一种基于事件监听的网元安全联动处置系统的制作方法

本发明涉及节点安全，特别涉及一种基于事件监听的网元安全联动处置系统。

背景技术：

1、随着企业数字化转型的不断深入，网元设备数量激增，安全威胁形态日趋复杂多样，传统网络节点的安全防护方案通常采用单一的安全产品堆叠模式，各安全组件之间缺乏有效的信息共享与协同联动机制，导致安全事件响应效率低下、处置动作碎片化，当网元遭受安全威胁时，现有方案往往依赖于人工分析安全日志并手动执行处置操作，响应速度难以满足日益严峻的安全形势要求。

2、由于现有技术采用中心化决策架构，所有网元事件均需上传云端进行处理，而云端处理能力受网络带宽和计算资源制约，海量网元同时上报事件时易造成拥塞与排队延迟，导致系统响应滞后的缺陷；由于网元侧缺乏自主分析与快速响应能力，已明确的已知威胁仍需等待云端指令方可执行处置，导致无法在边缘侧快速响应已知威胁的缺陷；由于云端智能模型直接输出决策动作，未充分考虑动作执行的不确定性和网元环境差异性，且缺乏有效的安全护栏机制，导致误处置率高；由于系统未根据威胁属性进行合理分层，无法实现边缘与云端的高效协同分工，大量威胁事件依赖人工介入分析与确认，导致人工依赖度大。

3、为此，我们提出了一种基于事件监听的网元安全联动处置系统。

技术实现思路

1、本发明的目的在于提供一种基于事件监听的网元安全联动处置系统，解决了背景技术中目前网元安全防护系统响应滞后、误处置率高、人工依赖度大的问题。

2、为实现上述目的，本发明提供如下技术方案：一种基于事件监听的网元安全联动处置系统，包括集成管理模块和云端平台；

3、所述集成管理模块部署于网元侧，采集核心网元上报事件和普通网元上报事件进行上报事件融合，通过探针接收核心网元上报事件，通过网络旁路监听接收普通网元上报事件，对上报事件融合后，根据上报事件确定异常网元，对于异常网元调用本地预置脚本执行，同时将上报事件上传至云端平台；

4、所述云端平台包括预处理层、分层强化学习决策架构、策略解析与编排模块和安全通道模块；

5、预处理层接收集成管理模块上传的上报事件后，对抗样本检测单元识别并隔离恶意篡改数据，集成学习投票单元进行综合威胁判定并生成全局安全态势视图；

6、分层强化学习决策架构包括高层策略网络和低层动作网络，所述高层策略网络制定宏观处置目标，所述低层动作网络将宏观处置目标转化为原子处置动作序列；

7、策略解析与编排模块将原子处置动作序列映射为原子操作组合，生成处置脚本，经安全通道模块推送至集成管理模块；

8、集成管理模块依据处置脚本执行，并将执行结果反馈至云端平台。

9、进一步地，集成管理模块对核心网元和普通网元上报事件融合时，先基于上报事件时间戳对齐，再基于上报事件唯一标识去重，并根据上报事件类型、源ip和目的端口生成事件关联图，以识别跨通道的同一上报事件。

10、进一步地，所述根据上报事件确定异常网元，对上报事件进行关联分析：调用本地威胁情报库和网元行为基线模型，对融合后的上报事件计算置信度，将置信度大于预设阈值的网元标记为异常网元，并生成异常事件链。

11、进一步地，所述本地预置脚本包括：端口复位脚本、配置修复脚本、服务重启脚本及备用连接切换脚本，集成管理模块根据网元的常见异常来匹配对应的本地预置脚本。

12、进一步地，所述对抗样本检测单元采用对抗性自编码器，对输入的上报事件进行重构误差计算，当重构误差超过预设阈值时判定为恶意篡改数据并隔离。

13、进一步地，所述集成学习投票单元包括多个基分类器，各基分类器分别输出威胁类别概率，通过软投票或硬投票得到综合威胁判定结果，并基于所有网元的综合威胁判定结果,生成全局安全态势视图。

14、进一步地，所述高层策略网络基于全局安全态势视图制定宏观处置目标，低层动作网络将宏观处置目标转化为原子处置动作序列，所述分层强化学习决策架构采用离线预训练与在线微调相结合的双阶段训练框架，离线阶段在高保真数字孪生仿真环境中完成策略网络初始收敛，在线阶段采用近端策略优化算法进行渐进式更新，每次更新的策略变化幅度以kl散度约束于预设阈值以内。

15、进一步地，所述分层强化学习决策架构输出端设有q值安全护栏，q值安全护栏采用蒙特卡洛dropout对低层动作网络输出的每个候选原子处置动作进行不确定性量化，计算q值的置信区间，当q值最高的候选原子处置动作的置信区间宽度超过预设阈值，或q值最高的候选原子处置动作的q值偏离当前输入状态下历史动作q值均值的幅度超过预设标准差倍数时，触发拦截，将决策降级为建议状态并转交人工审核，被拦截决策及人工审核结果记录为经验样本，存入纠正性经验回放池并建立状态与动作匹配缓存，用于后续模型微调时压低被拦截动作q值并抬高人工修正动作q值。

16、进一步地，所述纠正性经验回放池以优先经验回放策略存储人工审核修正后的经验样本，模型在线微调阶段优先采样经验样本进行训练，所述状态与动作匹配缓存先提取被拦截决策的核心状态特征并编码为核心状态特征向量后，与人工修正动作绑定，当再次遇到相似状态特征时优先命中缓存直接输出决策，以实现模型自主决策通过q值安全护栏校验。

17、进一步地，所述安全通道模块包括双向加密认证通道，采用非对称加密和数字签名对处置脚本进行完整性保护，集成管理模块接收到处置脚本后，先验证数字签名，再解析脚本中的原子操作组合并逐项执行，执行结果通过安全通道模块反馈至云端平台，云端平台根据执行结果更新全局安全态势视图。

18、与现有技术相比，本发明的有益效果是：

19、本发明提出的一种基于事件监听的网元安全联动处置系统，现有技术中，网元安全防护系统响应滞后、误处置率高、人工依赖度大，而本发明通过集成管理模块与云端平台的协同架构，网元侧集成管理模块实现多源事件融合、本地预置脚本快速处置，云端平台依托对抗样本检测、集成学习投票和分层强化学习决策架构实现复杂威胁的智能决策，通过q值安全护栏保障决策安全性，最终形成“网元侧快速响应—云端侧智能决策—安全通道保障传输”的联动处置体系，显著提高了系统响应效率和处置准确性，降低了人工依赖度。

1.一种基于事件监听的网元安全联动处置系统，其特征在于，包括集成管理模块和云端平台；

2.根据权利要求1所述的基于事件监听的网元安全联动处置系统，其特征在于：集成管理模块对核心网元和普通网元上报事件融合时，先基于上报事件时间戳对齐，再基于上报事件唯一标识去重，并根据上报事件类型、源ip和目的端口生成事件关联图，以识别跨通道的同一上报事件。

3.根据权利要求1所述的基于事件监听的网元安全联动处置系统，其特征在于：所述根据上报事件确定异常网元，对上报事件进行关联分析：调用本地威胁情报库和网元行为基线模型，对融合后的上报事件计算置信度，将置信度大于预设阈值的网元标记为异常网元，并生成异常事件链。

4.根据权利要求1所述的基于事件监听的网元安全联动处置系统，其特征在于：所述本地预置脚本包括：端口复位脚本、配置修复脚本、服务重启脚本及备用连接切换脚本，集成管理模块根据网元的常见异常来匹配对应的本地预置脚本。

5.根据权利要求1所述的基于事件监听的网元安全联动处置系统，其特征在于：所述对抗样本检测单元采用对抗性自编码器，对输入的上报事件进行重构误差计算，当重构误差超过预设阈值时判定为恶意篡改数据并隔离。

6.根据权利要求1所述的基于事件监听的网元安全联动处置系统，其特征在于：所述集成学习投票单元包括多个基分类器，各基分类器分别输出威胁类别概率，通过软投票或硬投票得到综合威胁判定结果，并基于所有网元的综合威胁判定结果,生成全局安全态势视图。

7.根据权利要求1所述的基于事件监听的网元安全联动处置系统，其特征在于：所述高层策略网络基于全局安全态势视图制定宏观处置目标，低层动作网络将宏观处置目标转化为原子处置动作序列，所述分层强化学习决策架构采用离线预训练与在线微调相结合的双阶段训练框架，离线阶段在高保真数字孪生仿真环境中完成策略网络初始收敛，在线阶段采用近端策略优化算法进行渐进式更新，每次更新的策略变化幅度以kl散度约束于预设阈值以内。

8.根据权利要求7所述的基于事件监听的网元安全联动处置系统，其特征在于：所述分层强化学习决策架构输出端设有q值安全护栏，q值安全护栏采用蒙特卡洛dropout对低层动作网络输出的每个候选原子处置动作进行不确定性量化，计算q值的置信区间，当q值最高的候选原子处置动作的置信区间宽度超过预设阈值，或q值最高的候选原子处置动作的q值偏离当前输入状态下历史动作q值均值的幅度超过预设标准差倍数时，触发拦截，将决策降级为建议状态并转交人工审核，被拦截决策及人工审核结果记录为经验样本，存入纠正性经验回放池并建立状态与动作匹配缓存，用于后续模型微调时压低被拦截动作q值并抬高人工修正动作q值。

9.根据权利要求8所述的基于事件监听的网元安全联动处置系统，其特征在于：所述纠正性经验回放池以优先经验回放策略存储人工审核修正后的经验样本，模型在线微调阶段优先采样经验样本进行训练，所述状态与动作匹配缓存先提取被拦截决策的核心状态特征并编码为核心状态特征向量后，与人工修正动作绑定，当再次遇到相似状态特征时优先命中缓存直接输出决策，以实现模型自主决策通过q值安全护栏校验。

10.根据权利要求1所述的基于事件监听的网元安全联动处置系统，其特征在于：所述安全通道模块包括双向加密认证通道，采用非对称加密和数字签名对处置脚本进行完整性保护，集成管理模块接收到处置脚本后，先验证数字签名，再解析脚本中的原子操作组合并逐项执行，执行结果通过安全通道模块反馈至云端平台，云端平台根据执行结果更新全局安全态势视图。