网络安全态势感知关键实现技术研究

《网络安全态势感知关键实现技术研究》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、网络安全态势感知关键实现技术研究第33卷第10期2008年10月武汉大学学报·信息科学版GeomaticsandInformationScienceofWuhanUniversityV01．33No．100Ct．2008文章编号：1671—8860(2008)10—0995-04网络安全态势感知关键实现技术研究王慧强1赖积保1胡明明1梁颖1(1哈尔滨工程大学计算机科学与技术学院。哈尔滨市南岗区南通大街145号，150001)文献标志码：A摘要：建立了网络安全态势感知的分层实现模型，并针对每个层次提出了基于多分类器融合的安全态势提取方法、基于统计学习的分层态

2、势评估方法以及基于遗传神经网络态势的动态预测方法。经仿真实验验证，每个层次的实现方法都是可行有效的。关键词：网络安全；态势感知；要素提取；态势评估；态势预测中图法分类号：TP393．3网络安全态势感知是目前网络安全领域的一个研究热点，已经引起了相关科研机构和研究人员的足够重视[1]。当前主要是围绕网络安全态势的主动、实时评估和感知进行研究，采用的方法主要有多传感器数据融合方法[2]、分层分析法口]、流(flow)分析法[41等，而未见系统地对网络安全态势感知关键实现技术进行探讨。基于此，本文尝试建立一个网络安全态势感知分层实现模型，自底向上依次为网络安全态

3、势要素提取层、态势评估层和态势预测层，分别研究探讨各层的实现方法，最后在所构建的实验环境中验证了每个层次实现方法的可行性和有效性。1网络安全态势感知分层模型网络安全态势感知模型是开展该领域研究的前提和基础。在对典型态势感知模型JDL功能模型¨3和Endsely的态势感知认知模型[61分析的基础上，提出了网络安全态势感知分层实现模型，如图1所示。通过多传感器监控和采集网络流量、IDS报警信息等安全状态数据，从中提取出影响网络安全态势的安全要素；采用“先局部后整体”的评估策略，分别对服务、主机以及网络系统所受到的安全威胁进行评估，并生成相应的安全威胁等级；依据

4、已知T+1，T+2，⋯，T+t'／时刻的网络安全态势，预测T+(7"／+1)时刻的网络安全态势，使决策者能据此掌握更高层的网络安全态势，为制定合理准确的决策提供依据。2基于多分类器融合的态势要素提取由于网络安全态势易受攻击、病毒、漏洞以及人为等的影响，单纯使用一种方法或一类分类器很难在复杂的大规模网络环境中实现安全态势要素的提取，也很难保证检测效果。基于此，提出了一种基于多分类器融合的安全态势要素提取方法。如图2所示，该模型主要包含分类器和融合器两大部分，分别构建了遗传神经(BPneuralnetworkwithgeneticalgorithm，GA—BP

5、NN)分类器、支持向量机(supportvectormachine，SVM)分类器以及模糊聚类(fuzzycluster，FC)分类器[7．9]。而对于同一事件，不同分类器的分类结果可能不同，因此，采用DS证据理论进行进一步融合推理，首先计算各个证据的基本概率赋值函数m、信任函数Bel和似然函数Pal；然后用DS组合规则计算所有证据联合作用下的基本概率赋值函数、信任度函数和似然函数；最后根据一定的决策规则，选择联合作用下支持度最大的假设。3基于统计学习的分层态势评估结合实际环境，按照文献[3]对网络安全态势评估所涉及到的服务威胁指数R、主机威胁指数RH和网

6、络系统威胁指数R。给出相应的量化计算方法。3．1服务级攻击对服务的安全威胁与攻击频率和攻击威胁严重程度相关。给定分析时间窗口△t，定义t时刻服务S，的威胁指数为：式中，C(t)、C(t)分别为t时刻攻击威胁严重程度和发生次数向量。3．2主机级在时刻t主机H。的威胁指数为：式中，Rs(t)为t时刻主机巩的服务安全威胁向量；V为服务在主机开通的所有服务中所占权重向量，其元素取值根据主机提供服务的重要性来确定。3．3网络系统级在时刻t网络系统的威胁指数为：式中，RH(T)为t时刻网络系统内主机的安全威胁向量；W为主机在被评估局域网中所占重要性的权重向量，其元素取

7、值根据各主机在局域网中的地位来确定。4基于GA-BPNN的态势动态预测在评估过去和当前网络安全态势的基础上，建立态势预测的神经网络模型，并采用改进的遗传算法对其进行优化，用于实现网络安全态势的非线性时间序列预测，具体步骤如下。1)依据历史和当前态势数据，定义态势预测的神经网络模型y：和相应的误差函数E：式中，M、K、N分别表示输入层、隐含层、输出层的节点个数；Wmk表示输入层与隐含层之间的连接权值；Vkn表示隐含层与输出层之间的连接权值；θk和Уn。分别表示隐含层和输出层的阈值；f表示隐含层到输出层的Sigmoid函数，f=1/(1+exp(-x));yp

8、n和Tpn；分别代表第P个训练样本所对应的第n个实际输出和期望输出