[發明專利]一種網絡攻擊識別方法及系統

有效

• 申請號: 201810713042.8
• 申請日: 2018-06-29
• 公開（公告）號: CN108683687B
• 公開（公告）日: 2021-08-10
• 發明（設計）人: 蔣劭捷;張鑫
• 申請（專利權）人: 北京奇虎科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京律誠同業知識產權代理有限公司 11006
• 代理人: 王玉雙

1.一種網絡攻擊識別方法，其特征在于，包括：

檢測目標主機是否受到網絡攻擊；

若所述目標主機受到所述網絡攻擊，則從所述網絡攻擊對應的網絡數據中提取待比對特征；

將所述待比對特征與一個以上攻擊響應規則進行比對，其中，所述攻擊響應規則根據第一響應數據形成，所述第一響應數據用于受攻擊主機對成功攻擊請求的應答；

若所述待比對特征與所述攻擊響應規則相匹配，則判定所述網絡攻擊成功；

在所述將所述待比對特征與一個以上攻擊響應規則進行比對之后，還包括：

生成告警信息，其中，所述告警信息包括所述網絡攻擊的攻擊類型、所述網絡攻擊是否成功以及成功的網絡攻擊的攻擊動作；

在所述生成告警信息之后，還包括：

根據所述告警信息的告警內容為所述告警信息添加對應的攻擊鏈標簽，其中，所述攻擊鏈標簽用于表征所述網絡攻擊在攻擊鏈中所處的攻擊階段；

統計同一攻擊事件的各個攻擊鏈標簽，獲得處于所述攻擊事件各個攻擊階段的網絡攻擊總次數、成功的網絡攻擊次數以及成功的網絡攻擊的攻擊動作；

根據處于所述攻擊事件各個攻擊階段的網絡攻擊總次數、成功的網絡攻擊次數以及成功的網絡攻擊的攻擊動作生成攻擊路線信息，其中，所述攻擊路線信息包括處于所述攻擊事件各個攻擊階段的網絡攻擊總次數、成功的網絡攻擊次數以及成功的網絡攻擊的攻擊動作；

在所述將所述待比對特征與一個以上攻擊響應規則進行比對之前，還包括：

建立包含所述一個以上攻擊響應規則的特征庫；

所述特征庫包括N個子特征庫，N為不小于2的整數，所述建立包含所述一個以上攻擊響應規則的特征庫包括：

創建N個數據庫；

從兩個以上第一響應數據中對應提取兩個以上攻擊響應特征；

對每個攻擊響應特征進行確定性描述，形成兩個以上攻擊響應規則；

將所述兩個以上攻擊響應規則中屬于同種攻擊類型的攻擊響應規則存儲到相同的數據庫中，獲得所述子特征庫。

2.根據權利要求1所述的一種網絡攻擊識別方法，其特征在于，所述檢測目標主機是否受到網絡攻擊包括：

采集所述網絡數據；

從所述網絡數據中提取待檢測特征；

將所述待檢測特征導入預先建立的人工智能模型，通過所述人工智能模型對所述待檢測特征進行歸類，根據歸類結果確定所述目標主機是否受到網絡攻擊。

3.根據權利要求2所述的一種網絡攻擊識別方法，其特征在于，所述從所述網絡數據中提取待檢測特征包括：

從所述網絡數據中提取請求數據，其中，所述請求數據用于向所述目標主機發起請求服務；

從所述請求數據中提取所述待檢測特征。

4.根據權利要求2所述的一種網絡攻擊識別方法，其特征在于，在所述將所述待檢測特征導入預先建立的人工智能模型之前，還包括：

建立所述人工智能模型。

5.根據權利要求4所述的一種網絡攻擊識別方法，其特征在于，所述建立所述人工智能模型包括：

收集模型訓練數據；

從所述模型訓練數據中提取已知網絡攻擊的特征，獲得攻擊特征數據；

對所述攻擊特征數據進行分類，獲得訓練樣本；

根據所述訓練樣本進行模型訓練，獲得所述人工智能模型。

6.根據權利要求5所述的一種網絡攻擊識別方法，其特征在于，所述收集模型訓練數據包括：

收集互聯網已公開的攻擊數據、互聯網已公開的漏洞數據、所述目標主機已采集的攻擊數據以及所述目標主機已采集的漏洞數據中的一種或多種組合。

7.根據權利要求5所述的一種網絡攻擊識別方法，其特征在于，所述根據所述訓練樣本進行模型訓練包括：

根據所述訓練樣本，采用樸素貝葉斯算法進行模型訓練。