基于知识发现的网络安全态势感知系统

第３ ９卷 第７期 ２ ０ １ ２年７月
计 算 机 科 学 Ｃ ｏ ｍ ｕ ｔ ｅ ｒ ｃ ｉ ｅ ｎ ｃ ｅ Ｓ ｐ
Ｖ ｏ ｌ ． ３ ９Ｎ ｏ ． ７ Ｊ ｕ ｌ ２ ０ １ ２ ｙ
基于知识发现的网络安全态势感知系统
２ ２ ２ １ 王春雷１， 方 兰 王东霞 戴一奇 １ （ ） 清华大学计算机科学与技术系 北京 １ ０ ０ ０ ８ ４ ２ （ ） 北京系统工程研究所信息系统安全技术重点实验室 北京 １ ０ ０ １ ０ １
， Ａ ｂ ｓ ｔ ｒ ａ ｃ ｔ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ａ ｄ ｍ ｉ ｎ ｉ ｓ ｔ ｒ ａ ｔ ｏ ｒ ｓ ｎ ｅ ｅ ｄ ｔ ｏ ｏ ｂ ｔ ａ ｉ ｎ ａ ｎ ｄ ａ ｎ ａ ｌ ｚ ｅ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ｆ ｏ ｒ ｍ ａ ｎ ａ ｅ ｍ ｅ ｎ ｔ ｍ ａ ｉ ｎ Ｎ － ｙ ｙ ｙ ｇ ， ， ， ｌ ａ ｎ ｎ ｉ ｎ ｕ ｒ ｏ ｓ ｅ ｓ ． Ｔ ｈ ｅ ｔ ｅ ｎ ａ ｎ ｃ ｅ ａ ｎ ｄ ｃ ｏ ｍ ｌ ｅ ｘ ｉ ｔ ｉ ｅ ｓ ａ ｎ ｄ ｄ ｉ ｖ ｅ ｒ ｓ ｉ ｔ ｉ ｅ ｓ ｏ ｆ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ａ ｌ ｅ ｒ ｔ ｄ ａ ｔ ａ ｏ ｎ ｍ ｏ ｄ ｅ ｒ ｎ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｈ ｏ ｗ ｅ ｖ ｅ ｒ ｐ ｇ ｐ ｐ ｐ ｙ ｍ ａ ｋ ｅ ｔ ｈ ｅ ｒ ｅ ｃ ｉ ｓ ｅ ａ ｎ ａ ｌ ｓ ｉ ｓ ａ ｎ ｄ ｅ ｖ ａ ｌ ｕ ａ ｔ ｉ ｏ ｎ ｏ ｆ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ｅ ｘ ｔ ｒ ｅ ｍ ｅ ｌ ｄ ｉ ｆ ｆ ｉ ｃ ｕ ｌ ｔ ． Ｗ ｅ ｓ ｕ ｍｍ ａ ｒ ｉ ｚ ｅ ｄ ｔ ｈ ｅ ｒ ｅ ｓ ｅ ａ ｒ ｃ ｈ ｐ ｙ ｙ ｙ ， ｒ ｏ ｒ ｅ ｓ ｓ ａ ｎ ｄ ｅ ｘ ｉ ｓ ｔ ｉ ｎ ｏ ｆ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ａ ｗ ａ ｒ ｅ ｎ ｅ ｓ ｓ ａ ｎ ｄ ａ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ｍ ｏ ｒ ｏ ｂ ｌ ｅ ｍ ｓ ｒ ｏ ｏ ｓ ｅ ｄ － ｐ ｇ ｇ ｙ ｙ ｐ ｐ ｐ ， ｄ ｅ ｌ ｉ ｎ ａ ｎ ｄ ｆ ｒ ａ ｍ ｅ ｗ ｏ ｒ ｋ ｂ ａ ｓ ｅ ｄ ｏ ｎ ｋ ｎ ｏ ｗ ｌ ｅ ｄ ｅ ｄ ｉ ｓ ｃ ｏ ｖ ｅ ｒ ． Ｔ ｈ ｅ ｎｗ ｅ ｄ ｅ ｓ ｉ ｎ ｅ ｄ ａ ｎ ｄ ｉ ｍ ｌ ｅ ｍ ｅ ｎ ｔ ｅ ｄ ｔ ｈ ｅ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｅ ｎ ｅ ｒ ａ ｔ ｉ ｏ ｎ － ｇ ｇ ｙ ｇ ｐ ｇ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ａ ｗ ａ ｒ ｅ ｎ ｅ ｓ ｓ ｓ ｓ ｔ ｅ ｍ（ Ｎ ｅ ｔ Ｓ Ｓ Ａ） ｂ ａ ｓ ｅ ｄ ｏ ｎ ｔ ｈ ｉ ｓ ｆ ｒ ａ ｍ ｅ ｗ ｏ ｒ ｋ． Ｎ ｅ ｔ Ｓ Ｓ Ａ ｃ ｏ ｎ ｓ ｉ ｓ ｔ ｓ ｏ ｆ ｔ ｈ ｅ ｍ ｏ ｄ ｅ ｌ ｉ ｎ ｏ ｆ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ － － － ｙ ｙ ｇ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ａ ｎ ｄ ｔ ｈ ｅ ｅ ｎ ｅ ｒ ａ ｔ ｉ ｏ ｎ ｏ ｆ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ． Ｔ ｈ ｅ ｕ ｒ ｏ ｓ ｅ ｏ ｆ ｍ ｏ ｄ ｅ ｌ ｉ ｎ ｉ ｓ ｔ ｏ ｃ ｏ ｎ ｓ ｔ ｒ ｕ ｃ ｔ ｔ ｈ ｅ ｆ ｏ ｒ ｍ ａ ｌ ｍ ｏ ｄ ｅ ｌ ｙ ｇ ｙ ｐ ｐ ｇ ， ｏ ｆ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ｍ ｅ ａ ｓ ｕ ｒ ｅ ｍ ｅ ｎ ｔ ｂ ａ ｓ ｅ ｄ ｕ ｏ ｎ ｔ ｈ ｅ Ｄ Ｓ ｅ ｖ ｉ ｄ ｅ ｎ ｃ ｅ ｔ ｈ ｅ ｏ ｒ ａ ｎ ｄ ｓ ｕ ｏ ｒ ｔ ｔ ｈ ｅ ｅ ｎ ｅ ｒ ａ ｌ ｒ ｏ ｃ ｅ ｓ ｓ ｏ ｆ ｆ ｕ － － ｙ ｐ ｙ ｐ ｐ ｇ ｐ ｓ ｉ ｎ ａ ｎ ｄ ａ ｎ ａ ｌ ｚ ｉ ｎ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ａ ｌ ｅ ｒ ｔ ｅ ｖ ｅ ｎ ｔ ｓ ｃ ｏ ｌ ｌ ｅ ｃ ｔ ｅ ｄ ｆ ｒ ｏ ｍ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ｓ ｅ ｎ ｓ ｏ ｒ ｓ ． Ｔ ｈ ｅ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ｉ ｓ ｅ ｎ － ｇ ｙ ｇ ｙ ｙ ｙ ｇ ｅ ｒ ａ ｔ ｅ ｄ ｂ ｅ ｘ ｔ ｒ ａ ｃ ｔ ｉ ｎ ｔ ｈ ｅ ｆ ｒ ｅ ｕ ｅ ｎ ｔ ａ ｔ ｔ ｅ ｒ ｎ ｓ ａ ｎ ｄ ｓ ｅ ｕ ｅ ｎ ｔ ｉ ａ ｌ ａ ｔ ｔ ｅ ｒ ｎ ｓ ｆ ｒ ｏ ｍ ｔ ｈ ｅ ｄ ａ ｔ ａ ｓ ｅ ｔ ｏ ｆ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ｂ ａ ｓ ｅ ｄ ｙ ｇ ｑ ｐ ｑ ｐ ｙ ｋ ｎ ｏ ｗ ｌ ｅ ｄ ｅ ｄ ｉ ｓ ｃ ｏ ｖ ｅ ｒ ｍ ｅ ｔ ｈ ｏ ｄ ｓ ａ ｎ ｄ ｔ ｒ ａ ｎ ｓ ｆ ｏ ｒ ｍ ｉ ｎ ｔ ｈ ｅ ｓ ｅ ａ ｔ ｔ ｅ ｒ ｎ ｓ ｔ ｏ ｔ ｈ ｅ ｃ ｏ ｒ ｒ ｅ ｌ ａ ｔ ｉ ｏ ｎ ｒ ｕ ｌ ｅ ｓ ｏ ｆ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｕ ｏ ｎ － ｇ ｙ ｇ ｐ ｙ ｐ ｔ ｉ ｏ ｎ， ａ ｎ ｄ ｆ ｉ ｎ ａ ｌ ｌ ａ ｕ ｔ ｏ ｍ ａ ｔ ｉ ｃ ａ ｌ ｌ ｃ ｏ ｎ ｓ ｔ ｒ ｕ ｃ ｔ ｉ ｎ ｔ ｈ ｅ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ｒ ａ ｈ． Ｔ ｈ ｅ ｅ ｘ ｅ ｒ ｉ ｍ ｅ ｎ ｔ ａ ｌ ｒ ｅ ｓ ｕ ｌ ｔ ｓ ｓ ｈ ｏ ｗ ｔ ｈ ａ ｔ ｔ ｈ ｅ ｙ ｙ ｇ ｙ ｇ ｐ ｐ ｓ ｓ ｔ ｅ ｍ ｓ ｕ ｏ ｒ ｔ ｓ ｔ ｈ ｅ ａ ｃ ｃ ｕ ｒ ａ ｔ ｅ ｍ ｏ ｄ ｅ ｌ ｉ ｎ ａ ｎ ｄ ｅ ｆ ｆ ｅ ｃ ｔ ｉ ｖ ｅ ｏ ｆ ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ． ｅ ｎ ｅ ｒ ａ ｔ ｉ ｏ ｎ ｙ ｐ ｐ ｇ ｙ ｇ ， ， ， ， Ｋ ｅ ｗ ｏ ｒ ｄ ｓ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ｅ ｃ ｕ ｒ ｉ ｔ Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ｍ ｏ ｄ ｅ ｌ ｉ ｎ Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ ｅ ｎ ｅ ｒ ａ ｔ ｉ ｏ ｎ Ｄ ａ ｔ ａ ｍ ｉ ｎ ｉ ｎ Ｋ ｎ ｏ ｗ ｌ ｅ ｄ ｅ ｄ ｉ ｓ Ｎ － ｙ ｙ ｇ ｙ ｇ ｇ ｇ ｙ ｃ ｏ ｖ ｅ ｒ ｙ 有较高的误报率和漏报率 。 网络安全态势感知是解决这些 问 题的有效途径， 即通过在一定时间及空间范围内感知所发生 的网络安全事件 ， 针对安全数据进行综合处理 ， 分析系统受 到 ， 的攻击行为 ， 提供网络安全的 “ 全局视图 ” 评估网络系统 的 整 体安全状态和推测未来的安全趋势 。 网络安全态势感知在安全告警事件的基础上提供统一 的 网络安全高层视图， 使安全管理员能够快速准确地把握网络
摘 要 由于网络安全告警数据的复杂性和多样性 ， 使得 难 以 精 确 地 分 析 和 评 估 网 络 安 全 态 势 。 通 过 总 结 网 络 安 全 态势感知的最新研究进展和现存问题 ， 提出了一种基于知识发现的网络安全态势建模与生成框架 ， 在该框架的基 础 上 设计并实现了网络安全态势感知系统 Ｎ ｅ ｔ Ｓ Ｓ Ａ。 该系统主要由安全态势建模和安全态势生成两部分组 成 。 安 全 态 势 － 建模就是基于 Ｄ 用于支持态势传感器的安全事件融合和关联 Ｓ 证据理论构建适应于度量网络安全态势的形 式 模 型 ， － 分析 。 安全态势生成就是通过知识发现方法 ， 挖掘网络安全态势数据集中的频繁模式和序列模式 ， 并且将其转化 成 安 全态势的关联规则 ， 从而支持网络安全态势图的自动生成 。 通过相应的实验过程和结果分析 ， 表明该系统能够支 持 网 络安全态势的准确建模和高效生成 。 关键词 网络安全 ， 安全态势建模 ， 安全态势生成 ， 数据挖掘 ， 知识发现 中图法分类号 Ｔ Ｐ ３ ９ ３ 文献标识码 Ａ
到稿日期 ： ２ ０ １ １ ０ ７ ２ ７ ２ ０ １ １ １ ０ ２ ３ － － 返修日期 ： － － ， ： ； ， 王春雷 （ 男， 博士生 ， 主要研究方向为软件安 全 等 ， 方 兰（ 女， 硕 士， 主要研究方向为 １ ９ ７ ７－ ） Ｅ－ｍ ａ ｉ ｌ ｗ ｃ ｌ ０ ８＠ ｍ ａ ｉ ｌ ｓ ． ｔ ｓ ｉ ｎ ｈ ｕ ａ ． ｅ ｄ ｕ． ｃ ｎ １ ９ ７ ６－ ） ｇ ， ， 网络安全 、 网络管理等 ； 王东霞 （ 女， 研究员 ， 主要研究方向为网络安全 ； 戴一奇 （ 男， 教授 ， 博士生导师 ， 主要研究方向为密码学 １ ９ ７ ４－ ） １ ９ ４ ６－ ） 和网络信息安全 。
１ 引言
网络系统面临不断 变 化 的 蠕ቤተ መጻሕፍቲ ባይዱ虫 病 毒 、 大规模网络攻击等 、 安全威胁 。 传统的网络安全设 备 ， 如入侵检测系统（ 防 Ｉ Ｄ Ｓ） 火墙和网络扫描器等 ， 通常以独立方式工作 ， 在解释告警事 件 并决定做出适当的响应时 ， 不能准确 、 有效地发现和利用事 件 之间存在的关联关系 ， 从而导致众多的不确定性 ， 并且设备 具
Ｎ ｅ ｔ ｗ ｏ ｒ ｋ Ｓ ｅ ｃ ｕ ｒ ｉ ｔ Ｓ ｉ ｔ ｕ ａ ｔ ｉ ｏ ｎ Ａ ｗ ａ ｒ ｅ ｎ ｅ ｓ ｓ Ｓ ｓ ｔ ｅ ｍ Ｂ ａ ｓ ｅ ｄ ｏ ｎ Ｋ ｎ ｏ ｗ ｌ ｅ ｄ ｅ Ｄ ｉ ｓ ｃ ｏ ｖ ｅ ｒ ｙ ｙ ｇ ｙ
１２ ２ ２ １ ＷＡＮＧ Ｃ ｈ ｕ ｎ ｌ ｅ ｉ ＡＮＧ Ｌ ａ ｎ Ｄ ｏ ｎ ｘ ｉ ａ Ａ Ｉ Ｙ ｉ ｉ － Ｆ ＷＡＮＧ － Ｄ － ｇ ｑ １ （ ， ， ） Ｄ ｅ ａ ｒ ｔ ｍ ｅ ｎ ｔ ｏ ｆ Ｃ ｏ ｍ ｕ ｔ ｅ ｒ Ｓ ｃ ｉ ｅ ｎ ｃ ｅ ａ ｎ ｄ Ｔ ｅ ｃ ｈ ｎ ｏ ｌ ｏ Ｔ ｓ ｉ ｎ ｈ ｕ ａ Ｕ ｎ ｉ ｖ ｅ ｒ ｓ ｉ ｔ Ｂ ｅ ｉ ｉ ｎ １ ０ ０ ０ ８ ４， Ｃ ｈ ｉ ｎ ａ ｐ ｐ ｇ ｙ ｇ ｙ ｊ ｇ ２ （ ， ， ） Ｓ ｃ ｉ ｅ ｎ ｃ ｅ ａ ｎ ｄ Ｔ ｅ ｃ ｈ ｎ ｏ ｌ ｏ ｏ ｎ Ｉ ｎ ｆ ｏ ｒ ｍ ａ ｔ ｉ ｏ ｎ Ｓ ｓ ｔ ｅ ｍ Ｓ ｅ ｃ ｕ ｒ ｉ ｔ Ｌ ａ ｂ ｏ ｒ ａ ｔ ｏ ｒ Ｂ ｅ ｉ ｉ ｎ Ｉ ｎ ｓ ｔ ｉ ｔ ｕ ｔ ｅ ｏ ｆ Ｓ ｓ ｔ ｅ ｍ ａ ｎ ｄ Ｅ ｎ ｉ ｎ ｅ ｅ ｒ ｉ ｎ Ｂ ｅ ｉ ｉ ｎ １ ０ ０ １ ０ １， Ｃ ｈ ｉ ｎ ａ ｇ ｙ ｙ ｙ ｙ ｊ ｇ ｙ ｇ ｇ ｊ ｇ ，