CN108418841A - 基于ai的下一代关键信息基础设施网络安全态势感知系统 - Google Patents

Abstract

本发明提供一种基于AI的下一代关键信息基础设施网络安全态势感知系统，包括数据采集模块，用于采集网络中的运行状态数据；数据分析模块，用于对采集到的数据进行分析处理，生成网络安全态势评估所需的态势信息；态势评估模块，用于结合获取的安全态势信息，分析其相关性，评估当前网络的安全状态；数据转换模块，用于完成网络安全态势信息的统一化、格式化；数据存储模块，用于将获取的安全态势信息存储到大数据平台中；插件模块，用于实现与其他功能模块的通讯；查询管理模块，用于供管理员查询所述安全态势信息、当前网络的安全状态、网络中基础设施信息及基础设施之间的关系。本发明从全方位获取网络中各层的安全状况，准确度高。

Description

基于AI的下一代关键信息基础设施网络安全态势感知系统

技术领域

本发明涉及电力领域，特别是一种基于AI的下一代关键信息基础设施网络安全态势感知系统。

背景技术

随着互联网时代的来临，我国网络安全问题日益突出。目前，针对大型关键信息基础设施网络的安全态势感知在风险预测，性能评估，威胁预防等各方面都有着重要作用。在现有技术中，目前出现的安全态势感知装置都为针对单一安全态势感知，具有局限性，不能适应大规模关键信息基础设施网络的应用。

发明内容

针对上述问题，本发明旨在提供一种基于AI的下一代关键信息基础设施网络安全态势感知系统。

本发明的目的采用以下技术方案来实现：

一种基于AI的下一代关键信息基础设施网络安全态势感知系统，包括：

数据采集模块，包括设置于关键信息基础设施网络中的多个传感器，用于采集网络中服务器运行状态、网络性能和网络中关键信息基础设施的运行状态数据；

数据分析模块，用于对采集到的数据进行分析处理，生成网络安全态势评估所需的态势信息，发现可能发生的异常行为；

态势评估模块，用于结合获取的安全态势信息，分析其相关性，智能化评估当前网络的安全状态；

查询管理模块，用于供管理员查询安全态势信息、当前网络的安全状态、网络中各基础设施信息及各基础设施之间的关系；

在一种实施方式中，该系统还包括：

数据转换模块，用于完成网络安全态势信息的统一化、格式化，按照制定好的基于XML的数据公共模型转换成XML格式的数据文档，供所述查询管理模块调用；

数据存储模块，用于将获取的安全态势信息存储到大数据平台的文件系统中；

插件模块，用于实现与系统之外的模块或者系统的通讯；

智能配置模块，用于根据获取的当前网络安全状态，自动对网络中的基础设施进行配置。在一中实施方式中，数据采集模块包括：

服务器状态监测设备，用于采集服务器的运行状态；

网络状态监测设备，用于采集网络中路由器、交换机以及端到端数据链路上的网络性能数据；

设施状态监测设备，用于采集网络中基础设施的运行状态数据，其中所述基础设施的运行状态数据包括运行温度、持续运行时间、总运行时间、电源状态、网络数据、网络流量、防火墙日志。

本发明提供了一种基于AI的下一代关键信息基础设施网络安全态势感知系统，实现了在下一代关键信息基础设施的大规模网络环境下，对网络安全态势的智能化实时监控，对潜在、恶意的网络行为变得无法控制之前进行安全态势的评估、防御、响应以及预警，供管理者及时给出响应的应对策略。本发明有助于对关键信息基础设施网络的全局安全性做出评估，方便网络管理者对安全策略的及时调整，并对后续的安全态势预测及态势可视化提供了技术支持。

本发明的有益效果为：不同于现有的网络安全单一态势感知系统，本发明可以实现网络中从网络级到服务器级到关键信息基础设施级的多级安全态势感知，便于管理员从全方位了解网络中各层的安全状况，提供正确的决策。

附图说明

利用附图对本发明作进一步说明，但附图中的实施例不构成对本发明的任何限制，对于本领域的普通技术人员，在不付出创造性劳动的前提下，还可以根据以下附图获得其它的附图。

图1为本发明的框架结构图；

图2为本发明数据采集模块的框架结构图；

图3为本发明态势评估模块的框架结构图。

附图标记：

数据采集模块100、数据分析模块200、态势评估模块300、数据转换模块400、数据存储模块500、插件模块600、查询管理模块700、智能配置模块800、服务器状态监测设备110、网络状态监测设备120、设施状态监测设备130、态势评估单元310、态势预测单元320

具体实施方式

结合以下应用场景对本发明作进一步描述。

参见图1，其示出基于AI的下一代关键信息基础设施网络安全态势感知系统，包括：

数据采集模块100，包括设置于关键信息基础设施网络中的多个传感器，用于采集网络中服务器运行状态、网络性能和网络中关键信息基础设施的运行状态数据；

数据分析模块200，用于对采集到的数据进行分析处理，生成网络安全态势评估所需的态势信息，发现可能发生的异常行为；

态势评估模块300，用于结合获取的安全态势信息，分析其相关性，智能化评估当前网络的安全状态；

查询管理模块700，用于供管理员查询安全态势信息、当前网络的安全状态、网络中各基础设施信息及各基础设施之间的关系。

其中，各基础设施之间的关系包括网络中各基础设施之间的连接关系、调用关系和依赖关系。

在一种实施方式中，该系统还包括：

数据转换模块400，用于完成网络安全态势信息的统一化、格式化，按照制定好的基于XML的数据公共模型转换成XML格式的数据文档，供所述查询管理模块调用；

数据存储模块500，用于将获取的安全态势信息存储到大数据平台的文件系统中；

插件模块600，用于实现与系统之外的模块或者系统的通讯；

智能配置模块800，用于根据获取的当前网络安全状态，自动对网络中的基础设施进行配置，

其中，自动对网络中的基础设施进行配置，包括：根据当前的网络安全状态，获取存在安全威胁的安全态势信息及其对应的基础设施，根据预先设定的与安全威胁对应的配置方案对基础设施进行配置。

在一中实施方式中，参见图2，数据采集模块100包括：

服务器状态监测设备110，用于采集服务器的运行状态；

网络状态监测设备120，用于采集网络中路由器、交换机以及端到端数据链路上的网络性能数据；

设施状态监测设备130，用于采集网络中基础设施的运行状态数据，其中所述基础设施的运行状态数据包括运行温度、持续运行时间、总运行时间、电源状态、网络数据、网络流量、防火墙日志等。

优选地，所述运行状态数据包括设施的运行温度，响应时长和所述设施传输到网络的数据。

本申请上述实施方式，对网络安全态势的实时监控，不仅对基础设施自身的运行状态进行监控，而且还网络中传输的数据进行监控，对潜在、恶意的网络行为变得无法控制之前进行安全态势的评估、防御、响应以及预警，供管理者及时给出响应的应对策略。本发明有助于对关键信息基础设施网络的全局安全性做出评估，方便网络管理者对安全策略的及时调整，并对后续的安全态势预测及态势可视化提供了技术支持；同时，从网络级到服务器级到关键信息基础设施级的多级安全态势感知，便于管理员从全方位获取网络中各层的安全状况，提供正确的决策。

在一中实施方式中，数据分析模块200具体包括：

对数据采集模块100采集到的数据进行分析和过滤，获取安全态势评估所需的态势信息，通过和已有的正常行为模型或异常行为模型进行匹配对比，记录检测到的异常行为及其产生安全威胁的概率，进而分析确定安全威胁的相关信息。

本申请上述实施方式，通过设置数据分析模块，能够将从数据采集模块中采集到的数据进行分析和预处理，从中获取关键的态势信息，并且和预设的正常行为模型或异常行为模型进行匹配，分析获取的态势信息是否存在异常，并通过模型分析出态势信息中存在威胁的概率，为装置后续对网络的安全态势估计奠定了基础。

在一中实施方式中，参见图3，态势评估模块300包括：

态势评估单元310，用于对网络安全态势信息进行分析，评估当前网络的安全态势；

态势预测单元320，用于根据当前网络安全态势和历史分析数据，预测网络安全态势的发展趋势和走向。

本申请上述实施方式，通过态势估计单元，对获取的网络安全态势信息进行分析，能够实时判断网络中的安全态势，对整个关键信息基础设施网络进行监控；同时，态势预测单元根据网络当前安全态势和历史分析数据进行分析，能够预测网络安全态势的走向，有助于装置对预测到的网络安全态势进行提前的预警，提高了关键信息基础设施网络的安全性和可靠性。

在一中实施方式中，态势评估单元310具体包括：

信息融合层，将与对象相关的多个传感器采集的态势信息进行数据融合，分别获取该对象中不同威胁已经发生的概率，其中，采用的单个威胁发生概率函数为：

式中，p(δ,t)表示t时刻威胁发生的概率，p_n(δ)和分别表示第n个态势信息表示威胁的发生概率和不发生概率，p_n(δ,t)表示t时刻第n个态势信息表示威胁的发生概率，N表示获取的态势信息的总数，ε表示数据融合因子；

其中，所述对象包括网络中的服务器、路由器、交换机、端到端数据链路、基础设施或基础设施中的模块；

对象态势分析层，结合不同威胁发生的概率和严重程度，获取每个对象的安全态势值，其中，采用的对象安全态势值函数为：

式中，Ψ表示对象的安全态势值，N表示对象所受的威胁总数，p_z表示第z个威胁的发生概率，表示第z个威胁的严重程度，其中严重程度由系统预存的用户手册提供，用户手册根据威胁的分类和造成的后果将威胁严重度划分为高，中，低三个等级，分别记

网络态势分析层，获取网络的安全态势值，其中，采用的网络安全态势值函数为：

式中，H表示网络安全态势值，G表示网络中所有对象的总数，μ_g,hM_g,h+μ_g,mM_g,m+μ_{g, l}M_g,l表示网络中第g个对象的权重，μ_g,h，μ_g,m，μ_g,l分别表示该对象提供的服务的重要程度为高、中、低三个等级的量化分值，M_g,h，M_g,m，Mg,_l表示该对象提供的重要程度为高、中、低三种等级服务的数量，Ψ_g表示网络中第g个对象的安全态势值。

本申请上述实施方式，采用上述的方法对获取的态势信息进行融合，使得网络中设施受到威胁的概率计算更为准确；其次，通过建立层次化的多源网络安全态势分析模型，能够从关键信息基础设施到服务器最后再到网络的安全态势进行整体的评估，实现了网络安全态势的量化估算，方便装置和管理者对网络安全态势的判断，能够有效地提高工作效率，同时提高了装置对网络安全态势评估的准确性和连续性，适用于大规模关键信息基础设施网络系统。

在一中实施方式中，对象态势分析层，还包括：

结合不同威胁发生的概率、严重程度和对象间的关联度，获取目标对象α的安全态势值，其中采用的安全态势值函数为：

式中，Ψ′_α表示目标对象α的安全态势值，Z表示目标对象所受的威胁总数，p_z表示第z个威胁的发生概率，表示第z个威胁的严重程度，其中严重程度由系统预存的用户手册提供，用户手册根据威胁的分类和造成的后果将威胁严重度划分为高，中，低三个等级，分别记 表示目标对象α与其关联对象y的风险关联系数，Y表示目标对象α的关联对象的总数，表示目标对象α中的s模块与关联对象y中的c模块的风险关联系数，Ψ_y表示关联对象y的安全态势值；s＝1,2,…,S，表示目标对象α上的模块数，c＝1,2,…,C，表示关联对象y上的模块数。

其中，对象间风险关联系数采用迪杰斯特拉算法计算所得。

本申请上述实施方式，由于关键信息基础设施网络中，根据设施性能的考量，通常关键信息基础设施中会部署一个或者多个模块，模块之间共同协作完成网络中的某个特定功能，即网络中的设施都会存在着一定的调用关系或依赖关系，如果某一模块严重依赖另一模块的输入或者相应，则当后者遭受到攻击等问题导致无法正常运作时，前者必然无法正常完成任务，可以说两者之间是存在风险关联的；因此，在计算目标对象的安全态势值时，添加该对象的风险关联作为安全态势值的考量依据，能够有效地适应大规模关键信息基础设施网络中设备互相存在关联的情况，提高了设施安全态势估计的精确度。

在一中实施方式中，态势预测单元320具体包括：

(1)构建SVM安全态势预测模型；

(2)根据获取的网络安全态势值，按照时间序列方法生成安全态势样本数据集，并将安全态势样本数据集划分为训练样本和测试样本，其中训练样本用于SVM训练以得到初始安全态势预测模型，测试样本用于检测初始预测模型的预测精度；

(3)对SVM安全态势预测模型进行参数优化处理，获取SVM模型的最优参数，具体包括：

(31)随机构造由i个粒子组成的初始种群，进行初始化设置，包括设置群体规模、迭代次数、随机给出初始粒子和粒子初始速度其中每个粒子向量代表一个SVM模型，该模型对应不同的SVM参数，包括：惩罚系数C，不敏感损失系数ε，核函数宽度参数σ；

(32)粒子向量对应的参数决定一个SVM模型，用它对测试样本集r进行测试，计算每个模型的适应值ε(e)，以反映本SVM模型的推广预测能力，其中采用的适应值函数为：

式中，ε(e)表示模型的适应值，r_k表示第k个样本的预测值，r′_k表示第k个样本的实测值，K表示测试样本集中测试样本的数量；

(33)将获取的适应值ε(e)与自身最优值β_B进行比较，如果ε(e)<β_B，则用新的适应值取代前一轮的最优值，用新的粒子取代前一轮的粒子；

(34)将每个粒子的最好的适应值β_B与所有粒子的最好适应值τ_B进行比较，如果β_B<τ_B，则用该粒子的最好适应值取代原有的全局最好适应值，同时保存粒子的当前状态；

(35)判断适应值或迭代次数是否满足要求，如果不满足，则进行新一轮的计算，将未被保存状态的粒子进行移动，从而产生新的粒子，返回步骤(2)，如果满足要求，则结束计算，根据最好适应值的粒子输出SVM模型的最优参数；

(4)根据SVM模型的最优参数训练生成最终安全态势预测模型；

(5)将实时获取的网络安全态势值输入到最终安全态势预测模型中，获取预测的网络安全态势值，并根据历史数据分析，预估网络安全态势的发展趋势与走向。

其中，SVM指的是支持向量机，是一个有监督的学习模型，通常用于进行模式识别、分类以及回归分析，其中SVM模型的重要参数包括：惩罚系数，表示对误差的宽容度；不敏感损失系数ε，用于控制误差范围；核函数宽度参数σ，用于控制SVM模型中核函数的径向作用范围。

本申请上述实施方式，采用上述的方法对网络安全态势进行预测，利用SVM模型对非线性数据、小样本数据等处理的数学优势，训练更为适合网络安全态势的非线性拟合(预测)模型，并且采用上述方法确定SVM模型的关键参数，能够进一步提高网络安全态势预测模型的精确度和效率。

最后应当说明的是，以上实施例仅用以说明本发明的技术方案，而非对本发明保护范围的限制，尽管参照较佳实施例对本发明作了详细地说明，本领域的普通技术人员应当分析，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的实质和范围。

Claims (7)

1.基于AI的下一代关键信息基础设施网络安全态势感知系统，其特征在于，包括：

数据采集模块，包括设置于所述关键信息基础设施网络中的多个传感器，用于采集网络中服务器运行状态、网络性能和网络中关键信息基础设施的运行状态数据；

数据分析模块，用于对采集到的数据进行分析处理，生成网络安全态势评估所需的态势信息，发现可能发生的异常行为；

态势评估模块，用于结合获取的安全态势信息，分析其相关性，智能化评估当前网络的安全状态；

查询管理模块，用于供管理员查询所述安全态势信息、当前网络的安全状态、网络中基础设施信息及基础设施之间的关系。

2.根据权利要求1所述的基于AI的下一代关键信息基础设施网络安全态势感知系统，其特征在于，还包括：

数据转换模块，用于完成网络安全态势信息的统一化、格式化，按照制定好的基于XML的数据公共模型转换成XML格式的数据文档，供所述查询管理模块调用；

数据存储模块，用于将所述获取的安全态势信息存储到大数据平台的文件系统中；

插件模块，用于实现与所述系统之外的模块或者系统的通讯；

智能配置模块，用于根据获取的当前网络安全状态，自动对网络中的基础设施进行配置。

3.根据权利要求2所述的基于AI的下一代关键信息基础设施网络安全态势感知系统，其特征在于，所述数据采集模块包括：

服务器状态监测设备，用于采集服务器的运行状态；

网络状态监测设备，用于采集网络中路由器、交换机以及端到端数据链路上的网络性能数据；

设施状态监测设备，用于采集网络中基础设施的运行状态数据，其中所述基础设施的运行状态数据包括运行温度、持续运行时间、总运行时间、电源状态、网络数据、网络流量、防火墙日志。

4.根据权利要求3所述的基于AI的下一代关键信息基础设施网络安全态势感知系统，其特征在于，所述数据分析模块具体包括：

对所述数据采集模块采集到的数据进行分析和过滤，获取安全态势评估所需的态势信息，通过和已有的正常行为模型或异常行为模型进行匹配对比，记录检测到的异常行为及其产生安全威胁的概率，进而分析确定安全威胁的相关信息，所述正常行为模型和异常行为模型通过人工智能的方法获得，所述通过人工智能的方法获得包括根据历史的态势信息和设备运行状态学习所得。

5.根据权利要求4所述的基于AI的下一代关键信息基础设施网络安全态势感知系统，其特征在于，所述态势评估模块包括：

态势评估单元，用于对网络安全态势信息进行分析，评估当前网络的安全态势；

态势预测单元，用于根据当前网络安全态势和历史分析数据，预测网络安全态势的发展趋势和走向。

6.根据权利要求5所述的基于AI的下一代关键信息基础设施网络安全态势感知系统，其特征在于，所述态势评估单元具体包括：

信息融合层，将与对象相关的多个传感器采集的态势信息进行数据融合，分别获取该对象中不同威胁已经发生的概率，其中，采用的单个威胁发生概率函数为：

式中，p(δ,t)表示t时刻威胁发生的概率，p_n(δ)和分别表示第n个态势信息表示威胁的发生概率和不发生概率，p_n(δ,t)表示t时刻第n个态势信息表示威胁的发生概率，N表示获取的态势信息的总数，ε表示数据融合因子；

对象态势分析层，结合所述不同威胁发生的概率和严重程度，获取每个对象的安全态势值，其中，采用的对象安全态势值函数为：

式中，Ψ表示对象的安全态势值，N表示对象所受的威胁总数，p_z表示第z个威胁的发生概率，表示第z个威胁的严重程度，其中所述严重程度由系统预存的用户手册提供，用户手册根据威胁的分类和造成的后果将威胁严重度划分为高，中，低三个等级，分别记

网络态势分析层，获取网络的安全态势值，其中，采用的网络安全态势值函数为：

式中，H表示网络安全态势值，G表示网络中所有对象的总数，μ_g,hM_g,h+μ_g,mM_g,m+μ_g,lM_g,l表示网络中第g个对象的权重，μ_g,h，μ_g,m，μ_g,l分别表示该对象提供的服务的重要程度为高、中、低三个等级的量化分值，M_g,h，M_g,m，Mg,_l表示该对象提供的重要程度为高、中、低三种等级服务的数量，Ψ_g表示网络中第g个对象的安全态势值。

7.根据权利要求6所述的基于AI的下一代关键信息基础设施网络安全态势感知系统，其特征在于，所述对象态势分析层，还包括：

结合所述不同威胁发生的概率、严重程度和对象间的关联度，获取目标对象α的安全态势值，其中采用的安全态势值函数为：

式中，Ψ′_α表示目标对象α的安全态势值，Z表示目标对象所受的威胁总数，p_z表示第z个威胁的发生概率，表示第z个威胁的严重程度，其中所述严重程度由系统预存的用户手册提供，用户手册根据威胁的分类和造成的后果将威胁严重度划分为高，中，低三个等级，分别记 表示目标对象α与其关联对象y的风险关联系数，Y表示目标对象α的关联对象的总数，表示目标对象α中的s模块与关联对象y中的c模块的风险关联系数，Ψ_y表示关联对象y的安全态势值；s＝1,2,...,S，表示目标对象α上的模块数，c＝1,2,...,C，表示关联对象y上的模块数。