CN107404400A - 一种网络态势感知实现方法及装置 - Google Patents

Abstract

本发明涉及网络态势感知领域，针对现有技术存在的问题，提供一种网络态势感知实现方法及装置。通过分析研究现有网络安全态势感知的系统模型，针对它存在的精确度和实时性不够好的问题，提出一种改进的网络态势感知实现方法及装置。该方及装置自底向上分为态势要素提取、态势理解和评估二个层面，其中态势理解与评估同步进行，预测的数据源采用感知的网络拓扑结构数据以及态势要素的提取结果。本发明采集及处理网络状态相关的网络数据；解析态势提取步骤处理后的网络数据各项数据之间的逻辑关联关系，对相关网络数据进行融合，形成网络态势感知图，从而实现网络态势感知。

Description

一种网络态势感知实现方法及装置

技术领域

本发明涉及网络态势感知领域，尤其是一种网络态势感知实现方法及装置。

背景技术

目前国内的网络态势感知的研究仍处于发展初期，主要是高校以及专门的研究机构在从事相关的研究工作。北京理工大学信息安全与对抗技术研究中心研究开发了一套网络安全状态及变化趋势综合评估软件，主要包括网络风险状态评估以及网络安全变化趋势预测两部分，该软件能够评估网络环境及其组成要素的安全性、脆弱性等，但是该软件适用范围有限，仅限于局域网，不能很好地应用于大规模的互通网络中；针对大规模网络的态势感知，国防科技大学的胡华平等人从大规模网络入侵检测预警方面开展了相关研究，提出了基本框架，但是没有明确其关键技术的实现方式。

发明内容

本发明所要解决的技术问题是：针对现有技术存在的问题，提供一种网络态势感知实现方法及装置。通过分析研究现有网络安全态势感知的系统模型，针对它存在的精确度和实时性不够好的问题，提出一种改进的网络态势感知实现方法及装置。该方及装置自底向上分为态势要素提取、态势理解和评估二个层面，其中态势理解与评估同步进行，预测的数据源采用感知的网络拓扑结构数据以及态势要素的提取结果。

本发明采用的技术方案如下：

一种网络态势感知实现方法包括：

网络态势提取步骤，采集及处理网络状态相关的网络数据；

态势感知与评估步骤，解析态势提取步骤处理后的网络数据各项数据之间的逻辑关联关系，对相关网络数据进行融合，形成网络态势感知图，从而实现网络态势感知。

进一步的，所述网络数据是网络原始数据流和主机日志数据，其中采集网络原始数据流采集是指通过winpcap从网络数据链路层旁路或者阻断采集网络中流经的数据；采集主机日志数据是指从网络安全状态数据源中抽取出影响网络态势的基本元素的过程，是存储在应用服务器或者目标终端，通过对相应数据的提取，从而进一步抽取出影响网络态势的基本数据元素；网络安全状态数据源是网络原始数据的一种。

进一步的，所述处理网络原始数据流指的是：

获取完整的网络原始数据流进行存储；

TCP/IP协议簇对采集到的原始数据流进行协议分析，提取五元组信息；

将所提取的五元组信息按照TCP/IP协议架构存储，存储格式为格式统一的数据流。

进一步的，所述处理网络原始数据流还包括对格式统一的数据流进行简化、合并处理。

进一步的，所述处理主机日志信息指的是：

获取主机日志数据，从中提取出特征数据，进一步获取系统信息、服务信息，从主机日志数据中人工分析识别异常数据。

进一步的，所述态势感知与评估包括网络信息态势感知与评估以及主机日志信息态势感知与评估；其中网络信息态势感知与评估是基于网络原始数据流的采集与处理，提取网络原始数据各项数据之间的逻辑关联关系，对相关网络数据进行融合，形成网络态势感知图，从而实现网络态势感知；其中主机日志信息态势感知与评估是基于主机日志信息的采集与处理，提取主机日志信息各项数据之间的逻辑关联关系，对相关主机日志信息进行融合，形成主机日志态势感知图，从而实现网络态势感知。

进一步的，所述网络信息态势感知与评估包括网络拓扑发现步骤以及网络流量统计步骤；网络拓扑发现步骤是通过协议类型实现，基于五元组信息得知该数据协议类型，根据该协议类型获取目标网络设备MIB中的相关对象值，综合判断MIB对象值从而确定网络设备类型；网络流量统计步骤是基于五元组信息，研究网络流量分布统计以及异常流的判断。

进一步的，所述主机日志态势感知与评估具体包括：

将获取的主机日志信息按照系统信息、服务信息以及异常信息等类别进行分类；

针对各类信息进行数据融合处理。

进一步的，基于所述网络态势感知实现方法的实现装置包括：

网络态势提取模块，用于采集及处理网络状态相关的网络数据；

态势感知与评估模块，用于解析态势提取步骤处理后的网络数据各项数据之间的逻辑关联关系，对相关网络数据进行融合，形成网络态势感知图，从而实现网络态势感知。

综上所述，由于采用了上述技术方案，本发明的有益效果是：

依照网络态势感知实现模型，本文从时间(相同主机，不同时间)、空间(不同主机)(时间、空间指的是多个主机在不同时间下的行为分析)两个维度融合主机信息(日志数据信息)，依照TCP/IP协议簇对采集的网络数据进行协议分析，提取五元组模型所需信息，根据五元组模型(源IP地址、目的IP地址、协议类型(例如下面的SNMP协议)、源端口号、目的端口号)融合网络信息。

具体实施方式

本说明书中公开的所有特征，或公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合。

本说明书中公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。

本发明中，一种网络态势感知实现方法包括：

步骤1(网络态势提取步骤)，用于采集及处理网络状态相关的网络数据；

其中，所述网络数据是网络原始数据流和主机日志数据。

态势要素提取获得的是网络态势相关的单一基本元素，网络态势感知的目的是获取待评估网络的整体宏观态势，因此在态势要素提取大规模网络数据信息的基础上需要进一步进行数据融合处理操作。

步骤2(态势感知与评估步骤)，用于解析态势提取步骤处理后的网络数据各项数据之间的逻辑关联关系，对相关网络数据进行融合，形成网络态势感知图，从而实现网络态势感知。

态势感知与评估包括网络信息态势感知与评估以及主机日志信息态势感知与评估；

其中网络信息态势感知与评估是基于网络原始数据流的采集与处理，提取网络原始数据各项数据之间的逻辑关联关系，对相关网络数据进行融合，形成网络态势感知图，从而实现网络态势感知。

其中主机日志信息态势感知与评估是基于主机日志信息的采集与处理，提取主机日志信息各项数据之间的逻辑关联关系，对相关主机日志信息进行融合，形成主机日志态势感知图，从而实现网络态势感知。

实施例一：步骤1中采集网络状态相关的网络数据包括采集网络原始数据流和主机日志数据；其中采集网络原始数据流采集是指通过winpcap从网络数据链路层旁路或者阻断采集网络中流经的数据；

采集主机日志数据是指从网络安全状态数据源中抽取出影响网络态势的基本元素的过程，网络安全状态数据源是网络原始数据的一种，是多数存储在应用服务器或者目标终端，通过对相应数据(相应数据指的是网络原始数据)的提取，从而进一步抽取出影响网络态势的基本数据元素。

实施例二：步骤1中所述处理网络状态相关的网络数据包括采集网络原始数据流和主机日志数据；

其中，处理网络原始数据流指的是：

步骤11：获取完整的网络原始数据流进行存储；

步骤12：TCP/IP协议簇对采集到的原始数据流进行协议分析，提取五元组信息(源IP地址、目的IP地址、协议类型(例如SNMP协议)、源端口号、目的端口号)；具体：TCP/IP协议簇对采集到的原始数据流从物理层、数据链路层、网络层、传输层以及应用层分别按照相应的协议格式逐层获取对应五元组信息，

步骤13：将所提取的五元组信息按照TCP/IP协议架构存储；存储格式为格式统一的数据流；

步骤14：对格式统一的数据流进行简化、合并等操作，即：将数据流中与网络态势感知无关的噪声数据去除，合并重复度较高的数据流信息。网络态势要素提取提高了网络数据流信息的纯净度，为态势理解评估提供了有效的数据源，从而加快了网络态势感知的速度。

实施例三，步骤1中，处理主机日志数据指的是：获取主机日志数据，从中提取出特征数据，进一步获取系统信息、服务信息，从主机日志数据中人工分析识别异常数据。

实施例四中，步骤2网络信息态势感知与评估主要包括网络拓扑发现步骤以及网络流量统计步骤。

步骤21：网络拓扑发现步骤主要通过协议类型实现，基于五元组信息得知该数据协议类型，根据该协议类型获取目标网络设备MIB中的相关对象值，综合判断MIB对象值从而确定网络设备类型。

例如：若为SNMP类型，则通过SNMP协议获取目标网络设备MIB(管理信息库，Management Information Base)中的相关对象值，综合判断MIB对象值从而确定网络设备类型。

步骤22：网络流量统计步骤主要基于五元组信息，研究网络流量分布统计以及异常流的判断，具体是：

步骤221：采集到网络信息后，将其按照TCP/IP协议簇进行协议分析，分别获取五元组信息，按照“源IP地址+目的IP地址+源端口+目的端口+协议类型”等五元组字段信息将网络信息分成数据流，五元组数值相同的网络数据作为一个数据流；

步骤222：然后再针对每个终端，根据其“协议类型”字段对该终端的数据流进行分类，将协议类型字段值相同的数据流归为一类，显示其网络数据流分布统计；

步骤223：将单端口与多端口检测方法相结合进行异常流的判断操作，主要包括网络攻击引起的、病毒引起的以及不正当应用引起的异常网络流量。

单端口检测方法中例如：，以泛洪攻击为例，通过流量统计，根据源IP地址、目的IP地址、协议类型等流信息，我们发现某个终端向另一个终端在一段时间内发送了大量的ICMP协议数据包，则可以判定发送者在向目标主机实施ICMP泛洪攻击，从而捕获到异常网络流量。

多端口检测方法例如，虽然数据包的目的IP不一样，但是很多数据包的源地址IP一样，则源地址IP节点为攻击端。

实施例五，步骤2主机日志态势感知与评估具体包括：

步骤31：将获取的主机日志信息按照系统信息、服务信息以及异常信息等类别进行分类；

步骤32：针对各类信息进行数据融合处理。主机日志信息融合采用时间、空间二维融合法，将采集到的大量的主机日志信息打上时间和空间的标签，去除冗余的数据，合并标签一致的数据，从而评估当前主机的态势要素，最终形成目标主机的态势感知图。时间融合是指按照时间先后对目标主机在不同时间采集到的信息进行融合，空间融合是在指同一时刻对不同目标主机采集到的信息进行融合，该信息主要包括目标主机的操作系统类别、主机角色、IP地址等系统信息，开放端口以及提供的服务类型等服务信息，主机漏洞、异常连接等异常信息。

本发明并不局限于前述的具体实施方式。本发明扩展到任何在本说明书中披露的新特征或任何新的组合，以及披露的任一新的方法或过程的步骤或任何新的组合。

Claims (9)

1.一种网络态势感知实现方法，其特征在于包括：

网络态势提取步骤，采集及处理网络状态相关的网络数据；

态势感知与评估步骤，解析态势提取步骤处理后的网络数据各项数据之间的逻辑关联关系，对相关网络数据进行融合，形成网络态势感知图，从而实现网络态势感知。

2.根据权利要求1所述的一种网络态势感知实现方法，其特征在于所述网络数据是网络原始数据流和主机日志数据，其中采集网络原始数据流采集是指通过winpcap从网络数据链路层旁路或者阻断采集网络中流经的数据；采集主机日志数据是指从网络安全状态数据源中抽取出影响网络态势的基本元素的过程，是存储在应用服务器或者目标终端，通过对相应数据的提取，从而进一步抽取出影响网络态势的基本数据元素；网络安全状态数据源是网络原始数据的一种。

3.根据权利要求2所述的一种网络态势感知实现方法，其特征在于所述处理网络原始数据流指的是：

获取完整的网络原始数据流进行存储；

TCP/IP协议簇对采集到的原始数据流进行协议分析，提取五元组信息；

将所提取的五元组信息按照TCP/IP协议架构存储，存储格式为格式统一的数据流。

4.根据权利要求3所述的一种网络态势感知实现方法，其特征在于所述处理网络原始数据流还包括对格式统一的数据流进行简化、合并处理。

5.根据权利要求2所述的一种网络态势感知实现方法，其特征在于所述处理主机日志信息指的是：

获取主机日志数据，从中提取出特征数据，进一步获取系统信息、服务信息，从主机日志数据中人工分析识别异常数据。

6.根据权利要求2所述的一种网络态势感知实现方法，其特征在于所述态势感知与评估包括网络信息态势感知与评估以及主机日志信息态势感知与评估；其中网络信息态势感知与评估是基于网络原始数据流的采集与处理，提取网络原始数据各项数据之间的逻辑关联关系，对相关网络数据进行融合，形成网络态势感知图，从而实现网络态势感知；其中主机日志信息态势感知与评估是基于主机日志信息的采集与处理，提取主机日志信息各项数据之间的逻辑关联关系，对相关主机日志信息进行融合，形成主机日志态势感知图，从而实现网络态势感知。

7.根据权利要求2所述的一种网络态势感知实现方法，其特征在于所述网络信息态势感知与评估包括网络拓扑发现步骤以及网络流量统计步骤；网络拓扑发现步骤是通过协议类型实现，基于五元组信息得知该数据协议类型，根据该协议类型获取目标网络设备MIB中的相关对象值，综合判断MIB对象值从而确定网络设备类型；网络流量统计步骤是基于五元组信息，研究网络流量分布统计以及异常流的判断。

8.根据权利要求2所述的一种网络态势感知实现方法，其特征在于所述主机日志态势感知与评估具体包括：

将获取的主机日志信息按照系统信息、服务信息以及异常信息等类别进行分类；

针对各类信息进行数据融合处理。

9.基于权利要求1至8之一所述网络态势感知实现方法的实现装置，其特征包括：

网络态势提取模块，用于采集及处理网络状态相关的网络数据；

态势感知与评估模块，用于解析态势提取步骤处理后的网络数据各项数据之间的逻辑关联关系，对相关网络数据进行融合，形成网络态势感知图，从而实现网络态势感知。