CN109413109A - 基于有限状态机的面向天地一体化网络安全状态分析方法 - Google Patents

基于有限状态机的面向天地一体化网络安全状态分析方法 Download PDF

Info

Publication number
CN109413109A
CN109413109A CN201811549316.0A CN201811549316A CN109413109A CN 109413109 A CN109413109 A CN 109413109A CN 201811549316 A CN201811549316 A CN 201811549316A CN 109413109 A CN109413109 A CN 109413109A
Authority
CN
China
Prior art keywords
data
attack
network
stage
apt
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201811549316.0A
Other languages
English (en)
Other versions
CN109413109B (zh
Inventor
亓玉璐
江荣
贾焰
李爱平
周斌
韩伟红
钟金诚
朱争
刘海天
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
National University of Defense Technology
Original Assignee
National University of Defense Technology
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by National University of Defense Technology filed Critical National University of Defense Technology
Priority to CN201811549316.0A priority Critical patent/CN109413109B/zh
Publication of CN109413109A publication Critical patent/CN109413109A/zh
Application granted granted Critical
Publication of CN109413109B publication Critical patent/CN109413109B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明旨在提供一种基于有限状态机的面向天地一体化网络安全状态分析方法，其基于天地一体化网络的独特性、天地一体化网络安全处理模块的实际部署情况及管控系统的实际需求设计，通过采集的数据有效的分析出数据对应的当前攻击状态并提供处置建议，减少误报和错报，包括以下步骤：对天地一体化网络的数据进行采集；读取并处理采集的数据；根据数据的特征值区分数据来源，将数据分成地面网数据和卫星网数据，根据数据来源调用不同的有限状态机模块来处理数据，将数据特征依次与知识图谱中的知识进行匹配，将匹配返回的结果存入状态机，并通过设置触发条件获得最后的分析结果，将分析结果对应的当前攻击的现状及其相关的知识输出给管控系统。

Description

基于有限状态机的面向天地一体化网络安全状态分析方法
技术领域
本发明涉及天地一体化网络安全技术领域，具体为基于有限状态机的面向天地一体化网络安全状态分析方法。
背景技术
网络空间(Cyberspace)被定义为“构建在信息通信技术基础设施之上的人造空间，用以支撑人们在该空间中开展各类与信息通信技术相关的活。目前，网络空间已经逐步发展成为继陆、海、空、天之后的第五大战略空间，网络空间的安全问题也随时而来。天地一体化信息网络是国家面向2030的重大项目中首个启动的重大工程项目，天地一体化网络采用“天网地网”架构，突出天基组网、天地互联，由天基骨干网、天基接入网、地基节点网构成，并可与地面互联网和移动通信网开放互联。
天地一体化网络中有特点的安全威胁包括：数据完整性安全，卫星网络的动态拓扑、地面手持终端的可移动性、星/地传输数据的方式不同，导致数据安全性和完整性容易遭到破坏；无线接入攻击，无线链路的开放性特点和通信链路具有传输距离远、传输时延大、误码率高、间歇性连接等特性，在缺乏物理保护的情况下，容易遭受干扰、截获、伪造等恶意电磁攻击；安全机制漏洞攻击，主要指身份认证、密钥管理和访问控制，星座网络拓扑具有无中心、自组织、周期性的特点，增大了身份认证、密钥管理、访问控制的难度；专用设备漏洞攻击，天地一体化网络有关口站、卫星等专有设备，安装了专用系统，存在漏洞，可对其进行利用、渗透、破坏；多域环境下的传输与接入威胁，跨域通信会面临着安全切换、安全传输等威胁，同时，在多域环境下，通信还会面临源地址伪造以及跨域切换时非法接入的威胁。
天地一体化网络因其节点覆盖范围广、传输信道开放透明、拓扑连接动态变化而具备网络体系结构立体多维异构、星间/星地信道开放、网络拓扑变化频繁、数据传输时延高和上下行链路传输带宽不对称等特点。这些特点使得实时分析变得相当困难。
发明内容
本发明旨在提供一种基于有限状态机的面向天地一体化网络安全状态分析方法，其基于天地一体化网络的独特性、天地一体化网络安全处理模块的实际部署情况及管控系统的实际需求设计，通过采集的数据有效的分析出数据对应的当前攻击状态并提供处置建议，减少误报和错报。
其技术方案是这样的：基于有限状态机的面向天地一体化网络安全状态分析方法，其特征在于：包括以下步骤：
S1：对天地一体化网络的数据进行采集；
S2：读取并处理采集的数据；
S3：根据数据的特征值区分数据来源，将数据分成地面网数据和卫星网数据，
S4：根据数据来源调用不同的有限状态机模块来处理数据，将数据特征依次与知识图谱中的知识进行匹配，将匹配返回的结果存入状态机，并通过设置触发条件获得最后的分析结果，将分析结果对应的当前攻击的现状及其相关的知识输出给管控系统。
进一步的，调用satellite-module模块，用于处理卫星网数据，
satellite-module模块将数据的特征值中的转发带宽与天地一体化网络的知识图谱进行匹配，若匹配成功，则返回卫星编号、卫星攻击名称和时间给管控系统，否则，认为无卫星攻击。
进一步的，调用ground-module模块，用于处理地面网数据，
ground-module模块将数据的特征值中的事件特征与天地一体化网络的知识图谱进行匹配，其中单步攻击的事件描述为攻击名称，APT攻击的事件描述为APT攻击对应的kill-chain模型的阶段，当数据的特征值中的事件特征与天地一体化网络的知识图谱中的APT攻击的阶段相匹配且匹配到的APT攻击的阶段不是第一阶段，则认为是单步攻击，返回单步攻击的名称、时间、目的IP给管控系统；
当数据的特征值中的事件特征与天地一体化网络的知识图谱中的APT攻击的阶段相匹配且匹配到APT攻击的阶段是第一阶段，将匹配到的攻击的名称及对应的APT攻击的阶段存入状态机，根据触发条件继续匹配APT攻击的第二阶段且更新状态机的状态，若匹配到APT攻击的第二阶段则继续顺次匹配APT攻击的第三阶段，以此类推直到无法匹配到APT攻击的下一阶段或匹配结束，然后将最后匹配到APT攻击的阶段、APT攻击名称、目的IP、时间和处置建议返回给管控系统；
当数据的特征值中的事件特征匹配到APT攻击的第一阶段后，无法匹配到APT攻击的第二阶段却匹配到与APT攻击的第一阶段间隔为N的阶段，其中N为自然数，
当N大于2时，则认为匹配到APT攻击的第一阶段和第N+1阶段分别为两个单步攻击，返回单步攻击的名称、时间、目的IP给管控系统；
当N小于等于2时，则仍然认为该阶段与APT攻击相匹配，根据触发条件继续与APT攻击的下一阶段进行匹配且更新状态机的状态，以此类推直到无法匹配到APT攻击的下一阶段或匹配结束，则将最后匹配到APT攻击的阶段、APT攻击名称、目的IP、时间和处置建议返回给管控系统。
进一步的，步骤S1中对天地一体化网络的数据进行采集具体如下：包括采集地面网的数据和卫星网的数据，
地面网的数据包括探针采集的数据和链路采集的数据，
探针采集设置的节点包括终端采集节点、网络节点和蜜罐采集节点，终端采集节点用于实时采集系统行为，包括windows注册表的进程、文件、网络模块；网络节点用于采集由网络节点产生的多种类型的日志；罐采集节用于点采集漏洞和攻击手段；
链路采集的数据通过对宿主机中虚拟机网络流量的采集得到；
卫星网的数据由卫星的第三方管控系统提供，数据内容为卫星经纬度、频段范围和转发带宽。
进一步的，步骤S2中对采集的数据进行处理具体如下：读取采集的数据，对采集的数据进行清理、去除重复数据；然后通过z-score方法进行标准化处理；再将数据按照时间戳、源IP、目的IP、特征值的格式统一表示。
进一步的，天地一体化网络的知识图谱通过如下方式构建：
步骤1：构建网络安全领域的本体，本体的模型包括：攻击、事件、关口站、卫星、漏洞、操作系统、应用软件、进程、注册表和文件；
步骤2：构建天地一体化网络的知识图谱，知识图谱的模型包括概念、实例、属性、关系、规则，实例为概念的具体例子，属性为实例的属性，关系为实例之间的关系，规则用于约束实例之间关系，将步骤1中构建的本体作为概念构建知识图谱，确定本体的实例、实例的属性、实例之间的关系、约束并存入知识图谱中。
进一步的，本体中，攻击包括互联网攻击和卫星攻击，互联网攻击包括单步攻击和APT攻击，通过互联网获取；单步攻击和APT攻击对应的事件从安全日记获取，卫星攻击对应的事件由卫星的第三方管控系统通过提供卫星经纬度、频段范围和转发带宽信息获取；关口站、卫星以及关口站与卫星的动态拓扑关系是由天地一体化网络动态重构与安全保障系统提供；漏洞、操作系统、应用软件、进程、注册表、和文件的信息通过网络爬虫工具批量获得。
本发明的基于有限状态机的面向天地一体化网络安全状态分析方法，采集数据进行分析，采集数据时，针对数据来源的不同设定不同的采集策略；依托于现有的天地一体化网络系统，从天地一体化网络系统的各个子系统之间通信的实际需求出发构建天地一体化网络的知识图谱，知识图谱构建时，特别调研了现有的卫星攻击，将卫星的相关安全知识补充进去，进一步扩充了安全知识图谱；
在针对攻击的数据分析中，根据数据来源调用不同的有限状态机模块来处理数据，将数据特征依次与知识图谱中的知识进行匹配，将匹配返回的结果存入状态机，并通过设置触发条件获得最后的分析结果，将分析结果对应的当前攻击的现状及其相关的知识输出给管控系统，通过使用kill-chain模型，将APT攻击的阶段与杀死链的阶段对应起来，实时有效的分析出当前攻击状态并提供处置建议，减少误报和错报。
附图说明
图1为本发明的基于有限状态机的面向天地一体化网络安全状态分析方法的流程图。
具体实施方式
本发明的基于有限状态机的面向天地一体化网络安全状态分析方法，在开始分析之前，首先构建天地一体化网络的知识图谱：
步骤1：构建网络安全领域的本体，
本体的模型包括：攻击、事件、关口站、卫星、漏洞、操作系统、应用软件、进程、注册表和文件，在网络安全领域，本体是指网络安全态势要素知识的共享概念，本体构建是指这些概念属性及概念之间的关系，然后依据本体的原则指导构建网络安全知识图谱；
步骤2：构建天地一体化网络的知识图谱，知识图谱的模型包括概念、实例、属性、关系、规则，实例为概念的具体例子，属性为实例的属性，关系为实例之间的关系，规则用于约束实例之间关系，知识图谱五元组模型表述为：知识图谱＝<概念，实例，属性，关系，规则>；将步骤1中构建的本体作为概念构建知识图谱，确定本体的实例、实例的属性、实例之间的关系、约束并存入知识图谱中。
本体构建完成后，就需要依据本体设置的规则与约束获取与本体中的概念对应的实例，这些实例就是知识图谱中的知识，知识的来源说明如下：
本体中，攻击包括互联网攻击和卫星攻击，互联网攻击包括单步攻击和APT攻击，通过互联网获取；单步攻击和APT攻击对应的事件从安全日记获取，卫星攻击对应的事件由卫星的第三方管控系统通过提供卫星经纬度、频段范围和转发带宽信息获取；关口站、卫星以及关口站与卫星的动态拓扑关系是由天地一体化网络动态重构与安全保障系统提供；漏洞、操作系统、应用软件、进程、注册表、和文件的信息通过网络爬虫工具批量获得。
其中，APT攻击的数据来源有六大类：1.Github：APT大事件；2.互联网安全商:360威胁情报中心、IBM等；3.开源安全威胁情报：Threatminer、ThreatBook等；4.付费类威胁情报：知道创宇、NOSEC等；5.资讯类威胁情报：安全牛、安全客、secwiki、Tools、sec-un、IBM、天际友、Freebuf、Ichunqiu、Cybernews、Secrss、Exploit-DB、TheHacknew、Hack news等；6.网络空间搜索引擎威胁情报：Shoda、censys、Fofa、Zoomeye等。
互联网攻击根据调研目前分为两类攻击：干扰和阻断。
另外，APT攻击的定义为：利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。对于攻击的分析模型主要有两个：钻石模型和kill-chain模型。钻石模型主要分析单步攻击，主要描述攻击手段、攻击方向和攻击结果。APT攻击的一般步骤分为信息收集，武器化部署，传递载荷，利用，安装命令和控制，执行，kill-chain一般分为6个阶段：发现，定位，跟踪，瞄准，入侵，完成，APT攻击步骤与杀死链的阶段一一对应。
网络杀伤链(Cyber-Kill-Chain)，也称为网络攻击生命周期，最早是由洛克希德-马丁公司提出的，用于网络攻防对抗，主要用来识别攻击和防止入侵。识别目标，信息收集阶段主要是通过社会工程学手段发现目标安全状态的弱点，并选择合适的后门植入；武器化部署阶段为目标系统制作攻击工具；传递阶段将攻击工具通过后门交付给目标系统；利用阶段通过漏洞获取目标访问权限，控制目标；安装阶段在目标系统上安装远程控制程序目标，建立堡垒；命令和控制阶段创建一个C2通道，以建立与C2服务器的连接；行动阶段将继续窃取有关目标系统的信息，破坏信息的完整性和可用性，并进一步控制机器跳转攻击其他机器，扩大影响范围。
见图1，本发明的基于有限状态机的面向天地一体化网络安全状态分析方法包括以下步骤：
S1：对天地一体化网络的数据进行采集；步骤S1中对天地一体化网络的数据进行采集具体如下：包括采集地面网的数据和卫星网的数据，
地面网的数据包括探针采集的数据和链路采集的数据，
探针采集设置的节点包括终端采集节点、网络节点和蜜罐采集节点，终端采集节点用于实时采集系统行为，包括windows注册表的进程、文件、网络模块；网络节点用于采集由网络节点产生的多种类型的日志；罐采集节用于点采集漏洞和攻击手段；
链路采集的数据通过对宿主机中虚拟机网络流量的采集得到；
卫星网的数据由卫星的第三方管控系统提供，数据内容为卫星经纬度、频段范围和转发带宽。
S2：读取并处理采集的数据，具体如下：读取采集的数据，对采集的数据进行清理、去除重复数据；然后通过z-score方法进行标准化处理；再将数据按照时间戳、源IP、目的IP、特征值的格式统一表示。
步骤S1中采集的数据，既有结构化数据，如CSV文本和数据表，也有半结构化数据，如HTML和XML，对于这些数据要进行标准化和清洗，将数据格式统一；对于网络流量数据，要进行分类统计，选择全部数据或对重点关注部分特征数据进行统计；
S3：根据数据的特征值区分数据来源，将数据分成地面网数据和卫星网数据，对数据进行清洗、标准化和数据融合处理以后，要对这些数据进行特征检测，可以检测出网络威胁行为、系统威胁行为、攻击手段、木马恶意行为、webshell后门通信和检测僵尸网络活动等内容；
S4：根据数据来源调用不同的有限状态机模块来处理数据，将数据特征依次与知识图谱中的知识进行匹配，将匹配返回的结果存入状态机，并通过设置触发条件获得最后的分析结果，将分析结果对应的当前攻击的现状及其相关的知识输出给管控系统。
其中，调用satellite-module模块，用于处理卫星网数据，
satellite-module模块将数据的特征值中的转发带宽与天地一体化网络的知识图谱进行匹配，若匹配成功，则返回卫星编号、卫星攻击名称和时间给管控系统，否则，认为无卫星攻击。
其中，调用ground-module模块，用于处理地面网数据，
ground-module模块将数据的特征值中的事件特征与天地一体化网络的知识图谱进行匹配，其中单步攻击的事件描述为攻击名称，APT攻击的事件描述为APT攻击对应的kill-chain模型的阶段，当数据的特征值中的事件特征与天地一体化网络的知识图谱中的APT攻击的阶段相匹配且匹配到的APT攻击的阶段不是第一阶段，则认为是单步攻击，返回单步攻击的名称、时间、目的IP和处置建议给管控系统；
当数据的特征值中的事件特征与天地一体化网络的知识图谱中的APT攻击的阶段相匹配且匹配到APT攻击的阶段是第一阶段，将匹配到的攻击的名称及对应的APT攻击的阶段存入状态机，根据触发条件继续匹配APT攻击的第二阶段且更新状态机的状态，若匹配到APT攻击的第二阶段则继续顺次匹配APT攻击的第三阶段，以此类推直到无法匹配到APT攻击的下一阶段或匹配结束，然后将最后匹配到APT攻击的阶段、APT攻击名称、目的IP、时间和处置建议返回给管控系统；
当数据的特征值中的事件特征匹配到APT攻击的第一阶段后，无法匹配到APT攻击的第二阶段却匹配到与APT攻击的第一阶段间隔为N的阶段，其中N为自然数，
当N大于2时，则认为匹配到APT攻击的第一阶段和第N+1阶段分别为两个单步攻击，返回单步攻击的名称、时间、目的IP给管控系统；
当N小于等于2时，则仍然认为该阶段与APT攻击相匹配，根据触发条件继续与APT攻击的下一阶段进行匹配且更新状态机的状态，以此类推直到无法匹配到APT攻击的下一阶段或匹配结束，则将最后匹配到APT攻击的阶段、APT攻击名称、目的IP、时间和处置建议返回给管控系统。
因为kill-chain的阶段和APT攻击的步骤一一对应，所以kill-chain的应对措施可以与APT攻击步骤的处置建议对应起来，APT的步骤确定，第一步中包含很多具体的攻击，同样，第二步也包含很多具体的攻击到第六步包含很多具体的攻击，设定只有匹配出第一步的攻击，才是APT攻击，否则作为单步攻击。匹配到第一步攻击，如果接下来的数据是属于第二步的攻击，这时状态机的状态就更新为APT的第二步，以此类推，直接无法匹配到下一步，匹配到APT攻击的第几阶段就返回第几阶段。再比如匹配到第一步和第二步了，但没有第三和第四步，直接匹配除了第五步，就加入容错机制，在缺少两步的情况下，加边处理，依然认为是APT攻击的第五步，但间隔超过两步，分别当作两个单步攻击。
在针对攻击的数据分析中，根据数据来源调用不同的有限状态机模块来处理数据，将数据特征依次与知识图谱中的知识进行匹配，将匹配返回的结果存入状态机，并通过设置触发条件获得最后的分析结果，将分析结果对应的当前攻击的现状及其相关的知识输出给管控系统，通过使用kill-chain模型，将APT攻击的阶段与杀死链的阶段对应起来，实时有效的分析出当前攻击状态并提供处置建议，减少误报和错报。

Claims (7)

1.基于有限状态机的面向天地一体化网络安全状态分析方法，其特征在于：包括以下步骤：
S1：对天地一体化网络的数据进行采集；
S2：读取并处理采集的数据；
S3：根据数据的特征值区分数据来源，将数据分成地面网数据和卫星网数据，
S4：根据数据来源调用不同的有限状态机模块来处理数据，将数据特征依次与知识图谱中的知识进行匹配，将匹配返回的结果存入状态机，并通过设置触发条件获得最后的分析结果，将分析结果对应的当前攻击的现状及其相关的知识输出给管控系统。
2.根据权利要求1所述的基于有限状态机的面向天地一体化网络安全状态分析方法，其特征在于：调用satellite-module模块，用于处理卫星网数据，
satellite-module模块将数据的特征值中的转发带宽与天地一体化网络的知识图谱进行匹配，若匹配成功，则返回卫星编号、卫星攻击名称和时间给管控系统，否则，认为无卫星攻击。
3.根据权利要求1所述的基于有限状态机的面向天地一体化网络安全状态分析方法，其特征在于：调用ground-module模块，用于处理地面网数据，
ground-module模块将数据的特征值中的事件特征与天地一体化网络的知识图谱进行匹配，其中单步攻击的事件描述为攻击名称，APT攻击的事件描述为APT攻击对应的kill-chain模型的阶段，当数据的特征值中的事件特征与天地一体化网络的知识图谱中的APT攻击的阶段相匹配且匹配到的APT攻击的阶段不是第一阶段，则认为是单步攻击，返回单步攻击的名称、时间、目的IP给管控系统；
当数据的特征值中的事件特征与天地一体化网络的知识图谱中的APT攻击的阶段相匹配且匹配到APT攻击的阶段是第一阶段，将匹配到的攻击的名称及对应的APT攻击的阶段存入状态机，根据触发条件继续匹配APT攻击的第二阶段且更新状态机的状态，若匹配到APT攻击的第二阶段则继续顺次匹配APT攻击的第三阶段，以此类推直到无法匹配到APT攻击的下一阶段或匹配结束，然后将最后匹配到APT攻击的阶段、APT攻击名称、目的IP、时间和处置建议返回给管控系统；
当数据的特征值中的事件特征匹配到APT攻击的第一阶段后，无法匹配到APT攻击的第二阶段却匹配到与APT攻击的第一阶段间隔为N的阶段，其中N为自然数，
当N大于2时，则认为匹配到APT攻击的第一阶段和第N+1阶段分别为两个单步攻击，返回单步攻击的名称、时间、目的IP给管控系统；
当N小于等于2时，则任然认为该阶段与APT攻击相匹配，根据触发条件继续与APT攻击的下一阶段进行匹配且更新状态机的状态，以此类推直到无法匹配到APT攻击的下一阶段或匹配结束，则将最后匹配到APT攻击的阶段、APT攻击名称、目的IP、时间和处置建议返回给管控系统。
4.根据权利要求1所述的基于有限状态机的面向天地一体化网络安全状态分析方法，其特征在于：步骤S1中对天地一体化网络的数据进行采集具体如下：包括采集地面网的数据和卫星网的数据，
地面网的数据包括探针采集的数据和链路采集的数据，
探针采集设置的节点包括终端采集节点、网络节点和蜜罐采集节点，终端采集节点用于实时采集系统行为，包括windows注册表的进程、文件、网络模块；网络节点用于采集由网络节点产生的多种类型的日志；罐采集节用于点采集漏洞和攻击手段；
链路采集的数据通过对宿主机中虚拟机网络流量的采集得到；
卫星网的数据由卫星的第三方管控系统提供，数据内容为卫星经纬度、频段范围和转发带宽。
5.根据权利要求1所述的基于有限状态机的面向天地一体化网络安全状态分析方法，其特征在于：步骤S2中对采集的数据进行处理具体如下：读取采集的数据，对采集的数据进行清理、去除重复数据；然后通过z-score方法进行标准化处理；再将数据按照时间戳、源IP、目的IP、特征值的格式统一表示。
6.根据权利要求1所述的基于有限状态机的面向天地一体化网络安全状态分析方法，其特征在于：天地一体化网络的知识图谱通过如下方式构建：
步骤1：构建网络安全领域的本体，本体的模型包括：攻击、事件、关口站、卫星、漏洞、操作系统、应用软件、进程、注册表和文件；
步骤2：构建天地一体化网络的知识图谱，知识图谱的模型包括概念、实例、属性、关系、规则，实例为概念的具体例子，属性为实例的属性，关系为实例之间的关系，规则用于约束实例之间关系，将步骤1中构建的本体作为概念构建知识图谱，确定本体的实例、实例的属性、实例之间的关系、约束并存入知识图谱中。
7.根据权利要求1所述的基于有限状态机的面向天地一体化网络安全状态分析方法，其特征在于：本体中，攻击包括互联网攻击和卫星攻击，互联网攻击包括单步攻击和APT攻击，通过互联网获取；单步攻击和APT攻击对应的事件从安全日记获取，卫星攻击对应的事件由卫星的第三方管控系统通过提供卫星经纬度、频段范围和转发带宽信息获取；关口站、卫星以及关口站与卫星的动态拓扑关系是由天地一体化网络动态重构与安全保障系统提供；漏洞、操作系统、应用软件、进程、注册表和文件的信息通过网络爬虫工具批量获得。
CN201811549316.0A 2018-12-18 2018-12-18 基于有限状态机的面向天地一体化网络安全状态分析方法 Active CN109413109B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811549316.0A CN109413109B (zh) 2018-12-18 2018-12-18 基于有限状态机的面向天地一体化网络安全状态分析方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811549316.0A CN109413109B (zh) 2018-12-18 2018-12-18 基于有限状态机的面向天地一体化网络安全状态分析方法

Publications (2)

Publication Number Publication Date
CN109413109A true CN109413109A (zh) 2019-03-01
CN109413109B CN109413109B (zh) 2021-03-05

Family

ID=65459714

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811549316.0A Active CN109413109B (zh) 2018-12-18 2018-12-18 基于有限状态机的面向天地一体化网络安全状态分析方法

Country Status (1)

Country Link
CN (1) CN109413109B (zh)

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110191083A (zh) * 2019-03-20 2019-08-30 中国科学院信息工程研究所 面向高级持续性威胁的安全防御方法、装置与电子设备
CN110300097A (zh) * 2019-05-23 2019-10-01 军事科学院系统工程研究院网络信息研究所 基于天地一体化网络的信息传输数据格式统一命名方法
CN110688456A (zh) * 2019-09-25 2020-01-14 北京计算机技术及应用研究所 一种基于知识图谱的漏洞知识库构建方法
CN111177417A (zh) * 2020-04-13 2020-05-19 中国人民解放军国防科技大学 基于网络安全知识图谱的安全事件关联方法、系统、介质
CN112087420A (zh) * 2020-07-24 2020-12-15 西安电子科技大学 一种网络杀伤链检测方法、预测方法及系统
CN112788064A (zh) * 2021-02-10 2021-05-11 中国电子科技集团公司第十五研究所 基于知识图谱的加密网络异常流量检测方法
CN112800417A (zh) * 2021-04-15 2021-05-14 远江盛邦（北京）网络安全科技股份有限公司 基于服务状态机的反馈式蜜罐系统的识别方法及系统
CN113194084A (zh) * 2021-04-27 2021-07-30 中国人民解放军国防科技大学 卫星网络安全分析方法、装置、系统和存储介质
CN113746832A (zh) * 2021-09-02 2021-12-03 华中科技大学 多方法混合的分布式apt恶意流量检测防御系统及方法
CN114124859A (zh) * 2021-08-17 2022-03-01 北京邮电大学 一种网络维护平台智能客户服务机器人及维护方法
CN114844666A (zh) * 2022-03-16 2022-08-02 西安交通大学 网络流量分析与重构方法及装置
CN114866285A (zh) * 2022-04-07 2022-08-05 水利部信息中心 一种统一指挥的漏洞全生命周期自动化智能系统

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106534195A (zh) * 2016-12-19 2017-03-22 杭州信雅达数码科技有限公司 一种基于攻击图的网络攻击者行为分析方法
CN106790020A (zh) * 2016-12-14 2017-05-31 北京东方棱镜科技有限公司 一种基于攻击范式的互联网异常行为检测方法与系统
CN108270785A (zh) * 2018-01-15 2018-07-10 中国人民解放军国防科技大学 一种基于知识图谱的分布式安全事件关联分析方法
CN108833389A (zh) * 2018-06-05 2018-11-16 北京奇安信科技有限公司 一种情报数据共享处理方法及装置
CN108881316A (zh) * 2018-08-30 2018-11-23 中国人民解放军国防科技大学 一种天地一体化信息网络下攻击回溯的方法
CN109005069A (zh) * 2018-08-29 2018-12-14 中国人民解放军国防科技大学 基于天地一体化网络的网络安全知识图谱的关联分析方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106790020A (zh) * 2016-12-14 2017-05-31 北京东方棱镜科技有限公司 一种基于攻击范式的互联网异常行为检测方法与系统
CN106534195A (zh) * 2016-12-19 2017-03-22 杭州信雅达数码科技有限公司 一种基于攻击图的网络攻击者行为分析方法
CN108270785A (zh) * 2018-01-15 2018-07-10 中国人民解放军国防科技大学 一种基于知识图谱的分布式安全事件关联分析方法
CN108833389A (zh) * 2018-06-05 2018-11-16 北京奇安信科技有限公司 一种情报数据共享处理方法及装置
CN109005069A (zh) * 2018-08-29 2018-12-14 中国人民解放军国防科技大学 基于天地一体化网络的网络安全知识图谱的关联分析方法
CN108881316A (zh) * 2018-08-30 2018-11-23 中国人民解放军国防科技大学 一种天地一体化信息网络下攻击回溯的方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
YULU QI；RANG JIANG；YAN JIA；RUNHENG LI；AIPING LI: "Association Analysis Algorithm Based on Knowledge Graph for SPACE-Ground Integrated Network", 《ICCT2018》 *
帅春燕: "基于状态机的多阶段网络攻击模型及检测算法", 《CTC2010》 *

Cited By (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110191083B (zh) * 2019-03-20 2020-09-25 中国科学院信息工程研究所 面向高级持续性威胁的安全防御方法、装置与电子设备
CN110191083A (zh) * 2019-03-20 2019-08-30 中国科学院信息工程研究所 面向高级持续性威胁的安全防御方法、装置与电子设备
CN110300097A (zh) * 2019-05-23 2019-10-01 军事科学院系统工程研究院网络信息研究所 基于天地一体化网络的信息传输数据格式统一命名方法
CN110300097B (zh) * 2019-05-23 2021-08-24 军事科学院系统工程研究院网络信息研究所 一种管理天地一体化网络的信息传输数据格式处理方法
CN110688456A (zh) * 2019-09-25 2020-01-14 北京计算机技术及应用研究所 一种基于知识图谱的漏洞知识库构建方法
CN111177417A (zh) * 2020-04-13 2020-05-19 中国人民解放军国防科技大学 基于网络安全知识图谱的安全事件关联方法、系统、介质
CN112087420B (zh) * 2020-07-24 2022-06-14 西安电子科技大学 一种网络杀伤链检测方法、预测方法及系统
CN112087420A (zh) * 2020-07-24 2020-12-15 西安电子科技大学 一种网络杀伤链检测方法、预测方法及系统
CN112788064A (zh) * 2021-02-10 2021-05-11 中国电子科技集团公司第十五研究所 基于知识图谱的加密网络异常流量检测方法
CN112800417A (zh) * 2021-04-15 2021-05-14 远江盛邦（北京）网络安全科技股份有限公司 基于服务状态机的反馈式蜜罐系统的识别方法及系统
CN113194084A (zh) * 2021-04-27 2021-07-30 中国人民解放军国防科技大学 卫星网络安全分析方法、装置、系统和存储介质
CN114124859A (zh) * 2021-08-17 2022-03-01 北京邮电大学 一种网络维护平台智能客户服务机器人及维护方法
CN114124859B (zh) * 2021-08-17 2023-04-07 北京邮电大学 一种网络维护平台智能客户服务机器人及维护方法
CN113746832B (zh) * 2021-09-02 2022-04-29 华中科技大学 多方法混合的分布式apt恶意流量检测防御系统及方法
CN113746832A (zh) * 2021-09-02 2021-12-03 华中科技大学 多方法混合的分布式apt恶意流量检测防御系统及方法
CN114844666A (zh) * 2022-03-16 2022-08-02 西安交通大学 网络流量分析与重构方法及装置
CN114844666B (zh) * 2022-03-16 2023-06-06 西安交通大学 网络流量分析与重构方法及装置
CN114866285A (zh) * 2022-04-07 2022-08-05 水利部信息中心 一种统一指挥的漏洞全生命周期自动化智能系统
CN114866285B (zh) * 2022-04-07 2023-10-27 水利部信息中心 一种统一指挥的漏洞全生命周期自动化智能系统

Also Published As

Publication number Publication date
CN109413109B (zh) 2021-03-05

Similar Documents

Publication Publication Date Title
CN109413109A (zh) 基于有限状态机的面向天地一体化网络安全状态分析方法
CN107172022B (zh) 基于入侵途径的apt威胁检测方法和系统
CN115296924B (zh) 一种基于知识图谱的网络攻击预测方法及装置
CN104809404A (zh) 一种信息安全攻防平台的数据层系统
CN109885562A (zh) 一种基于网络空间安全的大数据智能分析系统
CN108259462A (zh) 基于海量网络监测数据的大数据安全分析系统
CN111818103B (zh) 一种网络靶场中基于流量的溯源攻击路径方法
WO2015149062A1 (en) System and method for predicting impending cyber security events using multi channel behavioral analysis in a distributed computing environment
CN106790313A (zh) 入侵防御方法及装置
Sung et al. Large-scale IP traceback in high-speed internet: practical techniques and information-theoretic foundation
Elshoush et al. An improved framework for intrusion alert correlation
US8903749B2 (en) Method of identifying a protocol giving rise to a data flow
CN104871171A (zh) 分布式模式发现
CN110149319A (zh) Apt组织的追踪方法及装置、存储介质、电子装置
CN114531273A (zh) 一种防御工业网络系统分布式拒绝服务攻击的方法
CN108881316A (zh) 一种天地一体化信息网络下攻击回溯的方法
Yang et al. Detecting DNS covert channels using stacking model
Mei et al. A Review of Attribution Technical for APT Attacks
Gorodetski et al. Agent-based model of computer network security system: A case study
CN103501302A (zh) 一种蠕虫特征自动提取的方法及系统
Boggs et al. Discovery of emergent malicious campaigns in cellular networks
Youn et al. Research on Cyber IPB Visualization Method based on BGP Archive Data for Cyber Situation Awareness.
CN110188537A (zh) 数据的分离存储方法及装置、存储介质、电子装置
CN113032774B (zh) 异常检测模型的训练方法、装置、设备及计算机存储介质
CN110611636B (zh) 一种基于大数据算法的失陷主机检测方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant