网络安全主动防御技术 策略、方法和挑战

微信扫码，打开到小程序

网络安全主动防御技术:策略、方法和挑战 扈红超, 隋嘉祺, 张帅, 仝玉 引用本文 扈红超, 隋嘉祺, 张帅, 仝玉. 网络安全主动防御技术:策略、方法和挑战[J]. 计算机科学, 2024, 51(11A): 231100132-13. HU Hongchao, SUI Jiaqi, ZHANG Shuai, TONG Yu. Proactive Defense Technology in Cyber Security:Strategies,Methods and Challenges [J]. Computer Science, 2024, 51(11A): 231100132-13. 相似文章推荐（请使用火狐或 IE 浏览器查看文章） Similar articles recommended (Please use Firefox or IE to view the article) 拟态防御中基于ANP-BP的执行体异构性量化方法 ANP-BP Based Executive Heterogeneity Quantification Method in Mimicry Defense 计算机科学, 2024, 51(11A): 231000005-6. https://doi.org/10.11896/jsjkx.231000005 基于深度学习的个性化学习资源推荐综述 Survey on Deep Learning-based Personalized Learning Resource Recommendation 计算机科学, 2024, 51(10): 17-32. https://doi.org/10.11896/jsjkx.240400088 面向容器运行时安全威胁的N变体架构 N-variant Architecture for Container Runtime Security Threats 计算机科学, 2024, 51(6): 399-408. https://doi.org/10.11896/jsjkx.230200099 SGPot:一种基于强化学习的智能电网蜜罐框架 SGPot:A Reinforcement Learning-based Honeypot Framework for Smart Grid 计算机科学, 2024, 51(2): 359-370. https://doi.org/10.11896/jsjkx.221100187 基于拟态防御的VPN流量劫持防御技术 VPN Traffic Hijacking Defense Technology Based on Mimic Defense 计算机科学, 2023, 50(11): 340-347. https://doi.org/10.11896/jsjkx.221000091 http://www． jsjkx．com DOI:１０．１１８９６/jsjkx．２３１１００１３２ 基金项目:国家自然科学基金(６２０７２４６７,６２００２３８３);国家重点研发计划(２０２１YFB１００６２００);河南省重大科技专项(２２１１００２１１２００) ThisworkwassupportedbytheNationalNaturalScienceFoundationofChina(６２０７２４６７,６２００２３８３),NationalKeyResearchandDevelopment ProgramofChina(２０２１YFB１００６２００)andMajorScienceandTechnologyProjectofHenanProvinceinChina(２２１１００２１１２００)． 通信作者:隋嘉祺(bearsui５＠１６３．com) 网络安全主动防御技术:策略、方法和挑战 扈红超 隋嘉祺 张 帅 仝 玉 信息工程大学信息技术研究所 郑州４５０００１ (hhc＠ndsc．com．cn) 摘 要 随着人工智能、云计算、大数据和物联网等新兴技术的迅速发展,网络安全形势变得日益严峻.然而,传统防御手段 (如病毒查杀、漏洞扫描、入侵检测、身份认证、访问控制等)已无法有效抵御日益多样化的网络攻击,网络空间的防御与攻击之 间出现了明显的不对称.为了扭转这种“易攻难守”的被动局面,学术界积极推动研发主动防御技术.其中,移动目标防御、欺 骗防御和拟态防御３种技术发展迅速并日趋成熟.然而,目前很少有相关文献系统地归纳３种主流主动防御技术,也没有对３ 种技术进行横向对比和优劣分析.为了弥补这一空缺,对３种主动防御技术的研究成果进行了全面而系统的调查.首先,分别 介绍了３种主动防御技术的概念、策略和方法,并根据研究内容的不同,对已有的研究成果进行分类.然后,对３种主动防御技 术进行横向对比,分析它们之间的异同和优劣,并探讨如何将它们相互结合和补充,以增强主动防御技术的防护性能.最后,对 ３种主动防御技术面临的挑战和未来的发展趋势进行阐述. 关键词:主动防御;动态防御;移动目标防御;欺骗防御;拟态防御 中图分类号 TP３９３ ProactiveDefenseTechnologyinCyberSecurity:Strategies,MethodsandChallenges HU Hongchao,SUIJiaqi,ZHANGShuaiandTONG Yu InstituteofInformationTechnology,UniversityofInformationEngineering,Zhengzhou４５０００１,China Abstract Emergingtechnologieslikeartificialintelligence(AI),cloudcomputing,bigdata,andtheInternetofThings(IoT)are developingquickly,makingcybersecurityavitalissue．Thereisaclearasymmetrybetweencyberspacedefenseandattack,asthe moresophisticatedcyberattacksarebeyondthereachofconventionaldefensestrategieslikeintrusiondetection,vulnerability scanning,virusdetection,authentication,accesscontrol,etc．Tocounteractthisstateofpassivevulnerability－whichis“easyto attackbuthardtodefend”－academicshavebeenactivelypushingthestudyandcreationofproactivedefensetechnologies．Three suchtechnologies—movingtargetdefense,deceptiondefense,andmimicdefense－arematuringanddevelopingquickly．UnfortuＧ nately,thereiscurrentlyadearthofliteraturethatsystematicallysummarizesthethreeproactivedefensivemainstreamtechnoloＧ gies;additionally,thereisnoanalysisoftheadvantagesanddisadvantagesofthethreetechnologies,norahorizontalcomparison． Thisworkfillsthisvacuumbyconductingathoroughandmethodicalevaluationoftheresearchfindingsaboutthethreeproactive defensivestrategies．Initially,theconcepts,techniques,andmethodsofthethreeproactivedefensivetechnologiesarepresentedin theirrespectiveorders,andthecurrentresearchfindingsareclassifiedbasedonthevariousstudytopics．Subsequently,ahorizonＧ talcomparisonofthethreeproactivedefensesystemsisconductedtoexaminetheirsharedanduniquecharacteristics,benefitsand drawbacks,andpotentialsynergiesandcomplementaritiesthatcouldimprovetheoverallprotectionefficacyofthesetechnologies． Lastly,thethreeproactivedefensivetechnologies’difficultiesandpotentialdirectionsarediscussed． Keywords Proactivedefense,Dynamicdefense,Movingtargetdefense,Deceptiondefense,Mimicdefense １ 引言 随着人工智能、云计算、大数据和物联网等新兴技术的不 断发展,信息资源在人们的日常生活和电力、交通、能源、航天 等国家战略领域发挥着越来越重要的作用,深刻影响着当前 的生产和生活方式.然而,随着互联网的普及,安全威胁不断 增加,各种安全事件频繁发生,网络安全面临着严峻的挑战. 尽管各个 国 家 和 组 织 都 在 积 极 采 取 措 施 来 应 对 网 络 安 全 事件,但传统防御手段 (如 病 毒 查 杀 、漏 洞 扫 描 、入 侵 检 测 、 身 份 认 证 、访 问 控 制 等 )在 面 对 日 益 多 样 化 的 攻 击 时 只 能 提供 有 限 的 防 护 .这 些 传 统 方 法 无 法 解 决 攻 击 面 广 泛 、未 知 攻 击 繁 多 以 及 人 为 因 素 复 杂 等 问 题 ,这 导 致 防 御 者 常 常 陷入 被 动 、劣 势 的 局 面 ,无 法 有 效 应 对 当 前 存 在 的 网 络 安 全 问 题 [１]. 为了扭转网络空间“易攻难守”的被动局面,创新防御机 制,学术界积极推动研发主动防御技术.２０１１年１２月,美国 ２３１１００１３２Ｇ１ 国家科学技术委员会 NITRD 提出了“改变 游 戏 规 则 ”的 革 命 性 技 术 :移 动 目 标 防 御 (MovingTargetDefence,MTD); ２０１３年 ,国 内 的 邬 江 兴 院 士 提 出 拟 态 防 御 的 思 想 ;同 时 , 以 静 态 蜜 罐 演 化 而 来 的 欺 骗 防 御 技 术 也 在 朝 着 动 态 、主 动 的方 向 发 展 .目 前 ,以 移 动 目 标 防 御 、欺 骗 防 御 、拟 态 防 御 为 代 表 的 主 动 防 御 技 术 发 展 迅 速 并 日 趋 成 熟 ,在 产 出 大 量 科 研 成 果 的 同 时 ,广 泛 应 用 于 云 环 境 、区 块 链 、智 能 电 网 等 科 学 、工 业 领 域 . 现有的主动防御相关综述主要介绍了一种技术的策略或 方法,同时也对３种技术进行了一定程度的比较:文献[２]中 提出欺骗防御是移动目标防御的一部分;文献[３]在对欺骗防 御分类时,将移动目标防御当成欺骗防御的一部分;文献[４] 中则提出移动目标防御系统可以看作拟态防御系统的一个特 例,它通过一些拟态变换使系统具有动态性特征,但是并没有 应用异构冗余架构;文献[５]中也表达了相似的看法,即拟态 防御思想是将移动目标防御的思想与异构冗余执行体相结合 的产物.从上述研究中的观点可以看出,尽管３种主动防御 技术之间没有明确定义的从属关系,但它们之间却有着紧密 的联系. 现阶段,有关主动防御方面的综述性文章大多是针对单 种技术的,如文献[２,６Ｇ１１]是移动目标防御方面的综述,文献 [３,１２Ｇ２１]是欺骗防御方面的综述,文献[４Ｇ５,２２Ｇ２７]是拟态防 御方面的综述.很少有文章对 ３种主动防御 技 术 进 行 系 统 的 归 纳 总 结 ,所 以 本 文 试 图 弥 补 这 一 空 缺 . 首 先 ,分 别 介 绍了 ３种主动防 御 技 术 的 的 概 念、策 略 和 方 法,并 根 据 研 究 内容的不同,对已有的研究成果进行分类.然后,对３种主动 防御技术进行横向对比,分析它们之间的异同和优劣,并探讨 如何将它们相互结合和补充,以增强主动防御技术的防护性 能.最后,对３种主动防御技术面临的挑战和未来的发展趋 势进行阐述. 本文第２章介绍了移动目标防御技术的概念、策略和方 法,并对其技术 进 行 分 类;第 ３章 介 绍 了 欺 骗 防 御 技 术 的 概 念、策略和方法,并对其技术进行分类;第４章介绍了拟态防 御技术的概念、策 略 和 方 法,并 对 DHR 架 构 进 行 详 述;第 ５ 章对３种主动防御技术进行横向对比、结合互补;第６章分析 了３种主动防御技术面临的挑战和未来发展趋势;最后总结 全文工作. ２ 移动目标防御 ２．１ 移动目标防御概述 ２．１．１ 移动目标防御的定义 移动目标防御(MovingTargetDefence,MTD)是一种通 过制定多样化、动态性的防御策略,持续性主动或被动地进行 攻击面转换的主动防御机制. １)攻击面(AttackSurface)指 可 以 被 攻 击 者 利 用 来 进 行 信息探测、资源 窃 取、系 统 破 坏 等 攻 击 行 为 的 系 统 资 源 的 集 合.时刻t的系统攻击面记为As( t)＝{p１,p２,􀆺,pn},其中 pi是t时刻某一攻击面的参数,如可以被攻击者利用的IP地 址、端口号等系统资源. ２)攻击面转换指改变系统某一时刻的一个或多个攻击面 参数,或改变某一攻击面参数在原攻击面的作用力大小. 部署移动目标防御的目的是使攻击者在一段时间内无法 有效探测、收集信息或实施攻击行为,进而增加系统弹性,提 高系统的主动防护水平[６Ｇ８]. ２．１．２ 部署移动目标防御需要考虑的因素 １)确定需要保护的关键目标,并确定移动目标防御在网 络中的部署位置,以提供更全面的保护; ２)需要在系统安全和性能之间进行平衡,同时考虑系统 复杂性、资源需求和管理成本等因素[１０]; ３)需要定期评估 MTD 策略的有效性,并 及 时 更 新 防 御 机制和策略,以适应不断变化的威胁环境; ４)攻击者 可 能 会 采 用 高 级 手 段 来 攻 克 MTD 的 防 御 策 略,因此 MTD 应该与其他防御机制结合 使 用,形 成 多 层 次、 综合性的安全防护体系. ２．２ 移动目标防御的分类 现有的移动目标防御技术的研究,可以根据攻击面参数 种类(what)、攻击面转换策略(how)、攻击面转换周期(when) 和攻击面转换目的(prevention)等不同方式来进行分类. 由于不同分类方法存在一定的重叠,本文主要从 what和 how 两种分类方式对移动目标防御技术进行阐述. ２．２．１ 基于攻击面参数种类的分类 按移动目标防御中攻击面参数位于系统的不同层次,可 将其 分 为 网 络 层 MTD、数 据 层 MTD、系 统 层 MTD,如 图 １ 所示. 图１ 基于攻击面参数种类的 MTD技术分类 Fig．１ ClassificationofMTDtechniquesbasedonattacksurface parameters １)网络层 (１)IP地址跳变指在传统网络或 SDN 网络中,通过周期 性或随机性地跳变IPv４或IPv６地址来达到隐藏目标系统IP 地址信息的目的. Gudla等通过 SDN 控制器给主机分配短暂的虚拟IP地 址,采用离散的时间间隔进行虚拟IP跳变,同时建立真实IP 地址和虚拟IP地址的映射,优化了IP 地址跳变带来的网络 不稳定和 地 址 空 间 不 足 等 问 题[２８].Groat等 提 出 一 个 基 于 IPv６地址跳变的移动目标防御系统(MT６D),由主机的 EUIＧ ６４IID、共享会话密钥和时间戳３部分生成的哈希值,与主机 子网拼接成动态跳变的IPv６地址,利用IPv６巨大的地址空 间发挥地址跳变的优势[２９]. (２)端口跳变指周期性或随机性地跳变目标系统的服务 端口来缓解针对服务的攻击. Navas等设计了一种 UDP单端口跳变技术,通过输入的 ２３１１００１３２Ｇ２ ComputerScience 计算机科学 Vol．５１,No．１１A,Nov．２０２４ 静态参数p 与伪随机二进制 密 钥 流 异 或 得 到 要 跳 变 的 端 口 号,有效地减轻了一些物联网环境下的网络攻击[３０]. (３)混合端信息跳变 指 同 时 进 行IP 地 址 和 MAC 地 址、 IP地址和端口号等混合端信息的跳变,对 网 络 嗅 探、网 络 渗 透等攻击起到很好的防护作用. MacFarland等通过 SDN 控制器对 DNS查询进行修改, 将虚拟IP、MAC地址与其真实地址的映射关系构成 NAT 转 换表,客户端 和 服 务 器 端 使 用 虚 拟IP 和 MAC 地 址 建 立 连 接,防止传输过程中的信息泄露[３１].Luo等根据源标识(srＧ cID)、服务标识(svcID)和时间进行不同模式下端口和地址的 跳变,并由跳转网关执行真实到虚拟地址的转换,有效地抵御 了扫描攻击和蠕虫病毒等网络攻击[３２]. (４)路由跳变指通过更改路由表项或控制 SDN 流表等方 式,改变链路路由或路径参数,有效地缓解了链路洪泛攻击等 问题. Aydeger等 通 过 ICMP 监 控 模 块 探 查 网 络 中 存 在 大 量 traceroute操作的潜在攻击链路,然后查找包含该链路源主机 和目的主机的其他链路,进行随机路由跳变,有效地缓解了链 路洪泛攻击,减少了拥塞链路的问题[３３].Zhang根据多种路 由跳变约束选取符合条件的备选路径,通过路径权重值随机 选取当前跳变路径,同时提出流表预下发策略,保证在路径切 换过程中通信不中断,减小了路由跳变带来的时间开销[３４]. (５)网络拓扑跳变指周期性主动或被动地更改网络拓扑, 使攻击者收集到的拓扑信息失效,进而一定程度上抵御了网 络嗅探等攻击. Rawski提出的拓扑跳变策略,可以从预先计算好的配置 中根据网络状态的安全等级周期性地选择变化,也可以由捕 获的网络 异 常 事 件 触 发 拓 扑 跳 变[３５].Bai等 结 合 真 实 主 机 IP、操作系统类型等信息和添加的虚假主机构造虚假网络拓 扑,从跳变池中选择虚假网