王硕，汤光明，寇广,2，宋海涛

（1. 解放军信息工程大学，河南 郑州 450001；2. 信息保障技术重点实验室，北京 100072）

基于因果知识网络的攻击路径预测方法

王硕1，汤光明1，寇广1,2，宋海涛1

（1. 解放军信息工程大学，河南 郑州 450001；2. 信息保障技术重点实验室，北京 100072）

针对现有攻击路径预测方法无法准确反映攻击者攻击能力对后续攻击路径的影响，提出了基于因果知识网络的攻击路径预测方法。借助因果知识网络，首先通过告警映射识别已发生的攻击行为；然后分析推断攻击者能力等级，进而根据攻击者能力等级动态调整概率知识分布；最后利用改进的Dijkstra算法计算出最有可能的攻击路径。实验结果表明，该方法符合网络对抗实际环境，且能提高攻击路径预测的准确度。

攻击路径预测；因果知识网络；攻击者能力；概率知识分布；Dijkstra算法

1 引言

随着网络攻击技术的不断发展，多步性成为目前网络攻击行为的主要特点之一。攻击行为的多步性是指攻击者利用目标网络中的一些漏洞，通过实施蓄意的多步骤攻击行为来达到最终的攻击目的。具有多步性的攻击行为简称为多步攻击，它给政府、企业乃至个人带来了巨大的威胁，如Zeus僵尸网络通过扫描探测、溢出攻击、感染目标主机、病毒传播和窃取用户信息这 5个攻击步骤使数以万计的网民遭受了无法挽回的经济损失[1]。目前，威胁极大的APT攻击也属多步攻击范畴。多步攻击威胁受到广泛的关注，防护多步攻击刻不容缓。……