CN111885019A - 一种基于攻防信息对比的网络安全态势要素提取方法 - Google Patents

Abstract

一种基于攻防信息对比的网络安全态势要素提取方法，包括以下步骤：S1、获取网络攻防信息；S2、分析并处理获取的网络攻防数据；S3、对获取的网络攻防信息和分析数据进行存储；S4、基于原始网络安全数据库形成混合形式的网络安全数据库；S5、基于混合形式的网络安全数据库，安全态势要素提取层对不同层次、不同粒度的异常检测结果进行对比工作；S6、通过不同层次的对比，以得到理论安全威胁和实际安全威胁；S7、经过对比后，从攻、防两方面提取网络安全态势在安全威胁与安全防御方面的要素。本发明基于攻击、防御信息对比，能够精准有效的提取出网络安全态势要素，有助于客观的建立安全态势评估模型，保证了网络安全，使用效果极佳。

Description

一种基于攻防信息对比的网络安全态势要素提取方法

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于攻防信息对比的网络安全态势要素提取方法。

背景技术

计算机网络是通信技术和计算机技术发展到一定程度后相结合的产物，网络安全是指网络***的硬件、软件及其***中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，***连续可靠正常地运行，网络服务不中断，具有保密性、完整性、可用性、可控性、可审查性的特性；目前网络已深入现代生活的各个方面，高度发展的网络技术为人们带来快速便捷的信息交互的同时，基于网络的恶意攻击和窃取行为也愈演愈烈，备受关注的网络安全依然存在着巨大的隐患；

攻击者利用网络的快速传播性和广泛互联性，大肆地破坏网络基本性能、侵害用户合法权益，威胁社会和国家的安全与利益，对传统意义上的网络安全措施提出了严峻的考验，网络入侵行为向着多元化、规模化、复杂化、持续化等趋势发展，安全管理者越来越希望能够更好地了解其监管的网络当前时刻和未来时刻的安全健康状态，以便及时发现问题并采取预警措施，因此网络安全态势感知技术研究应运而生；现有网络安全态势要素提取方法的提取效果不佳，难以精准有效的提取出网络安全态势要素，有待进行改进。

发明内容

(一)发明目的

为解决背景技术中存在的技术问题，本发明提出一种基于攻防信息对比的网络安全态势要素提取方法，基于攻击、防御信息对比，能够精准有效的提取出网络安全态势要素，有助于客观的建立安全态势评估模型，保证了网络安全，使用效果极佳。

(二)技术方案

本发明提出了一种基于攻防信息对比的网络安全态势要素提取方法，包括以下步骤：

S1、获取网络攻防信息，以了解网络安全状态是如何不断地进行变化演进；

其中，攻击信息主要通过不同粒度的流异常检测而得到，防御信息包括部署在网络中的所有安全防护设备对安全事件的防御数据和网络中各主机所采取的安全防护手段对安全事件的防御数据；

S2、分析并处理获取的网络攻防数据，首先利用流形学习对数据样本进行特征提取和降维，得到数据样本的输出值，然后利用核匹配集成聚类算法对数据样本的输出值进行聚类，并采用DS证据推理对聚类后的结果进行融合；

S3、大数据平台对获取的网络攻防信息和分析数据进行存储，以形成原始的网络安全数据库；

S4、基于原始网络安全数据库并整合分布式文件***和关系数据库，最终形成混合形式的网络安全数据库；

S5、基于混合形式的网络安全数据库，安全态势要素提取层对不同层次、不同粒度的异常检测结果进行对比工作；

S6、通过不同层次的对比，以得到理论安全威胁和实际安全威胁，并获得网络对每一类安全事件的防御能力信息；

S7、经过对比后，从攻、防两方面提取网络安全态势在安全威胁与安全防御方面的要素；

其中，安全威胁要素主要来自于攻击信息以及攻击信息间的对比，安全防御要素由攻击信息间的对比体现出来；

S8、基于客观结果对比产生的网络安全态势要素，建立网络安全态势评估模型，并根据网络安全态势评估模型来对网络安全态势进行评估。

优选的，在S1中，安全防护手段包括防火墙和防病毒软件，防护手段的存在使得不同检测点所得到的检测结果包含不同的信息，而这些不同的信息体现了安全防护手段所起到的作用。

优选的，在S2中，采用DS证据推理对聚类后的结果进行融合的具体操作如下：

以各个聚类后结果作为证据，并计算每个证据的基本概率赋值函数、似然函数和信任函数；基于DS证据组合规则来计算所有证据在联合作用下的基本概率赋值函数、似然函数和信任度函数；根据预设的决策规则，获取态势要素。

优选的，在S2中，还包括如下步骤：

利用大数据的分析结果，分析攻击者的行为路线和个性特征，汇总分析根据攻击者的攻击行为数据并描述攻击者的行为特点，分类攻击者的行为路线以作为防御依据，并根据攻击者的行为数据进行监测和提交报警信息。

优选的，在S4中，还包括数据信息的安全管理，即需要构建信息安全管理制度，包括网络管理制度、数据备份制度、数据加密制度以及控制访问对象制度。

优选的，网络管理制度通过防火墙隔离非法请求，并建立入侵检测机制；数据备份制度通过数据备份还原损坏数据，将数据损坏降到最低；数据加密制度采用数据在传输过程中转化为密文数据，对数据传输的进行加密；控制访问对象制度通过访问数据的用户身份认证限制访问权限对数据进行保护。

优选的，在S5中，对比工作包括如下两方面：

其一是在面向网络的数据流与每个分支网面向主机的服务请求流检测结果之间进行对比；其二是在面向主机的服务请求与服务应答流检测结果之间进行对比。

优选的，在S8中，还包括如下步骤：

通过层次模型来评估网络安全态势和威胁，并利用历史数据和当前网络安全态势，预测未来设定时长内的网络安全态势；

根据设定阈值，判定网络安全是否受到威胁；若评估态势值大于设定阈值时，则判定网络安全受到威胁，若评估态势值小于阈值，则判定网络安全未受到威胁。

本发明的上述技术方案具有如下有益的技术效果：

首先获取网络攻防信息，以了解网络安全状态是如何不断地进行变化演进；然后分析并处理获取的网络攻防数据；之后大数据平台对获取的网络攻防信息和分析数据进行存储，以形成原始的网络安全数据库，并整合分布式文件***和关系数据库以形成混合形式的网络安全数据库；然后基于混合形式的网络安全数据库，安全态势要素提取层对不同层次、不同粒度的异常检测结果进行对比工作，通过不同层次的对比，以得到理论安全威胁和实际安全威胁，并获得网络对每一类安全事件的防御能力信息，经过对比后，从攻、防两方面提取网络安全态势在安全威胁与安全防御方面的要素，安全威胁要素来自于攻击信息以及攻击信息间的对比，安全防御要素由攻击信息间的对比体现出来；最后基于客观结果对比产生的网络安全态势要素，建立网络安全态势评估模型；

本发明基于攻击、防御信息对比，能够精准有效的提取出网络安全态势要素，有助于客观的建立安全态势评估模型，保证了网络安全，使用效果极佳。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明了，下面结合具体实施方式，对本发明进一步详细说明。应该理解，这些描述只是示例性的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

本发明提出的一种基于攻防信息对比的网络安全态势要素提取方法，包括以下步骤：

S1、获取网络攻防信息，以了解网络安全状态是如何不断地进行变化演进；

其中，攻击信息主要通过不同粒度的流异常检测而得到，防御信息包括部署在网络中的所有安全防护设备对安全事件的防御数据和网络中各主机所采取的安全防护手段对安全事件的防御数据；

S2、分析并处理获取的网络攻防数据，首先利用流形学习对数据样本进行特征提取和降维，得到数据样本的输出值，然后利用核匹配集成聚类算法对数据样本的输出值进行聚类，并采用DS证据推理对聚类后的结果进行融合；

S3、大数据平台对获取的网络攻防信息和分析数据进行存储，以形成原始的网络安全数据库；

S4、基于原始网络安全数据库并整合分布式文件***和关系数据库，最终形成混合形式的网络安全数据库；

S5、基于混合形式的网络安全数据库，安全态势要素提取层对不同层次、不同粒度的异常检测结果进行对比工作；对比工作包括如下两方面：

其一是在面向网络的数据流与每个分支网面向主机的服务请求流检测结果之间进行对比，其二是在面向主机的服务请求与服务应答流检测结果之间进行对比，这两个对比的目的是为了从攻、防两方面发现网络安全态势在安全威胁与安全防御方面的要素；

S6、通过不同层次的对比，以得到理论安全威胁和实际安全威胁，并获得网络对每一类安全事件的防御能力信息；

S7、经过对比后，从攻、防两方面提取网络安全态势在安全威胁与安全防御方面的要素；

其中，安全威胁要素主要来自于攻击信息以及攻击信息间的对比，安全防御要素由攻击信息间的对比体现出来；

S8、基于客观结果对比产生的网络安全态势要素，建立网络安全态势评估模型，并根据网络安全态势评估模型来对网络安全态势进行评估。

在一个可选的实施例中，在S1中，安全防护手段包括防火墙和防病毒软件，防护手段的存在使得不同检测点所得到的检测结果包含不同的信息，而这些不同的信息体现了安全防护手段所起到的作用。

在一个可选的实施例中，在S2中，采用DS证据推理对聚类后的结果进行融合的具体操作如下：以各个聚类后结果作为证据，并计算每个证据的基本概率赋值函数、似然函数和信任函数；基于DS证据组合规则来计算所有证据在联合作用下的基本概率赋值函数、似然函数和信任度函数；根据预设的决策规则，获取态势要素。

在一个可选的实施例中，在S2中，还包括如下步骤：利用大数据的分析结果，分析攻击者的行为路线和个性特征，汇总分析根据攻击者的攻击行为数据并描述攻击者的行为特点，分类攻击者的行为路线以作为防御依据，并根据攻击者的行为数据进行监测和提交报警信息。

在一个可选的实施例中，在S4中，还包括数据信息的安全管理，即需要构建信息安全管理制度，包括网络管理制度、数据备份制度、数据加密制度以及控制访问对象制度；其中，网络管理制度通过防火墙隔离非法请求，并建立入侵检测机制；数据备份制度通过数据备份还原损坏数据，将数据损坏降到最低；数据加密制度采用数据在传输过程中转化为密文数据，对数据传输的进行加密；控制访问对象制度通过访问数据的用户身份认证限制访问权限对数据进行保护。

在一个可选的实施例中，在S8中，还包括如下步骤：通过层次模型来评估网络安全态势和威胁，并利用历史数据和当前网络安全态势，预测未来设定时长内的网络安全态势；根据设定阈值，判定网络安全是否受到威胁；若评估态势值大于设定阈值时，则判定网络安全受到威胁，若评估态势值小于阈值，则判定网络安全未受到威胁。

本发明中，首先获取网络攻防信息，以了解网络安全状态是如何不断地进行变化演进，攻击信息主要通过不同粒度的流异常检测而得到，防御信息包括部署在网络中的所有安全防护设备对安全事件的防御数据和网络中各主机所采取的安全防护手段对安全事件的防御数据；然后分析并处理获取的网络攻防数据，利用流形学***台对获取的网络攻防信息和分析数据进行存储，以形成原始的网络安全数据库，并整合分布式文件***和关系数据库以形成混合形式的网络安全数据库；然后基于混合形式的网络安全数据库，安全态势要素提取层对不同层次、不同粒度的异常检测结果进行对比工作，对比工作包括两方面，其一是在面向网络的数据流与每个分支网面向主机的服务请求流检测结果之间进行对比，其二是在面向主机的服务请求与服务应答流检测结果之间进行对比，通过对比来发现网络安全态势在安全威胁与安全防御方面的要素，网络的安全状态是在攻与防此消彼长的过程中不断变化演进的，因此研究安全状态可以从网络攻和防两个方面的信息入手；

之后通过不同层次的对比，以得到理论安全威胁和实际安全威胁，并获得网络对每一类安全事件的防御能力信息，经过对比后，从攻、防两方面提取网络安全态势在安全威胁与安全防御方面的要素，其中，安全威胁要素主要来自于攻击信息以及攻击信息间的对比，安全防御要素由攻击信息间的对比体现出来；最后基于客观结果对比产生的网络安全态势要素，建立网络安全态势评估模型，并根据网络安全态势评估模型来对网络安全态势进行评估；

本发明基于攻击、防御信息对比，能够精准有效的提取出网络安全态势要素，有助于客观的建立安全态势评估模型，保证了网络安全，使用效果极佳。

应当理解的是，本发明的上述具体实施方式仅仅用于示例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。

Claims (8)

1.一种基于攻防信息对比的网络安全态势要素提取方法，其特征在于，包括以下步骤：

S1、获取网络攻防信息，以了解网络安全状态是如何不断地进行变化演进；

其中，攻击信息主要通过不同粒度的流异常检测而得到，防御信息包括部署在网络中的所有安全防护设备对安全事件的防御数据和网络中各主机所采取的安全防护手段对安全事件的防御数据；

S2、分析并处理获取的网络攻防数据，首先利用流形学习对数据样本进行特征提取和降维，得到数据样本的输出值，然后利用核匹配集成聚类算法对数据样本的输出值进行聚类，并采用DS证据推理对聚类后的结果进行融合；

S3、大数据平台对获取的网络攻防信息和分析数据进行存储，以形成原始的网络安全数据库；

S4、基于原始网络安全数据库并整合分布式文件***和关系数据库，最终形成混合形式的网络安全数据库；

S5、基于混合形式的网络安全数据库，安全态势要素提取层对不同层次、不同粒度的异常检测结果进行对比工作；

S6、通过不同层次的对比，以得到理论安全威胁和实际安全威胁，并获得网络对每一类安全事件的防御能力信息；

S7、经过对比后，从攻、防两方面提取网络安全态势在安全威胁与安全防御方面的要素；

其中，安全威胁要素主要来自于攻击信息以及攻击信息间的对比，安全防御要素由攻击信息间的对比体现出来；

S8、基于客观结果对比产生的网络安全态势要素，建立网络安全态势评估模型，并根据网络安全态势评估模型来对网络安全态势进行评估。

2.根据权利要求1所述的一种基于攻防信息对比的网络安全态势要素提取方法，其特征在于，在S1中，安全防护手段包括防火墙和防病毒软件，防护手段的存在使得不同检测点所得到的检测结果包含不同的信息，而这些不同的信息体现了安全防护手段所起到的作用。

3.根据权利要求1所述的一种基于攻防信息对比的网络安全态势要素提取方法，其特征在于，在S2中，采用DS证据推理对聚类后的结果进行融合的具体操作如下：

以各个聚类后结果作为证据，并计算每个证据的基本概率赋值函数、似然函数和信任函数；基于DS证据组合规则来计算所有证据在联合作用下的基本概率赋值函数、似然函数和信任度函数；根据预设的决策规则，获取态势要素。

4.根据权利要求1所述的一种基于攻防信息对比的网络安全态势要素提取方法，其特征在于，在S2中，还包括如下步骤：

利用大数据的分析结果，分析攻击者的行为路线和个性特征，汇总分析根据攻击者的攻击行为数据并描述攻击者的行为特点，分类攻击者的行为路线以作为防御依据，并根据攻击者的行为数据进行监测和提交报警信息。

5.根据权利要求1所述的一种基于攻防信息对比的网络安全态势要素提取方法，其特征在于，在S4中，还包括数据信息的安全管理，即需要构建信息安全管理制度，包括网络管理制度、数据备份制度、数据加密制度以及控制访问对象制度。

6.根据权利要求5所述的一种基于攻防信息对比的网络安全态势要素提取方法，其特征在于，网络管理制度通过防火墙隔离非法请求，并建立入侵检测机制；数据备份制度通过数据备份还原损坏数据，将数据损坏降到最低；数据加密制度采用数据在传输过程中转化为密文数据，对数据传输的进行加密；控制访问对象制度通过访问数据的用户身份认证限制访问权限对数据进行保护。

7.根据权利要求1所述的一种基于攻防信息对比的网络安全态势要素提取方法，其特征在于，在S5中，对比工作包括如下两方面：

其一是在面向网络的数据流与每个分支网面向主机的服务请求流检测结果之间进行对比；其二是在面向主机的服务请求与服务应答流检测结果之间进行对比。

8.根据权利要求1所述的一种基于攻防信息对比的网络安全态势要素提取方法，其特征在于，在S8中，还包括如下步骤：

通过层次模型来评估网络安全态势和威胁，并利用历史数据和当前网络安全态势，预测未来设定时长内的网络安全态势；

根据设定阈值，判定网络安全是否受到威胁；若评估态势值大于设定阈值时，则判定网络安全受到威胁，若评估态势值小于阈值，则判定网络安全未受到威胁。