本发明涉及网络安全，具体为一种网络安全防护方法及系统。
背景技术：
1、随着互联网的迅猛发展，网络已经成为人们日常生活和工作中不可或缺的一部分，然而，伴随着网络的普及和应用的广泛，网络安全问题也日益凸显，网络攻击手段不断演变，攻击者利用各种技术手段对目标系统进行渗透和破坏，造成巨大的经济损失和信息泄露，面对日益复杂和多变的网络攻击手段，传统的静态防御策略显得力不从心，难以有效应对各种新型威胁。
2、当前的网络安全防护技术主要依赖于规则匹配和签名库更新，这种静态防御策略在面对动态变化的网络环境和不断演进的攻击手法时显得力不从心，一方面，规则匹配方式虽然能够有效拦截已知威胁，但对于未知威胁则束手无策，另一方面，签名库更新往往滞后于攻击发生，无法及时响应新的攻击模式，此外，传统方法在处理大规模、多源异构数据时存在明显的性能瓶颈，无法高效地进行威胁分析和预警，这些问题的存在极大地限制了现有防护技术的有效性和响应速度。
3、然而，由于缺乏自主学习和适应能力，现有防护系统难以在攻击模式频繁变更的情况下保持高效率和准确性，传统系统在处理复杂网络行为时，往往只能基于单一维度的特征进行分析，忽视了跨模态特征间的相互作用，导致威胁识别的精确度和全面性大打折扣，并且在现有技术框架下，安全策略的调整通常依赖于人工干预，这不仅增加了运维成本，也降低了应对突发安全事件的及时性和有效性，因此，开发一种能够克服上述局限，实现智能、动态、高效的网络安全防护方法成为迫切需要解决的问题。
技术实现思路
1、本发明的目的就是为了弥补现有技术的不足，提供了一种网络安全防护方法及系统，它能够通过整合多模态数据融合、异构特征学习、动态模型选择与融合技术，该网络安全防护方法及系统能够自动学习并识别网络中的异常行为模式，无需人工过多干预，提高了安全防护的自动化水平，引入智能模型库和动态策略调控模块，使得系统能够根据实时监测数据和网络环境的变化，自适应地选择和组合最优模型进行威胁分析，增强了系统的智能决策能力。
2、本发明为解决上述技术问题，提供如下技术方案：一种网络安全防护方法，该防护方法的具体步骤：
3、s100，多模态数据融合：收集网络流量数据和日志文件，并集成多源数据，包括dns查询记录、用户行为日志、社交媒体信息，从而形成多模态数据集，利用数据融合技术，结合特征级、决策级融合策略，全面提高威胁识别的维度和精度；
4、s200，异构特征学习：针对不同来源和类型的特征，设计异构特征学习技术，采用自注意力机制，有效捕捉特征间的复杂关联性，特别是跨模态特征的互补性，使得模型能更深层次理解网络行为模式；
5、s300，动态模型选择与融合：实现模型仓库管理机制，内置经过预训练的多钟机器学习模型，根据实时监测数据的特性和当前网络环境的具体需求，自适应地选择和组合最合适的模型进行威胁分析，通过在线学习策略不断评估模型性能，确保最佳防护效果；
6、s400，主动诱饵与蜜罐技术：结合主动防御理念，设计并部署智能蜜罐技术，通过动态生成虚拟服务和模拟真实用户行为，吸引并误导潜在攻击者，同时收集攻击行为数据，为模型提供更加丰富的异常样本，加速模型的学习与进化过程；
7、s500，情境感知与行为预测：引入情境感知综合分析网络上下文信息，增强模型对网络行为的理解能力，并对网络行为进行预测，提前识别潜在的攻击趋势和模式；
8、s600，交互式安全仪表板与可视化：设计用户交互界面，提供实时安全态势的可视化展示，包括威胁地图、风险热力图、流量异常趋势分析，允许安全管理员直观理解网络状态，快速定位问题，同时支持定制化报警规则和报告导出功能。
9、更进一步地，所述s100包括：
10、s101，网络数据收集：从多个数据源，包括网络设备、服务器、终端设备、安全设备，收集网络流量数据和日志文件，数据类型包括网络包、系统日志、应用日志、用户行为日志、dns查询记录、社交媒体信息；
11、s102，多源数据集成：将不同来源数据进行集成，提取识别网络威胁的关键特征，包括网络流量特征：流量大小、协议类型、源ip地址、目的ip地址、端口号，用户行为特征：登录时间、访问路径、操作类型，时间序列特征：分析数据时间维度特征的访问频率、时间间隔；
12、s103，特征级融合：将不同数据源的特征进行组合，形成综合特征向量，采用特征选择算法互信息mi筛选出最具代表性的特征；
13、s104，决策级融合：对各数据源已有的初步分类和判断结果进行汇总，通过加权平均来做出最终判断。
14、更进一步地，所述s103特征级融合用于衡量不同模态数据之间的相关性和共享的信息量，在多模态数据融合中，通过计算不同模态数据之间的互信息，了解这些模态数据之间的依赖程度，从而指导特征的选择和确定模态间融合的权重，其算法公式为：i(x；y)是特征x和目标变量y之间的互信息，p(x，y)是联合概率分布，p(x)和p(y)是边缘概率分布。
15、更进一步地，所述s104决策级融合通过加权平均方法对不同模态的数据进行加权平均来得到综合的结果，针对每个模态的数据进行标准化和规范化处理，根据各模态数据的可靠性和重要性进行权重计算这些模态特征值的加权平均，以此得到融合后的特征表示，即xi为模态数据，ωi为权重以反映不同模态数据对于特定任务的重要性。
16、更进一步地，所述s200从多模态数据集中提取与网络安全相关的特征，包括网络流量数据、日志文件、dns查询记录、用户行为日志、社交媒体信息，根据特征的来源和类型，对特征进行分类，将特征分为网络流量特征、用户行为特征、社交媒体特征、时间序列特征，使用自注意力机制来捕捉特征之间的依赖关系，输入序列中不同位置的信息，并根据这些信息计算新的特征表示，即：q是查询矩阵，k是键矩阵，v是值矩阵，dk是键矩阵的维度，softmax函数用于计算注意力权重，将通过自注意力机制学习到的特征进行融合，形成更加全面和准确的特征表示。
17、更进一步地，所述s300包括：
18、s301，模型仓库管理：建立一个模型仓库，存储多种经过预训练的机器学习模型，包括分类模型、聚类模型、异常检测模型，每个模型在仓库中都包含其训练数据、超参数和性能指标的元数据；
19、s302，实时数据监测：对实时网络流量和用户行为数据进行监测，提取当前网络环境的特征，根据实时数据的特性，动态评估当前网络环境的变化情况；
20、s303，模型选择：根据实时数据的特性和当前网络环境的具体需求，从模型仓库中选择最合适的模型，采用基于性能指标的排序算法评估各模型的适用性，选择性能最优的模型；
21、s304，模型融合：对于复杂的威胁检测任务，需要组合多个模型进行分析，采用模型融合技术将多个模型的输出结果进行融合，提高威胁检测的准确性和鲁棒性；
22、s305，在线学习与模型更新：实现在线学习机制，根据实时数据不断更新模型参数，适应网络环境的变化，定期评估模型性能，发现性能下降自动触发模型再训练和更新；
23、s306，模型性能评估：采用多种性能指标，包括准确率、召回率、f1分数，对模型进行评估，确保其在实际应用中的有效性，记录和分析模型的性能变化，及时调整模型选择和融合策略。
24、更进一步地，所述s303通过基于性能指标的排序算法根据模型在训练数据和验证数据上的性能指标进行排序，选择性能最优的模型，对每个模型在训练数据和验证数据上的性能进行评估，包括准确率、精确率、召回率、f1分数、均方误差，其算法公式为：score(mi)＝α·accuracy(mi)+β·recall(mi)+γ·f1(mi)，score(mi)是模型mi的综合评分，α、β、γ是权重系数，accuracy(mi)、recall(mi)、recall(mi)、f1(mi)分别是模型的准确率、召回率和f1分数，根据问题的性质和业务目标的评估结果，对模型进行排序，性能越高的模型排名越靠前，排序包括单一指标排序和多指标综合排序，从排序后的模型列表中选择一个和多个模型用于后续的融合和直接部署，基于模型的排名、多样性、计算成本和可解释性的因素进行选择，选择多个模型，则需要进行模型融合。
25、更进一步地，所述通过s304采用模型融合技术实时监测数据的特性和当前网络环境的具体需求，选择多个机器学习模型进行威胁分析，对选定的模型进行评估，确定其性能和可信度，使用简单平均法，将选定模型的预测结果进行融合，并将多个模型的预测结果进行无偏的平均，即：yavg为最终预测结果，n为模型数量，得到最终的预测结果，作为网络安全防护的输出
26、一种网络安全防护系统，所述防护系统包括以下组成部分：
27、多源情报汇聚引擎模块：从各种数据源，包括网络流量、日志文件、dns记录、用户行为日志、社交媒体信息，收集数据，并使用数据融合技术将这些多源数据集成统一的多模态数据集，以确保从多角度和层次上捕捉网络威胁的特性；
28、跨域特征解析模块：设计用于处理来自不同源和类型的数据特征，采用自注意力机制，对这些异构特征进行学习和理解，发现和挖掘不同模态特征之间的互补性和复杂关系，从而构建对网络行为模式的深度理解；
29、智能模型库与动态策略调控模块：维护模型仓库，内含多种预训练的机器学习模型，根据实时监测数据的特性以及网络环境的变化，自动选择和组合最优模型进行威胁分析，同时，还具备在线学习能力，能够持续评估模型性能，确保防护效果的最佳化；
30、主动防御仿真沙盒模块：集成智能蜜罐技术，动态生成虚拟服务和模拟真实用户行为，吸引潜在攻击者，同时收集攻击行为数据，增加模型训练的数据量，加速模型的学习过程；
31、环境感知预测中心模块：运用情境感知，综合分析网络环境上下文，预测网络行为趋势，提前识别潜在威胁，增强系统的预警能力；
32、安全态势可视化控制模块：提供交互式的用户界面，实时展示安全态势，即威胁地图、风险热力图和流量异常趋势，帮助安全人员迅速理解网络状况，定位问题，制定策略，并支持个性化警报设置和报告输出；
33、威胁情报协同学习模块：负责整合外部威胁情报，扩充模型训练数据，通过持续学习机制确保系统防护策略与时俱进，适应不断变化的网络安全威胁环境。
34、更进一步地，所述主动防御仿真沙盒模块中的蜜罐技术用于部署虚拟化的网络服务，即web服务器、数据库、文件共享，模拟真实的网络环境吸引攻击者，创建隔离的虚拟环境，详细记录攻击者的所有操作，包括网络连接、命令执行、文件访问，分析攻击者的行为模式，识别常见的攻击手段和工具，将收集到的攻击数据转换为威胁情报，帮助改进防护策略。
35、与现有技术相比，该一种网络安全防护方法及系统具备如下有益效果：
36、一、本发明通过从多个维度和层次上全面捕捉网络威胁的特性，实现对复杂网络行为模式的深度理解和精准识别，尤其在处理大规模、异构数据时，通过自注意力机制和图神经网络技术，有效捕捉特征间的复杂关联性和跨模态特征的互补性，这大大提高了威胁识别的精度和维度，从而能够更加快速、准确地识别并防御各类已知及未知网络威胁，有效降低安全事件的发生概率，保障网络资源的安全性与稳定性。
37、二、本发明通过智能模型库与动态策略调控模块，能够根据实时监测数据的特性和当前网络环境的具体需求，自适应地选择和组合最合适的模型进行威胁分析，通过在线学习策略不断评估模型性能，确保最佳防护效果，此外，系统还具备持续学习机制，能够整合外部威胁情报，扩充模型训练数据，确保系统防护策略与时俱进，适应不断变化的网络安全威胁环境，这种动态适应性和智能决策能力显著提升了网络安全防护的自动化水平，为网络安全防护提供了强有力的技术支撑。
38、本发明的其他优点、目标和特征在某种程度上将在随后的说明书中进行阐述，并且在某种程度上，基于对下文的考察研究对本领域技术人员而言将是显而易见的，或者可以从本发明的实践中得到教导。
1.一种网络安全防护方法，其特征在于，该防护方法的具体步骤：
2.根据权利要求1所述的一种网络安全防护方法，其特征在于，所述s100包括：
3.根据权利要求1所述的一种网络安全防护方法，其特征在于，所述s103特征级融合用于衡量不同模态数据之间的相关性和共享的信息量，在多模态数据融合中，通过计算不同模态数据之间的互信息，了解这些模态数据之间的依赖程度，从而指导特征的选择和确定模态间融合的权重，其算法公式为：i(x；y)是特征x和目标变量y之间的互信息，p(x，y)是联合概率分布，p(x)和p(y)是边缘概率分布。
4.根据权利要求3所述的一种网络安全防护方法，其特征在于，所述s104决策级融合通过加权平均方法对不同模态的数据进行加权平均来得到综合的结果，针对每个模态的数据进行标准化和规范化处理，根据各模态数据的可靠性和重要性进行权重计算这些模态特征值的加权平均，以此得到融合后的特征表示，即xi为模态数据，ωi为权重以反映不同模态数据对于特定任务的重要性。
5.根据权利要求3所述的一种网络安全防护方法，其特征在于，所述s200从多模态数据集中提取与网络安全相关的特征，包括网络流量数据、日志文件、dns查询记录、用户行为日志、社交媒体信息，根据特征的来源和类型，对特征进行分类，将特征分为网络流量特征、用户行为特征、社交媒体特征、时间序列特征，使用自注意力机制来捕捉特征之间的依赖关系，输入序列中不同位置的信息，并根据这些信息计算新的特征表示，即：q是查询矩阵，k是键矩阵，v是值矩阵，dk是键矩阵的维度，softmax函数用于计算注意力权重，将通过自注意力机制学习到的特征进行融合，形成更加全面和准确的特征表示。
6.根据权利要求1所述的一种网络安全防护方法，其特征在于，所述s300包括：
7.根据权利要求6所述的一种网络安全防护方法，其特征在于，所述s303通过基于性能指标的排序算法根据模型在训练数据和验证数据上的性能指标进行排序，选择性能最优的模型，对每个模型在训练数据和验证数据上的性能进行评估，包括准确率、精确率、召回率、f1分数、均方误差，其算法公式为：score(mi)＝α·accuracy(mi)+β·recall(mi)+γ·f1(mi)，score(mi)是模型mi的综合评分，α、β、γ是权重系数，accuracy(mi)、recall(mi)、recall(mi)、f1(mi)分别是模型的准确率、召回率和f1分数，根据问题的性质和业务目标的评估结果，对模型进行排序，性能越高的模型排名越靠前，排序包括单一指标排序和多指标综合排序，从排序后的模型列表中选择一个和多个模型用于后续的融合和直接部署，基于模型的排名、多样性、计算成本和可解释性的因素进行选择，选择多个模型，则需要进行模型融合。
8.根据权利要求6所述的一种网络安全防护方法，其特征在于，所述s304采用模型融合技术实时监测数据的特性和当前网络环境的具体需求，选择多个机器学习模型进行威胁分析，对选定的模型进行评估，确定其性能和可信度，使用简单平均法，将选定模型的预测结果进行融合，并将多个模型的预测结果进行无偏的平均，即：yavg为最终预测结果，n为模型数量，得到最终的预测结果，作为网络安全防护的输出。
9.一种网络安全防护系统，其特征在于，所述防护系统包括以下组成部分：
10.根据权利要求9所述的一种网络安全防护系统，其特征在于，所述主动防御仿真沙盒模块中的蜜罐技术用于部署虚拟化的网络服务，即web服务器、数据库、文件共享，模拟真实的网络环境吸引攻击者，创建隔离的虚拟环境，详细记录攻击者的所有操作，包括网络连接、命令执行、文件访问，分析攻击者的行为模式，识别常见的攻击手段和工具，将收集到的攻击数据转换为威胁情报，帮助改进防护策略。
