研究人员关注网络威胁的“拓扑特征”

Josiah02

随着人类和机器创建、收集、处理和存储的数据量不断增加，复杂性也不断增加，保护网络系统免受日益复杂的网络威胁的任务也随之增加。太平洋西北国家实验室 (PNNL) 的一组研究人员正在开发一种新方法，以探索网络系统的高维形状，以识别对抗性攻击的特征。
研究人员在一个公开可用的数据集上测试了该方法，该数据集用于研究高级持续性威胁（APT），APT 是一种扩展的网络攻击，例如，旨在通过多个阶段窃取敏感数据，比如通过网络钓鱼电子邮件进行入侵，随着时间的推移扩大对网络数据的访问。
他们发现，这种方法揭示了数据中“与对手活动一致”的模式，PNNL 高级数据科学家、国家安全局对新兴技术的评估《下一波浪潮》中描述该方法的论文高级作者 Emilie Purvine 指出。
Purvine 指出：“识别和发现这些更复杂的模式可以帮助我们发现网络中不寻常的行为，进而帮助网络分析师弄清楚为什么会发生这些行为，为什么这些行为是不寻常的。这些都是值得担心的事情吗？”
走出平原
Purvine 和同事将这种方法比作 Edwin Abbot 的小说《平面国》，该小说讲述了一个二维世界中的正方形被一个来自三维世界的球体拜访的故事。在《平面国》中，球体以圆圈的形式出现，其尺寸不断增大和缩小。球体试图向正方形解释存在第三维度，但正方形无法理解这意味着什么。
“因此，球体将正方形从平面国中拉出来，并从另一个角度展示了正方形的平面国。突然间，正方形明白了外面还有更多的东西，”Purvine 解释道。“我们抓住的想法是，网络系统中存在着我们无法感知的连接——那里有太多的数据。”
为了从不同角度了解网络系统中的数据流，从而寻找可能的恶意行为，Purvine 和她的同事设计了一个基于超图和拓扑数学理论的框架，使他们能够通过所谓的拓扑特征探索更高维度的网络数据。
拓扑特征
超图可以模拟事物群体相互作用或共享共同行为或属性的系统。Purvine 将它们比作细胞中相互作用形成反应的蛋白质束，或社交网络，其中人群组成俱乐部，一个俱乐部的一些成员与另一个俱乐部的成员重叠。她说，超图是这种群体相互作用和行为概念的数学抽象。
带把手的咖啡杯在拓扑上等同于甜甜圈。来源：本文件根据 Creative Commons Attribution-Share Alike 3.0 Unported 许可证授权。作者：Keenan Crane 和 Henry Segerman。
她补充说，在网络系统中，这种行为可能是一组设备联系同一台设备，或者是互联网协议（分配给连接到网络的设备的数字标签，称为 IP 地址）与另一组设备联系。
“我们不知道这些通信是否相同。我们只知道这些 IP 组做了类似的事情，”Purvine 解释道。“当你开始将这些碎片拼凑在一起时，你就会开始了解系统的行为以及不同 IP 如何交互。”
为了了解这种情况，Purvine 和她的同事（他们在抽象数学、数据科学、软件工程和网络安全方面拥有专业知识）求助于拓扑学。
拓扑学是研究形状的数学学科，其灵活概念是，如果两个形状可以通过拉伸、弯曲和扭曲不断变形，但不会断裂、撕裂或刺穿，则它们可以相同。这种相同性的一个典型例子是咖啡杯可以变形为甜甜圈形状而不会断裂，这意味着咖啡杯和甜甜圈在拓扑上是相同的。近年来，科学家们开始利用拓扑学来理解数据的形状。
Purvine 的团队正在探索数学技术，将有关网络的超图数据转换成拓扑语言，以寻找网络攻击等恶意行为的拓扑特征。
“当一些不寻常的事情发生时，结构应该会发生某种变化，”太平洋西北国家实验室的博士后研究员海伦·詹尼 (Helen Jenne) 说，她与普尔文合作，也是《下一波》中解释这项研究的论文的主要作者。“挑战在于我们不知道我们在寻找什么，我们不知道我们在寻找什么的部分原因是攻击总是在变化。”
呼吁采取行动
研究人员发现，他们将网络超图表示转换为拓扑结构的技术揭示了数据中代表对抗活动的模式，但他们也发现，代表对抗活动的相同模式也可以代表良性活动。此外，并非所有的对抗活动都能通过这种方法捕获，这表明该研究领域还有更多的探索空间。
Jenne 指出，《Next Wave》论文描述了这种方法，呼吁人们集中资源寻找超图构造和拓扑方法，这些方法可能有助于阻止网络攻击。事实上，这篇论文只是研究小组正在探索的几种方法之一。
“这里有太多东西可研究，”她说，“而且似乎有一些有用的东西。”