技术领域
[0001] 本
发明涉及网络安全技术领域，特别是一种基于知识图谱的网络安全态势预测方法及装置。
背景技术
[0002] 随着互联网的普及和因特网技术的飞速发展，网络用户规模随之扩大，在人们享受网络带来的便利时，网络攻击事件的数量也在逐年上升。以入侵检测技术、
防火墙为代表的传统的保护方式已越来越难以满足大型网络的安全防护要求。对网络安全态势进行
风险预测是维护网络安全的关键。
[0003] 知识图谱是显示知识发展
进程与结构关系的一系列各种不同的图形，用
可视化技术描述知识资源及其载体，挖掘、分析、构建、绘制和显示知识及知识间的相互联系。构建网络安全知识图谱以预测网络安全风险是网络安全技术领域的一个重要课题。在通用的网络安全风险预测方法中，主要存在以下两个问题：一是没有能够建立结构化、体系化的
预测模型；二是预测的结果单一化。
发明内容
[0004] 本发明的目的在于至少解决
现有技术中存在的技术问题之一，提供一种基于知识图谱的网络安全态势预测方法及装置。
[0005] 本发明解决其问题所采用的技术方案是：
[0006] 本发明的第一方面，提供了一种基于知识图谱的网络安全态势预测方法，包括以下步骤：
[0007] 从多模态的网络安全数据
抽取安全知识构建
基础知识库，其中所述安全知识包括实体、实体间关系和实体属性；
[0008] 对安全知识进行知识融合；
[0009] 对安全知识进行知识加工得到扩展知识库；
[0010] 根据扩展知识库构建
马尔科夫随机场，对网络安全风险态势进行预测。
[0011] 根据本发明的第一方面，所述从多模态的网络安全数据抽取安全知识包括以下步骤：
[0012] 将多模态的网络安全数据转化为文本数据；
[0014] 抽取实体；
[0015] 抽取实体间关系；
[0016] 抽取实体属性。
[0017] 根据本发明的第一方面，所述实体包含实体指称项，所述对安全知识进行知识融合包括：
[0018] 实体链接和知识合并；
[0019] 所述实体链接包括以下步骤：
[0020] 根据实体指称项进行实体消歧；
[0022] 将基础知识库中具有相同含义的不同实体链接起来；
[0023] 所述知识合并包括以下步骤：
[0024] 合并外部知识库；
[0026] 根据本发明的第一方面，所述对安全知识进行知识加工得到扩展知识库包括以下步骤：
[0027] 根据实体构建本体库；
[0028] 根据实体间关系重新推理建立新联系；
[0029] 根据由网络安全业务需求定义的
质量评估函数对实体的
置信度量化并删除置信度低的实体。
[0030] 根据本发明的第一方面，所述根据扩展知识库构建马尔科夫随机场，对网络安全风险态势进行预测包括以下步骤：
[0031] 根据扩展知识库构建马尔科夫随机场；
[0033] 计算网络安全事件发生的概率，如下： 其中，C表示最大团块，xC表示团块C中变量的集合，ψC(xC)为马尔科夫随机场的最大团块的势函数，Z为划分函数。
[0034] 上述基于知识图谱的网络安全态势预测方法至少具有以下的有益效果：结合知识图谱提供了体系化、结构化的网络安全知识库，同时联合马尔科夫随机场，使得网络安全风险预测准确率更高，效率更高，为网络安全提供进一步的保障。
[0035] 本发明的第二方面，提供了一种基于知识图谱的网络安全态势预测装置，包括：
[0036] 知识抽取器，用于从多模态的网络安全数据抽取安全知识构建基础知识库，其中所述安全知识包括实体、实体间关系和实体属性；
[0037] 知识融合器，用于对安全知识进行知识融合；
[0038] 知识加工器，对安全知识进行知识加工得到扩展知识库；
[0039] 安全预测器，用于根据扩展知识库构建马尔科夫随机场，对网络安全风险态势进行预测。
[0040] 根据本发明的第二方面，所述知识抽取器包括：
[0041] 文本转化器，用于将多模态的网络安全数据转化为文本数据；
[0042] 标注器，用于将文本数据进行分词和词性标注；
[0043] 第一子抽取器，用于抽取实体；
[0044] 第二子抽取器，用于抽取实体间关系；
[0045] 第三子抽取器，用于抽取实体属性。
[0046] 根据本发明的第二方面，所述实体包含实体指称项，所述知识融合器包括：实体链接器和知识合并器；
[0047] 所述实体链接器包括：
[0048] 实体消歧器，用于根据实体指称项进行实体消歧；
[0049] 共指消解器，用于根据实体指称项进行共指消解；
[0050] 子链接器，用于将基础知识库中具有相同含义的不同实体链接起来；
[0051] 所述知识合并器包括：
[0052] 第一子合并器，用于合并外部知识库；
[0053] 第二子合并器，用于合并关系数据库。
[0054] 根据本发明的第二方面，所述知识加工器包括：
[0055] 本体库构建器，用于根据实体构建本体库；
[0056] 推理器，用于根据实体间关系重新推理建立新联系；
[0057] 置信度计算器，用于根据由网络安全业务需求定义的质量评估函数对实体的置信度量化并删除置信度低的实体。
[0058] 根据本发明的第二方面，所述安全预测器包括：
[0059] 随机场构建器，用于根据扩展知识库构建马尔科夫随机场；
[0060] 团块获取器，用于根据马尔科夫随机场得到最大团块；
[0061] 概率计算器，用于计算网络安全事件发生的概率，如下：其中，C表示最大团块，xC表示团块C中变量的集合，ψC(xC)为马尔科夫随机场的最大团块的势函数，Z为划分函数。
[0062] 上述基于知识图谱的网络安全态势预测装置至少具有以下的有益效果：结合知识图谱提供了体系化、结构化的网络安全知识库，同时联合马尔科夫随机场，使得网络安全风险预测准确率更高，效率更高，为网络安全提供进一步的保障。
附图说明
[0063] 下面结合附图和实例对本发明作进一步说明。
[0064] 图1是本发明
实施例一种基于知识图谱的网络安全态势预测方法的
流程图；
[0065] 图2是步骤S100的流程图；
[0066] 图3是步骤S200的流程图；
[0067] 图4是步骤S300的流程图；
[0068] 图5是步骤S400的流程图；
[0069] 图6是本发明实施例一种基于知识图谱的网络安全态势预测装置的结构图。
具体实施方式
[0070] 本部分将详细描述本发明的具体实施例，本发明之较佳实施例在附图中示出，附图的作用在于用图形补充
说明书文字部分的描述，使人能够直观地、形象地理解本发明的每个技术特征和整体技术方案，但其不能理解为对本发明保护范围的限制。
[0071] 参照图1，本发明的一个实施例提供了，一种基于知识图谱的网络安全态势预测方法，包括以下步骤：
[0072] 步骤S100、从多模态的网络安全数据抽取安全知识构建基础知识库，其中所述安全知识包括实体、实体间关系和实体属性；
[0073] 步骤S200、对安全知识进行知识融合；
[0074] 步骤S300、对安全知识进行知识加工得到扩展知识库；
[0075] 步骤S400、根据扩展知识库构建马尔科夫随机场，对网络安全风险态势进行预测。
[0076] 进一步，步骤S100包括以下步骤：
[0077] 步骤S110、将多模态的网络安全数据转化为文本数据；文本数据更有利于安全知识的提取。
[0078] 步骤S120、将文本数据进行分词和词性标注；该步骤进一步提高提取效率。
[0079] 步骤S130、抽取实体；该步骤是从文本数据中自动识别出实体。具体采用一种面向开放域的
无监督学习算法，即事先并不给出实体分类，而是基于实体的语义特征从搜索日志中识别出实体，然后采用
聚类算法对识别出的实体对象进行聚类。
[0080] 步骤S140、抽取实体间关系；该步骤从相关文本数据中提取出实体间关系，通过实体间关系将实体联系起来，形成网状的知识结构。
[0081] 步骤S150、抽取实体属性；该步骤从相关文本数据中提取信息，对实体属性进行完整描述。
[0082] 在步骤S100中，从多模态的网络安全数据中提取出实体、实体间关系以及实体属性，在此基础上能形成本体化的知识表达。
[0083] 进一步，所述实体包含实体指称项，步骤S200包括以下步骤：
[0084] 步骤S210、实体链接和步骤S220、知识合并；
[0085] 步骤S210包括以下步骤：
[0086] 步骤S211、根据实体指称项进行实体消歧；该步骤中，实体消歧是用于解决同名实体产生歧义问题的技术。通过实体消歧，就可以根据当前的文本数据，准确建立实体链接。具体采用聚类法实现实体消歧。聚类法是指以实体对象为聚类中心，将所有指向同一目标实体对象的指称项聚集到以该对象为中心的类别下。
[0087] 步骤S212、根据实体指称项进行共指消解；在该步骤中，共指消解技术主要用于解决多个指称项对应于同一实体对象的问题。通过共指消解，可以将实体指称项关联到正确的实体对象。
[0088] 步骤S213、将基础知识库中具有相同含义的不同实体链接起来。
[0089] 在步骤S210中，根据给定的实体指称项，从知识库中选出一组候选实体对象，然后通过相似度计算将指称项链接到正确的实体对象。
[0090] 步骤S220包括以下步骤：
[0091] 步骤S221、合并外部知识库；在该步骤中，外部知识库为第三方安全知识库产品或者已有结构化数据获取的知识输入，通过合并外部知识库能进一步完善知识图谱的数据；
[0092] 步骤S222、合并关系数据库；在该步骤中，通过合并已有的网络安全关系数据库，进一步完善知识图谱，其实质是将关系数据库的数据转换成RDF形式的三元组数据。
[0093] 在步骤S220中，通过安全知识的抽取，实现了从非结构化和半结构化数据中获取实体、实体间关系以及实体
属性信息的目标。然而，这些结果中包含大量的冗余和错误信息，数据之间的关系也是扁平化的，缺乏层次性和逻辑性，因此有必要对其进行清理和整合。通过知识融合，可以消除实体的歧义，剔除冗余和错误概念，从而确保安全知识的质量。
[0094] 进一步，步骤S300包括以下步骤：
[0095] 步骤S310、根据实体构建本体库；在该步骤中，本体库的本体是树状结构，使相邻层次的实体间之间具有严格的IsA关系，IsA关系有助于知识推理。本体库以数据驱动的方式自动构建，然后采用算法评估和人工审核相结合的方式加以修正和确认。
[0096] 步骤S320、根据实体间关系重新推理建立新联系；在该步骤中，从知识库中已有的实体间关系出发，经过计算机推理，建立实体间的新关联，从而拓展和丰富知识网络。知识推理是知识图谱构建的重要手段和关键环节，通过知识推理，能够从现有知识中发现新的知识。
[0097] 步骤S330、根据由网络安全业务需求定义的质量评估函数对实体的置信度量化并删除置信度低的实体；在该步骤中，先采用人工标注方式对1000个实体关系三元组进行标注，并以此作为训练集得到回归模型用于对安全信息抽取结果计算置信度，进一步保障了知识库的质量。
[0098] 进一步，步骤S400包括以下步骤：
[0099] 步骤S410、根据扩展知识库构建马尔科夫随机场；在该步骤中，实体间关系的推理转化为马尔科夫随机场概率图的边，实体间关系转化为马尔科夫随机场概率图的
节点。
[0100] 步骤S420、根据马尔科夫随机场得到最大团块；
[0101] 步骤S430、计算网络安全事件发生的概率，如下： 其中，C表示最大团块，xC表示团块C中变量的集合，ψC(xC)为马尔科夫随机场的最大团块的势函数，Z为划分函数。
[0102] 在该实施例中，结合知识图谱提供了体系化、结构化的网络安全知识库，同时联合马尔科夫随机场，使得网络安全风险预测准确率更高，效率更高，为网络安全提供进一步的保障。
[0103] 本发明的另一个实施例，提供了一种基于知识图谱的网络安全态势预测装置，包括：
[0104] 知识抽取器10，用于从多模态的网络安全数据抽取安全知识构建基础知识库，其中所述安全知识包括实体、实体间关系和实体属性；
[0105] 知识融合器20，用于对安全知识进行知识融合；
[0106] 知识加工器30，对安全知识进行知识加工得到扩展知识库；
[0107] 安全预测器40，用于根据扩展知识库构建马尔科夫随机场，对网络安全风险态势进行预测。
[0108] 在该实施例中，该基于知识图谱的网络安全态势预测装置应用了上述的网络安全态势预测方法，构建了体系化、结构化的网络安全知识库，同时联合马尔科夫随机场，提高了网络安全风险预测的准确率和效率。
[0109] 进一步，所述知识抽取器10包括：
[0110] 文本转化器11，用于将多模态的网络安全数据转化为文本数据；
[0111] 标注器12，用于将文本数据进行分词和词性标注；
[0112] 第一子抽取器13，用于抽取实体；
[0113] 第二子抽取器14，用于抽取实体间关系；
[0114] 第三子抽取器15，用于抽取实体属性。
[0115] 进一步，所述实体包含实体指称项，所述知识融合器20包括：实体链接器21和知识合并器22；
[0116] 所述实体链接器21包括：
[0117] 实体消歧器211，用于根据实体指称项进行实体消歧；
[0118] 共指消解器212，用于根据实体指称项进行共指消解；
[0119] 子链接器213，用于将基础知识库中具有相同含义的不同实体链接起来；
[0120] 所述知识合并器22包括：
[0121] 第一子合并器221，用于合并外部知识库；
[0122] 第二子合并器222，用于合并关系数据库。
[0123] 根据本发明的第二方面，所述知识加工器30包括：
[0124] 本体库构建器31，用于根据实体构建本体库；
[0125] 推理器32，用于根据实体间关系重新推理建立新联系；
[0126] 置信度计算器33，用于根据由网络安全业务需求定义的质量评估函数对实体的置信度量化并删除置信度低的实体。
[0127] 进一步，所述安全预测器40包括：
[0128] 随机场构建器41，用于根据扩展知识库构建马尔科夫随机场；
[0129] 团块获取器42，用于根据马尔科夫随机场得到最大团块；
[0130] 概 率计 算 器 4 3 ，用 于 计算 网 络 安全 事 件发 生 的 概 率 ，如 下 ：其中，C表示最大团块，xC表示团块C中变量的集合，ψc(xC)为马尔
科夫随机场的最大团块的势函数，Z为划分函数。
[0131] 本发明的另一个实施例，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机可执行指令，所述计算机可执行指令用于使计算机执行如上述的一种基于知识图谱的网络安全态势预测方法。该计算机可读存储介质也应当属于本发明的保护范围内。
[0132] 以上所述，只是本发明的较佳实施例而已，本发明并不局限于上述实施方式，只要其以相同的手段达到本发明的技术效果，都应属于本发明的保护范围。
