网络协议和共识算法的对抗推演到底是指什么

网络协议和共识算法的对抗推演到底是指什么

关于推演¹

“推演”一词在哲学、逻辑学、军事学、信息科学等领域有着广泛应用，中国大百科全书对它的释义是“推论演绎，推移演变”。在信息技术领域，它通过运用概率论、统计学、博弈论等科学方法，对相应状态进行仿真和模拟，帮助决策者更好地制定策略。

网络攻防对抗推演²

网络攻防对抗推演是通过构设网络场景、模拟攻防双方网络行为，分析评估哪一方在对抗中会获得更大胜算的方法，是网络攻防对抗中，进行威胁评估、行动决策的重要手段

针对网络对抗流程的推演引擎²

网络对抗推演流程图

蓝方首先进行初步想定的构设。在构设前先进行初始环境的评估，包括红蓝双方漏洞库、病毒库的部署情况，路由设备、传输信道的通信状况，对抗环境的整体安防级别等。对初始的网络环境的掌握，对想定方案的制定提供参考。使用想定编辑功能，从想定数据库中抽取想定元素，用于组装成网络攻击的初步想定方案。

想定方案经过匹配策略模型库，对对抗规则和参数等进行针对性的建模，形成可供推演系统识别的规则化想定方案。

蓝方按想定方案执行网络攻击，控制傀儡主机持续向红方薄弱目标发送垃圾数据包，以达到使红方服务瘫痪的目的。

红方检测到所受的攻击，通过网络攻击的特征匹配行为模型库，确认网络攻击的类型。然后配置防御策略，设定防御的想定方案，及时过滤网络垃圾数据。红方收集攻击存入历史数据库中，将库中的行为数据进行更深层次的分析溯源后，会找到攻击源和蓝方更详尽的攻击策略，为红方调整防御想定或反击的想定方案，提供更全面的支持。

红蓝双方的攻防博弈情况和网络空间的实时状态记录到实时数据库中，效能评估模块调用评估模型对网络攻击效率、网络薄弱点、网络损毁情况、网络漏洞等方面进行网络状态的评估，评估结果与想定结果进行比对，根据差异及时调整红蓝双方的推演想定，保证推演流程的顺利推进。

红蓝双方的对抗关系经过可视化工具的处理，将复杂的网络结构以网络拓扑、统计图表和GIS图³等更直观的形式展示。网络空间中的关键区域、脆弱节点，攻防过程产生的网络攻击效果、网络设备损毁情况等，都以系统特有的网络可视化效果进行展示。

红蓝双方持续对抗的推演过程记录到历史数据库中，系统将历史数据整合为流程化的可视化脚本，输入到可视化平台进行整个推演过程的复盘回放，以辅助红蓝双方从整个流程出发对推演情况进行分析和反馈。

推演引擎是推演系统的中枢，控制对抗双方的网络状态输入输出状态，调整网络态势的推进趋势，贯穿网络推演想定的初步形成至最终方案完成的全部过程，对整个网络对抗推演系统的调度和控制起着指导作用。

网络威胁态势推演图的构建¹

首先根据网络威胁态势的各个要素，建立初始网络威胁状态集合，将大量的网络威胁事件以及网络威胁与脆弱点相关联，根据威胁间的逻辑关系，发掘其中的渗透式入侵序列，即可构建网络威胁态势推演图，并用于网络威胁的直观识别和高效分析。

按照威胁影响范围和管理员关注对象的不同，可以分别构建面向威胁目标和面向全局网络的态势推演图，其中面向威胁目标的态势推演图以威胁目标状态为起点，采取深度优先的策略，反向搜索入侵者针对威胁目标的入侵路径，适合于分析网络关键部件安全状况的场景；面向全局网络的态势推演图以威胁的初始状态为起点，采取广度优先的策略，正向搜索入侵者对全局网络的全部入侵路径，适合于分析全局网络安全状态的场景。

协议推演⁴

协议推演是协议逆向技术的集中应用，是对已有协议内容的提取。

推演系统的结构

推演系统的整体流程如下图所示

推演系统的结构图

频繁串挖掘模块

在整个推演流程中，首先需要进行的便是频繁模式串的挖掘工作。

频繁模式串的挖掘主要运用到ＡＣ自动机匹配算法，将报文与选择好的模式串进行匹配与统计，选择统计值大于某一规定值的模式串作为频繁模式串，并记录出现频繁模式串的报文位置，为倾特征的构建和关联规则提取做好准备。

关联规则提取模块

在获取频繁模式串之后，则可Ｗ此为基础，得到所有可能的倾特征，接着便对后备顿特征进行筛选，通过运用关联规则确定最终的关键字。通过频繁串模块和关联规则模块的相互配合，从而完成对协议报文格式的初步确定和报文分类工作。

可变数据域解析模块

在前面的模块中，已经可Ｗ获取协议的基本结构和关键字段，确定定长字段，接下来主要是对变长字段中的数据域进行分析，解析出数据域的结构形式和组成方式。

会话行为分析模块

为获取协议报文上下文间的约束关系和与之相关的字段语义，进而设计针对协议行为的分析模块。对于一般的协议，在进行会话通讯的时候，总会有一些协议自身所具有的行为特征，它们体现在会话中的交互报文中。例如对于一个普通会话中，通信双方的身份标示往往具有Ｗ下特点：对于通讯的发起方Ａ，其送出的报文中，发送者的身份标志为ＡＩＤ，接收方的身份标志为ＢＩＤ，当接收方在回答该条报文时，送出的消息中，发送方的身份标志将转变为ＢＩＤ，接收方的身份标志为ＡＩＤ。为分析具有该种行为特征的数据段，设计Ｗ下方法对其进行辨识。

在获取报文时，将报文以会话单位的形式进行记录。然后将会话中的询问消息与应答消息分别使用ＡＣ算法进行模式串匹配。但与频繁模式串挖掘中的目的不同，不再关注模式串出现的频率，而是要观察在询问报文每一位出现的模式串，在应答报文的哪些位置中会同时出现，将出现的位置进行记录，在对所有的会话进行匹配之后，最终寻找到询问报文与应答报文总是出现相同字符的字段，据此就可以推断该字段为身份类标志。

共识算法的对抗推演

暂时找不到相关的资料

• [1] 司成. 基于本体的网络威胁态势推演与评估技术研究[D].解放军信息工程大学,2015.

• [2] 尹发. 基于攻防行动链的网络对抗推演技术研究[D].中国电子科技集团公司电子科学研究院,2019.

• [3] 彭国金,刘嫚婷.非结构化海量网络数据处理技术研究[J].现代电子技术,2011,34(14):121-123.

• [4] 李松蔚. 基于监测状态的协议信息推演研究[D].西南交通大学,2016.