态势感知-知识图谱
态势感知 技术栈-概述说明以及解释
态势感知技术栈-概述说明以及解释1.引言1.1 概述概述随着信息技术的快速发展，各种智能设备和系统在我们生活和工作中扮演着越来越重要的角色。
在这一背景下，态势感知技术作为一种基于数据分析和机器学习的前沿技术，具有非常重要的意义。
通过对大数据的实时监测、分析和预测，态势感知技术可以帮助我们更好地理解和应对复杂的环境变化，提高智能化系统的效率和安全性。
本文将深入探讨态势感知技术栈在实际应用中的原理、方法和应用场景，旨在帮助读者更好地了解该技术的核心概念和技术要点，为读者提供一个全面的视角来理解和运用态势感知技术。
"1.2 文章结构": {"本文将首先介绍态势感知技术栈的概念及其在现实生活中的应用场景，然后深入探讨其技术原理，包括数据收集、处理和分析等方面。
接着，我们将详细分析该技术在不同领域的应用场景，如安全监控、智能交通等。
最后，通过总结要点，展望未来发展趋势，并探讨态势感知技术栈在实践中的重要意义。
通过全面深入的论述，读者将能够全面了解和掌握这一前沿技术。
"}1.3 目的本文旨在探讨态势感知技术栈在现代社会中的应用和发展前景。
通过对态势感知技术的概念、原理和应用场景进行解析，我们希望读者能够深入了解该技术在实际生活和工作中的重要性。
同时，文章还将总结该技术的关键要点，展望未来的发展方向，并探讨其实践意义，希望能激发读者对态势感知技术的兴趣，并促进该领域的进一步研究和应用。
通过本文的阐述，希望读者能够对态势感知技术有个更全面的了解，为其在各个领域的应用提供参考和启发。
2.正文2.1 概念解析在当前信息时代，大数据、人工智能、物联网等技术的快速发展，使得我们生活和工作中的数据量呈现爆炸式增长，如何从这海量的数据中挖掘出有价值的信息成为了一个重要的问题。
而态势感知技术正是应运而生的一种解决方案。
所谓态势感知，是指通过对环境中各种信息的采集、分析和处理，实时地监测和识别出环境中的状态、趋势和发展方向。
态势感知研究的方法论
文/中国科技大学网络态势感知研究中心 王砚方态势感知研究的方法论“态势感知”是网络安全文献中使用频度相当高的一个术语，态势感知已成为研究网络安全所必需解决的问题，但业内的专家对此可能有不同的理解。
本文企望通过相关的介绍和分析提出一己的看法。
“态势感知”概念的来源由于人的因素在动态系统（如飞机驾驶、空中交通管制、电力网管理等）中彰显出越来越大的重要性，M.R.Endsley在1995年提出人类决策模型，总结出包括采集、理解和预测三个层次的态势感知模型。
此模型基于各元素间的确定关系，例如由飞机的航速、方位角及风速判断它的落地点和落地时间，机场的空中交通管理人员就可以按事先确定的方案引导飞机安全降落。
再如战斗机驾驶员根据空中环境的动态变化，按规定的程序作战场上的各种相应的战术动作。
在自动控制设备运行时，遇到异常时操作员如何介入，也可按专家事先制定的方案进行。
总之，Endsley模型是指导人——机器的互动的原则：如果用较多的人工，可以得到对机器设备状态的较多的感知，因而可使设备接近最佳的状态；而如果自动程度较高，可以节省人工，但操作员的感知较少，遇到不理想的情况就难以作出抉择，在这个问题上，Endsley模型就是要解决人工同自动化之间最好的折中。
这种模型适用于处理简单的系统，专家的先验的成分较多。
显然，它不适用于复杂网络。
事实上自这个模型提出的十五年来，在许多方面开拓了研究，如人员培训、设计、工作团队协调等方法有不少成果。
国内有学者把它作为通用的理论模型，提出基于流量和局域网的单机日志的数据融合，建立大规模网络安全的态势评估模型。
到上世纪末，已经有人意识到仅靠在单个计算机上的防入侵设备已不能解决网络的安全问题，出现了把网络上安全传感器和计算机上的防入侵等设备同网络流控和管理结合起来的需求。
1999年T.Bass提出了多台安全传感器和入侵检测设备的数据融合的原理和流程，称为Bass模型。
Bass模型没有从网络本身的特点出发，而只是在数据融合技术方面就事论事。
华为云计算介绍
IaaS-4.安全-2
态势感知 SA= 检测DDoS攻击、暴力破解、Web攻击、后门木马、僵尸主 机、异常行为、漏洞攻击、命令与控制并聚合呈现 云堡垒机 CBH= 1提供主机、管理员账号、运维人员账号及权限变更的管理； 2提供单点登录、多因素认证、访问控制、授权管理；3提供SSH、TELNET、 RDP、VNC、SFTP和FTP等多种协议登录远程主机进行运维操作。 4提供 Linux命令审计和Windows操作录像来识别风险。 SSL证书管理 SCM=内部和外部SSL证书的统一管理（HTTPS服务所需加密 证书） 容器安全服务 CGS=扫描Docker节点容器镜像中漏洞扫描，安全策略实施和 异常事件收集 智能验证码服务 ICS=用户端设备信息采集和行为轨迹智能验证、拖动滑块和 设备信息验证、点选验证（12306验证）
02 IaaS-3.网络
虚拟私有云 VPC =虚拟局域网（隔离的、私密的虚拟网络环境） 弹性负载均衡 ELB =负载均衡器（Nginx） NAT网关 NAT =虚拟局域网网关（访问外网） 云专线 DC =本地到华为云私网的专线 虚拟专用网络 VPN =远程连接虚拟局域网的VPN 云解析服务 DNS = 域名转IP 云连接 CC = VPC之间以及云上多VPC与云下多数据中心之间 VPC终端节点 VPCES =通过专属网关，将VPC中的服务方便的提供给其它 VPC中的资源使用
03 PaaS-3.应用服务-2
API网关 APIG =API开放、购买和调用 应用编排服务 AOS =使用应用编排服务，通过模板对应用及应用所需资源进 行统一描述，一键式自动完成部署或销毁操作（docker-compose） 容器镜像服务 SWR =Docker镜像仓库 基因容器 GCS =支持DNA、RNA、液态活检等主流生物基因测序场景 （GATK4） 应用服务网格 ASM =Istio（服务治理）是基于Kubernetes（部署运维）构 建的开放平台提供熔断、限流降级、调用链治理等能力。 容器交付流水线 ContainerOps =Jenkins以DevOps理念为基础，面向从 源代码到生产上线全流程，提供代码编译、镜像构建、灰度发布、容器化部 署等一系列服务
关键信息基础设施安全保护技术体系
doi：10.3969/j.issn.1671-1122.2020.11.001关键信息基础设施安全保护技术体系郭启全1，张海霞2（1.公安部网络安全保卫局，北京 100741；2.中国科学院软件研究所，北京 100190）摘 要：关键信息基础设施安全保护是当前网络空间安全的核心任务。
文章阐述了开展关键信息基础设施安全保护的指导思想，提出了涵盖采集汇聚层、数据治理层、智慧大脑层、业务应用层的技术体系架构，引入大数据分析、人工智能、知识图谱等新型技术，构建网络空间安全地图，利用智慧大脑实现智能化、精准化的情报挖掘、目标画像、行为推理和预测预警，支撑“实战化、体系化、常态化”安全能力建设，为国家网络安全监管部门和重要行业开展关键信息基础设施安全保护工作提供借鉴。
关键词：关键信息基础设施；网络安全；智慧大脑；人工智能；网络空间地图中图分类号：TP309 文献标志码： A 文章编号：1671-1122（2020）11-0001-09中文引用格式：郭启全，张海霞. 关键信息基础设施安全保护技术体系[J].信息网络安全，2020，20（11）：1-9.英文引用格式：GUO Qiquan, ZHANG Haixia. Technology System for Security Protection of Critical Information Infrastructures[J]. Netinfo Security, 2020, 20(11): 1-9.Technology System for Security Protection of CriticalInformation InfrastructuresGUO Qiquan1, ZHANG Haixia2(1. Cyber Security Department, The Ministry of Public Security, Beijing 100741, China;2. Institute of Software, Chinese Academy of Sciences, Beijing 100190, China)Abstract: Security assurance of critical information infrastructure is the core work of cyber security. This paper describes the guiding ideology of security assurance of criticalinformation infrastructure. Afterwards, it proposes the technical architecture including thecollection and aggregation layer, data governance layer, intelligent brain layer and businessapplication layer. Technologies such as big data analysis, artificial intelligence and knowledgemap are applied to construct cyber security geographic map, realize intelligent datamining,perform accurate portrait of critical targets, conduct behavior reasoning, provide threatearly-warning, and finally support the construction of practical, systematic and normalizedsecurity abilities. This paper aims to provide the basis for the national cyber securityregulatory authorities and important industries to carry out the security assurance work ofcritical information infrastructures.Key words: critical information infrastructure; cyber security; intelligent brain; artificial intelligence; cyberspace map基金项目：国家重点研发计划[2020YFB1806504]作者简介：郭启全（1962—），男，河北，研究员，硕士，主要研究方向为网络空间安全、网络空间地理学和人工智能；张海霞（1981—），女，河北，高级工程师，博士，主要研究方向为网络空间安全。
网络安全态势感知与可视化dashboard
网络安全态势感知与可视化dashboard在当今数字化时代，网络安全已成为企业和组织面临的重大挑战。
随着网络攻击手段的日益复杂和多样化，传统的网络安全防护手段已经难以满足需求。
网络安全态势感知作为一种新兴的网络安全技术，能够帮助我们全面、实时地了解网络安全状况，而可视化 dashboard 则为网络安全态势感知提供了直观、高效的展示方式。
网络安全态势感知是一种对网络安全状态进行实时监测、分析和评估的技术。
它通过收集、整合和分析来自各种安全设备、系统和网络流量的数据，来识别潜在的安全威胁、评估安全风险，并为安全决策提供支持。
网络安全态势感知的核心目标是提供对网络安全状况的全面理解，以便及时采取有效的防御措施。
那么，网络安全态势感知是如何工作的呢？首先，它需要从多个数据源收集数据，这些数据源包括防火墙、入侵检测系统、防病毒软件、服务器日志等。
收集到的数据经过预处理和标准化后，被输入到分析引擎中。
分析引擎使用各种分析方法和算法，如关联分析、机器学习、统计分析等，来识别异常活动和潜在的威胁。
然后，根据分析结果，对网络安全态势进行评估和预测，为安全决策提供依据。
然而，仅仅有网络安全态势感知还不够，如何将感知到的信息有效地传达给安全人员，以便他们能够快速做出决策，是一个关键问题。
这就需要借助可视化 dashboard 来实现。
可视化 dashboard 是一种将复杂的数据以直观、图形化的方式展示出来的工具。
通过可视化dashboard，安全人员可以一目了然地了解网络安全的整体状况，包括当前的威胁态势、受影响的资产、安全事件的分布等。
一个好的网络安全态势感知可视化 dashboard 应该具备以下几个特点。
首先，它应该具有清晰的布局和简洁的设计。
信息的展示应该层次分明，重点突出，避免过多的混乱和干扰。
其次，它应该提供多种视图和交互方式，以满足不同用户的需求。
例如，有些用户可能更关注整体的威胁态势，而有些用户可能更关心某个具体的安全事件的细节。
网络安全态势感知概述课件
设论域U和V，则U×V 的一个子集R，就是U到V的模糊关系，同样记作：
3、网络安全态势的预测
网络安全态势的预测是指根据网络安全态势的历史信息和当前状态对网络未来一段时间的发展趋势进行预测。目前网络安全态势预测一般采用神经网络、时间序列预测法和支持向量机等方法
基于 Markov 博弈模型的网络安全态势感知方法
基于 Markov博弈分析的态势量化评估
基于时间序列分析的态势预测
Markov博弈模型的建立
博弈三方: 攻击方：威胁 防守方：管理员 中立方：用户状态空间：TPN(t)的所有可能状态组成状态空间 k时刻状态空间为 TPN(t,k)={si(k), ej(k)},i=1,2,.....M j=1,2,.......N行为空间：博弈三方所有可能的行为集合攻击方：ut防守方：uv， 修补某个脆弱性、切断某条传播路径或关闭某个网络节点用户： uc，简化为网络访问率提高 10%和降低 10%
文章概述
基于态势感知的概念模型，详细阐述了态势感知的三个主要研究内容：网络安全态势要素提取、态势理解和态势预测，重点论述了各个研究点需解决的核心问题、主要算法以及各种算法的优缺点，最后对未来的发展进行了分析和展望。
概念概述
1988年，Endsley首先提出了态势感知的定义：在一定的时空范围内，认知、理解环境因素，并且对未来的发展趋势进行预测。
1、网络安全态势要素的提取
网络安全态势要素主要包括静态的配置信息、动态的运行信息以及网络的流量信息。静态的配置信息：网络的拓扑信息，脆弱性信息和状态信息等基本配置信息动态的运行信息：从各种防护措施的日志采集和分析技术获取的威胁信息等。
2、网络安全态势的理解
在获取海量网络安全信息的基础上，解析信息之间的关联性，对其进行融合，获取宏观的网络安全态势，本文称为态势评估。数据融合式态势评估的核心。应用于态势评估的数据融合算法，分为以下几类：基于逻辑关系的融合方法基于数学模型的融合方法基于概率统计的融合方法基于规则推理的融合方法
电力系统态势感知
3
或收敛到局部极值点
难以高效处理多重
4
错误同时出现的情况
清华大学电机系柔输所，韩英铎&陆超等
是拼凑出 来的“虚 拟”潮流
难以满足 更快更准
的要求
24
基于全PMU的状态测量需要改进
数据带有时标
1
同步性好
数据更新周期短 2 子站可到10ms
可获得电压电流
3
相量数据
1 数据中存在误差 和不良数据
2
数据精度还不够， 难以直接应用
清华大学电机系柔性输配电系统研究所
7
区间低频振荡曾成为影响互联电网安全与高效运行 的瓶颈。然而，传统PSS可有效解决本地振荡问题，但对于区间模式，
存在信号可观性弱、适应性及协调性不足的问题
南方电网，已安装超过370台传统PSS，区间低频振荡仍是 限制西电东送传输极限的关键因素!一些单位思维僵化，一 味让生产单位增加PSS数量，实际问题并没有质的解决！
10
11
12
-470 0
1
2
3
4
5
6
时间（秒）
7
8
9
10
清华大学电机系柔性输配电系统研究所
14
14
推广应用到四川电网
广域励磁控制
二滩
瀑布沟
以四川送出联络 线功率为反馈信 号、以二滩、瀑 布沟等大型水电
厂为控制点，抑 制“川渝—华 中—华北”互 联系统低频振
荡，解决扰动 后“长治—南 阳—荆门”特 高压交流示范
中国PMU/WAMS应用情况
到2013年底全国 500KV变电站100%, 220KV变电站约 50%以上发电厂30万 机以上,都装了PMU, 估计超3000个； 美国不到1000个, 这是我们的优势.
网络安全态势感知技术的研究
网络安全态势感知技术的研究在当今数字化高速发展的时代，网络已经成为人们生活、工作和社会运转不可或缺的一部分。
然而，随着网络的普及和应用的广泛，网络安全问题也日益凸显。
网络攻击手段不断翻新，攻击规模日益增大，给个人、企业乃至国家的信息安全带来了巨大的威胁。
在这样的背景下，网络安全态势感知技术应运而生，成为了保障网络安全的重要手段。
网络安全态势感知技术是一种对网络安全状态进行实时监测、分析和评估的技术。
它能够帮助我们全面了解网络的安全状况，及时发现潜在的安全威胁，并预测可能的安全风险。
简单来说，就像是给网络安装了一双敏锐的“眼睛”，让我们能够看清网络中的各种“风吹草动”。
要实现网络安全态势感知，首先需要进行数据采集。
这就好比是收集情报，只有掌握了足够多的信息，才能做出准确的判断。
数据的来源非常广泛，包括网络设备的日志、流量数据、系统配置信息、漏洞扫描结果等等。
这些数据就像是拼图的碎片，通过有效的手段将它们收集起来，才能拼凑出网络安全的全貌。
采集到数据后，接下来就是数据的预处理。
由于采集到的数据往往是杂乱无章、格式不一的，需要对其进行清洗、转换和整合，使其成为有价值、可分析的数据。
比如，去除重复的数据、纠正错误的数据、将不同格式的数据统一转换为标准格式等。
这一步骤就像是对收集来的情报进行筛选和整理，去除无用的信息，留下关键的线索。
在完成数据预处理后，就进入到了核心的分析阶段。
分析的方法多种多样，包括基于规则的分析、基于统计的分析、基于机器学习的分析等等。
基于规则的分析就像是按照既定的“法律法规”来判断数据是否异常；基于统计的分析则是通过对大量数据的统计特征进行分析，找出偏离正常范围的数据；而基于机器学习的分析则是让计算机通过学习大量的数据样本，自动发现潜在的安全威胁模式。
在分析的过程中，关联分析是一个非常重要的环节。
因为网络中的安全事件往往不是孤立存在的，它们之间可能存在着某种关联。
通过关联分析，可以将看似分散的安全事件联系起来，从而更全面、更深入地了解网络安全态势。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
态势感知-知识图谱
一、态势感知（SA）
定义
SA的正式定义是“对一定时间和空间环境中的元素的感知，对它们的含义的理解，并对他们稍后状态的投影，态势感知这个词最早来自于军队飞行员的领域。
对SA的正式定义分解为三个独立的层次：Level 1 - 对环境中的元素的感知
Level 2 - 对当前形势的理解（知识图谱的主要应用领域）
Level 3 - 未来状况的投影
一级：环境中元素的感知
实现SA的第一步是感知环境中的相关元素的状态，属性和动态。
对于每个域和作业类型，所需的要求是完全不同的。
飞行员需要感知的要素，如其他飞机，地形，系统状态和警告灯，以及他们的相关特性。
在驾驶舱里，持续监控所有相关的系统和飞行数据，其他飞机，和导航数据的任务相当繁重。
一个军官需要探测敌人，平民和友军的位置和行动，地形特征，障碍和天气。
一个空中交通管制或汽车司机有一套不同的态势感知。
二级SA:现状的理解
实现良好SA的第二步是理解数据和线索对目标和目的意味着什么。
理解（第2级SA）基于不相交的1级元素的综合，以及该信息与个人目标的对照（图2.3）。
它涉及集成许多数据以形成信息，并且优先考虑组合信息与实现当前目标相关的重要性和意义。
2级SA类似于具有高水平的阅读理解，而不是仅仅阅读单词。
军事指挥官的2级SA可能涉及理解在给定
成这些预测。
通过不断地前向映射，他们能够制定一套现成的战略和对事件的反应。
这让他们掌握主动，避免许多不期望的情况，并且当各种事件发生时也非常快速地响应。
二、知识图谱
1.知识图谱的概念
知识图谱旨在描述真实世界中存在的各种实体或概念及其关系,其构成一张巨大的语义网络图，节点表示实体或概念，边则由属性或关系构成。
实体: 指的是具有可区别性且独立存在的某种事物。
如某一个人、某一个城市、某一种植物等、某一种商品等等。
世界万物有具体事物组成，此指实体。
如图1的“中国”、“美国”、“日本”等。
，实体是知识图谱中的最基本元素，不同的实体间存在不同的关系。
语义类（概念）：具有同种特性的实体构成的集合，如国家、民族、书籍、电脑等。
概念主要指集合、类别、对象类型、事物的种类，例如人物、地理等。
内容: 通常作为实体和语义类的名字、描述、解释等，可以由文本、图像、音视频等来表达。
属性(值): 从一个实体指向它的属性值。
不同的属性类型对应于不同类型属性的边。
属性值主要指对象指定属性的值。
如图1所示的“面积”、“人口”、“首都”是几种不同的属性。
属性值主要指对象指定属性的值，例如960万平方公里等。
关系: 形式化为一个函数，它把kk个点映射到一个布尔值。
在知识图谱上，关系则是一个把kk个图节点(实体、语义类、属性值)映射到布尔值的函数。
基于三元组是知识图谱的一种通用表示方式，三元组的基本形式主要包括(实体1-关系-实体2)和(实体-属性-属性值)等。
每个实体(概念的外延)可用一个全局唯一确定的ID来标识，每个属性-属性值对(attribute-value pair，AVP)可用来刻画实体的内在特性，而关系可用来连接两个实体，刻画它们之间的关联。
2.知识图谱的架构
知识图谱的架构包括自身的逻辑结构以及构建知识图谱所采用的技术（体系）架构。
2.1知识图谱的逻辑结构
知识图谱在逻辑上可分为模式层与数据层两个层次，数据层主要是由一系列的事实组成，而知识将以事实为单位进行存储。
如果用(实体1，关系，实体2)、(实体、属性，属性值)这样的三元组来表达事实，可选择图数据库作为存储介质，例如开源的Neo4j、Twitter的FlockDB、sones的GraphDB等。
模式层构建在数据层之上，是知识图谱的核心，通常采用本体库来管理知识图谱的模式层。
本体是结构化知识库的概念模板，通过本体库而形成的知识库不仅层次结构较强，并且冗余程度较小。
2.2知识图谱的体系架构
图1 知识图谱的技术架构
知识图谱的体系架构是其指构建模式结构，如图2.1所示。
其中虚线框内的部分为知识图谱的构建过程，也包含知识图谱的更新过程。
知识图谱构建从最原始的数据（包括结构化、半结构化、非结构化数据）出发，采用一系列自动或者半自动的技术手段，从原始数据库和第三方数据库中提取知识事实，并将其存入知识库的数据层和模式层，这一过程包含：信息抽取、知识表示、知识融合、知识推理四个过程，每一次更新迭代均包含这四个阶段。
知识图谱主要有自顶向下(top-down)与自底向上(bottom-up)两种构建方式。
自顶向下指的是先为知识图谱定义好本体与数据模式，再将实体加入到知识库。
该构建方式需要利用一些现有的结构化知识库作为其基础知识库，例如Freebase项目就是采用这种方式，它的绝大部分数据是从维基百科中得到的。
自底向上指的是从一些开放链接数据中提取出实体，选择其中置信度较高的加入到知识库，再构建顶层的本体模式。
目前，大多数知识图谱都采用自底向上的方式进行构建，其中最典型就是
Google的Knowledge Vault和微软的Satori知识库。
现在也符合互联网数据内容知识产生的特点。
军事应用示例：
关系融合应用比传统目标位置信息融合复杂，需要一定的知识积累，在建立战场目标知识库基础上，增加相关知识融合算法，实现知识迭代更新。
本文以陆战场目标关系融合应用为例，设计了关系融合的一般应用模式，主要包括陆战场目标本体理解、机场本体建模和机场实体知识图谱构建三个部分。
1）陆战场目标本体理解：陆战场目标包括机
场、阵地、营地、基地、障碍物、人物和车
辆等，表征目标的信息内容多样、属性元素
超多且关系复杂，对目标进行理解是第一
步。
充分利用人的记忆、阅读和思维规律，采用思维导图将图形、文字和颜色相结合，构建出机场知识体系。
从机场本体中心开
始，按照基本信息、组成结构、作战能力、综合保障、武器部署、周边防御、环境及影
响和动向趋势8个子主题不断扩展和深入，逐步形成一个向周围发散的树状图。
其中，同一层节点数表明思维的广度，一个分支长度表明思维的深度，最终构成机场本体完整认知的一幅思维图谱。
机场本体思维图谱如图1所示，机场目标知识图谱如图2所示。
2）机场本体建模：基于本文本体构建方法，对机场本体进行建模。
机场本体概念子类可分为军用、民用和军民用机场，关系包括部署、防御和保障等关系，如图2上半部分（模式层）所示。
3）机场实体知识图谱构建：根据建立的机场本体模型，针对结构化和非结构化信息，按照关系融合过程进行处理，构建机场实体知识图谱，如图2下半部分（数据层）所示。
图2 机场本体思维图谱
图3 机场目标知识图谱。