态势感知(Situation Awareness)这一概念源于航天飞行的人因(Human Factors)研究,此后在军事战场、核反应控制、空中交通监管(Air Traffic Control,ATC)以及医疗应急调度等领域被广泛地研究。态势感知之所以越来越成为一项热门研究课题,是因为在动态复杂的环境中,决策者需要借助态势感知工具显示当前环境的连续变化状况,才能准确地做出决策。近年来态势感知也被用于网络安全的研究领域,称为网络安全态势感知(Network Security Situation Awareness,NSSA)。当前,网络安全管理人员为获得计算机网络中攻击的高级描述,需要处理来自IDS、防火墙、防病毒软件,以及漏洞扫描器等安全工具所产生的大量报警信息。报警量大、不相关报警多,使得安全管理人员面对大量报警信息很难了解系统的安全威胁状况,不能及时采取合适的响应措施,NSSA可有效地解决此问题。本文在态势感知三级模型的基础上提出了基于多源数据融合的网络安全态势功能模型,接着沿着一条主线展开:多源报警信息输入→报警提炼→网络安全态势输出→攻击发生之后网络可生存性评估研究。从而完成了从报警的产生到攻击分析,到态势输出,再到网络的可生存性评估,给安全管理人员提供了一个高层次的,可理解的当前网络状态的一个完整的结果。为达到此目的,主要从三个方面进行研究:第一,多源数据报警相关性方法的研究。对CPN(Colored Petri Net)进行扩充,增加了反映安全工具报警信息的观测集,形成了ECPN(Extended Colored Petri Net),并对它进行形式化的描述与图形建模;提出了基于ECPN攻击场景的构建关联算法ECPN-Scenario-Constructor以及攻击动作提取算法Multistep-Abstract;通过对DARPA 2000入侵场景关联评测数据集进行实验,可以对报警进行有效的关联,及早的发现攻击者的攻击策略。第二,基于数据融合的网络安全态势感知的研究。本文分析安全态势在风险评估中的作用,通过形式化的方法从三个层次描述了安全态势:态势特征的提取、当前态势的理解、下一步态势行为的预测。应用D-S证据从横向和纵向两个方面对网络安全态势元素进行融合。横向融合主要解决不同安全工具针对同一攻击事件的报警,从而可以减少攻击的报警数量,增加攻击的可信度。横向融合的结果作为纵向融合的输入,纵向融和研究多传感器相关性算法对多步复杂攻击行为进行相关,并用Petri网描述攻击发生时系统状态的改变,根据攻击事件的到达分析网络当前的安全态势。第三,攻击发生之后网络可生存性的研究。网络可生存性被作为评价参数对网络将来的态势进行预测,用对象Petri网对网络系统进行了形式化的描述与建模,接着构建了系统的攻击失效模型,用模糊推理方法对系统在攻击发生时状态的变化进行了描述,然后在此基础上对攻击行为的严重程度和服务等级进行了有效量化,提出了分布式系统可生存的评价参数,最后用PCTL(Probabilistic real timeComputation Tree Logic)描述了系统的可生存公式,并用模型检测方法来判断网络系统的可生存能力。