一種基于反向傳播的網絡風險源頭追溯方法
【專利摘要】本發(fā)明公開了一種基于反向傳播的網絡風險源頭追溯方法，包括:將網絡中愿意被監(jiān)控的用戶設置為監(jiān)控節(jié)點并進行監(jiān)控；標記所有被感染監(jiān)控節(jié)點，按照監(jiān)控節(jié)點被感染時間差從被感染監(jiān)控節(jié)點處向已提取的網絡拓撲上洪泛式廣播標記的風險，統(tǒng)計網絡拓撲中能同時接收到所有標記風險的節(jié)點并將所述節(jié)點添加到潛在的風險源集合中；基于潛在的風險源集合和網絡節(jié)點在風險傳播過程中狀態(tài)轉化的動態(tài)性，建立網絡風險的微觀傳播模型；基于所述微觀傳播模型，采用極大似然估計法從所述潛在的風險源集合中定位風險源頭。本發(fā)明方法能夠在保護絕大多數用戶隱私的前提下，通過比較小的計算量來得到更為精確的網絡風險溯源結果。
【專利說明】
一種基于反向傳播的網絡風險源頭追溯方法
技術領域
[0001] 本項發(fā)明屬于在線網絡的信息安全領域。具體來說，是一種通過監(jiān)控大規(guī)模在線 網絡中的小部分用戶，在網絡中發(fā)生風險(謠言、蠕蟲病毒、電網故障）傳播事件后，安全人 員可以根據有限的監(jiān)控信息和網絡拓撲快速、精準地推斷出風險傳播的源頭用戶(造謠者、 蠕蟲傳播源)的方法。
【背景技術】
[0002] 互聯網的廣泛普及使我們更容易遭受各類網絡風險，例如在線社交網絡中謠言肆 意傳播，因特網上病毒感染大量主機，智能電網的網絡隔離故障導致大規(guī)模斷電等。每年， 因這些網絡風險而造成的金融和社會財富的損失不計其數。
[0003] 謠言、計算機病毒和智能電網故障都是在不同網絡中進行傳播的網絡風險，為了 應對這些網絡風險，在網絡中通過技術手段追溯到它們傳播源頭十分有必要。首先，從司法 取證的角度，精確定位"網絡罪犯"（造謠者、病毒傳播者)非常重要，可以提供技術佐證來打 擊網絡罪犯。此外，盡可能快地追溯到網絡風險傳播源頭有助于及時確定網絡風險的發(fā)生 原因，對其盡早干預可以最大程度上降低這些網絡風險造成的損失。最有效的方法是對全 網用戶進行監(jiān)控，獲知每個用戶被感染的絕對時間從而判斷出最先被感染的用戶即為風險 傳播源。但是這樣處理存在兩個重大缺點：一方面現實生活中的網絡往往規(guī)模過大，全網監(jiān) 控成本太高；另一方面出于對隱私保護的需求，人們絕大多數情況下不愿意被監(jiān)控和接受 數據采集。例如，微軟操作系統(tǒng)的用戶體驗計劃和各種殺毒軟件常常通過彈出窗口來征求 用戶是否同意提交本地的安全運行日志，并聲稱這些數據可以更好地保護用戶。然而，絕大 多數用戶通常選擇拒絕。這就要求我們只能監(jiān)控網絡中少數愿意被監(jiān)控的用戶，在風險傳 播事件發(fā)生之后，通過這些被監(jiān)控的節(jié)點的狀態(tài)信息利用高效的算法來推測全局的傳播 面，從而得到網絡風險的傳播源頭。
[0004] 從技術層面來講，這類研究可稱之為源頭追溯問題，其目的就是基于有限的網絡 結構知識和部分節(jié)點的安全狀態(tài)來定位消息或者網絡風險的傳播源頭。在學術界，傳統(tǒng)的 源頭追溯技術有IP追蹤和stepping-stone檢測，但是它們通常并不有效。這是因為它們只 能確定從某個目標接收的數據包的真實來源，而在實際的傳播過程中，數據包的來源通常 只是網絡風險傳播的參與者、轉發(fā)者而非真實源頭。為更準確高效地定位風險傳播源頭，亟 需要在應用和邏輯結構的層面設計應用更先進的算法和技術來處理源頭追溯問題，而不僅 僅是利用IP層和數據包轉發(fā)的日志信息來進行追溯源頭。
[0005] 近幾年來，很多研究學者對源頭追溯問題做了相關的工作。最初的研究只針對以 傳統(tǒng)SI模型傳播的樹狀網絡，進一步出現了針對樹狀網絡中以其他傳播模型如SI S，SIR的 源頭追溯算法。隨著技術進一步發(fā)展，源頭追溯算法不再局限于樹狀網絡，開始對一般網絡 結構中風險溯源問題進行研究。通常，源頭追溯要么通過嚴密、高復雜度的計算來尋求最優(yōu) 解決方案，要么通過簡化的啟發(fā)式算法來實現最佳時間性能。但是，這些算法普遍存在重大 不足。首先計算量大(需要測試網絡中所有用戶），其次定位并不十分準確。中國科學院分級 的國際1區(qū)期刊IEEE Communications Surveys and Tutorials上2014年發(fā)表的綜述文章 《Identifying Propagation Sources in Networks:State-〇f-the-Art and Comparative Studies》指出目前學術界比較先進的源頭追溯算法80%以上將定位到2~4個網絡拓撲距 離的錯誤位置(按照hops來算），因此并不能滿足實際需要。學術界和工業(yè)界亟需要更高效 的風險源搜索方法來解決這個問題。

【發(fā)明內容】

[0006] 本發(fā)明的目的在于克服現有技術的不足，提出一種基于反向傳播的網絡風險源頭 追溯方法。該方法能夠在保護絕大多數用戶隱私的前提下，通過比較小的計算量來得到更 為精確的網絡風險溯源結果，可應用在大型在線網絡中的對網絡犯罪進行司法取證和風險 修復過程中。
[0007] 本發(fā)明借助刑偵學的嫌疑人搜索策略來尋找風險傳播源，以往的算法難以應用于 大規(guī)模網絡，在真實網絡中應用前人的算法，復雜度、準確性及其時間消耗將難以承受。因 此，本發(fā)明將此尋找風險傳播源的過程劃分為兩個子過程:首先通過反向傳播法縮小搜索 范圍，其次在縮小后的范圍內尋找真正的風險源。
[0008] 具體而言，反向傳播法將監(jiān)控節(jié)點標記，然后從監(jiān)控節(jié)點廣播(洪泛傳播)發(fā)送標 記的風險。此方法的邏輯是：如果網絡拓撲中存在節(jié)點能同時收到所有的監(jiān)控節(jié)點發(fā)送來 的標記風險，那么這些節(jié)點有可能是風險傳播源。這種算法優(yōu)先考慮準確度，而后考慮運行 效率。由于經過前一步驟的篩選，潛在的風險源集合中只存在小部分網絡用戶。之后采用極 大似然估計法結合風險的微觀傳播模型測試潛在的風險源集合，來進一步定位風險傳播 源。這一步的原理是:測試每一個潛在的風險源作為傳播源，用微觀傳播模型傳播一定時間 后能得到當前網絡狀態(tài)的可能性。將每一個潛在的風險源分別代入傳播公式并計算當前網 絡狀態(tài)的概率的似然函數，則能取得極大似然值的潛在的風險源最有可能是真實的感染源 頭。
[0009] 本發(fā)明解決其技術問題所采用的技術方案是：
[0010] -種基于反向傳播的網絡風險源頭追溯方法，包括：
[0011] 將網絡中愿意被監(jiān)控的用戶設置為監(jiān)控節(jié)點并進行監(jiān)控；
[0012] 網絡風險傳播事件發(fā)生一定時間后，標記所有被感染監(jiān)控節(jié)點，按照監(jiān)控節(jié)點被 感染時間差從被感染監(jiān)控節(jié)點處向已提取的網絡拓撲上洪泛式廣播標記的風險，統(tǒng)計網絡 拓撲中能同時接收到所有標記風險的節(jié)點并將所述節(jié)點添加到潛在的風險源集合中；
[0013] 基于潛在的風險源集合和網絡節(jié)點在風險傳播過程中狀態(tài)轉化的動態(tài)性，建立網 絡風險的微觀傳播模型;所述狀態(tài)包括健康、感染狀態(tài)和被感染且具有感染性；
[0014] 基于所述微觀傳播模型，采用極大似然估計法從所述潛在的風險源集合中定位風 險源頭。
[0015] 優(yōu)選的，所述將網絡中愿意被監(jiān)控的用戶設置為監(jiān)控節(jié)點并進行監(jiān)控，監(jiān)控信息 包括：
[0016] 監(jiān)控節(jié)點是否接收到風險感染及如果接收到風險感染其被感染的絕對時間。
[0017]優(yōu)選的，所述監(jiān)控節(jié)點被感染時間差用如下公式表示：
[0018] di=max(T)-Ti
[0019] 其中，i表示第i個被感染的監(jiān)控節(jié)點，i e [I，n]，n表示被感染的監(jiān)控節(jié)點的總數； T=(T1Win)表示監(jiān)控節(jié)點被感染的絕對時間。
[0020] 優(yōu)選的，按照監(jiān)控節(jié)點被感染時間差從被感染監(jiān)控節(jié)點處向已提取的網絡拓撲上 洪泛式廣播標記的風險，統(tǒng)計網絡拓撲中能同時接收到所有標記風險的節(jié)點并將所述節(jié)點 添加到潛在的風險源集合中，包括：
[0021] 被感染的監(jiān)控節(jié)點的被感染時間差到，被感染的監(jiān)控節(jié)點向其所有相鄰節(jié)點發(fā)送 被節(jié)點標記的風險副本；
[0022] 網絡拓撲中的任一節(jié)點第一次接收到被感染監(jiān)控節(jié)點標記的風險副本后，廣播該 風險副本到其所有的相鄰節(jié)點；
[0023] 如果網絡拓撲中的任一節(jié)點同時接收到了所有被感染監(jiān)控節(jié)點標記的風險副本， 則把該節(jié)點加入到潛在的風險源集合中。
[0024] 優(yōu)選的，所述基于潛在的風險源集合和網絡節(jié)點在風險傳播過程中狀態(tài)轉化的動 態(tài)性，建立網絡風險的微觀傳播模型包括：
[0025] 建立如下迭代公式來表示風險的傳播：
[0026] Ps(i，t;u) = [l_v(i，t)] · Ps(i，t_l;u)
[0027] Pi(i，t;u)=v(i，t) · Ps(i，t-l;u)+Pi(i，t_l;u)
[0028]
[0029] Pc(i，t;u)=v(i，t) · Ps(i，t_l;u)
[0030] 其中，Ps(i，t;u)、Pi(i，t;u) Ui，t;u)分別表示網絡風險從潛在傳播源ueU開 始，傳播t時間后S、I及C狀態(tài)的概率，U表示潛在的風險源集合，S代表健康，I代表感染狀態(tài)， C表示被感染且具有感染性;v( i，t)表示t時刻節(jié)點被感染的概率，IUj e [0，1 ]是網絡中任意 兩個節(jié)點的歷史傳播概率，rU j=〇時示節(jié)點i、j之間不存在連接，nij = 1表示節(jié)點i將收到的 任何信息都傳給節(jié)點j;化表示節(jié)點i的相鄰節(jié)點的集合。
[0031] 優(yōu)選的，所述基于所述微觀傳播模型，采用極大似然估計法從所述潛在的風險源 集合中定位風險源頭，包括：
[0032] 使用如下公式計算潛在傳播源u的似然函數L(u，t):
[0033]
[0034] 其中，5:表示被感染的監(jiān)控節(jié)點集合，Sh表示未被感染的監(jiān)控節(jié)點集合，U是被感 染節(jié)點被感染的絕對時間；
[0035] 使用如下公式獲取傳播事件的似然估計L(ii. U:
[0036]
[0037] 其中S1，Sh e S中的S表示所有監(jiān)控節(jié)點集合；
[0038]使用如下公式將似然函數取極大值時的Uf和tf分別作為風險傳播源和風險傳播時 間的估計值：
[0039]
〇
[0040]本發(fā)明具有如下有益效果：
[0041 ] 1、精度高：通過在一些現實大型網絡US.Power Grid，Facebook，AS-level Internet上分別進行100次溯源實驗。其中，US.Power Grid網絡上能夠達到80%左右的精 確率，另外20 %的定位誤差在1到3hops。而在Facebook和AS-Internet上本發(fā)明方法能夠 100%地定位到風險源頭，大大優(yōu)于目前的網絡風險溯源算法。
[0042] 2、適應于各種不同的網絡架構，如存在小世界特性的Facebook以及存在冪律特性 的AS-level Internet網絡等。
[0043] 3、計算量小:反向傳播算法極大地縮小了源搜索范圍，相比于傳統(tǒng)算法計算量大 大減小。
[0044] 以下結合附圖及實施例對本發(fā)明作進一步詳細說明，但本發(fā)明的一種基于反向傳 播的網絡風險源頭追溯方法不局限于實施例。
【附圖說明】
[0045] 圖1為本發(fā)明方法的主流程圖；
[0046] 圖2是本發(fā)明的反向傳播法縮小搜索方法的原理圖；
[0047] 圖3是本發(fā)明的網絡個體在風險傳播過程中的狀態(tài)轉化圖；
[0048]圖4是本發(fā)明方法在三種現實網絡上的溯源實驗結果圖。
【具體實施方式】
[0049] 參見圖1，一種基于反向傳播的網絡風險源頭追溯方法，包括如下步驟：
[0050] 步驟101，將網絡中愿意被監(jiān)控的用戶設置為監(jiān)控節(jié)點并進行監(jiān)控；
[0051 ]步驟102，網絡風險傳播事件發(fā)生一定時間后，標記所有被感染監(jiān)控節(jié)點，按照監(jiān) 控節(jié)點被感染時間差從被感染監(jiān)控節(jié)點處向已提取的網絡拓撲上洪泛式廣播標記的風險， 統(tǒng)計網絡拓撲中能同時接收到所有標記風險的節(jié)點并將所述節(jié)點添加到潛在的風險源集 合中；
[0052]步驟103,基于潛在的風險源集合和網絡節(jié)點在風險傳播過程中狀態(tài)轉化的動態(tài) 性，建立網絡風險的微觀傳播模型;所述狀態(tài)包括健康、感染狀態(tài)和被感染且具有感染性；
[0053]步驟104,基于所述微觀傳播模型，采用極大似然估計法從所述潛在的風險源集合 中定位風險源頭。
[0054]如下將詳細介紹基于反向傳播的網絡風險源頭追溯方法。
[0055]監(jiān)控網絡中一定比例的愿意被監(jiān)控的用戶，安全管理人員可以隨時提取其各種狀 態(tài)信息，所述狀態(tài)信息包括但不限于是否接收到風險感染，以及其對應的被感染的絕對時 間。
[0056]進一步的，當網絡風險傳播事件發(fā)生了一定時間后，安全管理人員將所有監(jiān)控節(jié) 點標記，然后按照監(jiān)控節(jié)點的被感染時間差從被感染監(jiān)控節(jié)點處向已提取的網絡拓撲上洪 泛式廣播標記的風險。網絡拓撲中能夠同時接收到所有標記風險的用戶即為潛在風險源， 將其加入到潛在的風險源集合中。
[0057]上述步驟的收集潛在風險源偽代碼如下：
[0059]上述偽代碼中，di = max(T)-Ti，（i e [I，n])，n表示被感染的監(jiān)控用戶的總數，i是 區(qū)間[l，n]中的變量，用來表示第i個用戶。而T= …U (n= I S1I)表示被感染用戶被 感染的絕對時間。Uax表示反向傳播的輪數，且tmax >maX ( di )。
[0060] 本實施例中，如圖2所示為反向傳播法縮小搜索方法的原理圖，其中圖（a)表示基 本的網絡拓撲結構，圖（b)表示風險傳播事件，圖（c)表示反向傳播事件。通過圖（C)中的反 向擴散法從被感染的監(jiān)控節(jié)點處按照感染的時間差發(fā)送標記的風險。如圖2,按照被感染節(jié) 點的感染的絕對時間差進行分類，分成A、B、C、D四類(實際情況中會有更多類別，圖中僅以 四類為例）。假設T= {τ?，τ2···τη} (n= I S11 )表示被感染用戶被感染的絕對時間，則感染時間 差di=max(T)-Ti，（i e [I，n])。將di = 0，l，2,3的節(jié)點分別標記為D，C，B，A類節(jié)點。反向傳播 時A類節(jié)點先廣播，單位時間后B類節(jié)點廣播，依次類推。網絡中同時接收到所有標記風險的 節(jié)點則是潛在風險源節(jié)點。反向傳播后，得到較小的潛在風險源集合，并且風險源頭一定在 這個集合中。
[0061] 進一步的，建立網絡風險的微觀傳播模型。風險的微觀傳播模型中，關注的是網絡 個體用戶在風險傳播過程的狀態(tài)轉化的動態(tài)性。如下給出以下四個迭代公式來表示風險的 傳播：
[0062] Ps(i，t;u) = [l_v(i，t)] · Ps(i，t_l;u) (I)
[0063] Pi(i，t;u)=v(i，t) · Ps(i，t-l;u)+Pi(i，t_l;u) (2)
[0064]
[0065] Pc(i，t;u)=v(i，t) · Ps(i，t_l;u) (4)
[0066] 其中，S代表健康，I代表感染狀態(tài)(不具有感染性），C表示節(jié)點被感染且具有感染 性。（如圖3表示網絡個體在風險傳播過程中的狀態(tài)轉化圖，同現實情況類似，不考慮風險的 重復感染。用戶只會在被感染的下一輪傳播風險，隨后失去感染性，變?yōu)镮狀態(tài)，I狀態(tài)不會 再發(fā)送風險。）。公式（1)、（2)、（4)中的？ 5(^1!)、？1(^1!)、？。(^11)分別表示網絡風險 從傳播源u e U開始，傳播t時間后是S、I以及C狀態(tài)的概率。TU je[0，l]是網絡中任意兩個用 戶的歷史傳播概率。當rUj = 〇時表示節(jié)點i、j之間不存在連接，nij = 1表示但凡用戶i收到新 的信息都將轉發(fā)給用戶>v(i，t)表示t時刻個體被感染的概率，和其所有拓撲鄰居(N1表示 用戶i的鄰居用戶集合)的PcXi，t;u)相關。
[0067] 進一步的，基于確認的潛在風險源集合，采用極大似然估計法來從潛在風險源集 合中確認真正的風險源頭，即定位風險源頭。具體的方法可由下面三個公式得到：
[0068]
[0069]
[0070]
[0071] 其中，S1是被感染的監(jiān)控用戶集合，Sh是未被感染的監(jiān)控用戶集合，ti是被感染用 戶被感染的絕對時間。首先將所有潛在的風險源ueu利用(5)式計算其似然函數L(u，t)。因 為每個潛在的風險源可能會在不同時刻多次同時接收到所有風險副本，因此通過(6)式來 得到傳播時間的似然估計L( W,gu)。最后通過(7)式求解，將似然函數取極大值時的Uf和tf分 別作為風險傳播源和風險傳播時間的估計值。
[0072] 具體的，在一些現實大型網絡US.Power Grid，Facebook，AS_level Internet上分 別進行100次溯源實驗，如圖4所示為在上述三種現實網絡上的溯源實驗結果圖，圖中δ為被 監(jiān)控用戶占網絡總用戶的比例。其中，US.Power Grid網絡上平均能夠達到80%左右的精確 率，另外20 %的定位誤差在1到3hops。而在Facebook和AS-Internet上本發(fā)明方法能夠 100%地定位到風險源頭，大大優(yōu)于目前的網絡風險溯源算法。
[0073] 以上所述僅為本發(fā)明的較佳實施例，并不用以限制本發(fā)明，凡在本發(fā)明的精神和 原則之內，所作的任何修改、等同替換、改進等，均應包含在本發(fā)明的保護范圍之內。
【主權項】
1. 一種基于反向傳播的網絡風險源頭追溯方法，其特點在于，包括： 將網絡中愿意被監(jiān)控的用戶設置為監(jiān)控節(jié)點并進行監(jiān)控； 標記所有被感染監(jiān)控節(jié)點，按照監(jiān)控節(jié)點被感染時間差從被感染監(jiān)控節(jié)點處向已提取 的網絡拓撲上洪泛式廣播標記的風險，統(tǒng)計網絡拓撲中能同時接收到所有標記風險的節(jié)點 并將所述節(jié)點添加到潛在的風險源集合中； 基于潛在的風險源集合和網絡節(jié)點在風險傳播過程中狀態(tài)轉化的動態(tài)性，建立網絡風 險的微觀傳播模型;所述狀態(tài)包括健康、感染狀態(tài)和被感染且具有感染性； 基于所述微觀傳播模型，采用極大似然估計法從所述潛在的風險源集合中定位風險源 頭。2. 根據權利要求1所述的基于反向傳播的網絡風險源頭追溯方法，其特征在于，所述將 網絡中愿意被監(jiān)控的用戶設置為監(jiān)控節(jié)點并進行監(jiān)控，監(jiān)控信息包括： 監(jiān)控節(jié)點是否接收到風險感染及如果接收到風險感染其被感染的絕對時間。3. 根據權利要求1所述的基于反向傳播的網絡風險源頭追溯方法，其特征在于，所述監(jiān) 控節(jié)點被感染時間差用如下公式表示： di=max(T)-Xi 其中，i表示第i個被感染的監(jiān)控節(jié)點，i G [l，n]，n表示被感染的監(jiān)控節(jié)點的總數;T = {Tl，T2-，Tn}表示監(jiān)控節(jié)點被感染的絕對時間。4. 根據權利要求3所述的基于反向傳播的網絡風險源頭追溯方法，其特征在于，按照監(jiān) 控節(jié)點被感染時間差從被感染監(jiān)控節(jié)點處向已提取的網絡拓撲上洪泛式廣播標記的風險， 統(tǒng)計網絡拓撲中能同時接收到所有標記風險的節(jié)點并將所述節(jié)點添加到潛在的風險源集 合中，包括： 被感染的監(jiān)控節(jié)點的被感染時間差到，被感染的監(jiān)控節(jié)點向其所有相鄰節(jié)點發(fā)送被節(jié) 點標記的風險副本； 網絡拓撲中的任一節(jié)點第一次接收到被感染監(jiān)控節(jié)點標記的風險副本后，廣播該風險 副本到其所有的相鄰節(jié)點； 如果網絡拓撲中的任一節(jié)點同時接收到了所有被感染監(jiān)控節(jié)點標記的風險副本，則把 該節(jié)點加入到潛在的風險源集合中。5. 根據權利要求4所述的基于反向傳播的網絡風險源頭追溯方法，其特征在于，所述基 于潛在的風險源集合和網絡節(jié)點在風險傳播過程中狀態(tài)轉化的動態(tài)性，建立網絡風險的微 觀傳播模型包括： 建立如下迭代公式來表示風險的傳播： Ps(i，t;u) = [l-v(i，t)] ? Ps(i，t-l;u)Pl ( i , t; u) = V( T t') ? I . t -I *11 ')+Pti I . t -I ? n ') Pc(i ,t；u) =v(± , L； -rsv±,L-i；uy 其中，？5(1，*;11)、？1(1，*;11)、？。（1，*;11)分別表示網絡風險從潛在傳播源11￡1]開始，傳 播t時間后S、I及C狀態(tài)的概率，U表示潛在的風險源集合，S代表健康，I代表感染狀態(tài)，C表示 被感染且具有感染性;v(i，t)表示t時刻節(jié)點被感染的概率，IluG [〇，1]是網絡中任意兩個 節(jié)點的歷史傳播概率，nij = O時示節(jié)點i、j之間不存在連接，Tli j = I表示節(jié)點i將收到的任何 信息都傳給節(jié)點j ;Ni表示節(jié)點i的相鄰節(jié)點的集合。6.根據權利要求5所述的基于反向傳播的網絡風險源頭追溯方法，其特征在于，所述基 于所述微觀傳播模型，采用極大似然估計法從所述潛在的風險源集合中定位風險源頭，包 括： 使用如下公式計算潛在傳播源U的似然函數L(u，t):其中，Si表示被感染的監(jiān)控節(jié)點集合，細表示未被感染的監(jiān)控節(jié)點集合，ti是被感染節(jié) 點被感染的絕對時間； 使用如下公式獲取傳播事件的似然化計其中Si，Sh G S中的S表示所有監(jiān)巧節(jié)點集合；使用如下公式將似然函數取極大值時的Uf和tf分別作為風險傳播源和風險傳播時間的 估計值： Q
【文檔編號】H04L29/06GK105915399SQ201610482278
【公開日】2016年8月31日
【申請日】2016年6月27日
【發(fā)明人】王田, 文晟, 吳群, 吳尤可, 梁俊斌, 賴永炫
【申請人】華僑大學