人工智能及大數(shù)據(jù)的網(wǎng)絡(luò)安全態(tài)勢(shì)感知研究

◆王曉娜 李曉宇 李芙蓉

（北京北信源軟件股份有限公司 北京 100081）

在網(wǎng)絡(luò)安全管理中，必須全面注重策略求精問(wèn)題。大部分技術(shù)人員在開展網(wǎng)絡(luò)安全管理時(shí)，開始引入VPN 防御策略，以此強(qiáng)化網(wǎng)絡(luò)防御能力。然而在具體防御控制過(guò)程中，沒(méi)有有效融合響應(yīng)、保護(hù)和監(jiān)測(cè)方式，在出現(xiàn)復(fù)雜協(xié)同的網(wǎng)絡(luò)攻擊行為后，所發(fā)揮出的防御效果不佳。通過(guò)分析網(wǎng)絡(luò)防御策略可知，首先，策略求精方法缺失。開展網(wǎng)絡(luò)管理時(shí)，策略求精屬于基礎(chǔ)需求。主要應(yīng)用VPN 策略求精、訪問(wèn)控制策略，無(wú)法有效融合IDS 檢測(cè)和漏洞檢測(cè)等防御方式，對(duì)防御效果的影響較大。其次，不具備語(yǔ)義建模法。通過(guò)語(yǔ)義一致性，可以提升語(yǔ)義建模的效果。在應(yīng)用策略求精方法時(shí)，需要通過(guò)手工方式實(shí)現(xiàn)語(yǔ)義分析。然而由于缺乏自動(dòng)化方法，因此無(wú)法進(jìn)行語(yǔ)義建模，還會(huì)對(duì)網(wǎng)絡(luò)防御目標(biāo)的實(shí)現(xiàn)產(chǎn)生影響。再者，缺失語(yǔ)義一致性分析方法。針對(duì)策略求精來(lái)說(shuō)，主要屬于推理過(guò)程。但是在推理時(shí)，未將語(yǔ)義作為載體，嚴(yán)重影響語(yǔ)義一致性。尤其是分析語(yǔ)義一致性時(shí)，沒(méi)有立足于概念和結(jié)構(gòu)角度，無(wú)法實(shí)現(xiàn)語(yǔ)義一致性目標(biāo)。此外，在應(yīng)用策略求精方法時(shí)，有效性驗(yàn)證的難度比較大，無(wú)法發(fā)揮出智能技術(shù)和大數(shù)據(jù)技術(shù)在網(wǎng)絡(luò)防御中的作用。

1 信息安全態(tài)勢(shì)感知系統(tǒng)概況

企業(yè)管理信息安全時(shí)，多通過(guò)防御機(jī)制實(shí)現(xiàn)。利用防御、修復(fù)方式，能夠?qū)W(wǎng)絡(luò)安全進(jìn)行滲透式測(cè)試，同時(shí)評(píng)估網(wǎng)絡(luò)風(fēng)險(xiǎn)，盡早找尋出信息系統(tǒng)漏洞，通過(guò)科學(xué)有效措施修補(bǔ)漏洞。當(dāng)發(fā)現(xiàn)攻擊行為時(shí)，必須及時(shí)分析網(wǎng)絡(luò)流量、設(shè)備日志，找尋網(wǎng)絡(luò)攻擊阻止方式。在應(yīng)用防御措施時(shí)，必須投入大量時(shí)間和精力，相應(yīng)增加心理波動(dòng)。面對(duì)不同類別的信息安全，企業(yè)必須應(yīng)用威脅情報(bào)技術(shù)、大數(shù)據(jù)技術(shù)、人工智能技術(shù)，建立信息安全態(tài)勢(shì)感知系統(tǒng)。系統(tǒng)核心在于應(yīng)用網(wǎng)絡(luò)安全數(shù)據(jù)，準(zhǔn)確分析企業(yè)內(nèi)部信息安全風(fēng)險(xiǎn)，同時(shí)掌握企業(yè)現(xiàn)存危險(xiǎn)，明確信息安全態(tài)勢(shì)。網(wǎng)絡(luò)安全數(shù)據(jù)，包括互聯(lián)網(wǎng)漏洞數(shù)據(jù)，威脅情報(bào)數(shù)據(jù)等。信息安全態(tài)勢(shì)感知系統(tǒng)，可以有效聯(lián)合企業(yè)外網(wǎng)數(shù)據(jù)與內(nèi)網(wǎng)數(shù)據(jù)，準(zhǔn)確判斷現(xiàn)存攻擊，同時(shí)參照資產(chǎn)脆弱度方面，利用風(fēng)險(xiǎn)評(píng)估模型，對(duì)網(wǎng)絡(luò)系統(tǒng)風(fēng)險(xiǎn)進(jìn)行評(píng)估。注重傳輸風(fēng)險(xiǎn)因素，到達(dá)威脅態(tài)勢(shì)模塊，此時(shí)會(huì)暴露出風(fēng)險(xiǎn)。因?yàn)榫W(wǎng)絡(luò)攻擊較為高級(jí)，攻擊事件長(zhǎng)，必須準(zhǔn)確檢查企業(yè)內(nèi)網(wǎng)歷史數(shù)據(jù)，尋找潛在風(fēng)險(xiǎn)隱患，利用態(tài)勢(shì)模塊展現(xiàn)。系統(tǒng)運(yùn)行時(shí)，涉及較多監(jiān)測(cè)搜索數(shù)據(jù)，同時(shí)要做好分析判斷，注重科學(xué)運(yùn)算。因此，該系統(tǒng)需要建立分布式計(jì)算核心平臺(tái)。

2 網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)的關(guān)鍵技術(shù)

網(wǎng)絡(luò)態(tài)勢(shì)感知系統(tǒng)，涉及數(shù)據(jù)采集技術(shù)、數(shù)據(jù)預(yù)處理技術(shù)、數(shù)據(jù)存儲(chǔ)與檢索技術(shù)、數(shù)據(jù)分析技術(shù)。具體分析如下：

2.1 數(shù)據(jù)采集技術(shù)

對(duì)于數(shù)據(jù)收集來(lái)說(shuō)，數(shù)據(jù)層埃及量非常多，例如Web 服務(wù)日志、防火墻日志、安全情報(bào)數(shù)據(jù)。其中，安全情報(bào)數(shù)據(jù)，可以通過(guò)系統(tǒng)識(shí)別與應(yīng)用。安全情報(bào)數(shù)據(jù)，借助于云服務(wù)器，能夠更新相關(guān)內(nèi)容?；诂F(xiàn)狀發(fā)展可知，安全情報(bào)、數(shù)據(jù)支持無(wú)權(quán)威性數(shù)據(jù)。

針對(duì)部分大型企業(yè)，由于數(shù)據(jù)流量較高，因此需要收集較多新內(nèi)容。網(wǎng)絡(luò)流量鏡像數(shù)據(jù)采集難度大，必須全面提升探針容錯(cuò)性，加強(qiáng)數(shù)據(jù)采集能力。利用測(cè)試，對(duì)系統(tǒng)予以優(yōu)化。利用千萬(wàn)兆網(wǎng)絡(luò)，實(shí)時(shí)采集網(wǎng)絡(luò)數(shù)據(jù)，通過(guò)分光器鏡像、網(wǎng)絡(luò)端口鏡像，將收集數(shù)據(jù)傳輸?shù)椒治銎脚_(tái)，便于分析數(shù)據(jù)信息。該項(xiàng)技術(shù)牽扯到行為特征分析、自動(dòng)關(guān)聯(lián)，端口匹配。端口匹配，遵循標(biāo)準(zhǔn)對(duì)應(yīng)關(guān)系，利用傳輸控制協(xié)議、無(wú)連接傳輸協(xié)議的端口識(shí)別，加快檢測(cè)速度。但是在應(yīng)用期間，極易被偽造和攻擊。因此，在端口檢測(cè)結(jié)束后，必須科學(xué)分析數(shù)據(jù)。對(duì)于流量特征檢測(cè)，涉及未公開協(xié)議流量識(shí)別、標(biāo)準(zhǔn)協(xié)議流量識(shí)別。其中，標(biāo)準(zhǔn)協(xié)議流量識(shí)別，對(duì)信息、命令做出特殊要求。在分析檢測(cè)中，準(zhǔn)確核對(duì)特有字段、狀態(tài)，確保流量識(shí)別的準(zhǔn)確性。對(duì)于未公開協(xié)議流量識(shí)別，通過(guò)逆向分析協(xié)議法，實(shí)行解密處理，科學(xué)分析報(bào)文內(nèi)特有字段，確保流量識(shí)別準(zhǔn)確性。針對(duì)自動(dòng)連接關(guān)聯(lián)，因網(wǎng)絡(luò)傳輸容量持續(xù)增加，利用單個(gè)連接傳輸所有數(shù)據(jù)，已經(jīng)遠(yuǎn)遠(yuǎn)不能滿足實(shí)際需求。此時(shí)需要通過(guò)行為特征方法做好分析，密切監(jiān)測(cè)數(shù)量流量鏈接個(gè)數(shù)、上下行流量比例、數(shù)據(jù)發(fā)送頻率，準(zhǔn)確識(shí)別數(shù)據(jù)流量。

2.2 數(shù)據(jù)預(yù)處理技術(shù)

網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)，主要應(yīng)用大數(shù)據(jù)技術(shù)處理數(shù)據(jù)，按照預(yù)先設(shè)計(jì)流程，確保數(shù)據(jù)處理的可靠性與精確性。在大數(shù)據(jù)技術(shù)中，Stream 框架為分布式處理，擴(kuò)展性較強(qiáng)。當(dāng)集群節(jié)點(diǎn)比較多時(shí)，就會(huì)相應(yīng)提升并發(fā)處理能力。在處理數(shù)據(jù)時(shí)，對(duì)于數(shù)據(jù)歸一、情報(bào)知識(shí)庫(kù)的依賴性強(qiáng)。數(shù)據(jù)歸一，主要為流量數(shù)據(jù)、設(shè)備信息。系統(tǒng)利用正則表達(dá)式，能夠進(jìn)行歸一化處理，同時(shí)將數(shù)據(jù)轉(zhuǎn)化為常用數(shù)據(jù)，做好深層次分析和研究。針對(duì)情報(bào)知識(shí)庫(kù)，利用情報(bào)庫(kù)、知識(shí)庫(kù)關(guān)聯(lián)數(shù)據(jù)，同時(shí)提供數(shù)據(jù)參考。

2.3 數(shù)據(jù)庫(kù)存和檢索

安全態(tài)勢(shì)感知系統(tǒng)，能夠應(yīng)用到海量數(shù)據(jù)檢索中。利用搜索引擎搜索，可以實(shí)現(xiàn)分布式全文搜索。在搜索中，可以將分類、名稱、內(nèi)容作為搜索詞。

2.4 數(shù)據(jù)分析

在分析數(shù)據(jù)時(shí)，挖掘數(shù)據(jù)中潛在風(fēng)險(xiǎn)，全面做好安全防范處理工作。在此期間，可能要應(yīng)用到機(jī)器學(xué)習(xí)重沙箱技術(shù)、反病毒查殺技術(shù)、惡意代碼智能檢測(cè)技術(shù)、自動(dòng)化數(shù)據(jù)處理技術(shù)。對(duì)于惡意代碼，則以常規(guī)軟件、惡意軟件作為樣本，建立人工智能引擎，深入分析不同軟件的特征，同時(shí)建設(shè)可識(shí)別惡意軟件的模型，確保惡意軟件識(shí)別的準(zhǔn)確性。對(duì)于反病毒查殺技術(shù)，在現(xiàn)有技術(shù)上優(yōu)化，確保病毒信息、數(shù)據(jù)信息識(shí)別的準(zhǔn)確性。針對(duì)機(jī)器學(xué)習(xí)、重沙箱技術(shù)，因系統(tǒng)數(shù)據(jù)采集、處理能力較強(qiáng)，需要高度依賴機(jī)器學(xué)習(xí)、關(guān)聯(lián)分析技術(shù)，確保數(shù)據(jù)篩選的準(zhǔn)確性，同時(shí)提取重要信息，傳輸至人工運(yùn)營(yíng)團(tuán)隊(duì)。對(duì)于自動(dòng)化數(shù)據(jù)處理技術(shù)，態(tài)勢(shì)感知系統(tǒng)為智能化平臺(tái)，需要依賴人力操作，需要為專業(yè)人員提供綜合化、可信度較高的數(shù)據(jù)。建設(shè)數(shù)據(jù)自動(dòng)化處理平臺(tái)，通過(guò)全貌特征，跟蹤攻擊者，及時(shí)發(fā)現(xiàn)潛在威脅，生成可用的威脅情報(bào)。

3 人工智能與大數(shù)據(jù)技術(shù)在網(wǎng)絡(luò)安全態(tài)勢(shì)感知中的應(yīng)用

3.1 建立防御策略模型

在應(yīng)用策略求精關(guān)鍵技術(shù)時(shí)，首先應(yīng)當(dāng)建立模型。此次研究采用三維模型建立方式。在建立模型時(shí)，必須應(yīng)用系統(tǒng)思想、方式技術(shù)和網(wǎng)絡(luò)知識(shí)，通過(guò)不同方式的相互配合，可以全面確保系統(tǒng)工程的安全性。聯(lián)合安全機(jī)制，可以明顯提升數(shù)據(jù)庫(kù)性能、信息完整性、計(jì)算機(jī)設(shè)備性能。在應(yīng)用策略求精技術(shù)時(shí)，必須確保網(wǎng)絡(luò)信息滿足精益化發(fā)展。為了實(shí)現(xiàn)以上發(fā)展目標(biāo)，必須提升高層防御策略實(shí)效性。在應(yīng)用期間，以服務(wù)資源要求作為基礎(chǔ)前提，在節(jié)點(diǎn)端口位置，獲取系統(tǒng)安全參數(shù)。如果改變參數(shù)，則無(wú)須特殊處理，能夠直接優(yōu)化配置。需要注意的是，在參數(shù)配置中，涉及海量數(shù)據(jù)包、接口數(shù)據(jù)，同時(shí)牽扯到語(yǔ)法變換。在建立模型時(shí)，必須充分考慮到上述內(nèi)容。

此次研究過(guò)程中，基于CNDPR 模型開展研究，將策略求精概念應(yīng)用到具象化處理中。生成防御策略后，可以將其用到設(shè)備節(jié)點(diǎn)中，并且以可執(zhí)行策略規(guī)則形式存在。通過(guò)應(yīng)用該模型可以表現(xiàn)出明顯的主動(dòng)特征，以此改變系統(tǒng)狀態(tài)。從形式上，可以將模型構(gòu)成主體劃分為主體和節(jié)點(diǎn)，節(jié)點(diǎn)需要采用節(jié)點(diǎn)名稱、IP、掩碼方式生成用戶名和口令，同時(shí)改變計(jì)算機(jī)信息流。針對(duì)主體形式，主要為相同特征主體。分析系統(tǒng)的實(shí)際應(yīng)用可知，相同特征的主體集，能夠體現(xiàn)出角色特征綜合體。且不同角色權(quán)限，具備較強(qiáng)的關(guān)聯(lián)性。針對(duì)該類綜合體，需要應(yīng)用不同表達(dá)式進(jìn)行描述。

3.2 建立模型安全體系

重視網(wǎng)絡(luò)安全運(yùn)行狀態(tài)分析，建設(shè)模型安全體系。在建設(shè)體系時(shí)，應(yīng)當(dāng)全面分析和掌握計(jì)算機(jī)特征、網(wǎng)絡(luò)運(yùn)行狀態(tài)，增強(qiáng)技術(shù)應(yīng)用合理性，全面提高人工智能技術(shù)、大數(shù)據(jù)技術(shù)的安全性能。模型安全體系建構(gòu)時(shí)，高度重視防御策略模型。采用三維立體化概念，模型建立涉及X 軸、Y 軸、Z 軸，其中，X 軸主要是描述系統(tǒng)安全特性；Y 軸：主要描述網(wǎng)絡(luò)層、應(yīng)用層、物理層、傳輸層、數(shù)據(jù)鏈路層；Z 軸主要是描述物理環(huán)境，包括信息網(wǎng)絡(luò)、信息處理、安全管理。確保模型合理的同時(shí)，全面提升安全防御效果。在建立模型期間，技術(shù)人員必須考慮到網(wǎng)絡(luò)安全問(wèn)題，增強(qiáng)模型和用戶要求的吻合度。

4 結(jié)束語(yǔ)

綜上所述，現(xiàn)代企業(yè)生產(chǎn)經(jīng)營(yíng)期間，必須全面保障企業(yè)內(nèi)部信息安全，通過(guò)信息管理技術(shù)和管理措施，本文重點(diǎn)研究和分析大數(shù)據(jù)存儲(chǔ)、人工智能技術(shù)，優(yōu)化設(shè)計(jì)態(tài)勢(shì)感知系統(tǒng)，同時(shí)介紹數(shù)據(jù)采集技術(shù)、信息安全保障技術(shù)、數(shù)據(jù)存儲(chǔ)技術(shù)。因受到多種因素影響，研究?jī)?nèi)容限制比較大，能夠促進(jìn)信息安全發(fā)展，優(yōu)化感知能力。