[發(fā)明專利]一種網(wǎng)絡(luò)追蹤長(zhǎng)鏈條攻擊的方法、裝置和系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201910626344.6
• 申請(qǐng)日: 2019-07-11
• 公開（公告）號(hào): CN110324353B
• 公開（公告）日: 2022-02-25
• 發(fā)明（設(shè)計(jì)）人: 段彬
• 申請(qǐng)（專利權(quán)）人: 武漢思普崚技術(shù)有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L41/14
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種網(wǎng)絡(luò)追蹤長(zhǎng)鏈條攻擊的方法，其特征在于，包括：

網(wǎng)絡(luò)側(cè)服務(wù)器向各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送指令，所述指令用于命令各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)將本地?cái)?shù)據(jù)片段上傳到網(wǎng)絡(luò)側(cè)服務(wù)器；

所述各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)接收到指令后，將經(jīng)由網(wǎng)絡(luò)節(jié)點(diǎn)本地的數(shù)據(jù)流拆分為若干個(gè)數(shù)據(jù)片段，保存數(shù)據(jù)片段；

所述各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)先調(diào)用本地策略掃描所述數(shù)據(jù)片段，檢查是否包含指定關(guān)鍵詞，再將所述數(shù)據(jù)片段在業(yè)務(wù)處理間隙封裝上傳給網(wǎng)絡(luò)側(cè)服務(wù)器；所述封裝包括在數(shù)據(jù)片段中插入數(shù)據(jù)發(fā)起者標(biāo)識(shí)、所述檢查的結(jié)果；

所述網(wǎng)絡(luò)側(cè)服務(wù)器接收到封裝后的數(shù)據(jù)片段后，將解析后的數(shù)據(jù)片段與網(wǎng)絡(luò)側(cè)服務(wù)器本地的歷史數(shù)據(jù)片段合并；所述合并包括按照所屬網(wǎng)絡(luò)節(jié)點(diǎn)、所屬發(fā)送終端、數(shù)據(jù)類型、對(duì)應(yīng)訪問行為中至少一種標(biāo)準(zhǔn)進(jìn)行合并；

所述網(wǎng)絡(luò)側(cè)服務(wù)器使用分析模型對(duì)所述合并的數(shù)據(jù)片段進(jìn)行分析，尋找其中可能存在的異常數(shù)據(jù)片段，將若干個(gè)異常數(shù)據(jù)片段所屬的網(wǎng)絡(luò)節(jié)點(diǎn)或終端標(biāo)注為異常點(diǎn)，以及分析若干個(gè)異常數(shù)據(jù)片段之間是否存在邏輯關(guān)聯(lián)；

如果所述若干個(gè)異常數(shù)據(jù)片段之間存在邏輯關(guān)聯(lián)，則將其所對(duì)應(yīng)的異常點(diǎn)建立前后關(guān)聯(lián)關(guān)系，標(biāo)注為潛在攻擊軌跡中的一個(gè)途徑點(diǎn)；如果所述若干個(gè)異常數(shù)據(jù)片段之間不存在邏輯關(guān)聯(lián)，則斷開其對(duì)應(yīng)的異常點(diǎn)之間的前后關(guān)聯(lián)關(guān)系，刪除其在潛在攻擊軌跡中的途徑點(diǎn)；

所述網(wǎng)絡(luò)側(cè)服務(wù)器將所述前后關(guān)聯(lián)關(guān)系、所述途徑點(diǎn)、所述潛在攻擊軌跡傳遞給顯示處理裝置；

所述網(wǎng)絡(luò)側(cè)服務(wù)器根據(jù)所述前后關(guān)聯(lián)關(guān)系、所述異常數(shù)據(jù)片段訓(xùn)練所述分析模型；所述訓(xùn)練包括：對(duì)數(shù)據(jù)片段進(jìn)行數(shù)據(jù)挖掘，形成訓(xùn)練樣本，輸入到用反向傳播算法模型進(jìn)行訓(xùn)練，不斷重復(fù)輸入訓(xùn)練樣本、反向傳播訓(xùn)練，直至所有的訓(xùn)練樣本輸入完畢；

所述顯示處理裝置接收到所述前后關(guān)聯(lián)關(guān)系、所述途徑點(diǎn)、所述潛在攻擊軌跡后，將所述途徑點(diǎn)標(biāo)記在地圖化的網(wǎng)絡(luò)節(jié)點(diǎn)架構(gòu)圖上，在圖中每個(gè)節(jié)點(diǎn)上標(biāo)記其對(duì)應(yīng)的前后關(guān)聯(lián)關(guān)系，繪制潛在攻擊軌跡，顯示在大屏幕上。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)將數(shù)據(jù)流拆分為若干個(gè)數(shù)據(jù)片段可根據(jù)業(yè)務(wù)類型、訪問動(dòng)作確定拆分的長(zhǎng)度。

3.根據(jù)權(quán)利要求1-2任一所述的方法，其特征在于，所述網(wǎng)絡(luò)側(cè)服務(wù)器固定周期向各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送指令。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述網(wǎng)絡(luò)節(jié)點(diǎn)在業(yè)務(wù)處理間隙上傳數(shù)據(jù)片段包括：優(yōu)先處理業(yè)務(wù)數(shù)據(jù)，當(dāng)沒有業(yè)務(wù)數(shù)據(jù)需要處理或傳輸時(shí)，才向網(wǎng)絡(luò)側(cè)服務(wù)器上傳數(shù)據(jù)片段。

5.一種網(wǎng)絡(luò)追蹤長(zhǎng)鏈條攻擊的裝置，應(yīng)用于網(wǎng)絡(luò)節(jié)點(diǎn)上，執(zhí)行如權(quán)利要求1-4任一項(xiàng)所述的方法，其特征在于，包括：

指令接收單元，用于接收網(wǎng)絡(luò)側(cè)服務(wù)器向各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的指令，所述指令用于命令各個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)將本地?cái)?shù)據(jù)片段上傳到網(wǎng)絡(luò)側(cè)服務(wù)器；

數(shù)據(jù)處理單元，用于將經(jīng)由網(wǎng)絡(luò)節(jié)點(diǎn)本地的數(shù)據(jù)流拆分為若干個(gè)數(shù)據(jù)片段，保存數(shù)據(jù)片段，以及調(diào)用本地策略掃描所述數(shù)據(jù)片段，檢查是否包含指定關(guān)鍵詞；

數(shù)據(jù)發(fā)送單元，用于將所述數(shù)據(jù)片段在業(yè)務(wù)處理間隙封裝上傳給網(wǎng)絡(luò)側(cè)服務(wù)器，所述封裝包括在數(shù)據(jù)片段中插入數(shù)據(jù)發(fā)起者標(biāo)識(shí)、所述檢查的結(jié)果。