[发明专利]面向类型化资源的自动安全态势感知、分析与报警系统

摘要

本发明是面向类型化资源的自动安全态势感知、分析与报警系统的开发方法，并给出了资源形态包括数据、信息和知识等的解释和数据图谱、信息图谱和知识图谱的概念表示，属于分布式计算和软件工程学技术交叉领域。本发明提出将网络安全态势情况和自动报警规则映射成数据、信息和知识等类型的资源实例的集合，建立资源优化目标函数，通过存储和计算协同调整资源存储和匹配方案，优化资源存储的空间代价和态势感知的时间效率，实时监控网络安全态势变化，更新自动报警规则集合，有利于及时响应安全状况。

主权项

1.一种面向类型化资源的自动安全态势感知、分析与报警系统开发方法，以资源均衡为目标，建立资源优化模型，达到网络带宽和结点缓冲区资源的优化配置，提高网络性能；特征包括：将网络态势资源集合定义为一个三元组NSR:={ NSR₁, NSR₂, NSR₃}，NSR_i代表相同类型资源的集合，网络态势资源中会包含数据、信息和知识三种类型的资源；NSR的类型集合为NType={NType₁,NType₂,NType₃},每种资源的规模为NSca={NSca₁,NSca₂,NSca₃}；定义报警规则集合为ARC:= {ARC₁,ARC₂,ARC₃}, ARC的类型集合AType={AType₁,AType₂,AType₃}，每种资源的规模为ASca={ASca₁,ASca₂,ASca₃}；假定NSR中所有类型资源已在当前图谱资源空间中以任意一种存储方案存储完毕，通过计算资源在图谱上存储所需空间代价和处理资源所需的计算代价，协同调整安全态势资源组织方案，具体实现步骤为：步骤1)通过传感器或代理检测网络系统的运行状况，采集有关系统状态或系统运行中产生的数据、信息和知识等资源实例；步骤2)对NSR中每个资源元素集合的类型依次取Type_DIK中的值，Type_DIK为资源元素的类型，形成组合情形NType’={ NType₁’,NType₂’,NType₃’}；步骤3)对应类型赋值后的每种情形，根据公式1计算NSR中的资源从当前最初状态向赋值后的类型集合NType’转换的代价 CostTF₁：  (1)其中Cost表示进行单位资源进行类型转换的原子代价，取值包括{Cost_D‑D, Cost_D‑I, Cost_D‑K, Cost_I‑D, Cost_I‑I, Cost_I‑K, Cost_K‑D, Cost_K‑I, Cost_K‑K}，他们分别代表数据资源转换到数据资源、信息资源和知识资源的原子代价，信息资源转换到数据资源、信息资源和知识资源的原子代价，知识资源转换到数据资源、信息资源和知识资源的原子代价；资源类型转换后，资源规模会发生变化，所需网络带宽和转发时间也会随之变化，通过转换资源类型达到网络带宽和节点缓冲区的优化配置，提高网络性能；步骤4)定义对网络资源的优化模型的目标函数包含带宽使用均衡度UE_BW和节点资源转发的等待时间WTime两个参数，其中带宽使用均衡度为带宽空闲率IRate_BW的方差，带宽空闲率和带宽使用均衡度的计算方式如公式2和3：（2）（3） 其中BW_ij表示从节点i到节点j的链路的带宽，F_ij表示链路上的流量，l表示平均分组长度；步骤5)在一个节点上资源转发的等待时间包括转发等待率WRate和等待均衡度WEqu，等待均衡度为资源转发等待率的方差，转发等待率和等待均衡度可根据就公式4和5计算：（4）（5）其中N_i表示第i个节点需转发的资源的平均分组个数，H_i表示节点i的缓冲区长度；定义网络资源的优化目标函数为：（6）其中α和β分别表示带宽使用均衡度和等待均衡度的权重系数，可通过数据训练得出，F的值越小，表示网络流量分布越均衡；步骤6)对ARC中每个资源元素集合的类型依次取Type_DIK中的值，形成组合情形AType’={ AType₁’,AType₂’,AType₃’}；步骤7)对应类型赋值后的每种情形，根据公式7计算ARC中的资源从当前最初状态向赋值后的类型集合AType’转换的代价CostTF₂： (7)步骤8)根据步骤7）得到的自动报警规则资源集合协同类型转换的代价计算所需投入Inves：(8)其中ϕ、分别表示单位网络资源类型转换代价和单位报警规则资源集合类型转换所需投入，可通过数据训练得出；步骤9)根据步骤8）得到的资源协同调整方案的所需投入，根据公式9计算每种方案的效益比(Inve_cos)：(9)当有新规则加入时，首先从数据层面进行分析，提取规则中的资源元素，遍历含有该资源元素的规则，将新规则与找到的含有相同资源元素的规则进行匹配，若有与新规则相同或者相互冲突的规则在原自动报警规则集合中时，不加入新规则；所以当报警规则集合中资源规模越小时，遍历的时间复杂度越小，效益比越大；步骤10)获取预期投入Inve₀和期望效益比Inve_Cos₀；将不同协同调整方案的Inve_Cos和Inve_Cos₀进行比较，同时将对应方案所需投入Inves和期望投入Inve₀进行比较，找出Inves不超过Inve₀的并且具有最大Inve_cos的方案；步骤11)根据步骤10）得到的具有最大Inve_Cos的方案调整ARC中资源的类型；步骤12)匹配NSR和ARC，遍历NSR和ARC中的资源实例，判断条件“NSR∩ARC=∅”是否成立；若是，则返回步骤1）继续监测和更新网络安全状况资源集合；若否，启动自动报警系统。