基于强化学习的蜜网主动防御系统的设计与实现

• 作 者: 苏雪
• 机 构: 北京邮电大学
• 出 处: 北京邮电大学
• 发表日期: 2021年01期
• 关键词: 蜜罐 蜜网 强化学习 可信度推理 主动防御

在互联网快速发展的同时,网络安全问题变得日益严峻,诸如防火墙、入侵检测系统等传统的安全防御机制已很难应对高隐蔽、持续性以及智能化的新型网络威胁。而蜜罐和蜜网等主动防御技术发挥着越来越重要的作用。然而,现有的蜜罐蜜网防护体系主要采用静态部署的方式,难以随着攻击手段的变化而动态响应,很容易被经验丰富的攻击者识别并绕过。随着人工智能的发展,强化学习、博弈论、案例推理等相关技术在智能决策、动态交互、反识别等方面具有良好的表现,因此将人工智能技术与蜜网技术相结合成为当前主动欺骗防御领域的研究热点。本文重点研究基于强化学习的蜜网主动防御技术,主要工作如下:（1）对于不同攻击的分类响应,本文提出了一种基于可信度推理的攻击连接分类机制。本文将攻击连接分为两类,自动化攻击和人为攻击。首先,根据攻击连接的特性建立不同结论的推理知识库,然后评估知识库中每条知识的可信度和信任增长度。鉴于基于可信度的不确定性推理在模糊信息处理上的优势,本文基于建立的推理知识库,通过组合证据的不确定性算法计算不同结论的总体联合可信度。最后根据比较可信度值的大小,得到攻击连接分类结果。（2）本文设计并提出了一种基于Q-learning算法的自适应蜜罐模型。本文首先基于马尔可夫决策过程对自适应蜜罐响应攻击的过程进行建模,将攻击者的命令集以及蜜罐采取的响应动作集分别映射到蜜罐模型的状态空间和动作空间,并设计了一种能够最大程度收集自动化攻击命令的奖励函数。在此基础上,自适应蜜罐通过与攻击者交互进行学习,生成使得攻击者暴露更多有价值的攻击数据的最佳交互策略。（3）本文设计了基于分阶段响应式蜜网架构,在此基础上实现了基于强化学习的蜜网主动防御系统。系统由静态请求响应模块、攻击连接分类模块、攻击行为捕获模块和日志管理模块组成。最后,对蜜网主动防御系统进行了测试,证明系统的可用性及优越性。实验证明,本系统能够分阶段对网络攻击进行响应,对当前网络环境进行模拟、控制攻击者流量、监控和记录攻击者扫描、探测、攻击蜜网的行为并对蜜网日志进行有效展示。本文提出的自适应蜜罐相较于传统中交互蜜罐能够捕获命令总数高达3倍的攻击命令,对比于其他应用了强化学习的蜜罐,其在学习过程中能够以更快的的速度收敛,在第150次攻击学习后呈现出收敛趋势并且蜜罐的响应行为具备明确的优先级,证明了本文提出的自适应蜜罐的优越性。