网络安全态势感知的应用

　　作为CERNET“十一五”211 工程建设项目——CERNET 主干网运行保障系统的一部分：CHAIRS（Cooperative Hybrid Aided Incidence Response System）大型分布式应急响应系统，其设计目标是为各节点的CERT 提供应急响应服务管理功能，提高CERNET 内安全事件响应的效率。同时由于各节点各自拥有不同的检测能力，CHAIRS 系统开放警报接口，支持不同安全检测系统的扩展，形成对CERNET 主干网的安全态势监控能力。

　　CHAIRS 系统通过分析收集到的各类安全检测系统的警报（如表5 所示），检测出僵尸网络、恶意网站等各类攻击者及其攻击活动，在此基础上通过推测攻击者类型、数量、位置、意图等测度来评估攻击者的威胁程度，从而最终实现态势感知。

　　例如, 通过关联DNS、Monster、HoneyPot、NBOS 四类警报，检测僵尸网络以及评估其威胁程度这一过程。

　　关联分析各种入侵警报，本质上是明确攻击者行为证据链，确定攻击者并评估其威胁。

　　态势感知技术的目的是帮助决策，所以传统的态势感知技术详细讨论系统、任务（决策目标）、人为因素三者对态势感知所造成的影响以及应对方法。而信息时代下，信息源大大丰富，同时，态势感知也变得更为复杂：1. 信息系统往往是无边界的，对象的诸多特征不可预知，对象之间的作用与影响也难以预测；2. 决策目标更加多元、精细，对态势感知亦提出了更高的要求；3. 由于所处环境的复杂多变，人的判断、决策亦随之变化。以上因素导致传统态势感知技术面临新的挑战。

　　因果关联分析、事件统计、本体模型等技术方法依然是有效的感知技术，然而由于系统的日益复杂，传统的感知技术适用的感知级别具有降低的趋势，传统环境中，可以进行三级感知的技术现在可能仅适用于二级感知，而对未来的预测需要更为深入与广泛的关联平台与技术。近来，云计算、大数据处理等技术带来了新的机遇，同时也带来了新的挑战：1. 资源位置不确定；2. 用户量大且多样；3. 日志审计隐私性更强；4. 互操作接口一致性等。

　　（作者单位1 为东南大学计算机科学与工程学院，2 为南京邮电大学计算机、软件学院）