搜索
网络安全态势评估和预测的新进展作者：舒南飞，牛少彰北京邮电大学计算机学院来源：本站原创更新时间：2010-1-616:52:00正文：一、引言随着电脑和互联网技术的不断发展和广泛应用，网络安全问题越发得到重视。当前的影响网络安全态势变化的信息安全威胁有三个特点：传播速度惊人、受害面惊人和穿透深度惊人。为了从总体上认知网络安全的动态变化，同时为了适应对网络安全研究更高的实际需求，网络安全态势研究逐渐成了网络安全领域的研究热点之一。安全态势评估系统的总体目标是建立大规模网络统一、上下一体的安全态势评估体系，提供统一全网安全策略、进行广域态势评估的技术手段，为实施网络安全指挥提供态势感知和决策支持的工具。安全态势系统可应用于大规模信息系统网的广域态势。并建立起一套科学、全面、合理的评估指标体系。该评估体系是建立在某些原则的基础上,根据网络安全要素、安全特性和安全目标，确定评价指标体系，达到全面评价系统整体安全的目的。网络安全态势的研究能更好地解决网络中的信息安全威胁。本文主要分为六个部分对网络安全态势评估和预测的研究新进展进行介绍和讨论。在第一部分引言部分中，指出了网络安全态势研究的出发点和意义。第二部分中对网络安全态势研究的内容进行了介绍，并指出了研究中存在的问题和难点。第三部分，给出了网络安全态势研究的一般框架，对其思想和实现进行了简介。第四部分，将对目前具有代表性的网络安全态势评估和预测的模型进行讨论，并对其进行比较。第五部分，对网络安全态势的最新研究成果系统地给出总结，旨在清楚地认识研究现状。最后，对网络安全态势研究进行了展望，指导进一步的研究。二、网络安全态势研究的主要内容和难点网络安全态势是对网络运行状况的宏观反应，它反应了一个网络过去和当前的状况，并预测下一个阶段可能的网络状态。它的原始信息来自于该网络中的网络管理设备，网络安全设备，网络监管设备等。通过对这些数据进行数学处理，整合，产生可以反应网络运行状况的数值，图表。网络安全态势研究的内容主要包括一下三个方面：①将复杂，海量，存在冗余的数据进行归并融合处理，将特征信息更加鲜明的表现出来。再通过图形化显示，更加直观的表现网络运行状况，大大简化网络管理员的工作量。②数据通过归并简化后，减少存储历史数据时占用的空间，有助于利用历史数据对网络过去运行状况进行分析。③通过分析数据和所发生网络事件之间的内在联系，帮助网络管理员预测下一个时间段可能出现的网络安全问题，可以提早预防和及时应对。网络安全态势是一门综合的研究课题，它是在现有的安全管理技术基础上进一步发展形成的。主要的研究内容包括以下方面：⑴对原始事件的收集：将各种不同的安全设备发生的不同格式的安全日志，安全消息，安全告警信息收集，统一存放成标准化的数据格式，便于下一步的处理。对事件的关联和归并：它将收集到的海量数据进行关联分析，消除冗余的安全报警信息，整合存在内在关联的安全消息。较大程度的简化待处理的信息量。⑵网络安全态势值的算法：安全态势值是一个通过数学计算得到的反映网络某个时间段内安全状态的数值。数值产生的算法是安全态势中的一个核心技术，算法要求快速，高效，能准确反映网络实际状况。⑶网络安全态势评估方法：除了要产生安全态势值来反映网络是否安全外，还需要有相应的评估方法。它能够配合安全态势值告诉网络管理员可能发生怎样安全问题，并且提供可能的解决方案。网络安全态势结果的存放、展现方式、动态显示也是安全态势研究中的一项重要内容。如何高效管理历史态势数据，如何实时显示当前态势数据，如何便于用户的查询、查看等问题，都需要进行专项的研究。网络安全态势研究拟解决的关键性问题目前集中在态势统计分析引擎观测在所监控计算机安全域内的安全事件行为，并自适应地学习主体安全域的正常行为模式。当所观测的行为如果与所期望该主体的行为偏离显著时，就被标识为潜在的危险态势。网络安全态势系统在实用化水平，监控整个网络的态势情况，需要考虑的难点问题有：⒈跨机构的扩展性。⒉不断增长的网络复杂性。⒊多点事件关联。⒋态势可视化显示。⒌降低对新攻击行为的响应时间。⒍网络额外负荷。⒎系统容错性。由上述的网络安全态势研究的主要内容和研究难点可知，网络安全态势的研究是一个复杂的过程。本文将主要对网络安全态势的概念、评价和预测三个方面的理论研究进行介绍和讨论，而这一复杂过程的其他方面和细节在此不予涉及，诸如海量网络数据的实时处理、多源传感器数据融合、态势可视化等方面，若有需要，可以参阅相关的文献和应用。三、网络安全态势系统的框架建模是网络安全态势感知的基础。Tim使用多传感器数据融合技术来建立网络安全态势框架，对网络态势感知的概念分析后，提出了一个主要框架。它是其他模型的基础，但是它不能解决实际的安全问题，且有许多缺陷。随着网络的复杂度增加，实体、威胁、传感器和数据流显著地增加。在研究了许多NSSA模型后，ZhangYong等给出了如下的NSSA概念模型，如图1所示。图1网络安全态势感知的概念模型图2网络安全态势感知的框架基于上面的NSSA模型，ZhangYong等给出了NSSA系统新的设计方法，如下图所示。该框架给出了描述网络安全态势及其趋势的精确数学模型。特别地，该模型给出了实际安全修正模式，指导人们提高网络安全。该设计思想中包括了上述概念模型中的四个等级和安全修正五个模块，如图2所示。由于态势感知的实现被分为三层：当前态势的元素的概念，当前态势的理解和未来状态的预计。为了能评估大规模网络的安全状况，提出了一种层次的网络安全态势实现模型，如图3所示。网络的服务决定了网络安全的态势，而网络服务又受网络系统异的影响。图3层次的网络安全态势感知的实现模型图4网络安全态势感知的层次模型YINGLIANG等给出了有别于ZhangYong等的层次NSSA模型，如图4所示。对感知的理解是一个动态的过程，需要将当前的态势因素信息和历史信息相结合，来准确地反映网络安全的态势。两者的比较在于YINGLIANG等人提出的层次NSSA模型在设计时，准确地表现了将当前因素信息和历史信息相结合的思想，体现了NSSA模型实现的实际情况。四、网络安全态势的评价和预测网络安全态势评估包含了两层含义：一是实时的根据网络安全设备的告警信息，进行关联归并，数据融合，实时的反映网络实际的运行状况；二是根据历史数据，进行一定的离线分析，采用数据挖掘的手段对潜在可能的威胁进行确测。在BS7799里面定义了风险评估的定义：评估信息安全漏洞对信息处理设备带来的威胁和影响及其发生的可能性。各种不同网络安全设备每天都产生大量的信息，并且不同的网络设备之间的安全事件存在一定内在的联系。比如，当一个攻击发生时，各个安全设备都会有其相应的告警信息，或者在事件爆发的频率和类型上都会有一定相关性。安全态势值提供了一个宏观报警的方法，安全态势评估则是将安全信息数据的内在联系与某些安全事件的内在特点相互结合，当具有一定事件的爆发满足一定特点，符合一定规律的时候，安全态势评估体现可以根据这些现象得出相应的判断，告知管理员某些安全威胁发生的概率有多大。同时，针对同一风险级别的漏洞或安全事件，对不同重要度的目标服务器所造成的影响是不同的。而且，安全态势信息源中含有大量噪音，系统漏洞由于其利用条件不满足，不会对系统安全造成影响，致使安全事件的次数或漏洞的个数不能直接代表系统的安全状况。因此，如何合理的计算大规模网络安全态势值是安全态势评估领域的一个难题。目前网络安全态势评价基本采用的理论是数据融合和数据挖掘。在这两个理论的基础上结合网络自身的特点，提出一些参考模型和可计算方法。常用的网络安全态势的评估方法有：数据融合，贝叶斯推理，D-S证据推理，AHP层次分析法等等。AHP层析分析法首先将安全态势问题层次化，根据问题的性质和要求达到的总目标，将问题分解为不同的组成因素，并按照因素之间的相互关联影响以及隶属关系将因素按不同的层次聚集组合，形成一个多层次的分析结构模型。层次分析法的主要特点是定性与定量分析相结合，将人的主观判断用数量形式表达出来并进行科学处理，因此，更能适合复杂的安全态势研究领域的情况。由于层析分析法在解决安全态势评估方面的强大能力，下面将介绍LaiJibao提出的基于加权的态势评估模型和借鉴于AHP层析分析法的思想的，ZhangYong等人提出了从多角度分析的态势评价模型。4.1网络安全态势评估模型4.1.1基于加权的态势评估模型LaiJibao等人提出的态势评估模型是基于简单加权的。他们认为态势评估模型的建立应该依据网络系统所提供的服务和服务所面临的威胁。首先做出如下的假设。在时间段内（在平衡了系统处理的能力，为了保障实时性，应该尽可能的小），表示目标网络所提供的种服务.表示服务的权重。表示服务的权重，它是由管理员控制的。表示每个服务所面临的攻击的数目，服务所面临的种攻击表示为。表示一个服务所遭受的攻击的次数，表示服务遭受攻击的次数。表示在中威胁等于的集合，它是由攻击决定的。在做了如上假设之后，给出了网络安全态势值得如下定义：函数为目标网络当前的安全态势值，其值为（式4-1）用来度量威胁是因为能有效地表示网络安全态势威胁的程度。越大，目标网络所面临的威胁越危险。4.1.2ZhangYong等提出了从多角度分析的态势评价模型安全态势的评价是对安全的量化分析，是安全态势预测的基础。由于现有的大部分态势评估的模型存在缺陷，ZhangYong等提出了从多角度分析的态势评价模型。在数据收集模块中，对所有的监控网络使用了6个监测子系统，它们是恶意软件检测，入侵检测和防火墙，漏洞扫描，渗透测试，在线测试和安全服务检测。在态势感知和评估模块，出于网络的拓扑和宿主差别的考虑，首先考虑了单一计算机的安全态势评估。再根据每一个宿主的安全态势，采用加权的方法求得整个网络的安全态势。该模式中将安全因素分为三类：安全攻击，漏洞和安全服务。该模型首先对安全攻击的评估、漏洞的评估、安全服务的评估三个因素进行安全评估，最后据此得到网络的安全态势评估。4.2网络安全态势的预测模型基于当前的安全态势，目标是对模糊，随机和不确定的未来态势进行预测。LaiJibao建立了基于灰度理论的网络安全态势预测模型。灰度理论适合于建立预测模型，且能保证模型的精度。灰度理论是用来预测小规模的，不确定的数据，研究的对象是不确定的，信息部分知道和部分不知道的系统。在灰度理论中，最广泛使用的模型是GM(1,1),如下所示：（式4-2）公式中，表示发展系数，表示灰度输入。通常情况的，当时，GM(1,1)能较好地使用，预测值因的不同而改变。首先做如下的假设：在时间段内（尽可能的小），从态势数据库中选择一异常的安全序列，作为网络安全态势预测模型的输入数据序列，记为,且.由态势值的计算公式，式（4-2）的白色化方程和离散相应函数如下所示（式4-3）（式4-4）.在建立了这个模型之后，应该进行如下的误差检测。的模拟值，记为，能根据公式计算得到。原始数据的模拟值，记为能跟据公式求得。（式4-5）残差值能由式（4-6）计算得到（式4-6）因此，相对误差和平均相对误差可计算得（式4-7）（式4-8）从上述的灰度理论的分析，建立网络安全态势感知的预测模型的步骤为：（1）从假设2的原始输入数据中获得。（2）从中获得连续相邻序列的平均世代。（3）在前两步的基础上，获取发展系数，和弧度输入。（4）将和输入到公式中式4-3，式4-4中，网络安全态势预测模型得以建立。（5）根据公式4-4～4-8，检查网络安全态势预测模型的误差。除了上述的灰度理论的安全态势预测模型,使用比较多的还有时间序列的态势预测模型。五、网络安全态势的最新研究成果中国科技大学的ZhangYong等提出了基于多角度分析的网络安全态势感知评估模型，并采用时间序列分析方法对安全态势进行预测。模型中从安全攻击、漏洞和安全服务角度去评估当前的网络安全态势，能精确地藐视网络安全态势，比简单的层次模型更加全面。在时间序列分析的预测中，模拟结果表明模型有效地应用于安全态势评估和预测。但模型应用到实际网络环境中还存在困难[1]。上海交通大