專利名稱：一種基于nba的網(wǎng)絡(luò)安全評(píng)估方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)安全領(lǐng)域；特別涉及針對(duì)網(wǎng)絡(luò)異常和網(wǎng)絡(luò)攻擊的網(wǎng)絡(luò)安全評(píng)估領(lǐng) 域；具體是指一種基于網(wǎng)絡(luò)行為分析(NBA)的網(wǎng)絡(luò)安全評(píng)估方法。
背景技術(shù)：
安全問題始終是互聯(lián)網(wǎng)技術(shù)領(lǐng)域最受關(guān)注的問題之一。一個(gè)高效、可靠、穩(wěn)定、安 全的網(wǎng)絡(luò)環(huán)境是網(wǎng)絡(luò)應(yīng)用的根本保障，但隨著Internet的發(fā)展，網(wǎng)絡(luò)規(guī)模不斷擴(kuò)大，應(yīng)用 領(lǐng)域不斷擴(kuò)展，由此而產(chǎn)生了各種安全問題和威脅。這些威脅不僅是來自于外部網(wǎng)絡(luò)，如 Internet上各種可疑代碼的入侵，很大一部分是來自于網(wǎng)絡(luò)內(nèi)部，如應(yīng)用系統(tǒng)錯(cuò)誤，網(wǎng)絡(luò)內(nèi) 部用戶的誤操作或者非法訪問等。在應(yīng)對(duì)網(wǎng)絡(luò)威脅時(shí)，傳統(tǒng)的入侵檢測(cè)系統(tǒng)(IDS)通常只 針對(duì)外部網(wǎng)絡(luò)，預(yù)防攻擊時(shí)需要首先掌握攻擊的特征，并需要持續(xù)的數(shù)據(jù)庫(kù)維護(hù)和更新，不 能很好地適應(yīng)高速網(wǎng)絡(luò)，另外在預(yù)警方面誤報(bào)率也偏高。這些安全問題給網(wǎng)絡(luò)監(jiān)控與分析 帶來了挑戰(zhàn)。網(wǎng)絡(luò)監(jiān)測(cè)和管理不僅要能夠預(yù)防外部攻擊，同時(shí)也應(yīng)該能夠主動(dòng)找出網(wǎng)絡(luò)內(nèi)部的 異常，并且要能夠快速發(fā)現(xiàn)攻擊，并采取相應(yīng)的安全措施。已有的研究工作主要集中在入侵 檢測(cè)領(lǐng)域。傳統(tǒng)的入侵防御系統(tǒng)解決方案通過串聯(lián)通訊檢測(cè)、特征檢測(cè)和實(shí)時(shí)封鎖等手段 保護(hù)你的網(wǎng)絡(luò)環(huán)境。網(wǎng)絡(luò)行為分析(NBA，Network Behavior Analysis)也稱作網(wǎng)絡(luò)行為 異常探測(cè)，是一種比較新的產(chǎn)品領(lǐng)域，利用被動(dòng)觀察和描述找出通訊高峰、不正常的應(yīng)用和 違反政策的行為。網(wǎng)絡(luò)行為分析解決方案觀察你的網(wǎng)絡(luò)內(nèi)部發(fā)生了什么事情，把來自許多 點(diǎn)的流動(dòng)數(shù)據(jù)結(jié)合在一起支持在線行為分析、關(guān)系描述、異常身份識(shí)別和人類輔助的“軟接 觸”補(bǔ)救措施。在應(yīng)對(duì)網(wǎng)絡(luò)攻擊和威脅方面，NBA主要應(yīng)用兩種形式的分析行為(Behavior)方 式和策略(Policy)方式?；谛袨榈姆治鲋饕府?dāng)網(wǎng)絡(luò)中某個(gè)系統(tǒng)、應(yīng)用或用戶的行為和 通常的情況不一致時(shí)，NBA系統(tǒng)辨別該未知行為是否是操作相關(guān)的威脅并登記該威脅。而 基于策略的分析則是檢驗(yàn)網(wǎng)絡(luò)中系統(tǒng)、應(yīng)用或用戶的當(dāng)前行為是否符合相關(guān)策略，如訪問 策略、使用策略或應(yīng)用系統(tǒng)策略等。NBA系統(tǒng)可用來辨別出應(yīng)用系統(tǒng)、用戶或其他網(wǎng)絡(luò)攻擊 產(chǎn)生的問題，并可以進(jìn)一步采取相應(yīng)的對(duì)策。

發(fā)明內(nèi)容
本發(fā)明提出了一種基于網(wǎng)絡(luò)行為分析(NBA)的網(wǎng)絡(luò)安全評(píng)估方法，該方法包括一 個(gè)基于流的網(wǎng)絡(luò)行為分析模型，該模型將網(wǎng)絡(luò)中的一個(gè)連接或獨(dú)立的包看成一個(gè)流，通過 記錄流經(jīng)網(wǎng)絡(luò)的所有流的屬性來分析網(wǎng)絡(luò)中每個(gè)主機(jī)的網(wǎng)絡(luò)行為特征參數(shù)，并計(jì)算每個(gè)主 機(jī)的網(wǎng)絡(luò)行為特征參數(shù)允許的最大閥值，從而可以構(gòu)建整個(gè)網(wǎng)絡(luò)的行為特征數(shù)據(jù)庫(kù)。當(dāng)網(wǎng) 絡(luò)中某個(gè)主機(jī)的特征參數(shù)的值超出其最大閥值時(shí)，則可以判斷網(wǎng)絡(luò)出現(xiàn)了異常?；诹鞯木W(wǎng)絡(luò)行為分析模型原理如下網(wǎng)絡(luò)監(jiān)控的最小對(duì)象是流經(jīng)網(wǎng)絡(luò)的報(bào)文。這些報(bào)文有些是單獨(dú)的UDP或ICMP包，有些則是屬于某個(gè)連接(Connection)的TCP包。以太網(wǎng)中數(shù)據(jù)或文件正是基于這些TCP 連接或UDP包，如FTP服務(wù)。我們將任意兩臺(tái)主機(jī)之間的一次連接或一個(gè)UDP/ICMP包看作 一個(gè)流(Flow)。一個(gè)流用一維向量X = (X1, X2, ... , xp)進(jìn)行表示，其中Xi (1彡i彡P(guān))代表 流的不同屬性，如傳輸開始時(shí)間、傳輸結(jié)束時(shí)間、源/目的IP、源/目的MAC、傳輸?shù)目?字節(jié)數(shù)、平均傳輸速度、傳輸協(xié)議等。整個(gè)網(wǎng)絡(luò)的行為可以看作是一系列的流的匯總，用
表示。對(duì)于任意一個(gè)主機(jī)，只要網(wǎng)絡(luò)中的所有應(yīng)用處于正常狀態(tài)，用戶的使用頻率趨于 穩(wěn)定，其網(wǎng)絡(luò)狀況在一定時(shí)期內(nèi)遵循一定的模式。這反映在針對(duì)該主機(jī)的某些特征參數(shù)保 持相對(duì)穩(wěn)定。網(wǎng)絡(luò)行為分析的關(guān)鍵是找出能夠區(qū)別網(wǎng)絡(luò)正常行為和異常行為的特征。每個(gè) 主機(jī)的網(wǎng)絡(luò)正常行為由一個(gè)對(duì)應(yīng)的行為特征庫(kù)表示，它包含一系列的特征參數(shù)。對(duì)每一項(xiàng) 特征參數(shù)，由Xi* Φ 1兩個(gè)值進(jìn)行表示，其中Xi是其標(biāo)準(zhǔn)參考值，Cj5i是一個(gè)閥值，當(dāng)某個(gè) 特征參數(shù)的當(dāng)前值超過其對(duì)應(yīng)的閥值時(shí)，則可認(rèn)為網(wǎng)絡(luò)出現(xiàn)了異常。因此一個(gè)主機(jī)的行為特征庫(kù)用兩個(gè)向量A = U1, λ2, ... , λ 和Φ = (Cji1, φ2，...，φ,)進(jìn)行表示，q是特征參數(shù)的數(shù)量。整個(gè)網(wǎng)絡(luò)的特征庫(kù)則表示為兩個(gè)η維向量 矩陣(A1, A2,...,人乂和(Φπ Φ2，..·，Φη)τ，其中η表示主機(jī)的數(shù)量。網(wǎng)絡(luò)監(jiān)控從分析報(bào)文開始，識(shí)別出每個(gè)流，并獲取流的相關(guān)屬性，再通過進(jìn)一步機(jī) 器學(xué)習(xí)算法和統(tǒng)計(jì)分析算法計(jì)算各項(xiàng)特征參數(shù)，并與特征庫(kù)基準(zhǔn)值進(jìn)行比較，從而實(shí)現(xiàn)對(duì) 網(wǎng)絡(luò)異常的監(jiān)控。當(dāng)網(wǎng)絡(luò)異常發(fā)生時(shí)，網(wǎng)絡(luò)行為會(huì)隨之改變，相關(guān)特征參數(shù)也會(huì)發(fā)生變化。 對(duì)于單位時(shí)間內(nèi)流經(jīng)該主機(jī)的所有流，我們通過分析統(tǒng)計(jì)分別得出每個(gè)特征參數(shù)的當(dāng)前值 (λ' λ‘ 2，...，λ',)，若其中某一項(xiàng)特征參數(shù)λ‘ 1超過預(yù)先為該參數(shù)設(shè)定的閥值 Φ ，則表示網(wǎng)絡(luò)可能出現(xiàn)了異常。如端口頻繁的非法掃描可能導(dǎo)致流數(shù)量概率密度分布的 變化，非法訪問某些資源或服務(wù)可能導(dǎo)致某個(gè)協(xié)議類型流量分布明顯增加。構(gòu)建網(wǎng)絡(luò)行為特征庫(kù)的原理如下本發(fā)明提出的特征庫(kù)構(gòu)建方法是基于概率統(tǒng)計(jì)學(xué)。對(duì)某一個(gè)特征參數(shù)λ ρ設(shè)樣本 空間為Uil Xi2... Xik)，則Xi為所有樣本的期望，
,其中Pik 為Xik的概率，而Φ 表示參數(shù)Xi允許出現(xiàn)的最大波動(dòng)幅度，通常由c^zmaxUik)獲得， 但在初始化參數(shù)過程中，由于樣本空間中可能有極少數(shù)樣本為不規(guī)律異常的情況，因此，可 通過計(jì)算Xi在置信度為99. 9% (可根據(jù)情況調(diào)節(jié))情況下允許出現(xiàn)的最大幅度。對(duì)網(wǎng)絡(luò)進(jìn)行監(jiān)測(cè)的前提是首先構(gòu)建整個(gè)網(wǎng)絡(luò)的特征庫(kù)，即初始化所有的λ i和 Φ 0構(gòu)建一個(gè)網(wǎng)絡(luò)行為特征庫(kù)包括如下幾個(gè)步驟步驟一、采集網(wǎng)絡(luò)上所有流的信息通過部署于網(wǎng)絡(luò)上各個(gè)節(jié)點(diǎn)的流數(shù)據(jù)采集設(shè)備，將采集到的所有主機(jī)的流的信息 匯總到異常監(jiān)控服務(wù)器。步驟二、分析流數(shù)據(jù)，計(jì)算特征參數(shù)異常監(jiān)控和安全評(píng)估系統(tǒng)分析采集回來的流數(shù)據(jù)，并根據(jù)機(jī)器學(xué)習(xí)算法和概率統(tǒng) 計(jì)學(xué)原理計(jì)算出每個(gè)主機(jī)每個(gè)特征參數(shù)的基準(zhǔn)值。步驟三、持續(xù)觀察網(wǎng)絡(luò)，計(jì)算特征參數(shù)的閥值
異常監(jiān)控和安全評(píng)估系統(tǒng)持續(xù)監(jiān)控網(wǎng)絡(luò)的情況，獲得每個(gè)主機(jī)每個(gè)特征參數(shù)基準(zhǔn) 值的樣本空間，并計(jì)算每個(gè)特征參數(shù)的閥值。


圖1是一個(gè)網(wǎng)絡(luò)流的示意圖。圖2是網(wǎng)絡(luò)行為特征參數(shù)異常判斷原理圖。圖3是構(gòu)建單個(gè)主機(jī)網(wǎng)絡(luò)行為特征庫(kù)的流程圖。圖4是本發(fā)明的應(yīng)用系統(tǒng)的架構(gòu)圖。
具體實(shí)施例方式下面結(jié)合附圖對(duì)本發(fā)明方法進(jìn)行說明參見圖1所示，11是客戶端，12是服務(wù)器端。當(dāng)11訪問12時(shí)，在11和12直接會(huì) 建立一個(gè)連接，每個(gè)連接我們都看作是一個(gè)流(Flow)，由13表示。13可能是一次連接，也 可以是一個(gè)獨(dú)立的UDP或ICMP包。圖2是網(wǎng)絡(luò)行為特征參數(shù)異常判斷原理圖。23代表網(wǎng)絡(luò)中某一個(gè)主機(jī)的特征參數(shù) Ai的閥值Φ” 21是網(wǎng)絡(luò)中所有主機(jī)的特征參數(shù)的閥值函數(shù)。22代表某一主機(jī)的特征參 數(shù)的值超出了閥值，意味著該主機(jī)發(fā)生了網(wǎng)絡(luò)異常。圖3是構(gòu)建單個(gè)主機(jī)網(wǎng)絡(luò)行為特征庫(kù)的流程圖。31通過流數(shù)據(jù)采集設(shè)備獲取流經(jīng)某一主機(jī)的所有流的數(shù)據(jù)32將流的數(shù)據(jù)匯總到異常監(jiān)控?cái)?shù)據(jù)庫(kù)33計(jì)算該主機(jī)網(wǎng)絡(luò)特征參數(shù)的值34形成該主機(jī)特征參數(shù)的樣本空間35計(jì)算該主機(jī)特征參數(shù)的閥值36將該主機(jī)特征參數(shù)的閥值存儲(chǔ)到網(wǎng)絡(luò)行為特征庫(kù)構(gòu)建整個(gè)網(wǎng)絡(luò)的網(wǎng)絡(luò)行為特征庫(kù)即是構(gòu)建每個(gè)主機(jī)的網(wǎng)絡(luò)行為特征庫(kù)。圖4是本發(fā)明的應(yīng)用系統(tǒng)的架構(gòu)圖。401流數(shù)據(jù)采集設(shè)備410異常監(jiān)控服務(wù)器411流數(shù)據(jù)分析模塊412實(shí)時(shí)監(jiān)控模塊413策略控制模塊414構(gòu)建行為特征庫(kù)模塊420網(wǎng)絡(luò)行為特征數(shù)據(jù)庫(kù)421單個(gè)主機(jī)的行為特征庫(kù)本發(fā)明的應(yīng)用系統(tǒng)可主要分為3個(gè)部分，即401，410和420。401是流數(shù)據(jù)采集設(shè)備，通常部署于路由器上，從而可以監(jiān)控流經(jīng)網(wǎng)絡(luò)的所有流的 信息。410是異常監(jiān)控服務(wù)器，420是網(wǎng)絡(luò)行為特征數(shù)據(jù)庫(kù)。構(gòu)建網(wǎng)絡(luò)行為特征庫(kù)時(shí)，401將采集的數(shù)據(jù)匯總后發(fā)送給411，411和414模塊共同 協(xié)作，計(jì)算每個(gè)主機(jī)的每個(gè)特征參數(shù)的閥值，并將所有閥值信息存儲(chǔ)到網(wǎng)絡(luò)行為特征數(shù)據(jù)庫(kù)中。網(wǎng)絡(luò)實(shí)時(shí)監(jiān)控時(shí)，401將采集的數(shù)據(jù)匯總后發(fā)送給410，410的流數(shù)據(jù)分析模塊411 將對(duì)流數(shù)據(jù)進(jìn)行分析和處理，或的流的相關(guān)屬性。412實(shí)時(shí)監(jiān)控流的屬性，實(shí)時(shí)計(jì)算特征參 數(shù)的值，并比較網(wǎng)絡(luò)行為特征數(shù)據(jù)庫(kù)，若發(fā)現(xiàn)異常，立即調(diào)用413策略控制模塊，執(zhí)行相應(yīng) 的應(yīng)對(duì)策略。系統(tǒng)可定期重建整個(gè)網(wǎng)絡(luò)行為特征庫(kù)，以適應(yīng)網(wǎng)絡(luò)物理結(jié)構(gòu)的變化以及網(wǎng)絡(luò)行為 規(guī)律的變化。
權(quán)利要求
一種基于NBA的網(wǎng)絡(luò)安全評(píng)估方法，包括基于流的網(wǎng)絡(luò)行為分析模型和構(gòu)建網(wǎng)絡(luò)行為特征庫(kù)流程，其特性在于所述基于流的網(wǎng)絡(luò)行為分析模型包括如下特性，(1)一個(gè)流(Flow)可能是一次連接，也可以是一個(gè)獨(dú)立的UDP或ICMP包；(2)一個(gè)流用一維向量X＝(x1，x2，...，xp)進(jìn)行表示，其中xi(1≤i≤p)代表流的不同屬性；(3)對(duì)于任意一個(gè)主機(jī)，只要網(wǎng)絡(luò)中的所有應(yīng)用處于正常狀態(tài)，用戶的使用頻率趨于穩(wěn)定，其網(wǎng)絡(luò)狀況在一定時(shí)期內(nèi)遵循一定的模式。這反映在針對(duì)該主機(jī)的某些特征參數(shù)保持相對(duì)穩(wěn)定；(4)每一項(xiàng)特征參數(shù)，由λi和φi兩個(gè)值進(jìn)行表示，其中λi是其標(biāo)準(zhǔn)參考值，φi是一個(gè)閥值，當(dāng)某個(gè)特征參數(shù)的當(dāng)前值超過其對(duì)應(yīng)的閥值時(shí)，則可認(rèn)為網(wǎng)絡(luò)出現(xiàn)了異常；(5)一個(gè)主機(jī)的網(wǎng)絡(luò)行為特征庫(kù)用兩個(gè)向量Λ＝(λ1，λ2，...，λq)和Φ＝(φ1，φ2，...，φq)進(jìn)行表示，q是特征參數(shù)的數(shù)量。整個(gè)網(wǎng)絡(luò)的特征庫(kù)則表示為兩個(gè)n維向量矩陣(Λ1，Λ2，...，Λn)T和(Φ1，Φ2，...，Φn)T，其中n表示主機(jī)的數(shù)量；(6)網(wǎng)絡(luò)監(jiān)控從分析報(bào)文開始，識(shí)別出每個(gè)流，并獲取流的相關(guān)屬性，再通過進(jìn)一步機(jī)器學(xué)習(xí)算法和統(tǒng)計(jì)分析算法計(jì)算各項(xiàng)特征參數(shù)，并與特征庫(kù)基準(zhǔn)值進(jìn)行比較，從而實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)異常的監(jiān)控；所述構(gòu)建網(wǎng)絡(luò)行為特征庫(kù)流程包括如下步驟，步驟一、采集網(wǎng)絡(luò)上所有流的信息通過部署于網(wǎng)絡(luò)上各個(gè)節(jié)點(diǎn)的流數(shù)據(jù)采集設(shè)備，將采集到的所有主機(jī)的流的信息匯總到異常監(jiān)控服務(wù)器；步驟二、分析流數(shù)據(jù)，計(jì)算特征參數(shù)異常監(jiān)控系統(tǒng)分析采集回來的流數(shù)據(jù)，并根據(jù)機(jī)器學(xué)習(xí)算法和概率統(tǒng)計(jì)學(xué)原理計(jì)算出每個(gè)主機(jī)每個(gè)特征參數(shù)的基準(zhǔn)值；步驟三、持續(xù)觀察網(wǎng)絡(luò)，計(jì)算特征參數(shù)的閥值異常監(jiān)控系統(tǒng)持續(xù)監(jiān)控網(wǎng)絡(luò)的情況，獲得每個(gè)主機(jī)每個(gè)特征參數(shù)基準(zhǔn)值的樣本空間，并計(jì)算每個(gè)特征參數(shù)的閥值。
2.根據(jù)權(quán)利要求1所述的方法，其特征在于網(wǎng)絡(luò)行為特征庫(kù)構(gòu)建方法是基于概率統(tǒng) 計(jì)學(xué)，對(duì)某一個(gè)特征參數(shù)Xi,設(shè)樣本空間為 則Xi為所有樣本的期望， 即為^ Xi ^ E(Ki)= YdAikPik，其中pik為Xik的概率，而φ,表示參數(shù)λ ,允許出現(xiàn)的最大波 動(dòng)幅度，Φ i可通過計(jì)算Xi在置信度為99. 9% (可根據(jù)情況調(diào)節(jié))情況下允許出現(xiàn)的最大 幅度。
3.根據(jù)權(quán)利要求1所述的方法，其特征在于一個(gè)流所包含的屬性包括傳輸開始時(shí)間、 傳輸結(jié)束時(shí)間、源/目的IP、源/目的MAC、傳輸?shù)目傋止?jié)數(shù)、平均傳輸速度、傳輸協(xié)議等。
4.根據(jù)權(quán)利要求1所述的方法，其特征在于整個(gè)網(wǎng)絡(luò)的行為特征庫(kù)是每個(gè)主機(jī)行為 特征庫(kù)的匯總。
5.根據(jù)權(quán)利要求1或4所述的方法，其特征在于每個(gè)主機(jī)行為特征庫(kù)包括該主機(jī)每 個(gè)特征參數(shù)的基準(zhǔn)值和允許的閥值。
6.根據(jù)權(quán)利要求1所述的方法，其特征在于判斷某一個(gè)主機(jī)是否出現(xiàn)異常，是判斷該 主機(jī)是否有特征參數(shù)超出了允許的閥值。
7.根據(jù)權(quán)利要求1所述的方法，其特征在于網(wǎng)絡(luò)行為特征數(shù)據(jù)庫(kù)隨著時(shí)間的變化而 有所變化。
8.根據(jù)權(quán)利要求1所述的方法，其特征在于所建議的基于行為分析的安全評(píng)估系統(tǒng) 包括流數(shù)據(jù)采集設(shè)備、網(wǎng)絡(luò)異常實(shí)時(shí)監(jiān)控服務(wù)器和網(wǎng)絡(luò)行為特征數(shù)據(jù)庫(kù)三個(gè)部分。
9.根據(jù)權(quán)利要求1或8所述的方法，其特征在于所建議的基于行為分析的安全評(píng)估 系統(tǒng)的網(wǎng)絡(luò)異常實(shí)時(shí)監(jiān)控服務(wù)器主要包含流數(shù)據(jù)分析模塊、實(shí)時(shí)監(jiān)控模塊、策略控制模塊 和構(gòu)建行為特征庫(kù)模塊。
10.根據(jù)權(quán)利要求1或8所述的方法，其特征在于所建議的基于行為分析的安全評(píng)估 系統(tǒng)能夠適應(yīng)網(wǎng)絡(luò)的物理變化或用戶使用習(xí)慣的變化，并及時(shí)更新網(wǎng)絡(luò)行為特征數(shù)據(jù)庫(kù)。
全文摘要
本發(fā)明公開了一種基于NBA的網(wǎng)絡(luò)安全評(píng)估方法。該方法將網(wǎng)絡(luò)中的一個(gè)連接或獨(dú)立的包看成一個(gè)流，通過記錄流經(jīng)網(wǎng)絡(luò)的所有流的屬性來分析網(wǎng)絡(luò)中每個(gè)主機(jī)的網(wǎng)絡(luò)行為特征參數(shù)，并計(jì)算每個(gè)主機(jī)的網(wǎng)絡(luò)行為特征參數(shù)允許的最大閥值，從而可以構(gòu)建整個(gè)網(wǎng)絡(luò)的行為特征數(shù)據(jù)庫(kù)。當(dāng)網(wǎng)絡(luò)中某個(gè)主機(jī)的特征參數(shù)的值超出其最大閥值時(shí)，則可以判斷網(wǎng)絡(luò)出現(xiàn)了異常。本發(fā)明涉及網(wǎng)絡(luò)異常和網(wǎng)絡(luò)攻擊等網(wǎng)絡(luò)安全監(jiān)控領(lǐng)域，可以彌補(bǔ)傳統(tǒng)的入侵檢測(cè)系統(tǒng)的不足，具有廣闊的應(yīng)用前景。
文檔編號(hào)H04L9/36GK101882997SQ20091005050
公開日2010年11月10日 申請(qǐng)日期2009年5月4日 優(yōu)先權(quán)日2009年5月4日
發(fā)明者周竹娟, 陳尚斌 申請(qǐng)人:上海慶青網(wǎng)絡(luò)信息科技有限公司