基于知识发现的网络安全态势感知框架外文文献--中文翻译

一、 引言
传统的网络安全设备，如入侵检测系统（IDS ） ，防火墙，安全扫描器彼此 独立运作，它们几乎没有自己所要保护的网络资源的信息。由于缺乏信息，在对 安全警告作解释和对相应的态势作出决策时，它往往给出很多模棱两可的答案。 网络系统遭受各种安全威胁，包括网络蠕虫、大规模的网络攻击等，网络安全态 势感知是解决这些问题的有效途径。网络安全态势感知的一般过程就是，感知发 生在一定时间段和网络环境的网络安全事件，综合处理安全数据，分析系统所受 到攻击行为，提供全局的网络安全观，评估整体的安全态势并预测未来的网络安 全趋势。 在实现网络安全态势感知时存在着一些困难，如下： （1） 从各种安全传感器生成的警报事件数量是巨大的，假阳性率太高。 （2） 由于大规模网络攻击（例如:DDos）所产生的琐碎的安全警报非常复杂， 并且 它们之间的关系难以确定。 （3） 安全传感器产生的警报事件数据类型数量巨大，然而对警报事件进行处
果属性 P( ei )不属于 H 的某个合法集。 如果一些键的属性丢失或者超出预定义范围， 警报事件就会被删除。
confidence ei' ，利用信息融合技术（如 D-S 证据理论的），它 事件融合： ei
主要解决了碰撞警报和警报合并使用的题，从而提高警报事件的可信率，降低 假阳性率。
基于知识发现的网络安全态势感知框架
摘要： 由于以往的安全警戒事件， 网络安全态势感知提供了独特的高级别安全观 。 但基于网络的安全警报数据的复杂性和多样性使得对其作分析极为困难。在本文 中，我们分析的网络安全态势感知系统中存在的问题，并提出了基于知识发现的 网络安全态势感知框架。该框架包括网络安全态势模型生成、网络安全态势产生。 建模的目的，是构建基于 d-s 理论的网络安全态势检测的形式化模型，并支持融 合和分析来自于传感器安全态势的安全警报事件的一般化过程。新一代网络安全 态势就是从基于知识发现方法的网络安全态势数据集中提取出频繁模式和序列模 式，并把这些模式转换为网络安全态势的相关规则，最后自动生成网络安全态势 图。集成网络安全态势感知系统（Net-SSA ）的应用表明，这种框架支持网络安 全态势模型的精确生成和有效发展。 关键词：网络安全；态势感知；数据挖掘;知识发现
二、 基本概念和相关工作
A. 基本概念 为方便描述和避免混淆，相关的名词定义如下： 安全态势：它指的是处于监督状态的网络的整体安全状况，在一定的时间窗 口遭受的网络攻击，对整个网络安全的影响。一般来说，安全态势的信息，包括 两个方面，时间维度和空间分布维度。 安全事件：它是指由各种网络安全态势传感器产生和由网络入侵或检测参数 超 出 阈 值 产 生 的 警 报 事 件 。 它 可 以 表 示 成 一 个 多 元 组 ei ={ detectTim ei , eventTyp ei ' attac k i ,srcI Pi , sensorI Di , confidenc ei , severit yi , othe ri }。其中， detectTimei 指警报事件发生的时间; eventTypei 是 指警报事件的类型， attacki 是指攻击检测警报所属的类; srcI 和 Desi 指警报事件 的源和目的地址; srcPorti 和 desPorti 指警报事件的源和目的端口; protocol 指协 议类型 ; sensorID 是指传感器检测到的事件; confidencei 是指警报的事件的可信 率; severit yi 是指警报事件的严重级别; otheri 是指警报事件的其他信息。 安全态势建模：它指的是分析各种安全传感器所产生的警报事件，并最终产 生全局网络安全态势的过程。它包括以下功能： 事件简化：[ e1 , e2 , e3 ,…, en ] em ,简化其中有重复定义或并发性关系的冗余 警报事件，以减少有效警报的数量。 事件过滤：[ ei ,P( ei ) H] ,警报事件已被删除或标记为无关的事件，如 desI Pi , srcPor ti , desPor ti , protoco li ,
confidence en 1 ，当前的网络安全事件，活动和情 事件关联：[ e1 , e2 , e3 ,…, en ]
况，可以从不同类型的警报事件源所使用的数学或启发式方法推断出来，从而提 高检出率，降低假阴性率。 状态评估：它指的是对来自于多层次的基于空间和时间维度中的分布式攻击 行为和网络资源的作用的安全状态评估。 知识发现（KD）：它是指确定来自于从传感器收集到的安全事件集的新模式 的非平凡过程，这些传感器易于理解，而且对于获知安全状况很有用。知识发现 的目的是提取安全事件的融合和关联所需要的规则。 安全状态产生：在网络安全状态感知的过程中，安全局势的模型是标准化的， 受限制的，可推断的，正确的，通过从知识发现中获取的模式信息进行补充，最 后生成的全局网络的安全状况。 B. 相关工作 为了应付陆续增加的信息安全威胁，多种安全设备已被用于大型网络。这些 设备可以产生大量的安全事件预报。当面临着太多的预警信息，要获得当前整个 网络的安全状态是非常困难的。为了解决这一问题，许多研究已把“状态感知” 的概念引入互联网安全系统。巴斯是第一个引入网络这一概念的人，并且他提出 了基于多传感器数据融合的网络安全认知框架[1] [ 2 ] 。它可以帮助网络管理员 识别，跟踪和衡量网络攻击活动。通过参考 Endsley 的状态感知框架，Jibao 等人 出了“网络安全状态感知模型”。另一方面，根据巴斯的理论，Liu 等人提出了基 于信息融合的网络安全感知模型。 为了了解整个网络安全的趋势，我们必须收集，融合和分析大量的信息，减少假 阳性率和假阴性率。Yu 等人公布了一个基于加权 D-S 理论的警告信息融合方法。 这种方法通过融合具有不同可靠性和权值的传感器信息，增加了警报信息的可靠
理时警 报处理程序得不到足够的信息，而且自动获取这些信息是相当困难的。 在本文中，我们总结的网络安全态势感知的研究过程，提出了一个基于知识 发现的网络安全态势感知的框架，并应用到我们的网络安全态势感知系统（NETSSA）。本文其余部分组织如下：第 2 节介绍了网络安全态势感知的概念和功能， 并总结了该领域的相关研究;第 3 节提出我们的“基于知识发现的网络安全态势感 知框架”;第 4 节演示实验结果，第 5 节总结今后的工作方向。