[發明專利]攻擊檢測裝置和攻擊檢測方法

有效

• 申請號: 201480076371.6
• 申請日: 2014-02-26
• 公開（公告）號: CN106062765B
• 公開（公告）日: 2017-09-22
• 發明（設計）人: 居城秀明;河內清人
• 申請（專利權）人: 三菱電機株式會社
• 主分類號: G06F21/55
• 分類號: G06F21/55
• 代理公司: 北京三友知識產權代理有限公司11127
• 代理人: 李輝,黃綸偉

1.一種攻擊檢測裝置，該攻擊檢測裝置具有：

攻擊事件定義信息存儲部，其針對多個事件存儲攻擊事件定義信息，所述攻擊事件定義信息記述了在進行針對信息系統的攻擊的過程中由所述信息系統觀測的事件、作為觀測所述事件前的攻擊的進展階段的事件前階段、和作為觀測到所述事件后的攻擊的進展階段的事件后階段；

觀測事件通知信息接收部，其接收觀測事件通知信息，所述觀測事件通知信息通知由所述信息系統觀測到的觀測事件；以及

事件隊列生成部，其從所述攻擊事件定義信息存儲部中檢索記述有通過所述觀測事件通知信息通知的觀測事件的攻擊事件定義信息，從所述攻擊事件定義信息存儲部中檢索記述有與檢索出的攻擊事件定義信息的事件前階段對應的事件后階段、或者與檢索出的攻擊事件定義信息的事件后階段對應的事件前階段的攻擊事件定義信息，在檢索出的攻擊事件定義信息的事件是無法觀測的不可觀測事件的情況下，視作已觀測到所述不可觀測事件，利用依存關系連接所述觀測事件和所述不可觀測事件，生成事件隊列。

2.根據權利要求1所述的攻擊檢測裝置，其中，

所述事件隊列生成部從所述攻擊事件定義信息存儲部中檢索記述有與所述不可觀測事件的事件前階段對應的事件后階段或與所述不可觀測事件的事件后階段對應的事件前階段的攻擊事件定義信息，在觀測到檢索出的攻擊事件定義信息的事件的情況下，視作已觀測到所述不可觀測事件，利用依存關系連接所述觀測事件和所述不可觀測事件，生成事件隊列。

3.根據權利要求1所述的攻擊檢測裝置，其中，

所述攻擊檢測裝置具有存儲多個事件的連鎖概率的連鎖概率存儲部，

所述事件隊列生成部根據所述連鎖概率存儲部所存儲的所述連鎖概率，計算事件隊列的發生概率，在該發生概率為閾值以上的情況下，視作已觀測到所述不可觀測事件，利用依存關系連接所述觀測事件和所述不可觀測事件，生成事件隊列。

4.根據權利要求1所述的攻擊檢測裝置，其中，

所述攻擊檢測裝置具有存儲事件的檢測遺漏率的檢測遺漏率存儲部，

所述事件隊列生成部在所述檢測遺漏率存儲部所存儲的所述檢測遺漏率超過閾值的情況下，視作已觀測到所述不可觀測事件，利用依存關系連接所述觀測事件和所述不可觀測事件，生成事件隊列。

5.根據權利要求1～4中的任意一項所述的攻擊檢測裝置，其中，

在所述攻擊事件定義信息存儲部存儲的所述攻擊事件定義信息中記述有多個所述事件前階段或所述事件后階段，

所述事件隊列生成部根據記述在所述攻擊事件定義信息中的多個所述事件前階段或所述事件后階段的可否觀測的判定結果，生成事件隊列。

6.根據權利要求1～4中的任意一項所述的攻擊檢測裝置，其中，

所述攻擊檢測裝置具有觀測期待事件存儲部，所述觀測期待事件存儲部存儲記述有與所述觀測事件的事件后階段對應的事件前階段的攻擊事件定義信息，

所述事件隊列生成部從所述觀測期待事件存儲部中檢索在所述事件前階段中記述有觀測事件的攻擊事件定義信息，生成事件隊列。

7.一種攻擊檢測方法，是檢測針對信息系統的攻擊的攻擊檢測裝置的攻擊檢測方法，包括以下步驟：

攻擊事件定義信息存儲步驟，攻擊事件定義信息存儲部針對多個事件存儲攻擊事件定義信息，所述攻擊事件定義信息記述了在進行針對所述信息系統的攻擊的過程中由所述信息系統觀測的事件、作為觀測所述事件前的攻擊的進展階段的事件前階段、和作為觀測到所述事件后的攻擊的進展階段的事件后階段；

觀測事件通知信息接收部接收觀測事件通知信息的步驟，所述觀測事件通知信息通知由所述信息系統觀測到的觀測事件；以及

事件隊列生成步驟，事件隊列生成部從所述攻擊事件定義信息存儲部中檢索記述有通過所述觀測事件通知信息通知的觀測事件的攻擊事件定義信息，從所述攻擊事件定義信息存儲部中檢索記述有與檢索出的攻擊事件定義信息的事件前階段對應的事件后階段、或者與檢索出的攻擊事件定義信息的事件后階段對應的事件前階段的攻擊事件定義信息，在檢索出的攻擊事件定義信息的事件是無法觀測的不可觀測事件的情況下，視作已觀測到所述不可觀測事件，利用依存關系連接所述觀測事件和所述不可觀測事件，生成事件隊列。