胡 晴 吕世超 石志强 孙利民 肖 亮

1(中国科学院大学网络空间安全学院 北京 100049) 2(物联网信息安全技术北京市重点实验室(中国科学院信息工程研究所) 北京 100093) 3(厦门大学通信工程系 福建厦门 361005) (huqing@iie．ac．cn)

2017-06-10；

2017-08-01

国家重点研发计划项目(2016YFB0800202)；国防基础科研计划项目(JCKY2016602B001)；国家自然科学基金项目(U1636120，61671396)；北京市科委科技计划专项项目(Z161100002616032)；CCF启明星辰鸿雁基金项目(2016-010) This work was supported by the National Key Research and Development Program of China (2016YFB0800202), the National Defense Basic Scientific Research Program of China (JCKY2016602B001), the National Natural Science Foundation of China (U1636120, 61671396), Beijing Municipal Science and Technology Commission Program (Z161100002616032), and the CCF-Venustech Hongyan Research Initiative (2016-010).

石志强(shizhiqiang@iie.ac.cn)

基于专家系统的高级持续性威胁云端检测博弈

胡 晴1,2吕世超1,2石志强1,2孙利民1,2肖 亮3

1(中国科学院大学网络空间安全学院 北京 100049)2(物联网信息安全技术北京市重点实验室(中国科学院信息工程研究所) 北京 100093)3(厦门大学通信工程系 福建厦门 361005) (huqing@iie．ac．cn)

云计算系统是高级持续性威胁(advanced persistent threats, APT)的重要攻击目标.自动化的APT检测器很难准确发现APT攻击，用专家系统对可疑行为进行二次检测可以减少检测错误.但是专家系统完成二次检测需要花费一段额外的时间，可能导致防御响应延迟，而且专家系统本身也会产生误判.在综合考虑APT检测器和专家系统的虚警率和漏报率的基础上，用博弈论方法讨论在云计算系统的APT检测和防御中，利用专家系统进行二次检测的必要性.设计了一个基于专家系统的APT检测方案，并提出一个ES -APT检测博弈模型，推导其纳什均衡，据此研究了专家系统对云计算系统安全性能的改善作用.此外，当无法获得APT攻击模型时，提出了一种利用强化学习算法获取最优防御策略的方案.仿真结果表明：基于WoLF-PHC算法的动态ES -APT检测方案较之其他对照方案能够提高防御者的效用和云计算系统的安全性.