CN112532625A

CN112532625A - 网络态势感知评估数据更新方法、装置及可读存储介质

Info

Publication number: CN112532625A
Application number: CN202011362714.9A
Authority: CN
Inventors: 杨波; 谢姝航
Original assignee: Hangzhou Anheng Information Security Technology Co Ltd
Current assignee: Hangzhou Anheng Information Security Technology Co Ltd
Priority date: 2020-11-27
Filing date: 2020-11-27
Publication date: 2021-03-19
Anticipated expiration: 2040-11-27
Also published as: CN112532625B

Abstract

本发明提供了一种网络态势感知评估数据更新方法、装置、计算机设备和可读存储介质，该网络态势感知评估数据更新方法包括：基于计算网络态势感知评估指标的来源数据维度生成相应的主题类目；通过分布式事务驱动引擎感知网络监测数据的动态变化，且所述分布式事务驱动引擎根据所述网络监测数据的动态变化生成对数据指标结果进行更新的事务；通过所述事务对所述主题类目的数据以及所述网络态势感知评估指标进行更新。本发明能够解决现有技术无法满足大吞吐量要求、更新不及时的问题。

Description

网络态势感知评估数据更新方法、装置及可读存储介质

技术领域

本申请涉及计算机领域，特别是涉及一种网络态势感知评估数据更新方法、装置及可读存储介质。

背景技术

随着计算机、通信技术的迅速发展，网络安全威胁的种类和危害性也在不断增加，网络攻击行为向着分布化、规模化、复杂化等趋势发展，防火墙、入侵检测、防病毒、访问控制等单一的防护手段已经难以胜任现实需求，目前，网络安全态势感知技术以及相关应用平台应运而生，其能够实时、全面掌握网络安全状况，及时发现甚至提前预测网络中的攻击行为，主动采取网络安全防护措施，提高网络安全防护能力，降低网络安全风险。

网络安全态势感知平台是以安全大数据为基础，通过持续的网络数据监控，从而发现各种攻击威胁与异常流量，具备威胁调查分析、威胁程度评估、以及整体防护水平可视化能力。

为了实现对网络安全威胁程度评估，主要采用网络安全态势综合评价模型，以打分的形式向管理者直观展现当前的整体安全态势。目前，网络安全态势感知平台中相关数据的清洗、汇聚、计算过程，一般是通过离线批量计算处理的方式在一定周期实现的，无法满足大吞吐量的要求，相关数据计算结果不能基于相关监测数据联动，更新不及时。

发明内容

本申请实施例提供了一种网络态势感知评估数据更新方法、装置、计算机设备和可读存储介质，以至少解决现有技术无法满足大吞吐量要求、更新不及时的问题。

第一方面，本申请实施例提供了一种网络态势感知评估数据更新方法，包括：

基于计算网络态势感知评估指标的来源数据维度生成相应的主题类目；

通过分布式事务驱动引擎感知网络监测数据的动态变化，且所述分布式事务驱动引擎根据所述网络监测数据的动态变化生成对数据指标结果进行更新的事务；

通过所述事务对所述主题类目的数据以及所述网络态势感知评估指标进行更新。

在其中一些实施例中，通过分布式事务驱动引擎感知网络监测数据的动态变化的步骤具体包括：

采集网络态势感知平台的更新数据；

将所述更新数据中与预设评估指标对应的数据投递至所述分布式事务驱动引擎。

在其中一些实施例中，通过分布式事务驱动引擎感知网络监测数据的动态变化的步骤中，所述分布式事务驱动引擎对获取到的数据进行解析聚合，以将类别相同、在预设周期内、且在预设变化阈值范围内的数据聚合在一起。

在其中一些实施例中，基于计算网络态势感知评估指标的来源数据维度生成相应的主题类目的步骤具体包括：

对计算网络态势感知评估指标的来源数据维度进行归一化处理，并生成相应的主题类目，其中，所述主题类目的增加或删减由所述分布式事务驱动引擎维护。

在其中一些实施例中，通过新数据以及旧数据的差值完成对所述网络态势感知评估指标的迭代计算。

在其中一些实施例中，所述网络态势感知评估指标通过下式计算：

X＝(∑X_i*G_i+ΔX)*A(t)

其中，X表示所述网络态势感知评估指标，i表示网络态势感知平台监测的数据类型，X_i表示对应数据类型的数据维度，G_i表示对应数据类型的数据维度的权重，ΔX表示提交的指标差值变量，A(t)表示基于时间的衰减函数。

在其中一些实施例中，在所述分布式事务驱动引擎中，当数据模型计算结果输出后，才允许申请指标更新的分布式锁。

第二方面，本申请实施例提供了一种网络态势感知评估数据更新装置，包括：

第一生成模块，用于基于计算网络态势感知评估指标的来源数据维度生成相应的主题类目；

第二生成模块，用于通过分布式事务驱动引擎感知网络监测数据的动态变化，且所述分布式事务驱动引擎根据所述网络监测数据的动态变化生成对数据指标结果进行更新的事务；

更新模块，用于通过所述事务对所述主题类目的数据以及所述网络态势感知评估指标进行更新。

在其中一些实施例中，所述第二生成模块具体用于：

采集网络态势感知平台的更新数据；

在其中一些实施例中，所述第二生成模块中，所述分布式事务驱动引擎对获取到的数据进行解析聚合，以将类别相同、在预设周期内、且在预设变化阈值范围内的数据聚合在一起。

在其中一些实施例中，所述第一生成模块具体用于：

X＝(∑X_i*G_i+ΔX)*A(t)

第三方面，本申请实施例提供了一种计算机设备，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如上述第一方面所述的网络态势感知评估数据更新方法。

第四方面，本申请实施例提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上述第一方面所述的网络态势感知评估数据更新方法。

相比于现有技术，本申请实施例提供的网络态势感知评估数据更新方法、装置、计算机设备和可读存储介质，基于计算网络态势感知评估指标的来源数据维度生成相应的主题类目，通过分布式事务驱动引擎感知网络监测数据的动态变化，相关变化通过该引擎直接生成一个成对数据指标结果进行更新的事务，通过该事务完成对主题类目的数据以及网络态势感知评估指标进行更新，能够实现数据的实时更新动态更新，有效解决了现有技术更新不及时的问题，本发明通过引入分布式事务，能够以一种相对简单的方式完成数据的增量更新，满足低延迟、大吞吐量的要求。

本申请的一个或多个实施例的细节在以下附图和描述中提出，以使本申请的其他特征、目的和优点更加简明易懂。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本发明一实施例的网络态势感知评估数据更新方法的流程图；

图2是通过分布式事务驱动引擎感知网络监测数据的动态变化的详细流程图；

图3是根据本发明一实施例的网络态势感知评估数据更新装置的结构框图；

图4是根据本发明实施例的计算机设备的硬件结构示意图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行描述和说明。应当理解，此处所描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。基于本申请提供的实施例，本领域普通技术人员在没有作出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

显而易见地，下面描述中的附图仅仅是本申请的一些示例或实施例，对于本领域的普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图将本申请应用于其他类似情景。此外，还可以理解的是，虽然这种开发过程中所作出的努力可能是复杂并且冗长的，然而对于与本申请公开的内容相关的本领域的普通技术人员而言，在本申请揭露的技术内容的基础上进行的一些设计，制造或者生产等变更只是常规的技术手段，不应当理解为本申请公开的内容不充分。

在本申请中提及“实施例”意味着，结合实施例描述的特定特征、结构或特性可以包含在本申请的至少一个实施例中。在说明书中的各个位置出现该短语并不一定均是指相同的实施例，也不是与其它实施例互斥的独立的或备选的实施例。本领域普通技术人员显式地和隐式地理解的是，本申请所描述的实施例在不冲突的情况下，可以与其它实施例相结合。

除非另作定义，本申请所涉及的技术术语或者科学术语应当为本申请所属技术领域内具有一般技能的人士所理解的通常意义。本申请所涉及的“一”、“一个”、“一种”、“该”等类似词语并不表示数量限制，可表示单数或复数。本申请所涉及的术语“包括”、“包含”、“具有”以及它们任何变形，意图在于覆盖不排他的包含；例如包含了一系列步骤或模块(单元)的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可以还包括没有列出的步骤或单元，或可以还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。本申请所涉及的“连接”、“相连”、“耦接”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电气的连接，不管是直接的还是间接的。本申请所涉及的“多个”是指两个或两个以上。“和/或”描述关联对象的关联关系，表示可以存在三种关系，例如，“A和/或B”可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。本申请所涉及的术语“第一”、“第二”、“第三”等仅仅是区别类似的对象，不代表针对对象的特定排序。

请参阅图1，本发明一实施例提供的网络态势感知评估数据更新方法，包括步骤S101～S103。

S101，基于计算网络态势感知评估指标的来源数据维度生成相应的主题类目。

其中，计算网络态势感知评估指标的来源数据维度例如包括攻击频率，攻击方式，攻击来源等，则分别生成与攻击频率、攻击方式、攻击来源对应的主题类目。生成主题类目主要是为了分类，检索。

具体的，基于计算网络态势感知评估指标的来源数据维度生成相应的主题类目的步骤包括：

对计算网络态势感知评估指标的来源数据维度X_i进行归一化处理，并生成相应的主题类目(可以认为是一个kafka的主题topic)，其中，所述主题类目的增加或删减由分布式事务驱动引擎维护。分布式事务是指事务的参与者、支持事务的服务器、资源服务器以及事务管理器分别位于不同的分布式系统的不同节点之上。

S102，通过分布式事务驱动引擎感知网络监测数据的动态变化，且所述分布式事务驱动引擎根据所述网络监测数据的动态变化生成对数据指标结果进行更新的事务。

其中，请参阅图2，通过分布式事务驱动引擎感知网络监测数据的动态变化的步骤具体包括：

S1021，采集网络态势感知平台的更新数据。

S1022，将所述更新数据中与预设评估指标对应的数据投递至所述分布式事务驱动引擎。

具体的，需要先完成对相关网络态势感知平台数据的采集、清洗以及统计分析，对于相关重要指标的相关数据的更新变化投递到分布式事务驱动引擎。

分布式事务引擎在收集相关数据变化后，完成如下工作：

(1).相关数据维度的主题类目维护：主题类目的数据发布与消费可以通过kafka等消息中间件完成。主题类目的增减可以基于数据源动态增减。

(2).分布式事务调度：为了保证相关数据对最终评价结果的更新的低延迟，具体实施时，将数据维度更新以及最终结果数据更新在一个事务中完成，从而确保相关数据一致性，消除数据重复、丢失问题。

S103，通过所述事务对所述主题类目的数据以及所述网络态势感知评估指标进行更新。

具体的，由分布式事务驱动引擎发起相关事务，完成指标类数据维度X_i更新，更新发布完成后，继续发起指标数据更新事务，然后可以通过最小数据模型运算完成最终指标数据更新以及可视化数据输出。

相关威胁指数可以采用包括但不限于：基于相关维度以及权重的加权平均、指数衰减、高斯函数等数学模型对最终结果进行计算输出。计算过程满足最小模型迭代要求，即部分指标的迭代计算不需要更新所有维度数据，而是通过新数据以及旧数据的差值完成对所述网络态势感知评估指标的迭代计算。

具体的，所述网络态势感知评估指标通过下式计算：

X＝(∑X_i*G_i+ΔX)*A(t)

其中，X表示所述网络态势感知评估指标，i表示网络态势感知平台监测的数据类型，X_i表示对应数据类型的数据维度，G_i表示对应数据类型的数据维度的权重，ΔX表示提交的指标差值变量，A(t)表示基于时间的衰减函数，一般为高斯或者指数函数。

此外，需要指出的是，因此为了保证数据一致性，数据不直接更新对应的topic而是提交到分布式事务驱动引擎。

分布式事务驱动引擎将数据的发布以及消费放在一起作为一个完整事务调度管理，相关数据维度X_i以及评估指标X可以通过redis在全局分别维护一个“分布式锁”实现每次维度数据X_i的更新都会完成一次X数据的迭代。

此外，如果系统的负载很高，一秒内产生成千上万个事务，分布式锁就会成为瓶颈。为了解决这个问题，一方面在通过分布式事务驱动引擎感知网络监测数据的动态变化的步骤中，分布式事务驱动引擎对获取到的数据进行解析聚合，以将类别相同、在预设周期内、且在预设变化阈值范围内的数据聚合在一起，能够极大的减少数据更新触发事务的操作。

另一方面，优化锁申请机制，在分布式事务驱动引擎中，当数据模型计算结果输出后，才允许申请指标更新的分布式锁，从而减少锁的占用事件。在事务中，需要保证一个事务同一时刻只能被一个线程处理，同时在实例宕机后，其它实例可以起线程接替它的工作。这里设置了多实例多任务系统，相关任务调度机制如下所示：

(1)系统中运行多个实例，每个实例可以管理多个事务；

(2)一个事务只能分配给一个实例，每个事务负责将数据发布X_i到对应topic上，并负责发起对应指标的X的更新；更新失败，则回收任务间隔一段时间后再次发起更新；

(3)一个实例如果宕机了，则分配给他的任务在其他实例上重新运行；

(4)实例根据相关硬件资源进行增减，满足负载均衡的要求。

此外，为了对分布式引擎执行效率的评估，一示例性的相关事务的基本信息定义如下表：

综上，根据本实施例的网络态势感知评估数据更新方法，基于计算网络态势感知评估指标的来源数据维度生成相应的主题类目，通过分布式事务驱动引擎感知网络监测数据的动态变化，相关变化通过该引擎直接生成一个成对数据指标结果进行更新的事务，通过该事务完成对主题类目的数据以及网络态势感知评估指标进行更新，能够实现数据的实时更新动态更新，有效解决了现有技术更新不及时的问题，本发明通过引入分布式事务，能够以一种相对简单的方式完成数据的增量更新，满足低延迟、大吞吐量的要求。

此外，上述方法还能够解决大数据分析评估系统中多数据源、多项指标数据异步更新的一致性、数据重复、数据丢失的问题。

本发明一实施例提供了一种网络态势感知评估数据更新装置，该装置用于实现上述实施例的网络态势感知评估数据更新方法，已经进行过说明的不再赘述。如以下所使用的，术语“模块”、“单元”、“子单元”等可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

请参阅图3，该网络态势感知评估数据更新装置包括：

第一生成模块10，用于基于计算网络态势感知评估指标的来源数据维度生成相应的主题类目；

第二生成模块20，用于通过分布式事务驱动引擎感知网络监测数据的动态变化，且所述分布式事务驱动引擎根据所述网络监测数据的动态变化生成对数据指标结果进行更新的事务；

更新模块30，用于通过所述事务对所述主题类目的数据以及所述网络态势感知评估指标进行更新。

本实施例中，所述第二生成模块20具体用于：

采集网络态势感知平台的更新数据；

本实施例中，所述第二生成模块20中，所述分布式事务驱动引擎对获取到的数据进行解析聚合，以将类别相同、在预设周期内、且在预设变化阈值范围内的数据聚合在一起。

本实施例中，所述第一生成模块10具体用于：

本实施例中，通过新数据以及旧数据的差值完成对所述网络态势感知评估指标的迭代计算。

本实施例中，所述网络态势感知评估指标通过下式计算：

X＝(∑X_i*G_i+ΔX)*A(t)

本实施例中，在所述分布式事务驱动引擎中，当数据模型计算结果输出后，才允许申请指标更新的分布式锁。

根据本实施例的网络态势感知评估数据更新装置，基于计算网络态势感知评估指标的来源数据维度生成相应的主题类目，通过分布式事务驱动引擎感知网络监测数据的动态变化，相关变化通过该引擎直接生成一个成对数据指标结果进行更新的事务，通过该事务完成对主题类目的数据以及网络态势感知评估指标进行更新，能够实现数据的实时更新动态更新，有效解决了现有技术更新不及时的问题，本发明通过引入分布式事务，能够以一种相对简单的方式完成数据的增量更新，满足低延迟、大吞吐量的要求。

此外，上述装置还能够解决大数据分析评估系统中多数据源、多项指标数据异步更新的一致性、数据重复、数据丢失的问题。

需要说明的是，上述各个模块可以是功能模块也可以是程序模块，既可以通过软件来实现，也可以通过硬件来实现。对于通过硬件来实现的模块而言，上述各个模块可以位于同一处理器中；或者上述各个模块还可以按照任意组合的形式分别位于不同的处理器中。

另外，本申请实施例的网络态势感知评估数据更新方法可以由计算机设备来实现。图4为根据本申请实施例的计算机设备的硬件结构示意图。

该计算机设备可以包括处理器81以及存储有计算机程序指令的存储器82。

具体地，上述处理器81可以包括中央处理器(CPU)，或者特定集成电路(Application Specific Integrated Circuit，简称为ASIC)，或者可以被配置成实施本申请实施例的一个或多个集成电路。

其中，存储器82可以包括用于数据或指令的大容量存储器。举例来说而非限制，存储器82可包括硬盘驱动器(Hard Disk Drive，简称为HDD)、软盘驱动器、固态驱动器(SolidState Drive，简称为SSD)、闪存、光盘、磁光盘、磁带或通用串行总线(Universal SerialBus，简称为USB)驱动器或者两个或更多个以上这些的组合。在合适的情况下，存储器82可包括可移除或不可移除(或固定)的介质。在合适的情况下，存储器82可在数据处理装置的内部或外部。在特定实施例中，存储器82是非易失性(Non-Volatile)存储器。在特定实施例中，存储器82包括只读存储器(Read-Only Memory，简称为ROM)和随机存取存储器(RandomAccess Memory，简称为RAM)。在合适的情况下，该ROM可以是掩模编程的ROM、可编程ROM(Programmable Read-Only Memory，简称为PROM)、可擦除PROM(Erasable ProgrammableRead-Only Memory，简称为EPROM)、电可擦除PROM(Electrically Erasable ProgrammableRead-Only Memory，简称为EEPROM)、电可改写ROM(Electrically Alterable Read-OnlyMemory，简称为EAROM)或闪存(FLASH)或者两个或更多个以上这些的组合。在合适的情况下，该RAM可以是静态随机存取存储器(Static Random-Access Memory，简称为SRAM)或动态随机存取存储器(Dynamic Random Access Memory，简称为DRAM)，其中，DRAM可以是快速页模式动态随机存取存储器(Fast Page Mode Dynamic Random Access Memory，简称为FPMDRAM)、扩展数据输出动态随机存取存储器(Extended Date Out Dynamic RandomAccess Memory，简称为EDODRAM)、同步动态随机存取内存(Synchronous Dynamic Random-Access Memory，简称SDRAM)等。

存储器82可以用来存储或者缓存需要处理和/或通信使用的各种数据文件，以及处理器82所执行的可能的计算机程序指令。

处理器81通过读取并执行存储器82中存储的计算机程序指令，以实现上述实施例的网络态势感知评估数据更新方法。

在其中一些实施例中，计算机设备还可包括通信接口83和总线80。其中，如图4所示，处理器81、存储器82、通信接口83通过总线80连接并完成相互间的通信。

通信接口83用于实现本申请实施例中各模块、装置、单元和/或设备之间的通信。通信接口83还可以实现与其他部件例如：外接设备、图像/数据采集设备、数据库、外部存储以及图像/数据处理工作站等之间进行数据通信。

总线80包括硬件、软件或两者，将计算机设备的部件彼此耦接在一起。总线80包括但不限于以下至少之一：数据总线(Data Bus)、地址总线(Address Bus)、控制总线(Control Bus)、扩展总线(Expansion Bus)、局部总线(Local Bus)。举例来说而非限制，总线80可包括图形加速接口(Accelerated Graphics Port，简称为AGP)或其他图形总线、增强工业标准架构(Extended Industry Standard Architecture，简称为EISA)总线、前端总线(Front Side Bus，简称为FSB)、超传输(Hyper Transport，简称为HT)互连、工业标准架构(Industry Standard Architecture，简称为ISA)总线、无线带宽(InfiniBand)互连、低引脚数(Low Pin Count，简称为LPC)总线、存储器总线、微信道架构(Micro ChannelArchitecture，简称为MCA)总线、外围组件互连(Peripheral Component Interconnect，简称为PCI)总线、PCI-Express(PCI-X)总线、串行高级技术附件(Serial AdvancedTechnology Attachment，简称为SATA)总线、视频电子标准协会局部(Video ElectronicsStandards Association Local Bus，简称为VLB)总线或其他合适的总线或者两个或更多个以上这些的组合。在合适的情况下，总线80可包括一个或多个总线。尽管本申请实施例描述和示出了特定的总线，但本申请考虑任何合适的总线或互连。

该计算机设备可以基于获取到的计算机程序，执行本申请实施例的网络态势感知评估数据更新方法。

另外，结合上述实施例的网络态势感知评估数据更新方法，本申请实施例可提供一种计算机可读存储介质来实现。该计算机可读存储介质上存储有计算机程序指令；该计算机程序指令被处理器执行时实现上述实施例的网络态势感知评估数据更新方法。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims

1.一种网络态势感知评估数据更新方法，其特征在于，包括：

2.根据权利要求1所述的网络态势感知评估数据更新方法，其特征在于，通过分布式事务驱动引擎感知网络监测数据的动态变化的步骤具体包括：

采集网络态势感知平台的更新数据；

3.根据权利要求2所述的网络态势感知评估数据更新方法，其特征在于，通过分布式事务驱动引擎感知网络监测数据的动态变化的步骤中，所述分布式事务驱动引擎对获取到的数据进行解析聚合，以将类别相同、在预设周期内、且在预设变化阈值范围内的数据聚合在一起。

4.根据权利要求1所述的网络态势感知评估数据更新方法，其特征在于，基于计算网络态势感知评估指标的来源数据维度生成相应的主题类目的步骤具体包括：

5.根据权利要求1所述的网络态势感知评估数据更新方法，其特征在于，通过新数据以及旧数据的差值完成对所述网络态势感知评估指标的迭代计算。

6.根据权利要求5所述的网络态势感知评估数据更新方法，其特征在于，所述网络态势感知评估指标通过下式计算：

X＝(∑X_i*G_i+ΔX)*A(t)

7.根据权利要求1所述的网络态势感知评估数据更新方法，其特征在于，在所述分布式事务驱动引擎中，当数据模型计算结果输出后，才允许申请指标更新的分布式锁。

8.一种网络态势感知评估数据更新装置，其特征在于，包括：

9.根据权利要求8所述的网络态势感知评估数据更新装置，其特征在于，所述第二生成模块具体用于：

采集网络态势感知平台的更新数据；

10.一种可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1至7中任一项所述的网络态势感知评估数据更新方法。