九游老哥云
初探网络清静智能决议
2020-07-21
小序
事务响应是企业网络清静团队的主要事情内容之一。清静装备天天会爆发海量告警 ，清静剖析职员需要找出高危告警 ，并对这些告警举行剖析和追踪溯源 ，做出合适的处置惩罚操作。事务响应的重大性和专业性导致了低时效性。在日益重大的网络情形中 ，剖析职员决议效果的合理性也往往存疑。因此凭证目今网络情形做出快速的、合理的决议是每个清静公司需要思索的问题。本文以自动驾驶领域的决议要领做类比 ，先容在网络清静领域做出智能决议的概略蹊径、条件约束和研究问题。
一、配景
网络清静已经逐渐渗透到生涯的方方面面 ，其主要性已逐渐凸显。就现在的网络防御手段而言 ，概略逃不过两种方法 ，一是在软件开发阶段引入种种规范 ，增强系统的清静性 ，镌汰攻击面；二是通过纵深防御的方法在网络的各个层面增强清静性 ，如：加密、会见控制、防火墙、入侵检测等等。然而这种静态的防御方法已经知足不了日益重大的网络情形。
一方面人工防护手段如软件测试、渗透测试、补丁安排、清静事务剖析等等 ，这些手段的时效性较低 ，跟不上攻击者的攻击速率；另一方面企业庞杂的网络情形和装备爆发的海量数据 ，人力已无法详尽剖析 ，做出的决议往往有局限性。因此现代企业需要更高级的防护手段。为相识决上述防护手段的时效性和人力的局限性问题 ，我们提出清静智能决议的看法 ，期望自动化实现事务响应的流程 ，提高时效性 ，并使用大数据剖析的手段对目今网络举行建模剖析 ，做出越发合理的决议。
清静智能决议的目的为凭证目今的网络情形以及历史履历 ，在一准时间内 ，实现对目今事务的响应。
做出决议的历程与对事务的认知息息相关。在认知理论中 ，人的认知系统包括两个子系统 ，如图1所示：子系统1是直觉系统 ，主要认真快读、无意识、非语言的认知 ，好比当人被问到一个问题的时间 ，可能下意识的或者说习惯性的回覆 ，这就属于子系统1的领域 ，深度学习主要就在做子系统1的事情；子系统2是逻辑剖析系统 ，代表认知智能 ，是有意识的、带逻辑、妄想、推理以及可以语言表达的系统 ，人在通过子系统2处置惩罚问题的时间 ，往往要网络相关数据、举行逻辑剖析和推理 ，最终做出决议。
图1、人类认知的两个子系统[3]
切合上述的决议流程且已经落地并逐渐成熟的行业 ，自动驾驶当属一例。图2为典范无人驾驶车辆的系统架构[15] ，从手艺角度看 ，现阶段的单车智能可以简朴的明确为情形感知、决议妄想和控制执行三大�？�。
第一个�？槲樾胃兄？� ，该�？樽魑渌糠值幕� ，是实现自动驾驶的条件条件 ，起着人类驾驶员“眼睛” “耳朵”的作用。感知手艺是使用摄像机、激光雷达、毫米波雷达、超声波等车载传感器 ，以及V2X和5G网络等获取汽车所处的交通情形信息和车辆状态信息等多源信息 ，为自动驾驶汽车的决议妄想举行服务；
第二个�？槲鲆橥肽？� ，该�？樽酆锨樾渭俺敌畔� ，使无人车爆发清静、合理的驾驶行为 ，指导运动控制系统对车辆举行控制 ，行为决议系统是狭义的决议系统 ，其凭证感知层输出的信息合理决议出目今车辆的行为 ，并凭证差别的行为确定轨迹妄想的约束条件 ，指导轨迹妄想�？橥氤龊鲜实穆肪丁⒊邓俚刃畔� ，发送给控制层；
第三�？槲刂浦葱心？� ，该�？槭亲远菔黄敌惺坏幕� ，包括车辆的纵向控制和横向控制。纵向控制 ，即车辆的驱动与制动控制 ，是指通过对油门和制动的协调 ，实现对期望车速的准确追随 ，横向控制 ，即通过偏向盘角度的调解以及轮胎力的控制 ，实现自动驾驶汽车的路径跟踪。不难看出 ，决议妄想�？橥ü诤隙郧樾蔚拿魅贰⒊盗咀陨碜刺南嗍督鲆榘旆ㄒ徊讲狡饰� ，从而最终指导汽车做出合理的行驶行动 ，该�？橐彩翘逑治奕思菔黄抵悄芑慕沟闼�。
图2、典范无人驾驶车辆系统架构
从自动化水平看 ，国际汽车工程师协会（SAE International）将汽车的自动化水中分为6级[1] ，如图2所示：0级代表了所有驾驶操作都是人类认真的车辆；1级包括基础驾驶协助 ，如防抱死制动系统；2级包括高级协助 ，如危害最小化纵向控制（通�；诳刂评砺劾磁趟惚４嫖：Φ淖刺鲚停�；3级代表有条件的自动化 ，须要时间无人车需要人控制；4级体现无人车能在某些情形下可以完全自动化；5级则是完全自动化。凭证自动驾驶公司Momenta的报道[2] ，该公司现在已经实现L4级自动驾驶。
图3、自动驾驶的SAE-J3016分级标准
类比自动驾驶的自动化水平 ，在网络清静领域 ，大宗的清静产品(如蜜罐、IDPS、威胁情报等)极大地提高了我们对清静的感知能力 ，即自动驾驶中的“感知”�？�；另一方面 ，自从2017年Gartner提出一连自顺应危害与信托评估(Continuous Adaptive Risk and Trust Assessment, CARTA）手艺[4]以来 ，CARTA作为新一代网络清静的战略要领而备受瞩目 ，在CARTA手艺框架中 ，很主要的一点就是“自顺应响应” ， SOAR（Security Orchestration ，Automationand Response）在这种配景下被提出 ，通过编写Playbook剧本 ，将古板需要人工举行的响应操作自动化 ，完成了“控制”�？榈墓π�。“感知”和“控制”�？槎加卸杂Φ牟贩浩� ，而“决议”领域的研究还处于初级阶段。
总结来说 ，现在清静产品中已经有SOAR完成“驾驶操作” ，有种种感知产品完成“周边监控” ，只是缺乏智能决议部分对网络防御系统举行“接受” ，暂时可以以为网络清静防御的自动化水平已经或者即将抵达L3水平 ，因此不难堪出结论：L4水平的清静智能决议已初具落地条件。
二、清静智能决议 vs自动驾驶决议
自动驾驶与网络清静领域保存极大的相似性 ，两者关于清静和实时性的要求都较量高 ，同样需要凭证情形和要求的差别做出响应决议。本部分以自动驾驶领域的手艺蹊径为指导 ，探讨清静智能决议的概略框架 ，并且剖析两者的差别。
决议妄想�？椴坏鍪窍衷谧远菔涣煊虻闹悄芑逑� ，也是实现L5级自动驾驶的主要瓶颈。现实上 ，决议妄想�？榈募芄固趵肀谎芯慷嗄� ，差别机构对其剖析也略有差别 ，凭证[16]的总结 ，2000年后的主要机构和公司在决议妄想层上所接纳的架构条理如图4所示 ，不难发明 ，岂论怎样举行分类 ，其架构条理基本切合“战略+战术+操作”的逻辑 ，在本文中 ，我们接纳[10]中所接纳的对决议妄想�？橄噶６鹊幕忠� ，如图5所示 ，这三个条理划分为：
· 全局路径妄想（routeplanning） ，在吸收到一个给定目的地后 ，团结地图信息生玉成局路径。
· 行为决议层（behaviorallayer） ，在接受到全局路径后 ，团结从情形感知�？榛竦玫那樾涡畔ⅲㄆ渌盗� ，行人 ，障碍物和路上的交通规则信息） ，做出详细的行为决议（如变道超车 ，转弯等）。在一些文献中 ，该层有时间也被称为“behavioral planning”
· 运动妄想（motion planning）,凭证详细的行为决议 ，妄想天生知足特定约束条件（如车辆动力学约束、旅客恬静性）的轨迹 ，该轨迹作为控制与执行�？榈氖淙刖鲆槌盗咀钪盏男惺宦肪�。
图4、决议妄想�？榈募芄固趵碜芙�
图5、决议妄想�？榉植鉡10]
总结下来 ，自动驾驶领域中决议功效在领域内被称之为决议妄想�？� ，典范的分类要领将其剖析为3层 ，划分行使在“战略+战术+操作”上的决议 ，详细见图6。
图6、自动驾驶中的决议妄想�？槠饰�
类似于自动驾驶 ，若是将其整体流程看作一种自动化网络防御系统的话 ，其中清静智能决议同样为焦点功效 ，如图7所示 ，清静智能决议需要在对情形感知的基础上 ，如：IDPS感知网络侧威胁 ，EDR感知终端侧威胁 ，威胁情报在云端提供全网威胁感知 ，凭证目今的网络情形 ，确定防护战略 ，最终交由执行�？槿ブ葱邢煊Φ恼铰�。清静智能决议�？橛胪缜樾蔚慕换ツＷ尤缤�8所示。
图7 、清静智能决议与自动驾驶决议关系比照图
图8 ，清静智能决议�？橛胪缜樾蔚慕换ツＷ�
虽然网络清静和自动驾驶两个领域在大偏向上相似 ，可是细节上尚有许多差别的地方 ，这些差别会对清静智能决议的落地爆发较大影响 ，主要有以下几点：
1. 在情形感知上。自动驾驶领域借助人工智能手艺、准确定位手艺 ，已经可以很是准确地捕获车辆自身和周边情形信息 ，而这种精准感知手艺也是做出决议与妄想的主要依据 ，然而在网络清静领域 ，虽然我们有众多的网络防护装备 ，可是对网络情形的视察能力依然保存缺乏 ，清静装备误报漏报的征象依然十分普遍 ，这与清静自己这种“攻防博弈”的实质是分不开的 ，因此从理论上来说 ，该问题无解 ，这对决议提出了较大挑战。
2. 在决议与妄想上。由于攻防博弈的保存 ，网络清静领域的动态性更大 ，随着种种新手艺的兴起 ，如5G、物联网等 ，网络清静的场景越发重大 ，对应的行动空间和状态空间更大 ，使命剖析更为重大和难题 ，这一点同样对决议提出了挑战。
3. 数据收罗上。自动驾驶可以举行大宗模拟接纳数据 ，并且数据的也可以打出明确的标签 ，数据在质量和数目上都有包管 ，可是清静领域中 ，真正的攻击往往少少 ，也缺乏标签 ，真正有质量的数据很难获取 ，数据驱动的方法很难落地。
4. 因此 ，自动驾驶对清静智能决议有一定的借鉴意义 ，但仍需要专业领域内的定制化处置惩罚。
三、清静智能决议功效解耦
3.1名词剖析
作甚清静智能决议？我们将该问题剖析为3个名词“清静”、“智能”和“决议”。
“清静”指的是在网络清静领域 ，因此“清静智能决议”也可称为“网络清静智能决议”。
“智能”这个词很宽泛 ，在网络清静中 ，我们以为智能体现在能够综合各方面的因素 ，给出更周全的判断 ，具备“快速处置惩罚”和“自主学习”这两种能力 ，例如：当一个网络装备爆发告警后 ，可以凭证告警的爆发缘故原由、可能造成的影响、被攻击资产的主要性、攻击者能力等因素周全描绘该告警的危害值 ，进而对该告警举行快速处置惩罚 ，并且学习本次事务的处置惩罚履历。
“决议”现实上与智能科学息息相关 ，参考[17]决议的表述：“智能科学在这两个方面均取 得了长足的前进与生长。一方面 ，以机械学习 ，盘算机视觉和语言为代表的学科分支 ，极大的提高了机械展望与推理的准度与精度 ，提高了思索能力；另一方面 ，以搜索、博弈和强化学习为代表的学科分支 ，以认知与推理为输入举行建模 ，优化智能体的决议 ，从而提高了行动能力” ，我们可以知道机械学习解决认知、推理问题 ，“决议”以这些认知和推理为输入 ，举行行动。
总结来说 ，清静智能决议的界说为：在网络清静场景下 ，对告警或事务举行深入认知和推理 ，综合方面信息的进而接纳响应行动的历程。
3.2清静智能决议整体框架
提出框架之前 ，我们来看看针对清静事务的处置惩罚方法。一样平常来说 ，遇到清静装备爆发的告警后 ，清静职员首先会对告警举行详细的评估 ，判断是否为真正的网络攻击。若是是真正的攻击就要接纳相关的步伐 ，凭证攻击者攻击目的主要水平的差别 ，接纳的响应行动也不尽相同。处置惩罚完目今攻击事务后 ，需要举行攻击溯源 ，找出攻击者和攻击路径 ，并且对受害主机接纳响应的恢复操作。最后 ，会对攻击事务举行纪录总结 ，在防护装备添加对应规则。
上述操作着实就是事务响应的一样平常流程 ，可以看到 ，事务响应现实上可以剖析为两部分：1. 缓解目今攻击造成的损失；
2. 完成事后调解。现实上 ，要做出相对完善的决议 ，关于事务的评估和一定的展望也是很是主要的 ，例如 ，在自动驾驶中 ，做出目今汽车的行动之前 ，还要预判行人和其他汽车的运动轨迹 ，这一点往往是事务响应中缺失的一环。在网络清静中 ，未来状态的影响很是主要 ，许多高级威胁也是在后期实验破损性操作 ，因此 ，关于未来事务的展望或者说潜在危害的评估关于决议来说必不可少。清静智能决议从总体功效上来说基于事务响应却高于事务响应 ，包括事务展望功效。
总结来说 ，清静智能决议包括事务响应的操作详细有：
1. 攻击明确 ，判断攻击正在举行照旧网络已经被攻陷 ，若是是正在举行 ，则需要举行攻击缓解 ，若是网络已经被攻陷 ，如：攻击者正在举行隐私数据回传 ，那么在切断通讯的同时 ，还需要举行攻击溯源 ，找出被熏染的机械 ，修补误差 ，扫除木马；
2. 执行战略 ，凭证攻击明确的效果 ，团结目今网络情形、防御本钱等因素 ，确定最终要执行的行动。
更进一步 ，由于事务响应关于告警的处置惩罚是不完善的 ，事务响应中获得的履历一样平常是牢靠成防护装备的规则 ，可是当这样的履历逐步累加之后 ，攻击模式便可以构建了 ，如MITRE公司提出的ATT&CK模子 ，洛克希德-马丁公司提出的Kill-Chain模子等 ，并且借助深度学习强盛的展望能力 ，针对一些攻击 ，我们可以展望攻击者下一步的攻击方法和攻击目的 ，从而举行自动防御 ，我们将之称为攻击展望。攻击展望和攻击溯源统称为攻击推理 ，其中攻击溯源为前向推理 ，攻击展望为后向推理。
综上所述 ，清静智能决议部分的功效解耦如图10所示 ，其中圆形代表数据�？� ，方形代表功效�？� ，实线代表正向数据流 ，虚线代表反向数据流。
清静智能决议�？槭紫瓤创χ贸头５母婢蚴挛窬傩泄セ髅魅� ，借助已有的知识库相识目今攻击的阶段、严重水一律等 ，借助原始日志和全流量等数据举行攻击溯源 ，获得更多被熏染的机械 ，并且使用提前建设的展望模子 ，展望下一次攻击事务的类型和严重水平 ，通过攻击明确�？� ，可以获取对目今攻击事务的完整描绘 ，包括目今事务、由目今事务引起的其他事务已经未来可能爆发的事务 ，即获得战略层面的信息；
行动决议�？槲展セ髅魅纺？槎阅拷窆セ鞯墓セ髅杌� ，团结目今情形信息、决议目的、决议知识库做出防护战略 ，如：对IP192.168.0.1举行封堵 ，及战术层面的决议；行动执行�？樵蛐枰局は质档幕怠⑼绲雀鱿晗缚尚械牟僮� ，如 ，IP为192.168.0.2的IPS机械对192.168.0.1的DNS报文举行封堵。
最后详细的行动由SOAR来完成 ，完成响应的行动后 ，需要使用一定手段对行动的有用性举行评估 ，评估的效果会影响智能决议�？樽鞒鱿乱徊降木鲆樾卸�。另外整个决议�？槿绦枰种掷嘈偷墓セ髦犊庾鲋С� ，如：ATT&CK模子 ，Kill-Chain模子 ，CVE误差库等等。
图9、清静智能决议功效结构图
值得一提的是 ，要实现上述功效 ，不但需要种种决议算法支持 ，还需要许多外部条件 ，我们把外部条件分为两种：静态外部条件和动态外部条件。静态外部条件包括攻击者的有关知识库和决议知识库 ，凭证MITRE公司的ATT&CK模子 ，攻击者的攻击往往遵从一定的框架 ，所使用的误差也往往被种种误差库所网络 ，这些信息供决议系统对攻击者有系统认知 ，另一方面 ，决议算法需要决议知识库去学习州差别情形下对应的处置惩罚操作 ，而动态外部条件为企业自身所处的情形 ，如：对资产的主要性评估 ，懦弱性评估等 ，这些信息提供决议系统对�；すぞ叩南低橙现�。
3.3焦点决议算法
该部分为上一小节中的行动决议�？� ，决议的基础建设在对攻击的明确能力、自身的懦弱性评估两方面上 ，在某些特定场景下 ，决议的最终目的也可以作为输入的一部分 ，我们称之为“决议目的” ，凭证这些信息 ，我们可以盘算出目今攻击在特定网络中的整体危害 ，团结决议目的和决议知识库 ，行动决议会给出详细的防护战略。
决议算法 ，可简朴可重大 ，随问题的庞洪水平而定 ，由于在网络清静中 ，我们无法做到对情形信息的100%感知 ，总有威胁我们无法发明 ，因此决议算法遇到的最大难题是在保存感知不确定性 ，由于不确定性的保存 ，决议算法往往也是各行各业做出决议的焦点瓶颈所在。决议算法一样平常有如下4类：
l 有限状态机模子
有限状态机模子是决议算法中最常用的模子 ，通过界说差别的状态 ，结构状态之前的转移关系 ，再构建有限的有向联通图将这些状态和转移关系联系起来 ，从而可以凭证状态的迁徙反应式的天生决议行动。
有限状态机模子简朴、易行 ，是无人驾驶领域现在最普遍的行为决议模子 ，可是该类模子忽略了情形的动态性和不确定性 ，就地景特征较多、状态的划分和治理较量重大时 ，往往难以胜任。
l 决议树模子
该模子与状态机模子类似 ，也是通过目今的状态属性值反应式地选择差别的行动 ，差别是该类模子将状态和控制逻辑固化到了树形结构中 ，通过自动向下的“轮询”机制举行战略搜索。该类模子需要针对每个场景界说决议战略 ，当状态空间、行为空间较大时 ，控制逻辑会较量重大 ，同时也无法思量州不确定性因素。
l 基于知识的推理决议模子
基于知识的推理决议模子由“场景特征-行动”之间的映射关系来模拟行为决议历程 ，该类模子将决议知识存储在知识库或者神经网络中 ，决议知识主要体现为规则、案例或场景特征到行动的映射关系 ，该模子通过“盘问”机制从知识库或者训练过的网络结构中推理出决议行动。
该类模子关于先验知识、训练数据的依赖性较大 ，需要对种种决议知识举行全心梳理、治理和更新 ，虽然使用神经网络可以节约部分问题 ，可是弱点也很显着：1.其数据驱动的机制导致对数据依赖性大 ，2.可诠释性差 ，在现实系统中无法举行追溯 ，难以发明问题的基础缘故原由。
l 基于价值的决议模子
凭证最大效用理论 ，基于效用/价值的决议模子的基本头脑是依据选择准则在多个备选计划中选择出最优的行动 ，为了评估每个行动的优劣水平 ，该类模子界说了价值函数 ，凭证某些准则属性定量地评预战略切合使命目的的水平 ，关于网络清静而言 ，这些属性准则可以是清静性、经济本钱、人力本钱等等 ，也可以是组合战略 ，这也是前文所述的“决议目的”的设定缘故原由。
四、已有事情
经由第3小节对清静智能决议功效的剖析可以发明 ，总体上 ，清静智能决议要实现从攻击明确到最终响应战略确定的一整套流程 ，我们整理了一些典范事情供读者参考。
目今事务明确：[5]关联攻击告警 ，将关联效果映射到ATT&CK模子 ，提供对攻击的高层认知。
攻击推理：[6]使用深度学习的要领展望下一步攻击事务 ，[9]通太过析机械上的二进制文件展望下一步可能被攻击的机械 ，[7]对终端数据结构图结构举行攻击路径还原。
有用性评估：[8]一书中涉及到防御行为有用性评估的要领。
行动决议：凭证前一小节的先容 ，行动决议在自动驾驶领域有较多成型算法 ，如基于部分可观马尔可夫历程（POMDP）的行为决议模子[11] ，基于价值函数的行为决议模子[12] ，使用博弈论模子解决多智能体加入的重大情形中的决议问题[13] ，基于深度强化学习的行动天生要领[14]。
五、总结
本文以自动驾驶为例 ，剖析清静智能决议研究的可行性和须要性 ，提出清静智能决议研究的总体框架 ，该框架大部分的研究事情已在同步举行 ，若有兴趣 ，可一连关注九游老哥科技的官方公众平台动态。
参考文献：
[1] 浅谈机械学习在自动驾驶中的应用.https://www.aminer.cn/research_report/5cf6211900eea1f1d521d75d?download=false
[2] Momenta宣布L4级自动驾驶MSD ，两条腿战略雏形形成.https://www.momenta.cn/article/46.html
[3] Yoshua Bengio在NeuIPS 2019的报告.https://drive.google.com/file/d/1zbe_N8TmAEvPiKXmn6yZlRkFehsAUS8Z/view
[4] Gartner 2020年10大战略手艺趋势剖析.https://www.gartner.com/smarterwithgartner/gartner-top-10-strategic-technology-trends-for-2020/
[5] Milajerdi, Sadegh M., et al. "Holmes: real-time apt detection through correlation of suspicious information flows." 2019 IEEE Symposium on Security and Privacy (SP). IEEE, 2019.
[6] Shen, Yun, et al. "Tiresias: Predicting security events through deep learning." Proceedings of the 2018 ACM SIGSAC Conference on Computer and Communications Security. 2018.
[7] Hassan, Wajih Ul, Adam Bates, and Daniel Marino. "Tactical Provenance Analysis for Endpoint Detection and Response Systems." Proceedings of the IEEE Symposium on Security and Privacy. 2020.
[8] Jajodia, Sushil, et al., eds. Adversarial and Uncertain Reasoning for Adaptive Cyber Defense: Control-and Game-theoretic Approaches to Cyber Security. Vol. 11830. Springer Nature, 2019.
[9] Bilge, Leyla, Yufei Han, and Matteo Dell'Amico. "Riskteller: Predicting the risk of cyber incidents." Proceedings of the 2017 ACM SIGSAC Conference on Computer and Communications Security. 2017.
[10] Paden B, Cap M, Yong S Z, et al. A Survey of Motion Planning and Control Techniques for Self-Driving Urban Vehicles[J]. IEEE Transactions on Intelligent Vehicles, 2016, 1(1): 33–55.
[11] Bai, Haoyu, et al. "Intention-aware online POMDP planning for autonomous driving in a crowd." 2015 ieee international conference on robotics and automation (icra). IEEE, 2015.
[12] Wei, Junqing, et al. "A behavioral planning framework for autonomous driving." 2014 IEEE Intelligent Vehicles Symposium Proceedings. IEEE, 2014.
[13] Martin, Andrea. "Interactive Motion Prediction using Game Theory." (2013).
[14] Vitelli, Matt, and Aran Nayebi. Carma: A deep reinforcement learning approach to autonomous driving. Tech. rep. Stanford University, 2016.
[15] 熊璐,康宇宸,张培志,朱辰宇,余卓平. 无人驾驶车辆行为决议系统研究[J]. 汽车手艺,2018(08):1-9.[16] 陈永尚. 智能汽车城区重大交通情景的驾驶行为决议要领研究[D].吉林大学,2019.[17] 唐平中,朱军,俞扬,汤斯亮. 动态不确定条件下的人工智能[J]. 中国科学基金,2018,32(03):266-270.
