随着Internet技术的迅速发展，网络规模也逐渐增加且复杂化，所遭受攻击多元化，非确定性问题与日俱增，安全事件大幅度上涨，安全问题变得日益突出与迫切，传统单一安防措施对待安全问题明显感觉无能为力，且各种措施之间的相互关联性欠充分考虑，不能很好地表达网络安全的重要性。网络安全态势评估(Network Security Situation Assessment，NSSA)在此背景下应运而生，逐渐成为下一代网络安防技术的研究重点，主要研究在一定的时空环境下对网络安全相关的要素信息融合、综合分析与理解，把握网络安全状况与预测发展趋势，对评估与预测结果实时决策，将风险与损失降到最低限度^[1]。

国内外学者已在网络安全态势评估方法^[2-4]与预测方法^[5-6]上开展了许多探索性的研究，对以后研究工作具有重要的借鉴作用。文献^[7]提出了一种利用神经网络来感知网络安全态势的方法，通过RBF神经网络找出有关非线性网络态势值的映射关系，对网络参数进行优化并采用自适应遗传算法感知网络安全态势。文献^[8]使用隐马尔可夫模型评估网络安全态势，使观测序列的获取和状态转移矩阵的确立得到了改进，所得风险值能更加合理地量化网络安全态势。文献^[9]提出了利用马尔可夫博弈分析的网络安全态势感知方法，通过分析威胁传播的影响，准确、全面地对网络系统评估安全性，并给出相应的加固方案。

上述安全态势评估研究主要使用了证据理论、贝叶斯、神经网络和隐马尔可夫^[10-11]等方法，对当前网络的安全态势能较好地评估，给安全策略制定提供了比较可靠的理论依据，对于本文工作具有一定的指导意义，但主要存在的问题在于：评估信息源单一，准确度不高且操作不便，在模型训练与参数获取上也存在瓶颈。网络安全态势评估并不仅仅只对单一数据源评估，还应该将来自各类多源异构非确定性信息融合，整体宏观分析发生在不同时空和不同层次上的相关联事件。

针对目前安全态势评估中普遍存在信息来源单一、评估范围有限、时空开销较大且可信度较低等问题，本文提出了一种便于处理非确定性信息源的基于朴素贝叶斯(Naive Bayesian, NB)量化评估方法。多方面综合考虑影响网络安全态势各因素，通过构建分级朴素贝叶斯分类器，快速高效地融合各主机多源异构非确定性信息源，再使用数理统计的方法融合网络上各主机的安全指数，逐步量化评估网络安全态势，对当前网络安全态势有一个整体宏观的认识。

1 朴素贝叶斯分类器

朴素贝叶斯分类器是一种非常实用的贝叶斯方法^[12]，具有智能统计和学习的能力，已在很多方面得到了成功应用^[13]，它是基于贝叶斯理论和各特征条件独立假设的分类方法，利用概率表示各种事件的非确定性。

样本集假设有m个属性和k个类别，记样本集为F={F₁, F₂, …, F_m}，类别集为C={c₁, c₂, …, c_k}。对于样本集的一个具体实例X=(x₁, x₂, …, x_m)，x_i∈F_i，则属于Y=c_i的后验概率为

式中：P(X|c_j)为在类别c_j出现条件下实例X出现的条件概率。

朴素贝叶斯假设属性之间条件相互独立，条件独立是区别于贝叶斯网的主要条件，也是参数容易获得的原因，所以有

分类公式如下：

在朴素贝叶斯分类器中，判定未知样本X的类属，若样本X被指派到类c_i，当且仅当P(c_i|X)>P(c_j|X)，j=1, 2, …, m且j≠i。

朴素贝叶斯分类器具有分类与推理两大功能，本文中只限用于主机的安全指数的推理与分类上，为网络的安全指数服务。在主机二级指数上用作样本分类，而在主机一级指数上用作概率推理，作为推理时，起着与普通贝叶斯网同等的功能，如图 1所示。

2 网络安全态势

本文中，网络安全态势可定义为由网络基础运行维指数、网络脆弱维指数和网络威胁维指数三维信息有机融合而成。

2.1 定义

定义1    网络安全态势SA由网络基础运行维指数(Run_net)、网络脆弱维指数(Vul_net)和网络威胁维指数(Threat_net)三维融合而成，即存在一个融合函数f，有：SA=f(Run_net, Vul_net, Threat_net)。

定义2    网络的基础运行维指数Run_net由网络上所有主机的基础运行维指数融合而成，存在一个融合函数g，有：Run_net=g(Run_host1, Run_host2, …, Run_hostN)，本文中的函数g通过求算术平均实现；其他2个指数如网络脆弱维指数Vul_net与网络威胁维指数Threat_net的构成相类似。

定义3    主机的基础运行维指数Run_host由与之运行信息相关的指标融合而成，即存在一个融合函数h，有：Run_host=h(x₁, x₂, …, x_n)，本文中的函数h通过朴素贝叶斯分类器来实现；其他2个指数如主机脆弱维指数Vul_host与主机威胁维指数Threat_host的构成相类似。

与指标数不同的指数，本文用一个概率表示，是对本属性的定量描述。所定义的融合函数f、g和h将在本文中详细阐述。参数N表示网络中各节点的主机数目，而n表示与安全态势相关的指标数目。注意，网络与主机三维指数都为五等概率矩阵或概率向量，而主机上的二级指数与网络安全态势SA为标量，如图 1所示。

网络拓扑结构中存在着大量的节点，可称之为主机，如网络上的计算机、各类服务器、路由器、防火墙和IDS等硬件设施。就众多主机而言，能动态描述主机目前运行情况，由它们的工作性能与服务性能等构成，称为主机安全态势的外在表现特性——基础运行维指数；网络节点主机中存在的可能被威胁利用造成损害的薄弱环节，一旦被威胁成功利用的脆弱性就可能对组件造成损害——脆弱维指数；一般地，主机还包括外部和内部威胁，若成功利用它们的脆弱性会对主机造成损害——威胁维指数。

每个指数有主机指数和网络指数之分，如基础运行维指数，有主机基础运行维指数和网络基础运行维指数2种，而网络基础运行维指数又由N个主机基础运行维指数按统计方法融合而成，为了有效区别网络指数与主机指数，相应的标识符加以下标net和host作为区别。

2.2 指标体系

评估数据源主要来自三大类：基于系统配置信息、基于系统运行信息和基于网络流量信息。第一类数据源是指网络设计和配置状况，如网络拓扑结构、服务软件的安装与设置以及系统的漏洞缺陷等；第二类数据源是指网络系统遭受攻击时的系统运行情况，主要来自于系统运行日志库；第三类数据源主要是指网络即时通信各种流量情况，可通过专用软件监测获取。

网络安全态势评估指标在本文中是网络安全态势评估的基础，需要建立一整套符合一定规范和原则的合理、科学评估指标体系，以便全面量化评价当前网络整体安全性能。如图 1所示，由下而上构成网络安全态势指标体系分级，多源异构信息逐步融合成网络安全态势。

作为安全态势评估数据源，必须选取那些具有代表性、信息量较丰富、可靠度较高、实时性强以及冗余性低的数据，它们主要来自于入侵检测系统IDS^[14]以及各种检测设备或扫描工具。本文中，每个观测指标可对应于一个随机变量x_i，具有离散型或连续型2种可能观测取值。

2.3 分级

根据2006年发布的《国家突发公共事件总体应急预案》^[15]，把网络安全态势等级一般划分为5个等级，用0~1小数定量描述，如表 1所示。

网络安全等级参照表是本文的工作基础，也是构建朴素贝叶斯分类器及各类评估结果等级给定的有力参考依据。

2.4 数据源离散化

评估指标可取离散型和连续型2种观测值，为了便于原始数据在朴素贝叶斯分类器中的应用，把连续型取值离散化，可取“安全、轻度危险、一般危险、中度危险、高度危险”或“1、2、3、4、5”5个等级值。在数据源离散化前，首先要获取并计算出相应的数据变化率，取0~1之间的实值，把数据的取值约束在区间[0,1]之间，有

式中：Data_i为原始数据值；Data_max和Data_min为数值上下限。在实际应用中，应该去掉数据Data一定比例数量的极大值与极小值，以免陷于极端情况。去掉一定量的数据后，当计算出的值大于1，应按1处理；当计算出的值为负数，应按0处理。

对于任何一个连续型原始采样数据，可通过式(1)化为0~1之间的值，再对照表 1可离散化为相应的五等离散取值，是构建朴素贝叶斯分类器的理论基础。针对任何多源异构数据源，先按需求把它映射到相应的实数Data_i上，再按此方法离散化，可转化为同构数据，作为信息融合的输入。

2.5 指标遴选

在网络安全态势评估中，有必要遴选出适当的具有一定意义代表性的评估指标。由熵理论可知，当2个评估指标之间相互依赖，则互信息量大，反之互信息量就小。由此特性，可以用来遴选评估指标。2个观测指标x_i和x_j的互信息可以定义为：I(x_i, x_j)=H(x_i)+H(x_j)-H(x_i, x_j)，H(x_i, x_j)为联合熵(joint entropy)。有

式中：p(x_i)为观测指标x_i出现的概率；p(x_i, x_j)为观测指标x_i和x_j同时发生的联合概率。根据第2.4节离散化方法，每个观测指标可以离散化为“1、2、3、4、5”。在某一时间段监测到数据大样本，以出现频率近似它们的概率p(x)，代入式(2)中计算它们的互信息量，如果I(x_i, x_j)大于一个指定的阈值，则认为很相关，可剔除一个冗余指标，按此方法可遴选出一些具有代表性的评估指标。

3 评估模型 3.1 朴素贝叶斯评估模型

经过互信息方法评估指标的遴选，选出与主机基础运行维指数Run_host、脆弱维指数Vul_host与威胁维指数Threat_host相关的评估指标。根据概率论知识，所有的评估指标构成一个向量X=(x₁, x₂, …, x_n)，每个分量x_i是一个评估指标，对应于朴素贝叶斯分类器一个具体叶子节点，看成一个随机变量，可取离散型或连续型2种观测值。

本文可逐级构建用于主机信息融合的朴素贝叶斯分类器，从上而下，分而治之，下层的输出作为上一层的输入。从图 1可知，就每台主机而言，对于主机基础运行维指数Run_host、主机脆弱维指数Vul_host与主机威胁维指数Threat_host建立3个不同的朴素贝叶斯分类器，图 2所示为主机威胁维指数的朴素贝叶斯分类器模型，起推理作用；如果分类器评估指标数太多，可把同一个类型的指标整合在一起，构建一个子朴素贝叶斯分类器，分而治之，图 3所示为木马指数子分类器模型，起分类作用。

所构建的朴素贝叶斯分类器只限于主机级别，对于网络级别的安全态势，3个维指数信息融合时将采用数理统计的方法，不需要构建朴素贝叶斯分类器，图 1有标示。

3.2 分类方法改进

为了更好使朴素贝叶斯分类器用于网络安全态势评估上，本文将改进分类器参数学习，主要是为了避免在分类与推理上陷入极值，采用拉普拉斯原理平滑参数学习。

朴素贝叶斯的参数确定一般使用极大似然估计方法，使用样本出现的频率估计它们的先验概率和条件概率。然而，这样可能会出现极值条件概率的情况，因样本量过少出现条件概率为0而使推理结果也为0，从而影响后验概率的估计。一般采用贝叶斯估计，加上参数λ的拉普拉斯平滑方法解决：

式中：n′为样本个数；I为指示函数；s_j为x_j出现个数；Y为一个取类属C上的变量。贝叶斯估计等价于在各个取值的频数上加上一个适当的正数λ，避免条件概率为0。

3.3 确定参数

经第3.2节构建主机上的朴素贝叶斯分类器，若要能在实际上应用，必须要获取各节点相应条件概率P(X|Y)及其先验概率P(Y)，一般通过大样本的参数学习得到。设大样本训练集为

如图 2和图 3所示的朴素贝叶斯分类器，需要训练估计节点参数P(Y=c_k)与参数P(X^(j)=x_j|Y=c_k) (1≤j≤n, 1≤k≤m)的概率值，通过大样本参数学习，从而可对评估指标X分配为Y类：

经过大样本参数学习与拉普拉斯平滑后，根据式(3)，有

式中：s_k为大样本参数学习集中类别为c_k的样本数目；s为大样本参数学习集T的总数目；s_kj为大样本参数学习中类别为c_k且属性取值x_j的样本数，从而可计算或推理出分类条件概率值P(Y|X)。

为了防止条件概率出现极值0的情况，大样本参数学习的结果与普通朴素贝叶斯分类器不同，添加一个平滑因子λ。

3.4 信息融合

本文的基本思路是：首先，通过采集网络各主机上评估指标多源异构原始数据X，对连续型指标变量按第2.4节及表 1方法预处理得到相应的离散级别，再通过朴素贝叶斯分类器向上融合函数h，计算生成各主机的基础运行维指数、脆弱维指数和威胁维指数；然后，根据数理统计上频率近似概率的方法经融合函数g把N个主机的基础运行维指数融合成网络的基础运行维指数，N个主机的脆弱维指数融合成网络的脆弱维指数，N个主机的威胁维指数融合成网络的威胁维指数；最后，通过融合函数f加权生成网络安全态势SA。

4 量化评估方法 4.1 主机安全指数

主机安全指数由主机的三维指数(Run_host, Vul_host, Threat_host)构成，是对主机安全状况在某时刻所处级别i的定量描述。通过上述方法，可分级构建融合主机多源异构信息来评估网络安全态势的朴素贝叶斯分类器，当采集到一个样本X，经多级融合成主机的3个指数：主机基础运行维指数Run_host、主机脆弱维指数Vul_host与主机威胁维指数Threat_host，这就是融合函数h。

对于主机3个指数中的每维，样本X经朴素贝叶斯分类器推理，有5个概率值。对于主机基础运行维指数而言，把样本X分为“安全”的概率为P(Y=1|X)，把样本X分为“轻度危险”的概率为P(Y=2|X)，…，把样本X分为“高度危险”的概率为P(Y=5|X)。其他2个指数一样，为了便于表达，把主机基础运行维指数的概率用P₁表示，主机脆弱维指数的概率用P₂表示，主机威胁维指数的概率用P₃表示，则样本X经朴素贝叶斯分类器推理，得到主机的三维指数的概率矩阵A，可简称为主机安全指数矩阵，有

式中：第1行表示主机基础运行维指数Run_host 5个概率；第2行表示主机脆弱维指数Vul_host 5个概率；第3行表示主机威胁维指数Threat_host 5个概率。网络中有N台主机，则每台主机经不同样本X推理都可以有一个3×5概率矩阵A，则一共有N个概率矩阵A_i。

物理意义上，主机安全指数矩阵A从3个方面定量描述主机的安全状况。符号约定，A_i表示第i台主机概率矩阵，A_i(j)表示概率矩阵A_i的第j行，A_i(j, k)表示概率矩阵A_i的第j行第k列。概率矩阵B与D同理。

4.2 网络安全指数

网络安全指数由网络的三维指数(Run_net, Vul_net, Threat_net)构成，是对网络安全状况在某时刻所处级别i的定量描述。经第4.1节计算出样本X的主机安全指数，网络中每台主机类似方法可得出其安全指数，概率矩阵为A_i(i=1, 2, …, N)。方便地，网络安全指数由N台主机的安全指数算术平均生成，当然也可以对重要的主机如服务器权重加大，其他主机权重减轻复合而成，这就是融合函数g。例如对于网络的基础运行维指数Run_net，由N台主机基础运行维指数Run_host取算术平均值，得到网络基础运行维安全指数。三维网络安全指数构成3×5概率矩阵B，简称为网络安全指数矩阵，有

式中：第1行第1列B(1, 1)表示目前网络基础运行维指数Run_net为“安全”的概率；第1行第5列B(1, 5)表示目前网络基础运行维指数Run_net为“高度危险”的概率；第2行表示网络脆弱维指数Vul_net概率；第3行表示网络威胁维指数Threat_net。

物理意义上，是对网络上N台主机的安全指数融合成一个网络安全指数，也就是从N个主机安全指数矩阵A_i融合成一个网络安全指数矩阵B。

4.3 网络安全态势评估

由第4.1节和第4.2节可知，先从最基层的众多评估指标X_i，融合成各主机的基础运行维指数Run_host、主机的脆弱维指数Vul_host与主机的威胁维指数Threat_host，生成主机i的安全指数矩阵A_i；再由各主机的安全指数矩阵A_i生成网络的安全指数矩阵B。

本节中，从网络安全指数中的基础运行维指数、网络的脆弱维指数与网络的威胁维指数矩阵B最终生成网络安全态势SA。分两步进行：第1步，由网络安全指数的三维分别加权融合生成网络安全态势指数；第2步，由网络安全态势指数计算出网络安全态势。

注意术语，网络安全指数可由3×5的概率矩阵B描述，网络安全态势指数可由1×5的矩阵D描述，而网络安全态势是一个标量SA。

4.3.1 生成网络安全态势指数

网络安全态势指数为五等概率矩阵D，分别描述目前网络安全状况所处五等i的概率。根据经验与专家推荐，给出网络基础运行维指数Run_net、网络脆弱维指数Vul_net与网络威胁维指数Threat_net的权值ω=(ω₁, ω₂, ω₃)(ω₁+ω₂+ω₃=1.0)，使得指数矩阵B生成网络安全态势指数矩阵D为

式中：

矩阵D表示网络安全态势指数，是1行5列的矩阵，每个分量元素D(1, i)是0~1的实数，5个数值之和为1，分别对应着安全态势等级1~5等的概率。

物理意义上，对网络安全指数矩阵B的三维(Run_net, Vul_net, Threat_net)进行加权综合，融合成一维网络安全态势指数矩阵D，这是对网络安全态势目前所处五等i的一个定量描述D(1, i)。

4.3.2 生成网络安全态势

由网络安全态势指数矩阵D，与相应的等级i经数学综合计算得到网络安全态势SA，设等级向量E=^{[1, 2, 3, 4, 5]T}为转置矩阵，有

物理意义上，等级向量E中的分量i，对应的概率为D(1，i)，综合计算后结果SA′是1~5之间的实数，按照四舍五入就可得到网络安全态势SA所在的等级。

5 评估算法 5.1 参数学习算法

输入：评估指标X大样本观测数据。

输出：参数化朴素贝叶斯分类器。

(1) s←评估指标X样本总数。

(2) let s_k=0, s_kj=0, λ=1

(3) for every X and x_j

(4) if Y=c_k then s_k=s_k +1

(5) if X^(j)=x_j then s_kj=s_kj +1

(6) endfor

(7) for every c_k, let P(Y=c_k)=s_k/s

(8) for every x_j and c_k let

(9) P(X^(j)=x_j|Y=c_k)=(s_kj+λ)/(s_k+λs_kj)

(10) endfor

(11) output NB parameter P(Y) and P(X|Y)

本参数学习算法的时间复杂度为O(skm)，k为类别数，m为样本维数，s为样本量。

5.2 安全态势生成算法

输入：评估指标X一次观察数据。

输出：网络安全态势SA。

(1) 采集一组评估指标X实时观测值，并离散化五等。

(2) for every host i compute matrix A_i

(3) from every matrix A_i compute matrix B

(4) let ω=(ω₁, ω₂, ω₃)

(5) compute matrix D=ω·B

(6) let matrix E=[1, 2, 3, 4, 5]^T

(7) compute two matrix product D·E

(8) SA=rounding(D·E)

(9) output SA

本网络安全态势生成算法时间复杂度为O(N)。

6 仿真实验

本文搭建了一个网络实验环境，验证本文所提出评估方法的合理性与正确性。在该环境下进行安全态势量化评估实验。普通用户User和攻击者Attacker可通过Internet访问该网络上各主机。

定期采集入侵检测系统IDS攻击信息、主机Nessus中采集漏洞扫描信息、Snort采集日志报警信息和路由器Netflow采集网络流量信息，作为本次仿真实验的多源异构原始数据源。

6.1 数据采样

1) 原始数据

不断地人为对上述网络环境发起各类攻击，为了清晰绘图，在一个10 s时间内，动态采集了200个样本，以4个评估指标(CPU利用率、内存占用大小、子网带宽使用率和子网平均数据流)采样为例，原始数据如图 4所示，主机受到攻击时样本实时数据会产生一定的波动，数据之间具有相互关联性。

2) 离散化后数据

对于图 4所示连续型原始采样数据，可应用式(1)归一化处理为0~1之间的实数值，再对照表 1可取相应的五等离散取值。为了便于表达，把图 4中的数据按中间值处理后平移到相应的位置，而不是直接取离散值，否则变成一根折线，表达不了数据之间的差异性，如图 5所示。离散化平移后，数据在相应的离散值附近上下小幅度波动。在应用时，在等级i附近上下波动的数据就取离散化值i，方便且易于操作。

6.2 参数学习

为了让所建立的朴素贝叶斯分类器能正常使用，必须对其进行参数学习。本实验随机采集所需样本量5 000个，对普通贝叶斯网、朴素贝叶斯网与拉普拉斯平滑后的朴素贝叶斯网参数学习算法作了相应的比较，如图 6所示。

根据朴素贝叶斯分类器公式和P_jk=P(X^(j)=x_j|Y=c_k)，横坐标代表学习样本量，纵坐标表示经过一次样本学习后，评估指标先验概率与条件概率与上一次学习结束时的距离，即根方差σ=，对于普通贝叶斯网，可用其联合条件概率θ_ijk=代替P_jk，为了方便计算，把所有的概率放大10倍。从图 6中可知，普通贝叶斯网的学习速度较慢，且具有较大的波动性，需要样本量多；而未经平滑的朴素贝叶斯网，小样本时，不如平滑后的朴素贝叶斯网明显，但样本量趋于3 000时，具有同等效果。因此，拉普拉斯平滑后的朴素贝叶斯在小样本时具有优越性。

经过主机5 000个大样本数据朴素贝叶斯参数学习，获得后验概率参数P(X=x^(j)|Y=i)近似值，以主机基础运行维指数为例，如表 2所示朴素贝叶斯分类器的部分参数表。

6.3 在线评估

1) 主机安全指数图

一个样本X经朴素贝叶斯分类器推理，对于主机3个指数(Run_host, Vul_host, Threat_host)中的每维，各有5个概率值。

图 7给出了当主机一次朴素贝叶斯推理后，主机每维取相应的概率值的情况。第1竖列表示该主机基础运行维指数Run_host 5个等级概率，第2竖列表示该主机脆弱维指数Vul_host 5个等级概率，第3竖列表示该主机威胁维指数Threat_host 5个等级概率。从结论可以看出各维取第1等级的概率P(Y=1|X)都要高，且每维5个等级概率之和为1，说明各主机“安全”的概率要大得多，“高度危险”的概率要少得多。

2) 网络安全态势指数图

网络安全态势指数为5个等级概率矩阵D，分别描述目前网络安全状况所处5个等级i的概率。本文根据经验与专家推荐，给出网络基础运行维指数Run_net、网络脆弱维指数Vul_net与网络威胁维指数Threat_net的权值ω=(ω₁, ω₂, ω₃)=(0.50, 0.25, 0.25)，体现网络的基础运行维指数的重要性，从网络安全指数矩阵B生成网络安全态势指数矩阵D，矩阵D表示网络安全态势指数，是1行5列的矩阵，每个分量元素D(1, i)是0~1的实数，5个数值之和为1。图 8描绘了15个时刻的网络安全态势指数。网络上受到攻击时，相关时刻指数会产生波动。图 8中每个时刻上的5个值(竖排)之和为1，分别对应着安全态势等级1~5等的概率。

3) 网络安全态势评估图

在网络安全态势评估前，需动态采集各个评估指标值，表 3表示某个时刻t网络上一主机所有评估指标的离散取值。网络上有多少个主机，在这个时刻t时就有多少个类似参数表 3，共同融合成网络的安全态势SA。

表 3表示此台主机正受到网络攻击，因为威胁维指数5个等值基本上处于2、3等级，经融合可得网络安全态势指数矩阵为D=[0.71, 0.18, 0.07, 0.03, 0.01]，与相应等级向量^{[1, 2, 3, 4, 5]T}之积，得SA′=1.45，取上整得到网络安全态势为第1等，近似第2等。

本实验动态采集了10次样本，网络上主机当达到一定数量受到攻击时，整个网络安全态势会产生明显波动。实验中，对普通贝叶斯评估方法、朴素贝叶斯评估方法以及本文中的拉普拉斯平滑后的朴素贝叶斯评估方法作了比较，网络安全态势评估对比如图 9所示。根据网络安全态势等级划分，若对SA′的值四舍五入，拉普拉斯平滑后的朴素贝叶斯评估方法具有同等的效果，能及时反映网络当前的安全状况。

从上述仿真实验可以看出，本文算法具有高效性与准确性。图 6表明当样本量达3 000左右基本上收敛在某个平稳状态，所需样本量比贝叶斯方法要少，参数学习效率高；图 8表明安全态势受多个评估指标与主机影响，之间具有相互关联性，受攻击时产生波动，可详细反映当时网络安全所处各状态的情况；图 9表明本文所采取的拉普拉斯平滑后的朴素贝叶斯评估方法具有稳定性，优于其他两个方法。

7 结论

针对目前安全态势评估中的信息来源单一、评估范围有限、时空开销较大且可信度低等问题，本文提出了基于多源异构信息融合的量化评估网络安全态势方法。

1) 在评估过程中，分层处理，综合考虑了影响网络安全态势的各方面因素。

2) 首先通过构建分级朴素贝叶斯分类器融合主机的多源异构非确定性信息源，改进了朴素贝叶斯分类器参数学习，给予了拉普拉斯平滑方法，优化分类与推理结果；然后使用数理统计的方法融合网络上各主机的安全指数，量化评估网络安全态势，具有可信性；最后通过真实网络环境的实验，验证了所提方法在网络安全态势评估中的可行性和有效性。

3) 朴素贝叶斯分类器在参数学习、分类与推理，具有快速高效性。