网络攻击图逆向深度优先生成算法

发布时间：2019-09-10 20:43

【摘要】：大规模网络节点数量多,连接关系复杂,现有攻击图生成方法存在节点爆炸问题,针对大规模网络的这种特点,提出了一种逆向深度优先攻击图生成算法。首先对攻击图的相关概念进行了简要介绍,并分析了逆向生成算法流程。然后,鉴于生成攻击图过程中要对网络可达性进行测试,因此,同时提出了基于区间树的规则匹配算法,最后,对攻击图生成算法进行了实际环境测试,并对测试结果进行了验证分析。实验结果表明,该攻击图生成算法能以O(lgn)的时间复杂度高效检测网络可达性,优化网络攻击图生成结果。
【图文】：

示意图,规则树,点结构,示意图

系统底层的内存操作和容器类模板库。在匹配计算中需要定位link参数的规则区间，实际上也是查找的过程。规则匹配算法的核心数据结构是红黑树，只是对具体的存储节点内容做了扩展，因此其查找时间复杂度和红黑树一样，也是O(lgn)。树上的每个节点的key是规则区间端点值，value_field包括key对应的区间S，左右子树对应的区间LS、RS（S=LS+RS），以及包含该节点区间S的raw_rule组成的规则集rule_se（tLS、RS也有对应的rule_set_L和rule_set_R，子节点的rule_set和父节点的rule_set_L或者rule_set_R相同），节点结构关系如图1所示。每个规则条目包含5个元素srcip、srcport、dstip、dst-port、protocol，每个元素对应一个区间范围或者单个实数，以元素i在RAW-SET中端点的集合建立规则树R-TREEi，最终建立5个规则树R-TREEi(1≤i≤5)，对每个连接数据依次查找R-TREEi，最终输出该连接数据符合的规则条目组，如果没有符合的规则条目则认为网络不可达。规则树建立算法如图2（a）所示，具体步骤如下：（1）遍历规则条目，以规则端点为键（key）建立规则树R-TREE，R-TREE的建立算法和红黑树一致，这时的R-TREE节点中只有键（key）被赋值，节点取值value_field为空。图1规则树节点结构关系示意图S:(A50,A100)rule_set1LS:(A50,key1)rule_set_L1RS:(key1,A100)rule_set_R1key1key2S:(A50,key1)rule_set_L1LS:(A50,key2)rule_set_L2RS:(key2,key1)rule_set_R2key3RS:(key3,A100)rule_set_R3S:(key1,A100)rule_set_R1LS:(key1,key3)rule_set_L3134

拓扑图,实验环境,拓扑图,网段

2017，53（3）ComputerEngineeringandApplications计算机工程与应用192.168.0.2192.168.0.1eth0FW0FW1FW2eth1192.168.1.1192.168.1.2eth2192.168.2.3192.168.2.2192.168.2.1图3实验环境拓扑图防火墙端口过滤规则如表2所示。路由器ACL配置为0网段和1、2网段之间只允许192.168.0.1和192.168.1.1、192.168.2.1通信，1和2网段之间可以进行自由ip通信。经过攻击图生成和规则匹配，得到网络攻击图如图4所示。由于MAX_HOP初始化为3，而且成功率阈值为50%，所以攻击图的最大跳数限制在了3跳。如果将MAX_HOP初始化为4，，并将成功率阈值降低为40%，由于网段2内部的192.168.2.2主机存在RPC漏洞，攻击图将新增一跳从192.168.2.3到192.168.2.2的攻击路径。如果进一步放开FW1和FW2的限制，打通网段1和网段2之间的FTP通信，由于网段2中的192.168.2.3主机上的coreftpLE软件存在CVE-2014-4643漏洞，远程FTP服务器端的攻击者可以借助长字符串利用该漏洞执行任意代码，192.168.1.1服务器上的ftp服务端正好可以利用此漏洞发动攻击，攻击图将再增一跳从192.168.1.1到192.168.2.3的攻击路径（如图5所示）。此时两条最长攻击路径的累积成功率都是46.08%，符合成功率阈值限制。5结束语本文提出的基于逆向深度优先的网络攻击图生成算法通过约束攻击路径长度和攻击成功概率的方式有效减小了攻击图规模，提高了计算效率，而且提出了基图4攻击图生成结果表2防火墙过滤规则表防火墙编号FW1FW2FW3srcipanyanyanydstipanyanyanysrcportanyanyanydstportany除21以外除21以外136
【作者单位】：中国电子科技集团公司第二十八研究所第一研究部;
【分类号】：TP393.08

【相似文献】