网络态势感知系统研究综述(3)

目前数据挖掘在网络安全领域有着很好的发展前景，但仍有一些问题有待解决。如数据挖掘前期所需要的训练数据来之不易；从大量数据中进行挖掘，很费时间和资源，很难保

证实时陛等。如何将数据挖掘与机器学习、模式识别、归纳推

理、统计学、数据库、数据可视化和高性能计算等相关领域有机结合，达到挖掘有用信息的最佳效果，还有待进一步研究。

４．２数据融合

数据融合技术出现于２０世纪８０年代，真正得到发展则是在９０年代。该项技术发展之初就在军事领域得到了广泛的重视和应用。目前所说的数据融合这一概念来源于早期军事领域，主要研究在现代战场中对多源信息的快速有效处理。美国国防部ＪＤＬＥＺｑ从军事应用角度给出了数据融合的定义。目前数据融合的应用已拓展到图像融合、机器人传感处理、网络安全等领域。

为了保证网络空间的安全性，针对当前ＩＤＳ系统误报率高和对时间及空间上分散的协同攻击无法有效检测的缺陷，引入了数据融合技术。在文［３２］中，ＣｈｒｉｓｔｏｓＳｉａｔｅｒｌｉｓ和１３ａｓ—

ｉｌ

Ｍａｇｌａｒｉｓ运用该技术设计出检测ＤＤｏＳ攻击的模型，验证了数据融合是一种可以有效增加ＤＥｌｏＳ检测率、降低虚警率的方法。这里所研究的数据融合技术是指对来自网络环境中的具有相似或不同特征模式的多源信息进行互补集成，从而获得对当前网络状态的准确判断。ＴｉｍＢａｓｓ在文［－３３－１中首次提出将ＪＤＬ模型直接运用到网络态势感知领域，这为以后数据融合技术在网络态势感知领域的应用奠定了基础，是该技术在此领域应用的一个起点。ＪａｓｏｎＳｈｉｆｆｌｅｔＥ６］运用数据融合技术构造了一个网络入侵检测模型，实现了网络空间的态势感知。国内也有一些科研机构尝试把数据融合技术应用到网络安全领域，提出了应用数据融合技术的网络安全分析评估系统［３“、入侵检测系统［３５］等。

目前用于数据融合领域的典型算法有贝叶斯网络和Ｄ－Ｓ证据推理［３引。贝叶斯网络是神经网络和贝叶斯推理的结合。它使用节点和弧来代表域知识，节点之间可通过弧来传播新的信息。网络中保存的知识可以由专家指定，也可以通过样本进行学习。贝叶斯网络还使用了具有语义性的贝叶斯推理

万　

方数据８

逻辑，它更能反映容易理解的推理过程，因此也在具有内在不确定性的推理和决策问题中得到了广泛的应用。作为一种知识表示和进行概率推理的框架，将贝叶斯网络应用于态势感知，具有广阔的发展前景。

Ｄ－Ｓ证据理论是Ｄｅｍｐｓｔｅｒ于２０世纪６０年代提出的，试图用概率上下限来表示实际问题中的不确定性。Ｓｈａｆｅｒ对它做了进一步的发展，并使之系统化、理论化，形成了一种不确定推理理论，即Ｄ－Ｓ证据理论。它允许人们对不精确和不确定性问题进行建模、推理，为融合不确定信息提供了一条思路；另外，它不要求融合信息具有同类性，因而在融合处理异类、同步、异步信息方面优势也很明显。但是，在证据严重冲突的情况下，组合结果往往与实际情况不相符。

基于上述知识我们不难发现，设计出高效、快速的融合算法是数据融合技术快速发展的关键。这就要求我们综合运用多学科的知识，进一步设计出完善的算法，将有利于数据融合技术更好地用于网络态势感知。

４．３态势可视化

态势生成是依据大量数据的分析结果来显示当前状态和未来趋势，而通过传统的文本形式，无法直观地将结果呈现给用户。可视化技术正是通过将大量的、抽象的数据以图形的方式表现，实现并行的图形信息搜索，提高可视化系统信息处理的速度和效率。

从计算机安全领域的角度来看，可视化技术最初是用来实现对系统日志或者ＩＤＳ日志的显示。Ｔ．Ｔａｋａｔａ和Ｈ．Ｋｏｉｋｅ开发的ＭｉｅｌｏｇＥ３７］可以实现Ｅｌ志可视化和统计分析的交互式系统，依据日志的分类统计分析结果，进行相应的可视化显示。Ｈ．Ｋｏｉｋｅ和Ｋ．Ｏｈｎｏ专门为分析Ｓｆｉｂｒｔ日志以及Ｓｙｓｌｏｇ数据开发的ＳｎｏｒｔＶｉｅｗＥ３８］系统，可以实现每２ｍｉｎ对视图的一次更新，并可以显示４ｈ以内的报警数据。Ｒ．Ｄａｎｙｌｉｗ的ＡＣＩＤ（ｔｈｅ

ＡｎａｌｙｓｉｓＣｏｎｓｏｌｅｆｏｒＩｎｔｒｕｓｉｏｎ

Ｄａｔａｂａｓｅｓ）系

统［３９］也是为分析ＳｎｏｒｔＥｔ志而设计，使用基于Ｗｅｂ的接口，在ＨＴＭＬ中以图标的形式表示报警信息。ＲＢａｃｈｅｒ基于

ＨｕｍｍｅｒＩＤＳ采集的日志实现了Ｅｒｂａｃｈｅｒ’ＳＨｕｍｍｅｒＩＤＳ可

视化系统［４…。

然而，基于日志数据的可视化显示受到日志本身特性的限制，实时性不好，需要较长的时间才能上报给系统，无法满足实时性要求高的网络需求，因此提出了基于数据流的可视化工具。Ｔｈｅ

ｓｐｉｎｎｉｎｇ

ｃｕｂｅｏｆｔｈｅｐｏｔｅｎｔｉａｌｄｏｏｍ工具∽ｏ是由

Ｓｔｅｐｈｅｎ

Ｌａｕ开发的，为了能在三维空间中尽可能多地显示网

络中实时存在的信息，首次采用了“点”表示连接的方法，在一定程度上消除了视觉障碍的影响，起到了比较好的效果。由

ＧｒｅｇｏｒｙＣｏｎｔｉ和Ｋｕｌｓｏｏｍ

Ａｂｄｕｌｌａｈ开发的可视化工具［４１］通

过对网络流量的实时监控，能够提取出网络攻击行为的特征。由ＳｖｅｎＫｒａｓｓｅｒ等人开发的ＳｅｃＶｉｚＥ４２］在三维的可视化视图中，以离散的、平行的点表示捕获的数据，使得一些网络攻击行为在视图中显示得十分明显，易于发现。

对于大规模的网络，主机间的数据交换以及连接的建立活动非常频繁，仅依靠流量数据无法准确地判断网络态势，于是提出了基于多数据源、多视图的可视化系统。Ｃ．Ｐ．Ｌｅｅ等人提出的ＶｉｓｕａｌＦｉｒｅｗａｌ系统Ｅ４３］基于Ｍｏｄｅｌ

Ｖｉｅｗ

Ｃｏｎｔｒｏｌｌｅｒ

（ＭＶＯ的事件驱动结构，有两个数据源：ＩＤＳ警报以及防火墙事件数据。系统使用Ｊａｖａ语言实现，借助于ＪＯＧＬ和ＪＦｒｅｅｃｈａｒｔ实现图形的可视化。系统中采用了４种视图：ｒｅａｌ—

ｔｉｍｅ

ｔｒａｆｆｉｃｖｉｅｗ；ｖｉｓｕａｌｓｉｇｎａｔｕｒｅｖｉｅｗ；ｓｔａｔｉｓｔｉｃｖｉｅｗ；ＩＤＳ

ａ—

ｌａｒｍｖｉｅｗ，分别显示了ｎｅｔｗｏｒｋｔｒａｆｆｉｃ、ｐａｃｋｅｔｆｌｏｗ、ｔｈｒｏｕｇｈ—ｐｕｔ、可疑行为的视图显示，为网络的整体态势提供了一个全面的显示。ＮＣＳＡ的ＳＩＦＴ（Ｓｅｃｕｒｉｔｙ

ＩｎｃｉｄｅｎｔＦｕｓｉｏｎ

Ｔｏｏｌｓ）也

着重于将安全信息可视化，开发了ＮＶｉｓｉｏｎｌＰ［１２］、ＶｉｓＦ［ｏｗ—Ｃｏｎｎｅｃｔ［１４］等工具，它们都是基于ＮｅｔＦｌｏｗ设计的。在实现时使用了两个数据源：一个是由ＣＩＳＣＯ路由器上得到的Ｎｅｔ－Ｆｌｏｗｓ，另一个是从ｔｃｐｄｕｍｐ数据中得到的Ａｒｇｕｓ

ＮｅｔＦｌｏｗｓ。

在显示结果上，二者都不仅仅针对入侵行为的显示，而是对整体态势的显示。二者最大的区别是ＮＶｉｓｉｏｎｌＰ提供的是基于主机的视图，ＶｉｓＦｌｏｗＣｏｎｎｅｃｔ提供的是基于连接的视图。

随着可视化技术在安全态势领域的应用，有人提出应将可视化应用于网络态势感知的整个过程。如图５所示，Ａｎｉｔａ

Ｄ’

Ａｍｉｃｏ和ＭｉｃｈａｅｌＫｏｃｋａ在文［４ …… 此处隐藏：2419字，全部文档内容请下载后查看。喜欢就下载吧 ……