基于多源证据的无人装备安全分析对象识别方法及系统

本发明涉及安全分析对象识别，更具体地，涉及一种基于多源证据的无人装备安全分析对象识别方法及系统。

背景技术：

1、无人装备系统正在广泛应用于低空巡检、农业植保、测绘遥感、智能交通、工业作业、应急救援、物流配送、机器人巡检和复杂环境协同等场景。无人装备通常由飞行或运动控制系统、任务控制系统、通信链路、地面站、载荷控制系统、传感器、执行机构、固件模块和上位机软件共同组成。大量相关软件、通信协议和工具链以公开或开源方式持续演进，例如ardupilot、px4、mavlink和pprzlink等项目与协议。

2、在无人装备开源生态中，安全相关信息分散于不同主体和不同载体。一个候选安全分析对象可能同时涉及源代码、头文件、构建脚本、代码提交记录、协议规范、可扩展标记语言（extensible markup language，xml）文件、数据结构描述语言（data structuredescription language，dsdl）文件、接口定义语言（interface definition language，idl）文件、项目文档、官方网站、问题记录、版本发布说明、邮件列表、论坛讨论、安全公告和漏洞记录。协议中的消息定义、消息分发函数、消息处理函数、所属软件模块以及任务、控制、配置、遥测等功能影响关系，通常分布于多个文件和多个公开来源中。

3、现有技术中，安全研究人员通常依赖个人经验手动选择审计对象，例如先确定某个飞控项目、某个协议或某个历史漏洞，再人工查找相应代码、文档和版本记录。该方式高度依赖专家知识，难以系统覆盖无人装备开源生态中的多种项目、协议、仓库和版本，也难以形成可复现、可解释和可持续更新的安全分析对象识别流程。

4、已有的网络安全知识图谱和威胁情报图谱通常关注攻击组织、失陷指标、恶意样本、漏洞编号、攻击行为、资产画像或软件供应链依赖关系。此类图谱虽然能够表达通用安全实体和关系，但较少将无人装备中的协议消息、消息规范、代码仓库、处理函数、软件模块、任务状态、控制执行、配置持久化、遥测接口以及公开证据作为核心对象进行联合建模。

5、此外，通用爬虫或搜索系统通常只能返回网页、文档或代码片段，难以将多源公开信息转化为可验证的结构化证据；通用大语言模型摘要可能产生缺乏原文支撑的推断；通用代码静态分析工具通常要求用户预先选定待分析项目、文件或函数，缺少面向开源生态的前置分析对象识别能力。

6、本技术发明人通过大量的研究与实践发现，现有技术中存在以下几个方面的技术问题：

7、（1）信息来源分散，缺少面向无人装备开源生态的统一组织方式。安全相关信息可能分布在代码仓库、协议文档、项目官网、版本发布说明、问题记录、代码提交记录、漏洞库、论坛、邮件列表和wiki中。现有方案通常仅检索或分析单一来源，难以建立跨来源的关联关系和统一来源追溯记录。

8、（2）现有知识图谱缺少无人装备领域安全语义。通用图谱通常围绕漏洞、攻击、资产、失陷指标或供应链依赖建模，难以表达无人装备特有的协议消息、消息分发函数、消息处理函数、软件模块、任务状态、控制输出、配置持久化、遥测暴露、消息规范和固件实现之间的关系。

9、（3）现有代码分析系统通常假定待分析项目已经由人工选定。静态分析、污点分析、模糊测试和漏洞挖掘工具通常要求用户指定仓库、文件、函数、协议或输入点，无法从多源公开信息中自动识别值得优先分析的项目、协议、版本、消息、函数或模块。

10、（4）通用搜索或关键词匹配容易产生大量低价值结果。仅通过任务、控制、参数、遥测、调试、解析等关键词进行检索，可能命中文档、日志、示例代码和非安全相关文件，难以判断命中内容能否形成“消息类型—消息处理函数—所属软件模块—功能影响对象”的结构化分析路径。

11、（5）协议定义与具体实现之间缺少自动关联。许多协议仅在规范文件中定义消息字段和边界，单独的协议规范不能证明某一消息在具体固件中由哪个函数处理，也不能证明该消息影响任务、控制、配置或遥测功能。

12、因此，需要一种面向无人装备开源生态的技术方案，对多源公开信息进行分层采集和可信追溯，对原始信息资源进行自动识别、解析和证据验证，通过跨信息资源单元关联构建领域知识图谱，从中识别并排序候选安全分析对象，同时在证据不足时给出明确的证据缺口和补充采集方向。

技术实现思路

1、本发明的目的是提供一种基于多源证据的无人装备安全分析对象识别方法及系统，将分散在公开代码仓库、协议规范、项目文档、官方网站、代码提交记录、问题记录、版本发布说明、漏洞记录、论坛、邮件列表和wiki中的多源公开信息组织为可追溯资源库，构建证据约束知识图谱，并自动识别和排序候选安全分析对象。

2、本发明用于在安全研究和审计早期发现需要进一步分析的对象，并为后续静态分析、模糊测试、人工复核、软件在环仿真（software-in-the-loop，sitl）验证或负责任披露流程提供证据链和优先级依据。

3、为了实现上述目的，本发明第一方面提供了一种基于多源证据的无人装备安全分析对象识别方法，包括：

4、对公开信息进行采集与记录；

5、基于记录后的公开信息构建无人装备生态资源库；

6、对生态资源库中的信息资源单元进行识别与分类，得到信息资源单元记录与分类结果；

7、根据分类结果调用解析器或公开信息解析子流程，生成候选证据声明或公开信息支撑信号；

8、对生成的候选证据证明进行验证；

9、基于仓库级静态索引对验证后的证据声明与资源元数据进行关联，得到关联结果，包括结构化关系声明与候选分析路径，其中，仓库级静态索引基于分类结果与验证后的证据声明构建得到；

10、基于验证后的证据声明、资源记录与关联结果构建知识图谱，其中，知识图谱以节点记录、关系边记录和证据关联记录的形式保存；

11、基于知识图谱与来源统计进行多层次安全分析对象识别。

12、在一种实施方式中，基于记录后的公开信息构建无人装备生态资源库，包括：

13、为装备类别、项目、协议和资源建立定位标识，根据定位标识建立装备类别、项目、协议和资源之间的关联；

14、根据文件、网页、记录或内容片段是否能够独立存储或处理，划分信息资源单元，使资源记录与信息资源单元记录之间形成从属关系；

15、根据装备类别、项目、协议和资源之间的关联以及资源记录与信息资源单元记录之间的关系，将记录后的公开信息构建为无人装备生态资源库。

16、在一种实施方式中，根据分类结果调用解析器或公开信息解析子流程，生成候选证据声明或其支撑信号，包括：

17、如果是技术文件，则分派至半结构化解析器，通过半结构化解析器抽取消息、字段、边界、命令、处理函数、模块提示和公开信息支撑信号生成候选证据声明，然后通过项目族适配器针对具有稳定目录、分发结构或模块描述结构的项目族执行关联，得到带来源和置信度的候选证据声明；

18、如果是支撑资料，则分派至公开信息解析子流程生成用于支撑候选声明构造的公开信息支撑信号。

19、在一种实施方式中，仓库级静态索引的构建包括：

20、以代码仓库及其版本或代码提交标识作为索引作用域；

21、将验证后的证据声明与信息资源单元分类结果聚合形成仓库级组合索引，其中，仓库级组合索引包括消息定义子索引、处理函数子索引、模块归属子索引、功能影响信号子索引以及开源情报信号子索引。

22、在一种实施方式中，基于仓库级静态索引对验证后的证据声明与资源元数据进行关联，得到关联结果，包括；

23、基于仓库级组合索引中的各子索引执行跨信息资源单元关联，利用项目标识、协议标识和版本标识连接不同仓库作用域中的相关索引项，形成“消息、命令或协议输入对象—消息处理函数—所属软件模块—功能影响对象”的候选路径；

24、将验证后的证据声明直接支撑的关系作为结构化关系声明。

25、在一种实施方式中，基于验证后的证据声明、资源记录与关联结果构建知识图谱，包括：

26、对每条验证后的证据声明执行实体归一化和关系映射，将验证后的证据声明中的主语和宾语映射为对应类型的图谱节点；

27、将验证后的证据声明中的关系类型映射为节点之间的有向关系边，并使该有向关系边关联对应的经验证证据声明标识、资源标识、信息资源单元标识、原文位置、版本或代码提交标识、证据类型、置信度和验证状态。

28、在一种实施方式中，基于知识图谱与来源统计进行多层次安全分析对象识别，包括：

29、针对每个候选对象，从知识图谱中提取由该候选对象及其预设邻接范围内的相关节点、关系边和证据关联组成的安全分析对象证据上下文子图，用于记录对象相关的结构化路径和边级证据链；

30、在对象证据上下文子图中匹配结构化识别模板，对实现级和功能级候选对象进行识别；

31、对生态级候选对象计算指标并执行阈值或组合规则判定。

32、在一种实施方式中，所述方法还包括：

33、对证据缺口进行分析，生成补充采集计划，并对受影响资源、图谱和排序结果执行增量更新。

34、基于同一发明构思，本发明第二方面提供了一种基于多源证据的无人装备安全分析对象识别系统，包括：

35、多源公开信息采集模块，用于对公开信息进行采集与记录；

36、生态资源库构建模块，用于基于记录后的公开信息构建无人装备生态资源库；

37、信息资源单元识别与处理分派模块，用于对生态资源库中的信息资源单元进行识别与分类，得到信息资源单元记录与分类结果；

38、解析与处理模块，用于根据分类结果调用解析器或公开信息解析子流程，生成候选证据声明或公开信息支撑信号；

39、证据声明验证模块，用于对生成的候选证据证明进行验证；

40、跨信息资源单元关联模块，用于基于仓库级静态索引对验证后的证据声明与资源元数据进行关联，得到关联结果，包括结构化关系声明与候选分析路径，其中，仓库级静态索引基于分类结果与验证后的证据声明构建得到；

41、知识图谱构建模块，用于基于验证后的证据声明、资源记录与关联结果构建知识图谱，其中，知识图谱以节点记录、关系边记录和证据关联记录的形式保存；

42、多层次安全分析对象识别模块，用于基于知识图谱与来源统计进行多层次安全分析对象识别。

43、基于同一发明构思，本发明第三方面提供了一种计算机设备，包括存储器、处理器以及存储在存储器中并可在处理器上运行的计算机程序，所述处理器执行所述程序时，用于实现第一方面所述的基于多源证据的无人装备安全分析对象识别方法。

44、相对于现有技术，本发明的优点和有益的技术效果如下：

45、本发明公开的一种基于多源证据的无人装备安全分析对象识别方法，以能够定位至原始信息资源的证据为约束形成经验证证据声明，基于经验证证据声明恢复跨信息资源单元的结构化分析路径，并在结构化分析路径不完整时识别证据缺口，以驱动补充资源采集、知识图谱更新和安全分析对象重新排序。由于对代码仓库、官方网站、协议规范、项目文档、问题记录、代码提交记录、版本发布说明、漏洞记录、论坛、邮件列表、wiki和本地公开归档进行统一登记和分层组织，因此能够减少安全分析对象识别对单一仓库或单一信息来源的依赖。构建了知识图谱，由于知识图谱同时表达项目、仓库、协议、版本、消息、处理函数、软件模块、任务状态、控制输出、配置持久化、遥测接口和证据来源，因此能够支持生态级、实现级和功能级安全分析对象的统一识别。由于每条图谱关系均绑定资源来源、原文位置、证据类型、置信度和验证状态，因此能够降低无法追溯的关系、纯关键词命中和缺乏原文支撑的推断进入知识图谱的概率。

46、进一步地，通过分层对象识别规则和结构化模板恢复“消息、命令或协议输入对象—消息处理函数—所属软件模块—功能影响对象”路径，因此能够减少普通关键词检索产生的低相关结果，并为后续静态分析、模糊测试和人工审计提供更明确的输入。

47、进一步地，安全分析对象证据包同时包含优先级、结构化分析路径、边级证据链、来源摘要、推荐后续动作和限制说明，因此安全研究人员能够快速复核对象的分析价值及证据充分性。

48、进一步地，当证据不足以形成完整路径时，系统能够指出缺少消息定义、处理函数映射、模块归属、功能影响关系或公开信息支撑，并据此生成补充采集计划，形成“识别—解释—补充采集—更新”的闭环。

49、进一步地，使用代码提交哈希值、资源哈希值、页面更新时间和文件修改时间判断资源变化，因此能够仅对受影响信息资源单元和图谱子图执行增量更新，降低持续维护成本。