[發明專利]一種基于大數據關聯的網絡攻擊檢測方法

有效

• 申請號: 201610131314.4
• 申請日: 2016-03-09
• 公開（公告）號: CN105704136B
• 公開（公告）日: 2019-04-05
• 發明（設計）人: 焦棟;敖乃翔;王辰;王德勇;徐心毅;郭靜
• 申請（專利權）人: 中國電子科技集團公司電子科學研究院
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/56;G06F16/21;G06F16/2457
• 代理公司: 工業和信息化部電子專利中心 11010
• 代理人: 張然

1.一種基于大數據關聯的網絡攻擊檢測方法，其特征在于，包括：

步驟一，對歷史木馬程序進行大數據挖掘分析，挖掘歷史木馬程序的頻繁鄰接情節，由歷史木馬程序的頻繁鄰接情節構成頻繁情節知識庫；

步驟二，將目標程序的鄰接情節與頻繁情節知識庫中的歷史木馬程序的頻繁鄰接情節進行對比匹配，若匹配上，則判定所述目標程序為木馬程序；若未匹配上，則采用樸素貝葉斯算法判斷所述目標程序是否為木馬程序；

步驟三，當判定目標程序為木馬程序時，根據目標程序的鄰接情節后綴事件，預測目標程序后續攻擊行為；

其中，所述采用樸素貝葉斯算法判斷所述目標程序是否為木馬程序，具體包括：

B1：設置隨機變量分類集C；

C＝{正常程序，不確定程序，木馬程序}；

設c1＝正常程序，c2＝不確定程序，c3＝木馬程序；

B2：通過樸素貝葉斯算法，計算程序樣本集合Z中包含目標程序鄰接情節e_m的正常程序概率p(c₁|e_m)、程序樣本集合Z中包含目標程序鄰接情節e_m的不確定程序概率p(c₂|e_m)和程序樣本集合Z中包含目標程序鄰接情節e_m的木馬程序概率p(c₃|e_m)；

B3：將目標程序鄰接情節[b1,b₂,…b_i,…,b_m]分別代入p(c₁|e_m)、p(c₂|e_m)和p(c₃|e_m)，得到：

B4：對p(c₁|e_m)、p(c₂|e_m)和p(c₃|e_m)進行比較，判斷目標程序是否為木馬程序，判斷過程如下：

若p(c₁|e_m)為最大值，則判定目標程序為正常程序；

若p(c₂|e_m)為最大值，則判定目標程序為不確定程序；

若p(c₃|e_m)為最大值，則判定目標程序為木馬程序；

若判定目標程序為木馬程序，則基于歐幾里得距離尋找最相似鄰接情節。

2.根據權利要求1所述的基于大數據關聯的網絡攻擊檢測方法，其特征在于，步驟一，具體包括：

分析每一個歷史木馬程序在不同時段的活動行為特征，所述活動行為特征包含歷史木馬程序活動行為特征向量S和歷史木馬程序事件序列K；

S＝[(a₁,t₁),(a₂,t₂),…(a_i,t_i),…(a_n,t_n)]；

K＝[a₁,a₂,…a_i,…a_n]；

其中，a_i是歷史木馬程序在t_i時段的活動行為特征；

按照時間的先后順序從前往后排列各時段出現的順序如下：t₁，t₂，……，t_n；

變量i的取值范圍：1≤i≤n；

n為木馬程序的事件序列長度；

將所有歷史木馬程序事件序列K存入數據庫，形成歷史木馬程序事件序列庫；

對歷史木馬程序事件序列庫中的所有歷史木馬程序事件序列K通過自動機進行頻繁鄰接情節挖掘，由歷史木馬程序的頻繁鄰接情節構成頻繁情節知識庫。