网络安全数据可视化综述_赵颖
第２６卷第５期２０１４年５月
计算机辅助设计与图形学学报
ｏｉｕｒｎａｌｏｆＣｏｍｕｔｅｒ－ＡｄｅｄＤｅｓｉｎ ＆ＣｏｍｕｔｅｒＧｒａｈｉｃｓＪ ｐｇｐｐ
Ｖｏｌ．２６Ｎｏ．５
Ｍａ２０１４ｙ
网络安全数据可视化综述
赵 颖１，樊晓平１２，周芳芳１，汪 飞３，张加万４
１）（中南大学信息科学与工程学院
），））））
）１００８３ 长沙 ４
）１０２０５ 长沙 ４）００８１１ 长沙 ４
２）（湖南财政经济学院网络化系统研究所３）（湖南师范大学数学与计算机学院４）（天津大学软件学院
）０００７２ 天津 ３
（）ｚｆｆｓｕ．ｅｄｕ．ｃｎ＠ｃ
摘要：网络安全可视化是一个新兴的交叉研究领域，它通过提供交互式可视化工具，提升网络安全分析人员感知、
分析和理解网络安全问题的能力．通过近些年来的研究，该领域的很多研究成果已经在网络监控、异常检测、特征识别、关联分析和态势感知等方面取得了重要进展．文中介绍了网络安全可视化的必要性和发展历史，以及主要的网络安全数据源，并重点从网络安全问题和网络安全可视化方法２个角度对已有研究成果进行了系统的梳理；最后对未来的发展趋势进行了展望．
关键词：信息可视化；可视分析；网络安全；安全可视化中图法分类号：ＴＰ３９１
ｒｖｅｏｎＮｅｔｗｏｒｋＳｅｃｕｒｉｔＤａｔａＶｉｓｕａｌｉｚａｔｉｏｎＡＳｕ ｙｙ
１）１，２）１）３）４）
ＺｈＦａＺｈａａｎａｏＹｉｎｎＸｉａｏｉｎｏｕＦａｎｆａｎｎＦｅｉｄＺｈａｎＪｉａｗａｎ ， ｇ，ｐｇ，ｇｇ，Ｗｇｇ
１）（２）（３）（４）（
）ｒｍａｔｉｏｎｉｅｎｃｅｄ ｎｅｅｒｉｎｈｏｏｌ，ｎｔｒａｌｕｔｈ ｉｖｅｒｓｉｔａｎｓｈａ ４００８３ＩｎｏＳｃａｎＥｎｉＳｃＣｅＳｏＵｎＣｈ１ ｇ ｙ，ｇｆｇ，）ＬｏＮＳｓＵｏＦＣ＆Ｅｂｏｒａｔｏｒｔｗｏｒｋｅｄ ｅｍｓ，Ｈｎａｎ ｉｖｅｒｓｉｔｎａｎｃｅｏｎｏｍｉｃｓａｎｓｈａ ４０２０５ａｅｔｕｎｉｃｈ１ ｆ ｙｆ ｙｙｇ ）ＣｏｏＭａａｎＣｏＳｃｕＮｏＵｎＣｈ１ｌｌｅｅｔｈｅｍａｔｉｃｓｄ ｍｕｔｅｒｉｅｎｃｅ，Ｈｎａｎ ｒｍａｌｉｖｅｒｓｉｔａｎｓｈａ ４００８１ ｆ ｇｐｙ，ｇ
）ｈｏｏｌｗａｒｅ，ａｎｉｎ ｉｖｅｒｓｉｔａｎｉｎ ３００７２ＳｃｏＳｏｔＴｉＵｎＴｉ０ ｊｙ，ｊｆ ｆ
：ＡＡｂｓｔｒａｃｔｓａｏｕｎｃｏｍｍｕｎｉｔｏｆｎｅｔｗｏｒｋｓｅｃｕｒｉｔｒｅｓｅａｒｃｈ，ｖｉｓｕａｌｉｚａｔｉｏｎｆｏｒｎｅｔｗｏｒｋｓｅｃｕｒｉｔ ｙｇｙｙｙ ｒｏｃｅｓｓｅｓｂｂｒｉｎｉｎｅｒｃｅｔｕａｌａｎｄｃｏｎｉｔｉｖｅｏｗｅｒｏｆｔｈｅｈｕｍａｎｆｏｃｕｓｅｓｏｎｔａｋｉｎａｄｖａｎｔａｅｏｆｔｈｅ ｐｙｇｇｐｐｇｇｇｐ ｒｏｂｕｓｔｖｉｓｕａｌｔｏｏｌｓｉｎｔｏｈａｎｄｓｏｆｈｕｍａｎｓｉｎｓｏｌｖｉｎｃｏｍｕｔｅｒｎｅｔｗｏｒｋｓｅｃｕｒｉｔｒｏｂｌｅｍｓ．Ａｍｏｕｎｔｓｏｆ ｇｐｙｐ
，ｌａｅｄｖｅｒｓｉｎｉｆｉｃａｎｔｒｏｌｅｓｉｎｈｅｌｉｎｎｅｔｗｏｒｋｓｅｃｕｒｉｔａｎａｌｓｔｓｔｏｄｅｔｅｃｔａｎｏｍａｌｉｅｓｖｉｓｕａｌｔｏｏｌｓｈａｖｅ ｐｙｙｇｐｇｙｙ ，，，ｄｉｓｃｏｖｅｒａｔｔｅｒｎｓｉｄｅｎｔｉｆｃｏｒｒｅｌａｔｉｏｎｓａｎｄａｓｓｅｓｓｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｉｔｕａｔｉｏｎ．Ｉｎｔｈｉｓａｅｒｗｅｏｆｆｅｒ ｐｙｙｐｐ
，ｗａｃｏｍｒｅｈｅｎｓｉｖｅｒｅｖｉｅｗｏｆｎｅｔｗｏｒｋｓｅｃｕｒｉｔｖｉｓｕａｌｉｚａｔｉｏｎ．Ｆｉｒｓｔｅｉｎｔｒｏｄｕｃｅｔｈｅｎｅｃｅｓｓｉｔａｎｄｔｈｅ ｐｙｙ ；ｈａｓｅｄｄｅｖｅｌｏｍｅｎｔｏｆｔｈｉｓｆｉｅｌｄｔｈｅｎｗｅｒｏｖｉｄｅｔａｘｏｎｏｍｉｅｓｆｒｏｍｎｅｔｗｏｒｋｓｅｃｕｒｉｔｖｉｓｕａｌｉｚａｔｉｏｎ ｐｐｐｙ
；ｔｅｃｈｎｏｌｏａｎｄｖｉｓｕａｌａｌｉｃａｔｉｏｎｉｎｎｅｔｗｏｒｋｓｅｃｕｒｉｔａｔｌａｓｔｗｅｏｕｔｌｉｎｅｓｏｍｅｕｉｄｅｌｉｎｅｓａｎｄｄｉｒｅｃｔｉｏｎｓ ｇｙｐｐｙｇ ｆｏｒｆｕｔｕｒｅｓｔｕｄｉｅｓ．
；：；；Ｋｅｗｏｒｄｓｉｎｆｏｒｍａｔｉｏｎｖｉｓｕａｌｉｚａｔｉｏｎｖｉｓｕａｌａｎａｌｔｉｃｓｎｅｔｗｏｒｋｓｅｃｕｒｉｔｓｅｃｕｒｉｔｖｉｓｕａｌｉｚａｔｉｏｎ ｙｙｙｙ 飞速发展的网络应 随着网络通信技术的进步，
用对网络安全提出了很高的要求．一直以来，各种网
络监控设备采集的大量日志数据是人们掌握网络状态和识别网络入侵的主要信息来源．网络安全分析
；基金项目：湖南省科技计划博士后专项国家自然科学基金（修回日期：收稿日期：－－１４１４－０１０３１０８，６０６７３１９６）２０２０６１０１０９；２－１８．（）；）；，湖南省自然科学基金（中南大学博士后专项．赵 颖（主要研究方向为可男，博士研究生，讲师，２０１２ＲＳ４０４９１２ＪＪ３０６２１９８０—）Ｆ会员，ＣＣ，，男，博士，教授，女，博士，副教授，视化与可视分析等；樊晓平（博士生导师，主要研究方向为网络系统与智能交通等；周芳芳（６１—）８０—）１９１９，主要研究方向为科学可视化与信息可视化等；男，硕士，讲师，汪 飞（主要研究方向为可视化和可视分析等；张加万Ｆ会员，７９—）Ｃ１９Ｃ
，（男，博士，教授，博士生导师，主要研究方向为图形学与可视化等．７５—）１９
６８８
计算机辅助设计与图形学学报 第２６卷
人员在处理网络安全问题时，首先通过分析相应的数据来了解网络状态和发现异常现象，然后对异常事件的特征以及对网络的影响进行综合诊断，最后采取对应的响应措施．然而，随着网络安全需求的不断提升，网络安全分析人员在分析网络安全数据时遇到了很多新的困难：异构的数据源和持续增长１）的数据量给分析人员带来了繁重的认知负担；新２）攻击类型的出现和攻击复杂度的提高，使得很多传统的数据分析方法不再有效；大量漏报和误报是３）一些自动化异常检测系统的弊病；侧重于局部异４）常分析的传统思路，使得分析人员很难掌握宏观网络态势．如何帮助网络安全分析人员更高效地分析网络安全数据，已成为网络安全领域一个十分重要而且迫切的问题．
在解决网络安全问题的过程中，人的认知和判断能力始终处于主导地位，一个能帮助人们更好地分析网络安全数据的实用办法就是将数据以图形图像的方式表现出来，并提供友好的交互手段，建立人与数据之间的图像通信，借助人们的视觉处理能力观察网络安全数据中隐含的信息，以进一步提高分析人员的感知、分析和理解网络安全问题的能力．因此，许多学者提出将可视化技术引入到网络安全研究领域中来，并逐步形成了网络安全可视化这一新
］１３－的交叉研究领域［．
［］
早在１９９５年Ｂｅｃｋｅｒ等４就提出对网络流量状［］
况进行可视化，之后Ｇ９ｒａｒｄｉｎｄ等５在１９８年曾使ｉ
）网络安全态势的察觉和理解效率得以提高．４
本文首先介绍网络安全分析人员需要处理的各种网络安全数据源，并重点从网络安全问题和网络安全可视化方法这２个角度，对已有研究成果进行了系统的梳理，最后对网络安全可视化的发展趋势进行了展望
．
图１ 网络安全可视化领域相关研究年度汇总表
１ 网络安全数据介绍
网络安全分析人员需要处理的网络安全数据种类非常多，其中最重要数据源来自各种网络监控设备．根据位于不同逻辑层次和不同物理位置的各种网络监控设备所采集信息的特点，可以将网络监控数据分３类：流量监控数据、状态监控数据和事件监控数据，如表１所示．
表１ 网络安全数据分类表
分类流量监控状态监控
数据名称
网络数据包日志网络数据流日志状态监控日志入侵检测系统日志防火墙日志
事件监控
入侵保护系统日志网络应用操作日志弱点扫描与监控日志
其他数据
数据源举例
，ＷｕｍｒｅＳｈａｒｋＴｃｄｉｐｐｓｃｏＮｅｔＦｌｏｗＣｉ ，ｈｅｒｏｔｈｅｒｖＳｒｅＢｉＢｐｇ ，ＳＮＯｓｃｏＲＴＣｉ
，，华为ｓｃｏＣｈｅｃｋｏｉｎｔＣｉｐ，天融信ＣｉｓｃｏＩＢＭ，，，ｈｅＥｘｃｈａｎｅＤＮＳＡａｃｇｐ
，，ｓｓｕｓＮｅＨｏｎｅｏｔｓｅＥｅｙｐｙ
用多种可视化技术来分析防火墙日志记录．从２０４０年开始举办的国际网络安全可视化年会
［６］
（，Ｖ），标志着ｖｉｓｕａｌｉｚａｔｉｏｎｆｏｒｃｂｅｒｓｅｃｕｒｉｔｉｚＳｅｃ ｙｙ该领域的正式建立，并且在２０４～２００６年集中涌现０了一批高质量的研究成果，如图１所示．从２１１年０
７］
（）开始，国际可视分析挑战赛［连ＶＡＳＴｃｈａｌｌｅｎｅ ｇ
续３年都采用了网络安全数据作为竞赛题目，推动着该领域呈现出一个新研究热潮．国内网络安全可视化的研究起步相对较晚，哈尔滨工程大学、天津大学、北京邮电大学、吉林大学、北京大学和中南大学等研究机构的一些团队已开展了相关研究．
经过十多年的发展，在网络安全可视化领域，学者们提出了许多新颖的可视化设计，并开发了诸多实用的交互式可视分析工具，这也为传统的网络安全研究方法和分析人员的工作方式注入了新的活））力：分析人员的认知负担得以减轻；异常检测和１２特征分析变得更为直观；人们可以更自主地探索３）事件关联和复杂攻击模式，甚至发现新的攻击类型；
病毒样本等等系统配置文件、
流量监控数据主要来自包级和流级２个采集层次．包级的流量监控会记录每个数据包的ＴＰＩＰＣ?
包头信息和载荷内容；流级的流量监控会将一次网络会话的数据流聚合起来，只记录会话信息的方式数据量更小，也更加易于理解和管理．
状态监控数据是指网络中各种软硬件资源的运行状态信息，如Ｃ网络吞吐率、邮件服Ｕ利用率、Ｐ
第５期赵 颖，等：网络安全数据可视化综述
６８９
务是否正常等等，它们可以通过ＳＮＭＰ协议或者通过安装一些专业的状态监控产品获得．
事件监控数据又分为异常检测日志和日常操作记录．异常检测日志主要来自自动化的网络防御设备产生的报警事件，如防火墙和入侵检测系统，它们是以流量数据、状态数据等原始监控数据为基础，通过规则匹配和算法处理生成．日常操作记录来自各种网络服务和应用在运行过程中获取的用户操作信息，如管理服务器的用户登陆记录、域名服务器的域名解析请求记录等等．另外，也可以将网络漏洞扫描数据和通过蜜罐获取的攻击者信息看作事件监控数据．
网络安全分析人员在日常工作中还需要面对一些非监控型网络安全数据，如防火墙配置文件、网络路由表、病毒样本等．针对这些数据的可视化可以为
［８］
分析人员提供多方面的帮助，如Ｎｔａｒａａｊ等将恶意软件样本可视化为灰度图像，并利用图像特征对
１ 网络监控２．
从各种网络监控设备获取的数据中了解网络运行状态是网络安全分析人员关注的最基本问题，也是网络优化、异常检测、态势感知的基础．可视化的网络监控主要研究是按照时间顺序，如何将主机和端口等监控对象、流量和事件等监控内容使用图形图像的方式表达出来，以帮助分析人员快速了解网络运行状态．
主机是网络活动的主体，也是最重要的监控对象．在网络空间中，针对ＩＰ地址是主机的唯一标识，学者们尝试ＩＰ地址的非物理位置特性和分段特性，了多种方式来实现基于ＩＰ地址的网络监控．
［０］
采用了二维坐标定位和颜色映射的方ｍａｔｒｉｘ１ＩＰ
［０］
所示，法监控某Ｂ类网络中发生的事件，如图２ａ１
不同事件类型Ｘ和Ｙ值构成的坐标确定ＩＰ地址，
映射为不同的颜色，但是这种方法表示的ＩＰ地址空
［１］１２－
技术将正方形进行多次四分间有限．ｕａｎｔｒｅｅ１Ｑ
样本进行分类．ａｎｓｍａｎｎ等Ｍ的规则和辅助调优．
［９］
采用Ｓｕｎｂｕｒｓｔ图形
将防火墙配置规则树可视化，帮助管理员理解复杂
后形成的５２×５１２矩阵来表示４个字节的Ｉｖ４地１Ｐ
［１］
显示了基于该方法的Ｉ址空间，图２ｖ４全地址ｂ１Ｐ
空间的流量监控，流量大小使用颜色编码；但其缺点
［１３］
是点阵太密集，不便于交互．ｒｅｅｍａＴＰｐ在表示Ｉ［３］
所地址的分层特性时具有更好的交互性，如图２ｃ１
２ 主要研究方法与发展现状
网络安全可视化的研究，首先是确定网络安全分析人员关心的问题，也就是有什么数据，需要从数据中获取什么信息；然后是设计可视化结构来表示数据，建立数据到可视化结构的映射；最后是设计缩放、聚焦、回放和关联更新等人机交互功能，完成人与可视化工具的交流，从而帮助分析人员观察网络安全数据中隐含的信息，进一步提高分析人员的感知、分析和理解网络安全问题的能力．无论是针对网络扫描、拒绝服务攻击、蠕虫传播等具体的网络入侵事件，还是针对网络监控、特征分析、态势感知等抽象的网络安全需求，面对不同的网络安全问题和数据源，设计不同的可视化结构和交互手段、采用不同的技术路线和分析思路，便可以形成不同的网络安全可视化研究方法．
从网络安全分析人员的角度出发，按照从简单到复杂、从单一到整体、从低层到高层的思路，可以将人们关心的网络安全问题和网络安全可视化在网络安全中的应用分为５类：网络监控、异常检测、特征分析、关联分析和态势感知．本节将逐类介绍主要的网络安全可视化研究方法和发展现状，表２所示为常见的网络安全问题和主要的网络安全可视化研究方法结合情况的整体概览．
示，用户可以通过交互自由地查看分级汇总或细节
［４］
信息，还能将其扩展到Ｉ．ｖ６地址的表示１Ｐ
端口则标识了不同的网络ＩＰ地址标识了主机，应用，因此端口监控和主机监控有着同等重要的地
［４］
用一个２位．ｏｒｔＶｉｓ１６×２５６的网格矩阵和颜色Ｐ５
映射方法表示６３６个端口的流量情况，如５５
［４］
所示，为防止过密的数据点的交互困难，图２系ｄ１统还提供了区域选择和放大观察的交互方式．考虑到不同端口号区段的重要程度不同，可以将不太重
［５］
将要的端口号用较小的图元表示；如ＰｒｔＭａｔｒｉｘ１ｏ［５］
网络端口号分为如图２所示４类，其中１０个连ｅ１０
续的动态端口使用同一个方格表示．
网络监控数据都具有时序特点，线条图、柱状图、堆叠图等适合时序数据表示的基本统计图形在
［１６］
显示了网络安全可视化中应用很广，图２ｆ
［６］
使用堆叠图可视化某校园网流量的时ｏｗＳｃａｎ１Ｆｌ
序变化情况，不同网络协议的流量用不同颜色编码，在进行统计时还区分了流入和流出的流量．为了实现整体和细节的统一，设计者通常会结合统计分析方法，将描述网络整体状态变化的时序图形与描述某时段网络具体状态的监控图形联动起来．因此，传统统计图形和统计方法一定程度上成为了各种新颖
］１７１８－
的可视化系统中不可或缺的标准配件［．
６９０
计算机辅助设计与图形学学报 第２６卷
第５期赵 颖，等：网络安全数据可视化综述
６９１
图２ 可视化的网络监控
２．２ 异常检测
网络异常包括的范围很广，如流量的突变、设备的失效、越权的资源访问、可疑的主机行为等．有的异常是由于恶意攻击产生，而有的则是由于普通网络故障或者用户操作不当造成．检测和定位各种网络异常是网络安全分析人员的日常工作，也是进一步诊断异常原因、识别网络攻击类型的基础．可视化的异常检测经常与网络监控联系在一起，主要方法是通过对网络状态和网络访问等信息的图形化表示，帮助分析人员从“正常状态”中快速准确地发现“，异常情况”而不是像传统的自动化检测方法那样只抛出异常检测结果．
流量是主要的网络状态之一，拒绝服务攻击和蠕虫传播等网络入侵行为发生时，往往首先会在网络流量上出现明显的变化．网格矩阵图和颜色编码是最常见的以主机和端口为对象的可视化流量异常检测方法，因此２．１节中介绍的多个可视化监控系统也都能胜任流量异常检测．除此之外，学者们也提出了很多其他行之有效的可视化流量异常检测方
［５］
显示的是一个采用热力图技术的流法，如图３ａ１
口的流量通过堆叠柱状图表示，图中明显的峰值时而这２个端口和蠕段是由端口４５和２５５２产生的，４ 虫传播有较大关系．
网络应用主要通过主机之间的互访实现，当主机遭到误用、滥用和病毒感染时，常常会出现网络访问的异常．节点连接图是检测网络访问异常的重要可视化方法，它又分２种不同的处理策略：主机位置
［７］［０］
，相对固定和主机位置动态布局．ＶＩＮＶ１ＳＵＡＬ２Ｔ［１］
和Ｎ是典型的使用主机位置固定策略的ｆｌｏｗＶｉｓ２［０］
显示了Ｖ可视化系统，图３ＳＵＡＬ可视化的内ｃ２Ｉ
外网主机通信情况，内网主机的网格矩阵在中心区域，外网主机分布在四周，从连线的多少和外网主机方块大小可以很直观地发现一些异常活跃的内外网主机．主机位置固定策略便于保持主机的逻辑拓扑关系，而主机位置动态变化策略可以实现聚类效果，
［２］
是使用力导引布局的网络访问图，图３图中几ｄ２
个明显的中心点将网络中的主机分成了几个区域，而这几个中心很可能是由于存在异常的网络扫描行为而形成的．针对大型网络的节点连接图难免会出现连线混杂的问题，代表性的解决方法包括边绑定
］２２２１］３］２、，抽象图技术［或者改用和图压缩技术［技术［
］［２］２４
表示网络访问．所示为通过基于邻接矩阵［图３ｅ２
量监控系统，从中可以很直观地观察到在当前时刻有一些流量热点主机出现，友好的拓扑布局还可以帮助分析人员迅速定位热点主机和观察子网分布特
［９］
显示了一个根据端口流量进行分组聚点；图３ｂ１
网络拓扑信息的图压缩方法对图３ｄ简化后效果，它大大简化了连接复杂度，并且凸显了关键主机．
合分析的可视化系统，横轴表示时间，每个时段各端
６９２
计算机辅助设计与图形学学报 第２６卷
对于具有动态性、随机性和隐蔽性的复杂网络异常，为了达到更好的异常检测效果，需要将多种可视化方法结合起来，以支持不同粒度和角度的选择，提供多层次和多维度的交互，形成多视图的合作分
［８］［５］［６］
，和Ｖ都析．ＮＶｉｒａｌＶｉｅｗ１ｉｓｉｏｎＩＰ２ｓＴｒａｃｅｒ２Ｓｉｐ
［５］
所示，是多视图工具的代表，如图３ＮＶｉｓｉｏｎＩＰｆ２
通过３级交互视图，将主机监控和端口监控以及全局概览和局部分析有机地结合了起来
．
图３ 可视化的网络异常检测
２．３ 特征分析
网络安全中的特征分析和异常检测相辅相成，一方面分析人员需要对检测到的网络异常进行进一步的特征分析，从而达到识别网络攻击类型和选择防范措施的目的；另一方面，特征分析也可以帮助分析人员更好地进行异常检测．可视化技术将复杂的特征描述转化为图形模式，通过人类视觉对图形模式的强大识别能力，帮助分析人员快速完成特征发现和模式匹配．网络安全中的特征分析对象主要包括流量、行为和事件．
流量监控数据包含时间、协议、源Ｉ目的ＩＰ、Ｐ、源端口、目的端口、包大小等多个维度的信息，很多网络攻击都会引发流量大小的异变，同时还会在其
［７］
等使用散他维度上表现出更多的攻击特征．ｉａｏ２Ｘ
些攻击类型在平行坐标轴上图形模式，如端口扫描源产生的流量记录在平行坐标上会出现１：Ｍ：１（１：目的Ｉ目的端口：包大小）图形区域，这是因为ＩＰ：Ｐ：端口扫描通常是从单源ＩＰ发出大量相同大小的探测数据包，以检测目的ＩＰ的可访问端口．
以主机和网络服务为对象的监控记录中隐含了它们的行为模式，通过对行为模式的分析，可以帮助分析人员更好地区分正常和异常的网络活动．
［０］
通过对数据包的时序可视化，揭示了ｉｈｔ等３Ｗｒｇ
［０］
所示，横轴表不同网络服务的行为模式．如图４ｃ３
示时间，纵轴正值和负值分别表示服务请求方发出和收到的数据包字节数，图例反映了主机在请求ＴＰ服务时收到的包大小要大于发出的包大小，ＨＴ
而在请求ＳＰ服务时发出的包大小要大于收到ＭＴ
［１］
提出了一种主机行为分的包大小．ａｎｓｍａｎｎ等３Ｍ
点图对多种网络攻击的流量特征进行了两两维度的
［７］
显示了Ｓ橙色）和网络组合分析，图４Ｈ攻击（Ｓａ２
析方法，如图４它将各种网络服务分布在四ｄ所示，周，根据主机在不同时间对各种网络服务的访问顺序绘制出相应的路径，具有相同行为模式的主机路径将会呈现出形态的相似性和位置聚集效果，异常的主机行为路径得以凸显．
入侵检测系统是重要的网络安全工具，它将网
和端口扫描（红色）产生的网络流量在时间（Ｘ轴）（为了实现更多维度的特２个维度上的特征．Ｙ轴）
５，２８］
被广泛采用，征同步分析，平行坐标轴技术［代表
［９］
对网络扫描、性的例子是Ｃｏｉ等２ｏＳ攻击等多ｈＤＤ［２９］
总结了这种网络攻击的流量特征的分析．图４ｂ
第５期赵 颖，等：网络安全数据可视化综述
６９３
络数据包和事件规则库进行比对，如果匹配成功就会发出相应报警记录，它可以部分代替分析人员从原始数据中寻找异常并分析特征的入侵检测过程，但其弊端是规则设置技巧性高、不能检测未知事件和大量产生的误报漏报．很多学者使用可视化技术管理入侵检测日志和分析事件特征，帮助分析人员优化规则设置、鉴别误报漏报和发现可能存在的新攻击类型，提高入侵监测系统的实用性．早期的
［２］
可以帮助人们鉴别误报和漏报，但它ｏｒｔＶｉｅｗ３Ｓｎ
［３］
针对大规模只适合小规模网络．ＤＳＲａｉｎＳｔｏｒｍ３Ｉ
网络采用了两级视图的设计方式：使用分层网格矩阵和颜色编码的概览视图和对选定时段和ＩＰ段进
［３］
所示．图４行事件特征分析的细节视图，如图４ｆｅ３［４］
将Ｉ所示Ｓ分Ｐ矩阵与地图结合起来，ＴＡＲＭＩＮＥ３
析Ｓｓｓｅｒ蠕虫爆发事件在网络空间和地理空间中ａ
［５］
开发了Ｐ的传播特征．ｌｓａｌｅｈ等３ＩＤＳ的扩展ＡＨＰ
组件，该组件在Ｗｂ环境下提供了近１ｅ０种可视化
图形，用来管理入侵检测日志和分析事件特征
．
图４ 可视化的特征分析
２．４ 关联分析
复杂的网络攻击都具有多步性和协作性的特点，如攻击者首先会通过端口和主机扫描寻找网络中的漏洞，然后利用漏洞注入木马、僵尸或其他恶意软件；当对网络有一定的控制能力后就会进行文件窃取、广告推送，甚至将网络中主机当作傀儡机，共同发起对其他网络资源的蛮力攻击．因此，将现有的事件信息合理地组织起来，建立基于上下文关系的可视分析，可以帮助分析人员发现网络安全事件之间的关联，理解当前的网络安全形势，尽量将网络危机化解在早期阶段．
事件之间的关联一般存在于类型、位置和时间，，模型．雷达称为３Ｗ（ｈａｔｗｈｅｒｅｗｈｅｎ）３个维度，ｗ
图在描述３Ｗ模型时具有很好的图形表现力和多样的交互空间，是事件关联可视化的主要研究方法．
［６］
首先采用３Ｗ模型和雷达图来分析事件ｓＡｌｅｒｔ３Ｖｉ
关联，如图５圆的内部是主机布局，圆周上ａ所示，每段圆弧代表一种事件类型，时间维度从内到外用多个圆环表示，通过交互选择，用户就可以轻松地组，，合ＷｈａｔＷｈｅｒｅＷｈｅｎ３个维度去寻找事件关联． 随后有许多相关研究对ＶｓＡｌｅｒｔ进行了改进和应ｉ
［７］［８］
和Ａ调整了用拓展，如ＮｌｔＳｅｃＲａｄａｒ３ｅｒｔＷｈｅｅｌ３ｅ
［９］
探讨了雷达图的主机布局和连线方式，ＳＲａｄａｒ３ＩＤ
某企业网络中僵尸病毒感染事件和文件窃取事件可
［０］
使用雷达图分析了复杂网能存在的关联，ｉｓａ４Ａｖ
络入侵的多步攻击过程．
分析网络漏洞造成的关联影响也非常重要，因为攻击者经常利用有漏洞的主机作为跳板来到达攻击目标，网络中任意一台有漏洞的主机都会引来连锁反应．网络攻击图是一种可视化漏洞关联影响的技术，它以现存的网络安全漏洞为基础，找出攻击者能够在网络中走通的所有攻击路径，从而达到评估
６９４
计算机辅助设计与图形学学报 第２６卷
图５ 可视化的关联分析
［１］网络安全性的目的．就显示了一幅使用树形图５ｃ４
助人们更快地察觉和理解网络安全态势、缩短决策时间．早期对网络安全态势可视化相关研究相对较少，但随着数据融合、态势评估、大规模数据处理和大屏幕等技术的发展，近几年涌现了一批优秀成果．
多数据源的融合与协同是网络安全态势感知的特点之一，也是网络安全可视化常见的分析策略．
５
使用ＴｒＮＫＳＡＦＥ４ｅｅｍａＣｌｏｃｋｍａｌｅｒｔＴｉｍｅｌｉｎｅＢＡｐ，ｐ和Ａ分别将网络状态、入侵检测日志和Ｆｒｅｗａｌｌ３种图形，ｉ
［］
［５］
所示，从而日志用３个屏幕可视化出来，如图６ａ４［６］
融实现大规模网络的可视化态势感知．ｎＮｅｔＴｅ４Ａ
结构来绘制的网络攻击图，其中各种形状的节点代表源主机、目的主机和漏洞类型，每条边就代表一次漏洞利用．传统的树形图在表现大型网络攻击图时
［２］
使用Ｔ空间利用率不高，ｒＮＥＴ４ｅｅｍａＧＡＲｐ改进
了攻击图的表示方法，该方法具有更好的空间利用率和交互性
．２．５ 态势感知
在大规模网络环境中，网络安全分析人员往往更倾向于首先掌握宏观的网络态势，即网络整体的运行状态和变化趋势，然后由整及分、由急到缓地解决网络安全问题．针对这一重要的网络安全需求，
３
在２０ｓｓ４００年首先提出了网络安全态势感知的Ｂａ
概念：通过融合各种网络安全设备收集的状态记录
［］
合了Ｎ通过提ｅｔＦｌｏｗ，ＩＰＳ和ＢｉＢｒｏｔｈｅｒ３种数据， ｇ供描绘健康指标、报警数量、流量、ＩＰ和端口活跃度等网络状态变化的一组时间线来刻画网络安全态势，如图６它还通过提供分层的弦图与平行ｂ所示；坐标轴，交互分析用户选中时段的细节信息．
大屏幕为态势感知中需要表达的众多信息元素带
［７］
来了更广阔的展示空间．如图６Ｃｔｕｒｎｅ４ｃ所示，ＮＯ
和报警记录，评估当前网络整体运行状态，并预测变化趋势．可视化的网络安全态势感知首先由
［４］
在２它通过提供０ｓＦｌｏｗＣｏｎｎｅｃｔ４０４年提出来，Ｖｉ
描绘大规模网络状态和海量事件的高层次视图，帮
在大屏幕上的设计思路是使用时间线、连接矩阵、地
图６ 可视化的网络安全态势感知
第５期赵 颖，等：网络安全数据可视化综述
６９５
图等多种图形将多源信息有机地组织在一起，但这
［８］
提种方式缺乏整体感．如图６ｎＲａｉｎ４ｄ所示，Ｓｒｉｇｐ
（吕良福，张加万，孙济洲，等．网络安全可视化研究综述（）：）［］１９０８，２８８１９２４２７Ｊ．计算机应用，２０－
［］Ｓ２ｈｉｒａｖｉｈｉｒａｖｉｈｏｒｂａｎｉｕｒｖｅｆ Ｈ，Ｓ Ａ，Ｇ Ａ Ａ．Ａ ｓｙ ｏ
］ｖｉｓｕａｌｉｚａｔｉｏｎｓｔｅｍｓｏｒｅｔｗｏｒｋｅｃｕｒｉｔＪ．ＩＥＥＥ ｓ ｆ ｎ ｓｙｙ［，ＴｒａｎｓａｃｔｉｏｎｓｏｎＶｉｓｕａｌｉｚａｔｉｏｎａｎｄＣｏｍｕｔｅｒＧｒａｈｉｃｓ２０１２， ｐｐ（）：１８８１３１３１３２９－
［］Ｈ：３ａｒｒｉｓｏｎＬ，ＬｕＡ．Ｔｈｅｆｕｔｕｒｅｏｆｓｅｃｕｒｉｔｖｉｓｕａｌｉｚａｔｉｏｎ ｙ
］，ｌｅｓｓｏｎｓｆｒｏｍｎｅｔｗｏｒｋｉｓｕａｌｉｚａｔｉｏｎ［Ｊ．ＩＥＥＥｅｔｗｏｒｋ ｖ Ｎ（）：２０１２，２６６１１６－
［］Ｂ４ｅｃｋｅｒＲ Ａ，ＥｉｃｋＳＧ，ＷｉｌｋｓＡ Ｒ．Ｖｉｓｕａｌｉｚｉｎｎｅｔｗｏｒｋｄａｔａ ｇ
出了一种新颖的大屏幕设计思路，它将不同网络区域看作是大型瀑布的水流簇，每个簇内从上至下充满了通过颜色和形状编码的网络安全信息元素，整体和细节很好地融合在了这一可视隐喻之中；另外它还提供与Ｇ从而加强了人ｏｌｅＧｌａｓｓｅｓ的连接，ｏ ｇ与画和人与人的协同交互．
３ 总结与展望
网络安全可视化将网络安全数据分析和可视化技术结合起来，通过提供图形化的交互工具，提高网络安全分析人员感知、分析和理解网络安全问题的能力．从本文的介绍中可以看出，网络安全可视化已经取得了丰硕的研究成果，但是面对越来越严重的网络安全威胁和越来越复杂的攻击手段，研究者们还面临着诸多的挑战：
）如何实时显示和处理大规模网络数据．目前１
大部分研究仍然停留在离线数据的分析上，但是实时分析远比离线分析重要．实时的网络安全可视化需求对数据预处理速度、图形绘制速度、交互响应速度都提出了更高的要求．
）如何搭建网络安全可视化的协同工作环境．２
解决大范围的复杂网络问题往往需要多数据源、多视图、多人的协同分析，因此现有的数据融合和多视图技术以及多人参与的网络安全协同可视分析环境都有较大的发展空间．
）如何提高网络安全可视化系统的易用性．对３
于目前大部分网络安全可视化系统，即使是有丰富经验的分析人员，都需要一定程度的培训后才能熟练使用，但网络安全可视化的受众本应更为广泛，因此需要加强网络安全可视化的易用性研究．）如何研究出一套完整的理论体系．可视化方４
法研究主观性很强，解决网络安全问题的经验性要求高，网络安全可视化的有效性验证非常困难，因此在相关数学模型、基础理论和设计原则等方面开展深入研究势在必行．）：参考文献（ｆｅｒｅｎｃｅｓＲｅ
［］Ｌ，Ｓ１üＬｅｔａｌ．Ｓｉａｎｆｕ，ＺｈａｎＪｉａｗａｎｕｎＪｉｚｈｏｕ，ｕｒｖｅｏｆ ｇｇｙ
］ｎｅｔｗｏｒｋｓｅｃｕｒｉｔｖｉｓｕａｌｉｚａｔｉｏｎｔｅｃｈｎｉｕｅｓ［Ｊ．Ｊｏｕｒｎａｌｏｆ ｙｑ ，２：１Ｃｏｍｕｔｅｒｌｉｃａｔｉｏｎｓ００８，２８（８）１９９２４２７（ｉｎ Ａ－ｐｐｐ）Ｃｈｉｎｅｓｅ
［］Ｊ．ＩＥＥＥｒａｎｓａｃｔｉｏｎｓｎｉｓｕａｌｉｚａｔｉｏｎｎｄｏｍｕｔｅｒ Ｔ ｏ Ｖ ａ Ｃｐ，（）：Ｇｒａｈｉｃｓ１９９５，１１１６２８－ｐ
［］ＧｉｒａｒｄｉｎＬ，ＢｒｏｄｂｅｃｋＤ．Ａｖｉｓｕａｌａｒｏａｃｈｆｏｒｍｏｎｉｔｏｒｉｎ５ ｐｐｇ
ｌｏｓ［Ｃ］? Ｐｒｏｃｅｅｄｉｎｓｆａｒｅｎｓｔａｌｌａｔｉｏｎｓｔｅｍ? ｏ Ｌ Ｉ Ｓｇｇｇｙ，ＡｄｍｉｎｉｓｔｒａｔｉｏｎＣｏｎｆｅｒｅｎｃｅ．Ｎｅｗ Ｙｏｒｋ：ＡＣＭ Ｐｒｅｓｓ１９９８： ２９９８３０－
［］Ｖ：６ｉｚＳｅｃＨｏｍｅａｅ［ＥＢＯＬ］．［２０１４００ｔｔｗｗｗ．１９］ｈ ? －－? ? ｐｇｐ
ｖｉｚｓｅｃ．ｏｒ．２０１３ｇ
［］ＶＡ７ＳＴｈａｌｌｅｎｅｏｍｅａｅｎａｃｏｍｍｕｎｉｔＥＢＯＬ］． Ｃ Ｈ ｉ ｖ? ｇｐｇｙ［
［：２０１４００ｔｔｗｗｗ．ｖａｃｏｍｍｕｎｉｔ．ｏｒＶＡＳＴ＋１９］ｈ－－? ? ? ｐｙｇＣｈａｌｌｅｎｅ＋２０１３．２０１３ｇ
：［］Ｎｅｔａｌ．Ｍａｌｗａｒｅｉｍａｅｓ８ａｔａｒａＬ，ＫａｒｔｈｉｋｅａｎＳ，ＪａｃｏｂＧ， ｊｙｇ
ｖｉｓｕａｌｉｚａｔｉｏｎａｎｄａｕｔｏｍａｔｉｃｃｌａｓｓｉｆｉｃａｔｉｏｎ［Ｃ］Ｐｒｏｃｅｅｄｉｎｓｏｆ ? ? ｇｔｈｅ８ｔｈＩｎｔｅｒｎａｔｉｏｎａｌＳｍｏｓｉｕｍｏｎＶｉｓｕａｌｉｚａｔｉｏｎｆｏｒＣｂｅｒ ｙｐｙ，Ｓｅｃｕｒｉｔ．Ｎｅｗ Ｙｏｒｋ：ＡＣＭ Ｐｒｅｓｓ２０１１：４１１－ｙ
［］Ｍ９ａｎｓｍａｎｎＦ，Ｇ ｂｅｌＴ，Ｃｈｅｓｗｉｃｋ Ｗ．Ｖｉｓｕａｌａｎａｌｓｉｓｏｆ ｙ
ｃｏｍｌｅｘｆｉｒｅｗａｌｌｃｏｎｆｉｕｒａｔｉｏｎｓ［Ｃ］Ｐｒｏｃｅｅｄｉｎｓｏｆｔｈｅ９ｔｈ ? ? ｐｇｇＩｎｔｅｒｎａｔｉｏｎａｌＳｍｏｓｉｕｍｏｎＶｉｓｕａｌｉｚａｔｉｏｎｆｏｒＣｂｅｒＳｅｃｕｒｉｔ． ｙｐｙｙ，Ｎｅｗ Ｙｏｒｋ：ＡＣＭ Ｐｒｅｓｓ２０１２：１８－
［］Ｋ１ａｃｂｅｒｏｉｋｅＨ，ＯｈｎｏＫ，ＫｏｉｚｕｍｉＫ．Ｖｉｓｕａｌｉｚｉｎｔａｃｋｓ０ｔ－ ｙｇ
ｕｓｉｎＩＰａｔｒｉｘ［Ｃ］? Ｐｒｏｃｅｅｄｉｎｓｆｉｓｕａｌｉｚａｔｉｏｎｏｒ ｍ? ｏ Ｖ ｆｇｇ ：ＣｏｍｕｔｅｒＳｅｃｕｒｉｔ．ＬｏｓＡｌａｍｉｔｏｓＩＥＥＥＣｏｍｕｔｅｒＳｏｃｉｅｔ ｐｙｐｙ，Ｐｒｅｓｓ２００５：９１９８－
：］Ａ［ｔａｌ．Ｃ１ｔｋｉｓｏｎＴ，ＰｅｎｓｉｃｈｏｌａｓＣ，ｅａｓｅｓｔｕｄ１ ｙｙ Ｋ，Ｎ
ｖｉｓｕａｌｉｚａｔｉｏｎａｎｄｉｎｆｏｒｍａｔｉｏｎｒｅｔｒｉｅｖａｌｔｅｃｈｎｉｕｅｓｆｏｒｎｅｔｗｏｒｋ ｑ：ｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ［Ｍ］? Ｄａｔａｉｓｕａｌｉｚａｔｉｏｎ．Ｈｅｄｅｌｂｅｒ ? Ｖｇ，２９Ｓｒｉｎｅｒ２００１：２８３０－ｐｇ
［］Ｌｅｔａｌ．Ｉｃｏｍｂｉｎｉｎ１２ｅＭａｌＥ，ＫｏｈａｒａＭ，ＨｏｒｉＹ，ｎｔｅｒａｃｔｉｖｅｌ ｙｇ
２Ｄａｎｄ３ＤｖｉｓｕａｌｉｚａｔｉｏｎｆｏｒｎｅｔｗｏｒｋｔｒａｆｆｉｃｍｏｎｉｔｏｒｉｎＣ］ ? ? ｇ［Ｐｒｏｃｅｅｄｉｎｓｆｈｅｒｄｎｔｅｒｎａｔｉｏｎａｌｏｒｋｓｈｏｎ ｏ ｔ ３ Ｉ Ｗｇｐ ｏ：，ＶｉｓｕａｌｉｚａｔｉｏｎｆｏｒＣｏｍｕｔｅｒＳｅｃｕｒｉｔ．Ｎｅｗ ＹｏｒｋＡＣＭ Ｐｒｅｓｓ ｐｙ２００６：１２３７１２－
［］Ｍ１３ａｎｓｍａｎｎＦ，Ｋｅｉｍ Ｄ Ａ，ＮｏｒｔｈＳＣ，ｅｔａｌ．Ｖｉｓｕａｌａｎａｌｓｉｓｏｆ ｙ
，，ｎｅｔｗｏｒｋｔｒａｆｆｉｃｆｏｒｒｅｓｏｕｒｃｅｌａｎｎｉｎｉｎｔｅｒａｃｔｉｖｅｍｏｎｉｔｏｒｉｎ ｐｇｇ］ａｎｄｉｎｔｅｒｒｅｔａｔｉｏｎｏｆｓｅｃｕｒｉｔｔｈｒｅａｔｓ［Ｊ．ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓ ｐｙ ，（）：ｏｎＶｉｓｕａｌｉｚａｔｉｏｎａｎｄＣｏｍｕｔｅｒＧｒａｈｉｃｓ２００７，１３６１１０５ －ｐｐ１１１２
［］Ｍ，Ｍ：１４ｃＰｈｅｒｓｏｎＪａＫＬ，ＫｒｓｔｏｓｋＰ，ｏｒｔｖｉｓａｔｏｏｌｆｏｒｅｔａｌ．Ｐ ｙ
ｂａｏｒｔｓｅｄｄｅｔｅｃｔｉｏｎｏｆｓｅｃｕｒｉｔｅｖｅｎｔｓ［Ｃ］Ｐｒｏｃｅｅｄｉｎｓｏｆ－ ? ? ｐｙｇ ｔｈｅＡＣＭ ＷｏｒｋｓｈｏｏｎＶｉｓｕａｌｉｚａｔｉｏｎａｎｄＤａｔａＭｉｎｉｎｆｏｒ ｐｇ ，ＣｏｍｕｔｅｒＳｅｃｕｒｉｔ．Ｎｅｗ Ｙｏｒｋ：ＡＣＭ Ｐｒｅｓｓ２００４：７３８１ －ｐｙ
６９６
计算机辅助设计与图形学学报 第２６卷
［］Ｚ：１５ｅｔａｌ．ＭＶｈａｏＹ，ＬｉａｎＸ，ＷａｎＹ，Ｓｅｃａｎｏｖｅｌｍｕｌｔｉ － ｇｇ
ｖｅｗｉｓｕａｌｉｚａｔｉｏｎｓｔｅｍｏｒｅｔｗｏｒｋｅｃｕｒｉｔＣ］? ｉ ｖ ｓ ｆ ｎ ｓ? ｙｙ［ｒｏｃｅｅｄｉｎｓｏｆＶｉｓｕａｌＡｎａｌｔｉｃｓＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏ．ＬｏｓＰ ｇｙｇｙ：，８ＡｌａｍｉｔｏｓＩＥＥＥＣｏｍｕｔｅｒＳｏｃｉｅｔＰｒｅｓｓ２０１３：７－ ｐｙ
［］Ｐ：ａ１６ｌｏｎｋａＤ．ＦｌｏｗＳｃａｎｎｅｔｗｏｒｋｔｒａｆｆｉｃｆｌｏｗｒｅｏｒｔｉｎａｎｄ ｐｇ
ｖｉｓｕａｌｉｚａｔｉｏｎｔｏｏｌ［Ｃ］? Ｐｒｏｃｅｅｄｉｎｓｆａｒｅｎｓｔａｌｌａｔｉｏｎ ? ｏ Ｌ Ｉｇｇ：Ａ，Ｓｓｔｅｍ ＡｄｍｉｎｉｓｔｒａｔｉｏｎＣｏｎｆｅｒｅｎｃｅ．Ｎｅｗ ＹｏｒｋＣＭ Ｐｒｅｓｓ ｙ
３１７２０００：３０５－
［］Ｇｅｔａｌ．Ｐ１７ｏｏｄａｌｌＪＲ，ＬｕｔｔｅｒｓＷ Ｇ，ＲｈｅｉｎａｎｓＰ，ｒｅｓｅｒｖｉｎ ｇｇ
：ｔｈｅｂｉｉｃｔｕｒｅｖｉｓｕａｌｎｅｔｗｏｒｋｔｒａｆｆｉｃａｎａｌｓｉｓｗｉｔｈｔｎｖ［Ｃ］ ? ? ｇｐｙ ｒｏｃｅｅｄｉｎｓｏｆＶｉｓｕａｌｉｚａｔｉｏｎｆｏｒＣｏｍｕｔｅｒＳｅｃｕｒｉｔ．ＬｏｓＰ ｇｐｙ：，５４ＡｌａｍｉｔｏｓＩＥＥＥＣｏｍｕｔｅｒＳｏｃｉｅｔＰｒｅｓｓ２００５：４７－ ｐｙ ［］Ｂ１８ｅｒｔｉｎｉＥ，ＨｅｒｔｚｏＰ，ＬａｌａｎｎｅＤ．ＳｉｒａｌＶｉｅｗ：ｔｏｗａｒｄｓ ｇｐ
ｓｅｃｕｒｉｔｏｌｉｃｉｅｓａｓｓｅｓｓｍｅｎｔｔｈｒｏｕｈｖｉｓｕａｌｃｏｒｒｅｌａｔｉｏｎｏｆ ｙｐｇ Ｐｒｏｃｅｅｄｉｎｓｎｅｔｗｏｒｋｒｅｓｏｕｒｃｅｓｗｉｔｈｅｖｏｌｕｔｉｏｎｏｆａｌａｒｍｓ［Ｃ］? ? ｇ：ｏｆＶｉｓｕａｌＡｎａｌｔｉｃｓＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏ．ＬｏｓＡｌａｍｉｔｏｓ ｙｇｙ，６１４ＩＥＥＥＣｏｍｕｔｅｒＳｏｃｉｅｔＰｒｅｓｓ２００７：１３９－ ｐｙ
［］Ａｅｔａｌ．Ｖ１９ｂｄｕｌｌａｈＫ，ＬｅｅＣ，ＣｏｎｔｉＧ，ｉｓｕａｌｉｚｉｎｎｅｔｗｏｒｋｄａｔａ ｇ
ｆｏｒｎｔｒｕｓｉｏｎｅｔｅｃｔｉｏｎ［Ｃ］? Ｐｒｏｃｅｅｄｉｎｓｆｎｆｏｒｍａｔｉｏｎ ｉ ｄ? ｏ Ｉｇ：ＡｓｓｕｒａｎｃｅＷｏｒｋｓｈｏ．ＬｏｓＡｌａｍｉｔｏｓＩＥＥＥＣｏｍｕｔｅｒＳｏｃｉｅｔ ｐｐｙ，１０Ｐｒｅｓｓ２００５：１００８－
［］Ｂｃｎｔｒｉｃｖｉｓｕａｌｉｚａｔｉｏｎｏｆ２０ａｌｌＲ，ＦｉｎｋＧ Ａ，ＮｏｒｔｈＣ．Ｈｏｍｅｅ－
Ｐｒｏｃｅｅｄｉｎｓａｄｍｉｎｉｓｔｒａｔｉｏｎ［Ｃ］ｎｅｔｗｏｒｋｔｒａｆｆｉｃｆｏｒｓｅｃｕｒｉｔ? ? ｇｙ ｏｎＶｉｓｕａｌｉｚａｔｉｏｎａｎｄＤａｔａＭｉｎｉｎｆｏｒｏｆｔｈｅＡＣＭ Ｗｏｒｋｓｈｏ ｇｐ ：Ａ，６ＣｏｍｕｔｅｒＳｅｃｕｒｉｔ．Ｎｅｗ ＹｏｒｋＣＭ Ｐｒｅｓｓ２００４：５５４－ ｐｙ］Ｆ［ａｒｅａｌｅｔａｌ．Ｌｓｃ１ｉｓｃｈｅｒＦ，ＭａｎｓｍａｎｎＦ，Ｋｅｉｍ Ｄ Ａ，ｅ２ － ｇ
ｏｒｉｓｕａｌｎａｌｓｉｓｆｔｔａｃｋｓ［Ｍ］．ｎｅｔｗｏｒｋｍｏｎｉｔｏｒｉｎ ｖ ａ ｏ ａｙｇ ｆ：，Ｓｒｉｎｅｒ２００８Ｈｅｉｄｅｌｂｅｒｇｐｇ
［］Ｌａｌｅｓｃ２２ｉａｏＱ，ＳｈｉＬ，ＷａｎＣ．Ｖｉｓｕａｌａｎａｌｓｉｓｏｆｌａｒｅ－ ｇｙｇ
］ｎｅｔｗｏｒｋｎｏｍａｌｉｅｓ［Ｊ．ＩＢＭｏｕｒｎａｌｆｅｓｅａｒｃｈｎｄ ａ Ｊ ｏ Ｒ ａ，（）：１Ｄｅｖｅｌｏｍｅｎｔ２０１３，５７３４１３：１３－? ｐ
］Ｔ［３ｓｉｋａｓＯ，ＴｈｏｎｎａｒｄＯ，ＴｚｏｖａｒａｓＤ．Ｖｉｓｕａｌｓａｍｃａｍａｉｎｓ２ ｇｐｐｇ
ａｎａｌｓｉｓｓｉｎｂｓｔｒａｃｔｒａｈｓｅｒｅｓｅｎｔａｔｉｏｎ［Ｃ］? ? ｇ ｒ ｕｐｐｙｇ ａＰｒｏｃｅｅｄｉｎｓｆｈｅｔｈｎｔｅｒｎａｔｉｏｎａｌｍｏｓｉｕｍｎ ｏ ｔ ９ Ｉ Ｓ ｏｇｙｐ：Ａ，ＶｉｓｕａｌｉｚａｔｉｏｎｆｏｒＣｂｅｒＳｅｃｕｒｉｔ．Ｎｅｗ ＹｏｒｋＣＭ Ｐｒｅｓｓ ｙｙ７１２０１２：６４－
［］Ｙｔａｌ．Ｉ２４ｕＴ Ｈ，ＦｕｌｌｅｒＢ Ｗ，ＢａｎｎｉｃｋＪＨ，ｅｎｔｅｒａｔｅｄ ｇ
Ｅｎｖｉｒｏｎｍｅｎｔａｎａｅｍｅｎｔｏｒｎｆｏｒｍａｔｉｏｎｅｒａｔｉｏｎｓ Ｍ ｆ Ｉ ＯｇｐＶｉｓｕａｌｉｚａｔｉｏｎｏｒｏｍｕｔｅｒｅｃｕｒｉｔ．Ｔｅｓｔｂｅｄｓ［Ｍ］? ? ｆ Ｃ Ｓｐｙ：，８３ＨｅｉｄｅｌｂｅｒＳｒｉｎｅｒ２００８：６７－ｇｐｇ
［］Ｌ２５ａｋｋａｒａｕＫ，Ｙｕｒｃｉｋ Ｗ，ＬｅｅＡＪ．ＮＶｉｓｉｏｎＩＰ：ｎｅｔｆｌｏｗ ｊ
ｖｉｓｕａｌｉｚａｔｉｏｎｓｆｓｔｅｍｔａｔｅｏｒｅｃｕｒｉｔｉｔｕａｔｉｏｎａｌ ｏ ｓ ｓ ｆ ｓｙｙ ｓＰｒｏｃｅｅｄｉｎｓｏｆｔｈｅＡＣＭ Ｗｏｒｋｓｈｏｎａｗａｒｅｎｅｓｓ［Ｃ］? ? ｇｐ ｏＶｉｓｕａｌｉｚａｔｉｏｎａｎｄＤａｔａＭｉｎｉｎｆｏｒＣｏｍｕｔｅｒＳｅｃｕｒｉｔ．Ｎｅｗ ｇｐｙ ：Ａ，７２ＹｏｒｋＣＭ Ｐｒｅｓｓ２００４：６５－
［］Ｆ，Ｖ：ｅｔａｌ．Ｖ２６ｉｓｃｈｅｒＦ，ＦｕｃｈｓＪｅｒｖｉｅｒＰＡ，ｉｓＴｒａｃｅｒａｖｉｓｕａｌ
ａｎａｌｔｉｃｓｔｏｏｌｔｏｉｎｖｅｓｔｉａｔｅｒｏｕｔｉｎａｎｏｍａｌｉｅｓｉｎｔｒａｃｅｒｏｕｔｅｓ ｙｇｇ ［Ｐｒｏｃｅｅｄｉｎｓｏｆｔｈｅ９ｔｈＩｎｔｅｒｎａｔｉｏｎａｌＳｍｏｓｉｕｍｏｎＣ］? ? ｇｙｐ：Ａ，ＶｉｓｕａｌｉｚａｔｉｏｎｆｏｒＣｂｅｒＳｅｃｕｒｉｔ．Ｎｅｗ ＹｏｒｋＣＭ Ｐｒｅｓｓ ｙｙ８７２０１２：８０－
］Ｘ，Ｈ［７ｉａｏＬ，ＧｅｒｔｈＪａｎｒａｈａｎＰ．Ｅｎｈａｎｃｉｎｖｉｓｕａｌａｎａｌｓｉｓｏｆ２ ｇｙ
ｎｅｔｗｏｒｋｔｒａｆｆｉｃｕｓｉｎａｋｎｏｗｌｅｄｅｒｅｒｅｓｅｎｔａｔｉｏｎ［Ｃ］? ? ｇｇｐ ＰｒｏｃｅｅｄｉｎｓｏｆＩＥＥＥＳｍｏｓｉｕｍ ＯｎＶｉｓｕａｌＡｎａｌｔｉｃｓＳｃｉｅｎｃｅ ｇｙｐｙ：ＩＡｎｄＴｅｃｈｎｏｌｏ．ＬｏｓＡｌａｍｉｔｏｓＥＥＥＣｏｍｕｔｅｒＳｏｃｉｅｔ ｇｙｐｙ，１１Ｐｒｅｓｓ２００６：１０７４－
：［］Ｌ，ｅｔａｌ．Ｖｔｉｉｓｕａｌｆｉｒｅｗａｌｌｒｅａｌｍｅ２８ｅｅＣＰ，ＴｒｏｓｔＪＧｉｂｂｓＮ， －
ｎｅｔｗｏｒｋｅｃｕｒｉｔｏｎｉｔｏｒ［Ｃ］? ＰｒｏｃｅｅｄｉｎｓｆＥＥＥ ｓ? ｏ Ｉｙｇ ｍＷｏｒｋｓｈｏｏｎｉｓｕａｌｉｚａｔｉｏｎｏｒｏｍｕｔｅｒｅｃｕｒｉｔ．Ｌｏｓ Ｖ ｆ Ｃ Ｓｐｐｙ ：，１３６ＡｌａｍｉｔｏｓＩＥＥＥＣｏｍｕｔｅｒＳｏｃｉｅｔＰｒｅｓｓ２００５：１２９－ ｐｙ
［］Ｃ２９ｈｏｉＨ，ＬｅｅＨ，Ｋｉｍ Ｈ．Ｆａｓｔｄｅｔｅｃｔｉｏｎａｎｄｖｉｓｕａｌｉｚａｔｉｏｎｏｆ
］ｎｅｔｗｏｒｋａｔｔａｃｋｓｏｎａｒａｌｌｅｌｃｏｏｒｄｉｎａｔｅｓ［Ｊ．Ｃｏｍｕｔｅｒｓ＆ ｐｐ，（）：Ｓｅｃｕｒｉｔ２００９，２８５２８２７６８－ｙ［］Ｗ３０ｒｉｈｔＣＶ，ＭｏｎｒｏｓｅＦ，ＭａｓｓｏｎＧ Ｍ．Ｕｓｉｎｖｉｓｕａｌｍｏｔｉｆｓ ｇｇ
ｔｏｃｌａｓｓｉｆｅｎｃｒｔｅｄｔｒａｆｆｉｃ［Ｃ］? Ｐｒｏｃｅｅｄｉｎｓｏｆｔｈｅ３ｒｄ ? ｙｙｐｇ Ｉｎｔｅｒｎａｔｉｏｎａｌｏｒｋｓｈｏｎｉｓｕａｌｉｚａｔｉｏｎｏｒｏｍｕｔｅｒ Ｗ Ｖ ｆ Ｃｐｐ ｏ，Ｓｅｃｕｒｉｔ．Ｎｅｗ Ｙｏｒｋ：ＡＣＭ Ｐｒｅｓｓ２００６：４１５０－ｙ
］Ｍ［１ａｎｓｍａｎＦ，ＭｅｉｅｒＬ，Ｋｅｉｍ Ｄ Ａ．Ｖｉｓｕａｌｉｚａｔｉｏｎｏｆｈｏｓｔ３
：Ｓ，ｂｅｈａｖｉｏｒｆｏｒｎｅｔｗｏｒｋｓｅｃｕｒｉｔＭ］．Ｈｅｉｄｅｌｂｅｒｒｉｎｅｒ ｙ［ｇｐｇ２００８［］Ｋ３２ｏｉｋｅＨ，ＯｈｎｏＫ．ＳｎｏｒｔＶｉｅｗ：ｖｉｓｕａｌｉｚａｔｉｏｎｓｓｔｅｍｏｆｓｎｏｒｔ ｙ
ｌｏｓ［Ｃ］ＰｒｏｃｅｅｄｉｎｓｏｆｔｈｅＡＣＭ ＷｏｒｋｓｈｏｏｎＶｉｓｕａｌｉｚａｔｉｏｎ? ? ｇｇｐ ａｎｄＤａｔａＭｉｎｉｎｆｏｒＣｏｍｕｔｅｒＳｅｃｕｒｉｔ．Ｎｅｗ Ｙｏｒｋ：ＡＣＭ ｇｐｙ ，Ｐｒｅｓｓ２００４：１４３１４７－［］Ａ，ｅａＤＳＲａｉｎＳｔｏｒｍ：３３ｂｄｕｌｌａｈＫ，ＬｅｅＣＰ，ＣｏｎｔｉＧＪｔｌ．Ｉ
ＩＤＳＡｌａｒｍｓ［Ｃ］ＶｉｓｕａｌｉｚｉｎＰｒｏｃｅｅｄｉｎｓｏｆＩＥＥＥ Ｗｏｒｋｓｈｏ ? ? ｇｇｐ ：ｏｎＶｉｓｕａｌｉｚａｔｉｏｎｆｏｒＣｏｍｕｔｅｒＳｅｃｕｒｉｔ．ＬｏｓＡｌａｍｉｔｏｓＩＥＥＥ ｐｙ，Ｐｒｅｓｓ２００５：１ＣｏｍｕｔｅｒＳｏｃｉｅｔ８ －ｐｙ ［］Ｈ３ｉｄｅｓｈｉｍａＹ，ＫｏｉｋｅＨ．ＳＴＡＲＭＩＮＥ：ａｖｉｓｕａｌｉｚａｔｉｏｎｓｓｔｅｍ４ ｙ
ａｔＰａｔａｃｋｓ［Ｃ］? ｃｉｆｉｃｆｏｒｂｅｒＰｒｏｃｅｅｄｉｎｓｆｈｅｓｉａ－－ ｃ? ｏ ｔ Ａｙｇ：ＳｍｏｓｉｕｍｏｎＩｎｆｏｒｍａｔｉｏｎＶｉｓｕａｌｉｓａｔｉｏｎ－Ｖｌｕｍｅ６０．Ｓｄｎｅｏ ｙｐｙｙ，，Ｉｎｃ．２００６：１３１ＡｕｓｔｒａｌｉａｎＣｏｍｕｔｅｒＳｏｃｉｅｔ１８３ －ｐｙ［］Ａｉｓｕａｌｉｚｉｎｔａｌ．Ｖ３５ｌｓａｌｅｈＭ，ＡｌａｈｔａｎｉＡ，ＡｌａｒｉｆｉＡ，ｅ ｇｑ
ｏｆｗｅｂｓｅｒｖｅｒｆｉｌｅｓｆｏｒｂｅｔｔｅｒｕｎｄｅｒｓｔａｎｄｉｎＰＨＰＩＤＳｌｏ ｇｇ ａｔｔａｃｋｓ［Ｃ］? Ｐｒｏｃｅｅｄｉｎｓｆｈｅ０ｔｈ Ｗｏｒｋｓｈｏｎ? ｏ ｔ １ｇｐ ｏ：Ａ，ＶｉｓｕａｌｉｚａｔｉｏｎｆｏｒＣｂｅｒＳｅｃｕｒｉｔ．Ｎｅｗ ＹｏｒｋＣＭ Ｐｒｅｓｓ ｙｙ２０１３：１８－［，Ｍ］Ｌ３ｅｔａｌ．ＶｉｖｎａｔＹ，ＡｕｔｔｅｒＪｏｏｎＳ，ｉｓｕａｌｃｏｒｒｅｌａｔｉｏｎｆｏｒ６ ｇ
ｓｉｔｕａｔｉｏｎａｌａｗａｒｅｎｅｓｓ［Ｃ］ＰｒｏｃｅｅｄｉｎｓｏｆＩＥＥＥＳｍｏｓｉｕｍ ? ? ｇｙｐ：ｏｎＩｎｆｏｒｍａｔｉｏｎＶｉｓｕａｌｉｚａｔｉｏｎ．ＬｏｓＡｌａｍｉｔｏｓＩＥＥＥＣｏｍｕｔｅｒ ｐ，Ｐｒｅｓｓ２００５：９５Ｓｏｃｉｅｔ１０２－ｙ
：［］ＺｅｔＳｅｃＲａｄａｒａｖｉｓｕａｌｉｚａｔｉｏｎｅｔａｌ．Ｎ３７ｈｏｕＦ，ＳｈｉＲ，ＺｈａｏＹ，
ｓｉｔｕａｔｉｏｎａｌａｗａｒｅｎｅｓｓ［Ｍ］? ｓｓｔｅｍｆｏｒｎｅｔｗｏｒｋｓｅｃｕｒｉｔ ? ｙｙ Ｃｂｅｒｓａｃｅａｆｅｔｎｄｅｃｕｒｉｔ．Ｎｅｗ Ｙｏｒｋ：Ｓｒｉｎｅｒ Ｓ Ｓｙｐｙｙｐｇ ａ，ＩｎｔｅｒｎａｔｉｏｎａｌＰｕｂｌｉｓｈｉｎ２０１３：４０３６４１ －ｇ
［］Ｄ：３８ｕｍａｓＭ，ＲｏｂｅｒｔＪＭ，ＭｃＧｕｆｆｉｎＭＪ．Ａｌｅｒｔｗｈｅｅｌｒａｄｉａｌ
ｂｉａｒｔｉｔｅｒａｈｖｉｓｕａｌｉｚａｔｉｏｎａｌｉｅｄｔｏｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ ｐｇｐｐｐ］，（）：ｓｓｔｅｍａｌｅｒｔｓ［Ｊ．ＩＥＥＥＮｅｔｗｏｒｋ２０１２，２６６１８１２ －ｙ［］Ｚ：ｅｔａｌ．Ｉｔｉ３９ｈａｏＹ，ＺｈｏｕＦＦ，ＦａｎＸＰ，ＤＳＲａｄａｒａｒｅａｌｍｅ －
］ｖｉｓｕａｌｉｚａｔｉｏｎｆｒａｍｅｗｏｒｋｆｏｒＩＤＳａｌｅｒｔｓ［Ｊ．ＳｃｉｅｎｃｅＣｈｉｎａ ，（）：ＩｎｆｏｒｍａｔｉｏｎＳｃｉｅｎｃｅｓ２０１３，５６８１１２ －
］Ｓ［０ｈｉｒａｖｉＨ，ＳｈｉｒａｖｉＡ，ＧｈｏｒｂａｎｉＡ Ａ．Ｓｉｔｕａｔｉｏｎａｌａｓｓｅｓｓｍｅｎｔ４
：ｏｆｉｎｔｒｕｓｉｏｎａｌｅｒｔｓａｍｕｌｔｉａｔｔａｃｋｓｃｅｎａｒｉｏｅｖａｌｕａｔｉｏｎ［Ｍ］ ? ? ：Ｉｎｆｏｒｍａｔｉｏｎｎｄｏｍｍｕｎｉｃａｔｉｏｎｓｅｃｕｒｉｔ．Ｈｅｉｄｅｌｂｅｒ ａ Ｃ Ｓｙｇ，４１Ｓｒｉｎｅｒ２０１１：３９９３－ｐｇ
第５期赵 颖，等：网络安全数据可视化综述
６９７
［］Ｎ４１ｅｔａｌ．ＭｏｅｌＳ，ＪａｃｏｂｓＭ，ＫａｌａａＰ，ｕｌｔｉｌｅｃｏｏｒｄｉｎａｔｅｄ ｐｐ
ｖｉｅｗｓｆｏｒｎｅｔｗｏｒｋａｔｔａｃｋｒａｈｓ［Ｃ］ＰｒｏｃｅｅｄｉｎｓｏｆＩＥＥＥ ? ? ｇｐｇＷｏｒｋｓｈｏｏｎｉｓｕａｌｉｚａｔｉｏｎｏｒｏｍｕｔｅｒｅｃｕｒｉｔ．Ｌｏｓ Ｖ ｆ Ｃ Ｓｐｐｙ ：，ＡｌａｍｉｔｏｓＩＥＥＥＣｏｍｕｔｅｒＳｏｃｉｅｔＰｒｅｓｓ２００５：９９１０６ －ｐｙ ［］Ｗ４２ｉｌｌｉａｍｓＬ，ＬｉｍａｎｎＲ，ＩｎｏｌｓＫ．ＧＡＲＮＥＴ：ａｇｒａｈｉｃａｌ ｐｐｇｐ
ａｔｔａｃｋｒａｈａｎｄｒｅａｃｈａｂｉｌｉｔｎｅｔｗｏｒｋｅｖａｌｕａｔｉｏｎｔｏｏｌ［Ｍ］． ｇｐｙ ：，ＨｅｉｄｅｌｂｅｒＳｒｉｎｅｒ２００８ｇｐｇ
［］Ｂ４３ａｓｓＴ．Ｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｓｓｔｅｍｓａｎｄｍｕｌｔｉｓｅｎｓｏｒｄａｔａ ｙ
］：ｆｕｓｉｏｎ［Ｊ．ＣｏｍｍｕｎｉｃａｔｉｏｎｓｏｆｔｈｅＡＣＭ，２０００，４３（４）９９ －１０５
［］Ｙ：４４ｉｎＸ，Ｙｕｒｃｉｋ Ｗ，ＴｒｅａｓｔｅｒＭ，ｅｉｓＦｌｏｗＣｏｎｎｅｃｔｔａｌ．Ｖ
ｎｅｔｆｌｏｗｉｓｕａｌｉｚａｔｉｏｎｓｆｉｎｋｅｌａｔｉｏｎｓｈｉｓｏｒｅｃｕｒｉｔ ｖ ｏ ｌ ｒ ｆ ｓｐｙｓｉｔｕａｔｉｏｎａｌｗａｒｅｎｅｓｓ［Ｃ］? ＰｒｏｃｅｅｄｉｎｓｆｈｅＣＭ ａ? ｏ ｔ ＡｇＷｏｒｋｓｈｏｏｎＶｉｓｕａｌｉｚａｔｉｏｎａｎｄＤａｔａＭｉｎｉｎｆｏｒＣｏｍｕｔｅｒ ｐｇｐ ：Ａ，Ｓｅｃｕｒｉｔ．Ｎｅｗ ＹｏｒｋＣＭ Ｐｒｅｓｓ２００４：２６３４－ｙ
］Ｆ，Ｍ［ｅｔａｌ．Ｂ５ｉｓｃｈｅｒＦ，ＦｕｃｈｓＪａｎｓｍａｎｎＦ，ＡＮＫＳＡＦＥ：ｖｉｓｕａｌ４
］ｓｃａｎａｌｔｉｃｓｆｏｒｂｉｄａｔａｉｎｌａｒｅａｌｅｃｏｍｕｔｅｒｎｅｔｗｏｒｋｓ［Ｊ．－ ｙｇｇｐ ，ＩｎｆｏｒｍａｔｉｏｎＶｉｓｕａｌｉｚａｔｉｏｎＪｏｕｒｎａｌ２０１３，６：１１０ －
］Ｃ［ｅｔａｌ．Ａ６ｈｅｎＳ，ＭｅｒｋｌｅＦ，ＳｃｈａｅｆｅｒＨ，ｎＮｅｔＴｅｃｏｌｌａｂｏｒａｔｉｏｎ４
ｏｒｉｅｎｔｅｄｖｉｓｕａｌｉｚａｔｉｏｎｏｆｎｅｔｗｏｒｋｄａｔａ［Ｃ］? Ｐｒｏｃｅｅｄｉｎｓｏｆ ? ｇ：ＶｉｓｕａｌＡｎａｌｔｉｃｓＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏ．ＬｏｓＡｌａｍｉｔｏｓ ｙｇｙ，ＩＥＥＥＣｏｍｕｔｅｒＳｏｃｉｅｔＰｒｅｓｓ２０１３：１２ －ｐｙ
［］Ｂ：４７ｅｎｓｏｎＪＲ，ＲａｍａｒａａｎＪ．ＮＯＣｔｕｒｎｅａｓｃａｌａｂｌｅｌａｒｅｆｏｒｍａｔ ｊｇ
ｖｉｓｕａｌｉｚａｔｉｏｎｆｏｒｎｅｔｗｏｒｋｏｅｒａｔｉｏｎｓ［Ｃ］? Ｐｒｏｃｅｅｄｉｎｓｏｆ ? ｐｇ：ＶｉｓｕａｌＡｎａｌｔｉｃｓＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏ．ＬｏｓＡｌａｍｉｔｏｓ ｙｇｙ，ＩＥＥＥＣｏｍｕｔｅｒＳｏｃｉｅｔＰｒｅｓｓ２０１３：３４ －ｐｙ
［：］Ｐ４ｅａｒｏｍａｎｎＭ，ＭａＹ Ａ，ＷｅｉＳ，ｉｎＲａｉｎａｎａｍｂｉｅｎｔ８ｔｌ．Ｓｒ ｇｐ
ｉｎｆｏｒｍａｔｉｏｎｄｉｓｌａＣ］? ＰｒｏｃｅｅｄｉｎｓｏｆＶｉｓｕａｌＡｎａｌｔｉｃｓ ? ｐｙ［ｇｙ：ＩＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏ．ＬｏｓＡｌａｍｉｔｏｓＥＥＥＣｏｍｕｔｅｒ ｇｙｐ，ＳｏｃｉｅｔＰｒｅｓｓ２０１３：５６－ｙ