[發明專利]一種報警關聯方法及裝置有效
| 申請號： | 201510971580.3 | 申請日： | 2015-12-22 |
| 公開（公告）號： | CN106911629B | 公開（公告）日： | 2020-03-10 |
| 發明（設計）人： | 杭小勇;孫乾;楊凱;王一村;馬冰珂;程葉霞 | 申請（專利權）人： | 中國移動通信集團公司 |
| 主分類號： | H04L29/06 | 分類號： | H04L29/06 |
| 代理公司： | 北京銀龍知識產權代理有限公司 11243 | 代理人： | 許靜;安利霞 |
| 地址： | 100032 *** | 國省代碼： | 北京;11 |
| 權利要求書： | 查看更多 | 說明書： | 查看更多 |
| 摘要： | |||
| 搜索關鍵詞： | 一種 報警 關聯 方法 裝置 | ||
1.一種報警關聯方法，其特征在于，包括：
根據應用防火墻WAF報警日志，得到攻擊行為信息；
根據所述攻擊行為信息，獲取攻擊者的攻擊模式信息，所述攻擊模式信息包括攻擊者在一個攻擊過程中的各個攻擊行為所對應的攻擊類型信息；
根據不同的攻擊者的攻擊模式信息之間的相似度，對不同的攻擊者進行關聯處理，包括：
獲取不同的攻擊者的攻擊模式信息之間的相似度，包括：分別獲取兩個不同的攻擊者的攻擊類型序列信息Sa和Sb；
通過如下公式獲取Sa和Sb的最長公共子序列的長度ma,b：
ma,b＝f(na,nb)；其中，Typea,i表示Sa中的第i個攻擊類型，Typeb,j表示Sb中的第j個攻擊類型，na表示Sa的長度，nb表示Sb的長度；
根據所述最長公共子序列的長度ma,b是否滿足預設條件，判斷所述兩個不同的攻擊者的攻擊模式信息是否相似，所述預設條件為
若相似，則通過公式計算所述兩個不同的攻擊者的攻擊模式信息之間的相似度；
若兩個不同的攻擊者的攻擊模式信息之間的相似度大于第二預設閾值，則為所述兩個不同的攻擊者重新分配同一標識信息。
2.根據權利要求1所述的報警關聯方法，其特征在于，所述根據應用防火墻WAF報警日志，得到攻擊行為信息，包括：
從所述WAF報警日志中提取出至少一個攻擊行為，每個所述攻擊行為包括：被攻擊者的域名信息、攻擊時間信息、攻擊類型信息及攻擊者的IP信息；
根據每個所述攻擊者的IP信息，分配一用于標識攻擊者身份的標識信息，其中，不同的IP對應于不同的標識信息；
將包括所述攻擊行為及用于標識所述攻擊行為中攻擊者身份的標識信息的信息組合，作為所述攻擊行為信息。
3.根據權利要求2所述的報警關聯方法，其特征在于，所述根據所述攻擊行為信息，獲取攻擊者的攻擊模式信息，包括：
根據所述攻擊行為信息，將具有相同域名信息和相同標識信息、且攻擊時間的差值小于第一預設閾值的攻擊行為劃分為同一個攻擊過程；
獲取每個攻擊過程中的攻擊類型信息；
將每個攻擊過程對應的域名信息、標識信息及攻擊類型信息作為所述標識信息所標識攻擊者的攻擊模式信息。
4.根據權利要求3所述的報警關聯方法，其特征在于，所述獲取每個攻擊過程中的攻擊類型信息，包括：
根據攻擊時間信息，對每個攻擊過程中的各個攻擊行為所對應的攻擊類型信息進行排序處理，得到每個攻擊過程中的攻擊類型序列信息；
將每個攻擊過程的攻擊類型序列信息中相鄰且相同的兩個攻擊類型信息進行合并處理，并將合并后的攻擊類型序列信息，作為該攻擊過程中的攻擊類型信息。
5.根據權利要求1所述的報警關聯方法，其特征在于，在所述若兩個不同的攻擊者的攻擊模式信息之間的相似度大于第二預設閾值，則為所述兩個不同的攻擊者重新分配同一標識信息之后，所述報警關聯方法還包括：
判斷根據WAF報警日志得到的攻擊行為信息中，是否存在所述兩個不同的攻擊者的攻擊行為信息；
若存在，則將所述兩個不同的攻擊者的攻擊行為信息中的標識信息修改為重新分配的標識信息。
該專利技術資料僅供研究查看技術是否侵權等信息，商用須獲得專利權人授權。該專利全部權利屬于中國移動通信集團公司，未經中國移動通信集團公司許可，擅自商用是侵權行為。如果您想購買此專利、獲得商業授權和技術合作，請聯系【客服】
本文鏈接：http://www.szxzyx.cn/pat/books/201510971580.3/1.html，轉載請聲明來源鉆瓜專利網。
