本书介绍网络空间安全监测预警的基本概念、主要特征，系统分析了网络空间安全监测预警的技术体系，同时阐述了网络空间安全监测预警的关键技术，分别从网络空间安全持续监测、网络空间安全态势感知与适时预警、网络空间安全追踪溯源、面向监测预警的安全威胁情报等方面对网络空间安全监测预警技术进行了详细介绍。特别从互联网安全监测预警技术及应用和关键信息基础设施安全监测预警技术及典型应用角度，理论联系实践地介绍了网络空间安全监测预警技术的应用场景和效能等，并对网络空间安全监测预警技术发展趋势进行了展望。 本书较为全面地总结了近几年来网络空间安全监测预警技术的最新研究成果，深入浅出地剖析了网络空间安全监测预警涵盖的理论与技术。本书内容全面、覆盖面广，既强调基础性，又兼具前沿性，可作为高等学校相关专业师生和对网络空间安全监测预警技术感兴趣的广大工程技术人员的参考书。

前言 网络空间中发生的活动关系国家安全、经济利益、社会运行和民生福祉，因而与之有关的各利益方均需要对其中的安全态势演化过程进行持续的探测感知，掌握其实时变化，以此作为调节网络空间行动及防护策略的依据。网络空间安全监测预警是网络空间安全的重要组成部分。 监测的概念最早来自人们对自然界的认知。“监”指监视、监听、监督等，“测”指测试、测量、测验等。监测的前提是目标对象具有“可区分性”。理论上，自然界中任何实物目标及其所产生的现象总会有一定的特征，并与其所处的背景有差异。 目标与背景之间的任何差异，如外貌、形状、内在结构方面的差异，或在声、光、电、磁、热、力学等物理、信息特性方面的差异，都可直接由人的感官或借助一些技术手段加以区别，这是目标可以被监测的基本依据。 预警技术在环境、工业、医疗、财经、农业等很多领域都有着广泛应用，可以实现不同的目标。在网络安全技术领域，安全预警将根据网络安全态势信息，在攻击发生前，对攻击发生的数量、时空特性及行为特征等进行预测。预警技术是为防御突然的网络攻击，监视、识别网络上的不规则、异常行为的警戒手段，是网络空间防护的重要组成部分。 网络空间安全监测预警是指根据网络空间安全固有规律，通过持续监测、态势感知、追踪溯源等手段，对潜在或正在发生的，针对国家和组织网络空间资产攻击和威胁活动进行发现、感知、识别、分析、预测和告警的过程。 近年来，针对高级持续性威胁（Advanced Persistent Threat，APT）的安全防护需求推动了网络空间安全监测预警技术的迅猛发展，国内外涌现出一大批有代表性的技术和产品，在遏制APT攻击方面发挥了较为明显的作用。网络空间安全监测预警技术逐渐成为网络安全领域较为活跃的新兴技术方向，形成了独特的理论、方法与技术体系。 本书在作者和研究团队多年对网络空间安全监测预警技术的研究成果和工程实践的基础上，结合分析整理各方面文献资料编写而成。本书较为全面地阐述了网络空间安全监测预警的内涵、发展历程、主要特征、关键技术等相关内容，力求使读者既能整体掌握网络空间安全监测预警技术体系，又能了解网络空间安全监测预警的新方法、新理论，相信将带给读者很好的启迪。由于作者和研究团队知识有限和网络空间安全监测预警技术不断发展，书中难免存在不足之处，甚至观点争议，愿探讨共勉！ 作者 2022年5月

目录 第1章 网络空间安全监测预警概述 1 1.1 网络空间安全的概念与内涵 1 1.1.1 网络空间的定义和范畴 1 1.1.2 网络空间面临的安全威胁 2 1.1.3 网络空间安全模型 8 1.2 网络空间安全监测预警 15 1.2.1 网络空间安全监测预警的概念 16 1.2.2 网络空间安全监测预警的分类 16 1.3 国内外研究现状 18 1.3.1 网络空间安全监测预警模型 18 1.3.2 网络空间安全监测预警技术 19 1.3.3 网络空间安全监测预警应用 23 本章参考文献 26 第2章 网络空间安全监测预警 MAB-E体系 28 2.1 网络空间安全监测预警需求 28 2.1.1 网络空间安全监测的广度、深度与精度需求 28 2.1.2 网络空间安全监测预警的适时度需求 29 2.2 MAB-E体系结构 30 2.2.1 整体概念 30 2.2.2 功能维 31 2.2.3 对象维 32 2.2.4 结构维 33 2.3 MAB-E体系视图 34 2.3.1 体系视图 34 2.3.2 技术视图 35 2.3.3 时序视图 37 2.3.4 系统视图 38 2.3.5 能力视图 43 2.4 MAB-E体系与网络空间安全 43 2.4.1 MAB-E体系特征 43 2.4.2 MAB-E体系在网络空间安全中的作用 45 本章参考文献 46 第3章 网络空间安全持续监测技术 48 3.1 网络空间安全持续监测机理 48 3.1.1 网络空间“监”的时空机制 49 3.1.2 网络空间“测”的原理方法 52 3.1.3 网络空间“持续”监测的运行逻辑 54 3.2 网络空间安全持续监测体系 54 3.3 网络空间安全持续监测关键技术 56 3.3.1 高速全流量数据采集技术 56 3.3.2 僵尸、木马、蠕虫检测技术 63 3.3.3 基于传统机器学习的入侵检测技术 83 3.3.4 基于深度学习的入侵检测技术 120 3.3.5 基于强化学习的入侵检测技术 145 3.4 APT攻击监测技术 150 3.4.1 APT攻击行为特征分析 150 3.4.2 基于全生命周期的APT攻击检测技术 156 3.4.3 基于异常行为分析的APT攻击检测方法 159 3.4.4 结合沙箱技术的APT攻击检测方法 163 3.4.5 基于知识图谱的APT攻击检测 167 本章参考文献 180 第4章 网络空间安全态势感知与适时预警技术 185 4.1 网络空间安全态势感知与适时预警机理 185 4.1.1 “态”的概念原理和“势”的融合途径 185 4.1.2 网络空间“感知”的交互方法 192 4.2 网络空间安全态势感知技术体系 199 4.2.1 态势感知的内涵 199 4.2.2 态势感知技术体系 201 4.3 网络空间安全态势感知关键技术 204 4.3.1 多维数据采集层 204 4.3.2 信息融合层 205 4.3.3 态势评估层 211 4.3.4 态势预测层 219 4.4 跨域异构信息的态势感知技术 223 4.4.1 跨域异构信息态势感知的功能模型 223 4.4.2 跨域异构信息态势感知的优先级别 225 4.5 网络空间安全适时预警技术 227 4.5.1 网络空间安全适时预警目标 227 4.5.2 网络空间安全适时预警类型 228 4.5.3 网络空间安全适时预警策略 234 本章参考文献 235 第5章 网络空间安全追踪溯源技术 237 5.1 网络空间安全追踪溯源机理 237 5.1.1 网络空间安全的溯源挑战分析 237 5.1.2 网络空间安全的溯源相关要素 240 5.1.3 网络空间安全的溯源方法模型 242 5.1.4 网络空间安全的溯源评估准则 247 5.2 网络空间安全追踪溯源技术体系 251 5.2.1 网络空间作用域追踪溯源技术体系 252 5.2.2 合作/非合作网络空间安全追踪溯源技术体系 257 5.2.3 网络空间安全追踪溯源层级体系 258 5.3 网络空间安全追踪溯源 262 5.3.1 基于终端日志的追踪溯源 263 5.3.2 基于网络流量的追踪溯源 265 5.3.3 基于网络欺骗的追踪溯源 268 5.3.4 基于大数据分析的追踪溯源 270 5.4 非合作条件下的追踪溯源 273 5.4.1 非合作条件下的追踪溯源挑战 274 5.4.2 非合作追踪溯源 275 本章参考文献 281 第6章 面向监测预警的安全威胁情报 284 6.1 安全威胁情报概述 284 6.1.1 安全威胁的情报化 284 6.1.2 安全威胁情报的内涵 286 6.1.3 安全威胁情报的作用 288 6.2 面向监测预警的安全威胁情报应用 292 6.2.1 安全威胁情报的规划 292 6.2.2 安全威胁情报的形成 292 6.2.3 安全威胁情报的分析 293 6.2.4 安全威胁情报的分发 294 6.2.5 安全威胁情报的转换 294 6.2.6 安全威胁情报的使用与评估 298 6.3 安全威胁情报生态研究 299 6.3.1 生态结构 299 6.3.2 生态组织 300 6.3.3 生态动力学 301 本章参考文献 301 第7章 互联网安全监测预警技术及应用 302 7.1 近年互联网安全状况 302 7.2 互联网安全监测预警技术 306 7.2.1 多源异构互联网安全采集技术 306 7.2.2 互联网安全分析技术 313 7.2.3 互联网安全预警技术 335 7.3 互联网安全监测预警应用 345 7.3.1 “龙虾计划”系统 345 7.3.2 “袋熊计划”系统 346 7.3.3 YHSAS网络安全态势分析系统 347 7.3.4 其他应用 347 本章参考文献 348 第8章 关键信息基础设施安全监测预警技术及典型应用 350 8.1 关键信息基础设施网络的特点 350 8.2 关键信息基础设施安全监测预警关键技术 354 8.2.1 关键信息基础设施探测感知技术 354 8.2.2 关键信息基础设施威胁检测技术 361 8.2.3 关键信息基础设施安全分析及预警技术 365 8.3 典型关键信息基础设施安全监测预警应用 370 8.3.1 电力行业安全监测预警应用 370 8.3.2 交通行业安全监测预警应用 372 本章参考文献 375 第9章 网络空间安全监测预警技术发展趋势 376 9.1 网络空间安全监测预警新技术 376 9.1.1 网络攻击行为预测技术 376 9.1.2 基于投票策略神经网络的监测预警技术 379 9.1.3 加密攻击流量智能监测预警技术 380 9.1.4 基于数据可扩展性的监测预警技术 381 9.2 网络空间安全监测预警新应用 382 9.2.1 太空互联网应用场景 382 9.2.2 车联网应用场景 383 9.2.3 5G网络应用场景 384 9.2.4 能源互联网应用场景 385 本章参考文献 386