物联网威胁情报知识图谱综述

李昌建; 于晗; 陈恺; 赵晓娟; 韩跃; 李爱平

doi:10.20172/j.issn.2097-3136.240202

网络空间安全科学学报 >

2024 , Vol. 2 >Issue 2: 18 - 35

DOI: https://doi.org/10.20172/j.issn.2097-3136.240202

综述

物联网威胁情报知识图谱综述

李昌建 ¹ ,
于晗 ¹ ,
陈恺 ¹ ,
赵晓娟 ² ,
韩跃 ¹ ,
李爱平 ^,¹^,*

展开

1. 国防科技大学计算机学院，长沙 410073
2. 湖南人文科技学院，娄底 417000

liaiping@nudt.edu.cn

网络出版日期: 2024-07-08

基金资助

国家重点研发计划(2022YFB3104103)

版权

收起

A survey of IoT threat intelligence knowledge graph

LI Changjian ¹ ,
YU Han ¹ ,
CHEN Kai ¹ ,
ZHAO Xiaojuan ² ,
HAN Yue ¹ ,
LI Aiping ^,¹^,*

Expand

1. School of Computer Science, National University of Defense Technology, Changsha 410073, China
2. Hunan University of Humanities, Science and Technology, Loudi 417000, China

Online published: 2024-07-08

Copyright

Fold

摘要

物联网（Internet of Things，IoT）技术的快速发展带来了巨大的市场潜力，同时也带来了安全和隐私问题。传统的安全方法已不能应对新的网络威胁，威胁情报和安全态势感知等主动防御策略应运而生。知识图谱技术为解决威胁情报的提取、整合和分析提供了新的思路。首先回顾了物联网安全本体的构建，包括通用安全本体和特定领域安全本体。接着，梳理了威胁情报信息抽取的关键技术，包括基于规则匹配、统计学习和深度学习的方法。然后，探讨了物联网威胁情报知识图谱的构建框架，涉及数据源、信息抽取、本体构建等方面。最后，讨论了物联网威胁情报知识图谱的应用情景，并指出当前研究面临的挑战，展望了未来的研究方向。

关键词： 物联网安全; 威胁情报; 知识图谱; 信息抽取; 本体构建; 知识图谱构建

本文引用格式

李昌建 , 于晗 , 陈恺 , 赵晓娟 , 韩跃 , 李爱平 . 物联网威胁情报知识图谱综述[J]. 网络空间安全科学学报, 2024 , 2(2) : 18 -35 . DOI: 10.20172/j.issn.2097-3136.240202

Abstract

The rapid development of Internet of Things (IoT) technology has brought enormous market potential, but it has also brought about security and privacy issues. Traditional security methods are no longer sufficient to address emerging network threats. Proactive defense strategies, such as threat intelligence and security situational awareness, have emerged as effective alternatives. Knowledge graph technology offers innovative approaches for extracting, integrating, and analyzing threat intelligence. Firstly, the construction of IoT security ontology, including the general security ontology and domain-specific security ontology was reviewed. Next, the key technologies for extracting threat intelligence information were summarized, including methods based on rule matching, statistical learning, and deep learning. Then the construction framework of the IoT threat intelligence knowledge graph was explared, which included data sources, information extraction, ontology construction, and other aspects. Finally, the application scenarios of the IoT threat intelligence knowledge graph were discussed, the current research challenges were highlighted , and the future research directions were anticipated.

Key words： internet of things security; threat intelligence; knowledge graph; information extraction; ontology construction; knowledge graph construction

0 引言

物联网（Internet of Things，IoT）是指通过互联网将各种物理设备、车辆、家用电器和其他物品连接起来，使它们能够相互交换数据和信息。得益于它的智能化、实时性和可扩展性，物联网在近几年来发展迅速。截至2022年，全球大约有143亿个智能设备通过物联网连接。物联网的应用在世界各地都在兴起，尤其在东亚、西欧和北美等地区的发展更为迅速。预计到2025年，物联网设备的连接数量将增至270亿^[1]。由此看来，物联网在未来会成为主要市场之一，并将成为数字经济发展和扩张的基石。预计2025年，物联网行业收入将增加到4万亿美元，相比之下，2018年的物联网行业收入仅为8 920亿美元，其大约以每年4千亿美元的速率增长^[2]。随着物联网技术的迅速发展和应用，安全和隐私问题日益突出。如果没有一个可信的物联网生态系统，新兴的物联网技术可能无法达到很高的目标，也可能失去所有的发展潜力。除了互联网、蜂窝网络、无线传感器网络普遍面临的安全问题，物联网还存在许多其他安全问题，如隐私问题、认证问题、管理问题以及信息存储问题等，这些问题使物联网更容易受到各种网络威胁的影响。在世界范围内，已经安装的物联网设备和应用正面临着各种安全和隐私攻击的威胁。据统计，在2016年的最后一个季度，Mirai攻击^[3]感染了大约250万个连接到互联网的设备，并发动了分布式拒绝服务（Distributed Denial-of-Service，DDoS）攻击^[4]。随后，Hajime^[5]和Reaper^[6]相继出现，它们也是针对物联网设备发动的大规模僵尸网络攻击。安全性低的物联网设备成为攻击者进入家庭和企业网络的跳板，对用户数据产生了极大的威胁。此外，物联网领域正在超越单纯的事物或对象。已经有各种将物联网设备植入人体的成功尝试，用以监测人体的各种生理特征^[7]。针对这种类型的物联网设备，攻击者可以追踪特定个人的位置或者伪造数据，这种攻击虽然目前还没有出现，但是如果类似的物联网设备受到攻击，可能会造成非常大的损害。

传统的安全方法主要依靠在边界或特定节点部署防火墙和入侵检测系统等安全设备，这些安全设备主要基于特征检测实施网络安全监控，通过匹配预定规则生成警报信息。然而，这种被动防御已不再适用于高级持续性威胁（Advanced Persist Threat，APT）、零日攻击和其他新形式的网络攻击。因此，出现了威胁情报（Threat Intelligence）^[8-10]和安全态势感知^[11]等综合防御策略。威胁情报是一种通过收集、分析和理解与网络安全相关的数据和信息（恶意IP地址、恶意样本描述、攻击者特征等），识别潜在的网络威胁、漏洞和攻击者的行为模式^[12]。其主要来源为恶意软件分析报告、安全公告与漏洞报告、论坛博客等社交媒体以及情报共享平台。威胁情报可以帮助识别潜在的网络威胁和攻击者行为模式，能够预防安全事件、加强安全策略，并缩短应对安全事件的响应时间。同时，威胁情报支持取证和调查工作，能够满足系统安全管理者的监管需求。这也将被动防御转换为主动防御，从传统的PDR （Protection-Detection-Response）模型^[13]、PPDR（Policy-Protection-Detection-Response）模型^[14]到逐步完善的APPDRR（Assessment-Policy-Protection-Detection-Reaction-Restoration）模型^[15]，威胁情报的感知、共享和分析成为防御、检测、响应、恢复等安全技术的核心基石^[16]。因此，对威胁情报的研究引起了学术界和工业界的广泛关注，关于威胁情报的感知^[17-19]、共享机制^[20-22]、关联分析^[23-25]等方向，目前已经有许多相关的研究。同时，IBM X-Force-Exchange、360Ti、ThreatBook、VirusTotal、ThreatCrowd等威胁情报共享平台也受到了广泛关注。

然而，威胁情报在网络的主动防御中仍然面临许多的问题。从海量数据中提取高价值的威胁情报存在困难，目前威胁情报主要依赖于人工抽取，缺乏自动生成能力；威胁情报的分布具有离散性，不同威胁情报库中的信息关联度低，甚至可能出现相互冲突的情况，降低了威胁情报的可信度。而知识图谱（Knowledge Graph，KG）^[26]技术的兴起为解决这些问题提供了全新的思路。

KG的概念由Google公司在2012年提出，其原型是1998年由Berners-Lee提出的语义网（Semantic Web）^[27]。语义网提出的目的是将万维网进行扩展，旨在使网上的信息更加结构化和语义化，以便计算机能够更好地理解和处理信息。主要的方法是在信息上添加语义标记，使计算机能够理解文本的含义，而不仅仅是展示文本的内容。这种语义标记可以使不同网页之间的信息关联起来，并支持智能搜索、自动化推荐等应用。Google公司基于语义网络技术提出了知识图谱的概念，并展示了知识图谱技术带来的检索效果的提升。到目前为止，已经有大量的知识图谱产品投入实际应用，如Google Knowledge Graph、Amazon Neptune等。此外，Wikidata^[28]、DBpedia^[29]、Freebase^[30]、YAGO (Yet Another Great Ontology)^[31]等通用知识库逐渐完善，它们包含丰富多样的知识和信息，并涵盖了各个领域的实体、属性和关系，为知识图谱的发展提供了丰富的数据资源。通过信息抽取、知识融合、知识推理等过程^[32]，知识图谱能够将离散的不同形式的信息进行关联，形成一个统一表示的知识集合，然后通过对现有的知识集合进行推理来挖掘潜在知识并更新知识集合。利用知识图谱相关技术可以提高威胁情报的处理效率和准确性，为安全防御提供更深入的洞察和支持。

目前，针对物联网威胁情报知识图谱的研究和应用较少，本质上，物联网威胁情报知识图谱属于一种威胁情报知识图谱。因此，本文首先对现有的物联网安全本体进行了回顾和总结，本体定义了知识图谱的概念、属性和关系，为知识图谱提供了一个共享、一致、可扩展的知识模型。知识图谱的构建通常存在“自上而下”和“自下而上”2种模式，在“自上而下”模式中，本体先于知识图谱构建，这种构建模式能够提供规范、一致、可扩展的知识模型，适用于专业领域的知识图谱。然后，梳理了威胁情报信息抽取以及威胁情报知识图谱构建的关键技术。最后，探讨了物联网威胁情报知识图谱的实际应用、存在的问题以及未来的研究方向。

1 物联网安全本体

物联网安全本体主要对物联网安全信息（知识）进行管理，并广泛应用于网络安全领域。基于CVE（Common Vulnerabilities and Exposures）、CWE（Common Weakness Enumeration）、CAPEC （Common Attack Pattern Enumeration and Classification）和 CPE（Common Platform Enumeration），通过将知识组织起来，形成了一个包括概念、分类、关系、属性等特征的本体。

1.1 通用安全本体的构建

Zhang等^[33]应用基于本体的方法进行网络安全推理。Tsoumas等^[34]提出了基于本体的网络安全管理框架。Wang等^[35]提出了一种基于本体的安全数据挖掘漏洞管理方法。Guo等^[36]提出了一种基于本体的方法，为CVE中列出的安全漏洞建立知识图谱，管理CVE漏洞知识。Sadighian等^[37]提出了一个基于本体的入侵检测系统（ONTology based Intrusion Detection System，ONTIDS），该系统用本体来表示和存储告警信息、漏洞信息以及攻击场景，并使用语义查询—增强规则语言（Semantic Query-enhance Web Rule Language, SQWRL）编写本体逻辑规则，从而形成告警信息。Iannacone等^[38]提出了一种本体构建框架，以促进来自各种结构化和非结构化数据源的数据的整合，并将这些数据添加到KG中。Balduccini等^[39]提出了一种本体驱动的网络安全数据语义挖掘方法。

Raskin等^[40]提出的信息安全本体论是本体论用于网络安全最早的研究之一，该研究认为本体是一种建构的现实模型，或是一种关于世界（领域）的理论。它是一个高度结构化的概念系统，涵盖了某一领域的流程、对象和属性之间所有相关的复杂关系，并且可支持扩展，如添加新的属性，而无须对现有属性进行任何修改。Fenz等^[41]指出信息安全领域中存在知识不完整的问题，而构建本体可以有效解决这一问题。他们根据美国国家标准与技术研究院特别出版物SP800-12中描述的安全关系模型^[42]提出了一个本体模型，并按照OWL-DL10（Web Ontology Language-Description Logic）标准对本体进行了编码，以确保知识的标准化和形式化。MITRE公司一直在研究网络安全领域专用本体，Parmelee^[43]指出网络安全本体论应当是一种松散耦合的模块化表示法，能够适应网络安全领域变化快和复杂性高的特点，并提出了网络安全本体架构。该架构包括3层，如图1所示，其中最底层的4个受控词汇（Controlled Vocabulary, CV）表是上面网络安全领域本体的来源，通过对领域本体的抽取和复用构成了最上层的通用本体。

显示原图|下载原图ZIP|生成PPT

图 1 网络安全本体架构

Fig.1 Cybersecurity ontology architecture

Obrst等^[44]认为，本体开发的关键在于理解网络安全领域，同时注重简单性和可复用性。可复用现有本体是指将这些本体的实体、关系、属性和属性值整合到网络安全本体中，然后根据本体制定的原则进行完善。Swimmer^[45]通过扩展恶意软件本体获得了一个新的网络安全本体，该本体由多个模块化子本体组成，而不是单一的本体。他们认为，表现力强的语义模型对复杂的安全应用至关重要，而OVAL（Open Vulnerability and Assessment Language）、CPE、CCE（Common Configuration Enumeration）和CVE信息对开发网络安全本体至关重要。Syed等^[46]整合了来自各种网络安全系统和标准的异构知识模型，创建了一个名为UCO（Unified Cybersecurity Ontology）1.0的网络安全本体，其中包含各种网络安全元素，其类和关系的定义基于结构化威胁信息表达（Structured Threat Information Expression，STIX）1.2。除了基于STIX的映射外，UCO 1.0还扩展了一些相关的网络安全标准、词汇表和本体，如 CVE、CCE、CVSS（Common Vulnerability Scoring System）、CAPEC、CybOX（Cyber Observable eXpression）、KillChain和 STUCCO （Situation and Threat Understanding by Correlating Contextual Observations）。Pingle 等^[47]以 UCO 1.0 为原型，使用STIX 2.0定义类和关系，构建了网络安全本体 UCO 2.0。UCO 1.0和UCO 2.0都是Undercofer^[48]提出的入侵检测系统（Intrusion Detection System，IDS）本体的进一步扩展和增强。关于通用网络安全本体的其他研究包括文献[49-51]。

1.2 物联网安全本体的构建

除了上述对网络安全领域知识进行概念化之外，还有许多网络安全本体论应用于网络安全的特定领域，如入侵检测系统、物联网安全领域等。随着物联网技术的发展，物联网设备的研发部署速度不断加快，物联网设备能耗低、数量多以及物理硬件的性能与功能日益复杂的特点，使得物联网的安全性能受到较大的影响。因此，与传统的网络安全本体相比，物联网安全本体的特性首先体现在设备和网络的多样性上。物联网涉及各种类型的设备，如传感器、智能家居设备、工业控制系统等，物联网安全本体需要考虑到设备的多样性，具备对复杂设备建模的能力^[52]。此外，由于物联网设备是一个数量规模巨大的分布式系统，因此物联网安全本体更加倾向于对一个快速变化的动态系统进行描述性建模^[53]。最后，针对物联网设备的资源受限问题，物联网安全本体需要提供一种轻量级的安全解决方案^[54]。Undercoffer等^[55]提出使用 DARPA（Defense Advance Research Projects Agency）代理标记语言+本体推理层（DARPA Agent Markup Language + Ontology Inference Layer，DAML+OIL），并将本体理论应用于入侵检测系统。More等^[56]扩展了 Undercoffer 等^[52]提出的本体和知识库，并在逻辑中添加了规则，从而构建了一个新的入侵检测本体。为了解决现代复杂恶意软件家族的检测问题，Gregio等^[57]提出了一种基于类别层次结构的恶意软件本体核心模型，用于分析在受害者系统上执行的可疑活动。Gyrard等^[58]提出了STAC（Security Toolbox: Attack & Countermeasure）安全本体，它是在ETSI M2M（European Telcommunications Standards Institute Machine to Machine）模型的背景下构建了一个安全知识库，以帮助设计者在设计阶段确保M2M应用程序的安全性。同时，它也提供了关于安全性的一般系统概述，专注于特定的物联网相关技术，描述了资产、威胁和安全机制等内容。Nazir等^[59]基于STAC构建出了一种通用的物联网安全本体，用于在特定时间为上下文类型提供安全保障。Gonzalez-Gil等^[60]基于IoTSec（IoT Security）和STAC提出了物联网安全评估（IoT Security Evaluate，IoTSecEv）本体，该本体描述了不同的安全概念，并通过这些概念评估物联网系统的安全性，从而使得在物联网系统中可以生成资源安全的个性化排名。Arruda等^[61]提出了一个针对物联网隐私保护的轻量级本体框架IoT-Priv（IoT-Privacy），旨在平衡隐私策略的表达性和处理效率。该研究通过结合IoT的基础概念，如设备和传感器，创建了一个能够适应不同隐私需求的隐私层。他们在智能医疗保健场景中展示了IoT-Priv的应用，并评估了其处理空间和时间查询的性能，验证了其在实际应用中的有效性和轻量级特性。这项工作为IoT中的隐私保护提供了一个可扩展和可表达的解决方案，对推动该领域的研究和实践具有重要意义。

2 物联网威胁情报抽取

威胁情报信息抽取的主要目的是从多样化的威胁情报数据中自动地抽取实体、关系和属性，构成语义三元组。语义三元组（实体—关系—实体）是知识图谱中知识表示的基本单位。构成物联网威胁情报知识图谱的实体和关系通常可以从威胁情报共享平台的物联网相关威胁情报中抽取。其中，实体是威胁情报中的关键信息，如物联网设备、漏洞、攻击者或攻击组织、攻击类型等。关系是实体之间的相互联系，如攻击者与漏洞之间的关系（利用）、物联网设备与漏洞之间的关系（包含）等。属性包括攻击组织类型、名称、概述、归属等。其中命名实体识别（Named Entity Recognition，NER）任务的目标是识别文本中的命名实体，并将它们分类到预定义的类别中，从而获得构建知识图谱所需的实体。相对应地，通过关系抽取（Relation Extraction，RE）可以获得实体之间的关系。得益于自然语言处理技术的进步，从海量异构文本中抽取情报信息的研究已取得了许多成果，提供了可供参考的思路。与传统的互联网威胁情报抽取相比，物联网威胁情报的抽取还具有一些独特的特征。

1）设备具有多样性和异构性。物联网设备种类繁多，包括传感器、执行器、智能设备等，它们可能运行不同的操作系统和通信协议，这种多样性和异构性导致物联网威胁情报抽取高度复杂，因为需要处理和分析来自各种设备和协议的数据。

2）缺乏标准和互操作性。物联网领域缺乏统一的标准，这导致不同设备和平台之间的互操作性问题，抽取威胁情报时需要克服这些互操作性障碍，以实现跨平台和跨设备的威胁检测。

3）需要融合多源信息。物联网威胁情报抽取需要整合多个来源的信息，包括设备日志、网络流量、用户行为等，以获得全面的威胁视图^[62]。

本节结合物联网威胁情报抽取的特点，按照发展历程将其研究方法分为3种：基于规则匹配的方法、基于统计学习的方法和基于深度学习的方法。从这3个角度对物联网威胁情报抽取的研究进行归纳总结，比较现有方法的优缺点和经验。

2.1 基于规则匹配的方法

基于规则匹配的信息抽取方法是一种基于事先定义的规则或模式从文本中抽取结构化信息的方法，这些规则通常根据人工定义的模板、关键词、语法规则等来进行匹配和抽取^[63-66]。最早的基于规则匹配的信息抽取方法使用正则表达式来定义模式，主要用于识别文本中特定的模式或关键词，并抽取相应的信息。通常，基于规则匹配的信息抽取方法在特定的场景和任务下具有明显的优势，特别是对于具有固定结构或模式的文本抽取任务。通过合理设计和调整规则可以实现高精度、高效率的信息抽取，满足各种信息处理和分析的需求^[67]。

Reiss等^[68]提出了一种基于代数方法来解决基于规则匹配的信息抽取的可扩展性问题。传统的基于规则匹配的信息抽取主要是通过正则表达式语法进行匹配，但是这种基于正则表达式语法的系统很难扩展到大型数据集和定义大量规则的情况。因为对于大型数据集，执行正则表达式求值占用了大量时间，为了进行匹配需要尽可能地检查数据集中的每一个字符。同时，随着定义的规则数量的增加，花费的时间也会进一步增加。受到传统数据库研究的启发，提出了一种代数方法，通过查询优化策略解决可扩展性问题。近年来，随着机器学习技术的发展，一些工作将基于规则匹配的方法与机器学习的方法相结合。Soderland^[69]提出了一个信息抽取系统WHISK，该系统是第一个能够学习结构化到半结构化再到自由文本的全范围的基于规则匹配的信息抽取系统。WHISK通过正则表达式识别相关短语的上下文关系。同时，通过监督学习的方法，从用户标记的实例中学习规则。Sari等^[70]提出了一种基于规则模式抽取器和半监督学习的命名实体识别方法，该方法能够自动从有限语料库中生成抽取模式，从非结构化的文档中抽取实体。Li等^[71]针对如何减少构建高质量、复杂正则表达式所需的工作量问题进行了研究，提出了基于信息转换的正则表达式学习（Regular expression Learning for Information Extraction，ReLIE）算法，通过贪婪的爬山搜索过程学习最优的正则表达式，从而实现正则表达式的自动化构造。

基于规则匹配的方法，在某些情况下是一种有效且精确的方法，特别适用于具有清晰规则和模式的任务，该方法的优势在于具有适用性、高精度和可解释性。然而，基于规则匹配的方法非常依赖规则的质量，同时泛化能力有限，对数据的变化敏感，因此需要大量的人工工作量和成本。

2.2 基于统计学习的方法

基于统计学习的方法，如最大熵模型^[72]、条件随机场（Conditional Random Field，CRF）模型^[73]、隐马尔可夫模型^[74]等，被用于建立语言关系模型，识别不同语言元素中的统计模式，从而进一步识别实体和关系。与基于规则匹配的方法相比，基于统计学习的信息抽取方法不需要人工构建规则，而是自动地从语料库中学习参数。

对于命名实体识别任务，基于统计学习的方法的核心思想是通过2个阶段来解决实体识别问题，即文本分解阶段和标注阶段^[75]。文本分解阶段的目标是将原始的非结构化文本数据转换成更容易处理的形式，这通常涉及将文本分割成更小的单元，如单词、短语或句子，这个过程可能包括分词、词性标注等自然语言处理任务。通过这些步骤，复杂的文本能够分解为可以被机器学习模型处理的结构化数据。标注阶段的目标是为分解的单元分配正确的标签，这些标签通常包括文本中的实体类型，如人名、地名、组织名等。在这个阶段，使用统计模型，如支持向量机（Support Vector Machine, SVM）、条件随机场，来预测每个文本单元的实体类型，这通常需要对文本单元及其上下文进行分析，以确定最合适的标签。Mooney等^[76]提出了一种新的核方法，用于从自然语言文本中抽取实体之间的语义关系。这种方法基于子序列核的泛化，能够处理包含单词和组合的序列。同时，为了提高计算效率和减少过拟合，作者限定了关系核计算中的子序列模式类型，以达到减少特征空间维度的目的。Bikel等^[77]开发了一个名为IdentiFinder的隐马尔可夫模型，用于自动识别和分类文本中的命名实体。Joshi等^[78]基于条件随机场构造了一个自动化框架，能够从国家漏洞数据库（National Vulnerability Database，NVD）中抽取网络安全相关实体、概念和关系。Lal^[79]基于Stanford NER（Named Entity Recognizer）训练了一个基于条件随机场的序列模型，旨在从非结构化文本中自动抽取与网络安全相关的实体和概念。Bridges等^[80]针对网络安全领域中训练数据缺乏的问题，提出了一种自动标注技术，利用该技术创建了一个公开的带有网络安全实体标注的语料库，并建立了一个基于历史信息的最大熵模型，用于从更广泛的文档类别（如新闻文章、安全博客和推文）中抽取实体。

对于关系抽取的方法，基于统计学习的方法主要是识别和抽取文本中实体之间的语义关系。Bunescu等^[81]提出了一种基于依赖图最短路径的关系抽取方法，认为2个命名实体间的关系信息主要集中在它们的依赖图最短路径上，通过训练最短核的支持向量机可以实现关系抽取。Nguyen等^[82]探索了基于句法和语义结构的核函数在关系抽取任务中的应用，通过结合句法树和序列核来抽取文本中实体间的关系。Reichartz等^[83]探讨了如何通过组合不同类型的解析树核来提高从自然语言文本中自动抽取实体间关系的准确性。通过核函数的线性组合扩展或多项式扩展，发现短语语法解析树核和依赖解析树核组合的准确性超过了所有已知的单一树核方法，表明这2种类型的树核都包含关系抽取的互补信息。

基于统计学习的方法，如最大熵模型和条件随机场模型等，可根据训练数据建立信息抽取模型，为从非结构化文本中抽取信息提供了一种便捷、稳健的方法，并能识别新的实体。然而，这些方法也存在一些缺点，主要体现在准确率较低和对训练数据的严重依赖方面。

2.3 基于深度学习的方法

基于深度学习的信息抽取方法在自然语言处理领域得到了广泛应用，并取得了显著进展。近年来，使用深度学习模型如Transformer^[84]、BERT（Bidirectional Encoder Representations from Transformers）^[85]等，能够提高实体识别和关系抽取的准确性和效率^[86]。此外，预训练模型的出现极大地推动了信息抽取任务的发展，通过微调这些模型，可以在不同语言和领域中取得良好的效果。整体而言，这些方法使信息抽取变得更加精准、高效，并且对于自然语言处理的应用具有重要意义。

Guo等^[87]提出了一个威胁情报抽取和融合的框架，能够从结构化和非结构化数据中抽取、关联和统一网络安全实体—关系—实体三元组。现有的网络安全概念的实体和关系的抽取使用了传统的流水线模型，这种模型存在错误传播问题，并且忽略了2个子任务之间的联系。为了解决这个问题，Syed等^[88]提出了一个网络安全概念的联合实体和关系抽取模型，该模型采用UCO 2.0中定义的网络安全本体，并通过特定的标记模式为每个关系生成一系列标签，将信息抽取问题建模为序列标注问题。模型由嵌入层、编码层、注意力层和解码层构成，通过预测标签序列抽取网络安全三元组。Sarhan等^[89]提出了一种新颖的开放信息抽取（Open Information Extraction，OIE）神经网络模型，该模型基于循环神经网络，特别是门控循环单元（Gated Recurrent Unit，GRU）。作者将ELMo（Embeddings from Language Model）情景化词嵌入技术集成到OIE模型中，以增强模型对文本中词义的理解能力，同时设计了一个双向的GRU网络架构，用于捕获句子中每个单词的前向和后向词汇语义，以提高关系元组的抽取性能。然后，在以往研究基础上比较了不同的词嵌入方法^[90]，包括传统的GloVe（Global Vectors for word representation）^[91]和BERT^[85]，以及更先进的XLNet（Transformer-XL Net）^[92]和XLM-RoBERTa（Cross-lingual Language Model-Robustly optimized BERT pretraining approach）^[93]。最终，基于OIE神经网络模型提出了一个名为Open-CyKG（Open-Cybersecurity Knowledge Graph）框架^[94]，如图2所示。该框架有2个主要组件：第1个是基于注意力的OIE架构，用于从非结构化数据中抽取与领域无关的关系三元组；第2个是用于自动标记网络安全术语的命名实体识别模型。通过OIE从APT报告中抽取结构化关系元组，利用命名实体识别任务填充KG。

显示原图|下载原图ZIP|生成PPT

图 2 Open-CyKG框架

Fig.2 Open-CyKG framework

大语言模型（Large Language Models，LLMs）是近年来自然语言处理领域的研究热点。大语言模型凭借其强大的上下文理解能力、优秀的迁移和泛化能力，使其可以在少量标注数据上进行微调，并在多个任务和领域中取得了良好的效果。Lu等^[95]针对信息抽取面临的目标多变、结构异构和需要特定模式的问题，提出了文本到结构的通用信息抽取（Unified Information Extraction，UIE）框架，如图3所示。UIE的核心创新之一是结构化抽取语言（Structured Extraction Language，SEL），它允许将不同的信息抽取结构统一编码，简化了模型设计。通过SEL，UIE能够以一种通用的方式表示实体、关系和事件，从而提高模型的适应性和泛化能力。此外，UIE引入了结构模式指导器（Structural Schema Instructor，SSI），这是一个基于模式的提示机制，用于控制模型在特定任务中的抽取行为。UIE通过在大规模异构数据集上进行预训练，学习到了丰富的通用信息抽取能力，这在资源和样本贫乏的学习场景中尤为有效。Lou等^[96]提出了一种创新的信息抽取框架USM（Unified Semantic Matching），旨在通过统一的语义匹配方法来处理多样化的信息抽取任务。该框架将信息抽取任务分解为结构化和概念化2个操作，通过在多种语言资源上进行预训练，USM学习到了通用的结构化和概念化能力，这使得它在有监督、零样本和少样本迁移设置下均展现出卓越的性能。Wang等^[97]借助大语言模型的多任务学习能力，在UIE的基础上提出了InstructUIE，它通过指令调整（Instruction Tuning）技术使LLMs能够有效地处理多样化的信息抽取任务。该框架的核心在于利用自然语言指令来指导模型理解和执行特定的信息抽取任务，从而在不同任务之间实现知识的迁移和泛化。

显示原图|下载原图ZIP|生成PPT

图 3 UIE框架

Fig.3 UIE framework

基于深度学习的信息抽取方法在近年来取得了显著的进展，利用神经网络强大的表示能力，它能够从原始文本中自动学习复杂的特征，从而有效地处理实体识别、关系抽取等复杂任务。特别是端到端的深度学习模型，简化了传统信息抽取的流程，无须手动进行特征工程，提高了模型的泛化能力。此外，大语言模型如Flan-T5（instruction-Fineyuned languagemodel Text-To-Text-Transfer-Transfermer）和GPT（Generative Pre-trained Transformer），通过迁移学习进一步促进了信息抽取任务性能的提升，使得模型能够在新领域和任务上快速适应。然而，深度学习方法也面临一些问题：1）在数据稀缺的领域通常缺乏可训练的标注数据；2）训练和部署深度学习模型需要大量的计算资源；3）可解释性差；4）在资源受限的情况下无法实时响应。

自然语言处理技术的发展推动了信息抽取领域的发展，并催生了众多文本处理方法。在这些方法中，基于规则匹配、基于统计学习以及基于深度学习的方法在信息抽取领域得到了广泛的研究。表1为威胁情报信息抽取方法，总结了信息抽取领域相关研究之间的对应关系及方法特点。数据是知识图谱的基础，从现有威胁情报数据中准确识别与物联网相关的实体和关系是构建知识图谱的关键。

表 1 威胁情报信息抽取方法

Table 1 Methods of threat intelligence information extraction

类型	引用	方法描述	NRE	RE	数据类型
基于规则匹配的方法	Reiss等^[68]	基于代数的方法优化的正则表达式	√	√	2，3
	Soderland^[69]	基于可学习的正则表达式	√		1，2，3
	Sari等^[70]	基于规则和半监督学习的正则表达式	√		3
	Li等^[71]	自动化构造正则表达式	√	√	2，3
基于统计学习的方法	Mooney等^[76]	基于子序列核的SVM		√	3
	Bikel等^[77]	基于隐马尔可夫模型	√		3
	Joshi等^[78]	基于条件随机场模型	√	√	2
	Lal^[79]	基于条件随机场的序列模型	√		3
	Bunescu等^[81]	基于依赖图的最短路径训练最短核SVM		√	3
	Nguyen等^[82]	结合句法树和序列核的SVM		√	3
	Reichartz等^[83]	语法解析树核和依赖解析树核的组合SVM		√	3
基于深度学习的方法	Guo等^[87]	BERT+BiGRU+Attention+BiGRU+CRF	√	√	3
	Sarhan等^[89]	ELMo+BiGRU+FNN(Relu)+softmax	√	√	3
	Lu等^[95]	基于LLMs的通用信息抽取框架	√	√	3
	Lou等^[96]	基于LLMs的统一的语义匹配方法	√	√	3
	Wang等^[97]	在UIE的基础上进行指令调整	√	√	3

注：√表示该方法适用；1表示结构化数据；2表示半结构化数据；3表示非结构化数据。

3 物联网威胁情报知识图谱的构建

在网络信息技术迅猛发展的当下，物联网作为连接物理世界与数字信息网络的关键技术，其安全性问题已成为研究和实践的焦点。物联网设备和服务的广泛部署不仅极大地丰富了数据资源，也带来了前所未有的安全威胁和挑战。这些威胁可能源自设备漏洞、网络攻击、数据泄露等多个方面，对个人隐私、企业资产乃至国家安全带来了潜在风险。因此，构建一个全面、动态且高效的物联网威胁情报知识图谱，对于及时发现和响应安全事件、维护物联网生态系统的稳定运行具有重要意义。物联网威胁情报主要侧重收集、整合和共享与物联网设备的攻击者或其行为有关的外部信息，其主要目标是为安全分析、查询和比较提供依据，以便及时控制威胁信息。虽然物联网威胁情报对物联网安全具有很大的作用，但是目前仍然面临着许多挑战，例如数据类型多样、分布离散、内容不一致。物联网威胁情报在实际应用中需要处理的数据类型繁多，这些数据分散在不同的系统中，并且内容的一致性难以保证。高价值安全情报提取难度大，从海量数据中提取有价值的安全情报存在一定难度。目前，主要依赖人工提交收录的方式，缺乏自动化生成安全情报的能力。威胁情报分布离散，不同安全情报库中信息的关联程度低，存在信息冲突，这降低了安全情报的可信性。以上提到的这些问题都是物联网威胁情报目前面临的挑战。

由于构建物联网威胁情报知识图谱与构建网络安全知识图谱具有相似性，因此本节首先深入探讨了网络安全知识图谱的相关框架，这是一系列基于图论和语义技术构建的知识表示和分析方法。通过将网络安全领域的复杂信息转化为图形结构，这些框架不仅提高了安全情报的可理解性和可操作性，还为安全分析师提供了强大的工具，以便更有效地识别、评估和防御网络威胁。目前，关于物联网威胁情报知识图谱构建的相关研究仍然较少。但是考虑到威胁情报知识图谱和安全知识图谱的相似性，本节对物联网安全知识图谱中运用到的威胁情报知识图谱相关技术进行了梳理和总结，以便为威胁情报知识图谱的研究提供思路和参考。下面将详细介绍当前的研究成果，包括基于安全信息和事件管理（Security Information and Event Management，SIEM）环境的知识图谱的构建、语义处理框架的开发以及开放网络威胁情报知识图谱的应用实例。这些研究不仅推动了物联网威胁情报知识图谱的理论发展，也为实际的安全防御工作提供了宝贵的经验和技术支持。

3.1 网络安全知识图谱相关框架

当前已有众多研究者关注网络安全知识图谱，并致力于构建基于图数据库和知识图谱技术的网络安全知识表示和分析框架。通过将网络安全领域的各种信息、关系和属性以图的形式进行表达和组织，网络安全知识图谱框架能够帮助安全专家更好地理解网络安全威胁、漏洞、攻击技术等相关知识。Najaf等^[98]将SIEM环境中的威胁检测转化为大规模图推理问题，通过模拟代理和域名系统日志中观察到的实体及它们之间的关系，获得了基于SIEM的知识图谱，并提出了一种名为MalRank的基于图的推理算法，该算法旨在根据其在知识图谱中与其他实体的关系来确定节点的恶意分数。创建的最终图谱包括1 500万个顶点和1.32亿条边。Kiesling等^[99]提出了安全事件流的语义处理（SEmantic Processing of Security Event Streams，SEPSES）网络安全知识图谱，并开发了一个抽取、转换、加载通道，以将最新可用的公共资源结构化数据集成到知识图谱中。SEPSES集成并链接了关键资源，如漏洞、弱点和攻击模式。它可以定期更新，也可以轻松链接到本地可用的信息。安全分析师不仅可以在线查询安全信息，还可以在高度动态的环境中应用链接数据规则，将本地和公共知识结合起来。图4为SEPSES框架^[100]，展示了初始摄取和持续增量更新过程，该架构包括数据获取、资源提取、实体链接和验证以及数据存储环节，这项工作收集了超过50万个实例和3 600万个三元组。近年来，随着知识图谱构建技术的发展，开始出现从通用知识图谱构建技术的角度研究网络安全知识图谱的工作。Zhu等^[101]从6个维度描述了网络安全知识图谱，

$ \mathrm{G}=\left\langle\mathrm{H},\mathrm{V},\mathrm{A},\mathrm{E},\mathrm{L},\mathrm{S},\mathrm{R}\right\rangle $

。其中，H指的是主机资产维度，主要包括网络中的各种设备及相关软件或操作系统；V指的是漏洞维度，代表主机资产中每个资产的漏洞信息；A指的是攻击威胁维度，其作用是记录针对各种漏洞的攻击威胁信息；E指的是证据维度，用于记录攻击留下的可疑线索，如“接受密码”“身份认证失败”和“密码更改”；L指的是本地维度，用于记录位置信息，可以记录攻击文件或攻击可能留下的路径；S指的是策略维度。Open-CyKG^[94]使用基于注意力机制的神经开放信息抽取模型，从非结构化APT报告中抽取有价值的网络威胁信息。安全分析师可以从Open-CyKG框架中执行查询，检索有价值的信息。

显示原图|下载原图ZIP|生成PPT

图 4 SEPSES框架

Fig.4 SEPSES framework

3.2 物联网威胁情报知识图谱的构建

利用知识图谱技术可以对物联网安全领域的信息进行搜集、整理，构建模型并实现信息的融合，从而形成结构化的具有语义联系的物联网威胁情报知识图谱。这一过程与构建物联网安全知识图谱相同，都要遵循知识图谱构建的标准流程和框架。在这一领域，已有研究者进行了深入探讨。Jia等^[102]提出了一种构建网络安全知识图谱的策略，该策略以概念、实例、关系、属性和规则为基础构建网络安全本体，然后利用Stanford NER训练实体识别器来构建知识图谱。物联网安全知识图谱构建框架如图5所示，该框架主要涉及3个组件：数据源、信息抽取和本体构建、网络安全知识图谱的生成。网络安全本体包括5种实体类型：漏洞、资产、软件、操作系统、攻击。通过属性值预测和基于路径排序的关系推理算法，进行属性推导和关系推理。Lan等^[103]开发了一个基于知识图谱的SOS（Space Object Situation）信息服务，提出了一个多层次的语义关系解析模型以及一个多元素知识构建模型，用以处理复杂时空环境下知识图谱中关系的动态变化。谢敏容^[104]设计并实现了一个网络安全知识图谱的原型系统，该系统整合了网络安全领域的现有知识和数据，通过抽取非结构化数据中的安全知识，结合验证和存储技术构建了知识图谱。Li等^[105]提出了一个基于知识图谱的网络安全知识库（Cyber Security Knowledge Base，CSKB）的构建框架，旨在解决多源异构网络安全数据的整合问题，通过构建设备、攻击和功能的本体，在知识获取、融合、存储、推理和更新5个阶段实现CSKB。他们还特别提出了一种结合深度学习的路径排序算法TransFeature，用于知识推理，实现数据的分类和推荐。

显示原图|下载原图ZIP|生成PPT

图 5 物联网安全知识图谱构建框架

Fig.5 IoT security knowledge graph construction framework

在本体设计方面，研究者们也进行了深入研究，以满足物联网安全的不同需求。Adach等^[106]提出了一种基于统一基础本体（Unified Foundation Ontology，UFO）的组合安全本体（Combination Security Ontology，CSO），CSO包含核心本体论概念及其关系并映射到UFO，以促进安全领域的术语统一。Ding等^[107]为了更好地描述恶意软件及其行为，设计了恶意软件分类本体。Gonzalez-Gil等^[108]针对物联网的语义技术和安全性提出了物联网数据安全（Data Security for IoT，DS4IoT）本体，用于描述物联网系统中数据访问和交换的安全特性。Mozzaquator等^[109]为了解决物联网异构设备集成带来的安全和隐私问题，提出了具有M2M通信安全概念的物联网安全本体IoTSec。此外，Gonzalez-Gil等^[60]还基于IoTSec本体提出了物联网安全评估本体IoTSecEv，用于评估物联网系统的安全性。Iannacone等^[110]设计了STUCCO（Situation and Threat Understanding by Correlating Contextual Observations）本体，这是一个可扩展的本体结构，能够随着安全领域的发展而不断增加新的实体类型和属性。Syed等^[111]提出的UCO则映射到多个公开的网络安全本体，并扩展了相关的网络安全标准、词汇和术语，如CVE、CCE、CVSS、CAPEC、KillChain及STUCCO等。

4 物联网威胁情报知识图谱的应用与发展方向

随着物联网技术的普及和应用的不断深入，其安全性问题逐渐成为业界关注的焦点。物联网设备数量庞大、多样且分布广泛，这使安全威胁的管理和防御变得更加复杂。与传统的网络安全防护相比，物联网安全的防护面临更大的困难。首先是物联网设备升级困难，对于很多已经披露的漏洞，许多设备可能并没进行更新来修复漏洞，这使物联网设备相较于一般的互联网设备更加容易受到攻击。此外，物联网设备一旦受到攻击，除了会导致隐私数据泄露等问题外，还有可能会造成物理损失。例如，美国曾利用“震网”病毒攻击伊朗的核设施工业控制系统，直接造成了设备的损坏。因此，物联网安全知识图谱与互联网安全知识图谱相比，需要更加注重应对以上这些问题。在这样的背景下，物联网威胁情报知识图谱作为一种新兴的技术手段，被寄予能够提供有效的安全防护厚望。本节将详细探讨物联网威胁情报知识图谱在实际应用中的潜力，分析其在安全态势感知、威胁检测与响应、风险评估与管理以及安全事件调查等方面的作用。同时，也将审视当前研究和实践中遇到的挑战以及未来研究的方向，旨在为物联网安全领域的发展提供指导和启示。通过这些深入的分析和讨论，可以更好地理解物联网威胁情报知识图谱的实际价值和未来的发展前景。

4.1 物联网威胁情报知识图谱的应用

随着物联网设备的普及和网络化程度的加深，安全威胁的复杂性和多样性也在不断增加。在这样的背景下，构建一个全面、动态且可操作的威胁情报知识图谱，对于实现有效的安全态势感知、威胁检测与响应、风险评估与管理等至关重要。物联网威胁情报知识图谱将在如下实际场景中发挥作用：

1）安全态势感知。物联网设备通常分布在广泛的物理环境中，安全态势感知能够帮助组织了解其在网络环境中的安全状况。通过知识图谱可以将不同来源的安全数据（设备日志、网络流量、安全事件）整合起来，形成全面的安全态势视图，从而及时发现潜在的安全威胁。

2）威胁检测与响应。物联网威胁情报知识图谱通过关联分析，能够识别出复杂的攻击链和恶意行为模式。这种关联不仅包括设备之间的直接联系，还包括与已知威胁情报的关联，如恶意IP地址、恶意软件样本等。关联分析能力使安全团队能够快速定位攻击源，有效阻断攻击链，减小安全事件的影响范围。

3）风险评估与管理。通过整合设备信息、漏洞数据库和威胁情报，知识图谱可以帮助组织评估其物联网环境中的各种风险因素，制定相应的安全策略。例如，对于关键基础设施的物联网设备，知识图谱可以提供详细的安全评估报告，包括设备的安全配置、已知漏洞以及可能的攻击路径，从而指导安全团队进行有针对性的安全加固。

4）安全事件调查。当安全事件发生时，知识图谱可以提供丰富的上下文信息，帮助调查人员追踪攻击者的行为轨迹，还原攻击事件的全过程。这种详细的信息追踪能力对于理解攻击者的动机、手段和目标具有重要意义，同时也为后续的安全防御提供了宝贵的经验。

4.2 物联网威胁情报知识图谱的研究困境

物联网威胁情报知识图谱作为一种新兴的安全技术，虽然在网络安全领域展现出巨大潜力，但在实际应用中仍然面临诸多挑战。首先，数据整合与处理是一个主要难题。物联网环境中的设备种类繁多，产生的安全数据格式多样、标准不一，这要求研究者能够设计出高效的数据融合策略，以构建统一且全面的知识图谱。同时，物联网环境的动态性要求知识图谱能够实时更新，以反映最新的安全态势，这对数据处理和存储提出了更高的要求。其次，实体识别与关系抽取的复杂性也是构建物联网威胁情报知识图谱的一个挑战。物联网设备的身份多样且网络拓扑不断变化，这增加了正确识别实体和抽取其关系的难度。此外，传统的知识图谱推理技术在安全领域的适用性有限，因为安全数据中异常行为的比例相对较低。因此，如何设计有效的推理算法，从大量正常行为中准确识别出潜在的威胁，是当前研究需要解决的问题。再次，标准化和互操作性问题同样制约着物联网威胁情报知识图谱的发展。目前，缺乏统一的威胁情报交换标准，这限制了不同系统和组织之间知识图谱的共享和协作。最后，技术成熟度也是一个关键因素。尽管知识图谱在理论上具有强大的分析能力^[112-113]，但在实际应用中，如何提高其自动化水平，降低对人工干预的依赖，以及如何评估和验证知识图谱的有效性，都是亟待解决的问题。

4.3 物联网威胁情报知识图谱未来研究与探索

物联网威胁情报知识图谱作为一种新兴的网络安全技术，其未来的研究重点和发展方向应当聚焦解决当前面临的难题，并推动技术的成熟与应用。首先，数据融合与处理是核心挑战之一。未来的研究需要开发高效的数据融合技术，以应对多源异构数据的融合问题，包括自动化的数据清洗、转换和融合方法，以及构建能够处理大规模数据集的存储和计算架构。同时，实体识别与关系抽取的准确性和效率亟待提高，这将依赖先进的自然语言处理技术和机器学习模型的发展。知识图谱的动态更新能力也是未来研究的关键，以适应物联网环境的快速变化。实时数据流处理、增量学习和在线学习策略将是研究的重点。此外，推理与分析能力的增强将使知识图谱能够更好地支持威胁检测和风险评估，这可能涉及图神经网络等先进技术的应用，以及新的推理算法的开发。安全性研究也将是未来的一个重要方向，以确保知识图谱本身免受攻击和篡改，这需要开发防篡改、访问控制和安全审计机制。同时，标准化和互操作性的研究将促进不同系统和组织之间的威胁情报共享，这需要参与国际标准的制定，并开发支持这些标准的软件工具和平台。提高技术成熟度和自动化水平是实现知识图谱广泛应用的前提。未来的研究应当致力于减少对人工干预的依赖，并开发有效的评估和验证方法，以确保知识图谱的有效性和可靠性。通过这些研究重点和发展方向的推进，物联网威胁情报知识图谱有望在网络安全领域发挥更大的作用，为物联网环境提供更智能、更安全的防护。

5 结束语

近年来，学术界和工业界都十分关注物联网威胁情报的研究与应用。然而，在研究和应用中还面临着数据离散、信息不准确、综合分析困难等问题。幸运的是，知识图谱的发展为这些问题提供了有效的解决方案。本文基于一般的知识图谱构建框架，结合物联网安全领域的业务需要，对知识图谱在物联网安全领域的应用进行了分析和定位。介绍了构建物联网威胁情报的研究现状，并对信息抽取、本体构建、知识推理和应用等方面的关键技术进行了全面总结。此外，还深入探讨了现有问题，并提出了分析建议。本文旨在将知识图谱技术纳入物联网威胁情报的研究中，为物联网威胁情报知识图谱的构建提供框架和总结，并为其他物联网安全领域的研究提供一些启示。

参考文献

原文顺序 | 文献年度倒序 | 文中引用次数倒序

前瞻产业研究院. 中国物联网行业应用领域市场需求与投资预测分析报告[EB/OL]. (2023-12-05)[2024-03-15]. https://bg.qianzhan.com/report/detail/300/231205-fc0151e7.html.

QIANZHAN Industry Research Institute. Report of application tield market demand and investment forecast on china internet of things industry[EB/OL]. (2023-12-05)[2024-03-15]. https://bg.qianzhan.com/report/detail/300/231205-fc0151e7.html.

2	GSMA. Safety,privacy and security[EB/OL]. (2019-1-29)[2024-03-15]. https://www.gsma.com/publicpolicy/resources/safetyprivacy-security-across-mobile-ecosystem/.

3	ANTONAKAKIS M,APRIL T,BAILEY M,et al. Understanding the mirai botnet[C]//26th USENIX Security Symposium (USENIX Security 17). 2017:1093-1110.

4	HASSIJA V, CHAMOLA V, SAXENA V, et al. A survey on IoT security: application areas, security threats, and solution architectures[J]. IEEE Access, 2019, 7, 82721- 82743. DOI

5	HERWIG S,HARVEY K,HUGHEY G,et al. Measurement and analysis of Hajime,a peer-to-peer IoT botnet[C]//Network and Distributed Systems Security (NDSS) Symposium. 2019:223-237.

6	MORIUCHI P,CHOHAN S. Mirai-variant IoT botnet used to target financial sector in January 2018[EB/OL]. (2018-04-05)[2024-03-15]. https://www.recordedfuture.com/blog/mirai-botnet-iot.

7	YANG G, JIANG M, OUYANG W, et al. IoT-based remote pain monitoring system: from device to cloud platform[J]. IEEE Journal of Biomedical and Health Informatics, 2017, 22 (6): 1711- 1719.

8	BURGER E W,GOODMAN M D,KAMPANAKIS P,et al. Taxonomy model for cyber threat intelligence information exchange technologies[C]// Proceedings of the 2014 ACM Workshop on Information Sharing & Collaborative Security. 2014:51-60.

9	KUMAR V,SRIVASTAVA J,LAZAREVIC A. Managing cyber threats:issues,approaches,and challenges[M]. Berlin:Springer Science & Business Media,2006.

10	GOODALL J R,D’AMICO A,KOPYLEC J K. Camus:automatically mapping cyber assets to missions and users[C]//2009 IEEE Military Communications Conference(MILCOM 2009). IEEE,2009:1-7.

11	BARFORD P, DACIER M, DIETTERICH T G, et al. Cyber SA: situational awareness for cyber defense[J]. Cyber Situational Awareness: Issues and Research, 2010, 46, 3- 13.

12	MCMILLAN G R. Open threat intelligence[EB/OL]. (2013-3-7)[2024-03-15]. https://www.gartner.com/doc/2487216/definition-threat-intelligence.

13	姜灵敏. 计算机系统 PDR 安全模型结构及应用[J]. 计算机系统应用, 2002, 11 (12): 38- 40. DOI JIANG L M. The structure and application of PDR safety model in bank computer system[J]. Computer System & Applications, 2002, 11 (12): 38- 40. DOI

14	陈运明. 动态网络安全模型的系统研究[J]. 网络安全技术与应用, 2005, 5 (5): 47- 49. DOI CHEN Y M. System research on dynamic network security model[J]. Network Security Technology & Application, 2005, 5 (5): 47- 49. DOI

15	YANG M. Information security risk management model for big data[J]. Advances in Multimedia, 2022, 13 (1): 1- 10.

16	李建华. 网络空间威胁情报感知, 共享与分析技术综述[J]. 网络与信息安全学报, 2016, 2 (2): 16- 29. DOI LI J H. Overview of the technologies of threat intelligence sensing, sharing and analysis in cyber space[J]. Chinese Journal of Network and Information Security, 2016, 2 (2): 16- 29. DOI

17	荆涛, 李俊. 基于相异度分析的网络通信异常行为识别方法[J]. 微电子学与计算机, 2014, 31 (6): 12- 15. JING T, LI J. An identification method based on analysis of dissimilarity degree for network communication behavior[J]. Microelectronics & Computer, 2014, 31 (6): 12- 15.

18	王慧强, 赖积保, 胡明明, 等. 网络安全态势感知关键实现技术研究[J]. 武汉大学学报（信息科学版）, 2008, 33 (10): 995- 998. WANG H Q, LAI J B, HU M M, et al. Research on key technologies for implementing network security situation awareness[J]. Geomatics and Information Science of Wuhan University, 2008, 33 (10): 995- 998.

19	赖积保, 王颖, 王慧强, 等. 基于多源异构传感器的网络安全态势感知系统结构研究[J]. 计算机科学, 2011, 38 (3): 144- 149. DOI LAI J B, WANG Y, WANG H Q, et al. Research on the architecture of network security situation awareness system based on multi source heterogeneous sensors[J]. Computer Science, 2011, 38 (3): 144- 149. DOI

20	李玉翠. 多源异构数据集成技术研究[D]. 西安:西安电子科技大学,2009. LI Y C. Research on the integration technology for the data with multiple-source heterogeneous structures[D]. Xi’an:Xidian University,2009.

21	LUO S, ZHANG G, WU G, et al. Boafft: distributed deduplicationfor big data storage in the cloud[J]. IEEE Transactions on Cloud Computing, 2015, 8 (4): 1199- 1211.

22	宁烨,樊治平,冯博. 知识联盟中知识共享的博弈分[J]. 东北大学学报(自然科学版),2006,27(9):1046-1049. NING Y,FAN Z P,FENG B. Game analysis of knowledge sharing in knowledge alliances[J]. Journal of Northeastern University (Natural Science),2006,27(9):1046-1049.

23	WU J,SHIMAMOTO S. Integrated UCON-based access control and adaptive intrusion detection for wireless sensor networks[C]//2010 IEEE Global Telecommunications Conference (GLOBECOM 2010). IEEE,2010:1-5.

24	WU J, LIU S, ZHOU Z, et al. Toward intelligent intrusion prediction for wireless sensor networks using three-layer brain-like learning[J]. International Journal of Distribute Sensor Networks, 2012, 27 (3): 327- 352.

25	卿斯汉, 文伟平, 蒋建春, 等. 一种基于网状关联分析的网络蠕虫预警新方法[J]. 通信学报, 2004, 25 (7): 62- 70. DOI QING S H, WEN W P, JIANG J C, et al. A new approach to forecasting Internet worms based on netlike association analysis[J]. Journal on Communications, 2004, 25 (7): 62- 70. DOI

26	SINGHAL A. Introducing the knowledge graph:things,not strings[EB/OL](2012-03-16)[2024-03-15]. https://blog.google/products/search/introducing-knowledge-graph-things-not/.

27	BERNERS-LEE T. Semantic web road map[J]. Scientific American, 1998, 154 (5): 1- 11.

28	VRANDEČIĆ D, KRÖTZSCH M. Wikidata: a free collaborative knowledgebase[J]. Communications of the ACM, 2014, 57 (10): 78- 85. DOI

29	AUER S,BIZER C,KOBILAROV G,et al. DBpedia:a nucleus for a web of open data[C]//International Semantic Web Conference. 2007:722-735.

30	BOLLACKER K,EVANS C,PARITOSH P,et al. Freebase:a collaboratively created graph database for structuring human knowledge[C]//Proceedings of the 2008 ACM SIGMOD International Conference on Management of Data. 2008:1247-1250.

31	SUCHANEK F M,KASNECI G,WEIKUM G. YAGO:a core of semantic knowledge[C]//Proceedings of the 16th International Conference on World Wide Web. 2007:697-706.

32	JI S, PAN S, CAMBRIA E, et al. A survey on knowledge graphs: representation, acquisition, and applications[J]. IEEE Transactions on Neural Networks and Learning Systems, 2021, 33 (2): 494- 514.

33	ZHANG Y,RILLING J,HAARSLEV V. An ontology-based approach to software comprehension-reasoning about security concerns[C]//30th Annual International Computer Software and Applications Conference (COMPSAC′06). IEEE,2006,1:333-342.

34	TSOUMAS B,GRITZALIS D. Towards an ontology-based security management[C]//20th International Conference on Advanced Information Networking and Applications- (AINA’06). IEEE,2006,1:985-992.

35	WANG J A,GUO M. Security data mining in an ontology for vulnerability management[C]//2009 International Joint Conference on Bioinformatics,Systems Biology and Intelligent Computing. IEEE,2009:597-603.

36	GUO M,WANG J A. An ontology-based approach to model common vulnerabilities and exposures in information security[C]//ASEE Southeast Section Conference. 2009:28-38.

37	SADIGHIAN A,FERNANDEZ J M,LEMAY A,et al. ONTIDS:a highly flexible context-aware and ontology-based alert correlation framework[C]//Foundations and Practice of Security:6th International Symposium. 2014:161-177.

38	IANNACONE M,BOHN S,NAKAMURA G,et al. Develop an ontology for cyber security knowledge graphs[C]//Proceedings of the 10th Annual Cyber and Information Security Research Conference. 2015:1-4.

39	BALDUCCINI M,KUSHNER S,SPECK J. Ontology-driven data semantics discovery for cyber-security[C]//Practical Aspects of Declarative Languages:17th International Symposium. 2015:1-16.

40	RASKIN V,HEMPELMANN C F,TRIEZENBERG K E,et al. Ontology in information security:a useful theoretical foundation and methodological tool[C]//Proceedings of the 2001 Workshop on New Security Paradigms. 2001:53-59.

41	FENZ S,EKELHART A. Formalizing information security knowledge[C]//Proceedings of the 4th International Symposium on Information,Computer,and Communications Security. 2009:183-194.

42	GUTTMAN B,ROBACK E A. An introduction to computer security:the NIST handbook[M]. Pennsylvania:Diane Publishing,1995.

43	PARMELEE M C. Toward an ontology architecture for cybersecurity standards[C]//Semantic Technologies for Intelligence,Defense,and Security (STIDS). 2010:116-123.

44	OBRST L,CHASE P,MARKELOFF R. Developing an ontology of the cyber security domain[C]// Semantic Technologies for Intelligence,Defense,and Security (STIDS). 2012:49-56.

45	SWIMMER M. Towards an ontology of malware classes[EB/OL].(2008-01-27)[2024-03-15]. https://www.scribd.com/document/24058261/Towards-an-Ontology-of-Malware-Classes.

46	SYED Z,PADIA A,FININ T,et al. UCO:a unified cybersecurity ontology[C]// Workshops at the 30th AAAI Conference on Artificial Intelligence,2016:1-8.

47	PINGLE A,PIPLAI A,MITTAL S,et al. Relext:relation extraction using deep learning approaches for cybersecurity knowledge graph improvement[C]//Proceedings of the 2019 IEEE/ACM International Conference on Advances in Social Networks Analysis and Mining. 2019:879-886.

48	UNDERCOFER J. Intrusion detection:modeling system state to detect and classify aberrant behavior[EB/OL](2004-02-17)[2024-03-15]. https://ebiquity.umbc.edu/paper/html/id/153.

49	WANG J A, GUO M M, Camargo J. An ontological approach to computer system security[J]. Information Security Journal: a Global Perspective, 2010, 19 (2): 61- 73. DOI

50	IANNACONE M,BOHN S,NAKAMURA G,et al. Developing an ontology for cyber security knowledge graphs[C]//Proceedings of the 10th Annual Cyber and Information Security Research Conference. 2015:1-4.

51	SIKOS L F. AI in cybersecurity[M] Berlin,Heidelberg:Springer,2019.

52	HACHEM S,TEIXEIRA T,ISSARNY V. Ontologies for the internet of things[C]//Proceedings of the 8th Middleware Doctoral Symposium. 2011:1-6.

53	MOZZAQUATRO B A,JARDIM-GONCALVES R,AGOSTINHO C. Towards a reference ontology for security in the internet of things[C]//2015 IEEE International Workshop on Measurements & Networking (M&N). IEEE,2015:1-6.

54	GONZALEZ-GIL P, MARTINEZ J A, SKARMETA A F. Lightweight data-security ontology for IoT[J]. Sensors, 2020, 20 (3): 8- 25.

55	UNDERCOFFER J, JOSHI A, FININ T, et al. Using DAML+ OIL to classify intrusive behaviours[J]. The Knowledge Engineering Review, 2003, 18 (3): 221- 241. DOI

56	MORE S,MATTHEWS M,JOSHI A,et al. A knowledge-based approach to intrusion detection modeling[C]//2012 IEEE Symposium on Security and Privacy Workshops. IEEE,2012:75-81.

57	GRÉGIO A,BONACIN R,NABUCO O,et al. Ontology for malware behavior:a core model proposal[C]//2014 IEEE 23rd International WETICE Conference. IEEE,2014:453-458.

58	GYRARD A,BONNET C,BOUDAOUD K. An ontology-based approach for helping to secure the ETSI machine-to-machine architecture[C]//2014 IEEE International Conference on Internet of Things (iThings). IEEE,2014:109-116.

59	NAZIR A, SHOLLA S, BASHIR A. An ontology based approach for context-aware security in the internet of things （IoT）[J]. International Journal of Wireless and Microwave Technologies （IJWMT）, 2021, 11 (1): 28- 46. DOI

60	GONZALEZ-GIL P,SKARMETA A F,MARTINEZ J A. Towards an ontology for IoT context-based security evaluation[C]//2019 Global IoT Summit (GIoTS). IEEE,2019:1-6.

61	ARRUDA M F,BULCÃO-NETO R F. Toward a lightweight ontology for privacy protection in IoT[C]//Proceedings of the 34th ACM/SIGAPP Symposium on Applied Computing. 2019:880-888.

62	张莉, 王小龙, 马肇云, 等. 基于知识图谱的工业物联网安全本体建模及实现[J]. 新型工业化, 2022, 12 (12): 285- 288. ZHANG L, WANG X L, MA Z Y, et al. Modeling and implementation of industrial internet of things security ontology based on knowledge graph[J]. The Journal of New Industrialization, 2022, 12 (12): 285- 288.

63	COWIE J, LEHNERT W. Information extraction[J]. Communications of the ACM, 1996, 39 (1): 80- 91. DOI

64	SODERLAND S. Learning information extraction rules for semi-structured and free text[J]. Machine Learning, 1999, 34 (1-3): 233- 272.

65	CHITICARIU L,LI Y,REISS F R. Rule-based information extraction is dead! Long live rule-based information extraction systems![C]//Proceedings of the 2013 Conference on Empirical Methods in Natural Language Processing. 2013:827-832.

66	CALIFF M E,MOONEY R J. Relational learning of pattern-match rules for information extraction[C]//Proceedings of the 6th National Conference on Artificial Intelligence. 1999:328-334.

67	赵军,刘康,周光有,等. 开放式文本信息抽取[J]. 中文信息学报,2011,25(6):98-111. ZHAO J,LIU K,ZHOU G Y,et al. Open information extraction[J]. Journal of Chinese Information Processing,2011,25(6):98-111.

68	REISS F,RAGHAVAN S,KRISHNAMURTHY R,et al. An algebraic approach to rule-based information extraction[C]//2008 IEEE 24th International Conference on Data Engineering. IEEE,2008:933-942.

69	SODERLAND S. Learning information extraction rules for semi-structured and free text[J]. Machine Learning, 1999, 34, 233- 272. DOI

70	SARI Y,HASSAN M F,Zamin N. Rule-based pattern extractor and named entity recognition:a hybrid approach[C]//2010 International Symposium on Information Technology. IEEE,2010,2:563-568.

71	LI Y,KRISHNAMURTHY R,RAGHAVAN S,et al. Regular expression learning for information extraction[C]//Proceedings of the 2008 Conference on Empirical Methods in Natural Language Processing. 2008:21-30.

72	RATNAPARKHI A. Maximum entropy models for natural language ambiguity resolution[M]. Pennsylvania:University of Pennsylvania,1998.

73	ZHENG S,JAYASUMANA S,ROMERA-PAREDES B,et al. Conditional random fields as recurrent neural networks[C]//The IEEE International Conference on Computer Vision (ICCV). IEEE,2015:1529-1537.

74	YOO J, KWON H H, SO B J, et al. Identifying the role of typhoons as drought busters in South Korea based on hidden Markov chain models[J]. Geophysical Research Letters, 2015, 42 (8): 2797- 2804. DOI

75	HUA W, HUYNH D T, HOSSEINI S, et al. Information extraction from microblogs: a survey[J]. International Journal of Software and Informatics, 2012, 6 (4): 495- 522.

76	MOONEY R, BUNESCU R. Subsequence kernels for relation extraction[J]. Advances in Neural Information Processing Systems, 2005, 18 (3): 283- 296.

77	BIKEL D M, SCHWARTZ R, WEISCHEDEl R M. An algorithm that learns what’ s in a name[J]. Machine Learning, 1999, 34 (2): 211- 231.

78	JOSHI A,LAL R,FININ T,et al. Extracting cybersecurity related linked data from text[C]//2013 IEEE Seventh International Conference on Semantic Computing. IEEE,2013:252-259.

79	LAL R. Information extraction of security related entities and concepts from unstructured text[EB/OL](2013-05-30)[2024-03-15]. https://ebiquity.umbc.edu/paper/html/id/626/Information-Extraction-of-Security-related-entities-and-concepts-from-unstructured-text-.

80	BRIDGES R A, JONES C L, IANNACONE M D, et al. Automatic labeling for entity extraction in cyber security[J]. arXiv, 1308, 4941, 2013.

81	BUNESCU R,MOONEY R. A shortest path dependency kernel for relation extraction[C]//Proceedings of Human Language Technology Conference and Conference on Empirical Methods in Natural Language Processing. 2005:724-731.

82	NGUYEN T V T,MOSCHITTI A,RICCARDI G. Convolution kernels on constituent,dependency and sequential structures for relation extraction[C]//Proceedings of the 2009 Conference on Empirical Methods in Natural Language Processing. 2009:1378-1387.

83	REICHARTZ F,KORTE H,Paass G. Composite kernels for relation extraction[C]//Proceedings of the ACL-IJCNLP. 2009:365-368.

84	VASWANI A, SHAZEER N, PARMAR N, et al. Attention is all you need[J]. arXiv, 1706, 03762, 2023.

85	DEVLIN J,CHANG M W,LEE K,et al. BERT:Pre-training of deep bidirectional transformers for language understanding[C]//Conference on Neural Information Processing Systems,2018.

86	YANG Y, WU Z, YANG Y, et al. A survey of information extraction based on deep learning[J]. Applied Sciences, 2022, 12 (19): 9691. DOI

87	GUO Y, LIU Z, HUANG C, et al. A framework for threat intelligence extraction and fusion[J]. Computers & Security, 2023, 132 (3): 103- 115.

88	SYED Z,PADIA A,FININ T,et al. UCO:a unified cybersecurity ontology[C]//Workshops at the 30th AAAI Conference on Artificial Intelligence. 2016.

89	SARHAN I,SPRUIT M R. Contextualized word embeddings in a neural open information extraction model[C]//Natural Language Processing and Information Systems:24th International Conference on Applications of Natural Language to Information Systems. 2019:359-367.

90	SARHAN I, SPRUIT M. Can we survive without labelled data in NLP? Transfer learning for open information extraction[J]. Applied Sciences, 2020, 10 (17): 5758. DOI

91	PENNINGTON J,SOCHER R,Manning C D. Glove:Global vectors for word representation[C]//Proceedings of the 2014 Conference on Empirical Methods in Natural Language Processing (EMNLP). 2014:1532-1543.

92	YANG Z,DAI Z,YANG Y,et al. Xlnet:Generalized autoregressive pretraining for language understanding[J]. Advances in Neural Information Processing Systems,2019,32.

93	CONNEAU A,KHANDELWAL K,GOYAL N,et al. Unsupervised cross-lingual representation learning at scale[C]//Advances in Neural Information Processing Systems. 2019.

94	SARHAN I, SPRUIT M. Open-CyKG: an open cyber threat intelligence knowledge graph[J]. Knowledge-based Systems, 2021, 233, 107524. DOI

95	LU Y, LIU Q, DAI D, et al. Unified structure generation for universal information extraction[J]. arXiv, 2203, 12277, 2022.

96	LOU J, LU Y, DAI D, et al. Universal information extraction as unified semantic matching[J]. AAAI Technical Track on Speech & Natural Language Processing, 2023, 37 (11): 13318- 13326.

97	WANG X, ZHOU W, ZU C, et al. InstructUIE: multi-task instruction tuning for unified information extraction[J]. arXiv, 2304, 08085, 2023.

98	NAJAFI P,MÜHLE A,PÜNTER W,et al. MalRank:a measure of maliciousness in SIEM-based knowledge graphs[C]//Proceedings of the 35th Annual Computer Security Applications Conference. 2019:417-429.

99	KIESLING E,EKELHART A,KURNIAWAN K,et al. The SEPSES knowledge graph:an integrated resource for cybersecurity[C]//International Semantic Web Conference. Cham:Springer International Publishing. 2019:198-214.

100	ZHAO X, JIANG R, HAN Y, et al. A survey on cybersecurity knowledge graph construction[J]. Computers & Security, 2024, 136, 103524.

101	ZHU Z,JIANG R,JIA Y,et al. Cyber security knowledge graph based cyber attack attribution framework for space-ground integration information network[C]//2018 IEEE 18th International Conference on Communication Technology (ICCT). IEEE,2018:870-874.

102	JIA Y, QI Y L, SHANG H J, et al. A practical method for constructing a network security knowledge graph[J]. Engineering, 2018, 4, 53- 60. DOI

103	LAN C,LU W,XU Q,et al. Construction of space object situation information service based on knowledge graph[J]. IEEE Access,2020,8:22625-22640.

104	谢敏容. 网络安全知识图谱构建技术研究与实现[D]. 四川:电子科技大学,2020. XIE M R. Research and implementation of network security knowledge graph construction technology[D]. Sichuan:University of Electronic Science and Technology of China,2020.

105	LI K,ZHOU H,TU Z,et al. CSKB:a cyber security knowledge base based on knowledge graph[C]//Security and Privacy in Digital Economy:1st International Conference. 2020:100-113.

106	ADACH M,HÄNNINEN K,LUNDQVIST K. A combined security ontology based on the unified foundational ontology[C]//2022 IEEE 16th International Conference on Semantic Computing (ICSC). IEEE,2022:187-194.

107	DING Y, WU R, ZHANG X. Ontology-based knowledge representation for malware individuals and families[J]. Computers & Security, 2019, 87, 101574.

108	GONZALEZ-GIL P, MARTINEZ J A, SKARMETA A F. Lightweight data-security ontology for IoT[J]. Sensors, 2020, 20 (3): 801. DOI

109	MOZZAQUATRO B A, AGOSTINHO C, GONCALVES D, et al. An ontology-based cybersecurity framework for the internet of things[J]. Sensors, 2018, 18 (9): 3053. DOI

110	IANNACONE M, BOHN S, NAKAMURA G, et al. Developing an ontology for cyber security knowledge graphs[C]//Proceedings of the 10th Annual Cyber and Information Security Research Conference. 2015: 1-4.

111	SYED Z, PADIA A, FININ T, et al. UCO: a unified cybersecurity ontology[J]. UMBC Student Collection, 2016, 11, 556- 575.

112	SONG Y, LI A P, Tu H K, et al. A novel encoder-decoder knowledge graph completion model for robot brain[J]. Frontiers in Neurorobotics, 2021, 15, 674428. DOI

113	ZHAO X J, JIA Y, LI A P, et al. Target relational attention-oriented knowledge graph reasoning[J]. Neurocomputing, 2021, 461, 577- 586. DOI

Options

文章导航

模态框（Modal）标题

摘要

本文引用格式

Abstract

0 引言

1 物联网安全本体

1.1 通用安全本体的构建

图 1 网络安全本体架构

1.2 物联网安全本体的构建

2 物联网威胁情报抽取

2.1 基于规则匹配的方法

2.2 基于统计学习的方法

2.3 基于深度学习的方法

图 2 Open-CyKG框架

图 3 UIE框架

表 1 威胁情报信息抽取方法

3 物联网威胁情报知识图谱的构建

3.1 网络安全知识图谱相关框架

图 4 SEPSES框架

3.2 物联网威胁情报知识图谱的构建

图 5 物联网安全知识图谱构建框架

4 物联网威胁情报知识图谱的应用与发展方向

4.1 物联网威胁情报知识图谱的应用

4.2 物联网威胁情报知识图谱的研究困境

4.3 物联网威胁情报知识图谱未来研究与探索

5 结束语

参考文献