软件学报

作者：王维靖，陈俊洁，杨林，侯德俊，王星凯，吴复迪，张润滋，王赞

单位：王维靖，天津大学智能与计算学部, 天津 300350;天津大学新媒体与传播学院, 天津 30007211,陈俊洁，天津大学智能与计算学部, 天津 30035002,杨林，天津大学智能与计算学部, 天津 30035003,侯德俊，天津大学信息与网络中心, 天津 30007204,王星凯，绿盟科技集团股份有限公司, 北京 10008905,吴复迪，绿盟科技集团股份有限公司, 北京 10008906,张润滋，绿盟科技集团股份有限公司, 北京 10008907,王赞，天津大学智能与计算学部, 天津 300350;天津大学新媒体与传播学院, 天津 30007208

关键词：网络安全;网络侧告警;排序;数据融合

基金：北京市科技新星计划(Z211100002121150)

部署在网络节点上的网络安全监控系统每天会生成海量网络侧告警, 导致安全人员面临巨大压力, 并使其对高风险告警不再敏感, 无法及时发现网络攻击行为. 由于网络攻击行为的复杂多变以及网络侧告警信息的局限性, 已有面向IT运维的告警排序/分类方法并不适用于网络侧告警. 因此, 提出了基于多元数据融合的首个网络侧告警排序方法NAP (network-side alert prioritization). NAP首先设计了一个基于源IP地址与目的IP地址的多策略上下文编码器, 用于捕获告警的上下文信息; 其次, NAP设计了一个基于注意力机制双向GRU (gated recurrent unit)模型与ChineseBERT模型的文本编码器, 从告警报文等文本数据中学习网络侧告警的语义信息; 最后, NAP构建了排序模型得到告警排序值, 并按其降序将攻击性强的高风险告警排在前面, 从而优化网络侧告警管理流程. 在3组绿盟科技网络攻防数据上的实验表明: NAP能够有效且稳定地排序网络侧告警, 并且显著优于对比方法. 例如: 平均排序指标NDCG@k (kÎ[1,10]) (即前1-10个排序结果的归一化折损累计增益)均在0.893 1-0.958 3之间, 比最先进的方法提升64.73%以上. 另外, 通过将NAP应用于天津大学真实的网络侧告警数据, 进一步证实了其实用性.

来源：2024年第8期

《软件学报》期刊编辑部

查看软件学报杂志2024年第8期