[發(fā)明專利]基于惡意軟件相似性和在線信任度的對事件的全局聚類

有效

• 申請?zhí)枺?/td>: 201680007904.4
• 申請日: 2016-01-19
• 公開（公告）號: CN107743701B
• 公開（公告）日: 2020-12-22
• 發(fā)明（設(shè)計）人: 卡雷爾·巴托斯;馬丁·雷哈克;邁克爾·索芙卡
• 申請（專利權(quán)）人: 思科技術(shù)公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F16/906
• 代理公司: 北京東方億思知識產(chǎn)權(quán)代理有限責(zé)任公司 11258
• 代理人: 宗曉斌

在一個實施例中，提供了一種由計算設(shè)備的處理器執(zhí)行的用于基于事件數(shù)據(jù)記錄中的行為特征值和事件數(shù)據(jù)記錄中的起源特征值來創(chuàng)建和存儲事件數(shù)據(jù)記錄的簇的方法，該方法包括：接收包括屬性值集合的多個輸入事件數(shù)據(jù)記錄；標(biāo)識具有特定行為特征值的兩個或更多個第一事件數(shù)據(jù)記錄；使用惡意事件行為數(shù)據(jù)表和多個比較操作來確定兩個或多個第一事件數(shù)據(jù)記錄中的任一者是否是惡意的，其中惡意事件行為數(shù)據(jù)表將行為特征值的集合映射到網(wǎng)絡(luò)中的惡意行為的標(biāo)識符，并且多個比較操作使用了惡意事件行為數(shù)據(jù)表和兩個或更多個第一事件數(shù)據(jù)記錄；以及如果是，則創(chuàng)建包括兩個或更多個第一事件數(shù)據(jù)記錄的相似性行為簇記錄。

技術(shù)領(lǐng)域

本公開一般涉及改進(jìn)的計算機(jī)實現(xiàn)的入侵檢測系統(tǒng)。更具體地，本公開涉及用于基于被包括在事件數(shù)據(jù)記錄(incident data record)中的行為特征值(behavioralcharacteristic value)和起源特征值(origin characteristic value)來創(chuàng)建和存儲事件數(shù)據(jù)記錄的簇(cluster)并使用該簇來改進(jìn)在聯(lián)網(wǎng)分布式計算機(jī)系統(tǒng)中對安全故障或事件的檢測的技術(shù)。

背景技術(shù)

本節(jié)描述的方法是可以實行的方法，但并不一定是先前設(shè)想過或?qū)嵭羞^的方法。因此，除非另有說明，否則不應(yīng)假設(shè)本節(jié)所描述的任何方法僅因為被包括在本節(jié)中而成為現(xiàn)有技術(shù)。

網(wǎng)絡(luò)安全系統(tǒng)使用關(guān)于數(shù)據(jù)流量的信息來標(biāo)識通信網(wǎng)絡(luò)中的惡意事件(malicious incident)。不幸的是，一些良性的數(shù)據(jù)流量經(jīng)常被錯誤地歸類為惡意的，而一些惡意流量經(jīng)常被錯誤地歸類為良性的。不正確的分類可能會導(dǎo)致不正確的報告和錯誤的告警。

由網(wǎng)絡(luò)安全系統(tǒng)生成的報告中的不準(zhǔn)確性通常是由于無法正確標(biāo)識由復(fù)雜和成熟的惡意軟件(malware)引起的攻擊。例如，由指揮和控制(C2)企業(yè)的牧人(herder)發(fā)起的攻擊中的一些經(jīng)常被廣泛分散，因此可能難以確定其起源或特征。這種攻擊往往是未檢測到的或分類錯誤的。

檢測惡意攻擊的問題可能由于網(wǎng)絡(luò)安全系統(tǒng)的各種缺點(diǎn)而變得復(fù)雜。例如，網(wǎng)絡(luò)安全系統(tǒng)中的一些錯誤地對檢測到的事件進(jìn)行優(yōu)先級排序，或者沒能將正確的上下文與檢測到的事件相關(guān)聯(lián)。其他網(wǎng)絡(luò)安全系統(tǒng)錯誤地對從多個網(wǎng)絡(luò)或多個系統(tǒng)接收到的事件數(shù)據(jù)進(jìn)行分組。

附圖說明

在圖中：

圖1示出了用于實現(xiàn)基于惡意軟件相似性和在線信任度對事件進(jìn)行全局聚類(global clustering)的方法的網(wǎng)絡(luò)環(huán)境的示例；

圖2示出了用于在多節(jié)點(diǎn)網(wǎng)絡(luò)環(huán)境中收集關(guān)于網(wǎng)絡(luò)事件的信息的方法的示例；

圖3示出了事件起源數(shù)據(jù)的示例；

圖4示出了事件起源數(shù)據(jù)的標(biāo)識符的示例；

圖5A示出了事件行為數(shù)據(jù)的示例；

圖5B示出了附加的事件行為數(shù)據(jù)的示例；

圖6示出了事件行為的圖形表示的示例；

圖7示出了用于創(chuàng)建信任簇(trustfulness cluster)的方法的示例；

圖8示出了用于創(chuàng)建相似性行為簇(similarity behavioral cluster)的方法的示例；

圖9示出了用于創(chuàng)建信任簇的方法的流程圖；

圖10示出了用于創(chuàng)建相似性行為簇的方法的流程圖；

圖11A示出了惡意事件起源數(shù)據(jù)表的示例；

圖11B示出了惡意事件行為數(shù)據(jù)表的示例；

圖12示出了可以使用各種實施例的計算機(jī)系統(tǒng)。

具體實施方式