孙澄，胡浩，杨英杰，张红旗

融合宏观与微观的双层威胁分析模型

孙澄，胡浩，杨英杰，张红旗

（信息工程大学，河南 郑州 450001）

针对现有威胁分析模型无法兼顾高级安全威胁的宏观发展趋势及微观传播路径的问题，建立了一种双层威胁分析模型TL-TAM。模型上层刻画严重程度由低到高的威胁发展趋势，下层融合技术漏洞攻击、社会工程攻击及网络扫描攻击，刻画威胁传播路径。据此，提出了威胁预测分析算法。实验结果表明，模型能够对威胁传播进行多层面综合分析，并且克服了基于攻击图的威胁分析模型局限于技术漏洞攻击的缺陷，更加适用于高级安全威胁的动态跟踪分析。

双层模型；传播路径；社会工程；网络扫描

1 引言

作为应对网络安全威胁的有效手段，动态威胁分析技术是近年来网络安全领域的研究重点，而针对APT等高级安全威胁的跟踪分析既是当前的研究热点，也是难点所在。威胁的动态跟踪分析需以威胁分析模型为基础，实时融合多源告警信息进行攻击级联，实现威胁的感知[1]及跟踪，从而为防御决策的制定提供依据[2]。因此，提高模型刻画威胁发展传播过程的性能是提升威胁分析质量的关键。而高级安全威胁不仅在微观行为层面综合利用社会工程等手段，形成了复杂的传播路径，而且在宏观发展趋势上通过多阶段攻击逐步达成攻击目的，体现出明显的阶段递进特征，因此，要实现对高级安全威胁的动态跟踪分析，需要建立能够兼顾宏观、微观两个层面威胁传播特征的威胁分析模型，提高模型分析的全面性。……