基于粒子濾波的網(wǎng)絡(luò)安全態(tài)勢預(yù)測方法研究

湯永利 李偉杰 于金霞 閆璽璽

(河南理工大學(xué)計算機(jī)科學(xué)與技術(shù)學(xué)院 河南 焦作 454000)

基于粒子濾波的網(wǎng)絡(luò)安全態(tài)勢預(yù)測方法研究

湯永利 李偉杰 于金霞 閆璽璽

(河南理工大學(xué)計算機(jī)科學(xué)與技術(shù)學(xué)院 河南 焦作 454000)

為了使網(wǎng)絡(luò)管理由被動防御轉(zhuǎn)為主動防御，需對網(wǎng)絡(luò)安全態(tài)勢進(jìn)行預(yù)測。針對已有態(tài)勢預(yù)測方法存在的準(zhǔn)確性不高、需要樣本訓(xùn)練問題，提出基于粒子濾波的網(wǎng)絡(luò)安全態(tài)勢預(yù)測方法。該方法利用帶權(quán)粒子集逼近系統(tǒng)的后驗概率密度函數(shù)，通過重要性采樣、權(quán)值更新、狀態(tài)估計等近似積分操作來實現(xiàn)非線性狀態(tài)預(yù)測。實驗結(jié)果表明，該方法不僅能體現(xiàn)網(wǎng)絡(luò)安全狀態(tài)的非線性，也預(yù)測了網(wǎng)絡(luò)安全態(tài)勢值。對比其他態(tài)勢預(yù)測模型，該方法準(zhǔn)確性更高，且適應(yīng)于復(fù)雜網(wǎng)絡(luò)環(huán)境。

網(wǎng)絡(luò)安全 態(tài)勢預(yù)測 粒子濾波

0 引 言

賽博空間作為一種復(fù)雜且開放的網(wǎng)絡(luò)環(huán)境，時刻受到未知攻擊及突發(fā)事件的威脅，其保密性、可用性面臨挑戰(zhàn)。而傳統(tǒng)網(wǎng)絡(luò)管理設(shè)備處于獨(dú)立狀態(tài)，雖提供了海量網(wǎng)絡(luò)數(shù)據(jù)，但缺少對網(wǎng)絡(luò)系統(tǒng)的全局感知能力，且增加了數(shù)據(jù)處理壓力和決策時間，貽誤了處理威脅的最佳時機(jī)。自態(tài)勢感知理論延伸至互聯(lián)網(wǎng)領(lǐng)域，網(wǎng)絡(luò)安全態(tài)勢感知作為新興研究方向，對網(wǎng)絡(luò)安全管理具有重要意義。

美國RIT的Holsopple[1]提出TANDI模型，利用融合IDS報警事件來描述網(wǎng)絡(luò)安全態(tài)勢；劉一博等[2]提出一種面向網(wǎng)絡(luò)實時業(yè)務(wù)的網(wǎng)絡(luò)安全態(tài)勢評估方法，以實時業(yè)務(wù)動態(tài)地評估網(wǎng)絡(luò)安全態(tài)勢；席榮榮等[3]基于隱馬爾可夫模型，提出一種改進(jìn)的網(wǎng)絡(luò)安全態(tài)勢量化評估方法；吳迪等[4]提出一種基于攻擊圖的安全威脅評估方法，通過D-S理論給出各個攻擊子圖相應(yīng)的威脅度量值，實現(xiàn)網(wǎng)絡(luò)安全態(tài)勢評估。唐成華等[5]提出基于D-S融合知識的網(wǎng)絡(luò)安全態(tài)勢評估及驗證。這些評估方法雖通過對影響系統(tǒng)運(yùn)行狀態(tài)的態(tài)勢要素進(jìn)行提取、分析、理解，實現(xiàn)了網(wǎng)絡(luò)安全態(tài)勢評估，但屬于被動管理策略。

網(wǎng)絡(luò)安全態(tài)勢預(yù)測是對系統(tǒng)運(yùn)行狀態(tài)信息的進(jìn)一步理解和評估，通過對歷史數(shù)據(jù)分析來推斷出未來狀態(tài)變化趨勢，屬于主動防御。通過預(yù)測下一段時間系統(tǒng)狀態(tài)，降低了大量數(shù)據(jù)引起的決策難度，實現(xiàn)了主動性網(wǎng)絡(luò)管理。常見的網(wǎng)絡(luò)安全態(tài)勢預(yù)測模型有基于鄧勇杰等[6]提出一種基于灰色理論的網(wǎng)絡(luò)安全預(yù)測方法，GM(1，1)相對簡單、便于計算，但無法反映出系統(tǒng)安全狀態(tài)變化的隨機(jī)動態(tài)性，不能滿足狀態(tài)預(yù)測的準(zhǔn)確性要求；謝麗霞等[7]利用RBF神經(jīng)網(wǎng)絡(luò)算法計算出反映系統(tǒng)狀態(tài)的非線性時間序列值。該算法在樣本訓(xùn)練和參數(shù)優(yōu)化后，可以做到準(zhǔn)確預(yù)測，但需先樣本學(xué)習(xí)進(jìn)行(M,N)值訓(xùn)練，不能應(yīng)對未知攻擊。

針對上述預(yù)測方法存在的問題，本文提出了一種基于粒子濾波PF(Particle Filter)的網(wǎng)絡(luò)安全態(tài)勢預(yù)測模型。該模型利用粒子濾波的非線性動態(tài)狀態(tài)估計能力，對當(dāng)前態(tài)勢因子估計預(yù)測，以粒子集加權(quán)求和來實現(xiàn)下一刻態(tài)勢預(yù)測。仿真實驗表明，該模型在無樣本訓(xùn)練下，能對復(fù)雜網(wǎng)絡(luò)環(huán)境進(jìn)行準(zhǔn)確預(yù)測。

1 基于粒子濾波的網(wǎng)絡(luò)安全態(tài)勢預(yù)測模型

網(wǎng)絡(luò)安全態(tài)勢是指對系統(tǒng)運(yùn)行狀態(tài)和趨勢的綜合評價，因網(wǎng)絡(luò)系統(tǒng)的不確定性，而表現(xiàn)出非線性和隨機(jī)性等特征。網(wǎng)絡(luò)安全態(tài)勢預(yù)測是指對系統(tǒng)安全狀況的估計，也是對態(tài)勢值時間序列的預(yù)判。表征系統(tǒng)狀況的態(tài)勢值具有非線性特點，利用粒子濾波的非線性狀態(tài)估計能力對態(tài)勢值進(jìn)行預(yù)測綜合，從而推理出系統(tǒng)狀態(tài)的未來趨勢。

1.1 網(wǎng)絡(luò)安全態(tài)勢值

通過定量和定性分析系統(tǒng)運(yùn)行狀態(tài)中態(tài)勢因子獲得的數(shù)值，不僅映射出態(tài)勢因子與態(tài)勢值的關(guān)聯(lián)，也直觀地反映系統(tǒng)當(dāng)前狀況，并為網(wǎng)絡(luò)安全態(tài)勢預(yù)測提供數(shù)據(jù)參數(shù)。利用數(shù)學(xué)模型將態(tài)勢因子融合歸并為在[0,1]之間的數(shù)值，通過對態(tài)勢因子的綜合計算來感知網(wǎng)絡(luò)安全狀態(tài)變化[8]。量化后的態(tài)勢值應(yīng)表現(xiàn)出非線性動態(tài)特征，即隨著入侵攻擊次數(shù)、攻擊危險性的不同，其大小也發(fā)生變化。本文提出的態(tài)勢值計算模型，通過提取出關(guān)鍵態(tài)勢因子，構(gòu)造權(quán)值評價函數(shù)，通過加權(quán)平均得到態(tài)勢值，如圖1所示。

圖1 態(tài)勢值計算模型

基于加權(quán)平均思想的態(tài)勢值數(shù)學(xué)表達(dá)式為：

(1)

式中，NSA表示態(tài)勢值，表征了當(dāng)前網(wǎng)絡(luò)安全態(tài)勢的威脅程度，wi表示態(tài)勢因子i對應(yīng)的權(quán)值，ni表示相應(yīng)態(tài)勢因子i的頻率統(tǒng)計。wi決定了態(tài)勢因子對系統(tǒng)態(tài)勢安全的影響大小和重要性。

1.2 粒子濾波算法

粒子濾波PF[9]是一種基于蒙特卡羅原理和貝葉斯估計的濾波算法。相比貝葉斯估計理論[10]，當(dāng)粒子濾波采集的粒子(樣本)數(shù)目足夠大，其準(zhǔn)確性接近貝葉斯最優(yōu)估計，且不需要對系統(tǒng)狀態(tài)空間作出線性和高斯的假定，便于對所有非線性非高斯系統(tǒng)建模和估計。算法同時也利用大量的隨機(jī)粒子(樣本)求和來擬合逼近系統(tǒng)狀態(tài)的先驗概率和后驗概率的分布，具有計算簡單的特點，在機(jī)器人定位、視頻目標(biāo)識別和跟蹤等領(lǐng)域得到應(yīng)用和研究[11]。

算法思想是通過帶權(quán)粒子集合的加權(quán)和計算出目標(biāo)系統(tǒng)的后驗概率分布，以粒子均值近似積分來獲得系統(tǒng)狀態(tài)估計[12]。基本算法包含重要性采樣、權(quán)值更新、重采樣、狀態(tài)估計等四個部分。重要性采樣利用遞推形式重新采樣，達(dá)到粒子傳播的目的；權(quán)值更新在獲得觀測值后，通過重新計算對任意粒子權(quán)值進(jìn)行賦值；重采樣通過設(shè)置閾值，過濾掉低權(quán)值粒子來解決粒子退化問題；狀態(tài)估計通過所有粒子權(quán)值求和來完成對下一時刻的系統(tǒng)狀態(tài)預(yù)測。

算法的基本流程如圖2所示。

圖2 PF算法流程圖

1.3 基于粒子濾波算法的網(wǎng)絡(luò)安全態(tài)勢預(yù)測

在基于粒子濾波的網(wǎng)絡(luò)安全態(tài)勢預(yù)測中，通過建立一種狀態(tài)空間模型來對目標(biāo)狀態(tài)問題進(jìn)行解釋說明，基于“采樣-更新-預(yù)測”這一迭代過程來實現(xiàn)對態(tài)勢值的跟蹤和修正，減少誤差來提高準(zhǔn)確性。為完成系統(tǒng)狀態(tài)預(yù)測，需要對系統(tǒng)狀態(tài)問題建立合適的目標(biāo)表達(dá)式。而目標(biāo)狀態(tài)的表示既要考慮目標(biāo)系統(tǒng)實際情況，又要便于實現(xiàn)數(shù)學(xué)運(yùn)算。網(wǎng)絡(luò)安全態(tài)勢一般通過選定態(tài)勢因子，通過計算間接得出[13]。目標(biāo)態(tài)勢表達(dá)式為：

X=[x0,x1,…xi…,xn]

(2)

式中，xi代表網(wǎng)絡(luò)安全態(tài)勢因子。通常以IDS事件和Netflow流量為基本態(tài)勢信息，結(jié)合系統(tǒng)資源消耗，通過定量評估來發(fā)現(xiàn)系統(tǒng)的安全威脅狀況。

在建立狀態(tài)空間模型時，不僅要考慮目標(biāo)狀態(tài)的表達(dá)方式，也要考慮對應(yīng)系統(tǒng)的特點。狀態(tài)空間模型通常由轉(zhuǎn)移模型和觀測模型構(gòu)成。

(3)

通過狀態(tài)轉(zhuǎn)移方程式來實現(xiàn)當(dāng)前時間點到下一時間點的系統(tǒng)狀態(tài)傳遞。式中，{xi(t+1)}(i=0,1,…,n) 表示t+1時刻態(tài)勢預(yù)測值集合，xi(t)(i=0,1,…,n)表示t時刻，態(tài)勢因子i對應(yīng)值，vi(i=0,1,…,n)表示轉(zhuǎn)移噪聲，使系統(tǒng)狀態(tài)在一定范圍內(nèi)隨機(jī)性波動，以體現(xiàn)態(tài)勢變化的非線性特征。A表示狀態(tài)轉(zhuǎn)移矩陣，形如：

觀測模型定義為：

z(t)=hx(t)+ut

(4)

式中，z(t)表示觀測似然函數(shù)值，通過相似度度量計算，融入觀測模型中，決定了狀態(tài)估計的穩(wěn)定性和魯棒性。

基于粒子濾波的網(wǎng)絡(luò)安全態(tài)勢預(yù)測方法基本步驟如下：

Step 1 初始化

Step 2 重要性采樣

Step 3 權(quán)值更新

根據(jù)式(4)得t時刻觀測值z(t)，并修正傳播過程中的先驗概率密度，通過式(5)-式(7)來實現(xiàn)權(quán)值更新：

C(t)=z(t)-hAx(t-1)

(5)

式中，C(t)為態(tài)勢值相似度值。

(6)

歸一化：

(7)

Step 4 態(tài)勢預(yù)測

(8)

Step 5 重采樣

Step 6t=t+1，轉(zhuǎn)到Step2。

2 仿真實驗

2.1 實驗環(huán)境

實驗數(shù)據(jù)集來源于HoneyNet組織，數(shù)據(jù)集包含Port掃描、Ping掃描、RPC信息請求以及緩沖區(qū)溢出等黑客攻擊信息。仿真實驗數(shù)據(jù)為HoneyNet組織從2000年7月5日到2000年9月5日連續(xù)3個月的數(shù)據(jù)集，除去一些不完整數(shù)據(jù)，以一天為預(yù)測周期，共收集到70個周期數(shù)據(jù)。為了降低重復(fù)數(shù)據(jù)和數(shù)據(jù)跨度大對實驗結(jié)果的影響，對數(shù)據(jù)集進(jìn)行聚類處理和歸一化處理，歸一化處理公式如下：

(9)

式中，X代表原始態(tài)勢因子的數(shù)值，Xmin代表態(tài)勢因子最小數(shù)值，Xmax代表態(tài)勢因子最大數(shù)值，X′代表歸一后態(tài)勢因子數(shù)值。

對實驗數(shù)據(jù)進(jìn)行標(biāo)準(zhǔn)化處理后得70個周期的實驗數(shù)據(jù)。態(tài)勢值由式(1)計算得出，現(xiàn)給出前30周期的網(wǎng)絡(luò)態(tài)勢值，如圖3所示。

圖3 網(wǎng)絡(luò)安全態(tài)勢值

2.2 實驗結(jié)果與分析

初始化粒子濾波，設(shè)定相關(guān)參數(shù)：

t=0，x=[0]，回歸系數(shù)(a00,a01,…,ann)和vi由最小二乘方得：

vn=[0.1002,0.1.807,0.11832,…,0.23261]

C(t)=-0.3035 h=[1 0 … 0]

由式(8)得t時刻的態(tài)勢值：

由基于粒子濾波PF預(yù)測模型對網(wǎng)絡(luò)安全態(tài)勢值預(yù)測，并與實際值進(jìn)行對比，結(jié)果如圖4所示。

圖4 基于PF的態(tài)勢值與實際值對比圖

由圖4可知，本文預(yù)測模型得到的態(tài)勢值與實際值基本相符，其變化曲線體現(xiàn)出了網(wǎng)絡(luò)安全態(tài)勢的非線性和動態(tài)性。實驗表明，基于粒子濾波的網(wǎng)絡(luò)安全態(tài)勢預(yù)測方法對網(wǎng)絡(luò)安全態(tài)勢預(yù)測方面是可行的。

為驗證本文方法在真實環(huán)境下的有效性，根據(jù)HoneyNet數(shù)據(jù)提供的特征信息，結(jié)合IDS報警信息構(gòu)建僅有常見服務(wù)器的簡化實驗環(huán)境，具體的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖5所示。

圖5 實驗環(huán)境網(wǎng)絡(luò)拓?fù)?/p>

根據(jù)實驗場景，收集來自路由器Netflow數(shù)據(jù)流信息以及IDS的報警信息，作為下一步對比實驗真實的數(shù)據(jù)源。根據(jù)文獻(xiàn)[8]提出的網(wǎng)絡(luò)態(tài)勢指標(biāo)體系，對收集的實驗數(shù)據(jù)提取關(guān)鍵態(tài)勢因子，歸一化后部分實驗數(shù)據(jù)，如表1所示。

表1 實驗數(shù)據(jù)具體參數(shù)

利用式(1)對原始數(shù)據(jù)計算出態(tài)勢值進(jìn)行態(tài)勢預(yù)測，分別與GM(1,1)、RBF預(yù)測算法進(jìn)行對比。表2給出了3種算法的預(yù)測結(jié)果均方根誤差。

表2 預(yù)測結(jié)果均方根誤差對比

由表2可知，PF算法的預(yù)測均方根誤差與RBF算法的基本一致，但明顯優(yōu)于GM(1,1)算法。通過計算預(yù)測算法的均方根誤差，來反映算法預(yù)測的態(tài)勢值與實際值的誤差距離。實驗表明，本文預(yù)測算法的預(yù)測值與實際值誤差較小，具有一定的準(zhǔn)確性。

基于3種預(yù)測算法的預(yù)測結(jié)果對比，如圖6所示。

圖6 預(yù)測算法的態(tài)勢值對比

如圖6所示，基于GM(1,1)預(yù)測模型是基于累加生成的數(shù)列，其態(tài)勢變化曲線是較平滑的曲線，在突發(fā)的網(wǎng)絡(luò)環(huán)境不能較好地體現(xiàn)安全態(tài)勢的隨機(jī)波動性。實驗表明，當(dāng)系統(tǒng)安全狀態(tài)波動程度有所增大時，GM(1,1)預(yù)測模型的預(yù)測誤差隨之增加，無法準(zhǔn)確地反映和預(yù)測系統(tǒng)安全態(tài)勢發(fā)展趨勢；基于RBF的網(wǎng)絡(luò)安全態(tài)勢預(yù)測算法是一種基于神經(jīng)網(wǎng)絡(luò)的預(yù)測算法，通過樣本訓(xùn)練使其具有預(yù)測能力和泛化能力，從而實現(xiàn)對網(wǎng)絡(luò)安全態(tài)勢值的預(yù)測，其預(yù)測變化曲線體現(xiàn)了網(wǎng)絡(luò)安全態(tài)勢的隨機(jī)波動性及非線性特征。但是，RBF算法需先進(jìn)行樣本訓(xùn)練且訓(xùn)練速度慢，通常為滿足預(yù)測準(zhǔn)確性要求需要優(yōu)化算法對其進(jìn)行參數(shù)優(yōu)化，對于未知的網(wǎng)絡(luò)入侵事件，不能更好的實時預(yù)測。

基于PF的網(wǎng)絡(luò)安全態(tài)勢預(yù)測算法依靠其非線性擬合能力僅對當(dāng)前系統(tǒng)中的態(tài)勢因子進(jìn)行采樣、更新權(quán)值和預(yù)測估計等操作，不依賴歷史樣本訓(xùn)練，可以在復(fù)雜網(wǎng)絡(luò)環(huán)境中進(jìn)行網(wǎng)絡(luò)安全態(tài)勢預(yù)測。

3 結(jié) 語

通過對網(wǎng)絡(luò)安全態(tài)勢預(yù)測來掌握系統(tǒng)安全狀態(tài)的未來發(fā)展趨勢，從而實現(xiàn)主動性的網(wǎng)絡(luò)管理。針對已有算法存在的一些問題，本文給出了基于粒子濾波的網(wǎng)絡(luò)安全態(tài)勢預(yù)測方法。該方法利用粒子濾波的非線性估計能力，對態(tài)勢值進(jìn)行預(yù)測和融合，從而提高態(tài)勢預(yù)測的準(zhǔn)確性。實驗表明，該算法在無需樣本訓(xùn)練下進(jìn)行網(wǎng)絡(luò)安全態(tài)勢預(yù)測是可行有效的，適應(yīng)于真實網(wǎng)絡(luò)環(huán)境。今后將研究如何在滿足預(yù)測精度的要求下，減少粒子采樣數(shù)目和運(yùn)算時間，從而進(jìn)一步提高網(wǎng)絡(luò)安全態(tài)勢的實時性和準(zhǔn)確性。

[1] Holsopple J,Sudit M,Nusinov M,et al.Enhancing situation awareness via automated situation assessment[J].IEEE Communications Magazine,2010,48(3):146-152.

[2] 劉一博,殷肖川,方研.面向?qū)崟r業(yè)務(wù)的網(wǎng)絡(luò)安全態(tài)勢評估[J].計算機(jī)應(yīng)用與軟件,2014,31(9):304-308.

[4] 席榮榮,云曉春,張永錚,等.一種改進(jìn)的網(wǎng)絡(luò)安全態(tài)勢量化評估方法[J].計算機(jī)學(xué)報,2015,38(4):749-758.

[4] 吳迪，連一峰，陳愷，等.一種基于攻擊圖的安全威脅識別和分析方法[J].計算機(jī)學(xué)報,2012,35(9):1938-1950.

[5] 唐成華,湯申生,強(qiáng)保華.DS融合知識的網(wǎng)絡(luò)安全態(tài)勢評估及驗證[J].計算機(jī)科學(xué),2014,41(4):107-110,125.

[6] 鄧勇杰,文志誠,姜旭煒.基于灰色理論的網(wǎng)絡(luò)安全態(tài)勢預(yù)測方法[J].湖南工業(yè)大學(xué)學(xué)報,2015,29(2):69-73.

[7] 謝麗霞,王亞超,于巾博.基于神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)安全態(tài)勢感知[J].清華大學(xué)學(xué)報(自然科學(xué)版),2013,53(12):1750-1760.

[8] 王娟,張鳳荔,傅翀,等.網(wǎng)絡(luò)態(tài)勢感知中的指標(biāo)體系研究[J].計算機(jī)應(yīng)用,2007,27(8):1907-1909,1912.

[9] 王法勝,魯明羽,趙清杰,等.粒子濾波算法[J].計算機(jī)學(xué)報,2014,37(8):1679-1694.

[10] 周帆,江維,李樹全,等.基于粒子濾波的移動物體定位和追蹤算法[J].軟件學(xué)報,2013,24(9):2196-2213.

[11] 楊龍文,黃植功.基于多特征融合的粒子濾波多目標(biāo)跟蹤算法研究[J].計算機(jī)應(yīng)用與軟件,2015,32(4):225-229.

[12] Yang X,Xing K,Feng X.Maneuvering Target Tracking in Dense Clutter Based on Particle Filtering[J].Chinese Journal of Aeronautics,2011,24(2):171-180.

[13] 陳秀真,鄭慶華,管曉宏,等.層次化網(wǎng)絡(luò)安全威脅態(tài)勢量化評估方法[J].軟件學(xué)報,2006,17(4):885-897.

RESEARCH ON A PREDICTION METHOD OF NETWORK SECURITY SITUATION BASED ON PARTICLE FILTER

Tang Yongli Li Weijie Yu Jinxia Yan Xixi

(SchoolofComputerScienceandTechnology，HenanPolytechnicUniversity，Jiaozuo454000,Henan,China)

In order to change the network management from passive defense to active defense,it is necessary to predict network security situation.To solve the problems of the low accuracy and samples training in existing forecast methods,the prediction method of network security situation based on particle filter is proposed.This method uses the weighted particles to approximate the posteriori probability density and realizes nonlinear situation prediction by the approximate integral operations include importance sampling,weight updating,state estimation.Experimental results show that this method can not only reflect the nonlinear of network security situation,but also forecast the value of network security situation.Comparing with the other situation forecasting models,this method is more accurate and can be adapted to the complex network environment.

Network security Situation prediction Particle filter

2015-10-23。國家自然科學(xué)基金項目(61300216);河南省科技攻關(guān)重點項目(122102310309);河南省科技廳基礎(chǔ)與前沿技術(shù)項目(142300410147);河南理工大學(xué)博士基金項目(B2011-058)。湯永利，副教授，主研領(lǐng)域：信息安全，密碼學(xué)。李偉杰，碩士生。于金霞，教授。閆璽璽，講師。

TP393.08

A

10.3969/j.issn.1000-386x.2017.01.053