ni nt h es i m u l a t i o ne n v i r o n m e n tp r o v i d e s s o m er e f e r e n c ev a l u ef o ri t sa p p l i c a t i o ni n t h er e a lw o r l d k e yw o r d s ：r e a l - t i m er i s km a n a g e m e n t ；r e a l t i m er i s ka s s e s s m e n t ；h i d d e nm a r k o vm o d e l ； a n a l y t i ch i e r a r c h yp r o c e s s 1 1 。2 。5 。5 6 。7 。7 。7 9 2 1 3 风险评估过程9 2 1 4 实时性1 0 2 2 采用的技术1 1 2 2 1 传感技术1l 2 2 2 入侵检测系统l3 2 2 3 扫描_ 具n m a p 以及n e s s u s 1 7 2 3 模型与方法l8 2 3 1h m m 模型。l8 2 - 3 2a h p 层次分析法。1 9 2 4 国际标准2 0 2 4 1c c 标准2 0 2 4 2i s o i e c 2 7 0 0 2 标准2l 2 4 3g b17 5 8 9 标准2 2 2 5 本章小结2 2 第三章实时风险管理总体框架及实时风险评估子模块的详细设计2 3 3 1 实时风险管理总体框架2 3 3 2 实时风险评估模块设计2 5 3 2 1 预处理模块2 7 3 2 2h m m 模块31 3 3 本章小结3l 第四章实时风险管理框架理论分析与应用3 3 4 1 整体框架分析3 3 华南师范大学硕：卜学位论文 4 1 1 技术方面3 3 4 1 2 实时性方面3 4 4 2 实时风险评估子模块分析3 5 4 3 模拟实际环境的应用3 6 4 4 本章小结。3 8 第五章总结与展望4 0 参考文献4 1 致谢4 5 攻读硕士研究生期间发表论文情况4 6 基于隐马尔科大模型下的实时风险管理 第一章绪论 1 1 实时风险管理研究背景 国外方面，美国计算机安全机构和联邦调查局在报告中指出，2 0 0 7 年，美 国发生的信息系统安全事件总共损失约为6 6 9 3 万美元，其中造成较大攻击为金 融欺诈、病毒、外部渗透和数据被窃等。国内方面，我国计算机网络应急技术处 理协调中心指出，2 0 0 7 年网络安全调查报告显示，与2 0 0 6 年相比，主要类型的 信息系统安全事件数量均成倍增加，网络仿冒数量由5 6 3 增加至1 3 2 6 件；垃圾 邮件事件数量由5 8 7 件增加至1 1 9 7 件；网页恶意代码事件数量由3 2 0 件增加至 1 1 5 1 件。另据国家互联网应急中- 已, ( c n c e r t ) 2 0 0 8 年上半年监测的情况分析，上 半年整体安全态势平稳，但垃圾邮件、网络仿冒、网页篡改等网络安全事件较以 往均有明显增加，网络攻击带有的目的性、趋利性不断增强。木马、僵尸网络随 着网络用户和网络资源的大量增加而极具扩散性，并且呈专业化、局部化和小型 化的趋势。木马与僵尸网络的地下产业链继续扩大，以获取利益为目的的僵尸网 络、间谍软件为代表的恶意代码，以及网络仿冒、网址嫁接、网络劫持等在线身 份窃取类安全事件将会不断增加，网页篡改事件和拒绝服务攻击事件数量递增的 趋势仍将持续。i t 技术的不断革新，也伴随各种系统漏洞的大量存在和不断发 现，而攻击手段与攻击时效也在不断提高，使得网络安全问题变得更加错综复杂， 网络安全防御更加困难。应对当前存在的网络安全问题，没有一劳永逸的解决方 法。风险管理在信息安全体系建设中发挥着越来越重要的作用。 如何通过可接受的费用识别、控制、降低或消除可能影响系统的安全风险成 为越来越被人们关注的话题。 由于传统风险管理不能及时采集到系统当前数据，导致评估结果滞后，以致 采取控制措施也难以达到安全需求，所以实时风险管理已成为目前研究的一个热 点。然而对于实时风险管理的研究工作大都集中在实时风险评估研究上。通过实 时风险评估计算出当前系统风险状况，根据风险值采取相应的控制措施来处理风 华南师范人学硕七学位论文 险。本文将从整体上考察实时风险管理，提出实施实时风险管理的总体流程，通 过各模块之间的交互实现实时风险管理。目前已完成了实时风险评估子模块的详 细设计以及与其他模块之间的交互设计。 1 2 实时风险管理及实时风险评估现状 目前，对于实时风险管理的研究工作大都集中在实时风险评估研究上。通过 实时风险评估动态计算出当前系统的风险状况并采取相应的风险控制措施来处 理风险。 2 0 0 4 年，冯登国等人n 3 分析了网络安全风险评估所涉及的主要内容，包括国 内外现状、评估体系模型、评估标准、评估方法、评估过程等，探讨了国内外测 评体系，指出了目前网络安全风险评估需要解决的问题，展望了网络安全风险评 估的发展前景。 网络安全风险评估的方法主要有两类：静态风险评估和实时风险评估。静态 风险评估是指通过对目标网络的价值、安全漏洞、安全事件的发生频率等因素来 综合评价网络的风险等级。具体操作：首先分析资产、威胁、脆弱性等要素的各 自属性，接着评估安全事件发生的可能性和带来的损失，最后计算系统风险值。 目前大部分静态评估方法利用一些评估标准来评估，有代表性的是i s o f l e c 2 7 0 0 2 ( 即i s o l e c l 7 7 9 9 ) 、c c ( 最i i s o i e c l 5 4 0 8 ) 、s s e c m m 、i s o i e c l 3 3 3 5 ，国内 也制定了以信息安全风险评估指南为基础的一系列标准，比如2 0 0 6 年3 月1 4 日正式颁布了g b t 2 0 2 6 1 2 0 0 6 的国家标准，于2 0 0 8 年1 1 月1 日开始实施的国家 标准g b t2 2 0 8 0 2 0 0 8 和国家标准g b t2 2 0 81 2 0 0 8 ( 分别等同于国际标准 i s o i e c2 7 0 0 1 ：2 0 0 5 和i s o i e c2 7 0 0 2 ：2 0 0 5 ) 。这些标准和规范提出了风险评估的 详细评估模型和评估流程( 即所谓的传统风险评估) 。对标准的研究也逐渐从单 一化的技术方面向兼容管理方面转变。也可以利用一些网络安全专家( 例如 t i g e r t e a m ) 对目标网络的风险进行评估，因为这些人对系统潜在的安全漏洞具有 很强的敏感性。 但是静态风险评估还存在如下几个问题： ( 1 ) 评估过程繁琐，主观因素多，很难使评估自动化： ( 2 ) 需要较多人为参与，评估周期较长； 2 基于隐马尔科犬模型下的实时风险管理 ( 3 )由于评估结果是静态的，不能实时反映信息系统安全态势的变化，所 以对一些突发事件很难迅速地作出响应。 从而导致现阶段网络安全处于被动防御的局面。目前在国内外，实时量化 风险评估具有直观和动态的优点，但是相对也复杂得多，很多方法尚处于探索阶 段。所以在2 0 0 4 年，a s h i s h 口3 等人首次提出了实时风险管理的概念，并给出了基 于j a v ar u n t i m e 的演示平台；所谓实时风险评估就是指在约定响应时间内获取到 资产、威胁和漏洞的信息，计算出风险的变化。随后的2 0 0 5 - - 2 0 0 6 年a n d r e 等 人先后提出了基于隐式m a r k o v 模型( h m m ) 的实时风险评估模型瞳卜h 1 ，在文献 3 】所提出的基于连续时间隐式m a r k o v 的多传感器实时风险评估模型主要是基于 r a b i n e r 对h m m 的研究工作，作者不仅提出了使用状态迁移率而不是状态迁移 概率作为度量连续时间的方法，而且提出了将传感器输出的加权和作为计算风险 的方法；2 0 0 8 年，z l l i h u ah u 等人提出了基于知识框架的信息系统实时风险评 估模型5 1 ，在这篇文章里，作者在深入研究了知识模型和威胁模型的基础上，将 这两种模型相结合并用于信息系统实时风险评估。上述资料显示，实时动态风险 评估的研究工作的开展只有短短5 年的时间，国内外尚处于探索阶段，绝大多数 网络安全实时风险评估方法都是以入侵检测系统的警报和漏洞扫描等信息为观 测信息。 近几年来，f o r r e s t 等人f 6 l 、d a s g u p t a 等人【7 1 和k i m 等人【8 1 将人体免疫系统的 一些免疫机制应用到网络安全研究中，从而开辟了网络安全研究的一个新局面。 国内方面文献【9 】【1 0 】采用基于免疫的网络安全风险评估方法，这种方法能实时、定 量地评估网络安全风险。 文献 1 1 1 提出了一个基于数据融合技术的安全动态风 险评估模型，采用层次分析法和贝叶斯网络模型实现了评估的关键环节，该方法 可用于动态地调整安全控制措施的优先级。文献 1 2 】提出了一种基于危险信号的 新型实时网络安全风险评估方法，该方法能定量描述网络面临的风险，比传统基 于免疫计算的风险检测方法具有较的实时性，误警率更低。国外的最主要的研究 来源于a m e s a 等人近年来的网络实时风险评估。该方法就是将组织内部网络中 的资产映射为网络的安全状态，通过对观测信息进行实时分析，估计网络的安全 状态的一种定量分析风险的一种方法。 马煜等人【1 3 】在a r e n e s 等人研究的成果基础上将各阶段攻击时间、难度系数 华南师范大学硕士学位论文 以及状态转移概率三者之间建立起联系，从而确定出q 矩阵。而对于p 矩阵的 构造，则较为主观的将所有攻击归为三类，对于安全要求较高的现实环境不太适 用。史志才等人【1 4 j 同样采用h m m s 作为分析手段，以入侵检测系统的输出( 报警 事件) 为处理对象，建立一个描述主机系统受到攻击后状态转化的h m m s ，给出 了主机系统的风险系数的计算方法。 另外由于入侵检测方法处理高维海量数据的能力不强，文献【1 5 】 1 6 】都假设数 据量较小或者数据的维数较低，显然这样的简化与实际入侵检测环境不相符。一 旦用于现实环境，风险评估的实时性就会很难得到保证。例如w a r r e n d 等人适用 h m m 方法使用大量的数据在正常模型训练的过程中需要耗时约2 个月【l ，王伟 在其博士论文中使用改进的h m m 方法在建立正常的程序模型中仅使用近6 万条 的系统调用数据就花费了约5 0 分钟的训练时间【1 8 1 ，这显然不能满足实时风险评 估的需要。所以，文献【1 8 】提出运用n m f ( 非负矩阵分解) 的思想将实时入侵检测 分成数据预处理、n m f 数据降维与特征提取以及分类决策三个模块。张凤斌、 杨辉继【1 9 1 文献【1 8 】之后做了进一步发展。史简等人以及a m e s a 4 】均提出了 实时风险评估的系统架构，这也是本文研究的前提。实时风险评估的系统架构主 要包括两个大的模块，事件管理模块由入侵检测，报警分类组成，风险分析模块 主要包括建立随机统计模型，定量分析风险并对报警实施优先级划分，便于风险 管理。在文献 2 】【3 】【4 】【2 l 】中使用h m m s 动态地评估风险。但是离散时间的h m m s 采用的是一种周期性的采样方式，由于在一个采样周期内可能出现超过一次报警 信息或者是在一个采样周期内没有报警信息，可能造成漏用和误用。在文献 2 2 】 中开始提出使用连续时间的h m m s 对系统建模的设想，但是相关的算法却没有 更进一步地描述。在文献【2 3 】中比较详细的给出了一种连续时间隐马尔科夫参数 学习的算法来获取模型参数。并基于安全策略进行及时响应，最大限度地提高安 全防御体系的效果和效率。除此之外，很多专家学者对实时风险评估也作出了极 大的贡献，比如h a s l u m l 2 4 1 提出可以不使用离散h m m 而是使用连续h m m 来对 状态转换进行计算；g e h a n i 2 s l 提出了基于主机的实时风险评估；j o n s s o n 和 o l o v s s o n 在文献 2 6 1 1 2 7 中提出利用i d s ( i n t r u s i o nd e t e c t i o ns y s t e m ) q b 的一些实验 数据对攻击者行为进行了分析，通过考察系统的实时输入和系统的反应来对系统 的可靠性进行一定的评估；国内方面，陈秀真博士【2 8 】也通过i d s 数据实现网络 4 基于隐马尔科夫模型下的实时风险管理 安全威胁态势的定量评估。 客观地讲，目前实时风险评估的研究虽取得了一些成果，但尚处于起步阶段， 一些非常有意义的问题还有待被探讨和解决，这些问题包括：( 1 ) 如何更好的确 保实时性；( 2 ) 预言机制的应用；( 3 ) 实时风险评估在不同网络间的适应性问题。 本文主要关注实时性这一方面。 1 3 本文研究的内容 由于传统风险管理每次循环过程需要一定的周期，评估结果滞后，导致所采 取的控制措施难以保证安全需求。基于此，本文主要考察实时风险管理。在对相 关文献研究的基础上，独立设计出了一种实时风险管理框架。此框架由七个子模 块组成。并对各模块的功能以及他们之间的交互过程作了相应的设计。 在对实时风险评估子模块的设计中。考察了现阶段实时风险评估的现状，主 要包括下面几个方面：基于h m m 模型【3 0 】、基于人体免疫、基于数据融合 2 9 】 等。本文主要关注点是基于h m m 模型，由于该模型在实际应用环境中存在存储 空间过大、运算速度慢等诸多问题，导致实行性效果不好，所以本文通过加入预 处理模块的方式可以很大程度上节省存储空间并且提高实时性。 最后，本文对实时风险管理总体框架进行理论分析并给出了该框架在模拟环 境中的应用。结果表明该框架在技术上以及实时性上是合理的；所给出的在模拟 环境中的应用过程。为进一步应用于真正的现实环境提供了一定的参考价值。 1 4 技术路线与研究方法 本文针对目前传统风险管理作了多方面的研究工作，将实时性作为研究的重 点。提出了一种实时风险管理的整体框架，并对各模块的功能以及相互之间的交 互过程作了详细设计。监测模块采用的是入侵检测系统收集信息，对于其中实时 风险评估子模块的设计，采用了隐马尔科夫模型，由于该模型在实际应用环境中 存在存储空间过大、运算速度慢等诸多问题，导致实行性不是很理想，所以本文 通过加入预处理模块的方式来改进这些问题。在预处理模块中采用的是n m a p 以 及n e s s u s 扫描工具。另外通过将一天的攻击时间分成三个段，每个段分别采用 华南师范大学硕士学位论文 层次分析法来确定a l e r tl e v e l 的权值，使得得出的风险值更具合理性。最后通过 从技术角度以及实时性两个角度进行了理论分析并模拟了该框架在实际环境中 的应用，结果表明本文中所设计框架在技术上和实时性上是合理的。 1 5 本文章节安排 本文共五章，各章主要内容如下： 第一章为绪论部分，主要介绍了实时风险管理及实时风险评估的研究现状、 研究的重要性、本人所做的工作以及各章节的内容安排。 第二章主要介绍了本文所用到的实时风险评估基础知识，包括风险四要素及 其相互之间的关系、风险管理与风险评估、实时性、传感技术、扫描工具n m a p 以及n e s s u s 、h m m 模型、a h p 层次分析法以及国际标准等内容。这些概念及方 法将在后续各章节中使用。 第三章在对风险管理研究的基础之上，独立设计出一种基于隐马尔科夫模型 下实时风险管理的整体框架，此框架由七个子模块构成，分别是：监测模块、数 据标准化模块、数据库模块、实时风险评估模块、风险处理模块、规则库模块以 及扫描模块。然后我们对各模块的功能及其相互之间的交互过程做了详细的设 计。目前已完成了实时风险评估子模块的详细设计。分析结果表明本文设计的实 时风险评估子模块在与其它各子模块进行协调工作时更具有实时性，且所得到的 风险值更加合理。 第四章实时风险评估模块理论分析与应用，分别从技术方面以及实时性方面 分别对第三章提出的实时风险管理整体框架模型及其实时风险评估进行了理论 分析，结果表明本文提出的实时风险管理整体框架模型及其实时风险评估是合理 的。 第五章对本文所做的工作进行了总结，并进一步指出了下一步工作的研究重 心：对实时风险管理整体框架中其余六个子模块进行详细设计并通过实验仿真。 6 基于隐马尔科夫模型下的实时风险管理 第二章实时风险评估基础 本文主要是对该章节所提到的相关知识点进行了多方面的研究工作。包括风 险四要素及其相互之间的关系、风险管理与风险评估、实时性、传感技术、扫描 工具n m a p 以及n e s s u s 、h m m 模型、a h p 层次分析法以及国际标准等内容。这 些基本知识为本文后面章节的研究工作做了理论铺垫。 2 1 基本概念 2 1 1 风险四要素及其相互之间的关系 i s o i e ct r1 3 3 3 5 1 ：1 9 9 6 中定义的风险是：特定威胁利用某个( 些) 资产的弱 点，造成资产损失或破坏的潜在可能性。 风险四大要素包括：资产、威胁、弱点、影响( 即损失破坏) 。下面分别对 其进行简要的介绍。 1 )威胁。有两方面的含义，一般地，威胁是指对系统进行攻击、破坏或 引起损失的根源，比如：网络黑客，恶意的合法用户；而另一方面， 威胁也指系统不期望发生的后果或这样的后果引发的方式，比如：通 过系统漏洞进行非授权访问。我们把前者称为“威胁源”( t h r e a t s o u r c e ) ，后者称为“威胁幕景”( t h r e a ts c e n a r i o ) ，这两者把系统遭 受破坏潜在的根源与破坏发生的机制区分开来。 2 ) 脆弱性。指系统中易于遭受破坏、攻击的属性，常常与系统的特性或 该系统的操作环境相关联。比如：用户密码易猜出的特性构成了系统 遭受非法访问的弱点。值得注意的是，研究表明7 0 以上的攻击来 自系统内部的合法用户，这迫使我们在弱点分析时不得不考虑人为因 素。 3 )资产。风险评估的对象，宏观上的资产定义为组织内任何需要保护的 对象，包括有形资产和无形资产。在实际评估过程中看，有可能将共 7 华南师范大学硕士学位论文 同服务于特定业务功能或者具有共同属性的几个独立单位的资产看 做一个资产组( 业务、系统、区域) 4 )影响。风险发生的后果的属性( 如：效益的损失、系统的破坏、用户 的满意度等) 及其度量( 定性或定量的) 。 5 )风险。在韦氏大词典中，风险被定义为损失和受伤的可能性或这种损 失的可能程度。在计算机安全的风险分析中，风险常常被表示为使系 统失败的事件发生的概率及其后果的函数： 风险r = f c ) 其中p 是事件发生的概率；c 是事件发生的后果。 然而，此定义却难以满足计算机系统中风险不确定性的要求，因为它只考虑 系统中事件“坏”地方面，而在现实中，“好”与“坏”难于区分，事件不可穷 举，后果估计困难。因此，可给出风险较为一般性的定义：风险是系统预期后果 估计中较为不利的一面。这里“较为不利 是相对系统预期达到的目标而言的。 这也表明，风险仅表示一种观点，即要从各种可能的角度来考察、研究系统，使 系统安全的考虑更全面、决策更合理。 风险评估工作是围绕其基本要素展开的，在对这些要素的评估过程中需要充 分考虑业务战略、资产价值、安全事件、残余风险等与这些基本要素相关的各类 因素。c c 标准对于资产、弱点、威胁、风险等风险评估所涉及的要素及其关系 的描述如下图： 图2 1 风险要素关系图 资产拥有价值，信息化的程度越高，对资产的依赖度就越高，资产的价值则 8 基于隐马尔科夫模型下的实时风险管理 就越大；资产的价值越大则风险越大；风险是由威胁发起的，威胁越大则风险越 大，并可能演变成事件；威胁都要利用脆弱性，脆弱性越大则风险越大；脆弱性 使资产暴露，是未被满足的安全需求，威胁通过利用脆弱性来危害资产，从而形 成风险；资产的重要性和对风险的意识会导出安全需求；安全需求要通过安全措 施来满足，且是有成本的；安全措施可以抗击威胁，降低风险，减弱事件的影响； 风险不可能也没有必要降为零，在实施了安全措施后还会残留下来的一部分风险 来自于安全措施可能不当或无效，以后需要继续控制这部分风险，另一部分残余 风险则是在综合考虑了安全的成本与资产价值后，有意未去控制的风险，这部分 风险是可以被接受的；残余风险应受到密切的监视，因为它可能会在将来诱发新 的事件。 2 1 2 风险管理与风险评估 风险管理是识别、评估风险，并将这种风险减小到可接受的程度，并实行正 确的机制以保持这种程度的风险的过程。没有绝对安全和可靠的信息系统。每个 系统都有其脆弱性，都存在一定程度的风险。解决信息安全问题关键在于识别这 些风险，评估它们发生的可能性和带来的影响，然后采取相应的措施减少风险。 i s o i e c l 7 7 9 9 对风险评估的定义是：信息及信息处理设备的威胁、影响和弱点 以及三者发生的可能性的评估。 2 1 3 风险评估过程 9 华南师范大学硕士学位论文 2 1 4 实时性 图2 2 风险管理流程图 本文中所提的实时性主要是相对于传统风险评估中的静态性而言，在限定的 时间内动态给出系统当前的风险值并动态地对风险进行处理。与传统风险评估相 比较，评估过程不像传统风险评估那样繁琐且主观因素多，使得评估过程很难实 现自动化，进而不能实时反映系统安全态势的变化，所以对一些突发事件很难迅 速地作出响应以保障系统的安全。目前在风险评估实时研究方面主要集中在利用 传感器、扫描工具等方法上。在具体实现的环境下各有不同，大致有下面几个方 面： 1 )利用h m m 模型 2 0 0 5 2 0 0 6 年a n d r e 等人在文献文献 3 】 5 】先后提出了基于隐马 尔科夫模型的实时风险评估模型；但只是一种理论环境的应用。 马煜，刘建华等人文献 1 4 1 在a r e n e s 等人研究的成果上将各阶段攻击 时间、难度系数以及状态转移概率三者之间建立起联系构建观测矩 阵，虽然在一定程度上缩小了观测矩阵的规模，但用攻击时间的长 短决定威胁归属过于绝对，所以得出的风险值不能完全反应系统的 安全状态。 2 )利用生物学知识，比如将人体免疫系统的一些免疫机制应用与风险 评估。 文献 7 】 1 l 】中均将人体免疫系统的一些免疫机制应用到实时风 险评估，但实时性不是很理想且误警率高。 3 ) 采用层次分析法和贝叶斯网络模型，比如文献【3 1 】。 4 )利用数学方面的一些预测技术，比如：最t b - 乘法的多项式拟合算 法 3 2 】。 l o 基于隐马尔科夫模型下的实时风险管理 2 2 采用的技术 2 2 1 传感技术 记录和反应的设备或程序。有很多不同类型的传感器存在，有数据收集、过 滤和报警等功能。正确合理的配置传感器是十分必要的。比较理想的情况是，有 一个充分的检测覆盖面，而且不重叠。如果没有一个充分的检测覆盖面，就会产 生漏报。接下来，将简要介绍一下可以提供安全相关数据的传感器技术。 1 、网络嗅探器 提到网络嗅探大家都知道s n i f f e r ，s n i f f e r 是嗅探的意思，s n i f f e r 就是嗅探器 的含义了。s n i f f e r 是利用计算机的网络接口截获目的地为其它计算机的数据报文 的一种工具。嗅探器最早是为网络管理人员配备的工具，有了嗅探器网络管理员 可以随时掌握网络的实际情况，查找网络漏洞和检测网络性能，当网络性能急剧 下降的时候，可以通过嗅探器分析网络流量，找出网络阻塞的来源。 2 、入侵检测传感器 i d s 是用来检测和报告可能的攻击和恶意的网络行为。入侵检测系统按照检 测对象可以大致分为一下三类：基于主机( h i d s ) ：系统分析的数据是计算机操 作系统的事件日志、应用程序的事件日志、系统调用、端口调用和安全审计记录。 主机型入侵检测系统保护的一般是所在的主机系统。是由代理( a g e n t ) 来实现 的，代理是运行在目标主机上的小的可执行程序，它们与命令控制台( c o n s o l e ) 通信。基于网络( n i d s ) ：系统分析的数据是网络上的数据包。网络型入侵检测 系统担负着保护整个网段的任务，基于网络的入侵检测系统由遍及网络的传感器 ( s e n s o r ) 组成，传感器是一台将以太网卡置于混杂模式的计算机，用于嗅探网 络上的数据包。混合型：基于网络和基于主机的入侵检测系统都有不足之处，会 造成防御体系的不全面，综合了基于网络和基于主机的混合型入侵检测系统既可 以发现网络中的攻击信息，也可以从系统日志中发现异常情况。 3 、系统日志 在一个完整的信息系统里面，同志系统是一个非常重要的功能组成部分。它 可以记录下系统所产生的所有行为，并按照某种规范表达出来。我们可以使用日 志系统所记录的信息为系统进行排错，优化系统的性能，或者根据这些信息调整 华南师范人学硕上学位论文 系统的行为。在安全领域，日志系统的重要地位尤甚，可以说是安全审计方面最 主要的工具之一。按照系统类型进行区分的话，日志系统可以分为操作系统日志、 应用系统日志、安全系统日志等等。应用系统日志主要包括各种应用程序服务器 ( 例如w e b 服务器、f t p 服务器) 的日志系统和应用程序自身的日志系统，不 同的应用系统都具有根据其自身要求设计的日志系统。安全系统日志从狭义上讲 指信息安全方面设备或软件如防火墙系统的日志，从更广泛的意义上来说，所有 为了安全目的所产生的日志都可归入此类。对这些日志执行一些自动的检查工 作。基本检查工作一般是在日志文件中按照可能存在的安全风险进行相应的搜 索，从本质上来讲，自动化的处理是相对粗粒度的，主要起到过滤没有意义的干 扰信息，有效降低管理员工作负荷的作用。在日常监测之外，也应该每隔一段时 间对这些日志进行更细致的审查。在新漏洞出现时，针对漏洞的特征进行同志检 查，并及时的将攻击指纹更新到自动化检查脚本中。 4 、病毒检测 病毒检测是应用最广泛的安全工具。计算机病毒虽然可怕，但是只要掌握了 防治，检测与清除病毒的方法，就可以在发现病毒时，使用手工，自动或清毒软 件将其清除的。 5 、蜜罐技术 网络与信息安全技术的核心问题是对计算机系统和网络进行有效的防护。网 络安全防护涉及面很广，从技术层面上讲主要包括防火墙技术、入侵检测技术， 病毒防护技术，数据加密和认证技术等。在这些安全技术中，大多数技术都是在 攻击者对网络进行攻击时对系统进行被动的防护。而蜜罐技术可以采取主动的方 式。顾名思义，就是用特有的特征吸引攻击者，同时对攻击者的各种攻击行为进 行分析并找到有效的对付办法。美国l s p i z n e r 是一个著名的蜜罐技术专家。 他曾对蜜罐做了这样的一个定义：蜜罐是一种资源，它的价值是被攻击或攻陷。 这就意味着蜜罐是用来被探测、被攻击甚至最后被攻陷的，蜜罐不会修补任何东 西，这样就为使用者提供了额外的、有价值的信息。蜜罐不会直接提高计算机网 络安全，但是它却是其他安全策略所不可替代的一种主动防御技术。具体的来讲， 蜜罐系统最为重要的功能是对系统中所有操作和行为进行监视和记录，可以网络 安全专家通过精心的伪装，使得攻击者在进入到目标系统后仍不知道自己所有的 1 2 个实时i d s 模型，该模型由主体、对象、审计记录、轮廓特征、异常记录和活 动规则这六个部分组成。该模型独立于特定的系统平台、应用环境、系统弱点和 入侵类型，为构建入侵检测系统提供了一个通用框架。1 9 8 7 年s r i 公司计算机 科学实验室的t e r e s al u n t 等人改进了d e n n i n g 的模型，开发出一个名为入侵检 测专家系统( i n t r u s i o nd e t e c t i o ne x p e r ts y s t e m ，i d e s ) 的入侵检测系统，该系统包 括一个异常检测器和一个专家系统，分别用于统计异常模型的建立和基于规则3 征分析检查，这项研究由美国海军空间作战系统司令部支持，研究异常行为和误 用行为的关系。商业化的i d s 直到2 0 世纪8 0 年代后期才出现。入侵检测系统 的一般性定义是：入侵检测系统( i n t r u s i o nd e t e c t i o ns y s t e m ，i d s ) 是一种用来发 现外部攻击和合法用户滥用特权的一种方式，是动态安全技术中最核心的技术之 一。入侵检测系统根据用户的历史行为，基于用户的当前行为，完成对入侵的检 测，并留下证据，为数据恢复和事故处理提供依据。 入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况 下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。它 通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中 发现网络或系统中是否有违反安全策略的行为和被攻击的迹象，从而做出及时的 反应，切断网络连接、记录时间和报警，提醒安全管理员采取相应的措施，进一 步可以提供法律上的依据，避免系统受到进一步的侵害。因此，i d s 已成为任何 一个安全系统中不可或缺的最后一道防线，不仅愈来愈多地受到人们的关注，而 华南师范大学硕上学位论文 且已经开始在军事政务、金融、商业、交通、电力等行业中发挥其关键作用。 入侵检测系统的般组成和检测原理，一个入侵检测系统一般包含数据搜 集、入侵检测和入侵响应三个部分，图2 3 给出了入侵检测系统的一般组成。 图2 3 入侵检测系统组成和检测原理图 目标系统提供搜集各种类型数据的方法，这些数据包括网络流量信息、操作 系统日志及应用程序日志等。事件产生器主要与日志信息相关。一些数据的预处 理工作，如数据格式转换、数据的前期过滤也由该组件完成。日志数据存储用于 在将数据提交给分析引擎前存储它们。同时，在报警和响应中也可能用到这些数 据。分析引擎实现检测算法，可以用简单的模式匹配方法，也可以让检测系统对 目标系统行为做“正常”和“异常”的辨别，通过对各种行为分类，识别出己知 的或未知的入侵，常用的方法有：神经网络、数据挖掘、遗传算法、免疫理论及 可视化等。通常这些方法是自学习的并能够对行为模板进行升级，分析引擎可以 综合运用各种方法。检测策略组件包含了关于如何检测入侵的预置信息，比如入 侵标识门限值、异常检测的配置信息、响应的规则信息等。状态信息数据库包含 1 4 基于隐马尔科大模型下的实时风险管理 了用于检测的动态信息。分析引擎的分析信息将发送给响应单元，通过响应策略 数据库预置的规则，响应单元可以对不同的事件做出响应。在一个分布式的环境 中，响应单元可以从不同的分析引擎接收检测信息做出相应响应。响应的方式包 括报警、自动切断系统、触发反击系统、通知管理员、对系统进行重配置、甚至 可以自动使入侵检测系统改变数据搜集配置或检测策略来搜集更多的事件数据 等。 目前，主流的入侵检测技术有两大类。 ( 1 ) 误用检测( m i s u s e dd e t e c t i o n ) 。 误用检测又称为基于知识的检测或特征检测。它通过分析入侵过程的 特征、条件排列以及事件间的关系来描述入侵行为的迹象，然后按预先 定义好的入侵模式对用户活动行为进行模式匹配来检测入侵行为。该过 程可以很简单( 如通过字符串匹配以寻找一个简单的条目或指令) ，也可 以很复杂( 如利用正规的数学表达式来表示安全状态的变化) 。如果入侵 者攻击方式恰好匹配检测系统中的模式库，就能准确发现违背安全策略 的行为。 误用检测的主要检测方法包括： 专家系统：该方法是基于知识的检测中运用最多的一种方法，它是 根据安全专家对可疑行为的分析经验来形成一套推理规则，然后在 此基础上建立相应的专家系统。专家系统对已知的入侵场景和攻击 模式通过i f t h e n 的形式进行规则化编制，从而构造一个检测用的 规则库。专家系统就是利用这些规则与所需的观测值进行比较，判 断是否发生入侵，同时控制着规则的更新和删减。专家系统的建立 依赖于知识库的完备性。 状态转移分析：该方法将入侵过程看作是一个状态变迁的序列，入 侵行为使系统从初始的安全状态转变到不安全状态。状态变迁图被 用来表示每一个状态和特征事件。系统通过对特征事件序列进行分 析来判断入侵是否发生。当分析审计事件时，若根据对应的条件布 尔表达式，系统从安全状态转移到不安全的状态，则该事件标记为 入侵事件。 华南师范大学硕士学位论文 模型推理：该方法是根据入侵者在进行入侵时所