摘要:随着互联网的不断发展，网络给人们带来便捷的同时也存在一些安全隐患问题。对网络安全的攻击有很多种方式，为了更好地的对网络安全态势进行评估，就需要结合网络中的报警数据对其进行因果分析，识别出攻击的意图与当前的攻击阶段，本文主要阐述网络安全态势评估的基础，然后找到网络安全隐患的问题，针对主机的漏洞与配置信息，对网络安全态势进行评估。通过构建模型，根据攻击的次数、频率，对网络安全进行进一步的预测，使其能够更加准确地反映出攻击的情况，对网络安全态势预测的结果进行整理，提高预测的准确性。

关键词:多步攻击;网络安全;评估

一、网络安全态势评估的基础

　　网络安全的状态是根据在出现攻击时，出现的攻击轨迹和各种攻击轨迹对网络产生的影响。当不同的攻击者在入侵到电脑中都会有不同的行为进而会带来不同的影响。在对网络安全态势的评估中主要要注意攻击信息和网络环境信息。

　　首先，要对网络安全态势评估的基础信息进行阐述。一是主机信息。在主机信息中主要包括网络中的主机及设备，比如软件、硬件等。随着网络技术的发展，其中最容易受到攻击的是网络设备，所以在进行分析时要从整体的角度去看问题。在对主机信息进行描述时，可以通过四元组的方式来进行。还要对主机的IP地址，主机所运行的服务信息比如说SSHD、SQL、HTTP等进行了解，根据主机上存在的一些问题可以找到网络安全的漏洞。随着网络的发展，网络攻击成为人们关注的问题，主机之间很容易出现一些漏洞问题，可以把这一问题可以直接归结为脆弱性集合V。

　　当对数据进行收集时，可以通过五元组来进行表示。其中，ID也就是脆弱性集合中的显著标志。在网络安全态势，脆弱性集合也有不同的类型，在网络运行的过程中容易出现一些错误的信息，按照分类可以包括非安全策略、防火墙配置错误、设备接入权限设置错误等。在网络中会存在一些漏洞问题，就需要相关人员在网络中对这些漏洞进行统计，再根据IP地址对这些信息进行采集，通过漏洞去分析可能会造成的危害，然后对整个网络的脆弱性进行系统的描述。

　　在网络安全态势评估中，有一个因素很重要那就是拓扑结构。拓扑结构是指在网络过程中主机是通过这一物理结构进行连接的，在表示方面可以用无向图来代表。其中，N是主机中的一个集合点，E表示连接节点间的边。在网络安全态势评估中，不可忽视的一点就是网络的连通性。网络的连通性也就是指主机与主机之间的通信关系。在进行连接的过程中要想保证整个网络的安全性能，就需要管理者通过一系列的行为限制访问者，这样能够使一些外部的主机不能够访问到内部的网络，或者是仅仅可以通过部分的协议与端口进行通信，这一行为能够在一定程度上保护网络的安全性。

　　在这一过程中可以使用一个三元组，通过其来对网络的连通关系进行阐述，进而通过双方连接完成这一关系。原子攻击事件是指在整个网络运行过程中攻击者对其进行单个攻击，主要是通过服务器的一些漏洞而进行这一行为，通过一个八元组对其进行表示。其中，在这一攻击事件中ID是主要因素，除此之外还包括发生的时间、地址、攻击者的源端口等，在整个事件中要分析攻击类型需要结合安全事件中发生的实际情况，然后对前因后果进行分析得出该攻击事件会发生的概率。在网络安全态势中，需要对攻击状态转移图进行考量。在攻击状态转移图中使用一个四元组，S表示状态节点集合。在状态节点集合中，要考虑到集合点中的子节点。还可以通过二元组的方式，对攻击状态中的转移图进行组合。在整个安全事件中可以把表示完成状态转移为I，把其作为所必需的原子攻击事件。在一个二元组中，用一个二元组(Si，di)表示，表示攻击间的依赖关系，然后根据攻击类型集合的有序对其进行判断。其中，在该集合中表示该攻击状态的父节点必须全部成功，这样才能够保证在攻击阶段实现，然后来确定依赖关系为并列关系。

　　在整个关系中，当在攻击状态中任意一个父节点成功，就可以保证攻击状态实现，在这个关系中依赖关系为选择关系。在整个网络安全态势转移模型中，也就是通过根据以往的网络攻击模式来建立模型，这样能够充分得出攻击模型库。然后可以选择一些实际的网络攻击事件，对其进行攻击的状态转移图设计。就比如最近出现的勒索软件事件，这就属于一种多步攻击下的网络安全事件。在这次事件中，通过状态节点集合，找到地址然后分析该行为进行登录，在攻击事件中包括文件列表网络探测扫描、登录操作等。还可以通过两个状态节点对网络安全态势进行分析，比如IP地址嗅探是端口扫描的父节点，当在检测的过程中处于端口扫描时，就说明该形成已经成功，也就意味着二者存在并列关系。

二、网络安全态势评估的整体流程

　　网络安全态势评估的流程如下:一是要对整个安全态势的数据进行收集。需要根据检测出来的结果，再根据网络运行过程中的数据，对收集的信息进行规范，这样能够得出网络安全态势评估中所需要的要素集。在对网络安全态势要素集进行分析时，要从两个方面来进行考量，1)是攻击方信息，2)是环境信息。攻击方信息是通过互联网入侵的过程中遗留下来的一些痕迹，比如一些防火墙，然后根据这些报警信息找出攻击事件发生的原因。环境信息包含主机信息、拓扑结构、网络连通性。

　　在对该数据进行收集时，主要是对一些网络信息收集过程中遗漏下的数据，然后在通过拓扑结构对其进行统计，利用防火墙过滤其中的不安全信息。主机信息是在系统运营阶段把一些软件中容易出现漏洞的情况，对其进行进一步的补充。二是对网络攻击阶段进行识别。在这一阶段中，要对数据进行系统的收集，然后根据数据分析出现攻击行为的原因。这样才能够对攻击者的行为进行特点的归类，这样才能够把已有的攻击信息整合到多个事件中，然后根据每个事件之间的关系对其进行场景的划分，这样便于预测出攻击者的攻击轨迹。最后，在结合实际中出现的攻击场景，结合攻击者在整个过程中所采用的方式对比，这样能得出攻击的阶段。三是要对网络安全态势进行合理分析。在网络安全态势的评估中要以攻击阶段结果为基础，这样才能够整合网络中的信息，根据相应的量化指标，进而对整个网络安全态势进行评估。