《Applied Sciences》：Toward a Unified View of Cybersecurity Ontologies: A Systematic Review and Conceptual Consolidation
（1）背景：随着网络安全的规模与复杂性不断提升，行业对能够支撑一致、可互操作且机器可读的安全知识表示的共享概念框架需求日益迫切。本体通过结构化核心网络安全概念回应了这一需求，但现有研究在目标与方法论严谨性上差异显著——过往工作往往遵循两种路径：一是工具型路径，优先考量可用性与快速落地；二是形式化路径，强调逻辑精确性与推理能力。这种分化导致当前领域呈现碎片化状态，缺乏系统性综合分析。（2）方法：为厘清现有实践并挖掘研究机会，研究人员依据PRISMA指南开展了系统性文献综述，共纳入过去十年发表的93项网络安全本体研究，从概念覆盖范围、开发方法、验证策略及与NIST网络安全框架（CSF）2.0的对齐程度四个维度展开分析。（3）结果：尽管研究范围各异，所有本体均稳定建模资产、威胁、漏洞、攻击与对策等核心实体。但概念覆盖存在不均衡：多数研究聚焦于NIST CSF的识别（Identify）与检测（Detect）功能，响应（Respond）与恢复（Recover）功能的覆盖严重不足。这反映出当前领域普遍侧重预防性安全而非韧性建设，同时也暴露出实证验证与工业部署层面的缺口。（4）结论：当前领域已展现出较强的概念成熟度，但在方法论一致性与 operational 影响上仍有限。推动网络安全本体发展需要融合实用型与形式化建模传统，引入知识图谱、大语言模型（LLM）辅助的本体学习等新兴技术，并将覆盖范围扩展至事件后响应与恢复环节。这些举措是构建能够支撑真实世界安全运营的统一、可解释、自适应网络安全知识库的必要条件。
1. 引言
数字生态的快速演进与网络威胁的复杂化已将网络安全转化为关键的科学与产业优先级议题。组织机构需要保护从企业网络到信息物理系统的多元资产，抵御动态复杂的攻击。在此背景下，安全本体成为定义与关联网络安全核心概念的核心机制，为风险管理、威胁情报、事件响应与合规核验等活动提供语义基础，支撑知识共享与自动化流程。近年来，随着智能数据驱动安全系统的普及，本体在可解释性、语义集成与可信自动化中的作用进一步凸显。
当前网络安全本体领域仍存在显著碎片化问题：多数本体为独立开发，针对漏洞分析、访问控制或工业控制系统等特定目标，缺乏协调与复用机制，导致冗余建模、术语不一致与互操作性不足。即便已有模块化与本体对齐方案的提出，实际落地的案例依然稀缺，尚未形成能够跨域统一认知的整合框架。这种碎片化同时限制了跨域推理能力与自动化水平，也制约了本体解决方案的可扩展性。随着人工智能与可解释推理在安全领域的普及，对结构化、可互操作、可复用的知识表示的需求愈发迫切。本研究不对现有网络安全本体开展系统性回顾与概念整合，不提出新的本体，而是通过分析93项学术与工业本体，识别构成领域概念骨架的重复核心概念、关系与方法论趋势，为后续统一概念模型的构建奠定基础。
研究围绕三个核心问题展开：RQ1聚焦支撑完整安全认知所需的核心概念与关系；RQ2探究现有安全本体的主导研究方向；RQ3评估安全本体从理论构想到实际落地的开发现状与应用阶段。研究贡献体现为三方面：一是最广泛的范围覆盖，纳入近十年93项学术与工业本体成果；二是概念整合，识别并调和构成网络安全知识概念主干的重复核心概念与关系；三是方法论洞察，从主题焦点、方法论取向与成熟度三个维度对现有本体进行分类，既揭示概念优势，也明确实证层面的局限。此外，研究特别指出当前本体对NIST CSF 2.0中响应与恢复功能的覆盖缺失，以及真实场景验证的稀缺性，为后续本体开发提供了具体方向。
2. 相关工作：网络安全本体综述
现有网络安全领域本体评估相关研究相对有限。尽管已有大量综述梳理该领域的本体成果，但仅有少数工作对本体开展分类、分析与综合评估。这种稀缺性主要源于领域尚处早期发展阶段，学术探索与实际落地均为近期现象，行业亟需超越单纯本体提出的系统性方法，对框架开展批判性审视与优化，以提升其实际效用与相关性。
相关工作可分为多个方向：基础本体研究强调领域碎片化问题，提出基于顶层架构的基础本体开发思路，认为此类本体可提升跨域互操作性与数据分析能力；安全评估本体研究聚焦形式化安全评估领域的概念建模，呼吁支持系统化安全评估的本体体系；本体评估研究则关注本体在不同子域的实际应用价值，尝试明确本体如何提升安全数据的清晰度与可用性。值得注意的是，统一网络安全本体（UCO）作为重要的整合尝试，实现了STIX、CVE、CAPEC、CYBOX等异构数据源与标准在通用语义框架下的集成，但其核心是技术标准的技术整合，而非网络安全知识的系统性概念整合，既未对学术界的海量本体开展系统性综合，也未分析其概念重叠、成熟度与主题范围，因此仍需更具综合性、经验导向的统一本体研究。
3. 安全本体的系统性分类
网络安全的高动态性与复杂性要求稳健的工具与框架来管控风险。安全本体作为结构化产物，在标准化领域概念与关系中发挥关键作用，支撑高级工具的开发以应对安全问题。但现有本体在差异与应用场景上的清晰度不足，导致针对特定安全任务选择适配本体的难度较高。
本研究提出对现有安全本体开展系统性分类，提取其核心概念与关系以提供结构化分析。分类工作是开发统一安全本体的基础步骤，旨在将所审查本体的核心要素整合为一个覆盖网络安全更广泛需求的综合框架。研究的主要贡献包括：一是安全本体的系统性分类，详细梳理现有本体的核心概念与关系，为理解领域格局与各本体范围提供基础，提升应用层面的清晰度；二是统一安全本体框架的开发，在分类基础上整合所审查本体的核心要素，提供覆盖多元网络安全需求的标准化方案，提升工具与系统间的互操作性；三是为未来研究与开发奠基，通过清晰的结构化分析为领域创新提供支撑，预期可提升安全措施的有效性，支撑高级工具与方法的开发以管控网络安全风险。
4. 文献综述方法
为应对网络安全本体概念化提案激增的现状，研究采用系统性综述方法开展分析，确保对现有实证研究数据的系统性、客观性探索，有效回应研究问题。综述过程分为三个阶段：规划综述、执行综述与报告综述。
4.1 第一阶段：规划综述
规划阶段明确了综述的范围、研究目标与方法论边界，以保障研究的严谨性与可复现性。研究采用PICO-C框架（研究对象-干预措施-比较对象-结果-情境）界定范围，实现研究目标与分析性范围的解耦，确保研究筛选的结构化与一致性。在正式开展综述前，研究团队完成了协议制定与试点测试：预先在开放科学框架（OSF）注册综述协议，明确检索策略、来源、筛选流程、纳入排除标准与分歧解决机制；通过多轮试点测试验证筛选标准的一致性，优化纳入排除标准的表述与数据提取表单的结构，最终确认筛选标准清晰易用，评审员间分歧极少，保障了后续执行阶段的可靠性。
4.2 第二阶段：执行综述
执行阶段依据预设协议开展研究识别、筛选、选择与质量评估，严格遵循PRISMA 2020指南与软件工程领域系统性文献综述规范。检索覆盖IEEE Xplore、ACM数字图书馆、Elsevier Scopus、Springer Link、DBLP五个核心学术数据库，同时补充检索CEUR-WS.org与arXiv以覆盖早期工作与研讨会成果，检索时间跨度为2012年至2025年。检索字符串由本体术语、安全领域、知识表示同义词、应用子域四个概念块构成，各块内术语用OR连接，块间用AND连接，并根据不同数据库的语法要求进行适配调整。
研究筛选遵循PRISMA 2020流程，经过识别、筛选、资格确认三级过滤，仅纳入同行评审英文论文，剔除重复记录与技术报告、学位论文等非同行评议成果。为保障查全率，研究采用10项知名网络安全本体作为基准清单，确认最终检索式均能覆盖这些核心研究。筛选过程由三名评审员独立完成标题-摘要与全文两轮评审，分歧通过每周校准会议讨论解决，无法达成共识时由第四名资深评审员仲裁。研究采用科恩系数（Cohen’s κ）与弗莱iss多评审员κ值量化评审一致性，参照Landis与Koch的阈值标准，要求达到可接受的一致性水平后再进入数据提取阶段。
数据提取阶段采用预定义的提取表单，经五篇随机研究的试点测试优化后，由两名评审员独立提取每项研究的结构化信息，第三名评审员核查完整性并解决分歧。提取维度涵盖主题分类（对应RQ1-RQ2）、NIST CSF 2.0映射（对应RQ2）与基于Wieringa框架的方法论分类（对应RQ3）。其中Wieringa框架将研究贡献分为解决方案提案、验证研究、评估研究、经验论文、哲学论文与观点论文六类，研究特别明确其语境下的“验证研究”指分析性调查或受控实验室研究，不包含运营或工业环境中的实证验证，将实证验证作为独立的证据类型单独区分。提取后的数据以93条记录×12个字段的矩阵形式存储，为后续主题与NIST导向的综合分析提供实证基础。
研究质量评估结合DARE宏观标准与本体专用检查表开展：DARE标准从全局层面评估综述过程的透明度；本体专用检查表从范围清晰度、概念定义明确性、验证策略合理性等八个维度对每项研究评分，总分0-16分，分为低（0-6）、中（7-11）、高（12-16）三个质量等级。评估结果显示约三分之一的本体达到高质量评级，通常具备公开的OWL产物与验证测试；另有三分之一为中等等级，剩余本体缺乏公开产物或实证评估，印证了领域在可复现性上的局限。
4.3 第三阶段：报告综述
报告阶段首先通过词云展示摘要中的高频概念，其中安全（268次）、本体（218次）、信息（153次）、系统（135次）、网络安全（130次）等为最高频术语，直观反映领域的研究焦点。年度发表量统计显示2023年达到峰值（19篇），近年发文量持续增长，反映出领域持续活跃但标准化本体仍未形成的现状。
由于多数研究未详细报告本体开发方法，研究转而基于可观测的产物层属性对本体的表示形式、建模范式与推理支持三个正交维度开展分类：表示形式指编码本体的知识表示语言或逻辑形式，如OWL/OWL-DL、RDF(S)、规则扩展等；建模范式指组织网络安全知识的概念结构，如分类/层级模型、图基表示、事件/过程中心模型等；推理支持指本体产物原则上支持的自动推理类型，如描述逻辑推理、规则推理、SPARQL或图查询推理等。统计显示OWL类表示占主导（73.1%），分类/层级建模范式最常见（33.3%），近半数产物原则上支持描述逻辑推理（48.4%），反映出领域对形式语义与自动推理的偏好，同时也存在建模范式与推理配置的多样性，以适应异质化的研究目标。
5. 结果
5.1 对研究问题1的回答
研究问题1聚焦支撑完整安全认知所需的核心概念与关系。通过对93项本体的分析，识别出反复出现的十大核心概念：资产（需保护的各类有价值要素）、漏洞（暴露资产于潜在利用的弱点）、威胁（具备利用漏洞的能力与意图的任何情境或行为体）、攻击（威胁的具体化，通常由一系列蓄意行动构成）、对策或控制（预防、检测或缓解攻击与漏洞的行动或机制）、风险（威胁利用漏洞时的潜在损失或影响）、安全属性（需维护的保密性、完整性、可用性、韧性等特质）、事件与事件（影响资产的不利行动或可观测状态）、弱点（漏洞的根本成因，通常源于设计或实现缺陷）、上下文与情报（塑造威胁相关性与可能性的情境与环境信息）。
除核心概念外，研究还梳理出稳定的关系网络：威胁利用漏洞、漏洞影响资产、对策缓解威胁、行为体实施攻击、事件由多个子事件构成等。这些关系形成了因果与依赖链，可支撑风险评估、威胁建模、事件分析与决策支持等推理任务。概念整合显示当前领域已形成隐性的概念骨干，包含资产与行为体、漏洞与弱点、威胁与攻击、防护机制与目标、上下文与评估构念五大集群，表明社区已就安全知识的底层原语形成共识，但多数本体仍以静态结构为主，对传播路径、因果链或事件时间演化等动态行为的建模仍显不足，为后续扩展行为推理与推断模型提供了方向。
5.2 对研究问题2的回答
研究问题2探究现有安全本体的主导研究焦点，采用主题分类与NIST CSF 2.0映射双重互补的分析视角。主题分类将本体划分为七大类，且允许单篇研究归属多个类别：基础信息安全概念类聚焦资产、威胁、漏洞等核心构念的定义；风险、漏洞与暴露建模类侧重风险评估流程、漏洞表示与暴露评估，常集成CVE、CWE、CVSS等成熟分类体系；威胁、攻击与网络威胁情报类形式化对抗行为与攻击机制，支撑事件分析、入侵检测与归因；治理、ISMS与安全合规类对齐ISO 27001/27002、NIST框架等标准，支撑政策管理、审计准备与风险处置规划；安全需求工程类支持软件与系统工程中的安全需求获取、细化与验证，保障安全在设计阶段的早期融入；安全检测、监测与运营类支撑入侵检测、异常检测、事件关联与SOC/SIEM工作流建模；领域特定与应用导向类针对物联网、信息物理系统、访问控制等特定场景定制。分布统计显示风险/漏洞建模、威胁/攻击情报、治理/ISMS三类占比最高，基础概念、需求工程、检测/监测类次之，领域特定与人类中心类占比较低，反映出领域资源的集中投向。
NIST CSF 2.0映射进一步验证了这一分布特征：检测（Detect）功能覆盖最高，尤其是持续监测（DE.CM）与不利事件分析（DE.AE）子类；治理（Govern）功能次之，集中在角色与职责（GV.RR）、政策（GV.PO）与监督（GV.OV）子类；识别（Identify）与保护（Protect）功能有中等覆盖，响应（Respond）与恢复（Recover）功能则严重不足。这种失衡揭示了领域存在“标准化偏差”：拥有成熟分类体系与数据集的方向吸引了更多本体研究，而缺乏对应资源的方向则进展缓慢；同时也暴露出事后响应与恢复环节的知识建模缺口，与领域对韧性与持续改进的需求不匹配。
5.3 对研究问题3的回答
研究问题3评估安全本体的开发现状与应用阶段，结合成熟度轨迹与Wieringa分类两个视角展开分析。成熟度轨迹将研究演进划分为三个维度：基础与理论开发维度聚焦本体的概念与方法论层面，如领域范围界定、类与关系定义、与上层本体的对齐，强调形式表达能力与互操作性；多样化领域的应用与部署维度涵盖风险评估、漏洞管理、攻击建模、访问控制等具体场景，展示本体推理对数据集成、可追溯性与决策支持的增益；真实世界实施与工业采用维度则报告本体在航空航天、能源、医疗等行业的运营环境集成案例。统计显示早期研究集中于基础维度，2017年后应用维度快速增长，工业采用维度仅在近年出现零散案例，表明领域已实现理论成熟，但大规模工业落地仍处于起步阶段。
Wieringa分类则从方法论严谨性角度补充分析：解决方案提案类占比最高，聚焦新本体或框架的概念创新；验证研究类次之，开展受控环境下的分析性验证；哲学论文、观点论文、评估研究与经验论文占比较低。研究再次明确Wieringa语境下的验证研究不等于真实环境实证，当前领域绝大多数验证仍为分析性或原型级，缺乏运营环境的长期评估。两类分析共同表明：网络安全本体研究已具备较高的智力成熟度，概念设计与领域覆盖较为完善，但方法论层面的实证成熟度不足，解决方案提案远多于系统性的评估与经验研究，制约了本体从学术成果向运营组件的转化。
基于上述发现，研究提炼出六大未来方向：一是提升粒度、覆盖范围与时效性，融合静态领域知识与动态威胁情报；二是推进互操作性与概念对齐，构建广泛接受的参考本体；三是降低开发与维护成本，探索大语言模型辅助的本体进化管道；四是增强关系建模与推理能力，突破分类层级限制，支持因果、时序与多步对抗行为建模；五是完善评估、基准测试与真实世界验证体系，建立标准化测试床；六是深化可解释性、集成与AI协同，支撑透明可信的自适应安全系统。同时研究也客观指出了本体方法的固有局限：静态建模难以适配动态威胁环境、对不确定性与概率语义的表达能力不足、开发与维护成本高、互操作性仍存障碍、实证验证稀缺、大规模推理存在性能约束，这些局限为后续研究划定了需要突破的边界。
6. 讨论
本综述表明网络安全本体领域已达到概念成熟度，但缺乏方法论与运营的凝聚力。本体产物的OWL-DL与混合建模范式偏好，解释了为何多数研究侧重概念一致性与结构完整性，却较少报告大规模实证验证。当前领域普遍存在高度专门化的本体，在入侵检测、漏洞管理等细分方向重复构建相似概念，导致术语定义不一致，阻碍跨域推理与语义互操作。
方法论层面存在工具型与形式型两大范式的共存：前者优先轻量、实用与快速落地，后者立足逻辑精确性与推断互操作，当前多数工作偏向工具型取向，虽促进了应用本体的繁荣，但也加剧了概念分散。NIST映射揭示的“识别-检测强、响应-恢复弱”的失衡，不仅是主题缺口，更是认识论层面的不对称：领域已充分形式化了预防逻辑，但尚未构建起覆盖事后分析、组织学习与韧性的恢复本体。
尽管存在局限，领域已就资产、威胁、漏洞、攻击、对策等核心词汇达成广泛共识，且近期研究已开始将本体建模与威胁情报、动态事件响应等运营场景结合，呈现出从静态表示向可行动知识转变的趋势。未来推进集成安全本体，需要调和异质概念化需求与表达力要求，在工具型与形式型范式间取得平衡，最终构建支持复用、语义对齐与可扩展性的共享基础，支撑可解释AI、自动合规与情境感知防御系统的发展。
7. 局限性
本研究的局限性主要体现在五方面：一是检索范围限定为英文同行评议文献，可能遗漏其他语言或非索引平台的工业与政府项目成果；二是网络安全术语的动态性与语境依赖性，可能导致概念映射的细微歧义；三是本体评估方法的异质性，缺乏社区统一的基准，制约了成熟度比较的准确性；四是工具与产物的可获得性不足，多数研究未公开OWL或RDF模型，阻碍了独立验证与复用；五是研究范围限定于网络安全域，未覆盖安全、可靠性、信任管理等关联领域的概念重叠。这些局限不影响综述的整体可靠性，但为后续研究提供了拓展方向。
8. 未来工作
针对上述缺口，未来工作将聚焦于集成安全本体的设计与实现，核心目标是将分散的核心概念、关系与领域扩展整合为语义丰富的统一结构，具体涵盖五项任务：一是基于文献共识统一资产、威胁、漏洞、控制、事件等基础构念；二是调和风险评估、攻击分类、政策合规、社会工程等多元建模视角，构建可互操作的模块；三是映射CVE、CWE、CVSS、STIX、ISO/IEC 27001、NIST指南等主流标准与分类体系，提升与行业实践的适配性；四是采用模块化本体设计模式与OWL形式化，支撑物联网、信息物理系统等场景的扩展适配；五是提供工具支持，实现从漏洞数据库等结构化源与技术文档等非结构化源的自动填充。
同步将开展工业与政府场景的实证验证，聚焦实际效用、集成挑战与用户反馈，并通过能力问题专家评审、基于场景的推理评估、威胁分析与安全需求获取原型工具应用、与现有本体的检索性能与推断一致性对比等方式完成验证。此外还将探索与可解释AI（XAI）、安全知识图谱、可视化平台的集成，提升透明度与可用性。
研究进一步提出安全知识图谱（SKG）作为本体方法的演进方向，指出其可通过动态推理、持续数据集成与异构信息源自动丰富，弥补现有本体的碎片化缺陷，同时明确了语义集成异构源、可扩展性与实时更新、核心模式与词汇标准化、自动知识提取、知识图谱自身的安全与隐私、可解释性与人类可读性、验证与基准测试七大研究挑战，为后续工作划定了具体路径。
9. 结论
本研究通过对93项网络安全本体的系统性综述，厘清了领域在概念、主题与方法论层面的演进规律。分析表明当前领域呈现“智力成熟但运营碎片化”的特征：大量本体为漏洞管理、风险评估、合规核验等特定场景定制，虽体现了本体方法的灵活性，但也导致冗余建模、语义不一致与互操作性受限，阻碍了大范围运营落地。
核心发现可归纳为三点：第一，领域已自发形成以资产、威胁、漏洞、攻击、对策为核心的概念骨干，为跨域推理与对齐提供了稳定词汇基础；第二，现有本体高度集中于NIST CSF 2.0的治理、识别与检测功能，响应与恢复功能的覆盖严重不足，反映出预防性建模与韧性需求之间的脱节；第三，领域虽具备较强的概念开发能力，但实证验证与持续工业采用仍然有限，多数成果停留在概念提案或原型阶段，缺乏运营环境的纵向评估与横向对比。
上述结论为统一、面向从业者的网络安全本体开发指明了方向。未来本体需明确支持运营集成，能够驱动SOAR平台的自动剧本、支撑零信任环境的政策推理、为AI辅助检测与决策提供可解释的语义上下文，同时具备模块化与进化能力，适配新兴威胁、监管要求与组织语境的变化。本研究提供的分析基础，将直接支撑后续统一网络安全知识模型的构建，推动领域从概念整合走向运营实效，弥合学术研究与现代网络安全实践之间的鸿沟。
