面向网络威胁安全事件的智能聚合与可视分析方法研究

Illegal intrusions and viruses are two main sources of cyber threat security incidents. This project will do research on intellectual aggregation and visual analytics for cyber threat security incidents. The main research object is to improve knowledge graphs representation, visual querying and analysis, and intellectual aggregation reasoning. The project will firstly transfer massive, heterogeneous and sparse cyber security data into knowledge graphs representation. Secondly the project will construct an interactive analysis model based on visual querying to extract the features of cyber threat security incidents, according to the temporal-spacial and inner correlation characteristics. Thirdly, the project will design some correlation mining algorithms based on mutil-view correlation and view mapping. Fourthly the project will also set up a visual reasoning model based on adaptive incidents transition graph. The project will update the knowledge graphs as long as the users are using the system, in order to add users' new findings to optimize the mining and reasoning models. Finally, the project will apply all the algorithms to three categories of applications to verify the usability and correctness of the models.

非法入侵和病毒成为网络威胁安全事件的两大来源。本项目将研究面向网络威胁安全事件的智能聚合与可视分析方法，核心目标是从知识图谱表达、可视查询分析、智能聚合推理三方面出发，将海量、异构、稀疏网络安全数据通过知识图谱进行语义表达，同时考虑时空特性和内部关联特性，构建可视查询交互分析模型实现网络安全事件的特征提取；设计基于多视图关联和视图匹配的关联挖掘算法；搭建基于自适应事件转移图计算的可视推理模型。通过动态更新知识图谱机制不断添加分析人员在交互分析过程中获得的新知识，改进挖掘和推理模型。最后，项目通过三类典型分析应用验证以上研究方法的实用性和正确性。

本项目围绕面向网络威胁安全事件的智能聚合与可视分析方法展开研究，从知识图谱表达、可视查询分析、智能聚合推理三方面出发，采用可视化、数据挖掘、统计分析、机器学习、人机交互等方法，将海量、异构、稀疏网络安全数据通过知识图谱进行语义表达，自底向上从数据整合、语义分析、智能聚合三个层次展开。将所有查询分解为一系列原子查询和抽取操作，以实现高层、中层和底层不同语义层实现基于视点的、基于图元的、基于图结构的可视查询。在形式化定义基础上，将高层语义的可视查询任务进行进一步分解，将搜索的实体结果以可视化方式展现出来。通过实体的分布以及实体之间的网络拓扑关系，挖掘网络威胁安全事件静态和动态演化特征。通过一种基于多视图关联和视图匹配的关联挖掘方法，结合维度组织和探索模式，从多变量数据中提取多个层面的数据视图，解析数据视图之间的分布关系，为数据多层面关系的探索和审查提供便利。根据视图匹配得到的事件特征，进一步重建时空轨迹。通过计算信息熵提取事件变化转移特征，对轨迹进行自适应分割。以有向图的方式展示所有事件转移信息，通过可视推理，从不同网络威胁安全事件的活动状态变化中发现大规模安全事件的演化规律。以此分析网络威胁安全事件动态关联、实时演化特征，提高分析人员的推理决策能力。