[發(fā)明專利]一種基于自律計算的網(wǎng)絡(luò)安全態(tài)勢感知系統(tǒng)及其處理方法

有效

• 申請?zhí)枺?/td>: 201210275986.4
• 申請日: 2012-08-06
• 公開（公告）號: CN102821007A
• 公開（公告）日: 2012-12-12
• 發(fā)明（設(shè)計）人: 鄭瑞娟;吳慶濤;張明川;楊春蕾;趙旭輝;魏汪洋;李冠峰
• 申請（專利權(quán)）人: 河南科技大學(xué)
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/24;H04L29/06
• 代理公司: 洛陽公信知識產(chǎn)權(quán)事務(wù)所(普通合伙) 41120
• 代理人: 羅民健

1.一種基于自律計算的網(wǎng)絡(luò)安全態(tài)勢感知系統(tǒng)，其特征在于：包括被管資源、Agent協(xié)同層模塊、傳感器和效應(yīng)器模塊和自律管理者模塊，Agent協(xié)同層模塊連接被管資源和自律管理者模塊，傳感器和效應(yīng)器模塊分別連接Agent協(xié)同層模塊和自律管理者模塊，

Agent協(xié)同層模塊捕獲被管資源信息并做預(yù)處理，去除冗余信息，最終把信息交給自律管理者模塊，接收自律管理者模塊的信息反饋，并自主調(diào)節(jié)系統(tǒng)環(huán)境，使其能夠動態(tài)適應(yīng)環(huán)境變化，以實(shí)現(xiàn)資源的動態(tài)配置、服務(wù)的動態(tài)合成、系統(tǒng)參數(shù)的動態(tài)校正；

傳感器和效應(yīng)器模塊，連接所述的Agent協(xié)同層模塊，需要定義統(tǒng)一的標(biāo)準(zhǔn)接口來實(shí)現(xiàn)由不同供應(yīng)商提供的軟硬件的通信，屏蔽由于內(nèi)部結(jié)構(gòu)的不同而產(chǎn)生的異構(gòu)性。

2.如權(quán)利要求1所述的一種基于自律計算的網(wǎng)絡(luò)安全態(tài)勢感知系統(tǒng)，其特征在于：所述的自律管理者模塊包括知識庫模塊、態(tài)勢提取模塊、態(tài)勢預(yù)測模塊和自主響應(yīng)模塊，

知識庫模塊包括狀態(tài)判定知識、策略知識、問題求解知識和模式匹配知識，對態(tài)勢提取模塊、態(tài)勢預(yù)測模塊和自主響應(yīng)模塊提供知識支持；

態(tài)勢提取模塊，用于提取有效的態(tài)勢信息，即攻擊要素；

態(tài)勢評估模塊，連接所述的態(tài)勢提取模塊，通過識別態(tài)勢信息中的安全事件，依據(jù)它們之間的關(guān)聯(lián)關(guān)系，計算出服務(wù)、主機(jī)和網(wǎng)絡(luò)所受到的威脅，進(jìn)而實(shí)現(xiàn)對當(dāng)前的網(wǎng)絡(luò)安全態(tài)勢的分析；

態(tài)勢預(yù)測模塊，連接所述的態(tài)勢評估模塊，用于根據(jù)過去和當(dāng)前網(wǎng)絡(luò)安全態(tài)勢狀況，對未來網(wǎng)絡(luò)安全態(tài)勢進(jìn)行預(yù)測；

自主響應(yīng)模塊，用于根據(jù)知識庫中的策略知識和問題求解知識，對態(tài)勢提取模塊提取的行為特征實(shí)時做出響應(yīng)，對態(tài)勢評估得出的態(tài)勢值進(jìn)行自主調(diào)節(jié)。

3.如權(quán)利要求2所述的一種基于自律計算的網(wǎng)絡(luò)安全態(tài)勢感知系統(tǒng)，其特征在于：所述的態(tài)勢提取模塊包括網(wǎng)絡(luò)安全數(shù)據(jù)源集成平臺模塊、異常發(fā)現(xiàn)模塊和自律聯(lián)想學(xué)習(xí)模塊，

網(wǎng)絡(luò)安全數(shù)據(jù)源集成平臺模塊，用于實(shí)現(xiàn)多源異構(gòu)數(shù)據(jù)的集成處理，為上層模塊提供數(shù)據(jù)支持；

異常發(fā)現(xiàn)模塊，采用模式匹配技術(shù)，根據(jù)異常行為庫來檢測網(wǎng)絡(luò)中可能存在的各類攻擊行為，并對異常行為庫進(jìn)行實(shí)時更新；

自律聯(lián)想學(xué)習(xí)模塊，用于根據(jù)攻擊特征與異常行為庫的原有攻擊行為特征的記錄進(jìn)行關(guān)聯(lián)、整合和集成分析，找出安全隱患的形成與發(fā)展規(guī)律；預(yù)測可能產(chǎn)生異常的條件及早期異常征兆，采用診斷預(yù)測和智能決策的方法實(shí)現(xiàn)攻擊行為特征的自律聯(lián)想學(xué)習(xí)，并將學(xué)習(xí)結(jié)果加入異常行為庫；

從而實(shí)現(xiàn)對未知攻擊行為的聯(lián)想學(xué)習(xí)，快速提取有效態(tài)勢信息；

聚類分析模塊，連接所述的自律聯(lián)想學(xué)習(xí)模塊，采用相異度計算(DSimC)聚類方法對自律聯(lián)想學(xué)習(xí)結(jié)果進(jìn)行聚類判別分析；

其中所考慮的特征屬性主要有源/目的IP、源/目的端口、檢測時間、攻擊類別等，分別計算其相異度，最終計算出綜合相異程度；

融合分析模塊，連接所述的聚類分析模塊，采用指數(shù)加權(quán)DS證據(jù)理論(EWDS)對聚合后的安全信息進(jìn)行融合分析，進(jìn)一步精簡安全信息數(shù)量和識別攻擊行為。

4.如權(quán)利要求3所述的一種基于自律計算的網(wǎng)絡(luò)安全態(tài)勢感知系統(tǒng)，其特征在于：所述的利用DSimC聚類方法對自律聯(lián)想學(xué)習(xí)結(jié)果進(jìn)行聚類具體包括：

步驟1：采用相關(guān)屬性距離計算的方法對報警進(jìn)行聚類；

假設(shè)有兩個報警???????????????????????????????????????????????和，利用公式計算這兩個報警之間的相異度；其中，n是這兩個報警中屬性的個數(shù)，k代表n個屬性中的某一個，表示屬性k在相應(yīng)報警相異度中的權(quán)重，表示報警和在屬性k上的相異度；

步驟2：根據(jù)相關(guān)屬性距離計算，依據(jù)事先設(shè)定的相應(yīng)閾值，進(jìn)行聚類判別判斷。

5.權(quán)利要求3所述的一種基于自律計算的網(wǎng)絡(luò)安全態(tài)勢感知系統(tǒng)，其特征在于：所述的利用EWDS對聚類結(jié)果進(jìn)行融合，具體包括：

步驟1：將聚類后的結(jié)果作為證據(jù)，并依據(jù)不同傳感器的檢測率分配置信度，依據(jù)攻擊情況，獲取各個傳感器的權(quán)值；

步驟2：采用DS證據(jù)組合規(guī)則對證據(jù)進(jìn)行組合；

步驟3：采用基本概率函數(shù)的融合決策規(guī)則對組合后的基本概率分配值進(jìn)行決策判斷，提取出態(tài)勢要素。