基于知识发现的网络安全态势感知系统

合集下载

相关主题

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

第３９卷第７期２０１２年７月
计算机科学ＣｏｍｕｔｅｒｃｉｅｎｃｅＳｐ
Ｖｏｌ．３９Ｎｏ．７Ｊｕｌ２０１２ｙ
基于知识发现的网络安全态势感知系统
２２２１王春雷１，方兰王东霞戴一奇１（）清华大学计算机科学与技术系北京１０００８４２（）北京系统工程研究所信息系统安全技术重点实验室北京１００１０１
，ＡｂｓｔｒａｃｔｅｔｗｏｒｋｓｅｃｕｒｉｔａｄｍｉｎｉｓｔｒａｔｏｒｓｎｅｅｄｔｏｏｂｔａｉｎａｎｄａｎａｌｚｅｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎｆｏｒｍａｎａｅｍｅｎｔｍａｉｎＮ－ｙｙｙｇ，，，ｌａｎｎｉｎｕｒｏｓｅｓ．Ｔｈｅｔｅｎａｎｃｅａｎｄｃｏｍｌｅｘｉｔｉｅｓａｎｄｄｉｖｅｒｓｉｔｉｅｓｏｆｓｅｃｕｒｉｔａｌｅｒｔｄａｔａｏｎｍｏｄｅｒｎｎｅｔｗｏｒｋｓｈｏｗｅｖｅｒｐｇｐｐｐｙｍａｋｅｔｈｅｒｅｃｉｓｅａｎａｌｓｉｓａｎｄｅｖａｌｕａｔｉｏｎｏｆｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎｅｘｔｒｅｍｅｌｄｉｆｆｉｃｕｌｔ．Ｗｅｓｕｍｍａｒｉｚｅｄｔｈｅｒｅｓｅａｒｃｈｐｙｙｙ，ｒｏｒｅｓｓａｎｄｅｘｉｓｔｉｎｏｆｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎａｗａｒｅｎｅｓｓａｎｄａｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎｍｏｒｏｂｌｅｍｓｒｏｏｓｅｄ－ｐｇｇｙｙｐｐｐ，ｄｅｌｉｎａｎｄｆｒａｍｅｗｏｒｋｂａｓｅｄｏｎｋｎｏｗｌｅｄｅｄｉｓｃｏｖｅｒ．Ｔｈｅｎｗｅｄｅｓｉｎｅｄａｎｄｉｍｌｅｍｅｎｔｅｄｔｈｅｎｅｔｗｏｒｋｓｅｃｕｒｅｎｅｒａｔｉｏｎ－ｇｇｙｇｐｇｉｔｓｉｔｕａｔｉｏｎａｗａｒｅｎｅｓｓｓｓｔｅｍ（ＮｅｔＳＳＡ）ｂａｓｅｄｏｎｔｈｉｓｆｒａｍｅｗｏｒｋ．ＮｅｔＳＳＡｃｏｎｓｉｓｔｓｏｆｔｈｅｍｏｄｅｌｉｎｏｆｎｅｔｗｏｒｋｓｅｃｕｒ－－－ｙｙｇｉｔｓｉｔｕａｔｉｏｎａｎｄｔｈｅｅｎｅｒａｔｉｏｎｏｆｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎ．Ｔｈｅｕｒｏｓｅｏｆｍｏｄｅｌｉｎｉｓｔｏｃｏｎｓｔｒｕｃｔｔｈｅｆｏｒｍａｌｍｏｄｅｌｙｇｙｐｐｇ，ｏｆｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎｍｅａｓｕｒｅｍｅｎｔｂａｓｅｄｕｏｎｔｈｅＤＳｅｖｉｄｅｎｃｅｔｈｅｏｒａｎｄｓｕｏｒｔｔｈｅｅｎｅｒａｌｒｏｃｅｓｓｏｆｆｕ－－ｙｐｙｐｐｇｐｓｉｎａｎｄａｎａｌｚｉｎｓｅｃｕｒｉｔａｌｅｒｔｅｖｅｎｔｓｃｏｌｌｅｃｔｅｄｆｒｏｍｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎｓｅｎｓｏｒｓ．Ｔｈｅｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎｉｓｅｎ－ｇｙｇｙｙｙｇｅｒａｔｅｄｂｅｘｔｒａｃｔｉｎｔｈｅｆｒｅｕｅｎｔａｔｔｅｒｎｓａｎｄｓｅｕｅｎｔｉａｌａｔｔｅｒｎｓｆｒｏｍｔｈｅｄａｔａｓｅｔｏｆｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎｂａｓｅｄｙｇｑｐｑｐｙｋｎｏｗｌｅｄｅｄｉｓｃｏｖｅｒｍｅｔｈｏｄｓａｎｄｔｒａｎｓｆｏｒｍｉｎｔｈｅｓｅａｔｔｅｒｎｓｔｏｔｈｅｃｏｒｒｅｌａｔｉｏｎｒｕｌｅｓｏｆｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｕｏｎ－ｇｙｇｐｙｐｔｉｏｎ，ａｎｄｆｉｎａｌｌａｕｔｏｍａｔｉｃａｌｌｃｏｎｓｔｒｕｃｔｉｎｔｈｅｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎｒａｈ．Ｔｈｅｅｘｅｒｉｍｅｎｔａｌｒｅｓｕｌｔｓｓｈｏｗｔｈａｔｔｈｅｙｙｇｙｇｐｐｓｓｔｅｍｓｕｏｒｔｓｔｈｅａｃｃｕｒａｔｅｍｏｄｅｌｉｎａｎｄｅｆｆｅｃｔｉｖｅｏｆｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎ．ｅｎｅｒａｔｉｏｎｙｐｐｇｙｇ，，，，ＫｅｗｏｒｄｓｅｔｗｏｒｋｓｅｃｕｒｉｔＳｅｃｕｒｉｔｓｉｔｕａｔｉｏｎｍｏｄｅｌｉｎＳｅｃｕｒｉｔｓｉｔｕａｔｉｏｎｅｎｅｒａｔｉｏｎＤａｔａｍｉｎｉｎＫｎｏｗｌｅｄｅｄｉｓＮ－ｙｙｇｙｇｇｇｙｃｏｖｅｒｙ有较高的误报率和漏报率。网络安全态势感知是解决这些问题的有效途径，即通过在一定时间及空间范围内感知所发生的网络安全事件，针对安全数据进行综合处理，分析系统受到，的攻击行为，提供网络安全的 “ 全局视图 ” 评估网络系统的整体安全状态和推测未来的安全趋势。网络安全态势感知在安全告警事件的基础上提供统一的网络安全高层视图，使安全管理员能够快速准确地把握网络
摘要由于网络安全告警数据的复杂性和多样性，使得难以精确地分析和评估网络安全态势。通过总结网络安全态势感知的最新研究进展和现存问题，提出了一种基于知识发现的网络安全态势建模与生成框架，在该框架的基础上设计并实现了网络安全态势感知系统ＮｅｔＳＳＡ。该系统主要由安全态势建模和安全态势生成两部分组成。安全态势－建模就是基于Ｄ用于支持态势传感器的安全事件融合和关联Ｓ证据理论构建适应于度量网络安全态势的形式模型，－分析。安全态势生成就是通过知识发现方法，挖掘网络安全态势数据集中的频繁模式和序列模式，并且将其转化成安全态势的关联规则，从而支持网络安全态势图的自动生成。通过相应的实验过程和结果分析，表明该系统能够支持网络安全态势的准确建模和高效生成。关键词网络安全，安全态势建模，安全态势生成，数据挖掘，知识发现中图法分类号ＴＰ３９３文献标识码Ａ
到稿日期：２０１１０７２７２０１１１０２３－－返修日期：－－，：；，王春雷（男，博士生，主要研究方向为软件安全等，方兰（女，硕士，主要研究方向为１９７７－）Ｅ－ｍａｉｌｗｃｌ０８＠ｍａｉｌｓ．ｔｓｉｎｈｕａ．ｅｄｕ．ｃｎ１９７６－）ｇ，，网络安全、网络管理等；王东霞（女，研究员，主要研究方向为网络安全；戴一奇（男，教授，博士生导师，主要研究方向为密码学１９７４－）１９４６－）和网络信息安全。
１引言
网络系统面临不断变化的蠕ቤተ መጻሕፍቲ ባይዱ虫病毒、大规模网络攻击等、安全威胁。传统的网络安全设备，如入侵检测系统（防ＩＤＳ）火墙和网络扫描器等，通常以独立方式工作，在解释告警事件并决定做出适当的响应时，不能准确、有效地发现和利用事件之间存在的关联关系，从而导致众多的不确定性，并且设备具
ＮｅｔｗｏｒｋＳｅｃｕｒｉｔＳｉｔｕａｔｉｏｎＡｗａｒｅｎｅｓｓＳｓｔｅｍＢａｓｅｄｏｎＫｎｏｗｌｅｄｅＤｉｓｃｏｖｅｒｙｙｇｙ
１２２２１ＷＡＮＧＣｈｕｎｌｅｉＡＮＧＬａｎＤｏｎｘｉａＡＩＹｉｉ－ＦＷＡＮＧ－Ｄ－ｇｑ１（，，）ＤｅａｒｔｍｅｎｔｏｆＣｏｍｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏＴｓｉｎｈｕａＵｎｉｖｅｒｓｉｔＢｅｉｉｎ１０００８４，Ｃｈｉｎａｐｐｇｙｇｙｊｇ２（，，）ＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｏｎＩｎｆｏｒｍａｔｉｏｎＳｓｔｅｍＳｅｃｕｒｉｔＬａｂｏｒａｔｏｒＢｅｉｉｎＩｎｓｔｉｔｕｔｅｏｆＳｓｔｅｍａｎｄＥｎｉｎｅｅｒｉｎＢｅｉｉｎ１００１０１，Ｃｈｉｎａｇｙｙｙｙｊｇｙｇｇｊｇ，