網(wǎng)絡(luò)安全態(tài)勢(shì)感知若干關(guān)鍵性問(wèn)題研究.pdf

1、隨著信息技術(shù)的持續(xù)發(fā)展和網(wǎng)絡(luò)規(guī)模的日益擴(kuò)大，信息安全的重要性已經(jīng)得到了業(yè)內(nèi)人士的普遍認(rèn)同。為了保障網(wǎng)絡(luò)信息安全，開(kāi)展大規(guī)模的網(wǎng)絡(luò)安全態(tài)勢(shì)感知研究是十分必要的。相關(guān)研究對(duì)于提高我國(guó)網(wǎng)絡(luò)系統(tǒng)的應(yīng)急響應(yīng)能力、緩解網(wǎng)絡(luò)攻擊所造成的危害、發(fā)現(xiàn)潛在惡意的入侵行為、提高系統(tǒng)的反擊能力等具有十分重要的意義。網(wǎng)絡(luò)態(tài)勢(shì)感知技術(shù)作為一項(xiàng)新技術(shù)，具有很大的發(fā)展空間。 網(wǎng)絡(luò)安全態(tài)勢(shì)感知的研究，目前尚未有嚴(yán)格統(tǒng)一的標(biāo)準(zhǔn)。但是業(yè)內(nèi)人士在該領(lǐng)域的不懈研究，已對(duì)

2、態(tài)勢(shì)感知形成共識(shí)。網(wǎng)絡(luò)安全態(tài)勢(shì)感知包括三個(gè)階段的處理過(guò)程，即網(wǎng)絡(luò)安全態(tài)勢(shì)覺(jué)察(Perception)、網(wǎng)絡(luò)安全態(tài)勢(shì)理解(Comprehension)和網(wǎng)絡(luò)安全態(tài)勢(shì)預(yù)測(cè)(Prediction)，其通過(guò)定性或定量的網(wǎng)絡(luò)安全態(tài)勢(shì)評(píng)價(jià)體系對(duì)底層各類安全事件進(jìn)行歸并、關(guān)聯(lián)和融合處理，并將獲取的態(tài)勢(shì)感知結(jié)果以可視化圖形提供給網(wǎng)絡(luò)管理人員。管理人員根據(jù)視圖提供的信息判斷網(wǎng)絡(luò)當(dāng)前及未來(lái)可能的安全態(tài)勢(shì)發(fā)展趨勢(shì)，進(jìn)而做出有效應(yīng)對(duì)措施。因此，使用信息融合和風(fēng)

3、險(xiǎn)評(píng)估等技術(shù)，提高底層監(jiān)測(cè)設(shè)備對(duì)事件的檢測(cè)能力，并在此基礎(chǔ)上獲取準(zhǔn)確有效的定性或定量評(píng)價(jià)體系，成為網(wǎng)絡(luò)安全態(tài)勢(shì)感知領(lǐng)域的重要研究方向。 在網(wǎng)絡(luò)安全態(tài)勢(shì)覺(jué)察階段，網(wǎng)絡(luò)安全態(tài)勢(shì)感知使用的安全事件或性能指標(biāo)來(lái)自底層安全設(shè)備，因此其感知能力受到底層安全設(shè)備的準(zhǔn)確性和效率的直接影響。通過(guò)考察Dempster-Shafer證據(jù)合并理論及其不確定性分配原則，將該理論身份推理方法同多個(gè)傳感器檢測(cè)的結(jié)果進(jìn)行聯(lián)合，定義主觀不確定度和客觀不確定度的概

4、念，提出了傳感器空間合并方案及不確定度再分配原則，達(dá)到了消除單傳感器檢測(cè)盲區(qū)，提升檢測(cè)準(zhǔn)確度的目的。此外，為解決以往研究中較少討論如何在流量指標(biāo)選擇過(guò)程中利用特征提取方案有效地甄別異常的問(wèn)題，本文引入無(wú)指導(dǎo)學(xué)習(xí)(Unsupervised Learning)算法對(duì)特征選擇(Feature Selection)方案進(jìn)行了最優(yōu)評(píng)估，得出了流量統(tǒng)計(jì)特征能夠有效地區(qū)分流量狀態(tài)的結(jié)論，為檢測(cè)融合方案的實(shí)現(xiàn)提供了理論基礎(chǔ)。 當(dāng)前，網(wǎng)絡(luò)安全態(tài)勢(shì)

5、感知多集中在面向攻擊威脅的態(tài)勢(shì)理解研究。態(tài)勢(shì)理解方案一般采用風(fēng)險(xiǎn)指數(shù)(RiskIndex)作為評(píng)價(jià)指標(biāo)，通過(guò)將網(wǎng)絡(luò)進(jìn)行層次劃分，利用加權(quán)融合底層元素的風(fēng)險(xiǎn)值來(lái)實(shí)現(xiàn)對(duì)態(tài)勢(shì)感知結(jié)果的定量評(píng)價(jià)。本文的研究旨在獲得更具客觀性和通用性的評(píng)價(jià)結(jié)果，消除以往定量評(píng)價(jià)指標(biāo)體系中加權(quán)系數(shù)分配所帶有的隨機(jī)性和主觀性的不足。在深入分析網(wǎng)絡(luò)層次化結(jié)構(gòu)的基礎(chǔ)上，將層次分析法(Analytic Hierarchy Process)引入網(wǎng)絡(luò)安全態(tài)勢(shì)定量評(píng)價(jià)指標(biāo)體系中

6、，將服務(wù)層、主機(jī)層和網(wǎng)絡(luò)層與AHP中的方案層、指標(biāo)層和目標(biāo)層對(duì)應(yīng)起來(lái)。本文定義態(tài)勢(shì)元(Situation Meta)、態(tài)勢(shì)權(quán)(Situation Weight)和態(tài)勢(shì)基(Situation Base)概念來(lái)規(guī)范網(wǎng)絡(luò)安全態(tài)勢(shì)的定量評(píng)價(jià)指標(biāo)體系。并通過(guò)實(shí)例描述了如何構(gòu)建成對(duì)比較矩陣(判斷矩陣)，利用服務(wù)風(fēng)險(xiǎn)指數(shù)作為態(tài)勢(shì)基，最終獲得定量的網(wǎng)絡(luò)安全態(tài)勢(shì)感知結(jié)果的過(guò)程。仿真結(jié)果證明了方案的可行性。 不同的研究組織對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)感知過(guò)程的理

7、解不同，再加之缺少一個(gè)標(biāo)準(zhǔn)的態(tài)勢(shì)信息載體和態(tài)勢(shì)提取框架，使得網(wǎng)絡(luò)安全態(tài)勢(shì)理解能力無(wú)從評(píng)價(jià)，缺少規(guī)范性。Endsley態(tài)勢(shì)模型是傳統(tǒng)態(tài)勢(shì)感知領(lǐng)域內(nèi)的經(jīng)典模型，具有規(guī)范的數(shù)據(jù)處理和態(tài)勢(shì)提取過(guò)程，但該模型較少應(yīng)用于網(wǎng)絡(luò)安全態(tài)勢(shì)領(lǐng)域。同時(shí)針對(duì)以往研究多集中在安全態(tài)勢(shì)的定性或定量評(píng)價(jià)體系設(shè)計(jì)，較少涉及安全態(tài)勢(shì)建模的現(xiàn)狀，本文提出了基于Endsley模型的可擴(kuò)展網(wǎng)絡(luò)安全態(tài)勢(shì)模型及態(tài)勢(shì)提取框架。該方案將用戶所關(guān)心的攻擊頻次、攻擊時(shí)間以及空間等態(tài)勢(shì)信息

8、合并形成細(xì)粒度的多元結(jié)構(gòu)，同時(shí)引入重要的知識(shí)庫(kù)概念輔助態(tài)勢(shì)提取，使用戶可在態(tài)勢(shì)模型之上進(jìn)行基于時(shí)間、空間因素的二次分析，提取感興趣的態(tài)勢(shì)信息，進(jìn)而輔助用戶決策。該方案分別使用HoneyNet和交大校園網(wǎng)的數(shù)據(jù)進(jìn)行評(píng)估，能夠形成高效明確的態(tài)勢(shì)可視圖。在突出高危態(tài)勢(shì)變化的同時(shí)也注重低危態(tài)勢(shì)變化的細(xì)節(jié)，便于用戶的分析和管理，對(duì)規(guī)范態(tài)勢(shì)提取過(guò)程及安全態(tài)勢(shì)建模具有一定的參考價(jià)值。 完整的網(wǎng)絡(luò)安全態(tài)勢(shì)感知包括網(wǎng)絡(luò)安全態(tài)勢(shì)覺(jué)察、態(tài)勢(shì)理解和態(tài)勢(shì)

9、預(yù)測(cè)，但歷史研究多集中在前兩階段。由于網(wǎng)絡(luò)入侵或攻擊的強(qiáng)隨機(jī)性和不確定性，使得以此為基礎(chǔ)所獲取的安全態(tài)勢(shì)變化是一個(gè)復(fù)雜非線性過(guò)程，限制了傳統(tǒng)預(yù)測(cè)模型的使用。本文在對(duì)網(wǎng)絡(luò)攻擊導(dǎo)致的態(tài)勢(shì)變化過(guò)程分析中，得到了網(wǎng)絡(luò)安全態(tài)勢(shì)風(fēng)險(xiǎn)值的累加曲線具有“S”型曲線特征的論點(diǎn)，并對(duì)經(jīng)典的灰色Verhulst模型提出改進(jìn)方案。所提出的基于自適應(yīng)參數(shù)(AdaptiveParameters)及等維灰數(shù)遞補(bǔ)(Equal-DimensionsGreyFilling

10、)灰色Verhulst模型，利用一階累加數(shù)列的波動(dòng)情況進(jìn)行模型參數(shù)的動(dòng)態(tài)調(diào)整。該方案還通過(guò)引入等維灰數(shù)遞補(bǔ)方法，能夠在不增加常規(guī)模型計(jì)算復(fù)雜度的情況下，克服以往預(yù)測(cè)方案不能對(duì)曲線趨勢(shì)變化及時(shí)更新的不足。試驗(yàn)結(jié)果證明，相對(duì)于以往基于常規(guī)GM(1，1)及常規(guī)灰色Verhulst模型的預(yù)測(cè)方法，本方案有效地改善了預(yù)測(cè)精度，并且具有可推廣的價(jià)值。 最后本文在總結(jié)全文的基礎(chǔ)上討論了未來(lái)安全態(tài)勢(shì)感知研究需要面對(duì)的問(wèn)題，并提出了時(shí)間序列(Ti