[发明专利]基于人工免疫和灰色关联度分析的网络安全态势感知方法

权利要求书

1.基于人工免疫和灰色关联度分析的网络安全态势感知方法，其特征在于：包括以下步骤：

S1：从电力物理系统和电力信息系统数据中选取影响网络安全态势评估的特征，进行数据预处理和特征提取，得到特征提取后的数据；

S2：通过特征提取得到的数据，运用人工免疫模型计算得到网络安全态势值；

S3：将计算得到的网络安全态势值作为参考序列，建立起基于灰色关联度分析，融合灰色预测和DT决策树算法的网络安全态势预测模型；

S4：将得到的网络安全态势值作为网络安全态势预测模型的模型输入，得到下一时间阶段的网络态势预测值；

其中，所述步骤S2包括以下步骤：

S21：定义映射关系：通过特征提取得到的二进制字符串x，长度为96，分为正常网络活动或网络攻击两种情况，将待匹配的二进制字符串用y表示；初始训练时，根据已知非法攻击经验划定分类；训练过程中，被y匹配并使y达到激活阈值的x定义为非自体抗原；随机生成的长度为96的二进制字符串y，定义为抗体集合D，其中：

D＝{d|d＝＜y,m,count＞,m,count∈N₁}

其中,N₁表示为自然数集合；m为运算迭代次数；count为y匹配到的x数量；

S22：完成x-y的匹配：采用r连续位匹配算法，其匹配结果f_m(x,y)定义为：

其中，1表示匹配成功，0表示匹配失败，x_k为字符串x的第k个字符，y_k为字符串y的第k个字符，p表示主机p，q表示主机q；

S23：对y进行复制：本过程包含了复制阈值和复制数量两个过程其中，复制阈值的过程如下：

当匹配到的x数量count达到一定的激活阈值θ时，y被激活并开始复制，规定运算迭代次数M内没有达到复制阈值则抗体死亡，其中：

激活阈值θ为经验值，由管理员设置；关于复制数量，其过程如下：

其中，σ为集合D中与被激活y有相同字符串的抗体数目；为复制速度常数，由管理人员设定，y的浓度表示为

S24：计算网络安全态势值：首先，计算主机i在t时刻的网络安全态势值r_i(t)，计算公式为：

其中，β_i表示主机i的重要性且0＜β_i＜1，是由电力公司部署电力通信网络时根据每台主机在网络中的重要性进行标注，数值越大重要性越高；N_i为主机i此时刻检测到的抗体数量；S_i为正常网络运行情况下主机i检测到的匹配字符串数量；

接着，计算主机i在t时刻j类攻击下的网络安全态势值r_ij(t)，计算公式为：

其中，α_j为j类攻击行为的危害程度，该危害程度为维修人员经验判断值，数值越大，危害程度越高；N_ij为主机i在t时刻检测到的j类攻击字符串数量；

而后，计算系统在t时刻j类攻击下的网络安全态势值R_j(t)，计算公式为：

最后，计算系统的t时刻的网络安全态势值：

其中，t＝1,...,n，网络安全态势值在[0,1]区间内；

所述步骤S3包括以下步骤：

S31：将步骤S2得到的网络安全态势计算值R_t记作R₀，作为参考序列，其中：

R₀＝{R₀(t)|t＝1，2，...，n}＝{R₀(1)，R₀(2)，...，R₀(n)}

预测输出：将参考序列作为训练输入值，完成灰色系统理论GM(1,1)预测算法以及DT决策树算法训练及预测输出，得到输出序列，其公式为：

R_i＝{R_i(t)|t＝1，2，...，n}＝{R_i(1)，R_i(2)，...，R_i(n)}

其中，R_i为比较序列，i为主机标识；

基于灰色关联度分析的组合预测，首先，计算t时刻关联度，计算公式为：

其中，为选定预测序列R_i相对于参考序列R₀在时刻t的关联系数，其中ρ∈[0,1]为分辨系数；

接着，计算整体关联度δ_i以及权值系数ε_i，计算公式为：

最后，得到组合预测安全势态值R_eo：

其中，I为总的主机数目；

所述步骤S4具体为：

根据所述步骤S2求得各个时间段的网络安全态势值序列数据R₀；将R₀作为模型输入，带入训练出的GM(1,1)灰色预测和DT决策树算法组合预测模型中，得到下一时间段的网络态势预测值R_eo。

2.根据权利要求1所述的基于人工免疫和灰色关联度分析的网络安全态势感知方法，其特征在于：所述步骤S1包括以下步骤：

S11：从电力通信网络中收集的数据，主要包括两方面：

第一方面，电力物理系统中的设备日志：报警标识符ALARM_ID，报警时间ALARM_TIME，攻击类型ATTACK_TYPE；

第二方面，电力信息系统中的网络端口数据：源地址SIP；目的地址DIP；源端口SP；目的端口DP；协议类型PROTOCAL_TYPE；

S12：对于收集到的数据进行预处理，具体为对数据进行格式转换、时空校准、非法数据剔除；

S13：对预处理后的数据进行特征提取：监视并使用SmartSniff工具抓取网络中的数据包，将数据包转换成长度为96的二进制字符串，其中包括：源IP地址32位、目的IP地址32位、目的端口16位、协议标志16位。