网络安全态势感知技术范文
发布时间：2024-01-16 10:17:35
导语：想要提升您的写作水平，创作出令人难忘的文章？我们精心为您整理的13篇网络安全态势感知技术范例，将为您的写作提供有力的支持和灵感！
篇1
经济飞速发展的同时，科学技术也在不断地进步，网络已经成为当前社会生产生活中不可或缺的重要组成部分，给人们带来了极大的便利。与此同时，网络系统也遭受着一定的安全威胁，这给人们正常使用网络系统带来了不利影响。尤其是在大数据时代，无论是国家还是企业、个人，在网络系统中均存储着大量重要的信息，网络系统一旦出现安全问题将会造成极大的损失。
1基本概念
网络安全态势感知是对网络安全各要素进行综合分析后，评估网络安全整体情况，对其发展趋势进行预测，最终以可视化系统展示给用户，同时给出相应的统计报表和风险应对措施。网络安全态势感知包括五个方面1：（1）网络安全要素数据采集：借助各种检测工具，对影响网络安全性的各类要素进行检测，采集获取相应数据；（2）网络安全要素数据理解：对各种网络安全要素数据进行分析、处理和融合，对数据进一步综合分析，形成网络安全整体情况报告；（3）网络安全评估：对网络安全整体情况报告中各项数据进行定性、定量分析，总结当前的安全概况和安全薄弱环节，针对安全薄弱环境提出相应的应对措施；（4）网络安全态势预测：通过对一段时间的网络安全评估结果的分析，找出关键影响因素，并预测未来这些关键影响因素的发展趋势，进而预测未来的安全态势情况以及可以采取的应对措施。（5）网络安全态势感知报告：对网络安全态势以图表统计、报表等可视化系统展示给用户。报告要做到深度和广度兼备，从多层次、多角度、多粒度分析系统的安全性并提供应对措施。
1.2DPI技术
DPI（DeepPacketInspection）是一种基于数据包的深度检测技术，针对不同的网络传输协议（例如HTTP、DNS等）进行解析，根据协议载荷内容，分析对应网络行为的技术。DPI技术广泛应用于网络流量分析的场景，比如网络内容分析领域等。DPI技术应用于网络安全态势感知领域，通过DPI技术的应用识别能力，将网络安全关注的网络攻击、威胁行为对应的流量进行识别，并形成网络安全行为日志，实现网络安全要素数据精准采集。DPI技术发展到现在，随着后端业务应用的多元化，对DPI系统的能力也提出了更高的要求。传统DPI技术的实现主要是基于知名协议的端口、特征字段等作为识别依据，比如基于HTTP、HTTPS、DNS、SMTP、POP3、FTP、SSH等协议特征的识别、基于源IP、目的IP、源端口和目的端口的五元组特征识别。但是随着互联网应用的发展，越来越多的应用采用加密手段和私有协议进行数据传输，网络流量中能够准确识别到应用层行为的占比呈现越来越低的趋势。在当前网络应用复杂多变的背景下，很多网络攻击行为具有隐蔽性，比如数据传输时采用知名网络协议的端口，但是对传输流量内容进行定制，传统DPI很容易根据端口特征，将流量识别为知名应用，但是实际上，网络攻击行为却“瞒天过海”，绕过基于传统DPI技术的IDS、防火墙等网络安全屏障，在互联网上肆意妄为。新型DPI技术在传统DPI技术的基础上，对流量的识别能力更强。基本实现原理是对接入的网络流量根据网络传输协议、内容、流特征等多元化特征融合分析，实现网络流量精准识别。其目的是为了给后端的态势感知系统提供准确的、可控的数据来源。新型DPI技术通过对流量中传输的不同应用的传输协议、应用层内容、协议特征、流特征等进行多维度的分析和打标，形成协议识别引擎。新型DPI的协议识别引擎除了支持标准、知名应用协议的识别，还可以对应用层进行深度识别。
2新型DPI技术在网络安全态势感知领域的应用
新型DPI技术主要应用于数据采集和数据理解环节。在网络安全要素数据采集环节，应用新型DPI技术，可以实现网络流量的精准采集，避免安全要素数据采集不全、漏采或者多采的现象。在网络安全要素数据理解环节，在对数据进行分析时，需要基于新型DPI技术的特征知识库，提供数据标准的说明，帮助态势感知应用可以理解这些安全要素数据。新型DPI技术在进行网络流量分析时主要有以下步骤，（1）需要对攻击威胁的流量特征、协议特征等进行分析，将特征形成知识库，协议识别引擎加载特征知识库后，对实时流量进行打标，完成流量识别。这个步骤需要确保获取的特征是有效且准确的，需要基于真实的数据进行测试统计，避免由于特征不准确误判或者特征不全面漏判的情况出现。有了特征库之后，（2）根据特征库，对流量进行过滤、分发，识别流量中异常流量对应的攻击威胁行为。这个步骤仍然要借助于协议识别特征知识库，在协议识别知识库中记录了网络异常流量和攻击威胁行为的映射关系，使得系统可以根据异常流量对应的特征库ID，进而得出攻击威胁行为日志。攻击威胁行为日志包含捕获时间、攻击者IP和端口、被攻击者IP和端口、攻击流量特征、攻击流量的行为类型等必要的字段信息。（3）根据网络流量进一步识别被攻击的灾损评估，同样是基于协议识别知识库中行为特征库，判断有哪些灾损动作产生、灾损波及的数据类型、数据范围等。网络安全态势感知的分析是基于步骤2产生的攻击威胁行为日志中记录的流量、域名、报文和恶意代码等多元数据入手,对来自互联网探针、终端、云计算和大数据平台的威胁数据进行处理,分析不同类型数据中潜藏的异常行为,对流量、域名、报文和恶意代码等安全元素进行多层次的检测。针对步骤1的协议识别特征库，可以采用两种实现技术：分别是协议识别特征库技术和流量“白名单”技术。
2.1协议识别特征库
在网络流量识别时，协议识别特征库是非常重要的，形成协议识别特征库主要有两种方式。一种是传统方式，正向流量分析方法。这种方法是基于网络攻击者的视角分析，模拟攻击者的攻击行为，进而分析模拟网络流量中的流量特征，获取攻击威胁的流量特征。这种方法准确度高，但是需要对逐个应用进行模拟和分析，研发成本高且效率低下，而且随着互联网攻击行为的层出不穷和不断升级，这种分析方法往往存在一定的滞后性。第二种方法是近年随着人工智能技术的进步，逐渐应用的智能识别特征库。这种方法可以基于威胁流量的流特征、已有网络攻击、威胁行为特征库等，通过AI智能算法来进行训练，获取智能特征库。这种方式采用AI智能识别算法实现，虽然在准确率方面要低于传统方式，但是这种方法可以应对互联网上层出不穷的新应用流量，效率更高。而且随着特征库的积累，算法本身具备更好的进化特性，正在逐步替代传统方式。智能特征库不仅仅可以识别已经出现的网络攻击行为，对于未来可能出现的网络攻击行为，也具备一定的适应性，其适应性更强。这种方式还有另一个优点，通过对新发现的网络攻击、威胁行为特征的不断积累，完成样本库的自动化更新，基于自动化更新的样本库，实现自动化更新的流量智能识别特征库，进而实现AI智能识别算法的自动升级能力。为了确保采集流量精准，新型DPI的协议识别特征库具备更深度的协议特征识别能力，比如对于http协议能够实现基于头部信息特征的识别，包括Host、Cookie、Useragent、Re-fer、Contet-type、Method等头部信息，对于https协议，也能够实现基于SNI的特征识别。对于目前主流应用，支持识别的应用类型包括网络购物、新闻、即时消息、微博、网络游戏、应用市场、网络视频、网络音频、网络直播、DNS、远程控制等，新型DPI的协议特征识别库更为强大。新型DPI的协议识别特征库在应用时还可以结合其他外部知识库，使得分析更具目的性。比如通过结合全球IP地址库，实现对境外流量定APP、特定URL或者特定DNS请求流量的识别，分析其中可能存在的跨境网络攻击、安全威胁行为等。
2.2流量“白名单”
在网络流量识别时也同时应用“流量白名单”功能，该功能通过对网络访问流量规模的统计，对流量较大的、且已知无害的TOPN的应用特征进行提取，同时将这些特征标记为“流量白名单”。由于“流量白名单”中的应用往往对应较高的网络流量规模，在网络流量识别时，可以优先对流量进行“流量白名单”特征比对，比对成功则直接标记为“安全”。使用“流量白名单”技术，可以大大提高识别效率，将更多的分析和计算能力留给未知的、可疑的流量。流量白名单通常是域名形式，这就要求新型DPI技术能够支持域名类型的流量识别和过滤。随着https的广泛应用，也有很多流量较大的白名单网站采用https作为数据传输协议，新型DPI技术也必须能够支持https证书类型的流量识别和过滤。流量白名单库和协议识别特征库对网络流量的处理流程参考下图1：
3新型DPI技术中数据标准
安全态势感知系统在发展中，从各个厂商独立作战，到现在可以接入不同厂商的数据，实现多源数据的融合作战，离不开新型DPI技术中的数据标准化。为了保证各个厂商采集到的安全要素数据能够统一接入安全态势感知系统，各厂商通过制定行业数据标准，一方面行业内部的安全数据采集、数据理解达成一致，另一方面安全态势感知系统在和行业外部系统进行数据共享时，也能够提供和接入标准化的数据。新型DPI技术中的数据标准包括三个部分，第一个部分是控制指令部分，安全态势感知系统发送控制指令，新型DPI在接收到指令后，对采集的数据范围进行调整，实现数据采集的可视化、可定制化。同时不同的厂商基于同一套控制指令，也可以实现不同厂商设备之间指令操作的畅通无阻。第二个部分是安全要素数据部分，新型DPI在输出安全要素数据时，基于统一的数据标准，比如HTTP类型的数据，统一输出头域的URI、Host、Cookie、UserAgent、Refer、Authorization、Via、Proxy-Authorization、X-Forward、X-Requested-With、Content-Dispositon、Content-Language、Content-Type、Method等HTTP常见头部和头部关键内容。对于DNS类型的数据，统一输出Querys-Name、Querys-Type、Answers-Name、Answers–Type等。通过定义数据描述文件，对输出字段顺序、字段说明进行描述。针对不同的协议数据，定义各自的数据输出标准。数据输出标准也可以从业务应用角度进行区分，比如针对网络攻击行为1定义该行为采集到安全要素数据的输出标准。第三个部分是内容组织标准，也就是需要定义安全要素数据以什么形式记录，如果是以文件形式记录，标准中就需要约定文件内容组织形式、文件命名标准等，以及为了便于文件传输，文件的压缩和加密标准等。安全态势感知系统中安全要素数据标准构成参考下图2：新型DPI技术的数据标准为安全态势领域各类网络攻击、异常监测等数据融合应用提供了基础支撑，为不同领域厂商之间数据互通互联、不同系统之间数据共享提供便利。
4新型DPI技术面临的挑战
目前互联网技术日新月异、各类网络应用层出不穷的背景下，新型DPI技术在安全要素采集时，需要从互联网流量中，将网络攻击、异常流量识别出来，这项工作难度越来越大。同时随着5G应用越来越广泛，万物互联离我们的生活越来越近，接入网络的终端类型也多种多样，针对不同类型终端的网络攻击也更为“个性化”。新型DPI技术需要从规模越来越大的互联网流量中，将网络安全相关的要素数据准确获取到仍然有很长的路要走。基于新型DPI技术，完成网络态势感知系统中的安全要素数据采集，实现从网络流量到数据的转化，这只是网络安全态势感知的第一步。网络安全态势感知系统还需要基于网络安全威胁评估实现从数据到信息、从信息到网络安全威胁情报的完整转化过程，对网络异常行为、已知攻击手段、组合攻击手段、未知漏洞攻击和未知代码攻击等多种类型的网络安全威胁数据进行统计建模与评估，网络安全态势感知系统才能做到对攻击行为、网络系统异常等的及时发现与检测，实现全貌还原攻击事件、攻击者意图，客观评估攻击投入和防护效能，为威胁溯源提供必要的线索。
篇2
中图分类号：tp311.52文献标识码：a文章编号：10053824（2013）04002504
0引言
信息通信技术（information and communication technology， ict）随着技术的进步和应用的拓展，将给人类社会的生产与生活带来一场深刻的变革。目前，通信网络作为信息通信技术的重要基础分支，已经从人到人（person to person，p2p）的通信发展到人与机器（或物体）间以及机器到机器间（m2m）的通信，并朝着无所不在（ubiquitous）的网络（即泛在网络）方向演进 [1]。无线通信技术在近几十年内呈现出异常繁荣的景象，也带来了多种类型无线通信网络的发展和共存，这些无线通信网络可以统一称为泛在无线网络。
1泛在无线网络概述
泛在化已经成为未来无线网络演进的主题特征。泛在无线网络扩展了无线通信系统的外延，也丰富了系统的内涵。因此，这种高速化、宽带化、异构化、泛在化的网络无论从内部结构，还是所处外部环境，都具有如下两大主要基本特点：
1）异构性。构成泛在无线网络的不是单一或同构的网络实体，而是由功能、结构和组织形态各异的各类无线网络融合而成。同时，由于实体所处的地理位置、对资源的使用权限、网络社会环境中的角色和关系、信息的获取能力等因素的差异性，使得各个网络实体所处的环境以及获取的环境信息具有非对称性。
2）复杂性。网络实体之间，以及网络与环境的联系广泛而紧密，且互相影响。网络具有多层次、多功能的结构，其在发展和运动过程中能够不断地学习，并对其层次结构与功能结构进行重组与完善。网络与环境有密切的联系，能与环境相互作用，并能不断向更好地适应环境的方向发展变化。
泛在无线网络的异构性和复杂性从本质上改变了网络系统的内外部安全要素及其相互作用机理，使得人类对其特征做出有价值描述的能力大为降低[2]。这就要求降低网络系统对人的依赖，通过智能、综合的威胁分析和全面、协作的安全管理，将各个安全功能融合成一个无缝的安全体系。在这方面，目前国内外学术界已经开展了相关研究。其中，基于网络态势感知（cyberspace situation awareness， csa）的网络安全机制研究作为异构、复杂网络的主流研究方法之一，得到了学术界广泛的关注与研究。所谓网络安全态势感知是指在一定的时空条件下，对影响网络安全的各种要素进行获取和理解，通过数据的整合处理与分析来判断网络安全性的现状，预测其未来的发展趋势，并最终形成匹配趋势的自主安全行为机制[3]。
2分布式态势感知
目前学术界关于网络安全态势感知的研究已经形成一些初步的成果，但这些研究方法主要针对有线网络，难以匹配泛在无线网络的特征，同时本身也具有较大的局限性。
这些局限性的具体表现之一为：集中式感知体系与无线泛在网络的异构性和复杂性不匹配。在目前的研究中，感知体系具有底层分布式和顶层集中式架构。即感知信息的获取与融合具有分布式特征，而在感知知识理解以及态势预测方面都采用集中式的决策方式。在这种体系下，必然有一个全网的中心控制实体，用于形成态势感知的顶层功能。泛在无线网络庞大的规模和异构性必然导致集中决策功能的计算、存储和协议传输开销过于复杂，难于实现，而且过于集中化也不能较好地体现安全要素和安全功能的局部化、本地化特征。
为了解决这一问题，本文提出了一种新型的态势感知理论。一般来说，大规模系统中的各个子系统拥有各自的态势感知信息，这些态势感知信息和其他主体的感知信息尽管是兼容的，但也可能是非常不同的。通常情况下，由于各个主体的目的不同，我们并不总是希望或者总是必须共享这些态势感知信息，于是可以把态势感知看作是一个动态的和协作的过程，这个过程能够把各个主体在同一个任务下每时每刻地联系在一起。基于这样一个观点，一种创新理论—
分布式态势感知（distributed situation awareness，dsa）应运而生[4]。
2.1分布式态势感知与集中式态势感知的比较
分布式态势感知是面向系统的，而非面向个体的。我们的目标是研究分布式态势感知的措施，使其能够在某些领域支持对系统行为的预测和对观测现象的解释。例如，说明可能出现的错误，或者比较组织间指挥与控制的不同。在过去的20年中，很多的研究者在不同层次之间的相互关系和结构与功能之间的相互作用等方面都有着突出的贡献。通过回顾当代团队合作的研究，paris等人发现在一般的系统理论中，大多数的理论、模式和分类都包含着这样一种3步走方法，即输入—处理—输出[5]，这似乎对预测模型的开发是一种有效的区分方法。事实上，系统理论方法应该能够提供一种适用于在不同分层描述预测信息的方法。
在分布式态势感知中，认知过程发生在整个系统中，而不是某个特定的分层。endsley于1995年提出了3层态势感知模型[6]，即态势获取、态势理解和态势预测，这些可以恰当地映射为输入—处理—输出这样一个3步走方法。我们可以把endsley的感知模型应用在表1所示的入侵检测系统（ids）中。在这个例子中，信息收集设备一般为放置在不同网段的传感器，或者是由不同主机的来收集信息。检测引擎检测收集到的信息，当检测到某一异常时，会产生一个告警并发送给控制台。控制台按照告警产生预先确定的响应措施，如重新配置路由器或防火墙等。 这是一个简单的例子，因为它是线性的。在一定程度上，信息收集设备的输出是检测引擎的输入，检测引擎的输出又是控制台的输入。但是有两点说明对于本文研究的方法是非常重要的：第一点，构成分布式态势感知的认知信息是分布在整个系统的；第二点，是信息的隐式通信，而不是思维模型的详细交换。在表1的例子中，检测引擎通过一个告警来显示系统安全已经存在异常。因此，正如一些影响个体认知行为的重要的因素会涉及到信息的表征、转换和处理，即态势要素从获取到理解再到决策，同样的，整个系统层也要来面对和解决这些因素。
2.2分布式态势感知的特点
这些态势感知的基本理念分布在整个系统，引导我们提出一系列可以形成一个理论的基础原则。这些原则如下：
1）态势感知要素被人类或者非人类主体拥有。在表1中，技术设备和操作人员（控制台可能由人为控制）一样在某种程度进行了态势感知，如在这里是检测异常数据的存在。
2）在同一情景阶段下，不同的主体拥有不同的视角。就像在表1中，在态势要素获取、理解和预测阶段，信息收集设备、检测引擎和控制台拥有各自不同的视角和见解。
3）一个主体的态势感知是否与另外的一个重叠取决于他们各自的目的。尽管他们同属于一个入侵检测系统，信息收集设备的目的是收集可能存在异常的数据，检测引擎的目标是确定系统所处环境是否存在安全威胁，而控制台的目的在于为系统的安全做出适当的决策。基于endsley的态势感知模型，不同的主体代表态势感知的不同阶段，而他们自己并不是整个态势感知的缩影，如信息收集设备负责态势获取，检测引擎负责态势理解，控制台负责态势决策，这是分布式态势感知和传统态势感知模型很大的不同之处。
4）各个主体之间的通信可能通过非语言行为、习惯或者实践（这可能对非原生系统用户构成问题）来进行。例如，控制台通过检测引擎发送的一个告警信号，即了解到系统安全可能正受到威胁。
5）态势感知把松耦合系统联系在一起。通过对系统中异常数据的存在在不同阶段的感知和适当的响应，将信息收集设备、检测引擎和控制台三者联系在一起。
6）态势要素可以在各个主体间共享。例如，一个检测引擎可能不了解该系统中的安全威胁等级，但是它可以被信息收集设备、另一个检测引擎或控制台告知。
对于这类事件，我们可以依据klein提出的自然决策观点[7]进行考虑，也就是说，在某一领域的主体能够利用他们的经验和专长，使快速诊断和执行有效的行动在一个非常有限的时间框架内完成。类似的，smith和hancock两人提出，态势感知可以即时理解任务的相关信息，并能在压力之下做出适当的决策[8]。我们的理论是面向系统的，所以我们要对个体和共享态势感知采用不同的视角。我们认为分享态势感知的方法会把我们的注意力误导到任务并不十分重要的方面。在分布式团队工
作中，态势感知在短暂的时期可能是重叠的。分布式的态势感知需求和分享式的态势感知需求是不一样的。分享式的态势感知意味着分享的需求和目的是相同的，然而分布式态势感知意味着需求和目的是不同的，但是潜在兼容各自的需求和目的。因此，我们认为，对于一个系统中的特定任务，分布式态势感知可以定义为具有活性的认知。这与bell和lyon提出的观点相似，他们认为，态势感知可以定义为关于环境要素的认知[9]。从而，当把这一观点运用在分布式认知时，我们提出，态势需要充分利用适当的认知（被个体感知或者被设备获取等），这些认知信息与环境的状态和随着态势改变而发生的变化有关。对于本文提到的模型，认知的“所有权”首先是面向系统的，而不是个体的。这一观点可以进一步扩展到包括“态势感知元”的系统中，某个主体的认知信息包含于系统中，这样当其他的主体需要这些认知信息时，就可以知道去哪里找到。
2.3dsa理论的3个主要部分
分布式态势感知理论包括3个主要的部分：第一部分，获取操作过程中各个阶段和各个主体的认知信息，为完成这一任务我们使用关键决策理论；第二部分，从关键决策方法得到的结果中提取出认知对象，这里要用到内容分析方法；第三部分也是最后一部分，表述认知对象之间的关系，并识别它们是在哪些阶段被激活的。命题网络被用于此任务，包括利用“主题”、“关系”和“对象”网络结构的系统所需的知识来描述任何给定的情况。具体如下：
1）第一部分，获取各个部分的认知信息。
近年来，研究真实世界中的情况决策已经得到了极大的关注。虽然在检测方面做出了很多的工作，但还是要强调通过访问方法的使用来收集信息。klein提出的关键决策方法是一种针对关键事件的技术。按照klein的理论，关键决策方法是一种回顾性访问策略，应用一组认知探针来探测实际发生的非常规事件，需要专家判断和决策。在这种方法中，访问收益通过以下4个阶段：简洁和初始的事件回顾，确定特定事件的决策点，探测决策点和校验。
2）第二部分，提取认知对象。
为了把关键决策的分析表格转换成命题，我们采用内容分析的方法。在第一个部分，仅仅是从海量信息中分离出关键内容。例如，威胁的性质、情报可用性的程度和气候状况可以缩减为如下认知对象：“威胁”、“情报”和“天气”。通过检查以确保重复的最小化，然后用于构造命题网络。
为了解释这一系列的活动，我们确定一个认知对象的网络。我们定义认知对象作为世界上人们可以探测、分类和操作的实体。例如，认知对象可以包含自己和敌人领土的认知、空气和海洋的资产（和这些资产的有用度）、目标、重点、雷达带宽、计划和策略等。世界上所有的现象，都可用作潜在的认知对象。通过这种方式，我们把作战空间作为一个认知对象的网络，而不是一个技术网络。这不是否认技术网络的重要性，而是为了说明认知网络的正确使用可以确保整个系统有效地执行。
3）第三部分，表述认知对象与它们活动之间的关系。
命题网络就像语义网络，它们包含节点（包含文字）和节点之间的联系，但在两个方面有所不同。首先，这些词不一定是随机添加到网络的，而是涉及到定义的命题。一个命题是一个基本的声明，也就是说命题是最小的单元，其意义可以用来判断真伪。第二，词之间的链接被标记用来定义命题之间的关系。这些关系可能是关于主体和对象（从语法的角度）之间相对应的联系。基于以上的描述，我们认为可以引出像字典定义一样的概念。这些概念是基于基本命题的应用。 命题的派生是从关键决策方法再到内容分析得出的。我们可以构建一个初始命题网络来展示与此相关时间的认知信息。这个命题网络由一系列的节点来表示与特定操作者相关联的对象，例如，信息的来源和主体等。通过这个网络，应该可以识别与此事件相关的需求信息和可能选项。
综上所述，通过分析分布式态势感知的理论特点，并且结合泛在无线网络存在的安全难题，我们可以得到如下结论：分布式态势感知技术可以很好地解决泛在无线网络的异构性和复杂性问题，同时能够较好地体现安全要素和安全功能的局部化和本地化特征。
3结语
泛在网是全球新兴战略性产业，是“感知中国”的基础设施，此项事业光荣而艰巨，任重而道远。而泛在无线网络作为其重要组成部分，其安全问题正
到越来越广泛的关注。本文的主要目的是介绍一个新型的态势感知理论，即分布式态势感知。希望利用分布式态势感知的理论特点来解决泛在无线网络的一些具体难题，如复杂性和异构性问题。
虽然网络安全态势感知的研究已经得到了国内外越来越多的关注，但仍处于研究的探索阶段。尤其是对于无线泛在网络而言，除了要解决本文提到的“集中式感知体系与无线泛在网络的异构性和复杂性不匹配”问题，还需要注意到以下3个方面的问题：
1）安全态势演化模型无法耦合网络中各实体行为的复杂、非线性关联作用机理；
2）精准且高效的态势感知过程必须受网络实体的存储和计算能力以及带宽约束，尤其是在分布式态势感知体系下，各网络实体完成协作式态势感知过程时引入高效的协议交互，以及分布式决策的收敛性和收敛速度都有待研究；
3）缺乏针对泛在无线网络应用场景的主动防御机制及其评价体系。
参考文献：
[1]苗杰，胡铮，田辉，等.泛在网络发展趋势与研究建议[j].通信技术与标准（泛在网专刊），2010（1）：49.
[2]akhtman j， hanzo l. heterogeneous networking： an enabling paradigm for ubiquitous wireless communications[j]. proceedings of the ieee，2010，98（2）：135138.
[3]龚正虎，卓莹.网络态势感知研究[j].软件学报，2010，21（7）：16051619.
[4]neville a，rebecca s，don h， et al. distributed situation awareness in dynamic systems： theoretical development and application of an ergonomics methodology[j]. ergonomics， 2006， 49（1213）：12881311.
[5]paris c r，salas e，cannon b j a. teamwork in multiperson systems： a review and analysis[j].ergonomics，2000，43（8）：10521075.
[6]endlsey m r. toward a theory of situation awareness in dynamic systems[j].human factors， 1995（37）：3264.
[7]klein g a. a recognitionprimed decision （rpd） model of rapid decision making[j]. decision making in actim： models and methods，1993，5（4）：138147.
[8]smith k， hancock p a. situation awareness is adaptive， externally directed consciousness[j].the journal of the human factors and ergonomics society，1995，37（1）：137148.
篇3
[5]韦勇， 连一峰. 基于日志审计与性能修正算法的网络安全态势评估模型[J]. 计算机学报，2009，32（4）：763-771.
PORRAS P A， FONG M W， VALDES A. A missionimpactbased approach to INFOSEC alarm correlation [C]// RAID02： Proceedings of the 5th International Conference on Recent Advances in Intrusion Detection， LNCS 2516. Berlin： SpringerVerlag， 2002： 95-114.
[6]王晋东，沈柳青，王坤.网络安全态势预测及其在智能防护中的应用[J].计算机应用，2010，30（6）：1480-1488.
[7]朱丽娜，张作昌，冯力.层次化网络安全威胁态势评估技术研[J].计算机应用研究， 2011，28（11）：4303-4306.
[8]王慧强，赖积保，胡明明.网络安全态势感知关键实现技术研究[J]. 武汉大学学报：信息科学版，2008，33（10）：995-998.
[9]赵国生，王慧强，王健.基于灰色关联分析的网络可生存性态势评估研究[J].小型微型计算机系统，2006，27（10）：1861-1864.
[10]QU Z Y， LI Y Y， LI P. A network security situation evaluation method based on DS evidence theory [C]// Proceedings of the 2010 International Conference on Environmental Science and Information Application Technology. Washington， DC： IEEE Computer Sceiety， 2010：496-499.
[11]SMITH D， SINGH S. Approaches to multisensor data fusion in target tracking： a survey[J]. IEEE Transactions on Knowledge and Data Engineering， 2006， 18（12）：1696-1710.
[12]席荣荣，云晓春，金舒原，等. 网络安全态势感知研究综述[J]. 计算机应用，2012，32（1）：1-4，59.
篇4
2网络安全态势感知体系结构
（1）体系主要技术
网络安全态势感知对网络安全信息的管理有着很好的效果，其效果的实现是结合了多种网络网信息安全技术，比如防火墙、杀毒软件、入侵检测系统等技术，其作用主要表现在对网络安全的实时检测和快速预警。通过实时检测，网络安全态势感知可以对正在运行的网路安全情况进行相应的评估，同时也可以预测网络以后一定时间的变化趋势。
（2）体系组成部分
网络安全态势感知体系可以划分成四个部分。第一部分是特征提取，该层的主要作用是通过防火墙、入侵检测系统、防病毒、流控、日志审计等系统整理并删选网络系统中众多的数据信息，然后从中提取系统所需要的网络安全态势信息；第二部分是安全评估，该部分属于网络安全态势感知体系的核心部分，其作用是分析第一部分所提出的信息，然后结合体系中其他网络安全技术（防火墙、入侵检测系统等）评估网络信息安全的运行状况，给出评估模型、漏洞扫描和威胁评估；第三个部分就是态势感知，这一部分的作用是识别网络安全评估的信息和信息源，然后明确双方之间存在的联系，同时根据评估的结果形成安全态势图，借此来确定网络安全受威胁的程度，并直观反映出网络安全实时状况和发展趋势的可能性；最后一部分是预警系统，这个部分是结合安全态势图，对网络运行中可能受到的安全威胁进行快速的预警，方便安全管理人员可以及时的检查网络安全的运行状况，然后通过针对性的处理措施解决网络安全隐患。
3网络安全态势感知关键技术
（1）数据挖掘技术
随着网络信息技术的成熟，网络中的信息量也在不断增多，同时又需要对这些数据进行快速的分析。针对这种问题，数据挖掘技术就应运而生，其目的是在大量的安全态势信息中找出有价值且能使用的数据模式，以便检测不确定的攻击因素和自动创建检测模型。数据挖掘广义上理解就是挖掘网络中众多的信息，但挖掘出来的信息是人们所需要的，而按照专业人士的解释，数据挖掘就是从大量的、不完全的、有噪声的、模糊的、随机的实际应用数据中发现隐含的、规律的、人们事先未知的，但又有潜在有用的并且最终可理解的信息和知识的非平凡过程。其中提出的信息和知识由可以转换为概念、模式、规则、规律等形式。在知识的发现中数据挖掘是非常重要的环节，目前这项技术开始逐渐进入到网络安全领域，并与入侵检测系统进行了结合，其中运用的分析方法主要包含4种，即关联分析、聚类分析、分类分析以及序列模式分析。关联分析的作用是挖掘各种数据存在的某种联系，就是通过给定的数据，挖掘出支持度和可信度分别大于用户给定的最小支持度和最小可信的关联规则。序列模式分析与关联分析类似，但其分析更多的是数据之间的前后联系，即使通过给定的数据，找出最大序列，而这个序列必须是用户指定，且属于最小支持度。分类分析对集中的数据进行分析和归类，并根据数据的类别分别设置不同的分析模型，然后再分类其它数据库的数据或者信息记录，一般用的比较多的模型主要包括神经网络模型、贝叶斯分类模型和决策树模型。聚类分析与分类分析都是属于数据的分类，但两者的区别在于前者不需要对类进行提前定义，其分类是不确定的。具体细分下来聚类分析法又包括以密度为基础的分类、模糊聚类、动态聚类。关联分析与序列分析大多用在模式的发展以及特征的构建，分类分析与聚类分析大多用在模型构建完成之后的检测环节。现阶段，虽然数据挖掘已应用到网络安全领域，也具备较好的发展趋势，但使用过程中还是有一些问题需要解决。比如，获得数据挖掘需要的数据途径较少，数据挖掘的信息量过大，效率较低，费时又费力，难以实现实时性。
（2）信息融合技术
信息融合技术也叫做数据融合技术，或者是多传感器数据融合，它是处理多源数据信息的重要工具和方法，其作用的原理是将各种数据源的数据结合在一起然后再进行形式化的描述。就信息论而言，相比于单源的数据信息，多源数据信息在提供信息量具有更好的优势。信息融合的概念在很早以前就提出，而由于近些年高级处理技术和高效处理硬件的应用，信息的实时融和逐渐成为网络信息技术领域研究的新趋势，其研究的重点就是对海量的多源信息的处理。正是基于这种研究，信息融合技术的理论研究以及实际应用取得显著的效果。就信息融合的标准而言，美国数据融合专家组成立之初就进行了相应的工作，且创建了数据融合过程的通用模型，也就是JDL模型，该模型是目前数据融合领域常用的概念模型。这个模型主要有四个关于数据融合处理的过程，即目标提取、态势提取、威胁提取和过程提取。这些过程在划分上并不是根据事件的处理流程，每个过程也并没有规定的处理顺序，实际应用的时候，这些过程通常是处于并行处理的状态。目标提取就是利用各种观测设备，将不同的观测数据进行收集，然后把这些数据联合在一起作为描述目标的信息，进而形成目标趋势，同时显示该目标的各种属性，如类型、位置和状态等。态势提取就是根据感知态势图的结果将目标进行联系，进而形成态势评估，或者将目标评估进行联系。威胁提取就是根据态势评估的结果，将有可能存在威胁的建立威胁评估，或者将这些结果与已有的威胁进行联系。过程提取就是明确怎样增强上述信息融合过程的评估能力，以及怎样利用传感器的控制获得最重要的数据，最后得出最大限度提高网络安全评估的能力。
（3）信息可视化技术
信息可视化技术就是利用计算机的图像处理技术，把数据信息变为图像信息，使其能够以图形或者图像的方式显示在屏幕上，同时利用交互式技术实现网络信息的处理。在计算技术不断发展的条件下，信息可视化的的研究也得到了不断的开拓。目前信息可视化研究的领域不再局限于科学计算数据的研究，工程数据以及测量数据同样也实现了信息的可视化。利用信息可视化技术，可以有效地得知隐藏在数据信息中的规律，使网路信息的处理能获得可靠的依据。就计算机安全而言，目前网络安全设备在显示处理信息结果上，只是通过简单的文字描述或者图表形式，而其中的关键信息常常很难被提取出来。网络安全态势感知体系的主要作用就是通过融合和分类多源信息数据，使网络安全里人员在进行决策和采取措施时能及时和找准切入点。这就需要将态势感知最后得出的结果用可视化的形式显示计算机系统中，充分发挥人类视觉中感知和处理图像的优势，从而保证网络的安全状态能得到有效地监控以及预测。故而，作为网络安全态势感知体系的关键技术，可视化技术的发展以及实际应用有了显著的效果，对于网络安全态势感知中的攻击威胁和流量信息发挥重要的作用。同时，可视化技术的主要作用就是将态势感知的结果以人们便于认识的形式呈现出来，那么就需要考虑到态势信息的及时性和直观性，最后显示的形式不能太过复杂。此外，未来网络安全态势感知体系中可视化技术，还需要解决怎样把具有攻击威胁的信息与网络流量信息进行一定的联系，且为了加强显示信息的时效性和规模性，还需要制定相关的标准，保证安全态势的显示能规范统一。
4金税工程网络安全态势感知模型实例分析
对金税工程网络安全需求为牵引，通过数据挖掘深入感知IT资源（采集的要素信息），构建出金税工程网络安全态势感知模型。模型分解可分解为要素信息采集、事件归一化、事件预处理、态势评估、业务评估、预警与响应、流程处理、用户接口（态势可视化）、历史数据分析九个部分。
（1）要素信息采集：
信息采集对象包括资产、拓扑、弱点、性能、事件、日志等。
（2）事件归一化：
对采集上来的各种要素信息进行事件标准化、归一化、并对原始事件的属性进行扩展。
（3）事件预处理：
也是对采集上来的各种要素信息进行事件标准化和归一化处理。事件预处理尤其是指采集具有专项信息采集和处理能力的分布式模块。
（4）态势评估：
包括关联分析、态势分析、态势评价，核心是事件关联分析。关联分析就是要使用采用数据融合（Da⁃taFusion）技术对多源异构数据从时间、空间、协议等多个方面进行关联和识别。态势评估的结果是形成态势评价报告和网络综合态势图，借助态势可视化为管理员提供辅助决策信息，同时为更高阶段的业务评估提供输入。
（5）业务评估：
包括业务风险评估和业务影响评估，还包括业务合规审计。业务风险评估主要采用面向业务的风险评估方法，通过业务的价值、弱点和威胁情况得到量的出业务风险数值；业务影响评估主要分析业务的实际流程，获知业务中断带来的实际影响，从而找到业务对风险的承受程度。
（6）预警与响应：
态势评估和业务评估的结果都可以送入预警与响应模块，一方面借助态势可视化进行预警展示，另一方面，送入流程处理模块进行流程化响应与安全风险运维。
（7）流程处理：
主要是指按照运维流程进行风险管理的过程。安全管理体系中，该功能是由独立的运维管理系统担当。
（8）用户接口（态势可视化）：
实现安全态势的可视化、交互分析、追踪、下钻、统计、分布、趋势，等等，是用户与系统的交互接口。态势感知系统的运行需要用户的主动参与，而不是一个自治系统。
（9）历史数据分析：
这部分实际上不属于态势感知的范畴。我们已经提到，态势感知是一个动态准实时系统，他偏重于对信息的实时分析和预测。在安全管理系统中，除了具备态势感知能力，还具备历史数据挖掘能力。
篇5
【关键词】态势感知 量化 融合 网络安全 网络环境
由于网络安全事件发生机率的不断上升，信息网络安全问题再次成为了人们关注的焦点，社会各界也加大了对网络安全环境的营造力度，网络安全态势感知作为网络环境安全管理的重要手段，自然也成为了人们关注的重点。业内人士不仅加大了对网络安全B势感知量化的研究，同时为了解决网络安全事件不确定性因素较为复杂的问题，开始加大对融合感知的研究力度，并已经取得了一定的成绩。
1 网络安全态势感知
所谓态势感知就是以规模性系统环境为基础，对引发系统安全问题的因素进行分析、提取与预估的过程。由于其能够通过对态势感知工具的运用，科学对复杂的动态化环境的动态变化情况进行明确，从而准确做出判断，以保证环境安全性。网络态势不仅包含网络运行设备综合情况，同时用户行为因素以及网络行为因素等内容也涵盖在其中。而安全态势感知技术可以对网络系统情况实施实时监控，并会将监控结果制成全局安全视图以及局部安全视图，能够为决策者提供出更加可靠的数据支持。
2 融合网络安全态势感知量化方式
由于目前融合方式种类较多，本文在此将以DS证据理论为例，对网络安全态势感知（以下简称为态势感知）融合进行全面论述。
2.1 态势要素提取
所谓态势要素，就是安全态势属性的简称，能够对态度基本特征进行描述，并会按照要素，形成威胁态势以便后续工作的开展。通常情况下，态度要素组成内容往往会涉及到多个部分，较为综合，像安全事件威胁程度、发生频率以及事件类型等内容都包含在其中，其中威胁程度始终都是研究中的难点部分，专家往往只能依靠自己多年经验来威胁情况进行判断，这就会直接影响到要素判断的准确性，需要运用相关理论来对要素的隶属关系以及要素关系进行反复推演。笔者将以目标决策理论为基础，对正态分布实施离散化处理，且会通过对威胁因子进行收集的方式，将其和威胁因子收集目标要求进行拟合处理，并在简单层次分析环境中，对网络环境中的威胁因子进行生成，以开展后续环境监督工作。
2.2 层次量化感知处理
在得到相应的要素之后，相关人员需要对要素进行量化，进而将多种类型要素映射到统一的量纲之中，以完成感知量化的过程。而整体过程处理方式主要分为服务安全态度、主机安全态势以及网络安全态势三种。
（1）攻击强弱以及威胁因子等因素会组成服务安全态度，是以组成因素为基础，通过对多种攻击威胁因子量化权重情况，来对服务遭受攻击种类以及数目进行分析的方式，主要目的就是为了对攻击数量进行弱化，以提高相关人员对于威胁程度重要性的认知程度。
（2）顾名思义，主机安全态度和主机运行态势以及运行服务数目有着直接关联，如果将主机时间窗口设为B，将主机Hl（1≤l≤u）中的运行服务设为si，而将服务失效之后所生成的不良后果设置为?si则主机安全态势就可以表示为：
（3）网络安全态势主要是由主机数据敏感性、主机安全态势以及主机数目等内容所组成。如果网络系统中的关键数目以及资产值出现较大的变动，则就会证明系统中存在着威胁，相关人员需要对其进行准确判断，以便及时对网络系统中存在的安全问题进行解决，保证网络系统的安全运行。
3 安全态势量化感知融合仿真实验
本实验将对融合、专家加权DS理论与传统DS理论进行对比，从而分析出权值环境的适应性以及其数据的变化情况，从而准确分析出融合量化感知的优势所在。
3.1 服务安全态势
相关人员需要通过实验收集到威胁因子、攻击强弱以及攻击类型等方面的内容，其中攻击类型与攻击强度会在DS融合引擎中所获得，并会在时间窗口中对其进行统计与研究，以实现对威胁因子的计算。而仿真网络在运行一段时间之后，相关人员会开始模拟对网络进行攻击，且攻击时间由此自行进行安排，并会对攻击对象实施选择性重放处理。通过对攻击前后网络安全态势的分析发现，虽然攻击之后系统会出现异常情况，却有着一定规律，可以按照服务安全态度与发展情况对其进行合理防护，便能科学对服务问题进行控制。
3.2 主机安全态势
通过对该部分安全态势感知的分析可以发现，如果主机运行服务出现问题，就会生成不良后果，而其能够作为重要依据来对服务权重进行明确，通常权重等级主要分为高级、中级以及低级三类。通过分析可以发现，如果服务相同，则其安全态势也较为类型，且在重大问题出现前，其安全态势会出现异常的情况，管理人员可以按照这一特点，提前做好攻击防护准备，并按照威胁程度等级做出相应的处理即可。
3.3 网络安全态势
在对网络安全态势需通过对主机重要权重进行确定来进行感知，其与机密数据存在性、主机资产价值以及关键服务数目有着直接的关联，通过归一化手段处理之后，相关人员能够对一段时间内的安全态势变化情况进行明确，并可以准确分析出可能存在的攻击情况，从而及时对其做出应对，以确保网络威胁因素能够在可控范围之内。
4 结束语
基于融合理念进行的网络安全态势感知，能够通过多源融合的方式，来对网络中的异质环境内存在的威胁因素进行融合，进而形成威胁因素分子，进而对量化感知过程进行完善，确保管理者能够通过对层次关联内容进行推理的方式，来对存在的安全隐患进行确定，以便及时对其进行剖析与解决，进而切实强化环境适应能力，保证网络环境安全系数。
参考文献
篇6
中图分类号:TP393文献标识码:A文章编号:1009-3044(2010)13-3333-01
Outline of Network Security Situation System
CHEN Liu-wei, ZHAO Lei, CHEN Ying-qi
(Computer Office, Aviation University of Air Force, Changchun 130022, China)
Abstract: Mission-critical network system(MCNS), as a special kind of network information system, has been widely applied in many fields that affect people's lives and social development. However, network environment worsening makes security problems facing by the system become more and more obvious. Under the circumstances that traditional network security technologies can not satisfy people's security requirements any longer, research on network security situational awareness (NSSA) emerges as the times require. The summarization of studying situation inNSSAS allover theworldwaspresented firstly. Basic principles and da-ta formats of Netflowwere given.
Key words: network security; situation awareness; situation assess-ment
1 概述
网络已经深入我们生活的点点滴滴,随着网络规模的不断壮大,网络结构的日益复杂,网络病毒、Dos/DDos攻击等构成的威胁和损失越来越大,传统的网络安全管理模式仅仅依靠防火墙、防病毒、IDS等单一的网络安全防护技术来实现被动的网络安全管理,已满足不了目前网络安全的要求,网络安全态势感知研究便应运而生。当前,网络系统的安全问题已经引起社会各方面的高度重视,各国政府都投入了大量的人力、物力和财力进行网络安全相关理论和技术的研究。我国将信息系统安全技术列为21世纪重点发展领域,并作为国家863计划和国家自然科学基金的重点支持课题,2001年8月重新组建国家信息化领导小组,全力推进信息安全的国家级规划,统管国家信息安全保障体系框架的建立。
2 网络安全态势感知系统的基本构成
网络态势感知系统通常是融合防火墙、防病毒软件、入侵监测系统(IDS)、安全审计系统等安全措施的数据信息,对整个网络的当前状况进行评估,对未来的变化趋势进行预测。整个系统基本可以分为四部分:数据信息搜集,特征提取,态势评估,网络安全状态预警。
2.1 数据信息搜集
整个系统通过对当前网络的状态进行分析,而反应这些状态的信息,也就是网络状态数据需要系统自己获取,在信息搜集这个问题上有多种的方法,我们采取的方法是基于Netflow的方法。Netflow流量统计技术是由Cisco公司s在1996年开发的一套网络流量监测技术,目前已内嵌在大部分Cisco路由器上,正逐渐成为业界标准。Netflow工作原理是,在到达的数据包中按照流量采样间隔采样数据包,把所采集到的所有数据包过滤并汇聚成很多数据流,然后把这些数据流按照流记录(flow record)格式存入缓存中,满足导出条件后再把它们通过UDP协议导出。对于信息的采集,我们采取间隔采样的办法,依据信道的繁忙程度而设定相应的采样间隔,减少采集器与路由器之间的通信频度,提高路由器的利用率。目前常用的采样方法有两种,即固定时间间隔采样和随机附加采样。前者虽然周期采样简单,但是很可能导致采样结果不全面、不真实;而后者样本之间是相互独立的,采样间隔是通过一个函数随机产生。如果选用泊松函数,则该样本将满足无偏的,且泊松采样不易引起同步,它能精确地进行周期采样,也不易被预先控制。
2.2 特征提取
经过第一步的数据搜集,我们搜集了大量的数据,由于这些数据中存在大量的冗余的信息,不能直接用于安全评估和预测。特征提取和预处理技术即从这些大量数据中提取最有用的信息并进行相应的预处理工作,为接下来的安全评估、态势感知、安全预警做好准备。数据预处理和特征选择处于网络安全态势感知系统的底层。
2.3 态势评估
现有的风险评估方法很多,大部分学者认为可以分为四大类:定量的风险评估方法、定性的风险评估方法、定性与定量相结合的集成评估方法以及基于模型的评估方法。事件关联与目标识别采用数据融合技术对多源流数据从时间、空间、协议等多个方面进行关联和识别。态势评估包括态势元素提取、当前态势分析和态势预测,在此基础上形成态势分析报告和网络综合态势图,为网络安全管理员提供辅助决策信息。单纯的采用定性评估方法或者单纯的采用定量评估方法都不能完整地描述整个评估过程,定性和定量相结合的风险评估方法克服了两者的缺陷,是一种较好的方法。
2.4 网络安全状态预警
通过前几个步骤的分析,取得了大量的网络状态数据,根据制定的标准,对网络当前的状态,以及未来的状态有一定的预知,可以大概清楚网络未来的安全趋势,而网络的安全状态具体是什么,是安全还是有风险,这不是一句话就能概括的,仅仅给出网络当前的安全状态是不够的,因为现在的网络规模很大,影响网络安全的事件很多,我们只能给出一个大概的安全等级,用可视化的方法展现给用户,如果分析出的结果网络安全状态不是很乐观,还要给出相应的解决方案供用户选择,这些方案的实行也是一个重要的的技术手段,比如说现在正在研究的微重启技术,微重启是一种新型的针对大型分布式应用软件系统的低损耗、快速恢复技术。
3 总结
随着网络规模的不断扩大,任务关键网络系统所面临的安全风险日益增大,其关键任务/服务一旦中断,将造成生命、财产等的重大影响和损失。网络系统的安全问题正逐渐成为当下人们的研究焦点所在。作为网络安全新技术发展的一个必然阶段,网络安全态势感知研究将改变以往以被动安全防护手段为主的局面,开创主动安全保障的新时代。
篇7
网络安全态势评估与态势评测技术的研究在国外发展较早，最早的态势感知的定义是在1988年由Endley提出的。它最初是指在特定的时间、空间范围内，对周边的环境进行感知，从而对事物的发展方向进行评测。我国对于网络安全事件关联细分与态势评测技术起步较晚，但是国内的高校和科研机构都积极参与，并取得了不错的成果。哈尔滨工业大学的教授建立了基于异质多传感器融合的网络安全态势感知模型，并采用灰色理论，对各个关键性能指标的变化进行关联分析，从而对网络系统态势变化进行综合评估。中国科技大学等人提出基于日志审计与性能修正算法的网络安全态势评估模型，国防科技大学也提出大规模网络安全态势评估模型。这些都预示着，我国的网络安全事件关联分析与态势评测技术研究有了一个新的进步，无论是大规模网络还是态势感知，都可以做到快速反应，提高网络防御能力与应急响应处理能力，有着极高的实用价值[1]。
2网络安全事件关联分析技术概述
近年来，网络安全一直遭受到黑客攻击、病毒、漏洞等威胁，严重影响着网络的运行安全。社会各界也对其极为重视，并采用相应技术来保障网络系统的安全运行。比如Firewall，IDS，漏洞扫描，安全审计等。这些设备功能单一，是独立的个体，不能协同工作。这样直接导致安全事件中的事件冗余，系统反应慢，重复报警等情况越来越严重。加上网络规模的逐渐增加，数据报警信息又多，管理员很难一一进行处理，这样就导致报警的真实有效性受到影响，信息中隐藏的攻击意图更难发现。在实际操作中，安全事件是存在关联关系，不是孤立产生的。网络安全事件关联分析就是通过对各个事件之间进行有效的关联，从而将原来的网络安全事件数据进行处理，通过过滤、发掘等数据事件之间的关联关系，才能为网络管理人员提供更为可靠、有价值的数据信息。近年来，社会各界对于网络安全事件的关联分析更为重视，已经成为网络安全研究中必要的一部分，并取得了相应的成果。在一定程度上，缩减网络安全事件的数量，为网络安全态势评估提供有效的数据支持。2.1网络安全数据的预处理。由于网络复杂多样，在进行安全数据的采集中，采集到的数据形式也是多种多样，格式复杂，并且存在大量的冗余信息。使用这样的数据进行网络安全态势的分析，自然不会取得很有价值的结果。为了提高数据分析的准确性，就必须提高数据质量，因此就要求对采集到的原始数据进行预处理。常用的数据预处理方式分为3种：（1）数据清洗。将残缺的数据进行填充，对噪声数据进行降噪处理，当数据不一致的时候，要进行纠错。（2）数据集成。网络结构复杂，安全信息的来源也复杂，这就需要对采集到的数据进行集成处理，使它们的结构保持一致，并且将其存储在相同的数据系统中。（3）将数据进行规范变化。2.2网络安全态势指标提取。构建合理的安全态势指标体系是对网络安全态势进行合理评估和预测的必要条件。采用不同的算法和模型，对权值评估可以产生不同的评估结果。网络的复杂性，使得数据采集复杂多变，而且存在大量冗余和噪音，如果不对其进行处理，就会导致在关联分析时，耗时耗力，而且得不出理想的结果。这就需要一个合理的指标体系对网络状态进行分析处理，发现真正的攻击，提高评估和预测的准确性。想要提高对网络安全状态的评估和预测，就需要对数据信息进行充分了解，剔除冗余，找出所需要的信息，提高态势分析效率，减轻系统负担。在进行网络安全要素指标的提取时要统筹考虑，数据指标要全面而非单一，指标的提取要遵循4个原则：危险性、可靠性、脆弱性和可用性[2]。2.3网络安全事件关联分析。网络数据具有不确定性、不完整性、变异性和模糊性的特点，就导致事件的冗余，不利于事件关联分析，而且数据量极大，事件繁多，网络管理人员对其处理也极为不便。为了对其进行更好的分析和处理，就需要对其进行数据预处理。在进行数据预处理时要统筹考虑，分析网络安全事件的关联性，并对其类似的进行合并，减少重复报警概率，从而提高网络安全状态评估的有效性。常见的关联办法有因果关联、属性关联等。
3网络安全态势评测技术概述
网络安全态势是一个全局的概念，是指在网络运行中，对引起网络安全态势发生变化的网络状态信息进行采集，并对其进行分析、理解、处理以及评测的一个发展趋势。网络安全态势是网络运行状态的一个折射，根据网络的历史状态等可以预测网络的未来状态。网络态势分析的数据有网络设备、日志文件、监控软件等。通过这些信息对其关联分析，可以及时了解网络的运行状态。网络安全态势技术分析首先要对网络环境进行检测，然而影响网络安全的环境很是复杂，时间、空间都存在，因此对信息进行采集之后，要对其进行分类、合并。然后对处理后的信息进行关联分析和态势评测，从而对未来的网络安全态势进行预测。3.1网络安全态势分析。网络安全态势技术研究分为态势获取、理解、评估、预测。态势的获取是指收集网络环境中的信息，这些数据信息是态势预测的前提。并且将采集到的数据进行分析，理解他们之间的相关性，并依据确定的指标体系，进行定量分析，寻找其中的问题，提出相应的解决办法。态势预测就是根据获取的信息进行整理、分析、理解，从而来预测事物的未来发展趋势，这也是网络态势评测技术的最终目的。只有充分了解网络安全事件关联与未来的发展趋势，才能对复杂的网络环境存在的安全问题进行预防，最大程度保证网络的安全运行。3.2网络安全态势评测模型。网络安全态势评测离不开网络安全态势评测模型，不同的需求会有不同的结果。网络安全态势评测技术具备较强的主观性，而且复杂多样。对于网络管理员来说，他们注意的是网络的运行状态，因此在评测的时候，主要针对网络入侵和漏洞识别。对于银行系统来说，数据是最重要的，对于军事部门，保密是第一位的。因此网络安全状态不能采用单一的模型，要根据用户的需求来选取合适的需求。现在也有多种态势评测模型，比如应用在入侵检测的Bass。3.3网络安全态势评估与预测。网络安全态势评估主要是对网络的安全状态进行综合评估，使网络管理者可以根据评估数据有目标地进行预防和保护操作，最常用的态势评估方法是神经网络、模糊推理等。网络安全态势预测的主要问题是主动防护，对危害信息进行阻拦，预测将来可能受到的网络危害，并提出相应对策。目前常用的预测技术有很多，比如时间序列和Kalman算法等，大概有40余种。他们根据自身的拓扑结构，又可以分为两类：没有反馈的前馈网络和变换状态进行信息处理的反馈网络。其中BP网络就属于前者，而Elman神经网络属于后者[3]。
4网络安全事件特征提取和关联分析研究
在构建网络安全态势指标体系时，要遵循全面、客观和易操作的原则。在对网络安全事件特征提取时，要找出最能反映安全态势的指标，对网络安全态势进行分析预测。网络安全事件可以从网络威胁性信息中选取，通过端口扫描、监听等方式进行数据采集。并利用现有的软件进行扫描，采集网络流量信息，找出流量的异常变化，从而发现网络潜在的威胁。其次就是利用简单网络管理协议（SimpleNetworkManagementProtocol，SNMP）来进行网络和主机状态信息的采集，查看带宽和CPU的利用率，从而找出问题所在。除了这些，还有服务状态信息、链路状态信息和资源配置信息等[4]。
5结语
近年来，随着科技的快速发展，互联网技术得到了一个质的飞跃。互联网渗透到人们的生活中，成为人们工作、生活不可或缺的一部分，而且随着个人计算机的普及应用，使得网络的规模也逐渐增大，互联网进入了大数据时代。数据信息的重要性与日俱增，同时网络安全问题越来越严重。黑客攻击、病毒感染等一些恶意入侵破坏网络的正常运行，威胁信息的安全，从而影响着社会的和谐稳定。因此，网络管理人员对当前技术进行深入的研究，及时掌控技术的局面，并对未来的发展作出正确的预测是非常有必要的。
作者:李胜军 单位:吉林省经济管理干部学院
[参考文献]
[1]赵国生，王慧强，王健.基于灰色关联分析的网络可生存性态势评估研究[J].小型微型计算机系统，2006（10）：1861-1864.
篇8
1 概述
进入了二十一世纪，电子技术的发展越来越快，大规模互联网络数据处理的地位随之升高，这就对网络安全态势提出了更高的要求。我国从上个世纪九十年代开始就对各种网络系统进行深入的研究，对网络安全态势逐个进行分析破解，在全国范围内应用效果明显。现阶段，在政府企业等一些领域应用广泛[1]。
目前，为保证网络安全通常使用神经网络、遗传算法等非协定条件计算方法，但传统的非协定条件下的网络安全是按照一定次序对网络信息进行过虑筛选，并按照相应规则进行处理器分配，使计算机网络在保证安全情况下，以最短的时间完成信息处理。但是传统的计算方法必须要经过预处理来估计计算执行时间，以满足处理器运转效率，浪费计算时间。
提出一种非协定条件下多级反馈网络安全态势感知系统，通过对多级反馈队列调度算法结合先来先服务的运算规则，缩短计算运算时间，提高整个系统安全防范能力。仿真实验表明，提出的非协定条件下多级反馈网络安全态势感知系统能够解决大数据情况易出现系统崩溃和运算错误的发生概率，多级反馈网络安全计算方法优势明显，具有一定的应用价值。
2 非协定条件机制
非协定条件机制是一个由设计规则完成的计算，在计算执行的过程中，数据传输检测任务既是系统进程也是一个线程。通常在网络安全态势下都是多个进程或线程同时进行的。
因此，在目前情况下将非协定条件的网络安全检测作为一个大数据量拥有的基本单位，不仅能够在线程之间并发进行，而且在同一个检测过程中也可以多线程同时执行[3]。同一个检测流程共享所有的系统检测资源，但各自检测拥有各自的检测标准。
2.1 非协定条件机制定义
非协定条件机制是网络安全态势的重要组成部分，其主要工作是将网络数据检测任务通过规则合理分配到检测的终端，以达到节省时间节约能源的最佳目的。以提高网络安全检测端处理器性能防止运行锁死。其流程图如图1所示。
2.2 运行机制
在非协定条件下进行检测系统中，安全态势程度取决于检测规则的类型和检测目的。为也满足网络用户的需求，运行机制必须满足以下条件[2]。
（1）运行周期不能长。在对网络安全态势检测过程中，时间是评价一个系统好坏的准则。在检测中的运行周期是指数据从网络到检测端进行安全检测开始到检测完成的所需时间。包括了数据信息待检测时间，在检测端排队时间，进行安全态势检测终端检测时间和完成检测输出时间。
（2）响应时间。在网络安全态势检测过程中通常把响应时间长短用来评价检测系统性能，其计算方法是网络数据信息提交一个检测请求开始一直到系统产生响应为上的时间。
（3）截止时间。主要是检测任务从开始到任务结束所需要的时间长短。系统运行必须要保证截止时间，否则将对安全态势无法保证。
（4）优先权准则。在多级网络安全中必须要分批分期对所有数据进行检测，必须要遵循优先权原则，以便让重要检测网络数据得到优先的处理，保证紧急作业的完成时限。
3 多级反馈网络安全态势感知系统
多级反馈网络安全态势感知系统结合了先来先服务的传统计算规则，通过设置多个不同优先级别的网络数据信息，按照不同策略进行安全检测，每次检测时将中央处理器分配进程，如若未检测完毕，则按级别转入第二次检测进行末尾检测[4]。
基于非协定条件下多级反馈网络安全态势在检测数据上的交换次数优势对整个系统的运行时间提出了精确预估，提出执行时间的多级反馈，算法根据网络数据检测进程的实时动态确定如何分配检测顺序，降低了进程的等待时间，减少了切换次数。
另外，非协定条件下的动态时间，结合了检测用户的行为确定，不是采用固定检测值，虽然检测运算复杂程度提高，但是结合网络神经思想，训练多级反馈，得到了更加智能和适应性的系统设计。
4 结束语
提出一种非协定条件下多级反馈网络安全态势感知系统，通过对多级反馈队列调度算法结合先来先服务的运算规则，缩短计算运算时间，提高整个系统安全防范能力。仿真实验表明，提出的非协定条件下多级反馈网络安全态势感知系统能够解决大数据情况易出现系统崩溃和运算错误的发生概率，多级反馈网络安全计算方法优势明显，具有一定的应用价值。
参考文献
[1]黄斌.多级反馈队列调度策略在Linux中的应用和实现[J].计算机工程，2004，30（20）：81-83.
[2]杨一军，陈得宝，丁国华，等.基于PSO的多级反馈放大器的设计与仿真[J].四川大学学报（自然科学版），2013，50（1）：85-89.
篇9
中图分类号：TP309.2 文献标识码：A 文章编号：1007-9416（2017）04-0217-01
1 大数据时代网络安全态势预测作用
网络态势感知（Cyberspace Situation Awareness，CSA） 是1999年Tim Bass首次提出的， 网络态势感知是在大规模网络环境中， 对能够引起网络态势发生变化的安全要素进行获取、 理解、 显示以及预测最近的发展趋势。网络威胁是动态的和具有不固定性的，因此网络安全防御需要采用动态预测措施，以便能够根据当前网络走势判断未来网络安全情况。网络安全态势预测是指可以通过观测数据的统计分析结果，预测网络安全态势未来的走势，为用户提供安全反馈结果，以便网络管理员做出正确的决策。目前，网络安全态势预测采用先进的预测分析技术，能够长期的统计网络中不确定信息，为态势发展提供科学规律，建立态势预测的长效机制，并且可以构建完善的网络安全态势预测趋势图，进一步提高安全态势预测的可用性。
2 大数据时代网络安全态势预测关键技术分析
目前，网络安全态势预测技术已经得到了广泛的研究，同时也诞生了许多的态势预测技术，关键技术包括自回归移动平均模型、灰色预测模型和神经网络预测模型。
2.1 自回归移动平均模型
自回归移动平均模型是一种非常常用的随机序列模型，自回归移动平均模型的建模过程分为序列检验、序列处理、模型识别、参数估计和模型检验等五个关键的步骤，其主要目的是为了能够识别序列中蕴含的自相关性或依赖关系，使用数学模型能够详细地刻画序列发展的延续性。自回归移动平均模型执行过程中，序列检验主要用来检测数据的随机性和平稳性；序列处理可以将序列进行平稳化处理，通常采用的方法包括周期差分法、差分运算法和函数变换方法；参数估计常用的方法包括极大似然估计、矩估计、最小二乘估计；模型检验可以检测参数是否属于白噪声序列，如果是则表示检验通过。自回归移动平均模型在应用过程中，其要求网络安全态势序列或者某一级差分需要满足平稳性假设，这个前提条件限制的非常苛刻，因此极大的限制了自回归移动平均模型使用范围。
2.2 灰色预测模型
网络安全态势预测过程中，为了能够弱化原始序列的随机性，通常会采取累减或累加等方法求解生成序列，如果处理的次数足够多，一般可以认为已经弱化为非随机序列，大多可以使用指数曲线进行逼近，这也正是灰色预测的核心思想。灰色预测模型可以有效地反应网络安全态势中的低频缓变趋势，但是这种预测方法无法很好地体现突发性较强的高频骤变趋势，难以应对网络安全态势预测过程中的具有周期性波动的网络态势，因此导致这种趋势的误差非常大。
2.3 神经网络预测模型
神经网络是一种有效的网络安全态势预测算法，其可以采用学习算法学习正常的网络数据行为，能够提取相关的正常行为特征，将其保存在网络中，以便能够进行识别不一样的行为。神经网络可以对训练数据进行自组织、自适应的学习，具有学习最具典型的攻击行为特征样本和区分正常数据的能力，以便能够得到正常的事件行为模式。训练之后，神经网络可以用来识别待检测的网络事件行为特征，能够鉴别行为特征的变化，检测判断出潜在的异常行为。神经网络在安全审计系统中的应用不足之处是样本数据很难获得，检测的精度也需要依赖于神经网络的训练次数，如果加入了新的攻击行为特征，需要重新训练网络，训练步骤较为复杂，耗费较长的时间。
3 结语
计算机网络技术日臻成熟，在很多领域、行业内得到了普及，促进了生产、生活的发展。但是因为网络具有开放性、互联性、自由性、国际性等特征，实际上也为不法分子提供了可乘之机。随着大数据时代的来临，网络安全面临更为严峻的挑战。大数据时代的网络安全问题，涉及到诸多方面的内容，并且问题比以往更为显著、复杂，只有不断加强对大数据、网络安全的了解，采取有效的防范措施，才能确保网络安全。网络安全态势预测可以使用统计分析技术、概率论推理技术、神经网络模式识别技术等根据当前网络运行状态预测未来网络发展趋势，能够及时的获取网络中潜在的安全威胁，构建主动网络安全防御系统，进一步提高网络安全防御能力。
参考文献
篇10
DOI：1015938/jjhust201702026
中图分类号： TP3930
文献标志码： A
文章编号： 1007-2683（2017）02-0140-05
Abstract：A method for network security situation prediction is proposed， where the covariance matrix adaptation evolution strategy algorithm （CMAES） is used to optimize the parameters of the radial basis function neural network forecasting model （RBF）， which makes the forecasting model have superior ability， and can quickly find out the rules of the complex time series The simulations results show that the proposed method can accurately predict the network security situation， and has better prediction accuracy than traditional prediction methods
Keywords：network security situation prediction； covariance matrix adaptation evolution strategy algorithm； Radial basis function neural network； time series prediction
0引言
随着网络技术的广泛使用和快速发展，网络系统开始呈现出越来越复杂的趋势。所有复杂的系统都要面临严峻的安全问题，网络平台也不例外，任何一个小的漏洞都有可能被黑客利用，从而导致整个网络的崩溃。传统的安全技术属于被动防御技术，例如入侵检测系统是在攻击来临时进行识别并作出反应。相比之下，管理人员更需要一种能够宏观描述并预测网络整体状况的技术，以此能够做到未雨绸缪主动防御。针对这个问题，Bass T 在1999年提出了网络安全态势的概念[1-2]，他指出网络安全态势是一组能够反映网络系统宏观状态的数值，通过它可以让管理人员快速的了解网络运行的基本情况。获取并处理网络安全态势的技术称为网络安全态势感知[1，3-7]，它包括3个层次[8]：①网络底层态势要素的提取（态势提取）；②网络安全态势的评估（态势理解）；③网络安全态势的预测。态势要素的提取主要依靠神经网络和支持向量机等分类技术将威胁网络安全的数据分类，然后在由网络安全态势评估技术按照不同攻击种类的重要程度加权平均得出网络安全态势值[9]。当收集到一段时间的历史网络安全态势值后，就可以建立预测模型预测未来的网络安全态势。可以看出，网络安全态势预测技术是网络安全态势感知中最为重要的环节，本文要解决的就是网络安全态势预测问题。
目前，已经有很多预测模型用于网络安全态势预测，例如灰色预测模型[10]、GABP预测模型[11]、RBF预测模型[12]、HMM预测模型[13]、EvHMM预测模型[14]以及HBRB预测模型[15-16]等。灰色预测模型是利用灰色理论对含不确定信息的系统进行预测的模型，但是它只能反映系统发展的大致趋势，并不能精确预测未来的数值。HMM、EvHMM以及HBRB等预测模型将安全态势视为隐含行为，优化过程复杂且具有s束条件，不适用于实时性要求高的网络系统。
神经网络模型是网络安全态势预测中最常用的方法，但是由于在训练模型的过程中需要优化大量的参数，且传统的优化算法往往会在优化过程中陷入到局部最优点，所以神经网络预测模型并不能精确的预测样本数量小且规律性不强的网络安全态势。
针对上述问题，本文提出利用CMAES算法对RBF神经网络的参数进行优化，从而提高网络安全态势预测的精度。CMAES算法全称是协方差矩阵自适应进化策略[17-18]，是目前最受关注的优化算法之一，它在高维非线性优化问题上表现良好，能够利用较少的个体快速收敛到全局最优点。RBF全称是径向基神经网络，它具备良好的泛化能力和逼近性能，并且可以处理复杂的非线性系统。RBF解决了BP的局部最小值问题，并已成功应用到众多的工程领域[19-24]。将两者结合到一起，可以克服神经网络模型的缺点，增加全局优化能力，提高预测精度。
本文的组织结构为：在第一节中，介绍了RBF及CMAES的相关概念及基本原理。在第二节中提出了CMARBF预测模型。在第三节中，利用所提出的方法对实际网络平台的安全态势进行预测，并将结果和其他传统方法进行了比较。在第四节中，对CMARBF预测模型进行总结。
1基本概念
11RBF神经网络的基本原理
RBF神经网络模型在结构上与BP相同，都属于前馈型式神经网络。区别在于RBF的隐层只有一个且使用径向基函数作为隐层神经元的激活函数，RBF的隐层可以将输入变换到高维空间中，从而解决低维空间线性不可分的问题。RBF神经网络模型具备良好的全局最优和逼近性能，并且结构不复杂，收敛速度快，可以作为系统辨识的、非线性函数逼近等领域的有力工具。典型的RBF神经网络模型结构如图1所示。
利用CMARBF预测网络安全态势的基本步骤如下所示：
Step1： 利用公式（9）确定模型的历史样本；
Step2： 确定RBF神经网络的初始参数Ω0；
Step3： 确定初始迭代次数t=0和最大迭代次数tmax；
Step4： 确定CMAES算法的初始⑹；
Step5： 建立形如公式（11）优化目标函数；
Step6： 进入循环：while t
Step 61： 利用公式（3）以Ωt作为期望meant生成新的种群；
Step 62： 利用公式（4）得到新的种群期望meant+1；
Step 63： 利用公式（5）（6）（8）更新种群的协方差矩阵，得到Mt+1；
Step 64： 利用公式（9）更新步长，得到st+1；
Step 65： 计算新种群的目标函数值，选出最优个体（参数）Ωbest；
Step 66： 重复执行step 61，直到t=tmax跳出循环；
Step7： 以Ωbest作为RBF神经网络的参数，历史样本做为训练数据，对RBF进行训练；
Step8： 用训练RBF模型对安全态势预测。
3仿真实验
31背景描述
我们以真实的网络平台为背景（如图3所示），收集了三个月共92天的攻击数据，并将它们利用层次化评估方法求出92天的网络安全态势值。
图3描绘的是某高校真实网络环境，全网可分为内网和DMZ区两大部分。其中内网包括图书馆、宿舍、行政楼和教学楼；DMZ区包括各类服务器及数据库。攻击数据的收集在防火墙及核心交换机上完成。
当作为网络安全要素的攻击数据收集完毕后，可以由专家确定各安全要素的权重，在利用常用的层次化评估方法获得全网的网络安全态势值，如图4所示：
从图4可以看出，该网络平台的网络安全态势在整体上呈现一定的规律，每个月的中期攻击强度增大，月底逐渐减小，但是在局部，态势值有一定的随机性。为了利用前述的CMARBF模型去预测网络安全态势值，我们将上述数据通过公示（9）生成了89组样本，前60组作为训练样本，后29组作为预测样本。模型的初始参数见表1：
32比较实验
为验证所提模型有效性，选取了没有优化RBF模型和GARBF模型与CMARBF模型比较，比较结果如图5和表2所示：
从图5和表2可以看出，CMARBF的预测精度要高于其他方法。
4结论
所提出的CMARBF预测模型是将新的进化算法CMAES引入到RBF模型中，利用CMAES高效的寻优能力去解决高维模型中参数优化问题。两者的结合使得神经网络的结构和参数更加合理，具有更好的预测能力。本文将所提方法应用于网络安全态势预测领域，得到了很好的效果。比较实验结果表明，CMARBF模型的预测精度高于其他传统方法。在今后的工作中，我们会继续探索更适应与网络安全态势预测的新方法。
参 考 文 献：
[1]BASS T Intrusion Detection System and Multisensor Data Fusion： Creating Cyberspace Situation Awareness[J]. Communications of The ACM， 2000， 43（4）： 99-105
[2]王庚， 张景辉， 吴娜 网络安全态势预测方法的应用研究[J]. 计算机仿真， 2012， 29（2）： 98-101
[3]胡冠宇， 乔佩利 基于云群的高维差分进化算法及其在网络安全态势预测上的应用[J]. 吉林大学学报（工学版）， 2016， 46（2）： 568-577
[4]鲁颖欣， 王健， 齐宏卓 模糊判断在网络安全风险评估中的应用研究[J]. 哈尔滨理工大学学报， 2014， 19（1）：36-39
[5]高青波， 胡冠宇， 徐泽群 并行计算平台的网络安全态势感知系统[J]. 科技创新与应用， 2015（15）： 4-5
[6]HU G Y， QIAO P Cloud Belief Rule Base Model for Network Security Situation Prediction[J]. IEEE Communications Letters， 2016， 20（5）： 914-917
[7]HU G Y， ZHOU Z J， ZHANG B C， et al A Method for Predicting the Network Security Situation Based on Hidden BRB Model and Revised CMAES Algorithm[J]. Applied Soft Computing， 2016， 48：404-418
[8]王慧强， 赖积保， 胡明明等 网络安全态势感知关键技术研究[J]. 武汉大学学报-信息科学版， 2008， 33（10）： 995-998
[9]陈秀真， 郑庆华， 管晓宏等 层次化网络安全威胁态势量化评估方法[J]. 软件学报， 2006， 17（4）： 885-897
[10]马杰， 任望， 薛东军等 灰色灾变模型在计算机网络安全态势预测中的研究[C]. 第三届信息安全漏洞分析与风险评估大会，2010
[11]胡明明， 王慧强， 赖积保 一种基于GABPNN的网络安全态势预测方法[m]. 北京：中国科技论文在线， 2007
[12]任伟，蒋兴浩，孙锬锋 基于RBF神经网络的网络安全态势预测方法[J]. 计算机工程与应用 2006 31： 136-139
[13]MUTHUMANI N， THANAMANI A S Optimizing Hidden Markov Model for Failure PredictionComparison of Gaine’s Optimization and Minimum Message Length Estimator[J]. Int J Comput Sci Eng， 2011， 3（2）： 892-898
[14]RAMASSO E Contribution of Belief Functions to HMM with an Application to Fault Diagnosis[J]. In： IEEE International Workshop on Machine Learning and Signal Processing， Grenoble， France， 2009： 2-4
[15]HU G Y， QIAO P L Cloud Belief Rule Base Model for Network Security Situation Prediction [J]. IEEE Communications Letters， 2016， 20（5）： 914-917
[16]HU G Y， ZHOU Z J， ZHANG B C， et al A Method for Predicting the Network Security Situation Based on Hidden BRB Model and Revised CMAES Algorithm[J]. Applied Soft Computing， 2016， 48： 404-418
[17]HANSEN N The CMA Evolution Strategy： a Comparing Review Towards a New Evolutionary Computation[J]. Advances on estimation of distribution algorithms， 2006， 75-102
[18]HANSEN N， KERN S Evaluating the CMA Evolution Strategy on Multimodal Test Functions[J]. Parallel Problem Solving from Nature PPSN VIII， 2004， 282-291
[19]同光， 桂卫华 基于粒子群优化神经网络观测器感应电机定子电阻辨识[J]. 电机与控制学报， 2015， 19（2）：89-95
[20]王建敏， 董小萌， 吴云洁 高超声速飞行器 RBF 神经网络滑模变结构控制[J]. 电机与控制学报， 2016， 20（5）：103-110
[21]张旭隆， 曹言敬， 邵晓根 基于边界约束RBF网络的SRM磁链特性在线建模[J]. 电机与控制学报， 2015， 19（2）：83-88
篇11
随着电力行业计算机和通信技术的迅速发展，伴随着用户需求的不断增加，计算机网络的应用越来越广泛，其规模也越来越庞大。同时，网络安全事件层出不穷，使得计算机网络面临着严峻的信息安全形势，传统的单一的防御设备或者检测设备已经无法满足安全需求。网络安全态势感知（NSSA）技术能够综合各方面的安全因素，从整体上动态反映网络安全状况，并对安全状况的发展趋势进行预测和预警，为增强网络安全性提供可靠的参照依据。因此，针对网络的安全态势感知研究已经成为目前网络安全领域的研究热点。
1 安全态势感知技术
态势感知的定义：一定时间和空间内环境因素的获取，理解和对未来短期的预测。
网络安全态势感知是指在大规模网络环境中，对能够引起网络态势发生变化的安全要素进行获取、理解、显示以及预测未来的发展趋势。所谓网络态势是指由各种网络设备运行状况、网络行为以及用户行为等因素所构成的整个网络当前状态和变化趋势。
国外在网络安全态势感知方面正做着积极的研究，比较有代表性的，如Bass提出应用多传感器数据融合建立网络空间态势感知的框架，通过推理识别入侵者身份、速度、威胁性和入侵目标，进而评估网络空间的安全状态。Shiffiet采用本体论对网络安全态势感知相关概念进行了分析比较研究，并提出基于模块化的技术无关框架结构。其他开展该项研究的个人还有加拿大通信研究中心的DeMontigny-Leboeuf、伊利诺大学香槟分校的Yurcik等。
国内在这方面的研究起步较晚，近年来也有单位在积极探索。冯毅从我军信息与网络安全的角度出发，阐述了我军积极开展网络态势感知研究的必要性和重要性，并指出了两项关键技术―多源传感器数据融合和数据挖掘；北京理工大学机电工程与控制国家蕈点实验窒网络安全分室在分析博弈论中模糊矩阵博弈原理和网络空间威胁评估机理的基础上，提出了基于模糊矩阵博弈的网络安全威胁评估模型及其分析方法，并给出了计算实例与研究展望；哈尔滨工程大学提出关于入侵检测的数据挖掘框架；国防科技大学提出大规模网络的入侵检测；文献中提到西安交通大学网络化系统与信息安全研究中心和清华大学智能与网络化系统研究中心研究提出的基于入侵检测系统（intrusiondetectionsystem，IDS）的海量缶信息和网络性能指标，结合服务、主机本身的重要性及网络系统的组织结构，提出采用自下而上、先局部后整体评估策略的层次化安全威胁态势量化评估方法，并采用该方法在报警发生频率、报警严重性及其网络带宽耗用率的统计基础上，对服务、主机本身的重要性因子进行加权，计算服务、主机以及整个网络系统的威胁指数，进而评估分析安全威胁态势。其他研究工作主要是围绕入侵检测、网络监控、网络应急响应、网络安全预警、网络安全评估等方面开展的，这为开展网络安全态势感知研究奠定了一定的基础。
2 安全策略管理系统的总体设计
本文中网络安全态势感知系统，数据源目前主要是扫描、蜜网、手机病毒和DDoS流量检测及僵木蠕检测系统，其中手机病毒检测主要是感染手机号和疑似URL信息；DDoS主要提供被攻击IP地址和web网站信息以及可能是伪造的攻击源；僵木蠕系统则能够提供僵尸IP、挂马网站和控制主机信息；扫描器能够提供主机和网站脆弱性等信息，并可以部分验证；蜜网可以提供攻击源、样本和攻击目标和行为。根据以上数据源信息通过关联分析技术生成各类关联分析后事件，把事件通过安全策略管理和任务调度管理进行分配，最终通过管理门户进行呈现。系统的结构描述如下。
（1）管理门户主要包括：仪表盘、关联事件、综合查询视图、任务执行状态和系统管理功能。
（2）安全策略管理主要包括安全策略管理和指标管理。
（3）关联分析根据采集平台采集到的DDOS、僵木蠕、手机病毒、蜜网和IPS事件通过规则关联分析、统计关联分析和漏洞关联规则分析生成各类关联分析后事件。
（4）任务管理包括任务的自动生成、手动生成、任务下发和任务核查等功能。
（5）数据库部分存储原始事件、关联分析后事件、各种策略规则和不同的安全知识库。
（6）新资产发现模块。
3 系统组成结构
安全态势感知平台系统结构如图1所示。
3.1 管理门户
管理门户集成了系统的一些摘要信息、个人需要集中操作/处理的功能部分；它包括态势仪表盘（Dashboard）、个人工作台、综合查询视图、系统任务执行情况以及系统管理功能。
（1）态势仪表盘提供了监控范围内的整体安全态势整体展现，以地图形式展现网络安全形势，详细显示低于的安全威胁、弱点和风险情况，展示完成的扫描任务情况和扫描发现的漏洞的基本情况，系统层面的扫描和web扫描分开展示，展示新设备上线及其漏洞的发现。
（2）个人工作台关联事件分布地图以全国地图的形式向用户展现当前系统内关联事件的情况――每个地域以关联事件的不同级别（按最高）显示其情况，以列表的形式向用户展现系统内的关联事件。
（3）综合查询视图包含关联事件的查询和漏洞查询。关联事件的查询可以通过指定的字段对事件的相关信息进行查询。漏洞查询的查询条件：包括时间段、IP段（可支持多个段同时查询）、漏洞名称、级别等；结果以IP为列表，点击详情可按时间倒序查询历史扫描。
（4）执行任务状态，给出最近（一日、一天或一周）执行的扫描任务（系统）以及关联事件验证任务（扫描和爬虫等）的执行情况；在执行情况中需说明任务是在执行还是已经结束、是什么时候开始和结束的、扫描的内容是哪些IP。
（5）系统管理包括用户管理、授权管理、口令管理三部分，用户分为三种：系统管理员、操作员、审计员；系统管理员可以创建系统管理员和操作员，但审计员只能创建审计员；系统初始具有一个系统管理员和一个审计员。授权管理对于一般用户，系统可以对他的操作功能进行授权。授权粒度明细到各个功能点。功能点的集合为角色。口令策略能定义、修改、删除用户口令策略，策略中包括口令长度、组成情况（数字、字母、特殊字符的组成）、过期的时间长度、是否能和最近3次的口令设置相同等。
3.2 知识库
知识库包括事件特征库、关联分析库、僵木蠕库、漏洞库、手机病毒库等，可以通过事件、漏洞、告警等关联到知识库获得对以上信息的说明及处理建议，并通过知识库学习相关安全知识，同时还提供知识库的更新服务。
（1）事件特征库中，可以对威胁、事件进行定义，要求对事件的特征、影响、严重程度、处理建议等进行详细的说明。
（2）关联分析库提供大量内置的关联规则，这些关联规则是经过验证的、可以解决某类安全问题的成熟规则，内置规则可以直接使用；也可以利用这些内置的关联规则进行各种组合生成新的、复杂的关联规则。
（3）僵木蠕库是专门针对僵尸网络、木马、蠕虫的知识库，对各种僵尸网络、木马、蠕虫的特征进行定义，对问题提出处理建议。
（4）手机病毒库，实现收集病毒库的添加、删除、修改等操作。
（5）IP信誉库数据包含恶意IP地址、恶意URL等。
（6）安全漏洞信息库提供对漏洞的定义，对漏洞的特征、影响、严重程度、处理建议等进行详细的说明。
3.3 任务调度管理
任务调度管理是通过将安全策略进行组合形成安全任务计划，并针对任务调度计划实现管理、下发等功能，到达针对由安全事件和漏洞等进行关联分析后产生的重要级别安全分析后事件的漏扫和爬虫抓取等任务管理，以实现自动调度任务的目标。
任务调度管理功能框架包括：调度任务生成、调度任务配置、任务下发、任务执行管理和任务核查功能。
任务调动管理功能模块框架如图2所示。
（1）任务调度能够展现提供统一的信息展示和功能入口界面，直观地显示任务调度后台管理执行的数据内容。
（2）任务调度管理包括根据安全策略自动生成的任务和手动创建的调度任务。
（3）任务调度管理功能包括任务下发和任务核查，任务执行功能将自动生成的和手动创建完成的调度任务通过任务下发和返回接口将不同类型的安全任务下发给漏洞扫描器等。
（4）自动生成和手动创建的安全任务要包括执行时间、执行周期和类型等安全配置项。
（5）任务计划核查功能对任务运行结果进行分析、判断、汇总。每一个任务的核查结果包括：任务名、结果（成功、失败）、执行时间、运行状态、进度、出错原因等。
3.4 策略管理
策略管理包括安全策略管理和指标管理两部分功能，策略管理针对重要关联分析后安全事件和重要安全态势分析后扩散事件以及发现新上线设备等维护安全策略，目标是当系统关注的重点关联分析后事件和大规模扩散病毒发生后或者新上线设备并且匹配安全策略自动生成安任务；指标管理维护平台中不同类型重点关注关联分析后事件的排名和权重等指标。
策略管理功能模块框架如图3所示。
策略管理对系统的安全策略进行维护，包括针对重要关联分析后事件、重要安全态势分析后扩散事件、发现新上线设备的安全策略，当系统中有匹配安全策略的重要关联分析后事件生成时调用安全任务管理模块自动触发安全调度任务。
指标管理对系统接收的各类安全事件、漏洞、手机病毒等进行关联分析处理，生成关联分析后事件，从而有效的了解安全情况和安全态势，指标管理对系统中不同类型重点关注关联分析后事件的排名和权重等指标进行维护管理。
3.5 关联分析
安全分析功能利用统计分析、关联分析、数据挖掘等技术，从宏观和微观两个层面，对网络与信息安全事件监测数据进行综合分析，实现对当前的安全事件、历史事件信息进行全面、有效的分析处理，通过多种分析模型以掌握信息安全态势、安全威胁和事件预报等，为信息安全管理提供决策依据。对于宏观安全态势监测，需要建立好各种分析模型，有针对性的模型才能把宏观安全态势监测做到实处，给用户提供真正的价值。同时也不能只关注“面”而放弃了“点”的关注，在实际应用中，我们更需要对系统采集到的各类安全信息进行关联分析，并对具体IP的事件和漏洞做分析和处理。
关联分析完成各种安全关联分析功能，关联分析能够将原始的安全子系统事件进行分析归纳为典型安全事件类别，从而更快速地识别当前威胁的性质。系统提供三种关联分析类型：基于规则的事件关联分析、统计关联分析和漏洞关联分析。根据此关联分析模块的功能，结合事件的特征和安全监测策略，制定相关的特定关联分析规则。
（1）事件关联分析对暗含攻击行为的安全事件序列建立关联性规则表达式，系统能够使用该关联性规则表达式，对收集到的安全事件进行检查，确定该事件是否和特定的规则匹配。可对僵尸、木马、蠕虫、DDOS异常流量、手机病毒、漏洞等安全事件序列建立关联。
（2）漏洞关联分析漏洞关联分析的目的在于要识别出假报警，同时为那些尚未确定是否为假肯定或假警报的事件分配一个置信等级。这种方法的主要优点在于，它能极大提高威胁运算的有效性并可提供适用于自动响应和/或告警的事件。
（3）统计关联可以根据实际情况定义事件的触发条件，对每个类别的事件设定一个合理的阀值然后统计所发生的事件，如果在一定时间内发生的事件符合所定义的条件则触发关联事件。
4 结语
本文主要的信息安全建设中的安全态势感知系统进行了具体设计，详细定义了系统的基本功能，对系统各个模块的实现方式进行了详细设计。系统通过对地址熵模型、三元组模型、热点事件传播模型、事件扩散模型、端口流量模型、协议流量模型和异常流量监测模型各种模型的研究来实现平台对安全态势与趋势分析、安全防护预警与决策。
根据系统组成与网络结构初步分析，安全态势感知平台将系统安全事件表象归类为业务数据篡改、业务数据删除、业务中断等，这些表象可能因为哪些安全事件造成，请见表1内容。
以系统的FTP弱口令为例，FTP服务和oracle服务运行在服务器操作系统，当攻击者利用ftp口令探测技术，发现弱口令后，通过生产网的网络设备，访问到FTP服务器，使用FTP口令B接FTP服务，并对上传的数据文件删除或替换操作，对业务的影响表现为，业务数据篡改或业务数据丢失。
篇12
2网络安全态势评估流程
网络安全态势评估实际上就是对计算机网络中存在的潜在安全风险因素进行科学、合理、有效的判断，主要包括网络信息的价值、系统运行的内在安全隐患、网络系统的脆弱性以及对安全防范措施的测试等，以实现对网络安全态势的评定。网络安全态势评估的流程主要包括监测、觉察、传播、理解、反馈、分析与决策。监测就是利用系统中相关的数据感知组件来实现对所监测的数据的采集和整理。察觉就是将所采集到的数据作为态势评估的依据，一旦发现有异常的情况，就实现安全事件的报告。传播实际上是一个分类评估的过程，即对异常事件的不同部分进行分析。理解的过程实际上就是一个对安全态势进行模拟建模的过程。反馈就是利用网络技术中的实时性特点，对数据的最新情况进行评估。分析的过程是在确定网络安全态势数据最新情况的前提下，来判断对其是否支持；如果支持，则能够确定网络安全态势的类型；如果不支持，数据感知元件就会继续进行监测。决策就是根据确定的网络安全态势类型和数据模型的具体特点，来对其态势演变的方向进行预测，并选择有效的解决措施。
3网络安全态势评估的关键技术
网络攻击行为逐渐呈现出广泛化、复杂化和规模化的特点，给网络安全态势的评估工作提出了越来越高的要求。计算机网络安全态势评估系统的正常运行是以信息技术为依托才得以实现的，因此，现就其中的若干关键技术进行详细的研究。
3.1数据融合技术
数据融合技术是网络安全态势评估系统中重要的技术支撑。数据融合技术主要是由数据级、功能级和决策级三个级别之间的数据融合所构成。其中，数据级的融合能够进一步的提高细节数据的精准度，但是由于受到计算机处理速度和内存大小等因素的影响，通常需要对大量的数据进行处理；功能级的融合处于数据级和决策级之间；而决策级的数据融合，由于数据具有抽象和模糊的特点，导致其需要处理的数据较少，且精准度较低。在计算机网络中，由于不同的设备功能和安全系统之间存在较大的差异，对于描述网络安全事件的数据格式也是不同的，要想实现不同设备、系统之间的相互关联，就必须建立一个多传感器的环境，而数据融合技术就是其最重要的技术。利用数据融合技术，能够将基础数据进行提炼、压缩和融合，为网络安全态势的评估提供科学的参考依据，主要应用于估计威胁、识别与追踪目标等。
3.2计算技术
网络安全态势评估中的计算技术就是通过相关的数学计算方法，来实现对大量网络安全态势数据信息的处理，将其集中于在一定范围内的数值，而且，在网络安全事件的频率、网络性能和网络资产价值发生改变的同时，这些数值也会随之发生变化。这些数值的大小变化情况能够直接、实时、快速地反应出网络系统的安全状态和威胁程度的大小，监管人员可以以此为根据来实现对网络安全情况的把握。通常情况下，如果数值在一定的范围内进行变化，说明态势是相对安全的；如果数值的变化呈现出了较大的上升或下降，则说明存在安全威胁。
3.3扫描技术
扫描技术是网络安全态势评估中最常用的一种方式手段。与传统的网络防护机制相比较而言，扫描技术更为主动，能够对网络动态进行实时的监控，以收集到的数据信息为依据，通过对安全因素的判断，来实现对恶意攻击行为的防范。扫描技术的主要应用对象包括了系统主机、信息通道的端口和网络漏洞。对系统主机进行扫描是实现数据信息整合的第一阶段，主要是通过网络控制信息协议（ICMP）对数据信息进行记忆与判断，通过向目标发送错误的IP数据包，根据其反应和反馈的情况来进行判断。对信息通道的端口进行扫描，实际上就是对内外交互的数据信息的安全性进行监测。漏洞扫描则主要是针对网络黑客的攻击，对计算机系统进行维护。
3.4可视化技术
可视化技术就是将采集到的数据信息转换成图像信息，使其能够以图形的形式直观的显示在计算机的主屏幕之上，在通过交互式技术对数据信息进行处理之后，管理人员可以直观地发现其中的隐藏规律，从而为数据的处理与分析提供科学依据。但是，由于网络安全数据中的关键信息常常不容易被提取出来，因此，利用可视化技术的时候还要注意解决这一实际问题。
3.5预测技术
网络安全态势评估的发展具有不可确定性，而预测技术则可以根据对象的属性，结合已有的网络安全态势数据和实际经验来实现对未来安全态势发展的预测。预测技术主要包括了因果预测、时间序列分析和定性预测等内容，既能够通过历史数据和当前数据之间的关系进行态势预测，又能够通过因果关系的数据建模来实现对结果变化趋势的预测。
篇13
Abstract：With the development of internet，network security becomes more and more serious.Analysing and predicting the tendency of network security is important.Based on assessing the current network security tend ，This paper improves bayes algorithm， presenting a network security situation prediction method of modified bayesian regularization BP neural network model. According to simulating power network environment and data analysis， this method reduces the training error and forecasting error.it also improves the accuracy of network security situation prediction. All that explains the feasibility of this method.
Key words：Bayesian regularization；BP neural network；network security situation；Situation prediction
1 概述
随着网络的迅速发展，互联网的规模不断扩大，计算机网络技术已广泛地应用社会的各个行业，它给人们的带来方便的同时，也存着越来越严重的网络安全方面的隐患。传统的网络安全技术已很难满足需求，因此网络安全态势感知技术顺应运时代而生。
近年来，网络安全问题愈发凸显，分析及预测网络安网络安全态势，对于网络安全具有重要意义。文献[1]提出了基于贝叶斯网络的网络安全态势评估方法研究，但该方法对事物的推断必须且只须根据后验分布，而不能再涉及样本分布。文献[2]使用BP神经网络对网络安全态势进行评估，该方法会可能使训练陷入局部极值，导致权值收敛到局部极小点，从而导致网络训练失败。
本文在吸收以上两种预测算法优点，结合网络安全态势值具有非线性时间序列的特点，利用神经网络处理非线性数据的优势，对算法进行改进，提出一种基于贝叶斯的BP神经网络模型的网络安全态势预测方法，最后进行了实验仿真，说明了该预测方法的有效性和科学性。
2 正则化BP神经网络
所谓的正则化方法，就是指在误差函数的基础上，再增加了一个逼近复杂函数E，在误差函数正规化方法时，改进其网络函数为： 。其中 表示神经网络权重的平方和，ωi表示神经网络连接的权值，M表示神经网络连接权的数目，ED表示神经网络期望值和目标值的残差平方和，α，β 表示目标函数的参数，神经网络的训练目标取决于该目标函数的参数大小。
然后通过该算法计算Hessian矩阵，则大大降低了神经网络的计算量。在MATLAB R2011a里面通过train-br函数来实现贝叶斯正则化。
3 建模过程
本文利用层次化[3]相关研究内容，结合获取到的网络运行中主机系统和网络设备产生的日志、告警等数据，利用自下而上网络安全态势值量化策略，对网络态势指标进行量化[4]。在实验环境下，提取网络运行时的多种设备的性能参数，从而更真实反映网络的安全态势状况。建模过程如下：
第一，通过一定的方式收集到网络安全态势要素方面的的原始数据，筛选出有关的数据并加以关联融合，分析出网络服务受遭受到的攻击数量、严重程度，通过量化公式计算出每个服务的网络服务安全指数。
第二，根据第一步的服务信息，然后计算网络中活动主机系统中每项服务的权重，从而获得网络系统安全指数。
第三，收集网络运行时主机系统的性能状态信息，通过基于加权的性能参数修正算法计算出改进后的主机系统网络安全态势指数。
第四，根据网络中的网络设备及主机系统信息，进而计算得出该网络设备及主机系统在信息网络中的重要性所占权重，再结合各个设备的网络安全态势信息，计算出各个子网的网络安全威胁性指数。
第五，最后将信息网的网络安全态势信息进行整合，从而获取整个网络的安全态势状况。
4 实验仿真
⑴本文实验环境设计如图1
（2）数据处理：先对原始数据进行归一化处理，再进行贝叶斯正则化的BP神经网络方法进行训练。
⑶实验结果
通过仿真可以分析如下：根据态势图2可以看出，经过正则化后的BP神经网络的误差相对较少，比较接近真实数据，说明该方法具有可行性。同时可以看出，由于神经网络固有的缺陷，会导致极大值或极小值，但经过贝叶斯优化后的BP神经网络的减少了这种可能性缺陷。
5 结论
本文运用改进贝叶斯正则化BP神经网络建立了信息安全态势预测模型，应用该预测模型能充分反应网络安全态势信息，同时结合了网络中多种量化参数，具有较强的科学性. 该方法不仅预测精度高，操作性强，并通过实验仿真验证该方法可行。
[参考文献]
[1]曹建亮，姜君娜，王宏，等.基于贝叶斯网络的网络安全态势评估方法研究.计算机与信息技术，2007，Vol.29.
