[發(fā)明專利]數(shù)據(jù)處理的方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201710592825.0
• 申請(qǐng)日: 2017-07-19
• 公開（公告）號(hào): CN109286511B
• 公開（公告）日: 2021-10-08
• 發(fā)明（設(shè)計(jì)）人: 劉芳寧;李拓
• 申請(qǐng)（專利權(quán)）人: 東軟集團(tuán)股份有限公司
• 主分類號(hào): H04L12/24
• 分類號(hào): H04L12/24;H04L29/06
• 代理公司: 北京鼎佳達(dá)知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11348
• 代理人: 王偉鋒;劉鐵生

1.一種數(shù)據(jù)處理的方法，其特征在于，包括：

獲取預(yù)設(shè)時(shí)段內(nèi)的原始警報(bào)日志，所述原始警報(bào)日志為記錄對(duì)某一網(wǎng)絡(luò)進(jìn)行攻擊的行為數(shù)據(jù)；

將所述原始警報(bào)日志按照原始警報(bào)日志的核心屬性進(jìn)行第一次分類聚合，得到多個(gè)初始警報(bào)簇；

將多個(gè)初始警報(bào)簇按照攻擊圖中的關(guān)聯(lián)關(guān)系進(jìn)行第二次分類聚合，得到多個(gè)最終警報(bào)簇，所述攻擊圖是由多個(gè)初始警報(bào)簇構(gòu)成的展示所述預(yù)設(shè)時(shí)段內(nèi)網(wǎng)絡(luò)攻擊過程的連通圖，具體為：選取只包含有一個(gè)原始警報(bào)日志的原始警報(bào)簇，確定為單條警報(bào)簇；判斷由同一警報(bào)名稱分裂得到的所有單條警報(bào)簇中是否存在位于同一攻擊圖中的單條警報(bào)簇；若存在，則將位于同一攻擊圖中的單條警報(bào)簇聚合；將聚合后的單條警報(bào)簇以及包含多個(gè)原始警報(bào)日志的原始警報(bào)簇確定為最終警報(bào)簇；

分別將所述多個(gè)最終警報(bào)簇中包含的警報(bào)日志進(jìn)行合并，得到新的警報(bào)日志，以將新的警報(bào)日志替換所述原始警報(bào)日志。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在將多個(gè)初始警報(bào)簇按照攻擊圖中的關(guān)聯(lián)關(guān)系進(jìn)行第二次分類聚合之前，所述方法還包括：

將所述多個(gè)初始警報(bào)簇按照預(yù)設(shè)關(guān)聯(lián)規(guī)則進(jìn)行關(guān)聯(lián)分析，所述預(yù)設(shè)關(guān)聯(lián)規(guī)則是依據(jù)警報(bào)類別以及警報(bào)之間的因果關(guān)系設(shè)置的；

將具有關(guān)聯(lián)關(guān)系的初始警報(bào)簇，以初始警報(bào)簇作為頂點(diǎn)，以因果關(guān)系作為邊，生成所述攻擊圖，所述攻擊圖為有向無環(huán)連通圖。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述將所述原始警報(bào)日志按照原始警報(bào)日志的核心屬性進(jìn)行第一次分類聚合，得到多個(gè)初始警報(bào)簇，包括：

將所有的原始警報(bào)日志的集合確定為樹型結(jié)構(gòu)的根節(jié)點(diǎn)；

采用自頂向下的策略，按照原始警報(bào)日志的警報(bào)名稱、源網(wǎng)間協(xié)議IP地址以及目的IP地址三個(gè)制約條件依次對(duì)原始警報(bào)日志進(jìn)行分裂；

將分裂后的樹型結(jié)構(gòu)中每個(gè)葉子節(jié)點(diǎn)確定為一個(gè)初始警報(bào)簇。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述方法還包括：

當(dāng)按照源IP地址進(jìn)行分裂時(shí)，若分裂后的同一源IP地址對(duì)應(yīng)的原始警報(bào)日志只有一條，則將分裂后的同一警報(bào)名稱下的所有單條原始警報(bào)日志融合為一個(gè)新的節(jié)點(diǎn)；并且，

以新的節(jié)點(diǎn)按照目的IP地址進(jìn)行分裂；

當(dāng)按照源IP地址進(jìn)行分裂時(shí)，若分裂后的同一源IP地址對(duì)應(yīng)的原始警報(bào)日志包含多條原始警報(bào)日志，則將多條原始警報(bào)日志的集合直接作為節(jié)點(diǎn)按照目的IP地址進(jìn)行分裂。

5.根據(jù)權(quán)利要求2所述的方法，其特征在于，將所述多個(gè)初始警報(bào)簇按照預(yù)設(shè)關(guān)聯(lián)規(guī)則進(jìn)行關(guān)聯(lián)分析，包括：

將所述多個(gè)初始警報(bào)簇輸入到業(yè)務(wù)規(guī)則引擎中，使所述多個(gè)初始警報(bào)簇與預(yù)設(shè)關(guān)聯(lián)規(guī)則進(jìn)行匹配，所述業(yè)務(wù)規(guī)則引擎中定義了預(yù)設(shè)關(guān)聯(lián)規(guī)則；

若匹配成功，建立攻擊片段，每個(gè)攻擊片段中包含至少兩個(gè)具有因果關(guān)系的初始警報(bào)簇；

所述生成有向無環(huán)連通圖，包括：

將所有的攻擊片段組成攻擊場(chǎng)景集；

獲取所述攻擊場(chǎng)景集中的初始警報(bào)簇作為所述攻擊圖的頂點(diǎn)；

遍歷所述攻擊場(chǎng)景集，依次為所述頂點(diǎn)添加有向邊后生成有向無環(huán)連通圖。