数字化领航｜机器学习，态势感知系统的新利器

【发布时间：2018-06-05】

人工智能已成新一轮产业变革的核心驱动力。面对日益高级和复杂的攻击手段，把机器学习应用到态势感知系统中，构建更加智能的网络安全主动防御体系十分必要。

有机器学习，这个“安全大脑”不一样

对态势感知系统这个“安全大脑”而言，机器学习具有广泛的应用价值。在海量数据分析、未知威胁发现、潜在风险预测和自适应联动响应等方向上，机器学习均可发挥积极作用。基于机器学习打造的态势感知系统模型，能够有效地完成不同源头数据的格式统一、冗余及噪声数据的去除、各类业务模型的训练和结果输出，以及对分析输出结果的量化评估。

图1 基于机器学习的态势感知系统框架

解读海量数据，抽取有用信息

在网络安全领域，我们将每个网络行为视作一个样本点，而每个样本点的特征属性都不一样。有了机器学习技术的帮助，态势感知系统可以从海量数据中寻找有用信息，提取和变换出各种安全特征属性。随后，系统将聚焦其中更具价值的特征属性进行深入的机器学习，并选择合适高效的机器学习算法建立分类/聚类模型，利用模型完成具体的安全应用。

业务模型各显其能，算法、平台强力支撑

目前，基于机器学习的态势感知系统建立了三大业务模型，包括精准估算目标威胁程度的威胁发现模型，预测准确率可达90%以上的风险预测模型，以及在知识库和策略库的支撑下，利用基于案例的推理方法，自适应生成和调整控制策略的联动响应模型。

图2 大数据机器学习平台框架

不同的业务逻辑需要不同的业务模型来应对，各种业务模型背后则有降维、聚类、分类、回归和关联规则等丰富的机器学习算法进行支撑。此外，为打造大规模、并行化的机器学习处理能力，我们采用Spark 异构云作为实现平台，将MLLib与Spark环境整合起来，构建出一个性能强劲、支持多类别机器学习算法的大数据机器学习平台。

“云网端”协同，构筑强大“云安全”体系

机器学习在态势感知系统中的应用，促成了一系列技术突破。我们可以将各设备的安全数据上传至云端平台，找到此前靠本地数据很难发现的APT攻击；我们可以追踪攻击者留下的线索，实现对威胁过程的可视化溯源追踪；我们可以通过多维度行为特征进行用户画像，摆脱依靠主机IP无法及时识别异常威胁的痼疾。同时，在云端上应用机器学习技术，更打破了各种防护产品的“安全孤岛”状态，实现云化防护。借助“云网端”协同效应和实时、智能、敏捷、可运维的“云安全”体系，企业的整体防护能力必将全面增强，从而更好地应对网络安全威胁。