CN108494810B - 面向攻击的网络安全态势预测方法、装置及系统 - Google Patents

面向攻击的网络安全态势预测方法、装置及系统 Download PDF

Info

Publication number
CN108494810B
CN108494810B CN201810594501.5A CN201810594501A CN108494810B CN 108494810 B CN108494810 B CN 108494810B CN 201810594501 A CN201810594501 A CN 201810594501A CN 108494810 B CN108494810 B CN 108494810B
Authority
CN
China
Prior art keywords
attack
network
information
data
situation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201810594501.5A
Other languages
English (en)
Other versions
CN108494810A (zh
Inventor
张玉臣
胡浩
邱辉
张红旗
汪永伟
范钰丹
何淼
汪涛
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Information Engineering University of PLA Strategic Support Force
Original Assignee
Information Engineering University of PLA Strategic Support Force
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Information Engineering University of PLA Strategic Support Force filed Critical Information Engineering University of PLA Strategic Support Force
Priority to CN201810594501.5A priority Critical patent/CN108494810B/zh
Publication of CN108494810A publication Critical patent/CN108494810A/zh
Application granted granted Critical
Publication of CN108494810B publication Critical patent/CN108494810B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/147—Network analysis or design for predicting network behaviour
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H04L43/045—Processing captured monitoring data, e.g. for logfile generation for graphical visualisation of monitoring data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0245—Filtering by information in the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/065—Encryption by serially and continuously modifying data stream elements, e.g. stream cipher systems, RC4, SEAL or A5/3
    • H04L9/0656—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • Algebra (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Probability & Statistics with Applications (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明属于网络安全技术领域，特别涉及一种面向攻击的网络安全态势预测方法、装置及系统，该方法包含：检测并收集网络对抗环境下的报警数据和网络环境运维信息，获取网络安全态势预测所需的要素集，该要素集包含攻击方、防御方和网络环境三类信息；对攻击方能力和防御方水平进行评估，建立动态贝叶斯攻击图，计算攻击阶段数和攻击状态发生概率向量；结合漏洞评分标准和网络资产信息，从时空维度量化网络安全态势值。本发明实现防御方、攻击方与环境信息等态势要素间的动态关联，更加符合网络实际环境，能够准确地对未来态势与攻击发生时间进行预测，具有更高的预测效率，优化网络安全态势感知的存储规模与时效性，为网络防护提供更有效的指导。

Description

面向攻击的网络安全态势预测方法、装置及系统
技术领域
本发明属于网络安全技术领域，特别涉及一种面向攻击的网络安全态势预测方法、装置及系统。
背景技术
随着网络规模的不断扩大，传统行业与互联网的结合越来越广泛，人们的生活已高度依赖于网络。目前网络安全环境不容乐观，网络攻击日益频繁，造成的威胁与损失也越来越大。因此在复杂多变的网络环境中认知、理解并预测网络的安全状态及其发展趋势，有助于管理人员及时掌握网络安全状况，并对未来可能出现的威胁提前做出防护，减小攻击对网络的危害。网络安全态势预测作为安全态势感知的重要环节，通过预测未来网络安全态势的发展，帮助管理员提前做出防护准确，降低网络攻击所带来的潜在损失。
传统方法在对安全状态的趋势进行预测时，主要以攻击威胁、网络脆弱性为预测要素，该类方法仅结合单一要素进行预测，已经无法满足管理人员对掌握网络整体安全趋势的需求。网络安全态势感知技术融合了入侵检测系统IDS、防火墙、病毒检测系统VDS等网络安全设备的防护数据，是对网络安全状况与趋势的一个整体反映，能够作为网络预警与响应的重要参照。目前主流的网络安全态势预测方法一般分为以下三种：1)、基于时空序列分析的方法.该方法的假设条件为安全态势值的变化具有规则和周期性，因此通过对网络中历史与当前安全态势值的分析，从而实现对网络安全趋势的预测，该方法未对网络各安全态势要素的变化、以及各动态安全态势要素间的相互影响进行分析，因此模式固定，预测突发事件不强。2)、基于博弈论的方法.该方法在攻防对抗环境中，利用博弈理论动态选择攻击方与防御方的最优策略选择，通过综合分析攻击方、防御方与网络环境信息的变化，在态势要素选择上较为全面，博弈论在军事领域应用比较成熟，而在网络环境中突发性强、不可预知因素过多，因此对网络攻防建立博弈论的模型难度较大；且该方法只能对安全趋势进行短期预测，无法给出网络态势长期的预测。3)、基于图论的方法.该方法利用网络环境中的脆弱性信息生成状态转移图，并从攻击者角度出发，依据当前状态对网络未来可能出现的安全状态进行预测。但该方法仅仅从攻击方与网络环境信息进行考虑，其建立的攻击图为静态攻击图，忽略了防御方的策略选择对网络未来安全态势的影响。综上，现有方法存在一些亟待解决的问题：1)、缺乏对防御方、攻击方与环境信息等态势要素间的动态关联。其中基于序列分析与攻击图的方法均只对攻击方与环境信息进行分析，而基于博弈论的方法建模难度较大，尚无成熟模型；2)、尚未对攻击入侵成功的时间进行预测。现有方法都是对网络未来一段时间的预测，其预测为下一阶段，时间上具有模糊性，缺乏对攻击的入侵成功时间量化预测。
发明内容
针对现有技术中的不足，本发明提供一种面向攻击的网络安全态势预测方法、装置及系统，通过提取攻防双方及网络环境的全方位态势要素，构建动态贝叶斯网路攻击图，从时空两个维度对未来态势与攻击发生时间进行预测，符合网路实际对抗环境，实现网络安全态势的量化分析和趋势预测，增强网络安全态势预测的有效性和实时性。
按照本发明所提供的设计方案，一种面向攻击的网络安全态势预测方法，包含如下内容：
检测并收集网络对抗环境下的报警数据和网络环境运维信息，获取网络安全态势预测所需的要素集，该要素集包含攻击方、防御方和网络环境三类信息；
对攻击方能力和防御方水平进行评估，建立动态贝叶斯攻击图，计算攻击阶段数和攻击状态发生概率向量；
结合漏洞评分标准和网络资产信息，从时空维度量化网络安全态势值。
上述的，要素集中攻击方信息包含原子攻击动作、攻击序列和攻击能力；防御方信息包含防御策略集；网络环境信息包含主机运维信息、拓扑结构、服务漏洞和网络连通性。
优选的，通过采集网络传感器报警信息并对报警信息进行数据融合，获取原子攻击动作，网络传感器至少包含入侵检测系统、防火墙和系统日志；对原子攻击动作进行因果分析，得到攻击序列；并依据攻击方历史安全时间数据获取攻击能力。
优选的，依据收集到的网络安全态势要素集，建立动态贝叶斯攻击图，包含如下内容：
读取服务漏洞数据，并结合通用漏洞评分和漏洞生命周期模型获取漏洞真实利用率；
通过漏洞真实利用率及原子攻击动作前提攻击发生时间，计算先验攻击耗时和未知漏洞期望耗时；
依据网络安全态势要素集合，生成目标网络动态贝叶斯攻击图BAG＝(S,A,ξ,p)，并构造状态转移矩阵、攻击期望耗时矩阵、防御期望耗时矩阵、依存关系矩阵、状态发生概率向量和状态转移时间向量，其中，S表示状态节点集合，A表示为状态节点间的有向边集合，ξ表示状态间的依赖关系，P表示状态转移概率集合；
结合攻击方攻击能力与防御策略评估结果，对状态转移矩阵、攻击期望耗时矩阵、防御期望耗时矩阵进行赋值，并初始化状态转移时间向量；对攻击序列中各原子攻击动作实现状态进行映射，获取状态发生概率向量；
根据攻防双方期望耗时，判断攻击者能否在脆弱性修复前进行状态转移，更新状态转移矩阵；依据攻击者所处当前状态，迭代更新状态发生概率向量、状态转移时间向量及状态转移矩阵，直至满足预设递归终结条件，结束本次递归，输出攻击阶段数和攻击状态发生概率向量。
优选的，结合漏洞评分标准和网络资产信息，从时空维度量化网络安全态势值，包含如下内容：
通过查询美国NVD数据库，获取每个服务漏洞的威胁得分；
读取第t个攻击阶段的状态发生概率向量Pt，Pi t表示状态节点i的预测发生概率，设定状态节点i发生主机的权重值为Weighti，vi是该节点发生所依赖的服务漏洞，则第t个攻击阶段的网络安全态势值计算公式表示为：NSAt＝∑Pi tImpact(vi)Weighti，Impact(vi)表示服务漏洞vi的威胁得分；
结合各攻击阶段的安全态势值，构建安全态势演化图和攻击路径状态转移图，获取网络安全发展趋势。
一种面向攻击的网络安全态势预测装置，包含信息收集模块、攻击图建立模块及态势预测模块，其中，
信息收集模块，用于检测并收集网络对抗环境下的报警数据和网络环境运维信息，获取网络安全态势预测所需的要素集，该要素集包含攻击方、防御方和网络环境三类信息；
攻击图建立模块，用于对攻击方能力和防御方水平进行评估，建立动态贝叶斯攻击图，计算攻击阶段数和攻击状态发生概率向量；
态势预测模块，用于结合漏洞评分标准和网络资产信息，从时空维度量化网络安全态势值。
上述的装置中，所述的信息收集模块包含要素集收集子模块、数据聚类子模块和数据存储子模块，其中，
要素集收集子模块，用于获取对抗环境下的攻击方信息、防御方信息和网络环境信息，该攻击方信息包含原子攻击动作、攻击序列和攻击能力；防御方信息包含防御策略集；网络环境信息包含主机运维信息、拓扑结构、服务漏洞和网络连通性；
数据聚类子模块，用于通过预设过滤规则对要素集收集子模块获取的数据进行过滤，并通过多源异构数据统一格式进行统一和聚类；
数据存储子模块，用于对数据聚类子模块中统一和聚类结果进行数据存储。
上述的装置中，要素集收集子模块包含攻击方信息收集单元、防御方信息收集单元和网络环境信息收集单元，其中，
攻击方信息收集单元，用于通过采集网络传感器报警信息并对报警信息进行数据融合，获取原子攻击动作，网络传感器至少包含入侵检测系统、防火墙和系统日志；对原子攻击动作进行因果分析，得到攻击序列；并依据攻击方历史安全时间数据获取攻击能力；
防御方信息收集单元，用于收集网络防护配置信息，该网络防护配置信息至少包含防火墙规则、入侵检测系统安全策略和脆弱性解决方案；
网路环境信息收集单元，用于采集网络环境统计信息，该网络环境统计信息至少包含网络连接性、主机运维数据、服务漏洞和拓扑结构。
一种面向攻击的网络安全态势预测系统，包含态势数据服务器、态势量化服务器和Hadoop支撑平台，其中，
态势数据服务器，用于通过部署在网络中安全传感器对影响网络完全状况的安全要素进行收集，并对收集到的数据进行数据清洗、聚类和融合，获取网络安全态势预测所需的要素集；
态势量化服务器，用于依据要素集构造目标网络的动态贝叶斯攻击图，通过攻击迭代预测攻击行为，获取不同攻击阶段的网络安全态势值；
Hadoop支撑平台，用于将要素集数据的计算和存储扩展到Hadoop集群中各个节点，通过调用Hadoop端口，利用分布式文件系统进行数据存储，通过映射归约编程模型MapReduce进行数据并行计算。
上述的系统中，所述的态势量化服务器包含攻击预测模块、态势量化模块和可视化模块，其中，
攻击预测模块，利用要素集构造目标网络的动态贝叶斯攻击图，获取攻击阶段数和攻击状态发生概率向量；
态势量化模块，用于结合通用漏洞评分标准和网络环境主机资产信息，及攻击阶段数和攻击状态发生概率向量，获取攻击阶段的网络安全态势值；
可视化模块，用于依据不同攻击阶段的网络安全态势值，构建安全态势演化图和攻击路径状态转移图，获取网络安全发展趋势。
本发明的有益效果：
本发明通过提取攻击方、防御方、网络环境信息全方位的态势要素，对攻击者能力与防御者水平进行评估，建立动态的贝叶斯攻击图，预测网络攻击的可能行为，并从时空两个维度对态势预测值进行量化分析，相比传统方法，实现了防御方、攻击方与环境信息等态势要素间的动态关联，更加符合网络实际环境，能够准确地对未来态势与攻击发生时间进行预测，无需对历史序列进行训练，具有更高的预测效率，同时优化网络安全态势感知的存储规模与时效性，为网络防护提供更有效的指导。
附图说明：
图1为实施例中的方法流程示意图；
图2为实施例中贝叶斯攻击图构建示意图；
图3为实施例中网络安全态势值获取示意图；
图4为实施例中的装置结构示意图；
图5为实施例中的信息收集模块结构示意图；
图6为实施例中的要素集收集子模块结构示意图；
图7为实施例中系统架构示意图；
图8为实施例中的系统工作原理示意图；
图9为实施例中的态势数据服务器功能模块示意图；
图10为实施例中的态势量化服务器功能模块示意图；
图11为实施例中的Hadoop支撑平台功能模块示意图；
具体实施方式：
为使本发明的目的、技术方案和优点更加清楚、明白，下面结合附图和技术方案对本发明作进一步详细的说明。实施例中涉及到的技术术语如下：
现有网络安全态势预测中，主要以攻击威胁和网络脆弱性作为预测要素，因预测要素单一，无法满足管理人员掌握网络整体安全需求，缺乏攻防双方及网络环境要素的动态关联，且建模难度大，模型不成熟，预测时间段比较模糊，缺乏对攻击入侵成功时间量化的预测。鉴于此，本发明实施例提供一种面向攻击的网络安全态势预测方法，参见图1所示，包含：
S101、检测并收集网络对抗环境下的报警数据和网络环境运维信息，获取网络安全态势预测所需的要素集，该要素集包含攻击方、防御方和网络环境三类信息；
S102、对攻击方能力和防御方水平进行评估，建立动态贝叶斯攻击图，计算攻击阶段数和攻击状态发生概率向量；
S103、结合漏洞评分标准和网络资产信息，从时空维度量化网络安全态势值。
通过提取攻击方、防御方、网络环境信息全方位的态势要素，并对攻击者能力与防御者水平进行评估，建立动态的贝叶斯攻击图，预测网络攻击的可能行为，并结合通用漏洞评分标准CVSS，计算基于攻击预测的安全态势值，从时空两个维度对未来态势与攻击发生时间进行预测，符合网络对抗环境，具有广泛的应用前景。
依据网络对抗环境，本发明的另一个实施例中，检测收集对抗环境下的报警数据与网络环境自身运维信息，并对收集到的信息进行标准化规范，从而得到网络安全态势预测所需的要素集，包括攻击方、防御方、环境信息3类；其中，攻击方信息包括原子攻击动作、攻击序列、攻击能力，攻击信息的来源主要依靠网络中入侵检测系统IDS、防火墙、系统日志等传感器的报警信息，对报警信息进行数据融合得到原子攻击动作，并对原子动作进行因果分析得到攻击序列，攻击能力计算依据攻击者历史安全事件数据分析得到；防御方信息包括防护策略集，防御方信息的收集依靠对网络中出现的脆弱性的解决方案的汇总；环境信息包括主机信息、拓扑结构、网络连通性，环境信息的收集依靠对网络信息的统计与漏洞扫描系统的结果，其中拓扑结构依据对网络结构的统计，网络连通性依据网络中防火墙的过滤规则，主机信息依据对运维系统、软件的统计和对主机的漏洞扫描。
依据收集到的网络安全态势要素集，建立动态贝叶斯攻击图，本发明的再一个实施例中，参见图2所示，攻击图建立具体包含如下内容：
S201、读取服务漏洞数据，并结合通用漏洞评分和漏洞生命周期模型获取漏洞真实利用率；
S202、通过漏洞真实利用率及原子攻击动作前提攻击发生时间，计算先验攻击耗时和未知漏洞期望耗时；
S203、依据网络安全态势要素集合，生成目标网络动态贝叶斯攻击图BAG＝(S,A,ξ,p)，并构造状态转移矩阵、攻击期望耗时矩阵、防御期望耗时矩阵、依存关系矩阵、状态发生概率向量和状态转移时间向量，其中，S表示状态节点集合，A表示为状态节点间的有向边集合，ξ表示状态间的依赖关系，P表示状态转移概率集合；
S204、结合攻击方攻击能力与防御策略评估结果，对状态转移矩阵、攻击期望耗时矩阵、防御期望耗时矩阵进行赋值，并初始化状态转移时间向量；对攻击序列中各原子攻击动作实现状态进行映射，获取状态发生概率向量；
S205、根据攻防双方期望耗时，判断攻击者能否在脆弱性修复前进行状态转移，更新状态转移矩阵；依据攻击者所处当前状态，迭代更新状态发生概率向量、状态转移时间向量及状态转移矩阵，直至满足预设递归终结条件，结束本次递归，输出攻击阶段数和攻击状态发生概率向量。
与传统基于静态攻击图的网络攻击行为预测方法相比，本实施例通过动态关联攻击方与防御方的策略选择对环境信息的影响，在攻防对抗环境下生成动态贝叶斯攻击图来预测攻击行为。攻击行为预测即是状态间的相互转移，其转移依据当前的攻击状态、以及未来可能的攻击途径，其预测过程是一个递归，从一个状态转移到另一种状态取决于前面已发生的状态，包括漏洞利用率评估、攻击期望耗时评估、预测算法准备、预测算法初始化、预测算法递归、预测算法结束这6个子步骤：
(1)漏洞利用率评估，态势量化&可视化服务器端调用漏洞利用率评估子模块，读取态势数据集成服务器端MySQL数据库中存储的漏洞数据，结合行业公开的通用漏洞评分CVSS与Frei’s漏洞生命周期模型计算漏洞真实利用率pt(v)＝F(t)×p；CVSS提供了漏洞v的攻击复杂度评估标准，若复杂度为低级，则利用率p＝0.71；若为中级，则p＝0.61；若为高级，则p＝0.35；Frei’s模型给出漏洞的时间因子函数，用于衡量利用技术的当前状况以及漏洞攻击代码的可获得性。其时间因子函数
Figure BDA0001691722090000081
其中α与k为常数参数，α＝0.26，k＝0.00161；t＝tnow-tSIP，即为当前时间与该漏洞首次发布在SIP上时的天数差。
(2)攻击期望耗时评估，攻击期望耗时评估子模块采用加权平均值的方法，从态势数据集成服务器端读取安全事件信息，计算先验攻击耗时
Figure BDA0001691722090000082
其中n表示已知攻击序列的边数，t表示攻击序列中一个原子攻击动作的发生时间，原子攻击动作a是指攻击者在网络中实施的单个攻击动作，其可能是对主机服务的扫描或对主机某个漏洞v的利用，pre(t)表示该原子攻击动作的前提攻击的发生时间，pt(v)表示执行该原子攻击动作所依赖漏洞的利用率。计算攻击者利用未知漏洞v0的期望耗时tattack＝ASLT/pt(v0)。
(3)预测算法准备，贝叶斯攻击图构造子模块利用自动化工具MulVAL，以网络连通性信息、网络漏洞、主机/网络配置、访问策略信息为输入，生成目标网络的贝叶斯攻击图BAG＝(S,A,ξ,p)，其中，S表示状态节点集合，A表示为状态节点间的有向边集合，ξ表示状态间的依赖关系，P表示状态转移概率集合：
·A∈S×S.
Figure BDA0001691722090000091
a＝pre(a)→post(a)，pre(a)为a的起始状态节点，post(a)为a的目的状态节点。
·S＝SinternalUSexternalUSterminal.其中对于
Figure BDA0001691722090000092
不存在a∈A使得Si＝post(a)；对于
Figure BDA0001691722090000093
使得Si＝post(aj)＝post(ak)；对于
Figure BDA0001691722090000094
不存在a∈A使得Si＝pre(a)。
·对于
Figure BDA0001691722090000095
P(Si)表示状态Si的可达概率；对于
Figure BDA0001691722090000096
p(a)表示攻击者从状态pre(a)转移到状态post(a)的概率，等于原子攻击a利用漏洞v的真实利用率pt(v)。
·对于
Figure BDA0001691722090000097
存在ξj∈ξ与Si相对应，且ξj∈{AND,OR}。其中，ξj＝AND表示只有状态Si的全部父节点全部入侵成功，Si才有可能成功；ξj＝OR表示只要状态Si的任一父节点被成功入侵，Si就有可能成功。其满足如下运算规则，其中pre(Si)表示状态Si的父节点，a＝pre(Si)→Si
Figure BDA0001691722090000098
构造状态转移矩阵Pr，Prij∈Pr表示该攻击者从状态i转移到状态j的概率，其等于该攻击者对所依赖漏洞的真实利用率pt(v)；若从状态i到状态j不可达，则设置Prij＝0；设置Prii＝1。构造攻击期望耗时矩阵CT，CTij∈CT表示该攻击者从状态i转移到状态j的期望耗时，其等于该攻击者对所依赖漏洞的期望耗时tattack；若从状态i到状态j不可达，则设置CTij＝∞；设置CTii＝0。构造防御期望耗时矩阵RT，RTij∈RT表示防御方修复从状态i转移到状态j所依赖脆弱性的期望耗时；若从状态i到状态j不可达，则设置RTij＝0；设置RTii＝0。构造依存关系矩阵Q，Qij∈Q表示从状态i转移到状态j的依存关系，若状态i到状态j可达，设置Qij＝ξj；若状态i到状态j不可达，设置
Figure BDA0001691722090000099
设置Qii＝OR。构造状态发生概率向量P，Pi∈P表示状态i的发生概率。构造状态转移时间向量T，Ti∈T表示状态i的预测发生时间。
(4)预测算法初始化，矩阵运算子模块结合攻击者能力与防御策略的评估结果，对状态转移概率矩阵Pr、攻击期望耗时矩阵CT、防御期望耗时矩阵RT赋值，并设置初始状态转移时间向量T中各元素Ti＝0。然后对攻击序列中各原子攻击动作所实现的状态进行映射，得到状态发生概率向量P，其中各状态的实现概率即为对应原子攻击利用漏洞v的利用率Pi＝pt(v)。
(5)预测算法递归，递归过程即是状态转移的过程，其一次递归就是攻击者可能实施的一次原子攻击动作，递归过程如下：
a)首先根据攻防双方的攻击与防护期望耗时，判断攻击者能否在脆弱性修复之前进行状态转移，矩阵运算子模块根据计算结果，更新状态转移概率矩阵Pr；如果Ti+CTij>RTij，则表明攻击者在成功实施从状态i到状态j的原子攻击动作之前，防御方已经修复该脆弱性，则状态i到状态j不可达，更新Prij＝0；
b)在贝叶斯攻击图的基础上，依据攻击者所处当前状态，矩阵运算子模块计算其可能的状态转移路径，利用下述公式更新状态发生概率向量P
Figure BDA0001691722090000101
其中，t表示递归的轮次；
Figure BDA0001691722090000102
计算
Figure BDA0001691722090000103
若状态节点i为与节点，即ξi＝AND，则状态节点i的所有父节点全部成功实施，状态节点i才可能实现，
Figure BDA0001691722090000104
运算规则为依据依存关系矩阵Q找出状态节点i所有的父节点，并按照公式(1)的“AND”节点计算方法进行计算；若状态节点i为或节点，即ξi＝OR，则状态节点i的任何一个父节点成功实施，状态节点i即可以实现，
Figure BDA0001691722090000105
运算规则为依据依存关系矩阵Q找出状态节点i所有的父节点，并按照公式(1)的“OR”节点计算方法进行计算。
c)依据本轮状态转移发生情况，判断是否存在状态节点的发生概率出现变动，矩阵运算子模块依据判定结果，更新状态转移时间向量T，
Figure BDA0001691722090000106
其中t表示递归的轮次；
Figure BDA0001691722090000107
表示从状态i到状态j的转移成功；该式即为更新到达状态j的最近时间；
d)为保证攻击者不进行重复的状态转移，将攻击图中已经发生过，且无其他路径可以利用的状态转移边删去，同时矩阵运算子模块更新状态转移概率矩阵Pr，
Figure BDA0001691722090000108
其中t表示递归的轮次；
Figure BDA0001691722090000109
表示状态节点i仅有来自节点i自身一条入边。
(6)预测算法终止，递归过程的终结条件为状态发生概率向量P趋于稳定，即当Pt+1＝Pt时，结束本次递归，矩阵运算子模块输出向量P和数值t，攻击时间与概率识别子模块输出攻击阶段数t，攻击状态发生概率向量P。
结合漏洞评分标准和网络资产信息，参见图3所示，本发明的再一个实施例中从时空维度量化网络安全态势值，包含如下内容：
S301、通过查询美国NVD数据库，获取每个服务漏洞的威胁得分；
S302、读取第t个攻击阶段的状态发生概率向量Pt，Pi t表示状态节点i的预测发生概率，设定状态节点i发生主机的权重值为Weighti，vi是该节点发生所依赖的服务漏洞，则第t个攻击阶段的网络安全态势值计算公式表示为：NSAt＝∑Pi tImpact(vi)Weighti，Impact(vi)表示服务漏洞vi的威胁得分；
S303、结合各攻击阶段的安全态势值，构建安全态势演化图和攻击路径状态转移图，获取网络安全发展趋势。
读取态势数据集成服务器端MySQL数据库中的漏洞统计信息，CVSS给出了一种基于机密性C、完整性I、可用性A三个指标评价的漏洞威胁得分，用于衡量单个漏洞对网络的影响，对于每个漏洞v，漏洞威胁影响评估子模块通过查询美国NVD数据库得到指标分值，并计算威胁得分Impact(v)＝10×(1-(1-C)×(1-I)×(1-A))。求解第t个攻击阶段的网络安全态势值，由于∑Pi 0＝1，Impact(vi)≤10，∑Weighti＝1，因此NSA≤10。依据CVSS中对得分的威胁程度定义，设定当NSA∈[0,4.0]时，该主机处于低风险；当NSA∈(4.0,7.0]时，该主机处于中度风险；当NSA∈(7.0,10]时，该主机处于高风险。结合各攻击阶段的安全态势值，构建安全态势演化图，横坐标表示攻击阶段t，纵坐标表示网络在该阶段的态势值NSAt；构建攻击路径状态转移图，横坐标表示攻击阶段t，纵坐标表示各阶段攻击者最有可能处于的状态节点，用户通过访问能够直观地获取网络的安全发展趋势。
基于上述的网络安全态势预测方法，本发明实施例，参见图4所示，提供一种面向攻击的网络安全态势预测装置，包含信息收集模块001、攻击图建立模块002及态势预测模块003，其中，
信息收集模块001，用于检测并收集网络对抗环境下的报警数据和网络环境运维信息，获取网络安全态势预测所需的要素集，该要素集包含攻击方、防御方和网络环境三类信息；
攻击图建立模块002，用于对攻击方能力和防御方水平进行评估，建立动态贝叶斯攻击图，计算攻击阶段数和攻击状态发生概率向量；
态势预测模块003，用于结合漏洞评分标准和网络资产信息，从时空维度量化网络安全态势值。
上述的装置中，参见图5所示，所述的信息收集模块001包含要素集收集子模块101、数据聚类子模块102和数据存储子模块103，其中，
要素集收集子模块101，用于获取对抗环境下的攻击方信息、防御方信息和网络环境信息，该攻击方信息包含原子攻击动作、攻击序列和攻击能力；防御方信息包含防御策略集；网络环境信息包含主机运维信息、拓扑结构、服务漏洞和网络连通性；
数据聚类子模块102，用于通过预设过滤规则对要素集收集子模块获取的数据进行过滤，并通过多源异构数据统一格式进行统一和聚类；
数据存储子模块103，用于对数据聚类子模块中统一和聚类结果进行数据存储。
上述的装置中，参见图6所示，要素集收集子模块101包含攻击方信息收集单元1001、防御方信息收集单元1002和网络环境信息收集单元1003，其中，
攻击方信息收集单元1001，用于通过采集网络传感器报警信息并对报警信息进行数据融合，获取原子攻击动作，网络传感器至少包含入侵检测系统、防火墙和系统日志；对原子攻击动作进行因果分析，得到攻击序列；并依据攻击方历史安全时间数据获取攻击能力；
防御方信息收集单元1002，用于收集网络防护配置信息，该网络防护配置信息至少包含防火墙规则、入侵检测系统安全策略和脆弱性解决方案；
网路环境信息收集单元1003，用于采集网络环境统计信息，该网络环境统计信息至少包含网络连接性、主机运维数据、服务漏洞和拓扑结构。
基于上述的方法和装置，本发明实施例还提供一种面向攻击的网络安全态势预测系统，参见图7所示，包含态势数据服务器、态势量化服务器和Hadoop支撑平台，其中，
态势数据服务器，用于通过部署在网络中安全传感器对影响网络完全状况的安全要素进行收集，并对收集到的数据进行数据清洗、聚类和融合，获取网络安全态势预测所需的要素集；
态势量化服务器，用于依据要素集构造目标网络的动态贝叶斯攻击图，通过攻击迭代预测攻击行为，获取不同攻击阶段的网络安全态势值；
Hadoop支撑平台，用于将要素集数据的计算和存储扩展到Hadoop集群中各个节点，通过调用Hadoop端口，利用分布式文件系统进行数据存储，通过映射归约编程模型MapReduce进行数据并行计算。
通过部署在网络各节点的传感器收集数据，然后将这些安全数据通过预处理后集成到态势数据集成服务器中，对数据进行聚类与融合，该阶段通过调用Hadoop平台接口进行处理，Hadoop主要由分布式存储HDFS和并行计算MapReduce两部分组成，优化网络安全态势感知的存储规模与时效性。态势量化服务器调用态势数据服务器与Hadoop平台上的安全数据对当前态势进行分析并图形化展示，最终用户通过访问可视化服务器获取网络的安全态势。该系统工作原理如图8所示，首先收集网络系统中对抗环境下的攻防双方及网络环境信息作为态势要素，然后根据态势要素集中数据生成动态贝叶斯攻击图，计算得到攻击阶段及状态转移概率向量，识别攻击路径及意图；结合CVSS通用漏洞评分及主机资产信息，对网络安全态势进行量化，进而从时空两个维度对未来网络态势与攻击发生时间进行预测，符合网络对抗环境，具有广泛的应用前景。
进一步地，参见图9所示，态势数据服务器包含数据采集模块和数据处理模块，数据采集模块包括攻击方要素采集子模块、防御方要素采集子模块和网络环境要素采集子模块，通过部署在网络中的多种安全传感器，如网络安全设备、网络管理设备以及网络监控设备，对影响网络安全状况的安全要素进行收集，为后面的态势预测提供数据支撑；数据处理模块包括数据清洗、聚类、融合子模块，用于对收集到的复杂、海量、冗余、异构的安全要素进行简化与预处理，并对各安全要素进行分类与提取，为后面的态势预测提供格式化数据；通过检测与收集对抗环境下的报警数据与网络环境自身运维信息，并对收集到的信息进行标准化规范。
进一步地，参见图10所示，态势量化服务器包含攻击预测模块、态势量化模块和可视化模块，其中，
攻击预测模块，利用要素集构造目标网络的动态贝叶斯攻击图，获取攻击阶段数和攻击状态发生概率向量；
态势量化模块，用于结合通用漏洞评分标准和网络环境主机资产信息，及攻击阶段数和攻击状态发生概率向量，获取攻击阶段的网络安全态势值；
可视化模块，用于依据不同攻击阶段的网络安全态势值，构建安全态势演化图和攻击路径状态转移图，获取网络安全发展趋势。
图10中，攻击预测模块又包含贝叶斯攻击图构造子模块、漏洞利用率评估子模块、攻击期望耗时评估子模块、矩阵生成子模块、矩阵运算子模块、攻击时间与概率识别子模块：用于构造目标网络攻击图，通过攻击迭代预测攻击行为。态势量化模块包括漏洞威胁影响评估子模块和安全态势值计算子模块：用于结合通用漏洞评分标准CVSS，网络环境中的主机资产信息，计算不同攻击阶段的网络风险值。可视化模块：将态势预测的结果进行可视化展示，直观呈现给管理人员和用户，主要包括实时态势曲线图展示子模块、攻击场景重构子模块。实时态势曲线图是对当前态势值以及未来一段时间态势值的预测的一个直观反映；攻击场景重构是将攻击者的攻击路径还原，便于查找漏洞。
进一步地，参见图11所示，Hadoop支撑平台包括HDFS分布式存储子模块和MapReduce并行计算子模块。用于利用Hadoop的集群特征，将态势数据集成服务器端采集到的海量报警数据的计算和存储要求扩展到Hadoop集群中的各个节点上，利用集群的并行计算和存储能力来进行相关分析，在整个系统中，数据处理模块通过调用Hadoop端口，使用HDFS分布式存储子模块存储文件和数据，并利用MapReduce并行计算子模块实现并行计算。攻击方要素采集子模块采集部署在网络各节点处的传感器传回的原始报警日志，通过调用Hadoop接口，HDFS分布式存储子模块将海量报警数据存储在Hadoop平台上；防御方要素采集子模块收集网络配置信息，包括防火墙规则、IDS安全策略和脆弱性解决方案等安全防护信息；网络环境要素采集子模块采集网络连接性、主机运维、服务漏洞等统计信息；防御方和网络环境信息由于数据量小，直接存取在态势数据集成服务器的MySQL数据库中。数据处理模块中的数据清洗子模块对原始报警数据进行清洗，通过设置过滤规则，将不符合规范的数据过滤掉，例如字段缺省，参数错误，冗余数据，并对多源异构数据统一格式，保存成通用的XML格式的数据文件。数据聚类子模块对统一格式的XML文件进行聚类，为满足实时处理，该阶段在数据集成服务器上调用Hadoop接口，由MapReduce并行运算子模块实现对海量报警数据的聚类。Hadoop支撑平台将聚类结果回传到数据集成服务器的MySQL数据库中，其数据量较原始报警数据已大大减小。数据融合子模块对精简的报警数据进行融合，该阶段在态势数据集成服务器端完成，最终得到当前时间段内的安全事件；通过全方位的攻防双方和网络环境信息收集，作为态势要素集，对攻击者能力和防御者水平进行评估，建立动态贝叶斯攻击图，结合CVSS，从时空两个维度对未来态势与攻击发生时间进行预测，符合网络实际对抗环境，具有较强的有效性和实用性。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
结合本文中所公开的实施例描述的各实例的单元及方法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已按照功能一般性地描述了各示例的组成及步骤。这些功能是以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。本领域普通技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不认为超出本发明的范围。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成，所述程序可以存储于计算机可读存储介质中，如：只读存储器、磁盘或光盘等。可选地，上述实施例的全部或部分步骤也可以使用一个或多个集成电路来实现，相应地，上述实施例中的各模块/单元可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本发明不限制于任何特定形式的硬件和软件的结合。
对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种面向攻击的网络安全态势预测方法，其特征在于，包含如下内容：
检测并收集网络对抗环境下的报警数据和网络环境运维信息，获取网络安全态势预测所需的要素集，该要素集包含攻击方、防御方和网络环境三类信息；
对攻击方能力和防御方水平进行评估，建立动态贝叶斯攻击图，计算攻击阶段数和攻击状态发生概率向量；
结合漏洞评分标准和网络资产信息，从时空维度量化网络安全态势值；结合各攻击阶段的安全态势值构建用于对当前态势值以及未来一段时间态势值的预测进行直观反映的安全态势演化图和用于通过将攻击场景重构来还原攻击者攻击路径以查找漏洞的攻击路径状态转移图；
通过部署在网络各节点的传感器收集数据，然后将数据通过预处理后集成到态势数据集成服务器中对数据进行聚类与融合，聚类融合阶段通过调用Hadoop平台接口进行处理，以优化网络安全态势感知的存储规模与时效性；通过调用态势数据集成服务器与Hadoop平台上的安全数据对当前态势进行分析并图形化展示，最终用户通过访问可视化服务器获取网络的安全态势。
2.根据权利要求1所述的面向攻击的网络安全态势预测方法，其特征在于，要素集中攻击方信息包含原子攻击动作、攻击序列和攻击能力；防御方信息包含防御策略集；网络环境信息包含主机运维信息、拓扑结构、服务漏洞和网络连通性。
3.根据权利要求2所述的面向攻击的网络安全态势预测方法，其特征在于，通过采集网络传感器报警信息并对报警信息进行数据融合，获取原子攻击动作，网络传感器至少包含入侵检测系统、防火墙和系统日志；对原子攻击动作进行因果分析，得到攻击序列；并依据攻击方历史安全时间数据获取攻击能力。
4.根据权利要求2所述的面向攻击的网络安全态势预测方法，其特征在于，依据收集到的网络安全态势要素集，建立动态贝叶斯攻击图，包含如下内容：
读取服务漏洞数据，并结合通用漏洞评分和漏洞生命周期模型获取漏洞真实利用率；
通过漏洞真实利用率及原子攻击动作前提攻击发生时间，计算先验攻击耗时和未知漏洞期望耗时；
依据网络安全态势要素集合，生成目标网络动态贝叶斯攻击图BAG＝(S,A,ξ,p)，并构造状态转移矩阵、攻击期望耗时矩阵、防御期望耗时矩阵、依存关系矩阵、状态发生概率向量和状态转移时间向量，其中，S表示状态节点集合，A表示为状态节点间的有向边集合，ξ表示状态间的依赖关系，P表示状态转移概率集合；
结合攻击方攻击能力与防御策略评估结果，对状态转移矩阵、攻击期望耗时矩阵、防御期望耗时矩阵进行赋值，并初始化状态转移时间向量；对攻击序列中各原子攻击动作实现状态进行映射，获取状态发生概率向量；
根据攻防双方期望耗时，判断攻击者能否在脆弱性修复前进行状态转移，更新状态转移矩阵；依据攻击者所处当前状态，迭代更新状态发生概率向量、状态转移时间向量及状态转移矩阵，直至满足预设递归终结条件，结束本次递归，输出攻击阶段数和攻击状态发生概率向量。
5.根据权利要求2所述的面向攻击的网络安全态势预测方法，其特征在于，结合漏洞评分标准和网络资产信息，从时空维度量化网络安全态势值，包含如下内容：
通过查询美国NVD数据库，获取每个服务漏洞的威胁得分；
读取第t个攻击阶段的状态发生概率向量Pt，Pi t表示状态节点i的预测发生概率，设定状态节点i发生主机的权重值为Weighti，vi是该节点发生所依赖的服务漏洞，则第t个攻击阶段的网络安全态势值计算公式表示为：NSAt＝∑Pi tImpact(vi)Weighti，Impact(vi)表示服务漏洞vi的威胁得分；
结合各攻击阶段的安全态势值，构建安全态势演化图和攻击路径状态转移图，获取网络安全发展趋势。
6.一种面向攻击的网络安全态势预测装置，其特征在于，基于权利要求1所述的方法实现，包含信息收集模块、攻击图建立模块及态势预测模块，其中，
信息收集模块，用于检测并收集网络对抗环境下的报警数据和网络环境运维信息，获取网络安全态势预测所需的要素集，该要素集包含攻击方、防御方和网络环境三类信息；
攻击图建立模块，用于对攻击方能力和防御方水平进行评估，建立动态贝叶斯攻击图，计算攻击阶段数和攻击状态发生概率向量；
态势预测模块，用于结合漏洞评分标准和网络资产信息，从时空维度量化网络安全态势值。
7.根据权利要求6所述的面向攻击的网络安全态势预测装置，其特征在于，所述的信息收集模块包含要素集收集子模块、数据聚类子模块和数据存储子模块，其中，
要素集收集子模块，用于获取对抗环境下的攻击方信息、防御方信息和网络环境信息，该攻击方信息包含原子攻击动作、攻击序列和攻击能力；防御方信息包含防御策略集；网络环境信息包含主机运维信息、拓扑结构、服务漏洞和网络连通性；
数据聚类子模块，用于通过预设过滤规则对要素集收集子模块获取的数据进行过滤，并通过多源异构数据统一格式进行统一和聚类；
数据存储子模块，用于对数据聚类子模块中统一和聚类结果进行数据存储。
8.根据权利要求7所述的面向攻击的网络安全态势预测装置，其特征在于，要素集收集子模块包含攻击方信息收集单元、防御方信息收集单元和网络环境信息收集单元，其中，
攻击方信息收集单元，用于通过采集网络传感器报警信息并对报警信息进行数据融合，获取原子攻击动作，网络传感器至少包含入侵检测系统、防火墙和系统日志；对原子攻击动作进行因果分析，得到攻击序列；并依据攻击方历史安全时间数据获取攻击能力；
防御方信息收集单元，用于收集网络防护配置信息，该网络防护配置信息至少包含防火墙规则、入侵检测系统安全策略和脆弱性解决方案；
网络 环境信息收集单元，用于采集网络环境统计信息，该网络环境统计信息至少包含网络连接性、主机运维数据、服务漏洞和拓扑结构。
9.一种面向攻击的网络安全态势预测系统，其特征在于，基于权利要求1所述的方法实现，包含态势数据服务器、态势量化服务器和Hadoop支撑平台，其中，
态势数据服务器，用于通过部署在网络中安全传感器对影响网络安全 状况的安全要素进行收集，并对收集到的数据进行数据清洗、聚类和融合，获取网络安全态势预测所需的要素集；
态势量化服务器，用于依据要素集构造目标网络的动态贝叶斯攻击图，通过攻击迭代预测攻击行为，获取不同攻击阶段的网络安全态势值；
Hadoop支撑平台，用于将要素集数据的计算和存储扩展到Hadoop集群中各个节点，通过调用Hadoop端口，利用分布式文件系统进行数据存储，通过映射归约编程模型MapReduce进行数据并行计算。
10.根据权利要求9所述的面向攻击的网络安全态势预测系统，其特征在于，所述的态势量化服务器包含攻击预测模块、态势量化模块和可视化模块，其中，
攻击预测模块，利用要素集构造目标网络的动态贝叶斯攻击图，获取攻击阶段数和攻击状态发生概率向量；
态势量化模块，用于结合通用漏洞评分标准和网络环境主机资产信息，及攻击阶段数和攻击状态发生概率向量，获取攻击阶段的网络安全态势值；
可视化模块，用于依据不同攻击阶段的网络安全态势值，构建安全态势演化图和攻击路径状态转移图，获取网络安全发展趋势。
CN201810594501.5A 2018-06-11 2018-06-11 面向攻击的网络安全态势预测方法、装置及系统 Active CN108494810B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810594501.5A CN108494810B (zh) 2018-06-11 2018-06-11 面向攻击的网络安全态势预测方法、装置及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810594501.5A CN108494810B (zh) 2018-06-11 2018-06-11 面向攻击的网络安全态势预测方法、装置及系统

Publications (2)

Publication Number Publication Date
CN108494810A CN108494810A (zh) 2018-09-04
CN108494810B true CN108494810B (zh) 2021-01-26

Family

ID=63342507

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810594501.5A Active CN108494810B (zh) 2018-06-11 2018-06-11 面向攻击的网络安全态势预测方法、装置及系统

Country Status (1)

Country Link
CN (1) CN108494810B (zh)

Families Citing this family (82)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109344620B (zh) * 2018-09-07 2021-08-31 国网福建省电力有限公司 一种基于对hadoop安全配置的检测方法
CN109218305B (zh) * 2018-09-12 2020-12-08 中国人民解放军战略支援部队信息工程大学 基于报警聚合的网络取证方法及装置
CN109194693B (zh) * 2018-10-30 2021-04-27 福州大学 一种网络攻击模式图的生成方法
CN109510828B (zh) * 2018-11-19 2020-07-03 中国科学院信息工程研究所 一种网络中的威胁处置效果的确定方法及系统
CN111224928B (zh) * 2018-11-26 2021-11-30 中国移动通信集团辽宁有限公司 网络攻击行为的预测方法、装置、设备及存储介质
CN110874470A (zh) * 2018-12-29 2020-03-10 北京安天网络安全技术有限公司 基于网络攻击预测网络空间安全性的方法及装置
CN109660561B (zh) * 2019-01-24 2021-06-11 西安电子科技大学 一种网络安全防御体系量化评估方法、网络安全评估平台
CN110035066B (zh) * 2019-03-13 2021-09-28 中国科学院大学 一种基于博弈论的攻防行为量化评估方法及系统
CN110113314B (zh) * 2019-04-12 2021-05-14 中国人民解放军战略支援部队信息工程大学 用于动态威胁分析的网络安全领域知识图谱构建方法及装置
CN109981686A (zh) * 2019-04-15 2019-07-05 广东电网有限责任公司 一种基于循环对抗的网络安全态势感知方法及系统
CN111030975B (zh) * 2019-04-26 2023-02-28 北京安天网络安全技术有限公司 一种基于载荷分析的威胁预测方法、装置及存储设备
CN110012037B (zh) * 2019-05-21 2020-08-18 北京理工大学 基于不确定性感知攻击图的网络攻击预测模型构建方法
CN110380897A (zh) * 2019-07-04 2019-10-25 湖北央中巨石信息技术有限公司 基于改进bp神经网络的网络安全态势感知模型和方法
CN110380896B (zh) * 2019-07-04 2022-04-01 湖北央中巨石信息技术有限公司 基于攻击图的网络安全态势感知系统和方法
CN110392048A (zh) * 2019-07-04 2019-10-29 湖北央中巨石信息技术有限公司 基于ce-rbf的网络安全态势感知模型和方法
CN110474878B (zh) * 2019-07-17 2021-09-24 海南大学 基于动态阈值的DDoS攻击态势预警方法和服务器
CN110474885B (zh) * 2019-07-24 2021-10-22 桂林电子科技大学 基于时间序列与ip地址的报警关联分析方法
CN110493044B (zh) * 2019-08-16 2022-05-03 武汉思普崚技术有限公司 一种可量化的态势感知的方法和系统
CN110471975B (zh) * 2019-08-16 2022-05-03 武汉思普崚技术有限公司 一种物联网态势感知调用方法和装置
CN110474805B (zh) * 2019-08-16 2022-05-03 武汉思普崚技术有限公司 一种可调用的态势感知分析的方法和装置
CN110460608B (zh) * 2019-08-16 2022-04-12 武汉思普崚技术有限公司 一种包含关联分析的态势感知方法和系统
CN110445801B (zh) * 2019-08-16 2022-04-12 武汉思普崚技术有限公司 一种物联网的态势感知方法和系统
CN110493218B (zh) * 2019-08-16 2022-04-08 武汉思普崚技术有限公司 一种态势感知虚拟化的方法和装置
CN110460472B (zh) * 2019-08-16 2022-05-03 武汉思普崚技术有限公司 一种加权量化的态势感知方法和系统
CN110474904B (zh) * 2019-08-16 2022-04-12 武汉思普崚技术有限公司 一种改进预测的态势感知方法和系统
CN110493217B (zh) * 2019-08-16 2022-04-12 武汉思普崚技术有限公司 一种分布式的态势感知方法和系统
CN110445807A (zh) * 2019-08-23 2019-11-12 瑞森网安(福建)信息科技有限公司 网络安全态势感知系统及方法
CN110708287B (zh) * 2019-09-03 2020-12-29 浙江大学 一种基于攻击图和心理理论的入侵响应方法
CN110572409B (zh) * 2019-09-16 2021-10-12 国家计算机网络与信息安全管理中心 工业互联网的安全风险预测方法、装置、设备及存储介质
CN112702300B (zh) * 2019-10-22 2023-03-28 华为技术有限公司 一种安全漏洞的防御方法和设备
CN110677433B (zh) * 2019-10-23 2022-02-22 杭州安恒信息技术股份有限公司 一种网络攻击预测的方法、系统、设备及可读存储介质
CN110995649B (zh) * 2019-10-25 2022-04-19 深圳猛犸电动科技有限公司 一种基于贝叶斯网络的网络安全态势预测方法及装置
CN110794811B (zh) * 2019-11-07 2021-02-26 浙江工业大学 一种带有量化的网络化运动控制系统的安全控制方法
CN110740141A (zh) * 2019-11-15 2020-01-31 国网山东省电力公司信息通信公司 一体化网络安全态势感知方法、装置及计算机设备
CN110708342B (zh) * 2019-11-18 2022-04-19 国电南瑞科技股份有限公司 恶意攻击对信息物理电力系统影响的量化方法及系统
CN113098828B (zh) * 2019-12-23 2023-07-18 中国移动通信集团辽宁有限公司 网络安全报警方法及装置
CN111260210A (zh) * 2020-01-14 2020-06-09 广东南方视觉文化传媒有限公司 一种基于大数据分析的视觉资产管理系统及方法
CN111371758B (zh) * 2020-02-25 2022-03-25 东南大学 一种基于动态贝叶斯攻击图的网络欺骗效能评估方法
CN111431906A (zh) * 2020-03-27 2020-07-17 北京双湃智安科技有限公司 一种安全数据集生成方法、装置、系统、设备和存储介质
CN111709028B (zh) * 2020-04-21 2023-04-07 中国科学院信息工程研究所 一种网络安全状态评估和攻击预测方法
CN111917747A (zh) * 2020-07-17 2020-11-10 上海大学 一种校园网络安全态势感知系统及方法
CN111885040A (zh) * 2020-07-17 2020-11-03 中国人民解放军战略支援部队信息工程大学 分布式网络态势感知方法、系统、服务器及节点设备
CN112039895B (zh) * 2020-08-31 2023-01-17 绿盟科技集团股份有限公司 一种网络协同攻击方法、装置、系统、设备及介质
CN112052245B (zh) * 2020-09-11 2022-10-21 中国人民解放军战略支援部队信息工程大学 网络安全训练中攻击行为的评判方法和装置
CN112333195B (zh) * 2020-11-10 2021-11-30 西安电子科技大学 基于多源日志关联分析的apt攻击场景还原检测方法及系统
CN112380514B (zh) * 2020-11-13 2022-11-22 支付宝(杭州)信息技术有限公司 生物识别安全态势预测方法、装置和电子设备
CN112437093B (zh) * 2020-12-02 2022-06-28 新华三人工智能科技有限公司 安全状态的确定方法、装置及设备
CN112653582B (zh) * 2020-12-21 2022-03-01 上海交通大学 基于贝叶斯攻击图的半被动工控网络安全分析工具及方法
CN112637207A (zh) * 2020-12-23 2021-04-09 中国信息安全测评中心 一种网络安全态势预测方法及装置
CN112839050A (zh) * 2021-01-20 2021-05-25 付中野 一种基于物联网的入侵检测方法及系统
CN112819336B (zh) * 2021-02-03 2023-12-15 国家电网有限公司 一种基于电力监控系统网络威胁的量化方法及系统
CN114884685B (zh) * 2021-02-05 2023-08-22 华为技术有限公司 电子设备的安全管理方法、电子设备及其可读介质
CN112926055B (zh) * 2021-03-09 2024-04-26 中国人民解放军空军工程大学 基于时间概率攻击图的病毒攻击防御方法
CN113205238A (zh) * 2021-03-09 2021-08-03 中国大唐集团科学技术研究院有限公司 一种面向电厂工控系统的态势感知防御能力评估方法
CN112995019B (zh) * 2021-03-23 2023-04-07 上海纽盾科技股份有限公司 网络安全态势感知信息的显示方法及客户端
CN113079153B (zh) * 2021-03-26 2022-06-21 新华三技术有限公司 网络攻击类型的预测方法、装置及存储介质
CN113094715B (zh) * 2021-04-20 2023-08-04 国家计算机网络与信息安全管理中心 一种基于知识图谱的网络安全动态预警系统
CN113301043B (zh) * 2021-05-24 2021-11-23 珠海市鸿瑞信息技术股份有限公司 基于5g工业物联网网络安全终端
CN113329026B (zh) * 2021-06-08 2022-09-16 中国传媒大学 一种基于网络靶场漏洞演练的攻击能力确定方法及系统
CN113794590B (zh) * 2021-09-14 2023-10-10 上海纽盾科技股份有限公司 处理网络安全态势感知信息的方法、装置及系统
CN113810406B (zh) * 2021-09-15 2023-04-07 浙江工业大学 一种基于动态防御图与强化学习的网络空间安全防御方法
CN113965404B (zh) * 2021-11-02 2023-06-02 公安部第三研究所 一种网络安全态势自适应主动防御系统及方法
CN114189360B (zh) * 2021-11-19 2023-09-29 上海纽盾科技股份有限公司 态势感知的网络漏洞防御方法、装置及系统
CN114118563A (zh) * 2021-11-23 2022-03-01 中国电子科技集团公司第三十研究所 一种基于数据中台的自迭代态势预测方法及系统
CN114048487B (zh) * 2021-11-29 2022-06-17 北京永信至诚科技股份有限公司 网络靶场的攻击过程评估方法、装置、存储介质及设备
CN114465758A (zh) * 2021-12-14 2022-05-10 哈尔滨理工大学 一种基于贝叶斯决策网络的网络态势感知方法
CN114301640B (zh) * 2021-12-15 2023-09-01 中电信数智科技有限公司 一种基于SRv6网络协议进行的攻防演练的方法及系统
CN114124575B (zh) * 2022-01-24 2022-05-10 深圳市永达电子信息股份有限公司 基于态势感知的防火墙acl自动生成方法和存储介质
CN114584348A (zh) * 2022-02-14 2022-06-03 上海安锐信科技有限公司 一种基于漏洞的工业控制系统网络威胁分析方法
CN114745188A (zh) * 2022-04-20 2022-07-12 医诺智能科技(广州)有限公司 一种医疗物联网平台的安全态势智能感知方法及终端
CN114866356B (zh) * 2022-07-06 2022-09-20 中国人民解放军国防科技大学 基于元学习的策略博弈的行为预测方法和预测器
CN115277132A (zh) * 2022-07-14 2022-11-01 中国电子产品可靠性与环境试验研究所（（工业和信息化部电子第五研究所）（中国赛宝实验室）） 网络安全态势感知方法、装置、计算机设备和存储介质
CN115296860B (zh) * 2022-07-15 2023-08-15 智己汽车科技有限公司 基于中央计算平台的车辆安全运维运营系统及车辆
CN115333814A (zh) * 2022-08-02 2022-11-11 哈尔滨工业大学（威海） 一种面向工业控制系统报警数据的分析系统与方法
CN115664697B (zh) * 2022-09-01 2023-06-13 国网河南省电力公司信息通信公司 一种多级级联的物联网态势感知系统
CN115622796B (zh) * 2022-11-16 2023-04-07 南京南瑞信息通信科技有限公司 网络安全联动响应作战图生成方法、系统、装置及介质
CN116015785B (zh) * 2022-12-14 2024-04-30 中国联合网络通信集团有限公司 信息安全防护方法及电子设备、存储介质
CN116346480A (zh) * 2023-03-31 2023-06-27 华能信息技术有限公司 一种网络安全运营工作台分析方法
CN116471124B (zh) * 2023-06-19 2023-11-21 国信金宏(成都)检验检测技术研究院有限责任公司 基于大数据信息进行分析的计算机网络安全预测系统
CN116962093B (zh) * 2023-09-21 2023-12-15 江苏天创科技有限公司 基于云计算的信息传输安全性监测方法及系统
CN117014230A (zh) * 2023-10-07 2023-11-07 天云融创数据科技（北京）有限公司 基于大数据的网络安全态势感知方法及系统
CN117499158B (zh) * 2023-12-25 2024-04-16 天地信息网络研究院(安徽)有限公司 一种基于多攻击者联合或非联合攻击的主动防御方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101534194B1 (ko) * 2014-12-08 2015-07-08 한국인터넷진흥원 침입자 행동패턴을 반영한 사이버보안 교육훈련시스템 및 방법
CN107135224A (zh) * 2017-05-12 2017-09-05 中国人民解放军信息工程大学 基于Markov演化博弈的网络防御策略选取方法及其装置
CN107566387A (zh) * 2017-09-14 2018-01-09 中国人民解放军信息工程大学 基于攻防演化博弈分析的网络防御行动决策方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8166459B2 (en) * 2008-02-27 2012-04-24 Sap Ag Apparatus and method of generating self-debugging computer software
CN104394015B (zh) * 2014-11-13 2017-12-26 河南理工大学 一种网络安全态势评估方法
CN107016464B (zh) * 2017-04-10 2019-12-10 中国电子科技集团公司第五十四研究所 基于动态贝叶斯网络的威胁估计方法
CN107483486B (zh) * 2017-09-14 2020-04-03 中国人民解放军信息工程大学 基于随机演化博弈模型的网络防御策略选取方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101534194B1 (ko) * 2014-12-08 2015-07-08 한국인터넷진흥원 침입자 행동패턴을 반영한 사이버보안 교육훈련시스템 및 방법
CN107135224A (zh) * 2017-05-12 2017-09-05 中国人民解放军信息工程大学 基于Markov演化博弈的网络防御策略选取方法及其装置
CN107566387A (zh) * 2017-09-14 2018-01-09 中国人民解放军信息工程大学 基于攻防演化博弈分析的网络防御行动决策方法

Also Published As

Publication number Publication date
CN108494810A (zh) 2018-09-04

Similar Documents

Publication Publication Date Title
CN108494810B (zh) 面向攻击的网络安全态势预测方法、装置及系统
Kumar et al. A Distributed framework for detecting DDoS attacks in smart contract‐based Blockchain‐IoT Systems by leveraging Fog computing
US11693964B2 (en) Cyber security using one or more models trained on a normal behavior
CN110620759B (zh) 基于多维关联的网络安全事件危害指数评估方法及其系统
US10476749B2 (en) Graph-based fusing of heterogeneous alerts
US8028061B2 (en) Methods, systems, and computer program products extracting network behavioral metrics and tracking network behavioral changes
US9256735B2 (en) Detecting emergent behavior in communications networks
JP7101272B2 (ja) データ来歴を介した自動脅威アラートトリアージ
EP1768046A2 (en) Systems and methods of associating security vulnerabilities and assets
CN112422537B (zh) 基于蜜罐实战生成的网络攻击知识图谱的行为预测方法
JP6557774B2 (ja) プロセストレースを用いたグラフベースの侵入検知
JP2003523140A (ja) ネットワークのセキュリティ態勢を評価するためのシステム及び方法
US10476752B2 (en) Blue print graphs for fusing of heterogeneous alerts
CN114978568A (zh) 使用机器学习进行数据中心管理
US20230011004A1 (en) Cyber security sandbox environment
Alserhani Alert correlation and aggregation techniques for reduction of security alerts and detection of multistage attack
EP3346666B1 (en) A prediction system configured for modeling the expected number of attacks on a computer or communication network
CN111865899B (zh) 威胁驱动的协同采集方法及装置
JP6616045B2 (ja) 異種混在アラートのグラフベース結合
CN114039837B (zh) 告警数据处理方法、装置、系统、设备和存储介质
CN111767571B (zh) 一种医疗数据泄露的检测方法
Malik et al. Dynamic risk assessment and analysis framework for large-scale cyber-physical systems
Anastasiadis et al. A Novel High-Interaction Honeypot Network for Internet of Vehicles
CN114553580B (zh) 基于规则泛化和攻击重构网络攻击检测方法及装置
WO2018217259A2 (en) Peer-based abnormal host detection for enterprise security systems

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant