人工智能驱动的智能城市网络安全防御：基于MDATA模型的新型攻击检测框架

子不语zzh

已于 2023-09-21 17:17:47 修改

阅读量637

点赞数 1

分类专栏：多步攻击检测文章标签：人工智能安全图搜索知识图谱

于 2023-09-19 22:28:19 首次发布

多步攻击检测专栏收录该内容

2 篇文章 0 订阅

订阅专栏

人工智能驱动的智能城市网络安全防御：基于MDATA模型的新型攻击检测框架

Artificial intelligence enabled cyber security defense for smart cities: A novel attack detection framework based on the MDATA model

申明
版权归原文作者及出版单位所有，如有侵权请联系删除。

摘要

智能城市已经引起了跨学科研究的广泛关注，提出了许多基于人工智能的解决方案。然而，网络安全一直是一个严重的问题，在智能城市中变得越来越严重。现有的攻击防御方法不适用于检测多步攻击，因为检测规则有限，而且大量的虚假安全警报会降低效率。因此，迫切需要一种先进的解决方案来提高网络安全防御能力。在本文中，我们提出了一种名为ACAM的新型攻击检测框架。为了更好地表示网络安全知识，该框架基于MDATA模型，该模型可以更好地表示动态和时空知识，而不仅仅是知识图。该框架包括知识提取模块、子图生成模块、警报相关模块和攻击检测模块。这些模块可以消除虚假警报并提高多步攻击的检测能力。我们在网络安全实验平台上实施了该框架，并进行了实验，实验结果验证了攻击检测准确性和效率的良好性能。该框架可以极大地提高智能城市的网络安全防御能力。

1.引言

随着信息技术的迅速发展，智能城市项目在全球范围内引起越来越多的关注。例如，基于云的物联网（IoT）正在使制造过程更加智能化[1,2]，下一代移动通信技术正在使交通更加智能[3,4]，基于人工智能（AI）的诊断技术正在使医疗保健更加便利[5]。然而，由于不可避免的技术漏洞和弱点，信息技术背后始终存在着网络安全问题[6]。随着越来越多的智能解决方案在智能城市中部署，网络安全问题变得更加严重。传统的网络攻击可能会探测系统的漏洞并利用它们侵入系统，而在智能城市中，任何弱点都可能被用来侵入整个系统。例如，攻击者可以通过脆弱的物联网设备侵入云服务器，并通过非法访问来控制系统[6,7]。因此，智能城市迫切需要一种新颖的网络安全防御方法。

主流的网络安全防御方法依赖于攻击检测规则[8]。许多网络安全产品可以根据检测规则产生安全警报，例如入侵检测系统（IDS）、防火墙等。然而，随着网络攻击技术的快速发展，由于许多检测规则已经过时或攻击者选择分割攻击步骤以躲避检测，检测变得越来越困难。随着对网络安全的重视，越来越多的机构和企业研究最新的攻击并分享检测报告。一些方法可以自动提取检测规则[9,10]，并根据最新的检测规则检测攻击。然而，大多数方法只关注具有高准确性的单步攻击检测，只有少数方法检测多步攻击。多步攻击检测方法通过检测规则结合和关联安全警报，但在智能城市中，大量的安全警报将极大增加检测时间。因此，迫切需要一种新颖且高效的网络攻击检测方法，它可以大大提高网络安全防御能力。
在本文中，我们研究了用于智能城市的基于人工智能的网络安全防御。最近，一些基于深度学习和知识图的网络攻击检测方法已经被提出[11–13]，然而深度学习模型缺乏理论解释，许多对抗性攻击已经揭示了模型的弱点[14–16]。相比之下，基于知识图的模型可以清晰解释结果，但在网络安全领域存在一些固有问题。首先，网络安全知识变化迅速，如攻击策略和攻击步骤。其次，由于时间和空间特性，警报和日志不能被有效地表示，而它们对于攻击检测非常关键。因此，我们选择了一个 MDATA（多维数据关联和智能分析）模型[17]，这是一种新颖的知识表示模型，可以表示动态和时空知识以支持网络攻击检测。

具体来说，我们提出了基于MDATA模型的高级网络安全分析框架（简称ACAM）。其直观的想法是将网络安全数据转化为MDATA图，并使用图匹配技术来检测多步攻击。
在这里插入图片描述

图1：ACAM框架概述

ACAM框架包含如下模块，如图1所示：（1）知识提取模块提取不同类型的网络安全知识，并将它们转化为大规模的MDATA图，包括资产、漏洞和攻击步骤之间的关系。（2）子图生成模块根据系统拓扑和资产生成子图。生成的子图包含可能检测到的攻击，可以减少许多无关的安全警报以提高检测效率。（3）警报关联模块将安全警报转化为实时的MDATA图，并将安全警报与攻击相关联。（4）攻击检测模块应用子图匹配技术来检测遵循时空约束的多步攻击。这些模块通过图计算实现了高效的攻击检测，消除了虚假警报，并加速了检测过程。

我们在网络空间平台上实施了攻击检测框架，并进行了广泛的评估。由于MDATA模型应用在我们的框架中以支持攻击检测，我们首先评估了知识管理效率，结果显示多跳查询时间远远低于其他图计算系统。此外，我们在网络空间平台上对虚拟网络进行了大量攻击，以评估检测准确性和效率。结果显示，不同类型攻击的平均检测准确率可以达到90.6%，平均检测延迟低至14ms。

这篇论文的贡献总结如下：

• 就我们所知，这是网络安全领域中首次基于MDATA模型构建网络攻击检测框架的工作，该框架显著提高了检测性能；
• 提出的ACAM框架可以检测由多个步骤组成的网络攻击。通过消除许多虚假警报，检测效率得到了极大的改善；
• 我们在网络空间平台上进行了广泛的实验，以评估网络攻击检测性能，并结果证实了其性能。

本文的余下部分组织如下。下一节介绍了与网络攻击检测相关的相关工作。第3节提供了基础知识。在第4节中，我们详细描述了用于检测多步攻击的ACAM框架。在第5节中，我们展示了网络空间平台的实验结果和分析。最后，在第6节中总结了本文。

2. 相关工作

在本节中，我们从三个方面介绍相关工作：网络攻击检测模型、单步攻击检测和多步攻击检测。

2.1. 网络攻击检测模型

攻击树模型[18]使用树状结构来描述网络攻击的过程，可以直观地表示系统可能面临的风险。攻击图模型[19]描述了攻击者在攻击过程中的攻击路径图，包括所有尝试的攻击路径。该模型可以描述网络中漏洞和信息系统之间的关系。杀伐链模型[20]被提出来表示攻击者入侵信息系统的攻击路径。攻击表面模型[21]用于从系统自身资源的角度描述系统的安全性能。与攻击图等模型相比，攻击表面模型侧重于检查系统的入口和出口点的所有漏洞。Mitre公司提出了ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）模型，从攻击者的角度抽象了相关的攻击策略和技术。因此，它被视为攻击者生命周期的高级抽象模型。与杀伐链模型相比，ATT&CK模型提供了更精细化和易于共享的知识。

2.2. 单步攻击检测

单步攻击检测，也称为单步入侵检测，用于支持多步攻击检测。检测方法可以分为基于规则的检测方法和基于异常的检测方法。

基于规则（签名）的检测方法使用现有的攻击检测规则和模式匹配来检测已知攻击，以确定是否发生攻击，例如Snort。随着漏洞的发现和传播，现有的检测规则需要不断更新和改进以防止攻击者的入侵。手动为已知攻击生成检测规则既耗时又容易出错。因此，一些研究人员提出使用自动化方法为已知攻击生成检测规则。通过深度数据包检查技术，[9]提出了Suricata的自动检测规则生成方法。[10]提出了一种贝叶斯方法，用于自动生成IF-THEN检测规则。由于网络空间复杂且不断变化，0-day和n-day攻击频繁使用，这严重限制了基于规则的检测方法的能力。

基于异常的检测方法建模已知的正常行为模式，任何偏离模型的行为都被视为异常。由于不可能知道所有正常行为模式，这种方法会生成大量的虚假警报。随着数据的可用性，研究人员探索了使用机器学习技术进行更有效的单步攻击检测的可能性。这些方法的流程包括特征工程和模型分类，其中特征由专家设计[22]。深度学习方法可以自动从原始数据中提取复杂的特征，无需特征工程。例如，[23]提出了一种基于深度学习的方法，将原始网络流量数据转化为分层结构，然后使用卷积神经网络来检测攻击。这些方法可以在依赖大量可用数据时实现非常高的攻击检测准确性，但无法处理未知攻击的检测。此外，[24]提出了FC-Net来探讨少样本情况下的未知攻击检测问题。

随着网络攻击技术变得越来越复杂，由于缺乏上下文，单步攻击检测方法不能有效满足攻击检测的需求。

2.3.多步攻击检测

多步攻击通常指攻击者针对特定目标采取的一系列攻击步骤，这组攻击步骤包括至少两种不同的攻击行为。为了解决多步攻击检测问题，研究人员提出了许多方法，可以分类为基于相关性的技术和基于溯源图的技术。

基于相关性的多步攻击检测的核心是利用多维信息的综合分析来找出攻击步骤，形成攻击路径，并最终揭示攻击者的意图。基于相关性的多步攻击检测已经得到广泛研究，包括各种安全防御措施和分析技术，例如警报生成、相关性分析和攻击路径发现。攻击路径的发现在一些工作中也被称为场景重建。用于分析的数据源是由单步攻击检测生成的警报，例如系统审计日志或低维码信息。一些研究人员使用相似性来衡量攻击警报[25]。在[26]中，警报之间的相似性关系由等式约束集来描述。从异常检测的角度来看，[27]利用正常用户行为来建模异常检测的统计关系。这种方法容易产生假阳性，因为异常行为不一定代表攻击事件。一些方法增加了多步攻击之间的因果关系，并具有更好的可解释性[28]。隐马尔可夫模型（HMM）用于定义多步攻击中的特定阶段，然后使用概率来计算安全事件属于每个攻击阶段的概率[29]。[30]提出了一种考虑交错多步攻击问题的新型HMM方法。其他方法从防御者的角度考虑了资产维度的结构信息。首次提出了在[31]中的警报与攻击图的相关性。此外，因果关联的原则结合了网络结构拓扑等信息[32]。然而，这些方法的通用性较差，需要不断更新和维护资产维度信息。类似地，在[33]中提出了使用因果图来利用专家知识进行实时检测。

基于溯源图的多步攻击检测的核心是利用图挖掘和分析技术来发现攻击者的攻击路径。现有的研究主要基于系统审计日志，这些日志包含了系统用户与系统内核之间的所有交互信息。BackTracker [34]是最早使用溯源图来识别攻击路径的工作之一。在[35]中，提出了一种攻击重建方法，该方法使用标签对溯源图执行多步攻击检测，以满足实时要求。此外，在[36]中实现了一个原型系统，该系统将概率贝叶斯网络添加到溯源图中，以识别0-day攻击。[37]中将带有杀伐链的溯源图相结合，将低级系统审计日志信息映射到高级表示。在[11]中引入了战术溯源图，以描述通过结合端点检测和溯源图的最低级攻击模式。考虑到不同的攻击可能共享相似的抽象攻击策略，ATLAS [38]结合了自然语言处理技术和溯源图，提出了基于序列的攻击语义模型。

基于机器学习的方法具有较差的可解释性，不能根据模型检测结果有效响应。基于溯源图的方法依赖于系统审计日志，难以与多维信息关联以实现有效的检测。知识表示模型，如知识图，具有合理的解释性。然而，基于知识表示模型的现有攻击检测框架或方法通用性较差，不能满足资产、漏洞和攻击知识的持续动态更新需求。

3.预备知识

在本节中，我们介绍本文中的定义和符号表示。我们还正式阐述多步攻击检测问题。

3.1. 系统模型

考虑一个大型网络系统 $G = (V, E)$ ，其中每个节点 $v_i ∈ V$ 代表系统中的一个节点（如计算机或服务器），而边 $v_i, v_j)$ 代表两个节点 $v_i$ 和 $v_j$ 之间的连接。如果两个节点连接在一起，若另一个节点被入侵，意味着攻击者可以尝试攻击一个节点。对于每个节点，将节点 $v_i$ 上的资产表示为 $A_G(v_i) = \{a_1(v_i), a_2(v_i), ... , a_n(v_i)\}$ ，其中每个 $a_k(v_i) ∈ A_G(v_i)$ 代表特定的资产，如软件或硬件的版本。由于许多攻击利用系统的漏洞或弱点，我们在漏洞扫描后将漏洞和弱点的集合表示为 $W_G(v_i) = \{w_1(v_i), w_2(v_i), ... , w_m(v_i)\}$ 。

攻击者可以从系统中的任何节点开始侵入网络系统。通常，攻击被分为许多攻击步骤以逃避检测，例如高级持续性威胁（Advanced Persistent Threat，APT）攻击。我们假设系统 G 上的多步攻击表示为序列 $S = \{s_1, s_2, ... , s_k\}$ ，其中每个步骤 $s_i$ 被视为特定的攻击步骤，如主动扫描、SQL（结构化查询语言）注入等。通常，每个攻击步骤可以表示为一个元组：

$s_i = (IP_s, Port_s, attack_j, IP_d, Port_d, time)$ ，

其中 $IP_s$ 、 $Port_s$ 表示攻击步骤的源 $I P$ 和源端口， $IP_d$ 、 $Port_d$ 表示目标 $I P$ 和目标端口， $attack_j$ 表示攻击技术。

例如，图2示例了一个典型的多步攻击，其中存在5个攻击步骤。
在这里插入图片描述

图2：多步攻击过程图例

攻击者（假设 $IP_1 = 10.XX.XX.XX$ ）首先使用SQL注入攻击入侵一个Web服务器（假设 $IP_2 = 11.1X.XX.XX$ ）。然后，攻击者使用主动扫描来查找一个重要服务器的漏洞（假设 $IP_3 = 11.2X.XX.XX$ ），并使用密码破解攻击入侵该服务器。在第四步中，攻击者在服务器上安装了远程控制工具。最后，敏感文件被传输给攻击者。

整个过程中，完整的多步攻击可以描述为 $S = \{s_1, s_2, ... , s_5\}$ ，其中
$\left\{ \begin{aligned} s_1 &= (IP_1, port_1, SQL\ injection, IP_2, port_2, t_1)\\ s_2 &= (IP_2, −, active\ scanning, IP_3, −, [t_2, t_3]) \\ s_3 &= (IP_2, port_3, password\ cracking, IP_3, port_4, t_4)\\ s_4 &= (IP_3, −, install\ remote\ control\ tools, −, −, t_5) \\ s_5 &= (IP_3, port_5, file\ transmitting, IP_1, port_6, t_6) \end{aligned} \right.$

在一个网络系统中，部署了安全产品，可以针对特定攻击产生安全警报。例如，入侵检测系统（IDS）会对SQL注入攻击产生警报，然后将其存储在日志文件中。当发生攻击 $attack_i$ 时，我们将每个警报与特定攻击关联，并将其表示为 $alarm_i$ 。通常，警报 $alarm_i$ 以上下文形式存在，其中包含足够的信息，如源 $I P$ 、源端口、目标 $I P$ 、目标端口、攻击描述等。然而，每天会产生大量的安全警报，其中许多是虚假警报，这使得检测多步攻击变得更加困难。

3.2. 问题定义

在网络系统 $G$ 中，我们可以预先获得资产和漏洞集合（ $A_G$ 和 $W_G$ ）。安全产品可以产生警报，我们将这个集合表示为 $ALARM_G = \{alarm_G(t_1), alarm_G(t_2), ...\}$ 。目标是检测对系统施加的攻击。我们将问题定义如下。
问题 1. 多步攻击 $S (1)$ , $S (2)$ , … 多步攻击 $S$ 在网络系统 $G$ 上启动，其中 $S(i) = \{s_1(i), s_2(i), ... , s_k(i)\}$ 。问题是检测所有攻击 $S (i)$ 以及根据安全警报 $ALARM_G$ 检测相应的详细攻击步骤。

4.ACAM: 基于MDATA模型的高级网络安全分析框架

在本节中，我们详细描述了基于MDATA模型的高级网络安全分析框架（ACAM）用于攻击检测。首先，我们概述了框架，并解释了MDATA模型的作用。然后，我们描述了框架中的各个模块，并介绍了一些实施的方法。最后，我们讨论了所提出框架的优点和缺点。

4.1. 框架概述

框架如图1所示，包括四个主要模块和一个用于网络安全的MDATA图。

知识提取模块负责从各种安全数据源中提取网络安全知识，如安全报告、漏洞数据库、网络威胁情报和来自安全论坛的新闻。此外，该模块将提取的知识转化为MDATA图，维护一个大规模和全面的网络安全知识库。
子图生成模块用于根据网络拓扑和网络系统的资产分布生成特定的子图。生成的子图可以保留可能针对网络系统发起的攻击，并因此减少大量的虚假警报。
警报关联模块用于将来自日志文件的实时安全警报转化为MDATA图，并将警报与网络系统中的相应攻击关联起来。基于警报生成的图被称为实时攻击图。
攻击检测模块旨在通过图计算技术（如子图匹配和多跳查询）检测多步攻击。

为网络安全建立的MDATA图维护了最新的知识，包括网络攻击、资产和漏洞。此外，当某些知识发生变化时，MDATA图可以轻松更新，这与知识图相比显示出更高的性能。由于安全警报不断地顺序地产生，所提出的框架可以在生成新警报时立即建立和更新用于检测的实时攻击图。因此，该框架可以实现对多步攻击的持续检测能力。

4.2. 知识提取模块

随着攻击技术的变化或新漏洞的出现，网络安全知识不断增加。每天都会发布大量相关知识，许多组织和机构构建了各种知识库，以有效管理攻击和漏洞的知识。例如，通用漏洞和暴露（CVE）数据库记录了披露的漏洞，通用弱点枚举（CWE）数据库列出了软件和硬件中的弱点。此外，许多公司和机构发布有关网络攻击和防御的安全报告，攻击步骤和工具的知识可以从这些报告中提取。此外，安全论坛发布有关网络攻击和防御的新闻，对提取网络安全知识起着重要作用。

网络安全知识可以从各种数据源中提取，可以采用许多经典的提取方法，如实体提取、关系提取等。然后，该模块将知识转化为MDATA节点，该节点由大规模的MDATA图组成。有许多表示网络安全知识的方法，我们介绍我们的方法如下。

具体来说，我们关注三类网络安全知识：资产、弱点和攻击。因此，我们从这三个方面提取知识。如图3所示，资产类型包含计算机和Adobe Reader软件，弱点类型包括特定漏洞（CVE-2008-2992），攻击类型包括缓冲区溢出攻击。
在这里插入图片描述

图3：用MDATA图表示网络安全知识的例子

根据提取的知识，如果Adobe Reader软件的版本符合某些条件，那么存在一个漏洞节点，因此Adobe Reader和漏洞节点是连接的。同样，缓冲区溢出攻击利用了这个漏洞，因此这两个节点是连接的。如图所示，网络安全知识可以在MDATA图中提取和表示，并且可以轻松推断计算机可能会受到缓冲区溢出攻击的攻击。

建立的MDATA图在协助多步攻击检测方面起着重要作用。

4.3. 子图生成模块

网络系统由许多资产组成，攻击者旨在通过网络攻击获取重要数据或文件。传统方法处理由安全产品产生的大量安全警报，分析和检测效率受到很大影响，因为存在许多无关或虚假警报。因此，该模块旨在生成与网络系统相关的子图，有助于筛选出这些虚假或无关警报。

详细来说，该模块应用资产扫描和漏洞扫描工具生成系统的资产和漏洞列表 $A_G = \{A_G(v_1), A_G(v_2), ... , A_G(v_n)\}$ 和 $W_G = \{W_G(v_1), W_G(v_2), ... , W_G(v_m)\}$ 。由于该模块可以获取资产和弱点的详细列表，因此可以通过建立的MDATA图推断可能针对系统发起的相关攻击。因此，该模块从网络安全的MDATA图中生成系统的子图，其中包含对系统的潜在攻击。然后，检测框架可以过滤掉无关警报以提高检测效率。

考虑到潜在攻击，我们还将检测规则转化为子图，从而实现持续检测能力。如图4所示，将图2中的多步攻击的检测规则转换为MDATA子图。
在这里插入图片描述

图4：将攻击检测规则转换为MDATA子图的示例

图中有三个层次，顶层表示涉及的IP地址，中间层表示具体的攻击，底层表示时间关系。中间层的每个节点连接到源IP和目标IP（图中简称为dest. IP），时间戳连接到时间比较节点。由于图2中的五个攻击步骤应按顺序执行，因此底部节点比较了五个攻击的时间关系。如果检测到这些攻击，其IP特征和时间关系都满足检测图，那么可以检测到多步攻击。我们可以将所有攻击检测规则转换为这种MDATA子图，并将其称为检测子图。

4.4. 告警关联模块

通常情况下，部署了不同种类的安全产品，安全告警的描述也各不相同。因此，该模块首先将这些安全告警融合，以便它们可以用统一的形式表示。之后，根据在子图生成模块中为网络系统生成的子图，该模块将无关的告警进行移除。为了确保攻击能力(被识别)，安全产品中的检测规则非常敏感，会生成许多误报告警。一旦生成了系统的子图，我们可以仅关注潜在的攻击，然后移除无关的告警。这一步有助于减少告警数量，提高检测效率。

由于告警以文本形式存在，我们需要提取攻击信息并将其转换为MDATA图。具体来说，我们需要从告警流 $ALARM_G = \{alarm_G(t_0), alarm_G(t_1), ...\}$ 中提取有效的信息，并将其转换为MDATA图。攻击提取过程可以识别攻击的源 $I P$ $IP_s$ 、源端口 $Port_s$ 、目标 $I P$ $IP_d$ 、目标端口 $Port_d$ 和攻击的时间戳。然后，告警关联过程将这些告警与MDATA图中的攻击节点连接起来，以进行进一步的检测。例如，该模块提取SQL注入告警并将其连接到图5中的攻击节点。
在这里插入图片描述

图5：通过告警关联模块构建用于攻击检测的MDATA图的示例

攻击步骤信息以目标 $I P$ 、源 $I P$ 和时间信息来描述。缓冲区溢出告警在MDATA图中也以类似的方式表示。由于安全告警不断生成，用于检测的MDATA图会随着更多的攻击信息而增长，并将其称为实时攻击图。

4.5. 攻击检测模块

在实时攻击图和检测子图生成后，攻击检测模块的目标是在短时间内检测所有多步攻击。

该模块中有一些重要因素。例如，时空索引可以加速查询过程，因为MDATA模型已经呈现了时空特征。因此，与现有方法相比，多跳查询可以更快地完成，后者必须关联空间和时间因素。然后，该模块采用子图匹配技术来查找实时攻击图中可以与检测子图匹配的子图。换句话说，根据检测规则的规则匹配过程可以通过子图匹配技术得到很大的改进。攻击步骤关联过程还原了每个攻击的详细步骤并生成检测报告。

显然，可以在该模块中应用许多子图匹配方法。在这部分中，我们还介绍了一种简单但高效的匹配算法，如算法1所示。首先，我们初始化一个列表来存储匹配结果，并将连续的告警日志 $ALARM_G = \{alarm_G(t_1), alarm_G(t_2), ...\}$ 作为输入。在每个告警 $alarm_G(t_i)$ 转换为MDATA节点后，我们查询它是否是任何攻击的第一步或是检测子图的先前匹配步骤的后续步骤。请注意，如果被识别为后续步骤，则应满足时空约束。通过重复此过程，一旦找到所有攻击步骤，算法将输出检测到的多步攻击。
在这里插入图片描述

算法1:基于子图匹配的多步攻击检测

4.6. 优点和缺点

所提出的框架可以持续工作以检测多步攻击。与现有的攻击检测方法相比，该框架具有以下优点：

• 具备检测多步攻击的能力。许多现有方法只能通过基于规则或基于机器学习的方法找出特定的攻击，它们缺乏多个安全数据源的关联分析。所提出的框架可以关联安全告警，以找出所有多步攻击；

• 能够检测有效的攻击。所提出的子图生成模块可以生成子图并专注于潜在的攻击。该模块使得可以去除虚假告警，并帮助检测可能对系统发动的有效攻击；

• 攻击检测的效率。MDATA模型通过空间-时间索引大大减少了多跳查询时间，提高了攻击检测的效率。此外，子图匹配方法在处理流式安全告警数据时表现出卓越性能。

尽管该框架具有显著的检测能力和高效性，但也存在一些缺点。首先，检测子图是从攻击检测规则转换而来的。当攻击技术或步骤发生变化时，一旦获取检测规则，子图也会发生变化。其次，随着安全告警不断产生，实时检测图会不断增长，难以确定生成检测图的时间窗口。如果窗口很大，攻击图将非常庞大且难以管理，而如果窗口很小，一些长期隐藏的攻击可能无法检测到。因此，在未来，实现平衡是一个重要且有意义的研究课题。

5. 实验结果

在本节中，我们从三个方面评估所提出的框架。首先，我们评估了MDATA模型在表示和管理网络安全知识方面的性能。然后，我们评估了基于子图匹配的所提出的攻击检测算法的效率和准确性。最后，我们在网络攻击仿真平台上进行实验，评估了所提出的框架的性能。

5.1. 实验设置

在我们的实验中，我们使用4台高性能计算服务器来存储和管理网络安全知识。此外，我们使用两个常用的数据集Graph500和Twitter用户-关注者图来评估MDATA图的管理能力。我们在网络攻击仿真平台上建立了一个大型网络系统，其中包含5种安全产品，并使用一些预先设计的攻击数据来评估所提出的框架。具体来说，我们使用10台高性能计算服务器（CPU：8核，GPU：Tesla T4）和30台虚拟计算服务器（CPU：4核）来构建虚拟网络系统。

5.2. 网络安全知识的管理

通过知识提取模块，我们提取了大量的网络安全知识，并将其转化为包含12亿个节点的MDATA图。我们使用Graph500和Twitter用户-关注者图数据集以及部分（约10%）网络安全知识来评估知识管理能力。三个数据集的详细信息如表1所示。

在这里插入图片描述

表1：三个数据集的描述

为了评估知识管理能力，我们使用多跳查询延迟与一些经典图计算系统（TigerGraph、Neo4j和JanusGraph）进行比较。如表2和表3所示，在MDATA图引入时空索引的情况下，MDATA图可以支持更快的一跳和二跳查询。具体而言，对于大型知识库，一跳查询时间可以缩短到不到25毫秒，而二跳查询时间也限制在670毫秒以内。多跳查询的效率可以加速基于子图匹配的多步攻击检测。
在这里插入图片描述

表2：单跳查询时间比较

在这里插入图片描述

表3：两跳查询时间比较

5.3. 基于子图匹配的攻击检测

我们通过生成流量安全警报来评估基于子图匹配的攻击检测算法（Alg. 1）。由于已经存在许多多步攻击，我们选择了100个多步攻击来生成相应的安全警报，包括源 $I P$ 、源端口、目标 $I P$ 、目标端口、时间戳、攻击描述和其他文本信息。

首先，我们评估了在生成大量警报时的计算效率。我们选择了50个多步攻击，并生成了相应的安全警报。因此，输入检测子图为 $SG_D = \{SG(1), SG(2), ...，SG(50)\}$ 。我们每秒生成K个警报，其中K从2000增加到20000，并在一小时内生成了这些警报。如图6所示，
在这里插入图片描述

图6：当K增加时的检测精度和检测时间

当K达到10000时，一些多步攻击无法被检测到，因为生成的警报都与攻击有关，算法必须存储这些攻击。当生成速度很高时，内存不足，算法中会丢失一些攻击步骤。通过增加硬件能力，可以解决这个问题。从图中可以看出，随着生成警报的增多，检测时间也会增加，因为算法必须进行更多的相关性和检测步骤。

然后，我们评估了当检测子图的数量增加时的检测时间。我们以不同速度生成所有100个多步攻击的安全警报：2000、5000和10000个每秒。我们假设子图生成模块只找到了T个潜在攻击，并且算法中使用了相应的T个检测子图。如图7所示，
在这里插入图片描述

图7:当检测子图数量T增长时的检测时间变化

随着检测子图数量的增加，检测时间也会增加。这是因为在检测攻击时会过滤掉许多无关或虚假的警报。这意味着子图生成模块可以帮助消除虚假警报，提高检测准确性。从图中可以看出，当警报生成速度增加时，检测时间也会增加，这也与图6中的现象一致。

5.4. 在网络攻击仿真平台上的框架评估

我们在网络攻击仿真平台上实现了ACAM框架，该平台建立在10台高性能计算服务器和30台虚拟计算服务器上。网络攻击仿真平台可以模拟虚拟网络系统，包括每个节点的节点、边、资产和弱点。网络攻击仿真平台可以协助各种比赛和演习操作，我们在这些活动中收集了各种类型的攻击数据，包括许多单步和多步攻击数据。然后，我们将这些攻击启动到系统中，并根据收集到的数据评估检测准确性和效率。
在这里插入图片描述

表4:在仿真系统上攻击检测的精确性和效率

如表4所示，列出了一些攻击类型的检测准确性和效率。由于网络攻击仿真平台可以模拟真实的网络系统，我们测试了框架以检测不同类型的攻击，并展示了平均检测准确性和检测时间。平均检测准确性可以高达90.6％，平均延迟相对较低，为14毫秒。

6.结论

在本文中，我们提出了ACAM，一种基于MDATA模型的先进的网络安全分析框架，能够有效检测网络攻击。该框架由四个模块和一个大规模的网络安全知识MDATA图组成。知识提取模块从各种数据源中提取最新的网络安全知识，并将该知识转化为MDATA图，以支持高效的查询和关联。子图生成模块减少了误报并提高了检测效率。报警关联模块根据不断产生的报警建立实时攻击图，并在攻击检测模块中执行子图匹配，从而有助于检测多步攻击。该框架在具有人工智能能力的网络安全防御中发挥着重要作用。我们在网络安全训练平台上实现了该框架，并进行了大量实验来评估检测性能。考虑到检测效率，提出的框架可以显著提高智能城市的网络安全防御能力。由于所提方法受到不同检测规则和生成检测图的时间窗口的限制，我们将在未来继续优化框架和检测算法。

CRediT作者贡献声明
Yan Jia：写作-审阅与编辑，写作-原始草稿，验证，监督，软件，方法论，概念化。
Zhaoquan Gu：写作-审阅与编辑，写作-原始草稿，验证，监督，方法论，概念化。
Lei Du：写作-原始草稿，可视化，软件。
Yu Long：写作-原始草稿，方法论，数据整理。
Ye Wang：写作-审阅与编辑，数据整理。
Jianxin Li：数据整理，写作-审阅与编辑。
Yanchun Zhang：正式分析，监督，写作-审阅与编辑。

竞争利益声明
作者声明他们没有已知的可能会影响本文报道的工作的财务利益竞争或个人关系。

数据可用性
数据将根据需求提供。

致谢
本工作得到了PCL主要重点项目（PCL2022A03）和广东省新型安全智能技术重点实验室（2022B1212010005）的部分支持。

引用

[1] B. Ali, M. Adeel Pasha, S. u. Islam, H. Song, R. Buyya, A volunteer-supported
fog computing environment for delay-sensitive IoT applications, Internet
Things J. 8 (5) (2021) 3822–3830.
[2] Z. Gu, H. Li. L. Deng, X. Du, M. Guizani, Z. Tian, IEPSBP: A cost-efficient
image encryption algorithm based on parallel chaotic system for green IoT,
IEEE Trans. Green Commun. Netw. 6 (1) (2022) 89–106.
[3] L. Sun, J. Liang, C. Zhang, D. Wu, Y. Zhang, Meta-transfer metric learning
for time series classification in 6G-supported intelligent transportation
systems, IEEE Trans. Intell. Transp. Syst. (2023).
[4] L. You, J. He, W. Wang, M. Cai, Autonomous transportation systems and
services enabled by the next-generation network, IEEE Netw. 36 (3) (2022)
66–72.
[5] V. Hayyolalam, M. Aloqaily, Ö. Özkasap, M. Guizani, Edge-assisted solutions
for IoT-based connected healthcare systems: A literature review, Internet
Things J. 9 (12) (2022) 9419–9443.
[6] F. Meneghello, M. Calore, D. Zucchetto, M. Polese, A. Zanella, IoT: Internet
of threats? A survey of practical security vulnerabilities in real IoT devices,
IEEE Internet Things J. 6 (5) (2019) 8182–8201.
[7] H. Darabian, A. Dehghantanha, S. S. Hashemi, et al., A multiview learning
method for malware threat hunting: Windows, IoT and android as case
studies, World Wide Web 23 (2) (2020) 1241–1260.
[8] S. Wang, Z. Wang, X. Yin, X. Shi, An unsupervised two-layer multistep network attack detector, in: IEEE INFOCOM 2020-IEEE Conference
on Computer Communications Workshops, INFOCOM WKSHPS, 2020,
pp. 1308–1309.
[9] L. Alcantara, G. Padilha, R. Abreu, M. d’Amorim, Syrius: Synthesis of rules
for intrusion detectors, IEEE Trans. Reliab. 71 (1) (2022) 370–381.
[10] Q. Liu, H.B. Keller, V. Hagenmeyer, A Bayesian rule learning based intrusion
detection system for the MQTT communication protocol, in: Proceedings of
the 16th International Conference on Availability, Reliability and Security,
2021, pp. 81:1–81:10.
[11] W.U. Hassan, A. Bates, D. Marino, Tactical provenance analysis for endpoint
detection and response systems, in: 2020 IEEE Symposium on Security and
Privacy, 2020, pp. 1172–1189.
[12] K.D. Lu, G.Q. Zeng, X. Luo, J. Weng, W. Luo, Y. Wu, Evolutionary deep belief
network for cyber-attack detection in industrial automation and control
system, Trans. Ind. Inform. 17 (11) (2021) 7618–7627.
[13] X. Wang, J. Liu, A novel feature integration and entity boundary detection
for named entity recognition in cybersecurity, Knowl.-Based Syst. 260
(2023) 110114.
[14] H. Tan, L. Wang, H. Zhang, J. Zhang, M. Shafiq, Z. Gu, Adversarial attack
and defense strategies of automatic speaker verification systems: A survey,
Electronics 11 (14) (2022) 2183.
[15] X. Zhou, W. Liang, W. Li, K. Yan, S. Shimizu, K.I.-K. Wang, Hierarchical adversarial attacks against graph-neural-network-based IoT
network intrusion detection system, IEEE Internet Things J. 9 (12) (2022)
9310–9319.
[16] B. Zhu, Z. Gu, Y. Qian, F.C.M. Lau, Z. Tian, Leveraging transferability and
improved beam search in textual adversarial attacks, Neurocomputing 500
(2022) 135–142.
[17] Y. Jia, Z. Gu, A. Li, MDATA: A New Knowledge Representation Model:
Theory, Methods and Applications, Vol. 12647, Springer Nature, 2021, pp.
1–255.
[18] P.A. Khand, System level security modeling using attack trees, in: 2009
2nd International Conference on Computer, Control and Communication,
2009, pp. 1–6.
[19] H.S. Lallie, K. Debattista, J. Bal, An empirical evaluation of the effectiveness
of attack graphs and fault trees in cyber-attack perception, Trans. Inf.
Forensics Secur. 13 (5) (2018) 1110–1122.
[20] J. Haseeb, M. Mansoori, I. Welch, A measurement study of IoT-based attacks
using IoT kill chain, in: International Conference on Trust, Security and
Privacy in Computing and Communications, TrustCom, 2020, pp. 557–567.
[21] P.K. Manadhata, J.M. Wing, An attack surface metric, Trans. Softw. Eng. 37
(3) (2011) 371–386.
[22] L. Liu, X. Xu, Y. Liu, Z. Ma, J. Peng, A detection framework against CPMA
attack based on trust evaluation and machine learning in IoT network,
Internet Things J. 8 (20) (2021) 15249–15258.
[23] L. Yu, J. Dong, L. Chen, M. Li, B. Xu, Z. Li, L. Qiao, L. Liu, B. Zhao, C. Zhang,
PBCNN: Packet bytes-based convolutional neural network for network
intrusion detection, Comput. Netw. 194 (2021) 108117.
[24] C. Xu, J. Shen, X. Du, A method of few-shot network intrusion detection
based on meta-learning framework, IEEE Trans. Inf. Forensics Secur. 15
(2020) 3540–3552.
[25] L.B. Qiao, B.F. Zhang, Z.Q. Lai, J.S. Su, Mining of attack models in IDS alerts
from network backbone by a two-stage clustering method, IEEE Comput.
Soc. (2012) 1263–1269.
[26] C. Wang, Y. Chiou, Alert correlation system with automatic extraction
of attack strategies by using dynamic feature weights, Int. J. Comput.
Commun. Eng. 5 (1) (2016) 1.
[27] F. Skopik, I. Friedberg, R. Fiedler, Dealing with advanced persistent threats
in smart grid ICT networks, in: ISGT, 2014, pp. 1–5.
[28] F. Cuppens, R. Ortalo, LAMBDA: A language to model a database for
detection of attacks, Recent Adv. Intrusion Detect. (2000) 197–216.
[29] H.A. Kholidy, A. Erradi, S. Abdelwahed, A. Azab, A finite state hidden
Markov model for predicting multistage attacks in cloud systems, in: 2014
IEEE 12th International Conference on Dependable, Autonomic and Secure
Computing, 2014, pp. 14–19.
[30] T. Shawly, A. Elghariani, J. Kobes, A. Ghafoor, Architectures for detecting
interleaved multi-stage network attacks using hidden Markov models, IEEE
Trans. Dependable Secure Comput. 18 (5) (2021) 2316–2330.
[31] S. Noel, E. Robertson, S. Jajodia, Correlating intrusion events and building
attack scenarios through attack graph distances, in: 20th Annual Computer
Security Applications Conference, IEEE, 2004, pp. 350–359.
[32] S. Zhang, J. Li, X. Chen, L. Fan, Building network attack graph for alert causal
correlation, Comput. Secur. Comput. Secur. 27 (5–6) (2008) 188–196.
[33] Z. Zali, M.R. Hashemi, H. Saidi, Real-time attack scenario detection
via intrusion detection alert correlation, in: 2012 9th International ISC
Conference on Information Security and Cryptology, 2012, pp. 95–102.
[34] K. Simonyan, A. Zisserman, Very deep convolutional networks for
large-scale image recognition, 2014, arXiv preprint arXiv:1409.1556.
[35] M.N. Hossain, S.M. Milajerdi, J. Wang, B. Eshete, R. Gjomemo, R. Sekar,
S. Stoller, V.N. Venkatakrishnan, SLEUTH: Real-time attack scenario reconstruction from COTS audit data, in: USENIX Security Symposium, 2017,
pp. 487–504.
[36] X. Sun, J. Dai, P. Liu, A. Singhal, J. Yen, Using Bayesian networks for probabilistic identification of zero-day attack paths, IEEE Trans. Inf. Forensics
Secur. 13 (10) (2018) 2506–2521.
[37] S.M. Milajerdi, R. Gjomemo, B. Eshete, R. Sekar, V.N. Venkatakrishnan,
HOLMES: Real-time APT detection through correlation of suspicious information flows, in: IEEE Symposium on Security and Privacy, 2019,
pp. 1137–1152.
[38] A. Alsaheel, Y. Nan, S. Ma, L.Yu, G. Walkup, Z.B. Celik, X. Zhang, D. Xu,
ATLAS: A sequence-based learning approach for attack investigation, in:
USENIX Security Symposium, 2021, pp. 3005–3022.