[發明專利]攻擊鏈檢測方法及裝置

有效

• 申請號: 201811360528.4
• 申請日: 2018-11-15
• 公開（公告）號: CN109660515B
• 公開（公告）日: 2020-05-12
• 發明（設計）人: 劉銀龍;馬宇晨;朱大立;張杭生
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王瑩;吳歡燕

1.一種攻擊鏈檢測方法，其特征在于，包括：

S1，根據各攻擊事件所屬的攻擊階段和傳遞各所述攻擊事件的主機節點構建攻擊事件圖；

S2，根據所述攻擊事件圖計算各所述主機節點的中介中心性；

S3，對于任一種臨近攻擊事件序列，根據各所述主機節點的中介中心性計算該種臨近攻擊事件序列的隸屬度；

S4，獲取所述攻擊事件圖中的每條攻擊路徑，若各條所述攻擊路徑包含核心主機節點，則根據各所述主機節點的臨近攻擊事件序列的隸屬度，基于D-S證據理論以所述核心主機節點為起點逆向追尋發起所述攻擊事件的主機節點，將追尋的所述主機節點和所述核心主機節點作為攻擊鏈；

其中，該種臨近攻擊事件序列的隸屬度為該種臨近攻擊事件序列屬于該種臨近攻擊事件序列對應的臨近攻擊階段序列的概率，所述臨近攻擊事件序列包括任一所述主機節點的一次出向攻擊事件和一次入向攻擊事件，且所述出向攻擊事件和所述入向攻擊事件滿足第一預設條件，所述臨近攻擊事件序列對應的臨近攻擊階段序列包括所述臨近攻擊事件序列中出向攻擊事件所屬的攻擊階段和入向攻擊事件所屬的攻擊階段；所述核心主機節點為滿足第二預設條件的所述主機節點；

其中，S3具體包括：

S31，將該種臨近攻擊事件序列對應的臨近攻擊階段序列作為指定臨近攻擊階段序列；

S32，將所述指定臨近攻擊階段序列對應的所有臨近攻擊事件序列作為矩陣的列，將各所述主機節點作為所述矩陣的行，若各所述主機節點存在任一列對應的臨近攻擊事件序列，則將各所述主機節點的中介中心性作為所述任一列中各所述主機節點所在行對應的元素；或者，

若各所述主機節點不存在任一列對應的臨近攻擊事件序列，則將所述任一列中各所述主機節點所在行對應的元素填充為0；

S33，根據所述矩陣，計算該種臨近攻擊事件序列的隸屬度；

S33具體包括：

將所述矩陣中該種臨近攻擊事件序列對應的列中的元素相加，獲取第一總數；

將所述矩陣中的所有元素相加，獲取第二總數；

將所述第一總數與所述第二總數的比值作為該種臨近攻擊事件序列的隸屬度。

2.根據權利要求1所述的方法，其特征在于，S1具體包括：

根據各所述攻擊事件的告警信息，獲取各所述攻擊事件的源地址和目的地址；

將任一所述攻擊事件的源地址和目的地址對應的主機節點相連，將連接的直線作為攻擊事件圖的邊，將所述任一攻擊事件所屬的攻擊階段作為所述攻擊事件圖的邊的權重。

3.根據權利要求1所述的方法，其特征在于，所述第一預設條件為所述入向攻擊事件所屬的攻擊階段大于或等于所述出向攻擊事件所屬的攻擊階段，且所述出向攻擊事件的告警時間在所述入向攻擊事件的告警時間之后或相同，且所述出向攻擊事件的告警時間與所述入向攻擊事件的告警時間之間的時間間隔小于或等于預設時間窗。

4.根據權利要求3所述的方法，其特征在于，S4具體包括：

將多個所述預設時間窗下各所述主機節點的臨近攻擊事件序列作為辨識框架；

根據所述辨識框架和多個所述預設時間窗下各主機節點的臨近攻擊事件序列的隸屬度，基于D-S證據理論以所述核心主機節點為起點逆向追尋發起所述攻擊事件的各主機節點。

5.根據權利要求1-4任一所述的方法，其特征在于，還包括：

若各條所述攻擊路徑不包含所述核心主機節點，則根據各種所述臨近攻擊事件序列的隸屬度，預測各條所述攻擊路徑的最后一個主機節點發起的攻擊事件。