[發明專利]一種天地一體化信息網絡下攻擊回溯的方法

有效

• 申請號: 201811004254.5
• 申請日: 2018-08-30
• 公開（公告）號: CN108881316B
• 公開（公告）日: 2020-12-22
• 發明（設計）人: 朱爭;江榮;賈焰;李愛平;周斌;韓偉紅;李潤恒;徐鏡湖;楊行;趙曉娟;亓玉璐;劉海天;于涵;鐘浩成;謝浩程
• 申請（專利權）人: 中國人民解放軍國防科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 蘇州國誠專利代理有限公司 32293
• 代理人: 韓鳳

1.一種天地一體化信息網絡下攻擊回溯的方法，其特征在于，所述方法包括：步驟1)建立天地一體化知識圖譜，并把各維度的知識通過屬性關聯起來，包括：

建立天地一體化知識圖譜分為六個維度的本體，分別是：主機資產維H、漏洞維V、攻擊威脅維A、痕跡維E、位置維L、策略維S以及各維度之間的關系集合R；

將主機資產維與漏洞維和位置維相關聯，漏洞維與攻擊威脅維相關聯，攻擊威脅維與策略維、痕跡維和位置相關聯，形成天地一體化知識圖譜；

步驟2)從不同的角度進行攻擊回溯，包括：

以主機資產維為基礎，根據某個疑似被攻擊的主機資產，查詢該主機資產具有的漏洞，通過漏洞尋找與該漏洞相關聯的攻擊威脅，最后獲取有關攻擊的回溯策略，執行回溯策略，由此回溯到攻擊源；

或者，以某種攻擊威脅為基礎，確定某種攻擊威脅，通過查詢知識圖譜，執行該攻擊威脅相對應的回溯策略，找出攻擊所留下的痕跡和位置，定位到被攻擊的主機資產；

主機資產維H的數據，其主要屬性分別有：

“name”，主機資產的名稱，它是一個格式化的字符串，簡潔地描述了主機資產信息；“part”，主機資產的類型，包括：硬件、應用軟件或操作系統；“vendor”，主機資產的開發商或組織的名字；“product”，主機資產產品的名字；“version”，主機資產的版本號；“cve_list”，漏洞名稱列表，它記錄了一組與主機資產有關聯的漏洞名稱；“location_list”，位置列表，它記錄了一組與主機資產有關聯的位置名稱；

攻擊威脅維A的數據，其主要屬性有：“name”，攻擊威脅的ID；“strategy_list”，與攻擊威脅關聯的一組策略名稱，一個攻擊威脅可能有一個或多個回溯策略；“evidence_list”，與攻擊威脅關聯的一組痕跡名稱，一個攻擊可能留下的一些痕跡特征；“location_list”，與攻擊威脅關聯的一組位置名稱，攻擊的特征可能被記錄的位置；“cve_list”，與攻擊威脅關聯的一組漏洞名稱；

痕跡維E，其屬性分別有：“name”，痕跡的名稱，它可以是一個特征庫文件名稱，也可以是形式化的名稱；“type”，痕跡的類型，包括：規則庫、惡意文件或正則表達式；“content”，痕跡的內容，包括：文件路徑、文件Hash或正則表達式的內容，分別對應痕跡的類型；“description”，提供痕跡的來源或額外的描述；

位置維L的數據，其屬性有：“name”，記錄著某種攻擊的文件名稱；“path”記錄著某種攻擊的文件路徑，或者，某個攻擊可能殘留的特征的路徑；

回溯策略維S的數據，其屬性有：“name”，回溯策略的名稱，或者，某個工具的名稱；“type”，回溯策略的類型，有工具回溯或關聯回溯，工具回溯主要利用各種分析回溯工具或者特征匹配工具來進行回溯，關聯回溯主要用于對具有關聯性質的事件，利用關聯規則進行邏輯運算來回溯攻擊；“process”，用于當回溯策略的類型為工具回溯時，記錄工具的用法；“location_list”，與回溯策略關聯的一組位置名稱；“evidence_list”，與回溯策略關聯的一組痕跡名稱；“strategy_list”，用于當回溯策略的類型為關聯回溯時，記錄相關聯的子策略和子策略之間的規則，子策略之間的關系可以使用邏輯符號來連接；“result_type”，回溯結果類型，如文本或文件，“result”，回溯結果，包括：內容、路徑或者關聯結果。