Article ID : 202007118315 Visit : 8825 Page: 47 - 60

Article Type: Original Research

Subject Areas : General

امین نظارات ¹
مهدی رجا ²
Gholamhossein Dastghaibyfard ³

Received: 2013-10-23 Accepted : 2013-10-23 Published : 2017-12-11

Keywords:

Abstract :

References:

1. C. Symantec, “Symantec Corporation,” 10 08 2013. . Available: http://www.symantec.com/index.jsp.
2. P. H. V. L. R. J. Z. H. M. Mel, “An Overview of Issues in Testing Intrusion Detection Systems,” NIST, Gaithersburg, MD, 2002.
3. A. D. V. M. R. D. Keromytis, "SOS: An architecture for mitigating DDoS attacks," IEEE Communications, vol. 22, p. 176–188., 2004.
4. G. V. S. Suryawanshi, “Mobile Agent for Distributed Intrusion detection System in Distributed System,” International Journal of Artificial Intelligence and Computational Research (IJAICR.), p. , 2010.
5. M. A. M. S. M. A. K. &. M. R. M. I. Kamaruzaman Maskat, “Mobile Agents in Intrusion Detection System: Review and Analysis,” Modern Applied Science, جلد 5, شماره 6, pp. 218-231, Dec 2011.
6. R. B. a. P. Mell, “Intrusion detection systems,” 2012 . Available: http://www.snort.org/docs/nistids.pdf.
7. S. E. Schechter, "Computer Security Strength and Risk: A Quantitative Approach," PhD Thesis, Harvard University, 2004.
8. S. E. Schechter, “Toward econometric models of the security risk from remote attacks,” IEEE Security & Privacy, جلد 3, شماره 1, p. 40–44, 2005.

9. D. S. P. J. M. R. K. G. Shaw, “Inside the minds of the insider,” Security Management, جلد 43, p. 34–44., 1999.
10. T. B. T. Alpcan, “A game theoretic approach to decision and analysis in network intrusion detection,” IEEE Conference on Decision and Control, p. 2595–2600, 2003.
11. C.-K. W. Yi-Ming Chen, “A Game Theoretic Framework for Multi-agent Deployment in Intrusion Detection Systems,” Security Informatics, Annals of Information Systems, pp. 117-133, 2010.
12. D. R. B. Mishra, “Cost sharing in a job scheduling problem using the Shapley value,” 2005.
13. P. Z. Liu, “Incentive-basedmodeling and inference of attacker intent, objectives and strategies,” ACM Transactions on Information and System Security, جلد 8, p. 78–118., 2005.
14. A. S. S. Dixit, “Games of Strategy,” 2001. .
15. R. D. M. A. M. a. T. T. L. McKelvey, “Gambit: Software Tools for Game Theory,,” 2007. . Available: http://econweb.tamu.edu/gambit.
16. GAMBIT, “GAMBIT,” 7 2013. . Available: http://www.gambit-project.org/.

Full-Text:

فصلنامه علمي- پژوهشي

فناوري اطلاعات و ارتباطات ایران

سال هشتم، شماره‌هاي27 و 28، بهار و تابستان 1395

60-47:صص

$E:\E Drive\logo\iicta Logo0.JPG$

ارائه مدلی جهت استفاده ازعاملهای متحرک در سیستمهای تشخیص نفوذ توزیع شده مبتنی بر تئوری بازی

*امین نظارات ** مهدی رجا *** غلامحسین دستغیبیفرد

* استادیار، گروه کامپیوتر و فناوری اطلاعات، دانشگاه پیام نور، ایران

** بخش مهندسی و علوم کامپیوتر، دانشگاه شیراز

*** دانشیار، بخش مهندسی و علوم کامپیوتر، دانشگاه شیراز

تاریخ دریافت: 01/08/92 تاریخ پذیرش: 23/08/95

چکیده

سیستمهای تشخیص نفوذ در شبکه، ابزارهایی هستند که به منظور محافظت از منابع شبکه در مقابل حملات استفاده میشوند. با توجه به گستردگی حملات در فضای اینترنت و تغییر در شکل و نوع حملات از حالت متمرکز به توزیع شده، معماری اینگونه سیستمها نیز به سمت توزیعشدگی حرکت میکند. در این مقاله روشی مبتنی برعاملهای متحرک که به عنوان سنسورهای تشخیصدهنده حرکات غیر معتبر عمل میکنند پیشنهاد شده است. عاملهای متحرک تشخیصدهنده حمله ¹به صورت پراکنده در شبکه در حال جابجایی از یک گره به گره دیگر میباشند و در هر زمان یک شبکه فوقانی ² امنیتی را ساخته و با استفاده از نوعی بازی همکارانه و برقراری ارتباط با یکدیگر، پس از رسیدن به مقدار شیپلی میتوانند میزان و منشاء حمله را تشخیص و گزارش دهند. در این مقاله روشی پیشنهاد شده است که WGA در یک بازی غیرهمکارانه با عنصر مهاجم سعی در برقراری یک ارتباط مکاشفهای جهت محاسبه مقدار نش و رسیدن به حداکثر سودمندی را دارد تا بتواند ضمن تفکیک حملات و یا درخواستهای واقعی، میزان و شدت حمله را با کمک سایر WGA بدست آورد.

واژههای کلیدی : عاملهای متحرک، IDS، تئوری بازی، سیستم چند عاملی، تعادل نش، مقدار شیپلی، امنیت شبکه

نویسنده عهدهدار مکاتبات: امین نظارت aminnezarat@pnu.ac.ir

[1] White Globule Agents

[2] Overlay Network

1- مقدمه

حملات و آسیبپذیری شبکههای کامپیوتری روز به روز چه از بعد پیچیدگی و چه تکنولوژی در حال گسترش میباشند. تا جایی که بعضی از این حملات به راحتی شرکتهای تجارت الکترونیکی را از گردونه تجارت خارج میکنند. سیستمهای تشخیص نفوذ میبایستی بتوانند در کاهش آسیبها و حملات به شبکهها پیشنهادات مناسبی را ارائه نمایند. برای رسیدن به این هدف سازمانها و موسسات تجاری و دولتی اقدام به تاسیس مراکز عملیات امنیت جهت آنالیز و رصد گزارشات و حوادث نفوذ
نمودهاند.

به عنوان مثال یکی از ابزارهای امنیتی شرکتSymantec با عنوانThreat con warning sys با اندازهگیری میزان آسیبپذیری شبکه درجه آنرا به مدیر شبکه گزارش میدهد [1] و مدیر شبکه میتواند براساس درجه
آسیبپذیری، تمهیدات لازم را در نظر بگیرد. البته این سیستم از یک ساختار اندازهگیری دقیق استفاده میکند و معیارهای آن مبتنی بر روشهای ریاضی و محاسباتی نیست، که این امر میتواند مدیر شبکه را به اشتباه اندازد. علاوه بر این اندازهگیری مربوط مبتنی بر پایش دادههای رد و بدل شده بین حملهکننده و دفاعکننده نیست.

سیستم های تشخیص نفوذ اخیر را می توان به دو گروه تقسیم بندی کرد [2]:

1-واکنشی (Reactive) (مبتنی بر تشخیص تمضا یا مجوز جهت اجازه ورود یا خروج)

2- کنشی (Proactive) (سرویسهای فوقانی امن، شبکه proxy و ...)

سرویسهای فوقانی امن ¹ دارای معماری هستند که برای جلوگیری از حملات و ایجاد آمادگی قبلی در مقابل حملات توزیع شده DOS استفاده میشود. اما روشی که در این معماری برای برقراری ارتباط با گره ها استفاده میشود مبتنی بر ارتباط دائمی است که سربارزیادی را بر روی شبکه تحمیل مینماید و این موضوع مانعی است در مقابل گسترش بیشتر معماری [3].اگرچه روش کنشی بسیارکاراتر از مدل واکنشی است اما هنوز مسائل زیادی در پیادهسازی کارایی در این معماری باقی مانده است.

سیستمهای IDS متمرکز بسیار مستعد خطای تک نقطه ² هستند و میتوانند توسط مهاجمین کشف و مورد تهاجم قرار گیرند. برای حل این مشکل میتوان از تعداد بیشتری IDS استفاده کرد تا بتوان میزان حملات تشخیص داده نشده را کاهش داد. که البته این مسئله مستلزم پرداخت هزینه بیشتر میباشد.

قدرت یک سیستم تشخیص نفوذ در ایجاد یک تعادل بین تعداد مدافعان و میزان تشخیصهای خطا یا عدم تشخیصها میباشد. به همین منظور جهت مدل کردن حملات برای اندازهگیری درجه ریسک امنیتی (تهدید یک حمله) و کمک به تصیمگیری در پاسخ مناسب به حملات ضروری به نظر میرسد که از یک روش توزیعشده تشخیص نفوذ بهره گرفته شود. عاملهای متحرک میتوانند به عنوان مدافعانی در گرههای شبکه در نظر گرفته شوند که به صورت خود مختار بین گرهها جابجا شوند و مجموعهای از آنها تشکیل یک شبکه فوقانی از یک سیستم چند عامله را میدهند. هر عامل متحرک میتواند به منظور ایجاد درک بهتر از یک حمله امنیتی و تشخیص میزان خطر آن وارد یک تعامل با حملهکننده شود.

به منظور افزایش دقت در تصمیمگیری و کشف حمله
میتوان از تئوری بازیها در تعامل عامل تشخیصدهنده و مهاجم استفاده کرد. سپس هر یک عاملهای تشخیصدهنده میتوانند در یک بازی دیگر به منظور بررسی میزان دقت نتیجه حاصله وارد یک مذاکره ³ با سایر عاملهای درون شبکه فوقانی شوند. این بازی از نوع بازیهای همکارانه جهت رسیدن به یک توافق در خصوص میزان درجه ریسک امنیتی ⁴حمله مربوطه میباشد.

در بازی اول که بین عامل متحرک WGA به عنوان مدافع و یک مهاجـم صورت میگیرد، یک تعامل دوطـرفه

برقرار میشود که یک بازی از نوع غیرهمکارانه دونفره میباشد. هر دوطرف بازی به دنبال بیشینه کردن منافع و سودمندی خود میباشند. حملهکننده قصد نفوذ به شبکه و تخریب یا جمعآوری اطلاعات را دارد و مدافع نیز قصد مقابله و کشف تعدا بیشتری حملات به شبکه را دارد. هردو بازیکن دارای یک تابع سودمندی⁵ هستند که در یک نقطه به تعادل کنش خواهند رسید که در آن نقطه هر دو بازیکن، نوعی از بازی خودرا که در آن تمایل به تغییر بازی ندارند را انجام میدهند. در این نقطه عامل متحرک مدافع به مقداری خواهد رسید که آن مقدار درجه امنیتی حمله را مشخص مینماید.

برای اطمینان از اینکه حملهای صورت گرفته است یا خیر و جلوگیری از ارسال هشدارهای اشتباه در بازی دیگری از نوع همکارانه با سایر عاملهای مدافع در محیط چند عاملی اقدام به مذاکره مینماید. در این بازی عاملها میتوانند جهت جلوگیری از ایجاد سربار در شبکه به صورت گروههای چند نفره تشکیل ائتلاف دهند. در هر ائتلافکه با موضوع یک حمله تشکیل میشود عاملها پس از مذاکره به یک مقدار تفاهمی مشترک به نام مقدار شیپلی⁶
میرسند که این مقدار درجه نهایی امنیت شبکه و نوع تصمیم در مقابل حمله صورت گرفته را مشخص مینماید. با توجه به عدد بدست آمده میتوان شدت و میزان برخورد را مشخص نمود.

2- شبکه فوقانی چند عامله ⁷

نوع توزیع عاملهای متحرک و نحوه قرارگیری آنها در هر زمان برای تحت پوشش قرار دادن بخش عمدهای از شبکه، یکی از مسائل مهم در تشکیل شبکه فوقانی و از عوامل تاثیرگذار در تصمیم هر عامل برای جابجایی در شبکه است.

به عنوان مثال: در شکل 1 فرض شده که یک مهاجم قصد ارسال یک بسته از میزبان α (مهاجم) به میزبان t (مقصد) را دارد و یک شبکه فوقانی چند عاملی از گرههای MA={MA1, MA2,…. , MA2} تشکیل شده است. هر یک از این گرهها میزبان یک عامل سیار است. این عاملها بایستی در هر لحظه به نحوی در گرههای شبکه قرار گیرند که حداکثر پوشش امنیتی برقرار باشد و با توجه به سیار بودن آنها، حیطه حرکت عامل محافظ میبایست به نحوی باشد که تجمع عاملها و یا خلا در شبکه بوجود نیاید. به همین دلیل و به منظور کاهش نرخ تشخیص خطا، افزایش نرخ تشخیص و کاهش مصرف پهنای باند شبکه، بایستی عواملی از جمله تعداد عاملهای محافظ، محیط تحت پوشش هر یک و درجه حساسیت امنیتی آنها مشخص و در طی زمان اصلاح و اعلام گردد. در این تحقیق به منظور افزایش مراقبت از شبکه و مقابله با مهاجمان معماری جهت شبکه فوقانی و مدیریت حرکت عاملها و همچنین بازی امنیتی جهت رسیدن به درجه حساسیت عامل (مقدار شیپلی) مورد بررسی و پیشنهاد قرار گرفته شده است [4].

شکل 1: شبکه فوقانی

3- معماری مدل پیشنهادی سیستم چند عاملی محافظ

نظر به گستردگی شبکههای کامپیوتری و افزایش حجم مبادلات و ارتباطات درون شبکهها و افزایش بار آنها، ایجاد ارتباطات دائمی و نگهداری آنها میتواند باعث افزایش سربار شبکه و ایجاد اختلال در کار اصلی نرمافزارهای موسسات گردد. سیستمهای امنیتی و نظارتی بایستی بتوانند با کمترین اختلال در شبکه و حداقل سربارکاری به وظایف خود عمل نمایند.

یکی از انواع عاملها، نوع سیار آنها میباشد. یک عامل سیار، نوعی نرمافزار خود مختار، کنشی و متحرک میباشد که میتواند با جابجایی درون شبکه و بدون نیاز به کنترل مستمر توسط سرور اصلی، اقدام به انجام وظایف خود اعم از جمعآوری اطلاعات، مقابله با حملات، خرید و فروش یا مذاکره با سایر عاملها نماید و سپس نتایج حاصله را به اطلاع سرور فرستنده عامل برساند بدون اینکه نیاز به بازگشت به سرور و اشغال پهنای باند داشته باشد و یا حتی نیاز به ارسال کلیه اطلاعات داشته باشد [5].

امروزه کاربردهای فراوانی از سیستمهای مبتنی بر عاملها وجود دارد. عامل ها میتوانند با تشکیل اجتماعات چند عاملی و برقراری ارتباطات همافزا با یکدیگربه نتایج بسیار سریع و با کمترین دخالت انسانی برسند. عاملها همچنین میتوانند یاد گرفته و تغییر شکل دهند و استراتژی اولیه را بهبود بخشند. در این مقاله از خصوصیت مذاکره عاملها استفاده شده و معماری پیشنهادی ارائه شده است.

به منظور جلوگیری از بزرگ شدن عاملها و درگیر شدن آنها در بررسی بستههای شبکههای کامپیوتری در این تحقیق از یکی ازIDS های شناخته شده و Open source به نام SNORT استفاده شده است [6]. SNORT یک IDS خوب و پرکاربرد میباشد که با بررسی بستههای شبکه و مطابقت آنها با سناریوهای حمله موجود در بانک دانش خود میتواند حملات را تشخیص دهد و پیام هشدار مناسب را ارائه نماید. اما همانگونه که قبلا" نیز اشاره شد این سیستم یک IDS مرکزی است و برای اینکه بتواند مجموعهای از حملات به گرههای مختلف شبکه را تشخیص دهد میبایستی در نقاط مختلف شبکه نصب شده و همچنین امکان برقراری ارتباط با یکدیگر را نیز داشته باشند. در حال حاضر این سیستم از چنین قابلیتی برخوردار نمیباشد و برای تحقق این امر بایستی تمامی logهای حملات به سایر IDS مرکزی منتقل و ادغام کرده تا بتوان کل حمله را به درستی تشخیص داد. که در حال حاضرچنین امکانی وجود ندارد.

در مدل پیشنهادی که ترکیبی است از عاملهای متحرک، از یک سرور مرکزی به منظور تولید عاملها استفاده
میشود. در اینجا از مدل دفاعی بدون الهام گرفته شده است. تعدادی عامل متحرک به عنوان گلبولهای سفید در گرههای شبکه مستقر شده و در زمانهای خاصی جابجا میشوند. ترکیب سرور شامل اجزاء زیر است:

- کارخانه تولید عاملهای گلبولهای سفید⁸

- کارخانه تولید عاملهای خنثی کننده⁹

- SNORT

- پایگاه دانش حملات¹⁰

- کارخانه تولید عاملهای گلبول سفید

این عامل وظیفه تولید عاملهای جدید مدافع را برعهده دارد. در ابتدای شروع به کار سیستم تعدادی محل WGA هایی که بایستی تولید شوند از قبل توسط مدیر شبکه تعیین میشوند و این عامل پس از تولید هر WGA آنرا به گرهای از شبکه ارسال میکند. نوع حرکت عامل WGA به گرههای شبکه از نوع
جابجاییپذیری قوی¹¹ میباشد و در هر زمان وضعیت کلیه وقایع قبلی و نتیجه حاصله از آنها را به همراه دارد. هر عامل WGA به صورت دورهای با این عامل ارتباط برقرار میکند و گزارشی از مشاهدات خود را اعلام مینماید. در هر لحظه این عامل می داند که هر WGAکجاست. تفاوت WGA های تولید شده در این عامل این است که یک عامل WGA به همراه خود خلاصه ای از سناریوهای انواع حملات در شبکه ها را دارد و با کمک ابزار تشخیص نفوذ

SNORT ، رفتارهای مشکوک در شبکه را شناسایی
میکند. پس از شناسایی یک رفتار مشکوک با سایر عاملهای WGA مذاکره کرده و دانش خود را تکمیل یا تصحیح می نماید. این عامل از چندین عامل دیگر تشکیل شده است که هر یک وظیفه ای را بر عهده دارند:

عامل AMS ¹²: مدیر اصلی عاملهاست و به هر عامل یک شماره اختصاصی انتساب می دهد. وظیفه ایجاد، حذف، جابجایی و ... عاملها را بر عهده دارد.

عامل DF ¹³: این عامل اطلاعات کاملی از کلیه عاملهای ایجاد شده و در حال اجرا را در اختیار دارد. نام عامل، محل عامل ، مشخصات و تاریخچه آن را می داند. زمانی که یکی از عاملهای WGA قصد برقراری ارتباط با سایر عاملها را داشته باشد، درخواست خود را به این عامل ارسال مینماید.

- کارخانه تولید عاملهای خنثیکننده (LAF)

یکی از وظایف سیستمهای تشخیص نفوذ، جمعآوری اطلاعات و شناسایی حملات جهت گزارشدهی به
سیستمهای مقابله با حمله یا IDS ها میباشد. در این مدل نوعی عامل در نظر گرفته شده است که وظیفه مقابله با حملات و از بین بردن حملهکننده را بر عهده دارد. پس از شناسایی و تایید یک حمله توسط ائتلافی از WGA گزارشی به WGAF ارسال میشود که درجه ریسک امنیتی این حمله را مشخص مینماید.

WGAF نیز با استفاده از درجه امنیتی، تقاضایی را برای این عامل ارسال مینماید و عامل مذکور بر همین اساس تعداد عاملهای LA و محلهایی که بایستی ارسال شوند را

تشخیص میدهد.

-SNORT : یک ابزار متن باز IDS میباشد که با بررسی بستههای رد و بدل شده در شبکه و Sniff کردن

شبکه امکان اعمال قوانینی را به کاربر میدهد. در این ابزار از تعدادی قانون جهت شناسایی حملات استفاده میشود و زمانی که سناریوی موجود در قوانین محقق شود عکسالعمل مناسب را نشان میدهد. در این مقاله از SNORT جهت مطابقت سناریو با بستههای شبکه استفاده شده است.

پایگاه دانش حملات: در این پایگاه دانش سناریوهای مربوط به حملات امنیتی در شبکه درج شده است تا هر عامل WGA بداند که در زمان بروز یک تهدید امنیتی (که با خواندنLog فایل SNORT قابل تشخیص است) چه اقدامی را انجام دهد. از آنجا که یک عامل WGAبایستی در زمانی که یک تهدید را حس میکند اقدام به تعامل با حملهکننده نماید، با استفاده از این دانش درون این پایگاه میداند که در مرحله بعدی چه عملی را بایستی انجام دهد تا حملهکننده قسمت بعدی حمله را به اجرا گذارد، لذا با شبیهسازی یک آسیبپذیری میتواند تهدید را تشخیص دهد.

شکل 2: مدل پیشنهادی سیستم توزیع شده تشخیص نفوذ

4- روش کار مدل پیشنهادی

همانگونه که اشاره شد این مدل امنیتی از اجزاء مختلفی تشکیل شده است. در این بخش به نحوه کار مدل و روش اجرای آن پرداخته میشود. عامل WGAF تعدادی عامل WGA را ایجاد کرده و به گرههای شبکه ارسال میکند. در صورت حمله یک عامل خارجی، WGA مستقر در آن گره شروع به تعامل با attacker مینماید. این عامل از نوع یک بازی غیر همکارانه میباشد. عامل WGA با کمک KB و اطلاعات حاصل شده از تعامل با مهاجم یک استراتژی آمیخته را پیش میگیرد تا بتواند به یک نقطه تعادلی نش برسد. این نقطه تعادلی نش به عنوان مقدار ریسک آن حمله در نظر گرفته میشود.

برای افزایش دقت مقدار ریسک و تشخیص این موضوع که آیا مشابه با این حمله در سایر گرههای شبکه نیز شناسایی شده است یا خیر، عامل WGA اقدام به تشکیل یک ائتلاف با تعدادی از عاملهایWGA دیگر میکند و در بازی همکارانه با آنها مذاکره مینماید تا در نهایت از مقادیر ریسک امنیتی بدست آمده در سایر WGA ها به یک مقدار مورد توافق به نام مقدار شیپلی برسند. پس از محاسبه مقدار شیپلی، عامل WGA این مقدار را برایWGAF ارسال مینماید. این عدد به عنوان مقدار ریسک امنیتی شبکه که مورد توافق ائتلافی ازWGA ها میباشد درنظر گرفته شده وWGAF آن را به LAF گزارش میدهد و همچنین میتواند با توجه به این درجه امنیتی تصمیم به افزایش یا کاهش WGA ها و یا تغییر مکان آنها بگیرد.

عامل LAF با دریافت درجه امنیتی جدید شبکه عاملهای خنثیکننده LA را ساخته و به گرههای تهدید شده ارسال میکند. به هر گره تهدید شده یک عامل LA ارسال میشود و به وی تعداد تکثیرهای بعدی از خود را اعلام میکند. برای جلوگیری ازاشغال پهنای باند شبکه، هر عامل LA پس از رسیدن به مقصد، خود را به میزان لازم تکثیر میکند تا بتواند با توجه به درجه امنیتی گزارش شده مقابله مناسب با حمله را داشته باشد.

با توجه به درجه امنیتی جدید بدست آمده برای شبکه، تعداد و محل قرارگیری WGA ها توسط WGAF مورد بازنگری قرار گرفته و تعداد و محلهای جدید اعلام میشود و در نهایت یک شبکه فوقانی از عاملهای سیار و یک محیط چند عاملی جدید ساخته میشود. ملاکهای این
تصمیمگیری بر مبنای پارامترهای: گرههای تهدید شده، درجه تهدید هر گره، مسیر طی شده توسط یک مهاجم، تغییر درجه امنیتی نست به قبل و ... میباشد.

5- بازی ریسک امنیتی

در حالت کلی، ریسک امنیتی به تعداد نفوذهایی که احتمال رخداد آنها وجود دارد گفته میشود (نرخ نقض امنیت). نفوذ امنیتی زمانی رخ میدهد که یک مهاجم بتواند از نواقص امنیتی استفاده کرده و وارد سیستم شود [7] [8]:

در این مقاله هدف تعیین میزان ریسک امنیتی است تا بتوان با استفاده از آن سیستم تشخیص نفوذ توزیع شده¹⁴ را تنظیم کرد. در بازی امنیتی پیشنهادی نقشهای زیر وجود دارد.

- مهاجم

- WGAgent

مهاجم: بطور دائم یک شبکه به کاربران مختلفی در حال سرویسدهی میباشد که بعضی از آنها میتوانند به عنوان یک مهاجم باشند. هدف یک مهاجم نفوذ به درون شبکه و اجرای اهداف از قبل تعیین شده میباشد [9]. اگر حمله یک مهاجم تشخیص داده نشود معادل هزینه پرداختی آن مهاجم میباشد. در صورت تشخیص حمله این هزینه معادل b1 میباشد. همچنین اگر فرض می شود که <=0 است یعنی مهاجم در صورتی که تشخیص داده شود یک سودمندی مثبت بدست
میآورد و در صورتی که >=0 باشد، سودمندی مهاجم منفی خواهد بود. در صورتی که یک مهاجم به WGA با شماره که بر روی یکی از گرههای شبکه قرار دارد حمله کند. دو پارامتررا در نظر میگیریم که اولی میزان گسترش مهاجم از و دومی مربوط به پهنای باندی است که مهاجم برای حـمله به عامل ام اشغال میکند. این پارامتر توسـط [10]پیشنهاد
شدهاند. میتوان نتیجه گرفت که یک حمله گسترش یافته از پهنای باند را اشغال میکند.

WGAgents: مجموعهای از عاملهای تشخیصدهنده WGA به صورت N={WGA1-WGA2-…WGAn} نمایش داده میشوند میباشد. این عاملها بر روی گرههای شبکه مستقر شده و یک شبکه فوقانی چند عامله را برای تشخیص نفوذ و تشکیل یک IDS توزیع شده را میدهند. وظیفه این عاملها این است که با بررسی بستههای انتقالی درونشبکه کاربران عادی را از مهاجمین تشخیص دهند. فرض کنید که mi نشاندهنده نرخ تحرک¹⁵عامل WGAi در حرکت از یک میزبان به میزبان دیگر میباشد. عامل WGAi بطور معمول
میتواند دچار دو دسته خطا شود: دستهبندی مهاجم به عنوان کاربر عادی یا دستهبندی کاربر عادی به عنوان مهاجم. در این مدل به دنبال برقراری یک تعادل بین اینگونه هشدارها و هشدارهای صحیح میباشیم.

برای عامل WGAi نرخ تشخیص نفوذ را با pd (احتمال تشخیص) و نرخ عدم تشخیص را با (pd-1) نشان میدهیم و pf را به عنوان احتمال تشخیص اشتباه حمله در نظر میگیریم. هزینه –c1 برای تشخیص یک حمله توسـط WGA2 و C2 و C3 به تـرتیـب هزیـنههایی که IDS بابت تشخیص اشتباه و عدم تشخیص بایستی بپردازد فرض میکنیم.

جدول 1: احتمالات شناسایی نفوذ توسط عامل.

هزینه IDS	احتمال تشخیص نفوذ	Pd	WGAi
-C1	احتمال تشخیص نفوذ	Pd
C3	احتمال عدم تشخیص نفوذ	1-Pd
C2	احتمال تشخیص نفوذ اشتباه	Pf

از طرف دیگر مهاجم در صورت نفوذ به سیستم هزینه -b1 را بدست میآورد و در صورت عدم موفقیت در نفوذ هزینه b2 را بایستی بدهد. هشدار اشتباه هزینه صفر را برای مهاجم در بردارد.

جدول 2: هزینه عایدی مهاجم

نتیجه

هزینه

Attacker

نفوذ

-b1

عدم نفوذ

در نهایت هریک از دو بازیگر (WGAi , attacker) یک مقدار سودمندی payoff را متصور هستند که به صورت زیر برای هر یک محاسبه میشود. برایattacker میزان نتیجه بدین صورت است:

که r1 احتمال اینکه یک attacker رفتار خرابکارانه داشته و قصد نفوذ به سیستم را داشته باشد. مقدار بازده مورد انتظار در نیز به صورت زیر محاسبه میشود:

حال به بازی غیر همکارانه با استراتژی آمیخته بین دو بازیگر(WGA , attacker) میپردازیم مجموعه
استراتژیهایی که هر یک از بازیگران میتوانند داشته باشند بدین صورت است:

نشاندهنده یک حمله کاملتر توسط مهاجم با احتمال r1 میباشد که قبلا" عنوان گردید. را به عنوان استراتژی تکثیری یک حمله توسط مهاجم به نحوی که با احتمال به صورت گسترده اقدام به تکثیر خود نماید در نظر میگیریم.

نشان میدهد که با احتمال 1-r1-r2 حملهای صورت نمیگیرد. برای عامل نیز استراتژی d1 نشاندهنده تشخیص یک نفوذ با احتمالq و اعلام هشدار لازم
میباشد. استراتژی d2 نیز حالتی را نشان میدهد که عامل هیچ عکسالعملی را در مقابل حمله انجام نمیدهد. احتمالd2 را با 1-q نشان میدهیم. با توجه به استراتژیهای فرض شده میزان بازده مورد انتظار payoff مهاجم و عامل را به صورت زیر بسط میدهیم. دلیل بسط بازده نوع بازی انتخابی است که از نوع استراتژی آمیخته در نظر گرفته شده است و برای اینکه بتوان احتمال کلیه استراتژهای فرض شده را در بـازده نهایی لحاظ کرد جدول زیر را q-mix بازده انتظاری عامل) وr-mix (بازده انتظاری مهاجم) نشان میدهد در نظر میگیریم [11].

ماتریس بازده دو بازیگر در حالات مختلف انتخاب استراتژی را نشان میدهد. فرض بر این است که هر دو بازیگر چنـین ماتریسی را داشـته و قادر به محاسبه حالت

در این مرحله هر بازیکن بایستی بازی را انجام دهد که در آن حالت هیچ انگیزه ای برای تغییر بازی خود نداشـته باشد و بازیکن مقابل نیز به همین نقطه (تعادل

جدول 3: ماتریس payoff.



	,	,

0	0,0	0,

حرکت بازیگر دیگر هستند. بعبارتی عامل مدافع دارای یک باور از حرکت خود و پاسخ متقابل مهاجم میباشد. در شکل 4 نحوه این تعامل نشان داده شده است.

شکل 4: وضعیت های مختلف تشخیص

نش) برسد. این نقطه که با (r*, q*) نمایش داده
میشود از ماتریس 2*3 جدول 3 بدست میآید.

عبارت بالا نشان میدهد که بهترین استراتژی که بازیکن مقابل انتخاب میکند بایستی در هر حالتی از استراتژی انتخابی بازیکن کمتر باشد . r ,q هر دو بین صفر و یک هستند 0< = q ,r<=1 .

پس از محاسبه استراتژی های بهینه و تعادل نش بازی بردار احتمالی برای مهاجم زمانی که استراتژی های را انتخاب می کند بدست میآید و بردار احتمالی
برای استراتژیهای

بعد از حل نامساوی، اگر فرض کنیم که r2=1-r1 باشد خواهیم داشت (برای مهاجم دو حالت کلی در نظر گرفته شود)

Share To

Article Url