CN113783876B - 基于图神经网络的网络安全态势感知方法及相关设备 - Google Patents

基于图神经网络的网络安全态势感知方法及相关设备 Download PDF

Info

Publication number
CN113783876B
CN113783876B CN202111068381.3A CN202111068381A CN113783876B CN 113783876 B CN113783876 B CN 113783876B CN 202111068381 A CN202111068381 A CN 202111068381A CN 113783876 B CN113783876 B CN 113783876B
Authority
CN
China
Prior art keywords
network
graph
neural network
attribute
reconstruction
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202111068381.3A
Other languages
English (en)
Other versions
CN113783876A (zh
Inventor
孙喜民
周晶
李晓明
王帅
孙博
郑斌
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Digital Technology Holdings Co ltd
State Grid E Commerce Technology Co Ltd
Original Assignee
State Grid Digital Technology Holdings Co ltd
State Grid E Commerce Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Digital Technology Holdings Co ltd, State Grid E Commerce Technology Co Ltd filed Critical State Grid Digital Technology Holdings Co ltd
Priority to CN202111068381.3A priority Critical patent/CN113783876B/zh
Publication of CN113783876A publication Critical patent/CN113783876A/zh
Application granted granted Critical
Publication of CN113783876B publication Critical patent/CN113783876B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/084—Backpropagation, e.g. using gradient descent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Health & Medical Sciences (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Biomedical Technology (AREA)
  • Biophysics (AREA)
  • Computational Linguistics (AREA)
  • Data Mining & Analysis (AREA)
  • Signal Processing (AREA)
  • General Health & Medical Sciences (AREA)
  • Molecular Biology (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明公开了基于图神经网络的网络安全态势感知方法及相关设备，可以利用图神经网络对预先构建好的安全知识图谱进行编码处理，获得编码后数据，安全知识图谱是基于能源电商网络的运行数据构建的，利用图神经网络对编码后数据进行解码重构处理，获得重构后数据，基于重构后数据对能源电商网络进行网络安全态势感知。本发明可以有效提高能源电商网络的网络安全态势感知能力，提高威胁识别精度。

Description

基于图神经网络的网络安全态势感知方法及相关设备
技术领域
本发明涉及能源电商网络安全技术领域，尤其涉及基于图神经网络的网络安全态势感知方法及相关设备。
背景技术
随着计算机技术的发展，网络安全技术不断。
在能源电商网络的运行过程中，需要利用网络安全技术来防止攻击者发起的网络攻击，保障网络安全，从而保障能源电商交易的正常进行。具体的，现有技术可以通过在能源电商网络中进行网络安全态势评估，来识别出能源电商网络中存在的网络安全风险，进而采取相应的措施来规避或者解决网络安全风险。
但是，现有技术无法有效的在能源电商网络中进行网络安全态势评估。
发明内容
鉴于上述问题，本发明提供克服上述问题或者至少部分地解决上述问题的基于图神经网络的网络安全态势感知方法及相关设备，技术方案如下：
基于图神经网络的网络安全态势感知方法，所述方法包括：
利用所述图神经网络对预先构建好的安全知识图谱进行编码处理，获得编码后数据，所述安全知识图谱是基于能源电商网络的运行数据构建的；
利用所述图神经网络对所述编码后数据进行解码重构处理，获得重构后数据；
基于所述重构后数据对所述能源电商网络进行网络安全态势感知。
可选的，所述图神经网络中包括：属性图编码器；所述利用所述图神经网络对所述安全知识图谱进行编码处理，包括：
利用所述属性图编码器对所述安全知识图谱进行编码处理。
可选的，所述图神经网络中包括：拓扑结构重构解码器和属性重构解码器；所述利用所述图神经网络对所述编码后数据进行解码重构处理，获得重构后数据，包括：
利用所述拓扑结构重构解码器对所述编码后数据进行解码处理，获得结构重构后数据；
利用所述属性重构解码器对所述编码后数据进行解码处理，获得属性重构后数据。
可选的，所述基于所述重构后数据对所述能源电商网络进行网络安全态势感知，包括：
基于所述结构重构后数据获得结构重构误差；
基于所述属性重构后数据获得属性重构误差；
基于所述结构重构误差和所述属性重构误差，对所述能源电商网络进行攻击者威胁评估。
基于图神经网络的网络安全态势感知装置，包括：编码处理单元、第一重构处理单元和感知单元；其中，
所述编码处理单元，用于利用所述图神经网络对预先构建好的安全知识图谱进行编码处理，获得编码后数据，所述安全知识图谱是基于能源电商网络的运行数据构建的；
所述第一重构处理单元，用于利用所述图神经网络对所述编码后数据进行解码重构处理，获得重构后数据；
所述感知单元，用于基于所述重构后数据对所述能源电商网络进行网络安全态势感知。
可选的，所述图神经网络中包括：属性图编码器；
所述编码处理单元，用于利用所述属性图编码器对所述安全知识图谱进行编码处理。
可选的，所述图神经网络中包括：拓扑结构重构解码器和属性重构解码器；所述第一重构处理单元包括：第二重构处理单元和第三重构处理单元；其中：
所述第二重构处理单元，用于利用所述拓扑结构重构解码器对所述编码后数据进行解码处理，获得结构重构后数据；
所述第三重构处理单元，用于利用所述属性重构解码器对所述编码后数据进行解码处理，获得属性重构后数据。
可选的，所述感知单元包括：第一获得单元、第二获得单元和评估单元；其中：
所述第一获得单元，用于基于所述结构重构后数据获得结构重构误差；
所述第二获得单元，用于基于所述属性重构后数据获得属性重构误差；
所述评估单元，用于基于所述结构重构误差和所述属性重构误差，对所述能源电商网络进行攻击者威胁评估。
电子设备，所述电子设备包括至少一个处理器、以及与所述处理器连接的至少一个存储器、总线；其中，所述处理器、所述存储器通过所述总线完成相互间的通信；所述处理器用于调用所述存储器中的程序指令，以执行上述基于图神经网络的网络安全态势感知方法。
计算机可读存储介质，其上存储有程序，所述程序被处理器执行时实现上述基于图神经网络的网络安全态势感知方法。
本发明提出的基于图神经网络的网络安全态势感知方法及相关设备，可以利用所述图神经网络对预先构建好的安全知识图谱进行编码处理，获得编码后数据，所述安全知识图谱是基于能源电商网络的运行数据构建的，利用所述图神经网络对所述编码后数据进行解码重构处理，获得重构后数据，基于所述重构后数据对所述能源电商网络进行网络安全态势感知。本发明可以有效提高能源电商网络的网络安全态势感知能力，提高威胁识别精度。
上述说明仅是本发明技术方案的概述，为了能够更清楚地了解本发明的技术手段，可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1示出了本发明实施例提供的第一种基于图神经网络的网络安全态势感知方法的流程图；
图2示出了本发明实施例提供的第二种基于图神经网络的网络安全态势感知方法的流程图；
图3示出了本发明实施例提供的一种单个网络攻击特征事件的示例图；
图4示出了本发明实施例提供的第一种基于图神经网络的网络安全态势感知装置的结构示意图；
图5示出了本发明实施例提供的一种电子设备的结构示意图。
具体实施方式
下面将参照附图更详细地描述本发明的示例性实施例。虽然附图中显示了本发明的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本发明，并且能够将本发明的范围完整的传达给本领域的技术人员。
如图1所示，本实施例提出了第一种基于图神经网络的网络安全态势感知方法，该方法可以包括以下步骤：
S101、利用图神经网络对预先构建好的安全知识图谱进行编码处理，获得编码后数据，安全知识图谱是基于能源电商网络的运行数据构建的；
其中，图神经网络可以用于对安全知识图谱进行编码处理和解码重构处理。可选的，图神经网络可以为图卷积神经网络，可以对安全知识图谱进行卷积运算。需要说明的是，本发明可以在图卷积神经网络中加入激活函数，对节点的信息做非线性变换，增强模型的表达能力。可选的，在基于空间的图卷积神经网络中，每个节点可以将自身的特征信息传递给邻居节点，每个节点可以将邻居节点及自身的特征信息进行汇集，对局部结构进行融合。
其中，安全知识图谱可以为本发明基于能源电商网络的运行数据进行构建的知识图谱。具体的，安全知识图谱可以为属性异构图谱。
其中，编码后数据可以为本发明利用图神经网络对安全知识图谱进行编码处理后获得的数据。
具体的，本发明可以将构建好的安全知识图谱输入至图神经网络中，获得图神经网络输出的编码后数据。可选的，本发明可以通过完全二叉树编码方式对安全知识图谱进行编码处理。
需要说明的是，安全知识图谱可以为知识图谱在网络安全领域的实际应用，可以包括基于本体论构建的安全知识本体架构，以及通过威胁建模等方式对多源异构的网络安全领域信息进行加工、处理和整合，转化成为的结构化的安全领域知识库。其中，信息层可以为安全知识图谱从外界抽取的知识实体，知识层和智慧层为信息安全领域关键概念及这些概念之间的逻辑语义关系。
具体的，本发明可以针对信息安全领域知识图谱构建的两个关键要素，构建威胁元语言模型对威胁知识的结构化描述，包括概念、实体、属性的定义以及知识关系的定义。可选的，本发明可以构建三层安全知识图谱。具体的，安全知识图谱可以包括辅助安全事件分析、安全合规标准、APT追踪溯源等实际业务场景中所需的数据表示和语义关系。
需要说明的是，随着计算机技术和能源电商网络的飞速发展，能源电商网络中的网络病毒和Dos/DDos等网络攻击方式越来越多。由于能源电商网络自身的脆弱性，其所遭受的网络威胁的数量大幅度增长，攻击面快速扩展，网络攻击方式也愈加地隐蔽持续，现有的网络攻击检测方式很难对隐蔽攻击方式进行有效的检测。而本发明可以通过图1所示执行过程，基于图神经网络实现对能源电商网络的网络安全态势感知。
可选的，在本实施例提出的其它基于图神经网络的网络安全态势感知方法中，图神经网络中包括：属性图编码器；步骤S101可以包括：
利用属性图编码器对安全知识图谱进行编码处理。
具体的，本发明可以利用属性图编码器对安全知识图谱进行二进制属性编码。
需要说明的是，本发明在进行安全知识图谱的属性编码过程中，可以考虑图结构的编码和考虑实现节点属性的编码。由于图卷积神经网络在学习节点特征表示时考虑了高阶节点的邻近性，解决了网络稀疏性问题，且图卷积神经网络通过多层非线性变换，能捕属性图中数据的非线性特征和两种信息模态之间的复杂交互。因此，本发明可以采用图卷积神经网络中的属性图编码器对安全知识图片进行编码处理。
S102、利用图神经网络对编码后数据进行解码重构处理，获得重构后数据；
其中，重构后数据可以为本发明利用图神经网络对编码后数据进行解密重构处理后获得的数据。
需要说明的是，本发明可以利用图神经网络对安全知识图片进行编码处理，可以将其转换为计算机可以处理的数据，即编码后数据；之后，本发明可以通过解码重构处理，可以将编码后数据反向转化为网络安全态势感知等相关问题的描述。
可选的，如图2所示，在本实施例提出的第二种基于图神经网络的网络安全态势感知方法中，图神经网络中包括：拓扑结构重构解码器和属性重构解码器；此时，步骤S102可以包括步骤S201和S202。其中：
S201、利用拓扑结构重构解码器对编码后数据进行解码处理，获得结构重构后数据；
其中，拓扑结构重构解码器可以通过节点的特征表示重构网络拓扑结构。
S202、利用属性重构解码器对编码后数据进行解码处理，获得属性重构后数据。
其中，属性重构编码器通过节点的特征表示重构属性图中节点的属性。
可选的，图神经网络中可以同时包括属性图编码器、拓扑结构重构解码器和属性重构解码器。此时，本发明可以将属性图编码器在同一框架下实现对属性图的拓扑结构和属性的无缝建模，之后可以在图神经网络中实现顶点的特征表示学习。
S103、基于重构后数据对能源电商网络进行网络安全态势感知。
具体的，本发明可以在获得重构后数据之后，基于重构后数据对能源电商网络进行网络安全台式感知，对潜在攻击者进行威胁评估。
需要说明的是，重构的作用可以是在原问题不失真的情况进行再次的编码构造，以便更好的处理。
可选的，步骤S103可以包括：
基于结构重构后数据获得结构重构误差；
基于属性重构后数据获得属性重构误差；
基于结构重构误差和属性重构误差，对能源电商网络进行攻击者威胁评估。
需要说明的是，一个节点自身的结构信息可以通过结构重构解码器近似得到，那么该节点属于异常节点的概率就较低，相反，节点的结构重构误差较大，那么它就有很大概率是异常节点。另，由于网络结构整合了多个知识库和告警的因果语义，而在真实环境中通常攻击事件是占非常小一部分，因此安全知识图谱结构的编码与解码误差可以用来衡量安全知识图谱中攻击者的威胁度。而安全知识图谱中的告警内容信息实体又具有表示攻击意图的行为特征，因此利用属性的编码解码的误差也可以评估攻击意图的强弱。
可选的，本发明可以预先构建目标函数，利用目标函数对结构重构误差和属性重构误差进行加权求和，利用重构误差实现对攻击者的威胁评估。
具体的，目标函数可以把结构重构误差和属性重构误差进行加权求和。然后在最小化目标函数的情况下迭代的求解编码过程的向量表示。最终利用重构误差实现对攻击者的威胁评估。其中，权值矩阵的计算采用梯度下降法。图神经网络的计算复杂性可以随着网络中的边的数据线性增涨。
需要说明的是，本发明利用多种方式在能源电商网络中进行网络安全态势感知的比较分析，可以借助网络安全态势值的非线性时间序列特点，以图神经网络为核心点，处理相关的混沌与非线性数据，进行网络安全的态势预测的体系，有效提高网络安全态势的感知能力。
还需要说明的是，本发明可以利用图神经网络对安全知识图谱的实体和关系统一进行向量学习。其中，实体的向量表示可以用来进行威胁评估，关系的向量表示可以用来攻击溯源和攻击预测。本发明可以挖掘更多攻击相关的语义信息，对攻击行为的因果关系进行刻画，通过丰富的上下文信息来在能源电商网络中实现更佳精准的威胁识别，有效增强网络安全态势感知能力。可选的，本发明可以对能源电商网络中的内部威胁进行有效的网络安全态势感知，实现对内部威胁的更加精准的威胁识别。
本实施例提出的基于图神经网络的网络安全态势感知方法，可以利用图神经网络对预先构建好的安全知识图谱进行编码处理，获得编码后数据，安全知识图谱是基于能源电商网络的运行数据构建的，利用图神经网络对编码后数据进行解码重构处理，获得重构后数据，基于重构后数据对能源电商网络进行网络安全态势感知。本发明可以有效提高能源电商网络的网络安全态势感知能力，提高威胁识别精度。
基于图1所示步骤，本实施例提出另一种基于图神经网络的网络安全态势感知方法。在该方法中，安全知识图谱主要可以包含两部分：静态知识图谱和动态知识图谱。
其中，静态知识图谱可以为事先构建的安全知识图谱，融合了攻击模式库、安全隐患、恶意代码和攻击目标资产等多个知识库。由于这些知识库中的知识并不需要实时更新，因此称为静态知识图谱。
其中，动态知识图谱可以为安全设备实时产生的告警以及与告警相关的一些信息，如IP地址、端口、网段等。其中动态知识图谱与静态知识图谱可以通过共享实体相关联，比如IP地址与CPE相关联，告警信息与CAPEC、CVE和恶意代码相关联等。静态知识图谱中的实体可以是固定的，比如当前世界范围对安全元素描述的使用较广泛的标注，定义的14种实体类型。可选的，本发明可以仅描述动态图谱，实体则只考虑IP。告警通常是实时产生的，告警的源IP为攻击者，告警的目标IP为受害者。在单位时间窗口内根据源IP与目标IP对聚合告警会生成相应的告警序列。
具体的，本发明可以利用马尔科夫挖掘告警之间的一跳转移概率，生成告警因果关联图。其中，顶点可以为告警，边可以为告警的一跳转移概率。当然，本发明也可以使用DoWhy因果推理框架来生成告警因果关联图。具体的，本发明在构建好因果关系网络之后，可以直接利用图嵌入技术学习每种告警的向量表示。其中，告警可以是组成告警序列的基本单元。需要说明的是，可以将告警视为自然语言中的词，将告警序列视为自然语言中的句子。
具体的，本发明可以遍历所有IP对的告警序列，对于当前告警序列s，本发明可以通过如下公式得到当前告警序列的初始序列向量v：
其中s为告警序列(或者就可以理解为一个待处理的句子)，该公式表示一个加权求平均的过程，每个词语向量乘以系数a/(a+p(w))后叠加，最后叠加向量处以句子s中词语的个数，对于可调参数a一般可以使用0.001和0.0001两个典型的参数。p(ω)表示告警ω除以所有告警的频数和(对词语ω的词频除以语料库所有词语词频之和)。
之后，本发明可以对所有告警序列的初始向量进行主成分分析，计算出告警序列的每一主成分，然后重复两次得到的向量表示作为告警序列的向量表示。此时，本发明可以实现动态图谱的关系构建。其中，属性图中的节点属性可以主要包括两类，一类是表示节点的固有特性的属性，如IP所属地理位置和是否内外网、文件名和进程名等，另一类是统计特征和行为，如从告警payload中提取的攻击意图相关的特征，包括IP作为攻击者单位时间内产生的告警数以及IP开的端口数等。
其中，顶点与边刻画的是安全知识图谱的结构信息，图中的实体本身是具有一定的角色的，如IP可以是攻击者也可以是受害者，作为攻击者该IP具有攻击者的特征。这些特征可以分为两类，一类可以描述实体属性的特征，另一类可以是统计特征。其中，属性特征可以为IP地理位置、IP是否是内网、历史威胁度等，统计特征可以为单位时间内的告警数、告警类型、探测类得到和渗透类得分等。
可选的，本发明可以对网络攻击特征事件进行特征提取。具体的，网络攻击特征事件图谱可以包括多个弱连通分支，其中，各弱连通分支均可以为一个网络攻击特征事件。其中，各网络攻击特征事件均可以有其唯一的编号，本发明可以对各网络攻击特征事件进行遍历。若以E表示网络攻击特征事件图谱，以Gi表示单个网络攻击特征事件，本发明可以对Gi进行特征提取。如图3所示的单个网络攻击特征事件的示例图中，集合{0，1，2，3}中的数字可以是节点编号，集合{a，b，c}中的字母可以代表边上的网络基本事件类型。本发明可以通过以下步骤来进行对Gi的特征提取：
S301、分离恶意节点和其他节点；
具体的，本发明可以将子图Gi中的恶意节点编号为0，其他节点编号从1开始选取。此时，恶意节点集合为{0}，其他节点集合为{1,2,3}。
S302、提取所有可能的网络基本事件类型；
具体的，本发明可以从恶意节点出发，提取所有可能的网络基本事件类型。其中，恶意节点是攻击的发起者。在图3中，网络攻击特征事件的内容为{a,b,c}。
S303、计算恶意节点到其他节点的最远距离；
具体的，计算恶意节点到其他节点的最远距离，该最远距离可以用正整数MAX_DISTANCE表示。在子图Gi中，从节点0出发，最远的节点是节点3，从节点0到节点3的距离是2，所以子图Gi的MAX_DISTANCE的值为2。
S304、分析图中的环信息、事件的时序信息；
具体的，本发明分析图中的环信息、事件的时序信息。其中，子图Gi是有向带环图。
S305、分别提取有环事件序列信息和一般事件序列信息；
其中，有环事件序列和一般事件序列的最大差别是，有环事件序列具有比一般事件序列更为苛刻的匹配条件。如果将子图Gi中节点0到节点2之间的事件c换为事件a，则同样的事件序列{a,b}在子图Gi中可以匹配到0->1->0和0->2->3这条路径，然而这是两条截然不同的路径，若不对有环路经和一般路径加以区分，则可能造成匹配条件遗漏。有环路经包含了比一般路径更为丰富的信息，它除了事件序列信息外，还包括了节点的重复信息，在0->1->0路径中，事件序列的起点和终点都是节点0。
S306、封装上述信息并存储至消息队列；
具体的，本发明可以将步骤S301至S305所得到的信息封装成消息对象，该消息对象是一个五元组数据。这里的消息队列起到了辅助传参的作用，便于后续特征匹配工作的进行，到了特征匹配阶段，需要从消息队列中取出五元组数据。
本实施例提出的基于图神经网络的网络安全态势感知方法，可以有效构建安全知识图谱，利用安全知识图谱在能源电商网络中提高网络安全态势感知能力。
与图1所示步骤相对应，如图4所示，本实施例提出了第一种基于图神经网络的网络安全态势感知装置，该装置可以包括：编码处理单元101、第一重构处理单元102和感知单元103；其中，
编码处理单元101，用于利用图神经网络对预先构建好的安全知识图谱进行编码处理，获得编码后数据，安全知识图谱是基于能源电商网络的运行数据构建的；
其中，图神经网络可以用于对安全知识图谱进行编码处理和解码重构处理。可选的，图神经网络可以为图卷积神经网络，可以对安全知识图谱进行卷积运算。
其中，安全知识图谱可以为本发明基于能源电商网络的运行数据进行构建的知识图谱。具体的，安全知识图谱可以为属性异构图谱。
其中，编码后数据可以为本发明利用图神经网络对安全知识图谱进行编码处理后获得的数据。
具体的，本发明可以将构建好的安全知识图谱输入至图神经网络中，获得图神经网络输出的编码后数据。
可选的，在本实施例提出的其它基于图神经网络的网络安全态势感知装置中，图神经网络中包括：属性图编码器；此时，编码处理单元101，用于利用属性图编码器对安全知识图谱进行编码处理。
具体的，本发明可以利用属性图编码器对安全知识图谱进行二进制属性编码。
需要说明的是，本发明在进行安全知识图谱的属性编码过程中，可以考虑图结构的编码和考虑实现节点属性的编码。由于图卷积神经网络在学习节点特征表示时考虑了高阶节点的邻近性，解决了网络稀疏性问题，且图卷积神经网络通过多层非线性变换，能捕属性图中数据的非线性特征和两种信息模态之间的复杂交互。因此，本发明可以采用图卷积神经网络中的属性图编码器对安全知识图片进行编码处理。
第一重构处理单元102，用于利用图神经网络对编码后数据进行解码重构处理，获得重构后数据；
其中，重构后数据可以为本发明利用图神经网络对编码后数据进行解密重构处理后获得的数据。
需要说明的是，本发明可以利用图神经网络对安全知识图片进行编码处理，可以将其转换为计算机可以处理的数据，即编码后数据；之后，本发明可以通过解码重构处理，可以将编码后数据反向转化为网络安全态势感知等相关问题的描述。
可选的，在本实施例提出的第二种基于图神经网络的网络安全态势感知装置中，图神经网络中包括：拓扑结构重构解码器和属性重构解码器；第一重构处理单元102包括：第二重构处理单元和第三重构处理单元；其中：
第二重构处理单元，用于利用拓扑结构重构解码器对编码后数据进行解码处理，获得结构重构后数据；
第三重构处理单元，用于利用属性重构解码器对编码后数据进行解码处理，获得属性重构后数据。
其中，拓扑结构重构解码器可以通过节点的特征表示重构网络拓扑结构。
其中，属性重构编码器通过节点的特征表示重构属性图中节点的属性。
可选的，图神经网络中可以同时包括属性图编码器、拓扑结构重构解码器和属性重构解码器。此时，本发明可以将属性图编码器在同一框架下实现对属性图的拓扑结构和属性的无缝建模，之后可以在图神经网络中实现顶点的特征表示学习。
感知单元103，用于基于重构后数据对能源电商网络进行网络安全态势感知。
具体的，本发明可以在获得重构后数据之后，基于重构后数据对能源电商网络进行网络安全台式感知，对潜在攻击者进行威胁评估。
需要说明的是，重构的作用可以是在原问题不失真的情况进行再次的编码构造，以便更好的处理。
可选的，感知单元103包括：第一获得单元、第二获得单元和评估单元；其中：
第一获得单元，用于基于结构重构后数据获得结构重构误差；
第二获得单元，用于基于属性重构后数据获得属性重构误差；
评估单元，用于基于结构重构误差和属性重构误差，对能源电商网络进行攻击者威胁评估。
需要说明的是，一个节点自身的结构信息可以通过结构重构解码器近似得到，那么该节点属于异常节点的概率就较低，相反，节点的结构重构误差较大，那么它就有很大概率是异常节点。另，由于网络结构整合了多个知识库和告警的因果语义，而在真实环境中通常攻击事件是占非常小一部分，因此安全知识图谱结构的编码与解码误差可以用来衡量安全知识图谱中攻击者的威胁度。而安全知识图谱中的告警内容信息实体又具有表示攻击意图的行为特征，因此利用属性的编码解码的误差也可以评估攻击意图的强弱。
可选的，本发明可以预先构建目标函数，利用目标函数对结构重构误差和属性重构误差进行加权求和，利用重构误差实现对攻击者的威胁评估。
具体的，目标函数可以把结构重构误差和属性重构误差进行加权求和。然后在最小化目标函数的情况下迭代的求解编码过程的向量表示。最终利用重构误差实现对攻击者的威胁评估。其中，权值矩阵的计算采用梯度下降法。图神经网络的计算复杂性可以随着网络中的边的数据线性增涨。
需要说明的是，本发明利用多种方式在能源电商网络中进行网络安全态势感知的比较分析，可以借助网络安全态势值的非线性时间序列特点，以图神经网络为核心点，处理相关的混沌与非线性数据，进行网络安全的态势预测的体系，有效提高网络安全态势的感知能力。
还需要说明的是，本发明可以利用图神经网络对安全知识图谱的实体和关系统一进行向量学习。其中，实体的向量表示可以用来进行威胁评估，关系的向量表示可以用来攻击溯源和攻击预测。本发明可以挖掘更多攻击相关的语义信息，对攻击行为的因果关系进行刻画，通过丰富的上下文信息来在能源电商网络中实现更佳精准的威胁识别，有效增强网络安全态势感知能力。可选的，本发明可以对能源电商网络中的内部威胁进行有效的网络安全态势感知，实现对内部威胁的更加精准的威胁识别。
本实施例提出的基于图神经网络的网络安全态势感知装置，可以利用图神经网络对预先构建好的安全知识图谱进行编码处理，获得编码后数据，安全知识图谱是基于能源电商网络的运行数据构建的，利用图神经网络对编码后数据进行解码重构处理，获得重构后数据，基于重构后数据对能源电商网络进行网络安全态势感知。本发明可以有效提高能源电商网络的网络安全态势感知能力，提高威胁识别精度。
上述基于图神经网络的网络安全态势感知装置包括处理器和存储器，上述编码处理单元101、第一重构处理单元102和感知单元103等均作为程序单元存储在存储器中，由处理器执行存储在存储器中的上述程序单元来实现相应的功能。
处理器中包含内核，由内核去存储器中调取相应的程序单元。内核可以设置一个或以上，通过调整内核参数来实现基于图神经网络的网络安全态势感知。
本发明实施例提供了一种计算机可读存储介质，其上存储有程序，该程序被处理器执行时实现上述基于图神经网络的网络安全态势感知方法。
本发明实施例提供了一种处理器，处理器用于运行程序，其中，程序运行时执行上述基于图神经网络的网络安全态势感知方法。
如图5所示，本发明实施例提供了一种电子设备100，电子设备100包括至少一个处理器200、以及与处理器200连接的至少一个存储器300、总线400；其中，处理器200、存储器300通过总线400完成相互间的通信；处理器200用于调用存储器300中的程序指令，以执行上述图神经网络的网络安全态势感知方法。本文中的电子设备可以是服务器、PC、PAD、手机等。
本发明还提供了一种计算机程序产品，当在电子设备上执行时，适于执行初始化有如下方法步骤的程序：
利用图神经网络对预先构建好的安全知识图谱进行编码处理，获得编码后数据，安全知识图谱是基于能源电商网络的运行数据构建的；
利用图神经网络对编码后数据进行解码重构处理，获得重构后数据；
基于重构后数据对能源电商网络进行网络安全态势感知。
本发明是参照根据本发明实施例的方法、装置、电子设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程设备的处理器以产生一个机器，使得通过计算机或其他可编程设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
在一个典型的配置中，电子设备包括一个或多个处理器(CPU)、存储器和总线。电子设备还可以包括输入/输出接口、网络接口等。
存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)，存储器包括至少一个存储芯片。存储器是计算机可读介质的示例。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。
本领域技术人员应明白，本发明的实施例可提供为方法、系统或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
以上仅为本发明的实施例而已，并不用于限制本发明。对于本领域技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。

Claims (4)

1.基于图神经网络的网络安全态势感知方法，其特征在于，所述方法包括：
利用图神经网络中的属性图编码器对预先构建好的安全知识图谱进行图结构的编码和实现节点属性的编码，获得编码后数据，所述安全知识图谱是基于能源电商网络的运行数据构建的，所述图神经网络中具有激活函数；
利用所述图神经网络对所述编码后数据进行解码重构处理，获得重构后数据，包括：利用所述图神经网络中的拓扑结构重构解码器对所述编码后数据进行解码处理，获得结构重构后数据；利用所述图神经网络中的属性重构解码器对所述编码后数据进行解码处理，获得属性重构后数据；
基于所述重构后数据对所述能源电商网络进行网络安全态势感知，包括：基于所述结构重构后数据获得结构重构误差；基于所述属性重构后数据获得属性重构误差；基于所述结构重构误差和所述属性重构误差，对所述能源电商网络进行攻击者威胁评估；
当感知到存在网络攻击特征事件时，对所述网络攻击特征事件进行特征提取，包括：分离恶意节点和其他节点；从所述恶意节点出发，提取所有可能的网络基本事件类型；计算所述恶意节点到所述其他节点的最远距离；分析各个网络攻击特征事件中的环信息和事件的时序信息，提取有环事件序列信息和一般事件序列信息，封装所述有环事件序列信息和所述一般事件序列信息，并将所述有环事件序列信息和所述一般事件序列信息存储至消息队列。
2.基于图神经网络的网络安全态势感知装置，其特征在于，包括：编码处理单元、第一重构处理单元和感知单元；其中，
所述编码处理单元，用于利用图神经网络中的属性图编码器对预先构建好的安全知识图谱进行图结构的编码和实现节点属性的编码，获得编码后数据，所述安全知识图谱是基于能源电商网络的运行数据构建的，所述图神经网络中具有激活函数；
所述第一重构处理单元，用于利用所述图神经网络对所述编码后数据进行解码重构处理，获得重构后数据；
所述第一重构处理单元包括：第二重构处理单元和第三重构处理单元；
所述第二重构处理单元，用于利用所述图神经网络中的拓扑结构重构解码器对所述编码后数据进行解码处理，获得结构重构后数据；
所述第三重构处理单元，用于利用所述图神经网络中的属性重构解码器对所述编码后数据进行解码处理，获得属性重构后数据；
所述感知单元，用于基于所述重构后数据对所述能源电商网络进行网络安全态势感知；当感知到存在网络攻击特征事件时，对所述网络攻击特征事件进行特征提取，包括：分离恶意节点和其他节点；从所述恶意节点出发，提取所有可能的网络基本事件类型；计算所述恶意节点到所述其他节点的最远距离；分析各个网络攻击特征事件中的环信息和事件的时序信息，提取有环事件序列信息和一般事件序列信息，封装所述有环事件序列信息和所述一般事件序列信息，并将所述有环事件序列信息和所述一般事件序列信息存储至消息队列；
所述感知单元包括：第一获得单元、第二获得单元和评估单元；
所述第一获得单元，用于基于所述结构重构后数据获得结构重构误差；
所述第二获得单元，用于基于所述属性重构后数据获得属性重构误差；
所述评估单元，用于基于所述结构重构误差和所述属性重构误差，对所述能源电商网络进行攻击者威胁评估。
3.一种电子设备，其特征在于，所述电子设备包括至少一个处理器、以及与所述处理器连接的至少一个存储器、总线；其中，所述处理器、所述存储器通过所述总线完成相互间的通信；所述处理器用于调用所述存储器中的程序指令，以执行如权利要求1所述的基于图神经网络的网络安全态势感知方法。
4.一种计算机可读存储介质，其上存储有程序，其特征在于，所述程序被处理器执行时实现如权利要求1所述的基于图神经网络的网络安全态势感知方法。
CN202111068381.3A 2021-09-13 2021-09-13 基于图神经网络的网络安全态势感知方法及相关设备 Active CN113783876B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111068381.3A CN113783876B (zh) 2021-09-13 2021-09-13 基于图神经网络的网络安全态势感知方法及相关设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111068381.3A CN113783876B (zh) 2021-09-13 2021-09-13 基于图神经网络的网络安全态势感知方法及相关设备

Publications (2)

Publication Number Publication Date
CN113783876A CN113783876A (zh) 2021-12-10
CN113783876B true CN113783876B (zh) 2023-10-03

Family

ID=78843210

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111068381.3A Active CN113783876B (zh) 2021-09-13 2021-09-13 基于图神经网络的网络安全态势感知方法及相关设备

Country Status (1)

Country Link
CN (1) CN113783876B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115086359B (zh) * 2022-04-28 2023-05-16 广东电网有限责任公司 电力物联网安全态势的异常预测方法、装置、电子设备
CN115834174B (zh) * 2022-11-15 2023-06-09 北京天融信网络安全技术有限公司 基于时序图神经网络的网络安全态势预测方法和装置

Citations (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107995162A (zh) * 2017-10-27 2018-05-04 深信服科技股份有限公司 网络安全感知系统、方法及可读存储介质
CN108960345A (zh) * 2018-08-08 2018-12-07 广东工业大学 一种遥感图像的融合方法、系统及相关组件
CN109446341A (zh) * 2018-10-23 2019-03-08 国家电网公司 知识图谱的构建方法及装置
US10499081B1 (en) * 2018-06-19 2019-12-03 Sony Interactive Entertainment Inc. Neural network powered codec
CN110647900A (zh) * 2019-04-12 2020-01-03 中国人民解放军战略支援部队信息工程大学 基于深度神经网络的安全态势智能预测方法、装置及系统
CN110717049A (zh) * 2019-08-29 2020-01-21 四川大学 一种面向文本数据的威胁情报知识图谱构建方法
EP3633990A1 (en) * 2018-10-02 2020-04-08 Nokia Technologies Oy An apparatus, a method and a computer program for running a neural network
CN111245673A (zh) * 2019-12-30 2020-06-05 浙江工商大学 一种基于图神经网络的sdn时延感知方法
US10812992B1 (en) * 2019-09-02 2020-10-20 Bao Tran Cellular system
WO2020253933A1 (en) * 2019-06-17 2020-12-24 Wärtsilä Netherlands B.V. Apparatus and computer implemented method for detecting anomaly in marine vessel data system using neural network
CN112925920A (zh) * 2021-03-23 2021-06-08 西安电子科技大学昆山创新研究院 一种智慧社区大数据知识图谱网络社团检测方法
CN113220897A (zh) * 2021-04-29 2021-08-06 天津大学 基于实体-关系关联图的知识图谱嵌入模型
CN113254675A (zh) * 2021-07-16 2021-08-13 国网电子商务有限公司 基于自适应少样本关系抽取的知识图谱构建方法
CN113783874A (zh) * 2021-09-10 2021-12-10 国网电子商务有限公司 基于安全知识图谱的网络安全态势评估方法及系统

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB201714917D0 (en) * 2017-09-15 2017-11-01 Spherical Defence Labs Ltd Detecting anomalous application messages in telecommunication networks
WO2020050498A1 (ko) * 2018-09-04 2020-03-12 씨드로닉스㈜ 이미지 세그멘테이션을 이용한 주변 환경 감지 방법 및 장치

Patent Citations (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107995162A (zh) * 2017-10-27 2018-05-04 深信服科技股份有限公司 网络安全感知系统、方法及可读存储介质
US10499081B1 (en) * 2018-06-19 2019-12-03 Sony Interactive Entertainment Inc. Neural network powered codec
CN108960345A (zh) * 2018-08-08 2018-12-07 广东工业大学 一种遥感图像的融合方法、系统及相关组件
EP3633990A1 (en) * 2018-10-02 2020-04-08 Nokia Technologies Oy An apparatus, a method and a computer program for running a neural network
CN109446341A (zh) * 2018-10-23 2019-03-08 国家电网公司 知识图谱的构建方法及装置
CN110647900A (zh) * 2019-04-12 2020-01-03 中国人民解放军战略支援部队信息工程大学 基于深度神经网络的安全态势智能预测方法、装置及系统
WO2020253933A1 (en) * 2019-06-17 2020-12-24 Wärtsilä Netherlands B.V. Apparatus and computer implemented method for detecting anomaly in marine vessel data system using neural network
CN110717049A (zh) * 2019-08-29 2020-01-21 四川大学 一种面向文本数据的威胁情报知识图谱构建方法
US10812992B1 (en) * 2019-09-02 2020-10-20 Bao Tran Cellular system
CN111245673A (zh) * 2019-12-30 2020-06-05 浙江工商大学 一种基于图神经网络的sdn时延感知方法
CN112925920A (zh) * 2021-03-23 2021-06-08 西安电子科技大学昆山创新研究院 一种智慧社区大数据知识图谱网络社团检测方法
CN113220897A (zh) * 2021-04-29 2021-08-06 天津大学 基于实体-关系关联图的知识图谱嵌入模型
CN113254675A (zh) * 2021-07-16 2021-08-13 国网电子商务有限公司 基于自适应少样本关系抽取的知识图谱构建方法
CN113783874A (zh) * 2021-09-10 2021-12-10 国网电子商务有限公司 基于安全知识图谱的网络安全态势评估方法及系统

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
WEB:一种基于网络嵌入的互联网借贷欺诈预测方法;王成等;《大数据》;第5卷(第06期);全文 *
基于图神经网络的动态网络异常检测算法;郭嘉琰等;《软件学报》;第31卷(第03期);全文 *
基于深度自编码器的网络安全态势预测;张生顺;《信息安全研究》;第5卷(第7期);第644-647页 *
应用深度自编码网络的网络安全态势评估;张玉臣，张任川，刘璟，汪永伟;《计算机工程与应用》;第56卷(第6期);第92-98页 *

Also Published As

Publication number Publication date
CN113783876A (zh) 2021-12-10

Similar Documents

Publication Publication Date Title
Wu et al. Network attacks detection methods based on deep learning techniques: a survey
Yang et al. An improved ELM-based and data preprocessing integrated approach for phishing detection considering comprehensive features
CN113783876B (zh) 基于图神经网络的网络安全态势感知方法及相关设备
Stefanidis et al. An HMM-based anomaly detection approach for SCADA systems
CN113783874B (zh) 基于安全知识图谱的网络安全态势评估方法及系统
Barzegar et al. Attack scenario reconstruction using intrusion semantics
Thuraisingham et al. A data driven approach for the science of cyber security: Challenges and directions
CN111600919A (zh) 基于人工智能的web检测方法和装置
CN115080756B (zh) 一种面向威胁情报图谱的攻防行为和时空信息抽取方法
US11663329B2 (en) Similarity analysis for automated disposition of security alerts
Sithungu et al. Gaainet: A generative adversarial artificial immune network model for intrusion detection in industrial iot systems
Dave et al. DDoS detection at fog layer in internet of things
Zakariyya et al. Towards a robust, effective and resource efficient machine learning technique for IoT security monitoring
Li et al. Deep learning algorithms for cyber security applications: A survey
Soman et al. A comprehensive tutorial and survey of applications of deep learning for cyber security
Kheddar et al. Deep transfer learning for intrusion detection in industrial control networks: A comprehensive review
Njilla et al. Internet of Things anomaly detection using machine learning
Ji et al. Nestedgnn: Detecting malicious network activity with nested graph neural networks
KR102307632B1 (ko) 적대적 재귀 오토인코더 기반 기업정보시스템 사용자 이상행위 탐지 시스템 및 방법
Soni et al. Deep Learning Approach for Detection of Fraudulent Credit Card Transactions
Zamfira et al. Developing an ontology of cyber-operations in networks of computers
Ren et al. Smart contract vulnerability detection based on a semantic code structure and a self-designed neural network
Bera Modcgan: a multimodal approach to detect new malware
Hoang et al. An efficient IDS using FIS to detect DDoS in IoT networks
Cheng et al. Correlate the advanced persistent threat alerts and logs for cyber situation comprehension

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information
CB02 Change of applicant information

Address after: 100053 room 8018, 8 / F, building 7, Guangyi street, Xicheng District, Beijing

Applicant after: State Grid Digital Technology Holdings Co.,Ltd.

Applicant after: State Grid E-Commerce Technology Co.,Ltd.

Address before: 311 guanganmennei street, Xicheng District, Beijing 100053

Applicant before: STATE GRID ELECTRONIC COMMERCE Co.,Ltd.

Applicant before: State Grid E-Commerce Technology Co.,Ltd.

GR01 Patent grant
GR01 Patent grant