[發明專利]一種結合威脅情報和機器學習的網絡流量分析方法及系統

有效

• 申請號: 202010381750.3
• 申請日: 2020-05-08
• 公開（公告）號: CN111586046B
• 公開（公告）日: 2021-02-09
• 發明（設計）人: 段彬
• 申請（專利權）人: 武漢思普崚技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;H04L12/26;G06F16/955;G06N20/00
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種結合威脅情報和機器學習的網絡流量分析方法，其特征在于，所述方法包括：

采集不同來源的傳感器、節點設備、信息平臺、網絡設備的運行狀態數據、IP數據、域名信息、URL信息、傳輸文件數據、數據庫動態信息中的一種或若干種；

接收采集數據后，進行初始化處理，清除數據中冗余重復的信息，根據來源的類型，將數據初始化轉換為統一的格式，分入對應的字段，合并成情報數據流；

其中，根據信息來源的歷史記錄，對不同的信息來源給出了不同的評分，當采集的信息出現冗余或重復時，優先采信評分的信息來源，如果后續環節驗證信息為可用，則在原有評分基礎上繼續累計分值；

還可以根據預先設置的情報類型，側重采集所述情報類型對應的信息，動態將與所述情報類型相關度低的信息設置為冗余信息，在初始化處理中清除；所述與所述情報類型相關度低為，采集到的信息的類型與預先設置的情報類型進行相關度計算，相關度的值低于閾值，則認定為相關度低；

從合并后的情報數據流中提取要素，發現要素中包括的行為動作、訪問對象、來源者地址、瞬時流量大小中的一種或若干種，從中發掘高頻項目組，根據高頻項目組對應的信息生成高頻關聯規則，加大其對應的權重，將更新權重后的數據進行數據融合，組成樹狀結構；

其中，所述提取要素時還包括判斷發現的要素是否與當前熱門安全事件相關，如果是則在要素中標記熱門安全事件摘要，并將多個與該熱門安全事件相關的要素進行關聯，進行數據融合，形成專門的數據條；

所述熱門安全事件包括僵尸網絡、挖礦、攻擊中的一種或多種，對采集的所述熱門安全事件信息從時間、空間多重維度進行深度關聯分析和數據挖掘，建立規則庫，將疑似攻擊的溯源信息與規則庫中的信息進行對比，通過傳播查詢和追溯查詢構建溯源圖，根據所述溯源圖獲取攻擊事件的發生脈絡和攻擊路徑，并在發生脈絡上標記熱門安全事件摘要；

根據所述樹狀結構和專門的數據條，查詢與單個關鍵設備地址相鄰的資產態勢信息，查詢與單個關鍵設備的訪問對象所屬屬性區域內的資產態勢信息，以及查詢與單個關鍵設備流量速度、流量總量相似的資產態勢信息；

其中，屬性區域為根據用戶屬性動態劃分出的屬性域，每個屬性域與若干個關鍵設備建立關聯關系，采用屬性加密算法隔離不同屬性域的邊界，實現不同網絡的邊界訪問控制，以及同一屬性域內關鍵設備的授權訪問；

判斷單個關鍵設備是否存在與地址相鄰相近資產相同的安全漏洞，判斷單個關鍵設備的并發線程、帶寬、網絡拓撲、訪問頻率是否存在與所屬同屬性區域資產相同的報警，判斷單個關鍵設備的流入量增長率、不同協議數據包分布比例、不同大小數據包分布比例是否存在與流量速度、流量總量相似資產相同的變化，計算單個關鍵設備的安全態勢值；

將鄰近的若干個單個關鍵設備，或者依據有業務交互的若干個單個關鍵設備，組成局部網絡，由局部網絡內的每個關鍵設備對應的安全漏洞、并發線程、帶寬、網絡拓撲、訪問頻率、流入量增長率、不同協議數據包分布比例和不同大小數據包分布比例，根據業務優先級引入模糊處理計算局部網絡的安全態勢值；

根據多個局部網絡的拓撲關系，模糊處理計算整個網絡的安全態勢值；

分別將單個關鍵設備、局部網絡和整個網絡的安全態勢值導入神經網絡模型，通過神經網絡模型推演，得出未來一段時間關于攻擊者來源和攻擊范圍的預測，并將預測結果反饋給神經網絡模型，更新神經網絡模型的參數；

將單個關鍵設備、局部網絡和整個網絡的安全態勢值，攻擊者來源和攻擊范圍的預測結果進行可視化展示。

2.根據權利要求1所述的方法，其特征在于：所述模糊處理計算是基于D-S理論與模糊集相結合的方法，計算攻擊發生支持的概率。

3.根據權利要求1所述的方法，其特征在于：所述可視化展示還包括風險評估、攻擊關聯分析、態勢感知，進行主動防御，與云服務器中的數據挖掘、大數據分析配合，定位網絡脆弱點和發現潛在的威脅和攻擊。