CN107294795A - 一种网络安全态势预测方法及设备 - Google Patents

Abstract

本申请的目的是提供一种网络安全态势预测方法及设备，本申请通过基于预设时间间隔获取网络系统中的目标网络检测信息序列；对目标网络检测信息序列进行模型训练，确定网络系统中的网络安全态势的预测模型；基于预测模型对网络系统进行网络安全态势预测，得到预测值，实现对目标网络检测信息序列进行模型训练，得到网络系统的网络安全态势的预测模型，并根据预测模型对网络系统进行网络安全态势的预测，使得得到的预测值能够准确反映网络系统在未来某个时间点或者时间段对应的网络安全态势，进而实现对网络系统的网络安全态势的智能分析和预测，从而大大提高了对网络系统进行网络安全管理的效率和效能。

Description

一种网络安全态势预测方法及设备

技术领域

本申请涉及计算机领域，尤其涉及一种网络安全态势预测方法及设备。

背景技术

网络系统安全合规自动化检测包括对网络总体安全、交换路由、安全设备、应用系统、操作系统、数据库安全、物理安全、管理安全等做自动化安全合规性检查，能够提升网络系统安全合规性检测的速率与准确性，提高网络系统安全水平，缩减人工消耗与成本，极大地提升工作效率，优化安全资源配置，实现网络信息安全水平全面提升。但是它对网络系统进行安全合规自动化检测只是反映的是当前状态下的网络安全合规性的状态，却无法结合目前网络系统中的网络安全合规性检测对未来某个时间段做一定程度的预测。

发明内容

本申请的一个目的是提供一种网络安全态势预测方法及设备，解决现有技术中的无法结合网络系统中的网络安全合规性检测，对网络系统进行网络安全态势的预测的问题。

根据本申请的一个方面，提供了一种网络安全态势预测方法，其中，该方法包括：

基于预设时间间隔获取网络系统中的目标网络检测信息序列；

基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型；

基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值。

进一步地，上述方法中，所述基于预设时间间隔获取网络系统中的目标网络检测信息序列，包括：

预置所述网络系统对应的至少一个评估对象；

基于所述预设时间间隔分别获取所述网络系统对应的每个所述评估对象对应的网络检测信息序列；

对每个所述评估对象对应的网络检测信息序列进行校验，得到所述网络系统中的目标网络检测信息序列。

进一步地，上述方法中，所述对每个所述评估对象对应的网络检测信息序列进行校验，得到所述网络系统中的目标网络检测信息序列，包括：

将每个所述评估对象对应的网络检测信息序列中的非白噪声序列进行过滤处理，并分别判断过滤处理之后的每个所述评估对象对应的网络检测信息序列是否为平稳的白噪声序列，

若是，则将过滤处理之后的所述评估对象对应的网络检测信息序列确定为所述目标网络检测信息序列；

若否，则采用差分法对过滤处理之后的所述评估对象对应的网络检测信息序列进行平稳化处理，并将平稳化处理之后的网络检测信息序列确定为所述目标网络检测信息序列。

进一步地，上述方法中，所述基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型，包括：

采用自相关函数和偏自相关函数对所述目标网络检测信息序列进行拖尾、截尾特征提取，确定所述目标网络检测信息序列对应的拖尾特征和截尾特征；

基于所述拖尾特征和截尾特征，确定所述网络系统中的网络安全态势的预测模型，并基于所述目标网络检测信息序列和最小二乘法计算所述预测模型中的模型参数，得到所述预测模型的模型参数。

进一步地，上述方法中，所述基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型之后，还包括：

对所述网络系统中的网络安全态势的预测模型进行校验。

进一步地，上述方法中，所述对所述网络系统中的网络安全态势的预测模型进行校验包括以下至少任一项：

对所述拖尾特征、截尾特征及模型参数进行显著性校验；和/或，

对每个所述评估对象对应的网络检测信息序列中的、被过滤处理的非白噪声序列进行白噪声校验；和/或，

基于所述目标网络检测信息序列对所述预测模型进行拟合优度校验；和/或，

基于所述目标网络检测信息序列及其对应的所述预测值，对所述预测模型进行最优化校验。

进一步地，上述方法中，所述基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值，包括：

基于预设时间点和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设时间点对应的网络安全态势的预测值；或，

基于预设的预测时间段和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设的预测时间段内的网络安全态势的预测值。

根据本申请的另一方面，还提供了一种网络安全态势预测设备，其中，所述设备包括：

获取装置，用于基于预设时间间隔获取网络系统中的目标网络检测信息序列；

确定装置，用于基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型；

预测装置，用于基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值。

进一步地，上述设备中，所述获取装置用于：

预置所述网络系统对应的至少一个评估对象；

基于所述预设时间间隔分别获取所述网络系统对应的每个所述评估对象对应的网络检测信息序列；

对每个所述评估对象对应的网络检测信息序列进行校验，得到所述网络系统中的目标网络检测信息序列。

进一步地，上述设备中，所述获取装置用于：

将每个所述评估对象对应的网络检测信息序列中的非白噪声序列进行过滤处理，并分别判断过滤处理之后的每个所述评估对象对应的网络检测信息序列是否为平稳的白噪声序列，

若是，则将过滤处理之后的所述评估对象对应的网络检测信息序列确定为所述目标网络检测信息序列；

若否，则采用差分法对过滤处理之后的所述评估对象对应的网络检测信息序列进行平稳化处理，并将平稳化处理之后的网络检测信息序列确定为所述目标网络检测信息序列。

进一步地，上述设备中，所述确定装置用于：

采用自相关函数和偏自相关函数对所述目标网络检测信息序列进行拖尾、截尾特征提取，确定所述目标网络检测信息序列对应的拖尾特征和截尾特征；

基于所述拖尾特征和截尾特征，确定所述网络系统中的网络安全态势的预测模型，并基于所述目标网络检测信息序列和最小二乘法计算所述预测模型中的模型参数，得到所述预测模型的模型参数。

进一步地，上述设备中，所述确定装置还用于：

对所述网络系统中的网络安全态势的预测模型进行校验。

进一步地，上述设备中，所述确定装置还用于以下至少任一项：

对所述拖尾特征、截尾特征及模型参数进行显著性校验；和/或，

对每个所述评估对象对应的网络检测信息序列中的、被过滤处理的非白噪声序列进行白噪声校验；和/或，

基于所述目标网络检测信息序列对所述预测模型进行拟合优度校验；和/或，

基于所述目标网络检测信息序列及其对应的所述预测值，对所述预测模型进行最优化校验。

进一步地，上述设备中，所述预测装置用于：

基于预设时间点和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设时间点对应的网络安全态势的预测值；或，

基于预设的预测时间段和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设的预测时间段内的网络安全态势的预测值。

根据本申请的另一方面，还提供了一种基于计算的设备，包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

基于预设时间间隔获取网络系统中的目标网络检测信息序列；

基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型；

基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值。

根据本申请的另一方面，还提供了一种存储可执行指令的非暂态计算机可读存储介质，在所述可执行指令由电子设备执行时，使得所述电子设备：

基于预设时间间隔获取网络系统中的目标网络检测信息序列；

基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型；

基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值。

与现有技术相比，本申请通过基于预设时间间隔获取网络系统中的目标网络检测信息序列；对所述目标网络检测信息序列进行模型训练，确定所述网络系统中的网络安全态势的预测模型；基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值，实现以网络系统中的获取的目标网络检测信息序列为数据来源，对所述目标网络检测信息序列进行模型训练，得到网络系统的网络安全态势的预测模型，并根据预测模型对网络系统进行网络安全态势的预测，使得得到的预测值能够准确反映网络系统在未来某个时间点或者时间段对应的网络安全态势，进而实现对网络系统的网络安全态势的智能分析和预测，从而大大提高了对网络系统进行网络安全管理的效率和效能。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1示出根据本申请的一个方面的一种网络安全态势预测方法的流程示意图；

图2示出根据本申请的一个方面的一种网络安全态势预测设备的结构示意图。

附图中相同或相似的附图标记代表相同或相似的部件。

具体实施方式

下面结合附图对本申请作进一步详细描述。

在本申请一个典型的配置中，终端、服务网络的设备和可信方均包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括非暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

图1示出根据本申请的一个方面的一种网络安全态势预测方法的流程示意图，应用于网络系统的网络安全态势预测的过程中，该方法包括步骤S11、步骤S12和步骤S13，其中，具体包括：

所述步骤S11基于预设时间间隔获取网络系统中的目标网络检测信息序列；在此，所述目标网络检测信息序列既可以是对网络系统进行网络安全态势检测的历史数据，也可以是对网络系统进行网络安全态势检测的实时数据。所述步骤S12基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型，即对所述目标网络检测信息序列进行模型训练，以得到能够准确反映所述网络系统在各个时间点和/或时间段内的网络安全态势的值的预测模型；所述步骤S13基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值，实现以网络系统中的获取的目标网络检测信息序列为数据来源，对所述目标网络检测信息序列进行模型训练，得到网络系统的网络安全态势的预测模型，并根据预测模型对网络系统进行网络安全态势的预测，使得得到的预测值能够准确反映网络系统在未来某个时间点或者时间段对应的网络安全态势，进而实现对网络系统的网络安全态势的智能分析和预测，从而大大提高了对网络系统进行网络安全管理的效率和效能。

在此，所述网络系统中可以包括但不限于包括交换路由设备、安全设备、操作系统及数据库等。那么，在所述步骤S11获取的网络系统中的目标网络检测信息序列，可以包括对交换路由设备、安全设备、操作系统及数据库检等进行网络安全态势检测时，按照预设时间间隔获取到的带有时间序列的信息序列。

本申请一实施例中，所述步骤S11基于预设时间间隔获取网络系统中的目标网络检测信息序列，包括：

预置所述网络系统对应的至少一个评估对象；

基于所述预设时间间隔分别获取所述网络系统对应的每个所述评估对象对应的网络检测信息序列；

对每个所述评估对象对应的网络检测信息序列进行校验，得到所述网络系统中的目标网络检测信息序列。

例如，在所述步骤S11中，为了对所述网络系统进行全面精确地网络安全态势的模型训练，需要预置网络系统对应的至少一个评估对象，该评估对象可以包括但不限于包括攻击频率，时间重要程度，攻击源个数，攻击类型的优先级，内网是否存在攻击，主机重要程度，带宽的占用率，目的端口数等。在本申请一优选实施例中，所述至少一个评估对象包括如下8个，分别为：攻击频率U1，时间重要程度U2，攻击源个数U3，攻击类型的优先级U4，内网是否存在攻击U5，主机重要程度U6，带宽的占用率U7，目的端口数U8。接着所述步骤S11按照预设时间间隔(例如30分钟，即每隔30分钟获取一次每个评估对象对应的网络检测数据)从优选的8个评估对象的维度，从所述网络系统中的交换路由设备、安全设备、操作系统及数据库等设备中获取每个评估对象对应的网络检测数据，进而可以根据多次获取的每个评估对象对应的网络检测数据得到带有时间序列的每个评估对象对应的网络检测信息序列，实现对用于网络系统的网络安全态势的预测模型进行模型训练的数据的获取。为了保证获取到的网络系统中的每个评估对象对应的网络检测信息序列的有效性和可进行模型训练的可用性，所述步骤S13需要对每个所述评估对象对应的网络检测信息序列进行校验，以保证得到的所述网络系统中的目标网络检测信息序列能够进行后续的模型训练，以便得到更准确地网络系统的网络安全态势的预测模型。

本申请一实施例中，所述步骤S11中的对每个所述评估对象对应的网络检测信息序列进行校验，得到所述网络系统中的目标网络检测信息序列，包括：

将每个所述评估对象对应的网络检测信息序列中的非白噪声序列进行过滤处理，并分别判断过滤处理之后的每个所述评估对象对应的网络检测信息序列是否为平稳的白噪声序列，

若是，则将过滤处理之后的所述评估对象对应的网络检测信息序列确定为所述目标网络检测信息序列；

若否，则采用差分法对过滤处理之后的所述评估对象对应的网络检测信息序列进行平稳化处理，并将平稳化处理之后的网络检测信息序列确定为所述目标网络检测信息序列。

例如，由于非白噪声序列是指采集的数据是不相关的随机变量的序列构成的，故非白噪声序列是随机变动，且无法预测和进行模型训练的使用的，也就没有进行分析的价值，故所述步骤S11在获取网络系统中的网络检测心虚序列之后，且在对网络检测信息序列进行模型训练之前，还需要对网络系统中获取的每个评估对象对应的网络检测信息序列进行白噪声校验，将每个评估对象对应的网络检测信息序列中的非白噪声序列进行过滤处理，得到过滤处理之后的每个所述评估对象对应的网络检测信息序列；接着所述步骤S11分别判断过滤处理之后的每个所述评估对象对应的网络检测信息序列是否为平稳的白噪声序列，若是的话，则确定该过滤处理之后的所述评估对象对应的网络检测信息序列是平稳的白噪声序列，则将确定为该平稳的白噪声序列对应的网络检测信息序列确定为用于模型训练的目标网络检测信息序列；若否的话，则表明该过滤处理之后的所述评估对象对应的网络检测信息序列不满足稳定性，需要采用差分法对该过滤处理之后的所述评估对象对应的网络检测信息序列进行平稳化处理，使得平稳化处理之后的网络检测信息序列为平稳的白噪声序列，进而将确定为平稳的白噪声序列的该网络信息序列确定为用于模型训练的目标网络检测信息序列，实现对用于训练得到网络系统中的安全网络态势的预测模型的数据：目标网络检测信息序列的白噪声校验，以便后续基于该目标网络检测信息序列进行模型训练，得到对应的预测模型。

本申请一实施例中，所述步骤S12基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型，包括：

采用自相关函数和偏自相关函数对所述目标网络检测信息序列进行拖尾、截尾特征提取，确定所述目标网络检测信息序列对应的拖尾特征和截尾特征；

基于所述拖尾特征和截尾特征，确定所述网络系统中的网络安全态势的预测模型，并基于所述目标网络检测信息序列和最小二乘法计算所述预测模型中的模型参数，得到所述预测模型的模型参数。

需要说明的是，本申请的所述预测模型既可以是AR模型(Auto Regressivemodel，自回归模型)，也可以是MA模型(Moving Average model，滑动平均模型)，还可以是ARMA模型(Auto Regressive Moving Average model，自回归滑动平均模型)。其中，自回归模型AR(p)中，若时间序列{y_t}满足：y_t＝φ₁y_t-1+φ₂y_t-2+φ₃y_t-3…+φ_py_t-p+ε_t，其中，φ为自回归系数，{ε_t}是独立同分布的随机变量序列，且满足则称时间序列{y_t}服从p阶自回归模型；滑动平均模型MA(q)中，若时间序列{y_t}满足：y_t＝ε_t-θ₁ε_t-1-…-θ_qε_t-q，其中，θ为滑动平均系数，则称时间序列{y_t}服从q阶滑动平均模型；自回归滑动平均模型ARMA(p，q)中，若时间序列{y_t}满足：

y_t＝y_t＝φ₁y_t-1+φ₂y_t-2+φ₃y_t-3…+φ_py_t-p+ε_t-θ₁ε_t-1-…-θ_qε_t-q，则称时间序列{y_t}服从(p，q)阶自回归滑动平均模型，若q＝0，ARMA模型为AR模型，若p＝0，则ARMA模型为MA模型。

例如，先将网络系统中获取的交换路由设备、安全设备、操作系统及数据库等在运行期间产生的目标网络检测信息序列绘制成趋势图，并采用自相关函数和偏自相关函数对所述目标网络检测信息序列绘制成的趋势图进行拖尾特征和截尾特征提取，得到所述目标网络检测信息序列对应的拖尾特征和截尾特征，即分别得到所述目标网络检测信息序列对应的自相关函数的截尾特征和拖尾特征及截尾特征的截尾阶数(q阶)、偏自相关函数的截尾特征和截尾特征及截尾特征的截尾阶数(p阶)。其中，所述拖尾特征包括自相关拖尾系数和偏自相关拖尾系数，所述截尾特征包括自相关截尾系数和偏自相关截尾系数；其中自相关函数中的自相关系数拖着长长的尾巴，即拖尾特征(自相关拖尾系数)，自相关拖尾系数是慢慢减少的，而偏自相关函数中的偏自相关系数是突然收敛至临界值水平范围内的，即截尾特征(偏自相关截尾系数)，偏自相关截尾系数是突然变的很小的。

接着，所述步骤S12将通过自相关函数和偏自相关函数对目标网络检测信息序列进行计算得到的(p，q)阶，基于下表-1中的模型识别原则表来确定所述网络系统中的网络安全态势的预测模型，其中，模型识别原则表-1如下所示：

表-1模型识别原则表

模型	自相关函数	偏自相关函数
			AR(p)	拖尾	p阶截尾
MA(q)	q阶截尾	拖尾
			ARMA(p，q)	拖尾	拖尾

接着，所述步骤S12在确定了自相关函数和偏自相关函数分别对应的拖尾特征和截尾特征的阶数之后，需要基于从交换路由设备、安全设备、操作系统和数据库等设备获取的相应时间序列上的目标网络检测信息序列，同时采用最小二乘法对预测模型中的(p，q)的模型参数：自回归系数(φ)和滑动平均系数(θ)进行参数估计，得到精准度更高的预测模型的模型参数(即自回归系数(φ)和滑动平均系数(θ))，使得得到的预测模型的精准度更好。其中，所述最小二乘法能够使实际值和预测得到的估计值之差的平方和达到最小，可实现将ARMA模型中的非线性函数转换成线性函数。

本申请一实施例中，为了保证基于目标网络检测信息序列确定的网络系统中的网络安全态势的预测模型的精确度，所述步骤S12基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型之后，还包括：对所述网络系统中的网络安全态势的预测模型进行校验。其中，具体的校验过程可以包括以下至少任一项：

对所述拖尾特征、截尾特征及模型参数进行显著性校验；例如，判断所述步骤S12中计算得到的拖尾特征、截尾特征(p，q)及模型参数(自回归系数(φ)和滑动平均系数(θ))是否显著不等于零，若是，则保证得到的预测模型更加精准。和/或，

对每个所述评估对象对应的网络检测信息序列中的、被过滤处理的非白噪声序列进行白噪声校验；例如，在对每个评估对象对应的网络检测信息序列进行模型训练之前，对每个评估对象对应的网络检测信息序列进行白噪声校验，将非白噪声序列的所述网络检测信息序列过滤掉，为了防止白噪声校验时将属于白噪声序列的网络检测信息序列当作非白噪声序列过滤掉，则此处对对每个所述评估对象对应的网络检测信息序列中的、被过滤处理的非白噪声序列再一次进行白噪声校验，避免本属于白噪声的网络检测信息序列被过滤掉，确保用于确定网络系统中的网络安全态势的预测模型的目标网络检测信息序列的准确度。和/或，

基于所述目标网络检测信息序列对所述预测模型进行拟合优度校验；例如，得到的预测模型对应的自回归线或者滑动平均线与实际观测得到目标网络检测信息序列之间的拟合可决系数越接近于1的话，则说明预测模型对应的自回归线或者滑动平均线对实际观测得到目标网络检测信息序列之间的拟合程度越好，进而表明得到的预测模型更加精准，更能够反映出网络系统的网络安全态势的实际的态势情况。和/或，

基于所述目标网络检测信息序列及其对应的所述预测值，对所述预测模型进行最优化校验。例如，将在网络系统中获取的实际的目标网络检测信息序列与其对应的基于预测模型得到的预测值进行比较，来实现对所述预测模型的最优化校验，若反复进行最优化校验之后，得到与所述目标网络检测信息序列及其对应的预测值仍通过该预测模型能够准确的反映出来，则确定该预测模型更能准确反映该网络系统中的网络安全态势的情况，从而使得得到的预测模型为网络系统中的网络安全态势的最优的预测模型。

本申请一实施例中，所述步骤S13基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值，包括：

基于预设时间点和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设时间点对应的网络安全态势的预测值；或，

基于预设的预测时间段和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设的预测时间段内的网络安全态势的预测值。

例如，根据用户对网络系统中的网络安全态势的预测需求，若需要预测网络系统未来某个预设时间点的网络安全态势，则所述步骤S13基于该预设时间点(tp)和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设时间点(tp)对应的网络安全态势的预测值；若需要预测网络系统未来某个预设时间点的网络安全态势，则所述步骤S13基于该预设的预测时间段(tb)和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设的预测时间段(tb)对应的网络安全态势的预测值，实现基于所述预测模型对所述网络系统中的未来某个预设时间点或者某个预设的预测时间段内的网络安全态势进行预测，进而实现对网络安全态势进行智能分析与预测，从而大大提高网络安全管理的效率和效能。

又例如，表-2为本申请实施例提供的一种网络安全态势预测方法中的实际检测的实际值和预测值的对比表，如下表-2所示：

表-2网络系统中的网络安全态势的实际值与预测值的对比

通过标-2可以看出，通过预测模型得到的预测值与在网络系统中实际检测得到的网络安全态势的实际值相差不大，即绝对误差小，从而可以看出通过目标网络检测信息序列确定的预测模型能够准确地反映出网络系统中的网络安全态势的情况，实现对网络系统在未来某个预设时间点或某个预设的预测时间段的网络安全态势的预测。

图2示出根据本申请的一个方面的一种网络安全态势预测设备的结构示意图，应用于网络系统的网络安全态势预测的过程中，该设备包括获取装置11、确定装置12和预测装置13，其中，具体包括：

所述获取装置11用于基于预设时间间隔获取网络系统中的目标网络检测信息序列；在此，所述目标网络检测信息序列既可以是对网络系统进行网络安全态势检测的历史数据，也可以是对网络系统进行网络安全态势检测的实时数据。所述确定装置12用于基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型，即对所述目标网络检测信息序列进行模型训练，以得到能够准确反映所述网络系统在各个时间点和/或时间段内的网络安全态势的值的预测模型；所述预测装置13用于基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值，实现以网络系统中的获取的目标网络检测信息序列为数据来源，对所述目标网络检测信息序列进行模型训练，得到网络系统的网络安全态势的预测模型，并根据预测模型对网络系统进行网络安全态势的预测，使得得到的预测值能够准确反映网络系统在未来某个时间点或者时间段对应的网络安全态势，进而实现对网络系统的网络安全态势的智能分析和预测，从而大大提高了对网络系统进行网络安全管理的效率和效能。

在此，所述网络系统中可以包括但不限于包括交换路由设备、安全设备、操作系统及数据库等。那么，在所述获取装置11获取的网络系统中的目标网络检测信息序列，可以包括对交换路由设备、安全设备、操作系统及数据库检等进行网络安全态势检测时，按照预设时间间隔获取到的带有时间序列的信息序列。

本申请一实施例中，所述获取装置11用于：

预置所述网络系统对应的至少一个评估对象；

基于所述预设时间间隔分别获取所述网络系统对应的每个所述评估对象对应的网络检测信息序列；

对每个所述评估对象对应的网络检测信息序列进行校验，得到所述网络系统中的目标网络检测信息序列。

例如，在所述获取装置11中，为了对所述网络系统进行全面精确地网络安全态势的模型训练，需要预置网络系统对应的至少一个评估对象，该评估对象可以包括但不限于包括攻击频率，时间重要程度，攻击源个数，攻击类型的优先级，内网是否存在攻击，主机重要程度，带宽的占用率，目的端口数等。在本申请一优选实施例中，所述至少一个评估对象包括如下8个，分别为：攻击频率U1，时间重要程度U2，攻击源个数U3，攻击类型的优先级U4，内网是否存在攻击U5，主机重要程度U6，带宽的占用率U7，目的端口数U8。接着所述获取装置11按照预设时间间隔(例如30分钟，即每隔30分钟获取一次每个评估对象对应的网络检测数据)从优选的8个评估对象的维度，从所述网络系统中的交换路由设备、安全设备、操作系统及数据库等设备中获取每个评估对象对应的网络检测数据，进而可以根据多次获取的每个评估对象对应的网络检测数据得到带有时间序列的每个评估对象对应的网络检测信息序列，实现对用于网络系统的网络安全态势的预测模型进行模型训练的数据的获取。为了保证获取到的网络系统中的每个评估对象对应的网络检测信息序列的有效性和可进行模型训练的可用性，所述预测装置13需要对每个所述评估对象对应的网络检测信息序列进行校验，以保证得到的所述网络系统中的目标网络检测信息序列能够进行后续的模型训练，以便得到更准确地网络系统的网络安全态势的预测模型。

本申请一实施例中，所述获取装置11用于：

将每个所述评估对象对应的网络检测信息序列中的非白噪声序列进行过滤处理，并分别判断过滤处理之后的每个所述评估对象对应的网络检测信息序列是否为平稳的白噪声序列，

若是，则将过滤处理之后的所述评估对象对应的网络检测信息序列确定为所述目标网络检测信息序列；

若否，则采用差分法对过滤处理之后的所述评估对象对应的网络检测信息序列进行平稳化处理，并将平稳化处理之后的网络检测信息序列确定为所述目标网络检测信息序列。

例如，由于非白噪声序列是指采集的数据是不相关的随机变量的序列构成的，故非白噪声序列是随机变动，且无法预测和进行模型训练的使用的，也就没有进行分析的价值，故所述获取装置11在获取网络系统中的网络检测心虚序列之后，且在对网络检测信息序列进行模型训练之前，还需要对网络系统中获取的每个评估对象对应的网络检测信息序列进行白噪声校验，将每个评估对象对应的网络检测信息序列中的非白噪声序列进行过滤处理，得到过滤处理之后的每个所述评估对象对应的网络检测信息序列；接着所述获取装置11分别判断过滤处理之后的每个所述评估对象对应的网络检测信息序列是否为平稳的白噪声序列，若是的话，则确定该过滤处理之后的所述评估对象对应的网络检测信息序列是平稳的白噪声序列，则将确定为该平稳的白噪声序列对应的网络检测信息序列确定为用于模型训练的目标网络检测信息序列；若否的话，则表明该过滤处理之后的所述评估对象对应的网络检测信息序列不满足稳定性，需要采用差分法对该过滤处理之后的所述评估对象对应的网络检测信息序列进行平稳化处理，使得平稳化处理之后的网络检测信息序列为平稳的白噪声序列，进而将确定为平稳的白噪声序列的该网络信息序列确定为用于模型训练的目标网络检测信息序列，实现对用于训练得到网络系统中的安全网络态势的预测模型的数据：目标网络检测信息序列的白噪声校验，以便后续基于该目标网络检测信息序列进行模型训练，得到对应的预测模型。

本申请一实施例中，所述确定装置12用于：

采用自相关函数和偏自相关函数对所述目标网络检测信息序列进行拖尾、截尾特征提取，确定所述目标网络检测信息序列对应的拖尾特征和截尾特征；

基于所述拖尾特征和截尾特征，确定所述网络系统中的网络安全态势的预测模型，并基于所述目标网络检测信息序列和最小二乘法计算所述预测模型中的模型参数，得到所述预测模型的模型参数。

需要说明的是，本申请的所述预测模型既可以是AR模型(Auto Regressivemodel，自回归模型)，也可以是MA模型(Moving Average model，滑动平均模型)，还可以是ARMA模型(Auto Regressive Moving Average model，自回归滑动平均模型)。其中，自回归模型AR(p)中，若时间序列{y_t}满足：y_t＝φ₁y_t-1+φ₂y_t-2+φ₃y_t-3…+φ_py_t-p+ε_t，其中，φ为自回归系数，{ε_t}是独立同分布的随机变量序列，且满足则称时间序列{y_t}服从p阶自回归模型；滑动平均模型MA(q)中，若时间序列{y_t}满足：y_t＝ε_t-θ₁ε_t-1-…-θ_qε_t-q，其中，θ为滑动平均系数，则称时间序列{y_t}服从q阶滑动平均模型；自回归滑动平均模型ARMA(p，q)中，若时间序列{y_t}满足：

y_t＝y_t＝φ₁y_t-1+φ₂y_t-2+φ₃y_t-3…+φ_py_t-p+ε_t-θ₁ε_t-1-…-θ_qε_t-q，则称时间序列{y_t}服从(p，q)阶自回归滑动平均模型，若q＝0，ARMA模型为AR模型，若p＝0，则ARMA模型为MA模型。

例如，先将网络系统中获取的交换路由设备、安全设备、操作系统及数据库等在运行期间产生的目标网络检测信息序列绘制成趋势图，并采用自相关函数和偏自相关函数对所述目标网络检测信息序列绘制成的趋势图进行拖尾特征和截尾特征提取，得到所述目标网络检测信息序列对应的拖尾特征和截尾特征，即分别得到所述目标网络检测信息序列对应的自相关函数的截尾特征和拖尾特征及截尾特征的截尾阶数(q阶)、偏自相关函数的截尾特征和截尾特征及截尾特征的截尾阶数(p阶)。其中，所述拖尾特征包括自相关拖尾系数和偏自相关拖尾系数，所述截尾特征包括自相关截尾系数和偏自相关截尾系数；其中自相关函数中的自相关系数拖着长长的尾巴，即拖尾特征(自相关拖尾系数)，自相关拖尾系数是慢慢减少的，而偏自相关函数中的偏自相关系数是突然收敛至临界值水平范围内的，即截尾特征(偏自相关截尾系数)，偏自相关截尾系数是突然变的很小的。

接着，所述确定装置12将通过自相关函数和偏自相关函数对目标网络检测信息序列进行计算得到的(p，q)阶，基于下表-1中的模型识别原则表来确定所述网络系统中的网络安全态势的预测模型，其中，模型识别原则表-1如下所示：

表-1模型识别原则表

模型	自相关函数	偏自相关函数
			AR(p)	拖尾	p阶截尾
MA(q)	q阶截尾	拖尾
			ARMA(p，q)	拖尾	拖尾

接着，所述确定装置12在确定了自相关函数和偏自相关函数分别对应的拖尾特征和截尾特征的阶数之后，需要基于从交换路由设备、安全设备、操作系统和数据库等设备获取的相应时间序列上的目标网络检测信息序列，同时采用最小二乘法对预测模型中的(p，q)的模型参数：自回归系数(φ)和滑动平均系数(θ)进行参数估计，得到精准度更高的预测模型的模型参数(即自回归系数(φ)和滑动平均系数(θ))，使得得到的预测模型的精准度更好。其中，所述最小二乘法能够使实际值和预测得到的估计值之差的平方和达到最小，可实现将ARMA模型中的非线性函数转换成线性函数。

本申请一实施例中，为了保证基于目标网络检测信息序列确定的网络系统中的网络安全态势的预测模型的精确度，所述确定装置12还用于：对所述网络系统中的网络安全态势的预测模型进行校验。其中，具体的校验过程可以包括以下至少任一项：

对所述拖尾特征、截尾特征及模型参数进行显著性校验；例如，判断所述确定装置12中计算得到的拖尾特征、截尾特征(p，q)及模型参数(自回归系数(φ)和滑动平均系数(θ))是否显著不等于零，若是，则保证得到的预测模型更加精准。和/或，

对每个所述评估对象对应的网络检测信息序列中的、被过滤处理的非白噪声序列进行白噪声校验；例如，在对每个评估对象对应的网络检测信息序列进行模型训练之前，对每个评估对象对应的网络检测信息序列进行白噪声校验，将非白噪声序列的所述网络检测信息序列过滤掉，为了防止白噪声校验时将属于白噪声序列的网络检测信息序列当作非白噪声序列过滤掉，则此处对对每个所述评估对象对应的网络检测信息序列中的、被过滤处理的非白噪声序列再一次进行白噪声校验，避免本属于白噪声的网络检测信息序列被过滤掉，确保用于确定网络系统中的网络安全态势的预测模型的目标网络检测信息序列的准确度。和/或，

基于所述目标网络检测信息序列对所述预测模型进行拟合优度校验；例如，得到的预测模型对应的自回归线或者滑动平均线与实际观测得到目标网络检测信息序列之间的拟合可决系数越接近于1的话，则说明预测模型对应的自回归线或者滑动平均线对实际观测得到目标网络检测信息序列之间的拟合程度越好，进而表明得到的预测模型更加精准，更能够反映出网络系统的网络安全态势的实际的态势情况。和/或，

基于所述目标网络检测信息序列及其对应的所述预测值，对所述预测模型进行最优化校验。例如，将在网络系统中获取的实际的目标网络检测信息序列与其对应的基于预测模型得到的预测值进行比较，来实现对所述预测模型的最优化校验，若反复进行最优化校验之后，得到与所述目标网络检测信息序列及其对应的预测值仍通过该预测模型能够准确的反映出来，则确定该预测模型更能准确反映该网络系统中的网络安全态势的情况，从而使得得到的预测模型为网络系统中的网络安全态势的最优的预测模型。

本申请一实施例中，所述预测装置13用于：

基于预设时间点和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设时间点对应的网络安全态势的预测值；或，

基于预设的预测时间段和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设的预测时间段内的网络安全态势的预测值。

例如，根据用户对网络系统中的网络安全态势的预测需求，若需要预测网络系统未来某个预设时间点的网络安全态势，则所述预测装置13基于该预设时间点(tp)和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设时间点(tp)对应的网络安全态势的预测值；若需要预测网络系统未来某个预设时间点的网络安全态势，则所述预测装置13基于该预设的预测时间段(tb)和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设的预测时间段(tb)对应的网络安全态势的预测值，实现基于所述预测模型对所述网络系统中的未来某个预设时间点或者某个预设的预测时间段内的网络安全态势进行预测，进而实现对网络安全态势进行智能分析与预测，从而大大提高网络安全管理的效率和效能。

综上所述，本申请通过基于预设时间间隔获取网络系统中的目标网络检测信息序列；对所述目标网络检测信息序列进行模型训练，确定所述网络系统中的网络安全态势的预测模型；基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值，实现以网络系统中的获取的目标网络检测信息序列为数据来源，对所述目标网络检测信息序列进行模型训练，得到网络系统的网络安全态势的预测模型，并根据预测模型对网络系统进行网络安全态势的预测，使得得到的预测值能够准确反映网络系统在未来某个时间点或者时间段对应的网络安全态势，进而实现对网络系统的网络安全态势的智能分析和预测，从而大大提高了对网络系统进行网络安全管理的效率和效能。

此外，根据本申请的另一方面，还提供了一种基于计算的设备，包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

基于预设时间间隔获取网络系统中的目标网络检测信息序列；

基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型；

基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值。

根据本申请的另一方面，还提供了一种存储可执行指令的非暂态计算机可读存储介质，在所述可执行指令由电子设备执行时，使得所述电子设备：

基于预设时间间隔获取网络系统中的目标网络检测信息序列；

基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型；

基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

需要注意的是，本申请可在软件和/或软件与硬件的组合体中被实施，例如，可采用专用集成电路(ASIC)、通用目的计算机或任何其他类似硬件设备来实现。在一个实施例中，本申请的软件程序可以通过处理器执行以实现上文所述步骤或功能。同样地，本申请的软件程序(包括相关的数据结构)可以被存储到计算机可读记录介质中，例如，RAM存储器，磁或光驱动器或软磁盘及类似设备。另外，本申请的一些步骤或功能可采用硬件来实现，例如，作为与处理器配合从而执行各个步骤或功能的电路。

另外，本申请的一部分可被应用为计算机程序产品，例如计算机程序指令，当其被计算机执行时，通过该计算机的操作，可以调用或提供根据本申请的方法和/或技术方案。而调用本申请的方法的程序指令，可能被存储在固定的或可移动的记录介质中，和/或通过广播或其他信号承载媒体中的数据流而被传输，和/或被存储在根据所述程序指令运行的计算机设备的工作存储器中。在此，根据本申请的一个实施例包括一个装置，该装置包括用于存储计算机程序指令的存储器和用于执行程序指令的处理器，其中，当该计算机程序指令被该处理器执行时，触发该装置运行基于前述根据本申请的多个实施例的方法和/或技术方案。

对于本领域技术人员而言，显然本申请不限于上述示范性实施例的细节，而且在不背离本申请的精神或基本特征的情况下，能够以其他的具体形式实现本申请。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本申请的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本申请内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或步骤，单数不排除复数。装置权利要求中陈述的多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。

Claims (16)

1.一种网络安全态势预测方法，其中，所述方法包括：

基于预设时间间隔获取网络系统中的目标网络检测信息序列；

基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型；

基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值。

2.根据权利要求1所述的方法，其中，所述基于预设时间间隔获取网络系统中的目标网络检测信息序列，包括：

预置所述网络系统对应的至少一个评估对象；

基于所述预设时间间隔分别获取所述网络系统对应的每个所述评估对象对应的网络检测信息序列；

对每个所述评估对象对应的网络检测信息序列进行校验，得到所述网络系统中的目标网络检测信息序列。

3.根据权利要求2所述的方法，其中，所述对每个所述评估对象对应的网络检测信息序列进行校验，得到所述网络系统中的目标网络检测信息序列，包括：

将每个所述评估对象对应的网络检测信息序列中的非白噪声序列进行过滤处理，并分别判断过滤处理之后的每个所述评估对象对应的网络检测信息序列是否为平稳的白噪声序列，

若是，则将过滤处理之后的所述评估对象对应的网络检测信息序列确定为所述目标网络检测信息序列；

若否，则采用差分法对过滤处理之后的所述评估对象对应的网络检测信息序列进行平稳化处理，并将平稳化处理之后的网络检测信息序列确定为所述目标网络检测信息序列。

4.根据权利要求3所述的方法，其中，所述基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型，包括：

采用自相关函数和偏自相关函数对所述目标网络检测信息序列进行拖尾、截尾特征提取，确定所述目标网络检测信息序列对应的拖尾特征和截尾特征；

基于所述拖尾特征和截尾特征，确定所述网络系统中的网络安全态势的预测模型，并基于所述目标网络检测信息序列和最小二乘法计算所述预测模型中的模型参数，得到所述预测模型的模型参数。

5.根据权利要求4所述的方法，其中，所述基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型之后，还包括：

对所述网络系统中的网络安全态势的预测模型进行校验。

6.根据权利要求5所述的方法，其中，所述对所述网络系统中的网络安全态势的预测模型进行校验包括以下至少任一项：

对所述拖尾特征、截尾特征及模型参数进行显著性校验；和/或，

对每个所述评估对象对应的网络检测信息序列中的、被过滤处理的非白噪声序列进行白噪声校验；和/或，

基于所述目标网络检测信息序列对所述预测模型进行拟合优度校验；和/或，

基于所述目标网络检测信息序列及其对应的所述预测值，对所述预测模型进行最优化校验。

7.根据权利要求1所述的方法，其中，所述基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值，包括：

基于预设时间点和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设时间点对应的网络安全态势的预测值；或，

基于预设的预测时间段和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设的预测时间段内的网络安全态势的预测值。

8.一种网络安全态势预测设备，其中，所述设备包括：

获取装置，用于基于预设时间间隔获取网络系统中的目标网络检测信息序列；

确定装置，用于基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型；

预测装置，用于基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值。

9.根据权利要求8所述的设备，其中，所述获取装置用于：

预置所述网络系统对应的至少一个评估对象；

基于所述预设时间间隔分别获取所述网络系统对应的每个所述评估对象对应的网络检测信息序列；

对每个所述评估对象对应的网络检测信息序列进行校验，得到所述网络系统中的目标网络检测信息序列。

10.根据权利要求9所述的设备，其中，所述获取装置用于：

将每个所述评估对象对应的网络检测信息序列中的非白噪声序列进行过滤处理，并分别判断过滤处理之后的每个所述评估对象对应的网络检测信息序列是否为平稳的白噪声序列，

若是，则将过滤处理之后的所述评估对象对应的网络检测信息序列确定为所述目标网络检测信息序列；

若否，则采用差分法对过滤处理之后的所述评估对象对应的网络检测信息序列进行平稳化处理，并将平稳化处理之后的网络检测信息序列确定为所述目标网络检测信息序列。

11.根据权利要求10所述的设备，其中，所述确定装置用于：

采用自相关函数和偏自相关函数对所述目标网络检测信息序列进行拖尾、截尾特征提取，确定所述目标网络检测信息序列对应的拖尾特征和截尾特征；

基于所述拖尾特征和截尾特征，确定所述网络系统中的网络安全态势的预测模型，并基于所述目标网络检测信息序列和最小二乘法计算所述预测模型中的模型参数，得到所述预测模型的模型参数。

12.根据权利要求11所述的设备，其中，所述确定装置还用于：

对所述网络系统中的网络安全态势的预测模型进行校验。

13.根据权利要求12所述的设备，其中，所述确定装置还用于以下至少任一项：

对所述拖尾特征、截尾特征及模型参数进行显著性校验；和/或，

对每个所述评估对象对应的网络检测信息序列中的、被过滤处理的非白噪声序列进行白噪声校验；和/或，

基于所述目标网络检测信息序列对所述预测模型进行拟合优度校验；和/或，

基于所述目标网络检测信息序列及其对应的所述预测值，对所述预测模型进行最优化校验。

14.根据权利要求8所述的设备，其中，所述预测装置用于：

基于预设时间点和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设时间点对应的网络安全态势的预测值；或，

基于预设的预测时间段和所述预测模型，对所述网络系统进行网络安全态势的预测，得到所述网络系统在所述预设的预测时间段内的网络安全态势的预测值。

15.一种基于计算的设备，包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：

基于预设时间间隔获取网络系统中的目标网络检测信息序列；

基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型；

基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值。

16.一种存储可执行指令的非暂态计算机可读存储介质，在所述可执行指令由电子设备执行时，使得所述电子设备：

基于预设时间间隔获取网络系统中的目标网络检测信息序列；

基于所述目标网络检测信息序列确定所述网络系统中的网络安全态势的预测模型；

基于所述预测模型对所述网络系统进行网络安全态势预测，得到预测值。