[發(fā)明專利]攻陷主機(jī)自動(dòng)判定方法、裝置、電子設(shè)備及存儲(chǔ)介質(zhì)

有效

• 申請?zhí)枺?/td>: 201811567279.6
• 申請日: 2018-12-20
• 公開（公告）號: CN109617885B
• 公開（公告）日: 2021-04-16
• 發(fā)明（設(shè)計(jì)）人: 陳軍;吳浪;胡啟明;潘登
• 申請（專利權(quán)）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京同達(dá)信恒知識產(chǎn)權(quán)代理有限公司 11291
• 代理人: 黃志華

1.一種攻陷主機(jī)自動(dòng)判定方法，其特征在于，包括：

根據(jù)安全設(shè)備輸出的日志生成安全事件，所述安全事件為描述攻擊者活動(dòng)的事件，所述安全事件中包含目的IP地址和攻擊階段；所述根據(jù)安全設(shè)備輸出的日志生成安全事件，具體包括：獲取安全設(shè)備輸出的攻擊日志和回包日志，所述攻擊日志包括入侵者攻擊的信息，所述回包日志包括被攻擊者會(huì)話的回包信息；聚合符合事件規(guī)則的攻擊日志得到攻擊事件；查找與所述攻擊事件中的攻擊日志匹配的回包日志；根據(jù)查找到的回包日志中的第一標(biāo)識確定所述攻擊事件是否為成功事件，所述第一標(biāo)識用于標(biāo)記與所述回包日志匹配的攻擊日志中的網(wǎng)絡(luò)活動(dòng)是否成功執(zhí)行；將被確定為成功事件的攻擊事件作為安全事件；

聚合目的IP地址相同的安全事件，并根據(jù)聚合的安全事件的攻擊階段得到所述目的IP地址對應(yīng)的主機(jī)的攻擊鏈；

查找源IP地址為所述主機(jī)的IP地址的安全事件，并根據(jù)查找到的安全事件修正所述攻擊鏈；

根據(jù)修正后的攻擊鏈判斷所述主機(jī)是否被攻陷。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述事件規(guī)則包括以下任意一條或多條規(guī)則：攻擊日志的生成時(shí)間在預(yù)設(shè)時(shí)間段內(nèi)、攻擊日志的目的IP地址相同、攻擊日志中包含預(yù)設(shè)的攻擊字段、包含同一攻擊字段的攻擊日志的數(shù)量超過第一閾值、基于攻擊日志推理得到的信息是否滿足預(yù)設(shè)規(guī)則。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，根據(jù)查找到的回包日志中的第一標(biāo)識確定所述攻擊事件是否為成功事件，具體包括：

若在查找到的所有回包日志中，第一標(biāo)識為成功的回包日志的數(shù)量滿足預(yù)設(shè)條件時(shí)，確定所述攻擊事件為成功事件。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，在查找與所述攻擊事件中的攻擊日志匹配的回包日志之前，還包括：

根據(jù)預(yù)設(shè)的去噪規(guī)則刪除攻擊事件中的噪聲事件。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

若所述攻擊事件被人工標(biāo)記為成功事件，則將所述攻擊事件作為安全事件。

6.根據(jù)權(quán)利要求1至5中任一所述的方法，其特征在于，所述查找源IP地址為所述主機(jī)的IP地址的安全事件，并根據(jù)查找到的安全事件修正所述攻擊鏈，包括：

若所述攻擊鏈中不包含攻擊預(yù)設(shè)階段的安全事件，則查找源IP地址為所述主機(jī)的IP地址的安全事件，并將查找到的安全事件作為預(yù)設(shè)階段的安全事件補(bǔ)充到所述攻擊鏈中，以修正所述攻擊鏈。

7.根據(jù)權(quán)利要求1至5中任一所述的方法，其特征在于，根據(jù)所述攻擊鏈判斷所述主機(jī)是否被攻陷，具體包括：

判斷所述攻擊鏈中包含的安全事件的攻擊階段是否滿足攻陷規(guī)則，若滿足，則判斷所述主機(jī)被攻陷，否則判定所述主機(jī)未被攻陷。

8.一種攻陷主機(jī)自動(dòng)判定裝置，其特征在于，包括：

安全事件生成模塊，用于根據(jù)安全設(shè)備輸出的日志生成安全事件，所述安全事件為描述攻擊者活動(dòng)的事件，所述安全事件中包含目的IP地址和攻擊階段；

所述安全事件生成模塊具體包括日志獲取單元、日志聚合單元、匹配單元以及安全事件確定單元；所述日志獲取單元，用于獲取安全設(shè)備輸出的攻擊日志和回包日志，所述攻擊日志包括入侵者攻擊的信息，所述回包日志包括被攻擊者會(huì)話的回包信息；所述日志聚合單元，用于聚合符合事件規(guī)則的攻擊日志得到攻擊事件；所述匹配單元，用于查找與所述攻擊事件中的攻擊日志匹配的回包日志；所述安全事件確定單元，用于根據(jù)查找到的回包日志中的第一標(biāo)識確定所述攻擊事件是否為成功事件，所述第一標(biāo)識用于標(biāo)記與所述回包日志匹配的攻擊日志中的網(wǎng)絡(luò)活動(dòng)是否成功執(zhí)行，將被確定為成功事件的攻擊事件作為安全事件；

攻擊鏈生成模塊，用于聚合目的IP地址相同的安全事件，并根據(jù)聚合的安全事件的攻擊階段得到所述目的IP地址對應(yīng)的主機(jī)的攻擊鏈；

攻擊鏈修正模塊，用于查找源IP地址為所述主機(jī)的IP地址的安全事件，并根據(jù)查找到的安全事件修正所述攻擊鏈；

判斷模塊，用于根據(jù)修正后的攻擊鏈判斷所述主機(jī)是否被攻陷。