1.   引言

攻击和防御是网络安全博弈的一对孪生子，尽管目前出现了动态目标防御、集体防御等策略和技术，但是网络安全总体上仍处于易攻难守的态势。在这种易攻难守的态势下，网络安全组织通常专注于解决单种病毒的防御问题，这种针对单一病毒攻击的防御设计在多数情况下也相对有效^[1,2]。与此同时，网络安全博弈同步加速了混合攻击^[3]等新型攻击策略和技术的发展。2017年6月出现的NotPetya勒索病毒，能够在加密文件实现勒索的同时秘密清除内部数据，实施“二次破坏”；10月出现的“坏兔子”勒索病毒，可以利用恶意软件感染媒体网站，同时隐藏强大的鱼叉式网络钓鱼攻击。相对而言，这些新型病毒强调利用显式攻击分散防御方注意力，从而将另一种具有隐藏特性的病毒注入目标网络，并寻找合适的激活时机实施2次攻击。在攻击过程中，两种方式同时展开，一种攻击方式下的病毒直接攻击感染网络节点单元，但易被网络防御系统检测并查杀；另一种则利用免杀技术，如加壳，花指令，修改特征码等，隐藏病毒表征特性，避免被杀毒软件检杀，从而潜伏到网络节点单元中等待激活。综合这类病毒的发展和特征，我们将其定义为“去二存一”型病毒，即两种病毒同时展开攻击，而最终只有一种病毒大规模存活于网络中。据“趋势科技”预测，这类病毒在2018年网络安全领域将相对普遍^[3]。

针对“去二存一”型病毒入侵，防御方需要对新型病毒的扩散方式和免疫策略有所研究。当现实网络遭受普通病毒入侵时，如网络中的节点遭到攻击感染，导致网络节点失效和网络系统瘫痪，通常采用信息/病毒扩散建模分析的方法研究病毒传播规律、影响因素和免疫策略。如文献[4]应用SIE(Susceptible-Infected-External)模型研究了外部因素影响下的计算机病毒扩散问题，文献[5]构建SIR(Susceptible-Infected-Removed)模型研究蠕虫病毒扩散方式，并运用数值逼近法分析其稳定性，文献[6]研究了相关异构感染率下的SIS(Susceptible-Infected-Susceptible)病毒传播模型。考虑到实际网络中免疫节点会衰退为易感节点，文献[7,8]构建SIRS(Susceptible-Infected-Removed-Susceptible)信息扩散模型，运用李雅普诺夫函数分析其平衡点的稳定性，并引入状态概率转移法研究病毒传播规律。基于网络行动的时延和内部节点的损伤特性，文献[9]提出SLBS(Susceptible-Latent-Breaking-Susceptible)模型，重点分析非线性感染率对病毒传播的影响。借鉴传染病模型中隔离者概念，文献[10]构建SIQRS(Susceptible-Infected-Quarantine-Removed-Susceptible)复杂网络病毒扩散模型，并提出与度相关的更加准确的病毒传播率。考虑到现实网络对病毒的查杀，文献[11]构建SIVRS(Susceptible-Infected-Variant-Recovery-Susceptible)病毒扩散模型，并对病毒扩散控制问题进行探索。针对网络结构与功能的不同，文献[12－14]研究了不同网络下病毒传播模型及系统的稳定性。考虑网络中多种不确定因素对病毒传播的影响，文献[15－18]研究了不同因素影响下病毒扩散的免疫控制方法。这些成果为开展网络病毒扩散、稳定性分析和免疫控制提供了理论和方法参考，但主要限定于单种病毒的扩散研究，对于“去二存一”型病毒而言，扩散机理和相应的查杀免疫机制都有了新的变化，具体而言：(1)新型病毒存在两种并行攻击手段，一种是直接以病毒的形式入侵目标网络，攻击和感染目标网络的易感节点，另一种通过隐藏自身的病毒特性，避开目标网络防御系统的检测，达到潜伏的目的。(2)攻击方通常会选择在合适的时机激活潜伏的病毒，然后迅速大幅度感染目标网络中的易感节点，达到“奇袭”的目的；因特殊原因无法激活或行动结束后尚未激活的潜伏病毒，可以再次转化为易感节点。(3)网络防御系统会加大对病毒的检杀力度，使得病毒/受病毒感染的节点尽可能地恢复到健康状态，再次转化为易感节点；对于很难在有效时间内清除所有病毒的情况，防御方会选择对部分病毒节点/受病毒感染节点实施物理隔离，防止病毒进一步感染其它节点，并在隔离阶段完成对隔离节点的免疫修复。基于以上分析，需要构建新的病毒扩散模型来研究“去二存一”混合机制下网络病毒扩散机理，通过稳定性分析研究病毒入侵后网络系统的演化过程，并寻找可能的防御途径及方法。

2.   模型构建

在传统的SIRS信息扩散模型^[7,8]基础上引入潜伏状态E，并根据新型病毒的攻击方式，完善易感状态向潜伏状态和感染状态的双重转化过程：易感状态S→潜伏状态E，易感状态S→感染状态I。其中，S→E过程表示网络易感节点被潜伏型病毒入侵，进入待激活状态；S→I过程表示网络易感节点被直接攻击型病毒感染为感染节点，并具备感染其他易感节点的能力。考虑到网络中部分易感节点在未被感染时也会具备抗病毒能力，免受网络病毒攻击感染，即存在易感状态S→免疫状态R。另外，处于潜伏状态的节点E，会以一定的概率被激活，从而转变为感染节点I，即E→I。同时，一部分潜伏状态节点E无法被激活或到行动结束也未激活，从而失去被激活的意义，再次转化为易感节点S，即E→S。考虑到网络防御系统对病毒节点查杀效果的不彻底性，根据文献[9,19,20]中传染病模型隔离者概念及复杂网络渗流理论，对部分受感染的节点进行物理隔离，断开与其它节点的连接。在此基础上，引入隔离状态Q，并根据系统防御机制，完善感染状态向易感状态和隔离状态的双重转化：感染状态I→易感状态S，感染状态I→隔离状态Q。其中，I→S表示受感染节点被网络防御系统检测并清除其中病毒，重新转变到易感状态；I→Q表示对未能被清除病毒的节点进行隔离，断开与外界的传播途径。考虑到大部分病毒传播速度十分迅速，需要将病毒节点先进行隔离，再进行免疫处理，避免免疫期间感染其他节点。因此，这里免疫过程只针对被隔离的节点，不再单独考虑对感染节点直接进行免疫的情况，即只存在隔离状态Q→免疫状态R。其次，考虑到病毒在扩散过程中可能会存在变异等行为，使得免疫节点对变异后病毒失去免疫能力，即存在免疫状态R→易感状态S。

基于以上考虑，构建“去二存一”混合机制下的SEIQRS病毒扩散模型，如图1所示。

图 1  “去二存一”混合机制下的SEIQRS病毒扩散模型

下载: 全尺寸图片 幻灯片

其中，N为网络总节点数，k为网络节点平均度。S(t), E(t), I(t), Q(t)和R(t)分别表示t时刻易感节点、潜伏节点、感染节点、隔离节点和免疫节点的数量。感染节点可分为两部分，一部分为被潜伏型病毒感染的节点，处于激活状态，具备感染能力，记作I₁；另一部分为被直接攻击型病毒感染的节点，记作I₂。假设I₁在感染节点中所占比例为${\beta _0}$，则I₁的数量为${\beta _0}I{{(t)}}$，每次接触感染的概率为${\beta _1}$，单位时间内一个感染节点与其他易感节点接触的次数为U，则平均有效接触率为${\beta _1}US/N$，即每个被潜伏型病毒感染的节点的感染率表达式为${\beta _1}US/N$。根据关治洪等人^[10]的研究得知，接触次数U与节点度k成正比，即$U = {\beta _2}k$，从而得到单个I₁节点的感染率为${\beta _1}{\beta _2}kS({\rm{t}})/N$，则单位时间内所有潜伏型感染节点I₁的感染数为${\beta _0}{\beta _1}{\beta _2}kS({\rm{t}})I({\rm{t}})/N$，记$\beta = {\beta _0}{\beta _1}{\beta _2}$为I₁的感染系数，则感染数可简化为$\beta kS({\rm{t}})I({\rm{t}})\!/\!N$。同理，可得I₂的感染数为$\alpha kS({\rm{t}})I({\rm{t}})\!/\!N$，其中$\alpha$为I₂的感染系数。假设单位时间单个潜伏节点在网络行动中未被激活的概率为$\theta$，则总的潜伏节点未被激活数量为$\theta E({\rm{t}})$。同理，单位时间内其余状态节点之间的转移数量依次可得。

根据微分动力学原理，参照文献[6－8]，可得扩散模型对应的数学模型：

假设网络节点状态仅在5类状态间转化，节点总数恒定为N=S(t)+E(t)+I(t)+Q(t)+R(t)，其中免疫状态节点数量R(t)可表示为R(t)=N–S(t)–E(t)–I(t)–Q(t)，则式(1)可进一步表示为

3.   稳定性分析

网络系统稳定是指网络中不同状态的节点数量随时间变化逐步趋于稳定，可通过求解分析系统方程平衡点得到网络系统稳定时各状态节点的数量和性能。令式(2)中$\displaystyle\frac{{{\rm{d}}S(t)}}{{{\rm{d}}t}} = 0$, $\displaystyle\frac{{{\rm{d}}E(t)}}{{{\rm{d}}t}} = 0$, $\displaystyle\frac{{{\rm{d}}I(t)}}{{{\rm{d}}t}} = 0$, $\displaystyle\frac{{{\rm{d}}Q(t)}}{{{\rm{d}}t}} = 0$，可得网络系统的一个平衡点为${P^0}({S^0},{E^0},{I^0},{Q^0}) = \left( {\displaystyle\frac{{\delta N}}{{(\varphi + \delta )}},0,0,0} \right)$。

式(2)存在另一个平衡点${P^1}({S^1},{E^1},{I^1},{Q^1})$，其中，

分析可得，${I^1}$存在一个阈值，决定网络系统中感染节点是否完全被清除。借鉴文献[10,11]中基本再生数概念和病毒传播理论，定义基本再生数${R_0} = \displaystyle\frac{{k\delta (\alpha \theta + \alpha \gamma + \beta \gamma )}}{{(\varphi + \delta )(\sigma + \omega )(\theta + \gamma )}}$。显然，当且仅当${R_0} \le 1$时，${I^1} \le 0$，考虑实际病毒扩散过程中，各节点数量非负，因而，对应平衡点${P^1}$处的感染节点数为0，系统中感染节点被完全清除。

令${P^*}({S^*},{E^*},{I^*},{Q^*})$为式(2)的任意平衡点，根据式(2)可得任意平衡点的Jacobi矩阵为

定理 1　当${R_0} \le 1$时，式(2)在平衡点${P^0}$局部渐近稳定；当${R_0} > 1$时，在平衡点${P^0}$处不稳定。

证明　由式(3)可得平衡点${P^0}$处的Jacobi矩阵为

矩阵${{J}}({P^0})$对应的特征多项式为

解得特征根${\lambda _1} = - \varepsilon$, ${\lambda _2} = - (\psi + \delta )$，等式$(\lambda + \gamma + \theta )\left( {\lambda + \sigma + \omega - \displaystyle\frac{{\alpha k\delta }}{{\delta + \varphi }}} \right) - \displaystyle\frac{{\beta k\delta \gamma }}{{\varphi + \delta }} = 0$的解是多项式的另外两个特征根，设为${\lambda _3}$, ${\lambda _4}$。分析可知：当${R_0} \le 1$时，${\lambda _3} + {\lambda _4} < 0$, ${\lambda _3} \cdot {\lambda _4} \ge 0$，则${\lambda _3}$, ${\lambda _4}$实部均为负，平衡点${P^0}$处局部稳定；当${R_0} > 1$时，${\lambda _3}$, ${\lambda _4}$至少有一个特征根为正，平衡点${P^0}$处局部不稳定。 证毕

定理 2　当${R_0} > 1$时，式(2)在平衡点${P^1}$局部渐近稳定；当${R_0} \le 1$时，在平衡点${P^1}$处不稳定。

证明　由式(3)可得平衡点${P^1}$处的Jacobi矩阵为

设矩阵${{J}}({P^1})$对应的特征多项式为

计算可得，${\mu _1} = \varepsilon + {M_1}$, ${\mu _2} = \varepsilon {M_1} + {M_2}$, ${\mu _3} = \varepsilon {M_2} + {M_3}$, ${\mu _4} = \varepsilon {M_3}$。其中，

计算可得，当${R_0} > 1$时，${\mu _1},{\mu _2} > 0$, ${\mu _1}{\mu _2} - {\mu _3} > 0$，且${\mu _1}{\mu _2}{\mu _3} - {\mu _3}^2 - {\mu _4} > 0$。根据Routh-Hurwitz稳定判据^[11－13]，式(7)对应的Routh表第一列元素均为正值，因此，在平衡点${P^1}({S^1},{E^1},{I^1},{Q^1})$处局部稳定。 证毕

由上述分析可知，系统的稳定性与基本再生数${R_0}$有紧密联系。当${R_0} \le 1$时，系统在无病毒平衡点${P^0}$处局部渐近稳定，即网络系统中不存在病毒节点；当${R_0} > 1$时，系统在感染源平衡点${P^1}({S^1},{E^1},{I^1},{Q^1})$处局部渐近稳定，即网络系统中存在病毒节点。通过分析基本再生数${R_0} = \displaystyle\frac{{k\delta (\alpha \theta + \alpha \gamma + \beta \gamma )}}{{(\varphi + \delta )(\sigma + \omega )(\theta + \gamma )}}$可知，网络节点平均度k及“去二存一”混合机制下的感染系数$\alpha$, $\beta$对基本再生数的影响是正向的，即3个参数值越大，R₀越大，病毒在网络系统中扩散规模越大；防御机制下的3个转移参数$\varphi$, $\sigma$, $\omega$对基本再生数的影响是反向的，即3个参数值越大，R₀越小，病毒在系统中扩散规模越小。换言之，如果“去二存一”病毒的两种攻击强度不超过防御门限值，则防御方可通过检杀-隔离-免疫机制修复感染节点，使网络系统将恢复到健康状态，并趋向稳态；反之，如果攻击强度超过防御门限值，防御方未能完全清除系统内病毒节点，最终网络系统会趋向于一种有病毒节点的稳态，且系统中待激活的病毒节点、受病毒感染节点以及被隔离的病毒节点将以一定比例持续存在。“去二存一”病毒的攻击能力由两种攻击方式共同决定，相对而言，它的潜在威胁力可能更大。

4.   仿真分析

定理1和定理2表明，当${R_0} \le 1$时，系统在无病毒平衡点${P^0}$处局部渐近稳定；当${R_0} > 1$时，系统在感染源平衡点${P^1}({S^1},{E^1},{I^1},{Q^1})$处局部渐近稳定。为验证理论分析的合理性，围绕基本再生数${R_0} = \displaystyle\frac{{k\delta (\alpha \theta + \alpha \gamma + \beta \gamma )}}{{(\varphi + \delta )(\sigma + \omega )(\theta + \gamma )}}$，重点对网络节点度k、两种感染方式下感染系数$\alpha$, $\beta$以及查杀参数$\sigma$仿真。由于Matlab组件Simulink可以仿真求解非线性微分方程组，适用于病毒传播动力学模型求解分析，以下使用该工具分析4个参数对系统稳定性的影响，进而验证模型的有效性以及网络系统的演进关系。通过平衡点分析可知，在系统最终稳定时，潜伏节点E、感染节点I和隔离节点Q的数量存在正比例关系。为反映系统状态随时间的变化，以S(t), E(t)和I(t)为轴建立3维坐标系，并参照文献[8－10,12－14]设置相关参数，令节点数量初始值(S(0), E(0), I(0), Q(0))=(980, 0, 20, 0), $\alpha = 0.1$, $\beta = 0.3$, $\theta = 0.1$, $\gamma = 0.6$, $\sigma = 0.4$, $\omega = 0.5$, $\varepsilon = 0.4$, $\varphi = 0.4$, $\delta = 0.2$, N=1000, k=10。若无特殊说明，3维仿真图中自变量t在[0, 200]之间取值。

4.1   网络平均度k

考虑网络平均度对流通性的影响较大，先仿真分析网络平均度k对新型病毒传播的影响。令基本再生数R₀=1，对应网络平均度${k_{\lim }} =$$\displaystyle\frac{{(\varphi + \delta )(\sigma + \omega )(\theta + \gamma )}}{{\delta (\alpha \theta + \alpha \gamma + \beta \gamma )}} = 7.56$。分别取k=5和k=10进行仿真，各状态节点数量随时间的变化结果如图2所示。令k在区间[0, 15]内取值，步长为5，观察感染节点数量I(t)在不同k值下的变化情况，结果如图3所示。

图 2  k=5和k=10时各状态节点数量

下载: 全尺寸图片 幻灯片

图 3  不同k值下I(t)随时间的变化

下载: 全尺寸图片 幻灯片

由图2和图3分析可知，当$k \le {k_{\lim }}$时，${R_0} \le 1$，系统局部渐近地稳定在平衡点${P^0}$处；当$k > {k_{\lim }}$时，${R_0} > 1$，系统局部渐近地稳定在${P^1}$处。仿真结果表明，在网络系统演化中，网络平均度越大，病毒节点数量峰值越大，病毒在网络中扩散规模越大，稳定后的网络系统中感染节点越多。特殊地，当网络平均度$k = 0$时，即网络中节点都处于断开连接状态，病毒会在系统自身防御机制下被清除，感染节点数量趋于0。

4.2   感染系数$\alpha$

考虑“去二存一”混合机制下易感节点被双重感染的特点，仿真分析两种感染方式下的感染系数$\alpha$, $\beta$对新型病毒传播的影响。首先，对感染系数$\alpha$进行仿真验证。令基本再生数R₀=1，对应的感染系数${\alpha _{\lim }} = \displaystyle\frac{{(\delta + \varphi )(\sigma + \omega )}}{{k\delta }} -\displaystyle \frac{{\beta \gamma }}{{(\gamma + \theta )}} = 0.013$。分别取$\alpha = 0.01$和$\alpha = 0.1{\rm{0}}$进行仿真，仿真时间取[0, 800]，各状态节点数量随时间的变化结果如图4所示。令$\alpha$在区间[0, 0.03]内取值，步长为0.01，观察感染节点数量I(t)在不同$\alpha$值下的变化情况，仿真结果如图5所示。

图 4  $\alpha = 0.01$和$\alpha = 0.10$时各状态节点数量

下载: 全尺寸图片 幻灯片

图 5  不同$\alpha$值下I(t)随时间的变化

下载: 全尺寸图片 幻灯片

由图4和图5分析可知，当$\alpha \le {\alpha _{\lim }}$时，${R_0} \le 1$，系统局部渐近地稳定在平衡点${P^0}$处；当$\alpha > {\alpha _{\lim }}$时，${R_0} > 1$，系统局部渐近地稳定在${P^1}$处。仿真结果表明，I₁型感染节点的感染系数越大，病毒节点数量峰值越大，病毒扩散规模越大，稳定后感染节点越多。此外，对图5的进一步分析表明，当接触率$\alpha = 0$，即不存在直接攻击时，网络系统可通过自身防御机制快速清除病毒节点。

4.3   感染系数$\beta$

仍然令基本再生数R₀=1，对应的感染系数${\beta _{\lim }} = \displaystyle\frac{{(\delta + \varphi )(\gamma + \theta )(\sigma + \omega )}}{{k\delta \gamma }} - \displaystyle\frac{{\alpha (\gamma + \theta )}}{\gamma } = 0.2$。取$\beta = 0.1$和$\beta = 0.5$分别进行仿真，各状态节点数量变化如图6所示。令$\beta$在区间[0, 0.45]内取值，步长为0.15，观察感染节点数量I(t)在不同$\beta$取值下的变化情况，结果如图7所示。

图 6  $\beta = 0.1$和$\beta = 0.5$时各状态节点数量

下载: 全尺寸图片 幻灯片

图 7  不同$\beta$值下I(t)随时间的变化

下载: 全尺寸图片 幻灯片

由图6和图7分析可知，当$\beta \le {\beta _{\lim }}$时，${R_0} \le 1$，系统局部渐近地稳定在平衡点${P^0}$处；当$\beta > {\beta _{\lim }}$时，${R_0} > 1$，系统局部渐近地稳定在${P^1}$处。仿真结果表明，I₂型感染节点的感染系数越大，病毒扩散规模越大，稳定后感染节点越多。此外，对图6的进一步分析表明，当感染系数$\beta = 0$时，即系统中不存在潜伏机制病毒时，防御系统可以在病毒入侵初期就迅速清除感染节点，并使网络系统稳定在健康状态。

4.4   查杀参数$\sigma$

考虑病毒入侵后网络防御系统的检杀-隔离-免疫机制，依次分析转移参数$\sigma ,w,\varphi$对新型病毒传播的影响。令基本再生数R₀=1，对应的查杀参数${\sigma _{\lim }} = \displaystyle\frac{{k\delta (\alpha \theta + \alpha \gamma + \beta \gamma )}}{{(\varphi + \delta )(\theta + \gamma )}} - \omega = 0.69$。取$\sigma = 0.3$和$\sigma = 1.2$分别进行仿真，各状态节点数量随时间的变化结果如图8所示。令$\sigma$在区间[0, 1.2]内取值，步长为0.4，观察感染节点数量I(t)在不同$\sigma$取值下的变化情况，结果如图9所示。

图 8  $\sigma = 0.3$和$\sigma = 1.2$时的各状态节点数量

下载: 全尺寸图片 幻灯片

图 9  不同$\sigma$值下I(t)随时间的变化

下载: 全尺寸图片 幻灯片

由图8和图9分析可知，当$\sigma > {\sigma _{\lim }}$时，${R_0} \le 1$，系统局部渐近地稳定在平衡点${P^0}$处；当$\sigma \le {\sigma _{\lim }}$时，${R_0} > 1$，系统局部渐近地稳定在${P^1}$处。仿真结果表明，网络防御系统对感染病毒的节点检测查杀比例越小，病毒扩散规模越大，稳定后的网络系统中感染节点越多。当$\sigma = 0$，即网络防御系统不具备病毒检杀机制时，系统中病毒数量会迅速上升，在系统稳定时存在大量病毒节点。通过对基本再生数${R_0} = \displaystyle\frac{{k\delta (\alpha \theta + \alpha \gamma + \beta \gamma )}}{{(\varphi + \delta )(\sigma + \omega )(\theta + \gamma )}}$的分析，得知转移参数$\varphi ,\sigma ,w$都与再生数${R_0}$成反比，仿真结果验证免疫参数$\varphi$和隔离参数$\omega$对系统稳定性的影响与参数$\sigma$相似，这里不再分析。

5.   结论

理论分析和仿真结果表明：(1)在网络行动的起始阶段，“去二存一”型病毒攻击网络系统并潜伏于网络节点中，防御系统未检测到潜伏病毒的节点，系统中病毒节点数量逐渐增加，并在激活后感染其他网络节点；一旦防御系统检测到病毒节点，便启用有效防御手段，迅速清除病毒。但最终网络中是否存在病毒节点，取决于网络系统自身的防御能力。(2)在网络安全防御行动中，可以通过改变复杂网络的节点度来有效控制病毒在网络系统中的扩散规模，从而维护网络空间安全。通过减小网络节点度，来减缓病毒在网络系统中的扩散速度，使其感染能力不超过网络防御门限，从而将网络系统稳定在无病毒状态，维持网络空间的健康。(3)网络防御系统针对病毒入侵存在3种防御机制——隔离、免疫、检测查杀，3种防御手段对系统的稳定性具有同向作用。防御方可通过增大这3种机制下的转移参数，来提高网络系统防御能力，维护网络空间安全。