網(wǎng)絡(luò)空間地理圖譜在城市網(wǎng)絡(luò)安全綜合管控中的應(yīng)用研究

王奕鈞

(公安部第一研究所信息安全部 北京 100048)

隨著互聯(lián)網(wǎng)信息技術(shù)、5G網(wǎng)絡(luò)、物聯(lián)網(wǎng)應(yīng)用的飛速發(fā)展，網(wǎng)絡(luò)空間已經(jīng)和人們的日?；顒咏Y(jié)合得越來越緊密，并且相互影響，逐漸融合.網(wǎng)絡(luò)空間現(xiàn)已成為人們生產(chǎn)、生活的“第二類活動空間”，是繼陸、海、空、太空之后人類的第五大行動領(lǐng)域.人們在享受互聯(lián)網(wǎng)信息技術(shù)、5G網(wǎng)絡(luò)、物聯(lián)網(wǎng)應(yīng)用發(fā)展所帶來的成果的同時(shí)，網(wǎng)絡(luò)空間的安全風(fēng)險(xiǎn)也在以更快、更多、更隱蔽的方式威脅著人們的正常生活和城市的穩(wěn)定安全[1].2015年12月，黑客對烏克蘭電網(wǎng)發(fā)動的網(wǎng)絡(luò)攻擊造成烏克蘭西部大規(guī)模停電[2].2017年爆發(fā)的勒索病毒直接攻擊了全球150多個(gè)國家/地區(qū)的23萬多臺計(jì)算機(jī)，我國也有多個(gè)行業(yè)多家單位受到影響[3].另外，不法分子經(jīng)常利用漏洞后門、木馬軟件、郵件釣魚、DDoS軟件等手段對我國互聯(lián)網(wǎng)空間中的服務(wù)器、終端、應(yīng)用發(fā)起攻擊，以達(dá)到盜竊數(shù)據(jù)、詐騙勒索、打擊競爭對手的目的.根據(jù)國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心2022年1月披露的數(shù)據(jù)，我國境內(nèi)感染木馬或僵尸網(wǎng)絡(luò)惡意程序的終端達(dá)446萬余個(gè)，較2021年12月增加40.0%；境內(nèi)被篡改網(wǎng)站數(shù)量共4 327個(gè)，其中被篡改政府網(wǎng)站數(shù)量為24個(gè)；被植入后門的網(wǎng)站數(shù)量為1 812個(gè)，其中包含政府網(wǎng)站2個(gè)；針對境內(nèi)網(wǎng)站的仿冒頁面數(shù)量為187個(gè).同時(shí)，國家信息安全漏洞共享平臺(CNVD)共協(xié)調(diào)處置了3 568起涉及我國政府部門、銀行、民航、電信、傳媒、公共衛(wèi)生、教育等行業(yè)的漏洞事件[4].由此可見，我國網(wǎng)絡(luò)空間中的政府網(wǎng)站、重要信息系統(tǒng)等關(guān)鍵信息基礎(chǔ)設(shè)施以及各類終端面對的網(wǎng)絡(luò)威脅居高不下，遭受的網(wǎng)絡(luò)攻擊日益增加.

為了更好地治理我國網(wǎng)絡(luò)空間，應(yīng)對網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，2021年，我國發(fā)布了《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》《中華人民共和國數(shù)據(jù)安全法》等法規(guī)，旨在進(jìn)一步加強(qiáng)我國網(wǎng)絡(luò)空間的安全保護(hù)、保衛(wèi)和保障，提升我國網(wǎng)絡(luò)空間安全保障的整體水平，維護(hù)國家網(wǎng)絡(luò)安全和國家安全[5].同年12月中央網(wǎng)絡(luò)安全和信息化委員會印發(fā)的《“十四五”國家信息化規(guī)劃》高度重視網(wǎng)絡(luò)安全建設(shè)，把基礎(chǔ)能力、戰(zhàn)略前沿、民生保障等擺在了優(yōu)先位置.網(wǎng)絡(luò)空間地理學(xué)是研究網(wǎng)絡(luò)空間表達(dá)的新興研究領(lǐng)域，是一套全新的、系統(tǒng)的、可用于認(rèn)知網(wǎng)絡(luò)空間、維護(hù)網(wǎng)絡(luò)空間安全的基礎(chǔ)科學(xué)理論方法[6].利用網(wǎng)絡(luò)空間地理學(xué)相關(guān)理論基礎(chǔ)構(gòu)建網(wǎng)絡(luò)空間地理知識圖譜，將網(wǎng)絡(luò)空間與現(xiàn)實(shí)空間相互映射關(guān)聯(lián)，以可視化的方式解析和描述網(wǎng)絡(luò)空間與現(xiàn)實(shí)空間的格局和演變，是構(gòu)建城市網(wǎng)絡(luò)安全綜合防控體系，提升城市網(wǎng)絡(luò)安全防護(hù)和動態(tài)管控能力，推動城市網(wǎng)絡(luò)安全防控向主動、協(xié)同和高效方向發(fā)展的新路徑.

1 網(wǎng)絡(luò)空間地理圖譜

網(wǎng)絡(luò)空間地理學(xué)的提出為網(wǎng)絡(luò)空間要素刻畫提供了新的視角和思路.傳統(tǒng)地理學(xué)以“人-地”關(guān)系描述現(xiàn)實(shí)空間，但隨著信息技術(shù)的快速發(fā)展，網(wǎng)絡(luò)空間已與現(xiàn)實(shí)空間相互融合，因此，網(wǎng)絡(luò)空間地理學(xué)基于“人-地-網(wǎng)”關(guān)系展開研究.在“人-地-網(wǎng)”紐帶關(guān)系的理論指導(dǎo)下，參考傳統(tǒng)地理學(xué)中對地理要素的分類標(biāo)準(zhǔn)，網(wǎng)絡(luò)空間地理學(xué)將網(wǎng)絡(luò)空間自下而上劃分為地理環(huán)境層、網(wǎng)絡(luò)環(huán)境層、行為主體層和業(yè)務(wù)環(huán)境層，每個(gè)圖層包含多個(gè)與此圖層內(nèi)容表達(dá)相關(guān)的圖層.利用層次化的圖層可視化表達(dá)網(wǎng)絡(luò)空間要素，最終形成描述網(wǎng)絡(luò)空間的網(wǎng)絡(luò)地圖,其層次模型如圖1所示[7].

城市網(wǎng)絡(luò)安全綜合管控中的網(wǎng)絡(luò)空間地理圖譜是利用網(wǎng)絡(luò)資產(chǎn)測繪技術(shù)和手段，根據(jù)城市網(wǎng)絡(luò)空間領(lǐng)域知識的特點(diǎn)，結(jié)合知識圖譜豐富直觀的知識表達(dá)方式，以網(wǎng)絡(luò)安全綜合管控業(yè)務(wù)為指導(dǎo)建立的知識圖譜.網(wǎng)絡(luò)空間地理圖譜構(gòu)建主要由網(wǎng)絡(luò)空間地理圖譜要素與模型定義、網(wǎng)絡(luò)空間地理圖譜建模、網(wǎng)絡(luò)空間地理圖譜數(shù)據(jù)清洗及自動化構(gòu)建3部分組成.

圖1 網(wǎng)絡(luò)空間層次模型

1.1 網(wǎng)絡(luò)空間地理圖譜要素與模型定義

1.1.1 網(wǎng)絡(luò)空間地理圖譜要素定義

1) 網(wǎng)絡(luò)空間資產(chǎn)知識要素定義

網(wǎng)絡(luò)空間資產(chǎn)知識要素包括計(jì)算機(jī)網(wǎng)絡(luò)中所使用的各種資產(chǎn)設(shè)備以及基于這些資產(chǎn)設(shè)備的設(shè)備屬性特征和設(shè)備通信指紋信息特征所形成的知識.網(wǎng)絡(luò)空間資產(chǎn)設(shè)備主要包括路由器、交換機(jī)等網(wǎng)絡(luò)設(shè)備；防火墻、IDS、IPS、WAF、網(wǎng)閘等安全設(shè)備；PC終端、服務(wù)器、智能手機(jī)等計(jì)算設(shè)備；傳感器、控制器等傳感控制設(shè)備.資產(chǎn)知識的構(gòu)建還包括資產(chǎn)在信息安全三要素機(jī)密性、完整性和可用性上等級賦值的綜合運(yùn)算.網(wǎng)絡(luò)空間資產(chǎn)知識要素的賦值計(jì)算流程如圖2所示：

圖2 網(wǎng)絡(luò)空間資產(chǎn)知識賦值計(jì)算流程圖

2) 網(wǎng)絡(luò)空間風(fēng)險(xiǎn)知識要素定義

網(wǎng)絡(luò)空間風(fēng)險(xiǎn)知識要素包括同類網(wǎng)絡(luò)空間資產(chǎn)中發(fā)生過的已知安全事件，以及基于這些已知安全事件描述、安全事件分類、信息安全特征等安全風(fēng)險(xiǎn)數(shù)據(jù)所形成的知識.構(gòu)建網(wǎng)絡(luò)空間風(fēng)險(xiǎn)知識的流程如圖3所示：

圖3 網(wǎng)絡(luò)空間風(fēng)險(xiǎn)知識構(gòu)建流程圖

3) 網(wǎng)絡(luò)空間脆弱性知識要素定義

網(wǎng)絡(luò)空間脆弱性知識要素包括在網(wǎng)絡(luò)空間資產(chǎn)中發(fā)現(xiàn)的系統(tǒng)、資產(chǎn)、業(yè)務(wù)、應(yīng)用方面的漏洞及邏輯層面的脆弱性信息，主要包含脆弱性(或漏洞)內(nèi)容描述、脆弱性特征、脆弱性造成的危害等內(nèi)容.

4) 網(wǎng)絡(luò)空間威脅知識要素定義

網(wǎng)絡(luò)空間威脅知識要素包括在網(wǎng)絡(luò)空間中發(fā)現(xiàn)的已知及潛在的威脅行為.主要包含威脅事件描述、威脅訪問時(shí)間、威脅訪問行為特征、威脅訪問源、威脅訪問目標(biāo)等內(nèi)容，如圖4所示.

圖4 網(wǎng)絡(luò)空間威脅知識要素結(jié)構(gòu)圖

5) 網(wǎng)絡(luò)空間狀態(tài)知識要素定義

網(wǎng)絡(luò)空間狀態(tài)知識要素包括在網(wǎng)絡(luò)空間中的資產(chǎn)所表現(xiàn)的狀態(tài)信息，以及基于各種資產(chǎn)在不同網(wǎng)絡(luò)空間環(huán)境、不同狀態(tài)下表現(xiàn)的狀態(tài)集合所形成的知識，主要包含資產(chǎn)類型、所處網(wǎng)絡(luò)空間環(huán)境、資產(chǎn)狀態(tài)集等內(nèi)容.

6) 網(wǎng)絡(luò)空間訪問知識要素定義

網(wǎng)絡(luò)空間訪問知識要素包括在網(wǎng)絡(luò)空間中的資產(chǎn)所發(fā)生的網(wǎng)絡(luò)訪問行為信息以及系統(tǒng)基于對資產(chǎn)發(fā)生網(wǎng)絡(luò)訪問行為的動態(tài)特征所形成的知識，主要包含訪問行為特征、訪問行為屬性(發(fā)起、被動)、訪問者訪問特征、被訪者訪問特征、訪問源及訪問目標(biāo)資產(chǎn)屬性等內(nèi)容[8].以網(wǎng)絡(luò)爬蟲掃描爬取網(wǎng)頁行為為例，在對訪問爬取網(wǎng)頁信息行為進(jìn)行采集識別過程中，首先提取爬蟲的訪問行為信息，然后對訪問行為信息進(jìn)行預(yù)處理，將爬取行為通過變換轉(zhuǎn)譯成統(tǒng)一的訪問行為描述，同時(shí)提取出訪問行為信息識別過程中的異常識別特征，對異常識別進(jìn)行建模并利用相關(guān)算法對其進(jìn)行優(yōu)化.

1.1.2 網(wǎng)絡(luò)空間地理圖譜模型定義

通過對網(wǎng)絡(luò)空間中資產(chǎn)、風(fēng)險(xiǎn)、脆弱性、威脅、狀態(tài)、動向數(shù)據(jù)的收集和清洗，將這些數(shù)據(jù)加工成適合進(jìn)行網(wǎng)絡(luò)空間地理圖譜模型構(gòu)建的結(jié)構(gòu)化數(shù)據(jù).這些數(shù)據(jù)經(jīng)過對網(wǎng)絡(luò)空間相關(guān)信息屬性的網(wǎng)絡(luò)空間地理圖譜生成運(yùn)算過程后，將關(guān)鍵數(shù)據(jù)沉淀下來形成網(wǎng)絡(luò)空間各類相關(guān)信息屬性的知識.基于這些知識及歷史網(wǎng)絡(luò)空間地理圖譜生成運(yùn)算過程所構(gòu)建的模型即為網(wǎng)絡(luò)空間地理圖譜模型.網(wǎng)絡(luò)空間地理圖譜模型構(gòu)建過程如圖5所示.

圖5 網(wǎng)絡(luò)空間地理圖譜模型構(gòu)建過程

1.2 網(wǎng)絡(luò)空間地理圖譜建模

構(gòu)建網(wǎng)絡(luò)空間地理圖譜至少需要包含數(shù)據(jù)預(yù)處理、自然語言處理、知識融合、知識存儲、知識計(jì)算、業(yè)務(wù)應(yīng)用等功能模塊，支持對非結(jié)構(gòu)化數(shù)據(jù)、半結(jié)構(gòu)化數(shù)據(jù)以及結(jié)構(gòu)化數(shù)據(jù)的處理、抽取、識別分析、融合、存儲、推理、計(jì)算、輸出和展示.圖譜建?？梢詣澐殖筛拍罱！⒁?guī)則知識建模、事件知識建模、時(shí)空知識建模等部分.

1.2.1 概念建模方法

概念建模是對網(wǎng)絡(luò)空間的一次抽象，是將網(wǎng)絡(luò)空間中的客觀對象抽象為某一種信息結(jié)構(gòu)的過程.構(gòu)建網(wǎng)絡(luò)空間地理圖譜可以采用本體概念建模的方法.本體概念建模分為自底向上建模和自頂向下建模2種模式.對于開放域知識圖譜的本體概念建模通常用自底向上的建模方式，從知識圖譜中抽取建模所需的概念、概念間關(guān)系、概念層級等.由于開放世界太過復(fù)雜，采用自頂向下的方法無法考慮周全，并且隨著現(xiàn)實(shí)世界的變化，相應(yīng)的客觀對象和概念不斷增加.因此，網(wǎng)絡(luò)空間地理圖譜可采用自頂向下的方法構(gòu)建本體概念：一方面，相對于開放域知識圖譜，網(wǎng)絡(luò)空間地理圖譜涉及的概念和范圍都是固定或者可控的；另一方面，對于由網(wǎng)絡(luò)安全業(yè)務(wù)牽引的網(wǎng)絡(luò)空間地理圖譜，自頂向下建?？蓾M足較高的精度要求.通過對靜態(tài)的網(wǎng)絡(luò)空間元素本體和動態(tài)的網(wǎng)絡(luò)空間時(shí)空變化本體2個(gè)部分進(jìn)行分析描述，結(jié)合網(wǎng)絡(luò)安全綜合管控業(yè)務(wù)需求分析，總結(jié)出語義層面上的概念模型，使用本體描述語言和建模工具將概念模型進(jìn)行圖形化的表達(dá)，形成具體的功能模型.本體概念建?？梢栽鰪?qiáng)系統(tǒng)模型的語義表達(dá)能力，解決同名異義及異名同義等問題，進(jìn)而消除語義差異.本體概念建模還可以描述概念間的相互關(guān)系，配合推理機(jī)應(yīng)用發(fā)掘出一些數(shù)據(jù)間蘊(yùn)含的關(guān)系[9].

1.2.2 規(guī)則知識建模方法

規(guī)則知識建模中的規(guī)則包括規(guī)則頭和規(guī)則主體.利用規(guī)則知識建?？梢允咕W(wǎng)絡(luò)空間地理圖譜具有很強(qiáng)的語義表達(dá)能力，能夠表達(dá)知識圖譜中大多數(shù)語義定理，包括屬性的近義定理、逆向定理、屬性鏈定理等.并且還可以使用規(guī)則增強(qiáng)的方法從知識圖譜中挖掘、推理得到新的關(guān)系和知識.因此，通過將新的關(guān)系和知識添加到原始學(xué)習(xí)模型中，可以幫助原始模型訓(xùn)練間接得到屬性鏈定理，從而使該模型具有定理預(yù)測的能力.

1.2.3 事件知識建模方法

事件知識建模是以事件知識作為事件本體的建模方法：將時(shí)間類動作要素屬性、狀態(tài)要素屬性、語言表現(xiàn)要素屬性作為數(shù)據(jù)要素屬性的子屬性；將時(shí)間類和事件類之間的關(guān)系作為事件本體的子屬性進(jìn)行構(gòu)建，如分類關(guān)系、組成關(guān)系、并發(fā)關(guān)系、因果關(guān)系、伴隨關(guān)系等.事件本體中下層事件類用類演繹方法關(guān)聯(lián)到對應(yīng)的上層事件類中.下層事件類中的時(shí)間要素、地點(diǎn)要素、對象要素通過屬性抽象方法關(guān)聯(lián)到對應(yīng)的上層概念中.事件知識建模描述1個(gè)完整的事件，除了能表達(dá)事件的時(shí)間、地點(diǎn)、動作、對象等要素外，還具有豐富的語義內(nèi)涵.

1.2.4 時(shí)空知識建模方法

時(shí)空知識建模方法是面向?qū)?yīng)的業(yè)務(wù)應(yīng)用，根據(jù)對網(wǎng)絡(luò)空間的認(rèn)識，以數(shù)字?jǐn)?shù)據(jù)的形式建立對網(wǎng)絡(luò)世界的模擬系統(tǒng)的方法.時(shí)空知識模型是對網(wǎng)絡(luò)空間的數(shù)據(jù)、變化進(jìn)行客觀抽象和形式的描述，采用基于事件的時(shí)空數(shù)據(jù)模型(event-based spatial-temporal data model, ESTDM)，將某一空間區(qū)域的每次狀態(tài)變化視為1個(gè)事件，用1維時(shí)間軸上的事件序列表示時(shí)空變化過程，如圖6所示.該模型同時(shí)集成矢量和柵格數(shù)據(jù)結(jié)構(gòu)，通過處理事件或狀態(tài)對空間、時(shí)間和時(shí)空進(jìn)行查詢，用以提高時(shí)空數(shù)據(jù)查詢效率[10].

圖6 網(wǎng)絡(luò)空間地理圖譜時(shí)空知識構(gòu)建模型

1.3 網(wǎng)絡(luò)空間地理圖譜數(shù)據(jù)清洗及自動化構(gòu)建

由于構(gòu)建網(wǎng)絡(luò)空間地理圖譜需要針對海量數(shù)據(jù)進(jìn)行清洗、抽取、運(yùn)算和構(gòu)建，因此對網(wǎng)絡(luò)空間數(shù)據(jù)進(jìn)行清洗、地理圖譜構(gòu)建的效率決定了網(wǎng)絡(luò)空間地理圖譜的可用性和實(shí)用性.為保證網(wǎng)絡(luò)空間地理圖譜的有效構(gòu)建，需要對網(wǎng)絡(luò)空間基礎(chǔ)數(shù)據(jù)開展自動化清洗、對地理圖譜概念實(shí)例進(jìn)行自動化識別與分類、對地理圖譜實(shí)例屬性及關(guān)系進(jìn)行自動化抽取、對事件及事件關(guān)系和時(shí)空知識開展自動化抽取、對知識規(guī)則進(jìn)行自動化挖掘.

1.3.1 網(wǎng)絡(luò)空間基礎(chǔ)數(shù)據(jù)自動化清洗

對于網(wǎng)絡(luò)空間地理圖譜構(gòu)建所需的掃描日志、探測數(shù)據(jù)、報(bào)警信息等原始日志數(shù)據(jù)的清洗需要經(jīng)過數(shù)據(jù)預(yù)處理、校驗(yàn)方法、工具和歸檔等步驟，如圖7所示.數(shù)據(jù)預(yù)處理是數(shù)據(jù)清洗的初始化階段，數(shù)據(jù)通過預(yù)處理過濾缺失值、判斷格式和清除垃圾數(shù)據(jù).清洗方法根據(jù)業(yè)務(wù)需求、清洗標(biāo)準(zhǔn)和數(shù)據(jù)格式進(jìn)行設(shè)計(jì)，包括：

圖7 數(shù)據(jù)清洗流程

1) 帶缺失數(shù)據(jù)的處理方法.基于概率統(tǒng)計(jì)理論，通過相關(guān)數(shù)據(jù)的平均值、最大值、最小值或其他概率估計(jì)的方式分析缺失數(shù)據(jù)值.

2) 錯(cuò)誤值的檢測及解決方法.采用偏差分析、回歸性處理等方法識別數(shù)據(jù)錯(cuò)誤.

3) 重復(fù)記錄的檢測及消除方法.通過比較相同字段的屬性值是否相等，或在決策信息表中比較條件屬性值與決策屬性值判定是否冗余，從而進(jìn)行相應(yīng)的合并或者清除.

4) 數(shù)據(jù)不一致性的檢測及消除方法.與重復(fù)數(shù)據(jù)記錄清洗類似，在決策信息表中亦可通過條件屬性值相同的情況下是否會得出不同的決策屬性值，如果存在則此條數(shù)據(jù)存在錯(cuò)誤.

一般情況下，數(shù)據(jù)通過上述步驟處理之后就基本完成了數(shù)據(jù)清洗工作.但為了進(jìn)一步優(yōu)化清洗方案，還原數(shù)據(jù)，提高清洗效率，可利用模式識別法檢測冗余數(shù)據(jù)對數(shù)據(jù)進(jìn)行分析處理.模式識別法廣泛使用在數(shù)據(jù)挖掘和機(jī)器學(xué)習(xí)領(lǐng)域，其中基于距離的聚類方法經(jīng)常用于檢測冗余數(shù)據(jù).按照粗糙集理論，針對冗余數(shù)據(jù)的清洗方法可以通過屬性依賴度及其重要性進(jìn)行約簡[11].

1.3.2 網(wǎng)絡(luò)空間地理圖譜概念實(shí)例識別與分類

對于網(wǎng)絡(luò)空間地理圖譜可以采用有監(jiān)督的方法對本體概念實(shí)例進(jìn)行識別與分類，目前這類有監(jiān)督的方法已廣泛應(yīng)用于自然語言處理、信息處理、機(jī)器學(xué)習(xí)和人工智能等領(lǐng)域.為了提高地理圖譜中本體概念實(shí)例識別分類的準(zhǔn)確度，降低訓(xùn)練樣本的歧義性，需要利用本體中的概念對訓(xùn)練樣本進(jìn)行標(biāo)記，再根據(jù)上層業(yè)務(wù)需求對數(shù)據(jù)集進(jìn)行標(biāo)注，使用訓(xùn)練樣本訓(xùn)練出支持向量機(jī)分類模型，最后利用分類模型對新的樣本進(jìn)行分析處理，從中抽取出本體概念實(shí)例.

1.3.3 網(wǎng)絡(luò)空間地理圖譜實(shí)例屬性及關(guān)系自動抽取

網(wǎng)絡(luò)空間地理圖譜基于機(jī)器學(xué)習(xí)抽取關(guān)系，抽取過程可以分為學(xué)習(xí)過程和預(yù)測過程，機(jī)器學(xué)習(xí)使用的樣本包括訓(xùn)練樣本和測試樣本，學(xué)習(xí)過程使用訓(xùn)練樣本得出關(guān)系抽取模型，預(yù)測過程使用測試樣本利用關(guān)系抽取模型得出關(guān)系預(yù)測抽取結(jié)果[12].其流程如下：

1) 預(yù)處理.網(wǎng)絡(luò)空間地理圖譜面對的語料數(shù)據(jù)格式多種多樣，可能是掃描探測得到的網(wǎng)絡(luò)資產(chǎn)信息，也可能是業(yè)務(wù)部門掌握的登記備案數(shù)據(jù)，因此關(guān)系抽取過程需要先去除語料文本中存在的一些干擾信息標(biāo)簽，將語料文本清洗成純文本格式，以便后續(xù)直接抽取純文本文件中的文本特征.

2) 文本分析.文本分析是對網(wǎng)絡(luò)空間地理圖譜中的文本表示及其特征進(jìn)行抽取.通過對文本中多層次的資產(chǎn)特征進(jìn)行抽取，并對其量化，建立網(wǎng)絡(luò)空間地理圖譜的數(shù)學(xué)模型，從而將文本從一個(gè)原始的、無結(jié)構(gòu)的網(wǎng)絡(luò)空間地理信息數(shù)據(jù)轉(zhuǎn)化為一個(gè)支撐知識圖譜的結(jié)構(gòu)化數(shù)據(jù).

3) 關(guān)系表達(dá).關(guān)系表達(dá)是對網(wǎng)絡(luò)空間地理圖譜中的實(shí)體關(guān)系的語義表達(dá).關(guān)系表達(dá)通過篩選、融合網(wǎng)絡(luò)空間地理圖譜中各層次關(guān)系特征，實(shí)現(xiàn)對歸屬、訪問、攻擊、包含等關(guān)系的精準(zhǔn)和精煉表達(dá).網(wǎng)絡(luò)空間地理圖譜采用基于特征向量的關(guān)系表達(dá)和基于結(jié)構(gòu)特征的關(guān)系表達(dá)2種方式，能很好地滿足表達(dá)網(wǎng)絡(luò)空間中元素實(shí)體之間各種關(guān)系的需要.

4) 關(guān)系抽取模型.目前的關(guān)系抽取模型主要是基于關(guān)系表達(dá)的分類模型.網(wǎng)絡(luò)空間地理圖譜通過預(yù)先定義好的目標(biāo)關(guān)系類型，訓(xùn)練得到基于各種分類原理的分類器，并使用多種抽取算法相結(jié)合的方式進(jìn)行關(guān)系抽取.

1.3.4 事件及事件關(guān)系自動抽取

網(wǎng)絡(luò)空間地理圖譜為了支撐網(wǎng)絡(luò)安全相關(guān)業(yè)務(wù)應(yīng)用，需要從文本中抽取事件.首先需要識別事件描述語句，并采用啟發(fā)式算法過濾非事件描述語句，然后從事件描述語句中抽取事件的各個(gè)角色[13].事件識別的方法是：在標(biāo)注了事件描述和事件角色的訓(xùn)練樣本中統(tǒng)計(jì)詞語在事件描述語句中出現(xiàn)的頻率，根據(jù)統(tǒng)計(jì)得到的頻率進(jìn)行事件描述特征識別；對于待識別的語句，根據(jù)其中特征詞的出現(xiàn)情況確定該語句是否為非事件描述語句、是否需要將其過濾掉.事件識別的執(zhí)行過程如圖8所示：

圖8 事件識別的執(zhí)行過程

1.3.5 知識規(guī)則自動挖掘

知識規(guī)則自動挖掘可以采用CARMA這種適用于多源數(shù)據(jù)快速計(jì)算的算法，CARMA算法流程如圖9所示：

圖9 CARMA算法流程圖

1.3.6 時(shí)空知識自動抽取

對于網(wǎng)絡(luò)空間地理圖譜模型需要的時(shí)空知識可以采用以下時(shí)空數(shù)據(jù)信息抽取算法框架進(jìn)行自動化抽?。?/p>

算法1.時(shí)空信息抽取算法(spatiotemporal information extraction algorithm, SEA).

Step1. 輸入句子Stime_site{wt1,…,wtm}.

1) 若句子中包含1個(gè)時(shí)間和1個(gè)地點(diǎn)，則轉(zhuǎn)到Step2；

2) 若句子中包含多個(gè)時(shí)間和多個(gè)地點(diǎn)，則轉(zhuǎn)到Step4；

3) 若句子中只包含地點(diǎn)，則轉(zhuǎn)到Step5；

4) 若句子沒有時(shí)間和地點(diǎn)，則執(zhí)行Step1.

Step2. 執(zhí)行規(guī)則1，輸出時(shí)空對{wttime,wtsite}.若規(guī)則1條件不滿足，則轉(zhuǎn)到Step3.

Step3. 若句子中存在介詞短語，執(zhí)行規(guī)則4，輸出時(shí)空對{wttime,wtsite}，否則執(zhí)行規(guī)則2.

Step4. 執(zhí)行規(guī)則3，輸出時(shí)空對{wttime,wtsite}.

Step5. 執(zhí)行規(guī)則5，輸出時(shí)空對{wttime,wtsite}.

Step6. 若文本結(jié)束，算法終止；否則轉(zhuǎn)到Step1.

規(guī)則1. 如果當(dāng)前句子中包含地名和時(shí)間，此時(shí)地名與時(shí)間中間包含介詞，并且地名后包含動詞，則認(rèn)定時(shí)間地點(diǎn)匹配成功.

規(guī)則2. 首先判斷時(shí)間地點(diǎn)是否在同一個(gè)短句中，如果在則認(rèn)為時(shí)間地點(diǎn)匹配成功；如果不在則判斷時(shí)間地點(diǎn)是否在1個(gè)句子中，如果在同1個(gè)句子中則認(rèn)定時(shí)間地點(diǎn)匹配成功.

規(guī)則3. 如果多個(gè)時(shí)間多個(gè)地點(diǎn)同時(shí)出現(xiàn)在1個(gè)句子中，則統(tǒng)計(jì)時(shí)間和地點(diǎn)之間詞的數(shù)量，詞數(shù)量少的認(rèn)定時(shí)間地點(diǎn)匹配成功.

規(guī)則4. 如果時(shí)間和地點(diǎn)同時(shí)出現(xiàn)在1個(gè)介詞短語中，則認(rèn)定時(shí)間地點(diǎn)匹配成功.

規(guī)則5. 如果句子中只包含地點(diǎn)沒有時(shí)間信息，則將當(dāng)前時(shí)間減去2年得到的時(shí)間與句子中的地點(diǎn)匹配. 如果句子中只包含地點(diǎn)和模糊的時(shí)間信息(如春末夏初)，則利用時(shí)間字典表映射的時(shí)間與句子中的地點(diǎn)匹配.

2 城市網(wǎng)絡(luò)安全綜合管控體系應(yīng)用

2.1 城市網(wǎng)絡(luò)安全綜合管控現(xiàn)狀

近年來，國內(nèi)各地政府網(wǎng)站、重要信息系統(tǒng)等關(guān)鍵信息基礎(chǔ)設(shè)施因遭受攻擊而導(dǎo)致的經(jīng)濟(jì)損失日益增大，且呈現(xiàn)逐年增加的態(tài)勢.習(xí)近平總書記在2018年4月召開的全國網(wǎng)絡(luò)安全和信息化工作會議上，著重強(qiáng)調(diào)“要樹立正確的網(wǎng)絡(luò)安全觀，加強(qiáng)信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全防護(hù)，加強(qiáng)網(wǎng)絡(luò)安全信息統(tǒng)籌機(jī)制、手段、平臺建設(shè)，加強(qiáng)網(wǎng)絡(luò)安全事件應(yīng)急指揮能力建設(shè)，積極發(fā)展網(wǎng)絡(luò)安全產(chǎn)業(yè)，做到關(guān)口前移，防患于未然”[14].

目前，各地區(qū)已初步形成了對轄區(qū)網(wǎng)絡(luò)資產(chǎn)和威脅事件監(jiān)控預(yù)警體系，但在利用網(wǎng)絡(luò)空間認(rèn)知表達(dá)技術(shù)方面存在明顯的不足.發(fā)現(xiàn)的網(wǎng)絡(luò)安全事件只能提取孤立的可疑IP或域名線索，缺少線索背后攻擊者畫像，發(fā)動攻擊的精確地理位置，遭受攻擊的相關(guān)資產(chǎn)屬性、脆弱性等信息.無法對城市網(wǎng)絡(luò)安全進(jìn)行高效的安全防控、監(jiān)測預(yù)警、態(tài)勢感知、指揮調(diào)度等.因此，需要利用網(wǎng)絡(luò)空間地理圖譜，將地理、資產(chǎn)、事件情報(bào)進(jìn)行大數(shù)據(jù)融合、分析與可視化呈現(xiàn)，使事件發(fā)現(xiàn)更加精確、威脅定位更加準(zhǔn)確、威脅分析更加智能、威脅溯源更加自動，使城市網(wǎng)絡(luò)安全綜合管控實(shí)現(xiàn)智能化、自動化、可視化的“掛圖作戰(zhàn)”.

圖10 城市網(wǎng)絡(luò)安全綜合防管體系架構(gòu)

2.2 城市網(wǎng)絡(luò)安全綜合管控體系建設(shè)

城市網(wǎng)絡(luò)安全綜合管控體系建設(shè)以網(wǎng)絡(luò)空間資產(chǎn)測繪數(shù)據(jù)為基礎(chǔ)，基于IP資產(chǎn)測繪數(shù)據(jù)、域名資產(chǎn)測繪數(shù)據(jù)、IP注冊信息、域名注冊信息、系統(tǒng)備案信息以及其他監(jiān)管部門業(yè)務(wù)數(shù)據(jù)，提取TLS/SSL證書內(nèi)容、標(biāo)題內(nèi)容、網(wǎng)頁內(nèi)容、圖標(biāo)、主機(jī)名、責(zé)任單位、運(yùn)維單位等網(wǎng)絡(luò)空間地理圖譜構(gòu)建時(shí)可能使用的各類信息線索；分析重要行業(yè)的資產(chǎn)數(shù)據(jù)特征、重要行業(yè)下屬機(jī)構(gòu)的資產(chǎn)數(shù)據(jù)特征；進(jìn)而結(jié)合資產(chǎn)測繪數(shù)據(jù)和行業(yè)資產(chǎn)數(shù)據(jù)特征，關(guān)聯(lián)識別出重要行業(yè)的網(wǎng)絡(luò)資產(chǎn)，構(gòu)建所轄城市的網(wǎng)絡(luò)空間地理圖譜.同時(shí)，在城市網(wǎng)絡(luò)空間重要節(jié)點(diǎn)部署監(jiān)測探針，采集城市網(wǎng)絡(luò)空間中的掃描探測、欺騙釣魚、病毒木馬、DDoS等網(wǎng)絡(luò)攻擊行為，并將網(wǎng)絡(luò)攻擊行為數(shù)據(jù)與網(wǎng)絡(luò)空間地理圖譜進(jìn)行碰撞、分析、研判，實(shí)時(shí)監(jiān)測城市網(wǎng)絡(luò)空間安全態(tài)勢.最后，結(jié)合監(jiān)管職能部門的業(yè)務(wù)需求和重要行業(yè)部門的安全防護(hù)需求，將網(wǎng)絡(luò)空間地理圖譜的分析研判結(jié)果應(yīng)用到城市網(wǎng)絡(luò)安全的實(shí)時(shí)監(jiān)測、態(tài)勢感知、通報(bào)預(yù)警、指揮調(diào)度中.城市網(wǎng)絡(luò)安全綜合防管體系架構(gòu)如圖10所示.

城市網(wǎng)絡(luò)安全綜合防控體系中的網(wǎng)絡(luò)空間地理圖譜針對非結(jié)構(gòu)化數(shù)據(jù)、半結(jié)構(gòu)化數(shù)據(jù)和結(jié)構(gòu)化數(shù)據(jù)進(jìn)行實(shí)體關(guān)聯(lián)、語義分析、特征提取等自然語言處理，并將預(yù)處理后的數(shù)據(jù)與監(jiān)管職能部門的業(yè)務(wù)數(shù)據(jù)利用大數(shù)據(jù)技術(shù)進(jìn)行知識融合，形成中間數(shù)據(jù).這些中間數(shù)據(jù)經(jīng)過知識圖譜模型與規(guī)則的計(jì)算分析形成知識圖譜預(yù)測結(jié)果.最后根據(jù)監(jiān)管職能部門的監(jiān)管業(yè)務(wù)需求和重要行業(yè)部門的防護(hù)業(yè)務(wù)需求形成相應(yīng)的管控預(yù)警功能[15].城市網(wǎng)絡(luò)安全綜合管控技術(shù)框架如圖11所示:

圖11 城市網(wǎng)絡(luò)安全綜合管控技術(shù)框架

2.3 城市網(wǎng)絡(luò)安全綜合管控業(yè)務(wù)支撐

根據(jù)城市網(wǎng)絡(luò)安全綜合管控的業(yè)務(wù)需求，網(wǎng)絡(luò)空間地理圖譜可支撐實(shí)時(shí)監(jiān)測、態(tài)勢感知、通報(bào)預(yù)警、指揮調(diào)度等業(yè)務(wù).

2.3.1 網(wǎng)絡(luò)攻擊實(shí)時(shí)監(jiān)測

實(shí)時(shí)監(jiān)測將全市各類網(wǎng)絡(luò)資產(chǎn)、實(shí)時(shí)攻擊等數(shù)據(jù)動態(tài)持續(xù)接入網(wǎng)絡(luò)空間地理圖譜.在實(shí)時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)攻擊、異常流量的同時(shí)，利用網(wǎng)絡(luò)空間地理圖譜發(fā)現(xiàn)城市網(wǎng)絡(luò)中的關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)和分析隱藏在海量網(wǎng)絡(luò)流量中的網(wǎng)絡(luò)攻擊事件.

可利用網(wǎng)絡(luò)空間地理圖譜分析城市網(wǎng)絡(luò)空間中的網(wǎng)絡(luò)關(guān)鍵節(jié)點(diǎn)，從而實(shí)現(xiàn)對網(wǎng)絡(luò)關(guān)鍵節(jié)點(diǎn)的重點(diǎn)保護(hù).網(wǎng)絡(luò)關(guān)鍵節(jié)點(diǎn)發(fā)現(xiàn)方法主要為社會網(wǎng)絡(luò)分析法，依據(jù)網(wǎng)絡(luò)節(jié)點(diǎn)的拓?fù)湮恢?、連通性、帶寬、延遲、與關(guān)鍵信息基礎(chǔ)設(shè)施和重要系統(tǒng)的相關(guān)程度等屬性，統(tǒng)計(jì)和計(jì)算這些屬性的相對定量，從而分析出該網(wǎng)絡(luò)節(jié)點(diǎn)在城市網(wǎng)絡(luò)中的重要程度.網(wǎng)絡(luò)節(jié)點(diǎn)在城市網(wǎng)絡(luò)中的關(guān)鍵性指標(biāo)主要分為中心性和聲望2類.度量方法主要包括節(jié)點(diǎn)的度指標(biāo)、介數(shù)指標(biāo)、接近度指標(biāo)以及特征向量指標(biāo)等.其中，度指標(biāo)反映網(wǎng)絡(luò)節(jié)點(diǎn)直接相連的其他節(jié)點(diǎn)數(shù)目；介數(shù)指標(biāo)反映網(wǎng)絡(luò)中所有節(jié)點(diǎn)對之間通過該節(jié)點(diǎn)的最短路徑條數(shù)；接近度指標(biāo)反映該節(jié)點(diǎn)與相連網(wǎng)絡(luò)節(jié)點(diǎn)在網(wǎng)絡(luò)空間的距離；特征向量指標(biāo)以網(wǎng)絡(luò)節(jié)點(diǎn)的地位或聲望為切入點(diǎn)，將網(wǎng)絡(luò)節(jié)點(diǎn)的聲望看作是所有其他網(wǎng)絡(luò)節(jié)點(diǎn)的聲望的線性組合，通過計(jì)算線性方程組最大特征值所對應(yīng)的特征向量，從而得到節(jié)點(diǎn)的重要性指標(biāo).

可利用網(wǎng)絡(luò)空間地理圖譜分析隱藏在海量網(wǎng)絡(luò)流量中的網(wǎng)絡(luò)攻擊事件.在網(wǎng)絡(luò)攻擊過程中，攻擊者通常會通過執(zhí)行多個(gè)攻擊步驟達(dá)到其攻擊目的.因此，可利用網(wǎng)絡(luò)空間地理圖譜中網(wǎng)絡(luò)資產(chǎn)的互聯(lián)屬性、業(yè)務(wù)屬性、歸屬屬性等信息，使用基于網(wǎng)絡(luò)攻擊因果關(guān)系分析的技術(shù)手段對告警日志之間的關(guān)聯(lián)關(guān)系進(jìn)行挖掘.網(wǎng)絡(luò)攻擊因果關(guān)系是進(jìn)行告警事件關(guān)聯(lián)分析、攻擊場景識別的研判依據(jù).監(jiān)管工作中積累的因果關(guān)系可整理、抽象成為因果知識庫.在日常監(jiān)管中通過匹配因果知識庫中的知識與網(wǎng)絡(luò)流量特征即可判斷城市網(wǎng)絡(luò)中正在發(fā)生的網(wǎng)絡(luò)攻擊類型.通過分析網(wǎng)絡(luò)訪問請求之間的因果關(guān)系，實(shí)現(xiàn)對網(wǎng)絡(luò)安全事件的監(jiān)測與追蹤.

2.3.2 網(wǎng)絡(luò)安全態(tài)勢感知

態(tài)勢感知基于多維態(tài)勢可視化技術(shù)，對網(wǎng)絡(luò)空間地理圖譜中相關(guān)的網(wǎng)絡(luò)流量、告警事件、資產(chǎn)信息、安全信息等數(shù)據(jù)進(jìn)行匯聚融合，形成針對人、物、地、事、關(guān)系的多維度、可視化的感知業(yè)務(wù)圖層.將復(fù)雜、動態(tài)的網(wǎng)絡(luò)安全事件按照行為主體、客體和影響等進(jìn)行關(guān)聯(lián)，發(fā)現(xiàn)網(wǎng)絡(luò)空間隱藏的信息，智能分析網(wǎng)絡(luò)安全事件發(fā)生的驅(qū)動因素及內(nèi)部機(jī)理，實(shí)現(xiàn)對網(wǎng)絡(luò)攻擊未知鏈路的預(yù)測和對網(wǎng)絡(luò)安全事件的態(tài)勢推演.

網(wǎng)絡(luò)攻擊鏈路預(yù)測包含對未知鏈路的預(yù)測和對外來鏈接的預(yù)測2方面.通過已知的網(wǎng)絡(luò)節(jié)點(diǎn)以及網(wǎng)絡(luò)結(jié)構(gòu)等信息預(yù)測城市網(wǎng)絡(luò)中尚未相互訪問過的2個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)間產(chǎn)生連接的可能性.通過鏈路預(yù)測可以實(shí)現(xiàn)對城市中網(wǎng)絡(luò)攻擊的預(yù)警感知，鏈路預(yù)測包括無監(jiān)督算法和有監(jiān)督算法.通過對大量現(xiàn)實(shí)網(wǎng)絡(luò)進(jìn)行觀察，發(fā)現(xiàn)網(wǎng)絡(luò)中2個(gè)節(jié)點(diǎn)的相似性越大，它們之間存在鏈接的概率也就越大.利用網(wǎng)絡(luò)空間地理圖譜中的節(jié)點(diǎn)屬性、網(wǎng)絡(luò)結(jié)構(gòu)信息，結(jié)合似然分析算法綜合刻畫節(jié)點(diǎn)相似性，可以得到很好的預(yù)測效果，進(jìn)而預(yù)測網(wǎng)絡(luò)攻擊可以傳播的未知鏈路.

網(wǎng)絡(luò)安全態(tài)勢推演是在網(wǎng)絡(luò)空間地理圖譜的基礎(chǔ)上，結(jié)合城市網(wǎng)絡(luò)中發(fā)生的網(wǎng)絡(luò)安全事件和監(jiān)控到的網(wǎng)絡(luò)訪問行為，還原城市網(wǎng)絡(luò)安全場景，對網(wǎng)絡(luò)安全事件過程基于數(shù)學(xué)模型、真實(shí)環(huán)境、仿真場景等進(jìn)行模擬推演，觀察分析網(wǎng)絡(luò)安全事件的發(fā)展過程.同時(shí)，結(jié)合網(wǎng)絡(luò)安全事件和網(wǎng)絡(luò)空間地址知識等不同空間、不同維度下的多種要素相互碰撞進(jìn)行分析，采用多源數(shù)據(jù)融合、大數(shù)據(jù)、人工智能等技術(shù)手段，預(yù)測評估事件發(fā)生的可能性、影響范圍和危害程度，幫助監(jiān)管職能部門、重要行業(yè)部門了解潛在威脅.

2.3.3 安全風(fēng)險(xiǎn)通報(bào)預(yù)警

在實(shí)時(shí)監(jiān)測、態(tài)勢感知的基礎(chǔ)上，根據(jù)分析掌握的態(tài)勢、趨勢、攻擊、威脅、風(fēng)險(xiǎn)、隱患、問題等情況，結(jié)合網(wǎng)絡(luò)空間地理圖譜對網(wǎng)絡(luò)安全風(fēng)險(xiǎn)進(jìn)行匯總、分析和研判，將網(wǎng)絡(luò)安全風(fēng)險(xiǎn)預(yù)警落實(shí)到具體責(zé)任單位.根據(jù)網(wǎng)絡(luò)空間地理圖譜中單位的下級單位、技術(shù)支撐單位、第三方供應(yīng)鏈等相關(guān)單位評估通報(bào)預(yù)警范圍，落實(shí)通報(bào)處置過程中各單位的責(zé)任與任務(wù).查詢監(jiān)管職能部門在地理空間中的實(shí)時(shí)分布，形成網(wǎng)站的通報(bào)預(yù)警處置鏈條，對通報(bào)下發(fā)、接收、處置、反饋的全流程進(jìn)行管理，確保各單位及時(shí)接收信息、快速響應(yīng)溝通并采取措施，最大程度控制和降低事件所帶來的負(fù)面影響.

2.3.4 掛圖化指揮調(diào)度

在重大活動安保中，利用網(wǎng)絡(luò)空間地理圖譜，通過大屏地圖的方式全面展示各行業(yè)資產(chǎn)分布情況、案事件的詳細(xì)信息、安全防護(hù)單位以及關(guān)聯(lián)人員的分布情況.針對網(wǎng)絡(luò)安全案事件的特性，組合監(jiān)管資源、社會資源、保障資源等資源圖層，形成針對網(wǎng)絡(luò)安全事件場景的處置調(diào)度方案，同時(shí)根據(jù)需要繼續(xù)添加其他業(yè)務(wù)資源圖層，動態(tài)調(diào)整處置調(diào)度方案.在地圖上實(shí)時(shí)顯示具有實(shí)時(shí)位置信息的資源，對于被調(diào)度的資源的位置信息進(jìn)行追蹤顯示.

3 結(jié)束語

網(wǎng)絡(luò)空間逐漸成為和陸、海、空、太空并重的新型戰(zhàn)略空間，監(jiān)管部門對于城市安全的綜合管控必然向網(wǎng)絡(luò)空間拓展和延伸.與對地理空間和社會空間的管控一樣，對城市網(wǎng)絡(luò)空間的綜合管控也需要了解和掌控網(wǎng)絡(luò)空間中各類元素和主體的基本信息、各類元素和主體在時(shí)空上的發(fā)展變化，相關(guān)元素和主體之間的關(guān)聯(lián)關(guān)系.因此，構(gòu)建網(wǎng)絡(luò)空間地理圖譜是城市網(wǎng)絡(luò)安全綜合管控的基礎(chǔ).利用網(wǎng)絡(luò)空間地理圖譜，實(shí)現(xiàn)網(wǎng)絡(luò)空間、地理空間和社會空間的相互映射，將多維、虛擬、動態(tài)的網(wǎng)絡(luò)空間繪制成一幅實(shí)時(shí)、精確、可靠的網(wǎng)絡(luò)時(shí)空地圖.以實(shí)時(shí)監(jiān)測、態(tài)勢感知、通報(bào)預(yù)警、指揮調(diào)度等業(yè)務(wù)圖層定制各圖層內(nèi)容與功能，為監(jiān)管職能部門、重要行業(yè)部門提供有價(jià)值的綜合管控戰(zhàn)略戰(zhàn)術(shù)情報(bào)，是實(shí)現(xiàn)“掛圖作戰(zhàn)”式城市網(wǎng)絡(luò)綜合管控的必要手段.此外，如何更高效、更準(zhǔn)確地采集網(wǎng)絡(luò)空間資產(chǎn)及其變化，如何將人工智能更廣泛、更深層次地接入地理圖譜的構(gòu)建.如何將地理圖譜與城市網(wǎng)絡(luò)安全綜合管控業(yè)務(wù)更緊密、更有效地融合，將是科研領(lǐng)域和業(yè)務(wù)部門共同面臨的挑戰(zhàn).