有關網(wǎng)絡安全的態(tài)勢感知系統(tǒng)研究

肖瀾嵐

摘要：文章通過總結(jié)網(wǎng)絡安全態(tài)勢感知的現(xiàn)存問題，提出了一種基于知識發(fā)現(xiàn)的網(wǎng)絡安全態(tài)勢建模與生成框架，在該框架的基礎上設計并實現(xiàn)了網(wǎng)絡安全態(tài)勢感知系統(tǒng)。該系統(tǒng)主要由安全態(tài)勢建模和安全態(tài)勢生成兩部分組成。

關鍵詞：網(wǎng)絡安全 安全態(tài)勢建模 安全態(tài)勢生成 知識發(fā)現(xiàn)

網(wǎng)絡安全態(tài)勢感知在安全告警事件的基礎上提供統(tǒng)一的網(wǎng)絡安全高層視圖，使安全管理員能夠快速準確地把握網(wǎng)絡當前的安全狀態(tài)，并以此為依據(jù)采取相應的措施。實現(xiàn)網(wǎng)絡安全態(tài)勢感知，需要在廣域網(wǎng)環(huán)境中部署大量的、多種類型的安全傳感器，來監(jiān)測目標網(wǎng)絡系統(tǒng)的安全狀態(tài)。通過采集這些傳感器提供的信息，并加以分析、處理，明確所受攻擊的特征，包括攻擊的來源、規(guī)模、速度、危害性等，準確地描述網(wǎng)絡的安全狀態(tài)，并通過可視化手段顯示給安全管理員，從而支持對安全態(tài)勢的全局理解和及時做出正確的響應。

1.網(wǎng)絡安全態(tài)勢建模

安全態(tài)勢建模的主要目的是構(gòu)建適應于度量網(wǎng)絡安全態(tài)勢的數(shù)據(jù)模型，以支持安全傳感器的告警事件精簡、過濾和融合的通用處理過程。用于安全態(tài)勢建模的數(shù)據(jù)源主要是分布式異構(gòu)傳感器采集的各種安全告警事件。網(wǎng)絡安全態(tài)勢建模過程是由多個階段組成的。在初始的預處理階段，通過告警事件的規(guī)格化，將收到的所有安全事件轉(zhuǎn)化為能夠被數(shù)據(jù)處理模塊理解的標準格式。這些告警事件可能來自不同的傳感器，并且告警事件的格式各異，例如IDS的事件、防火墻日志、主機系統(tǒng)日志等。規(guī)格化的作用是將傳感器事件的相關屬性轉(zhuǎn)換為一個統(tǒng)一的格式。我們針對不同的傳感器提供不同的預處理組件，將特定傳感器的信息轉(zhuǎn)換為預定義的態(tài)勢信息模型屬性值。根據(jù)該模型，針對每個原始告警事件進行預處理，將其轉(zhuǎn)換為標準的格式，各個屬性域被賦予適當?shù)闹?。在態(tài)勢數(shù)據(jù)處理階段，將規(guī)格化的傳感器告警事件作為輸入，并進行告警事件的精簡、過濾和融合處理。其中，事件精簡的目標是合并傳感器檢測到的相同攻擊的一系列冗余事件。典型的例子就是在端口掃描中，IDS可能對各端口的每個掃描包產(chǎn)生檢測事件，通過維護一定時間窗口內(nèi)的事件流，對同一來源、同一目標主機的同類事件進行合并，以大大減少事件數(shù)量。事件過濾的目標是刪除不滿足約束要求的事件，這些約束要求是根據(jù)安全態(tài)勢感知的需要以屬性或者規(guī)則的形式存儲在知識庫中。例如，將關鍵屬性空缺或不滿足要求范圍的事件除去，因為這些事件不具備態(tài)勢分析的意義。另外，通過對事件進行簡單的確認，可以區(qū)分成功攻擊和無效攻擊企圖。在事件的過濾處理時，無效攻擊企圖并不被簡單地丟棄，而是標記為無關事件，因為即使是無效攻擊也代表著惡意企圖，對最終的全局安全狀態(tài)會產(chǎn)生某種影響。通過精簡和過濾，重復的安全事件被合并，事件數(shù)量大大減少而抽象程度增加，同時其中蘊含的態(tài)勢信息得到了保留。事件融合功能是基于D-S證據(jù)理論提供的，其通過將來自不同傳感器的、經(jīng)過預處理、精簡和過濾的事件引入不同等級的置信度，融合多個屬性對網(wǎng)絡告警事件進行量化評判，從而有效降低安全告警事件的誤報率和漏報率，并且可以為網(wǎng)絡安全態(tài)勢的分析、推理和生成提供支持。

2.網(wǎng)絡安全態(tài)勢生成

2.1知識發(fā)現(xiàn)的關聯(lián)規(guī)則提取

用于知識發(fā)現(xiàn)的數(shù)據(jù)來源主要有兩個：模擬攻擊產(chǎn)生的安全告警事件集和歷史安全告警事件集。知識發(fā)現(xiàn)就是在這樣的告警事件集上發(fā)現(xiàn)和抽取出態(tài)勢關聯(lián)所需要的知識。由于安全報警事件的復雜性，這個過程難以完全依賴于人工來完成?？梢酝ㄟ^知識發(fā)現(xiàn)的方法，針對安全告警事件集進行模式挖掘、模式分析和學習，以實現(xiàn)安全態(tài)勢關聯(lián)規(guī)則的提取。

2.2安全告警事件精簡和過濾

通過實驗觀察發(fā)現(xiàn)，安全傳感器的原始告警事件集中存在大量無意義的頻繁模式，而且這些頻繁模式大多是與系統(tǒng)正常訪問或者配置問題相關的。如果直接在這樣的原始入侵事件集上進行知識發(fā)現(xiàn)，必然產(chǎn)生很多無意義的知識。因此，需要以D-S證據(jù)理論為基礎建立告警事件篩選機制，根據(jù)告警事件的置信度進行程序的統(tǒng)計分析。首先，利用程序自動統(tǒng)計各類安全事件的分布情況。然后，利用D-S證據(jù)理論，通過精簡和過濾規(guī)則評判各類告警事件的重要性，來刪除無意義的事件。

2.3安全態(tài)勢關聯(lián)規(guī)則提取

在知識發(fā)現(xiàn)過程中發(fā)現(xiàn)的知識，通過加入關聯(lián)動作轉(zhuǎn)化為安全態(tài)勢的關聯(lián)規(guī)則，用于網(wǎng)絡安全態(tài)勢的在線關聯(lián)分析。首先，分析FP-Tree算法所挖掘的安全告警事件屬性間的強關聯(lián)規(guī)則，如果該規(guī)則所揭示的規(guī)律與某種正常訪問相關，則將其加入刪除動作，并轉(zhuǎn)化成安全告警事件的過濾規(guī)則。接著，分析Winepi算法所挖掘的安全告警事件間的序列關系。如果這種序列關系與某種類型的攻擊相關，形成攻擊事件的組合規(guī)則，則增加新的安全攻擊事件。最后，將形成的關聯(lián)規(guī)則轉(zhuǎn)化成形式化的規(guī)則編碼，加入在線關聯(lián)知識庫。

3.網(wǎng)絡安全態(tài)勢生成算法

網(wǎng)絡安全態(tài)勢就是被監(jiān)察的網(wǎng)絡區(qū)域在一定時間窗口內(nèi)遭受攻擊的分布情況及其對安全目標的影響程度。網(wǎng)絡安全態(tài)勢信息與時間變化、空間分布均有關系，對于單個節(jié)點主要表現(xiàn)為攻擊指數(shù)和資源影響度隨時間的變化，對于整個網(wǎng)絡區(qū)域則還表現(xiàn)為攻擊焦點的分布變化。對于某一時刻網(wǎng)絡安全態(tài)勢的計算，必須考慮一個特定的評估時間窗口T，針對落在時間窗口內(nèi)的所有事件進行風險值的計算和累加。隨著時間的推移，一些告警事件逐漸移出窗口，而新的告警事件則進入窗口。告警事件發(fā)生的頻度反映了安全威脅的程度。告警事件頻發(fā)時，網(wǎng)絡系統(tǒng)的風險值迅速地累積增加；而當告警事件不再頻發(fā)時，風險值則逐漸地降低。首先，需要根據(jù)融合后的告警事件計算網(wǎng)絡節(jié)點的風險等級。主要考慮以下因素：告警置信度c、告警嚴重等級s、資源影響度m。其中，告警可信度通過初始定義和融合計算后產(chǎn)生；告警嚴重等級被預先指定，包含在告警信息中；資源影響度則是指攻擊事件對其目標的具體影響程度，不同攻擊類別對不同資源造成的影響程度不同，與具體配置、承擔的業(yè)務等有關。此外，還應考慮節(jié)點的安全防護等級Pn、告警恢復系數(shù)Rn等因素。

4.結(jié)束語

本文提出了一個基于知識發(fā)現(xiàn)的網(wǎng)絡安全態(tài)勢建模和生成框架。在該框架的基礎上設計并實現(xiàn)了網(wǎng)絡安全態(tài)勢感知系統(tǒng)，系統(tǒng)支持網(wǎng)絡安全態(tài)勢的準確建模和高效生成。實驗表明本系統(tǒng)具有統(tǒng)一的網(wǎng)絡安全態(tài)勢建模和生成框架；準確構(gòu)建網(wǎng)絡安全態(tài)勢度量的形式模型；通過知識發(fā)現(xiàn)方法，有效簡化告警事件庫，挖掘頻繁模式和序列模式并轉(zhuǎn)化為態(tài)勢關聯(lián)規(guī)則。

參考文獻：

[1]葛詠.圖像線狀模式的有限混合模型及其EM算法[N].計算機學報，2011.

[2]向日華.一種基于高斯混合模型的距離圖像分割算法[N].軟件學報，2013.