本发明涉及网络态势感知领域，尤其是一种网络态势感知实现方法及装置。
背景技术：
技术实现要素：
本发明所要解决的技术问题是：针对现有技术存在的问题，提供一种网络态势感知实现方法及装置。通过分析研究现有网络安全态势感知的系统模型，针对它存在的精确度和实时性不够好的问题，提出一种改进的网络态势感知实现方法及装置。该方及装置自底向上分为态势要素提取、态势理解和评估二个层面，其中态势理解与评估同步进行，预测的数据源采用感知的网络拓扑结构数据以及态势要素的提取结果。
本发明采用的技术方案如下：
一种网络态势感知实现方法包括：
进一步的，所述网络数据是网络原始数据流和主机日志数据，其中采集网络原始数据流采集是指通过winpcap从网络数据链路层旁路或者阻断采集网络中流经的数据；采集主机日志数据是指从网络安全状态数据源中抽取出影响网络态势的基本元素的过程，是存储在应用服务器或者目标终端，通过对相应数据的提取，从而进一步抽取出影响网络态势的基本数据元素；网络安全状态数据源是网络原始数据的一种。
进一步的，所述处理网络原始数据流指的是：
获取完整的网络原始数据流进行存储；
tcp/ip协议簇对采集到的原始数据流进行协议分析，提取五元组信息；
将所提取的五元组信息按照tcp/ip协议架构存储，存储格式为格式统一的数据流。
进一步的，所述处理网络原始数据流还包括对格式统一的数据流进行简化、合并处理。
进一步的，所述处理主机日志信息指的是：
获取主机日志数据，从中提取出特征数据，进一步获取系统信息、服务信息，从主机日志数据中人工分析识别异常数据。
进一步的，所述主机日志态势感知与评估具体包括：
将获取的主机日志信息按照系统信息、服务信息以及异常信息等类别进行分类；
针对各类信息进行数据融合处理。
进一步的，基于所述网络态势感知实现方法的实现装置包括：
综上所述，由于采用了上述技术方案，本发明的有益效果是：
具体实施方式
本说明书中公开的所有特征，或公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合。
本说明书中公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。
本发明中，一种网络态势感知实现方法包括：
其中，所述网络数据是网络原始数据流和主机日志数据。
态势感知与评估包括网络信息态势感知与评估以及主机日志信息态势感知与评估；
采集主机日志数据是指从网络安全状态数据源中抽取出影响网络态势的基本元素的过程，网络安全状态数据源是网络原始数据的一种，是多数存储在应用服务器或者目标终端，通过对相应数据(相应数据指的是网络原始数据)的提取，从而进一步抽取出影响网络态势的基本数据元素。
其中，处理网络原始数据流指的是：
步骤11：获取完整的网络原始数据流进行存储；
步骤12：tcp/ip协议簇对采集到的原始数据流进行协议分析，提取五元组信息(源ip地址、目的ip地址、协议类型(例如snmp协议)、源端口号、目的端口号)；具体：tcp/ip协议簇对采集到的原始数据流从物理层、数据链路层、网络层、传输层以及应用层分别按照相应的协议格式逐层获取对应五元组信息，
步骤13：将所提取的五元组信息按照tcp/ip协议架构存储；存储格式为格式统一的数据流；
步骤14：对格式统一的数据流进行简化、合并等操作，即：将数据流中与网络态势感知无关的噪声数据去除，合并重复度较高的数据流信息。网络态势要素提取提高了网络数据流信息的纯净度，为态势理解评估提供了有效的数据源，从而加快了网络态势感知的速度。
实施例三，步骤1中，处理主机日志数据指的是：获取主机日志数据，从中提取出特征数据，进一步获取系统信息、服务信息，从主机日志数据中人工分析识别异常数据。
实施例四中，步骤2网络信息态势感知与评估主要包括网络拓扑发现步骤以及网络流量统计步骤。
步骤22：网络流量统计步骤主要基于五元组信息，研究网络流量分布统计以及异常流的判断，具体是：
步骤221：采集到网络信息后，将其按照tcp/ip协议簇进行协议分析，分别获取五元组信息，按照“源ip地址+目的ip地址+源端口+目的端口+协议类型”等五元组字段信息将网络信息分成数据流，五元组数值相同的网络数据作为一个数据流；
步骤222：然后再针对每个终端，根据其“协议类型”字段对该终端的数据流进行分类，将协议类型字段值相同的数据流归为一类，显示其网络数据流分布统计；
步骤223：将单端口与多端口检测方法相结合进行异常流的判断操作，主要包括网络攻击引起的、病毒引起的以及不正当应用引起的异常网络流量。
多端口检测方法例如，虽然数据包的目的ip不一样，但是很多数据包的源地址ip一样，则源地址ip节点为攻击端。
实施例五，步骤2主机日志态势感知与评估具体包括：
步骤31：将获取的主机日志信息按照系统信息、服务信息以及异常信息等类别进行分类；
本发明并不局限于前述的具体实施方式。本发明扩展到任何在本说明书中披露的新特征或任何新的组合，以及披露的任一新的方法或过程的步骤或任何新的组合。