大家读完觉得有帮助记得关注和点赞！！！

摘要：
自动化、多向量恶意软件威胁的快速扩散对异构、资源受限的赛博物理网络构成了重大风险。传统的流行病学模型通常将安全防御视为静态参数，未能捕捉攻击者与防御者之间战略性的、非对称的博弈。为弥补这一空白，本文提出了一种博弈论集成的改进型多无线传感器流行病恶意软件传播（GTI-mSEMP）框架。本文分析并比较了易感（S）和恢复（R）节点群体在三种不同运行机制下的演化轨迹：均衡对抗、利用激增和强化防御。数值模拟结果捕捉了网络状态变量的实时瞬态动态，展示了当防御或进攻缩放向量具有效率优势时，流行病曲线的变化。所提出的数学和数值框架为在高度对抗性网络环境中评估动态恶意软件传播和预测局部节点群体状态提供了严格的基础。

关键词： 攻防策略；暴力破解攻击；网络安全；恶意软件传播；SEIR模型。

I. 引言

随着物联网（IoT）连接智慧城市的兴起，大多数无线系统现在都容易受到恶意软件攻击[1-4]。一些恶意软件攻击包括：（i）蠕虫，（ii）僵尸网络，（iii）病毒，（iv）特洛伊木马和（v）勒索软件等[5-8]。恶意软件可以允许未经授权访问系统，从而导致多种网络安全威胁，包括泄露机密信息、消耗宝贵资源或能源，甚至敌对接管目标网络[9]。

通过网络传播的恶意软件可以被建模以评估其入侵速度，并实时预测其未来的影响[10]。网络安全分析师需要动态模拟模型来分析恶意代码通过其网络的演变和传播。

2016年，Mirai僵尸网络引发了一系列大规模拒绝服务（DDoS）攻击[11]。Antonakakis等人调查了2016年8月1日至2017年2月28日期间Mirai僵尸网络的增长和DDoS活动，并创建了一个综合数据集，以开发未来攻击的技术和非技术防御措施[12]。另一个著名的僵尸网络是2019年的Mozi IoT恶意软件攻击，它能够感染150万台IoT设备[13]。与依赖集中式命令与控制（C2）服务器基础设施的Mirai不同，Mozi利用了基于分布式哈希表（DHT）的对等（P2P）网络拓扑。

另一个危险网络威胁的例子是零日勒索软件WannaCry，它能够使来自150多个国家的大型企业和医院设施停止运营[14]。WannaCry恶意软件依赖于服务器消息块（SMB）协议，该协议检查IP地址并尝试通过TCP端口445进行连接[15-17]。

尽管有安全协议，但对传播模型进行全面实时理解以限制传播至关重要。数学模拟在此类分析中可以发挥关键作用。易感、暴露、感染和恢复（SEIR）通常是恶意软件攻击的四个阶段，该模型用于预测受感染网络中的恶意软件传播（特别是蠕虫）[18,19]。

重要的是要理解，大多数传统房室模型假设转移率是时不变的，因为它只关注特定的攻防策略。然而，在现实场景中，防御者在严格的操作和计算资源约束下运行，或者防御者可以根据攻击者的行动主动改变其策略。随机博弈（博弈论与马尔可夫决策过程（MDP）的结合）可用于分析网络攻击中的随机性，因此可以纳入传统的SEIR模型。马尔可夫决策过程扩展到多人竞争环境，可用于表征网络攻击和防御策略的随机性[20]。这意味着恢复率（γ）、传播率（β）和有效再生数（Rt）不能被视为时不变约束；相反，它们作为动态变量，依赖于在随机博弈框架内执行的局部策略配置。

GTI-mSEMP框架

本文的主要目标是提出一种博弈论集成的改进型多无线传感器流行病恶意软件传播（GTI-mSEMP）框架。该模型包含（i）时变（攻防响应）恢复率，（ii）时变（攻防响应）传播率，以及（iii）动态有效再生数，从而为主动网络攻防场景建立了一个高度真实的仿真环境。本文分为以下部分：第二部分：相关研究和背景信息，第三部分：提出的GTI-mSEMP框架，第四部分：仿真参数，第五部分：结果与讨论，第六部分：结论。

II. 相关研究与背景信息

存在不同类型的流行病模型来模拟恶意软件病毒或蠕虫通过互联无线网络系统的传播[21-25]。理解这些模型对于设计防御机制和确定关键响应至关重要。恶意软件攻击和防御机制的常见状态包括：

（i）易感（S）状态：在此状态下，无线传感器节点尚未暴露于恶意软件攻击，但仍易受潜在攻击。易感节点转变为暴露状态的概率为p。更强大的网络安全网络将具有较低的p值。

（ii）暴露（E）状态：在此状态下，传感器节点已暴露于恶意软件，除非网络安全团队采用有效的防御机制，否则将随时间被感染。Awasthi等人（2023）提出了暴露状态-1（E1）和暴露状态-2（E2）来复制两种类型的恶意软件攻击[21]。

（iii）感染（I）状态：在此状态下，受感染的传感器节点可以感染其他相邻传感器节点。恢复率γ取决于防御方和攻击方的策略，受感染节点可能转变为恢复状态或因故障而崩溃。

（iv）恢复（R）状态：恢复（R）状态包括传感器节点已主动从其感染状态中恢复。重新易感率由δ给出。此状态通常被视为网络攻击周期的最后状态。

III. 提出的GTI-mSEMP框架

A. 易感状态

在基础状态中，运行的无线传感器节点尚未暴露于恶意负载，但存在固有漏洞，使其容易受到潜在利用。在离散时间周期内，易感节点转变为潜在暴露（E）状态的概率记为p，其中p ∈ [0,1]。数学上，p不是一个静态标量，而是一个动态条件概率分布，是网络空间节点密度（或聚类系数）、攻击者操作强度和防御者响应安全策略的函数，由方程（1）给出：

其中，ρ是无线传感器网络（WSN）部署层的空间密度，a_A ∈ A表示从攻击者行动空间中选择的进攻策略，d_D ∈ D表示从防御者策略库中执行的动态缓解协议。

为了捕捉WSN生态系统中高级持续威胁（APT）的多层性质，采用了进攻策略a_A。它是方程（2）所示的策略行动矩阵，决定在时间步t，在不同目标选择和攻击向量上分配的进攻资源或能量。

其中aᵢⱼ是使用利用向量j针对节点类别i的特定进攻投资或扫描强度。

为了对抗APT的多层操作配置，防御者策略配置d_D可以形式化为与攻击者矩阵维度匹配的n×m矩阵。

其中dᵢⱼ代表防御者为保护节点类别i免受利用层j攻击而分配的安全资产、防御计算周期或网络带宽的百分比。

转移概率pᵢⱼ可以建模为方程（4）所示的比率。为简单起见，我们保持节点密度ρ恒定。

其中，α是防御效率系数（防御工具的有效性），ε是未采取防御行动时的基线网络脆弱性。

整合了进攻和防御策略的易感（S）阶段变化率由以下方程（5）给出。

其中，b表示新节点接入或加入率，δ表示重新易感系数，表征因补丁过期或配置重置而恢复易感状态的恢复节点。参数pᵢⱼ定义易感节点进入潜伏状态的条件转移概率，如方程（5）所示。

ω表示由管理安全机制（例如，自动防病毒部署）驱动的主动免疫率，而σ表示硬件损耗率，考虑因运行能量和电池限制导致的传感器节点故障。

B. 暴露状态（E）

类似地，暴露状态E由方程（6）给出。

其中，[pᵢⱼ(A, D) ρ] S I表示恶意软件从易感（S）到潜伏暴露（E）状态的主动传播率。(λ₁ + σ)E决定从潜伏状态的总退出率。λ₁表示暴露节点（E）转变为感染节点（I）的转变率。

在经典流行病模型中，λ₁（从暴露到感染的潜伏期或转变率）是固定的硬件或软件常数，代表病毒自然执行所需的时间。然而，在高级网络战场景中，这个转变窗口会被参与的攻防双方主动操纵。

潜伏转变率系数在离散时间执行环境中被限制在λ₁ ∈ [0,1]。该系数表征恶意软件负载的操作延迟：λ₁=0表示绝对执行抑制，而λ₁=1表示恶意进程线程从潜伏暴露（E）区间到活跃感染（I）区间的瞬时单周期初始化。

数学上，潜伏转变系数λ₁ = f(ρ, a_A, d_D)可写为方程（7）。

其中，λ₀是恶意软件二进制的基线硬件执行速度，a_{A.exec}是攻击者在负载优化上的战略投资，d_{D.audit}是该特定节点层的防御者运行时审计强度。

如果攻击者的执行加速系数μ很大，则恶意软件针对目标架构高度优化，允许小的战术投资急剧加速到爆发速度。类似地，防御者的检测效率系数η是衡量防御者审计工具在主动发现、减缓或沙箱化未授权进程线程方面的有效性。

类似地，防御者的检测效率系数η是衡量防御者审计工具在主动发现、减缓或沙箱化未授权进程线程方面的有效性。

如果网络中存在同时发生的多个恶意软件攻击，则暴露状态可以用Eₙ表示，相应的转变率为λₙ，其中n ∈ {1,2,3 …… N}。

C. 感染状态（I）

在感染（I）状态期间，受损的传感器节点拥有活跃的、正在执行的恶意软件负载，并通过WSN拓扑向相邻的易感和潜伏节点传播恶意数据包。有效恢复率γᵢⱼ(A, D)被形式化为攻防策略配置的联合函数。从感染区间，节点可以转入两种路径之一：（i）通过管理补丁部署和缓解向量进入恢复路径，（ii）因恶意资源耗尽导致的操作崩溃或硬件故障而永久退出网络拓扑。

数学上，感染状态（I）由方程（8）给出：

其中，γᵢⱼ(A, D) I是节点被成功修补并转移到恢复状态的策略性流出率。

然而，对于同时发生的恶意软件攻击，初始化其负载的潜伏节点流入量由以下方程（9）给出：

潜伏节点初始化其负载的流入量 =

策略恢复率包括动态的攻防策略配置，类似于我们的易感概率。数学上，γᵢⱼ = f(ρ, a_A, d_D) 可表示为方程（10）：

其中，γ₀是基线网络恢复率，可能包括自动备份或重启频率。类似地，η_I和μ_I是缩放敏感系数，定义在恢复阶段每个参与者主动策略的操作有效性。

D. 恢复状态（I）[原文此处应为R]

这包括已成功修复并对活跃恶意软件株系免疫的传感器节点子群体。节点通过两种不同渠道进入此状态：（i）通过管理安全广播从易感（S）池主动进入，或（ii）在成功进行本地固件修补（γᵢⱼ I）后从感染（I）池反应性进入。

重新易感率（即恢复节点失去免疫力并恢复为易感（S）状态）由策略函数δᵢⱼ(A, D)控制。该函数形式捕捉了对手aᵢⱼ和dᵢⱼ之间的实时竞争摩擦。

数学上，恢复状态由方程（11）给出：

其中，ω S是主动后台防御通道，σ R是后台死亡率。

博弈依赖的重新易感系数δᵢⱼ = f(ρ, a_A, d_D)由方程（12）给出：

其中，δ₀是补丁退化的基线自然率，μ_R、η_R是缩放敏感系数。

IV. 仿真参数

为评估所提出的GTI-mSEMP框架的操作动态，基线仿真模型将网络拓扑分为三个不同的异构节点类别：（i）核心网关，（ii）中间路由节点，和（iii）低功耗外围传感器。相应地，评估了两种主要对抗向量以代表不同严重程度的威胁：（i）暴力破解攻击（BFA），特征为自动化凭证猜测例程，和（ii）零日漏洞利用，代表针对未记录软件或硬件漏洞的复杂攻击[26-29]。

攻击者和防御者的策略资源分配配置被映射到一个联合3×2博弈矩阵（A, D ∈ R³ˣ²），其中行向量对应目标拓扑节点层，列向量量化分配给每个利用场景的相对资源。为分析不同战术条件下的系统敏感性，研究了三种基础操作机制：案例I——均衡对抗（建立双方对称资源分配的基线），案例II——规避性利用激增（模拟防御者被严重智取的策略失配），案例III——激进隔离（表征由增强管理防御控制强化的网络态势）。

为数学上评估这三种策略机制，攻击者（A）和防御者（D）的资源分配矩阵在跨网络层（第1行：网关，第2行：路由节点，第3行：外围设备）和利用向量（第1列：BFA，第2列：零日攻击）上进行参数化。

案例I：均衡对抗

A₁ = ( 0.40 0.20 )
( 0.30 0.10 )
( 0.00 0.00 )

D₁ = ( 0.40 0.20 )
( 0.30 0.10 )
( 0.00 0.00 )

案例II：规避性利用激增

A₂ = ( 0.00 0.10 )
( 0.00 0.90 )
( 0.00 0.00 )

D₂ = ( 0.50 0.10 )
( 0.30 0.10 )
( 0.00 0.00 )

案例III：激进隔离

A₃ = ( 0.50 0.20 )
( 0.20 0.10 )
( 0.00 0.00 )

D₃ = ( 0.80 0.10 )
( 0.10 0.00 )
( 0.00 0.00 )

为评估所提出GTI-mSEMP框架的性能，在MATLAB中开发了动态仿真环境，结果比较于图1。耦合微分方程组使用四阶龙格-库塔（RK4）方法进行数值求解，固定积分步长0.02，仿真时域t ∈ [0,50] 周期。网络配置由分布在三个局部操作层的异构传感器拓扑组成。

为进行比较研究，以评估所提出网络框架内易感、暴露、感染和恢复（SEIR）状态的动态闭环轨迹，使用表I中列出的参数进行了MATLAB仿真。在这种反应性和规避性对抗（案例II）中，防御资源被动态分配给恶意足迹当前激增的扇区。这无意中暴露了一个残余向量空间，规避性攻击者可以策略性地利用，智取防御并导致延长的流行足迹。数学上，这种闭环优化机制由方程（13）和（14）控制。该模型的实时状态轨迹及每个节点类别的相应防御者资源分配跟踪如图2所示。

令 i ∈ {1,2,3} 表示特定网络层（分别为网关、路由和外围设备）。防御分配权重向量 D_{weight,i}(t) 根据活跃感染足迹在每个时间周期动态计算。

表I：GTI-mSEMP框架仿真中使用的参数

V. 结果与讨论

图1展示了易感（S）和恢复（R）节点群体在三种研究机制下的操作轨迹。在案例III（激进隔离）下，易感节点群体表现出最陡峭的初始下降，达到7.5秒的稳态阈值。虽然案例III在核心网关上具有强化态势，但这种防御资产的激进集中使中间路由和外围层资源易受攻击。对手随后可以利用这些未强化的扇区，加速系统范围健康节点的耗竭，相比案例II中观察到的更平缓衰减。

这种结构性脆弱性进一步反映在恢复轨迹中；案例I（均衡对抗）实现了最高的全局修复上限（约435个节点）。这表明防御资本在所有拓扑层上的均衡分布相比超本地化的非对称防御策略能产生更优的长期网络韧性。

动态闭环博弈的瞬态和稳态行为如图2所示。如初始状态配置所示，外围层以500个节点的最大群体规模和15个节点的活跃感染足迹开始。相反，网关基础设施包含高度限制的150个节点基线足迹，最初只有5个节点被入侵。这种初始分布直接驱动了图2（右）所示的优化跟踪引擎，因为局部威胁量绝大多数集中在网络边缘，防御者的分配比例在外围层最大化，在网关层最小化。

图1：案例I（均衡对抗）、案例II（利用激增）和案例III（强化防御）的易感（S）和恢复（R）节点群体操作轨迹。左：易感节点轨迹。右：恢复节点轨迹。

然而，在瞬态时域 t ∈ [0,50] 周期内，发生快速流行病级联，特征是易感（S）节点急剧下降，同时暴露（E）和感染（I）群体上升并最终被抑制。同时，恢复（R）区间在达到稳态平衡之前快速扩展，如图2（左）所示。这种成功稳定直接归因于流畅的闭环博弈机制：随着威胁向量跨层传播，防御者动态更新其策略矩阵，稳步增加对网关防御的资源分配，同时工程化控制外围预算份额的减少。这证明持续实时更新资源分配成功对抗了攻击者的规避策略，并直接决定了更广泛赛博物理网络的恢复率。

必须强调，在图2中，博弈论缩放向量有利于防御者（η > μ，η_I > μ_I，η_R > μ_R），为安全基础设施提供了显著操作优势。当这些非对称缩放关系反转时，观察到不同的流行足迹，详见比较分析图3。

为评估GTI-mSEMP框架在高度不利条件下的敏感性，图3显示了当博弈论缩放向量反转以有利于进攻能力（μ_I = 5.0，η_I = 2.0，μ_R = 6.0，η_R = 1.5）时的系统状态轨迹。在此非对称配置下，网络经历严重流行病级联。如图3（左）所示，感染（I）群体经历大规模、无节制的激增，峰值约为450个节点——与图2中使用的防御策略相比显著高出400%以上。

图2：闭环规避博弈分析（案例II）。左：跨SEIR区间的累积传感器节点数的时间演化。右：跨异构网络层的防御资源分配动态收敛。

由于攻击者在局部修补和抑制率上占优，I(t)曲线在大部分瞬态时域内明显高于恢复（R）曲线，健康易感（S）节点群体降至125个的极低水平。图3（右）中相应的优化跟踪在早期表现出高波动性，因为防御者转移预算分配以抑制激进的跨层恶意软件传播，最终稳定在稳态平衡。

VI. 结论

本文提出了一种针对资源受限赛博物理网络的新型博弈论集成改进型多无线传感器流行病恶意软件传播（GTI-mSEMP）框架。通过将安全环境建模为动态闭环规避博弈（案例II），本文数学上形式化了防御者与能够预测和利用残余防御缺口的对手之间的反应性交互。通过四阶龙格-库塔积分执行的数值模拟验证了所提出的模型在防御缩放因子具有操作效率优势时的表现，这通过抑制的流行足迹和仿真输出中平坦化的感染（I）峰值来体现。相反，还评估了进攻主导场景下的敏感性分析，其中观察到活跃感染（I）峰值，同时脆弱易感（S）节点群体迅速下降。这些发现验证了实时状态依赖的资源优化对于破坏暴力破解攻击（BFA）和零日威胁等自动化传播引擎至关重要。

图3：反转缩放向量下的系统轨迹（变体II）。左：由于攻击者能力增强，无节制的流行级联抑制了易感节点。右：严重网络压力下跨异构节点层的动态优化跟踪。