CN107579986B

CN107579986B - 一种复杂网络中网络安全检测的方法

Info

Publication number: CN107579986B
Application number: CN201710857432.8A
Authority: CN
Inventors: 何泾沙; 蔡方博; 郭文华; 穆鹏宇
Original assignee: Beijing University of Technology
Current assignee: Beijing Tianyun Network Security Technology Co.,Ltd.; Beijing Yongbo Technology Co ltd
Priority date: 2017-09-21
Filing date: 2017-09-21
Publication date: 2020-11-06
Anticipated expiration: 2037-09-21
Also published as: CN107579986A

Abstract

本发明公开了一种复杂网络中网络安全检测的方法，包括：入网节点时空定位；建立网络中节点安全异常及对应解决方案的安全攻击检测库；基于KDD算法对每个节点历史访问数据中的网络流量与事件密度进行挖掘和分析，建立动态泊松分布模型并设置网络流量与事件密度的安全阈值和威胁阈值；检测节点的访问行为，将节点网络流量与事件密度的监测值与安全阈值和威胁阈值进行比较；若监测值小于安全阈值，则节点的行为安全；若监测值大于安全阈值且小于威胁阈值，则对节点的工作行为进行动态跟踪；若监测值大于威胁阈值，则停止该节点的访问工作，并调用安全攻击检测库，解决该节点的安全威胁。

Description

一种复杂网络中网络安全检测的方法

技术领域

本发明涉及网络安全技术领域，尤其涉及一种复杂网络中网络安全检测的方法。

背景技术

随着信息和数据的可访问性的增加，人们越来越关注数据的安全性和隐私性。保证网络安全、为公民社会提供一个良好的网络环境是互联网发展的必要条件。互联网逐渐发展壮大，网络中时刻潜伏着大规模、多样性的网络安全攻击。网络中的安全威胁拥有较强的隐蔽性、可复制性及难以回溯的特性，现有网络安全检测的方法都要处理大量、多维、无结构的数据，面对网络中大量的非数值型的数据，很多的威胁检测方法在对异常数据处理的过程中存在检测结果与效率等诸多方面的困扰。而且现有很多方法是属于静态检测或只能检测不能定位跟踪，不能及时发出威胁警报等，其在复杂的网络访问结构中存在很多的局限性。

随着互联网技术的发展，网络中的威胁攻击形式也多种多样，很多网络安全威胁可以同时对一个或多个平台发出攻击，从而成倍的提高攻击的威力。经过每一种网络攻击都会有一股网络异常流量产生，这种异常的网络流量会对网络造成强大的干扰与破坏，甚至可能导致财产损失。各种互联网企业及电商机构以及个人的移动终端，每时每刻随时随地可以接入网络，节点在网络中进行信息获取的过程中极易遭到网络安全攻击与威胁。网络安全攻击的难以预测性与其自身的隐蔽性使得攻击在整个网络中更加猖獗的进行破坏性的生存。比如，对于DDos攻击检测模型的建立与实现的难度就更加难以实现，现在监测和防御DDos攻击有很多方法，却很难做到实时动态的安全监控。

发明内容

针对上述问题中存在的不足之处，本发明提供一种复杂网络中网络安全检测的方法。

为实现上述目的，本发明提供一种复杂网络中网络安全检测的方法，包括：

入网节点时空定位；

建立网络中节点安全异常及对应解决方案的安全攻击检测库；

基于KDD算法对每个节点历史访问数据中的网络流量与事件密度进行挖掘和分析，建立动态泊松分布模型并设置网络流量与事件密度的安全阈值和威胁阈值；

检测节点的访问行为，将节点网络流量与事件密度的监测值与所述安全阈值和威胁阈值进行比较；

若监测值小于安全阈值，则节点的行为安全；

若监测值大于安全阈值且小于威胁阈值，则对节点的工作行为进行动态跟踪；

若监测值大于威胁阈值，则停止该节点的访问工作，并调用所述安全攻击检测库，解决该节点的安全威胁。

作为本发明的进一步改进，入网节点时空定位的方法为：

对入网节点的自身属性进行获取，提取每个节点的ID与入网时空信息，将其进行二进制转化，并将其保存在属性数据库中。

作为本发明的进一步改进，入网节点时空定位的具体方法为：

给每个接入网络中节点的空间位置定义，保存计算网络中访问终端的唯一标识IP地址或MAC地址；其中d^g表示网络的通用性，d^s表示网络的安全性，d^spid表示节点的网络空间位置，D^spid表示节点的网络空间位置的集合，d^netid表示节点的网络空间标度，D^netid表示节点的网络空间标度的集合；

d^spid＝＜x,y,z＞∈D^spid，x表示经度、y表示纬度、z表示高度；d^netid＝＜hn,na＞∈D^netid，其中hn表示主机名称、na表示网络地址，接入节点及属性的集合D记为D＝{d^g,d^s,d^spid,d^netid}。

作为本发明的进一步改进，基于KDD算法对每个节点历史访问数据中的网络流量与事件密度进行挖掘和分析的方法为：

在节点历史访问数据中选择目标数据，所述目标数据为网络流量与事件密度；

对目标数据进行预处理，得到预处理数据，所述预处理为目标数据的核对；

对预处理数据进行二进制转换，得到转换数据；

对转换数据进行挖掘和分析，建立动态泊松分布模型并设置网络流量与事件密度的安全阈值和威胁阈值。

作为本发明的进一步改进，安全的访问情况下，节点网络流量与事件密度的监测值≤安全阈值≤威胁阈值。

与现有技术相比，本发明的有益效果为：

本发明是对节点历史工作记录的总结和现在工作产生的网络流量与工作事件密度进行检测，建立互联网络安全访问攻击的泊松分布模型，实现网络威胁检测；相对于现有对单一网络安全攻击检测的技术而言，本发明具有全面性、动态性与很强的可操作性，更符合现互联网的复杂性与灵活性的特点。本发明保证了对网络安全检测的实时性，同时具有较高的准确度，能检测出攻击流找出攻击流的确切IP地址与传输中的目的IP地址，使网络管理员可以在路由器端过滤掉攻击者发送数据的流量，防止对目的主机造成威胁。

附图说明

图1为本发明一种实施例公开的复杂网络中网络安全检测的方法的流程图；

图2为本发明一种实施例公开的KDD算法的流程图；

图3为本发明一种实施例公开的泊松分布模型图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明的描述中，还需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

本发明提供一种复杂网络中网络安全检测的方法，其为低能耗高效率的网络异常检测方法，通过对网络安全中访问控制的研究，根据节点的安全的时空定位与节点之间通信异常情况的访问网络流量监测、单位时间内的事件密度进行抓取与分析的方法，查找网络中存在异常的威胁结点，根据检测结果的数值进行威胁跟踪或安全预警。

下面结合附图对本发明做进一步的详细描述：

如图1-3所示，本发明提供一种复杂网络中网络安全检测的方法，包括：

步骤1、入网节点时空定位：对入网节点的自身属性进行获取，提取每个节点的ID与入网时空信息，将其进行二进制转化(将原IP地址变成二进制的比特编码)，并将其保存在属性数据库中；具体为：

在互联网络中存在大量的移动节点比如我们使用联网的智能手机，在网络的安全威胁中实现访问网络节点的安全定位是实现后期安全路径追踪的必要条件。本发明实现空间网络访问过程中实际上访问主体通过其所使用的设备作为发起访问请求，设备在入网的时候需记录其设备的通用性、安全性、设备接入的空间位置与设备的网络标识。

本发明对接入网络中的各个节点执行安全定位方法，在网络中设置相应的接入网络节点属性数据库，里面存放每个接入网格节点的时空位置及属性，具体的网络节点时空定位的执行流程如下：

给每个接入网络中节点的空间位置定义，保存计算网络中访问终端的唯一标识IP地址或MAC地址；其中d^g表示网络的通用性，d^s表示网络的安全性，d^spid表示节点的网络空间位置，D^spid表示节点的网络空间位置的集合，d^netid表示节点的网络空间标度，D^netid表示节点的网络空间标度的集合；d^spid＝＜x,y,z＞∈D^spid标识三维空间的坐标，其中x表示经度、y表示纬度、z表示高度；d^netid＝＜hn,na＞∈D^netid，其中hn表示主机名称、na表示网络地址，接入节点及属性的集合D记为D＝{d^g,d^s,d^spid,d^netid}。

根据以上步骤精确定义网络节点在网络中的空间位置，记录节点在每次入网节点属性数据库中，以便在下述的安全检测中，对存在异常的节点及时空定位做出精确地安全检测及跟踪预警。

步骤2、建立网络中节点安全异常及对应解决方案的安全攻击检测库：在安全攻击检测库中，导入安全威胁学习数据及异常情况样本，为了检测后与异常节点的数据进行对比，确定风险的特征用对应的风险控制方案进行控制。具体为：

总结以前网络中已出现过网络威胁流量的异常特性，并将其特性的规律与控制此种威胁的方法存放于安全攻击检测库中，若网络中出现节点的异常符合安全攻击检测库中的威胁特点可以及时调用其安全控制措施，这样可以快速将网络节点的安全威胁快速解除。将检测过程中出现的威胁特点记录并设计安全威胁解除办法一同记录到安全攻击检测库中，为方便后期遇到相同威胁可以快速解除安全威胁。

步骤3、基于KDD算法对每个节点历史访问数据中的网络流量与事件密度进行挖掘和分析，建立动态泊松分布模型并设置网络流量与事件密度的安全阈值和威胁阈值；对节点历史访问数据进行数据挖掘，本发明提到的KDD是指数据挖掘知识发现的过程(Knowledge-Discovery in Databases，简称：KDD)中的步骤，本发明中使用流程如图2所示，数据挖掘使用的是网络安全攻击的泊松分布模型如图3所示；

具体的：根据节点的自身属性及入对每个节点的历史访问数据进行挖掘与分析，历史数据代表一个节点的访问习惯与规律，在分析的数值中计算相应的访问安全阈值，建立动态的泊松分布模型；根据每个节点历史网络流量数据和节点事件密度设置对应的威胁阈值与安全阈值，安全的访问情况下，节点网络流量与事件密度的监测值≤安全阈值≤威胁阈值，此两个阈值会根据访问历史记录的变化而不断更新。

如图2所示、基于KDD算法对每个节点历史访问数据中的网络流量与事件密度进行挖掘和分析的方法为：

在节点历史访问数据中选择目标数据，目标数据为网络流量与事件密度；

对预处理数据进行二进制转换，得到转换数据；由于预处理的数据并不是统一的数据类型，按照数据转换的原则将预处理的数据转换成二进制数据，在模型中统一数据类型进行处理。

上述步骤1-3均是在进行节点检测前的准备阶段，其先后顺序可任意调整。

步骤4、检测节点的访问行为，并基于KDD算法对节点的访问行为进行挖掘、分析，将节点网络流量与事件密度的监测值与安全阈值和威胁阈值进行比较；

若监测值小于安全阈值或在安全阈值范围内，则节点的行为安全；

若监测值大于安全阈值且小于威胁阈值，则对节点的工作行为进行动态跟踪，若节点的检测数值恢复到小于威胁阈值的时候取消动态跟踪；

若监测值经过跟踪越来越大最后大于威胁阈值，则停止该节点的访问工作；本发明根据两种阈值的设置，更加精细更加高效的进行了实时动态的安全检测机制。

步骤5、对步骤4中大于威胁阈值的节点在步骤2的安全攻击检测库中是否有相关异常解决措施；若有，则快速调用预存的解决方案对存在威胁的节点进行处理；若没有，则管理员对存在威胁的节点进行异常学习、处理等工作，并将该威胁节点的异常特性及对应的解决方案更新在步骤2的安全攻击检测库中。

本发明从安全攻击检测库中调取对应威胁节点解决方案的方法为：

首先在安全攻击检测库中，每个异常节点的出现拥有其固定的特征，保留固定长度的异常数据作为样本，一方面维持特征数据的唯一性，另一方面又不要有太大的空间与时间的开销。同时计算出单位时间内异常节点的事件密度，当监测值大于安全阈值时候安全攻击检测库中数据对异常节点进行扫描。检查异常节点中是否含有数据库中的异常特征。如果发现符合异常特征的数据，由于异常数据特征与威胁特征一一对应，便可以断定，被查文件中患有何种威胁。本发明采用安全攻击检测库的检测工具，面对不断出现的新威胁，必须不断更新版本，否则检测工具便逐渐失去实用价值。本检测方法的优点是：检测准确快速、误报警率低、依据检测结果，可对异常进行处理。

本发明利用此种安全检测机制对网络中的节点进行实时动态的检测，在单位时间内计算出现在工作时的网络流量与事件密度，将单位时间内的检测值与泊松分布模型中此节点的历史数据进行对比。通过本发明的操作可以细粒度、实时、动态的检测网络中每个节点的网络数值，保证网络中每一个节点的安全访问；整个网络可以通过此种方法进行实时动态的异常检测，当网络几点在实现异常访问数据及时制止，对异常数据进行跟踪学习，深度挖掘其内部的特点规律，为后续的网络安全提供实时动态的保障。

以上仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种复杂网络中网络安全检测的方法，其特征在于，包括：

入网节点时空定位；其中，入网节点时空定位的方法为：对入网节点的自身属性进行获取，提取每个节点的ID与入网时空信息，将其进行二进制转化，并将其保存在属性数据库中；

基于KDD算法对每个节点历史访问数据中的网络流量与事件密度进行挖掘和分析，建立动态泊松分布模型并设置网络流量与事件密度的安全阈值和威胁阈值；其中，基于KDD算法对每个节点历史访问数据中的网络流量与事件密度进行挖掘和分析的方法为：在节点历史访问数据中选择目标数据，所述目标数据为网络流量与事件密度；对目标数据进行预处理，得到预处理数据，所述预处理为目标数据的核对；对预处理数据进行二进制转换，得到转换数据；对转换数据进行挖掘和分析，建立动态泊松分布模型并设置网络流量与事件密度的安全阈值和威胁阈值；

若监测值小于安全阈值，则节点的访问行为安全；

若监测值大于安全阈值且小于威胁阈值，则对节点的访问行为进行动态跟踪；

若监测值大于威胁阈值，则停止该节点的访问行为，并调用所述安全攻击检测库，解决该节点的安全威胁；其中，调用所述安全攻击检测库的方法，包括：在所述安全攻击检测库中，每个异常节点的出现拥有其固定的异常特征，保留固定长度的异常数据作为异常特征样本；同时计算出单位时间内异常节点的事件密度，当监测值大于安全阈值时，通过安全攻击检测库中异常特征样本的异常数据对异常节点的数据进行扫描；检查异常节点的数据中是否含有安全攻击检测库中的异常数据；如果发现符合异常特征样本的异常数据，由于异常特征与威胁特征一一对应，便可以断定患有何种威胁。

2.如权利要求1所述的复杂网络中网络安全检测的方法，其特征在于，入网节点时空定位的具体方法为：

给每个接入网络中节点的空间位置定义，保存接入网络中节点的唯一标识IP地址或MAC地址；其中d^g表示网络的通用性，d^s表示网络的安全性，d^spid表示节点的网络空间位置，D^spid表示节点的网络空间位置的集合，d^netid表示节点的网络空间标度，D^netid表示节点的网络空间标度的集合；

d^spid＝<x，y，z>∈D^spid，x表示经度、y表示纬度、z表示高度；d^netid＝<hn，na>∈D^netid，其中hn表示主机名称、na表示网络地址，接入节点及属性的集合D记为D＝{d^g，d^s，d^spid，d^netid}。

3.如权利要求1所述的复杂网络中网络安全检测的方法，其特征在于，安全的访问情况下，节点网络流量与事件密度的监测值≤安全阈值≤威胁阈值。