网络安全态势感知

　　从被保护和保护两个角度来说，网络安全问题的解决最终朝向两个方向：1. 对特定对象的保护，防火墙、IDS、IPS 等技术均以此为目标；2. 安全监测及威胁应对。如果将威胁定义为攻击者基于同一目的的一系列安全事件的集合，则网络安全监测主要包含威胁检测及威胁评估两方面内容，前者本质上是攻击者检测；而后者本质上是攻击者意图的估计。实现安全监测不但需要觉察环境下各元素和对象，而且需要理解其中的语义和相互关系，从而最终实现攻击者及其威胁的推断、评估，这一过程与态势感知本质上是一致的，即网络安全态势感知模型或内容如图2 所示。

图2 网络安全态势感知内容示意图

　　在三级网络安全态势感知中，一、二级感知，即攻击事件的产生、误报消除、关联以及攻击者的检测已经有大量的研究成果，限于篇幅，这里仅介绍攻击者意图感知部分。“攻击者意图识别”的目标是找出攻击者单一攻击事件背后的逻辑关系，获得更多的攻击语义，合理推断攻击者的下一步行为，从而评估攻击者的威胁，传统的意图识别方法包括基于文法分析的意图识别，基于攻击图的警报关联方法，基于因果关联的警报关联方法以及贝叶斯、隐马尔科夫模型等，这些方法各有优缺点，最终可以形成攻击场景或者“超警报”。但针对僵尸网络或高级持续攻击等复杂攻击类型，仍须进一步提高感知级别，具有代表性的研究有结合提出的基于态势感知方法的威胁检测与评估方法，基本思想是IDS 检测结果进入相互独立的攻击识别系统和环境系统，攻击识别系统负责识别各类型攻击，环境系统负责分析被保护网络暴露给攻击者的弱点，两系统分析结果融合后合理估计攻击者意图，并计算威胁值。