新時(shí)期信息安全主動(dòng)防御系統(tǒng)研究

鄭士芹

摘要：常見的互聯(lián)網(wǎng)安全防御措施包括殺毒軟件、訪問控制列表、安全免疫、防火墻等，這些防御系統(tǒng)觸發(fā)的條件是存在病毒或木馬等非法攻擊，屬于被動(dòng)的防御功能，無法為網(wǎng)絡(luò)提供一個(gè)強(qiáng)大的、主動(dòng)的、積極的防御，一旦非法攻擊比較強(qiáng)大，這樣就會(huì)造成系統(tǒng)感染病毒或木馬，造成數(shù)據(jù)被盜、系統(tǒng)癱瘓，形成無法彌補(bǔ)的損失。因此，為了適應(yīng)新時(shí)期互聯(lián)網(wǎng)安全防御需求，提高網(wǎng)絡(luò)安全防御能力，該文提出了一種基于主動(dòng)模式的防御系統(tǒng)，該系統(tǒng)就可以引入機(jī)器學(xué)習(xí)技術(shù)，利用機(jī)器學(xué)習(xí)分析、識(shí)別網(wǎng)絡(luò)中的病毒、木馬特征，及時(shí)的啟動(dòng)防火墻、殺毒軟件等，將病毒清除或轉(zhuǎn)移到隔離區(qū)，保障網(wǎng)絡(luò)的安全運(yùn)行。

關(guān)鍵詞：互聯(lián)網(wǎng)；機(jī)器學(xué)習(xí)；安全防御；主動(dòng)

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2017）32-0074-02

Research on Active Defense System of Information Security in the New Era

ZHENG Shi-qin

（Beijing Information Technology College， Beijing 100081， China）

Abstract： The Internet security defense measures including the common anti-virus software， access control list， safety， immune firewall， trigger condition of the defense system is the presence of a virus or Trojan and other illegal attacks， belongs to the passive defense function， cannot provide a strong， active， active defense network， once the illegal attack is more powerful so， it will cause the system infected with a virus or Trojan， cause paralysis， data theft system， the formation of irreparable loss. Therefore， in order to adapt to the new era of Internet security needs， improve the network security defense ability， this paper proposes a model Based on active defense system， this system can be introduced into the machine learning technology， using machine learning analysis， identify the characteristics of viruses and Trojans， timely start the firewall and antivirus software， will remove the virus or transfer to quarantine， guarantee the safe operation of the network.

Key words： Internet； machine learning； security defense； initiative

1 概述

隨著人們進(jìn)入到“互聯(lián)網(wǎng)+”時(shí)代，越來越多的領(lǐng)域開始組建專業(yè)的千兆有線網(wǎng)和百兆無線網(wǎng)絡(luò)，為人們提供信息檢索、協(xié)同辦公、數(shù)據(jù)共享等服務(wù)。但是，網(wǎng)絡(luò)在為人們提供便捷服務(wù)的同時(shí)也面臨著海量的安全威脅，這些威脅包括蠕蟲病毒、木馬病毒和一些黑客，這些非法攻擊將會(huì)盜取人們重要的數(shù)據(jù)，也可以通過人們的漏洞植入一些攻擊程序，造成互聯(lián)網(wǎng)服務(wù)系統(tǒng)被破壞或癱瘓[1]。人們?yōu)榱舜_保網(wǎng)絡(luò)正常運(yùn)行，結(jié)合網(wǎng)絡(luò)攻擊的情況就開發(fā)了一些防御系統(tǒng)，比如系統(tǒng)密碼、防火墻、殺毒軟件等，但是這些防御系統(tǒng)均為被動(dòng)式觸發(fā)，無法滿足“互聯(lián)網(wǎng)+”時(shí)代要求，本文為了解決上述問題，提出構(gòu)建一個(gè)主動(dòng)防御系統(tǒng)，該系統(tǒng)引入機(jī)器學(xué)習(xí)技術(shù)，實(shí)現(xiàn)非法數(shù)據(jù)的識(shí)別和分析，實(shí)時(shí)的監(jiān)控互聯(lián)網(wǎng)中的運(yùn)行數(shù)據(jù)，然后集成防火墻、殺毒軟件等傳統(tǒng)的防御技術(shù)，實(shí)時(shí)的殺滅病毒或移植到隔離區(qū)，進(jìn)一步實(shí)現(xiàn)良好的信息操作和服務(wù)。

2 新時(shí)期信息安全防御技術(shù)現(xiàn)狀綜述

隨著互聯(lián)網(wǎng)的發(fā)展，信息安全防御技術(shù)也得到了廣泛研究和改進(jìn)，本文通過對(duì)網(wǎng)絡(luò)安全防御技術(shù)文獻(xiàn)進(jìn)行研究，歸納了當(dāng)前信息安全防御采用的主流技術(shù)。

（1） 安全免疫技術(shù)。信息安全防御可以采用隔離區(qū)技術(shù)，逐步擴(kuò)大密碼硬件和可信計(jì)算技術(shù)，為互聯(lián)網(wǎng)應(yīng)用提供一個(gè)可信的、安全的運(yùn)行環(huán)境，應(yīng)對(duì)互聯(lián)網(wǎng)惡意攻擊，免疫未知惡意代碼的破壞[2]。

（2） 防火墻。防火墻是信息安全主動(dòng)防御的一個(gè)關(guān)鍵工具，其可以為用戶提供強(qiáng)大的操作局域網(wǎng)屏蔽操作，設(shè)置一些訪問控制規(guī)則，能夠?qū)⒉环弦?guī)則的數(shù)據(jù)阻止在外，但是這些數(shù)據(jù)不僅包括攻擊威脅，同時(shí)也有可能包括正常數(shù)據(jù)[3]。防火墻由于配置規(guī)則不能夠動(dòng)態(tài)的改變，因此經(jīng)過多年的實(shí)踐防火墻已經(jīng)逐漸被淘汰或與其他防御措施集成在一起使用，否則無法達(dá)到最佳的效果。

（3） Web安全服務(wù)。應(yīng)用系統(tǒng)運(yùn)行時(shí)，人們引入了Web安全服務(wù)和表單密碼技術(shù)，采用支持HTTPS的安全加密技術(shù)實(shí)現(xiàn)數(shù)據(jù)通信，這樣就可以保證攻擊威脅無法識(shí)別加密數(shù)據(jù)，能夠保證數(shù)據(jù)通信通道的安全[4]。endprint

（4） 殺毒軟件。目前，互聯(lián)網(wǎng)應(yīng)用終端安裝了許多類型的殺毒軟件，比如當(dāng)前主流的騰訊安全管家、360安全衛(wèi)士、卡巴斯基殺毒軟件，這些軟件經(jīng)過多年的應(yīng)用和改進(jìn)，已經(jīng)取得了很多的優(yōu)化版本。

3 新時(shí)期信息安全主動(dòng)防御系統(tǒng)設(shè)計(jì)

防火墻、殺毒軟件、Web安全服務(wù)和安全免疫技術(shù)均屬于一個(gè)被動(dòng)防御軟件，這些軟件多是單個(gè)部署和獨(dú)立運(yùn)行，因此非常容易遺漏病毒、木馬等攻擊威脅，不利于改進(jìn)安全防御性能[5]。為了提高信息安全防御功能，本文又提出了一個(gè)主動(dòng)防御系統(tǒng)，能夠?qū)崿F(xiàn)對(duì)未知的、潛在的安全威脅進(jìn)行主動(dòng)識(shí)別和分析，進(jìn)而積極主動(dòng)的查殺攻擊威脅數(shù)據(jù)。

主動(dòng)防御系統(tǒng)引入了機(jī)器學(xué)習(xí)技術(shù)，該技術(shù)能夠利用特征識(shí)別、匹配等功能識(shí)別互聯(lián)網(wǎng)中潛在的威脅數(shù)據(jù)，識(shí)別未知的安全風(fēng)險(xiǎn)[6]。具體的，機(jī)器學(xué)習(xí)應(yīng)用流程如下：主動(dòng)防御系統(tǒng)利用網(wǎng)絡(luò)數(shù)據(jù)包抓取軟件隨機(jī)的、實(shí)時(shí)的從網(wǎng)絡(luò)中抓取數(shù)據(jù)，針對(duì)這些數(shù)據(jù)特征進(jìn)行提取，這些數(shù)據(jù)的特征多，可以使用變換系數(shù)特征、因子統(tǒng)計(jì)特征、代數(shù)特征等，特征提取就是針對(duì)互聯(lián)網(wǎng)中的病毒、木馬等攻擊數(shù)據(jù)某些特征進(jìn)行的。目前，特征提取是互聯(lián)網(wǎng)病毒或木馬特征建模的一個(gè)過程，又被稱為表征描述，特征提取方法可以劃分為兩個(gè)類別，一種基于知識(shí)表征的方法，另一種是基于代數(shù)特征或統(tǒng)計(jì)學(xué)習(xí)表征方法?；谥R(shí)的表征方法可以根據(jù)網(wǎng)絡(luò)病毒或木馬的相似距離進(jìn)行度量，這個(gè)相似距離可以使用曲率角度、歐氏距離進(jìn)行度量；基于代數(shù)特征和統(tǒng)計(jì)學(xué)習(xí)表征方法則是利用病毒或木馬的密度進(jìn)行統(tǒng)計(jì)，利用統(tǒng)計(jì)學(xué)的嚴(yán)密規(guī)則獲取網(wǎng)絡(luò)攻擊威脅特征，目前常見的基于統(tǒng)計(jì)學(xué)的特征提取方法包括K均值、密度聚類、譜聚類、支持向量機(jī)。特征匹配可以利用攻擊威脅數(shù)據(jù)庫保存特征與提取的數(shù)據(jù)特征進(jìn)行搜索和匹配操作，設(shè)定一個(gè)模式匹配操作閾值，當(dāng)相似度超過這一個(gè)閾值，就可以將匹配獲取的模式輸出。特征識(shí)別可以將識(shí)別出的嫌疑數(shù)據(jù)特征與已經(jīng)獲得的特征模板進(jìn)行比較，根據(jù)相似程度可以判斷病毒信息，模式匹配和識(shí)別的過程包括兩個(gè)關(guān)鍵步驟，分別是確認(rèn)和辨認(rèn)，確認(rèn)是指一對(duì)一進(jìn)行病毒數(shù)據(jù)比較，辨認(rèn)是一對(duì)多病毒數(shù)據(jù)匹配對(duì)比，能夠?qū)崿F(xiàn)互聯(lián)網(wǎng)安全威脅信息識(shí)別。

主動(dòng)防御系統(tǒng)利用機(jī)器學(xué)習(xí)檢測(cè)的主要內(nèi)容很多，本文結(jié)合常見的防御系統(tǒng)功能，描述了機(jī)器學(xué)習(xí)技術(shù)在入侵檢測(cè)、狀態(tài)檢測(cè)和主動(dòng)查殺中的應(yīng)用情況，以便能夠?qū)崟r(shí)的、主動(dòng)的監(jiān)控互聯(lián)網(wǎng)，自主的發(fā)現(xiàn)互聯(lián)網(wǎng)中的非正常數(shù)據(jù)內(nèi)容。

（1） 狀態(tài)檢測(cè)。目前，互聯(lián)網(wǎng)中集成的分布式應(yīng)用軟件越來越多，這些應(yīng)用軟件采用的架構(gòu)不同、開發(fā)語言不同、數(shù)據(jù)庫不同，集成在一起就難免會(huì)產(chǎn)生許多的漏洞，狀態(tài)檢測(cè)就是利用機(jī)器學(xué)習(xí)技術(shù)針對(duì)互聯(lián)網(wǎng)中的應(yīng)用軟件、設(shè)備進(jìn)行分析，根據(jù)這些一個(gè)軟件運(yùn)行的日志信息、網(wǎng)絡(luò)中傳輸?shù)牧鲾?shù)據(jù)等感知上下文信息，構(gòu)建一個(gè)網(wǎng)絡(luò)狀態(tài)檢測(cè)路徑圖，提升和感知網(wǎng)絡(luò)中數(shù)據(jù)狀態(tài)內(nèi)容，確定各個(gè)動(dòng)態(tài)的監(jiān)測(cè)表項(xiàng)是否正常。

（2） 入侵檢測(cè)?；ヂ?lián)網(wǎng)的入侵檢測(cè)功能可以實(shí)時(shí)地抓取網(wǎng)絡(luò)中的數(shù)據(jù)包，可以利用機(jī)器學(xué)習(xí)技術(shù)針對(duì)這些網(wǎng)絡(luò)包進(jìn)行拆分、分析和封裝，以便能夠發(fā)現(xiàn)這些包中是否存在非法數(shù)據(jù)，然后利用特征匹配功能將這些病毒或木馬識(shí)別出來，及時(shí)的啟動(dòng)防御系統(tǒng)，可以積極地對(duì)系統(tǒng)進(jìn)行安全防御，避免攻擊威脅利用漏洞攻擊網(wǎng)絡(luò)。

主動(dòng)防御系統(tǒng)獲取網(wǎng)絡(luò)中存在的病毒之后，就可以及時(shí)的啟動(dòng)集成在一起的殺毒軟件或防火墻，將這些病毒清除掉或移植到隔離區(qū)。主動(dòng)防御是一種思想，其采用預(yù)防為主的基本原則，將未來可能發(fā)生的安全威脅數(shù)據(jù)識(shí)別出來，防患于未然，實(shí)現(xiàn)系統(tǒng)防御。

4 結(jié)束語

信息安全賬戶的防御系統(tǒng)可以利用機(jī)器學(xué)習(xí)和主動(dòng)思想防范未知安全威脅，這些威脅包括病毒軟件無法識(shí)別的病毒、互聯(lián)網(wǎng)新變異的新病毒、間諜程序、黑客攻擊數(shù)據(jù)等，利用機(jī)器學(xué)習(xí)技術(shù)可以提取網(wǎng)絡(luò)安全威脅數(shù)據(jù)特征，將這些特征發(fā)送給機(jī)器學(xué)習(xí)算法，這樣就可以更好的識(shí)別、匹配網(wǎng)絡(luò)中的威脅數(shù)據(jù)，具有功能操作簡(jiǎn)單、無需頻繁升級(jí)、及時(shí)更新系統(tǒng)防御規(guī)則等功能，采取主動(dòng)出擊和準(zhǔn)確識(shí)別功能分析網(wǎng)絡(luò)的危害性，防范未知的安全威脅。

參考文獻(xiàn)：

[1] 王雪東. “互聯(lián)網(wǎng)+”時(shí)代信息安全主動(dòng)防御系統(tǒng)研究與設(shè)計(jì)[J]. 信息安全與技術(shù)， 2016， 7（6）：5-6.

[2] 張大偉， 沈昌祥， 劉吉強(qiáng)，等. 基于主動(dòng)防御的網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施可信技術(shù)保障體系[J]. 中國(guó)工程科學(xué)， 2016， 18（6）：58-61.

[3] 陳春霖. 面向智能電網(wǎng)的信息安全主動(dòng)防御保障體系建設(shè)[J]. 中國(guó)信息安全， 2016（11）：54-57.

[4] 董希泉， 林利， 張小軍，等. 主動(dòng)防御技術(shù)在通信網(wǎng)絡(luò)安全保障工程中的應(yīng)用研究[J]. 信息安全與技術(shù)， 2016， 7（1）：80-84.

[5] 譚昕， 周安民， 張磊，等. 基于機(jī)器學(xué)習(xí)的MacOS平臺(tái)加密勒索軟件主動(dòng)防御方案[J]. 現(xiàn)代計(jì)算機(jī)， 2017（4）：58-63.

[6] 劉濤. 校園網(wǎng)入侵檢測(cè)系統(tǒng)中機(jī)器學(xué)習(xí)算法的性能研究[J]. 遼寧科技學(xué)院學(xué)報(bào)， 2017， 19（3）：8-10.endprint