基于生成式人工智能的网络安全主动防御技术（上）

---

前言

基于生成式人工智能，对策略-保护-检测-响应（Policy-Protection-Detection-Response，PPDR）安全模型展开研究，有效依托生成式人工智能模型的入侵检测、防火墙、蜜罐技术、网络漏洞扫描等先进技术，进而构建出具有科学性、系统性的网络安全动态防御模型。

该模型表现出较强的主动防御功能，能够对网络安全的动态性、主动性特征进行全方位展示。整个生成式人工智能模型防护体系在依托诱骗系统、入侵检测系统、防火墙所进行的联动协同作用下发生较大的改变，实现了由静态向动态的转化，防火墙的动机性也随之有较大幅度的提升，同时网络整体防护能力达到较高水平。

---

1 PPDR安全模型相关概念

1.1 风险分析

风险分析是对信息系统易受攻击脆弱性、威胁发生可能性进行分析，在该过程中可以较为准确地对影响以及损失情况作出估计，包括风险的预测、确认和评估。风险预测是指在风险出现时，对其所造成的间接和直接的损失作出预报；风险确认是对信息系统中潜在的风险进行识别和归类；风险评估是当风险对网络体系造成冲击时，对具有重要意义的风险进行判定，通过对风险的分析，可以判定其实际运行状况。生成式人工智能需要对海量数据进行学习和建模，随着数据规模的增大，可能会导致其受到的攻击范围增大，进而出现数据泄露的风险。在筛选了海量信息后，生成式人工智能为用户提供最终信息，给出标准化内容，但是无法对生成内容的准确性和真实性进行判断，这会造成生成式人工智能有大量虚假信息产生，进而对人们行为、思维产生误导。

1.2 安全策略

PPDR安全模型所涵盖的内容十分丰富，而核心内容是安全策略。PPDR安全模型在有效依托风险分析结果的同时，还要与总体方针、战略有机结合，进而对于网络安全作出决定；在实施安全方案阶段则需要信息系统利用安全策略检测、防护、响应、恢复等方面的功能。

1.3 安全防护

在正常情况下，信息系统是在有效依托防火墙技术的基础上实现安全防护功能，具体来说涵盖了加密、访问控制等具体内容[8]，以上防护手段可划归为静态防御技术的范畴，以能够有效抵御大多数黑客的攻击为主要功能，进而使黑客入侵的难度增大。把多种方式综合利用起来，令信息系统的保护力度增强，最大限度地保障系统的机密性、可用性、可控性、完整性、不可否认性等。将安装防火墙、构建科学完善的操作系统以及引入虚拟专用网等手段进行统筹后，可以实现更好的防御效果。在数据分析和自主学习能力的基础上，生成式人工智能技术可以对信息安全进行快速检测、识别和处置，对于解决信息安全的威胁有着重要意义。生成式人工智能技术通过对已知的恶意代码特征、软硬件代码、攻击模式、已知的漏洞样本、系统配置、协议等信息进行自动的人工智能分析，可以对未知的恶意代码进行归类和鉴别，并找出未发布漏洞、每日漏洞等潜在的安全隐患和未知威胁；利用深度学习、机器学习等算法，生成式人工智能技术还可以实现软件漏洞的自动修补，并对软件中存在的问题进行修正，从而提升软件的安全性能。

1.4 安全检测

在整个网络安全主动防御系统中，检测是不可缺少的组成部分。通过检测技术，网络安全主动防御系统能够迅速对网络攻击作出有效识别并及时作出反馈和处理。检测技术涵盖了较为丰富的内容，例如网络实时监控、入侵检测、网络安全扫描等技术。动态响应则是在检测的基础上进行的，是落实安全策略的有效工具。为及时掌握网络是否存在新弱点与漏洞、是否受到威胁及网络攻击等问题，需要综合使用动态性能监控、入侵诱骗和检测、扫描整个网络等手段对检测到的问题进行及时响应和循环反馈。

1.5 响应与恢复

动态网络安全是在响应和恢复的保障下实现的。若发现系统漏洞以及外部攻击等问题，要立即作出响应，可以采取电子邮件、声音等方式来予以反馈，与此同时，对于受攻击的信息采取软件和系统升级等措施使其在短时间内恢复。因此，在检测到网络攻击后需要及时对其采取有效阻断的处理方式，并对其来源进行准确定位，同时要迅速完成取证和反击等操作。在采取阻断处理的同时还要与其他技术有机结合，使网络检测系统能够与防火墙建立起联系，有效阻止网络攻击[9]。还要注意的是，在实施引诱网络攻击的过程中，对于应用网络攻击诱骗、网络僚机等技术予以系统性利用，使其对假目标发起攻击。对于攻击流量进行客观和系统的分析后，确定攻击源，有效依托网络攻击特征信息完成对网络攻击的电子取证，使系统能够在短时间内摆脱攻击，恢复正常，从而降低网络攻击造成的损失。生成式人工智能通过对安全行为的智能化监测，实现对网络安全的智能监测，对网络流量异常的识别，制定自适应的防御策略；通过对攻击的研究和预警，实现对安全事故的自动反应探测，对网络安全风险的有效评估、预测、防御和预警。

1.6 安全认证

本文以安全认证作为PPDR安全模型的安全基础，所应用的数字证书基于公钥基础设施进行设置并完成安全认证，其认证功能主要体现在系统不同组成部分的安全通信以及互联等方面。PPDR安全模型在有机结合网络安全动态性特征之后，其功能性显著增强，能够更加及时和准确地预测、分析、评估网络安全风险，并针对不同的风险制定出有效的解决控制方案。通过对加密技术的应用可以实现保护系统安全性的目标，在对入侵诱骗和检测技术、漏洞扫描技术进行综合利用后可以及时、准确地查找和判断系统中的潜在安全问题，在此基础上系统迅速作出响应，使系统防护逐渐完成由静态向动态的转换。

2 网络安全动态防御模型设计

2.1 设计思想

本文提出了一种基于文本的自动计算方法，该方法能够有效解决文本的可解释性、隐私保护、鲁棒性、透明性和数据泄露等问题，确保可靠、安全提供服务。对网络安全动态防御模型内部结构进行分析后可以发现，管理控制模块是其核心部分。管理控制模块与入侵检测机制“蜜罐”有机结合后，表现出较强的功能性，可以更精确地提前估计潜在的网络攻击。在初期阶段，通过入侵检测模块来获得攻击，并通过自动抽取的方法来判断出入侵的规律，然后将发现的疑似攻击和链接引入到被控制的“蜜网”中。其次，对攻击者进行全方位分析，对其动机以及所使用的技术展开研究，在作出属于攻击的判断后要立即对入侵行为特征进行提取操作，同时还要将所获取的特征传输并存储于规则库。由管理控制中心向防火墙发出对其规则库进行更新和调整的命令，使防火墙、入侵检测、“蜜罐”之间实现联动响应，能够主动进行网络防护等操作，使网络安全性得到最大限度的保障。

2.2 模型体系结构设计

从不同角度进行深入研究后，如图1所示，本文已确定网络安全动态防御模型体系结构包括预警、保护、监测、响应、恢复、反击，不同模块功能是需要将硬件、软件、网络设备等方式综合运用后实现的。在有效依据自身功能与特点的基础上，对于该体系的内部架构进行确定，该模型主要由入侵检测、管理控制、入侵诱骗、重定向等不同的模块以及防火墙共同组成。

2.2.1 管理控制模块

在该模型中，管理控制作为其核心部分，对于入侵诱骗与检测两大模块所获取的信息进行收集与处理，并进行有效的审计分析，进而获取策略库；在与策略库规则有机结合后，在决策控制模块的作用下将控制信息发送至入侵检测模块与防火墙。如图2所示，管理控制模块以动态管理和配置其他模块为主要功能，同时还要对资源实施有效协调；在充分考虑到不同安全需求的同时还要将其与系统整体状态相结合，以此为依托完成带宽控制、会话限制等系统决策。

2.2.2 入侵检测模块

在上述基础上，需要对关键信息的流量与聚集进行高效监控，防止生成式人工智能对其进行恶意集成与解析，从而降低恶意用户造成的损失。对于系统以及网络活动的具体情况进行全面监视是入侵检测模块的主要功能，主要表现为可及时发现入侵和未授权活动，同时快速作出反应。以异常入侵检测系统检测为基础完成该模块的构建，对于网络异常情况的有效监测是利用网络入侵检测系统（Network Intrusion Detection System，NIDS）传感器实现的，对于网络异常等情况记录于日志文件之中，将其划分为不同的类别并对其展开研究，并把所完成的统计文件向管理控制模块进行传递并由该模块制定出新规则。

2.2.3 重定向模块

重定向模块的运行在结合控制信息后可进行实时响应，将入侵诱骗模块和异常通信纳入预先设计之中，使工作网络连接与访问均可正常操作。在重定向模块的构建过程中，为了获取入侵者的信任，可以通过对路由器、防火墙、交换机进行重定向的方式来进行。

2.2.4 入侵诱骗模块

本文对入侵诱骗模块的结构（见图3）进行分析，已确定其内部涵盖了多个“蜜罐”，每个“蜜罐”均以真实主机的形式出现，在部署的过程中需采取伪装的方式进行，即通过对操作系统、数据、目录、服务等的伪装来实现对攻击的欺骗。当多个“蜜罐”被设计好后，就是建立了一个“蜜网”，令攻击者受到吸引和欺骗后进入其中。在设计入侵诱骗模块时，“蜜网”的设计必须具有强大的吸引力，“蜜网”布置时要采取设置易攻击漏洞的做法，令入侵者进入圈套并实施不同的攻击；在此之后可以采取设置带密文件的做法，如已无效的管理用户名和密码等。

数据库对于黑客活动信息进行收集和储存时，要注意将信息存储于黑客无法涉足的区域，保障此类日志信息的安全性，存储工具不得对其进行删除或更改的操作，同时在入侵诱骗模块中对于相关信息进行远程存储。攻击者在进入“蜜网”后，检测系统即进入工作状态，对攻击予以全面监测，利用数据采集模块记录全部进出网络数据包，同时远程数据库中的数据处理子模块被启动，对数据进行分类和存储时以不被黑客发现为标准。在提取规则子模块的作用下对新规则进行处理，并将其纳入规则库之中。

2.2.5 资源保护模块

资源保护模块的结构（见图4）由工作网络与防火墙共同组成，该模块根据主控台的命令，动态地调节防火墙的规则库，并根据入侵网络的检测结果，对入侵对象进行联合防御。防火墙为工作网构建了最后一层防御，使其和检测系统连接在一起。此外，该模块能够主动发现各种形式的入侵行为，实现协同工作，提高工作网络抵抗入侵能力，并进行“蜜网”连接的限制。

---