應用隱藏式馬可夫模型預測網路攻擊

Abstract

網路攻擊預測能在警訊開始發生時，告知 管理者後續最可能的攻擊目標，讓管理者有較 充分的時間針對重點做防禦。這在資訊安全營 運中心（ Security Operation Center，SOC）人力 資源有限， 而又必需管理眾多網路設備，且面 對不斷發生的網路攻擊時特別重要。但是要做 到預測攻擊， 必需先克服下面兩個問題：(1)如 何從低階的攻擊警訊， 辨識攻擊者的高階意 圖？ (2)一個攻擊警訊可能對應多個高階意圖， 如何判斷哪一個最有可能是攻擊者的真正意 圖？ 過去的研究， 大多集中在關聯低階警訊 （如snort 所產生的警訊）以形成高階警訊（如 slammer 網蟲攻擊） ， 很少提供預測攻擊的功 能。為解決上述兩個問題，本論文提出一種結 合隱藏式馬可夫模型（ Hidden Markov Model, HMM）與彩色派翠網（Colored Petri Net, CPN） 模型的技術。我們以彩色派翠網來表達攻擊者 在多步驟攻擊後面的攻擊意圖，然後以隱藏式 馬可夫模型來預測最有可能的攻擊意圖。論文 中除介紹我們的方法外，也將介紹我們的系統 雛形， 實驗方法和實驗結果。我們的實驗結果 顯示， 隨著新的攻擊警訊不斷出現，隱藏式馬 可夫模型可以更新攻擊者的攻擊意圖，讓網路 管理者可以針對最新的攻擊威脅預作處理。