CN107454089A - 一种基于多节点关联性的网络安全态势诊断方法 - Google Patents

Abstract

本发明公开一种基于多节点关联性的网络安全态势诊断方法，包括如下步骤：S1：对多节点数据项进行采样；S2：获取节点间关联规则；S3：根据网络中各节点的变化程度，由关联规则进行溯源，推断出异常源节点；S4：通过更新规则窗口，循环S1、S2、S3步骤，对整体网络安全态势进行诊断。本发明解决了现有的网络安全态势诊断方法只从单一网络单元信息去判断当前网络单元的安全状态，未能很好的利用网络单元之间的联系，无法有效的进行信息的共享，对威胁当前网络的异常行为无法确定其发生源，从而无法对当前网络安全态势做出有效诊断的问题。

Description

一种基于多节点关联性的网络安全态势诊断方法

技术领域

本发明涉及网络安全态势诊断技术领域，具体涉及一种基于多节点关联性的网络安全态势诊断方法。

背景技术

网络安全态势诊断的目的是在一定时空范围内，对威胁当前网络的异常行为进行认知、理解，并对其溯源。

目前安全态势作为网络态势的一部分，主要是在获取各类网络监测数据的基础上，根据领域知识和历史数据，借助一些数学工具或者数据模型，经过分析推理，对整个网络的当前状态做出合理的解释。

网络安全态势诊断：指在大规模网络环境中，通过对能够引起网络态势发生变化的安全因素进行获取、分析以及预测其未来的发展态势，对所有产生变化的节点进行诊断，寻找引起未知异常行为的源节点。

随着网络规模的不断扩大和云计算服务体系的不断发展，相应的网络单元信息越来越庞大，网络单元间的关系越来越复杂，而已有的网络安全态势诊断方法，只从单一网络单元信息去判断当前网络单元的安全状态，未能很好的利用网络单元之间的联系，无法有效的进行信息的共享，对威胁当前网络的异常行为无法确定其发生源，从而无法对当前网络安全态势做出有效诊断，因此，已不能满足网络规模扩大所带来的变化。

发明内容

本发明的目的在于：为解决现有的网络安全态势诊断方法只从单一网络单元信息去判断当前网络单元的安全状态，未能很好的利用网络单元之间的联系，无法有效的进行信息的共享，对威胁当前网络的异常行为无法确定其发生源，从而无法对当前网络安全态势做出有效诊断的问题，本发明提供一种基于多节点关联性的网络安全态势诊断方法。

本发明的技术方案如下：

一种基于多节点关联性的网络安全态势诊断方法，包括如下步骤：

S1：对多节点数据项进行采样。

S2：获取节点间关联规则。

S3：根据网络中各节点的变化程度，由关联规则进行溯源，推断出异常源节点；该步骤包括如下步骤：

S31：以采样间隔为单位更新数据项。

S32：根据更新前规则窗口内已标注数据项，对更新后获得的新数据项进行分类，得到采样间隔处各节点的网络安全状态。

S33:结合当前各节点的网络安全状态与更新前规则窗口内获得的关联规则，进行关联规则匹配。

S34:对于网络中任一节点，根据其数值化的网络安全状态、其匹配的关联规则和周围节点的网络安全状态，利用数值的衰减规律，逆向溯源异常源节点。

S35：通过对匹配到的关联规则进行推理分析，将关联后的结果进行网络安全态势呈现，完成异常源节点的诊断。

S4：通过更新规则窗口，循环S1、S2、S3步骤，对整体网络安全态势进行诊断。

进一步地，S1的步骤具体包括：

S11：设定采样间隔及规则窗口的大小作为初始化参数；

S12：根据S11设定的初始化参数，每个节点各自运行一个收集和发送数据的数据采样线程，同时根据需要直接传送原始数据或对数据进行预处理后传送，预处理包括去除单位信息并对数据进行归一化处理等；

S13：服务节点周期性地轮询各节点采样到的数据项信息，存入数据库。

具体地，S2的步骤具体包括：

S21:对采样数据项进行特征提取、特征选择，特征提取和特征选择用于后面的聚类过程；

S22:根据当前网络中网络安全状态的类别个数，设定聚类过程中簇的个数；

S23:聚类，并由聚类后簇的个数的不同，标注节点所属网络安全状态；

S24：由标注的节点所属网络安全状态，得到规则窗口内，以采样间隔为单位的安全态势矩阵；

S25：对安全态势矩阵进行频繁项集挖掘，并在频繁项集中提取出规则窗口内多节点间的关联规则。

进一步地，S13中，服务节点通过单播路由的方式与其它节点通信，收集所需节点的状态信息，并保存在数据库中。

具体地，当网络中某一个或者若干节点发生异常行为时，与其具有强相关性的节点也会受其影响，产生相应的变化，此种关联性的发现分为两个阶段：(1)发现网络异常行为时，由节点产生相关变化而组成的频繁项集；(2)利用频繁项集寻找规则可信性高的关联规则。

具体地，S3具体包括如下步骤：

S31：以采样间隔为单位更新数据项并进行特征提取、特征选择；

S32：根据更新前规则窗口内已标注数据项，对更新后获得的新数据项进行分类，得到采样间隔处各节点的网络安全状态；

S33:结合当前各节点的网络安全状态与更新前规则窗口内获得的关联规则，进行关联规则匹配；

S34:对于网络中任一节点，根据其数值化的网络安全状态、其匹配的关联规则和周围节点的网络安全状态，利用数值的衰减规律，逆向溯源异常源节点；

S35：通过对匹配到的关联规则进行推理分析，将关联后的结果进行网络安全态势呈现，完成异常源节点的诊断。

采用上述方案后，本发明的有益效果在于：

本发明基于多节点间关联性的网络安全态势诊断方法具有良好的解释性，能够辨识出网络中的异常活动及其活动规律，同时对异常具有溯源能力，利于形成可视化效果，能很好地满足对网络安全态势的诊断，即在一定时空范围内，对威胁当前网络的异常行为进行认知、理解，并对其溯源、诊断。

附图说明

图1为本发明规则窗口的概念示意图；

图2是本发明中安全态势矩阵示意图；

图3是本发明中关联溯源原理的概念示意图；

图4是本发明中网络安全态势分析推理图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完成地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员所获得的所有其他实施例， 都属于本发明保护的范围。

在对本发明的技术方案进行阐述前，为了更清楚的理解本发明，首先对本发明中将会出现的一些技术用语做出解释如下：

网络安全态势诊断：指在大规模网络环境中，通过对能够引起网络态势发生变化的安全因素进行获取、分析以及预测其未来的发展态势，对所有产生变化的节点进行诊断，寻找引起未知异常行为的源节点。

采样间隔：两次数据项采样之间的时间差，参见图1。

规则窗口：获取多节点间关联规则的周期时间，包含若干个采样间隔，参见图1。

服务节点：收集每个节点采样的数据项，并保存。

数据项：本发明中所使用的数据项包括节点硬件性能数据项、流量数据项以及任务关系数据项。

频繁项集：是指那些经常出现在一起的节点集合。

关联规则：两个或多个节点之间关联性关系的规则化表示。

安全态势矩阵：规则窗口内，网络中各节点在不同采样间隔处所属网络安全状态的矩阵，其中，行表示某时刻所有节点的状态，列表示同一节点不同时刻的状态，参见图2。

本实施例中提供的基于多节点关联性的网络安全态势诊断方法，包括如下步骤：

S1：对多节点数据项进行采样。S1的步骤具体包括：

S11：设定采样间隔及规则窗口的大小作为初始化参数；即确定每隔多长时间进行一次数据项采样，以及每组采样的次数。

S12：根据S11设定的初始化参数，每个节点各自运行一个收集和发送数据的数据采样线程，同时根据需要直接传送原始数据或对数据进行预处理后传送。预处理包括去除单位信息并对数据进行归一化处理等。

具体来说，保持每个节点时钟一致，每个采样间隔处进行数据的收集及发送，若对数据有预处理要求，则在本地处理后再发送。

S13：服务节点周期性地轮询各节点采样到的数据信息，存入数据库。具体地，服务节点通过单播路由的方式与其它节点通信，收集所需节点的状态信息， 并保存在数据库中。

S1中，本实施例中提供的部分硬件性能数据项如表1所示：

表1

S2：获取节点间关联规则。

S2的步骤具体包括：

S21:对采样数据项进行特征提取、特征选择后用于聚类，特征提取和特征选择用于后面的聚类过程；具体步骤为，对以采样数据作为原始数据，对它进行特征提取，减少原始数据中某个特征的取值个数，然后进行特征选择，从特征集中挑选出一组最具统计意义的特征子集，去除无关数据项。

S22:根据当前网络中网络安全状态的类别个数，设定聚类过程中簇的个数；

S23:聚类，对S21中得到的特征子集进行聚类的过程中，由不同网络安全状态下数据项的特征不同，生成不同的簇。本实施例中采用K-means聚类，它将各个聚类子集内的所有数据样本的均值作为该聚类的代表点，通过迭代过程把数据集划分为不同的类别，使得评价聚类性能的准则函数达到最优，从而使得生成的每个聚类，簇内结构紧凑，类间相互独立。在机器学习算法中，聚类为其中的一种，机器学习算法的标准步骤为：“特征输入＝>模型(算法)＝>输出”，故S2步骤的结构为：特征＝>模型1(聚类)＝>输出(矩阵)＝>模型2(频繁集挖掘)＝>输 出(关联规则)”。

然后根据聚类后簇的个数的不同，标注节点所属网络安全状态；因为数据项来源于节点，且不同网络安全状态下的数据项通过聚类归属于不同的簇，故数据项所属簇的不同能够反映节点所处的网络安全状态；具体来说，不同网络安全状态下数据项的特征不同，网络正常时的数据被划分为一簇，网络异常时的数据则属于另一簇，由聚类生成的不同簇标注数据项所处网络安全状态。

S24：由标注的节点所属网络安全状态，得到规则窗口内，以采样间隔为单位的安全态势矩阵，参见图2。此步骤的目的为，为获取采样窗口这一周期内节点间的关联规则准备数据集。

S25：对安全态势矩阵进行频繁项集挖掘，并在频繁项集中提取出规则窗口内多节点间的关联规则。具体来说，当网络中某一个或者若干节点发生异常行为时，与其具有强相关性的节点也会受其影响，产生相应的变化，而此种关联性的发现可分为两个阶段：(1)发现网络异常行为时，由节点产生相关变化而组成的频繁项集；(2)利用频繁项集寻找规则可信性高的关联规则。此步骤的目的为，得到体现节点间关联性的关联规则，为关联溯源阶段由波动规律推出异常源节点做准备。

例如，利用Apriori算法进行几次迭代来计算安全态势矩阵中的频繁项集，并在此基础上来发现关联规则。

S3：根据网络中各节点的变化程度，由关联规则进行溯源，推断出异常源节点；该步骤原理：

正常运作的网络，某时刻任一节点出现异常行为时，与其具有关联性的节点也会受其影响，且不同的关联程度产生的影响不同。此过程犹如平静的湖面，在某时刻出现一颗落石，引起水面波动且波动向周围扩散，向远处衰减。在波动扩散的过程中，每个点都在得到能量后以自己为中心震动，并向四周传播能量。但随着传播过程中能量的衰减，每个点的震动幅度不同。因此，在湖面任一点，由其震动幅度及波动规律可推算落石位置。所以，参照波动的扩散衰减原理，网络中出现异常行为时，根据网络中各节点的变化程度，由关联规则亦可推出异常源节点。

具体地，S3步包括如下步骤：

S31：以采样间隔为单位更新数据项并进行特征提取、特征选择。

具体来说，由规则窗口这一周期内得到的关联规则，将用于邻近时刻的诊断，参见图1，规则窗口1内获取的关联规则将用于下一采样时刻；此步骤的目的为，获取具有诊断需求的时刻的数据项。

S32：根据更新前规则窗口内已标注数据项，对更新后获得的新数据项进行分类，得到采样间隔处各节点的网络安全状态。具体来说，利用更新前规则窗口内聚类对数据项的网络安全状态标注情况，对具有诊断需求的时刻的数据项进行分类。此步骤的目的为，得到诊断时刻网络中各节点的网络安全状态。而此种网络安全状态，是由选用的数据项特征的变化所体现的，因此，节点状态可能因直接遭受网络攻击而产生，也可能受相关节点影响而产生。

S33:结合当前各节点的网络安全状态与更新前规则窗口内获得的关联规则，进行关联规则匹配。具体来说，正常运作的网络，某时刻任一节点出现异常行为时，与其具有关联性的节点也会受其影响，且不同的关联程度出现不同的影响。此过程犹如平静的湖面，在某时刻出现一颗落石，引起水面波动且波动向周围扩散，向远处衰减。此步骤的目的为，通过波动的影响规律，获取当前网络的波动拓扑图，参见图4。即，在已获取的关联规则中，寻找当前时刻节点的状态所符合的关联规则，以描绘出当前网络中节点的态势情况。

S34:寻找到的关联规则如同波动规律，得到的网络安全状态的数值形式如同震动幅度，而各节点不同的网络安全状态如同水波在传播过程中的扩散与衰减，因此，对于网络中任一节点，根据其数值化的网络安全状态、其匹配的关联规则和周围节点的网络安全状态，利用数值的衰减规律，逆向溯源异常源节点。

比如，匹配到关联规则为{1、5、6}和对应的网络安全状态{1、0.9、0.7}，即，节点1、节点5和节点6在所选择的数据项产生变化时表现出相关性。也就是说，由波动规律为{1、5、6}和数值的衰减规律{1、0.9、0.7}，对规则中的任一节点(如节点6)，可推出节点1为异常源节点。

S35：通过对匹配到的关联规则进行推理分析，将关联后的结果进行网络安全态势呈现，完成异常源节点的诊断。具体来说，本发明中关于推理分析的实施例，不局限于某种模式(如S34中的推理模式)，只要符合关联溯源中阐述的原理，由关联规则和网络安全状态角度推理分析，从而进行的溯源方式都是可行的。 例如，匹配到关联规则1{22、23、24}和关联规则2{13、23、33、43}，即节点22、节点23和节点24在所选择的数据项产生变化时表现出相关性，同理关联规则2。将其进行网络安全态势呈现后，发现节点23处于较中心的位置，故经推理分析其为异常源节点的可能性最高，参见图4。

S4：通过更新规则窗口，循环S1、S2、S3步骤，对整体网络安全态势进行诊断。

具体地，当网络中某一个或者为两个阶段：(1)发现网络异常行为时，由节点产生相关变化而组成的频繁项集；(2)利用频繁项集寻找规则可信性高的关联规则。

以上所述，仅是本发明的较佳实施例，并非对本发明作任何形式上的限制。任何熟悉本领域的技术人员，在不脱离本方面的技术方案范围的情况下，都可利用上述揭示的方法和技术内容对本方面技术方案作出可能存在的合理性变动和修饰。因此，凡是未脱离本发明方法和技术方案的内容，依据本发明的技术实质对以上实施例所做的任何简单修改、等同变化及修饰，均仍属于本发明技术方案保护的范围。

Claims (6)

1.一种基于多节点关联性的网络安全态势诊断方法，其特征在于，包括如下步骤：

S1：对多节点数据项进行采样；

S2：获取节点间关联规则；

S3：根据网络中各节点的变化程度，由关联规则进行溯源，推断出异常源节点；

S4：通过更新规则窗口，循环S1、S2、S3步骤，对整体网络安全态势进行诊断。

2.根据权利要求1所述的一种基于多节点关联性的网络安全态势诊断方法，其特征在于，S1的步骤具体包括：

S11：设定采样间隔及规则窗口的大小作为初始化参数；

S12：根据S11设定的初始化参数，每个节点各自运行一个收集和发送数据的数据采样线程，同时根据需要直接传送原始数据或对数据进行预处理后传送；

S13：服务节点周期性地轮询各节点采样到的数据信息，存入数据库。

3.根据权利要求1所述的一种基于多节点关联性的网络安全态势诊断方法，其特征在于，S2的步骤具体包括：

S21:对采样数据项进行特征提取、特征选择，特征提取和特征选择用于后面的聚类过程；

S22:根据当前网络中网络安全状态的类别个数，设定聚类过程中簇的个数；

S23:聚类，并由聚类后簇的个数的不同，标注节点所属网络安全状态；

S24：由标注的节点所属网络安全状态，得到规则窗口内，以采样间隔为单位的安全态势矩阵；

S25：对安全态势矩阵进行频繁项集挖掘，并在频繁项集中提取出规则窗口内多节点间的关联规则。

4.根据权利要求2所述的一种基于多节点关联性的网络安全态势诊断方法，其特征在于，S13中，服务节点通过单播路由的方式与其它节点通信，收集所需节点的状态信息，并保存在数据库中。

5.根据权利要求3所述的一种基于多节点关联性的网络安全态势诊断方法，其特征在于，当网络中某一个或者若干节点发生异常行为时，与其具有强相关性的节点也会受其影响，产生相应的变化，此种关联性的发现分为两个阶段：(1)发现网络异常行为时，由节点产生相关变化而组成的频繁项集；(2)利用频繁项集寻找规则可信性高的关联规则。

6.根据权利要求1所述的一种基于多节点关联性的网路安全态势诊断方法，其特征在于，S3具体包括如下步骤：

S31：以采样间隔为单位更新数据项并进行特征提取、特征选择；

S32：根据更新前规则窗口内已标注数据项，对更新后获得的新数据项进行分类，得到采样间隔处各节点的网络安全状态；

S33:结合当前各节点的网络安全状态与更新前规则窗口内获得的关联规则，进行关联规则匹配；

S34:对于网络中任一节点，根据其数值化的网络安全状态、其匹配的关联规则和周围节点的网络安全状态，利用数值的衰减规律，逆向溯源异常源节点；

S35：通过对匹配到的关联规则进行推理分析，将关联后的结果进行网络安全态势呈现，完成异常源节点的诊断。