N0TINFO SECURITY
技术研究
/勿19年第7期
■doi:10.3969/j.issn.1671-1122.2019.07.009
基于RSAR的随机森林网络安全态势
要素提取
--------段詠程1,王雨晴1,李欣匕杨乐*--------
(1.中国人民公安大学信息技术与网络安全学院，北京100038;
2.安全防范技术与风险评估公安部重点实验室，北京100038)
摘要：网络安全态势要素提取是开展网络安全态势感知的前提性基础工作，同
时也是直接影响网络安全态势感知系统性能的关键性工作之一。文章针对在复杂异
构的网络环境下网络安全态势要素难以提取的问题，提出了一种基于粗糙集属性约
简(Rough Set Attribute Reduction,RSAR)的随机森林网络安全态势要素提取方法。
在该提取方法中，首先通过粗糙集理论确定数据集中每个属性的重要性，对重要程度
低的属性进行约简，删除冗余属性；然后，使用随机森林分类器对约简后的数据集进
行分类训练。为验证提出方法的有效性，文章使用入侵检测数据集对提出方法进行实
验测试，实验结果表明，通过与传统提取方法相比，该方法有效地提高了态势要素提
取的准确性，实现了高效提取网络安全态势要素。
关键词：态势感知；态势要素提取;随机森林;粗糙集
中图分类号：TP309文献标识码：A文章编号：1671-1122(2019)07-0075-07
中文引用格式：段詠程，王雨晴，李欣，等.基于RSAR的随机森林网络安全态势要素提取[J].信息网络安全，2019,19(7)：75-81.
英文引用格式：DUAN Yongcheng,WANG Yuqing,LI Xin,et al.RSAR-based Random Forest Network Security Situation Factor ExtractionfJ],Netinfo Security,2019,19(7):75-81.
RSAR-based Random Forest Network Security
Situation Factor Extraction
DUAN Yongcheng1,WANG Yuqing1,LI Xin",YANG Le1
(1.College of I nformation Technology and N etwork Security,Peoples Public Security University of C hina,
Beijing10003&China',2.Key Laboratory of S ecurity Prevention Technology and Risk A ssessment,
the Ministry of P ublic Security,Beying100038,China)
Abstract:The extraction of network security situational elements is a prerequisite for developing network security situational awareness,and it is also one of the key tasks that
directly affect the performance of network security situational awareness system.Aiming
at the problem that it is difficult to extract network security situation elements in complex
收稿日期：2018-10-22
基金项目：国家重点研发计划[2017YFC0803700];公安部科技强警基础工作专项[2017GABJC38]
作者简介：段詠程(1995—),男，山东，硕士研究生，主要研究方向为态势感知、视频安全；王雨晴(1997—),女，天津，本科，主要研究方向为网络安全；李欣(1977—),男，江西，副教授，博士，主要研究方向为云计算、网络妥全；杨乐(1994—),男，河南，硕士研究生，主要研究方向为入侵检测。
通信作者：李欣ndlixin@
n C tinfo 技术SECURITY
研究
heterogeneous network environment,this paper proposes a method based on RSAR(Rough Set Attribute Reduction)for random forest network security situation factor extraction.
In this extraction method,firstly,the importance of attributes is determined by rough set theory,and attributes with low importance are reduced and redundant attributes are deleted.
Secondly,the processed data is classified using the random forest classifier.In order to verify the efficiency of the algorithm,the improved method is tested by the intrusion detection data pared with the traditional method,the experimental results show that the algorithm effectively improves the accuracy and achieves efficient extraction of network security situation elements.
Key words:situational awareness;s社uation factor extraction;random forest;rough set
0引言
近年来网络安全领域发展变化迅速，随着拓扑结构、网络规模的日益更新，攻击行为也迅猛增加。为了快速应对网络安全发展变化，宏观把握整个网络的安全状况，网络安全态势感知成为近年来研究的新热点。网络安全态势感知是对网络系统安全状态的感应、认知、理解的过程些由态势要素提取、态势评估和态势预测三个部分组成。态势要素提取是网络安全态势感知的基础性工作，是整个态势感知的前提，提取的态势要素质量的好坏直接影响整个安全系统的性能。态势要素提取的主要目的是删除冗余的数据，提取出重要性高的态势要素，为态势评估、态势预测提供数据基础。
在态势要素提取技术方面，国外的研究工作开展较早。BASSP］等人提出将较为成熟的空中交通监管理论运用到网络安全领域中，其目的是关联IDS 检测结果以融合分析攻击信息用于评估网络安全。YURCIKB］开发了_个安全事件融合工具的系统，该系统将安全数据和专业人员认知能力结合起来显示，为网络提供安全可视化，但该方法容易受到主观因素影响。美国劳伦斯伯克利国家实验室于2003年开发了“潜在毁灭旋转立方体”系统⑷，该系统利用三维空间中的点来表示分析网络连接状况，以实现网络安全态势要素提取。TIM囱将入侵检测系统的分布式传感器与数据挖掘技术进行了融合，提出通过数据融合和数据挖掘技术对态势要素进行提取,鮭了原始嗨并把该框架用于下一代态势感知系统。SRIHARD6］等人针对军事战场中面临的态势要素提取的情况，结合周围环境等因素，提出一种基于概念的态势要素提取技术，但殊法提取的数据源单一且不能应对多源攻击的情况。
我国学者主要从入侵检测方面入手来对态势要素提馳行研究，不仅能删除冗缺征，而且还能有效检测攻击。为了更好更快地去除冗余特征，适应网络安全领域的需要，李冬银切提出了基于粒子群优化算法和逻辑回归算法、邻域粗糙集技术以及MapReduce 分布式框架的态势要素提取模型，利用改进粒子群优化算法的全局寻优能力对逻辑回归模型的参数进行估算，从而提高要素获取的准确性。WANG®等人提出了一种在神经网络的基础上结合进化策略的方法，通过进化策略优化建立神经网络参数，然后用神经网络来提取态势要素，极大提高了分类准确度。针对多源网络安全态势信息无法结合使用的问题，司成切等人提出了利用本体知识库模型解决网络安全态势要素提取的方案，首先对态势要素进行提取，其次按照本体的构建原则构建了网络安全态势要素知识本体模型。刘效武㈣等人提出一种基于融合的网络安全态势认知感控模型，将对安全事件威胁等级和威胁要素关系的推演和多源融合算法结合，克服了态势要素获取过程中需处理网络组件间复杂隶属关系的不足。
上述方法在态势要素提取过程中具有较强的主观性，需要大量的先验知识，用于特定的领域有一些效果，但当数据过于庞大时，主观性分析方法就会浪费大量时间，甚至导致提取失败。因此，本文
