[發明專利]一種誤報自適應的網絡安全態勢預測方法

有效

• 申請號: 201410705040.6
• 申請日: 2014-11-26
• 公開（公告）號: CN104486141B
• 公開（公告）日: 2018-10-23
• 發明（設計）人: 何高峰;管小娟;張濤;馬媛媛;陳璐;黃秀麗;王玉斐;張波;陳亞東
• 申請（專利權）人: 國家電網公司;中國電力科學研究院;全球能源互聯網研究院;國網天津市電力公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 北京安博達知識產權代理有限公司 11271
• 代理人: 徐國文

1.一種誤報自適應的網絡安全態勢預測方法，其特征在于，所述方法包括下述步驟：

(1)提取安全防護軟件中的報警事件；

(2)形成訓練樣本集；

(3)訓練所述訓練樣本集，建立網絡安全態勢預測模型；

(4)在線預測，并確認預測結果；

(5)若預測結果為誤報，標記當前預測事件序列為反例，執行增量神經網絡學習，調整預測模型；

所述步驟(1)包括如下步驟：

(1-1)分析IDS、防火墻安全防護軟件的日志文件，提取安全威脅報警記錄；

(1-2)在安全威脅報警記錄中分析提取威脅發生的時間、針對的目標IP地址、目標端口號和威脅類型信息；

所述步驟(2)包括如下步驟：

(2-1)獲取安全威脅針對的目標主機操作系統、目標端口和安裝的系統補丁信息；

(2-2)若步驟(1-2)中提取的安全威脅類型與步驟(2-1)中的信息不匹配，則判斷為誤報；

(2-3)獲取網絡流量異常信息，若與步驟(1-2)中提取的安全威脅類型不匹配，則判斷為誤報；

(2-4)刪除誤報樣本，形成最終模型訓練樣本集；

所述步驟(2-2)中，首先判斷操作系統信息，若安全威脅針對的操作系統與目標主機不同，當前安全威脅只針對Windows操作系統，而目標主機的操作系統為Linux，則判斷為誤報；接著判斷目標端口信息，若目標主機的對應端口已關閉，則判斷為誤報；最后判斷安裝的系統補丁信息，即系統漏洞信息，若目標主機已安裝當前安全威脅對應的系統漏洞補丁，則判斷為誤報；

所述步驟(2-3)中，使用網絡連接數、網絡帶寬使用率、網絡丟包率和網絡延時參數來衡量網絡是否異常；

設當前網絡連接數為p₁，網絡帶寬使用率為p₂，網絡丟包率為p₃，網絡延時為p₄，網絡異常值用下式①表示：

其中：為參數p_i的平均值，且計算時p_i均需進行格式化，格式化公式如下式②表示：

若檢測出DDoS、端口掃描網絡攻擊，而當前的網絡參數未超出設定的閾值，則判斷檢測結果為誤報。

2.如權利要求1所述的網絡安全態勢預測方法，其特征在于，在所述步驟(3)中，使用神經網絡學習算法對樣本集進行訓練，建立預測模型；將安全威脅預警時間按出現的先后時間順序排列，形成時間序列S，序列長度為L；將時間序列S前N個觀察到的數據作為滑動窗口，并將其映射為M個值；M個值代表在滑動窗口之后M個預測值；將訓練樣本集進行劃分，把數據分為K個長度為N+M的數據段，每一個數據段看作一個樣本，得到K＝L-(N+M)+1個樣本；將每個樣本的前N個值作為增量神經網絡學習算法的輸入，后M個值為目標輸出，即為建立的預測模型。

3.如權利要求1所述的網絡安全態勢預測方法，其特征在于，所述步驟(4)包括如下步驟：

(4-1)根據觀察到的N個安全威脅事件或N個觀察到的數據，預測后續出現的M個安全威脅；

(4-2)在后續時間范圍T內，若IDS、防火墻安全防護軟件未檢測到預測出現的M個安全威脅，則判斷之前的預測為誤報。

4.如權利要求1所述的網絡安全態勢預測方法，其特征在于，所述步驟(5)中，若步驟(4)判斷某項預測結果為誤報，標記當前預測事件序列為反例，執行增量神經網絡學習算法，調整預測模型；設增加的數據集為B，增量神經網絡學習算法如下：

(5-1)檢驗數據集B中是否存在異類樣本，如果不存在，則執行停止；如果存在，根據檢驗結果將數據集B分為B1異類樣本集和B2正常樣本集兩部分，將B1異類樣本集標記為反例的預測序列，并轉向步驟(5-2)；

(5-2)在原有RBF神經網絡分類器的基礎上，增加一個輸出節點，依據K均值算法對集合B1中的樣本進行聚類，確定隱層新增節點數及對應的中心和寬度參數，同時隨機初始化隱層到輸出層的新增連接權值，采用最速下降法學習新類樣本，并修正新增加的連接權值。