摘要：針對(duì)日益復(fù)雜的網(wǎng)絡(luò)攻擊、安全風(fēng)險(xiǎn)，以及網(wǎng)絡(luò)安全態(tài)勢(shì)感知模型的感知檢測(cè)率低、效果差等問(wèn)題，本文提出并設(shè)計(jì)了一種基于決策樹的新型網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)。該系統(tǒng)的設(shè)計(jì)分為軟件、硬件兩個(gè)部分。其中，系統(tǒng)硬件部分通過(guò)對(duì)系統(tǒng)日志的采集和處理實(shí)現(xiàn)對(duì)數(shù)據(jù)的訪問(wèn)；在軟件設(shè)計(jì)過(guò)程中引入決策樹，搭建了網(wǎng)絡(luò)安全態(tài)勢(shì)感知模型，并借助歸一化異構(gòu)修正，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)感知的優(yōu)化和軟件流程設(shè)計(jì)。經(jīng)仿真結(jié)果證明：本文設(shè)計(jì)的系統(tǒng)具有較高的網(wǎng)絡(luò)安全態(tài)勢(shì)感知準(zhǔn)確率，能夠有效滿足用戶需求。

關(guān)鍵詞：決策樹；網(wǎng)絡(luò)安全；安全態(tài)勢(shì)感知；數(shù)據(jù)處理

一、引言

近年來(lái)，隨著云計(jì)算、大數(shù)據(jù)等技術(shù)的快速發(fā)展，網(wǎng)絡(luò)數(shù)據(jù)流量呈幾何式上漲。其在為人們生活提供便利的同時(shí)，海量的復(fù)雜數(shù)據(jù)也帶來(lái)了嚴(yán)重的網(wǎng)絡(luò)安全問(wèn)題。因此，如何高效、精準(zhǔn)地實(shí)現(xiàn)網(wǎng)絡(luò)安全態(tài)勢(shì)感知，成為相關(guān)學(xué)者重點(diǎn)關(guān)注的課題。決策樹（Decision Tree）是一個(gè)流程圖形式的樹結(jié)構(gòu)，它利用對(duì)自身內(nèi)部的每個(gè)節(jié)點(diǎn)屬性測(cè)試的方式，確定最終結(jié)果，并將其在類標(biāo)簽上進(jìn)行呈現(xiàn)[1]。鐘云勝針對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)感知存在的感知檢出率低的問(wèn)題，提出了一種基于決策樹算法的網(wǎng)絡(luò)安全態(tài)勢(shì)感知優(yōu)化方法。該方法通過(guò)引入決策樹算法，實(shí)現(xiàn)對(duì)定向感知特征的提取，搭建對(duì)應(yīng)優(yōu)化模型，并進(jìn)行歸一化處理，以達(dá)到優(yōu)化安全態(tài)勢(shì)的目的[2]。林立鑫針對(duì)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)問(wèn)題，提出了一種基于改進(jìn)決策樹的網(wǎng)絡(luò)安全態(tài)勢(shì)感知方法。該方法通過(guò)利用改進(jìn)后的決策樹算法實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)要素的提取，并利用D-S證據(jù)理論對(duì)其結(jié)果量化，從而達(dá)到提高網(wǎng)絡(luò)安全和感知水平的目的[3]。但這兩種方法的設(shè)計(jì)效果都低于預(yù)期目標(biāo)。

基于此，本文提出了一種基于決策樹的網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)設(shè)計(jì)方案，并對(duì)該系統(tǒng)進(jìn)行了仿真測(cè)試，最終結(jié)果證明：本系統(tǒng)具有較高的網(wǎng)絡(luò)安全態(tài)勢(shì)檢測(cè)率，能夠更好地實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)中攻擊行為的準(zhǔn)確判定。

二、決策樹概述

（一）決策樹模型設(shè)計(jì)

由圖1結(jié)構(gòu)可知，本文設(shè)計(jì)的決策樹自上而下?lián)碛卸鄠€(gè)節(jié)點(diǎn)，這些節(jié)點(diǎn)互相之間不存在關(guān)聯(lián)，且每一個(gè)單獨(dú)的決策節(jié)點(diǎn)都表示單個(gè)屬性的最終測(cè)試結(jié)果。

簡(jiǎn)單來(lái)說(shuō)，決策樹是由大量決策節(jié)點(diǎn)形成森林，而通過(guò)森林中的決策樹可以對(duì)輸入的樣本類別進(jìn)行判別、對(duì)數(shù)據(jù)的安全態(tài)勢(shì)進(jìn)行感知，以此來(lái)確定網(wǎng)絡(luò)數(shù)據(jù)的攻擊類型。決策樹的樹葉代表不同類型的分布方式，決策樹的頂端節(jié)點(diǎn)則代表主節(jié)點(diǎn)，它能夠?qū)崿F(xiàn)對(duì)不同數(shù)據(jù)樣本的分類，而樹杈分支則代表測(cè)試結(jié)果[4]。

（二）網(wǎng)絡(luò)安全態(tài)勢(shì)感知預(yù)處理設(shè)計(jì)

為解決網(wǎng)絡(luò)安全態(tài)勢(shì)感知過(guò)程中存在的感知環(huán)境影響問(wèn)題，需要結(jié)合實(shí)際情況和感知需求，對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)感知環(huán)境進(jìn)行預(yù)處理操作。

首先，在進(jìn)行預(yù)處理時(shí)，需要搭建標(biāo)準(zhǔn)的定向感知邏輯，并在邏輯程序當(dāng)中編寫對(duì)應(yīng)的參數(shù)規(guī)則，如告警關(guān)聯(lián)編碼、規(guī)則、結(jié)構(gòu)等，這樣一來(lái)，就能夠形成可控神經(jīng)網(wǎng)絡(luò)。

其次，需要構(gòu)建對(duì)應(yīng)的感知矩陣，并將告警編碼轉(zhuǎn)化成感知矩陣的執(zhí)行向量，然后搭配Bayes技術(shù)，實(shí)現(xiàn)網(wǎng)絡(luò)安全態(tài)勢(shì)感知架構(gòu)的搭建。

最后，借助采集到的相關(guān)數(shù)據(jù)和信息，對(duì)網(wǎng)絡(luò)態(tài)勢(shì)感知標(biāo)準(zhǔn)的迭代次數(shù)進(jìn)行計(jì)算，具體公式如下：

式（1）中，網(wǎng)絡(luò)態(tài)勢(shì)感知標(biāo)準(zhǔn)迭代次數(shù)、感知范圍、告警距離、威脅環(huán)境、預(yù)設(shè)感知次數(shù)等分別以G、κ、、i、γ來(lái)表示。

結(jié)合上述內(nèi)容，可以對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)感知的標(biāo)準(zhǔn)迭代次數(shù)進(jìn)行計(jì)算。并且，還可以將其設(shè)定為感知迭代標(biāo)準(zhǔn)，從而構(gòu)成多目標(biāo)智能感知架構(gòu)，實(shí)現(xiàn)對(duì)測(cè)定環(huán)境的預(yù)處理。

（三）定向感知特征提取設(shè)計(jì)

在定向感知特征提取設(shè)計(jì)中，考慮到同一種感知特征中可能存在感知威脅情況，因此，通過(guò)引入決策樹算法，能夠?qū)崿F(xiàn)對(duì)定向感知特征，如信息種類、信息用戶、信息風(fēng)險(xiǎn)等的提取。

三、基于決策樹的網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)設(shè)計(jì)及實(shí)現(xiàn)

（一）系統(tǒng)硬件設(shè)計(jì)

本文提出的基于決策樹的網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)設(shè)計(jì)方案主要分為硬件和軟件兩個(gè)部分。其中，系統(tǒng)硬件部分也可以看作決策支持系統(tǒng)，它主要包括數(shù)據(jù)采集器、日志傳感器、分析器、決策器等。數(shù)據(jù)采集器、日志傳感器、決策器的設(shè)計(jì)，可以進(jìn)一步確定網(wǎng)絡(luò)安全的安全域，并利用傳感器獲得計(jì)算機(jī)和網(wǎng)絡(luò)的現(xiàn)行狀況。這樣一來(lái)，當(dāng)系統(tǒng)感知到網(wǎng)絡(luò)中存在異常安全問(wèn)題時(shí)，數(shù)據(jù)采集器所采集的異常行為會(huì)借助傳感器將其發(fā)送到分析器當(dāng)中，并將其分析結(jié)果上傳到數(shù)據(jù)庫(kù)當(dāng)中，由不同的分析模塊對(duì)數(shù)據(jù)庫(kù)內(nèi)部的數(shù)據(jù)進(jìn)行分析，再通過(guò)決策器進(jìn)行處理，以此來(lái)判別網(wǎng)絡(luò)是否安全[4]。

1.日志傳感器設(shè)計(jì)

該硬件能夠?qū)崿F(xiàn)對(duì)基于決策樹的網(wǎng)絡(luò)安全態(tài)勢(shì)感知結(jié)果的初步分析、精簡(jiǎn)，從中提取不同的要求，以此確保安全態(tài)勢(shì)感知的精度。簡(jiǎn)單來(lái)說(shuō)，此硬件可以對(duì)數(shù)據(jù)采集器采集到的網(wǎng)絡(luò)日志信息進(jìn)行全面分析，并將對(duì)應(yīng)的分析結(jié)果統(tǒng)一上傳到上一層應(yīng)用中，為其提供數(shù)據(jù)支持。為了確保網(wǎng)絡(luò)日志信息不被破壞、惡意修改或者篡改，傳感器配置了檢測(cè)模塊和日志訪問(wèn)協(xié)議，用于實(shí)時(shí)監(jiān)測(cè)網(wǎng)絡(luò)日志的狀況，從而確保系統(tǒng)的安全。

2.數(shù)據(jù)采集器設(shè)計(jì)

本文選擇SYSLOG數(shù)據(jù)采集器作為網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)的采集器。此采集器內(nèi)置的數(shù)據(jù)采集協(xié)議可以充分滿足大部分網(wǎng)絡(luò)安全設(shè)備在數(shù)據(jù)方面的需求。因此，基于決策樹的網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)可以實(shí)現(xiàn)對(duì)不同網(wǎng)絡(luò)設(shè)備的數(shù)據(jù)采集。

此數(shù)據(jù)采集器設(shè)備還能夠?qū)崿F(xiàn)對(duì)網(wǎng)絡(luò)日志信息和多線程數(shù)據(jù)的采集。配置網(wǎng)絡(luò)保護(hù)系統(tǒng)的采集器還可以實(shí)現(xiàn)對(duì)信息終端的轉(zhuǎn)換，借助數(shù)據(jù)處理工具，實(shí)現(xiàn)對(duì)采集的數(shù)據(jù)信息的自動(dòng)過(guò)濾、分析，從而可以獲得不同類型的網(wǎng)絡(luò)日志信息。

（二）系統(tǒng)軟件設(shè)計(jì)

網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)硬件設(shè)計(jì)工作完成之后，需要對(duì)系統(tǒng)軟件進(jìn)行設(shè)計(jì)。本文通過(guò)引入決策樹實(shí)現(xiàn)系統(tǒng)軟件程序的設(shè)計(jì)。系統(tǒng)軟件工作流程如圖2所示。

利用安全態(tài)勢(shì)感知系統(tǒng)硬件中的數(shù)據(jù)采集器，可以獲得感知到的相關(guān)基礎(chǔ)數(shù)據(jù)信息。將這些基礎(chǔ)數(shù)據(jù)設(shè)置成基礎(chǔ)數(shù)據(jù)源，從而實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)設(shè)備信息的統(tǒng)一、集中、分類處理。也可以通過(guò)拓?fù)浣Y(jié)構(gòu)、網(wǎng)絡(luò)協(xié)議、數(shù)據(jù)格式等獲取不同網(wǎng)絡(luò)的設(shè)備信息，并利用Snmp和syslog數(shù)據(jù)采集器實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)中海量數(shù)據(jù)流量和網(wǎng)絡(luò)日志的全面采集分析。系統(tǒng)在完成態(tài)勢(shì)感知工作之后，還需要對(duì)得到的信息進(jìn)行去噪和歸一化處理，以此為網(wǎng)絡(luò)安全事件的處理和關(guān)聯(lián)分析奠定基礎(chǔ)[6]。

為了解決安全態(tài)勢(shì)感知環(huán)境對(duì)最終感知效果造成的影響，需要結(jié)合實(shí)際感知需要，搭建預(yù)處理網(wǎng)絡(luò)安全態(tài)勢(shì)感知環(huán)境。首先，在對(duì)感知環(huán)境進(jìn)行預(yù)處理時(shí)，需要構(gòu)建定向感知邏輯，以此獲得對(duì)應(yīng)告警的關(guān)聯(lián)規(guī)則、編碼和結(jié)構(gòu)；進(jìn)行邏輯程序設(shè)計(jì)，以此搭建一個(gè)可控的神經(jīng)網(wǎng)絡(luò)。其次，通過(guò)搭建基礎(chǔ)網(wǎng)絡(luò)安全態(tài)勢(shì)感知矩陣，將告警編碼轉(zhuǎn)換成執(zhí)行向量，再利用Bayes技術(shù)，實(shí)現(xiàn)多維網(wǎng)絡(luò)安全態(tài)勢(shì)感知框架建設(shè)?？紤]到同一種類型的感知特征會(huì)延伸出感知威脅，決策樹的應(yīng)用能夠?qū)崿F(xiàn)對(duì)定向感知特征，如數(shù)據(jù)種類、風(fēng)險(xiǎn)等的提取。

同時(shí)，利用感知系統(tǒng)對(duì)不同設(shè)備的數(shù)據(jù)進(jìn)行處理和匹配，從而實(shí)現(xiàn)相關(guān)網(wǎng)絡(luò)信息的歸并處理。然后，將歸并處理后得到的不同數(shù)據(jù)值存儲(chǔ)在系統(tǒng)數(shù)據(jù)庫(kù)當(dāng)中，設(shè)其為系統(tǒng)默認(rèn)值，從而達(dá)到對(duì)數(shù)據(jù)處理的目的。如圖2所示，通過(guò)網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)軟件程序中的定時(shí)功能，結(jié)合數(shù)據(jù)采集器，可以實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)信息的整體處理，進(jìn)一步確定網(wǎng)絡(luò)的安全態(tài)勢(shì)。利用網(wǎng)絡(luò)安全態(tài)勢(shì)標(biāo)準(zhǔn)指標(biāo)，實(shí)現(xiàn)對(duì)安全態(tài)勢(shì)的一級(jí)指標(biāo)、二級(jí)指標(biāo)劃分；借助評(píng)估字典和動(dòng)態(tài)化配置方法，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)指標(biāo)的分析，并根據(jù)系統(tǒng)硬件、數(shù)據(jù)源、算法庫(kù)等獲得具體安全態(tài)勢(shì)指標(biāo)。再結(jié)合建立的評(píng)價(jià)分級(jí)標(biāo)準(zhǔn)，可以確定模糊矩陣；利用應(yīng)用層分析法獲得對(duì)應(yīng)的權(quán)重系數(shù)后，經(jīng)對(duì)特征向量的歸一化處理之后，就可以得到綜合評(píng)價(jià)指標(biāo)。因此，當(dāng)網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)感知到網(wǎng)絡(luò)中存在異常安全行為時(shí)，系統(tǒng)的安全響應(yīng)模塊就會(huì)被觸發(fā)，并將態(tài)勢(shì)信息呈現(xiàn)給管理員，便于管理員更好地了解相關(guān)問(wèn)題并及時(shí)采取響應(yīng)措施。

（三）態(tài)勢(shì)感知?dú)w一化修正

網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)在對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行感知時(shí)，受外部環(huán)境中不同因素的影響，可能會(huì)導(dǎo)致系統(tǒng)的態(tài)勢(shì)感知范圍或者命令發(fā)生錯(cuò)誤。因此，可以通過(guò)設(shè)定的網(wǎng)絡(luò)感知節(jié)點(diǎn)對(duì)數(shù)據(jù)信息進(jìn)行采集，從而搭建歸一化異構(gòu)程序，使其和感知系統(tǒng)相關(guān)聯(lián)。當(dāng)系統(tǒng)的感知出現(xiàn)異常時(shí)，就能夠通過(guò)對(duì)獲取到的信息和初始信息的對(duì)比分析，實(shí)現(xiàn)對(duì)存在的安全態(tài)勢(shì)感知誤差進(jìn)行處理。歸一化處理修正流程如圖3所示。當(dāng)程序設(shè)計(jì)完成后，可以將其安裝到網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)當(dāng)中，以此提高系統(tǒng)感知的準(zhǔn)確率和網(wǎng)絡(luò)的安全性[7]。

四、仿真測(cè)試分析

（一）測(cè)試環(huán)境和參數(shù)

為了進(jìn)一步驗(yàn)證基于決策樹的網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)的實(shí)際應(yīng)用效果和可行性，本文選擇KDD99基礎(chǔ)數(shù)據(jù)庫(kù)為測(cè)試數(shù)據(jù)集，搭配真實(shí)網(wǎng)絡(luò)環(huán)境對(duì)本文系統(tǒng)展開仿真測(cè)試。此次測(cè)試環(huán)境搭建標(biāo)準(zhǔn)如下：測(cè)試系統(tǒng)為Windows11、CPU處理器為i7-13700k、內(nèi)存為32G、存儲(chǔ)為4T、測(cè)試數(shù)據(jù)庫(kù)為KDD99數(shù)據(jù)庫(kù)、帶寬為1000M。測(cè)試的數(shù)據(jù)樣本為零散樣式分布。需要利用決策樹的網(wǎng)絡(luò)安全態(tài)勢(shì)系統(tǒng)對(duì)不同區(qū)域中的數(shù)據(jù)樣本信息和網(wǎng)絡(luò)安全要素進(jìn)行處理、分析，并配置完成對(duì)應(yīng)的初始參數(shù)。之后，將其和傳統(tǒng)網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)兩者之間進(jìn)行對(duì)比分析，從而得到相關(guān)數(shù)據(jù)信息收斂的情況。同時(shí)，由于本文設(shè)計(jì)的網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)，采用了模糊計(jì)算的方式對(duì)網(wǎng)絡(luò)指標(biāo)因素進(jìn)行計(jì)算、分析，從而確定被評(píng)估對(duì)象所存在的問(wèn)題，所以，最終得到的系統(tǒng)信息收斂情況相對(duì)較好。歸一化修正程序的設(shè)計(jì)，實(shí)現(xiàn)了對(duì)處理之后的最大特征值的權(quán)重指標(biāo)處理和確認(rèn)，從而得到相關(guān)特征向量。此外，本文提出的系統(tǒng)能夠?qū)崿F(xiàn)對(duì)網(wǎng)絡(luò)安全要素的類別劃分、數(shù)據(jù)信息參數(shù)優(yōu)化，這就說(shuō)明系統(tǒng)具有非常快的收斂速度。

（二）測(cè)試結(jié)果分析

為了更好地判斷本文系統(tǒng)對(duì)不同類型網(wǎng)絡(luò)安全態(tài)勢(shì)的檢測(cè)準(zhǔn)確率，選擇將其和傳統(tǒng)網(wǎng)絡(luò)安全感知平臺(tái)、基于大數(shù)據(jù)技術(shù)的網(wǎng)絡(luò)安全態(tài)勢(shì)感知方法、基于LSTM-DT模型的網(wǎng)絡(luò)安全感知方法等進(jìn)行測(cè)試對(duì)比分析，本次試驗(yàn)測(cè)試次數(shù)為5次，測(cè)試數(shù)據(jù)庫(kù)依然是KDD99基礎(chǔ)數(shù)據(jù)庫(kù)，具體實(shí)驗(yàn)結(jié)果見表1所示。

測(cè)試結(jié)果表明，本文提出的基于決策樹的網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)，在網(wǎng)絡(luò)數(shù)據(jù)安全態(tài)勢(shì)感知方面具有較強(qiáng)的性能，可以更好地確保網(wǎng)絡(luò)信息的安全。同時(shí)，經(jīng)過(guò)5次實(shí)驗(yàn)測(cè)試結(jié)果得知，本文所提出的系統(tǒng)檢測(cè)準(zhǔn)確率平均為97.65%，明顯超過(guò)了其他三種感知方法，能夠更好地應(yīng)用于網(wǎng)絡(luò)安全防御領(lǐng)域。

五、結(jié)束語(yǔ)

針對(duì)網(wǎng)絡(luò)的安全態(tài)勢(shì)感知問(wèn)題，本文設(shè)計(jì)了一種基于決策樹的新型網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)方案。同時(shí)，本文引入決策樹對(duì)系統(tǒng)軟件和硬件進(jìn)行了設(shè)計(jì)。經(jīng)仿真測(cè)試證明，本系統(tǒng)在網(wǎng)絡(luò)安全態(tài)勢(shì)感知方面具有較高的感知準(zhǔn)確率，能夠?yàn)榫W(wǎng)絡(luò)提供更強(qiáng)的安全防御。

作者單位：張煉 重慶移通學(xué)院

參考文獻(xiàn)

[1]謝兆賢，鄒興敏，張文靜.面向大型數(shù)據(jù)集的高效決策樹參數(shù)剪枝算法[J].計(jì)算機(jī)工程，2024，50（01）：156-165.

[2]鐘云勝.基于決策樹算法的網(wǎng)絡(luò)信息安全態(tài)勢(shì)感知優(yōu)化方法研究[J].信息與電腦，2023，35（06）：239-241.

[3]林立鑫，涂劍峰，喻燕華.基于改進(jìn)決策樹的通信網(wǎng)絡(luò)安全態(tài)勢(shì)感知方法[J].信息與電腦（理論版）， 2023，35（09）：223-225.

[4]何翠萍.基于改進(jìn)決策樹的高校網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)設(shè)計(jì)[J].信息與電腦（理論版）， 2023，35（07）：133-135.

[5]張春萌.網(wǎng)絡(luò)安全態(tài)勢(shì)感知方法研究[J].電子質(zhì)量，2023（6）：90-94.

[6]謝凱，代康.基于決策樹的聯(lián)級(jí)網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)設(shè)計(jì)[J].現(xiàn)代電子技術(shù)，2022，45（17）：74-78.

[7]張顥芳.基于LSTM--DT模型的網(wǎng)絡(luò)安全態(tài)勢(shì)感知研究[D].黑龍江：黑龍江大學(xué)，2022.