大数据环境下基于免疫的网络安全态势感知研究

In the network environment of big data, the main problems faced by the traditional cyberspace security situation awareness systems include: 1) The time cost of system training and dynamic updating through massive network samples is too high; In the face of complex and variable network environments, the system lacks self-adaptability, and its detection of threat often based on simple, rough binary decision logic without the consideration of real risk of the detected objects, resulting in relatively high false alarm rate of threat detection, which in turn affects the reliability of situation awareness results. Aimed at these problems, the project creatively introduced immune risk theory and the mechanism of "antibody concentration synchronized evolution with invading pathogens" into the situation assessment through big data analysis and artificial immunology. A series of explorations and innovations are carried out in model training, risk assessment, and real-time quantitative evaluation of situation, including network threat information database based on big data, detector training based on grid-partitioning of the feature space of antigens, immune based self-adaptive detection model of network threat, and immune based real-time quantitative evaluation model of security situations. Inspired by the biological immune system, this project proposed to explore the technical challenges of "self-adaptive detection of security threats and real-time quantitative situation assessment" in the complex network environment of big data, and provide direct technical support for the construction of a new generation of active network security defense systems.

大数据网络环境下，传统的网络安全态势感知系统面临的主要问题有：1）通过海量的网络样本对系统进行训练和更新的时间代价过高；2）面对复杂，多变的网络环境，系统缺乏自适应性，且安全威胁检测多采用简单、粗暴的二值判断逻辑，未考虑检测对象的真实危险性，导致威胁检测的误报率较高，进而影响态势感知结果的可靠性。对此，项目通过大数据分析、人工免疫等手段，创造性地将免疫危险理论、“抗体浓度随入侵病原体同步演化”机制引入到态势评估中，在模型训练、危险性判断、态势实时定量评估方面进行一系列探索与创新，包括基于大数据的网络威胁情报库、基于抗原特征空间网格划分的检测器训练模型、基于免疫的网络威胁自适应发现模型，以及基于免疫的安全态势实时定量评估模型。项目受生物免疫系统启发，探索解决大数据复杂网络环境下“安全威胁的自适应发现和实时定量的态势评估”这一技术难题，为构建新一代积极主动的网络安全防御系统提供直接的技术支持。

态势感知是网络空间安全的关键技术，其感知结果是系统制定网络安全防御策略的基本依据。缺乏对网络安全态势的实时定量感知，将导致防御策略的制定具有较大的盲目性和被动性，难以适应日益复杂、多变的大数据网络环境。要实现对网络安全态势的客观评价，进而采取积极、主动的防御策略，其中的关键是要及时、准确地了解网络当前的安全威胁，否则难以及时制定出有针对性的防御措施，进而丧失网络防御中的主动权，陷入被动防御的不利局面。..针对大数据网络环境下样本规模庞大、安全状况复杂多变，导致威胁检测模型的训练效率低、误报率较高，以及态势的量化评估困难等问题，本项目受生物免疫系统的启发，研究了基于免疫的网络安全态势感知技术，包括网络威胁情报大数据库、检测器高效训练模型、基于免疫的网络安全威胁自适应发现模型、基于免疫的网络安全态势实时定量评估模型等，通过免疫检测器的快速训练与动态更新，结合免疫危险理论实现对网络安全威胁的自适应发现，基于抗体浓度变化实时定量地计算网络，以及主机节点面临某一种攻击时的单一风险，以及面临所有攻击时的整体综合风险等指标以反映网络当前的安全态势，并可随真实网络环境同步动态演化。..项目组先后提出了基于样本特征空间层次化分的免疫检测器高效训练方法，结合未标记样本的免疫检测器训练方法等关键基础理论算法，将免疫检测器训练的时间代价从指数级降低到了多项式级；并提出了基于标签传播的肯定选择算法，结合未标记样本进行免疫检测器训练，解决了已标记免疫训练样本不足的难题，为小样本条件下的免疫安全检测提供了支撑，相关成果共发表SCI论文10篇，获得国家授权发明专利7项，获四川省科技进步一等奖一项。..项目的研究对于提高大数据网络环境下系统的态势感知能力，实时、定量的评估网络的总体安全风险，进而灵活地依据当前网络环境威胁的变化采取不同的防御策略，实现一种新的、积极主动的网络安全防御系统，掌握网络防御中的主动权，改变传统网络安全系统的被动防御局面等具有十分重要的理论意义和实际应用价值。