[發明專利]基于安全本體建模的網絡安防策略AI自主防御方法及系統

有效

• 申請號: 202111545237.4
• 申請日: 2021-12-16
• 公開（公告）號: CN114401113B
• 公開（公告）日: 2023-06-27
• 發明（設計）人: 劉盈澤;郭淵博
• 申請（專利權）人: 中國人民解放軍戰略支援部隊信息工程大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F16/36
• 代理公司: 鄭州大通專利商標代理有限公司 41111
• 代理人: 周艷巧

1.一種基于安全本體建模的網絡安防策略AI自主防御方法，其特征在于，包含如下內容：

整合多源異構知識來構建用于攻擊預警和選取防御策略的安全本體；所述安全本體包含：基于網絡流量用于攻擊預警的安全本體和攻擊圖增強用于防御策略選取的安全本體，其中，用于攻擊預警的安全本體包含：用于描述網絡流量數據包信息的概念集合，用于描述網絡流量概念集合中每個概念相應屬性的屬性集合，及用于描述網絡流量中數據包信息概念間關系的關系集合；用于防御策略選取的安全本體包含：用于描述風險分析要素通用知識、領域專有知識及漏洞前置和后置條件的概念集合，用于描述概念集合中每個概念相應屬性的屬性集合，及用于從攻防視角描述概念間致因關聯的關系集合；通用知識要素至少包含：資產、威脅、風險、漏洞、安全需求及防御策略，領域專有知識要素至少包含：領域架構；

實時收集網絡數據流量，基于安全本體對網絡數據流量進行攻擊預警檢測并根據檢測出的預警攻擊所需安全手段獲取相應防御策略；在時間、認知和信息的有限理性的范圍內，根據防御策略并利用搜索樹來生成網絡安防候選規劃方案；在候選規劃方案中選取最優規劃方案并通過方案執行來實現自主防御；通過日志分析確定檢測出的預警攻擊資產功能，確定相關安全屬性、惡意目標及防御策略類型，其中，安全屬性包含機密性、完整性、可用性、鑒別性、可控性及不可否認性，與安全屬性相對應的惡意目標分為暴露、修改、銷毀及偽裝，防御策略類型包含預防、監測及恢復，防御策略重要性分為表示最高優先級且為需要防御策略類型的關鍵標識和表示最低優先級且為不需要防御策略類型的非關鍵標識；根據資產功能，通過衡量各防御策略類型在不同惡意目標下的重要性來確定所需安全手段；生成安防規劃方案時，通過引入時間、認知與信息的有限性，在有限理性的范圍內，建立搜索樹，獲取所有可以滿足目標狀態的候選規劃方案；并在自主防御中，在有限理性的約束下，根據防御策略權重選擇最高效用的規劃方案，其中，通過檢查狀態的時間計數及認知深度是否超過各自限制來判斷時間有限和認知有限，信息有限包括未知或錯誤假定的資產狀態、目標命題以及可用有限防御策略；根據防御策略權重選擇最高效用的規劃方案，首先，根據公式來計算從開始到第k個防御策略cm^x的規劃效用，其中，為防御策略的效用，該效用等效于根據入度及與前一個防御策略的相關性來分配的每個時間步中計算的對應防御策略權重通過遍歷所有時間步下的規劃效用，選取最高效用的規劃方案；將選擇的最高效用規劃方案作為初始規劃方案，在方案執行期間，通過監控并分析每個時間步下的方案執行過程中的日志數據來檢測資產是否遭受新攻擊，針對資產遭受新攻擊的情況下重新規劃方案，以執行當下最優的防御策略方案；針對資產遭受新攻擊情形，檢查與新攻擊相關的防御策略是否執行，針對未執行的情形，推后與新攻擊無關的防御策略，將與新攻擊相關的防御策略通過構建搜索樹來利用搜索樹來選取最優規劃方案并執行。

2.根據權利要求1所述的基于安全本體建模的網絡安防策略AI自主防御方法，其特征在于，所述網絡流量數據包信息至少包含：網絡會話、包傳輸、握手、重置、協議、目的和源IP、及目的和源端口。

3.根據權利要求1所述的基于安全本體建模的網絡安防策略AI自主防御方法，其特征在于，攻擊預警檢測中，分析網絡流量信息，查詢所有源端口與目的端口對，通過查詢同一源端口將數據包發送到封閉端口的次數，若該次數超過預設閾值，則判定存在端口掃描攻擊；通過查詢同一源主機IP發送數據包到目標主機IP的次數，若該次數超過設定閾值，則判定存在系統掃描攻擊。

4.一種基于安全本體建模的網絡安防策略AI自主防御系統，其特征在于，基于權利要求1所述的方法實現，包含：本體建模模塊、策略選取模塊、方案規劃模塊和自主防御模塊，其中，

本體建模模塊，用于整合多源異構知識來構建用于攻擊預警和選取防御策略的安全本體；

策略選取模塊，用于實時收集網絡數據流量，基于安全本體對網絡數據流量進行攻擊預警檢測并根據檢測出的預警攻擊所需安全手段獲取相應防御策略；

方案規劃模塊，用于在時間、認知和信息的有限理性的范圍內，根據防御策略并利用搜索樹來生成網絡安防候選規劃方案；

自主防御模塊，用于在候選規劃方案中選取最優規劃方案并通過方案執行來實現自主防御。