網(wǎng)絡(luò)安全感知應(yīng)用實(shí)踐

網(wǎng)絡(luò)安全感知應(yīng)用實(shí)踐態(tài)勢(shì)感知常用分析模型0102態(tài)勢(shì)感知應(yīng)用關(guān)鍵點(diǎn)Content目錄01

態(tài)勢(shì)感知常用分析模型態(tài)勢(shì)感知常用分析模型1、始于感知：Endsley模型

Endsley模型中，態(tài)勢(shì)感知始于感知。

感知包含對(duì)網(wǎng)絡(luò)環(huán)境中重要組成要素的狀態(tài)、屬性及動(dòng)態(tài)等信息，以及將其歸類整理的過(guò)程。態(tài)勢(shì)感知常用分析模型Commonanalysismodelsofsituationawareness

在網(wǎng)絡(luò)安全態(tài)勢(shì)感知的分析過(guò)程中，會(huì)應(yīng)用到很多成熟的分析模型，這些模型的分析方法雖各不相同，但多數(shù)都包含了感知、理解和預(yù)測(cè)的三個(gè)要素。

理解則是對(duì)這些重要組成要素的信息的融合與解讀，不僅是對(duì)單個(gè)分析對(duì)象的判斷分析，還包括對(duì)多個(gè)關(guān)聯(lián)對(duì)象的整合梳理。同時(shí)，理解是隨著態(tài)勢(shì)的變化而不斷更新演變的，不斷將新的信息融合進(jìn)來(lái)形成新的理解。態(tài)勢(shì)感知常用分析模型2、循環(huán)對(duì)抗：OODA模型

OODA是指觀察（Oberve）、調(diào)整（Orient）、決策（Decide）以及行動(dòng)（Act），它是信息戰(zhàn)領(lǐng)域的一個(gè)概念。OODA是一個(gè)不斷收集信息、評(píng)估決策和采取行動(dòng)的過(guò)程。

將OODA循環(huán)應(yīng)用在網(wǎng)絡(luò)安全態(tài)勢(shì)感知中，攻擊者與分析者都面臨這樣的循環(huán)過(guò)程：在觀察中感知攻擊與被攻擊，在理解中調(diào)整并決策攻擊與防御方法，預(yù)測(cè)對(duì)手下一個(gè)動(dòng)作并發(fā)起行動(dòng)，同時(shí)進(jìn)入下一輪的觀察。

如果分析者的OODA循環(huán)比攻擊者快，那么分析者有可能“進(jìn)入”對(duì)方的循環(huán)中，從而占據(jù)優(yōu)勢(shì)。例如通過(guò)關(guān)注對(duì)方正在進(jìn)行或者可能進(jìn)行的事情，即分析對(duì)手的OODA環(huán)，來(lái)判斷對(duì)手下一步將采取的動(dòng)作，而先于對(duì)方采取行動(dòng)。態(tài)勢(shì)感知常用分析模型Commonanalysismodelsofsituationawareness態(tài)勢(shì)感知常用分析模型3、數(shù)據(jù)融合：JDL模型

JDL（JointDirectorsofLaboratories）模型是信息融合系統(tǒng)中的一種信息處理方式，由美國(guó)國(guó)防部成立的數(shù)據(jù)融合聯(lián)合指揮實(shí)驗(yàn)室提出。

JDL模型將來(lái)自不同數(shù)據(jù)源的數(shù)據(jù)和信息進(jìn)行綜合分析，根據(jù)它們之間的相互關(guān)系，進(jìn)行目標(biāo)識(shí)別、身份估計(jì)、態(tài)勢(shì)評(píng)估和威脅評(píng)估，融合過(guò)程會(huì)通過(guò)不斷的精煉評(píng)估結(jié)果來(lái)提高評(píng)估的準(zhǔn)確性。

在網(wǎng)絡(luò)安全態(tài)勢(shì)感知中，面對(duì)來(lái)自內(nèi)外部大量的安全數(shù)據(jù)，通過(guò)JDL模型進(jìn)行數(shù)據(jù)的融合分析，能夠?qū)崿F(xiàn)對(duì)分析目標(biāo)的感知、理解與影響評(píng)估，為后續(xù)的預(yù)測(cè)提供重要的分析基礎(chǔ)和支撐。態(tài)勢(shì)感知常用分析模型Commonanalysismodelsofsituationawareness態(tài)勢(shì)感知常用分析模型4、假設(shè)與推理：RPD模型

RPD（RecognitionPrimedDecision）模型中定義態(tài)勢(shì)感知分為兩個(gè)階段：感知和評(píng)估。

感知階段通過(guò)特征匹配的方式，將現(xiàn)有態(tài)勢(shì)與過(guò)去態(tài)勢(shì)進(jìn)行對(duì)比，選取相似度高的過(guò)去態(tài)勢(shì)，找出當(dāng)時(shí)采取的哪些行動(dòng)方案是有效的。評(píng)估階段分析過(guò)去相似態(tài)勢(shì)有效的行動(dòng)方案，推測(cè)當(dāng)前態(tài)勢(shì)可能的演化過(guò)程，并調(diào)整行動(dòng)方案。

以上方式若遇到匹配結(jié)果不理想的情況，則采取構(gòu)造故事的方式，即根據(jù)經(jīng)驗(yàn)探索潛在的假設(shè)，再評(píng)估每個(gè)假設(shè)與實(shí)際發(fā)生情況的相符度。在RPD模型中對(duì)感知、理解和預(yù)測(cè)三要素的主要體現(xiàn)為：基于假設(shè)進(jìn)行相關(guān)信息的收集（感知），特征匹配和故事構(gòu)造（理解），假設(shè)驅(qū)動(dòng)思維模擬與推測(cè)（預(yù)測(cè)）。態(tài)勢(shì)感知常用分析模型Commonanalysismodelsofsituationawareness02

態(tài)勢(shì)感知應(yīng)用關(guān)鍵點(diǎn)態(tài)勢(shì)感知應(yīng)用關(guān)鍵點(diǎn)

當(dāng)前，單維度的網(wǎng)絡(luò)安全防御技術(shù)手段，已經(jīng)難以應(yīng)對(duì)復(fù)雜的網(wǎng)絡(luò)環(huán)境和大量存在的安全問(wèn)題，對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)感知具體模型和技術(shù)的研究，已經(jīng)成為2.0時(shí)代網(wǎng)絡(luò)安全技術(shù)的焦點(diǎn)，同時(shí)很多機(jī)構(gòu)也已經(jīng)推出了網(wǎng)絡(luò)安全態(tài)勢(shì)感知產(chǎn)品和解決方案。態(tài)勢(shì)感知應(yīng)用關(guān)鍵點(diǎn)Keypointsofsituationawarenessapplication

但是，目前市場(chǎng)上的的相關(guān)產(chǎn)品和解決方案，都相對(duì)偏重于網(wǎng)絡(luò)安全態(tài)勢(shì)的某一個(gè)或某幾個(gè)方面的感知，網(wǎng)絡(luò)安全態(tài)勢(shì)感知的數(shù)據(jù)分析的深度和廣度還需要進(jìn)一步加強(qiáng)，同時(shí)網(wǎng)絡(luò)安全態(tài)勢(shì)感知與其它系統(tǒng)平臺(tái)的聯(lián)動(dòng)不足，無(wú)法將態(tài)勢(shì)感知與安全運(yùn)營(yíng)深入融合。

為此，太極信安認(rèn)為網(wǎng)絡(luò)安全態(tài)勢(shì)感知平臺(tái)的建設(shè)，應(yīng)著重考慮以下幾個(gè)方面的內(nèi)容：態(tài)勢(shì)感知應(yīng)用關(guān)鍵點(diǎn)1、在數(shù)據(jù)采集方面，網(wǎng)絡(luò)安全數(shù)據(jù)來(lái)源要盡可能的豐富，應(yīng)該包括網(wǎng)絡(luò)結(jié)構(gòu)數(shù)據(jù)、網(wǎng)絡(luò)服務(wù)數(shù)據(jù)、漏洞數(shù)據(jù)、脆弱性數(shù)據(jù)、威脅與入侵?jǐn)?shù)據(jù)、用戶異常行為數(shù)據(jù)等等，只有這樣態(tài)勢(shì)評(píng)估結(jié)果才能準(zhǔn)確。態(tài)勢(shì)感知應(yīng)用關(guān)鍵點(diǎn)Keypointsofsituationawarenessapplication2、在態(tài)勢(shì)評(píng)估方面，態(tài)勢(shì)感評(píng)估要對(duì)多個(gè)層次、多個(gè)角度進(jìn)行評(píng)估，能夠評(píng)估網(wǎng)絡(luò)的業(yè)務(wù)安全、數(shù)據(jù)安全、基礎(chǔ)設(shè)施安全和整體安全狀況，并且應(yīng)該針對(duì)不同的應(yīng)用背景和不同的網(wǎng)絡(luò)規(guī)模選擇不同的評(píng)估方法。3、在態(tài)勢(shì)感知流程方面，態(tài)勢(shì)感知流程要規(guī)范，所采用的算法要簡(jiǎn)單，應(yīng)該選擇規(guī)范化的、易操作的評(píng)估模型和預(yù)測(cè)模型，能夠做到實(shí)時(shí)準(zhǔn)確的評(píng)估網(wǎng)絡(luò)安全態(tài)勢(shì)。態(tài)勢(shì)感知應(yīng)用關(guān)鍵點(diǎn)4、在態(tài)勢(shì)預(yù)測(cè)方面，態(tài)勢(shì)感知要能支持對(duì)不同的評(píng)估結(jié)果預(yù)測(cè)其發(fā)展趨勢(shì)，預(yù)防大規(guī)模安全事件的發(fā)生。態(tài)勢(shì)感知應(yīng)用關(guān)鍵點(diǎn)Keypointsofsituationawarene