基于貝葉斯網(wǎng)絡的公安網(wǎng)絡執(zhí)法手段研究

仝鑫

摘 要：公安傳統(tǒng)網(wǎng)絡執(zhí)法手段難以應對日益復雜的網(wǎng)絡，急需探索高效靈活的新途徑。貝葉斯網(wǎng)絡作為機器學習中重要的算法，被廣泛應用于人工智能領(lǐng)域。然而，公安網(wǎng)絡執(zhí)法中尚未有相應的應用。論文提出一種新型的貝葉斯網(wǎng)絡進行文本感情分析的方法，實現(xiàn)高效率的自動化網(wǎng)絡輿情監(jiān)控，并由此實現(xiàn)了基于犯罪目標求解一條最優(yōu)的“偵查、滲透、取證”網(wǎng)絡執(zhí)法流程，完成自動化網(wǎng)絡犯罪打擊。此外，動態(tài)貝葉斯網(wǎng)絡能夠不斷根據(jù)前驅(qū)訓練結(jié)果和外部因素進行反饋調(diào)整，相比靜態(tài)傳統(tǒng)手段在精度和靈活性上都更加契合公安工作的需求。

關(guān)鍵詞：公安網(wǎng)絡執(zhí)法；貝葉斯網(wǎng)絡；情感分析；輿情監(jiān)控

中圖分類號：393 文獻標識碼：A

Research on law enforcement means of public security network based on bayesian network

Abstract： The traditional law enforcement means of public security is difficult to deal with the increasingly complicated network， so it is urgent to explore a new way of efficient and flexible. As an important algorithm in machine learning， Bayesian network is widely used in the field of artificial intelligence. However， there is no corresponding application in police network law enforcement. In this paper， a new Bayesian network for text affective analysis is proposed， which realizes an efficient automatic network monitoring of public opinion， and thus realizes an optimal "investigation， infiltration， forensics" Network law enforcement process based on the crime target to complete the automatic cybercrime attack. In addition， the dynamic Bayesian network can continuously adjust the feedback according to the result of the precursor training and external factors， which is more consistent with the demand of the public security work than the static traditional method in accuracy and flexibility.

Key words： network security law enforcement； bayesian network； sentiment analysis； public opinion monitoring

1 引言

隨著計算機科學及互聯(lián)網(wǎng)的發(fā)展，利用計算機網(wǎng)絡的犯罪行為呈現(xiàn)出多樣化發(fā)展的態(tài)勢，這給公安網(wǎng)絡執(zhí)法帶來了新的挑戰(zhàn)。一方面，網(wǎng)絡安全是國家的一項重要的戰(zhàn)略任務，而大部分機構(gòu)依靠聘請第三方完成安全需求，增加了不可靠性和泄密風險。另一方面，在網(wǎng)絡安全執(zhí)法工作中，實施人員會使用到眾多零散的工具，很難構(gòu)建完整的滲透測試體系，這給公安網(wǎng)絡警察帶來了巨大的專業(yè)壓力。此外，互聯(lián)網(wǎng)的開放性使得獲取各種“黑客”學習資源輕而易舉，而對于網(wǎng)絡安全的偵查取證和打擊需要大量的時間精力，可謂“易攻難守”，使本來就匱乏的警力更加難以招架。

無論是網(wǎng)絡安全還是人工智能領(lǐng)域，都有成熟的理論體系。首先，網(wǎng)絡安全滲透測試流程清晰明了。EC CEH（EC-Council Certified Ethical Hacker，倫理黑客認證）提出了滲透測試聲明周期模型，包括 “偵查、掃描、獲取訪問、維持訪問和痕跡清除” 五大核心階段[1]。近幾年人工智能領(lǐng)域飛速發(fā)展，大數(shù)據(jù)、機器學習等工具體系，逐步從理論走向?qū)崙?zhàn)。一些初級自動化滲透測試工具也為二者結(jié)合前景提供了技術(shù)參考， Metasploit（開源的安全漏洞檢測工具）的AutoPwn模塊能夠?qū)崿F(xiàn)基于數(shù)據(jù)庫的自動化攻擊[2]； Burp Suite 測試工具實現(xiàn)了自動識別并解密部分簡單密碼算法； SqlMap、W3af等知名網(wǎng)絡安全工具都提供可輕松調(diào)用的API（Application Programming Interface，應用程序編程接口），為其它工具的實現(xiàn)與集成提供了技術(shù)基礎(chǔ)。

劉濤[3]等論述了將機器學習應用于入侵檢測上的可能性，但未給出實現(xiàn)細節(jié)；劉蘭等[4]提出基于大數(shù)據(jù)的異構(gòu)網(wǎng)絡安全監(jiān)控及關(guān)聯(lián)算法來對網(wǎng)絡安全整體勢態(tài)進行分析，但在靈活性和細節(jié)無法滿足；王聰[5]等基于關(guān)聯(lián)特征，采用貝葉斯分類算法達到了對安卓惡意程序識別的目的，但無法應用于網(wǎng)絡輿情監(jiān)管；胡浩等[6]依據(jù)實時檢測的攻擊事件評估攻擊者能力和漏洞利用率，構(gòu)建貝葉斯網(wǎng)絡從而預測后續(xù)攻擊手段的方法適用于大型網(wǎng)絡戰(zhàn)場，忽視了網(wǎng)絡犯罪取證，不能很好的契合公安工作。相比于其他方法，本文目的在于研究通過貝葉斯網(wǎng)絡構(gòu)建集實時網(wǎng)絡環(huán)境監(jiān)控、自動目標偵查、精確取證和迅速打擊等功能于一體的智能化的網(wǎng)絡安全執(zhí)法手段。

2 構(gòu)建智能化網(wǎng)絡安全執(zhí)法平臺

2.1 平臺定位和目標

《中華人民共和國計算機信息系統(tǒng)安全保護條例》中規(guī)定，公安機關(guān)對計算機信息系統(tǒng)安全保護工作有包括并不僅限于監(jiān)督、檢查、指導計算機信息系統(tǒng)安全等職權(quán)。傳統(tǒng)的網(wǎng)絡環(huán)境監(jiān)管高度依賴于人工審核和字典過濾手段，但隨著大數(shù)據(jù)時代的到來，傳統(tǒng)手段的及時性與靈活性不足。因此，本文主要討論將貝葉斯網(wǎng)絡運用于不同執(zhí)法場景，探索一條“監(jiān)控、發(fā)現(xiàn)、偵查、取證/打擊”為中心的、具有多分支結(jié)構(gòu)的智能化、自動化網(wǎng)絡安全執(zhí)法手段網(wǎng)絡。

2.2 解決新途徑

本文將目光投向通過將人工智能算法與網(wǎng)絡安全相結(jié)合以解決網(wǎng)絡安全執(zhí)法難題，利用貝葉斯方法實現(xiàn)自動化和智能化網(wǎng)絡安全執(zhí)法。

2.3 實施策略

將貝葉斯網(wǎng)絡運用到公安網(wǎng)絡安全與執(zhí)法工作中，主要包括網(wǎng)絡輿論環(huán)境監(jiān)控和網(wǎng)絡犯罪行為打擊，前者通過貝葉斯網(wǎng)絡進行文本內(nèi)容分析，發(fā)現(xiàn)敏感內(nèi)容和網(wǎng)絡犯罪行為，從而保證網(wǎng)絡環(huán)境的綠色和安全；后者將貝葉斯網(wǎng)絡作為決策機制，用于對犯罪行為進行自動化偵查、取證和打擊。

3 核心算法

本文提出利用人工智能算法解決公安網(wǎng)絡安全與執(zhí)法自動化網(wǎng)絡安全執(zhí)法平臺的新途徑，其核心算法是貝葉斯網(wǎng)絡。

3.1 貝葉斯網(wǎng)絡

貝葉斯網(wǎng)絡（Bayesian Network）是一種基于加權(quán)有向無環(huán)圖（Directed Acyclic Graphs）的概率圖型模型，它是隱含馬爾科夫鏈的擴展。一個貝葉斯網(wǎng)絡由節(jié)點和弧（有向邊）組成，每個節(jié)點代表著一個隨機變量或參數(shù)，而弧是一條有向邊，從一個節(jié)點（變量A）指向另一節(jié)點（變量B），表示A變量的取值會對B變量的取值產(chǎn)生影響，弧上往往有對應的權(quán)值或概率，指出了A到B的可能性。也就是說，如果兩個節(jié)點直接有弧相連，則表示兩個節(jié)點代表的兩個隨機變量是具有因果關(guān)系或是非條件獨立的，起始節(jié)點被稱作“因（Parents）”，指向節(jié)點被稱作“果（Descendants）”；反而言之，如果兩個節(jié)點沒有直接用弧相連，則說明這兩個隨機變量無“直接”關(guān)聯(lián)，或許它們直接有間接的聯(lián)系。圖3是一個典型的貝葉斯網(wǎng)絡。

如圖3中節(jié)點Var_B和節(jié)點Var_D直接相連，表示節(jié)點Var_D的值直接受節(jié)點Var_C影響。雖然Var_D和Var_A在圖中不直接由弧相連，但是可以看出，Var_A可以通過影響Var_B或者Var_C的值，從而“間接”影響到Var_D。貝葉斯網(wǎng)絡還有一個概率表，指明了各個節(jié)點直接轉(zhuǎn)換的條件概率，在我們使用貝葉斯網(wǎng)絡進行推算時，實際上是使用條件概率分步表中的先驗概率和已知的證據(jù)節(jié)點來計算所查詢的目標結(jié)點的后驗概率的過程。表1是一個簡單的概率分部表（CPT）

貝葉斯網(wǎng)絡具有雙重的含義：它指出了既指出了各個變量之間的條件獨立和依賴關(guān)聯(lián)；又表示出了隨機變量之間轉(zhuǎn)換的聯(lián)合概率分布關(guān)系，依據(jù)貝葉斯網(wǎng)絡的結(jié)構(gòu)和條件概率分布表可快速得到每個基本事件的概率。貝葉斯理論通過先驗知識及樣本來獲得對未知數(shù)據(jù)的評估，而聯(lián)合概率與條件概率是先驗信息和樣本信息在貝葉斯學習理論當中的表現(xiàn)形式。

貝葉斯網(wǎng)絡的應用在我們身邊隨處可見。早在2004年，Google基于貝葉斯網(wǎng)絡構(gòu)建了基于統(tǒng)計模型的文本分詞器Rephil，廣泛應用于廣告服務和搜索服務[7]。另外，現(xiàn)如今拼寫檢查服務也大都基于貝葉斯網(wǎng)絡?？傊?，貝葉斯網(wǎng)絡在統(tǒng)計學、計算機圖像處理及決策系統(tǒng)中都有著廣泛的應用，它和我們的生活息息相關(guān)。

3.2 構(gòu)建平臺的基石

現(xiàn)如今的互聯(lián)網(wǎng)環(huán)境中，大部分服務器具有一致的結(jié)構(gòu)。在操作系統(tǒng)方面，Windows、Unix家族（包含Linux和安卓）壟斷了市場。網(wǎng)站構(gòu)建方面， Wordpress、Joomla、Struts2等開發(fā)框架愈發(fā)流行。大部分網(wǎng)絡犯罪服務器也都基于這些框架。因此，構(gòu)建一個通用漏洞利用數(shù)據(jù)庫，用于作為打擊網(wǎng)絡犯罪的“參考手冊”，是貝葉斯網(wǎng)絡的自動化網(wǎng)絡執(zhí)法平臺的基石。目前，國內(nèi)外已經(jīng)涌現(xiàn)出一批集“漏洞發(fā)現(xiàn)、成因、利用、修復”于一體的漏洞數(shù)據(jù)庫，如國外的“exploit-db”和國內(nèi)的“烏云網(wǎng)”。各網(wǎng)絡安全團隊也依據(jù)此開發(fā)出通用網(wǎng)絡安全漏洞測試器， IBM公司的Security AppScan檢測工具和由Tenable團隊研發(fā)的Nessus，都能夠?qū)Ψ掌鬟M行綜合性的安全審計，并且基于exploit-db識別漏洞CVE編號，為后續(xù)的自動化利用漏洞提供了可能。他們都為構(gòu)建漏洞數(shù)據(jù)庫提供了經(jīng)驗和參考，然而這些現(xiàn)有的社區(qū)組織維護的數(shù)據(jù)庫在權(quán)威性和有效性方面仍值得商榷。在構(gòu)建平臺的漏洞數(shù)據(jù)庫時，更應注意篩選，以保證高精度。

3.3 算法及過程描述

3.3.1 網(wǎng)絡環(huán)境監(jiān)控

對于網(wǎng)絡環(huán)境的監(jiān)控，實質(zhì)是對數(shù)據(jù)內(nèi)容和感情色彩的分析，從而實現(xiàn)輿情監(jiān)管的目的。

定義1：設原始詞庫W包含詞匯的二元組（w， r）其中w是單詞，r是初始階段人工的評級，W={（w1， r1）， （w2， r2），…， （wN， rN）}，r∈{Low，Medium，High}。

定義2：設人工已標記且已分詞后的語料庫為T，感情色彩為S。

定義3：設網(wǎng)絡測試數(shù)據(jù)為I，I也被進行分詞處理 。

定義4：設貝葉斯網(wǎng)絡訓練函數(shù)為F，F(xiàn)在計算節(jié)點概率時通過古德-圖靈估計法（Good-Truing Estimate）對零概率進行消除，并采用卡茨退避法（Katz Backoff）進行平滑處理。

定義5：詞匯感情傾向Flag，代表著消極或積極，在很多程序語言中這個字段可用布爾變量（bool）來表示。

公式1：通過貝葉斯公式計算測試文本中出現(xiàn)Word情況下，感情色彩為積極或消極的概率，如下：

公式2：一句話可能有多個表示情感的詞，需要求得在這些詞出現(xiàn)的條件下該文本為積極的條件概率：

算法1：通過掃描標記過的語料，來獲取不同感情色彩的詞匯在訓練集的詞頻/權(quán)重，如詞Word在積極色彩訓練語料庫里出現(xiàn)頻率為0.2%，而在消極色彩語料庫里頻率趨近于0，并使用迭代算法。

輸入：Ω（n） = F （W， T， S， Ω（n-1））

輸出：訓練結(jié)果集Ω是一個四元組集合，包含了詞匯、感情色彩傾向、出現(xiàn)頻率p和新計算的評級，即Ω={（w1，flag1，p1， r1）， （w2，flag2，p2， r2），…， （wN，flagN，pN， rN）}，并可根據(jù)flag將結(jié)果集導出成積極感情詞庫α和消極感情詞庫β。

結(jié)論：貝葉斯網(wǎng)絡的自學習性進行網(wǎng)絡監(jiān)控，能夠根據(jù)提供的語料庫來進行感情色彩評判和分類更顯靈活，隨著其迭代訓練，準確率將不斷提高，從而在大數(shù)據(jù)時代挖掘數(shù)據(jù)相關(guān)性，使得輿情檢測分析從定性走向定量[8]。

擴展：為了應對更加復雜格式的數(shù)據(jù)，還將貝葉斯網(wǎng)絡運用于圖像處理，能有效發(fā)現(xiàn)蘊含不良信息的多媒體視頻或圖像信息，從而高效自動地鎖定執(zhí)法目標。

3.3.2 基于貝葉斯網(wǎng)絡的自動化網(wǎng)絡安全執(zhí)法

通過貝葉斯網(wǎng)絡能夠輕松實現(xiàn)“動態(tài)監(jiān)控——實時發(fā)現(xiàn)——迅速取證和打擊”的自動化網(wǎng)絡安全執(zhí)法手段。

定義1：設網(wǎng)絡執(zhí)法目標為A，目前已知A的少量信息，如IP或域名。

定義2：設人工網(wǎng)絡安全執(zhí)法的完整流程的集合為γ，偵查、滲透、取證對應的環(huán)節(jié)變量分別設為s，a，f因為每個環(huán)節(jié)往往包含多種方式，則γ={（s1，s2，…，sN），（a1，a2，…，aN）， （f1，f2，…，fN）}。

定義3：每一個環(huán)節(jié)都有對應的輸出結(jié)果，可設偵查、滲透、取證結(jié)果分別為rs， ra，rf，則總結(jié)果集S={（rs1，rs2，…，rsN）， （ra1，ra2，…，raN）， （rf1，rf2，…，rfN）}。

定義4：設訓練函數(shù)為F，通過貝葉斯網(wǎng)絡來進行決策并不斷自學習，F(xiàn)接受上次的訓練結(jié)果即執(zhí)法流程參考庫并輸出新的執(zhí)法流程參考庫Δ。

算法：網(wǎng)絡安全執(zhí)法中的每一個步驟（節(jié)點），受前驅(qū)節(jié)點的狀態(tài)影響，并影響后繼節(jié)點，通過檢測不同節(jié)點的“概率”，貝葉斯網(wǎng)絡能夠給出滲透流程中可能性最大的路線即最優(yōu)解從而得到執(zhí)法流程參考庫Δ。

輸入：Δ = F （A， Δ（n-1））。

輸出：Δ是一個用于決策的多維元組，包含一個完整的滲透流程元組（rI， aJ， fN），一個代表當前流程可行性權(quán)重的綜合概率p，以及衡量標準的效率η，綜合來看Δ=（（rI， aJ， fN）， p， η） 。

過程：produce name：BayesianTrain

foreach s in （s1，s2，…，sN）

foreach a in （a1，a2，…，aN）

foreach f in （f1，f2，…，fN）

p.Add（P（s）P（a│rs）P（F│ra，rs））

return MAX（p）

end produce

結(jié)論：貝葉斯網(wǎng)絡克服了其他機器學習算法如有限狀態(tài)機中機械性強的束縛，能夠分析各種錯綜交叉的問題，能夠根據(jù)上次的訓練結(jié)果與本次訓練結(jié)果不斷得到更加完善的決策結(jié)果。為了取得更好的訓練效果，動態(tài)貝葉斯網(wǎng)絡（ Dynamic Bayesian Network，DBN）表現(xiàn)的更加可靠，它能夠?qū)W習不同節(jié)點間的概率依賴關(guān)系以及其隨時間t變化的規(guī)律 ，從而達到根據(jù)實際情況來調(diào)整網(wǎng)安全執(zhí)法流程規(guī)則的目的，如圖4所示是一個典型的動態(tài)貝葉斯網(wǎng)絡。

動態(tài)貝葉斯網(wǎng)絡能夠根據(jù)如工作服務器負荷、網(wǎng)絡情況等外因，及時動態(tài)的改變和優(yōu)化網(wǎng)絡執(zhí)法策略，因此它的優(yōu)越性遠超其他模型。DBN是貝葉斯網(wǎng)絡在時間維度的擴展，同時兼顧了每個節(jié)點受其他節(jié)點的影響和該節(jié)點隨時間變化的情況，使得網(wǎng)絡安全執(zhí)法的流程更加準確。

擴展：為了保證自動網(wǎng)絡執(zhí)法的高效性，可以采用基于數(shù)據(jù)庫的自動執(zhí)法和貝葉斯網(wǎng)絡決策相結(jié)合的手段，在簡單的環(huán)境下，基于數(shù)據(jù)庫的自動執(zhí)法將大幅度減少貝葉斯網(wǎng)絡訓練帶來的開銷和資源占用。

3.4 合法性

基于貝葉斯網(wǎng)絡實現(xiàn)的自動化網(wǎng)絡安全與執(zhí)法，雖然能極大地減少網(wǎng)安工作所需投入的人力和物力，但它更是一把雙刃劍，在法律上和道德上都還有待完善，使用不得當將帶來難以預料的后果。因此，更要強調(diào)人工智能的守法性：保證每一次的自動化網(wǎng)絡安全執(zhí)法都是符合法律規(guī)定的；可控性：自動化網(wǎng)絡執(zhí)法流程隨時可被中斷，并且用戶（公安）指令的優(yōu)先級高于貝葉斯網(wǎng)絡推斷的指令的優(yōu)先級；可追溯性：即每一次的執(zhí)法都應該有詳細的日志記錄。最終保證整個人工智能活動的合法性和權(quán)威性，如表2提供一個參考的完整日志記錄。

4 結(jié)束語

貝葉斯網(wǎng)絡將會在實時網(wǎng)絡違法行為監(jiān)控、全天候網(wǎng)絡環(huán)境監(jiān)管、自動化網(wǎng)絡犯罪取證和智能化網(wǎng)絡安全滲透打擊方面發(fā)揮強大的作用，保證及時發(fā)現(xiàn)和熄滅犯罪“苗頭”，幫助公安迅速在風云多變的網(wǎng)絡環(huán)境中鎖定、取證打擊各類網(wǎng)絡違反行為，是一款夠威懾網(wǎng)絡犯罪的戰(zhàn)略武器。

此外，其他新技術(shù)也可作為擴展：在大數(shù)據(jù)環(huán)境下基于Hadoop部署安全勢態(tài)分析系統(tǒng)[9]，將計算能力分散到各個市、區(qū)級網(wǎng)絡安全中心，可提升運算速度；密碼學中關(guān)于自動密文識別和破解技術(shù)也不斷突破，重合指數(shù)法（Index of Coincidence）[10]已經(jīng)能夠在僅有密文的情況下進行分析和破解；BP（Back Propagation）神經(jīng)網(wǎng)絡是目前另一種主流機器學習算法，在模式識別、分類、數(shù)據(jù)挖掘等領(lǐng)域也都發(fā)揮著不可替代作用，在對未知詞匯分類和識別方面具有不俗的可靠性和高效性。

參考文獻

[1] （美）James Broad，Andrew Bindner. Kali滲透測試技術(shù)實戰(zhàn)[M].北京：機械工業(yè)出版社，2014（9）：P3.

[2] 吳軍. 數(shù)學之美（第二版）[M].北京：人民郵電出版社，2014（11）：P214-P215.

[3] 魔術(shù).Metasploit自動攻擊和選擇模塊攻擊詳解[J]. www.freebuf.com/articles/web/5628.htm，2012（9）.

[4] 劉濤.機器學習算法在校園網(wǎng)入侵檢測系統(tǒng)中的應用[J].黑河學院學報，2017（9）：P215-P216.

[5] 劉蘭，林軍，蔡君.面向大數(shù)據(jù)的異構(gòu)網(wǎng)絡安全監(jiān)控及關(guān)聯(lián)算法研究[J].電信科學，2014（7）：P84-86.

[6] 王聰，張仁斌，李鋼.基于關(guān)聯(lián)特征的貝葉斯Android惡意程序檢測技術(shù)[J].計算機應用與軟件，2017（1）：P286-P287.

[7] 胡浩，葉潤國，張紅旗，楊英杰，劉玉嶺.基于攻擊預測的網(wǎng)絡安全態(tài)勢量化方法[J].通信學報，2017（10）：P122-P124.

[8] 宮澤林，徐艷紅.創(chuàng)新大數(shù)據(jù)技術(shù)下網(wǎng)絡輿情監(jiān)測與分析的研究[J].網(wǎng)絡空間安全，2016（6）：P4.

[9] 章翔凌，楊永群，黃勤龍，陳權(quán).基于大數(shù)據(jù)分析的應用安全態(tài)勢系統(tǒng)設計與實現(xiàn)[J].網(wǎng)絡空間安全，2017（2-3）：P56-P57.

[10] 弋建偉，馬曉榮.基于Java的維基利亞密碼分析[J]. 陜西師范大學學報（自然科學版）， 2008（36）：P9-P10.