摘要
本文提出了一种面向语义的知识表示方法，将原始网络安全事件数据转换为结构化语义知识，以支持网络安全决策中的可解释推理。核心贡献是从初级语义信息（PSI）到次级语义信息（SSI）的转换机制，基于网络事件和攻击模式的框架模型，随后进行基于规则的逻辑推理。该推理过程将语义谓词映射到MITRE敌手战术、技术和常见知识（MITRE ATT&CK）技术，并重建因果攻击链。该方法在信息语义系统（ISS）中实现，并与可解释人工智能（XAI）集成，从而确保每个决策都可以追溯到产生该决策的规则和语义关系。在CICIDS2017数据集上进行评估，采用二分类任务（正常 vs. 攻击）、分层60/20/20训练-验证-测试划分以及五次实验运行，得出精确度为0.94、召回率为0.91、F1分数为0.92。这些结果与强神经网络基线方法相当，而本文提出的方法提供了更大的可解释性和决策可追溯性。在两个匿名化的实际SOC/SIEM环境中，与仅基于机器学习的基线管道相比，该方法将事件分诊时间减少了22–38%，误报率降低了18–34%。本文进一步考察了跨数据集的可迁移性，展示了消融分析，纳入了基于短期记忆（STM）的时间上下文，并讨论了可解释性机制以及与相关网络安全标准的对齐。
