一种基于入侵场景的可视化呈现系统

小型微型计算机系统J o u r n a l o f C h i n e s e C o m p u t e r S y s t e m s 2010年10月第10期V o l .31N o .102010 收稿日期:2009-07-13　收修改稿日期:2009-10-14　基金项目:国家自然科学基金项目(60873235)资助;吉林省重点项目-科技支撑计划项目(20080318)资助.　作者简介:杨　昊,男,1983年生,硕士研究生,研究方向为网络安全可视化;努尔布力,男,1982年生,博士研究生,研究方向为网络安全可视化、入侵检测;徐　欢,男,1987年生,研究方向为计算机网络;胡　亮,男,1968年生,博士,教授,博士生导师,研究方向为网络计算与网络安全.一种基于入侵场景的可视化呈现系统杨　昊,努尔布力,徐　欢,胡　亮(吉林大学计算机科学与技术学院,吉林长春130012)E -m a i l :y a n g h a o c c s t @163.c o m摘　要:针对入侵检测系统警报日志传统的分析方法在处理海量信息时存在认知困难、实时交互性不强等问题,提出了基于入侵场景的可视化呈现系统,完成从警报日志到入侵场景的可视化过程,并利用3D 游戏引擎将网络攻击过程在3D 场景中展现出来.目标是使网络分析人员能够在更高层次对网络安全状况有深入的认识,以做出相应判断和应对.通过用户评价和性能测试实验证明其具备可用性并具有较强的可视化能力.关键词:安全可视化;入侵场景;游戏引擎;攻击建模中图分类号:T P 393 文献标识码:A 文章编号:1000-1220(2010)10-2059-06V i s u a l i z a t i o nR e p r e s e n t a t i o n S y s t e m B a s e do nI n t r u s i o nS c e n a r i o sY A N G H a o ,N u r b o l ,X UH u a n ,H U L i a n g(D e p a r t m e n t o f C o m p u t e r S c i e n c e a n dT e c h n o l o g y ,J i l i nU n i v e r s i t y ,C h a n g c h u n 130012,C h i n a )A b s t r a c t :T r a d i t i o n a l a n a l y z i n gm e t h o d s u p o n a l e r t l o g s i ni n t r u s i o nd e t e c t i o ns y s t e m h a v e t h e p r o b l e m s s u c ha s t o o h e a v yc o g n i t i v e b u r d e nu n d e r m a s s i v e i n f o r m a t i o nm a n a g e m e n t a n dp o o r r e a l -t i m e a n d i n t e r a c t i v e a b i l i t y .A v i s u a l i z a t i o n r e p r e s e n t a t i o n s y s t e m b a s e d o n i n t r u s i o n s c e n a r i o s i s p r e s e n t e di nt h i s p a p e r t or e a l i z e v i s u a l i z a t i o nf r o m a l e r t l o g t o a t t a c k s c e n e a n d s h o w t h e p r o c e s s o f n e t w o r k a t t a c ka t 3Ds c e n e w i t ht h e u t i l i z a t i o n o f 3Dg a m e e n g i n e .T h e g o a l i s t o g i v e n e t w o r k a n a l y s t s i n -d e p t h c o g n i t i o nf o r n e t w o r k s e c u r i t y s t a t u s a t h i g h e r l e v e l t ol e t t h e m m a k e p r o p e r d e c i s i o n -m a k i n g a n d r e s p o n s e .Wi t hu s e r e v a l u a t i o na n d p e r f o r m a n c e t e s t o u r s y s t e m i s p r o v e dt oh a v e b o t h u s a b i l i t y a n d s t r o n g v i s u a l i z a t i o n c a p a b i l i t y .K e yw o r d s :s e c u r i t yv i s u a l i z a t i o n ;i n t r u s i o ns c e n a r i o ;g a m ee n g i n e ;a t t a c km o d e l i n g1　引　言当前的入侵检测系统大多是以警报日志的方式记录系统安全状态.网络分析人员通常通过监视和分析相应的日志信息,查找具有安全威胁的警报事件,最后对确定的异常和攻击行为作出响应.在一个大规模网络下入侵检测系统一般一天就会产生数百万条警报,如果网络分析人员使用传统的逐条警报分析的方法显然无法在有限时间内处理全部警报信息.而往往这些警报大多是重复或误报[1].因此这已经成为入侵响应的瓶颈之一.另一方面,由于分析人员关注的常常是单一的警报数据,缺乏对网络整体状态信息的了解,使其很难识别一些大规模、协作式和周期漫长的网络攻击事件.此外,当前入侵检测系统配置越来越复杂、规则库越来越庞大,未经过长期专业训练或拥有丰富安全管理经验的人很难仅凭一些警报信息发现隐含的攻击行为和入侵过程,也就无法对攻击意图和趋势作出预测或者提前进行防范.网络安全可视化[2]是将可视化技术引入网络安全领域而形成的一门新的研究领域.该技术利用人类视觉对模型结构的识别能力,将抽象的网络和系统数据以图形图像方式展现出来,帮助分析人员分析网络状况,识别网络异常和入侵,预测网络安全事件发展趋势[3].网络安全可视化技术不仅能有效解决传统分析方法在处理海量信息时面临的认知负担过重、缺乏对网络安全全局认识、实时和交互性不强、不能对安全事件提前预测和防御等一系列问题,而且通过在人与数据之间实现图像通信,使人们能观察到网络安全数据中隐含模式,为揭示规律和发现潜在安全威胁提供有力支持[4].目前,基于入侵检测技术的网络安全可视化主要以警报日志为研究对象,对警报进行统计分析并以2D /3D 图表形式表现警报数量和分布情况[5-7],但缺乏对警报所包含攻击内容及过程的判断和展现,无法体现攻击事件对网络和系统造成的危害和影响.本文设计并实现了一个基于入侵场景的可视化呈现系统,能将警报日志所包含的攻击信息转换成场景数据,并在3D 虚拟场景中以动画形式将网络攻击过程演示出来.网络分析人员可以通过该场景演示直观了解警报背后的网络安全状况,并做出相应决策;普通用户通过观看演示可迅速了解该网络攻击的过程、原理和所造成的后果,从而对网络攻击有一个全面直观的感性认识,增加网络安全知识和安全防范意识.小　型　微　型　计　算　机　系　统2010年2　相关工作当前,多阶段攻击和协同攻击在黑客攻击中所占比例越来越大.黑客进行一次完整的攻击常常需要实施多个不同性质的入侵步骤,这些入侵步骤就形成了入侵场景.构建入侵场景能够为安全分析人员提供黑客攻击过程的高层视图,直观了解黑客攻击行为和攻击意图.以往对入侵场景的研究[8,9]主要侧重于通过警报分析处理生成抽象的代表攻击步骤的2D攻击图,而入侵场景呈现技术将各个攻击阶段置于3D虚拟场景中,力求通过生动形象的场景演示反映黑客入侵网络和系统的实际过程.用户通过观看演示认知黑客攻击行为,要远比提供抽象的警报数据和攻击图更容易认知和接受,更快地完成从图像到人脑的模式识别过程.作为一项成熟技术,3D游戏引擎为实现该呈现过程提供了有力保证.应用3D技术构建场景本身就具有方便、快速的特点,其强大的表现力和冲击力也是其他工具所无法比拟的.事实证明[10],在加入“呈现”环节的入侵检测和响应过程中,通过选择恰当的场景元素和表现方式完全可以在3D虚拟场景中实现监控和管理目的.近年来,3D可视化技术由于其承载数据量大、表现力丰富,越来越多地被人们所重视和应用.S t e p h e nL a u开发了一个“S p i n n i n gC u b eo f P o t e n t i a l D o o m”软件[11].该软件基于B r oI D S的连接日志,在立方体中使用3D动态绘图实现数据可视化.可视化结果在该立方体中显示,立方体中不同颜色的点表示不同连接状态,而观察重点主要放在未完成连接的点上.该软件的缺点是缺少训练机制,只能回放记录过的B r o连接日志并以灰色显示连接成功部分、彩色显示未完成连接部分.由A b d u l l a h开发的I D SR a i n S t o r m程序[12]能够将I D S警报根据其严重程度映射为不同颜色的圆点,并且能够在同一界面上实现最多163835个I P地址的映射显示.S.Mu s a和D.P a r i s h在使用多种3D警报视图基础上,搭配全球地图实时地显示攻击发生源,并应用基于机器学习的合并分类算法处理警报以降低误报率,较好地解决了误报警对可视化系统的资源占用[13].以上这些可视化工具虽然能很好地表现警报数据,但都缺乏对警报所包含的攻击内容以及过程的判断和展现,无法体现攻击事件对网络和系统造成的影响和危害.为了增强实时交互性和协作能力,人们开始尝试将3D 游戏引擎与可视化系统进行整合并用其作为显示输出端.D.C h a o在2001年开发了一个类似于U n i x进程查看程序的软件-p sD o o m[14].该程序实际上是经典第一人称射击(F P S)游戏D o o m的修改版.此后B.K o t等人基于Q u a k e3游戏引擎通过修改部分源码实现了源码解释程序[15].在Q u a k e3创建的虚拟世界里,用户可以操作一个个代表源码文件的实体模型来查看和处理源码.W.H a r r o p和G.A r m i t a g e则在可视化交互和协作方面取得较大成果[10].他们创建了一个反映当前网络活动和主机状态的虚拟世界.类似于F P S游戏,扮演“骑士”的管理员可以实时查看网络和监控象征主机的“怪物”,并对“怪物”的不同行为(如旋转、跳动等,代表不同网络事件)做出特定动作.该工具的最大突破在于将抽象的网络管理和监控变成了一项富有趣味性的工作,简化了操作过程并加入了多人协同管理的思想.美中不足的是,该原型系统在实际应用中需要定义大量象征性的模型、属性和动作,管理员在使用前需了解各个模型、动作的含义,且管理方法仍仅限于基本操作层面.以上这些3D游戏引擎在可视化领域中的应用仅限于对开源游戏引擎代码的修改和使用游戏内部固化场景和模型,并没有实现针对网络攻击的可视化.本文所使用的游戏开发工具3DG a m e S t u d i o(3D G S)支持3D场景建模和脚本编程,能够快速创建模拟真实攻击过程的3D场景程序,最大限度地实现网络攻击过程的可视化.同时,利用3D G S进行入侵场景开发可以充分重用游戏引擎的所有功能,节省大量开发时间.本系统的入侵场景再现模块主要使用场景建模工具构建入侵场景,在3D G S脚本编程环境下实现攻击演示内容.目前,国内有关安全可视化技术的研究尚处于刚起步阶段,研究内容仅限于对国外已有可视化工具的分析和应用,有很大的发展空间.3　基于入侵场景的可视化呈现系统的设计3.1　系统框架设计目前,基于入侵检测技术的网络安全可视化主要以警报日志为研究对象,对警报本身进行统计分析.本文所设计的基于入侵场景的可视化呈现系统(以下简称入侵场景呈现系统),在对警报进行统计分析基础上进一步挖掘警报背后所包含的攻击信息,并使用3D游戏引擎技术将攻击发生过程演示出来.首先给出场景呈现过程中几种数据类型的定义:(1)警报关键信息:通过解析警报数据提取的重要数据段,包含时间戳、源/目的地址等核心数据内容;(2)攻击数据:在入侵场景模式库中定义的攻击描述信息,每种攻击类型对应一条攻击描述信息,包含攻击各阶段内容、攻击目标等;(3)场景数据:警报关键信息和攻击数据的总和,保存在场景配置文件中.图1　入侵场景呈现系统框架F i g.1　I n t r u s i o ns c e n a r i o r e p r e s e n t a t i o nv i s u a l i z a t i o nf r a m e w o r k本文采用分布式S n o r t系统作为场景呈现的数据源,将入侵场景呈现系统设计为该系统中“分析员控制层”的控制台之一.系统的主要思想是,通过读取和分析S n o r t警报日志206010期杨　昊等:一种基于入侵场景的可视化呈现系统文件,对其进行解析并格式化以获取警报关键信息,将其中的攻击类型信息通过查询“入侵场景模式库”得到具体的攻击描述并创建场景配置文件,然后将场景数据中的攻击数据映射到相应的场景演示接口,进而在3D 场景中通过调用3D G S 游戏引擎将攻击过程展现出来.因此,入侵场景呈现系统主要由三个模块,即警报文件解析、场景分析转换、入侵场景再现以及入侵场景模式库组成(如上页图1).各模块通过解析、转换、展现三步完成了从警报数据到入侵场景的转化过程.下面详细介绍各模块的设计过程.3.2　子模块设计3.2.1　警报文件解析模块警报文件解析模块主要负责读取由S n o r t 检测分析引擎得到的警报日志文件,对警报内容解释分析,使用按标识符匹配的字符串分析算法获取包括时间戳、协议类型、源/目的地址等数据段在内的警报关键信息,并以一个新的数据结构存储.然后将其交给场景分析转换模块处理.具体的解析处理流程如图2所示(见右).3.2.2　场景分析转换模块场景分析转换模块主要负责生成场景数据和建立配置文件.(1)场景数据是通过攻击信息查询入侵场景模式库得到的.入侵场景模式库中每种攻击类型主要包含两部分内容,攻击信息关键字和攻击数据.其中,攻击信息关键字是该攻击类型对应在警报消息内容中的一段特征字符串,该字符串唯一对应一类攻击的警报消息,比如对于L a n d 攻击,警报消息中的“s a m e S R C /D S T ”就是攻击信息关键字.给定一条警报的消息内容,可以通过查找入侵场景模式库中各攻击类型对应的攻击信息关键字与其进行字符串匹配,找到对应的攻击数据.如果未匹配成功,则可能是出现未定义或未知攻击类型.当所有警报都完成攻击类型匹配,即可得到各攻击类型对应的攻击阶段信息和警报数目,并将统计结果输出显示到警报分类列表中.(2)根据攻击数据和警报关键信息就可以创建场景配置文件.该文件使用赋值表达式保存场景数据的具体值.这里定义了11种场景数据变量,包括时间戳(T i m e )、协议类型(P r o -t o c o l )、源I P (S r c I P )、源端口号(S r c P o r t )、目的I P (D e s t I P )、目的端口号(D e s t P o r t )、攻击类型(A t t a c k T y p e )、攻击阶段(A t -t a c k S t a g e )、持续时间(T o t a l T i m e )、演示视角坐标(C a m e r a P -o s )和演示视角方向(C a m e r a D i r ),其中后五个变量属于攻击数据,用于指导具体的场景演示过程和风格,其余变量属于警报关键信息,作为提示性内容出现在演示窗口中.所有场景数据将被提交至入侵场景再现模块,作为场景演示的唯一依据.3.2.3　入侵场景再现模块入侵场景再现模块的任务是通过读取场景配置文件,获取场景演示所必需的数据信息,然后在由3D 游戏引擎生成得3D 虚拟场景中,根据配置文件提供的攻击数据,就可以调用各攻击阶段对应的场景演示接口来实现一次攻击再现过程.例如,对于S Y NF l o o d 攻击,其配置文件中A t t a c k S t a g e (攻击阶段)为{S c a n ,S t a r t S Y N F l o o d ,F i n i s h },那么就需要调用演示接口库里的演示函数s c a n ()、s t a r t s y n f l o o d (),f i n i s h ().其流程见图3所示.演示接口库是实现了一组攻击阶段对应场景动画演示的函数集合.该接口库使用3D 游戏引擎的脚本语言开发,并实现了一系列生动体现D o S 攻击过程的演示函数接口,由于不同的演示函数对应不同攻击阶段,因此不同类型攻击的场景演示调用演示接口也不同.如果需要加入新的攻击类型和攻击阶段,可以通过向演示接口库中添加新的演示接口来支持更多的攻击演示.基于复用性的考虑,这里还构建了一个演示框架,用于实现各实体行为控制、场景环境自动更新和2D 界面控制等通用功能,以使所有攻击演示过程的风格统一、易于控制并提高模块的可维护性.图2　警报解析流程F i g .2　A l e r t a n a l y s i s f l o w图3　场景再现流程F i g .3　S c e n e d i s p l a yf l o w 为了使演示过程更加生动逼真,本文设计了一个模拟小型局域网的3D 虚拟场景,其中服务器和一些客户机以星型和环型混合的拓扑结构相互连结.而黑客机器位于该局域网外部,通过对服务器进行拒绝服务攻击以达到网络堵塞和使服务器瘫痪的目的.为了简化用户从视觉到思维的识别过程,还需提供一些常见且易于接受和理解的表现方式来完成场景呈现的可视化过程.通过对网络攻击特点进行研究分析,我们将可视化对象分为三类:实体、实体属性和行为.其各自含义为:(1)实体:攻击活动中的基本要素,如黑客、目标机器.(2)实体属性:实体本身的角色、类型和状态,如I P 数据包、I C MP 数据包.(3)行为:不同攻击阶段中实体的具体动作,如扫描,发送恶意数据包.在实际场景中,可视化对象被映射成具体的模型或模型动作,它们统称为场景元素.入侵场景中各元素映射所用形象都采用人们所熟知或容易理解的实体模型.在实体和实体属性映射方面,黑客机器和目标机器用“台式计算机”模型表示,而黑客机与其它机器的区别是其机身是黑色的;数据包用小的立方体表示,不同类型数据报对应立方体的颜色也不同;在不同攻击阶段,目标机通过机身颜色变化来表示其所处状态和危险程度.在行为映射方面,黑客机和目标机在不同攻击阶段的行为通过执行特定动作来体现.例如,扫描网络主机或发送控制指令时黑客机将向其它机器发射粒子光束,光束的2061小　型　微　型　计　算　机　系　统2010年颜色变化决定了传输内容;目标机爆炸表示其受到攻击后瘫痪;各机器发送数据包可表现为代表数据包的立方体从一台机器飞向另一台机器,等等.在演示过程中,还需要通过场景窗口向分析人员提供一些必要的攻击数据信息,以提示当前攻击状态、攻击阶段等信息.从实现角度讲这些信息也可以加入到3D 场景之中,但容易造成用户界面的混乱和辨认困难[16].因此,在不影响整个攻击过程演示的前提下将其加入到2D 场景界面上,这样无论演示内容和用户视角如何变化,它们都会在固定位置实时地显示更新.这些信息内容包括:(1)攻击阶段内容:指示当前攻击阶段名称和本阶段攻击目标;(2)攻击详细信息:显示黑客机、目标机和网络当前的状态和正在进行的动作;(3)相关参数:包含指示当前攻击行为的警报的关键数据,如时间戳、使用协议、源/目的地址等.此外,为了使场景演示过程更具表现力,场景中还加入了计时器(指示当前攻击活动所用时间)、环境亮度和色调变化以及背景音乐(指示当前攻击状态)等功能.3.2.4　入侵场景模式库入侵场景呈现系统的核心功能是对网络攻击过程的展现,而展现的内容就是由存储攻击信息的知识库—入侵场景模式库提供.构建入侵场景模式库的首要工作是对网络攻击进行建模.由于网络攻击具有阶段性特点,因此可转化为对攻击过程的各个阶段建模.该建模过程实际上也是描述网络攻击的过程.本文设计的入侵场景模式库主要包含了将若干网络攻击类型进行建模而得到的一组抽象描述集合和与之相关的场景参数项.各攻击类型对应的步骤描述使用多元组进行抽象表示,场景参数包含了各攻击类型的演示参数(如视角坐标,持续时间).入侵场景呈现系统正是通过查询模式库“认知”指定攻击方式所对应的过程描述,继而通过3D 场景呈现出来.本文重点研究了几种典型的D o S 攻击方式,并建立了由D o S 攻击模型组成的入侵场景模式库,为场景演示奠定知识基础.例如,对于I C MP F l o o d 攻击来说,其攻击原理是,由I C -MPp i n g 产生的大量回应请求超出了目标机的最大限度,以至于系统耗费所有资源来进行响应,其形成的I C MP 洪水导致目标机拒绝服务.通过对网络入侵行为的分析总结[17],I C -MPF l o o d 的攻击过程可归纳为三个阶段:扫描,发动攻击,完成攻击.其抽象描述以一个三元组{S c a n ,S t a r t I C MP F l o o d ,F i n i s h }表示,并以文本文件方式保存在模式库中.各阶段的攻击描述如下:(1)扫描:对目标机进行扫描:探测被攻击主机地址范围、配置、性能和带宽.(2)发动攻击:使用I C MPF l o o d 工具以高速发送大量的I C MP 数据包(内容一般默认是32b y t e s 的E C H O 报文),目标机系统运行和网络连接速度逐渐变慢.(3)完成攻击:目标机瘫痪,无法响应正常的服务请求.由于模式库的大小直接决定可演示攻击类型的数量,因此本文设计的模式库有待加入更多的典型攻击类型,如缓冲区溢出、漏洞攻击和口令破解等类型.另外,使用简单的多元组描述攻击过程有一定局限性,缺乏过程描述的可读性和可扩展性,目前有关使用攻击描述语言构建模式库的研究工作正在进行之中.4　系统测试与评价本文采用D A R P A 1998数据集作为入侵检测评估数据,该数据集覆盖了11种43个拒绝服务攻击(D o S )实例.数据源使用S n o r t 2.7,并配置默认规则(r u l e s )文件.通过S n o r t 传感器监听网络获取A l e r t 日志文件,以此作为系统的输入数据.系统实现使用C++创建主程序并搭配游戏引擎的脚本语言实现演示程序.4.1　实例测试本节以I C MPF l o o d 攻击为例,给出一个完整的入侵场景演示过程.利用S n o r t 监听运行有攻击数据集的网络环境,可得到包含多种拒绝服务攻击警报的A l e r t 日志文件.入侵场景呈现系统读取并解析该文件,提取出代表I C MP 攻击的警报项并显示在“警报详细信息”栏中.选中其中一条警报,点击“打开场景演示窗口”按钮就可以执行该攻击对应的场景演示了(如图4).I C MPF l o o d 攻击演示过程分为4个阶段(如下页图5):(1)初始阶段.此时网络和各主机处于正常状态,用户可在场景中进行漫游.点击“开始演示”按钮进入场景演示.(2)扫描阶段.视角切换到黑客机的位置上.黑客机向目标机发射蓝色粒子光束,进行扫描探测.扫描完成后,目标机机身变为红色.图4　系统主窗口F i g .4　Ma i nw i n d o wo f s y s t e m(3)发动攻击阶段.场景环境的亮度变暗且颜色变为红色缓慢闪烁.黑客机开始向目标机高速发送大量I C M P 数据包造成数据包泛滥.目标机机身和场景环境都快速闪烁红色,带宽条迅速增加.(4)完成攻击阶段.当目标机带宽显示条处于满格状态时,目标机发生爆炸并且机身变黑彻底瘫痪.最后场景环境亮度和颜色恢复正常,演示完毕.206210期杨　昊等:一种基于入侵场景的可视化呈现系统除了I C MPF l o o d ,系统还具有针对S Y N F l o o d 、L a n d 、S m u r f 等D o S 攻击的演示能力.这些攻击都是在该场景下进行演示,且相同攻击阶段(如扫描)使用同一演示方式,体现了场景和脚本代码的高度复用性.当然,网络攻击种类繁多、攻击步骤各不相同,在系统后续开发中,还会加入更多、更复杂的攻击类型对应的场景演示.4.2　系统评价在可视化系统实际应用中,用户体验和系统运行性能是检验可视化工具的两个重要指标,本节从用户评价和性能分析两个角度讨论系统的有效性和可用性.(1)初始阶段B e g i n n i n gp h a s e(2)扫描阶段S c a n p h a s e(3)发动攻击阶段A t t a c kl a u n c hp h a s e(4)完成攻击阶段A t t a c kc o m p l e t i o n p h a s e图5　I C MPF l o o d 攻击演示F i g .5　I C MPf l o o da t t a c kd e m o n s t r a t i o n4.2.1　用户评价作为一种可视化工具,入侵场景呈现系统的最主要功能就是将网络攻击进行场景可视化并将结果呈现给用户,因此用户是可视化过程最重要的参与者,其使用感受和理解程度就决定了系统的实际有效性.本系统在实验室内部进行了用户使用评价测试.依据N i e l s e n 提出的测试方法[18],分别选择了三位拥有丰富I D S 使用和维护经验的用户以及三位没有网络安全相关知识的用户,他们都为自愿参加且从未使用过该系统.在测试之前,我们为所有使用者提供了意见反馈表(包括系统评分和使用心得),并提取了覆盖所有和D o S 攻击相关的S n o r t 警报项作为输入数据.通过在规定时间内试用本系统,所有使用者都能快速学会使用入侵场景呈现系统处理警报信息;对于有经验的用户,能够在A C I D 控制台的警报统计数据基础上通过观看场景演示迅速判断网络安全状况、黑客攻击意图和影响范围;对于没有相关知识的用户,也可以在很短时间内了解D o S 网络攻击的发生过程以及造成的危害和后果,且对相关安全知识记忆深刻.而用户反映的问题主要有可观看的攻击类型比较少、场景元素还不够丰富等方面,这些问题都将在系统未来的版本中加以解决.表1　用户评价得分T a b l e 1　T h e m e s f o r u s e r e v a l u a t i o n评价选项平均值标准差用户界面,友好程度4.670.52易于使用4.830.41交互性4.330.52报告信息量4.670.52过滤无关数据(仅限于经验用户)4.670.58本文参考文献[19]设计了用于评估系统有效性的评分测试,其中分数范围为1～5,1代表最不满意,5代表非常满意,各选项得分使用所有用户在该项上得分的平均值和标准差.根据表1的评分结果可知,所有选项的平均值得分都在4.3以上且标准差小于等于0.58,证明该系统设计较为成功,能够满足多层次用户的实际需要.此外,本文还将该系统与S .Mu s a 的时序3D 警报图[19]的用户评分的平均值结果作比较(对比结果见表2).结果证明在绝大多数特性上入侵场景呈现系统与现有可视化工具相比同样具有良好的可视化能力,并在某些特性上略优于后者.当然,在实际应用中用户完全可以将本系统和其他可视化工具结合使用.表2　可视化工具对比数据T a b l e 2　V i s u a l i z a t i o n t o o l s c o n t r a s t d a t a评价选项入侵场景呈现系统时序3D 警报图用户界面,友好程度4.674.33交互性4.334.67报告信息量4.834.67过滤无关数据(仅限于经验用户)4.674.674.2.2　性能分析除了用户使用评价测试,本文还对系统的性能加以测试.测试机器采用“P e n t i u m 42.0G H z 、1G 内存、128M 独立显卡”的硬件配置和Wi n d o w s X P 操作系统.表3　场景测试结果T a b l e 3　S c e n a r i o t e s t r e s u l t s攻击类型场景初始化时间场景演示时间C P U 平均占用率I C M PF l o o d 4.5s 69.2s 约40%S Y N F l o o d 4.7s 68.7s 约39%L a n d4.6s27.1s约43%由于所有攻击类型对应的演示都是使用同一个3D 场景,故每次演示程序运行时场景初始化的时间均不超过5秒2063。