基于动态博弈的木马检测策略研究
摘要通过分析计算机木马检测系统木马检测的特点提出了基于不完全信息动态博弃理论的检测策略选择方法。
关键词木马检测策略动态博弈
中图分类号 TM925. 07文献标识码A文章编号 1009-914X(2015)05-0282-01
1引言
近年来随着网络应用复杂度的不断提高 网络攻击方法层出不穷。 各种网络攻击方法中木马攻击是最具危险的手段之一。一旦计算机系统被种植木马就将长期潜伏对系统的保密性、可用性造成致命伤害。 本文提出了一种在新型木马检测系统屮基于不完全信息博弈理论的计算机木马检测策略选择方法为解决准确检测木马问题提供了新的思路。
2计算机木马检测系统构成
本文成果应用的计算机木马检测系统由主机信息检测模块、 网络信息检测模块和智能决策模块三个模块组成。
主机信息检测模块对主机的文件、进程、 网络连接、加载文件等信息结合口名单检测、端口关联等检测方法按照检测策略进行检测。 网络信息检测模块基于网络协议的分析对宿主主机发出的数据包进行层层剥离准确获取数
据包信息 同时根据各种信息特征进行统计从中发掘可疑网络流量信息。智能决策模块将网络和主机获取的数据根据攻击特征进行逐项分析然后对分项结果关联形成检测结论最终显示给用户。
3木马检测与反检测博弈行为分析
3.1木马反检测的一般方法及分析
木马必须的功能包括隐蔽启动、 网络外联。木马反检测方法大体有隐藏进程、隐藏模块、隐藏网络连接、隐藏文件、隐藏服务、隐藏启动项、 穿透防火墙。
3.2木马检测的博弃行为
在木马检测过程中 自始至终存在着对抗双方检测与反检测的博弈。 木马检测系统耍制定应对不同等级木马的检测策略。从检测到的可疑程序中将这些正常程序甄别出是系统的重要工作。在计算机被种植木马的环境下检测工作是一个双方不完全信息动态博弈的过程检测系统必须逐步寻找最优策略 以达到检出目的。
3.3不完全信息动态博弃
根据随机博弈的思想检测系统的每一个部分检测的结果概括成一种“状态”。双方在该部分的收益取决于各自采用的策略。通常一个两方随机博弈用如下七元组描述S,,, Q,,,B ,其中
一般的木马检测博弈过程如下在某个检测模块工作的时刻t,博弈处于状态eSo,木马从反检测策略集中选择策略 系统从检测策略集中选择策略然
后木马得到一个收益二, 系统得到收益二 然后博弈进入第二个状态WS。
根据不完全信息动态博弈理论 当期收益不仅取决于当前状态和这种状态下木马与检测系统选择的策略还取决于双方针对对方类型所做的概率分布判断。根据随机博弈理论木马的收益应该为二( )假设此时木马对不会被检测岀的概率判断为U,根据不完全信息博弈理论,其收益为二( P),同理假设此时检测系统对木马是否判断出被检测出的概率判断为入此状态下其收益为二(,,,入)。
4基于动态博弈的木马检测策略选择
木马检测环境下针对一个特定的状态策略选择过程为
(1) 首先确定检测系统和木马的策略集
(2) 当前状态下确定针对检测系统不同的策略木马对被检出的概率u分布
(3) 根据木马实现技术水平的高低确定木马类型然后检测系统确定木马类型的概率分布v,在此基础上根据木马在当前状态下采取不同的策略下确定木马判断出被检出的概率分布入
(4) 确定木马的收益函数。为了长吋间牢固控制主机(I),木马需具备反检测手段(T),由此确定木马的线性收益函数为 =(I-T) (1-u)
(1)
(5) 确定检测系统的收益函数。检测系统的收益函数与木马反检测水平(T),检测系统获取的信息()木马判断检测系统会采取的检测方式信息()相关由此确定检测系统的线性收益函数为二(YI-T-) (1-Y) (2)
假设检测系统对木马类型的判断概率是则对n类木马系统在该状态下的收益为:
6计算纳什均衡解确定木马检测策略。要达到纳什均衡解必须满足两个条件检测系统采取的策略要实现自己的收益最人化要使木马的收益尽可能高。
成立的策略'为其最优策略其中表示确定检测系统所有策略下的最大收益 ’为选择该策略下的木马的判断概率。
对检测系统而言使得条件
成立的策略'为其最优策略其中'表示系统在木马自防护策略下的最大收益 ’为选择该策略下的系统的检出判断概率。
5示例与仿真
以主机信息检测部分为例使用简化策略进行仿真分析。
1 确定双方策略集
在主机信息检测状态下检测系统的策略集。
2 确定木马对检测系统策略类型评估的概率口分布
根据木马反检测能力的高低分为三类高级木马 中级木马和初级木马根据经验木马对检测系统策略评估正确的概率u分布如表1 。
4确定木马在当前状态下的收益
根据经验确定控制主机I值反检测T值表。
6计算纳什均衡解
木马的最优策略是根据式3及表3,检测系统的最优策略是。
6结论
木马检测策略是木马检测系统的关键之一。本文提出了一种基于不完全信息动态博弈的木马检测策略选择的方法该方法基于对抗的动态性及对抗双方信息不完全的特点把信息获取和不完全信息动态博弈有机结合示例与仿真初步验证了模型的有效性。
参考文献
[1] 闫怀志胡昌振谭惠民。 网络攻防对抗策略选择模糊矩阵博弈方法。武汉大学学报(理学版) 2004,50(S1), 103-106.
[2]Kong-wei Lyol,Jcannotto M・Wing2.Game Strategics In Network S ecurity.
[3] Drew Fudenberg,Jean Tirole.博弈论•北京 中国人民大学出版社.
Tudcloud是一家新开的主机商,提供VPS和独立服务器租用,数据中心在中国香港(VPS和独立服务器)和美国洛杉矶(独立服务器),商家VPS基于KVM架构,开设在香港机房,可以选择限制流量大带宽或者限制带宽不限流量套餐。目前提供8折优惠码,优惠后最低每月7.2美元起。虽然主机商网站为英文界面,但是支付方式仅支付宝和Stripe,可能是国人商家。下面列出部分VPS主机套餐配置信息。CPU:1cor...
Virtono是一家成立于2014年的国外VPS主机商,提供VPS和服务器租用等产品,商家支持PayPal、信用卡、支付宝等国内外付款方式,可选数据中心共7个:罗马尼亚2个,美国3个(圣何塞、达拉斯、迈阿密),英国和德国各1个。目前,商家针对美国圣何塞机房VPS提供75折优惠码,同时,下单后在LET回复订单号还能获得双倍内存的升级。下面以圣何塞为例,分享几款VPS主机配置信息。Cloud VPSC...
如今我们无论线上还是线下选择商品的时候是不是习惯问问是不是有优惠活动,如果有的话会加速购买欲望。同样的,如果我们有准备选择Vultr商家云服务器的时候,也会问问是不是有Vultr优惠码或者优惠券这类。确实,目前Vultr商家有一些时候会有针对新注册用户赠送一定的优惠券活动。那就定期抽点时间在这篇文章中专门整理最新可用Vultr优惠码和商家促销活动。不过需要令我们老用户失望的,至少近五年我们看到Vu...