面向NSSA的多源異構數據采集與存儲研究.pdf

1、隨著網絡安全問題的不斷凸顯，傳統(tǒng)被動防御的方法由于缺乏對安全的可見性和對網絡整體安全狀態(tài)與趨勢的感知性，漸漸無法滿足組織對網絡安全的迫切需求。網絡安全態(tài)勢感知（Network Security Situation Awareness，NSSA）作為一種主動的感知技術，能夠很好地從多個數據源中發(fā)現(xiàn)網絡入侵行為，從而對網絡攻擊進行及時的響應。其中，網絡安全態(tài)勢要素獲取是網絡安全態(tài)勢感知的基礎，態(tài)勢要素獲取的好壞直接影響到上層分析的準確性。據

2、此，針對大規(guī)模網絡安全態(tài)勢感知中的多源異構數據采集與存儲技術進行深入研究，論文主要創(chuàng)新性工作如下：
　　由于現(xiàn)有的態(tài)勢要素獲取模型存在單源或多源同質的問題，導致獲取的態(tài)勢要素信息不完整，從而影響上層對態(tài)勢的理解與預測，由此設計了一個面向NSSA的多源異構態(tài)勢要素獲取模型。該模型使用資產數據、網絡數據、日志數據、事件數據以及威脅情報作為數據源，從縱向描述了各類數據不斷抽象的過程以及它們在不同感知層次上所起的不同作用，從橫向給出了各類

3、數據的時效性狀況，為不同數據的更新頻率與存儲周期設定提供參考，以減少不必要的磁盤開銷。此外，建立了一個模型完整性驗證流圖，并設計了一個基于該模型的原型系統(tǒng)，驗證了該模型的有效性。
　　對提出模型中的5大類17子類數據的采集技術進行分析，設計了一個分布式的網絡安全數據傳感器系統(tǒng)。該系統(tǒng)通過對傳感器的職能進行設計，解決了不同安全區(qū)域對網絡安全數據采集內容的不同需求；通過對傳感器觀察點進行優(yōu)化，避免了PNAT和防火墻過濾導致采集數據存在

4、偏差和殘缺的問題。通過搭建了一個麻雀式的網絡環(huán)境，并設計了網絡攻擊實驗，驗證了采集數據對網絡安全態(tài)勢分析與理解的價值。
　　針對采集到的數據存在數據量大、數據結構各異、數據關系復雜以及CRUD操作需求上存在差異的問題，提出一個混合式的數據存儲方法。該方法利用Neo4j圖數據庫對資產數據進行存儲，以解決傳統(tǒng)關系型數據庫對復雜關系查詢難效率低的問題；利用ElasticSearch全文索引技術與并行查詢能力對非資產數據進行存儲與查詢，以