张玲翠，李凤华，房梁，郭云川，李子孚

（1.中国科学院信息工程研究所，北京 100195；2.中国科学院大学网络空间安全学院，北京 100049）

1 引言

随着互联网、移动互联网、物联网等复杂网络的大规模应用，安全威胁的发生日趋频繁，产生的后果日益严重。国家互联网应急中心发布的《2020 年上半年我国互联网网络安全监测数据分析报告》显示，2020 年上半年，捕获计算机恶意程序样本数量约1 815 万个，日均传播次数达483 万余次，涉及计算机恶意程序家族约1.1 万余个，我国境内感染计算机恶意程序的主机数量约304 万台，境内工业控制系统的网络资产持续遭受来自境外的扫描嗅探，日均超过2 万次。

面对如此严重的安全威胁，学术界和工业界提出了涵盖潜在风险点识别、威胁风险评估、威胁处置策略生成与匹配、处置效果评估等在内的一整套威胁闭环响应解决方案。从静态动态的角度来看，当前威胁处置策略匹配包括2 类：静态匹配和动态匹配[1]。静态匹配指为每类报警预先分配固定的威胁处置策略或措施，当报警发生时，查找与之相匹配的策略或措施。虽然静态匹配简单直接，但依赖于专家知识，不具备动态性和适应性。为此研究者提出了动态匹配，该方式不仅考虑报警类型，而且响应措施依赖于系统状态和当前环境等因素，从而提升了动态性和灵活程度。在这2 种匹配中均可引入攻击损失和响应代价，以提升威胁处置效益。

现有静动态匹配方案要求当前威胁报警中的要素与响应策略库或措施库精确匹配，只有精确匹配时才能选择出响应策略或措施。……