基于贝叶斯估计的计算机网络对抗情报信息可信度评估系统

摘要

本发明公开了一种基于贝叶斯估计的计算机网络对抗情报信息可信度评估系统，包括有服务响应时间实验数据配置模块(11)、先验分布建立模块(1)、先验分布初始值配置模块(12)、评估数据输入模块(2)、Bayes公式构造及计算模块(21)、参数最大后验估计计算模块(22)、后验分布构造模块(23)和信息可信度计算模块(3)。本发明引入贝叶斯统计理论将针对网络节点运行状态中服务响应时间的内容可信度提出一种具体的评估方法，信息可信度是根据信息在历史知识中出现的概率计算得来。贝叶斯统计理论在基于先验分布和后验信息的基础上建立对观察对象的后验分布中得到广泛的应用。

说明书

技术领域

本发明涉及一种对计算机网络对抗(CNO)信息的处理，更特别地说，是指一种基于贝叶斯估计的计算机网络对抗(CNO)情报信息可信度评估系统。

背景技术

计算机网络对抗(computer network operations，简称CNO)是指在计算机网络上为获取信息优势而采取增强和维护已方的信息能力、并阻止和削弱对方这种能力和努力的活动和行为。情报过程是指信息转换成情报并为用户获得的过程。过程包括六个相互关联的情报活动：计划和指示、收集、处理和加工、分析和生产、分发和整合、评估和反馈。本专利的研究内容集中在分析与生产阶段的信息可信度评估部分。本专利的研究对象是目标运行状态中的服务响应时间。情报信息是指一个对抗目标的情况(state)包括：随时变化的运行状态(status)和相对稳定的运行平台特征(platform features)。运行状态指的是系统状态的所有属性在某一瞬间的取值。比如系统的负载、带宽和服务响应时间等，是分级的形式。运行状态是两类值的集合。记为：

STATUS::＝{info，level|info，level∈N，run(info)^run(level)}        (1)

谓词run(x)表示x是可随时改变的运行值，info表示信息的离散数值。level表示状态的离散分级，level＝0表示状态关闭，level＝1，......，n；n≥1表示开启的n级状态。可根据期望程度决定状态的量化分级。本算法的评估对象是level的一种，是对服务响应时间的一种分级表示，服务响应时间(service response time)以下简称为RT，具体的RT值表示的是某一时间段。

CNO情报系统的信息输入主要来自CNE(计算机网络利用)收集到的关于目标的状态信息，在现实中，没有发现的或没有确定的威胁、不完全的信息、敌方的欺骗行为等都是经常存在的，所以，各信息源提供的信息都具有一定程度的不确定性。具体分析信息不确定性的产生原因有两个方面。一是目标真实情况和其外在表现出来的信息的差距，主要是因为目标本身可能具有欺骗性；二是目标外在表现出来的信息与收集器所收集并上报的信息之间的差距，因为收集器的可靠性受到其所在位置和当前网络环境的影响。直接对目标的行为进行分析是比较困难的，但是收集器的行为和情报内容是人们可以直接接触到的。经过分析将收集器的可靠性和信息内容的准确性以及这两个评估指标的综合作为CNO情报信息可信度评估过程的三大组成部分。

可信度评估明确了情报信息的真实性和可靠性，它将影响到指挥决策的质量和效率。可信度是对信任的一种度量，是指人们根据以往经验对某个事物或现象为真的程度的一个判断，或者说是人们对某个事物或现象为真的相信程度。(参考文献：《人工智能》史忠植，王文杰编著，国防工业出版社2007.2)信息可信度评估是对信息就其信息源(在CNO中，信息源是指收集器)可靠性和信息内容准确性给出其可信度的过程。利用信息之间的关联研究针对不同种类情报信息的评估。

目前关于信息评估的理论和模型大部分都是从宏观上企图寻找一种适用于所有情况的评估方法，而针对CNO情报信息可信度的评估方法尚未出现。

发明内容

本发明针对具体CNO领域情报信息评估算法的研究对于评估工作的实施效果起着重要作用。本发明的目的是针对运行状态中服务响应时间的内容可信度提出一种具体的评估系统，该系统包括有服务响应时间实验数据配置模块(11)、先验分布建立模块(1)、先验分布初始值配置模块(12)、评估数据输入模块(2)、Bayes公式构造及计算模块(21)、参数最大后验估计计算模块(22)、样本后验分布构造模块(23)和信息可信度计算模块(3)；在评估数据先验分布不存在的情况下，用户通过服务响应时间实验数据配置模块(11)输入实验数据，生成用户实验数据配置文件；或者通过先验分布初始值配置模块(12)在评估数据先验分布和用户实验数据不存在的情况下，输入样本和分布参数的先验分布值，包括样本均值，样本方差，参数均值和参数方差，并生成先验分布初始值配置文件，输出给先验分布建立模块(1)。而先验分布建立模块(1)在评估数据先验分布存在的情况下，读取数据库中的先验分布历史信息并输出给Bayes公式构造及计算模块(21)；而在评估数据先验分布不存在的情况下，对接收的用户实验数据配置文件或者先验分布初始值配置文件进行处理，生成先验分布历史信息并输出给Bayes公式构造及计算模块(21)。先验分布历史信息成功得到之后，由评估数据输入模块(2)从数据库中读取待评估的服务响应时间信息和评估参数集合，并生成待评估信息文件输出给Bayes公式构造及计算模块(21)构建针对分布参数的后验分布计算的Bayes公式，并计算得出分布参数的后验分布信息输出给参数最大后验估计计算模块(22)用于计算分布的最大后验估计信息，并输出最大后验估计信息给样本后验分布构造模块(23)。样本后验分布构造模块(23)用于计算待评估信息所属样本的后验分布，并输出样本后验分布信息给信息可信度计算模块(3)。最后信息可信度计算模块(3)基于后验分布信息构造可信度计算公式得出最终每条服务响应时间信息的可信度信息。

情报活动是网络对抗指挥决策中的重要活动。其中，情报可信度评估则是构成情报活动及其过程的基本成分之一。情报是决策活动形成行动方案必不可少的依据，可信度评估明确了情报的真实性和可靠性，它将影响到指挥决策的质量和效率。本发明提出的评估系统中的信息可信度是根据信息在历史知识(先验知识)中出现的概率计算的来。贝叶斯统计理论在基于先验分布和后验信息的基础上建立对观察对象的后验分布中得到广泛的应用。因此本发明引入贝叶斯统计理论解决运行状态中信息内容可信度计算问题。本发明的优势在于：基于贝叶斯统计的思想保证信息可信度的计算都是基于最新的知识积累；针对具有统计规律的服务响应时间设计方法，充分利用评估对象具有统计规律这一特点，相对于通用的可信度评估方法可用性、针对性更强。

附图说明

图1是本发明基于贝叶斯估计的CNO情报信息可信度评估方法的结构框图。

图中：1.先验分布建立模块    2.评估数据输入模块    3.信息可信度计算模块

11.服务响应时间实验数据配置模块    12.先验分布初始值配置模块

21.Bayes公式构造及计算模块         22.参数最大后验估计计算模块

23.样本后验分布构造模块

具体实施方式

下面将结合附图和实施例对本发明做进一步的详细说明。

本发明是一种基于贝叶斯估计的CNO情报信息可信度评估系统，该系统解决了评估者在与目标交流过程中，在相似情况下同样信息出现的概率越大就认为此条信息可信度越高。

参见图1所示，基于贝叶斯估计的CNO情报信息可信度评估系统包括有服务响应时间实验数据配置模块(11)、先验分布建立模块(1)、先验分布初始值配置模块(12)、评估数据输入模块(2)、Bayes公式构造及计算模块(21)、参数最天后验估计计算模块(22)、样本后验分布构造模块(23)和信息可信度计算模块(3)。

本专利的基本思想是利用历史知识的积累建立待评估服务响应时间的先验分布，RT的可信度取这一时间段在先验分布里出现的概率。因此本专利申请通过下面三个方面进行详细说明：

(A)建立评估对象的先验分布

为了建立某服务RT的先验分布，需要事先获取用于估计分布类型的数据集，可能来自于两个途径：在相似约束条件下运行相同服务通过实验取得，所得到的RT是连续的时间值RT(t)；从相似约束条件的目标或者目标本身的历史情报信息中取得，所得到的RT是分过等级的离散数值RT(l)。这里的约束条件可能包括服务器的平台特征，服务运行的时间段(当这个服务在一天不同时间段内表现迥异的情况下适用)等，使得建立分布时的数据尽量贴近目标服务的运行背景。在对某目标服务响应时间不存在任何先验知识时，可以运用第一种途径获得的数据通过SPSS统计工具分析先验分布类型。由下面三个模块完成这一步骤：

服务响应时间实验数据配置模块(11)在评估数据先验分布不存在的情况下，通过读取用户实验数据，生成用户实验数据配置文件FILE₁₁，输出给先验分布建立模块(1)。

先验分布初始值配置模块(12)在评估数据先验分布和用户实验数据不存在的情况下，读取用户输入的样本和分布参数的先验分布值，并生成先验分布初始值配置文件FILE₁₂，输出给先验分布建立模块(1)。

先验分布建立模块(1)在评估数据先验分布存在的情况下，读取数据库中的先验分布历史信息S₁并输出给Bayes公式构造及计算模块(21)。在评估数据先验分布不存在的情况下，对接收的用户实验数据配置文件FILE₁₁或者先验分布初始值配置文件FILE₁₂进行处理，生成先验分布历史信息S₁并输出给Bayes公式构造及计算模块(21)。

在本发明中，服务响应时间实验数据配置模块(11)输出的用户实验数据配置文件FILE₁₁的格式为EvaluateTarget<TargetID>，ResponseTime<rtset>，其中，EvaluateTarget<TargetID>表示实验数据所属目标，<TargetID>为目标标示符；ResponseTime<rtset>表示用户上报的服务响应时间数据(时间值为连续值)，<rtset>为服务响应时间集合。

先验分布初始值配置模块(12)输出的先验分布初始值配置文件FILE₁₂的格式为EvaluateTarget<TargetID>，PriorDistrlist<prior_distrlist>，其中EvaluateTarget<TargetID>表示同上，PriorDistrlist<prior_distrlist>表示评估数据先验分布的参数列表，<prior_distrlist>为用户根据目标标示符输入的以下参数初始值，包括样本均值<distrlist_sampleMean>、样本标准差<distrlist_sampleDeviation>、分布参数均值<distrlist_parameterMean>、分布参数标准差<distrlist_parameterDeviation>。

(B)基于贝叶斯统计调整分布参数

Bayes统计分析理论基本思想：在取得样本观测值x前往往对参数统计模型中的参数θ有某些先验知识，关于θ的先验知识的数学描述就是先验分布。Bayes统计的主要特点是使用先验分布，而在得到样本观测值X＝(x₁，x₂，……，x_n)^T后，由X与先验分布提供的信息，组成较完整的后验信息。之后利用Bayes公式计算得出参数θ的后验分布。

在本发明中应用Bayes公式之前需要掌握以下几个信息：

1.样本的统计模型是参数统计模型，且统计参数为θ，这是关于RT样本分布的先验知识，我们在上一节先验分布的建立时已经得出了这一信息；

2.具备关于θ的先验知识，可以由过去的某些数据资料分析而得，也可以凭过去对θ的某些经验知识获得；

3.新的样本观测值X＝(x₁，x₂，……，x_n)^T，即X＝(RT₁，RT₂，……，RT_n)^T。

有了以上几个信息，就可以构造计算分布参数θ的后验条件概率密度的Bayes公式：

$h\left(\theta \right|\mathrm{RT})=\frac{P\left\{\mathrm{RT}\right|\theta \}\pi \left(\theta \right)}{\underset{\Theta }{\int }P\left\{\mathrm{RT}\right|\theta \}\pi \left(\theta \right)\mathrm{d\theta }}---\left(2\right)$

式中，h(θ|RT)表示在样本RT分布下的分布参数θ的后验条件概率密度，P{RT|θ}表示样本RT的条件分布，π(θ)表示参数θ的分布概率密度，表示样本RT和参数θ的联合分布。

由于参数θ是随机变量，而分母与θ无关，故有：

h(θ|RT)∝π(θ)L(θ|RT)                        (3)

在Bayes统计中，一般采取这种形式计算方便。在得到参数θ的后验分布之后，就可以利用Bayes参数点估计的方法给出θ的估计值，可以使用最大后验估计，取使后验分布h(θ|RT)达到最大值的点作为θ的最大后验估计，也就得到了RT的后验分布。

$h\left({\hat{\theta }}_{\mathrm{MD}}\right)=\underset{\theta \in \Theta }{\sup }h\left(\theta \right|\mathrm{RT})---\left(4\right)$

由下面四个模块完成这一步骤：

评估数据输入模块(2)从数据库中读取待评估的服务响应时间信息和评估参数集合，并生成待评估信息文件FILE₂输出给Bayes公式构造及计算模块(21)；

Bayes公式构造及计算模块(21)用于构建针对分布参数的后验分布计算的Bayes公式，并计算得出分布参数的后验分布信息S₂₁输出给参数最大后验估计计算模块(22)；

参数最大后验估计计箅模块(22)用于计算分布的最大后验估计信息，并输出最大后验估计信息S₂₂给样本后验分布构造模块(23)；

样本后验分布构造模块(23)用于计算待评估信息所属样本的后验分布，并输出样本后验分布信息S₂₃给信息可信度计算模块(3)；

评估数据输入模块(2)输出的待评估信息文件FILE₂的格式为ResponseTime<rtset>，EvaluateParalist<evaluate_paralist>，其中EvaluateTarget<TargetID>，ResponseTime<rtset>表示的含义同上，EvaluateParalist<evaluate_paralist>表示评估参数列表，包括待评估目标EvaluateTarget<TargetID>、待评估数据总和SampleLength<sample_length>、标准分组数GroupStandard<group_standard>。这里的输入数据为离散的时间等级，在下一步时需要先转换为三个连续的时间值之后再参与调整分布。

(C)获得信息可信度

RT(l)的内容可信度是它在所建立的约束条件下的先验分布中出现的概率，因为它表示的是一个响应时间的时间段，因此它在先验分布中出现的概率也就是这个时间段出现的概率。即

$C\left(\mathrm{RT}\left(l\right)\right|\mathrm{conditions})={\int }_{l(\mathrm{lower><mo>)</mo>}}^{l(\mathrm{upper><mo>)</mo>}}f\left(\mathrm{RT}\right|\mathrm{conditions})\mathrm{dRT}---\left(5\right)$

这里的conditions是指约束条件，l(upper bound)是指RT表示的时间段的上界，l(lower bound)表示下界。

信息可信度计算模块(3)用于基于后验分布信息构造可信度计算公式并得出最终每条服务响应时间信息的可信度信息。

实施例：

本次实验中的CNO目标是北航网站服务器，可信度评估对象是北航主页响应时间，因此需要建立北航主页响应时间的先验分布。实验采用Wireshark[10]networkprotocol analyzer截获每次访问北航主页时的网络数据包，从中计算出响应时间。在这个实验中对响应时间的定义如下。

主页响应时间：TCP三次握手连接建立之后服务器对用户的第一个HTTP报文的响应TCP报文截获时间。一般情况下Wireshark对每次访问数据包截获的第五个报文。

考虑到一天中不同时间段的网络流量状况对测试结果的影响，响应时间先验分布建立的实验数据是针对一天中三个不同时段分开进行采集的。在上午、下午和晚上分别测试五十个数据，在SPSS中对这些数据绘制直方图并拟合曲线，可以观察到网站响应时间是基本符合正态分布的，绘制数据的QQ图鉴别样本的分布是否近似于正态分布，从QQ图中可以观察到散点图近似的在一条直线上附近，可认为数据来自正态总体分布。RT～N(μ，σ²)，其密度函数为

$f\left(\mathrm{RT}\right)=\frac{1}{\sqrt{2\pi }\sigma }·\exp [-\frac{1}{2}\frac{{(\mathrm{RT}-\mu )}^2}{{\sigma }^2}]---\left(6\right)$

式中，μ和σ为响应时间RT的均值与标准差。

RT～RT(RT₁，RT₂，...，RT₅₀)^T是来自正态总体N(μ，σ²)的简单随机样本，利用上面的样本数据按照常规的统计方法得到：在根据新来的数据对均值进行调整之前需要建立μ的先验分布，正态分布均值N(μ₀，τ²)，其中μ₀和τ²属于超参数，通过对50个数据进行分组，求的每个组内的均值，得到均值样本之后按照常规统计方法得出由此得到了分布参数的先验分布。

收集器从CNO目标处收集到最新信息之后组成后验信息集合RT′＝(RT′₁，RT′₂，..，RT₁₀′)^T，由公式(2)，得

$h\left(\mu \right|\mathrm{RT})\propto \exp \{-\frac{1}{2{\hat{\sigma }}^2}\underset{i=1}{\overset{10}{\Sigma }}{({\mathrm{RT}}_i^{\prime }-\mu )}^2-\frac{{(\mu -{\hat{\mu }}_0)}^2}{{2\tau }^2}\}$

$=\exp \{-\frac{1}{2}[\frac{10{\mu }^2-2·10\mu \overline{{\mathrm{RT}}^{\prime }}+\underset{i=1}{\overset{10}{\Sigma }}{{\mathrm{RT}}^{\prime }}_i^2}{{\hat{\sigma }}^2}+\frac{{\mu }^2-2{\hat{\mu }}_0\mu +{{\hat{\mu }}_0}^2}{{\tau }^2}\left[\right\}---\left(7\right)$

中间计算过程省略，得出μ的后验分布其中

${\hat{\mu }}^{\prime }={(\frac{10}{{\sigma }^2}+\frac{1}{{\tau }^2})}^{-1}(\frac{10\overline{{\mathrm{RT}}^{\prime }}}{{\sigma }^2}+\frac{{\mu }_0}{{\tau }^0})=1.601\mathrm{ms},$

            (8)

${\gamma }^2={(\frac{10}{{\sigma }^2}+\frac{1}{{\tau }^2})}^{-1}=0.212\mathrm{ms}.$

取作为均值的最大后验估计且

${\hat{\sigma }}^2=\frac{1}{m}\underset{i=1}{\overset{m}{\Sigma }}{({\mathrm{RT}}_i^{\prime }-{\hat{\mu }}_{\mathrm{MD}})}^2=0.150\mathrm{ms}---\left(9\right)$

计算一条信息RT＝8(表示时间段1.4ms至1.7ms，RT表示等级的划分由收集器决定)的可信度，由公式(5)所示，得

$\left(\mathrm{RT}\right)=\underset{1.4}{\overset{1.7}{\int }}\frac{1}{\sqrt{2\pi }{\hat{\sigma }}_{\mathrm{MD}}}·\exp [-\frac{1}{2}\frac{{(\mathrm{RT}-{\hat{\mu }}_{\mathrm{MD}})}^2}{{{\hat{\sigma }}_{\mathrm{MD}}}^2}]\mathrm{dRT}=65.52\%---\left(10\right)$

使用本发明，首先，在评估数据先验分布不存在的情况下，用户通过服务响应时间实验数据配置模块(11)输入实验数据，生成用户实验数据配置文件；或者通过先验分布初始值配置模块(12)在评估数据先验分布和用户实验数据不存在的情况下，输入样本和分布参数的先验分布值，包括样本均值，样本方差，参数均值和参数方差，并生成先验分布初始值配置文件，输出给先验分布建立模块(1)。而先验分布建立模块(1)在评估数据先验分布存在的情况下，读取数据库中的先验分布历史信息并输出给Bayes公式构造及计算模块(21)；而在评估数据先验分布不存在的情况下，对接收的用户实验数据配置文件或者先验分布初始值配置文件进行处理，生成先验分布历史信息并输出给Bayes公式构造及计算模块(21)。先验分布历史信息成功得到之后，由评估数据输入模块(2)从数据库中读取待评估的服务响应时间信息和评估参数集合，并生成待评估信息文件输出给Bayes公式构造及计算模块(21)构建针对分布参数的后验分布计算的Bayes公式，并计算得出分布参数的后验分布信息输出给参数最大后验估计计算模块(22)用于计算分布的最大后验估计信息，并输出最大后验估计信息给样本后验分布构造模块(23)。样本后验分布构造模块(23)用于计算待评估信息所属样本的后验分布，并输出样本后验分布信息给信息可信度计算模块(3)。最后信息可信度计算模块(3)基于后验分布信息构造可信度计算公式得出最终每条服务响应时间信息的可信度信息。

本发明提出的基于贝叶斯估计的情报信息可信度评估系统，强调先验分布在评估者决定时的重要作用，利用具体情况下服务响应时间呈现特定分布的特点，找出并建立信息分布的规律，将待评估信息在先验分布中出现的概率作为其可信度。实验详细地描述了一次先验分布的建立和可信度的计算过程，证明贝叶斯统计能够根据新信息及时地调整先验分布，保证可信度评估是基于最新的知识给出的。本算法除了可以为IICEM中纵向关联提供具体的计算方法之外，同时为分析情报目标行为模型及情报不确定性提供了可能的参考依据。