CN114301796A - 预测态势感知的验证方法、装置及系统 - Google Patents

Abstract

本发明提供了一种预测态势感知的验证方法、装置及系统，涉及网络安全技术领域。所述处理方法包括步骤：基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对预测防御对象调取对应的防御方案进行防御；获取进行防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象；判断预测防御对象和再预测防御对象是否匹配；在匹配时，判定防御方案为无效防御方案，获取防御方案与防御对象的映射关系。本发明基于态势感知系统对网络环境信息进行分析和预测，获取预测防御对象和再预测防御对象，通过判定二者是否匹配，验证防御方案与防御对象的映射关系是否准确，以保障网络安全的精准防御。

Description

预测态势感知的验证方法、装置及系统

技术领域

本发明涉及网络安全技术领域，尤其涉及预测态势感知的验证方法。

背景技术

态势感知系统是通过对数据的采集和整理，进而对当前的网络以及未来将出现的可能性威胁进行判断和预警，并且给出分析报告，帮助企业做好网络安全的防范措施。相对于传统的网络安全设施，态势感知系统是建立在大量的数据收集论证的基础上，因此判断的处理结果会更加精确有效。

所述态势感知系统中包括有态势感知模型和态势感知数据库。这使得在实际操作中存在态势感知模型和态势感知数据库是由两个批次的人员进行维护的可能性。这使得态势感知系统中负责管理模型的人员和负责维护数据库的人员是两批人，且二者在分别更新了模型和数据库之后，存在无备案、无沟通，也未更新映射关系的情形，从而造成了态势感知系统中的模型和数据库之间相互不匹配的情况。

为此，提供一种预测态势感知的验证方法、装置及系统，以基于态势感知系统对网络环境信息进行分析和预测，获取预测防御对象和再预测防御对象，通过判定二者是否匹配，验证防御方案与防御对象的映射关系是否准确，以保障网络安全的精准防御，是当前亟需解决的技术问题。

发明内容

本发明的目的在于：克服现有技术的不足，提供一种预测态势感知的验证方法、装置及系统，本发明能够基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对前述预测防御对象调取预设防御方案数据库中对应的防御方案进行防御；获取进行前述防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象；判断前述预测防御对象和再预测防御对象是否匹配；在匹配时，判定前述防御方案为无效防御方案，获取防御方案数据库中前述防御方案与防御对象的映射关系，判断前述映射关系中的防御对象是否为前述预测防御对象。

为解决现有的技术问题，本发明提供了如下技术方案：

一种预测态势感知的验证方法，其特征在于包括步骤,

基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对前述预测防御对象调取预设防御方案数据库中对应的防御方案进行防御；

获取进行前述防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象；

判断前述预测防御对象和再预测防御对象是否匹配；

在匹配时，判定前述防御方案为无效防御方案，获取防御方案数据库中前述防御方案与防御对象的映射关系，判断前述映射关系中的防御对象是否为前述预测防御对象。

进一步，所述预测防御对象是指基于态势感知系统的分析能力，预测出网络环境中的防御对象；所述预测防御对象包括网络节点、系统进程和程序指令。

进一步，所述再预测防御对象是指基于前述态势感知系统进行分析和防御，并对执行前述防御操作后，通过态势感知系统进行再次分析和预测得到的预测防御对象；所述再预测防御对象包括网络节点、系统进程和程序指令。

进一步，判断前述映射关系中的防御对象不是前述预测防御对象时，调整前述防御对象和防御方案的对应关系以重建映射关系后，更新前述防御方案数据库。

进一步，包括步骤，获取前述防御对象受到的攻击特征，和对应原有映射关系的防御方案；从前述防御方案中提取对应的防御特征；比对前述攻击特征和防御特征是否对应；不对应时，判定所述原有映射关系错误，此时调整前述防御对象和防御方案的映射关系，以进行映射关系重建。

进一步，对重建后的映射关系进行验证，所述验证能够在模拟防御情形中，针对获取的防御对象，基于前述重建后的映射关系，调取防御方案进行模拟防御，以验证重建后的映射关系是否正确。

进一步，所述调整是指基于前述防御对象受到的攻击特征，在防御方案数据库中查找对应前述攻击特征的防御方案，并重新建立前述防御对象与前述防御方案的对应关系。

进一步，所述攻击特征包括前述网络环境信息发生变化时，结合网络环境中的告警信息，提取得到针对前述防御对象的攻击特征。

一种预测态势感知的验证装置，其特征在于包括结构：

第一防御单元，用以基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对前述预测防御对象调取预设防御方案数据库中对应的防御方案进行防御；

第二防御单元，用以获取进行前述防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象；

信息判断单元，用以判断前述预测防御对象和再预测防御对象是否匹配；

信息匹配单元，用以在匹配时，判定前述防御方案为无效防御方案，获取防御方案数据库中前述防御方案与防御对象的映射关系，判断前述映射关系中的防御对象是否为前述预测防御对象。

一种预测态势感知的验证系统，其特征在于包括：

网络节点，用于收发数据；

态势感知系统，定期检测出现过告警的网络节点，将前述网络节点的日志信息进行安全分析；

系统服务器，所述系统服务器连接网络节点和态势感知系统；

所述系统服务器被配置为：基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对前述预测防御对象调取预设防御方案数据库中对应的防御方案进行防御；获取进行前述防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象；判断前述预测防御对象和再预测防御对象是否匹配；在匹配时，判定前述防御方案为无效防御方案，获取防御方案数据库中前述防御方案与防御对象的映射关系，判断前述映射关系中的防御对象是否为前述预测防御对象。

基于上述优点和积极效果，本发明的优势在于：基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对前述预测防御对象调取预设防御方案数据库中对应的防御方案进行防御；获取进行前述防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象；判断前述预测防御对象和再预测防御对象是否匹配；在匹配时，判定前述防御方案为无效防御方案，获取防御方案数据库中前述防御方案与防御对象的映射关系，判断前述映射关系中的防御对象是否为前述预测防御对象。

进一步，判断前述映射关系中的防御对象不是前述预测防御对象时，调整前述防御对象和防御方案的对应关系以重建映射关系后，更新前述防御方案数据库。

进一步，包括步骤，获取前述防御对象受到的攻击特征，和对应原有映射关系的防御方案；从前述防御方案中提取对应的防御特征；比对前述攻击特征和防御特征是否对应；不对应时，判定所述原有映射关系错误，此时调整前述防御对象和防御方案的映射关系，以进行映射关系重建。

进一步，对重建后的映射关系进行验证，所述验证能够在模拟防御情形中，针对获取的防御对象，基于前述重建后的映射关系，调取防御方案进行模拟防御，以验证重建后的映射关系是否正确。

附图说明

图1为本发明实施例提供的一个流程图。

图2为本发明实施例提供的另一个流程图。

图3为本发明实施例提供的装置的结构示意图。

图4为本发明实施例提供的系统的结构示意图。

附图标记说明：

装置200，第一防御单元201，第二防御单元202，信息判断单元203，信息匹配单元204；

系统300，网络节点301，态势感知系统302，系统服务器303。

具体实施方式

以下结合附图和具体实施例对本发明公开的一种预测态势感知的验证方法、装置及系统作进一步详细说明。应当注意的是，下述实施例中描述的技术特征或者技术特征的组合不应当被认为是孤立的，它们可以被相互组合从而达到更好的技术效果。在下述实施例的附图中，各附图所出现的相同标号代表相同的特征或者部件，可应用于不同实施例中。因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

需说明的是，本说明书所附图中所绘示的结构、比例、大小等，均仅用以配合说明书所揭示的内容，以供熟悉此技术的人士了解与阅读，并非用以限定发明可实施的限定条件，任何结构的修饰、比例关系的改变或大小的调整，在不影响发明所能产生的功效及所能达成的目的下，均应落在发明所揭示的技术内容所能涵盖的范围内。本发明的优选实施方式的范围包括另外的实现，其中可以不按所述的或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。

实施例

参见图1所示，为本发明提供的一个流程图。所述方法的实施步骤S100如下：

S101，基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对前述预测防御对象调取预设防御方案数据库中对应的防御方案进行防御。

所述态势感知系统可以整合防病毒软件、防火墙、入侵监测系统、安全审计系统等多个数据信息系统，以实现目前网络环境情况的评估，以及，前述网络环境未来变化趋势的预测。

所述网络环境信息涉及与网络环境相关的数据信息，包括但不限制于用户首次访问时间、用户访问次数、当前时间下用户的操作类型和控制用户的访问速率等。

所述预测防御对象是指基于态势感知系统的分析能力，并根据前述分析和预测，对应网络环境未来变化趋势，得出网络环境中的防御对象。

所述预测防御对象可以是网络节点、系统进程、程序指令，也可以是硬件设备故障，还可以是软件系统故障，例如网络端口、网络板卡网络环路、广播风暴、流量占用、病毒等。

其中，网络节点，是指处于网络环境中具有独立网络地址和数据处理功能的终端，所述的数据处理功能包括但不限于传送数据、接收数据和/或分析数据的功能。

所述网络节点可以是工作站、客户、网络用户或个人计算机，也可以是服务器、打印机和其他网络连接的设备。

需要说明的是，在整个网络环境中包括有多个网络节点，这些网络节点通过通信线路连接，形成网络拓扑结构。

S102，获取进行前述防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象。

所述再预测防御对象是指基于前述态势感知系统进行分析和防御，并对执行前述防御操作后，通过态势感知系统进行再次分析和预测得到的预测防御对象。

所述再预测防御对象可以是网络节点、系统进程、程序指令，也可以是硬件设备故障，还可以是软件系统故障，例如网络端口、网络板卡网络环路、广播风暴、流量占用、病毒等。

需要说明的是，所述态势感知系统的分析和预测可以是基于时间轴的态势感知分析和预测，也可以是基于事件发生趋势的态势感知分析和预测。

S103，判断前述预测防御对象和再预测防御对象是否匹配。

在本实施例的优选实施方式中，当前述预测防御对象和再预测防御对象匹配时，导致前述防御为无效防御方案的可能情形包括防御对象和防御方案的对应关系错误，即防御对象和防御方案的映射关系错误。

从而，导致基于态势感知系统获得预测防御对象时，对应预测防御对象的防御方案与预测防御对象不匹配，使得态势感知系统没能实现对预测防御对象的准确防御。

同时，前述预测防御对象和再预测防御对象匹配时，又造成了再预测防御对象与预测防御对象一致的情形，使得网络环境中的预测防御对象始终为同一个防御对象，导致态势感知系统的分析和预测止步不前，造成网络资源的浪费。

为此，在判定前述预测防御对象和再预测防御对象匹配时，执行步骤S104。

S104，在匹配时，判定前述防御方案为无效防御方案，获取防御方案数据库中前述防御方案与防御对象的映射关系，判断前述映射关系中的防御对象是否为前述预测防御对象。

所述映射关系是指防御对象和防御方案之间的对应关系。

所述映射关系包括预设的映射关系和重建后的映射关系。

所述预设的映射关系，即原有映射关系，是指预先设置的防御对象和防御方案的对应关系，即从前述防御方案数据库中获取的防御方案与防御对象的映射关系。

所述重建后的映射关系是指当预设的映射关系中的防御对象和防御方案的对应关系不匹配时，调整前述防御对象和防御方案的对应关系，以重建前述防御对象和防御方案的对应关系。

值得说明的是，在判断前述原有映射关系中的防御对象是否为前述预测防御对象的过程中，当判定前述防御对象是前述防御对象时，表示前述映射关系正确，此时，无须调整前述防御对象和防御方案的映射关系；否则，则需要调整前述防御对象和防御方案的映射关系。

优选的，所述预测防御对象是指基于态势感知系统的分析能力，预测出网络环境中的防御对象；所述预测防御对象包括网络节点、系统进程和程序指令。

优选的，所述再预测防御对象是指基于前述态势感知系统进行分析和防御，并对执行前述防御操作后，通过态势感知系统进行再次分析和预测得到的预测防御对象；所述再预测防御对象包括网络节点、系统进程和程序指令。

优选的，判断前述映射关系中的防御对象不是前述预测防御对象时，调整前述防御对象和防御方案的对应关系以重建映射关系后，更新前述防御方案数据库。

参见图2所示，为本发明提供的另一个流程图。所述方法的实施步骤S110如下：

S111，获取前述防御对象受到的攻击特征，和对应原有映射关系的防御方案；从前述防御方案中提取对应的防御特征。

所述攻击特征包括但不限制于网络报文嗅探、IP地址欺骗、密码攻击、拒绝服务攻击、分布式拒绝服务等。

S112，比对前述攻击特征和防御特征是否对应。

当前述攻击特征和防御特征对应匹配时，意味着原有映射关系正确，此时，无须调整前述防御对象和防御方案的映射关系；否则，执行步骤S113。

S113，不对应时，判定所述原有映射关系错误，此时调整前述防御对象和防御方案的映射关系，以进行映射关系重建。

优选的，对重建后的映射关系进行验证，所述验证能够在模拟防御情形中，针对获取的防御对象，基于前述重建后的映射关系，调取防御方案进行模拟防御，以验证重建后的映射关系是否正确。

值得说明的是，当重建后的映射关系正确时，结束该防御对象与防御方案的映射关系的对应；否则，可以优选继续执行前述实施步骤S110，直到得出重建后的映射关系是正确的结论。

优选的，所述调整是指基于前述防御对象受到的攻击特征，在防御方案数据库中查找对应前述攻击特征的防御方案，并重新建立前述防御对象与前述防御方案的对应关系。

优选的，所述攻击特征包括前述网络环境信息发生变化时，结合网络环境中的告警信息，提取得到针对前述防御对象的攻击特征。

所述告警是一种用于传递告警信息的事件报告，简称告警。它可以由生产厂商定义好，也可以由网管人员结合网络中的告警进行定义。

其中，所述告警可以划分为紧急告警和非紧急告警，判定为紧急告警时，对对应的网络节点进行安全防御，断开前述网络节点的网络访问，对网络节点所在的网络环境进行故障处理。

所述紧急告警能够对告警中突然发生的异常数据进行报警，所述异常数据可以是异常操作、异常行为、异常数值等。所述紧急告警可以在态势感知系统基于告警数据进行分析后得出，并能够提供显示异常数据的指针；所述非紧急告警是指除紧急告警之外的其它告警情形。

所述故障处理针对网络环境中出现的故障进行排查，包括步骤：观察、描述故障现象，收集可能产生故障原因的信息；分析故障的原因，并制定解决方案；逐一实施解决方案，记录故障排查过程，直至网络恢复正常。

可选的，在进行数据监控时，所述态势感知系统同时可以对发生告警的网络节点中未触发告警的端口、IP地址和/或IP网段进行监控，并对所述端口、IP地址和/或IP网段采取多路复用方式进行通信。

可选的，在进行前述验证操作时，将产生的验证信息存储在验证信息数据库中，该数据库中存储有不可更改的多个验证信息，每个被使用过的验证信息都会生成对应的验证日志，用以排查和追溯。

可选的，对前述验证信息的使用情况进行记录，设置前述验证信息的使用次数，当前述验证信息达到预设的使用次数时，对前述验证信息进行更新，并将更新后的验证信息存储在验证信息数据库中。

其它技术特征参考在前实施例，在此不再赘述。

参见图3所示，本发明还给出了一个实施例，提供了一种预测态势感知的验证装置200，其特征在于包括结构：

第一防御单元201，用以基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对前述预测防御对象调取预设防御方案数据库中对应的防御方案进行防御。

第二防御单元202，用以获取进行前述防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象。

信息判断单元203，用以判断前述预测防御对象和再预测防御对象是否匹配。

信息匹配单元204，用以在匹配时，判定前述防御方案为无效防御方案，获取防御方案数据库中前述防御方案与防御对象的映射关系，判断前述映射关系中的防御对象是否为前述预测防御对象。

此外，参见图4所示，本发明还给出了一个实施例，提供了一种预测态势感知的验证系统300，其特征在于包括：

网络节点301，用于收发数据。

态势感知系统302，定期检测出现过告警的网络节点，将前述网络节点的日志信息进行安全分析。

所述的定期检测可以设置检测时间、检测时间周期和定期检测的项目。

所述定期检测的项目包括但不限于网页防篡改，进程异常行为，异常登录，敏感文件篡改，恶意进程，异常网络连接，异常账号，应用入侵事件，病毒检测，Web应用威胁检测，恶意脚本等。

系统服务器303，所述系统服务器303连接网络节点301和态势感知系统302。

所述系统服务器303被配置为：基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对前述预测防御对象调取预设防御方案数据库中对应的防御方案进行防御；获取进行前述防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象；判断前述预测防御对象和再预测防御对象是否匹配；在匹配时，判定前述防御方案为无效防御方案，获取防御方案数据库中前述防御方案与防御对象的映射关系，判断前述映射关系中的防御对象是否为前述预测防御对象。

其它技术特征参见在前实施例，在此不再赘述。

在上面的描述中，在本公开内容的目标保护范围内，各组件可以以任意数目选择性地且操作性地进行合并。另外，像“包括”、“囊括”以及“具有”的术语应当默认被解释为包括性的或开放性的，而不是排他性的或封闭性，除非其被明确限定为相反的含义。所有技术、科技或其他方面的术语都符合本领域技术人员所理解的含义，除非其被限定为相反的含义。在词典里找到的公共术语应当在相关技术文档的背景下不被太理想化或太不实际地解释，除非本公开内容明确将其限定成那样。

虽然已出于说明的目的描述了本公开内容的示例方面，但是本领域技术人员应当意识到，上述描述仅是对本发明较佳实施例的描述，并非对本发明范围的任何限定，本发明的优选实施方式的范围包括另外的实现，其中可以不按所述出现或讨论的顺序来执行功能。本发明领域的普通技术人员根据上述揭示内容做的任何变更、修饰，均属于权利要求书的保护范围。

Claims (10)

1.一种预测态势感知的验证方法，其特征在于包括步骤,

基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对前述预测防御对象调取预设防御方案数据库中对应的防御方案进行防御；

获取进行前述防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象；

判断前述预测防御对象和再预测防御对象是否匹配；

在匹配时，判定前述防御方案为无效防御方案，获取防御方案数据库中前述防御方案与防御对象的映射关系，判断前述映射关系中的防御对象是否为前述预测防御对象。

2.根据权利要求1所述的方法，其特征在于，所述预测防御对象是指基于态势感知系统的分析能力，预测出网络环境中的防御对象；所述预测防御对象包括网络节点、系统进程和程序指令。

3.根据权利要求1所述的方法，其特征在于，所述再预测防御对象是指基于前述态势感知系统进行分析和防御，并对执行前述防御操作后，通过态势感知系统进行再次分析和预测得到的预测防御对象；所述再预测防御对象包括网络节点、系统进程和程序指令。

4.根据权利要求1所述的方法，其特征在于，判断前述映射关系中的防御对象不是前述预测防御对象时，调整前述防御对象和防御方案的对应关系以重建映射关系后，更新前述防御方案数据库。

5.根据权利要求4所述的方法，其特征在于，包括步骤，

获取前述防御对象受到的攻击特征，和对应原有映射关系的防御方案；从前述防御方案中提取对应的防御特征；

比对前述攻击特征和防御特征是否对应；

不对应时，判定所述原有映射关系错误，此时调整前述防御对象和防御方案的映射关系，以进行映射关系重建。

6.根据权利要求5所述的方法，其特征在于，对重建后的映射关系进行验证，所述验证能够在模拟防御情形中，针对获取的防御对象，基于前述重建后的映射关系，调取防御方案进行模拟防御，以验证重建后的映射关系是否正确。

7.根据权利要求5所述的方法，其特征在于，所述调整是指基于前述防御对象受到的攻击特征，在防御方案数据库中查找对应前述攻击特征的防御方案，并重新建立前述防御对象与前述防御方案的对应关系。

8.根据权利要求7所述的方法，其特征在于，所述攻击特征包括前述网络环境信息发生变化时，结合网络环境中的告警信息，提取得到针对前述防御对象的攻击特征。

9.一种预测态势感知的验证装置，包括如权利要求1-8中任一项所述的方法，其特征在于包括结构：

第一防御单元，用以基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对前述预测防御对象调取预设防御方案数据库中对应的防御方案进行防御；

第二防御单元，用以获取进行前述防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象；

信息判断单元，用以判断前述预测防御对象和再预测防御对象是否匹配；

信息匹配单元，用以在匹配时，判定前述防御方案为无效防御方案，获取防御方案数据库中前述防御方案与防御对象的映射关系，判断前述映射关系中的防御对象是否为前述预测防御对象。

10.一种预测态势感知的验证系统，包括如权利要求1-8中任一项所述的方法，其特征在于包括：

网络节点，用于收发数据；

态势感知系统，定期检测出现过告警的网络节点，将前述网络节点的日志信息进行安全分析；

系统服务器，所述系统服务器连接网络节点和态势感知系统；

所述系统服务器被配置为：基于态势感知系统对网络环境信息的分析和预测，得到该网络环境中的预测防御对象，对前述预测防御对象调取预设防御方案数据库中对应的防御方案进行防御；获取进行前述防御后的网络环境信息，对网络环境信息进行再次分析和预测，得到网络环境中的再预测防御对象；判断前述预测防御对象和再预测防御对象是否匹配；在匹配时，判定前述防御方案为无效防御方案，获取防御方案数据库中前述防御方案与防御对象的映射关系，判断前述映射关系中的防御对象是否为前述预测防御对象。

Images