基于博弈策略的攻防模型有效變化域驗證算法

摘 要：變化挖掘能夠通過變化日志找到模型中可能存在的變化空間，而傳統(tǒng)變化挖掘算法在信息安全攻防態(tài)勢的場景下，結果可能并不符合安全需求，甚至極大偏離安全標準。針對此問題，提出了一種基于博弈策略的變化域驗證方法，解決了傳統(tǒng)變化挖掘算法不能驗證自身有效性的缺陷。該算法首先會根據(jù)安全指標構建效益矩陣計算納什平衡點，然后通過納什平衡點驗證攻防模型變化域的有效性，其次對無效的、次有效的變化域進行安全等級劃分，并在應對未知漏洞的響應問題上給出明確的指導性意見，最后以典型信息安全事件為例驗證了該方法的可行性。

關鍵詞：變化挖掘；有效變化域；博弈策略；納什平衡；信息安全；網絡攻防

中圖分類號：TP391.9 文獻標志碼：A

文章編號：1001-3695（2022）07-038-2156-06

doi：10.19734/j.issn.1001-3695.2021.12.0680

基金項目：國家自然科學基金資助項目（61402011，61572035）；安徽省自然科學基金資助項目（1508085MF111，1608085QF149）；安徽理工大學研究生創(chuàng)新基金資助項目（2021CX1011）；安徽理工大學大學生科普創(chuàng)新及科研育人示范項目（KYX202129）

作者簡介：劉雨舟（1997-），男，四川遂寧人，碩士，主要研究方向為Petri網變化挖掘與網絡安全（1471864319@qq.com）；方賢文（1975-），男，安徽淮南人，教授，博導，博士，主要研究方向為Petri網理論與應用、可信軟件和大數(shù)據(jù)．

Verification algorithm of effective change region of attack-defense model based on game-strategies

Liu Yuzhou^1，2，F(xiàn)ang Xianwen^1，2

（1.College of Mathematics amp; Big Data，Anhui University of Science amp; Technology，Huainan Anhui 232001，China；2.Anhui Province Engineering Laboratory for Big Data Analysis amp; Early Warning Technology of Coal Mine Safety，Huainan Anhui 232001，China）

Abstract：Change mining can find the possible change space in the model through the change log.However，in the scenario of information security attack-defense situation，the results of the existing change mining algorithms may not meet the security requirements，or even deviate greatly from the security standards.To solve this problem，this paper proposed a change region verification method based on game strategy，which solved the defect that the traditional change mining algorithm could not verify its effectiveness.Firstly，the algorithm constructed the benefit matrix according to the security index to calculate the Nash equilibrium point.Secondly，it verified the effectiveness of the change region of the attack-defense model through the Nash equilibrium point.And then the algorithm classified the invalid and sub effective change regions，and gave clear guidance on the response to unknown vulnerabilities.Finally，it took a typical information security event as an example to verify the feasibility of this method.

Key words：change mining；effective change region；game-strategy；Nash equilibrium；information security；network attack-defense

0 引言

作為過程挖掘算法中一個新的重要分支，變化挖掘能夠發(fā)現(xiàn)模型中隱含的變化空間，有效解決隨著計算機技術發(fā)展，業(yè)務管理系統(tǒng)以一個細節(jié)錯誤的方式運行或外部額外添加過程實例時系統(tǒng)流程偏離指定模型的問題，從而避免了復雜模型的重設計^［1]。變化挖掘在目前的研究中已經有許多算法支持，如通過邊界節(jié)點縮減和內部邊界節(jié)點縮減的方式定位變化域^[2]；在自適應系統(tǒng)中挖掘變化日志并記錄可交換變化操作及其因果關系^[3]；也有通過不完備日志的挖掘方法，在源模型未知的情況下對業(yè)務流程變化進行分析和挖掘^[4]。

變化挖掘的研究體主要體現(xiàn)在定位變化域與研究變化傳播和變化模式上，但在近些年國內外研究中可看出，方法的改良多側重于對挖掘算法的優(yōu)化、處理不完備情況以及與機器學習結合以訓練出最優(yōu)模型上^[5～7]，這類研究方向的挖掘變化方法都僅從模型或變化日志出發(fā)，通過其之間的聯(lián)系來挖掘可能存在的變體，并未實際驗證所挖掘出變化的有效性。比如在信息安全領域攻防模型中，由于具有不同于一般業(yè)務流程的安全標準，僅從模型和日志上的分析變化域具有很大局限，必須通過能與實際安全情況有強關聯(lián)的方法來驗證變化域有效。

博弈論作為近年來研究網絡攻防博弈的強有力工具^[8]，能夠有效分析信息安全攻防對抗模型中的矛盾與沖突，并推導出雙方的最優(yōu)策略^[9，10]。在網絡攻防領域的博弈模型中，以原子攻擊成功概率為基準，可建立效益矩陣并計算納什平衡點^[11]，而信度向量正交投影分解算法^[12]能夠有效地評定各類IDS系統(tǒng)模型所檢測安全漏洞問題的可信度，且若結合安全脆弱點評估系統(tǒng)（CVSS）^[13]對單個漏洞利用點的屬性進行量化，便能最終定義出原子攻擊成功概率的計算公式，為效益矩陣的建立和納什平衡點的計算提供了數(shù)據(jù)基礎。除此之外，博弈論在網絡攻防領域研究中的有效應用在文獻[14～19]中也均有杰出體現(xiàn)。

綜上所述，本文提出一種基于博弈策略的變化域驗證方法，該算法能夠在信息安全領域攻防博弈模型中挖掘有效變化域，并對無效的、次有效的變化域進行安全等級劃分，將變化挖掘與網絡安全攻防模型充分結合，從而實現(xiàn)具有針對性的變化挖掘模式，使其能在應對安全漏洞的響應問題上給出指導性意見，彌補在變化域有效性驗證研究上的短缺。

1 動機案例

通過文獻[2]中所提出的變化域挖掘算法對模型的變化域進行挖掘。給定如圖1所示的初始網絡攻防模型Ma，現(xiàn)由于外界策略或設備的變更，形成了如圖2所示的變化模型Ma1。通過Ma1與Ma進行模型間的對齊可得到變化節(jié)點X，在圖中以深色變遷表示。由變化挖掘算法^[2]可挖掘出圖2中陰影部分所示的變化域。

由文獻[1，2]可知，添加變化節(jié)點X會在后續(xù)流程中對事件C、D產生影響，即以C、D為起始點，可能使整個系統(tǒng)流程偏離指定模型，從而造成不同于預期的影響。但假設事件X為安全策略中添加的防火墻設備，該行為效果只能有效降低攻擊行為B的成功概率，故該變化并不會對系統(tǒng)造成偏離模型的影響，且對于C、D所表示的攻擊流程也無直接聯(lián)系，即變化X在實際應用場景中只會和前驅事件B相關聯(lián)，與C、D無關，這與通過行為輪廓間關系挖掘變化域的結果并不相符。

從上述分析可以看出，僅基于模型和日志的變化挖掘算法并不一定適用于與行為選擇所產生效益有強關聯(lián)性的模型。本文提出基于博弈策略來衡量變化行為最佳收益的理論方法，從而得到變化模型中的最佳行為路徑，進而判斷變化行為是否符合最佳收益，以實現(xiàn)變化域的有效性驗證。

2 基本概念

3 基于博弈策略的有效變化域驗證方法

本章引入了博弈理論中納什平衡的概念，通過向已經進行傳統(tǒng)變化挖掘的攻防模型添加博弈屬性，計算攻防雙方收益的納什平衡，得到雙方在博弈中的最佳收益行為，從而確定在考慮到實際安全標準后行為的具體變化，驗證有效變化域。首先對細精度的安全模型和變化日志進行抽象與映射，構造宏觀的粗精度抽象模型；然后利用模型計算出的納什平衡點，根據(jù)其所在區(qū)域和變化域的符合程度，從而得到經過驗證的有效變化域以及根據(jù)有效程度的安全等級劃分。

3.1 模型抽象與日志映射

博弈策略的研究只是針對宏觀攻防行為進行分析，模型的精細度并不會影響策略的選擇，反而過高的精度會導致模型的泛化度降低，故過于精細的安全模型對本文的研究是無意義的，所以利用過程模型抽象技術先對現(xiàn)實中復雜的網絡攻防模型進行簡化，并將其日志也進行相應映射。

這里以威脅指數(shù)與知名度多年高居OWASP 10^[23]之首的SQL注入攻擊行為為例。對于一般的網站平臺，用Msqlinjection代表從網頁訪問開始到成功竊取數(shù)據(jù)庫信息的完整SQL注入攻擊行為Petri網模型，但原子攻擊行為的模型Msqlinjection非常復雜（見圖3源模型部分），而本文之后章節(jié)中所研究的攻防博弈均是包含SQL注入攻擊在內的復合型攻防行為。建立一個高精度的模型對博弈策略的選取是無意義的，故利用過程模型抽象的方法，將Msqlinjection抽象為Ma中的單一事件B，經抽象后的部分攻防模型如圖3所示。

為了使研究后續(xù)結果相對應，其源日志Lsource也進行相應映射，模型Msqlinjection的日志Lsqlinjection最后映射為L′sqlinjection的部分如表1所示。

同理，抽象模型中其余表示攻擊方式的事件均由相應源模型抽象而成，如C表示暴力破解（BruteForce，BF），G為遠程代碼執(zhí)行（RemoteCodeExecution，RCE）等，由于篇幅原因故不對各個事件的抽象過程進行逐一詳細表述，完整的抽象模型Ma即為動機案例中圖1所示。其中，A表示攻擊前的準備步驟，E～K均為抽象簡化后對不同目標或利用不同目標作為跳板發(fā)動攻擊的過程；E、F、G分別為針對郵件服務器（mail server）、FTP服務器（FTP server）、文件服務器（file server）發(fā)起的進攻；H、I、J分別為利用所占領的目標服務器作為跳板，向內網個人主機發(fā)動攻擊的過程；經過K的路徑用一個環(huán)路表示域內橫向移動；end1～end3表示攻擊停止，tr為向域內橫向移動K的過程中。為了方便研究，本文之后描述的案例僅以H、I、J其中之一的事件發(fā)生就表示一次攻擊行為執(zhí)行成功，對環(huán)路所表示的域內橫向移動不作舉例說明。

3.2 效益矩陣

在一次攻防博弈行為ε中構建上述所表示的效益矩陣U，ξ表示博弈行為中每個事件e的屬性集合，AN為屬性名集合，對于e∈ξ，n∈AN，Γn（e）表示為事件e中屬性n的值。根據(jù)文獻[11]，計算每個事件效益值Γu（e）=UA|D（tiAx，tiDy）m×n所必要的四個屬性分別為：執(zhí)行策略后所得回報Γprofit（e）、執(zhí)行策略后損失Γcost（e）、回報與損失的差值Γutility（e）以及該策略行為發(fā)生的概率Γp（e），并作出如下規(guī)定：

本文在此作出約定：在Ma中，攻擊方從根節(jié)點開始，經選擇攻擊方式B、C、D到最后H、I、J攻擊事件結束表示一段完整的、由外到內的攻擊行為，每成功執(zhí)行一次攻擊事件都會以該事件的目標設備為跳板，執(zhí)行下一階段的攻擊行為。

根據(jù)正交投影分解算法^[12]可求得每個攻擊事件所利用漏洞的置信度，再由安全脆弱點評估系統(tǒng)（CVSS）^[13]所提出指標定義出該原子攻擊事件成功發(fā)生的概率Γp（e）以及其危害指數(shù)，即攻擊所得回報Γprofit（e），便可由式（1）～（4）計算Γu（e），從而構建效益矩陣U。其中，Ma共計七種攻擊事件的屬性值（不同攻擊方式下博弈雙方的Γprofit（e）、Γcost（e）、Γutility（e）以及Γp（e））如表2所示。綜上所述，源模型Ma的效益矩陣可構建如表3所示。其中策略編號所表示的具體行為序列如表4所示。

3.3 納什平衡點

定義5 納什平衡^[10]。在狀態(tài)Pi下，若存在一組博弈策略[（t^i′A，t^i′D）|t^i′A∈TiA，t^i′D∈TiD]，當且僅當策略組（tiA，tiD）對于博弈雙方都是最佳策略，即滿足

稱此時博弈達到納什平衡，策略組（tiA，tiD）為博弈的納什平衡點。在實際計算中平衡點可能不止一個，也可為多個策略組合而成的混合策略。

根據(jù)效益矩陣Ua，利用納什平衡定理求得在Ma場景下博弈雙方的最優(yōu)攻防策略是向量為（（0，0.374，0，0.199，0.089，0，0.338），（0，0.137，0，0.152，0.422，0，0.29））的混合策略，即表示對于攻擊者而言，分別按0.374、0.199、0.089、0.338的概率選擇②④⑤⑦四種策略組合作為最優(yōu)抉擇將會達到當前狀態(tài)下的最佳收益效果，防御方同理。根據(jù)式（4）可計算得出當前效益矩陣中達到納什平衡點后博弈雙方收益為（-7.728，-7.808），安全收益差值Γu（e^A|DMa）=Γu（eDMa）-Γu（eAMa）=-0.08。

納什平衡僅代表當前博弈雙方策略達到最優(yōu)，但并非表示平衡狀態(tài)下總體效益處于安全狀態(tài)，即可能出現(xiàn)防御方利用最佳防御措施也無法有效抵御攻擊者的進攻，這種多數(shù)出現(xiàn)在防御體系不完善或攻擊者利用0day漏洞進行攻擊的情況下。為了評估達到納什平衡點時的安全狀態(tài)，根據(jù)正交投影分解算法和CVSS所提出標準，設定安全威脅指標均為最低時計算出的收益值為安全閾值，即Γu（e^THR）=-0.443。若Γu（e^A|D）lt;Γu（e^THR），說明現(xiàn)有最優(yōu)防御策略不能有效防御當前攻擊，需更新防御策略。在Ma中，可知Γu（e^A|DMa）=-0.08gt;Γu（e^THR），即雖在博弈中防御方有微小損失但在可控范圍內，故Ma模型下系統(tǒng)狀態(tài)是暫時安全的。

3.4 有效變化域驗證

對于安全模型Ma的變化模型Ma1，根據(jù)第1章動機案例所指出，考慮到模型中安全標準與變化域挖掘效果所存在的偏差，可結合現(xiàn)有變化挖掘算法提出基于博弈策略的有效變化域驗證算法，如算法1所示。

算法1 有效變化域的挖掘與驗證

輸入：源抽象模型Ma=（P，T，F(xiàn)）；變化后抽象模型M′a=（P′，T′，F(xiàn)′）；變化節(jié)點X；執(zhí)行策略概率、所得回報和閾值Γp（e），Γprofit（e），Γu（e^THR）。

輸出：含有納什平衡點的變化域，安全等級[CR，Nash]，warn。

在變化模型Ma1中新增添加防火墻設備行為的變化節(jié)點X，其屬性值（變化節(jié)點X（添加防火墻設備）下雙方的Γprofit（e）、Γcost（e）、Γutility（e）以及Γp（e））如表5所示。對于表4中策略序號對應的行為序列，將①④⑦行為序列分別替換為A→X→E→H，A→X→F→I，A→X→G→J，因此可重構Ma的效益矩陣以得到變化模型Ma1的效益矩陣，并根據(jù)所提出算法計算得到納什平衡點，可知博弈雙方的最優(yōu)攻防策略是向量為（（0，0.376，0，0，0，0.288，0，0，0.336），（0，0，0.137，0，0.573，0，0，0.241，0.049））的混合策略，且安全收益差Γu（e^A|DMa1）=3.08。可看出添加防火墻設備后通過事件B（SQL注入攻擊）發(fā)動進攻的概率為0，即攻擊策略的選取完全避開了事件B；而此時納什平衡點處于原效益矩陣的范圍內，未向變化策略移動，說明攻擊方依舊在原有攻擊策略中選取攻擊方式，新策略無效；安全收益差值較源模型不減反增，說明新策略只會增加攻擊方的損失和防御方的收益，符合實際應用情形。

綜上所述，通過算法證明了第1章動機案例中所提出的Ma1根據(jù)傳統(tǒng)變化挖掘算法挖掘出的變化域（圖1陰影部分）是無效的，故算法將其變化的安全等級設置為最低的0級，即僅做信息記錄無須應對。

4 仿真實驗

本文第2章中體現(xiàn)的是防御方主動更新防御策略的情況，為了真實反映現(xiàn)實中黑客攻擊方式較防御模型演變所造成的影響，這一章中分別以由于人為因素導致的社會工程學攻擊和利用未知新型漏洞發(fā)起進攻的0day攻擊這兩種安全態(tài)勢為例，針對算法1進行實例分析，給出有效變化域并為其評估安全等級，為漏洞響應提供指導性意見。

4.1 社會工程學實例分析

社會工程學（social engineering，SE）是一種注重研究人性弱點的黑客手法，往往不需要技術手段就能獲得一些計算機或個人隱私信息。本文對SE手段的使用主要體現(xiàn)在針對Web應用的管理員賬號密碼獲取。對于如表6所示存在變化節(jié)點XSE的抽象變化日志LSE，可構建抽象變化模型M^SEa如圖4所示，系統(tǒng)存在人為因素引起的SE攻擊手段（XSE）、形成變化模型M^SEa、對應（次有效）變化域為陰影部分，有效變化域為C。

由模型M^SEa可知初步定位的變化域為BCD的聯(lián)合發(fā)生區(qū)域，為驗證該狀態(tài)下的有效變化域，根據(jù)算法1計算在攻擊方新增SE攻擊策略情況下攻防雙方博弈的納什平衡點，變化節(jié)點XSE的屬性值（變化節(jié)點XSE下雙方的Γprofit（e）、Γcost（e）、Γutility（e）以及Γp（e））如表7所示。可得博弈雙方的最優(yōu)攻防策略是向量為（（0，0，0，0，0，0，0，0，0，0.373，0.289，0.338），（0.138，0，0，0，0.572，0，0.29，0，0））的混合策略。可看出在新增變化節(jié)點XSE后，攻擊方的最佳攻擊策略集中在最后三個新增的攻擊策略上，而防御方由于暫無針對性應對措施，只能在已有策略中選擇最佳防御措施，此時納什平衡點已經出現(xiàn)在了變化事件內而非原效益矩陣內；但此時的安全收益差Γu（e^A|DM^SEa）=-0.156gt;Γu（e^THR），說明防御方損失值依然可控。

綜上所述，該安全狀態(tài)表示攻擊者會充分利用社會工程學獲取密碼等隱私信息，雖然安全收益差臨近閾值但依然可控，建議盡快更新防御策略。需要更新的部分可參考有效變化域中的事件和次有效變化域，如針對C添加防弱密、頻繁訪問機制和加強員工管理等。此時算法將變化的安全等級設置為2，需引起關注。

4.2 0day攻擊實例分析

0day攻擊是指利用還未發(fā)布補丁的0day漏洞所發(fā)起的網絡攻擊，由于一定時間范圍內沒有針對此漏洞的解決方案，故這類漏洞對于攻防博弈模型就是一種新式攻擊策略，無針對性防御措施。以此攻擊方式代表所有利用新型未知漏洞發(fā)起攻擊的類型進行案例分析，對于如表8所示存在變化節(jié)點X0day的抽象變化日志L0day，可構建存在0day攻擊事件的抽象變化模型M^0daya如圖5所示。0day攻擊作為一種無針對防御策略的新式攻擊方式（X0day），形成變化模型M^0daya，對應（次有效）變化域為陰影部分，有效變化域為D、G。

由于0day漏洞對于所有設備都無相應補丁程序，故只要利用該漏洞獲得一臺主機的操作權限，即可以該主機為跳板循環(huán)利用此漏洞進一步獲取域內其余主機權限，構成迭代攻擊。

由模型M^0daya可知，初步定位的變化域為BCD、EFG的聯(lián)合發(fā)生區(qū)域，幾乎涵蓋了此攻防博弈模型中所有的安全事件，為驗證該狀態(tài)下的有效變化域，根據(jù)算法計算在攻擊方新增0day攻擊策略的情況下攻防雙方博弈的納什平衡點，其中變化節(jié)點X0day的屬性值（變化節(jié)點X0day下雙方的Γprofit（e）、Γcost（e）、Γutility（e）以及Γp（e））如表9所示。可得博弈雙方的最優(yōu)攻防策略是向量為（（0，0，0，0，0，0，0，0，0，1），（0，0，0，0，0，0，0，0，1））的單一策略，即攻擊者必定會利用當前收益最大的0day攻擊策略進行攻擊，此時納什平衡點已經出現(xiàn)在了變化事件內而非原效益矩陣內；而由于無針對性防御手段，防御者只能選擇當前策略中收益最大的策略D，及防御RCE攻擊的手段來抵御攻擊，但安全收益差卻達到了Γu（e^A|DM^0daya）=-10.059，遠遠向下突破了設定的安全閾值。由此可見，現(xiàn)有的最佳防御手段也不能抵御新策略攻擊，但由于防御方的納什平衡點在事件D策略上，這反映了原策略針對RCE的防御措施相對其他策略來說能將損失降至最小，盡管低于安全閾值，但以RCE防御為指導方向的策略改善可能會有奇效，如關閉部分端口、對進出流量進行過濾等，比如關閉445端口方法在針對WannaCry勒索病毒防范上得到了有效證實，事件G同理。此時變化域經過驗證，有效變化域為前者與納什平衡點的交集，即D、G，針對0day漏洞攻擊方式的修補措施或應急響應可以此有效變化域作為參考。此類情況的安全警報等級為最高的3級，需立即響應，引起高度重視。

4.3 結果分析

根據(jù)以上實例的結果，本文基于博弈策略對傳統(tǒng)變化挖掘的變化域進行了有效性驗證，從博弈收益的角度對行為的具體變化進行了探究計算，而非單一從變化日志及模型入手，這樣確保了從與行為選擇所產生效益有強關聯(lián)性的模型挖掘變化域的準確性。將通過博弈策略挖掘變化域與以文獻[1～7]為代表的傳統(tǒng)變化挖掘算法對比可知，本文所采用的變化挖掘方法在準確性、有效性上更能得到保證，并能完全符合計算機安全上的各項標準。其對比效果如表10所示。

5 結束語

為了使變化域能以最大程度有效體現(xiàn)變化的安全態(tài)勢，彌補在傳統(tǒng)變化挖掘算法中對變化域有效性驗證的技術短缺，本文提出了一種基于博弈策略的有效變化域驗證算法，對已有變化挖掘算法所挖掘出的變化域通過博弈策略進行評估驗證，與網絡攻防實例中達到納什平衡的最優(yōu)策略所構成的行為與變化域相結合，從而得到真正符合安全標準的變化域，做到變化域的有效挖掘。該算法不但能分析已知漏洞對防御體系的變化影響并作出安全預警等級評估，還能夠在發(fā)生重大網絡安全事故上為維護業(yè)務的持續(xù)性和應急響應方面作出指導性意見，以將損失控制在最小。

當前對博弈策略的結合還處于離線資源靜態(tài)檢測且僅適用于單一防御體系的階段，無法很好地適應當下防御體之間實時監(jiān)測、多級聯(lián)動的防御架構，在之后的研究中，會以并發(fā)和在線檢測為方向，以更好地適應大型防御架構的安全需求。

參考文獻：

［1］Weidlich M，Weske M，Mendling J.Change propagation in process models using behavioural profiles[C]//Proc of IEEE International Conference on Services Computing.Washington DC：IEEE Computer Society，2009：33-40.

[2]Weidlich M，Mendling J，Weske M.Propagating changes between aligned process models[J].Journal of Systems and Software，2012，85（8）：1885-1898.

[3]Christian W G，Rinderle S，Reichert M，et al.Change mining in adaptive process management systems[C]//Proc of OTM Confederated International Conferences “On the Move to Meaningful Internet System”：CoopIS.Berlin：Springer-Verlag，2006：309-326.

[4]Li Chen，Reichert M，Wombacher A.Mining business process variants：challenges，scenarios，algorithms[J].Data amp; Knowledge Engineering，2011，70（5）：409-434.

[5]Weber B，Reichert M，Ma S R.Change patterns and change support features-enhancing flexibility in process-aware information systems[J].Data amp; Knowledge Engineering，2008，66（3）：438-466.

[6]Grossmann G，Mafazi S，Mayer W，et al.Change propagation and conflict resolution for the co-evolution of business processes[J].International Journal of Cooperative Information Systems，2015，24（1）：33-40.

[7]Jochen M K，Gerth C，Alexander F，et al.Detecting and resolving process model differences in the absence of a change log[C]//Proc of International Conference on Business Process Management.2008.

[8]Liang Xiannuan，Yang Xiao.Game theory for network security[J].IEEE Communications Surveys amp; Tutorials，2013，15（1）：472-486.

[9]Sokri A.Game theory and cyber defense[M]//Games in Management Science.2020：335-352.

[10]Zhang Hengwei，Jiang Lyu，Huang Shirui，et al.Attack-Defense diffe-rential game model for network defense strategy selection[J].IEEE Access，2019，7：50618-50629.

[11]Ni Zhen，Li Qianmu，Liu Gang.Game-model-based network security risk control[J].Computer，2018，51（4）：28-38.

[12]Liu Gang，Li Qianmu，Zhang Hong.Reliability vector orthogonal projection decomposition method of network security risk assessment[J].Journal of Electronics amp; Information Technology，2012，34（8）：1934-1938.

[13]Liu Gang，Li Qianmu，Zhang Hong.Defense strategy generation method for network security based on state attack-defense graph[J].Journal of Computer Applications，2013，117（8）：81-87.

[14]Zhu Quanyan.Game theory for cyber deception：a tutorial[EB/OL].（2019-03-03）.https：//arxiv.org/abs/1903.01442.

[15]Wu Hao，Wang Wei.A game theory based collaborative security detection method for internet of things systems[J].IEEE Trans on Information Forensics and Security，2018，13（6）：1432-1445.

[16]Marden J R，Shamma J S.Game theory and control[J].Annual Review of Control，Robotics，and Autonomous Systems，2018，1：105-134.

[17]Lee S，Kim S，Choi K，et al.Game theory-based security vulnerability quantification for social Internet of Things[J].Future Generation Computer Systems，2018，82：752-760.

[18]Sohrabi M K，Azgomi H.A survey on the combined use of optimization methods and game theory[J].Archives of Computational Methods in Engineering，2020，27（1）：59-80.

[19]Kamhoua C A，Kiekintveld C D，F(xiàn)ang Fei，et al.Game theory and machine learning for cyber security[M].[S.l.]：Wiley-IEEE Press，2021.

[20]Aalst W M P.Process mining-data science in action[M].2nd ed.Berlin：Springer，2016.

[21]Weidlich M，Mendling J，Weske M.Efficient consistency measurement based on behavioral profiles of process models[J].IEEE Trans on Software Engineering，2010，37：410-429.

[22]Smirnov S，Weidlich M，Mendling J，et al.Business process model abstraction based on behavioral profiles[C]//Proc of International Conference on Service-Oriented Computing.Berlin：Springer，6470.2010：1-16.

[23]OWASP announces new Top 10 for cyberthreats[J].Network Secu-rity，2021（9）：1-2.

[24]Gao Lijun，Li Yangting，Lu Zhang，et al.Research on detection and defense mechanisms of DoS attacks based on BP neural network and game theory[J].IEEE Access，2019，7：43018-43030.

[25]Kakkad V，Shah H，Patel R，et al.A comparative study of applications of game theory in cyber security and cloud computing[J].Procedia Computer Science，2019，155：680-685.

[26]劉靜，方賢文.基于成本對齊的業(yè)務流程變化挖掘方法[J].計算機科學，2020，47（7）：78-83.（Liu Jing，F(xiàn)ang Xianwen.Mining method of business process change based on cost alignment[J].Computer Science，2020，47（7）：78-83.）

[27]方歡，孫書亞，方賢文.基于不完備日志聯(lián)合發(fā)生關系的行為變化挖掘方法[J].計算機集成制造系統(tǒng)，2020，26（7）：1887-1895.（Fang Huan，Sun Shuya，F(xiàn)ang Xianwen.Behavior change mining methods based on incomplete logs conjoint occurrence relation[J].Computer Integrated Manufacturing Systems，2020，26（7）：1887-1895.）