[發明專利]檢測威脅攻擊的方法、裝置、設備和存儲介質

在審

• 申請號: 201711495383.4
• 申請日: 2017-12-31
• 公開（公告）號: CN109995736A
• 公開（公告）日: 2019-07-09
• 發明（設計）人: 袁強;李長城
• 申請（專利權）人: 中國移動通信集團四川有限公司;中國移動通信集團公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京東方億思知識產權代理有限責任公司 11258
• 代理人: 彭瓊

1.一種利用訪問關系檢測高級持續性威脅攻擊的方法，其特征在于，所述方法包括：

獲取業務資產，并根據所述業務資產確定業務訪問關系的業務訪問策略的類型，其中所述業務訪問策略的類型包括業務必須訪問策略和業務非必須訪問策略；

根據所述業務資產對所述業務訪問關系進行梳理，生成網絡訪問控制列表；

若所述業務訪問關系中的業務訪問策略為所述業務非必訪問策略，則將所述業務訪問策略定義為拒絕；

檢測服務器流量，將所述服務器流量與所述網絡訪問控制列表進行匹配，將業務訪問策略為拒絕的所述服務器流量確定為高級持續性威脅，并進行告警。

2.根據權利要求1所述的利用訪問關系檢測高級持續性威脅攻擊的方法，其特征在于，獲取業務資產，并根據所述業務資產確定業務訪問關系的業務訪問策略的類型，包括：

獲取所述業務資產，將所述業務資產分為核心資產信息和非核心資產信息；

根據所述核心資產信息確定所述業務訪問關系的所述訪問策略的類型。

3.根據權利要求2所述的利用訪問關系檢測高級持續性威脅攻擊的方法，其特征在于，

所述核心資產信息包括核心資產名稱、核心資產IP地址、核心資產承載應用；

所述非核心資產信息包括非核心資產名稱和非核心資產IP地址。

4.根據權利要求3所述的利用訪問關系檢測高級持續性威脅攻擊的方法，其特征在于，

所述核心資產承載應用包括應用名稱、應用使用協議類型、應用端口號。

5.根據權利要求4所述的利用訪問關系檢測高級持續性威脅攻擊的方法，其特征在于，根據所述業務資產對所述業務訪問關系進行梳理，生成網絡訪問控制列表，包括：

通過BP神經網絡與D-S證據理論，根據所述業務資產對所述業務訪問關系進行梳理，生成基于五元組訪問信息的所述網絡訪問控制列表；

其中，所述五元組訪問信息包括源IP、目的IP、目的端口、協議、所述業務訪問策略。

6.根據權利要求5所述的利用訪問關系檢測高級持續性威脅攻擊的方法，其特征在于，通過BP神經網絡與D-S證據理論，根據所述業務資產對所述業務訪問關系進行梳理，生成基于五元組訪問信息的所述網絡訪問控制列表，包括：

通過所述BP神經網絡對所述核心資產信息進行調整；

將調整后的所述核心資產信息作為輸入，通過所述D-S證據理論的D-S證據組合公式進行相互組合，生成基于五元組訪問信息的所述業務訪問關系的所述網絡訪問控制列表；

所述D-S證據組合公式為：

M(φ)＝0,A＝φ，

其中，M(A)為A的基本概率數，∑M(A)＝1,A_i表示所述核心資產信息。

7.根據權利要求5或6所述的利用訪問關系檢測高級持續性威脅攻擊的方法，其特征在于，檢測服務器流量，將所述服務器流量與所述網絡訪問控制列表進行匹配，將業務訪問策略為拒絕的服務器流量確定為高級持續性威脅，并進行告警，包括：

檢測服務器流量，并分析所述服務器流量的五元組訪問信息生成訪問記錄；

將所述訪問記錄與所述網絡訪問控制列表進行匹配，將業務訪問策略為拒絕的所述訪問記錄確定為所述高級持續性威脅，并進行告警。

8.一種利用訪問關系檢測高級持續性威脅攻擊的裝置，其特征在于，所述裝置包括：

獲取單元，用于獲取業務資產，并根據所述業務資產確定業務訪問關系的業務訪問策略的類型，其中所述業務訪問策略的類型包括業務必須訪問策略和業務非必須訪問策略；

生成單元，用于根據所述業務資產對所述業務訪問關系進行梳理，生成網絡訪問控制列表；

定義單元，用于若所述業務訪問關系中的業務訪問策略為所述業務非必訪問策略，則將所述業務訪問策略定義為拒絕；

告警單元，用于檢測服務器流量，將所述服務器流量與所述網絡訪問控制列表進行匹配，將業務訪問策略為拒絕的所述服務器流量確定為高級持續性威脅，并進行告警。