网络态势感知 | 这样理解就对啦

　　前面我们曾说过网络安全态势感知的定义及功能，部分读者反应读完那是一脸懵X。好吧，今儿咱就来换个简单的说法，题目也拟好了——一句话介绍网络安全态势感知。

　　接上回原文，态势感知的定义如下：

态势：事物发展的形势及状态；

感知：利用感官对物体获得的有意义的印象（引申为对事件发展过程的预测推断）；

态势感知：在大规模系统环境中，对能够引起系统状态发生变化的安全要素进行获取、理解、显示以及预测未来的发展趋势。

　　注：以上定义均来自百度。

　　将上述定义放到网络中来理解，那么，网络态势及网络态势感知的概念就比较浅显易懂了。即：

网络态势：由各种网络设备运行状况、网络行为以及用户行为等因素所构成的整个网络当前状态和变化趋势。

网络态势感知：在大规模网络环境中，对能够引起网络态势发生变化的安全要素进行获取、理解、显示以及预测最近的发展趋势。

　　现在你懂了吗？不懂，好，继续看下面。

　　结合上述定义，网络态势感知可以理解为是对网络环境中，多起事件（设备运行状况、网络行为、用户行为等）的状态改变，以及整体网络安全环境及趋势的预测推断。但需要说明一点的是，网络安全事件并不能说明安全态势发展，即事件≠态势。

　　按照网上流行的栗子来说，关于事件与态势的定义，以下说法是比较贴切的：

“小李，隔壁老王趁你上班去你家了”——这是事件；

“小李，我感觉隔壁老王看你老婆的眼神不太对，你要多关注”——这是态势；

　　似不似感觉有点不对？不管啦，意思差不多就行。放在网络安全界，这样理解就对啦：

“小李，系统监测到五号机网络中断”——这是事件；

“小李，五号机遭遇X病毒入侵，正沿Y端口蔓延，若不及时控制，将于Z小时内扩散至A区域”——这是态势；

　　这说明什么呢？事件是历史或当前的事物状态的判断，而态势在事件的基础上，对未来事物发展状态的预测推断（基于历史事实依据，对当前或不久将来的相同事物做出的判断）。

　　相较于网络事件，网络态势感知不仅仅包括对当前网络事件的分析与总结，还包括为未来网络安全环境的预测推演。而依靠强大的网络历史数据做依靠和分析，通过机器学习和数据建模分析发现潜在的入侵和高隐蔽性攻击威胁，由此构建完备的网络安全防御措施，这才是网络态势感知的终极形态（现在你懂了吧）。

　　结合相关学术报告及论述来看，网络安全态势感知包括三个级别，第一是能够感知攻击的存在；第二是能够识别攻击者，或攻击的意图；最高级别是风险评估，通过对攻击者行为的分析，评估该行为（包括预期的后续动作）对网络系统有什么危害，从而为决策提供重要的依据。

　　从以上文字可知，态势感知是反映事物发展趋势的、动态可预测的系统，它基于大量的历史事实数据收集分析，而数据采集的源头、方向以及数据融合、算法差异等因素不同，会导致各种网络态势感知系统功能及性能上的差异。虽然各种系统的侧重点不太一样，但无论如何，融合数据、识别威胁来源、预知安全趋势将是各大系统的共性，而确保网络信息安全、实现对信息安全的可视化预测感知及指导才是每一家网络态势感知系统发展的重点。

　　最后，关于对网络态势感知的理解，套用他人对网络态势感知的分析来说，应从如下角度来理解推断态势感知的功能及用途：

不要光告诉我哪个区域出现了多少次攻击；

我更希望知道攻击的走势是如何；

根据我们这个团队的历史响应情况来看，响应上会存在多少盲点以及无法及时跟进而导致的事件；

这些导致的事件最可能发生在什么区域；

最终的影响如何；

　　根据以上疑问，决策方决定是否需要对攻击进行深度分析和跟踪，是否需要调配更多人员，是否需要在哪些区域提前部署力量等等。

　　因此，在多方数据的汇总分析下，对全网运行状态进行实时监控分析，确保对可能出现的网络攻击行为实现预警评判，尽可能对用户的网络安全做到规模化防护，确保网络应用安全。而这，才是我们应用网络态势感知的最初本意。