一种面向数据服务的自适应入侵响应博弈方法及其系统技术方案

本发明专利技术公开了一种面向数据服务的自适应入侵响应博弈方法及其系统，主要用于解决针对数据服务的网络攻击自适应响应问题，通过使用本发明专利技术中提出的方法搭建检测系统和用户的博弈模型判断是否存在纯策略纳什均衡，不存在则设立检测系统的混合策略，然后建立两者之间的支付函数求解出最优化一阶条件，从而导出了博弈双方最佳响应的纳什均衡值，得出最优响应策略进行响应。

【技术实现步骤摘要】
一种面向数据服务的自适应入侵响应博弈方法及其系统
本专利技术是面向数据服务的自适应入侵响应博弈方法及其系统，属于网络安全领域。
技术介绍
能源互联网是综合运用先进的电力电子技术、信息技术和智能管理技术，将大量由分布式能量采集装置、分布式能量储存装置和各种类型负载构成的新型电力网络节点互联起来，以实现能量双向流动的能量对等交换与共享网络。能源互联网是兼容传统电网的，可以充分、广泛和有效地利用分布式可再生能源的、满足用户多样化电力需求的一种新型能源体系结构。随着计算机网络的不断普及和发展，针对能源互联网入侵日益猖獗，作为一种对抗入侵的有效方法――入侵响应对保护系统安全性显得越来越重要。目前的入侵响应大都只是在入侵检测系统中实现，响应方式多为手动响应，因而响应能力受到一定限制。为了能够快速及时的响应各种入侵，人们研究了多种自动响应技术来响应入侵。自适应入侵响应就是系统在受到攻击时，可以有效评估因攻击对诸如电网的能源互联网数据服务所带来的潜在影响，然后根据损失评估和响应成本来调整响应策略。在现代入侵响应的方法中，面向数据服务的自适应入侵响应博弈方法成为了另一种针对能源互联网数据服务的网络攻击的检测方法。入侵响应主要分为主动响应和被动响应两种类型，常用的主动响应的技术有撤销TCP连接、断开网络连接、屏蔽内部异常的主机等方法。被动响应最常见的有警报和通知、隔离不信任连接技术。近年来信息和网络技术高速发展的同时，由于政治、经济、军事等方面利益的驱动，网络入侵的风险也相应增多，入侵事件已呈较快增长趋势，这就使得在能源互联网背景下研究入侵响应的方法变得十分重要。面向数据服务的自适应入侵响应就是系统在受到攻击时，可以有效评估因攻击对能源互联网数据服务所带来的潜在影响，然后根据损失评估和响应成本来调整响应策略。总体来说，传统的入侵检测技术是一种被动防御技术,不能对能源互联网中的活动进行有效监控，不具备主动防御能力，缺乏对入侵的自适应响应能力，已不能防范日益严重的网络安全威胁。相对于传统的入侵响应技术，目前有一些新理论、新方法，基于大规模网络的自适应入侵响应研究、基于成本分析的自适应入侵响应研究等，响应系统在响应时所采取的活动，在抵御系统免遭入侵者破坏的同时，对于系统的合法的用户的活动也可能带来负面影响，所导致的损失可能比真实攻击所造成的损失更大。针对这一问题，提出首先就供给对系统带来的潜在威胁以及系统进行响应的成本进行预估，然后根据损失评估和响应成本分析调整响应策略，从而达到自适应入侵响应的目的。面向数据服务的自适应入侵响应博弈方法主要需考虑三个方面的问题：(1)如何构建用户和检测系统的博弈模型。只有先构建出博弈模型，才能判断出两者之间是否存在纯策略纳什均衡，若不存在则求解混合策略的纳什均衡。(2)利用什么方法求解最佳响应的纳什均衡点，并用求解出的纳什均衡调整响应策略，减少人工干预，达到快速响应。(3)根据纳什均衡最优策略系统该如何进行响应使得攻击对能源互联网中数据服务的影响达到最低。
技术实现思路
本专利技术的目的就是提供一种面向数据服务的自适应入侵响应博弈方法及其系统，来解决针对数据服务的网络攻击的自适应响应问题，当系统在受到针对数据服务的网络攻击时可以采取损失最小的响应策略。技术方案：一种面向数据服务的自适应入侵响应博弈方法，包括以下步骤：步骤1：发现入侵攻击行为；步骤2：根据IDS响应和用户入侵造成的影响定义变量，构建博弈模型；所述变量包括：用户因入侵成功而获得的正效用、执行一次入侵响应所需成本、惩罚给入侵者带来的负效用、检测成功后对数据的恢复、成功入侵对数据带来的破坏成本和数据入侵检测系统成功响应的概率；步骤3：基于博弈模型和期望效用函数理论建立检测系统和用户的支付函数gsystem和guser：gsystem＝θ{[Hj+p(-Kd+N)γ+N(1-γ)]}(1)guser＝γ{[pRi+(1-p)(-Be)]θ+(-Be)(1-θ)}(2)式中，Be表示用户因入侵成功而获得的正效用，N表示执行一次入侵响应所需成本，Ri表示惩罚给入侵者带来的负效用，Kd表示检测成功后对数据的恢复，Hj表示成功入侵对数据带来的破坏成本，p表示数据入侵检测系统成功响应的概率，θ表示检测系统选择报警的概率，1-θ表示检测系统选择不报警的概率，γ表示用户实施入侵的概率，1-γ表示用户执行正常活动的概率；其中，Be、N、Kd、Ri＞0，Be＜Ri，N＜Kd，Kd＜Hj；0＜p≤1；步骤4：对检测系统的支付函数gsystem关于θ求偏导并令等式为零，对用户的支付函数guser关于γ求偏导并令等式为零，求得：步骤5：判断用户实施入侵的概率γ是否小于阈值γ*，若小于，则检测系统的最优选择为不报警，否则检测系统的最优选择为报警；当检测系统选择报警时，对数据服务攻击进行响应，若检测系统没有报警，则继续执行正常操作；其中，γ*的值等于进一步的，在步骤5中，对数据服务攻击进行响应，具体包括以下步骤：S1：采集数据服务中的数据，构成数据集D，将数据集D中的所有数据对象标记为未读，通过定义ε-邻域从所有数据对象中筛选得到核心对象；S2：从数据集D中取子集Di，将子集Di中的所有数据对象标记为已读，判断子集Di中的数据对象m是否为核心对象，若是，则找出数据对象m的所有密度可达数据对象，将所有密度可达数据对象标记为已读；否则将数据对象m标记为噪声数据；S3：在满足的条件下，重复S2，直至所有数据对象均被标记为已读，执行S4；S4：将每个核心对象的所有密度可达数据对象归为一类，形成一数据对象集合，当所有核心对象遍历完后，没有归为一类的剩下数据为异常数据；S5：取所有核心对象对应的所有密度可达数据的均值替代异常数据，执行正常操作，结束攻击响应。进一步的，在S1中，采用闵科夫斯基距离公式定义ε-邻域：Nε(xi)＝(xi∈D|dist(xi，xj)≤ε)(8)其中Nε(xi)表示数据对象xi的ε-邻域内所有数据对象的集合，ε表示半径参数；当数据对象xi的ε-邻域中数据对象个数大于ρ时，则称数据对象xi为核心对象，其中，ρ为最小对象参数。本专利技术还公开了一种面向数据服务的自适应入侵响应博弈系统，包括：一博弈模型生成器，用于当发现入侵攻击行为时，根据IDS响应和用户入侵造成的影响定义变量，构建博弈模型；一混合策略生成器，基于博弈模型和期望效用函数理论建立检测系统和用户的支付函数，基于支付函数求解得到博弈模型的混合策略纳什均衡点，根据混合策略纳什均衡点得到最优混合策略；一报警器，根据最优混合策略作出响应。进一步的，还包括：一数据筛选器，报警后，对数据服务中采集到的数据进行筛选，得到核心对象；一目标识别器，将所有的核心对象和其对应的密度可达数据对象进行归类，剩余的未得到归类的数据对象为异常数据；一数据恢复器，将异常数据进行剔除，用正常的不同数据类型的本文档来自技高网...

【技术保护点】
1.一种面向数据服务的自适应入侵响应博弈方法，其特征在于：包括以下步骤：/n步骤1：发现入侵攻击行为；/n步骤2：根据IDS响应和用户入侵造成的影响定义变量，构建博弈模型；所述变量包括：用户因入侵成功而获得的正效用、执行一次入侵响应所需成本、惩罚给入侵者带来的负效用、检测成功后对数据的恢复、成功入侵对数据带来的破坏成本和数据入侵检测系统成功响应的概率；/n步骤3：基于博弈模型和期望效用函数理论建立检测系统和用户的支付函数g

【技术特征摘要】
1.一种面向数据服务的自适应入侵响应博弈方法，其特征在于：包括以下步骤：
步骤1：发现入侵攻击行为；
步骤2：根据IDS响应和用户入侵造成的影响定义变量，构建博弈模型；所述变量包括：用户因入侵成功而获得的正效用、执行一次入侵响应所需成本、惩罚给入侵者带来的负效用、检测成功后对数据的恢复、成功入侵对数据带来的破坏成本和数据入侵检测系统成功响应的概率；
步骤3：基于博弈模型和期望效用函数理论建立检测系统和用户的支付函数gsystem和guser：
gsystem＝θ{[Hj+p(-Kd+N)γ+N(1-γ)]}(1)
guser＝γ{[pRi+(1-p)(-Be)]θ+(-Be)(1-θ)}(2)
式中，Be表示用户因入侵成功而获得的正效用，N表示执行一次入侵响应所需成本，Ri表示惩罚给入侵者带来的负效用，Kd表示检测成功后对数据的恢复，Hj表示成功入侵对数据带来的破坏成本，p表示数据入侵检测系统成功响应的概率，θ表示检测系统选择报警的概率，1-θ表示检测系统选择不报警的概率，γ表示用户实施入侵的概率，1-γ表示用户执行正常活动的概率；其中，Be、N、Kd、Ri＞0，Be＜Ri，N＜Kd，Kd＜Hj；0<p≤1；
步骤4：对检测系统的支付函数gsystem关于θ求偏导并令等式为零，对用户的支付函数guser关于γ求偏导并令等式为零，求得：






步骤5：判断用户实施入侵的概率γ是否小于阈值γ*，若小于，则检测系统的最优选择为不报警，否则检测系统的最优选择为报警；当检测系统选择报警时，对数据服务攻击进行响应，若检测系统没有报警，则继续执行正常操作；
其中，γ*的值等于


2.根据权利要求1所述的一种面向数据服务的自适应入侵响应博弈方法，其特征在于：在步骤5中，对数据服务攻击进行响应，具体包括以下步骤：
S1：采集数据服务中的数据，构成数据集D，将数据集D中的所有数据对象标记为未读，通过定义ε-邻域从所有数据对象中筛选得到核心对象；
S2：从数...

【专利技术属性】
技术研发人员：邓松，祝展望，张建堂，岳东，袁新雅，陈福林，蔡清媛，董霞，
申请(专利权)人：南京邮电大学，
类型：发明
国别省市：江苏;32