[發明專利]一種基于機器學習的內網攻擊檢測模型構建方法

在審

• 申請號: 201811513682.0
• 申請日: 2018-12-11
• 公開（公告）號: CN109756482A
• 公開（公告）日: 2019-05-14
• 發明（設計）人: 左曉軍;董立勉;侯波濤;盧寧;陳澤;常杰;郗波
• 申請（專利權）人: 國網河北省電力有限公司電力科學研究院
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京華仲龍騰專利代理事務所(普通合伙) 11548
• 代理人: 李靜

1.一種基于機器學習的內網攻擊檢測模型構建方法，其特征在于，所述方法為：通過對收集到的日志記錄進行分析，根據其中所對應的不同場景對其進行不同的溯源分析，從中確定攻擊路徑和攻擊行為；

具體步驟如下：

步驟1，日志收集；

步驟2，攻擊場景定義；

步驟3，定義各個場景的行為動作；

步驟4，新建攻擊溯源分析觸發點。

2.根據權利要求1所述的一種基于機器學習的內網攻擊檢測模型構建方法，其特征在于：步驟1中，將網絡攻擊的流量日志、web日志、交換機日志、操作系統日志進行統一的收集；該部分直接使用日志分析系統的Kafka消息輸入服務，同時使用輸入消息的內容提取器對日志進行提取，格式化成后續需要的字段和數據組成格式。

3.根據權利要求1所述的一種基于機器學習的內網攻擊檢測模型構建方法，其特征在于：步驟2中，定義攻擊場景為以下五種：掃描探測、滲透攻擊、攻擊入侵、控制目標、非法操作；上述場景定義在文件中，AttackType定義了場景類型。

4.根據權利要求1所述的一種基于機器學習的內網攻擊檢測模型構建方法，其特征在于：步驟3中，通過日志分析系統的流對不同位置的日志進行區分，同時通過流內部的規則對日志進行過濾，分析所在場景下的攻擊行為。

5.根據權利要求1所述的一種基于機器學習的內網攻擊檢測模型構建方法，其特征在于：步驟4中，根據不同的場景行為進行不同的攻擊溯源分析；將溯源結果推送到Kafka消息隊列中，得出攻擊者從發出攻擊到結束攻擊前后的行為目的分析。