面向虚拟化网络环境的网络安...要素提取及安全态势预测应用_王伟.pdf

电视技术 第 47 卷第 1 期(总第 566 期)177NETWORK&CONVERGENCE网络与融合文献引用格式：王伟.面向虚拟化网络环境的网络安全态势要素提取及安全态势预测应用 J.电视技术，2023，47（1）：177-182.WANG W.The application of network security situation elements extraction and security situation prediction in virtual network environmentJ.Video Engineering，2023，47（1）：177-182.中图分类号：TP311.5 文献标识码：A DOI：10.16280/j.videoe.2023.01.045面向虚拟化网络环境的网络安全态势要素提取 及安全态势预测应用王 伟（中央广播电视总台，北京 100859）摘要：计算机与网络技术的发展，使得大部分行业已经进入深度的网络融合应用阶段。计算机网络的高性能和高效率在为人类社会带来福利的同时，也因网络安全问题给社会运转带来威胁。特别是随着诸如网络功能虚拟化（Network Functions Virtualization，NFV）、软件定义网络（Software Defined Network，SDN）等技术得以实施和应用的今天，迥异于传统物理网络结构的虚拟化网络，使得人们在应对网络安全问题时面临新的挑战，特别是在网络安全态势预测方面。基于此，针对 NFV 与SDN 高度融合环境下的网络安全态势预测方案进行研究和探讨，构建编码网络模型，对该环境下的网络安全态势要素进行提取，并利用基于注意力机制的循环门控单元预测方法，建立网络模型，以实现网络安全态势预测。该方案弥补了传统网络安全态势预测方案在准确度、适应性等方面的不足，期望能够为网络安全态势预测的相关研究与应用提供帮助。关键词：网络功能虚拟化（NFV）；软件定义网络（SDN）；网络安全；态势要素提取；态势预测The Application of Network Security Situation Elements Extraction and Security Situation Prediction in Virtual Network EnvironmentWANG Wei(China Media Group,Beijing 100859,China)Abstract:With the development of computer and network technology,most industries have entered the stage of deep network integration application.The high performance and high efficiency of computer network not only bring benefits to human society,but also threaten social operation due to network security problems.Especially with the implementation and application of technologies such as Network Functions Virtualization(NFV),Software Defined Network(SDN),etc.Today,the virtualized network,which is different from the traditional physical network structure,makes people face new challenges when dealing with network security problems,especially in network security situation prediction.In this paper,the network security situation prediction scheme under the highly integrated environment of NFV and SDN is studied and discussed.The network security situation elements under this environment are extracted by building a coding network model,and the network model is established by using the circular gating unit prediction method based on attention mechanism to achieve network security situation prediction.This scheme makes up for the shortcomings of traditional network security situation prediction schemes in accuracy,adaptability,etc.It is expected that the research in this paper can help the related research and application of network security situation prediction.Keywords:Network Functions Virtualization(NFV);Software Defined Network(SDN);network security;situation element extraction;situation prediction 作者简介：王 伟（1978），男，本科，工程师，研究方向为计算机网络应用与安全。NETWORK&CONVERGENCE网络与融合178电视技术 第 47 卷第 1 期(总第 566 期)0 引 言随着信息化的普及和发展，广播电视制播技术已经逐步从 SDI 架构转向基于互联网的 IP 架构，特别是 IPTV、网络接入服务等业务的拓展，使得广播电视行业逐步进入网络运营与应用范畴。然而，计算机网络在显著提升业务推进效率和便捷度的同时，也引入了新的风险，即网络安全问题。随着网络技术的不断发展，计算机网络软硬件架构处于不断发现问题和解决问题的过程中。除去业务对于网络性能和功能的新需求外，来自内部和外部的网络安全威胁是最为典型的问题。传统的网络安全检测与防御往往是面向具体的网络架构和网络所遭受的攻击行为提出应对方案，网络安防往往是通过历史事件倒推网络安全漏洞，并事后予以弥补，这显然无法为网络安全提供实时保障，同时也无法应对未知网络风险1。同时，随着网络需求和功能的变动，网络架构和技术形式往往会有相应的变化和升级，特别是随着网络技术的发展，利用虚拟化服务及软件，对网络设备及架构进行实现已经成为发展趋势。网络功能虚拟化（Network Functions Virtualization，NFV）及软件定义网络（Software Defined Network，SDN）的高度融合，就是虚拟化网络及服务的典型应用之一。可以看到，在新的技术发展趋势下，网络安全需求已经从传统的静态安全评估和防护，逐步变为对网络的实时监测和动态的态势预测。正是基于这一诉求，网络安全态势预测被提出。对于网络安全态势预测而言，态势要素提取和态势预测是两个关键环节1。对于不同的网络架构和技术形式，特别是大规模异构网络，其态势要素往往有较大差异。因此，态势要素的获取也是态势预测的必要前置条件。而在态势预测阶段，常见的实现路径主要为利用机器学习构建模型，进而对未来某时刻的网络安全态势进行预测。本文拟通过研究面向 NFV 与 SDN 高度融合的网络环境的态势要素提取方法，进一步对该网络技术架构下的安全态势预测问题进行研究。1 NFV 与 SDN 高度融合网络架构1.1 NFV 与 SDN 概述1.1.1 NFV 概述网络功能虚拟化（Network Functions Virtualization，NFV），是虚拟网络构建的一种基础技术方案。NFV基于虚拟化技术实现网络功能，对传统交换机、路由交换协议、网络管理工具等设备设施予以替代。该技术允许网络设计与构建人员利用通用服务器，对所需的各项网络设施进行虚拟化实现，在显著降低传统网络设备用量、降低实施成本的同时，进一步提升设备的综合利用率和管理效率2。此外，NFV 允许管理者利用一系列开放的应用程序接口（Application Programming Interface，API）构建可编程、可集中管理、可智能灵活配置部署的整套虚拟化网络。更为特殊的一点是，NFV 构建的网络设备具备弹性可伸缩特性，这就使得未来的升级扩充高效便捷。1.1.2 SDN 概述软件定义网络（Software Defined Network，SDN）的出现，解决了网络管理对于平台的“开放”和“集中”诉求。“开放”是指不同网络设备的 SDN 能力开放问题，“集中”则主要指将网内各设备的控制信息集中到一个控制平面进行集成控制。前者能够有效提升整个控制面板对各类规格设备和功能的控制兼容度，使得整套网络具备较强的功能控制解耦能力。后者则能够以最小粒度对网络进行集中管理，极大提升管理效率。1.2 NFV 与 SDN 融合架构从 NFV 与 SDN 各自的优势可以看出，如果将二者进行高度融合，不仅可以有效提升网络的开放性、弹性可伸缩性、敏捷性，而且能够在显著降低网络复杂程度的同时，实现高效的内部协调和管理。这也是NFV与SDN深度融合的基础与核心驱动力。NFV与SDN的高度融合架构如图1所示。可以看到，整套架构以硬件虚拟化技术为核心，构建了虚拟化资源池。此后基于这一虚拟化资源池，进一步构建各级虚拟化计算资源及各层级的虚拟化设备，并构建各层虚拟网络功能（Virtual Network Function，VNF），形成虚拟化网络。与此同时，利用 SDN 构建管理及控制面，将 NFV、VNF 及基础虚拟接口的管理进行集成3。由于 SDN 能够与南向接口通过协议直接与转发设备交互，同时能够与外部应用通过北向接口通信，这就使得 SDN 控制器成为网络管理和调度的集成中心。电视技术 第 47 卷第 1 期(总第 566 期)179NETWORK&CONVERGENCE网络与融合图 1 NFV/SDF 高度融合架构2 NFV 与 SDN 高度融合下的态势要素提取态势预测是基于态势要素实现的。对具体问题和场景而言，态势要素往往需要根据实际情形进行分类提取，并不存在一通百通的态势要素集合。由于 NFV/SDN 高度融合下的网络形态和复杂度都有了显著的变化，因此，传统网络环境下的安全态势要素显然无法用于该环境下网络的态势预测。本章节围绕态势要素提取展开研究，为后续态势预测提供支撑。2.1 态势要素提取网络架构针对 NFV/SDN 融合环境的网络安全态势要素提取问题，本文拟通过构建 NFV/SDN 融合网络攻击信息样本库，结合基于深度条件变分自编码网络，对样本中隐含的有价值的态势要素进行分类提取。在该架构中，由于隐变量z是原始样本构建的核心，因此核心问题是如何探求隐变量z的分布4。本方案考虑在生成网络前增加一个编码网络，利用样本及标签集c作为其输入，进而获得隐变量z的分布。基于标签c，样本可被强制分配至不同的分布空间。由于编码网络与生成网络互为镜像，因此隐变量可将编码网络的输出重构为原始数据。最后通过对比原始数据与重构后的原始数据的差异，最终评估训练获得的各项权值是否达到最优。本文构建的态势要素分类提取网络架构如图 2 所示。2.2 模型训练上文所构建的态势要素分类提取网络架构，其核心在于编码网络和生成网络。利用这种深度神经网络，能够对样本中隐含的高级特征进行捕捉，进而指导攻击样本的分类。该过程可描述为样本处理、输入网络及优化参数三个步骤。2.2.1 样本处理根据获得的网络攻击数据集，及在 NFV/SDF 融合环境下获取到的网络攻击数据，共同构建一套训练数据集。样本处理阶段，需要对网络攻击数据进行归一化处理，使其形式和构成与网络攻击数据集数据一致，获得样本集x=(x1,x2,xn)。此后通过人工标记方式，将网络攻击数据样本进行标记，形成集合c=(c1,c2,ck)。据此可获得两个多维数据集，其中n，k分别为处理后的数据维度。2.2.2 输入网络将上述数据输入编码网络，可获得隐变量z的分布，可通过中采样处理进一步获得其采样值。此后将z的采样值作为参数，连同标签共同作为生成网络的输入参数，完成数据重构。图 2 态势要素分类提取网络架构NETWORK&CONVERGENCE网络与融合180电视技术 第 47 卷第 1 期(总第 566 期)2.2.3 优化参数通过损失函数可对网络进行反复优化，以最终达到编码参数与生成参数的对数似然函数的变分下界最大化的目标5。该过程可表示为式（1）：()()()()()()()()()()()DCVAEKL(|,)KL1log|,|,|log|,1|,|log|,qz x cl Llp x clx cDqz x cpz cEpx z cDqz x cpz cpx z cL=+=+（1）式中：表示编码参数，表示生成参数，z表示采样值，x表示样本集，c表示样本标记集，L表示隐变量z的采样数。q(z|x,c)与p(x|z,c)分别表示编码网络和生成网络的概率分布，其中p(x|z,c)主要用于评估隐函数z在生成网络中能够将样本c重构为原始样本的概率。此时，应视近似概率q(z|x,c)服从正态分布N(,2)，条件概率p(z|c)服从正态分布N(,1)。通过对上述两个概率进行 KL 散度，可评估二者的相似度。若二者不同，则该损失函数将对网络进行惩罚。样本扩充阶段主要通过生成网络来完成。该网络通过计算生成样本与元样本的偏离度，计算构建损失，并指定构建损失阈值。某类别的损失阈值（或称最大构建损失）可用式（2）表示。maxL=max(l(x,c)（2）式中：maxL表示损失阈值，即构建损失的过滤标准，max(l(x,c)表示输入的样本集x及标记集c的最大重构损失值。若该类别样本构建损失超过该阈值，则剔除；反之，则纳入新训练集合中，用于对编码网络进行微调优化。2.3 样本分类编码网络完成训练后，可为编码网络增加 softmax 层，用于实现分类结果的输出。通过 softmax 函数，神经元的输出将最终映射到（0，1）区间内，直接表示分类概率。分类概率计算公式可表示为式（3）：()()|,eeciicW XbW XbIyp Yc X W bsoftmax WXb+=+=（3）式中：W为回归层的权重参数，b为偏置值，I为输出层节点数量（表征类别数量）。3 网络安全态势预测方法研究前文的成果能够为网络安全态势预测提供适当的态势要素。本文提出一种基于注意力机制的循环门控单元（Gated Recurrent Unit，GRU）网络。该网络实质上是一种简化的长短时记忆网络（Long Short-Term Memory，LSTM），是一种具备选择性短时记忆能力的带有门控制机制的神经网络，能够针对网络态势要素变动的历史进行综合衡量，进而对网络安全态势进行动态感知6。3.1 网络构建本文构建的网络安全态势预测网络如图 3 所示。输入层的输入数据来源为：利用前文分类获取到的网络态势要素为分类标准，对国家互联网应急中心发布的数据进行处理，使其符合网络输入层所需的维度和结构。编码层的核心即 GRU 网络。通过 GRU 的门结构，信息可根据需要进行短暂存储，以实现对信息实时流动的调控。注意力层则主要对数据属性权重进行调整，对于各数据与网络安全趋势的关联度进行定义，确保整个注意力网络能够侧重于对高影响因子的信息的关注，进而获得更精准的预测结果7。网络最后为预测网络结构，最终输出实时的网络安全态势预测值。3.2 GRU 超参数选择GRU 网络的性能与网络参数息息相关8，诸如网络神经元数量m，batchsize，时间步长T等超参数的寻找十分关键。这里通过粒子群算法设计如 图 4 所示的步骤对超参数进行选择。首先，初始化粒子群参数，设定包括种群规模I、迭代次数p、惯性权重W，以及c1，c2变化区间在内的所有粒子群建立所必须的参数。其次，对种群根据规模I进行随机生成，参数包括网络神经元数量m，batchsize，时间步长T，同时对粒子初始速度和初始位置进行指定。此后根据每轮迭代，参照式（4）和式（5）对粒子位置进行实时调整，并对粒子与历史最佳位置和种群最佳位置进行对比，评估是否到达了优化终点。电视技术 第 47 卷第 1 期(总第 566 期)181NETWORK&CONVERGENCE网络与融合()()1,1,2,ppppi ji ji ji jppji jVWVcrandpacrandga+=+（4）11,pppi ji ji jaaV+=+（5）式中：ai,jp+1为粒子位置，p pi,j表示该粒子在历史中最优的位置，gjp为当前群体找到的最优位置，i，j分别代表优化问题个数及空间维度，rand为（0，1）区间的随机值。p，W，c1，c2分别为前文所述的粒子群初始化参数。式（5）计算的Vi,jp+1实际为本次运算后的粒子速度。图 4 超参数组合优化算法逻辑3.3 模型求解前文对 GRU 网络参数进行了最优化，本阶段将对模型进行求解，完成输入到输出各步骤的设计。第一步，定义输入数据。这里将带有时间序列的输入数据用式（6）表示。X=x1,x2,xnT=x1,x2,xT RnT（6）式中：T为时间步长，n为数据属性数量。第二步，通过式（7）式（10）对 GRU 中重置门、更新门的控制逻辑进行定义，实现信息记忆与遗忘机制。()1,trttrrhxb=+W（7）()1,tzttzzhxb=+W（8）()1tanh,thtttzhWhr xb=+?（9）()11ttttthzhz h=+?（10）式中：Wr表示重置门的权值矩阵，Wz表示更新门的权重矩阵，br表示重置门的偏置值，bz表示更新门的偏置值，表示矩阵乘法。最终可获得编码器的映射结果ht。第三步，利用h及原始训练样本作为输入值，输入注意力层。在该层中，首先利用式（11）对h与其他属性间的相似性进行评估。()1tanh,kTktSStsvUhx=（11）式中：k在 1,n 区间内，表示安全指标的编号，ht-1表示上一时刻编码器的隐藏状态，xk表示第k个安全指标在一个时间步长中的数据。此后通过softmax 对该评估值进行归一化，最终使得所有注意力权重总和为 1。最终加权求和，获得t时刻综合权值ct（该权值充分考虑了历史信息）。第四步，利用预测网络计算该时刻的预测输出，并更新 GRU 的隐藏状态。最终可获得t时刻的网络安全态势预测值yt。该过程可由式（12）和 输入层 编码层 注意力层 预测网络图 3 基于注意力机制和 GRU 的网络态势预测网络NETWORK&CONVERGENCE网络与融合182电视技术 第 47 卷第 1 期(总第 566 期)式（13）描述。dt=GRU(yt-1,dt-1,ct)（12）yt=g(dt-1,ct)（13）式中：g为基于 softmax 函数的线性变换，ct为t时刻的综合权值，dt表示此刻GRU的隐藏状态更新。3.4 实验及模型评价3.4.1 评价指标及对照模型选择本文选择平均绝对误差（Mean Absolute Error，MAE）及均方根误差（Root Mean Square Error，RMSE）作为模型效果的评估指标。可描述为式（14）及式（15）。11NiiiMAEyyN=?（14）()211NiiiRMSEyyN=?（15）式中：N为预测次数，与测试数据集大小一致，yi为预测结果，yi为样本标记的真实态势值。为 客 观 评 估 本 文 设 计 的 模 型 性 能，选 取Attention-RNN、AIS-LSTM两种神经网络预测模型，以及 PSO-SVM 这一传统机器学习模型作为本次评价的对照模型。3.4.2 数据预处理数据方面，本文选取国家互联网应急中心发布的周数据以及在 NFV/SDF 融合环境下的安全态势数据，并确定以安全漏洞新增数量、外部攻击中Web 内容篡改攻击数量、网内病毒感染数量、外部DDOS 攻击数量作为主要安全指标。选取时间步长为周，准备了共计 260 组训练数据及 130 组测试数据。由于网络随机性较强，数据量纲差异较大，为便于训练，本文采用式（16）所描述的方法对数据进行归一化处理，以数据自身度量其变化程度，将数据变化的表达方式统一化。()()()minmaxminxxxxx=（16）式中：x为目标数据，max(x)和 min(x)分别为x的最大值和最小值。3.4.3 结果对比及评价通过对本文设计的模型、Attention-RNN、AIS-LSTM、PSO-SVM 四种模型进行训练和测试，得到如表 1 所示的结果。可以看到，本文设计的基于GRU 的注意力模型的整体表现不仅远超传统支持向量机（Support Vector Machine，SVM）模型，在与同类神经网络模型相比时也有更好的表现。该结果可以证实，注意力机制本身对于权重分配的优化有较高的价值。表 1 四种模型的误差值对比结果模型MAERMSEAttention-GRU0.001 50.002 6Attention-RNN 0.007 20.008 1AIS-LSTM0.005 10.005 9PSO-SVM0.112 40.156 14 结 语本文面向 NFV 与 SDN 高度融合的网络安全态势预测问题进行了研究。首先介绍了 NFV 与 SDN网络的特征和优势，并提出其与传统网络的差异；其次，探讨了面向 NFV/SDN 融合网络的态势预测难点和步骤；再次，通过构建态势要素分类算法，提出了面向 NFV/SDN 融合网络的态势要素提取机制；最后，利用基于注意力机制的 GRU 网络，对网络安全态势预测模型进行构建和求解。期望本文的研究能够为网络安全领域的工作提供一些帮助。参考文献：1 盛勇.SDN/NFV 网络中服务功能链部署研究 D.长春：吉林大学，2022.2 林华，薛静宜.软件定义网络（SDN）/网络功能虚拟化（NFV）技术研究及部署 J.广播电视网络，2022，29（1）：106-108.3 穆琙博，柴瑶琳.SDN/NFV 技术演进趋势分析 J.信息通信技术与政策，2021，47（3）：12-18.4 钱红燕，薛昊，陈鸣.UDM：基于 NFV 的防止 DDoS 攻击SDN 控制器的机制 J.通信学报，2019，40（3）：116-124.5 刘梦甜，李伟隆，王守融.基于 SDN 的阶段化网络安全态势模型的研究和设计 J.北京电子科技学院学报，2018，26（4）：14-20.6 卢建平，刘锦锋，杨波.基于虚拟化的网络安全问题研究 J.微型机与应用，2017，36（11）：1-4.7 赵鹏，段晓东.SDN/NFV 发展中的关键：编排器的发展与挑战 J.电信科学，2017，33（4）：18-25.8 王振继.SDN 网络虚拟化安全服务动态构建技术研究 D.北京：北京交通大学，2017.编辑：张玉聪