[發明專利]攻擊鏈檢測方法及裝置

有效

• 申請號: 201811360528.4
• 申請日: 2018-11-15
• 公開（公告）號: CN109660515B
• 公開（公告）日: 2020-05-12
• 發明（設計）人: 劉銀龍;馬宇晨;朱大立;張杭生
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王瑩;吳歡燕

本發明實施例提供一種攻擊鏈檢測方法及裝置，所述方法包括：根據各攻擊事件所屬的攻擊階段和傳遞各所述攻擊事件的主機節點構建攻擊事件圖，根據所述攻擊事件圖計算各所述主機節點的中介中心性；對于任一種臨近攻擊事件序列，根據各所述主機節點的中介中心性計算該種臨近攻擊事件序列的隸屬度；獲取所述攻擊事件圖中的每條攻擊路徑，若各條所述攻擊路徑包含核心主機節點，則根據各所述主機節點的臨近攻擊事件序列的隸屬度，基于D?S證據理論以所述核心主機節點為起點逆向追尋發起所述攻擊事件的主機節點，將追尋的所述主機節點和所述核心節點作為攻擊鏈。本發明實施例檢測出的攻擊鏈更加準確，能實現對APT事件的精準檢測。

技術領域

本發明實施例屬于網絡安全技術領域，更具體地，涉及一種攻擊鏈檢測方法及裝置。

背景技術

隨著信息化技術的發展，針對核心信息系統和關鍵信息基礎設施的安全事件頻發，網絡攻擊威脅和網絡犯罪呈現組織化和產業化的趨勢,其中有一類有組織、有特定目標、持續時間極長的新型攻擊和威脅正在發展壯大，國際上稱之為APT(AdvancedPersistent Threat，高級持續性威脅)，又稱“針對特定目標的攻擊”。此類攻擊多針對金融、能源、交通、政府、軍工、電信等重要信息系統。由于APT攻擊渠道多樣化、隱蔽時間長且攻擊特征難以提取，使得攻擊鏈的檢測面臨巨大困難。在此背景下研究如何高效、準確地檢測APT攻擊事件具有重要意義。

傳統的APT檢測方法通常基于主機監控系統、入侵檢測系統等檢測設備獲得主機行為或網絡流量日志，通過建立樣本特征庫檢測網絡環境中單個主機的攻擊行為或異常事件，通過日志關聯與大數據分析從海量的行為數據中發現攻擊的全貌。

現有的APT檢測方法十分依賴專家知識和人工判斷，主觀性較強，從而導致攻擊鏈檢測不精確。由于檢測設備的告警信息相互割裂且孤立，傳統的檢測方法缺乏對碎片化告警信息的有效集成，其網絡環境感知性差、情報價值利用率低、攻擊階段關聯性弱、人工分析滯后性長等問題使得傳統的檢測方法已不再適用于復雜多變且隱蔽性強的APT事件檢測。

發明內容

為克服上述現有的攻擊鏈檢測方法檢測不精確的問題或者至少部分地解決上述問題，本發明實施例提供一種攻擊鏈檢測方法及裝置。

根據本發明實施例的第一方面，提供一種攻擊鏈檢測方法，包括：

S1，根據各攻擊事件所屬的攻擊階段和傳遞各所述攻擊事件的主機節點構建攻擊事件圖；

S2，根據所述攻擊事件圖計算各所述主機節點的中介中心性；

S3，對于任一種臨近攻擊事件序列，根據各所述主機節點的中介中心性計算該種臨近攻擊事件序列的隸屬度；

S4，獲取所述攻擊事件圖中的每條攻擊路徑，若各條所述攻擊路徑包含核心主機節點，則根據各所述主機節點的臨近攻擊事件序列的隸屬度，基于D-S證據理論以所述核心主機節點為起點逆向追尋發起所述攻擊事件的主機節點，將追尋的所述主機節點和所述核心節點作為攻擊鏈；

其中，該種臨近攻擊事件序列的隸屬度為該種臨近攻擊事件序列屬于該種臨近攻擊事件序列對應的臨近攻擊階段序列的概率，所述臨近攻擊事件序列包括任一所述主機節點的一次出向攻擊事件和一次入向攻擊事件，且所述出向攻擊事件和所述入向攻擊事件滿足第一預設條件，所述臨近攻擊事件序列對應的臨近攻擊階段序列包括所述臨近攻擊事件序列中出向攻擊事件所屬的攻擊階段和入向攻擊事件所屬的攻擊階段；所述核心主機節點為滿足第二預設條件的所述主機節點。

根據本發明實施例第二方面提供一種攻擊鏈檢測裝置，包括：

構建模塊，用于根據各攻擊事件所屬的攻擊階段和傳遞各所述攻擊事件的主機節點構建攻擊事件圖；

第一計算模塊，用于根據所述攻擊事件圖計算各所述主機節點的中介中心性；