网络安全事件异常问题检测方案

定义网络安全异常事件检测模式，提出网络频繁密度概念，针对网络安全异常事件模式的间隔限制，利用事件流中滑动窗口设计算法，对网络安全事件流中异常检测进行探讨。但是，由于在网络协议设计上对安全问题的忽视以及在管理和使用上的不健全，使网络安全受到严重威胁。本文通过针对网络安全事件流中异常检测流的特点的探讨分析，对此加以系统化的论述并找出合理经济的解决方案。

1、建立信息安全体系统一管理网络安全

在综合考虑各种网络安全技术的基础上，网络安全事件流中异常检测在未来网络安全建设中应该采用统一管理系统进行安全防护。直接采用网络连接记录中的基本属性，将基于时间的统计特征属性考虑在内，这样可以提高系统的检测精度。

1.1 网络安全帐号口令管理安全系统建设

终端安全管理系统扩容，扩大其管理的范围同时考虑网络系统扩容。完善网络审计系统、安全管理系统、网络设备、安全设备、主机和应用系统的部署，采用高新技术流程来实现。采用信息化技术管理需要帐号口令，有效地实现一人一帐号和帐号管理流程安全化。此阶段需要部署一套帐号口令统一管理系统，对所有帐号口令进行统一管理，做到职能化、合理化、科学化。

信息安全建设成功结束后，全网安全基本达到规定的标准，各种安全产品充分发挥作用，安全管理也到位和正规化。此时进行安全管理建设，主要完善系统体系架构图编辑，加强系统平台建设和专业安全服务。体系框架中最要的部分是平台管理、账号管理、认证管理、授权管理、审计管理，本阶段可以考虑成立安全管理部门，聘请专门的安全服务顾问，建立信息安全管理体系，建立PDCA机制，按照专业化的要求进行安全管理通过系统的认证。

边界安全和网络安全建设主要考虑安全域划分和加强安全边界防护措施，重点考虑Internet外网出口安全问题和各节点对内部流量的集中管控。因此，加强各个局端出口安全防护，并且在各个节点位置部署入侵检测系统，加强对内部流量的检测。主要采用的技术手段有网络边界隔离、网络边界入侵防护、网络边界防病毒、内容安全管理等。

1.2 综合考虑和解决各种边界安全技术问题

随着网络病毒攻击越来越朝着混合性发展的趋势，在网络安全建设中采用统一管理系统进行边界防护，考虑到性价比和防护效果的最大化要求，统一网络管理系统是最适合的选择。在各分支节点交换和部署统一网络管理系统，考虑到以后各节点将实现INITERNET出口的统一，要充分考虑分支节点的internet出口的深度安全防御。采用了UTM统一网络管理系统，可以实现对内部流量访问业务系统的流量进行集中的管控，包括进行访问控制、内容过滤等。

网络入侵检测问题通过部署UTM产品可以实现静态的深度过滤和防护，保证内部用户和系统的安全。但是安全威胁是动态变化的，因此采用深度检测和防御还不能最大化安全效果，为此建议采用入侵检测系统对通过UTM的流量进行动态的检测，实时发现其中的异常流量。在各个分支的核心交换机上将进出流量进行集中监控，通过入侵检测系统管理平台将入侵检测系统产生的事件进行有效的呈现，从而提高安全维护人员的预警能力。

1.3 防护IPS入侵进行internet出口位置的整合

防护 IPS入侵进行 internet出口位置的整合，可以考虑将新增的服务器放置到服务器区域。同时在核心服务器区域边界位置采用入侵防护系统进行集中的访问控制和综合过滤，采用IPS系统可以预防服务器因为没有及时添加补丁而导致的攻击等事件的发生。

在整合后的internet边界位置放置一台IPS设备，实现对internet流量的深度检测和过滤。安全域划分和系统安全考虑到自身业务系统的特点，为了更好地对各种服务器进行集中防护和监控，将各种业务服务器进行集中管控，并且考虑到未来发展需要，可以将未来需要新增的服务器进行集中放置，这样我们可以保证对服务器进行同样等级的保护。在接入交换机上划出一个服务器区域，前期可以将已有业务系统进行集中管理。

2、科学化进行网络安全事件流中异常检测方案的探讨

网络安全事件本身也具有不确定性，在正常和异常行为之间应当有一个平滑的过渡。在网络安全事件检测中引入模糊集理论，将其与关联规则算法结合起来，采用模糊化的关联算法来挖掘网络行为的特征，从而提高系统的灵活性和检测精度。异常检测系统中，在建立正常模式时必须尽可能多得对网络行为进行全面的描述，其中包含出现频率高的模式，也包含低频率的模式。

2.1 基于网络安全事件流中频繁情节方法分析

针对网络安全事件流中异常检测问题，定义网络安全异常事件模式为频繁情节，主要基于无折叠出现的频繁度研究，提出了网络安全事件流中频繁情节发现方法，该方法中针对事件流的特点，提出了频繁度密度概念。针对网络安全异常事件模式的时间间隔限制，利用事件流中滑动窗口设计算法。针对复合攻击模式的特点，对算法进行实验证明网络时空的复杂性、漏报率符合网络安全事件流中异常检测的需求。

传统的挖掘定量属性关联规则算法，将网络属性的取值范围离散成不同的区间，然后将其转化为“布尔型”关联规则算法，这样做会产生明显的边界问题，如果正常或异常略微偏离其规定的范围，系统就会做出错误的判断。在基于网络安全事件流中频繁情节方法分析中，建立网络安全防火墙，在网络系统的内部和外网之间构建保护屏障。针对事件流的特点，利用事件流中滑动窗口设计算法，采用复合攻击模式方法，对算法进行科学化的测试。

2.2 采用系统连接方式检测网络安全基本属性

在入侵检测系统中，直接采用网络连接记录中的基本属性，其检测效果不理想，如果将基于时间的统计特征属性考虑在内，可以提高系统的检测精度。网络安全事件流中异常检测引入数据化理论，将其与关联规则算法结合起来，采用设计化的关联算法来挖掘网络行为的特征，从而提高系统的灵活性和检测精度。异常检测系统中，在建立正常的数据化模式尽可能多得对网络行为进行全面的描述，其中包含出现频率高的模式，也包含低频率的模式。

在网络安全数据集的分析中，发现大多数属性值的分布较稀疏，这意味着对于一个特定的定量属性，其取值可能只包含它的定义域的一个小子集，属性值分布也趋向于不均匀。这些统计特征属性大多是定量属性，传统的挖掘定量属性关联规则的算法是将属性的取值范围离散成不同的区间，然后将其转化为布尔型关联规则算法，这样做会产生明显的边界问题，如果正常或异常略微偏离其规定的范围，系统就会做出错误的判断。网络安全事件本身也具有模糊性，在正常和异常行为之间应当有一个平滑的过渡。

另外，不同的攻击类型产生的日志记录分布情况也不同，某些攻击会产生大量的连续记录，占总记录数的比例很大，而某些攻击只产生一些孤立的记录，占总记录数的比例很小。针对网络数据流中属性值分布，不均匀性和网络事件发生的概率不同的情况，采用关联算法将其与数据逻辑结合起来用于检测系统。实验结果证明，设计算法的引入不仅可以提高异常检测的能力，还显著减少了规则库中规则的数量，提高了网络安全事件异常检测效率。

2.3 建立整体的网络安全感知系统，提高异常检测的效率

作为网络安全态势感知系统的一部分，建立整体的网络安全感知系统主要基于netflow的异常检测。为了提高异常检测的效率，解决传统流量分析方法效率低下、单点的问题以及检测对分布式异常检测能力弱的问题。对网络的netflow数据流采用，基于高位端口信息的分布式异常检测算法实现大规模网络异常检测。

通过网络数据设计公式推导出高位端口计算结果，最后采集局域网中的数据，通过对比试验进行验证。大规模网络数据流的特点是数据持续到达、速度快、规模宏大。因此，如何在大规模网络环境下进行检测网络异常并为提供预警信息，是目前需要解决的重要问题。结合入侵检测技术和数据流挖掘技术，提出了一个大规模网络数据流频繁模式挖掘和检测算法，根据“加权欧几里得”距离进行模式匹配。

实验结果表明，该算法可以检测出网络流量异常。为增强网络抵御智能攻击的能力，提出了一种可控可管的网络智能体模型。该网络智能体能够主动识别潜在异常，及时隔离被攻击节点阻止危害扩散，并报告攻击特征实现信息共享。综合网络选择原理和危险理论，提出了一种新的网络智能体训练方法，使其在网络中能更有效的识别节点上的攻击行为。通过分析智能体与对抗模型，表明网络智能体模型能够更好的保障网络安全。

伴随着计算机和通信技术的迅速发展，伴随着网络用户需求的不断增加，计算机网络的应用越来越广泛，其规模也越来越庞大。同时，网络安全事件层出不穷，使得计算机网络面临着严峻的信息安全形势的挑战，传统的单一的防御设备或者检测设备已经无法满足安全需求。网络安全安全检测技术能够综合各方面的安全因素，从整体上动态反映网络安全状况，并对安全状况的发展趋势进行预测和预警，为增强网络安全性提供可靠的参照依据。因此，针对网络的安全态势感知研究已经成为目前网络安全领域的热点。