第３３卷第２期 ２ ０ １ ２年２月 兵 工 学 报 Ｖｏ１．３３ Ｎｏ．２ Ｆｅｂ． ２Ｏ１２ ＡＣＴＡ ＡＲＭＡＭＥＮＴＡＲＩＩ 面向网络实时风险预测的马尔可夫时变模型 刘刚，李千目，刘凤玉，张宏 （南京理工大学计算机科学与技术学院，江苏南京２１００９４） 摘要：为了能实时准确地预测网络风险发生的可能性，帮助管理员对网络中的风险进行有效 的管理，本文提出了一种用于实时风险概率预测的马尔可夫时变模型。基于此模型，给出了风险概 率预测方法，通过实时更新模型中的状态概率转移矩阵，来预测未来时刻网络的风险概率。仿真实 验将此模型应用于网络攻击环境下，结合特征提取、统计学习，来预测网络在不同风险等级下的概 率。同传统的马尔可夫预测模型相比，该模型具有更高的实时性、客观性和准确性。 关键词：计算机应用；安全风险预测；马尔可夫时变模型；网络攻击 中图分类号：ＴＰ３０９ 文献标志码：Ａ 文章编号：１０００—１０９３（２０１２）０２－０１６３—０７ Ａ Ｔｉｍｅ－Ｖａｒｙｉｎｇ Ｍａｒｋｏｖ Ｍｏｄｅｌ ａｎｄ Ｉｔｓ Ａｐｐｌｉｃａｔｉｏｎ ｔｏ Ｎｅｔｗｏｒｋ Ｒｅａｌ－ｔｉｍｅ Ｒｉｓｋ Ｐｒｏｂａｂｉｌｉｔｙ Ｐｒｅｄｉｃｔｉｏｎ ＬＩＵ Ｇａｎｇ，ＬＩ Ｑｉａｎ－ｍｕ，ＬＩＵ Ｆｅｎｇ－ｙｕ，ＺＨＡＮＧ Ｈｏｎｇ （Ｓｃｈｏｏｌ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ，Ｎａｎｊｉｎｇ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｓｃｉｅｎｃｅ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ，Ｎａｎｊｉｎｇ ２１００９４，Ｊｉａｎｇｓｕ，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｉｎ ｏｒｄｅｒ ｔｏ ｐｒｅｄｉｃｔ ｔｈｅ １ｉｋｅｌｉｈｏｏｄ ｏｆ ｎｅｔｗｏｒｋ ｒｉｓｋｓ ａｃｃｕｒａｔｅｌｙ ａｎｄ ｉｎ ｒｅａ１．ｔｉｍｅ．ａｎｄ ｈｅｌｐ ｔｈｅ ａｄ— ｍｉｎｉｓｔｒａｔｏｒｓ ｔｏ ｍａｎａｇｅ ｎｅｔｗｏｒｋ ｒｉｓｋｓ ｅｆｆｅｃｔｉｖｅｌｙ，ａ Ｔｉｍｅ—Ｖａｒｙｉｎｇ Ｍａｒｋｏｖ Ｍｏｄｅｌ（ＴＶＭＭ）ｆｏｒ ｒｅａｌ－ｔｉｍｅ ｒｉｓｋ ｐｒｏｂａｂｉｌｉｔｙ ｐｒｅｄｉｃｔｉｏｎ ｗａｓ ｐｒｏｐｏｓｅｄ．Ａ ｒｅａｌ－ｔｉｍｅ ｒｉｓｋ ｐｒｏｂａｂｉｌｉｔｙ ｐｒｅｄｉｃｔｉｏｎ ｍｅｔｈｏｄ，ｗｈｉｃｈ ｉｓ ａｂｌｅ ｔｏ ｐｒｅｄｉｃｔ ｔｈｅ ｐｒｏｂａｂｉｌｉｔｙ ｏｆ ｎｅｔｗｏｒｋ ｒｉｓｋ ｉｎ ｆｕｔｕｒｅ ｅｘａｃｔｌｙ ｗｉｔｈ ａ ｒｅａｌ・・ｔｉｍｅ－－ｕｐｄａｔｉｎｇ・－ｓｔａｔｅ ｐｒｏｂａｂｉｌｉｔｙ ｔｒａｎｓｉ・－ ｔｉｏｎ ｍａｔｒｉｘ ｏｆ ＴＶＭＭ，ｗａｓ ｐｒｅｓｅｎｔｅｄ．Ｃｏｍｂｉｎｅｄ ｗｉｔｈ ｔｈｅ ｔｈｅｏｒｙ ｏｆ ｆｅａｔｕｒｅ ｅｘｔｒａｃｔｉｏｎ ａｎｄ ｓｔａｔｉｓｔｉｃａｌ ｌｅａｒｎ－ ｉｎｇ，ｔｈｅ ｍｏｄｅｌ ｗａｓ ｕｓｅｄ ｔｏ ｃａｌｃｕｌａｔｅ ｔｈｅ ｒｉｓｋ ｐｒｏｂａｂｉｌｉｔｙ ｏｆ ｔｈｅ ｎｅｔｗｏｒｋ ａｔ ｄｉｆｆｅｒｅｎｔ ｒｉｓｋ ｌｅｖｅｌ ｉｎ ｎｅｔｗｏｒｋ ａｔｔａｃｋ ｅｎｖｉｒｏｎｍｅｎｔ．Ｔｈｅ ｒｅｓｕｈ ｓｈｏｗｓ ｔｈａｔ ＴＶＭＭ ｈａｓ ｈｉｇｈｅｒ ｒｅａｌ—ｔｉｍｅ，ｏｂｊｅｃｔｉｖｉｔｙ ａｎｄ ａｃｃｕｒａｃｙ ｔｈａｎ ｔｈｅ ｔｒａｄｉｔｉｏｎａｌ Ｍａｒｋｏｖ ｍｏｄｅ１． Ｋｅｙ ｗｏｒｄｓ：ｃｏｍｐｕｔｅｒ ａｐｐｌｉｃａｔｉｏｎ；ｔｉｍｅ—ｖａｒｙｉｎｇ Ｍａｒｋｏｖ ｍｏｄｅｌ；ｓｅｃｕｒｉｔｙ ｒｉｓｋ ｐｒｅｄｉｃｔｉｏｎ；ｎｅｔｗｏｒｋ ａｔｔａｃｋ ０ 引言 随着网络技术的广泛应用，其多样性、开放性和 互联性的特点，给网络带来了巨大的风险影响，使得 网络容易受到各种攻击的威胁。如果能够实时准确 性至关重要。 为了能够有效地预测网络安全风险，近年来，研 究人员纷纷对风险预测进行了研究。文献［１］提出 了一种基于免疫的网络安全风险检测模型，通过检 测网络虚拟抗体浓度，在网络系统面临攻击时对其 进行实时风险评估，但该方法仅检测出风险的大小， 的预测网络中的安全风险概率，则对提高网络安全 收稿日期：２０１０—０７—２８ 基金项目：国家自然科学基金资助项目（６０９０３０２７）；南京理工大学自主科研专项计划资助项目（２０１０ＸＱＴＲ０４） 作者简介：刘刚（１９８５一）男，博士。Ｅ－ｍａｉｌ：ｌｉｕｇａｎｇ＿ｎｊ＠１６３．ＣＯＩＴ／； 张宏（１９５６一）男，教授，博导。Ｅ—ｍａｉｌ：ｚｈｈｏｎｇ＠ｍａｉｌ．ｎｊｕｓｔ．ｅｄｕ．ｃｎ 兵 工 学 报 第３３卷 并未能预测出未来的风险发生概率。文献［２］利用 ＢＰ神经网络，结合平均向量相似系数来预测信息交 互风险概率，但由于神经网络结构的选择缺乏理论 指导，而且对大样本数据学习速度慢，故该预测模型 缺乏实时性。文献［３］基于灰色理论提出了一种 Ｐ２Ｐ网络架构下的风险评估预测方法，但该方法存 在明显的系统误差，使得预测的准确性不高。 本文基于马尔可夫模型，摒弃马尔可夫预测对 系统状态转移概率矩阵不随时间变化的假设，提出 了一种新的网络安全攻击实时风险概率预测模型。 ｌ 马尔可夫时变预测模型 定义：马尔可夫链是随机变量 ， ， …的一 个数列。随机变量的范围，被称为“状态空间”。如 果 对于过去状态的条件概率分布仅是 的一 个函数，则 Ｐ（Ｘ ＋ ＝ｉ ＋ ｌ Ｘｌ＝ ｌ，Ｘ２＝ｉ２，…，Ｘ ＝ｉ ）＝ Ｐ（Ｘ…＝ｉ…Ｉ ＝ｉ ）， 这里Ｘ ＝ｉ…为ｔ＋ 时刻过程处于 …状态。 上面这个恒等式可以被看作是马尔可夫性质。 即ｔ＋ 时刻系统状态Ｘ…＝ｉ…的概率分布只与ｔ 时刻的状态有关，与ｔ时刻以前的状态无关。 定义：马尔可夫链模型可表示为（ｓ，Ｐ， ） ，其 中， １）ｓ是系统所有可能的状态所组成的非空的 状态集，即系统的状态空间。如网络的状态空间为 Ｓ＝｛１，２，…，Ⅳ｝其中１表示始态，Ⅳ表示终态。 ２）Ｐ＝［Ｐ （ｔ，ｔ＋ ）］ 是系统的状态转移概 率矩阵，Ｐ （ｔ，ｔ＋ ）＝Ｐ｛ …＝ ｌ ＝ｉ｝，ｉ，＿『∈ｓ表示 系统在时刻ｔ处于状态ｉ，经过后步状态转移处于状 态 的概率。由于链在时刻ｔ从任何一个状态出发， 到另一个时刻ｔ＋ ，必然转移到诸状态中的某一个， ｎ 所以对于任意ｉ Ｅ Ｓ，则有∑Ｐ （ｔ，ｔ＋ ）＝１，０≤ Ｐ （ｔ）≤１，ｉ，Ｊ∈Ｓ． ３）仃＝［７ｒ ７ｒ …７ｒ ］是系统的初始概率分布， ７ｒ，是系统的初始时刻处于状态ｉ的概率，满足 ∑仃。＝１ 对于Ｐ （ｔ，ｔ＋ ）＝Ｐ｛Ｘ ＝ｊ ＪＸ ＝ｉ｝，ｉ， ∈Ｓ，当 ＝１时，称ｐ （ｔ，ｔ＋１）＝ｐ （１）为时刻ｔ的一步状态 转移概率，记，为一步状态转移概率矩阵。 定理：设｛Ｘ ，ｔ＝１，２…ｎ｝是一马尔可夫链，则对 任意的时刻ｕ， ，有 Ｐ （ ＋ ）＝∑Ｐ （ｕ）Ｐ酊（ ），ｉ，ｊ∈Ｓ，（１） 证明：对于固定的时刻ｓ，ｕ， 和状态ｉ，Ｊ，｜ｊ｝，由条 件概率定义和乘法定理，有 Ｐ｛ ＋ ＋ ： ， ＋ ＝ ｌ ＝ｉ｝＝ Ｐ｛ ＋ ＝ ｌＸ ＝ｉ｝Ｘ Ｐ｛ ＋ ＋ ＝＿『Ｉ ＋ ＝ ， ＝ｉ｝＝ Ｐ （Ｈ）Ｐ ，（ ）． （２） 又由于事件组“ ＝ ”，ｊ｝＝１，２，…ｎ构成一 个划分，故有 Ｐ。 （ｕ＋ ）＝Ｐ｛ ＋ ＋ ＝ ：ｉ｝： ∑尸 … ＝ ，Ｘ…＝后ＩＸ，＝ｉ｝， 将（２）式代入上式，定理得证。 （１）式写成矩阵形式 Ｐ ＋ ＝Ｐ Ｐ ． （３） 推论： 步转移概率矩阵是一步转移概率矩阵 的 次方。即Ｐ ＝Ｐ・Ｐ㈦＝Ｐ 证明：利用（３）式，令ｕ＝１， ＝．ｉ｝一１，得递推关 系 Ｐ ＝ＰＰ ｌ＝ＰＰＰ ２＝…＝Ｐ ． 一一记行向量仃（ ）＝［仃。（ ），７ｒ：（后），…，７ｒ （ｋ）］， 其中，仃 （Ｊ｝）表示事件在初始（ ：０）状态为已知的 条件下，经过 次状态转移后，在第 个时刻处于状 态 的概率。且 ∑７ｒｊ（ ）＝１． （４） 根据马尔可夫过程的无后效性、贝叶斯条件概 率公式及推论，有 订（１）＝仃（０）Ｐ ＝仃（０）Ｐ， 仃（２）＝仃（０）Ｐｚ 订（０）Ｐ ， （５） ： 订（ ）＝仃（０）Ｐ ＝仃（０）Ｐ ， 式中：仃（０）＝［７ｒ （０），仃：（０），…，７ｒ （０）］为初始状 态概率向量。Ｐｉ（ｉ＝１，２，…， ）表示系统的ｉ步状 态转移概率矩阵。 从上述推理可以看出，传统的马尔可夫预测模 型是基于假设系统状态转移概率矩阵是不随时间变 化的。然而在许多实际问题中，特别是在网络攻击 环境中，状态的转移概率，是不断发生变化的，因此 本文根据系统状态来实时更新状态转移概率矩阵。 由于状态的转移概率是不断发生变化的，则由 第２期 面向网络实时风险预测的马尔可夫时变模型 １６５ （２）式可得 仃 仃 仃； 仃 １ ２ ３ ＝ ＝ ＝ ： 式中，Ｐ 仅为一个符号，表示ｔ＋１时刻对ｔ时刻状态 仃 仃 仃 仃 ０ １ ２ 转移概率矩阵的更新。（６）式中的Ｐ 并不相等。Ｐ Ｐ Ｐ 一 ， ，、， 由以上分析可知，如果某一事件在第０个时刻 Ｐ 的初始状态已知，即仃（０）已知，则利用递推公式 （６），就可以求得它经过后次状态转移后，在第ｋ个 时刻处于各种可能的状态的概率，即仃（ｋ），从而就 得到该事件在第ｋ个时刻的状态概率预测。因此， ６ 如何确定状态转移概率矩阵Ｐ 是预测的关键。 ２ 基于Ｍａｒｋｏｖ时变预测模型的实时风险 概率预测 网络攻击一般由信息收集阶段、攻击进行阶段、 攻击完成阶段三部分构成，根据攻击的不同阶段，将 网络风险状态划分为：无风险状态 （即网络处于 正常状态）、轻微风险状态 （网络处于被探测状 态）、较严重风险状态 （网络处于被攻击状态）和 严重风险状态 （网络已被攻陷）。这些状态构成 了马尔可夫时变预测模型中的状态空间，即Ｓ＝ ｛ ，￡，，￡ ，￡，｝，则网络的风险状态转移如图１所 示。 图１ 网络风险状态转移 Ｆｉｇ．１ Ｒｉｓｋ ｓｔａｔｅ ｔｒａｎｓｉｔｉｏｎ ｏｆ ｎｅｔｗｏｒｋ 由此可确定网络风险状态转移概率矩阵为 ｐ工ｏ ０ ｐ￡ １ ｐ ：，ＰＬ幽、 ｌ ｐ ＩＬ０ ｐＬ Ｐｌ＝ Ｐ ２，ＰＬＪＬ３ ｌＩ ，・ｔ／ ｐＬ２工ｏ ｐ工２ ｌ ＰＬ２Ｌ２，ＰＬ２ ＩＪ ＰＬ３ ０ ｐ Ｌ１ ＰＬ３￡２，ＰＬ３￡３ 计算状态转移概率矩阵Ｐ。，就是计算从每个状 态转移到其他任何一个状态的状态转移概率。状态 转移概率的计算一般采用频率近似概率的思想进行 计算。 Ｐ ｆ＝ ， （８） ｎ Ｊ 式中：ｎ 从状态ｉ出发，转移到状态 的样本数。 更新状态转移概率矩阵Ｐ 实时迭代的算法下： 第１步：根据以往历史样本数据，利用（７）式、 （８）式计算出初始的状态转移概率矩阵； 第２步：对历史样本数据进行初始化。输入数 据对象集 ，输入指定簇数目Ｎ，并在 中随机选取 Ⅳ个对象作为初始簇中心。设定迭代终止条件，比 如最大循环次数或者簇中心收敛误差容限； 第３步：进行迭代处理。根据相似度准则将数 据对象分配到最接近的簇中心，从而形成一簇。初 始化隶属度矩阵。以每一簇的平均向量作为新的簇 中心，重新分配数据对象； 第４步：反复执行第３步直至满足终止条件； 第５步：当新样本到达时，计算内聚度，得到新 样本所属网络风险状态簇别。结合上一个样本的风 险状态簇别，统计风险状态转移次数。然后回到第 １步重新计算状态转移概率矩阵，来更新。 内聚度计算步骤如下： 第１步：选取欧式距离作为簇划分标准。将新 样本记录看作一个ｒｔ维向量，任意两个１７１维向量ｉ，Ｊ 的距离可以利用欧式距离来计算，设ｄ（ｉ，Ｊ）表示簇 Ｇ中任意两个向量间的距离，即 厂 —————————一 ｄ（ｆ√）＝＾／∑（ 一Ｙｋ） ． 第２步：计算簇的平均距离ＡＶＧ—ｄｉｓ＝ ＾ ｍ ，，ｌ ｄ（ ，‘Ｊ『）和最大距离ＭＡＸ＿ｄｉｓ＝ 。ｍａｘ（ｄ（ｆ，Ｊ））．得到簇的内聚度ｉｎｅｒ（Ｇ）＝ 垒 ：坐 ＡＶＧｄｉｓ‘ —内聚值越大，簇内元素越相似。之后根据状态 转移概率矩阵的计算方法，可得到新的状态转移概 率矩阵。在初始状态概率已知的条件下，利用（６） 式，即得出未来某时刻网络的各个安全风险状态概 率值。 ３ 仿真试验 为了验证实时风险概率预测的马尔可夫时变模 １６６ 兵 工 学 报 第３３卷 型的有效性，本文利用ＫＤＤ ＣＵＰ １９９９数据集 来 做仿真试验。根据文献［６］对数据集中各攻击的具 体描述，根据攻击阶段不同，表１列出了各种攻击阶 段对应的风险等级。 表１ 攻击分类 Ｔａｂ．】 Ａｔｔａｃｋ ｃｌａｓｓｉｆｉｃａｔｉ０ｎ ｂａｃｋ、ｌａｎｄ、 ｇｕｅｓｓ—ｐａｓｓｗｄ、ｐｈｆ、ｂｕｆｆｅｒ ｔｉｐｗｒｉｔｅ、ｒｏｏｔ－ —ｎｅｐｔｕｎｅ、Ｐｏｄ、 ｏｖｅｒｌｆｏｗ、ｉｍａｐ ｌｏａｄ—ｋｉｔ ｓｐｙ ｗａｒｅｚ－ 一ｎｏｒｍａｌ ｓｍｕｒｆ、ｔｅａｒ－ ｍｏｄｕｌｅ，ｍｕｈｉｈｏｐ、ｐｅｒｌ ｃｌｉｅｎｔ、ｗａｒｅｚ— ｄｒｏｐ、ｌｐｓｗｅｅｐ、 ｐｏｒｔｓｗｅｅｐ ｍａｓｔｅｒ ｎｍａｐ、ｓａｔａｎ 由于ＫＤＤ数据集太过庞大，故在ＫＤＤ数据包 选取各攻击阶段的一种攻击数据进行实验。本文所 选取的攻击组合为ｎｏｍａｌ、ｓａｔａｎ、ｇｕｅｓｓ—ｐａｓｓｗｄ和ｒｏ— ｏｔｋｉｔ．根据表１对３８种攻击的分类，实验抽取２％ 的ｎｏｒｍａｌ数据（２ １９２条记录）、全部ｓａｔａｎ数据 （１ ５８９条记录）、全部ｇｕｅｓｓ—ｐａｓｓｗｄ数据（５３条记录） 和全部ｒｏｏｔｋｉｔ数据（１０条记录）作为实验训练数据。 ＫＤＤ ＣＵＰ １９９９数据集中共有４１个定性和定量 属性特征，其中有８个离散属性变量，３３个连续属 性变量。由于该数据集中属性太多，增加了分析的 复杂性，为了减轻分析的负担，提高风险预测效率， 实验中采取主成分分析法，对原有属性进行主成分 提取，降低特征向量维数 。在保证原始数据信息 损失最小的前提下，用较少的属性代替原来较多的 属性但依然能反映原有的大部分信息。 实验中除去了全部字符型属性变量和取值全为 零的属性变量，对剩下的２６个属性进行特征提取， 提取特征值大于１、未经旋转的主成分。表２给出 了主成分分析的结果。 从表２可以看出，前６个主成分的累计贡献率 已达到８１．４３７％，这６个主成分可以基本反映原有 属性所具有的信息，这样既减少了变量的个数，降低 了２０／２６＝７７％的运算量，又便于问题的全面分析 和研究。 主成分分析后，进一步对训练数据分成四个簇 用Ｃ ，Ｃ ，Ｃ，，Ｃ 来表示，分别代表四种安全风险状 态￡。、三。、 ：和 ．图２给出了簇分布情况，表３给 出了簇分析结果，图３给出了簇的分布趋势。 当新样本数据到来时，将新样本数据分别加入 到上述４种簇中，然后根据内聚度的定义，分别计算 各簇的内聚度，比较内聚度数值的大小，内聚度数值 表２ 主成分分析结果 Ｔａｂ．２ Ｔｈｅ ｒｅｓｕｌｔｓ ｏｆ ｐｒｉｎｃｉｐａｌ ｃｏｍｐｏｎｅｎｔ ａｎａｌｙｓｉｓ 图２簇分布情况 Ｆｉｇ．２ Ｃｌｕｓｔｅｒ ｄｉｓｔｉｒｂｕｔｉｏｎ 第２期 面向网络实时风险预测的马尔可夫时变模型 １６７ 表３ 簇分析结果 Ｔａｂ．３ Ｔｈｅ ｒｅｓｕｌｔｓ ｏｆ ｃｌｕｓｔｅｒ ａｎａｌｙｓｉｓ ２５００ ２Ｏ０ｏ 簌１ ５００ （＿ 茎１ ０００ ５０ｏ Ｏ ■簇中样本个数一原始样本个数口正确翠 图３簇分布趋势 Ｆｉｇ．３ Ｃｌｕｓｔｅｒ ｄｉｓｔｒｉｂｕｔｉｏｎ ｔｒｅｎｄｓ 越大，说明新样本与该簇越相似，故可将新样本数据 加入到内聚度最大的簇中。 对训练样本数据中各状态转移的次数进行统 计，即前一时刻状态转移到后一时刻状态的次数，统 计结果如表４所示。 表４状态转移次数统计结果 Ｔａｂ．４ Ｔｈｅ ｎｕｍｂｅｒ ｏｆ ｓｔａｔｅ ｔｒａｎｓｉｔｉｏｎ ｓｔａｔｉｓｔｉｃｓ 利用（８）式计算的各个状态的转移概率，得到 如下初始风险状态转移概率矩阵 ０．９９４ ０８ ０．００５ ４７ ０．０００４５ ０．００５ ６６ ０．９９２ ４５ ０．００１ ８９ Ｐ＝ ０．０５６ ６１ ０．０００ ００ ０．９２４ ５２ ０．１００ ００ ０．０００ ００ ０．０００ Ｏ０ （９） 由于起初网络是处于正常状态，故可认为其初 始状态概率仃（０）＝｛１，０，０，０｝。将仃（０）与（９）式 相乘，可以得到 仃（１）＝仃（０）Ｐ＝ ｛０．９９４ ０８，０．００５ ４７，０．０００ ４５，０．０００ Ｏ０｝ 作为网络当前的状态概率。 实验从ｋｄｄｃｕｐ．ｄａｔａｔ．ｔｘｔ剩余９０％的数据中抽 取部分由ｎｏｒｍａｌ、ｓａｔａｎ、ｇｕｅｓｓ—ｐａｓｓｗｄ和ｒｏｏｔｋｉｔ构成 的样本数据集作为测试样本，分４组进行测试。 时刻 。输入第一组实验测试样本，其由１ ０００ 个ｎｏｒｍａｌ样本数据组成； 时刻 接着输入第二组实验测试样本，由 １ ０００个ｓａｔａｎ样本数据组成； 时刻Ｔ３接着输入第三组实验测试样本，由５Ｏ 个ｇｕｅｓｓ—ｐａｓｓｗｄ样本数据组成； 时刻 最后输入第四组实验测试样本，由１０ 个ｒｏｏｔｋｉｔ样本数据组成。 当每一组新的测试样本到来时，先对样本进行 簇别划分，然后利用风险状态转移概率矩阵的计算 方法，重新计算状态转移概率矩阵。最后利用（６） 式预测未来各风险级别的概率。 表５至表８分别给出了第一组、第二组、第三组 和第四组测试样本的状态转移次数统计。 表５ 第一组测试样本状态转移次数统计结果 Ｔａｂ．５ Ｔｈｅ ｎｕｍｂｅｒ ｏｆ ｓｔａｔｅ ｔｒａｎｓｉｔｉｏｎ ｓｔａｔｉｓｔｉｃｓ ｏｆ ｔｈｅ ｉｆｒｓｔ ｇｒｏｕｐ ｏｆ ｔｅｓｔ ｓａｍｐｌｅｓ 表６ 第二组测试样本状态转移次数统计结果 Ｔａｂ．６ Ｔｈｅ ｎｕｍｂｅｒ ｏｆ ｓｔａｔｅ ｔｒａｎｓｉｔｉｏｎ ｓｔａｔｉｓｔｉｃｓ ｏｆ ｔｈｅ ｓｅｃｏｎｄ ｇｒｏｕｐ ｏｆ ｔｅｓｔ ｓａｍｐｌｅｓ 根据状态转移概率矩阵更新算法，可分别得到 第一组、第二组、第三组和第四组状态转移概率矩 阵： １６８ 兵 工 学 报 第３３卷 表７ 第三组测试样本状态转移次数统计结果 Ｔａｂ．７ Ｔｈｅ ｎｕｍｂｅｒ ｏｆ ｓｔａｔｅ ｔｒａｎｓｉｔｉｏｎ ｓｔａｔｉｓｔｉｃｓ ｏｆ ｔｈｅ ｔｈｉｒｄ ｇｒｏｕｐ ｏｆ ｔｅｓｔ ｓａｍｐｌｅｓ ，，０．９９９ Ｏ０，０．Ｏ０１ Ｏ０，０．０００ ００，０．０００ ００、 ｌ ０．ｌ ２５０ Ｏ０，０．７５０ Ｏ０，０．０００ ００，０．０００ Ｏ０ ｌ ｌ ０．０００ Ｏ０，０．０００ Ｏ０，０．０００ Ｏ０，０．０００ ００ ｌＩ １ ０．０００ ００，０．０００ Ｏ０，０．０００ Ｏ０，０．０００ ００』 ｒ０．０００ ００，１．０００ ００，０．０００ Ｏ０，０．０００ Ｏ０、 Ｉ １０．Ｉ ０００ Ｏ０，１．０００ Ｏ０，０．０００ Ｏ０，０．０００ ００ Ｉ … ｌ ０．０００ Ｏ０，０．０００ Ｏ０，０．０００ Ｏ０，０．０００ ００ ｌｌ １ ０．０００ Ｏ０，０．０００ ００，０．０００ Ｏ０，０．０００ ００ Ｊ ，，０．０００ Ｏ０，０．０００ Ｏ０，０．０００ Ｏ０，０．０００ Ｏ０、 ｌ ０表８ 第四组测试样本状态转移次数统计结果 Ｔａｂ．８ Ｔｈｅ ｎｕｍｂｅｒ ｏｆ ｓｔａｔｅ ｔｒａｎｓｉｔｉｏｎ ｓｔａｔｉｓｔｉｃｓ ｏｆ ｔｈｅ ｆｏｕｒｔｈ ｇｒｏｕｐ ｏｆ ｔｅｓｔ ｓａｍｐｌｅｓ ． ｌ０００ Ｏ０，０．０００ Ｏ０，１．０００ Ｏ０，０．０００ Ｏ０ ｌ ｌＩ ０．０００ ００，０．０２１ ２７。０．９５７ ４６，０．０２１ ２７ ｌｌ ｌ ０．０００ ００，０．０００ Ｏ０，０．０００ Ｏ０，０．０００ Ｏ０ Ｊ ，，０．０００ Ｏ０，０．０００ Ｏ０，０．０００ Ｏ０。０．０００ Ｏ０、 ｌ ０．Ｉ ０００ Ｏ０，０．０００ ００，０．０００ Ｏ０，０．０００ ００ ｌ … Ｉｌ ０．０００ Ｏ０。０．０００ ００。０．０００ ００，１．０００ ００ ｌＩ １ ０．０００ Ｏ０，０．０００ Ｏ０，０．１２５ ００，０．８７５ ００』 表９给出了Ｍａｒｋｏｖ时变模型预测结果，表１０ 给出了传统Ｍａｒｋｏｖ预测结果。 表９ Ｍａｒｋｏｖ时变模型预测结果 Ｔａｂ．９ Ｔｈｅ ｒｅｓｕｌｔｓ ｏｆ Ｍａｒｋｏｖ ｔｉｍｅ－ｖａｒｙｉｎｇ ｍｏｄｅｌ ｐｒｅｄｉｃｔｉｏｎ 第２期 面向网络实时风险预测的马尔可夫时变模型 １６９ １．００００００，０．Ｏ００００Ｏ，０．００００００，０．００００００ ０．９９４０８０，０．００５４７０，ｎ０００４５０，０．００００００ ０．９８８ ２５１，０．０１０ ８６６，ｎ０００ ８７３，０．０００００８ ０００ Ｏ０，０．９２４ ５２，０ ｎ９８２ ５１２，０．０１６ １９０，０．００１ ２７３，０．００００２４ ｎ９７６ ８６１。０．０２１ ４４２，０．００１ ６４９，ｎ００００４５ ０００ Ｏ０，０．０００Ｏ０，０ ００５ ４７，０．０００４５，０ ９９２４５，０．００１ ８９，０ 从实验结果可以看出，基于马尔可夫时变模型 ，，，．。．．．．．．．．．．．．．．．．．．．．． 风险检测方法［Ｊ］．电子学报，２００５，３３（５）：９４５—９４９． ＷＡＮＧ Ｙｉ－Ｆｅｎｇ，ＬＩ Ｔａｏ，ＨＵ Ｘｉａｏ－Ｑｉｎ，ｅｔ ａ１．Ａ ｒｅａｌ—ｔｉｍｅ ｍｅｔｈｏｄ ｏｆ ｒｉｓｋ ｅｖａｌｕａｔｉｏｎ ｂａｓｅｄ ｏｎ ａｒｔｉｉｆｃｉａｌ ｉｍｍｕｎｅ ｓｙｓｔｅｍ ｆｏｒ ｎｅｔｗｏｒｋ ｓｅ－ Ｏ ０ Ｏ Ｏ 预测出的概率向风险等级高的状态转移的速度更 ４ ５ ：∞６ 兮ｍ Ｏ 快。从输入的测试数据可以看出，网络在每一时刻 ∞ ∞ 的测试数据都是同一类型的数据，故网络在每一时 刻的风险状态应依次为 、 ，、 ：和厶．由于马尔 可夫时变模型状态转移概率矩阵是随着样本的加入 Ｏ Ｏ Ｏ Ｏ ｃｕｆｉｔｙ［Ｊ］．Ａｃｔａ Ｅｌｅｃｔｒｏｎｉｃａ Ｓｉｎｉｅａ，２００５，３３（５）：９４５—９４９．（ｉｎ Ｃｈｉｎｅｓｅ） ［２］ 刘芳，蔡志平，肖侬，等．基于神经网络的安全风险概率预测模 型［Ｊ］．计算机科学，２００８，３５（１２）：２８—３３． Ｌ１Ｕ Ｆａｎｇ，ＣＡＩ Ｚｈｉ—ｐｉｎｇ，ＸＩＡＯ Ｎｏｎｇ，ｅｔ ａ１．Ｒｉｓｋ ｐｒｏｂａｂｉｌｉｔｙ ｅ８一 实时更新的，每次得到的网络状态概率也会不断更 新变化，这就使得对风险的预测更加准确客观。仿 Ｏ ０ Ｏ Ｏ Ｏ ０ Ｏ Ｏ １ Ｏ ８ ８ ７ Ｏ ９ Ｏ Ｏ Ｏ ｔｉｍａｔｉｎｇ ｍｏｄｅｌ ｂａｓｅｄ ｏｎ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ［Ｊ］．Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ， ２００８，３５（１２）：２８—３３．（ｉｎ Ｃｈｉｎｅｓｅ） 真实验表明，应用马尔可夫时变模型在 时刻，网 络处于 状态的风险概率最高；在 时刻网络处 、、●●●●●●●●●／ ［３］ Ｌｉｕ Ｘ Ｙ，Ｆｕ Ｃ，Ｙａｎｇ Ｊ Ｄ，ｅｔ ａ１．Ｇｒｅｙ ｍｏｄｅｌ—ｅｎｈａｎｃｅｄ ｒｉｓｋ ａｓ－ ｓｅｓｓｍｅｎｔ ａｎｄ ｐｒｅｄｉｃｔｉｏｎ ｆｏｒ Ｐ２Ｐ ｎｏｄｅｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇ ＦＣＳＴ’０９ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２００９ Ｆｏｕｒｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｆｒｏｎ・ ｔｉｅｒ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ．Ｗａｓｈｉｎｇｔｏｎ：ＩＥＥＥ Ｃｏｍ— ｐｕｔｅｒ Ｓｏｃｉｅｔｙ，２００９． Ｏ Ｏ Ｏ ０ Ｏ 于 。状态的风险概率最高；在 时刻网络处于 ： 状态的风险概率最高；在 时刻网络处于 状态 ８ Ｏ １ ５ ２ ２ ｌ ５ ２ ６ ８ ７ ９ ２ ９ ９ ４ ９ ８ ８ ９ ８ ２ ９ ７ ６ ９ ７ １ 的风险概率最高，预测结果与实际的测试样本相吻 Ｏ Ｏ ０ Ｏ Ｏ 合。而传统马尔可夫预测由于缺乏实时性，导致预 ０ １ Ｏ Ｏ Ｏ ｌ ２ Ｏ ２ Ｏ ５ ０ ６ １ ６ ［４］ 尹清波，张汝波，李雪耀，等．基于线性预测与马尔可夫模型的 测结果与实际偏差较大，准确性较低。 ４ ７ ０ Ｏ ８ ６ ６ ０ ｌ ９ Ｏ Ｏ ４ ４ ２ ０ ６ ２ ５ ０ 入侵检测技术研究［Ｊ］．计算机学报，２００５，２８（５）：９００—９０７． ＹＩＮ Ｑｉｎｇ—ｂｏ，ＺＨＡＮＧ Ｒｕ—ｂｏ，ＬＩ Ｘｕｅ－ｙａｏ，ｅｔ ａ１．Ｒｅｓｅａｒｃｈ ｏｎ ｔｅｃｈｎｏｌｏｇｙ ｏｆ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｂａｓｅｄ ｏｎ ｌｉｎｅａｒ ｐｒｅｄｉｃｔｉｏｎ ａｎｄ ４ 结论 ０ ０ ｌ １ ２ ∞ ∞ ∞ ∞ ４ ５ ８ ７ ２ ７ ６ ５ Ｏ ０ 本文提出了一种面向网络实时风险预测的马尔 Ｏ ０ ４ Ｏ ４ ０ Ｏ ０ ５ Ｏ ｍａｒｋｏｖ ｍｏｄｅｌ［Ｊ］．Ｃｈｉｎｅｓｅ Ｊｏｕｒｎａｌ ｏｆＣｏｍｐｕｔｅｒｓ，２００５，２８（５）： ９００—９０７．（ｉｎ Ｃｈｉｎｅｓｅ） 可夫时变模型，与传统的马尔可夫预测模型相比，该 模型弥补了传统模型中状态转移概率矩阵不随时间 Ｏ ０ Ｏ Ｏ ２ ４ Ｏ ７ Ｏ 变化的不足，通过实时更新状态转移概率矩阵，使得 ０ ９ ４ ６ ３ ∞ ∞ ∞ ∞ ∞ ∞ ∞ ∞ ∞ ［５］ ＫＤＤ９９．ＫＤＤ９９ ｃｕｐ ｄａｔａｓｅｔ［ＤＢ／ＯＬ］．ｈｔｔｐ：／／ｋｄｄ．ｉｃｓ．ｕｅｉ． ｅｄｕ／ｄａｔａｂａｓｅｓ／ｋｄｄｃｕｐ９９，１９９９． ［６］ ＤＡＲＰＡ．Ｔｒａｉｎｉｎｇ ｄａｔａ ａｔｔａｃｋ ｄｅｓｃｒｉｐｔｉｏｎ［ＥＢ／ＯＬ］．ｈｔｔｐ：／／ ＷＷＷ．１１．ｍｉｔ．ｅｄｕ／ｍｉｓｓｉｏｎ／ｅｏｍｍｕｎｉｃａｔｉｏｎｓ／ｉｓｔ／ｅｏｒｐｏｒａ／ｉｄｅｖａｌ／ ｄｏｅｓ／ａｔｔａｃｋｓ．ｈｔｍ１．２００８—０５一ｌ４． 预测结果更加符合实际，更加客观与准确。并利用 ＤＡＲＰＡ的人侵检测数据，结合特征提取，对该模型 进行了仿真实验，实验结果表明该模型具有很好的 可行性和有效性。 参考文献（Ｒｅｆｅｒｅｎｃｅｓ） ［１］ 王益丰，李涛，胡晓勤，等．一种基于人工免疫的网络安全实时 ［７］ 吴枫，仲妍，吴泉源．基于增量核主成分分析的数据流在线分 类框架［Ｊ］．自动化学报，２０１０，３６（４）：５３４—５４２． ＷＵ Ｆｅｎｇ，ＺＨＯＮＧ Ｙａｎ，ＷＵ Ｑｕａｎ－ｙｕａｎ．Ｏｎｌｉｎｅ ｃｌａｓｓｉｉｆｃａｔｉｏｎ ｆｒａｍｅｗｏｒｋ ｆｏｒ ｄａｔａ ｓｔｒｅａｍ ｂａｓｅｄ ｏｎ ｉｎｃｒｅｍｅｎｔａｌ ｋｅｒｎｅｌ ｐｒｉｎｃｉｐａｌ ｃｏｍｐｏｎｅｎｔ ａｎａｌｙｓｉｓ［Ｊ］．Ａｃｔａ Ａｕｔｏｍａｔｉｃａ Ｓｉｎｉｃａ，２０１０，３６（４）： ５３４—５４２．（ｉｎ Ｃｈｉｎｅｓｅ）