一種基于連通性的網絡結構安全性分析方法
【專利摘要】本發明公開了一種基于連通性的網絡結構安全性分析方法，通過輸入需要分析的網絡拓撲圖，給出所述網絡中的網絡節點的攻擊難易度以及每個網絡節點的重要程度，重復搜索從所述的一個網絡節點到目標節點的所有路徑，對目標節點計算其歸一化后的安全系數。本發明的基于連通性的網絡結構安全性分析方法對比現有專家評估網絡結構安全性的方法，具有全面、客觀、便于在大規模復雜網絡中應用等優點。
【專利說明】
-種基于連通性的網絡結構安全性分析方法
技術領域
[0001] 本發明設及網絡安全，特別設及一種對網絡結構安全性進行分析的方法。
【背景技術】
[0002] 隨著網絡在日常生產及生活中的大量應用，網絡安全問題日益凸顯并對網絡用戶 造成很大的困擾。尤其是在例如工業控制領域運樣的特殊應用領域中，隨著工業控制自動 化進程的深入，工業控制網絡與外部互聯網或企業辦公網絡的信息交互日趨頻繁，使得工 業控制網絡不斷面臨著來自外部互聯網的惡意攻擊和內部人員的誤操作等威脅。因為早期 工控設備使用環境相對封閉，所W工業控制系統在開發時往往更重視功能的實現，而缺少 對工控網絡自身安全的關注，運也導致工業控制系統中存在不可避免的安全缺陷。
[0003] 網絡的設計是影響安全性的重要因素。如何設計相對安全的網絡是急需解決的問 題。傳統憑借專家評審的方式主觀性強，成本高，流程長，在大規模復雜網絡部署中，不具備 可比性。
【發明內容】
[0004] 為解決上述現有技術中存在的問題，本發明提出了一種基于連通性的網絡結構安 全性分析方法。 陽〇化]本發明假定攻擊者已經占領了攻擊源的每一個節點，在每個節點上，我們認為攻 擊者在此節點上的攻破概率P(attack) = 100%。由于攻擊者對于網絡拓撲圖是未知的，因 此，當攻擊每進行一步，攻擊者會掃描與當前占領節點i邏輯連通的每一個節點，除去攻擊 路徑上之前經過的節點，共有ni個節點與上一節點直接相連，攻擊者嘗試進攻每一個節點。 此時，前一個節點的P(attack)會被均勻分散到運rii個節點的攻擊中。由于攻擊方式具有 不確定性，存在大量未公開的攻擊方式，因此我們不考慮攻擊的確鑿證據及方法，我們只考 慮每個節點被攻破的難易度d，運個量反映了攻擊者在此節點上耗費的精力，時間等。d作 為一個輸入已知量，一般認為與節點的類型、系統、漏桐數量有關。攻擊者不走重復節點，攻 擊每進行一步均作檢查是否為路徑上的點。如果為新的節點，則標記為攻破，并根據運個節 點的d運個計算運個節點的P (attack)。進行深度優先捜索，直到發現節點為目標節點，貝U 記錄此路徑上結果為P(attack)i。重復上述過程W遍歷到目標結點的所有路徑捜索，對于 目標結點K，計算歸一化之后的安全系數。 陽006] 本發明所采用的技術方案如下：
[0007] 一種基于連通性的網絡結構安全性分析方法，包括W下步驟：
[0008] 步驟一：輸入需要分析的網絡的網絡拓撲圖，給出所述網絡中的網絡節點的攻擊 難易度d W及每個網絡節點的重要程度importance ;
[0009] 步驟二：根據輸入的網絡拓撲圖確定與網絡結構中的一個節點的邏輯連通的n個 節點；
[0010] 步驟根據與一個節點連通的n個節點中的任一節點的攻擊難易度d，計算該節 點的攻破概率P (attack);
[0011] 步驟四：對所述網絡進行深度優先捜索，直至發現目標節點k，則記錄此路徑上的 結果為 P (attack) i;
[0012] 步驟五：重復上述步驟一到四直至遍歷從所述的一個節點到目標節點k的所有路 徑捜索，對于目標節點k，歸一化后的安全系數為P (safety) 1。 陽013] 進一步地，步驟五中所述目標節點k的安全系數P(safety)i通過下式計算：
[0014] 其中，importancek為目標節點k的重要程度，
[0015] ni為與所述的一個節點邏輯連通的節點數量。
[0016] 進一步地，所述網絡節點包括用戶設備、保護設備W及連接設備。
[0017] 本發明所產生的有益效果在于：
[0018] 本發明基于網絡拓撲和每個設備節點信息，通過用戶定義或自動設定的攻擊界面 和評估目標，并參考網絡拓撲中保護設備的配置進而分析發現設備節點之間的連通性，通 過特定的算法評估從攻擊界面到評估目標之間的結構安全性，包括潛在攻擊的難易度、可 能的攻擊路徑數量等等。同時考慮到攻擊者的攻擊方法和設備間的相互邏輯，W及模擬通 信在防火墻的通信過程，利用客觀的計算機算法，綜合考慮所有的攻擊通過路徑，給出全 面、客觀的評估得分。對比現有專家評估評估網絡結構安全性的方法，本發明具有全面、客 觀、便于在大規模復雜網絡中應用等優點。
【附圖說明】
[0019] 圖1為使用本發明的基于連通性的網絡結構安全性分析方法進行分析的網絡結 構的連接拓撲圖；
[0020] 圖2為使用本發明的基于連通性的網絡結構安全性分析方法進行分析的網絡結 構的連通性圖；
[0021] 圖3為使用本發明的基于連通性的網絡結構安全性分析方法進行分析的網絡結 構的潛在攻擊路徑圖。
【具體實施方式】
[0022] W下W工業控制網絡為例對本發明進行詳細闡述，應當注意的是，下列實施例僅 用于對本發明進行說明而非作為對本發明的限制。本發明的基于連通性的網絡結構安全性 分析方法除了可W應用在工業控制網絡中，還可W用于任何其他的分布式網絡。
[0023] 如圖1、圖2所示的網絡連接拓撲圖化及網絡連通性圖，辦公電腦1通過路由器與 第一工作站2連通，第二工作站3與可編程邏輯控制器（PLC) 4通過路由器連通，兩個路由 器之間設置防火墻5。并且如圖2可知，第一工作站2與第二工作站3之間也是連通的。
[0024] 基于上述的網絡拓撲圖，我們可W看到網絡設備可W分為W下類別：用戶設備，包 括辦公電腦1、第一工作站2、第二工作站3、PLC4 ;保護設備，防火墻5 ;連接設備，路由器。 每個節點設備的配置表如表1所示，其中包括被攻破的難易程度d，范圍是（0, 1)，越大代表 越容易攻入；還有重要程度importance。
[00巧]表1用戶設備配置表 陽OMl
[0027] 其中防火墻5的配置的詳細通過規則如表2所示：
[0028] 表格1防火墻通過規則
[0029]
[0030] 如圖3所示，假定需要計算從辦公電腦1到攻擊目標化C4的結構安全性，根據當 前網絡的連通性，設定最長攻擊路徑為4步，如果考慮防火墻白名單設置的情況下，我們可 W分析得到如表3所示的潛在的攻擊路徑。
[0031] 表3潛在的攻擊路徑
[0032]
[0033] 由圖3的潛在網絡攻擊路徑圖也可W看出，其攻擊路徑有兩條，其中一條為實線 箭頭所示的路徑A :辦公電腦1-第二工作站3-PLC4 ;另外一條為虛線所示的路徑B :辦公電 腦1-第一工作站2-第二工作站3-PLC4。
[0034] 最終的攻擊目標被攻擊的可能性為其各個路徑總和P(attack) = 0. 182,即從辦 公電腦1發起攻擊，W給出的參數，攻擊者可能攻擊到PLC4的概率約為18. 2 %，結合PLC的 重要程度9,最終計算出其女全系數PsWety二Ln巧X 0. 1836) = 0. 22。
[0035] W上所述實施例僅表達了本發明的實施方式，其描述較為具體和詳細，但并不能 因此而理解為對本發明專利范圍的限制。應當指出的是，對于本領域的普通技術人員來說， 在不脫離本發明構思的前提下，還可W做出若干變形和改進，運些都屬于本發明的保護范 圍。因此，本發明專利的保護范圍應W所附權利要求為準。
【主權項】
1. 一種基于連通性的網絡結構安全性分析方法，其特征在于，包括W下步驟： 步驟一：輸入需要分析的網絡的網絡拓撲圖，給出所述網絡中的網絡節點的攻擊難易 度d W及每個網絡節點的重要程度importance ; 步驟二：根據輸入的網絡拓撲圖確定與網絡結構中的一個節點的邏輯連通的η個節 占 . '?、、， 步驟Ξ :根據與一個節點連通的η個節點中的任一節點的攻擊難易度d，計算該節點的 攻破概率P (attack); 步驟四：對所述網絡進行深度優先捜索，直至發現目標節點k，則記錄此路徑上的結果 為 P (attack) i; 步驟五：重復上述步驟一到四直至遍歷從所述的一個節點到目標節點k的所有路徑捜 索，對于目標節點k，歸一化后的安全系數為P (safety) 1。2. 如權利要求1所述的基于連通性的網絡結構安全性分析方法，其特征在于，綜合W 上5個步驟，所述目標節點k的安全系數P (safety) i可總結為W下公式進行計算：其中，importancek為目標節點k的重要程度，In為自然對數， 為與所述的一個節點邏輯連通的節點數量。3. 如權利要求1所述的基于連通性的網絡結構安全性分析方法，其特征在于，所述網 絡節點包括用戶設備、保護設備W及連接設備。
【文檔編號】H04L29/06GK105939306SQ201510399170
【公開日】2016年9月14日
【申請日】2015年7月8日
【發明人】孫桉, 孫一桉, 徐林
【申請人】北京匡恩網絡科技有限責任公司