[发明专利]一种误报自适应的网络安全态势预测方法

摘要

本发明涉及一种误报自适应的网络安全态势预测方法，包括如下步骤：(1)提取安全防护软件中的报警事件；(2)基于系统主机、网络异常信息消除报警事件中的误报，形成准确的训练样本集；(3)使用神经网络学习算法对样本集进行训练，建立预测模型；(4)进行在线预测，并对预测结果进行确认；(5)若预测结果为误报，标记当前预测事件序列为反例，执行增量神经网络学习，调整预测模型。本发明解决了网络安全态势预测中误报过多且无法自动消除的问题，准确地建立网络安全态势预测模型训练样本集，有效地建立预测模型，对预测结果进行自动确认以消除误报并自动调整预测模型，减少后续预测中误报的产生数量，增强了本发明的可靠性和实用性。

主权项

1.一种误报自适应的网络安全态势预测方法，其特征在于，所述方法包括下述步骤：(1)提取安全防护软件中的报警事件；(2)形成训练样本集；(3)训练所述训练样本集，建立网络安全态势预测模型；(4)在线预测，并确认预测结果；(5)若预测结果为误报，标记当前预测事件序列为反例，执行增量神经网络学习，调整预测模型；所述步骤(1)包括如下步骤：(1‑1)分析IDS、防火墙安全防护软件的日志文件，提取安全威胁报警记录；(1‑2)在安全威胁报警记录中分析提取威胁发生的时间、针对的目标IP地址、目标端口号和威胁类型信息；所述步骤(2)包括如下步骤：(2‑1)获取安全威胁针对的目标主机操作系统、目标端口和安装的系统补丁信息；(2‑2)若步骤(1‑2)中提取的安全威胁类型与步骤(2‑1)中的信息不匹配，则判断为误报；(2‑3)获取网络流量异常信息，若与步骤(1‑2)中提取的安全威胁类型不匹配，则判断为误报；(2‑4)删除误报样本，形成最终模型训练样本集；所述步骤(2‑2)中，首先判断操作系统信息，若安全威胁针对的操作系统与目标主机不同，当前安全威胁只针对Windows操作系统，而目标主机的操作系统为Linux，则判断为误报；接着判断目标端口信息，若目标主机的对应端口已关闭，则判断为误报；最后判断安装的系统补丁信息，即系统漏洞信息，若目标主机已安装当前安全威胁对应的系统漏洞补丁，则判断为误报；所述步骤(2‑3)中，使用网络连接数、网络带宽使用率、网络丢包率和网络延时参数来衡量网络是否异常；设当前网络连接数为p1，网络带宽使用率为p2，网络丢包率为p3，网络延时为p4，网络异常值用下式①表示：其中：为参数p_i的平均值，且计算时p_i均需进行格式化，格式化公式如下式②表示：若检测出DDoS、端口扫描网络攻击，而当前的网络参数未超出设定的阈值，则判断检测结果为误报。