CN110430158B - 采集代理部署方法及装置 - Google Patents

采集代理部署方法及装置 Download PDF

Info

Publication number
CN110430158B
CN110430158B CN201910509683.6A CN201910509683A CN110430158B CN 110430158 B CN110430158 B CN 110430158B CN 201910509683 A CN201910509683 A CN 201910509683A CN 110430158 B CN110430158 B CN 110430158B
Authority
CN
China
Prior art keywords
acquisition
agent
threat
threat event
potential threat
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910509683.6A
Other languages
English (en)
Other versions
CN110430158A (zh
Inventor
李凤华
陈黎丽
郭云川
王震
张玲翠
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Institute of Information Engineering of CAS
Original Assignee
Institute of Information Engineering of CAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Institute of Information Engineering of CAS filed Critical Institute of Information Engineering of CAS
Priority to CN201910509683.6A priority Critical patent/CN110430158B/zh
Priority to PCT/CN2019/092999 priority patent/WO2020248306A1/zh
Publication of CN110430158A publication Critical patent/CN110430158A/zh
Application granted granted Critical
Publication of CN110430158B publication Critical patent/CN110430158B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H04L63/302—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information gathering intelligence information for situation awareness or reconnaissance

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Evolutionary Computation (AREA)
  • Technology Law (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明提供一种采集代理部署方法及装置，方法包括：根据目标网络‑数据服务库、数据服务‑潜在威胁事件属性库、威胁事件‑特征信标库和采集代理‑威胁检测原子数据项库构建所述网络的威胁‑采集树；对于任一所述潜在威胁事件，根据该潜在威胁事件被所述采集代理监测到的置信度和该潜在威胁事件的影响，获取潜在该潜在威胁事件的风险值；根据各所述潜在威胁事件的风险值和所述威胁‑采集树，确定各所述设备节点是否为风险点；根据所述网络中的风险点、所述采集代理的采集能力和预设约束条件，将所述采集代理部署在所述风险点上。本发明提升数据采集能力，降低数据采集和分析所消耗的资源。

Description

采集代理部署方法及装置
技术领域
本发明属于网络安全技术领域，尤其涉及一种采集代理部署方法及装置。
背景技术
大规模复杂信息网络中存在大量重要设备和系统，为了监测这些设备和系统的运行状态，及时发现潜在威胁，需要部署采集代理来采集设备和系统的运行状态及其产生的海量数据和日志。
现有的采集代理部署方案主要在数据产生与汇聚等节点上部署采集代理。现有部署方式主要考虑网络拓扑或部署成本等因素，一般利用镜像等方式实现数据采集。但这种采集代理部署方式不适用于大规模复杂信息网络，这是因为不同的采集代理的采集能力，以及攻击者的能力是不同的。对于不同采集能力的采集代理和不同攻击能力的攻击者，若在部署时仅考虑考虑网络拓扑或部署成本等因素，容易导致数据的过度采集或欠采集。其中，过度采集指的是在网络中部署大量的采集代理，造成采集数量过多，采集内容冗余，这将消耗大量的部署、采集和维护成本；欠采集指的是采集成本约束下，在重要风险点未部署采集代理或未部署具有相应采集能力的采集代理，而不能获取与威胁密切相关的数据，无法为后续分析潜在威胁事件提供支持。
综上所述，现有的采集代理部署方法仅考虑网络拓扑或部署成本等因素，对于不同采集能力的采集代理和不同攻击能力的攻击者，采用这种方法进行采集代理部署容易造成过度采集或欠采集。
发明内容
为克服上述现有的采集代理部署方法易造成过度采集或欠采集的问题或者至少部分地解决上述问题，本发明实施例提供一种采集代理部署方法及装置。
根据本发明实施例的第一方面，提供一种采集代理部署方法，包括：
根据目标网络-数据服务库、数据服务-威胁事件库、威胁事件-特征信标库和采集代理-威胁检测原子数据项库构建网络的威胁-采集树；其中，目标网络-数据服务库存储目标网络拓扑与目标网络所提供的数据服务之间的对应关系，数据服务-威胁事件库存储数据服务与数据服务面临的潜在威胁事件之间的对应关系，威胁事件-特征信标库存储潜在威胁事件与能发现所述潜在威胁事件的威胁事件特征信标间的对应关系，采集代理-威胁检测原子数据项库存储采集代理与采集代理所能采集的用于检测潜在威胁事件的威胁检测原子数据项的对应关系；
对于任一所述潜在威胁事件，根据该潜在威胁事件被所述采集代理监测到的置信度和该潜在威胁事件的影响，获取该潜在威胁事件的风险值；
根据所述潜在威胁事件的风险值和所述威胁-采集树，确定设备节点是否为风险点；
根据所述网络中的风险点、所述采集代理的采集能力和预设约束条件，选择部署点并部署采集代理。
根据本发明实施例第二方面提供一种采集代理部署装置，包括：
构建模块，根据目标网络-数据服务库、数据服务-威胁事件库、威胁事件-特征信标库和采集代理-威胁检测原子数据项库构建网络的威胁-采集树；其中，目标网络-数据服务库存储目标网络拓扑与目标网络所提供的数据服务之间的对应关系，数据服务-威胁事件库存储数据服务与数据服务面临的潜在威胁事件之间的对应关系，威胁事件-特征信标库存储潜在威胁事件与能发现所述潜在威胁事件的威胁事件特征信标间的对应关系，采集代理-威胁检测原子数据项库存储采集代理与采集代理所能采集的用于检测潜在威胁事件的威胁检测原子数据项的对应关系；
获取模块，用于对于任一所述潜在威胁事件，根据该潜在威胁事件被所述采集代理监测到的置信度和该潜在威胁事件的影响，获取该潜在威胁事件的风险值；
确定模块，用于根据各所述潜在威胁事件的风险值和所述威胁-采集树，确定各所述设备节点是否为风险点；
部署模块，用于根据所述网络中的风险点、所述采集代理的采集能力和预设约束条件，选择部署点并部署采集代理。
根据本发明实施例的第三个方面，还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器调用所述程序指令能够执行第一方面的各种可能的实现方式中任一种可能的实现方式所提供的采集代理部署方法。
根据本发明实施例的第四个方面，还提供一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行第一方面的各种可能的实现方式中任一种可能的实现方式所提供的采集代理部署方法。
本发明实施例提供一种采集代理部署方法及装置，该方法通过依据网络拓扑图、数据服务、潜在威胁事件，计算威胁事件风险值，构建威胁-采集树，确定风险点，并依据风险点、威胁-采集树、采集代理能力、采集约束确定采集代理部署位置，从而提升数据采集能力，降低数据采集和分析所消耗的资源。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的采集代理部署方法整体流程示意图；
图2为本发明实施例提供的采集代理部署方法中威胁-采集树结构示意图；
图3为本发明又一实施例提供的采集代理部署方法中威胁-采集树结构示意图；
图4为本发明实施例提供的采集代理部署方法中贪心算法流程示意图；
图5为本发明实施例提供的采集代理部署方法中部署算法流程示意图；
图6为本发明实施例提供的采集代理部署方法中采集代理调度策略流程示意图；
图7为本发明实施例提供的采集代理部署装置整体结构示意图。
具体实施方式
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
在本发明的一个实施例中提供一种采集代理部署方法，图1为本发明实施例提供的采集代理部署方法整体流程示意图，该方法包括：S101，根据目标网络-数据服务库、数据服务-威胁事件库、威胁事件-特征信标库和采集代理-威胁检测原子数据项库构建网络的威胁-采集树；其中，目标网络-数据服务库存储目标网络拓扑与目标网络所提供的数据服务之间的对应关系，数据服务-威胁事件库存储数据服务与数据服务面临的潜在威胁事件之间的对应关系，威胁事件-特征信标库存储潜在威胁事件与能发现所述潜在威胁事件的威胁事件特征信标间的对应关系，采集代理-威胁检测原子数据项库存储采集代理与采集代理所能采集的用于检测潜在威胁事件的威胁检测原子数据项的对应关系；
其中，数据服务是指目标网络的设备节点上运行的业务服务，数据服务类型包括但不限于Web服务、FTP服务和数据库服务等。威胁事件是可能会对目标网络造成影响的攻击事件和/或对目标网络已经造成影响的攻击事件，可用一个或多个威胁事件特征属性的任意组合进行描述。
其中，潜在威胁事件属性包括但不限于威胁事件类型、威胁事件等级、威胁事件影响和潜在威胁事件被监测到的置信度。威胁事件类型包括但不限于DDOS(DistributedDenial of Service，分布式拒绝服务)攻击、暴力破解、XSS(Cross-Site Scripting，跨站脚本)攻击、SQL(Structured Query Language，结构化查询语言)注入、蠕虫攻击、木马攻击和流量劫持和欺骗攻击等。威胁事件等级用于表示威胁的严重程度，确定威胁事件等级的方法包括但不限于经验知识和模糊统计。例如，可用离散值度量，用从1到5的整数，数字越大，表示威胁越严重。威胁事件影响指的是威胁事件对目标网络的影响，威胁事件影响可以从目标网络的安全属性进行描述。目标网络的安全属性包括但不限于系统的完整性(Integrity)、系统的可用性(Availability)和系统的机密性(Confidentiality)等。确定威胁事件影响的方法包括但限于专家知识、概率统计和模糊统计。潜在威胁事件被监测到的置信度指的是潜在威胁事件被最小特征信标集合检测到的真实性。确定潜在威胁事件被监测到的置信度的方法包括但不限于专家知识、模糊统计、加权求和和概率分析等。
最小特征信标集合由一个或多个威胁事件特征信标组成，每个最小特征信标集合足以检测到一个潜在威胁事件。需要说明的是，同一个潜在威胁事件可以被一个或多个最小特征信标集合检测出来。其中，威胁事件特征信标是从采集代理的采集项数据中提取的可用于检测潜在威胁事件的威胁检测原子数据项，生成判断潜在威胁事件的原子谓词，利用逻辑连接词连接而成的威胁检测规则。例如，“SYN半连接数>Φ1and TCP流量>Φ2”是用于检测DOS攻击的威胁事件特征信标，其中，Φ1和Φ2是阈值。“SYN半连接数”和“TCP流量”是从采集项数据中可获取的威胁检测原子数据项，“and”是逻辑连接词。威胁事件特征信标如图2中第4层所示。威胁-采集树是利用树的形式将数据服务、潜在威胁事件、威胁事件特征信标和采集代理之间对应关系进行描述，如图2所示。其中，潜在威胁事件的范畴不限于本专利实施例中所涉及的潜在威胁事件，其范围可以更广泛。
S102，对于任一潜在威胁事件，根据该潜在威胁事件被所述采集代理监测到的置信度和该潜在威胁事件的影响，获取该潜在威胁事件的风险值；
在计算风险值时，依据潜在威胁事件被监测到的置信度和潜在威胁事件的影响计算威胁事件风险值，计算方法包括但不限于相乘法、矩阵法、加权和法等。确定潜在威胁事件被监测到的置信度的因素包括但不限于威胁检测原子数据项被采集代理监测到的概率和系统中设备被攻击的可能性。确定威胁检测原子数据项被采集代理监测到的概率步骤包含但不限于：根据威胁检测原子数据项与采集代理的对应关系，通过随机赋值、固定值选取法、蒙特卡罗模拟法、概率分析等方法确定威胁检测原子数据项被采集代理监测到的概率。确定目标网络中设备节点被攻击的可能性的步骤包含但不限于：根据设备在目标网络系统中的位置(例如，距离外网的跳数)，利用随机赋值、固定值选取法、蒙特卡罗模拟法、概率分析等方法确定目标网络中的设备节点被攻击的可能性(例如，距离外网的跳数越少，被攻击者攻击的可能性就越大)。
S103，根据所述潜在威胁事件的风险值和所述威胁-采集树，确定设备节点是否为风险点；
根据潜在威胁事件的风险值、威胁-采集树中威胁事件特征信标与潜在威胁事件的对应关系和威胁检测原子数据项与采集代理的关系确定风险点。首先，对所有潜在威胁事件的风险值进行排序，选取风险值大于第一预设阈值的潜在威胁事件；其次，利用威胁-采集树中的潜在威胁事件与威胁特征信标的对应关系、威胁检测原子数据项与目标网络设备节点的关系，如图2中第3-5层所示，确定能够采集到威胁检测原子数据项的设备节点，这些设备节点即为风险点的位置。
S104，根据所述目标网络中的风险点、所述采集代理的采集能力和预设约束条件，选择部署点并部署采集代理。
依据风险点、威胁-采集树、采集代理能力、采集约束(包括成本约束，QoS约束等)，调用部署点选取算法确定采集代理部署位置。其中，描述风险点的要素包括但不限于：位置、数量、类型等。其中，根据数据服务风险点类型可以分为：Web服务、FTP服务、数据库服和应用程序服务等。采集代理能力是采集代理能够从设备和网络系统上获取采集内容的能力。部署约束可以从成本约束和QoS(Quality of Service，服务质量)约束两个方面描述。其中，成本包括但不限于：采集代理的购买成本、部署成本、维护成本和资源成本，其中资源成本包括但不限于电量、带宽、设备当前运行状态等。QoS包括但不限于：采集数据的可用性、吞吐量、采集数据的时延、时延变化、丢包率等。
本实施例通过依据目标网络的拓扑图、数据服务、威胁事件，计算威胁事件风险值，构建威胁-采集树，确定风险点，并依据风险点、威胁-采集树、采集代理能力、采集约束确定采集代理部署位置，从而提升数据采集能力，降低数据采集和分析所消耗的资源。
在上述实施例的基础上，本实施例中在构建所述目标网络的威胁-采集树的步骤之前还包括：获取所述网络的采集项数据；所述采集项数据包括网络流量信息、设备状态信息和日志信息；对所述采集项数据进行分析，从所述采集项数据中提取出关键字段，从所述关键字段中提取出用于检测所述潜在威胁事件的威胁检测原子数据项；其中，所述采集项数据为历史所采集的数据和/或当前采集的数据；对所述威胁检测原子数据项进行分析，生成判断所述潜在威胁事件的原子谓词；使用逻辑连接词将所述原子谓词进行连接，生成能检测所述潜在威胁事件的威胁事件特征信标。
其中，所述的采集项数据包括但不限于网络流量信息(例如，发送数据包的个数、接收数据包的个数等)、设备状态信息(例如，CPU利用率、内存利用率等)和日志信息。其中，日志信息包括但不限于操作系统日志数据(例如，Windows系统、Linux系统等)、目标网络中部署的路由器、交换机等传输设备日志数据(例如，带宽、流量等)、主机上记录的具体服务运行日志数据(例如，SSH、MySQL、HTTP、Web等)和安全设备日志数据(例如，防火墙、IDS等)等。
威胁检测原子数据项是从采集项数据直接采集或间接提取的与潜在威胁事件相关的标志性数据。提取威胁检测原子数据项的方式可以分为对已知威胁事件特征数据提取和对未知威胁事件特征数据提取。其中，对已知威胁事件特征数据的提取方式包括但不限于专家知识库、概率统计、攻击序列模板对比、因果关系和层次式关联分析等；对未知威胁事件特征数据的提取方式包括但不限于模糊统计、贝叶斯网络和机器学习等。其中，所述采集项数据为历史所采集的数据或当前采集的数据。
潜在威胁事件是指从采集项数据中分析出来的对目标网络可能会对目标网络造成影响的攻击事件和/或对目标网络已经造成影响的攻击事件，也可用一个或多个威胁事件特征属性的任意组合进行描述。生成潜在威胁事件特征信标的步骤包含但不限于：第一步，对采集项数据进行分析，提取出关键字段(例如，将非结构化信息转化为结构化等)，从关键字段中提取出可用于检测潜在威胁事件的威胁检测原子数据项；第二步，根据威胁检测原子数据项，通过统计方法学等进行分析，生成判断潜在威胁事件的原子谓词；第三步，根据判断潜在威胁事件的原子谓词，利用逻辑连接词连接，从而生成能检测潜在威胁事件特征信标。威胁事件特征信标与潜在威胁事件的对应关系可以用列表或者构建威胁树的方式进行描述，如图2中第3-4层所示。
在上述实施例的基础上，本实施例中根据该潜在威胁事件被所述采集代理监测到的置信度和该潜在威胁事件的影响，获取该潜在威胁事件的风险值的步骤之前还包括：根据采集代理与采集代理所能采集的用于检测威胁的威胁检测原子数据项的对应关系，确定所述潜在威胁事件特征信标中的威胁检测原子数据项被所述采集代理监测到的概率；根据所述威胁检测原子数据项被所述采集代理监测到的概率，基于概率传递方法，计算该潜在威胁事件的最小特征信标集合所对应的威胁检测原子数据项集合被所述采集代理监测到的概率；其中，该潜在威胁事件对应的最小特征信标集合是由满足如下条件且能检测该潜在威胁事件的威胁事件特征信标所组成的集合：该集合的任意真子集均不能检测所述潜在威胁事件；根据各所述设备节点在网络系统中的位置信息和/或设备防御度信息，确定各所述设备节点被攻击的可能性；根据所述设备节点被攻击的可能性，计算所述设备节点上的采集代理获取的威胁检测原子数据项的真实性；根据所述威胁检测原子数据项的真实性，计算所述威胁检测原子数据项对应的最小特征信标集合的真实性；根据所述最小特征信标集合被监测到的概率和所述最小特征信标集合的真实性，确定被所述采集代理监测到的最小威胁特征信标集合对应的潜在威胁事件的置信度。
具体地，确定潜在威胁事件被监测到的置信度主要包括以下步骤：首先，确定威胁检测原子数据项被采集代理监测到的概率和系统中设备被攻击的可能性。其次，根据系统中设备被攻击的可能性，利用三角范式等方法，计算设备对应采集代理获取采集项数据的真实性与威胁检测原子数据项的真实性。再次，依据威胁检测原子数据项的真实性、威胁事件特征信标，计算确定已监测到数据对应的潜在威胁事件的真实性。最后，根据威胁检测原子数据项被采集代理监测到的概率和已监测到数据对应的潜在威胁事件的真实性，利用加权求和方法，计算出潜在威胁事件被监测到的置信度。
在上述实施例的基础上，本实施例中通过以下公式根据该潜在威胁事件对应的最小特征信标集合被所述采集代理监测到的概率和该潜在威胁事件对应的最小特征信标集合的真实性，确定该潜在威胁事件被所述采集代理监测到的置信度：
Figure BDA0002093042310000101
其中，pψ表示任一所述潜在威胁事件ψ被所述采集代理监测到的置信度，τi表示ψ对应的第i个最小特征信标集合，γ(ψ)表示ψ对应的所有最小特征信标集合的集合，
Figure BDA0002093042310000102
表示τi被所述采集代理监测到的概率，
Figure BDA0002093042310000103
表示τi的真实性。
在上述实施例的基础上，本实施例中根据该潜在威胁事件被所述采集代理监测到的置信度和该潜在威胁事件的影响，获取该潜在威胁事件的风险值的步骤之前还包括：对该潜在威胁事件所涉及的所述目标网络的安全属性进行评估；所述安全属性包括完整性、可用性和保密性；根据评估结果确定该潜在威胁事件的影响。
其中，潜在威胁事件影响指的是潜在威胁事件对目标网络的影响，潜在威胁事件影响可以从目标网络的安全属性进行描述。目标网络的安全属性包括但不限于系统的完整性(Integrity)、系统的可用性(Availability)和系统的机密性(Confidentiality)等。对潜在威胁事件所涉及的安全属性进行评估，根据评估结果确定潜在威胁事件的影响。
在上述实施例的基础上，本实施例中根据所述目标网络中的风险点、所述采集代理的采集能力和预设约束条件，将所述采集代理部署在所述风险点上的步骤具体包括：1)构建第一目标函数，并确定所述第一目标函数的约束条件，对所第一目标函数进行求解，获得需要部署的采集代理个数；所述第一目标函数包括：最大化采集效用、最小化采集代理部署成本、最小化采集代理的资源消耗中的任意一个或多个；第一目标函数的约束条件包括：部署采集代理的成本小于部署总预算、采集效用不低于第二预设阈值、采集代理的资源消耗不超过第三预设阈值中的任意一个或多个；2)构建第二目标函数，并确定所述第二目标函数的约束条件，对所述第二目标函数进行求解，获得需要部署的采集代理位置；所述第二目标函数包括攻击者第一收益函数和/或者监测者第一收益函数；所述攻击者第一收益函数包括：最大化攻击者对所述设备节点造成的影响、最大化攻击者被所述采集代理监测到的时间、最大化所述攻击者被监测到时所述设备节点的感染数量中的任意一个或多个；所述监测者第一收益函数包括：最小化所述采集代理的成本、最大化所述采集代理获取的采集项数据的有效性、最小化所述攻击者第一收益函数中的任意一个或多个；所述第二目标函数的约束条件包括：采集代理的个数小于第四预设阈值、各潜在威胁事件导致的风险值小于第五预设阈值、所述采集代理的监测时间小于第六预设阈值中的任意一个或多个；根据所述第二目标函数和所述第二目标函数的约束条件，基于启发式算法或非启发式算法，获取所述采集代理的部署位置。
具体地，采集代理部署主要包括三个步骤：确定采集代理个数、确定采集代理部署点和采集代理实施部署，具体流程如下：
(1)采集代理个数确定：依据成本约束和QoS约束，确定部署采集代理的个数。
确定采集代理个数具体步骤包含但不限于：首先，构建第一目标函数，所构建的第一目标函数包括但不限于：最大化采集效用、最小化采集代理部署成本、最小化采集代理的资源消耗中的任意一个或多个；其次，选择约束条件，约束条件包括但限于：部署采集代理的成本小于部署总预算、采集效用不低于第二预设阈值、采集代理的资源消耗不超过第三预设阈值中的任意一个或多个；最后，求解上述优化第一目标函数，求解第一目标函数的方法包括但不限于：背包算法、多目标规划方程、局部搜索等。需要说明的是，在构建优化第一目标函数中选取作为优化目标的一项，不能出现在约束条件中。例如，第一目标函数为最大化采集效用，则采集效用不低于最低基本效用值不可作为约束条件。
(2)采集代理位置确定：依据风险点、采集代理个数，构建监测者目标函数，确定采集代理的部署点。
确定采集代理位置的具体步骤包含但不限于：首先，构建第二目标函数：①以攻击者角度选择攻击者第一收益函数，攻击者第一收益函数包括但不限于：最大化攻击者对设备节点或网络系统造成的影响，最大化攻击者被监测到的时间，最大化攻击者被监测到时设备节点或网络系统被感染的数量。②以监测角度选择监测者第一收益函数，监测者第一收益函数包括但不限于：最小化采集成本，最大化采集信息的有效性，最小化攻击者的收益。其次，选择约束条件，约束条件包括但不限于：采集代理的个数小于第四预设阈值、各所述潜在威胁事件的风险值小于第五预设阈值、所述采集代理的监测时间小于第六预设阈值中的任意一个或多个；然后，求解第二目标函数，求解第二目标函数的方法包括但不限于：贪心算法、局部搜索法、模拟退火算法、遗传算法、蚁群算法、粒子群算法、拉格朗日乘数法等。最后，输出部署采集代理位置的编号ID，即为采集代理的部署位置。
(3)采集代理部署：依据(1)(2)的要求，实施部署采集代理。
在上述各实施例的基础上，本实施例中根据所述网络中的风险点、所述采集代理的采集能力和预设约束条件，将所述采集代理部署在所述风险点上的步骤之后还包括：根据所述采集代理的部署位置、所述采集代理的能力和攻击者的能力，生成所述采集代理的调度策略。
其中，所述的攻击者能力指的是攻击者对目标系统的一组设备节点或数据服务进行攻击时的能力，评价攻击者能力的要素包括但不限于：所能选择的攻击中继点、所能选择的攻击范围、所能选择的攻击路径、所能选择的攻击方式、可利用的漏洞数量。本实施例依据采集代理部署位置、采集代理能力、攻击者能力，调用采集代理调度生成算法，生成采集代理调度策略。
现有采集代理开启策略主要采用被动开启模式和主动开启模式。其中，被动开启模式是指采集代理等待管理者发送的采集启动命令，一旦接收到启动命令后，按照采集命令执行数据采集。主动开启模式是指采集代理依据预先设定方式和当前环境状态自主激活采集代理，进行数据采集。其中，典型主动开启模式为定时或周期式采集，即按照预先设置的采集周期进行数据采集。例如，每5分钟采集一次主机CPU负载。这些采集代理开启策略未有效考虑攻击者能力和攻击时机等因素，从而不能有效地采集数据。例如，攻击者可探测攻击目标网络的拓扑，观测采集代理部署位置和采集代理开启规律(如，攻击者通过扫描、渗透、社会工程学等手段获得部署位置和开启规律)等信息，选取未部署采集代理或未开启采集代理的节点作为攻击目标，从而使其攻击效果最大，破坏采集代理采集数据的有效性，进而使得监测者无法准确分析目标网络安全状态。
本实施例监测者以不同概率选择采集代理组合进行开启，确保攻击者无法观测采集代理开启规律，从而阻止攻击者躲避监测，提升采集代理采集数据的有效性。
在上述实施例的基础上，本实施例中根据所述采集代理的部署位置、所述采集代理的能力和攻击者的能力，生成所述采集代理的调度策略的步骤具体包括：1)构建第三目标函数，并确定所述第三目标函数的约束条件，对所述第三目标函数进行求解，获得需要开启的采集代理个数；所述第三目标函数包括：最大化采集代理开启效用、最小化开启采集代理的所消耗的资源中的任意一个或多个；第三目标函数的约束条件包括：采集代理开启效用不低于第七预设阈、开启采集代理的资源消耗不超过第八预设阈值中的任意一个或多个；2)构建攻击者第二收益函数和监测者第二收益函数，根据所述攻击者第二收益函数和/或所述监测者第二收益函数构建第四目标函数；根据攻击者策略集合、监测者策略集合和调度所述采集代理的个数构建所述第四目标函数的约束条件；所述的攻击者策略集合是攻击者能够选择的行动集合，攻击者的行动集合包括：选取感染源、选择攻击路径、选取攻击目标中的任意一个或多个。所述的监测方策略集合是监测方能够选择的行动集合，监测方的行动集合指的是监测方选取开启哪些采集代理进行监测；根据所述第四目标函数和所述第四目标函数的约束条件，计算所述监测者的混合策略和所述攻击者的混合策略；其中，所述攻击者的混合策略包括所述攻击者选取的攻击策略和所述攻击策略被选取的概率，所述监测者的混合策略为所述监测者选取的监测策略和所述监测策略被选取的概率；根据所述监测者的混合策略，生成所述采集代理的调度策略；其中，所述攻击者第二收益函数依赖于攻击者从开始攻击到被监测者监测到的时间、所述攻击者从开始攻击到被所述监测者监测到时所述攻击者感染的设备节点总数量，和/或，所述攻击者对所述数据服务造成的影响；所述监测者第二收益函数依赖于所述监测者监测到所述攻击者的时间、所述监测者监测到所述攻击者时被感染的节点数量；所述监测者监测到所述攻击者时所述服务数据受到的影响；所述第四目标函数的约束条件包括：所述采集代理开启的个数小于第九预设阈值、所述攻击者的混合策略中策略被选取的概率总和等于1、所述监测者的混合策略中策略被选取的概率总和等于1、所述采集代理的资源消耗量小于第十预设阈值、所述采集代理的运行成本小于第十一预设阈值和所述采集代理的维护成本小于第十二预设阈值中的任意一个或多个。
具体地，本实施例确定采集代理调度策略主要步骤包含但不限于：
(1)确定第三目标函数和约束条件：依据监测者收益函数、攻击者收益函数构建整个系统的目标函数；依据攻击者的策略集合、监测者的策略集合、调度采集代理的个数构建约束条件。双方的收益函数是双方依据其所属类型和选择的行动可获得的收益，收益函数包括攻击者收益函数、监测者收益函数中的一个或两个。
所述的攻击策略集合是攻击者能够选择的行动集合，攻击者的行动集合包括但不限于：选取感染源、选择攻击路径、选取攻击目标。所述的监测方策略集合是监测方能够选择的行动集合，监测方的行动集合指的是监测方选取开启哪些采集代理进行监测。
构建第四目标函数的步骤包含但不限于：首先，确定参与双方各自的收益函数，其中，①攻击者第二收益函数包括但不限于：攻击者从开始攻击到被监测者发现的时间；攻击者从开始攻击到被监测者发现时，攻击者一共感染节点数量；攻击者对服务数据造成影响等。②监测者第二收益函数包括但不限于：监测者监测到攻击的时间；监测者监测到攻击时被感染的节点数量；监测者监测到攻击是数据服务受到的影响。其次，构建第四目标函数，根据参与双方的收益函数，利用加权求和等方法计算期望收益，该期望收益即为系统目标函数。
约束条件包括但不限于：采集代理开启的个数小于预设阈值、攻击者混合策略中每条策略的概率总和等于1、监测者混合策略中每条策略的概率总和等于1、资源消耗量小于第七预设阈值(例如，安装采集代理所的五个设备的剩余电量分别为20％、45％、50％、75％、90％，为了增加采集代理的运行时间，根据设备节点当前的电量有选择的开启五个设备节点中一个或多个组合)、运行成本小于第八预设阈值(开启每个采集代理都会消耗一定的成本，如人力、财力、时间等)、维护成本小于第九阈值(维护采集代理的正常运行也会消耗一定的成本，如人力、财力、时间等)。
(2)生成调度策略：依据整个系统的目标函数、约束条件，求解目标函数，获得混合策略，即开启不同采集代理组合的概率。
其中，所述的混合策略是参与双方以一定的概率值选取的策略，即监测者以一定的概率值选取监测策略，攻击者以一定的概率值选取攻击策略。求解目标函数的步骤包含但不限于：第一步，初始化参与双方的一条或几条策略，初始化的方式包括：随机选取、度中心性等。第二步，求解当前策略集的目标函数，求解目标函数的方法包括但不限于：线性规划、梯度下降法、贪心算法、局部搜索法、模拟退火算法、遗传算法、蚁群算法、粒子群算法等。求解目标函数可以分为三种情况讨论：①当参与双方的策略集合规模均小于预设阈值时，参与双方的初始策略是全部策略，可以通过线性规划方法直接求解，求出最佳目标函数值和双方混合策略；②当参与双方的策略集合规模均大于预设阈值时，参与方的初始策略是全部策略的一部分，通过目标函数求解方法直接求出选取当前策略的概率，并将其作为下一步的基准，在此基准上参与双方从各自策略集合中选取新的策略添加到原有的策略集合中，再重新调用通过上述目标函数求解方法求解基于新策略的目标函数值，循环至参与双方备选策略集合为空，最后求出最佳目标函数值和双方混合策略。③当参与双方中的一方策略集合规模大于预设阈值时，策略集规模小的参与方的初始策略是全部策略，策略集规模大的参与方的初始策略是全部策略的一部分，通过目标函数求解方法直接求出选取当前策略的概率，并将其作为下一步的基准，在此基准上从策略结合规模大的备选策略集合中选取新的策略添加到原有的策略集合中，再重新调用通过上述目标函数求解方法求解基于新策略的目标函数值，循环至参与双方备选策略集合为空，最后求出最佳目标函数值和双方混合策略。
以下为采集代理部署方法的举例。本实施例需要用到的符号及含义如表1所示。
表1符号含义表
Figure BDA0002093042310000171
假设在目标网络拓扑中，共有5个可以部署采集代理的设备。其中，s1代表防火墙，其上运行的数据服务是UFW服务；s2和s3代表管理服务器，其上均运行的数据服务是SSH服务；s4代表web服务器其上运行的数据服务是Apache HTTP服务；s5代表数据库，其上运行的数据服务是MySQL服务。根据web网络OWASP中top10选取排名靠前的4类作为本实施例的网络潜在威胁事件，其中，1表示暴力破解，2表示DDOS攻击，3表示XSS攻击，4表示SQL注入。
1、风险点确定：依据目标网络拓扑图、数据服务、威胁事件，计算威胁事件风险值，构建威胁-采集树，确定风险点。
(1)威胁事件特征信标生成：数据服务类型根据目标网络拓扑中设备中运行的服务为例，包括UFW服务，SSH服务，Apache HTTP服务，MySQL服务。可获取的采集项数据可以分为三类：网络流量信息(例如，发送数据包的个数、接收数据包的个数等)、设备状态信息(例如，CPU利用率、内存利用率等)和日志信息。其中日志信息包括但不限于：SSH日志信息、MySQL日志信息、HTTP日志信息、Web日志信息、防火墙、IDS等。根据上述提取方法从采集项数据中提取特征数据，形成威胁事件特征信标集合。
以应用日志(SSH日志)为例，生成潜在威胁事件“暴力破解”的特征信标的过程如下：
第一步，对采集项数据进行分析，提取出关键字段，从关键字段中提取出可用于检测威胁的威胁检测原子数据项：“failed password”。
第二步，通过对多条采集项数据SSH连接失败日志数据中“暴力破解”事件威胁事件特征标志性数据进行提取，使用统计学方法进行分析，生成判断潜在威胁事件的原子谓词“SSH尝试失败次数>阈值”。
第三步，利用逻辑连接词连接而成的威胁检测规则：“SSH尝试失败次数>阈值”and“SSH开始尝试次数>阈值”本实施例中的其他威胁事件特征信标的详细提取过程就不再进行累述，直接给出本实施例的威胁事件特征信标如下：
Figure BDA0002093042310000181
SSH尝试失败次数>阈值
Figure BDA0002093042310000182
SSH开始尝试次数>阈值
Figure BDA0002093042310000183
Syn半连接个数>阈值
Figure BDA0002093042310000184
XXS尝试通过资源上的URL字符串/logfile/index.php？page＝capture_data.php
Figure BDA0002093042310000191
XXS尝试通过表格NET_STAT_INFO注入
Figure BDA0002093042310000192
XXS尝试通过资源上的URL字符串/logfile/index.php
Figure BDA0002093042310000193
包含MySQL版本的字符串
Figure BDA0002093042310000194
接收到网络数据包的个数>正常值
Figure BDA0002093042310000195
HTTP PHP文件POST请求
Figure BDA0002093042310000196
MySQL注入HTTP获取尝试
Figure BDA0002093042310000197
CPU利用率>正常值
Figure BDA0002093042310000198
表格NET_STAT_INFO尝试SQL注入
Figure BDA0002093042310000199
MySQL注入类型询问
威胁事件特征信标和采集代理之间的对应关系可以用一个威胁-采集树进行表示，如图3所示。
(2)风险值计算：依据威胁事件特征被监测到的置信度和潜在威胁事件的影响计算潜在威胁事件风险值，计算方法包括但不限于：相乘法、矩阵法、加权和法等。
计算潜在威胁事件被监测到的置信度的步骤如下：
首先，确定最小特征信标集合被采集代理监测到的概率：根据威胁检测原子数据项与采集代理的关系，通过随机赋值方法，确定威胁检测原子数据项被采集代理监测到的概率，在利用概率传递、概率计算方法，计算最小特征信标集合被监测到的概率，如表2所示。
根据图3可知，威胁事件特征信标与采集代理的关系如下：
Figure BDA00020930423100001910
Figure BDA00020930423100001911
Figure BDA00020930423100001912
Figure BDA00020930423100001913
Figure BDA00020930423100001914
表2最小特征信标集合被采集代理监测到的概率
Figure BDA0002093042310000201
以跳数作为衡量设备的物理位置距离网络边缘的标准，数据库一般存放的物理位置距离网络边缘比较远，且逻辑访问关系的限制会比较多，则数据库服务器被攻击的可能性大，防火墙数据一般处于内网与外网的边缘，且容易受到非法访问和攻击，则防火墙被攻击的可能性小。根据系统中设备被攻击的可能性，利用三角范式，确定设备对应采集代理获取采集项数据的真实性和威胁检测原子数据项的真实性，真实性的取值范围在0～1之间，其中，采集项数据中无法按照威胁特征信标进行生成有效信标时，默认情况下该数据服务的真实性为0。需要说明的是，使用0.1～0.3表示真实性小，0.4～0.6表示真实性中等，0.7～0.9表示真实性大。因此，部署在数据库服务器上的采集代理获取威胁检测原子数据的真实性为0.9，部署在防火墙服务器上的采集代理获取威胁检测原子数据的真实性为0.3。每个威胁检测原子数据项真实性与生成它的采集代理的真实性保持一致，如表3所示。
表3采集代理的真实性
Figure BDA0002093042310000211
再次，根据威胁检测原子数据项的真实性、威胁事件特征信标，通过模糊统计、概率分析等方法，确定已监测到数据对应的潜在威胁事件的真实性，由于每个威胁检测原子数据项是由不同的采集代理采集的采集项数据生成的，那么每个威胁检测原子数据项真实性与生成它的采集代理的真实性保持一致。当最小特征信标集合包含了两个或两个以上的特征信标，则以最低的真实性作为整个最小特征信标集合的真实性，例如最小特征信标
Figure BDA0002093042310000212
中
Figure BDA0002093042310000213
来自s2，s2的真实性为0.3，
Figure BDA0002093042310000214
来自s3，s3的真实性为0.5，因此最小特征信标
Figure BDA0002093042310000215
的真实性为0.3。最小特征信标集合的真实性如表4所示。
表4被采集代理监测到的最小特征信标集合的真实性
Figure BDA0002093042310000216
最后，根据被监测到的威胁检测原子数据项的概率和已监测到数据对应的潜在威胁事件的置信度，利用加权求和方法，计算出潜在威胁事件被采集代理监测到的置信度，公式如下：
Figure BDA0002093042310000221
其中，pψ表示任一所述潜在威胁事件ψ被所述采集代理监测到的置信度，τi表示ψ对应的第i个最小特征信标集合，γ(ψ)表示ψ对应的所有最小特征信标集合的集合，
Figure BDA0002093042310000222
表示τi被所述采集代理监测到的概率，
Figure BDA0002093042310000223
表示τi的真实性。
潜在威胁事件被采集代理监测到的置信度分别为：
Pψ1＝(1-0.3*0.3)(1-0.3*0.8)＝0.6916
Pψ2＝(1-0.5*0.5)(1-0.7*0.5)(1-0.5*0.8)＝0.75*0.65*0.6＝0.2925
Pψ3＝(1-0.3*0.5)(1-0.3*1)(1-0.3*0.3)＝0.85*0.7*0.91＝0.54145
Pψ4＝(1-0.3*0.9)(1-0.5*0.3)(1-0.9*0.8)＝0.73*0.85*0.28＝0.17374
在本实施例中，潜在威胁事件影响主要以安全属性角度对其进行描述，主要可以包括三个方面对其进行评估：系统机密性(Confidentiality)、系统完整性(Integrity)、系统可用性(Availability)。以上三个方面的取值分别在在0～5之间，影响级别在I级～V级之间，I级代表极低影响，II级代表低影响，III级代表中影响，IV级代表高影响，V级代表极高影响。通过对三个方面的考虑，同时参照OWASP中top10列表中的信息，给出本算例中每个潜在威胁事件的影响值，如表5所示。
表5潜在威胁事件影响值
Figure BDA0002093042310000224
通过以下公式计算潜在威胁事件ψ的风险值：
Utilityattacker＝Risk＝Pψ×Iψ；
其中，Pψ表示潜在威胁事件ψ被采集代理监测到的置信度，Iψ表示潜在威胁事件ψ的影响值。
根据潜在威胁事件被检测到的置信度和潜在威胁事件的影响计算出潜在威胁事件风险值表示如下：
Figure BDA0002093042310000231
潜在威胁事件ψ1的风险值：Riskψ1＝0.6916*14＝9.6824
潜在威胁事件ψ2的风险值：Riskψ2＝0.2925*20＝5.85
潜在威胁事件ψ3的风险值：Riskψ3＝0.54145*5＝2.70725
潜在威胁事件Ψ4的风险值：RiskΨ4＝0.17374*10＝1.7374
(3)风险点确定
首先，根据(2)中计算的潜在威胁事件风险值，选取出风险值大于阈值1.5的潜在威胁事件。后续简化等式的表述，使用函数R来替代RiskΨ，Sd表示采集代理的部署集合。
Figure BDA0002093042310000232
其次，根据威胁-采集树中的第3-5层给出了潜在威胁事件与威胁特征信标的对应关系和威胁特征信标与目标网络设备节点的关系。因此，潜在威胁事件Ψ1对应的威胁特征信标是
Figure BDA0002093042310000233
和
Figure BDA0002093042310000234
Ψ2对应的威胁特征信标是
Figure BDA0002093042310000235
和
Figure BDA00020930423100002318
Ψ3对应的威胁特征信标是
Figure BDA0002093042310000236
和
Figure BDA0002093042310000237
Ψ4对应的威胁特征信标是
Figure BDA0002093042310000238
和
Figure BDA0002093042310000239
威胁特征信标
Figure BDA00020930423100002310
对应的网络设备节点是v1，威胁特征信标
Figure BDA00020930423100002311
和
Figure BDA00020930423100002312
对应的网络设备节点是v2，威胁特征信标
Figure BDA00020930423100002313
和
Figure BDA00020930423100002314
对应的网络设备节点是v3，威胁特征信标
Figure BDA00020930423100002315
和
Figure BDA00020930423100002316
对应的网络设备节点是v4，威胁特征信标
Figure BDA00020930423100002317
对应的网络设备节点是v5最后，确定风险点为网络设备节点是v1、v2、v3、v4、v5。
2、采集代理部署：
(1)采集代理个数确定
首先选择最大化采集效用为目标方程，即使采集代理获取的威胁检测原子数据项能够尽可能多的检测出潜在威胁事件，选择所有部署采集代理的金额之和小于总预算、采集代理的资源消耗不超过预设值，根据背包算法计算第一目标函数。
(2)采集代理位置确定：采集代理的类型选取采集代理能力无差异的同质内嵌式采集代理，由于部署的设备类型不同，设备上运行的数据服务的不同，因此只考虑采集项数据存在差异。
本实施例中要考虑到敌对环境的设置，因此针对本实施例中确定采集代理的位置，即第二目标函数的优化，监测者最小化攻击者的最大化攻击影响。在本实施例中，选取确定采集代理位置的方式使用贪心算法。选取一个尽可能小的数值z，对于每个z的取值，可找到成本最低的集合Sd，对于所有的潜在威胁事件i可以满足Ri(Sd)≤z对于z>0，有如下定义：
Figure BDA0002093042310000241
最初的函数Ri在z的位置被截断，其平均值是：
Figure BDA0002093042310000242
首先，计算出该问题中所能取到的最大值zmax和最小值zmin，其中，最大值zmax是当所有采集代理都没有部署时，攻击方效用值最大，最小值zmin是当所有设备节点上都部署上采集代理，攻击方效用最小。其次，求出最大值zmax和最小值zmin的平均值z，同时，针对任意一组采集代理集合Sd都可以计算出对应的收益
Figure BDA0002093042310000243
再次，调用贪心算法算法，根据均值z与
Figure BDA0002093042310000244
依次找出每一轮中增量绝对值最大的设备节点ID的组合，并且将其赋值给Sdbest；若所选采集代理个数不满足3个时，则使用z当前的取值赋给zmax或zmin。最后，再次调用贪心算法算法，依次循环来找到满足目标函数的部署集合。需要注意的是，每次调用贪心算法时，都是从空集开始的。计算结果为设备标号为1、3、4，这三个点即为部署位置。贪心算法如图4所示，采集代理部署算法流程图5所示。
(3)采集代理部署：根据(2)中的计算，将采集代理部署在v1、v3、v4的设备节点上。
以下为采集代理调度方法的举例。
假设在目标网络拓扑中，有7个节点分别为：V＝{v0,……,v6}，每一个节点代表一个已经部署的采集代理。采集代理的能力为采集代理本身能够获取采集项数据的能力，攻击者能力为攻击者可以选择目标网络中的任意一个节点作为传播病毒的传染源。其中，监测者的策略为从目标网络7个设备节点中选取k个采集代理进行开启，监测者共有c(k,n)条备选策略。攻击者的策略为从目标网络7个节点中选取一个点作为感染源点，攻击者共有7条备选策略。策略空间集合阈值设为20。采集代理开启个数k要小于预阈值，可以通过构建第三目标函数和约束条件进行求解确定，本实施中为了便于计算，k值设为3，监测者从备选策略中选取每条策略的概率总和为1。
以上述场景为例来说明：
(1)确定第四目标函数和约束条件：
本实施例中监测者第二收益函数选择最小化攻击者被监测者监测到的时间，即检测者尽早监测攻击者，攻击者第二收益函数选择最大化监测者的收益函数。根据监测者和攻击者双方的收益函数，利用加权求和的方法计算期望收益，构建整个系统的第四目标函数。
监测者第二收益函数PD＝τ(A,D)，攻击者第二收益函数PA＝-(PD)。其中，A表示任一攻击者策略，D表示任一监测策略，τ表示当监测者选择D，攻击者选择A时，攻击者被监测者监测到的时间。
给定监测者的混合策略x和攻击者选择的攻击策略A，攻击者的期望收益为：
Figure BDA0002093042310000251
其中，zD,A是标识变量，如果
Figure BDA0002093042310000261
即监测者未检测到攻击感染事件，zD,A＝1。反之，zD,A＝0。
同样，给定攻击者的混合策略y和监测者策略D，攻击者的期望收益为：
Figure BDA0002093042310000262
当双方都是混合策略时，攻击者的期望收益为：
Ua(x，y)＝∑DxDUa(D,y)＝∑AyAUa(X，A)
整个系统的第四目标函数如下：
Figure BDA0002093042310000263
Figure BDA0002093042310000264
双方策略的限制条件如第四目标函数中的等式和不等式。其中，A是攻击者选取的攻击策略；D是监测者选取的监测策略；U为系统目标函数；Ud为监测者的收益函数；x是监测者的混合策略，能够以xD的概率选取备选策略集合
Figure BDA0002093042310000265
中的一条策略D。
(2)生成调度策略：
根据策略空间集合预设置20，判断策略空间集合的规模。攻击者策略集合规模为7，监测者策略集合规模为35，因此，符合求解目标函数的第③种情况：参与双方中的一方策略集合规模大于预设阈值。
求解第四目标函数的步骤如下：第一步，攻击者的策略共有7条备选策略，可将全部策略{v0},{v1},{v2},{v3},{v4},{v5},{v6}作为攻击者初始策略；使用随机选取的方法初始化监测者，从监测者的c(3,7)条全部备选策略中随机选取一条策略{v4,v5,v3}作为监测者初始策略。第二步，根据初始策略可使用线性规划计算出当前目标函数收益、监测者当前混合策略、攻击者当前混合策略，并将上述三者作为基准，在此基准上利用贪心算法查找能够改善目标函数收益的新的监测者策略，循环制参与双方备选策略集合为空，求解最终第四目标函数收益和监测者调度采集代理的混合策略。采集代理调度策略流程如图6所示。
监测者的混合策略为：选取策略{v2,v5,v6}的概率为0.278624，选取{v3,v5,v6}的概率为0.0248471，选取{v0,v3,v6}的概率为0.246089，选取{v2,v3,v6}的概率为0.029415，选取{v2,v3,v5}的概率为0.162656，选取{v1,v3,v4}的概率为0.230108，选取{v3,v4,v6}的概率为0.0282604。
在本发明的另一个实施例中提供一种采集代理部署装置，该装置用于实现前述各实施例中的方法。因此，在前述采集代理部署方法的各实施例中的描述和定义，可以用于本发明实施例中各个执行模块的理解。图7为采集代理部署装置整体结构示意图，该装置包括构建模块701、获取模块702、确定模块703和部署模块704；其中：
构建模块701用于根据目标网络-数据服务库、数据服务-威胁事件库、威胁事件-特征信标库和采集代理-威胁检测原子数据项库构建网络的威胁-采集树；其中，目标网络-数据服务库存储目标网络拓扑与目标网络所提供的数据服务之间的对应关系，数据服务-威胁事件库存储数据服务与数据服务面临的潜在威胁事件之间的对应关系，威胁事件-特征信标库存储潜在威胁事件与能发现所述潜在威胁事件的威胁事件特征信标间的对应关系，采集代理-威胁检测原子数据项库存储采集代理与采集代理所能采集的用于检测潜在威胁事件的威胁检测原子数据项的对应关系；获取模块702用于对于任一所述潜在威胁事件，根据该潜在威胁事件被所述采集代理监测到的置信度和该潜在威胁事件的影响，获取该潜在威胁事件的风险值；确定模块703用于根据所述潜在威胁事件的风险值和所述威胁-采集树，确定设备节点是否为风险点；部署模块704用于根据所述网络中的风险点、所述采集代理的采集能力和预设约束条件，选择部署点并部署采集代理。
本实施例通过依据目标网络拓扑图、数据服务、威胁事件，计算威胁事件风险值，构建威胁-采集树，确定风险点，并依据风险点、威胁-采集树、采集代理能力、采集约束确定采集代理部署位置，从而提升数据采集能力，降低数据采集和分析所消耗的资源。
最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种采集代理部署方法，其特征在于，包括：
根据目标网络-数据服务库、数据服务-威胁事件库、威胁事件-特征信标库和采集代理-威胁检测原子数据项库构建网络的威胁-采集树；其中，目标网络-数据服务库存储目标网络拓扑与目标网络所提供的数据服务之间的对应关系，数据服务-威胁事件库存储数据服务与数据服务面临的潜在威胁事件之间的对应关系，威胁事件-特征信标库存储潜在威胁事件与能发现所述潜在威胁事件的威胁事件特征信标间的对应关系，采集代理-威胁检测原子数据项库存储采集代理与采集代理所能采集的用于检测潜在威胁事件的威胁检测原子数据项的对应关系；
对于任一所述潜在威胁事件，根据该潜在威胁事件被所述采集代理监测到的置信度和该潜在威胁事件的影响，获取该潜在威胁事件的风险值；
根据所述潜在威胁事件的风险值和所述威胁-采集树，确定设备节点是否为风险点；
根据所述网络中的风险点、所述采集代理的采集能力和预设约束条件，选择部署点并部署采集代理；
其中，潜在威胁事件被监测到的置信度指的是潜在威胁事件被最小特征信标集合检测到的真实性；
最小特征信标集合由一个或多个威胁事件特征信标组成，每个最小特征信标集合足以检测到一个潜在威胁事件。
2.根据权利要求1所述的采集代理部署方法，其特征在于，在构建所述目标网络的威胁-采集树的步骤之前还包括：
获取所述网络的采集项数据；所述采集项数据包括网络流量信息、设备状态信息和日志信息；
对所述采集项数据进行分析，从所述采集项数据中提取出关键字段，从所述关键字段中提取出用于检测所述潜在威胁事件的威胁检测原子数据项；其中，所述采集项数据为历史所采集的数据和/或当前采集的数据；
对所述威胁检测原子数据项进行分析，生成判断所述潜在威胁事件的原子谓词；
使用逻辑连接词将所述原子谓词进行连接，生成能检测所述潜在威胁事件的威胁事件特征信标。
3.根据权利要求2所述的采集代理部署方法，其特征在于，根据该潜在威胁事件被所述采集代理所监测到的置信度和该潜在威胁事件的影响，获取该潜在威胁事件的风险值的步骤之前还包括：
根据采集代理与采集代理所能采集的用于检测威胁的威胁检测原子数据项的对应关系，确定所述潜在威胁事件特征信标中的威胁检测原子数据项被所述采集代理监测到的概率；
根据所述威胁检测原子数据项被所述采集代理监测到的概率，基于概率传递方法，计算该潜在威胁事件的最小特征信标集合所对应的威胁检测原子数据项集合被所述采集代理监测到的概率；其中，该潜在威胁事件对应的最小特征信标集合是由满足如下条件且能检测该潜在威胁事件的威胁事件特征信标所组成的集合：该集合的任意真子集均不能检测所述潜在威胁事件；
根据各所述设备节点在网络系统中的位置信息和/或设备防御度信息，确定各所述设备节点被攻击的可能性；根据所述设备节点被攻击的可能性，计算所述设备节点上的采集代理获取的威胁检测原子数据项的真实性；
根据所述威胁检测原子数据项的真实性，计算所述威胁检测原子数据项对应的最小特征信标集合的真实性；
根据所述最小特征信标集合被监测到的概率和所述最小特征信标集合的真实性，确定被所述采集代理监测到的最小威胁特征信标集合对应的潜在威胁事件的置信度。
4.根据权利要求3所述的采集代理部署方法，其特征在于，通过以下公式根据该潜在威胁事件对应的最小特征信标集合被所述采集代理监测到的概率和该潜在威胁事件对应的最小特征信标集合的真实性，确定该潜在威胁事件被所述采集代理监测到的置信度：
Figure FDA0002414970920000031
其中，pψ表示任一所述潜在威胁事件ψ被所述采集代理监测到的置信度，τi表示ψ对应的第i个最小特征信标集合，γ(ψ)表示ψ对应的所有最小特征信标集合的集合，
Figure FDA0002414970920000032
表示τi被所述采集代理监测到的概率，
Figure FDA0002414970920000033
表示τi的真实性。
5.根据权利要求1所述的采集代理部署方法，其特征在于，根据该潜在威胁事件被所述采集代理监测到的置信度和该潜在威胁事件的影响，获取该潜在威胁事件的风险值的步骤之前还包括：
对该潜在威胁事件所涉及的所述网络的安全属性进行评估；所述安全属性包括完整性、可用性和保密性；
根据评估结果确定该潜在威胁事件的影响。
6.根据权利要求1所述的采集代理部署方法，其特征在于，根据各所述潜在威胁事件的风险值和所述威胁-采集树，确定各所述设备节点是否为风险点的步骤具体包括：
从所有所述潜在威胁事件中选择出所述风险值大于第一预设阈值的潜在威胁事件；
根据所述威胁-采集树，确定所述潜在威胁事件对应的威胁事件特征信标和能采集所述威胁事件特征信标所对应的威胁检测原子数据项的采集代理，将所述采集代理所在的设备节点作为所述风险点。
7.根据权利要求1所述的采集代理部署方法，其特征在于，根据所述网络中的风险点、所述采集代理的采集能力和预设约束条件，选择部署点并部署采集代理的步骤具体包括：
1)构建第一目标函数，并确定所述第一目标函数的约束条件，对所第一目标函数进行求解，获得需要部署的采集代理个数；
所述第一目标函数包括：最大化采集效用、最小化采集代理部署成本、最小化采集代理的资源消耗中的任意一个或多个；
第一目标函数的约束条件包括：部署采集代理的成本小于部署总预算、采集效用不低于第二预设阈值、采集代理的资源消耗不超过第三预设阈值中的任意一个或多个；
2)构建第二目标函数，并确定所述第二目标函数的约束条件，对所述第二目标函数进行求解，获得需要部署的采集代理位置；
所述第二目标函数包括攻击者第一收益函数和/或者监测者第一收益函数；
所述攻击者第一收益函数包括：最大化攻击者对所述设备节点造成的影响、最大化攻击者被所述采集代理监测到的时间、最大化所述攻击者被监测到时所述设备节点的感染数量中的任意一个或多个；
所述监测者第一收益函数包括：最小化所述采集代理的成本、最大化所述采集代理获取的采集项数据的有效性、最小化所述攻击者第一收益函数中的任意一个或多个；所述第二目标函数的约束条件包括：采集代理的个数小于第四预设阈值、各潜在威胁事件导致的风险值小于第五预设阈值、所述采集代理的监测时间小于第六预设阈值中的任意一个或多个；
根据所述第二目标函数和所述第二目标函数的约束条件，基于启发式算法或非启发式算法，获取所述采集代理的部署位置。
8.根据权利要求1-7任一所述的采集代理部署方法，其特征在于，根据所述网络中的风险点、所述采集代理的采集能力和预设约束条件，将所述采集代理部署在所述风险点上的步骤之后包括：
根据所述采集代理的部署位置、所述采集代理的能力和攻击者的能力，生成所述采集代理的调度策略。
9.根据权利要求8所述的采集代理部署方法，其特征在于，根据所述采集代理的部署位置、所述采集代理的能力和攻击者的能力，生成所述采集代理的调度策略的步骤具体包括：
1)构建第三目标函数，并确定所述第三目标函数的约束条件，对所述第三目标函数进行求解，获得需要开启的采集代理个数；
所述第三目标函数包括：最大化采集代理开启效用、最小化开启采集代理的所消耗的资源中的任意一个或多个；
第三目标函数的约束条件包括：采集代理开启效用不低于第七预设阈值、开启采集代理的资源消耗不超过第八预设阈值中的任意一个或多个；
2)构建攻击者第二收益函数和监测者第二收益函数，根据所述攻击者第二收益函数和/或所述监测者第二收益函数构建第四目标函数；
根据攻击者策略集合、监测者策略集合和调度所述采集代理的个数，构建所述第四目标函数的约束条件；
所述的攻击者策略集合是攻击者能够选择的行动集合，攻击者的行动由选取感染源、选择攻击路径、选取攻击目标中的任意一个或多个构成；
所述的监测者策略集合是监测者能够选择的行动集合，监测者的行动是指监测者选取开启用于监测的采集代理；根据所述第四目标函数和所述第四目标函数的约束条件，计算所述监测者的混合策略和所述攻击者的混合策略；其中，所述攻击者的混合策略包括所述攻击者选取的攻击策略和所述攻击策略被选取的概率，所述监测者的混合策略为所述监测者选取的监测策略和所述监测策略被选取的概率；
根据所述监测者的混合策略，生成所述采集代理的调度策略；
其中，所述攻击者第二收益函数依赖于攻击者从开始攻击到被监测者监测到的时间、所述攻击者从开始攻击到被所述监测者监测到时所述攻击者感染的设备节点总数量和/或所述攻击者对所述数据服务造成的影响；
所述监测者第二收益函数依赖于所述监测者监测到所述攻击者的时间、所述监测者监测到所述攻击者时被感染的节点数量；所述监测者监测到所述攻击者时所述服务数据受到的影响；
所述第四目标函数的约束条件包括：所述采集代理开启的个数小于第九预设阈值、所述攻击者的混合策略中策略被选取的概率总和等于1、所述监测者的混合策略中策略被选取的概率总和等于1、所述采集代理的资源消耗量小于第十预设阈值、所述采集代理的运行成本小于第十一预设阈值和所述采集代理的维护成本小于第十二预设阈值中的任意一个或多个。
10.一种采集代理部署装置，其特征在于，包括：
构建模块，根据目标网络-数据服务库、数据服务-威胁事件库、威胁事件-特征信标库和采集代理-威胁检测原子数据项库构建网络的威胁-采集树；其中，目标网络-数据服务库存储目标网络拓扑与目标网络所提供的数据服务之间的对应关系，数据服务-威胁事件库存储数据服务与数据服务面临的潜在威胁事件之间的对应关系，威胁事件-特征信标库存储潜在威胁事件与能发现所述潜在威胁事件的威胁事件特征信标间的对应关系，采集代理-威胁检测原子数据项库存储采集代理与采集代理所能采集的用于检测潜在威胁事件的威胁检测原子数据项的对应关系；
获取模块，用于对于任一所述潜在威胁事件，根据该潜在威胁事件被所述采集代理监测到的置信度和该潜在威胁事件的影响，获取该潜在威胁事件的风险值；
确定模块，用于根据所述潜在威胁事件的风险值和所述威胁-采集树，确定设备节点是否为风险点；
部署模块，用于根据所述网络中的风险点、所述采集代理的采集能力和预设约束条件，选择部署点并部署采集代理；
其中，潜在威胁事件被监测到的置信度指的是潜在威胁事件被最小特征信标集合检测到的真实性；
最小特征信标集合由一个或多个威胁事件特征信标组成，每个最小特征信标集合足以检测到一个潜在威胁事件。
CN201910509683.6A 2019-06-13 2019-06-13 采集代理部署方法及装置 Active CN110430158B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201910509683.6A CN110430158B (zh) 2019-06-13 2019-06-13 采集代理部署方法及装置
PCT/CN2019/092999 WO2020248306A1 (zh) 2019-06-13 2019-06-26 采集代理部署方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910509683.6A CN110430158B (zh) 2019-06-13 2019-06-13 采集代理部署方法及装置

Publications (2)

Publication Number Publication Date
CN110430158A CN110430158A (zh) 2019-11-08
CN110430158B true CN110430158B (zh) 2020-07-03

Family

ID=68407610

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910509683.6A Active CN110430158B (zh) 2019-06-13 2019-06-13 采集代理部署方法及装置

Country Status (2)

Country Link
CN (1) CN110430158B (zh)
WO (1) WO2020248306A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112347484A (zh) * 2020-10-27 2021-02-09 杭州安恒信息技术股份有限公司 软件漏洞检测方法、装置、设备及计算机可读存储介质
CN113536678B (zh) * 2021-07-19 2022-04-19 中国人民解放军国防科技大学 基于贝叶斯网络及stride模型的xss风险分析方法及装置
CN114448660A (zh) * 2021-12-16 2022-05-06 国网江苏省电力有限公司电力科学研究院 一种物联网数据接入方法

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101436967A (zh) * 2008-12-23 2009-05-20 北京邮电大学 一种网络安全态势评估方法及其系统
CN103731298A (zh) * 2013-11-15 2014-04-16 中国航天科工集团第二研究院七〇六所 一种大规模分布式网络安全数据采集方法与系统
CN104111983A (zh) * 2014-06-30 2014-10-22 中国科学院信息工程研究所 一种开放式的多源数据采集系统及方法
WO2015149062A1 (en) * 2014-03-28 2015-10-01 Zitovault, Inc. System and method for predicting impending cyber security events using multi channel behavioral analysis in a distributed computing environment
CN108494787A (zh) * 2018-03-29 2018-09-04 北京理工大学 一种基于资产关联图的网络风险评估方法
CN109639648A (zh) * 2018-11-19 2019-04-16 中国科学院信息工程研究所 一种基于采集数据异常的采集策略生成方法及系统
CN109714312A (zh) * 2018-11-19 2019-05-03 中国科学院信息工程研究所 一种基于外部威胁的采集策略生成方法及系统

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101888380A (zh) * 2010-07-07 2010-11-17 南京烽火星空通信发展有限公司 一种传感器与采集代理之间数据交互的通用通信方法
CN105376085A (zh) * 2014-08-27 2016-03-02 中兴通讯股份有限公司 一种升级数据采集代理的方法、装置及系统
US10574674B2 (en) * 2016-07-08 2020-02-25 Nec Corporation Host level detect mechanism for malicious DNS activities
CN109787943B (zh) * 2017-11-14 2022-02-22 华为技术有限公司 一种抵御拒绝服务攻击的方法及设备
CN109413088B (zh) * 2018-11-19 2020-08-04 中国科学院信息工程研究所 一种网络中的威胁处置策略分解方法及系统

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101436967A (zh) * 2008-12-23 2009-05-20 北京邮电大学 一种网络安全态势评估方法及其系统
CN103731298A (zh) * 2013-11-15 2014-04-16 中国航天科工集团第二研究院七〇六所 一种大规模分布式网络安全数据采集方法与系统
WO2015149062A1 (en) * 2014-03-28 2015-10-01 Zitovault, Inc. System and method for predicting impending cyber security events using multi channel behavioral analysis in a distributed computing environment
CN104111983A (zh) * 2014-06-30 2014-10-22 中国科学院信息工程研究所 一种开放式的多源数据采集系统及方法
CN108494787A (zh) * 2018-03-29 2018-09-04 北京理工大学 一种基于资产关联图的网络风险评估方法
CN109639648A (zh) * 2018-11-19 2019-04-16 中国科学院信息工程研究所 一种基于采集数据异常的采集策略生成方法及系统
CN109714312A (zh) * 2018-11-19 2019-05-03 中国科学院信息工程研究所 一种基于外部威胁的采集策略生成方法及系统

Also Published As

Publication number Publication date
CN110430158A (zh) 2019-11-08
WO2020248306A1 (zh) 2020-12-17

Similar Documents

Publication Publication Date Title
AU2019216687B2 (en) Path scanning for the detection of anomalous subgraphs and use of DNS requests and host agents for anomaly/change detection and network situational awareness
Miehling et al. A POMDP approach to the dynamic defense of large-scale cyber networks
Bijone A survey on secure network: intrusion detection & prevention approaches
Khan et al. Feature selection of denial-of-service attacks using entropy and granular computing
Rao et al. A model for generating synthetic network flows and accuracy index for evaluation of anomaly network intrusion detection systems
Roy et al. Scalable optimal countermeasure selection using implicit enumeration on attack countermeasure trees
Ning et al. Techniques and tools for analyzing intrusion alerts
Chen et al. An efficient network intrusion detection
Lappas et al. Data mining techniques for (network) intrusion detection systems
Lundin et al. Survey of intrusion detection research
CN110430158B (zh) 采集代理部署方法及装置
Anuar et al. Incident prioritisation using analytic hierarchy process (AHP): Risk Index Model (RIM)
Dastanpour et al. Feature selection based on genetic algorithm and SupportVector machine for intrusion detection system
CN112039865A (zh) 一种威胁驱动的网络攻击检测与响应方法
CN114095232A (zh) 基于隐马尔可夫的电力信息系统动态威胁定量分析方法
Sree et al. HADM: detection of HTTP GET flooding attacks by using Analytical hierarchical process and Dempster–Shafer theory with MapReduce
Kashyap et al. A DDoS attack detection mechanism based on protocol specific traffic features
Albdour et al. IoT crawler with behavior analyzer at fog layer for detecting malicious nodes
Vidal et al. Detecting Workload-based and Instantiation-based Economic Denial of Sustainability on 5G environments
Pan et al. Anomaly behavior analysis for building automation systems
Chen et al. Dynamic threshold strategy optimization for security protection in Internet of Things: An adversarial deep learning‐based game‐theoretical approach
Lakra HSNORT: A Hybrid intrusion detection system using artificial intelligence with snort
Kayacik et al. Using self-organizing maps to build an attack map for forensic analysis
Johansson Countermeasures Against Coordinated Cyber-Attacks Towards Power Grid Systems: A systematic literature study
Bhattacharya et al. Cyber threat screening using a queuing-based game-theoretic approach

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant