一种基于GAN-EC的复杂网络威胁推演方法及系统与流程

本发明涉及网络安全，具体涉及一种基于gan-ec的复杂网络威胁推演方法及系统。

背景技术：

1、随着电力调度自动化系统、变电站通信网络、配电自动化网络及工业控制网络的互联程度不断提高，网络结构和通信行为日益复杂，针对电力及工控网络的攻击方式也逐渐由单一、固定的攻击模式向协议伪装、载荷变异、攻击步骤组合及动态演化方向发展。为提高对网络威胁的识别和推演能力，现有技术通常采集防火墙、入侵防护设备、调度自动化系统、变电站通信网络或工业控制网络中的流量数据，并对所采集的流量数据进行流量切分、类别标注、匿名化、特征提取、降维和标准化等处理，再结合规则知识库、攻击图、统计学习模型、卷积神经网络、循环神经网络、自动编码器或生成对抗网络，对网络流量中的攻击行为、异常通信模式和潜在攻击变体进行识别、建模或推演。

2、基于规则知识库或攻击图的威胁推演方法通常根据已知漏洞、攻击行为和预先设定的攻击路径构建威胁场景，能够对已经发生或已被定义的攻击过程进行描述和复现。基于机器学习或深度学习的威胁检测方法则通过学习历史正常流量和恶意流量之间的特征差异，建立网络流量分类或异常检测模型。部分现有技术还采用生成对抗网络对恶意流量样本进行扩充，以改善攻击样本数量不足或类别分布不均衡的问题。

3、然而，在复杂电力网络及工业控制网络中，攻击者可能通过改变载荷组织方式、协议字段组合、报文发送顺序或攻击步骤组合产生新的攻击变体。基于已知样本、既定规则或预设攻击路径构建的模型，其威胁识别范围通常受已有攻击样本和先验知识限制，难以主动形成训练样本之外的潜在攻击形态。当真实攻击样本数量有限、类别分布不均衡或攻击行为持续变化时，现有模型对未知攻击和多态攻击变体的覆盖能力仍有不足。

4、生成对抗网络虽然能够通过学习恶意流量的数据分布生成新的流量样本，但常规生成对抗训练容易受到初始样本分布和局部优化过程的影响，可能出现训练不稳定、模式坍缩或生成样本重复度较高等情况。同时，网络流量不仅包含统计特征，还受到通信协议字段取值、字段间依赖关系、协议状态迁移关系以及业务报文时序关系的约束。若生成过程主要以数据分布相似性作为优化目标，生成的流量样本可能在统计特征上接近真实恶意流量，但不符合实际通信协议的报文结构、状态迁移规则或业务交互逻辑，导致所生成样本难以有效表征可在目标网络中发生的威胁变体。

5、此外，现有网络威胁检测或推演模型通常采用固定的模型结构、参数配置或单一梯度优化方式。对于高维、非线性且包含多种约束关系的网络流量数据，单一优化过程容易受初始参数和局部最优解影响，难以同时兼顾对威胁变体的检出能力、正常业务流量的误报控制能力以及模型对扰动样本的稳定性。

6、在实际运行过程中，电力及工控网络中的正常流量还会随运行方式、设备状态、通信拓扑、业务周期和负载水平变化而发生分布漂移。正常业务流量的变化可能导致既有威胁发现模型的决策边界与当前网络状态不再匹配，进而引起误报率升高或漏报率增加。现有模型若不能根据当前正常流量状态对模型评价参数和更新过程进行适应性调整，便难以区分由正常业务变化引起的流量分布变化和由攻击演化引起的异常变化，影响威胁推演结果的准确性和持续有效性。

7、因此，如何在通信协议约束下生成具有多样性和可用性的威胁变体样本，并在考虑正常业务流量分布变化的基础上，对威胁发现模型进行自适应评价和进化更新，是复杂网络威胁动态推演过程中有待解决的技术问题。

技术实现思路

1、本发明要解决的技术问题是：现有复杂网络威胁推演方法依赖已知攻击样本和预设规则，难以覆盖未知攻击及多态攻击变体，以及现有生成式方法生成的威胁变体容易出现多样性不足、协议合规性较差，且威胁发现模型难以适应正常业务流量分布漂移和攻击策略持续演化，提供一种基于进化计算的复杂网络威胁动态推演方法及系统，以在通信协议约束下生成具有多样性和协议合规性的威胁变体，并根据威胁变体检测结果和正常业务流量的分布漂移情况，对威胁发现模型种群进行自适应评价和进化更新，从而提高对未知攻击和动态演化威胁的推演及发现能力。

2、本发明通过下述技术方案实现：

3、一种基于gan-ec的复杂网络威胁推演方法，包括：

4、获取目标复杂网络的历史网络流量和当前网络流量，对所述历史网络流量进行流量切分、类别标注、匿名化和尺寸标准化处理，得到正常流量样本和恶意流量样本；

5、根据所述目标复杂网络采用的通信协议，确定通信协议字段约束、业务逻辑约束和流量统计分布约束，构建协议约束信息；

6、将所述恶意流量样本和所述协议约束信息输入威胁变体生成模型，通过所述威胁变体生成模型生成候选威胁变体，并根据所述协议约束信息对所述候选威胁变体进行协议合规性约束，得到满足所述通信协议的威胁变体样本；

7、构建包括多个威胁发现模型个体的威胁发现模型种群，利用所述恶意流量样本和威胁变体样本分别对各威胁发现模型个体进行训练和检测测试，基于各所述威胁发现模型个体对所述威胁变体样本的检测结果，确定对应的初始适应度；

8、基于所述正常流量样本确定正常业务基准分布，提取所述当前网络流量相对于所述正常业务基准分布的分布漂移表征，并根据所述分布漂移表征对所述初始适应度对应的适应度评价参数进行调整，得到各威胁发现模型个体的目标适应度；

9、根据所述目标适应度对所述威胁发现模型种群中的威胁发现模型个体执行选择、交叉和变异操作，得到更新后的威胁发现模型种群，并利用所述威胁变体生成模型生成的新增威胁变体样本对更新后的威胁发现模型种群进行迭代训练；

10、在满足预设迭代终止条件时，从更新后的威胁发现模型种群中选取目标适应度满足预设要求的威胁发现模型，基于所述威胁发现模型对所述目标复杂网络中的潜在威胁进行识别，并根据识别结果输出对应的威胁推演结果。

11、更进一步的，根据所述目标复杂网络采用的通信协议，确定通信协议字段约束、业务逻辑约束和流量统计分布约束，构建协议约束信息，包括：

12、解析所述通信协议的报文结构，确定各协议字段的字段类型、字段长度、允许取值范围及字段间关联关系，得到通信协议字段约束；

13、根据所述通信协议对应的协议状态和业务交互规则，确定不同协议报文之间的状态关联关系和业务交互关系，得到业务逻辑约束；

14、根据真实恶意流量样本中的报文长度、功能码分布、载荷统计特征和数据包到达时间间隔，确定流量统计分布约束；

15、对所述通信协议字段约束、业务逻辑约束和流量统计分布约束进行编码，得到所述协议约束信息。

16、更进一步的，将所述恶意流量样本和所述协议约束信息输入威胁变体生成模型，通过所述威胁变体生成模型生成候选威胁变体，并根据所述协议约束信息对所述候选威胁变体进行协议合规性约束，得到满足所述通信协议的威胁变体样本，包括：

17、从潜在空间中采样噪声向量，将所述噪声向量和所述协议约束向量输入所述威胁变体生成模型，得到候选威胁变体；

18、根据所述候选威胁变体、真实恶意流量样本和所述协议约束向量，按照如下公式确定生成器总损失：

19、；

20、其中，表示所述生成器总损失，表示所述噪声向量，表示潜在噪声分布，表示所述协议约束向量，表示所述威胁变体生成模型基于所述噪声向量和所述协议约束向量生成的候选威胁变体，表示判别器，表示协议特征提取算子，表示所述真实恶意流量样本，表示平衡生成真实性和协议合规性的超参数；

21、基于所述生成器总损失更新所述威胁变体生成模型，使所述候选威胁变体满足通信协议字段约束、业务逻辑约束和流量统计分布约束，得到所述威胁变体样本。

22、更进一步的，构建包括多个威胁发现模型个体的威胁发现模型种群，包括：

23、将多个威胁发现模型的模型参数分别编码为候选解，将各所述候选解作为对应的威胁发现模型个体，并由多个所述威胁发现模型个体构成所述威胁发现模型种群；

24、基于各所述威胁发现模型个体对所述威胁变体样本的检测结果，确定对应的初始适应度，包括：

25、分别确定第i个威胁发现模型个体对所述威胁变体样本的召回率、误报率以及在预设扰动强度的对抗样本下的预测稳定性；

26、按照如下公式确定第i个威胁发现模型个体的初始适应度：

27、；

28、其中，表示第i个威胁发现模型个体的初始适应度，表示第i个威胁发现模型个体，表示第i个威胁发现模型个体对所述威胁变体样本的召回率，表示第i个威胁发现模型个体对正常流量样本的误报率，表示第i个威胁发现模型个体在扰动强度为的对抗样本下的预测稳定性，、和分别表示对应的权重系数。

29、更进一步的，根据所述目标适应度对所述威胁发现模型种群中的威胁发现模型个体执行选择、交叉和变异操作，包括：

30、按照各所述威胁发现模型个体的目标适应度进行排序，并采用锦标赛选择方式从所述威胁发现模型种群中选取两个父代模型个体；

31、获取两个所述父代模型个体对应的父代模型参数，并按照如下公式对两个所述父代模型参数进行参数重组：

32、；

33、其中，表示重组得到的子代模型参数，和分别表示两个所述父代模型参数，(k)表示服从伯努利分布的二值掩码张量，表示逐元素乘法；

34、基于梯度显著性分析生成变异掩码矩阵，并按照如下公式对所述子代模型参数对应的神经网络权重张量进行自适应高斯扰动：

35、

36、其中，表示变异后的神经网络权重张量，表示变异前的神经网络权重张量，表示所述变异掩码矩阵，表示演化步长参数，表示均值为零、协方差矩阵为单位矩阵的高斯随机扰动，表示张量乘积；

37、基于变异后的神经网络权重张量构建子代威胁发现模型个体，并将所述子代威胁发现模型个体加入更新后的威胁发现模型种群。

38、更进一步的，基于所述正常流量样本确定正常业务基准分布，提取所述当前网络流量相对于所述正常业务基准分布的分布漂移表征，并根据所述分布漂移表征对所述初始适应度对应的适应度评价参数进行调整，包括：

39、利用预设重建模型对所述正常流量样本进行重建，确定正常流量重建误差；

40、按照如下公式，根据所述正常流量重建误差确定适应度权重修正系数：

41、；

42、其中，表示所述适应度权重修正系数，表示所述正常流量重建误差，表示调整系数；

43、利用所述适应度权重修正系数对所述初始适应度对应的权重系数进行修正，并基于修正后的权重系数重新计算各所述威胁发现模型个体的目标适应度。

44、更进一步的，利用所述威胁变体生成模型生成的新增威胁变体样本对更新后的威胁发现模型种群进行迭代训练，包括：

45、从所述当前网络流量中筛选高置信异常样本、低置信未知样本和当前正常流量样本，构建增量样本集；

46、对所述低置信未知样本进行特征编码，得到未知样本引导特征，并将所述未知样本引导特征与噪声向量共同输入所述威胁变体生成模型，以生成预设特征空间中与所述低置信未知样本的特征距离小于预设距离阈值的新增威胁变体样本；

47、将所述增量样本集、历史关键样本和所述新增威胁变体样本共同构建为当前迭代周期的训练样本集，并利用所述训练样本集对更新后的威胁发现模型种群进行训练；

48、当达到预设最大演化代数、目标适应度变化量小于预设收敛阈值或目标适应度达到预设适应度阈值时，确定满足所述预设迭代终止条件，并从更新后的威胁发现模型种群中选取目标适应度最高的威胁发现模型作为目标威胁发现模型。

49、本发明还提供了一种基于gan-ec的复杂网络威胁推演系统，包括：

50、流量数据处理模块，用于获取目标复杂网络的历史网络流量和当前网络流量，对所述历史网络流量进行流量切分、类别标注、匿名化和尺寸标准化处理，得到正常流量样本和恶意流量样本；

51、协议约束构建模块，用于根据所述目标复杂网络采用的通信协议，确定通信协议字段约束、业务逻辑约束和流量统计分布约束，构建协议约束信息；

52、威胁变体生成模块，用于将所述恶意流量样本和所述协议约束信息输入威胁变体生成模型，通过所述威胁变体生成模型生成候选威胁变体，并根据所述协议约束信息对所述候选威胁变体进行协议合规性约束，得到满足所述通信协议的威胁变体样本；

53、模型种群构建模块，用于构建包括多个威胁发现模型个体的威胁发现模型种群，利用所述恶意流量样本和所述威胁变体样本分别对各所述威胁发现模型个体进行训练和检测测试，并基于各所述威胁发现模型个体对所述威胁变体样本的检测结果，确定对应的初始适应度；

54、漂移分析与适应度调整模块，用于基于所述正常流量样本确定正常业务基准分布，提取所述当前网络流量相对于所述正常业务基准分布的分布漂移表征，并根据所述分布漂移表征对所述初始适应度对应的适应度评价参数和/或模型进化参数进行调整，得到各所述威胁发现模型个体的目标适应度；

55、模型种群进化模块，用于根据所述目标适应度对所述威胁发现模型种群中的威胁发现模型个体执行选择、交叉和变异操作，得到更新后的威胁发现模型种群，并利用所述威胁变体生成模型生成的新增威胁变体样本对更新后的威胁发现模型种群进行迭代训练；

56、威胁推演输出模块，用于在满足预设迭代终止条件时，从更新后的威胁发现模型种群中选取目标适应度满足预设要求的威胁发现模型，基于所述威胁发现模型对所述目标复杂网络中的潜在威胁进行识别，并根据识别结果输出对应的威胁推演结果。

57、本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如前所述的基于gan-ec的复杂网络威胁推演方法。

58、本发明还提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如前所述的基于gan-ec的复杂网络威胁推演方法。

59、本发明与现有技术相比，具有如下的优点和有益效果：

60、本发明根据目标复杂网络采用的通信协议构建协议约束信息，并将所述协议约束信息引入威胁变体生成过程，使生成的威胁变体不仅在数据分布上接近真实恶意流量，而且能够满足对应通信协议的报文结构、状态迁移规则和业务交互逻辑。

61、本发明构建包括多个威胁发现模型个体的威胁发现模型种群，并根据各模型个体对威胁变体样本的召回能力、对正常流量样本的误报情况以及在扰动样本下的预测稳定性进行适应度评价。在此基础上，通过选择、交叉和变异操作对模型种群进行进化更新，相较于采用固定模型结构或单一梯度优化方式，能够扩大模型参数空间的搜索范围，降低模型受初始参数和局部最优解限制的影响，并提高模型对多样化威胁变体的识别能力。

62、本发明基于正常流量样本确定正常业务基准分布，并提取当前网络流量相对于所述正常业务基准分布的分布漂移表征，进而对适应度评价参数和/或模型进化参数进行调整。由此，模型种群的评价和更新过程能够适应网络运行方式、设备状态、通信拓扑和业务负载变化所引起的正常流量分布变化，减少正常业务漂移对威胁检测结果的干扰，降低误报率升高或模型决策边界失配的风险。

63、本发明将协议约束下的威胁变体生成、威胁发现模型的检测反馈以及正常业务流量的分布漂移反馈进行协同处理，使生成的新增威胁变体能够持续参与模型种群的迭代训练，并利用更新后的模型反向提升对潜在攻击形态的识别能力，从而形成威胁生成、模型评价、种群进化和动态推演的闭环机制。

64、综上，本发明通过协议约束的威胁变体生成机制提高生成样本的合规性和有效性，通过分布漂移反馈提高模型对动态网络环境的适应能力，并通过模型种群进化扩大威胁发现模型的搜索和优化范围，从而提升复杂网络中未知威胁的动态推演准确性和持续发现能力。