网络安全态势感知的本体建模

发布时间：2020-09-16 07:19

　　现有的网络安全防护系统(入侵检测系统、防火墙等)往往关注单一角度的网络安全威胁信息,互相之间没有消息共享,缺乏协作,当大规模复杂攻击发生时就显得力不从心。为了解决这一问题,提出了网络安全态势感知的方法,通过融合网络安全要素信息实现实时地检测网络安全全局态势,并进一步预测网络安全态势走向的功能,增强了网络安全的应急响应能力。在网络安全态势感知研究中,存在着网络环境难以描述,态势要素语义异构,数据冗余等问题。针对这些问题,本文分析了现有网络安全态势感知方法的优缺点,提出了基于本体和用户自定义规则的网络安全态势感知模型。为了能够全面有效地描述网络安全态势,在分析已有的网络安全指标的基础上,提出了从生存性、威胁性和脆弱性三个方面描述网络安全态势。依照本体建模的流程,本文首先抽取反映网络安全指标的要素信息,对其进行抽象分类并归纳提取出其中的属性以及关联关系,构建了由上下文环境、攻击信息、漏洞信息和网络流量信息组成的网络安全态势感知模型。该模型可以解决态势要素多源异构,无法有效共享复用的问题。同时为了弥补本体描述能力的缺陷,本文引入了基于本体查询语言和本体规则语言的用户自定义规则;不仅增强本体模型的推理能力而且能够响应用户不同需求来设计不同的推理规则。本文运用场景分析的方法来验证模型的有效性。分别从攻击、漏洞、网络流量三个角度验证了本体模型检测复杂攻击、预测网络威胁的能力。分析表明本文提出的基于本体和用户自定义模型在评估网络安全态势具有有效性和全面性的优点。
【学位单位】：天津大学
【学位级别】：硕士
【学位年份】：2018
【中图分类】：TP393.08
【部分图文】：

本体模型

并且这六个顶层类存在内部的关联关系，由本体的对象属性sVulnerability”是上下文环境和漏洞信息之间的对象属性关系，中某个实例（例如某个主机）存在着具体的漏洞实例；“explo息与攻击信息之间的对象属性关系，代表某个漏洞可以被某个攻同时“exploit”是“exploitedby”的逆向关系，代表某个攻击是达到目的的；“supplyInformation” 是网络流量信息和上下文环性关系，代表网络流量可以反映网络上下文环境下的网络流量情的 IP 分布、不同协议的数据包分布等）。“reflect””是网络流息之间的对象属性关系，代表一些异常的网络流量信息可以反映络流量特性的攻击信息。数据传感器可以“generate”安全警报以“reason”已经发生的简单攻击和复杂攻击。本文定义的这些属性将反映网络安全状况的顶层的类关联起来，使得能得到对网的统一的形式化描述，再结合特定的推理规则就可以推理出隐含下来将详细描述各个子领域的本体模型的具体内容。

本体概念,上下文,环境,描述逻辑

第 3 章网络安全态势感知与推理上下文环境模块下文环境子领域的本体模型如图 3-4 所示，“Hardware”和“Elementext”的子类，代表了网络环境中的硬件设备、主机等基础设施。分服务类型、操作系统类型、重要性程度等方面对网络环境中的设备进式(3-1)以网络中的一个主机为例，对该主机进行描述逻辑表示,主要统类型、重要性程度、安全状态等信息。本文采用基于描述逻辑的本OWL DL）进行描述逻辑表示。每个主机拥有一个地址，并且拥有系统类型，通过用户需求设定主机的重要性程度。

概念,实例,公式,危害程度

天津大学硕士学位论文攻击信息的核心类是攻击类，具体攻击本体如图 3-5 所示。本文构建的攻击本体参考了 CAPEC 的攻击分类，攻击模式分类类型作为攻击实体的一个对象属性。此外，还分别从攻击自动化程度，攻击目的，攻击影响，攻击属性多角度的对攻击实例进行描述。攻击属性指的是发生的攻击的源地址和目的地址；攻击的自动化程度可从侧面表示实施此网络攻击的难以程度，分为了自动化，手动以及半自动化三个层次；攻击的影响代表攻击的危害程度，分为了无影响、较小威胁、较大威胁以及毁灭性危害四个危害程度；攻击目的可以帮助网络安全管理人员识别攻击者的意图。

【参考文献】